Wenn der Direktor eines Unternehmens mit 100 Milliarden Umsatz seinen Job verliert, dann schlägt das Wellen, auch über die Branche hinaus. Der CEO von Boeing, Dennis Muilenburg, hat das von der Boeing 737 Max verursachte Desaster letztlich selbst nicht überlebt. Er musste einen Tag vor Weihnachten seinen Platz räumen. Lassen Sie uns die Hintergründe der menschlichen, technologischen und wirtschaftlichen Tragödie um dieses Flugzeug beleuchten.
Die Max ist ein Verkehrsflugzeug mit 200 Sitzen und 6.000 Kilometern Reichweite, das ab März 2017 von Airlines eingesetzt wurde. Einige hundert Maschinen dieses Typs waren im Verkehr, als am 13. März 2019 Flugverbot erteilt wurde, nachdem bei zwei fürchterlichen Crashs fast 400 Menschen ums Leben gekommen waren. Da beide Abstürze ähnlich abliefen, lag es nahe, die Ursache beim Flugzeug zu suchen. Weil aber die betroffenen Airlines in Schwellenländern angesiedelt sind – Indonesien und Äthiopien – wurden auch Stimmen laut, Mängel bei Wartung oder Ausbildung könnten eine Rolle gespielt haben. Immerhin, der Flugzeugtyp war ja im Rest der Welt zwei Jahre lang unfallfrei unterwegs gewesen; 500.000 Flüge waren problemlos verlaufen. Was war geschehen?
Ein Vergleich soll das erläutern. Nehmen wir an, Ihr Auto wäre ein sehr bewährtes Modell, seit Jahren mit nur kleinen Änderungen immer wieder neu aufgelegt. Die letzte Neuheit ist ein umweltfreundlicher, aber stärkerer Motor, maßgeschneidert nach den Wünschen von Fahrer und Gesetzgeber. Der neue Antrieb bringt es jedoch mit sich, dass das Fahrzeug beim Beschleunigen nach rechts tendiert. Das ist nicht akzeptabel, aber Zeit für ein Re-Design von Fahrgestell und Antrieb fehlt. So sucht man in der relativ neuen Kiste mit der Aufschrift „Künstliche Intelligenz“ nach einer Lösung, und findet auch eine.
„Kein Problem Alter, war gestern im Fitnessstudio"
Und die funktioniert so: Das Auto hat einen zentralen Computer, dem Daten wie Geschwindigkeit, Temperatur oder Beschleunigung durch Sensoren gemeldet werden und der dann passende Reaktionen auslöst. In der beschriebenen Situation würde folgende Kommunikation zwischen den Komponenten des Systems ablaufen:
Sensor des Gaspedals (SEN) an Computer (COM): „Hey Mann, schläfst du noch?“
COM an SEN: „Was hast du denn, läuft doch alles wie am Schnürchen!“
SEN an COM: „Sieht so aus, als sitzt die junge Dame am Steuer – hab gerade einen mörderischen Tritt aufs Gaspedal registriert.“
COM an SEN: „Ich kümmer’ mich drum.“
COM an Servolenkung (SER): „Hallo Junge, Arbeit für dich. Gaspedal wurde gerade zum Anschlag getreten, mach dich auf ’ne ordentliche Beschleunigung nach rechts gefasst. Du musst nach links gegenlenken, was das Zeug hält!“
SER an COM: „Kein Problem, Alter, war gestern im Fitnessstudio, Muskeln sind in Topform.“
COM an SER: „OK; ich geb‘ dir dann Bescheid, wenn du loslassen kannst.“
Diese Gespräche laufen natürlich in Millisekunden ab. Sofort greift SER in die Lenkung ein, das Fahrzeug rollt trotz Beschleunigung und starker rechter Tendenz wunderbar geradeaus, und die Fahrerin bekommt von all dem nichts mit, sie telefoniert gerade mit ihrer besten Freundin.
Nun stellen Sie sich vor, der Sensor hat einen schlechten Tag. Ohne dass jemand aufs Gaspedal tritt, gibt er beim Computer Alarm. Alles läuft ab wie zuvor, wieder steuert die Servolenkung voll nach links. Die Fahrerin bekommt einen mörderischen Schreck, lässt ihr Telefon fallen und lenkt geistesgegenwärtig mit aller Kraft dagegen. Gut, dass sie so schnell reagiert hat, sie hätte gegen einen Baum fahren können.
Es ist nicht schön und sehr gefährlich, wenn uns jemand so mutwillig in die Lenkung greift.
Attitude – Überleben mit der richtigen Haltung
Ein Auto kann so langsam fahren wie es will – oder wie es muss. Beim Flugzeug ist das anders: Es braucht immer eine minimale Geschwindigkeit, um zu fliegen. Wird es langsamer, dann hört es auf, ein Flugzeug zu sein und hat dann hoffentlich gerade die Landebahn unter den Rädern.
Aber Speed ist nicht das Einzige, was den Flieger in der Luft hält, der Pilot muss die Nase (des Flugzeugs) in einem bestimmten Winkel zur Horizontalen halten, er muss dem Flugzeug die richtige „Attitude“ geben. Zu tief führt zum Sturzflug, zu hoch führt dazu, dass die Luft nicht mehr so wie gewollt um die Flügel strömt und damit ihre tragende Wirkung verliert. Diese Situation heißt „Stall“ (reimt sich auf „Mall“ wie in „Shopping Mall“), und jedem Flugschüler wird, bevor er das erste Mal seine Cessna anfassen darf, eingebläut, dass er so etwas vermeiden muss wie der Teufel das Weihwasser.
Dass dieses Thema mehr ist als eine rhetorische Warnung für neue Piloten, das zeigte sich auf tragische Weise im Juni 2009. Ein Airbus 330 der Air France geriet auf seinem Flug von Rio nach Paris in einen Stall, und die Piloten waren nicht in der Lage, die Nase des Fliegers nach unten zu drücken. So fiel die Maschine minutenlang aus über zehn Kilometern Höhe in den Atlantik, und alle an Bord kamen ums Leben.
Bei der Entwicklung der Boeing Max schenkte man der Verhinderung von Stalls besondere Aufmerksamkeit, und das aus gutem Grund. Die Max gehört zur Spezies der Boeing 737, die vor mehr als einem halben Jahrhundert entwickelt wurde, als man noch mit Zeichenbrettern und Rechenschiebern arbeitete. Das Design war ein genialer Wurf, es war nicht zu verbessern und mehr als 10.000 Exemplare wurden bis heute gebaut. Was in der Zeit aber durchaus weiterentwickelt wurde, waren Elektronik und Triebwerke. Es gab jetzt Turbofans, die weniger Sprit verbrauchten und leiser waren.
So gab man der 737 neue Triebwerke und nannte sie Max. Die Airlines rissen Boeing die neue Maschine mit dem extrem niedrigen Verbrauch und der vergrößerten Reichweite aus der Hand. Die Sache hatte aber einen Haken: Die neuen Turbofan-Motoren hatten einen größeren Durchmesser und passten nicht mehr unter die Tragflächen der 737. Schon die alten, schlankeren Triebwerke hingen verdammt knapp über dem Boden; für die neuen musste man sich etwas einfallen lassen. Und dem Vogel längere Beine geben, das hätte fast bedeutet, ein ganz neues Flugzeug zu bauen.
So konstruierte man Halterungen, dank derer die Triebwerke jetzt weiter vor die Tragfläche und höher positioniert wurden. Das hatte aber Folgen für die Aerodynamik. Das Flugzeug war ja jetzt mit voluminöseren Triebwerken unterwegs, sozusagen mit Körbchengröße C und nicht mehr mit A, so wie früher. Die Angriffsfläche für den Fahrtwind wurde deutlich größer und nach vorne verschoben. Auch der Kraftvektor der Motoren hatte sich geändert. Das hatte zur Folge, dass insbesondere im Steigflug die Nase des Fliegers stark nach oben gedrückt wurde. Dem aufmerksamen Leser kommt jetzt sofort das Thema Stall in den Sinn, aber auch die Ingenieure von Boeing dachten daran.
Software statt Aerodynamik
Ein Pilot, der von der alten 737 auf die neue Max umsteigt, könnte beim Start sein blaues Wunder erleben. Um etwas Derartiges zu vermeiden, müssen Piloten prinzipiell auf jeden Typ neu eingeschult werden und ein entsprechendes „Type Rating“ erwerben. Genau das aber wollten die Airlines vermeiden, denn das kostet Geld und hält die Piloten wochenlang von der Arbeit ab. Boeing musste eine Max liefern „die sich genauso flog wie die klassische 737“, so dass kein extra Type Rating nötig wäre. Und man griff auch hier in die Kiste mit der Aufschrift „Künstliche Intelligenz“.
Man installierte eine Software im zentralen Computer, welche dafür sorgt, dass die Nase des Fliegers nach unten gedrückt wird, sobald der Anstellwinkel über eine kritische Höhe ansteigt. Diese Software, genannt MCAS (Maneuvering Characteristics Augmentation System), sorgt dafür, dass das Steuer nach vorne gedrückt und die Trimmung auf „Nase runter“ gestellt wird. Das Signal für diese Aktion erhält der Computer von einem Sensor, der kontinuierlich den Anstellwinkel misst. Das ist so eine Art verchromtes Windfähnchen, das außen am Flugzeug angebracht ist, etwa auf Höhe der Füße der Piloten.
Wenn also beim Start die Nase droht, zu hoch zu gehen, dann kommt es zu einem Dialog zwischen Computer, Sensor und Autopiloten, ähnlich wie im Beispiel mit dem Auto, und der Pilot im Cockpit sagt zum Co: „Die fliegt ja genauso wie die Alte, probier du mal.“ So geschah es in tausenden von Fällen in hunderten von Maxen im Verlauf zweier Jahre dank der installierten MCAS-Software.
Anders jedoch lief es in den beiden erwähnten fatalen Flügen ab. So wie beim geschilderten hypothetischen Störfall im Auto gab der Sensor (tatsächlich einer der beiden Sensoren) kurz nach dem Start in geringer Höhe falsches Signal. Der Computer verstand „Nase ist zu hoch“ und gab den Befehl zum Gegensteuern, obwohl das Flugzeug richtig flog. Die Piloten erkannten natürlich sofort, dass die Maschine in einen bedrohlichen Sinkflug gedrückt wurde, und kämpften dagegen an. Aber ein ums andere Mal griff der Computer ein, bis die Maschinen dann am Boden beziehungsweise im Meer zerschellten. Was für ein schreckliches Ende für die Crew und die Passagiere. Ein defektes Windfähnchen am Flugzeugrumpf fällte das Urteil über hunderte von Menschenleben.
Macht eure Hausaufgaben
Ein Flugzeug fliegt nicht dank Software, sondern dank Luftströmung um die Tragflächen. Schwächen in der Aerodynamik können nicht durch Computer-Tricks korrigiert werden. Das ist Pfusch, und ich bin sicher, dass die Boeing-Ingenieure das wesentlich besser wissen als ich. (Es gibt Fighter, die aerodynamisch instabil sind und nur dank Computer in der Luft bleiben. Aber das ist eine andere Sache, das ist Absicht).
Aber Airbus hatte mit seiner A320neo Boeing gewaltig unter Druck gesetzt. Boeing hatte verschlafen, rechtzeitig mit der Entwicklung eines Nachfolgers der 737 zu beginnen. So hat man dieses alte Design dann bis zum letzten Tropfen ausgequetscht. Man hat ihm längere Flügel verpasst und Winglets, hat den Rumpf wieder und wieder verlängert und schließlich die beschriebenen Triebwerke installiert.
Schon die Verlängerung des Rumpfes aber hatte das „Ende der Fahnenstange“ klar angezeigt, denn es kam jetzt vermehrt zu „Tailstrikes“. Der lange Rumpf und die kurzen Beine passten nicht zusammen und so schrammte bei der „Rotation“ das Heck am Boden, also dann, wenn das Flugzeug – mit dem Gewicht noch auf den Rädern – die Nase zum Abheben etwas zu hoch nahm. Und auch das sollte durch Software korrigiert werden.
Dass Boeing kein ganz gutes Gewissen hatte, erkennt man auch daran, dass die Piloten der Airlines nicht über die Existenz von MCAS informiert wurden. Nun gibt es jede Menge anderer Software im Flieger, über die der Pilot nichts weiß und auch gar nichts wissen will. Die soll ihre Arbeit im Hintergrund erledigen und das Cockpit in Ruhe lassen. Immer mehr Aufgaben wurden im Lauf der Zeit an Computer delegiert, und die statistisch hohe Sicherheit der Airliner zeigt, dass das so auch gut ist. Aber MCAS war des Guten zu viel. Das letzte, was man dem Piloten aus der Hand nehmen darf, ist seine Autorität über das Höhenruder, wenn der Flieger nur ein paar Meter über dem Boden ist.
Es heißt, dass ein Crash selten ein singuläres Ereignis ist, sondern meist das Resultat einer Kettenreaktion vorheriger Fehlentscheidungen. Diese können nur Minuten zurückliegen oder aber auch Jahre. Letzteres war der Fall bei der Max. Der primäre Fehler war die Missachtung der goldenen Eishockey-Regel: „Skate to where the puck is going, not where it has been – Fahr da hin, wohin die Scheibe läuft, nicht wo sie gewesen ist.“ Die Scheibe lief hin zu den sparsameren Turbofan-Triebwerken, die das Flugzeug nicht nur durch Rückstoß anschieben, sondern durch große Mengen an Luft, die von einem „Ventilator (Fan)“ nach hinten gepustet wird. So ein Ventilator aber hat einen großen Durchmesser, und dafür muss Platz sein.
Beim Jumbo, bei der 777 und dem Dreamliner war der nötige Platz unter der Tragfläche vorhanden, nicht aber bei der 737. Die aber ist Boeings einziger Kandidat für die Kurz- und Mittelstrecke, dem profitabelsten Geschäftsfeld in der Fliegerei! Man hatte verschlafen, war jetzt in die Ecke gedrängt, hat in die Trickkiste gefasst und auch mal die Fünf gerade sein lassen.
Bleibt noch eine andere Frage zu beantworten: Könnte es auch ein Pilotenfehler gewesen sein? Es gab Kommentare, die Piloten hätten die „Trim Cutout Switches“ nicht betätigt, also die Schalter, mit denen man dem unheilvollen Mechanismus einfach den Strom gekappt hätte. Hatten vielleicht auch Lion Air und Ethiopian ihre Hausaufgaben nicht gemacht? Eine halbe Million problemloser Flüge der Max im Rest der Welt sind immerhin ein starkes Argument. Allerdings ist dieses Thema eine heikle Angelegenheit. Wenn aus den USA mit dem Finger auf Unzulänglichkeiten in der dritten Welt gezeigt wird, dann riecht das nach „White Supremacy“. Daher wurde dieses Thema nie laut diskutiert.
Wie geht es jetzt weiter? Die Entlassung von Dennis Muilenburg war ein Paukenschlag, hat aber kein Problem gelöst. Hunderte von Max stehen derzeit herum, einige nagelneu, andere schon mit Flugerfahrung, und warten auf grünes Licht. Das müsste von der FAA (Federal Aviation Administration) kommen, die bei der ganzen Misere nicht unschuldig ist. Sie hatte beim Zertifizierungsprozess der Max zu viel Verantwortung an Boeing übertragen und lässt nun, nachdem das Kind in den Brunnen gefallen ist, extreme Vorsicht walten.
Mein Tipp an FAA und Boeing: Schmeißt das ganze MCAS raus und verlangt für die Max ein Type Certificate von den Piloten. Das wäre eine saubere Lösung.
Hans Hofmann-Reinecke lebt in Kapstadt. Er studierte Physik in München und arbeitete danach 15 Jahre in kernphysikalischer Forschung. Er ist selbst Pilot. In den 1980er Jahren war er für die Internationale Atomenergiebehörde (IAEA) in Wien als Safeguards Inspektor tätig. Später war er als freier Berater für das Management industrieller technisch-wissenschaftlicher Projekte tätig. Dieser Beitrag erscheint auch auf seinem Blog www.think-again.org.
