Boeing 737 MAX 8 – ein Flugzeug fällt vom Himmel. WARUM?

Heidrun B. ist auf dem Heimweg von Palma de Mallorca. Plötzlich wird ihr Urlaubsflieger heftig durchgeschüttelt, der Airbus A 321 sackt merklich durch und 2 oder 3 Gepäckklappen öffnen sich.

„Wir sind in ein Luftloch gekommen“ So hat Heidrun es von ihrem Mann gelernt.

„Wenn dä Flieschä durchsackt, dann war des ein Luftloch.“

Ein Luftloch? Heidrun B. aus Detmold hat es so gesagt. Mit einem Airbus A321 von Eurowings ist sie vom internationalen Airport Paderborn – Lippstadt nach Mallorca geflogen. Zwei Wochen hat sie sich mitten unter deutschen „Einheimischen“ (…die fliegen jedes Jahr drei mal da hin und haben eine eigene Finca) von der iberischen Sonne grillen lassen. Ihren Mann hat sie daheim gelassen. Er ist extra wegen ihr aus Aschaffebursch nach Detmold gezooche, des Heiratens wegen, und seine ganze Flugangst hat er mitgebracht in die Ehe. Er sagt es nur anders. („…wenn isch in Mallorca kein Youtube krieg, dann will isch au ned da hin.“) Er ist auch der Spezialist. Den ganzen Tag sieht er sich Youtube-Filme über Flugzeuge an, die von außen betrachtet seltsame Dinge tun. Er hat seine Gemeinde – mit denen tauscht er dann die neuesten Ansichten darüber aus – was er in dem Fall getan hätte, wenn er Käpten gewesen wäre. Seine Youtube-Erfahrung beläuft sich nunmehr auf 5 Jahre und geschätzt 500 Stunden am Bildschirm-Flieger-Forum. Sein Wort zählt. „Ei du kannsch des glaube odder ned, der isch in ein Luftloch geflooche. Ich brauch mir des bloß aa mol aagugge, dann seh isch des sofodd. So wie dä durchgsaggt is und des Durschschdaddmanövä, des der gflooche hedd, war des ein Luftloch kurz vor der Pischt.“

Die gibts nicht – solche Stammtisch Fluglehrer und Youtube-Luftfahrt-Spezialisten? Die gibts.

Also versuchen wir mal, sie ernst zu nehmen. Ein Luftloch. Wie darf ich mir das vorstellen? Ein Loch im Fahrradreifen. Gut. Ein Loch im Asphalt. Schön. Ein Loch im Socken. Nachvollziehbar. Aber ein Luftloch? Was is da in der Luft? Ein lokal begrenztes Vakuum? Ein Stück Weltall, das in die Atmosphäre abgesunken ist?

Wir sehen, es bringt nichts, das ernst zu nehmen.

Das Luftloch – mehr im Epilog ganz unten.

Wenn wir uns Dinge besser erklären wollen, dann wird uns nichts anderes übrig bleiben, ein wenig Fachwissen an uns heran zu lassen. Der angehende Pilot geht zuerst zum Fliegerarzt. Probleme werden dort im Vorfeld ausgeschlossen. Schauen wir also mal beim Ohrenarzt rein.

Gut. Bei Ihnen ist das nicht so? Dann steht ja dem neu zu erwerbenden Wissen nichts mehr im Wege. Am Ende dieses Artikels, werden wir kein Flugzeug fliegen können. Die Fliegerle, auf welchen wir die ersten Hüpfer machen, sind auch viel kleiner und unkomplexer als jene, um die es heute gehen soll.

Wir werden aber einen deutlichen Einblick in die Welt und die Gedankenwelt der Piloten, der Flugsicherheits-Experten, der Flugunfalluntersucher und der Welt der Entscheider in der Luftfahrt gewonnen haben.

Was wir tatsächlich heute tun wollen, ist die genauere Betrachtung der letzten beiden fatalen Flugunfälle mit der Boeing 737 MAX 8

Ebenfalls wollen wir den Flugunfall des Boeing 767/300 Lauda Air Fluges 004 von Hongkong über Bangkok nach Wien vom Mai 1991 näher analysieren und Erkenntnisse über Zusammenhänge verschiedener Faktoren bei der Entstehung von Flugunfällen betrachten.

Da starten und landen also seit über 50 Jahren Boeing 737 Flugzeuge und tun dies sehr sicher und souverän.

Reiner Grundmann, Berufspilot / Fluglehrer AD:

Plötzlich fallen kurz nacheinander zwei Boeing 737 MAX 8, also Flugzeuge der neuesten Generation, mit der besten und aktuellsten Technik und Cockpitausstattung „einfach so“ vom Himmel.

• Lion-Air-Flug 610 im letzten Herbst 2018 in Indonesien.

• Aktuell: Ethiopian-Airlines in Äthiopien im März 2019.

Einfach so? Das müssen wir uns näher betrachten.

Fatal. Aus heiterem Himmel fängt das Flugzeug an, ständig die Nase herunter zu nehmen, um Fahrt / Geschwindigkeit aufzuholen, so, als wolle man einen Berg hinunterfahren, um schneller zu werden. Das System ist in der irrigen Annahme, das Flugzeug sei in einem Flugzustand, der nach Ablösen der tragenden Luftströmung, welche vorwiegend an der Tragflächenvorderkante und im ersten Drittel der Tragfläche entsteht, droht abzustürzen. Die Piloten, die dagegen kämpfen, wissen nicht, wie ihnen geschieht oder was das Flugzeug da überhaupt tut, denn sie haben keinerlei Anzeigen für das neue System und wissen auch nichts von seiner Existenz.

Die starke Konkurrenz der Weltmarken Boeing und Airbus führt dazu, dass immer ein offen vorhandener Druck da ist, besser sein zu wollen als der Andere. Boeing hat mit der 737 ein millionenfach erprobtes und ständig weiterentwickeltes Produkt, das sehr sicher ist. Üblich ist, dass alle – die Technik, das Management, Vertreter der Crews, Entwickler, Software-Entwickler, Triebswerkszulieferer an einem Strang ziehen, wenn eine so gravierende Änderung ausgeführt wird, wie die Einführung eines neuen automatischen Flugkontrollsystem es darstellt.

Wie es aussieht, hat dieses Mal das Boeing Management einen Alleingang versucht und auch noch klar durchgezogen. Ein System wurde eingeführt und installiert, ohne dass dies im Simulatortraining, in den Check- und Prüflisten und in der Pilotenausbildung einen wie auch immer gearteten Niederschlag fand, wie es überhaupt verschwiegen wurde, dass ein solches neues softwarebasiertes System existiert.

„Hammer – die Piloten wußten gar nicht, dass das System existiert in ihrer Maschine, und es gab auch keine Cockpitanzeige, die anzeigt, was das System tut.“

Interessant: Neu für mich, das System bezieht seine Informationen aus einer einzigen Source – das widerspricht völlig der Redundanz- respektive Fail-Safe-Philosophie für in der Luftfahrt verwendete Systeme. Zum Beispiel: Wo zwei Bolzen ausreichend wären – baut man drei ein. Jetzt kann einer brechen (fail) und das System ist trotzdem safe. Oder: Drei Computer müssen erst alle zum gleichen Ergebnis kommen, damit z.B. ein Steuerbefehl des automatischen Flugführungssystems durchgeht und die Steuerservos reagieren.

Witziger und idiotischer Kommentar in einem Bericht: Die Piloten haben versucht, das Flugzeug mit einer Bedienungsanleitung unter Kontrolle zu bekommen. 😂 Piloten nutzen eine Checkliste oder, wie in diesem Fall, wenn ein Notfall/Emergency auftritt, dann arbeiten sie sich durch den rot gekennzeichneten Teil EMERGENCY des POH / Pilot Operating Handbook. Laut dem Lion-Air JT 610 Flugunfallbericht wurde ein sogenanntes tutorial – also ein Trainingshandbuch durchgearbeitet, wo ebenfalls nichts zu dem Thema zu finden war.

Zu erwähnen ist auch, dass Boeing auch mit hoher Wahrscheinlichkeit das System nicht als Quelle eines möglichen Emergency / Notfalls in Betracht gezogen hat und deshalb – ich bin mir da sicher – auch kein Procedure/Checkverfahren mit Lösungsablauf dafür angeboten hat.
Die Boeing 737 hatte ihren ersten Rollout im Dezember 1967 mit der Übergabe einer Boeing 737-100 an die Lufthansa und wurde kontinuierlich weiterentwickelt, sie ist das meistgebaute Flugzeug einer Serie. Im Schnitt sind zur Zeit ständig weltweit 2000 Boeing 737 Flugzeuge in der Luft. Die Boeing 737 – 800 ist das erfolgreichste und sicherste Passagierflugzeug für die Mittelstrecke.
Die erste Auslieferung erfolgte im Dezember 1967. Bis heute findet die 737-Familie mit 15.236 Bestellungen und 10.533 Auslieferungen (Stand: Ende März 2019) einen sehr guten Absatz. Im Juli 2013 waren weltweit im Schnitt über 2000 Boeing 737 gleichzeitig in der Luft; durchschnittlich startete oder landete weltweit alle zwei Sekunden eine 737.
Der als Schmalrumpfflugzeug ausgelegte Typ wird mittlerweile in der dritten und vierten Generation parallel gefertigt und hat über die Zeit seine äußere Erscheinung kaum geändert. Ursprünglich als kleines Kurzstreckenflugzeug geplant, stellen die aktuellen Modelle

Boeing 737 NG („Next Generation“) und 737 MAX eine Familie von Mittelstreckenflugzeugen für die kommerzielle Passagierluftfahrt dar, deren Spektrum grob vom 125-Sitzer 737-700 bis zur 737-900 ER („extended range“ – vergrößerte Reichweite) für bis zu 220 Passagiere reicht. Auch Langstrecken können mittlerweile mit bestimmten Varianten bedient werden.
Die neue Software der 737 MAX 8 ist eine technische und entwicklungstechnische Fehlleistung des Boeing Managements. Das Verschweigen der Tatsache an sich, dass dieses System im neuen Flugzeug eingebaut ist und die damit verbundene Politik, die Piloten ahnungslos zu lassen, ist ein krimineller Vorgang, der hoffentlich Folgen für das Management hat.
Hier wird der Ruf einer Weltmarke ruiniert und Besatzung wie Passagiere einer unkalkulierbaren Gefahr ausgesetzt. Es ist eine richtige Entscheidung eine Neuzulassung der Maschine nicht von einem kleinen Softwareupdate abhängig zu machen. Meine persönliche Meinung ist, dass dieses System völlig unnötig ist und nichts aber auch gar nichts zur Operations-Sicherheit des Flugzeuges beiträgt, noch eine Entlastung der Piloten darstellt – auch nach den Änderungen und auch langfristig nicht.“

Martin Greser aus Rückersdorf bei Nürnberg hat mich gefragt, wann und wo das Problem mit der neuen Software in der Boeing 737 MAX 8 besonders in Erscheinung tritt:

„Das Problem mit der Software tritt vor allem wegen der Imbalance / Ungleichgewicht mit den neuen Triebwerkskonfigurationen auf. Das Hauptproblem ist dabei, dass die Triebwerke an anderer Position angebracht sind als bisher, und der maximale Weg des sogenannten CG Center of Gravity negativ beeinflusst wurde. Der CG ist derSchwerpunktmittelpunkt, an dem alle Kräfte wie Auftrieb, Gewicht, Vortrieb (Schub), Luftwiderstand angreifen.

Der CG befindet sich üblicherweise zwischen Tragflächenvorderkante (LE Leading Edge) und Tragflächenhinterkante (TE Trailing Edge) – auch als MAC, mean arodynamic Chord bezeichnet oder auch Trim-Range, der Bereich, in dem die Besatzung mit dem Trim-Rad im Cockpit die Position des CG beeinflussen kann, bei unterschiedlichen Beladungssituationen.

Grafik (Verteilung des Gewichtsmittelpunktes CG, TEMAC, LEMAC)

Bei einem hypotetischen Extrembeispiel rennen alle Passagiere gleichzeitig ins Heck wodurch der CG über die maximale TEMAC (Trailing Edge Mac) über die hintere max. zulässige Verschiebung hinaus wandert – was zur Folge hätte, dass die Maschine eine nicht mehr wegtrimmbare Hecklastigkeit bekommt, die Nase unkontrolliert in den Himmel steigt und durch Strömungsabriß und anschließender Steilspirale zur Erde verunfallt.

Eine ähnlich plötzlich auftretende Hecklastigkeit hat eine Boeing 747 mit militärischer Fracht beim Abflug von einem US Stützpunkt in Afghanistan vom Himmel geholt.

Im steilen Steigflug – das Manöver wird am äußersten Limit geflogen, um rasch dem möglichen Beschuss aus der Peripherie des Militäflughafens durch Taliban zu entgehen – löste sich ein Großteil der Fracht aus der Verzurrung und rutschte schlagartig in den hinteren Teil des Flugzeuges. Die Piloten konnten die Nase des Flugzeuges dadurch nicht mehr nach unten nehmen, um eine sichere Fahrt / Geschwindigkeit herzustellen.

Die US Frachtmaschine vom Typ Boeing 747 kippte über eine Tragfläche ab, stürzte daraufhin neben eine Strasse außerhalb des US Stützpunktes.

Die neue Software soll, wenn der Sensor es meldet, eine Strömungsabriss-Situation beenden, und drückt bei gemeldeter Hecklastigkeit die Nase des Flugzeuges nach vorne unten. Sie tut das aber bei Fehlinformation von dem einzigen Sensor auch dann – wenn gar keine Strömungsabrisssituation vorliegt – also sichere Auftriebsverhältnisse an der Tragfläche gegeben sind. Die Piloten suchen sich einen Wolf nach der Ursache während sie gegen die neue Software und ihre Sturzflugattitüden kämpfen, weil sie von der Existenz der Software und dem failing sensor gar nichts wissen.

Bei der neuen 737 MAX 8 hat man nun die Triebwerke baulich bedingt ein wenig weiter als bisher vor dem CG eingebaut, wodurch ein längerer Hebel zwischen der Triebwerksaufhängung und dem CG entsteht. „Bei Leistungszufuhr entsteht ein Moment, welches über den Hebelarm das Flugzeug so um die Querachse dreht, dass es eigentlich hecklastig wird.“

Baue ich also ein System ein , das bei Hecklastigkeit versucht die Nase des Flugzeuges vorne nach unten zu drücken – den Piloten aber nichts von der Existenz des zusätzlichen „Sicherheissystems“ verrate, dann sehen diese sich plötzlich mit einem Flugzeug konfrontiert, das versucht die Maschine in einen steilen Sinkflug zu drücken, und keiner weiß, warum.

Eine Boeing 767 der Lauda Air stürzt nach dem Start in Bangkok ab.

Lauda-Air-Flug 004 war ein Lininflug der österreichischen Fluggesellschaft Lauda Air von Hongkong über Bangkok nach Wien. Die am 26. Mai 1991 um 23:17 Uhr Ortszeit eingesetzte Boeing 767-300ER stürzte im Westen Thailands im Steigflug bei voller Triebwerks-Last (Schub für Steigflug) ab, nachdem sich während des Steigfluges die Schubumkehr an einem Triebwerk unerwartet selbst aktiviert hatte.

Alle 223 Menschen an Bord kamen ums Leben. Es handelt sich um das schwerste Unglück in der österreichischen Luftfahrtgeschichte. Die in Bangkok verunglückte Maschine war eine Boeing 767-300ER mit dem Kennzeichen OE-LAV und dem Taufnamen „Mozart“. Sie war am 16. Oktober 1989 neu an Lauda Air ausgeliefert und seither durchgehend von ihr betrieben worden. Sie war also bei dem Unglück erst etwa eineinhalb Jahre alt. Wenn Flugunfalluntersucher ein Wrack finden, dessen Tragflächen, Triebwerke oder andere wesentliche Teile ein paar hundert Meter oder noch weiter weg liegen, dann ist dies immer ein Beweis, dass das Flugzeug bereits in der Luft auseinander gebrochen und in Teilen auf der Erde angekommen ist.

Ursachen für das ungewollte und automatische Fahren der Schubumkehr beim Lauda-Air-Unfall in Bangkok und warum die Piloten trotz Warnanzeigen weitergeflogen sind:

• Fehlerhaftes Hydraulik – Ventil beim Triebwerk der Boeing 767:
  Pratt & Whitney PW4000
• Probleme mit der Verkabelung
• Solenoid-Relais /
• POH Pilot-Operating-Handbook /
• Boeing-Empfehlungen /
• bekannte Probleme im feuchten Milieu Bangkoks zur Monsunzeit mit der Bordelektronik und dem akustischen und optischen Warnsystem /
• Permanente Fehlanzeigen bei Douglas DC 10 Flugzeugen.

Ein mechanisches Relais arbeitet meist nach dem Prinzip des Elektromagneten. Ein Strom in der Erregerspule erzeugt einen magnetischen Fluss durch den ferromagnetischen Kern und einen daran befindlichen, beweglich gelagerten, ebenfalls ferromagnetischen Anker. An einem Luftspalt kommt es zur Krafteinwirkung auf den Anker, wodurch dieser einen oder mehrere Kontakte schaltet. Der Anker wird durch Federkraft in die Ausgangslage zurückversetzt, sobald die Spule nicht mehr erregt ist.

Den Piloten war folgendes bekannt:

Subjektive Unfallursache: was dachten die Piloten und was kann ihre Entscheidung beeinflusst haben?

Aussage: „Wenn DC 10 Piloten weltweit alle Fehlanzeigen und Falschwarnungen bei der DC 10 beachten und landen würden – bräche international der Flugverkehr zusammen, also wurden 90 % aller Warnungen von DC 10 Besatzungen kurz oder auch gründlich nach Handbuch überprüft und / oder ignoriert.
Desweiteren: Simulator – Trainingsdefizite / Verkabelung – also kein Software-Problem.
Wie bereits durch Vergleiche der Flugunfalluntersucher von einer großen Zahl von Flugunfällen und ihrer Ursachen in Zusammenarbeit mit der NASA – wohl bereits in den 60er/70er Jahre, festgestellte Prämisse:
„Es gibt niemals nur eine Flugunfallursache. Es sind immer mindestens 4 oder mehr Ursachen – auch völlig unterschiedlicher Natur – im Zusammenwirken, die einen Flugunfall möglich machen.“

Bildlich gemacht wurde das mit dem „Schweizer Käse Modell“ – siehe Grafik. Jedes Sicherungssystem wird generell als Fehlerhaft betrachtet, symbolisiert durch die Löcher im Käse. Um ein Backup für die Fehlerhaftigkeit eines Systems zu schaffen, werden verschiedene Sicherungssysteme hintereinander geschaltet.

• Die erste Emmentalerscheibe symbolisiert z.B. Die Flugsicherung mit den Radarlotsen und deren gründliches Training und psychologische Vorauswahl.

• Die zweite Emmentalerscheibe ist die qualitätsgesicherte Wartung und die Technik.

• Die dritte Emmentalerscheibe ist die permanente Weiterentwicklung von Systemen und Sprechfunkverfahren auf der Grundlage von Flugunfalluntersuchungsergebnissen.

• Die vierte Emmentalerscheibe ist die ständige Verbesserung von Cockpitconfiguration und Interpretationsfähigkeit der Instrumente, Bildschirmanzeigen und die ergonomische Gestaltung von Sitzen, Gashebeln, Landeklappenhebel, Switches, Anordnung der einzelnen Panels. (Instrumentenpaneele zwischen, vor, über und seitlich der Piloten) und die leichte Interpretation von Informationen in reinen Glascockpits – also reinen Anzeigen auf Computerbildschirmen – siehe Airbus.

• Die fünfte Käsescheibe ist das Training der Piloten auf Simulatoren, die in allen Teilen und Funktionen dem Originalcockpit entsprechen, und die
• Weiterentwicklung der Checklisten und POH Pilot Operating Handbooks.

Alle Käsescheiben haben Löcher – also sind fehlerhaft, sichern sich jedoch in 99% der Fälle gegenseitig ab. Ein Unfall kann nur geschehen, wenn durch einen nicht vorhersehbaren Zufall eine Durchlässigkeit durch alle Systeme entsteht, wenn Löcher in allen Systemen in Deckung kommen.

Es wurde festgestellt, dass die Schubumkehr des linken Triebwerks tatsächlich bei einer Geschwindigkeit von Mach 0,78 ausgefahren war. Ungewollte Aktivierung der Schubumkehr im Flug galt laut Handbuch bei bestimmten Verkettungen von Fehlern als möglich. Boeing und die US-Luftfahrtbehörde FAA (bei der Zulassung) hatten jedoch die für diesen Fall vorgesehenen Maßnahmen und ihr Training am Flugsimulator für ausreichend gehalten, um die Kontrolle über das Flugzeug aufrechterhalten zu können. Die aufgrund der Flugdaten später vorgenommenen Versuche im Windkanal und am Flugsimulator führten dagegen zu der Schlussfolgerung, dass die Piloten in eine so unerwartet schwierige Situation geraten waren, dass sie die erforderlichen Steuermanöver trotz ihrer Fähigkeiten und ihres Trainingsstandes nicht rechtzeitig (innerhalb von 4 bis 6 Sekunden) ausführen konnten. Die früheren Simulationen bei Boeing waren an einer Geschwindigkeit von Mach 0,3 bei Einsetzen der Schubumkehr orientiert gewesen.
Die Ursache des ungewollten Einsetzens der Schubumkehr konnte allerdings nicht eindeutig ermittelt werden. In Betracht gezogen wurde besonders, dass ein hydraulisches Absperrventil (Hydraulic Isolation Valve, HIV), welches das Ausfahren der Schubumkehrklappen verhindern sollte, beschädigt gewesen oder wegen fehlerhafter Verkabelung geöffnet worden sein könnte (Kurzschluss zwischen Kabeln zu einer die Schubumkehr steuernden Zylinderspule

(Anmerkung von mir: Hohe Luftfeuchtigkeit in der Monsunregenzeit im Raum Bangkok). Tatsächlich war das Wartungspersonal bei Lauda-Air seit Monaten mit Warnmeldungen der Schubumkehr des linken Triebwerks der Maschine beschäftigt gewesen, hatte erfolglos Hydraulikelemente und ein Monitormodul (Propulsion Interface Monitor Unit) ausgetauscht und wollte als Nächstes das Kabel zwischen Cockpit und Schubumkehrsystem überprüfen. Ähnliche Probleme der Verkabelung waren von anderen Boeing 767 bekannt. Tatsächliches Auftreten eines Elektrikfehlers beim Unglücksflug konnte jedoch nicht festgestellt werden, nicht zuletzt aufgrund des hohen Zerstörungsgrads der Wrackteile.
Bei der Untersuchung wurde ein Konzeptionsfehler der hydraulischen Steuerung der Schubumkehr aufgedeckt, der die Schubumkehr ungewollt auslösen konnte. Am 15. August 1991 untersagte die FAA daher vorübergehend den Einsatz der Schubumkehr bei allen Boeing 767. Das zweite an der Schubumkehrsteuerung beteiligte Ventil, ein Wegeventil (Directional Control Valve, DCV tauchte zwar 9 Monate nach dem Unglück auf, war aber offenbar von Unbekannten (Anmerkung von mir: Scharen von Souvenirsammlern, die über die Trümmer hergefallen sind und vieles einfach mitgenommen und auf Schrottmärkten angeboten haben) zwischenzeitlich teilweise zerlegt und verändert wieder zusammengesetzt worden.

Die Untersuchung des Unglücks wurde unter anderem dadurch erschwert, dass der Flugdatenschreiber wegen Brandeinwirkung am Boden unbrauchbar geworden war (die thailändische Untersuchungskommission empfahl besseren Hitzeschutz). Die Rekonstruktion des Geschehens beruht wesentlich auf der Auswertung des Stimmenrecorders, neben dem Gespräch sind Wind- und Rüttelgeräusche, unterschiedliche Alarmtöne und schließlich ein Knall zu hören (nach anderer Quelle „infernalisches Kreischen berstenden Metalls“). Anmerkung von mir – Auseinanderbrechen des Luftfahrzeuges bei schallnahen Sturzgeschwindigkeiten und einer imbalance der Triebwerke – max. Materialstress.)
Bis heute (Stand 24. Februar 2019) ist Lauda-Air-Flug 004 der einzige tödliche Absturz einer Boeing 767, bei dem nicht kriminelle Handlungen (Pilotensuizid, Flugzeugentführung) oder ein reiner Pilotenfehler als Unfallursache ermittelt werden konnten.

• Auswirkungen: Gedenkanlage (Memorial) nahe Suphan Buri

• Der Flugsimulator von Boeing für die Boeing 767 wurde umprogrammiert, um die Situation auch bei höheren Geschwindigkeiten darzustellen – dies aber eher für Untersuchungszwecke. Da die Annahme, auch bei Einsetzen der Schubumkehr im Flug bleibe die Maschine kontrollierbar, aufgegeben werden musste, zielten weitere Maßnahmen darauf ab, die Möglichkeit dieser Situation wirksam auszuschließen.

• Boeing änderte das Schubumkehrsystem für die Boeing 767 in sechs Punkten. Dazu gehörten

• Austausch des magnetisch durch eine Zylinderspule (solenoid) gesteuerten hydraulischen Absperrventils (Hydraulic Isolation Valve, HIV) durch ein weniger anfälliges, das durch einen Motor gesteuert wird.
• Verbesserte Verlegung und Isolierung des Kabels zwischen Cockpit und dem Schubumkehrsystem am Triebwerk.

• Betroffen waren in erster Linie alle Boeing 767 mit Triebwerken des Typs Pratt & Whitney PW4000.

• Die Umrüstung wurde im Februar 1992 abgeschlossen.
• Dasselbe Schubumkehrsystem war darüber hinaus bei den Boeing 757, 747 und 737 installiert. Besonders ähnlich war die Konstellation Boeing 757 mit Triebwerken Pratt & Whitney PW2000. Auch bei diesen wurde daher das Absperrventil ausgetauscht.
• Empfehlungen zur Überprüfung der Verkabelung ergingen auch hinsichtlich anderer Flugzeuge von Boeing, Airbus und McDonnell Douglas. Maschinen mit anderen Triebwerken von Pratt & Whitney, Rolls-Royce oder General Electric galten als weniger gefährdet.

„Banana Airways Crash in Addis Kaffeebar“ ein fiktiver Unfallbericht.

Zum Schluss möchte ich noch einen zum Teil fiktiven Unfallbericht konstruieren, der zeigt – wo die Löcher im Emmentaler der einzelnen Backupschichten in den Sicherheitssystemen in Deckung kommen und es zum Unfall kommt:

Ein Airbus der Banana-Airways ist nachts im Anflug auf Addis Kaffebar. 
Der Flughafen besitzt normalerweise ein dem Flugsicherungssystem zuzuordnendes Instrumentenlandesystem ILS. Rebellen haben am Vortag in Flughafennähe eine sog. Gleitwegantenne gesprengt, womit die Piloten nur noch eine horizontale nicht aber eine vertikale Flugführung im digitalen Crosspointer-Anzeigeinstrument auf dem PFD (primary flight display – Darstellung des Landekurses und Gleitweges auf Bildschirmen) zur Verfügung haben.

Für die Piloten bedeutet das, dass sie nicht schlicht einer horizontalen Anzeige-Nadel hinterfliegen für den Landekurs und einer horizontalen Nadel zur Einhaltung einer Neigung Flugzeuge. (Üblich sind Neigungen / Gleitwege von 3° / 5,2 %) bei einem Gleitweganzeiger.
Ein vorangegangener Sandsturm beeinträchtig die Sicht auf die Lichter der Stadt und des Flughafens noch so, dass die Piloten auf jeden Fall auf die Instrumente angewiesen sind. 
Ein alternatives Verfahren besteht darin, der Landekursanzeige (LLZ localizer) eine vertikale Anzeigenadel, hinterherzufliegen und den Sinkflug nach Höhenstufen und dem Radiohöhenmesser zu steuern. (stepdescent)
Das Instrument wurde durch Wartung tagelang nachkalibriert, weil es bis zu 200 Fuss Fehlanzeige hat. 
Die Piloten wissen davon nichts, weil ihr OPS, Operations der Airline, das die Flugvorbereitung mit dem Flugplan, der Streckenführung, der Passagierliste und dem Beladungs- und Betankungsplan (load sheet) macht und vor dem Flug aushändigt, sie nicht darüber informiert hat.
Der Lotse auf dem Turm (Tower TWR) ist Asiate und seine Englischkenntnisse sind marginal. 
Er sieht auf seinem Primärradar, dass das Flugzeug im Anflug sehr tief fliegt und 150 Fuss unter assigned Altitude ist – der in der Anflugkarte für die Position des Luftfahrzeuges vorgeschriebenen Höhe am MM – Middle Marker.

(Ein Sender mit vertikaler Abstrahlcharakteristik, welcher akustisch und optisch einen Höhencheck von den Piloten verlangt und der kurz vor der Piste aufgestellt ist.)

Entgegen vorgeschriebener Sprechfunkverfahren schreit der asiatische Towerlotse panisch ins Microfon – „Banana one – cleared around, cleared around“ anstatt „make a go-around, make a go-around“ oder schlicht „go around, Banana one“
(Das Wort „cleared“ darf nur in der Landefreigabe verwendet werden) 
Der Funk ist durch den vorangegangenen Sandsturm noch stark gestört und der Pilot versteht. „Cleared to land, Cleared to land.“ und schaltet in diesem Moment aufgrund der angespannten Anflugsituation das Cockpitlicht aus, weil der dazugehörige switch ergonomisch ungünstig hinter und über den Piloten angebracht ist, und er es mit dem Nicht-Rauchen-Anschnallen Gong verwechselt, den er eigentlich schalten wollte, und der sich an fast der gleichen Stelle befindet. 
Der beim Unfall benützte Airbus ist darüberhinaus ein älteres Modell und die afrikanischen Piloten wurden auf einem neueren Vollsimulator in London trainiert, bei dem der Switch bereits auf einem Panel zwischen den Piloten angebracht ist. Da alle Instrumente und Notinstrumente nun im Dunkeln liegen, weicht das Luftfahrzeug zusätzlich nach vorne unten vom ohnehin verfehlten Gleitpfad ab. Das Flugzeug schlägt eine Meile vor der Pistenbefeuerung in steiler Vorlage in einer Sandverwehung auf und wird durch Aufschlagbrand komplett zerstört. Untersuchungen ergeben, dass bei diesem Flugzeug die Tanks keine Innentanks sind, sondern der Kraftstoff / Kerosin sich direkt unter der dünnen Außenhaut befindet, was dazu führte, dass beim Aufschlag die Tragfläche aufgerissen wurde. Der Kraftstoff ergoss sich über die 900 Grad heißen Triebwerksteile und es kam zur spontanen Entzündung und Explosion.

Jede einzelne Unfallursache für sich hätte nicht zum fatalen Crash geführt, waren aber im Zusammenwirken ursächlich für den Totalausfall (fatal accident).

Wir haben also hier ein Sammelsurium von Unfallursachen das sich aus allen Käsescheiben (swiss cheese model) generiert.

• Unvorhergesehene Ereignisse (Terroranschlag auf Flugsicherungssysteme)
• Wetterereignis (Sandsturm) Sichtbeeinträchtigung, Störung des Sprechfunks
• Wartung (Höhenanzeigeinstrument defekt)
• Mangelnde Kommunikation zwischen OPS Operation Office, der Airline und den Piloten.
• Sprachprobleme des Towerlotsen (Flugsicherung)
• Cockpit-Ergonomie, Schalter für das Cockpitlicht an falscher Stelle installiert
• Trainingsdefizite, Simulator weicht vom geflogenen Muster ab
• Konstruktionsfehler, alt, Luftfahrzeug hat aus Gewichtsersparnisgründen keine separaten Innentanks sondern der Kraftstoff befindet sich direkt unter der Aussenhaut der Tragflächen.

Epilog

„Wir sind in ein Luftloch gekommen…“ sagte Heidrun B. aus Detmold.

Das Luftloch? Ist kein Vakuum in der Luft. Es entsteht aus der Systematik der Luftmassenströmungen, sowie thermischer Vorgänge. Auf- und Abwinde zum Beispiel beim Durchflug einer Gewitterwolke. Da kann es permanent rauf und runter gehen, und plötzliche Sprünge nach oben oder unten sind fast charakateristisch für den Flug im Kern des Gewitters oder starke Abwinde unter der Gewitterzelle. Warme Luftmassen aus der Aufheizung im Tagesgang steigen nach oben wie Heißluftballone – nur deutlich massierter und schneller. Gleichzeitig nimmt starker großtropfiger Regen Luftmassen mit nach unten, die das Flugzeug von oben treffen können. (Sogenannter downdraft) In großen Höhen gibt es sogenannte CAT Clear Air Turbulences, die am Übergang von zwei Luftmassenbewegungen / Hauptströmungen entstehen können oder auch im Rahmen von Wellenbewegungen in der Nähe von und über Gebirgszügen. Hier kann es in äußerst seltenen Fällen mal über 100 m rauf oder runter gehen und Stewardessen fliegen durch die Kabine. In den fünfziger Jahren glaubte man, mit den neuen Düsenflugzeugen könne man einfach durch Gewitter hindurchfliegen. Heute wird eher empfohlen, an Gewittern außen vorbei zu fliegen.

Gewitterzentren, auch Zellen genannt – lassen sich optisch auf Bildschirmen entlang des Flugweges darstellen.

Windshear – eine Scherwindsituation

Eine andere Form des „Luftloches“, die sehr gefählich ist, ist die der Shear Wind Situation. (s.o) Moderne Bodenannäherungswarnsysteme geben hier auch eine akustische Warnung, wenn die Sensoren das Vorhandensein einer Scherwindsituation feststellen. Eine Computerstimme schreit dann mehrmals hintereinander „Windshear, windshear, windshear.“ Scherwindsituationen entstehen z.B. auch im Sinkflug, ebenfalls beim Durchsinken verschiedener Luftmassenströmungen.

Ein Beispiel: Ein VerkehrsFlugzeug benötigt ca. 270 km/h also ca. 140 Knoten im Anflug, um bei ausgefahrenen Landeklappen noch stabil und sicher zu fliegen. Dieser Auftrieb und die Geschwindigkeit können sich in bestimmten Fällen aus folgenden Komponenten zusammensetzen: Der Eigengeschwindigkeit des Luftfahrzeuges über Grund. Wenn ich also am Boden ein Auto nebenher fahren lasse, dann hat es die Geschwindigkeit des Flugzeuges über Grund. Das können dann in diesem Beispiel 180 km/h sein, also ca. 100 Knoten. Den Rest des Auftriebes liefert dann ein konstant starker Gegenwind von ca. 40 Knoten also ca. 90 km/h, was als Geschwindigkeit gegenüber der Luft oder der IAS, der angezeigten Geschwindigkeit am Fahrtmesser abgelesen werden kann. Sinkt das Flugzeug nun kurz vor der Landebahn in eine stationäre und unbewegte Luftmasse, dann fehlen schlagartig 40 Knoten an der Mindestgeschwindigkeit für den Anflug mit ausgefahrenen Landeklappen. Das Flugzeug versucht vorwärts nach unten Geschwindigkeit aufzuholen, sackt also fühlbar durch und verunfallt im schlimmsten Fall.