Aus der NZZ von heute:
Grundlegender Systemfehler bei der Boeing 737 Max entdeckt
Tests der US-Luftfahrtbehörde decken mehrere Fehlfunktionen auf, die weitere Verzögerungen für den Wiedereinsatz des Flugzeugtyps bedeuten
Andreas Spaeth
Die Boeing 737 Max, seit dem zweiten Absturz im März mit insgesamt 346 Toten weltweit mit einem Startverbot belegt, wird vermutlich nicht vor 2020 wieder fliegen dürfen. Die US-Luftfahrtbehörde FAA hat bei Tests im Juni einen grundlegenden Fehler im Software-Design des Flugzeugs entdeckt hat. Er geht weit über die bis dato bekannten Probleme mit dem automatischen Trimmsystem MCAS hinaus. Diese galten bisher als wichtigste Ursache für die beiden Abstürze der 737 Max in Indonesien im Oktober 2018 und in Äthiopien im März 2019.
Die Hintergründe wurden jetzt durch die «Seattle Times» enthüllt. Die Boeing 737 verfüge zwar über zwei Bordcomputer, die allerdings nicht gleichzeitig genutzt werden und sich gegenseitig kontrollieren, wie es nach dem in der Luftfahrt vorherrschenden Prinzip der Redundanz geboten wäre, sondern abwechselnd. Auf einem Flug einer, auf dem nächsten Flug der andere. Diese Systemarchitektur besteht bei der in ihrer Urform seit den späten 1960er Jahren gebauten Boeing 737 bereits seit der Einführung der Baureihe 737-300 in den 1980er Jahren. Zum Problem wurde sie erst im jüngsten Modell, 737 Max, dessen Schwerpunkt und Aerodynamik sich aufgrund der grösseren und wesentlich weiter vorn an den Tragflächen angebrachten Triebwerke grundlegend verändert haben.
Machtlose Piloten
Die FAA, wegen ihrer zweifelhaften Rolle im Zulassungsprozess der 737 Max und ihrer offensichtlich zu engen Kooperation mit Boeing derzeit starker Kritik ausgesetzt, hatte im Juni drei Piloten in einem Simulator die Unfallszenarien nachfliegen lassen. Zwei waren Militärpiloten, einer ein Linienpilot, und dieser schaffte es nicht, das Flugzeug bei entsprechender Fehlfunktion des MCAS-Systems vor dem Absturz zu retten. Danach hatte die FAA verfügt, dass Boeings bisherige Annahme nicht haltbar sei, gemäss der die Piloten eine wichtige letzte Sicherheitsinstanz bei durch MCAS ausgelösten unbeabsichtigten Ausschlägen des Höhenruders darstellten. Bei den Tests im Juni war auch ein bisher unbekannter Fehler im Mikroprozessor eines Bordcomputers entdeckt worden. Danach machte sich Boeing an die Arbeit, eine neue Software-Architektur für die Flugkontrollsysteme der 737 Max zu entwickeln. Diese wird nun erstmals nach dem sogenannten Fail-safe-Prinzip der Luftfahrt betrieben, das für höhere Sicherheit sorgt. Danach wird jeder der beiden Bordcomputer unabhängig voneinander mit Informationen zweier unterschiedlicher Sensoren, etwa über den Anstellwinkel des Flugzeugs, versorgt, und beide Systeme werden bei jedem Flug genutzt. Verlässliche Daten zur genauen Fluglage sind entscheidend für das ordnungsgemässe Funktionieren des MCAS-Systems. Bereits heute verfügt die 737 Max über zwei solche Sensoren, doch genutzt wurde bisher nur einer davon.
Als eine der möglichen Ursachen des Absturzes in Äthiopien gilt die vermutete Funktionsuntüchtigkeit des einzigen genutzten Sensors vorn am Flugzeug, der möglicherweise durch einen Vogelschlag beim Start beschädigt worden war. Auf die Frage der NZZ, warum die 737 Max bisher lediglich Daten eines der zwei vorhandenen Sensoren für MCAS genutzt habe, gab der Chef der Boeing-Zivilflugzeugsparte, Kevin McAllister, während der Pariser Luftfahrtschau im Juni nur die vage Antwort, man habe die Systemarchitektur nicht komplexer als nötig machen wollen. Unabhängige Sicherheitsexperten bezeichnen die nun vollzogene grundlegende Design-Änderung der Software-Architektur der 737 Max als entscheidenden Fortschritt.
In dem überarbeiteten System sind die unabhängig ermittelten Daten beider Computer und beider Sensoren nötig, um im Falle einer bedrohlichen Situation die Flugzeugnase hochzuziehen und so einen möglichen Absturz zu verhindern. Dafür war MCAS ursprünglich konzipiert worden. Boeing hatte es aber versäumt, sowohl der FAA als auch den Piloten das Vorhandensein und die Funktionsweise des Systems zu erläutern. Bei beiden 737-Max-Unfällen griff dieses in einer unvorhersehbaren und von den Piloten nicht zu beherrschenden Weise in die Flugsteuerung ein. In Zukunft müssen die beiden separaten Systeme übereinstimmende Daten melden, um MCAS zu aktivieren. Dies geschieht nicht bei voneinander abweichenden Daten, dann lässt das System die Piloten ausschliesslich von Hand fliegen.
Wiederzulassung nicht trivial
Unterdessen verursacht die ungewisse Rückkehr der 737 Max in die Luft grosse Unsicherheit bei den Fluggesellschaften und bei Boeing und beginnt sich auch auf die gesamte amerikanische Wirtschaft auszuwirken. Mit weiteren Verzögerungen ist zu rechnen, weil internationale Zulassungsbehörden wie die europäische Easa angekündigt haben, vor einer Wiederzulassung der 737 Max erstmals auch eigene Tests durchführen zu wollen.
www.flugrevue.de
