Der Boeing-Unfall war ungewöhnlich. Wo war der tödliche Fehler?

1. Ausgehend vom EgyptAir-Absturz

Xiaobai: Die EgyptAir ist abgestürzt. Was ist passiert?

Dadong: Am Morgen des 10. März Ortszeit stürzte der Flug ET302 der Ethiopian Airlines mit 149 Passagieren und 8 Besatzungsmitgliedern an Bord auf dem Weg von Addis Abeba nach Nairobi ab. EgyptAir erklärte, die Passagiere stammten aus 33 Ländern, es habe bei dem Unglück keine Überlebenden gegeben und unter den Opfern seien acht Chinesen gewesen.

Die Absturzstelle in der Nähe von Bishoftu, Addis Abeba, Äthiopien

Xiaobai: Wie konnte das passieren? Ist Ethiopian nicht eine der angesehensten Fluggesellschaften Afrikas mit einer hervorragenden Sicherheitsbilanz und den neuesten Flugzeugmodellen auf dem Kontinent?

Dadong: Bei dem Flugzeug handelt es sich diesmal um eine Boeing 737MAX8, ein neues Flugzeug, das erst vor wenigen Monaten ausgeliefert wurde.

Xiaobai: Boeing 737MAX8? Wenn ich mich recht erinnere, handelt es sich nicht um dasselbe Modell wie das, das am 29. Oktober letzten Jahres beim Lion-Air-Absturz in Indonesien beteiligt war.

Dadong: Ja, es war das gleiche Modell und die Abstürze ereigneten sich nur wenige Minuten nach dem Start.

Xiaobai: Es ist so beängstigend. Ich habe in letzter Zeit zu viele Nachrichtenberichte über Flugzeugabstürze gesehen. Jetzt traue ich mich nicht mehr, ein Flugzeug zu nehmen. Der Schatten in meinem Herzen ist so groß.

II. Die ganze Geschichte des großen Gesprächs

Xiaobai: Bei den beiden an den Unfällen beteiligten Flugzeugen handelte es sich jeweils um Modelle vom Typ Boeing 737MAX. Das kann kein Zufall sein. Die Sicherheitsprobleme dieses Modells sollten von den Menschen ernst genommen werden.

Dadong: Einige Analysten glauben, dass die Boeing 737MAX mit einem automatischen Anti-Stall-System, nämlich dem „Maneuvering Characteristics Augmentation System“, ausgestattet ist, das die Unfallursache ist. Je höher die Nase eines Flugzeugs fliegt, desto größer ist der Anstellwinkel (der Winkel zwischen dem Luftstrom und der Flügelsehne). Wenn der Anstellwinkel einen bestimmten Bereich überschreitet, besteht die Gefahr, dass das Flugzeug ins Trudeln gerät. Sobald das automatische Anti-Stall-System des MAX 8 feststellt, dass das Flugzeug ins Trudeln geraten ist, kann es ohne Eingreifen des Piloten die Steuerung des Flugzeugs übernehmen und das Flugzeug mit dem Kopf nach unten fliegen lassen, um den Strömungsabriss zu beenden.

Absturz des Lion Air JT610

Xiaobai: Sieht das nicht nach einem großartigen System aus?

Dadong: Boeings Konzept zum Strömungsabrissschutz für Flugzeuge ist relativ umfassend. Einerseits kann der Prozessor im Strömungsabrissschutzsystem des Flugzeugs mit dem Flugsteuerungscomputer des Flugzeugs verbunden werden, um das Flugzeug im Strömungsabriss automatisch zu steuern und zu schützen. Andererseits ermöglicht es dem Piloten auch, manuell einzugreifen und manuell zu fahren. Tatsächlich können diese beiden Links jedoch Lücken aufweisen.

Xiaobai: Was?

Dadong: Obwohl der Pilot durch manuelle Befehlseingaben eingreifen kann, wenn das Überziehschutzsystem des Flugzeugs den Sinkflug steuert, ereignete sich der Vorfall zu plötzlich und es fehlte an vorheriger Spezialschulung und Warnungen. Für den Piloten, der angesichts der Situation verwirrt ist, ist es schwierig, die richtigen Maßnahmen zu ergreifen, um das Risiko rechtzeitig zu beseitigen. Auch eine korrekte Beratung oder Entsorgungsempfehlung ist durch die uninformierte Bodenverwaltung nicht möglich.

Xiaobai: Heben Sie Ihre Hand und stellen Sie eine Frage. Als das Überziehschutzsystem auslöste und das Flugzeug zum Sinkflug brachte, griff der Pilot manuell ein. Welche Wahl trifft das Stallschutzsystem zu diesem Zeitpunkt? Hat die Piloteneingabe Vorrang? Oder hat die Steuerungssoftware des Stallschutzsystems Vorrang? Oder beides parallel?

Dadong: Gute Frage. Selbst im manuellen Flugmodus kann das Anti-Stall-System der Boeing 737 MAX dazu führen, dass das Flugzeug bis zu 10 Sekunden lang abstürzt. Während dieser Zeit ist es für den Piloten schwierig, das Flugzeug zu kontrollieren. Auch wenn der Pilot die Nase des Flugzeugs manuell nach oben zieht, wiederholt die Nase den Sinkvorgang nach 5 Sekunden automatisch.

Xiaobai: Warum ist es automatisch wieder runtergegangen?

Dadong: Dies zeigt, dass das Anti-Stall-System des Flugzeugs auch dann noch aktiviert war, wenn sich das abgestürzte Flugzeug im Sturzflug befand und der Pilot den manuellen Flugmodus gewählt hatte. Als sich der Unfall ereignete, dürfte der Pilot nicht die volle Kontrolle über das Flugzeug gehabt haben.

Xiaobai: Warum besteht das Stallschutzsystem dann darauf, fälschlicherweise zu glauben, dass sich das Flugzeug in einem „Stall“-Zustand befindet? Warum ignoriert das Stallschutzsystem die manuellen Betriebsanweisungen des Piloten?

Dadong: An dem abgestürzten Flugzeug befinden sich drei Anstellwinkelsensoren. Das Design des Steuerungsprogramms des automatischen Strömungsabrissschutzsystems von Boeing ist sehr merkwürdig. Die Logik dahinter ist, dass das automatische Schutzsystem aktiviert werden kann, solange der Hauptsensor erkennt, dass der Anstellwinkel des Flugzeugs zu groß ist (die Nase zu weit nach oben zeigt) und die Gefahr eines Strömungsabrisses besteht.

Xiaobai: Wenn nur der Hauptsensor ausfällt, führt das dann nicht zum Ausfall des gesamten Systems?

3. Schwerwiegende Software-Designfehler

Xiaobai: Aufgrund von Konstruktionsfehlern im Flugzeugsystem sind so viele unschuldige Menschenleben verloren gegangen und unzählige Familien trauern.

Dadong: Erinnern Sie sich noch an die Nachrichten über das Verschwinden des Air-France-Flugzeugs am 1. Juni 2009?

Xiaobai: Das ist zehn Jahre her, ich kann mich wirklich nicht daran erinnern. Bitte geben Sie mir einen Rat.

Dadong: Da das Pitotrohr, das die Fluggeschwindigkeit des Flugzeugs misst, eingefroren war, gab es keine Fluggeschwindigkeitsmessung und das Autopilotsystem wurde sofort abgeschaltet.

Xiaobai: Dann muss der Pilot es bedienen.

Dadong: Die beiden Piloten waren damals in großer Panik, ihre Koordination scheiterte und sie hörten die vom Flugzeug ausgegebene Überziehwarnung nicht. Einer steuerte das Flugzeug beim Steigflug, während der andere es beim Sinkflug steuerte. Das Flugzeugsystem nahm keine automatischen Korrekturen vor, was letztendlich zur Tragödie führte.

Die Situation bei der Bergung der Blackbox des abgestürzten Air France-Flugzeugs

Xiaobai: Warum kämpft das Flugzeugsystem dieses Mal nicht um die Kontrolle über das Flugzeug?

Dadong: Am 1. Januar 2002 befanden sich ein Frachtflugzeug und ein russisches Flugzeug im deutschen Luftraum auf Kollisionskurs, doch das Bodenkontrollpersonal bemerkte dies nicht. In der Luft waren die beiden Flugzeuge weniger als eine Minute voneinander entfernt, als das Kollisionsvermeidungssystem TCAS der Flugzeuge eine Warnung ausgab. Das TCAS-System des Frachtflugzeugs wies den Piloten an, zu sinken, während das TCAS-System des russischen Flugzeugs den Piloten anwies, zu steigen.

Xiaobai: Die beiden Luftkollisionsvermeidungssysteme geben aufeinander abgestimmte Anweisungen aus, die den Unfall verhindern können.

Dadong: Doch unglücklicherweise stellte der Bodenlotse fest, dass die beiden Flugzeuge kurz vor einer Kollision standen. Er nahm Kontakt mit der Besatzung des russischen Flugzeugs auf. Ohne zu wissen, dass das Antikollisionssystem einen Steigbefehl ausgegeben hatte, gab er dem Piloten den entgegengesetzten Befehl und forderte diesen auf, zu sinken. Der russische Pilot befolgte schließlich die Anweisungen der Flugsicherung und begann mit dem Sinkflug.

Xiaobai: Wenn ich dem TCAS-System statt dem Controller vertraut hätte, wäre nichts passiert.

Dadong: Nach diesem Vorfall müssen Piloten auf der ganzen Welt den Anweisungen des Luftkollisionsvermeidungssystems Vorrang vor den Anweisungen der Flugsicherung geben.

Xiaobai: Die aktuellen Sicherheitsprobleme werden durch Designfehler in der Softwarelogik selbst verursacht, was ein Problem der passiven Sicherheit darstellt. Wenn ein Hacker in das Flugzeugsteuerungssystem eindringt, kann jede Verbindung einen schweren Unfall verursachen.

Dadong: Was Sie gesagt haben, erinnert mich daran, dass ausländische Medien kürzlich berichteten, ein „Cybersicherheitsexperte“ habe aus Langeweile auf einem Überseeflug versehentlich das Bordunterhaltungssystem kaputt gemacht. Er kopierte und fügte „unermüdlich“ eine lange Zeichenfolge auf dem Bildschirm ein, darunter Wörter wie „fdkfdkfdkfdkfdhhhhhhhhh“. Kurz darauf fror die App ein.

Bordunterhaltungssystem im Flugzeug

Xiaobai: Ich hatte solche Angst, als ich das hörte. Was passiert, wenn das Unterhaltungssystem auf diese Weise missbraucht wird und den normalen Flug beeinträchtigt?

Dadong: Glücklicherweise hat diese Welle von Operationen keinen Schaden angerichtet, aber Branchenexperten sagten, dass Recherche zwar ein guter Weg sei, um Sicherheitsverbesserungen voranzutreiben, es aber eine Grenze zwischen Rechercheverhalten und Hackerverhalten gebe, nämlich dass man die möglichen Folgen seiner Handlungen kenne, aber nicht rechtzeitig damit aufhöre.

Xiaobai: Auch wenn Sie unbedingt testen möchten, ob das Bordunterhaltungssystem Schwachstellen aufweist, sollten Sie zumindest warten, bis sich niemand mehr im Flugzeug befindet.

IV. Sicherheitsinformationen Warnungen und Inspirationsvorschläge

Xiaobai: Der Vorfall ist passiert, wir müssen lernen, Lehren daraus zu ziehen. Haben wir irgendwelche Präventivmaßnahmen für diesen Vorfall?

Dadong: Wenn sich ein ähnlicher Unfall wiederholt, reicht es für die Piloten möglicherweise nicht aus, den „Anstellwinkeldatenfehler“ einfach gemäß dem Betriebshandbuch zu beheben. Um die volle Kontrolle über das Flugzeug zu erlangen, müssen die Piloten möglicherweise sofort das automatische Überziehschutzsystem ausschalten.

Xiaobai: Piloten sollten besser ausgebildet werden, damit sie auf solche Risiken vorbereitet sind.

Dadong: Darüber hinaus könnte Boeing bei der Aktualisierung des automatischen Überziehschutzsystems seiner 737 MAX Konstruktionsfehler bei der Sensorsicherheitsmarge und der Überprüfung der Datenauthentizität sowie bei der Priorität manuell eingegebener Befehle der Piloten beheben.

Xiaobai: Das ist in der Tat sehr wichtig.

Dadong: Hersteller ziviler Flugzeuge sollten dies als Warnung verstehen und auf die Entwicklung automatischer Steuerungs- und Überziehschutzsysteme achten, um Sicherheitsrisiken und logische Lücken in der Softwareentwicklung zu vermeiden.

Xiaobai: Aber wenn man diese Vorfälle betrachtet, ist es sehr verwirrend, wann Piloten der Software vertrauen und wann sie die Kontrolle über das Flugzeug selbst übernehmen sollten. Die Folgen von Unachtsamkeit können verheerend sein.

Dadong: Das stimmt. Daher besteht das größte Tabu bei der Entwicklung von Software darin, abnormale Modi oder Fehlermodi nicht gründlich und angemessen zu berücksichtigen. Im Vergleich zu Airbus weist Boeing Softwaremängel in der Steuerungsprogrammierung des Stallschutzsystems auf.

Xiaobai: Die schlimmsten Fehler im Softwaredesign sind!

Dadong: Boeing hat eine Mitteilung in der Betriebsanleitung herausgegeben: „Wir haben einen Konstruktionsfehler im Flugzeug entdeckt.“ Wir wissen derzeit nicht, wie wir das Problem beheben können, aber es besteht keine Notwendigkeit, das Flugzeug am Boden zu halten. Die Störungsbehebungsanleitung haben wir bereits an die Piloten versandt.

Xiaobai: Was zur Hölle ist das? Ich möchte das Modell 737MAX8 nicht mehr nehmen. Es ist zu riskant.

Dadong: Ich möchte Ihnen eine gute Neuigkeit mitteilen. Um die Flugsicherheit zu gewährleisten, verlangt die Zivilluftfahrtbehörde von inländischen Fluggesellschaften, den kommerziellen Betrieb von Flugzeugen des Typs Boeing 737-8 vor 18:00 Uhr am 11. März 2019 einzustellen.

Xiaobai: Das ist großartig. Daumen hoch für die Zivilluftfahrtbehörde der Volksrepublik China.