Analyse von Flugunfällen hinsichtlich aufgetretener Fehlerketten und daraus abgeleitete Anforderungen an ein Pilotenassistenzsystem

Inhaltsverzeichnis

0 Abkürzungen

1 Einführung
1.1 Historische Entwicklung
1.2 Aktuelle Problematik
1.2.1 Automatisierung
1.2.2 Kognitive Assistenzsysteme

2 Definitionen und Bewertungskriterien
2.1 Definitionen
2.2 Bewertungskriterien

3 Darstellung und Analyse der Unfälle
3.1 Vorgehensweise
3.2 Unfall-Hergänge, Analysen und Schlussfolgerungen
3.2.1 Aeroperu Flight 603 am 02.10.96
3.2.2 Lufthansa Flight 2904 am 14.9.1993
3.2.3 American Airlines Flight 965 am 20.12.95
3.2.4 Aeroflot Flight SU593 am 22.3.1994
3.2.5 Avianca Airlines Flight 052 am 25.01.1990
3.2.6 Birgen Air Charterflug am 6.2.1996
3.2.7 British Midland Airways am 8.1.1989
3.2.8 China Airlines Flight 006 am 19.2.1985
3.2.9 China Airlines Flight 140 am 26.4.1994
3.2.10 Korean Air Flight 801 am 6.8.1997

4 Geforderte Funktionalitäten
4.1 Auswertung der Flugunfallanalysen
4.2 Erläuterungen und Ergänzungen zu den geforderten Funktionalitäten
4.2.1 Gruppe 1: Hilfe bei Fehlersuche und –behebung
4.2.2 Gruppe 2: Hilfe bei Erfüllung der Flugaufgabe
4.2.3 Gruppe 3: Erweiterte Notfallautomatiken

5 Schematisches Assistenzsystem
5.1 CAMA
5.2 Entwicklung des schematischen Assistenzsystems
5.2.1 Komponenten
5.2.2 Gesamtsystem

6 Zusammenfassung und Ausblick

7 Literaturverzeichnis

8 Abbildungs- und Tabellenverzeichnis

0 Abkürzungen

Abbildung in dieser Leseprobe nicht enthalten

1 Einführung

1.1 Historische Entwicklung

Flugunfälle gehören zum Fliegen, seit der erste Mensch sich mit einem selbstgebauten Apparat in die Luft erhob. Otto Lilienthal stürzte nach ca. 2500 Gleitflügen tödlich ab. Im zweiten Weltkrieg wurden Flugzeuge bereits in Massenproduktion gefertigt. Trotzdem gingen mehr Flugzeuge durch Flugunfälle verloren, als durch Feindeinwirkung.

Einer Untersuchung über Unfälle von kommerziell genutzten Passagiermaschinen mit Strahlantrieb zufolge wurden von Anfang 1958 bis Ende 1996 548 Maschinen zerstört. Dies sind 14,1 Maschine pro Jahr im Durchschnitt. Der Schnitt der letzten 10 Jahre der Untersuchung betrug 19,7, der letzten 5 Jahre 20,4.

Die absolute Anzahl der Totalverluste muss natürlich im Zusammenhang mit der Anzahl geflogener Sektoren gesehen werden. Diese Betrachtung zeigt eine deutliche Abnahme der Rate. Auch die durchschnittlichen Werte der letzten drei Dekaden bestätigen eine abnehmende Tendenz. Dennoch sieht es so aus, als stabilisiere sich die durchschnittliche Unfallrate bei ca. 1,3 Totalverlusten pro 1 Million Sektoren.

Da es vom reinen Zufall abhängt, wie viele Passagiere sich an Bord einer Unglücksmaschine befinden – es kann sich z.B. auch um einen Frachter handeln – lassen sich aus der Anzahl der in einem Jahr getöteten Passagiere keine Rückschlüsse auf die Flugsicherheit ziehen. Dennoch ist die Öffentlichkeit an diesen Zahlen interessiert, da sie die Wahrscheinlichkeit bei einer Flugreise getötet zu werden, wiederspiegeln. Die Rate war in den letzten Dekaden sehr starken Schwankungen unterzogen. Bedingt durch die vielen Todesopfer 1996 zeigt die Trendlinie eine deutliche Zunahme. Während die Rate für 1995 noch 0,25 betrug, stieg sie 1996 auf 0,7 getötete, pro Million beförderte Passagiere.

Mehr als 80% der Totalverluste erfolgten während nur 7% der Flugzeit. Diese Aussage ist bereits bekannt. Die drei gefährlichsten Flugphasen sind Take Off, Approach und Landing. Das Jahr 1996 zeigte sich hier als atypisch. Erstmals ist in der Climb Phase ein deutlicher Zuwachs zu verzeichnen, während die Totalverluste in der Landing Phase fast um die Hälfte abgenommen hatte.

Über die Flugzeuggenerationen hinweg lässt sich ebenfalls ein positiver Trend erkennen, der wohl hauptsächlich im technischen Fortschritt begründet ist.

Die hier aufgeführten Statistiken stellen den Stand Anfang 1997 dar und sind [11] entnommen.

1.2 Aktuelle Problematik

1.2.1 Automatisierung

Während früher Unfälle oftmals dadurch verursacht wurden, dass der Mensch als Regler unzureichende Fähigkeiten aufwies oder auf mangelnde Erfahrung zurückgreifen mussten, da kritische Situationen nicht in einem Simulator geübt werden konnten, sind diese Gründe heutzutage fast verschwunden. Die zunehmende Ausstattung der Flugzeuge mit Reglern und Computeranlagen vereinfachten das Flugverhalten bzw. ermöglichten es dem Menschen, auch komplexere Flugzeuge sicher zu beherrschen. Dies wurde durch einen zunehmenden Grad an Automatisierung erreicht. In den 50er Jahren ging man noch davon aus, dass man niemals eine Landung vollautomatisch durchführen könnte. Heute ist es problemlos möglich, den kompletten Flug von einem Autopiloten durchführen zu lassen. So wurde der Autopilot einmal als das Allheilmittel gegen Flugunfälle angesehen, und wurde weiterentwickelt. Dann allerdings passierten einige Unfälle in deren Folge sich herausstellte, dass die Piloten nicht mehr in der Lage waren, die komplizierten Vorgänge in ihren Flugzeug-Systemen zu verstehen oder nachzuvollziehen. Dies lag daran, dass automatische Vorgänge nur modellhaft dargestellt werden können und dass ein Eingreifen des Menschen nur begrenzt möglich oder gewollt war. Im Falle eines Systemausfall waren die Piloten hin und wieder nicht mehr in der Lage, das Flugzeug als Gesamtsystem zu beherrschen.

Aus mehreren Gründen kann man aber trotz der hochgradigen Automation in Zukunft nicht auf den Menschen im Cockpit verzichten. Erstens gibt es Flugsituationen, die nicht automatisierbar sind. Zweitens wird eine Fernsteuerung lediglich als eine Verlagerung des Cockpits angesehen. Und drittens wird ein Flugzeug ohne Piloten an Bord wohl kaum von den Flugpassagieren akzeptiert.

So wurde aus Untersuchungen der Schnittstelle Mensch / Maschine eine neue Form der Automation entwickelt. Dabei handelt es sich um kognitive Assistenzsysteme, die im folgenden skizzenhaft dargestellt werden sollen.

1.2.2 Kognitive Assistenzsysteme

Solche Systeme sind nicht darauf ausgelegt, dem Piloten die Flugführung abzunehmen, sondern diesen bei der Aufgabe der Flugführung so zu unterstützen, dass sich der Pilot ganz auf die Führung des Flugzeuges konzentrieren kann.

Dafür besitzen solche Systeme nach [4] verschiedene Teilsysteme. Dazu gehören eine Situationsanalyse, ein Planungssystem, ein Dialog-Manager, eine Datenbasis, eine Wissenserwerbskomponente sowie eine Erklärungs- und Selbstdiagnosekomponente. Die prinzipielle Anordnung dieser Komponenten ist in Abb. 1.1 ersichtlich.

Abbildung in dieser Leseprobe nicht enthalten

Abb. 1.1 Prinzipielle Anordnung der Systemkomponenten kognitiver Assistenzsysteme [4]

Die Situationsanalyse nutzt alle Daten, die sie über Sensoren von der Umwelt und dem Flugzeug erhält, die ihr der Pilot oder die Datenbasis zur Verfügung stellt oder die per Data-Link an das System gesandt wurden, um die Situation möglichst vollständig zu erfassen und zu interpretieren. Das Planungssystem ist über die Zielsetzung des Piloten informiert und kann so mit der Situationsanalyse eine eigene Flugplanung erstellen und diese dem Piloten präsentieren. Der gesamte Informationsfluss von Flugzeugsystemen und Piloten zum Assistenzsystem und zurück wird von einem Dialog-Manager organisiert. Damit wird der Informationsfluss so geregelt, dass keine Überforderung durch Überinformation entsteht. Die Datenbasis besteht aus drei Teilkomponenten: der Situationsrepräsentation, mit deren Hilfe der Dialog-Manager die Situation dem Piloten darstellt, die statische Datenbasis, die vorher eingespeichert wurde und die dynamische Datenbasis, die sich aus der Lernkomponente entwickelt. Diese Lernkomponente ermöglicht es die Datenbasis zu erweitern. Dabei ist das System in der Lage während der Bearbeitung notwendige Informationen anzufordern (Pilot oder Data-Link) oder es werden während einer Wartung zusätzliche Informationen eingespeichert. Die Erklärungs- und Selbstdiagnosekomponente ist zum einen für Überwachung der eigenen Systemfunktionen, zum anderen aber auch für Erläuterung der Ergebnisse, die das System liefert, zuständig.

Grundsätzlich entsprechen solche System also eher einem „virtuellen“ Kopiloten als einem Autopiloten, da Autopiloten keine Interpretationskomponenten besitzen.

Ziel dieser Arbeit ist aber nicht, die komplette Entwicklung eines solchen Systems, sondern es sollen in erster Linie Funktionalitäten aus den aufgeführten Flugunfällen gewonnen werden, die der Sicherheit eines mit diesem System ausgerüsteten Flugzeuges dienen sollen.

2 Definitionen und Bewertungskriterien

Die folgenden Darstellungen sind [1] und [11] entnommen.

2.1 Definitionen

Um Flugunfälle genau zu beschreiben bedarf es einiger Definitionen, um Verwechslungen und Missverständnisse zu vermeiden.

* Unfall: Ein Ereignis beim Betrieb eines Luftfahrzeuges vom Beginn des Anbordgehens von Personen mit Flugabsicht bis zum Zeitpunkt, zu dem diese Personen das Luftfahrzeug wieder verlassen haben, wenn hierbei:

1. eine Person tödlich oder schwer verletzt worden ist
- an Bord eines Luftfahrzeugs oder
- durch unmittelbare Berührung mit dem Luftfahrzeug oder einem seiner Teile, auch wenn sich dieses Teil vom Luftfahrzeug gelöst hat, oder
- durch unmittelbare Einwirkung des Turbinen- oder Propellerstrahls eines Luftfahrzeuges,

es sei denn, dass der Geschädigte sich diese Verletzung selbst zugefügt hat oder diese ihm von einer anderen Person zugefügt worden sind oder eine andere von dem Unfall unabhängige Ursache haben, oder dass es sich um Verletzungen von unbefugt mitfliegenden Personen handelt, die sich außerhalb der den Fluggästen und Besatzungsmitglieder normalerweise zugänglichen Räume verborgen hatten, oder

2. das Luftfahrzeug oder die Luftfahrzeugzelle einen Schaden erlitten hat und
- dadurch der Festigkeitsverband der Luftfahrzeugzelle, die Flugleistungen oder die Flugeigenschaften beeinträchtigt sind und
- die Behebung des Schadens in aller Regel eine große Reparatur oder einen Austausch des beschädigten Luftfahrzeugbauteils erfordern würde;

es sei denn, dass nach einem Triebwerksschaden oder Triebwerksausfall die Beschädigung des Luftfahrzeuges begrenzt ist auf das betroffene Triebwerk, seine Verkleidung oder sein Zubehör, oder dass der Schaden an einem Luftfahrzeug begrenzt ist auf Schäden an Propellern, Flügelspitzen, Funkantennen, Bereifung, Bremsen, Beplankung oder auf kleinere Einbeulungen oder Löcher in der Außenhaut, oder

3. das Luftfahrzeug vermisst wird oder nicht zugänglich ist.

* Schwere Störung: Ein Ereignis beim Betrieb eines Luftfahrzeugs, dessen

Umstände darauf hindeuten, dass sich beinahe ein Unfall ereignet hätte.

* Tödliche Verletzung: Eine Verletzung, die eine Person bei einem Unfall

erlitten hat und die unmittelbar bei dem Unfall oder innerhalb von 30 Tagen nach dem Unfall ihren Tod zur Folge hat.

* Schwere Verletzung: Eine Verletzung, die eine Person bei einem Unfall

erlitten hat und die

1. einen Krankenhausaufenthalt von mehr als 48 Stunden innerhalb von 7 Tagen nach der Verletzung erfordert oder
2. Knochenbrüche zur Folge hat (mit Ausnahme einfacher Brüche von Fingern, Zehen oder der Nase) oder
3. Risswunden mit schweren Blutungen oder Verletzungen von Nerven, Muskeln- oder Sehnensträngen zur Folge hat oder
4. Schäden an inneren Organen verursacht hat oder
5. Verbrennungen zweiten oder dritten Grades oder von mehr als fünf Prozent der Körperoberfläche zur Folge hat oder
6. Folge einer nachgewiesenen Aussetzung gegenüber infektiösen Stoffen oder schädlicher Strahlung ist.

2.2 Bewertungskriterien

Um die Fehler, die zu Flugunfällen geführt haben, genau analysieren und zuordnen zu können, hat die IATA einen Klassifizierung erstellt, in die sich jeder Flugunfall einordnen lässt. Diese Klassifizierungen wurden erstellt, um den Fluggesellschaften zu helfen, effektive Trainingsprogramme für Piloten, Flugbegleiter und anderes Personal zu entwickeln. Sie können helfen, die Hauptfehlerfelder zu identifizieren, in denen noch Trainingsbedarf besteht.

Normalerweise ist es sehr schwierig, einen Unfall oder eine schwere Störung eindeutig einer Kategorie zuzuordnen, da sie oft das Ergebnis einer Verkettung von Fehlern und/oder Versäumnissen sind. Deshalb kann ein einzelner Unfall auch mehreren Kategorien zugeordnet sein. Die IATA unterscheidet 4 Hauptkategorien:

- Mensch-Kategorie (Human „Hum“)
- Technik-Kategorie (Technical „Tec“)
- Umgebungskategorie (Environmental „Env“)
- Organisationskategorie (Organisational „Org“)

Diese vier Kategorien besitzen gewisse Schnittpunkte untereinander. Die „H“- Kategorie gilt nur für die Flugbesatzung (Pilot, Co-Pilot, ggf. Flugingenieur). Die Einflüsse menschlicher Fehler lassen sich aber auch in anderen Kategorien finde, so ist z.B. der H3-Faktor oft auch eine Konsequenz aus einem operationellen Fehler oder einem „verborgenem“ Fehler sein.

Die „H“-Kategorie wird wie folgt untergliedert

* H1 Aktiver Fehler (Nichteinhaltung von Standards und Prozeduren

-dies kann beinhalten: Nichteinhalten von Vorschriften, Luftrecht-Verletzungen, Fehler beim Befolgen schriftlicher

Anweisungen, Fehler im Cockpit Resource Management, fehlende Wachsamkeit, Faulheit)

* H2 Passiver Fehler (Unbewusstsein – dies kann beinhalten: Zusammenbruch der Koordination, Missverständnisse, Kommunikationsfehler, Fehlen erwarteter Unterstützung – es kann verschlimmert werden durch hohe Arbeitsbelastung, Ablenkung, Gleichgültigkeit, Achtlosigkeit, Langeweile oder geringen Wachheitsgrad)

* H3 Fehlende Fertigkeiten (ungeeignetes Handhaben des Flugzeuges und dessen Systeme – dies kann beinhalten: Fehlbeurteilung, Fehlentscheidungen – es kann verschlimmert werden durch fehlende Erfahrung, fehlende Übung oder Inkompetenz)

* H4 Untauglichkeit (Flugbesatzung ist nicht in der Lage, ihren Pflichten nachzukommen, aufgrund von psychischen und physischen Beeinträchtigungen)

Die „T“-Kategorie wird wie folgt untergliedert:

Abbildung in dieser Leseprobe nicht enthalten

Die „E“-Kategorie wir wie folgt untergliedert:

Abbildung in dieser Leseprobe nicht enthalten

Die „O“-Kategorie wird wie folgt unterteilt:

Abbildung in dieser Leseprobe nicht enthalten

In diese Aufteilung werden alle Unfälle eingefügt. Außerdem sieht die IATA noch eine Kategorie „I“ (Insufficient data) vor, in die alle Unfälle fallen, über die nicht genug bekannt ist, um sie einer der anderen Kategorien zuzuordnen.

Die in dieser Arbeit analysierten Unfälle werden nach dieser Klassifizierung ebenfalls bewertet.

3 Darstellung und Analyse der Unfälle

3.1 Vorgehensweise

Die Unfallberichte sind oftmals sehr ausführlich, weshalb auch auf eine komplette Darstellung des Berichtes verzichtet wird. In diesem Kapitel wird nur eine kurze zusammenfassende Darstellung des Unfallhergangs und aller damit zusammenhängenden technischen Vorgänge eingegangen. Für die kompletten Berichte wird auf die Quellen verwiesen.

Flugunfallberichte sind im Normalfall wie folgt aufgebaut:

- Fakten des Unfalls (z.B.: Unfallhergang, Aufzeichnungen, Wetter- Informationen, Verletzte und Tote, Schäden am Flugzeug, Informationen zum Aufprall und medizinischen/pathologischen Aspekten, etc.)
- Analysen (z.B.: Unfallursache, Reaktion der Piloten, Reaktionen der Flugzeugsysteme, Reaktionen der angefunkten Bodenstellen, etc.)
- Schlussfolgerungen
- Empfehlungen an Airlines und Hersteller
- Anhang (z.B.: CVR-Transskript, Bilder von der Unfallstelle, etc.)

Für die Darstellung in dieser Arbeit werden daraus relevante Fakten des Unfalls und die Analysen sowie, falls erforderlich, die CVR- und DFDR-Aufzeichnungen extrahiert. Somit wird eine kurze aber schlüssige Darstellung des jeweiligen Unfalls erreicht. Die Fehlerketten werden sowohl textlich als auch in Form von Diagrammen dargestellt. Diese Diagramme haben folgendes Schema:

Abbildung in dieser Leseprobe nicht enthalten

Aus den so dargestellten Fehlerketten werden mögliche Eingriffe durch ein Assistenzsystem dargestellt und aufgeführt, welche Funktionalitäten solch ein System haben müsste.

Außerdem gibt es zu vielen Unfällen und schweren Zwischenfällen nur Kurzberichte, die im Original nicht in einem einheitlichen Format zu finden sind. Um hier eine einheitliche Darstellung zu erreichen werden die Daten, die aus Kurzberichten, Notizen aus Bulletins oder Zeitschriften, Zuschriften verschiedener Stellen, etc. entnommen sind, in soweit möglich, ebenfalls in der Form dieses Formulars eingefügt. Die so dargestellten Unfälle erlauben nicht immer eine tiefgreifende Analyse der Unfallursachen, werden aber so weit wie möglich eingeschätzt und entsprechende Anforderungen werden entwickelt.

Im Kapitel 3 werden die geforderten Funktionalitäten sortiert aufgelistet und allgemein erläutert.

3.2 Unfall-Hergänge, Analysen und Schlussfolgerungen

3.2.1 Aeroperu Flight 603 am 02.10.96

Abbildung in dieser Leseprobe nicht enthalten

Unfall-Hergang:

30 Minuten nach dem Start verschwindet das Flugzeug von den Radarschirmen. In einem Times-Bericht heißt es, der Pilot sei sich mehrfach seiner Höhe, seiner Lage und der Bedeutung von Cockpit-Warnungen nicht bewusst gewesen. Erste Meldungen des peruanischen Verkehrsministeriums sprechen von Computer- problemen und mechanischen Problemen.

Vorab veröffentlichte Auszüge aus dem CVR-Transskript zeigen, dass der Pilot ein Ground Proximity Warning erhielt, da der Höhenmesser aber 9000ft anzeigte, trotzdem einen Sinkflug einleitete. Um wie viel tiefer das Flugzeug wirklich flog ist unbekannt. Der Sinkflug jedenfalls endete im Meer.

Ursachen, Fehler:

An einem geborgenen Teil der linken Rumpfes wurde festgestellt, dass die Sonde des Pitot-Static-Systems abgeklebt waren. Eine wichtige Information, die jedoch nicht zur Verfügung steht, wäre, ob alle drei Pitot-Static-Rohre abgeklebt waren, oder nur dies eine. In diesem Fall hätte der Pilot einfach zum RADC wechseln können und hätte wieder korrekte Anzeigen gehabt.

Der Pilot war sich offenbar kurzfristig des Problems mit der Höhenmessung bewußt, denn er forderte den Tower auf, ihm in regelmäßigen Abständen seine Höhe mitzuteilen. Dabei wurde jedoch vergessen, daß die Höhe, die beim Lotsen auf dem Radarschirm auftaucht, aus dem Transponder an Bord des Flugzeuges stammt und damit auch von dem fehlerhaften Pitot-Static-System stammt.

Trotz des Bewußtseins des Problems ignorierte der Pilot das Ground Proximity Warning, verließ sich auf seine Anzeige im Cockpit und leitete den Sinkflug ein, was u.U. auf die erhöhte psychische Belastung in der Notsituation zurückzuführen ist. Dies hat sicherlich zum Unfall beigetragen, darf aber nicht als die eigentliche Ursache angesehen werden.

Die zuerst gemeldeten Computer- und mechanischen Probleme haben sich im Verlauf der Untersuchung offenbar nicht bestätigt.

Die Untersuchungen zu diesem Unfall sind noch nicht abgeschlossen bzw. steht dazu noch kein kompletter Bericht zur Verfügung.

Kategorien: H2, T7

Abbildung in dieser Leseprobe nicht enthalten

Funktionalitäten:

- Crosscheck mehrfach redundanter Instrumente

Bei Auftreten von Diskrepanzen kann das System selbst entscheiden, welchen Informationen vertraut werden kann und welchen nicht, sollte dieses Ergebnis und die damit verbundenen Veränderungen in der Systemkonfiguration (Umschalten auf anderen ADC, etc.) vorher dem Piloten präsentieren und von diesem bestätigen lassen. Dabei können alle Werte des redundanten Systems angezeigt werden um dem Piloten die Einschätzung zu erleichtern, welches Instrument fehlerhafte Werte liefert. Für den Fall, daß alle Instrumente fehlerhafte Werte liefern könnte das System dies zumindest erkennen und dem Piloten vermitteln, evtl. auch Alternativen anbieten.

- Ground Provximity Warning

Während das GPWS ertönt könnte ein Anzeige erscheinen, die ihm o.a. Fall verdeutlicht, daß das Einsetzen des GPWS nur schwerlich mit der angezeigten Flughöhe zu vereinen ist. Da der Pilot ein Problem mit dem Höhenmesser vermutete hätte der Hinweis, daß das GPWS seine Daten

aus dem Radar bezieht evtl. die Entscheidung vereinfacht. Diese Tatsache wußte der Pilot sicherlich, dachte aber in dem Moment nicht daran und leitete den tödlichen Sinkflug ein.

Quelle: [7]

Anmerkungen:

Die Fluglotsen sind offenbar darauf angewiesen, daß die Werte, die Ihnen aus dem Flugzeug übermittelt werden korrekt sind. Möglich wäre hier z.B. auch ein Cross- Check zwischen den Daten, die das Flugzeug via Transponder sendet, und denen, die das Radar selbst liefert. In o.a. Fall hätte sich da eine deutliche Abweichung für den Wert der Höhe ergeben und ein entsprechender Hinweis von der Bodenstation an die Piloten hätte erfolgen können.

3.2.2 Lufthansa Flight 2904 am 14.9.1993

Abbildung in dieser Leseprobe nicht enthalten

Spoiler und Schubumkehr haben eine Sicherheitsschaltung, die das Wirken dieser Bremssysteme erst zulässt, wenn beide Hauptfahrwerke eingefedert sind oder die Räder an beiden Hauptfahrwerken schneller als 72kn drehen.

Unfall-Hergang:

Die Crew des Airbus wurde via Tower von einem vor ihnen gelandeten Flugzeug auf starke Schwerwinde hingewiesen. Dem Handbuch folgend erhöhte der PF die Geschwindigkeit und setzte auch mit dieser Geschwindigkeit auf der Runway auf. Durch die erhöhte Landegeschwindigkeit war das Flugzeug schon sehr weit über die Runway geflogen und setzte erst 770m hinter der Landebahnschwelle auf. Durch die hohe Geschwindigkeit und die Fluglage setzte erst bei 1525m das linke Hauptfahrwerk auf und dadurch begannen erst hier Spoiler und Schubumkehr zu wirken. Die o.g. Schwerwinde stammten von einer Sturmfront, die zum Zeitpunkt des Unfalls den Platz passierte. Gleichzeitig setzte über dem Platz starker Regen ein, der dafür sorgte, dass mehrere Millimeter Wasser auf der Bahn standen, was zu

Aquaplaning führte. Außerdem herrschte direkt über der Runway starker Rückenwind. Diese Tatsachen zusammen bewirkten, dass das Flugzeug am Ende der Runway noch 72kn schnell war und so die Runway überlief. 90 Meter hinter der Landebahn war ein Erdwall aufgehäuft, über den das Flugzeug hinwegrutschte und dahinter auf den Boden aufschlug. Durch ein abgerissenes Triebwerk brach sofort ein Feuer aus, welches ein Crewmitglied und ein Passagier nicht überlebten.

Ursachen, Fehler:

Die Untersuchungen ergaben, dass der Pilot nach der Meldung von Schwerwinden, wie im Handbuch gefordert, die Geschwindigkeit um 20kn erhöhte. Die Anweisungen für den Anflug mit Rückenwind blieben von ihm unbeachtet. Das Wetterradar wurde von der Crew ausgeschalten, obwohl es dem Piloten geholfen hätte, die Situation einzuschätzen. Das EFIS im Cockpit zeigte andere Werte als die, die der Tower gemeldet hatte. Ebenso war die Rückenwind-Komponente auf dem EFIS höher als für dieses Flugzeug erlaubt. Beides wurde von den Piloten nicht erkannt. Eine Kontrolle ob die Runway lang genug war, um das Flugzeug aus der erhöhten Landegeschwindigkeit abzubremsen wurde nicht durchgeführt. Durch die Konfiguration FULL FLAPS (voll ausgefahrene Landeklappen) wurden die Bremsen in den o.a. Modus versetzt, erst dann zu wirken, wenn beide Fahrwerke auf dem Boden aufgesetzt haben. Für die Crew bestand aber auch keine Möglichkeit, diesen Sicherheitsmechanismus zu umgehen.

Kategorien: H2, E1

Fehlerketten-Diagramm:

Abbildung in dieser Leseprobe nicht enthalten

Funktionalitäten:

- Datentransfer für Wetterdaten per Data-Link

Der Pilot erhielt dreimal die Meldung über Schwerwinde, reagierte aber nur einmal drauf. Meldungen über das Wetter am Platz bestätigte er zwar, handelte aber nicht danach. Die Möglichkeit, aktuelle Daten per Data- Link zu übertragen und dem Pilot erst nach seiner Anfrage darzustellen hätte es ihm erleichtert die Daten entsprechend wahrzunehmen. Wenn der Pilot dadurch gezwungen ist, einen Blick auf das EFIS-Display zu werfen hätte er sicherlich auch den Rückenwind registriert und darauf reagieren können.

- Kontrolle über Sensoren

Ein ausgeschaltetes Wetterradar ist eine verlorene Informationsquelle. Ein Assitenzsystem könnte das Radar in Betrieb belassen und selbst analysieren, ohne permanent eine Anzeige im Cockpit zu erzeugen. Für den geschilderten Fall könnte aber dann eine Warnmeldung erfolgen.

- Checklisten

Piloten entgeht immer etwas Zeit, wenn sie im Handbuch nach Checklisten für bestimmte Situationen suchen müssen. Sind die Checklisten im Assistenzsystem gespeichert, hat dies den Vorteil, daß die Listen sofort verfügbar sind. Mit Hilfe des Datalinks können durch die Interpretation der erhaltenen Daten die nötigen Checklisten herausgesucht werden und dem Piloten sofort präsentiert werden. Außerdem kann das System die Durchführung der aufgelisteten Checks kontrollieren.

- Aufhebung von Sicherheitsschaltungen im Notfall

Die Bremssysteme sind mit Sicherheitsschaltungen versehen, die verhindern, daß diese Geräte während des Fluges in der Luft zu arbeiten beginnen. Im Notfall sollten diese Sicherheitsschaltungen aber auf ausdrückliche Anforderung durch die Piloten übergangen werden können. Durch diese gezielte Anforderung bleibt die Sicherheit in der Luft weiterhin gegeben, aber in Notfällen sollten alle Systeme uneingeschränkt den Piloten zur Verfügung stehen.

- Go around Empfehlungen (automatisches Go around)

Die Diskrepanz zwischen der erhöhten Geschwindigkeit und dem Anflugverfahren bei Rückenwind hätte durch das System frühzeitig erkannt werden können. Ebenso kann mit Hilfe des Wetterradars (s.o.) eine Einschätzung der Situation erfolgen und das System frühzeitig eine Go around empfehlen (oder im Ernstfall automatisch durchführen). Ebenso kann ein Go around eingeleitet werden, wenn nach einer bestimmten Position auf der Runway oder bestimmten Zeit nach Aufsetzen eines Fahrwerkes noch kein Bremsvorgang eingeleitet wurde bzw. werden konnte.

Quelle: [12]

3.2.3 American Airlines Flight 965 am 20.12.95

Abbildung in dieser Leseprobe nicht enthalten

Unfall-Hergang:

Während des Sinkens von der Reiseflughöhe entschied sich der Pilot einen anderen Anflug (Rwy19) durchzuführen als ursprünglich geplant (Rwy01). Rwy01 war bereits im FMC gespeichert, Anflug auf Rwy19 wurde vorher und auch im Flug nicht eingegeben. Die Entscheidung für den geänderten Anflug sollte vorweg verlorene Zeit wieder wettmachen. Aufgrund dieses Zeitdruckes konnte der Pilot auch keinen Blick in die Approach Charts für den geänderten Anflug zu werfen.

Aufgrund einer missverstandenen Anweisung des Lotsen verließ der Pilot den vorgesehenen Flugweg und prallte gegen einen Berghang. Die GPWS-Warnungen konnten den Aufprall nicht mehr verhindern. Das Flugzeug streifte ein paar Bäume und schlug dann auf dem Boden auf. Nur 4 Personen überlebten.

[...]