Luftfahrt Gehirnschlag im Cockpit

Der Absturz von Air France AF 447 ist eines der rätselhaftesten Unglücke in der Geschichte der Luftfahrt. Inzwischen aber lassen sich die letzten Minuten an Bord genau rekonstruieren - ein Protokoll des Schreckens, das Sicherheitslücken im Flugverkehr offenbart.
Fotostrecke

Von Rio nach Paris: Untersuchung eines rätselhaften Flugunglücks

Foto: ERIC CABANIS/ AFP

Eine winzige technische Störung kündigt die Katastrophe an. So unauffällig ist der Messfehler, dass die Piloten im Cockpit des Airbus A330 ihn wohl kaum bemerkt haben.

Drei Stunden und 40 Minuten ist die Air-France-Maschine mit der Flugnummer AF 447 seit ihrem Start am Abend des 31. Mai 2009 in Rio de Janeiro schon in der Luft. Seit einer halben Stunde rütteln heftige Turbulenzen an dem Flugzeug; und nur die abgebrühtesten Vielflieger schlafen noch.

Plötzlich klettert die Außentemperatur auf der Anzeige um etliche Grad nach oben. Dabei ist es in elf Kilometer Höhe nicht wirklich wärmer geworden. Der Messfehler entsteht, weil sich dicke Eiskristalle auf dem Sensor sammeln, der an der Außenhaut des Flugzeugs angebracht ist. Die Kristalle isolieren den Fühler gegen die Kälte hoch oben in der Erdatmosphäre. Das war offenbar der Anfang.

Immer mehr Eis wird in den Gewitterwolken über dem Atlantik emporgeschleudert. Nun legt es auch weit wichtigere Sensoren lahm: Die röhrenförmigen Geschwindigkeitsmesser, sogenannten Pitot-Sonden, geben ihren Geist auf.

Eine Warnmeldung nach der anderen flammt nun auf den Monitoren des Cockpits auf. Kurz hintereinander schalten sich ab: der Autopilot, die automatische Regelung des Triebwerksschubs, die Flugcomputer. "Das war wie ein Gehirnschlag", sagt Gérard Arnoux, Chef der französischen Pilotengewerkschaft SPAF.

Die letzten vier Minuten von AF 447 sind angebrochen - vier Minuten vom Ausfall der Geschwindigkeitsmesser bis zum Aufprall auf den Ozean, vier Minuten bis zum Tod von 228 Menschen.

Mulmiges Gefühl

Kaum ein Absturz der letzten Jahre hat Flugpassagiere derart verunsichert. Wie konnte es passieren, dass ein Airbus einer so großen, vermeintlich sicheren Fluglinie einfach so verschwindet?

Noch immer herrscht ein mulmiges Gefühl unter den Passagieren auf der Strecke Rio-Paris. Die Flugnummer wurde nach dem Unglück umbenannt in AF 445.

Manch ein Vielflieger bucht seither lieber Tagesflüge über den Atlantik, weil die Piloten tagsüber Gewitterzonen besser erkennen können.

In den kommenden Wochen soll erneut eine großangelegte Suchaktion nach den Flugschreibern der Unglücksmaschine starten. Noch einmal sollen 2000 Quadratkilometer gebirgiger Ozeangrund abgesucht werden - unter anderem mit einem U-Boot aus Kiel. "Bevor wir diese Suche nicht abgeschlossen haben, sollte man zum Unfallhergang nicht spekulieren", erklärt Jean-Paul Troadec, Direktor der französischen Flugunfalluntersuchungsbehörde BEA.

Andere Experten sind weniger zurückhaltend. "Wir wissen inzwischen recht genau, warum das Unglück geschah", konstatiert Pilotengewerkschafter Arnoux.

Im Laufe der mehrmonatigen Untersuchungen haben Experten Beweisstücke zusammengetragen, um die letzten vier Minuten an Bord verhältnismäßig genau rekonstruieren zu können. Dabei wurde eine Sicherheitslücke offenbar, die alle derzeit zugelassenen Düsenflugzeuge betrifft. "So ein Unfall wie dieser könnte jederzeit wieder passieren", warnt Gewerkschafter Arnoux.

Für ihr Katastrophen-Puzzle rekonstruierten die Sachverständigen Dutzende Zwischenfälle mit anderen Airbus-Maschinen. Wrack- und Leichenteile lassen Rückschlüsse zu, wie die Maschine abgestürzt ist. Im Detail wurden auch jene 24 automatischen Pannenmeldungen analysiert, die das Flugzeug kurz vor dem Ende über Satellit an die Pariser Zentrale funkte. Vor allem eine Nachricht könnte jetzt das Rätsel um Flug AF 447 lösen - und zwar die letzte vor dem Aufprall.

In der Nacht zum ersten Juni stand der Halbmond über dem Atlantik - keine so schlechte Voraussetzung für einen Flug durch die gefährliche innertropische Konvergenzzone. Dort toben schwere Gewitter, Wolkentürme versperren den Weg wie bei einem Hindernisparcours. Neben dem bordeigenen Radar hilft ein heller Mond, die riskanten Wolkenformationen rechtzeitig zu erkennen.

Andere Maschinen flogen in der Unglücksnacht um die Unwetter herum und nahmen damit einen Umweg in Kauf.

Warum flog ausgerechnet AF 447 geradewegs hinein ins tödliche Gewölk? Beginnt die Tragödie vielleicht schon vor dem Start der Maschine?

Flughafen Galeão in Rio de Janeiro, 18 Uhr Ortszeit: Startvorbereitungen

Fotostrecke

Von Rio nach Paris: Untersuchung eines rätselhaften Flugunglücks

Foto: ERIC CABANIS/ AFP

Kapitän Marc Dubois, 58, geht den Flugplan von AF 447 durch: Das Startgewicht tippt er mit 232,757 Tonnen in den Bordrechner ein - das sind nur 243 Kilogramm unter dem maximal zulässigen Gewicht für den A330. Neben dem Gepäck der Passagiere lädt das Bodenpersonal noch zehn Tonnen Fracht in die Laderäume. Dubois lässt über 70 Tonnen Kerosin in die Tanks pumpen. Das klingt nach mehr, als es ist: Sein Metallvogel schluckt bis zu 100 Kilo Kerosin - in der Minute. Der Spritvorrat ist knapp bemessen.

Nur mit einem Trick kann der Flugkapitän überhaupt bis Paris kommen, ohne die gesetzlich vorgeschriebene Mindestreserve an Kerosin zu unterschreiten, die bei der Landung in Paris noch in den Tanks sein muss. Eine Ausnahmeregelung erlaubt ihm, das einige hundert Kilometer nähere Bordeaux als fiktives Flugziel für seine Spritberechnungen einzutragen.

"Größere Umwege sind jetzt nicht mehr so ohne weiteres möglich", erläutert Gerhard Hüttig, Airbus-Pilot und Professor am Institut für Luft- und Raumfahrt der TU Berlin. Schlimmstenfalls muss der Pilot in Bordeaux zwischenlanden - oder sogar schon in Lissabon. "Doch so etwas machen Piloten nur äußerst ungern", verrät Hüttig. Denn das kostet Geld, verursacht Verspätungen und wird von der Konzernleitung nicht gern gesehen.

Nach dem Start bringt Dubois die Maschine rasch auf eine Flughöhe von knapp elf Kilometern ("Flugfläche 350"). Nach seinen Kerosinkalkulationen muss er sogar noch deutlich weiter steigen, auf über elf Kilometer Höhe; in der dünnen Luft dort oben wäre der Verbrauch niedriger.

Ob er es wirklich dorthin geschafft hat, ist offen. Drei Stunden nach dem Start meldet sich Kapitän Dubois das letzte Mal bei den brasilianischen Fluglotsen: "Flugfläche 350". Es ist sein letzter Kontakt mit der Außenwelt.

Minute eins: Ausfall der Sensoren

Fotostrecke

Von Rio nach Paris: Untersuchung eines rätselhaften Flugunglücks

Foto: ERIC CABANIS/ AFP

Eine heiklere Situation ist selbst für nervenstarke Piloten kaum vorstellbar. Ausgerechnet in einem schweren Unwetter, das die Maschine kräftig durchschüttelt, blinkt auf dem Instrumentenbrett die Master-Warnlampe auf. Ein durchdringendes Warnsignal ertönt, mehr als eine Handvoll Fehlermeldungen prangen nun auf dem Flugmonitor.

Die Crew erkennt, dass alle drei Geschwindigkeitsmesser unterschiedliche Werte anzeigen. "So eine Situation geht hundertmal gut und einmal eben nicht", sagt Gewerkschafter Arnoux, der selber einen Airbus A320 fliegt.

Schnell muss der verantwortliche Pilot jetzt den richtigen Flugwinkel und den richtigen Triebwerksschub wählen. Nur so kann er sichergehen, auch ohne die genaue Geschwindigkeit des Flugzeugs zu kennen, in einer stabilen Fluglage zu bleiben, bei der die Strömung an den Tragflächen nicht abreißt. Der Copilot muss die beiden sicheren Werte aus einer Tabelle heraussuchen, die sich im Handbuch befinden - so die Theorie.

"In der Praxis rüttelt es im Flugzeug so stark, dass man schon Schwierigkeiten hat, die richtige Seite im Handbuch zu finden, geschweige denn, die Schrift noch zu entziffern", sagt Arnoux. "Fehler sind in solch einer Lage nie auszuschließen."

Wie gefährlich ein Ausfall der Geschwindigkeitsanzeige durch ein Vereisen der Pitot-Sonden sein kann, ist Luftfahrtexperten seit langem bekannt. 1998 etwa fiel bei einem Lufthansa-Airbus während der Warteschleife vor dem Frankfurter Flughafen die Tempoanzeige aus; nur weil das Eis im folgenden Sinkflug auftaute, kam es zu keiner Katastrophe. Die Bundesstelle für Flugunfalluntersuchung (BFU) in Braunschweig forderte schon damals, "die Spezifikation" für die Pitot-Sonden so zu verändern, dass "Flüge in schweren Vereisungslagen uneingeschränkt möglich sind".

Vereiste Sonden

Die Firma Thales, Hersteller jener Pitot-Sonden, die bei AF 447 zum Einsatz kamen, hatte schon im Jahr 2005 eigens eine Projektgruppe namens Adeline gegründet, um nach neuen technischen Lösungen zu suchen. Denn der Verlust der Geschwindigkeitsanzeigen könne "Flugzeugabstürze verursachen, besonders im Falle von vereisten Sonden", heißt es in einem Thales-Dokument.

Am besten über die Schwächen der Pitot-Sonden von Thales wusste Flugzeugbauer Airbus Bescheid. Allein neun Zwischenfälle ereigneten sich von Mai bis Oktober 2008, wie aus einer internen Liste des Flugzeugherstellers hervorgeht.

Gut zwei Monate vor dem Air-France-Absturz kam das Thema bei Treffen zwischen Airbus und der Europäischen Luftsicherheitsbehörde Easa zur Sprache - ohne dass die Easa sich zu einem Verbot der besonders störanfälligen Pitot-Sonden von Thales durchringen konnte.

Aber das Problem der Geschwindigkeitsmesser reicht tiefer. Noch heute testen die Zulassungsbehörden die Pitot-Sonden jedweder Bauart nur bis zu einer Temperatur von minus 40 Grad Celsius und einer Flughöhe von nur rund 9000 Metern. Diese völlig veralteten Spezifikationen stammen aus dem Jahr 1947 - also noch aus der Zeit vor der Einführung des Düsenflugzeugs.

Die Zwischenfälle der vergangenen Jahre jedoch, darunter auch der Absturz von AF 447, ereigneten sich zumeist oberhalb von 10.000 Metern.

Minute zwei: Kontrollverlust

Fotostrecke

Von Rio nach Paris: Untersuchung eines rätselhaften Flugunglücks

Foto: ERIC CABANIS/ AFP

Wussten die Piloten auf Flug AF 447 von den Ausfällen der Geschwindigkeitsmesser, von denen sich neun in ihrem eigenen Unternehmen abgespielt hatten? Air France hat eine Notiz dazu an seine Flugzeugführer verteilt, eine in einem Wust aus Hunderten Seiten Papier, die ein Pilot jede Woche in seinem Postfach vorfindet. Fest steht: Die Piloten von AF 447 haben einen Ausfall der Tempoanzeige in großen Höhen nie im Flugsimulator trainiert.

Erschwert wird die Lage im Cockpit dadurch, dass sich der Flugcomputer des A330 selber in eine Art Notprogramm versetzt hat. Das digitale Gehirn sitzt als Oberaufseher der Piloten ständig mit am Steuer - allerdings nur so lange, wie die Sensoren zuverlässige Daten liefern. Ohne Tempoanzeige quittiert der Computer weitgehend den Dienst - was es für die Piloten nicht einfacher macht.

"Plötzlich fühlen sich die Steuerelemente für den Piloten völlig anders an", erläutert Flugexperte Hüttig. Die digitale Komplexität des Airbus macht ihn in kritischen Flugphasen deshalb schwer zu lenken. Leichter wäre es für die Piloten, in kritischen Situationen den Flugcomputer einfach ganz abzuschalten, wie das bei Boeing-Maschinen möglich ist.

Auswirkungen von Vereisungen noch unklar

Auch Boeing-Flugzeuge erleiden gelegentlich Ausfälle ihrer Pitot-Sonden. Auf SPIEGEL-Anfrage bestätigte die US-Zulassungsbehörde FAA acht solcher Zwischenfälle bei der 777, drei bei der 767 und jeweils einen bei der 757 und dem Jumbojet. "Boeing studiert derzeit die Auswirkung von Vereisungen von Geschwindigkeitsmessern in großer Höhe", erklärt FAA-Sprecherin Alison Duquette. Bei den Zwischenfällen habe man aber "kein Sicherheitsproblem erkennen" können.

Trug also auch der im Notfall schwerer zu beherrschende Flugcomputer zum Kontrollverlust der Airbus-Piloten bei? Die Flugsicherheitsexperten Hüttig und Arnoux fordern rasche Untersuchungen, wie das System im Airbus auf einen Ausfall der Geschwindigkeitssensoren reagiert.

Anfang kommenden Monats veröffentlicht die deutsche BFU einen für Airbus unangenehmen Untersuchungsbericht zum Beinahe-Crash eines Lufthansa-A320 vor zwei Jahren in Hamburg-Fuhlsbüttel. Eine unerwartete Reaktion des Flugcomputers ließ die linke Tragfläche des Jets über die Landebahn schleifen. Insgesamt zwölf Sicherheitsempfehlungen wird die BFU abgeben, darunter auch zu den Airbus-Computerprogrammen.

Unklar ist, wer in den letzten Minuten die Air-France-Maschine steuerte. Der erfahrene Flugkapitän Dubois? Oder einer seiner beiden Ersten Offiziere? Gewöhnlich zieht sich der Kapitän einige Zeit nach dem Start in eine Schlafkabine zurück. Und noch ein Detail spricht dafür, dass der Kapitän zum Zeitpunkt des Unglücks nicht im Cockpit saß: Seine Leiche wurde aus dem Atlantik geborgen. Das bedeutet: Im Gegensatz zu seinen beiden Copiloten, die auf ihren Stühlen im Meer versanken, kann Dubois nicht angeschnallt gewesen sein.

Im Unterschied zu vielen anderen Airlines setzt sich bei Air France ausgerechnet der unerfahrenere der beiden Copiloten auf den leeren Stuhl des Kapitäns, wenn dieser nicht anwesend ist; der erfahrenere Copilot bleibt auf seinem Sitz rechts daneben sitzen - was im normalen Flugbetrieb auch nicht weiter tragisch ist, aber im Notfall das Absturzrisiko erhöhen kann.

Vermutlich lenkte folglich der dritte Pilot Pierre-Cédric Bonin die Maschine in den Untergang - ein gutaussehender Freizeitsegler, dessen Frau hinten in der Kabine mitflog, während ihre beiden Kinder daheim beim Großvater schliefen.

Minute drei: Im freien Fall

Fotostrecke

Von Rio nach Paris: Untersuchung eines rätselhaften Flugunglücks

Foto: ERIC CABANIS/ AFP

Schon bald nach Ausfall der Tempoanzeige geriet die Maschine außer Kontrolle. Vermutlich riss die Strömung an den Tragflächen ab. Mit rund 2500 Metern pro Minute, so glaubt Pilotengewerkschafter Arnoux, raste die Maschine der Meeresoberfläche entgegen. Diese Geschwindigkeit entspricht fast der eines Fallschirmspringers im freien Fall. Arnoux schließt diesen Ablauf auch aus dem Zeitpunkt einer per Funk übertragenen Fehlermeldung zum Druckausgleich zwischen Kabine und Außenluft, der gewöhnlich in 2000 Meter Höhe erfolgt. Wäre das Flugzeug in den Sturzflug gegangen, wäre der Alarm schon eher ausgelöst worden. "Es ergibt sich ziemlich genau vier Minuten freier Fall von Reisehöhe bis Wasseroberfläche", sagt Arnoux.

Nach diesem Szenario hätten die Piloten hilflos dem Verlust des Auftriebs zusehen müssen. Ein weiteres Indiz: Das Flugzeug blieb bis zum Ende intakt. Haben die Passagiere in den Turbulenzen womöglich gar nichts von ihrem Schicksal geahnt? Die aufgefundenen Sauerstoffmasken waren nicht wegen eines Druckverlusts von der Decke gefallen. Die Stewardessen saßen auch nicht auf ihren Notsitzen. Die Schwimmwesten blieben unangetastet. "Es finden sich keinerlei Spuren, dass die Passagiere in der Kabine auf eine Notlandung vorbereitet wurden", bestätigt BEA-Chef Troadec.

Zwei dürre Zeilen aus den per Funk übertragenen Wartungsnachrichten künden davon, wie verzweifelt die Piloten um die Kontrolle rangen: F/CTL PRIM 1 FAULT. Und: F/CTL SEC 1 FAULT.

Hinter den kryptischen Zeilen dürfte sich der Versuch der Piloten verbergen, die streikenden Flugcomputer neu zu starten. "Das ist wie nachts auf der Autobahn bei Tempo 180 den Motor aus- und wieder anzustellen", sagt Arnoux.

Der Rettungsversuch für die Flugcomputer ging schief. Auf den letzten 600 Metern bis zum Aufschlag begleitete die Piloten dann das infernalische Rufen einer männlichen Automatenstimme: "Terrain! Terrain! Pull up! Pull up!"

Minute vier: Aufprall

Fotostrecke

Von Rio nach Paris: Untersuchung eines rätselhaften Flugunglücks

Foto: ERIC CABANIS/ AFP

Über 200 Tonnen Metall, Plastik, Kerosin und menschliche Körper zerschellen auf der Wasseroberfläche. Mit welcher Wucht, liest sich aus dem forensischen Untersuchungsbericht, der minutiös beschreibt, wie Lungenflügel gerissen und Knochen der Länge nach zerborsten sind. Manche Leichen hat der Gurt in zwei Teile zertrennt.

Viele der gefundenen Wrackteile sind nicht größer als ein Quadratmeter. Die Bruchkanten verlaufen in einem auffälligen Winkel. Demzufolge knallte die Maschine nicht senkrecht, sondern wie eine flache Hand auf das Wasser; die Flugzeugspitze war fünf Grad nach oben gestellt. Aufschlussreich ist besonders das große Seitenleitwerk am Heck, das von der brasilianischen Marine aus dem Wasser geborgen wurde. Es riss sich aus der Verankerung und flog nach vorn weg. Die daraus bestimmte Wucht bedeutet: Mit mehr als dem 36-Fachen der Erdbeschleunigung (36g) wird der A330 abgebremst.

Während Airbus die Bedeutung der Pitot-Sonden beim Absturz des A330 noch immer herunterspielt, haben die Ingenieure des Unternehmens bereits neue Techniken entwickelt, die den Ausfall der Geschwindigkeitssensoren künftig schon vor dem Abheben entdecken sollen. Am 3. Dezember 2009 hat Airbus dafür in den USA ein Patent angemeldet. Fehler in der Geschwindigkeits-Messung könnten "katastrophale Folgen haben", heißt es in der Patent-Anmeldung.

Schon seit einigen Jahren bietet Airbus seinen Kunden (für 300 000 Euro pro Maschine) auch ein spezielles Sicherheitsprogramm ("Buss") an. Wenn die Geschwindigkeitsanzeige ausfällt, zeigt die Software den Piloten an, in welche sichere Fluglage er die Maschine bringen muss.

Air France hat den Kauf der Sonderausstattung bislang abgelehnt.