Erste Erkenntnisse

In den frühen Morgenstunden des 1. Juni 2009 verunglückte Air France Flug 447 mit 228 Menschen an Bord auf dem Flug von Rio de Janeiro nach Paris. Die Maschine, ein Airbus A330-200, war am 31. Mai um 22:03 Uhr UTC auf dem Galeao International Airport gestartet und sollte nach einer 11stündigen Flugzeit in Paris Charles de Gaulle landen. Aber sie zerschellte auf der Oberfläche des Atlantiks, dabei wurden alle Insassen getötet.

Ein weiterer Unfall der hätte verhindert weden können, wenn die fundamentalen Grundprinzipien der Flugsicherheit konsequent befolgt worden wären. Ein bereits seit mehr als 10 Jahren bekanntes Defizit wurde nicht zeitgerecht ausgeräumt. Es lieferte so eine Steilvorlage für ein tödliches Szenario, bei dem einmal mehr der Mensch gegen die Maschine keine Chance mehr hatte.

Der letzte Funkkontakt fand um 1:30 h UTC zwischen der Besatzung und der brasilianischen Luftverkehrsüberwachung statt, als die Maschine ihre Atlantiküberquerung begann. Ab diesem Zeitpunkt gab es auch keine Radaraufzeichnungen mehr, da der Luftraum auf dieser Strecke nicht vom Radar überwacht wird.

Etwa 40 Minuten später empfing Air France eine vierminütige Serie von Fehlermeldungen, die automatisch durch das so genannte ACARS (Aircraft Communication Adressing and Reporting System) gesendet wurden. Diese Meldungen waren in den Folgetagen Gegenstand heftiger Spekulationen über die mögliche Absturzursache. Sie lassen aber nur bedingte Rückschlüsse darauf zu, was sich an Bord der Maschine wirklich ereignet hat. Soweit bekannt ist, sagen diese Meldungen bisher lediglich aus, dass zwischen 2:10 h und 2:14 h UTC fünf Fehler und 19 Warnungen im Cockpit aufgetreten sind. Sie betrafen den das Pitot-Static System (hiermit werden Daten wie Geschwindigkeit und Flughöhe ermittelt), den Autopiloten, die Flugzeugsteuerung, das Kollisionswarnsystem (TCAS) und die Druckkabine. Daraus muss geschlossen werden, dass sich der Autopilot und das automatische Schubregelsystem abgeschaltet haben (das ist normal und sogar beabsichtigt, wenn die Computer unterschiedliche oder fehlerhafte Daten erhalten) und dass der Flugmodus von „normal law“ zu „alternate law“ gewechselt hat. Weiter meldete das System einen Fehler für die Air Data Inertial Reference Unit (ADIRU) und das integrierte Standby Instrument System (ISIS). Eine weitere Warnung besagt, dass es zu Abweichungen der Daten an dem unabhängigen Air Data System gekommen sein muss. Um 2:13 h UTC trat eine Fehlermeldung für Flight Management Guidance und den Envelope Computer auf. Die beiden letzten Warnungen betrafen das Air Data Reference System und einen Hinweis auf den Kabinendruck in einer „Cabin Vertical Speed Warning“.

Vermutlich spielte auch das Wetter im Absturzgebiet eine maßgebliche Rolle. Von Satellitenbildern weiß man, dass die Maschine durch ein intensives, tropisches Gewittergebiet flog. Piloten wissen, dass sie beim Durchfliegen einer solchen Zone mit extremen Turbulenzen, Hagel und Vereisung rechnen müssen. Zudem können sehr starke und schnell die Richtung wechselnde Winde auftreten. Das Auftreten solcher Gewitter auf der geplanten Flugroute ist in dieser Jahreszeit sehr wahrscheinlich und ein bekanntes Phänomen. Entlang der Innertropischen Konvergenz Zone (ITCZ) bilden sich häufig und schnell sehr heftige Unwetter, die sich bis in Höhen von 15 km ausdehnen können.

Ein Blick auf das Satellitenbild aus der Unfallnacht zeigt, dass der Kurs von Flug 447 durch ein breitgezogenes Gebiet mit ausgeprägter Unwetteraktivität (rote Zellen) führte. Normalerweise haben die Piloten im Cockpit die Möglichkeit, solche Zellen auf ihrem Wetterradar zu orten und sie ggf. zu umfliegen. Elektrostatische Entladungen, wie sie zum Beispiel durch Blitze verursacht werden, können die Darstellung auf dem Wetterradar jedoch erheblich beeinflussen.

Wie bereits erwähnt, kann es in solchen Unwettergebieten schnell zu Vereisungen kommen. In diesem Zusammenhang sind die zur Geschwindkeits- und Höhenermittlung notwendigen Pitot-Rohre der A330 Gegenstand einer heftigen Diskussion geworden. Air France hatte auf Druck der französischen Pilotenschaft einräumen müssen, dass es schon in der Vergangenheit mehrfach zu Problemen mit diesen Messsonden gekommen ist. Der Flugzeughersteller Airbus hatte bereits im vergangenen Jahr empfohlen, die Sonden des französischen Herstellers Thales gegen eine modifizierte Version auszutauschen, da sie – obwohl automatisch beheizt – plötzlich vereisen können. Das wiederum führt zu fehlerhaften Höhen- und Geschwindigkeitsdaten, die jedoch für die sichere Flugdurchführung unabdingbar sind. Air France räumte ein, dass man bereits Ende April mit einem Austauschprogramm begonnen hätte, die Unglücksmaschine jedoch noch mit den alten Sonden bestückt gewesen sei. Mir vorliegende Dokumente belegen jedoch, dass dieses Problem nicht neu ist: bereits 1995 informierte Airbus die Betreiber von A330 Maschinen über Probleme mit Sonden eines anderen Herstellers. Unter anderem hatten Lufthansa, Cathay Pacific und Air France Probleme mit den Messsonden gemeldet. Schon im Jahr 2001 wurde deshalb einmal der Austausch dieser Sonden auch von den Luftaufsichtsbehörden angeordnet. Es scheint jedoch, dass das Problem mit fehlerhaften Pitot Sonden jedenfalls bisher nicht endgültig ausgeräumt werden konnte.

Erst am 6. Juni wurden eindeutige Wrackteile von Flug 447 und Leichen durch die brasilianische Marine geborgen. Am 8. Juni gelang es Suchmannschaften, das Seitenleitwerk des verunglückten Airbus aus dem Meer zu bergen.

Die Suche nach den Flugdatenschreibern hält an. Der Unfall wird von der französischen Flugunfall-Untersuchungsbehörde Bureau d’Enquêtes et d’Analyses pour la Sécurité de l’Aviation Civile (BEA) untersucht.

Unabhängig vom Fortschritt und Ausgang der Ermittlungen, die erfahrungsgemäß Monate bis hin zu mehreren Jahren in Anspruch nehmen können, stellen sich für mich einige Fragen:

 

1.) Warum werden wichtige Flug- und vor allem Positionsdaten nicht mittels moderner und bereits verfügbarer Technologie z.B. via Satelliten gesichert?

Immerhin dauerte es mehrere Tage, bis Suchmannschaften erste Wrackteile und Tote bergen konnten. Was wäre passiert, wenn es der Besatzung gelungen wäre, die Maschine auf dem Wasser notzulanden? Wie lange hätte es gedauert, bis Rettungsmannschaften eventuell Verletzte und Überlebende hätten bergen können? Moderne Spionagesatelliten liefern gestochen scharfe Bilder einer Streichholzschachtel, in der Business-Klasse telefonieren Passagiere via Satellit in hervorragender Qualität mit Verwandten, während die Piloten im Cockpit nach wie vor mit Technologie aus dem 2. Weltkrieg (HF-Funk) über dem Atlantik Positionsreports ins Blinde funken…

Außerdem ist und bleibt es bislang höchst fraglich, ob die Flugdatenschreiber jemals geborgen werden und zur Aufklärung relevante Daten liefern können. Angesichts der immensen Kosten für diese Bergung wäre es sicherlich sinnvoll, dass den Unfallermittlern die wesentlichen Parameter bereits jetzt zur Verfügung stehen würden. Je nachdem welche Daten so übermittelt würden, könnten insbesondere auch klare Prioritäten für die Bergung von weiteren Komponenten des verunglückten Flugzeuges gesetzt werden.

Einen erneuten Versuch will die Flugunfalluntersuchungskommission im Februar 2010 unternehmen. dabei sollen auch spezielle Tauchroboter des Deutschen Hydrografischen Instituts Kiel zum Einsatz kommen. Sollten diese das Wrack der verunglückten Air France Maschine dann in der zerklüfteten Unterwasserregion lokalisieren können, müssen die Datenschreiber dann immer noch geborgen werden.

 

2.) Warum führte die geplante Flugroute mitten durch ein schweres Gewittergebiet?

Hier kann ich nur vermuten, dass gerade wegen des enormen wirtschaftlichen Drucks, unter denen derzeit fast alle Airlines operieren, die kürzeste und damit eine möglichst ökonomische Streckenführung gewählt wurde. Mit etwa 8,5 Tonnen mehr an Kerosin und einer Verspätung von ca. 1,5 Stunden hätte die Maschine das Unwettergebiet auch großräumig umfliegen können. Gilt hier die Maxime „Wirtschaftlichkeit vor Sicherheit“? Ich kann nur hoffen, dass es hier andere und schwerwiegendere Gründe gab, warum Flug 447 diese Route gewählt hat.

Allerdings weiß ich von Flugkapitänen, die sich schon bei Ihrem Flugbetriebsleitern rechtfertigen mussten, nur weil sie eine Tonne Kerosin zuviel mitgenommen haben.

 

3.) Sind moderne Flugzeuge nicht mehr so robust konstruiert und gebaut, dass sie den in einem Gewittergebiet auftretenden Kräften und Belastungen auf die Struktur standhalten?

Der Airbus A330 verfügt über eine Vielzahl von Bauteilen aus einem speziellen Kunststoff. Früher wurden gerade Teile wie die Tragflächen und das Seitenleitwerk aus Aluminium hergestellt. Das machte die Flugzeuge allerdings auch schwerer und führte in der Folge zu einem höheren Treibstoffverbrauch bzw. geringerer Reichweite.

Experten vermuten nun aufgrund der aufgefunden Trümmerteile, dass der Airbus bereits in der Luft auseinander gebrochen sein muss. Dafür spricht auch das weit ausgedehnte Trümmerfeld und die ebenfalls weit voneinander entfernt aufgefundenen Leichen.

Piloten, die den Airbus A330 seit mehreren Jahren fliegen, diskutieren derzeit natürlich, wie sich dieser Unfall abgespielt hat und welche Möglichkeiten ihre Kollegen überhaupt hatten, mit dieser außerordentlichen Situation zurecht zu kommen. Dazu muss man wissen, dass die A330 zwar ein modernes, jedoch sehr auf Effizienz ausgerichtetes Flugzeug ist. Die Triebwerke empfinden einige Piloten im Vergleich zu anderen, vergleichbaren Flugzeugen als „unterdimensioniert“. Man hat praktisch auf seiner vom Gewicht und dem Wetter abhängigen Flughöhe wenig Reserven, um beispielsweise über ein Schlechtwettergebiet zu steigen. Desto höher ich fliege, um so geringer wird aber der Spielraum für ein Abweichen von der optimalen Geschwindigkeit. Fliege ich zu schnell, können wesentliche Strukturteile beschädigt werden, fliege ich dagegen zu langsam, kommt es zum gefürchteten Strömungsabriss, dem Stall. Die kritische Marge wird von Piloten auch als „Coffin Corner“ (Sarg-Ecke) bezeichnet.

coffincorner4300x225Die Grafik links verdeutlicht diese Problematik anschaulich und die Abhängigkeit von geflogener Geschwindigkeit, Gewicht und Flughöhe. Dabei wird deutlich, dass bei einem hohen Gewicht das Geschwindigkeitsregime deutlich kleiner ist. Ein leichteres Flugzeug kann auch höher steigen. Dennoch: die Margen für einen kontrollierten Flug sind hier sehr gering, bei hohem Gewicht sogar nur minimal. Auf der anderen Seite sind Piloten angehalten, gerade in Zeiten von sinkenden Ticketpreisen und rückläufigen Buchungszahlen nach Möglichkeit in dem „optimalen“ Regime der „Coffin Corner“ zu fliegen. Alles andere würde zu einem erhöhten und damit unwirtschaftlichen Treibstoffverbrauch führen.

CoffinCorner2aDiese Marge ist bei beispielsweise bei einem Flugzeuggewicht von 210 Tonnen, dem in etwa geschätzten Gesamtgewicht von Flug AF447 zum Zeitpunkt als er das Unwettergebiet passierte, relativ klein: nur etwa 20 Knoten in jede Richtung. Die Abbildung rechts zeigt die Anzeige auf dem Primary Flight Display, der Anzeige des Piloten. Es handelt sich dabei um das Geschwindigkeitsregime das rechts auf dem Bild zwischen dem roten Streifen oben und dem orangenem Streifen unten angezeigt wird. Die aktuelle Geschwindigkeit beträgt hier 278 Knoten. Bei 295 Knoten gerät das Flugzeug in den High Speed Bereich, bei 250 Knoten kommt es zum Stall. Nun können aber gerade in der Nähe von Gewitterzellen schlagartig und unvermittelt sehr heftige Auf- und Abwinde auftreten, die dann zu erheblich höheren Abweichungen in der Geschwindkeit führen. Turbulenzen tragen ihren Teil bei, die Strukturfestigkeit bis an die Belastungsgrenzen und auch darüber hinaus zu fordern.

Inzwischen konnte ich mir selber in einem A330 Vollflugsimulator ein Bild von den Geschehnissen in der Unfallnacht machen. Gemeinsam mit zwei Linienpiloten, die darüber hinaus auch als Ausbilder auf dem A330 tätig sind, haben wir die automatischen Fehlermeldungen und die damit verbundenen Systemausfälle rekonstruiert. Dabei stellten wir fest, dass es in unserem Fall trotz Vorbereitung und in Erwartung auf die anstehenden Probleme, nach dem Ausfall der Pitot-Systeme dem Piloten nicht möglich war, das Flugzeug unter Kontrolle zu halten. Bei dem Versuch traten Kräfte auf, die jenseits der zertifizierten Belastungsgrenzen für die Konstruktion liegen. Mehrfach gerieten wir in einen sogenannten „Spin“ mit extrem hoher Sinkrate. Erschwerend kam hinzu, dass auch die Standby-Instrumente keine ausreichenden Daten mehr lieferten. Alle drei Piloten waren darüber hinaus einhellig der Meinung, dass die Simulation der „schweren Turbulenzen“ keine realitätsnahen Auswirkungen im Simulatorprogramm hatten.

Es ist zu vermuten, dass zum Unfallzeitpunkt im Cockpit die beiden First-Officers mit der Flugdurchführung betraut waren. Die Leiche des Flugkapitän wurde gefunden, er befand sich vermutlich im Crew-Rest-Compartment. Dies würde auch den üblichen Geflogenheiten bei einem solchen Langstreckenflug der Air France entsprechen. Anders als bei anderen Airlines, nimmt dann jedoch der 2. First Officer den Sitz des Kommandanten auf der linken Seite ein. In einem wie immer gearteten Störfall würde es ihm obliegen, das Flugzeug dann zu steuern, zumal sich auch die Standby-Instrumente in seinem direkten Sehfeld befinden.

Auffällig war für uns die Beobachtung, dass die Fehlermeldungen des ECAM in schneller Folge angezeigt werden und somit die Aufmerksamkeit und Kapazitäten des Piloten auf der rechten Seiten voll einnehmen. Gemäss den Airbus-Verfahren obliegt es ihm in einem solchen Fall die Fehelermeldungen abzuarbeiten und ggf. angezeigte Schaltungen vorzunehmen.

Der Einritt eines Stalls und das Abfangen in großer Höhe gehörte jedoch bislang nicht zu den Ausbildungsinhalten, weder bei Air France noch bei Airbus. Erst nach dem Unfall wurden entsprechende Lehrinhalte erarbeitet und sollen nun von allen Besatzungen im Zuge der weiteren Schulung trainiert werden.

So gut wie unmöglich ist es jedoch in unserer Simulation gewesen die A330 im rein mechanischen Backup Modus in dieser Situation (Nacht, – ohne visuelle Referenzen, Gewitter, heftige Turbulenzen) zu stabilisieren. Dieser Zustand trat ein, als alle Computer aufgrund fehlender Daten ausstiegen. Nun konnte die Flugbahn der A330 nur noch mit Hilfe des Trimrades in der Mittelkonsole stabilisiert werden. Dabei folgte eine Stallwarnung der anderen bis zum Aufprall auf der Oberfläche.

Bild3Sequenz102315438Als besonders heikel empfanden wir den Umstand, dass der Ausschlag des Seitenruders in dieser Situation auf dem letzten vom System gemessenen Geschwindigkeitswert entsprechend begrenzt wurde.

Eine spezielle Frage wurde in der Pilotenschaft und der interessierten Öffentlichkeit bereits nach dem Absturz eines Airbus A300 der US-Fluggesellschaft American Airlines am 12. November 2001 in New York heftig diskutiert. In meinem Buch „Das Risiko fliegt mit“ habe ich mich mit diesem Unfall und seinen Einzelheiten beschäftigt. Kurz nach dem Start hatte – so der abschließende Unfallbericht – der Pilot durch Betätigen des Seitenruders „zu einer Überlast auf die Konstruktion beigetragen“. In der Folge brach das Seitenleitwerk ab und die Maschine konnte nicht mehr stabilisiert werden. Sie ging in dem New Yorker Vorort Belle Harbour im Stadtteil Queens nieder.

americana300n14053newyork0111122260 Menschen an Bord und fünf Anwohner kamen bei diesem Unglück ums Leben. Die amerikanische Unfalluntersuchungsbehörde NTSB stellte fest: „Die wahrscheinliche Ursache des Unfalls war der Verlust des Seitenleitwerks als Folge von Lastkräften jenseits des „ultimate design“, die durch die unnötigen und exzessiven Bewegungen der Ruderpedale durch den ersten Offizier hervorgerufen wurden.“ Als beitragende Faktoren hob das NTSB allerdings auch die spezifischen Charakteristika der Airbus A300-600 Seitenruderkonstruktion hervor.

Nach dem Absturz von Air France Flug 447 im Atlantik wird wohl auch dieser Aspekt erneut beleuchtet werden müssen.

Besonders in der französischen Pilotenschaft hat der Unfall und der Umgang des Air France Mangements mit den sich schon bald abzeichnenden Konsequenzen aus der Katastrophe von Flug 447zu heftigen Reaktionen geführt. Air France versucht derzeit sein angeschlagenes Renomée mit einem freiwillig eingeleiteten Sicherheits-Audit aufzupolieren.

Am 29. November 2009 kam es dann zu einem weiteren Zwischenfall mit einer A330 der Air France auf dem Flug von Brasilien nach Frankreich Die Maschine geriet in der Nähe der Absturzstelle ebenfalls in heftige Turbulenzen und verlor schlagartig 1.700 Meter an Höhe. Die Maschine sei aber sicher in Paris gelandet. Ein Passagier berichtete im Internet, das Flugzeug sei seiner Einschätzng nach kurze Zeit ausser Kontrolle gewesen. Die Besatzung habe panisch gewirkt. Der Vorfall wurde inzwischen von der französischen Untersuchungsbehörde bestätigt. Die Ermittler erhoffen sich aus diesem Fall Aufschlüsse für die Untersuchungen zum Absturz von AF 447.

Am 18. Dezember 2009 veröffentlichte die französische Untersuchungskommission BEA einen zweiten Zwischenbericht. Die Lektüre dieses über 90 seitigen Reports läßt allerdings viele Fragen offen und der sachkundige Leser kann sich des Eindrucks nicht erwehren, dass hier insbesondere Air France, Airbus und die französische Aufsichtsbehörde DGAC eine „weiße Weste“ erhalten sollten. Bei der Pressekonferenz deutete der neue Leiter der Behörde an, dass die nunmehr vorgetragenen Erkenntnisse als Abschliessende zu bewerten seien, insbesondere wenn es nicht gelingen würde, die Flugschreiben vom Meeresboden zu bergen. Bezeichnend ist auch der Umstand, dass es keinerlei Sicherheitsempfehlungen in Richtung des Herstellers und der Betreiber der A330 gibt. Stattdessen fordert die Kommission schnellstmöglich die Peilsender an Flugdatenschreibern zu modifizieren, damit man die Geräte zukünftig: 1. länger orten kann (90 Tage) und sie 2. auch auf einer anderen Frequenz ihre Signale senden, damit ihr Auffinden einfacher wird.

Darüber hinaus soll überlegt werden, ob zukünftig Basisdaten wie Flughöhe, Geschwindigkeit und Richtung eines Flugzeuges nicht kontinuierlich via Satelliten übertragen werden, insbesondere wohl auch, um ein Absturzgebiet schneller zu lokalisieren. Völlig unverständlich bleibt die Forderung der BEA bei Fachleuten zukünftig die meterologischen Phänomene in Höhen über 30.000 Fuss zu erforschen, weil man hier angeblich nicht genügend drüber wüßte. Dieses Forderung mutet merkwürdig an, insbesondere weil Flugzeuge bereits seit Mitte der 50iger Jahre in diesen Höhen regelmässig operieren.

Auf die komplexen technischen Zusammenhänge, insbesondere bei den modernen Fly-by-Wire Flugzeugen aus dem Hause Airbus geht der Bericht nicht weiter ein. Auch wurden nach Auskunft der BEA seitens Airbus bisher keine Anstrengungen unternommen die möglichen Konsequenzen der automatisch generierten Fehlermeldungen unter realistischen Bedingungen zu reproduzieren. Dies wäre z.B. an dem sogenannten „Iron-Bird“ des Herstellers möglich, – ist aber nicht beabsichtigt. Über die Erkenntnisse aus dem Vorfall vom 29. November schweigt der Bericht gänzlich.

Offenbar war es der Kommission auch sehr wichtig zu unterstreichen, dass das Flugzeug offenbar nicht in der Luft auseinander gebrochen ist, sondern relativ „intakt“ auf der Meeresoberfläche aufgeschlagen sein soll. Dezidierte Nachfragen, wie dies konkret von Statten gegangen sein soll, wurden nicht beantwortet. Die Rückschlüsse ergäben sich aus den Untersuchungen der Wrackteile und den Obduktionsergebnissen der aufgefundenen Leichen.

Es bleibt daher nur zu hoffen, dass es der Unfalluntersuchung gelingt, die Flugschreiber und weitere Wrackteile vom Meeresboden zu bergen und alle offenen Fragen dann wirklich zu klären. Denn nur wenn die genauen Ursachen und alle Details einer Katastrophe bekannt sind, kann man vermeiden, dass sich ein solcher Unfall, aus den gleichen Gründen, wiederholt.

 

Im Zusammenhang mit dem Absturz wurde ich von verschiedenen Medien um Einschätzungen und Antworten auf Fragen gebeten. Hier einige Links:

Interview mit dem ZDF heute journal spezial am 2.6.2009

Interview mit dem Bayrischen Rundfunk am 3.6.2009

Interview im ZDF Morgenmagazin am 3.6.2009

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

What is 2 + 10 ?
Please leave these two fields as-is:
IMPORTANT! To be able to proceed, you need to solve the following simple math (so we know that you are a human) :-)