Luftfahrt

Editorial: Seit einem Jahr am Boden

Hard­ware- oder Soft­ware-Update: Was braucht die Boeing 737 MAX, um wieder fliegen zu dürfen?

Boeing 737 MAX Boeing 737 MAX
picture alliance/Ted S. Warren/AP/dpa
Seit (fast) einem Jahr ist die Boeing 737 MAX nun am Boden, weil ein Soft­ware-Fehler bei der Flug­lagen­steue­rungs­soft­ware MCAS zu zwei tödli­chen Abstürzen führte: Es reicht, dass ein einzelner Sensor falsche Mess­werte liefert, um das Flug­zeug auf einen fatalen Kurs nach unten zu schi­cken. Da dieser Sensor vorne am Flug­zeug sitzt und dort zum Beispiel durch Vogel­schlag leicht beschä­digt werden kann, ist der Verzicht auf Redun­danz an dieser Stelle komplett unver­zeih­lich. Bei der Suche nach den Ursa­chen, wie es ein derart grober Fehler über­haupt ins finale Release schaffen konnte, wurde dann eine Menge Schlam­perei und unge­sunder persön­licher Verstri­ckungen zwischen dem Flug­zeug­hersteller und der Aufsichts­behörde offenbar.

Drän­gelten die Airlines anfangs sehr, dass Boeing die 737 MAX möglichst schnell wieder in die Luft bekommt, hat sich die Situa­tion seit Februar durch die neue Virus­erkran­kung Covid aber­mals dras­tisch geän­dert: Die Luft­hansa-Gruppe über­legt, zum Sommer­flug­plan die Hälfte aller Verbin­dungen zu strei­chen. Auch bei vielen anderen Airlines gibt es derzeit Über­kapa­zitäten. Sie sind daher sogar froh, dass die 737 MAX derzeit auf Kosten Boeings am Boden steht, nicht auf ihre Kosten.

Jedoch wird die Zeit kommen, an dem Covid entweder besiegt worden ist oder so große Teile der Bevöl­kerung infi­ziert hat, dass der Rest nun dank "Herde­nim­munität" geschützt ist, hoffent­lich natür­lich ersteres. Ab dann werden die Leute auch wieder mehr fliegen und spätes­tens dann wird auch die MAX benö­tigt.

Soft­ware- statt Hard­ware-Update

Boeing 737 MAX Boeing 737 MAX
picture alliance/Ted S. Warren/AP/dpa
Stark verwun­dert bin ich persön­lich jedoch darüber, dass es Boeing nach Medi­enbe­richten anstrebt, die 737 MAX rein über ein Soft­ware-Update rezer­tifi­ziert zu bekommen. Der betrof­fene AOA-Sensor wird zwar in allen Boeing-737-Modellen, so auch der 737 MAX, bereits doppelt einge­baut. Nur: Auch dann, wenn die Flug­soft­ware die Daten von zwei Sensoren auswertet, ist nicht sicher­gestellt, dass sie richtig reagiert. Denn wenn ein Sensor falsche Daten liefert und der andere rich­tige, wie soll dann die Soft­ware wissen, welchem Sensor sie vertrauen kann?

Nun könnte Boeing auf die Idee kommen, im Falle wider­sprüch­licher Sensor­werte das spezi­elle MCAS einfach abzu­schalten. Schließ­lich war MCAS erst bei der MAX dazu gekommen und es dient nur dazu, in beson­ders ungüns­tigen Flug­lagen rettend einzu­greifen. Alle 737-Modelle davor flogen und fliegen auch ohne MCAS sicher. Nur: Die 737 MAX kann - anders als die Vorgän­germo­delle - aufgrund der von den großen Trieb­werken verän­derten Aero­dynamik alleine durch Pilo­tenfehler in eine Flug­lage gebracht werden, die eben­falls in einem tödli­chen Sink­flug endet. Mit MCAS droht also der Absturz, ohne MCAS auch.

Das Konkur­renz­modell Airbus A319/A320/A321 besitzt hingegen von Anfang an eine noch viel weiter­gehende Flug­lagen­steue­rung als das MCAS von Boeing: Im Zwei­fels­fall über­steuert der Computer sogar Eingaben der Piloten, wenn diese zu gefähr­lichen Flug­zuständen führen würden. Nur verbaut Airbus von Anfang an drei AOA-Sensoren, nicht nur zwei. Fällt einer der drei aus, kann die Soft­ware den defekten Sensor einfach isolieren, denn dessen Mess­wert weicht von dem der anderen beiden ab.

Zwar kam es auch bei Airbus-Flug­zeugen schon dazu, dass beim Durch­fliegen einer Gewit­terzone mehrere Sensoren gleich­zeitig vereisten und dadurch ausfielen, sodass sich die Flug­lagen­steue­rung abschal­tete. In einem dieser Fälle, auf Flug AF 447 von Rio de Janeiro nach Paris, schafften es dann die Piloten, das Flug­zeug durch unun­terbro­chenes starkes Hoch­ziehen genau in den über­zogenen Flug­zustand zu bringen, in dem der Boden bzw. die Meeres­ober­fläche eben­falls unwei­gerlich immer näher kommt.

Der Einbau eines dritten Sensors erscheint unaus­weich­lich

Aus dem kombi­nierten Wissen aus den beiden Boeing-737-MAX-Abstürzen und dem Crash von Flug AF 447 ergibt sich, dass es ziem­lich unver­antwort­lich ist, darauf zu vertrauen, dass die Piloten nach einem Sensor­ausfall die rich­tigen Entschei­dungen treffen. Die Gefahr ist einfach zu groß, dass die Piloten durch die Fehler­meldungen des Flug­compu­ters und die wider­sprüch­lichen Anzeigen der Instru­mente im Cockpit über­fordert werden und dann in Panik erneut wieder genau die falschen Entschei­dungen treffen.

Von daher führt m. E. kein Weg an dem Einbau eines dritten Sensors vorbei. Dieses Hard­ware-Upgrade wäre mit erheb­lichen zusätz­lichen Verzö­gerungen und Kosten für Boeing verbunden, müsste doch der Rumpf an einer Stelle aufge­schnitten und der Sensor dort einge­baut werden. Anschlie­ßend müssten zumin­dest ein Teil der für die Zulas­sung nötigen Belas­tungs- und Flug­tests wieder­holt werden, um sicher­zustellen, dass die MAX auch nach diesen Verän­derungen weiterhin sicher fliegt.

Nur: Die euro­päische Flug­aufsicht EASA hat bereits halb­öffent­lich zu erkennen gegeben, dass sie das Hard­ware-Upgrade für nötig hält. Die chine­sische Flug­aufsicht, die nach dem zweiten Absturz einer 737 MAX als erste diesem Flug­zeugtyp die Zulas­sung entzog, bevor dann EASA und die US-ameri­kani­sche FAA folgten, dürfte sogar noch kriti­scher sein. Das rigo­rose Vorgehen gegen Covid, wozu ganze Groß­städte abge­riegelt und Neujahrs­ferien erheb­lich verlän­gert wurden, zeigt auch, dass die chine­sische Führung der Bewah­rung von Menschen­leben inzwi­schen höhere Prio­rität einräumt als kurz­fris­tigen wirt­schaft­lichen Inter­essen und Frei­heits- oder Daten­schutz­rechten. Eine Nicht­zulas­sung der 737 MAX in China würde aber faktisch einem Flug­verbot in großen Teilen Asiens gleich­kommen: Etliche weitere asia­tische Länder würden sich voraus­sicht­lich eben­falls dem Flug­verbot Chinas anschließen. Und damit wären dann nicht nur Starts und Landungen in diesen Ländern verboten, sondern auch deren Über­flug.

Mal sehen, ob wir nächstes Jahr den Jahrestag des zwei­jährigen Groun­dings der Boeing 737 MAX eben­falls noch erleben.

Weitere Edito­rials