VC Info: Artikel

Gedanken zur B737MAX

03.08.2021 Flight Safety von Frank Müller-Nalbach, Carsten Banach, AG Aircraft Design & Operation

Die 737MAX im Blick der vergangenen zwei Jahre: Zwei Totalverluste, eineinhalb Jahre Grounding, eine beispiellose, internationale Revision und die Infragestellung des Zulassungsprozesses von Flugzeug-Derivaten im Allgemeinen. Für uns ist es nun der richtige Zeitpunkt, in zwei Richtungen zu blicken: Was ist bisher im Detail passiert? Und was sind die Erkenntnisse und ihre Auswirkungen auf die zukünftige Zulassung von Verkehrsflugzeugen?

Zunächst einmal: Wie konnte es zu diesen zwei Abstürzen kommen? Es begann mit der Entscheidung des Boeing Managements, die B737NG als Antwort auf die A320 NEO Familie noch einmal zu vergrößern und zu modernisieren. Die B737 ist grundsätzlich ein Kind der 1960er Jahre und auch die B737MAX beruht auf der originalen Zulassung für die B737-100 aus dieser Zeit. Diese Praxis, Updates bekannter Muster auf Basis ihrer Vorfahren zuzulassen, ist in der Fliegerei als „Grandfather Rights“ bekannt. Auch die B737 selbst war keine komplette Neuentwicklung. Rumpf und Cockpit-Layout sind faktisch übernommen von der B707, entwickelt in den 1950er Jahren. Das Design der B737 wurde im Laufe der Entwicklung von der -100 und -200 (Original), -300/400/-500 (Classic) und den B737NGs, bis hin zur B737MAX immer wieder angepasst: Größere, neuere Triebwerke, Rumpflänge, Seitenleitwerk, Fahrwerk, Cockpit Instrumentation, etc. Wie viel hat eine B737MAX da eigentlich noch mit der ursprünglichen -100 gemein?

Bereits bei der Entwicklung der B737NGs stellte man fest, dass die weiter vorne platzierten und stärkeren Triebwerke zu einer nicht unerheblichen Veränderung des Flugverhaltens führten. Zur Kompensation wurde ein System zur Verhinderung eines zu starken Pitch Up Moments bei Erhöhung des Schubes entwickelt und verbaut. Durch die nochmals stärkeren und noch weiter vorne platzierten Triebwerke der B737 MAX, war das B737NG-System für die Weiterentwicklung nicht mehr ausreichend. Daraufhin wurde das Maneuvering Characteristics Augmentation System (MCAS) entwickelt. Nach Aussage Boeings ergab eine Risikoanalyse, dass das System kaum eingreifen würde und wenn, ein Eingriff für die Cockpitbesatzung nicht spürbar wäre. Diese Einschätzung führte zu niedrigeren Sicherheitsanforderungen und dem Entschluss, MCAS nicht in die Dokumentation für die Flugbesatzungen aufzunehmen. Die FAA als Aufsichts- und Zertifizierungsbehörde wurde darüber informiert. Der zuvor geplante Eingriffsrahmen des MCAS wurde allerdings im Verlauf der Flugerprobung erheblich erweitert, ohne die ursprüngliche Risikoanalyse zu überarbeiten.

Boeing stand unter Zeitdruck

Die FAA versäumte anschließend, den nächsten Schritt in der Fehlerkette zu durchbrechen. Die Risikoanalyse, die tatsächlichen Auswirkungen auf das Flugverhalten, die damit auch benötigte Dokumentation und der Trainingsbedarf für die Crew wurden nicht hinterfragt. Die Erweiterung des Eingriffsrahmens von MCAS wurde der Behörde im Rahmen des Zertifizierungsprozesses nicht klar mitgeteilt. So fehlte eine unabhängige Beurteilung. Klar ist, dass Boeing unter erhöhtem Zeitdruck stand, da das konkurrierende Produkt von Airbus, der A320 NEO, bereits in den Liniendienst eingeführt war.

In Folge dieser Entwicklung wurde das nun „verschärfte“ MCAS mit einer nach wie vor niedrigeren Anforderung an Ausfallwahrscheinlichkeit und Fehlerrobustheit ausgelegt und entwickelt. So konnten ausschließlich die Daten eines einzelnen AOA-Sensors das System aktivieren, ohne diese durch den zweiten Anstellwinkelsensor oder andere Sensordaten zu validieren.

Die Anforderung an den Trainingsbedarf (Selbststudium am Computer von gerade etwas mehr als einer Stunde) und die Dokumentation zur Vorbereitung auf das neue Muster basierten ebenfalls auf der veralteten Annahme der Systemwirkung. Daher war auch für B737NG-Pilotinnen und Piloten zur Einweisung auf die B737MAX keine Simulator-Schulung vorgesehen. Sie konnten zudem entsprechende Szenarien nicht trainieren, da die verfügbaren B737NG-Simulatoren das MCAS nicht implementiert hatten. Die ersten „echten“ B737MAX-Simulatoren wurden erst Ende 2019 ausgeliefert. Ebenso gab es in der Dokumentation für die Cockpitcrew keinen Hinweis auf das System und seine Wirkungsweise.

Cockpitcrews wussten nichts von MCAS

Das heißt, dass Flugbesatzungen der B737MAX vor dem Unfall der Lion Air 610 am 29.10.2018 nichts von MCAS wussten. Es gab keinerlei Anzeigen, Hinweise oder Verfahren im Falle eines Fehlverhaltens des Systems. In dem Zusammenhang muss auch erwähnt werden, dass bei der B737MAX das für alle bisherigen B737-Modelle existierende STAB BRAKE SYSTEM, welches durch einen manuellen Druck an der Steuersäule den elektrischen Trim unterbricht, nicht mehr eingebaut war. Das einzig verwandte Verfahren wäre das „Runaway Trim Procedure“ gewesen.

Die Fehlerkette ging weiter: Nach dem Lion Air Unfall veröffentlichten Boeing und die FAA nach einiger Zeit Informationen für die Pilotenschaft über das Systemverhalten, auftretende Warnungen und Anzeigen sowie Hinweise auf das Runaway Stabilizer-Verfahren. Informationen über das MCAS-System selbst ergingen von Boeing allerdings nur an die Airlines. Die Airlines begannen nun mit entsprechender Schulung der B737MAX-Crews, allerdings gezwungenermaßen nach wie vor ohne eine Simulator-Schulung.

Dann erfolgte der Unfall der Ethiopian Airlines ET302 bei Addis Abeba vom 10.03.2019. Die Crew folgte den FCOM-Hinweisen von Boeing, schaltete den Stabilizer Trim aus und versuchte, das Flugzeug mit dem manuellen Trim zu stabilisieren. Leider erfolglos. Die B737NGs und die B737MAX „leiden“ an einem so genannten Elevator Blowdown. Das bedeutet, dass bei hohen Geschwindigkeiten in niedrigen Höhen die Hydraulik-Aktuatoren nicht kräftig genug sind, um dem hohen Luftdruck entgegenzuwirken und die Steuerfläche bis zum maximal möglichen Ausschlag auszulenken. Je schneller das Flugzeug wird, desto weniger kann man die Pitch erhöhen. Das Gleiche gilt prinzipiell auch für den Horizontal Stabilizer. Werden die Luftkräfte zu groß, kann man den Trim manuell nicht mehr bewegen. Dies ist der Crew in Addis Abeba passiert. Zwar gibt es dafür theoretisch das so genannte „Roller Coaster Verfahren“. Dabei kann man das Flugzeug kurzzeitig manuell trimmen, indem durch periodisches Anziehen und Loslassen des Steuerhorns der Stabilizer sowohl mechanisch als auch aerodynamisch kurzzeitig entlastet wird. Das B737-200 Manual von 1982 verweist darauf. Im Laufe der Zeit ist das Roller Coaster Verfahren jedoch von Boeing aus den Checklisten entfernt worden und den heutigen Flugbesatzungen somit nicht mehr geläufig.

Da der manuelle Trim nicht zu benutzen war, schaltete die Crew der ET302 den elektrischen Trim wieder ein, woraufhin MCAS bis zum endgültigen Kontrollverlust weiter nose down trimmte.

Keine Info, kein Training, zu wenig Kontrolle

Zusammenfassend kann man nur sagen, dass die Crews dieser beiden Flugzeuge kaum eine Chance hatten, das Flugzeug zu retten. Die Informationen über die neuen Assistenzsysteme und ihrer Auswirkungen auf das Systemverhalten wurden ihnen vorenthalten. Verfahren bei Ausfall und Fehlverhalten dieser unzureichend evaluierten Systeme waren nicht vorhanden und konnten daher auch nicht trainiert werden. Dies alles ist zum einen das Resultat einer falschen, übermäßig optimistischen Risikoanalyse bezüglich eines Systems für ein Flugzeug, das dank Grandfather Rights auf einer Basiszulassung aus den 1960er Jahren basierte. Zum anderen beruhen die Totalverluste auf zu großem Vertrauen der Aufsichtsbehörde in den Hersteller. Sie ist somit ihrer Aufgabe der Kontrolle nicht gerecht geworden. Man kann sich des Eindrucks nicht erwehren, dass in diesem System die Flugsicherheit nicht immer an erster Stelle stand.

Wiederzulassung

Zurück zur Gegenwart: Nach langen Diskussionen und vielen Änderungen haben die FAA, und nach weiteren Auflagen auch die EASA, die Wiederzulassung genehmigt. Der Passagierbetrieb und weitere Auslieferungen der B737MAX sind wieder gestartet. Die chinesische Aufsichtsbehörde hat allerdings bis heute noch keine entsprechende Freigabe erteilt. Das Flugzeug steht international derzeit weiterhin unter besonderer Beobachtung. Die FAA beispielsweise überwacht die MAX durch permanente ADS-B Status-Berichte der Flugzeuge auf Fehler oder Unregelmäßigkeiten.

Welche Maßnahmen haben nun zur Wiederzulassung geführt und können uns diese zufriedenstellen? Beginnen wir mit dem Flugzeug und der Auslegung des MCAS-Systems. Die Systemwirkung wurde begrenzt, sowohl im maximalen Auslenken des Horizontal Stabilizers als auch darin, dass das System nur noch einmalig eingreifen kann. So ist garantiert, dass das Flugzeug jederzeit durch den Piloten über das Steuerhorn kontrollierbar bleibt. Weiterhin wird MCAS nur noch dann aktiv, wenn die Werte beider AOA-Sensoren übereinstimmen. Die Werte der beiden AOAs werden jetzt verglichen und bei einer Differenz der Messwerte wird eine Warnung generiert und angezeigt. Zusätzlich fordert die EASA langfristig einen dritten synthetischen AOA-Sensor. Diesen will Boeing im Rahmend der Zulassung für die B737MAX-10 entwickeln. Ein Retrofit für die anderen MAX-Modelle soll möglich sein.

Neue Verfahren und Trainings

Weiterhin wurden die Verfahren geändert und ergänzt. Boeing hat ein Update für das Airplane Flight Manual (AFM) inklusive eines neuen Verfahrens für Unreliable Airspeed eingeführt. Zusätzlich wurde die (Master) Minimum Equipment List geändert. Ebenso findet eine komplette Überprüfung des Flightcrew Alerting System der B737MAX statt. Grund dafür ist die Zulassung der MAX als Derivat der originalen B737 mit der Erstzulassung aus dem Jahr 1967. Zu diesem Zeitpunkt gab es noch keine Vorschriften, Human Factors (HF) bei der Zertifizierung zu berücksichtigen. Diese Anforderungen wurden erst 1977 erlassen (mit Revision in 2011) und bei der Auslegung für die B737MAX nicht berücksichtigt. Die FAA hatte für die B737MAX eine entsprechende Ausnahmegenehmigung erteilt. Zum einen sprach die erwiesene Zuverlässigkeit der bisherigen B737-Generationen dafür. Zum anderen fehlten der FAA schlicht die nötigen HF-Experten. Die EASA forderte noch ergänzend die Einführung eines Verfahrens, welches bei Fehlalarmen das Ziehen der Sicherungen für den Stickshaker vorsieht, um eine Überlastung der Flugzeugführerinnen oder -führer zu vermeiden. Diverse Pilotenverbände hatten dies zuvor gefordert und durch Versuche im Simulator als zweckdienlich bestätigt. Nichtsdestotrotz hat die FAA im Gegensatz zur EASA auf eine entsprechende Auflage verzichtet.

Für die Schulung der Crews wurden seitens der FAA neue Anforderungen definiert und nun auch ein Simulator-Training vorgeschrieben. Dies deckt sich mit den Forderungen der EASA. Außerdem befasst sich die ICAO seit Februar 2021 in einem Pilot Training Panel zu den Schwerpunkten Automated System Management und Manual Flying Skills mit diesem Thema.

Weiterhin fordern sowohl die EASA für sich selbst und, als Ergebnis von zwei US Congress Comittee Meetings, die US-Regierung für die FAA generelle Änderungen der Zulassungsprozesse. Inhaltlich geht es darum, weniger Aufgaben von der Behörde an den Hersteller zu delegieren, sowie um eine bessere Evaluierung, wie Pilotinnen und Piloten auf unerwartete Vorfälle reagieren werden.

Die B737MAX ist weiterhin zwar ein Flugzeug, das von der Aerodynamik sehr weit ausgereizt ist. Sie ist aber nicht überreizt! Die Fehler, die bei der Auslegung, ihrer Zulassung, der Dokumentation und der Schulung gemacht wurden, werden durch die getroffenen Maßnahmen korrigiert. Einzig auf das Roller Coaster-Verfahren als mögliches Backup wird weiterhin nicht hingewiesen. Wobei allerdings die Eintrittswahrscheinlichkeit eines erneuten Vorfalls dieser Art nach den erfolgten Änderungen drastisch reduziert ist. Die B737MAX ist damit wieder sicher zu operieren. Es ist zu hoffen, dass diese Geschichte mit all ihren Facetten auch langfristig dazu führt, dass die Zulassung neuer Flugzeuge nach uralten Regeln (Grandfather Rights) endlich aufhört. Nicht nur die B737, auch diverse andere Modelle basieren nach wie vor auf diesem Prinzip. Die Wichtigkeit der Transparenz der Systeme, die Schulung und das Training im Umgang mit der hochkomplexen Technik, die Einbeziehung von Human Factors und den Regeln des Design for Responsibility sind hier wie durch ein Brennglas zu erkennen und müssen umgesetzt werden. Der in der Luftfahrt so hoch gepriesene Ansatz, aus Fehlern zu lernen, sollte uns allen in der gesamten Luftfahrtindustrie dabei helfen.

Verschärfte Kontrollen

Erste Anzeichen für eine positive Entwicklung in dieser Hinsicht sind jedenfalls auf beiden Seiten des Atlantiks zu bemerken. Der Zeitraum für die Zulassung der B737MAX-10 wird zunächst bis 2023 verlängert, da sowohl FAA als auch EASA den noch einmal gestreckten Flieger einer eingehenderen Prüfung unterziehen werden. Hier finden sich auch die neuen Anforderungen der EASA zum dritten AOA-Sensor wieder. Gleichzeitig hat die FAA auch die nun wieder freigegebenen B737MAX weiter genau im Auge und z.B. im April 2021 Nacharbeiten an mehr als 400 Flugzeugen im Bereich der elektrischen Notstromversorgung und der Triebwerksenteisung vorgeschrieben.

Auch andere Modelle unterliegen nun einer verschärften Kontrolle, wie sich im Frühjahr 2021 unter anderem durch einen vorübergehenden Entzug der Freigabeerlaubnis bei der B787 zeigt. Hier fielen bei Kontrollen der FAA Verarbeitungsprobleme am Druckschott, Dekompressionspanelen und Cockpitfenstern auf, die Nachbesserungen erforderlich machen. Auf Druck der EASA hingegen hat Boeing den Rahmen der Zulassung für die 777-X um zwei Jahre auf aktuell 2023 verlängert. Die europäische Behörde hat angekündigt, nicht nur sämtliche Änderungen zwischen 777-300ER und 777-X einer eigenen genauen Überprüfung unterziehen zu wollen. Dies als faktische Abkehr vom Prinzip der Grandfather Rights. Die EASA will darüber hinaus aktuelle Erkenntnisse z.B. im Bereich Redundanz der Flugsteuerung als Zulassungskriterium neu festschreiben. Dies soll auch in Bereichen, in denen keine Änderungen im Vergleich zum Vorgängermodell erfolgt sind, stattfinden! Ähnliches gilt auch bei der Zulassung der A321XLR, bei der insbesondere die Änderungen im Tanksystem und dem verstärkten Fahrwerk genaueren Überprüfungen unterzogen werden.

Es lässt sich festhalten, dass uns drei Faktoren Grund geben, von einer positiven Entwicklung hin zu mehr Sicherheit und mehr Transparenz auszugehen: die Emanzipation der EASA gegenüber der FAA, die zu beobachtende Abkehr von den Grandfather Rights sowie die noch laufende Neuorganisation von Zulassungsprozessen innerhalb der FAA.

Wie FAA und EASA beim nächsten komplett neuen Flugzeugprogramm agieren werden, lässt sich derzeit zwar noch nicht absehen. Die Planungen von Boeing für einen aktuell mit "-5X" titulierten möglichen Nachfolger der B757 könnten hier der Testfall werden. Dies wird insbesondere in Hinblick auf die Einbindung von HF-Experten in den gesamten Zulassungsprozess interessant. Es lässt sich festhalten, dass uns drei Faktoren Grund geben, von einer positiven Entwicklung hin zu mehr Sicherheit und mehr Transparenz auszugehen: die Emanzipation der EASA gegenüber der FAA, die zu beobachtende Abkehr von den Grandfather Rights sowie die noch laufende Neuorganisation von Zulassungsprozessen innerhalb der FAA.

So kann zusammenfassend gesagt werden: Die Unfälle von Lion Air und Ethiopian Airlines haben bei aller Tragik und Leichtfertigkeit seitens der Behörden und Hersteller dazu geführt, tiefergreifende Probleme zu entdecken und diese an allen Fronten anzugehen. Ob diese Erkenntnisse am Ende auch eine nachhaltige Umsetzung erfahren, werden wir kritisch beobachten. Im Rahmen unserer Verbandstätigkeit national und international ist es unsere Aufgabe daran mitzuwirken, dies zu erreichen.