Hintergrund Die 737-Max-Wiederzulassung ist eine Frage von Wahrscheinlichkeiten

Kann die Boeing 737 Max auch ohne MCAS sicher fliegen? Die Antwort auf diese Frage steht aus. Aber sie entscheidet darüber, ob zwei nicht redundante Anstellwinkel-Sensoren für eine Wiederzulassung ausreichen. Wenn nicht, muss Boeing neu planen.

Endmontage der Boeing 737 Max im Boeing-Werk Renton im US-Staat Washington. © dpa / Ted S. Warren/AP

Die europäische Luftsicherheitsbehörde Easa erwägt, die gegroundeten Boeing 737 Max nicht ohne zusätzliche AoA-Sensoren wieder abheben zu lassen. Die "Angle of Attack"-Sensoren messen den Anstellwinkel des Flugzeugs - ein Wert, der für die 737 Max spätestens im Zusammenspiel mit dem neuen Trimsystems MCAS wichtig wird.

Allerdings besitzt die Boeing 737 Max - wie ihre Vorgänger - nur zwei AoA-Sensoren. Für die Verarbeitung der automatisvchen Steuerimpulse durch das MCAS wurden ursprünglich sogar nur die Daten eines einzelnen Sensors genutzt. Das will Boeing nun durch ein Software-Update beheben. Doch es bleibt abzuwarten, ob das den Behörden weltweit genügt.

Zumindest die Easa scheint an dieser Vorgehensweise Zweifel zu haben. Der Grund dafür ist recht einfach. MCAS greift im normalen Flug in die Trimmung ein. Wenn die Anstellwinkel-Daten für diese normale Steuerung des Flugzeugs so wichtig sind, dass ein Ausfall in gewissen Situationen zum Absturz führen kann, dann muss das System mindestens doppelt redundant ausgelegt sein.

Doppelt redundant bedeutet, dass beim Ausfall einer Datenquelle immer noch mindestens ein weiteres verlässliches - also doppeltes - System vorhanden sein muss. Beim Ausfall eines AoA-Sensors muss das Flugzeug also weiterhin noch korrekte Daten bekommen. Dazu reicht aber nicht einfach ein zweiter Sensor, denn woher sollte das System wissen, welcher der beiden Sensoren im Zweifel fehlerhafte Daten liefert. Für die sichere Redundanz werden daher mindestens drei Sensoren benötigt.

Die meisten Flugzeuge haben drei AoA-Sensoren

Dass AoA-Sensoren ausfallen, ist im Übrigen nicht ungewöhnlich. So warnte die US-Luftsicherheitsbehörde FAA zuletzt im August, dass die in der Regel an der Nase befestigten Abnehmer schon im normalen Betrieb schnell beschädigt werden können, etwa durch Vogelschlag oder andere Zusammenstöße.

© AirTeamImages.com, Thyago Thomas

Drei Sensoren auf der rechten Seite der Nase einer Boeing 737 Max (AoA-Sensor unten in schwarz). Foto: © AirTeamImages.com, Thyago Thomas

Die meisten modernen Flugzeuge haben aber nach Aussage von befragten Maintenance-Providern mindestens drei AoA-Sensoren. Das trifft den Angaben zufolge auf alle Airbus-Flugzeuge zu, nicht aber auf alle Boeing-Typen. Airbus wollte sich auf airliners.de-Anfrage nicht dazu äußern und auch nicht mitteilen, welche Airbus-Flugzeuge ab Werk wie viele Anstellwinkel-Sensoren besitzen. Boeing ließ eine entsprechende Anfrage unbeantwortet.

Allerdings ist wichtig hervorzuheben, dass ein Fehler an einem Anstellwinkel-Sensor auch bei nur zwei Sensoren kein Problem sein muss. Denn überall wo die Sensoren nicht redundant ausgelegt sind, fallen die Daten bei der Zulassung nicht in eine sogenannte "Fail Safe"-Kategorie. Salopp formuliert fällt ein so zugelassenes Flugzeug nicht vom Himmel, wenn ein AoA-Sensor defekt ist. Ein mit zwei Sensoren zugelassenes Flugzeug muss also auch ohne die Information über den Anstellwinkel noch sicher fliegen können.

Fehlerhafte AoA-Daten als Absturzursache

Das bezweifelt nun offenbar zumindest die Easa bei der Boeing 737 Max. Auch wenn die FAA in ihrer August-Information über die Wichtigkeit von AoA-Sensoren keinen direkten Zusammenhang zur 737 Max stellte, gelten fehlerhafte Anstellwinkeldaten als Mitauslöser für beide Boeing-737-Max-Abstürze, sowohl bei Lion Air als auch bei Ethiopian Airlines.

Dabei ist noch nicht abschließend geklärt, ob die Boeing 737 Max aerodynamisch instabil fliegt und daher auf das MCAS angewiesen ist. Kritisch ist von airliners.de dazu befragten Experten zufolge vor allem auch die offensichtlich falsch programmierte Software.

Boeing, Lesen Sie auch: Easa erwägt Hardware-Nachrüstung für Boeing 737 Max

Die fehlerhafte Software führte offenbar dazu, dass MCAS in bestimmten Situationen zu oft einen Trimmausschlag befehlen konnte, ohne die Trimmung zuvor wieder in die Nullstellung zu führen. Damit haben sich die eigentlich kleinen MCAS-Trimmungen wohlmöglich potenziert - und das Flugzeug war im Extremfall nicht mehr zu steuern.

Es war also wohl bei beiden Abstürzen erneut ganz klassisch: Für die Katastrophe mussten mehrere Fehler zusammenkommen - der Ausfall eines Sensors und ein Software-Fehler, der die Eingaben potenziert. Bei der 737 Max passierte das wohlmöglich sogar zweimal hintereinander: Ein Drama für die extrem auf Sicherheit bedachte Luftfahrtindustrie.

Eine Frage von Wahrscheinlichkeiten

Für die erneute Zulassung der Boeing 737 Max ist dabei nun die Wahrscheinlichkeit für eine solche Fehlerkette die zentrale Frage - und inwiefern ein einfaches Software-Update diese wirksam verhindern kann. Im Zweifel lautet die Antwort: Gar nicht. In diesem Fall muss wohl eine doppelte Redundanz-Ebene eingezogen werden, beispielsweise mit einem weiteren AoA-Sensor, um die Voraussetzungen für die Wiederzulassung zu erfüllen.

Offiziell heißen diese Zulassungkriterien "Design Assurance Level" (DAL). Diese Level sind nach den potentiellen Auswirkungen eines Designversagens eingeordnet. Die DAL-Stufen unterteilen sich dazu sowohl bei der FAA als auch bei der Easa fast gleichlautend in verschiedene Kategorien, und zwar in "No Safety Effect", "Minor", "Major", "Hazardous/Severe Major" sowie "Catastrophic".

Von: David Haße

Lesen Sie jetzt

Lesen Sie mehr über

Fluggesellschaften Management Technik Industrie Boeing Boeing 737 MAX Produktion IT Behörden, Organisationen F&E Zwischenfälle EASA FAA airliners+