27.07.2009

TitelCaptain Computer

Rechner an Bord haben das Fliegen sicherer gemacht - doch geraten sie außer Kontrolle, kommt es zu unheimlichen Zwischenfällen. Während Ingenieure die Automatisierung vorantreiben, warnen Piloten vor einer Übermacht der Maschinen.
Ben Cave spürte allmählich Langeweile aufkommen. Über drei Stunden saß der Australier bereits auf seinem Sitz, zwei weitere Stunden lagen noch vor ihm, bis der Qantas-Jet in Perth aufsetzen sollte.
Der Airbus A330 düste auf einer Reiseflughöhe von 11 278 Metern dahin. An Bord herrschte der Gleichmut modernen Jetreisens, untermalt vom monotonen Rauschen der Triebwerke: Die Stewardessen ließen die Reste des Mittagessens in den Wägelchen verschwinden, einige der 303 Passagiere warteten vor den Toiletten, andere vertrieben sich die Zeit mit Dehnübungen.
Ben Cave löste seinen Gurt, stand auf, öffnete das Gepäckfach und kramte nach einer Zeitschrift und einem Stift. Das würde ihm die restliche Flugzeit verkürzen.
Dann begannen die längsten Minuten seines Lebens.
Um 12.40 Uhr und 28 Sekunden meldete sich vorn im Cockpit plötzlich der Autopilot ab. Während Cave ahnungslos im Gepäckfach wühlte, blinkte und lärmte es in der Pilotenkanzel. Auf dem zentralen Monitor prangten Fehlercodes: AUTO FLT AP OFF, NAV IR1 FAULT. Dann warnte eine metallische Stimme: Stall! Stall! Stall! Gefahr: Die Maschine ist zu langsam, gleich reißt die Strömung an den Tragflächen ab!
Dann ein Bimmeln und ein roter Schriftzug: Overspeed! Overspeed! Overspeed! Die Maschine ist zu schnell!
Einige Sekunden lang dachten der Kapitän und der Co-Pilot wohl, sie hätten es nur mit den Zicken eines der Flugcomputer zu tun: Die Triebwerke liefen normal, das Flugzeug lag perfekt in der Strömung, das Wetterradar meldete keine Turbulenzen.
"Was macht die Kiste nun schon wieder?", so entfährt es genervten Piloten in solchen Momenten, und meist hilft es dann, den bockenden Computer neu zu starten - oder es reicht gar, einfach abzuwarten. Häufig kriegt sich der Rechner von selbst wieder ein.
Doch diesmal stieg das Flugzeug wie von Geisterhand. Und nur einen Augenblick später, um 12.42 Uhr und 27 Sekunden wurde endgültig klar, dass es mit der Routine auf Flug QF 72 vorbei war: Abrupt senkte sich die Nase des Fliegers in die andere Richtung, steil nach unten. 8,4 Grad unter den Horizont, in Richtung Erdboden. Die Maschine gewann an Tempo, das Rauschen der entgegenströmenden Luft nahm zu - Sturzflug.
"Ich schlug mit dem Kopf gegen die Kabinendecke", erinnert sich Cave an jenen Mittag des 7. Oktober 2008, auf dem Weg von Singapur nach Perth. Auch um ihn herum schossen die Passagiere nach oben. Von überall her erklangen dumpfe Schläge von Körpern, die gegen den Plastikhimmel krachten. Dort oben verharrten die Leiber, plötzlich entfesselte Kräfte führten wie unsichtbare Marionettenspieler die Fäden.
"Für ein paar Sekunden dachte ich, jetzt ist alles aus", sagt Cave.
Wie in der Kabine, so herrschte auch im Cockpit des A330 mit dem Kennzeichen VH-QPA ein Gefühl der Machtlosigkeit, des Ausgeliefertseins. Mit aller Kraft zog der Pilot die Steuerung nach hinten. Verzweifelt versuchte er, das Flugzeug wieder in die sichere Horizontale zu bringen. Aber lange Sekunden passierte überhaupt nichts.
Wie von bösen Mächten gesteuert, stürzte der Airbus dem Verderben entgegen.
Genauso unvermittelt, wie der Computer die Gewalt übernommen hatte, gab er sie schließlich wieder frei: Die Nase des Fliegers richtete sich plötzlich wieder auf. Die Passagiere wurden nun mit dem Eineinhalbfachen der Erdbeschleunigung in die Sitze oder auf den Boden geschleudert.
Cave: "Um mich herum herrschte pures Chaos." Drei Minuten später wiederholte sich der gespenstische Amokflug. Um 12.49 Uhr setzte die Maschine einen Notruf ab, fünf Minuten danach den zweiten: "Mayday."
"Die Piloten sind wahre Helden", jubelte Cave nach der Notlandung auf einem winzigen Militärstützpunkt an der Westküste Australiens.
Doch wenn sie Helden sind, dann höchstens tragische.
Aus den Flugzeuglenkern waren weitgehend hilflose Zuschauer geworden. Nicht viel hatte gefehlt, und sie wären Opfer einer verrücktspielenden Maschine geworden, die sich von Menschenhand nicht mehr stoppen ließ. Hätte der Sturzflug etwas länger gedauert - der Flieger wäre womöglich so schnell geworden, dass die Piloten ihn nicht mehr hätten abfangen können, ohne das Flugzeug zerbersten zu lassen. Sekunden hatten zwischen Leben und Tod gelegen.
115 Verletzte, 12 davon schwer, 2 mit Rückenmarksverletzungen: So lautet die Bilanz von Flug QF 72. Die Kabinendecke war an vielen Stellen zertrümmert. "Wo ich aufgeprallt war, hing die Sauerstoffmaske herunter", berichtet Cave.
Seine Blessuren sind längst verheilt, geblieben aber ist die Verunsicherung der Piloten. 621 Maschinen des Typs A330 fliegen weltweit am Himmel, und eine von ihnen hatte plötzlich ein obskures Eigenleben offenbart.
Noch ist nicht endgültig geklärt, was da auf den Platinen von Captain Computer vorgegangen war. Offenbar verwirrten fehlerhafte Messdaten die Flugrechner so sehr, dass sie den Passagierjet statt in stabilem Geradeausflug in gefährlichem Steigflug wähnten - und die Nase ohne Zutun der Piloten nach unten drückten, um die Maschine vor dem vermeintlichen Abschmieren zu retten. "Wir wollen möglichst schnell wissen, wie das genau passieren konnte", sagt ein Lufthansa-Pilot, der jenen Langstreckentyp von Airbus fliegt.
Was Hersteller und Fluggesellschaft über den Qantas-Flug 72 liebend gern verschweigen wollen, spricht Julian Walsh von der australischen Behörde für die Untersuchung von Flugunfällen (ATSB) offen aus: "Fest steht, dass das Flugzeug einige Zeit aus eigenen Stücken gehandelt hat."
Geweckt wird damit die Urangst vor einer Technik, die, selbständig handelnd, die Macht an sich reißt. Wie der Bordcomputer HAL, der in Stanley Kubricks Science-Fiction-Klassiker "2001: Odyssee im Weltraum" die Regie im Raumschiff übernimmt, so hatten auch bei Qantas Rechner eigenmächtige Entscheidungen getroffen.
Weiter geschürt hat diese Sorge der Absturz eines anderen Airbus A330 am Pfingstmontag: Die Air-France-Maschine AF 447 befand sich auf dem Weg von Rio de Janeiro nach Paris, als sie aus Reiseflughöhe in den Atlantik stürzte und 228 Menschen in den Tod schickte. Die wahre Ursache wird sich möglicherweise nie klären lassen.
Doch auch bei diesem Unglück künden die letzten Signale, die von der Bordelektronik der Todesmaschine über Satellit abgesetzt wurden, von digitalen Problemen an Bord: 24 dürre Wartungsmeldungen an die Zentrale in Paris deuten darauf hin, dass die Geschwindigkeitssensoren fehlerhafte Werte meldeten, dass sich Flugcomputer ausschalteten, weil sie mit den widersprüchlichen Daten nicht fertig wurden.
Was ist in jener Unwetternacht über dem Atlantik geschehen? Waren die Piloten überfordert von abstürzenden Computersystemen? Machten sie in dem Wirrwarr aus Fehlermeldungen selbst einen tödlichen Fehler? "Was auch immer als Ergebnis herauskommt: Der Absturz wirft Fragen auf, wie gründlich Piloten trainiert sind, mit weitverbreiteten Computerstörungen während des Fluges umzugehen", schreibt das "Wall Street Journal".
Auch das britische Fachblatt "Flight International" sagt eine neue Sicherheitsdebatte voraus und verweist insbesondere auf das Unglück der Turkish-Airlines-Boeing in diesem Februar in Amsterdam: Ein fehlerhafter Höhenmesser meldete während des Landeanflugs, die Maschine befände sich bereits zwei Meter unter der Landebahn. Die Computer für die automatische Schubregelung wähnten sich am Boden und reduzierten die Triebwerksleistung. Die Piloten übersahen dies - vielleicht weil sie dem Computer zu sehr vertrauten.
Schließlich bohrte sich die 737 in einen Acker vor der Landepiste. Neun Menschen starben. "Das Thema Mensch und hochautomatisiertes Flugzeug wird auf der Agenda hochkommen", prophezeit "Flight International".
Dazu beitragen dürfte auch der Abschlussbericht zur Beinahe-Katastrophe einer Lufthansa-Maschine, der im Herbst veröffentlicht wird. Im März 2008 schrappte mitten in einem Orkan ein A320 mit einer Flügelspitze über die Landebahn des Flughafens Hamburg-Fuhlsbüttel. Die dramatischen Bilder von dem Beinahe-Crash gingen um die Welt; ein Film, gedreht von einem Amateur, wurde millionenfach im Internet angeschaut.
Zunächst wurden die Piloten zu Helden verklärt, weil sie ihren Flieger gerettet hätten; dann wurde die Co-Pilotin in der Boulevardpresse als unerfahren diffamiert. Sie habe unbeholfen hantiert.
"Doch nun stellt sich die Sache komplexer dar", erklärt der zuständige Ermittler Johann Reuß von der Bundesstelle für Flugunfalluntersuchung in Braunschweig. "Wir untersuchen selbstverständlich auch die Rolle, die das Flugzeug selbst gespielt hat." Mehr darf er nicht sagen, weil der Abschlussbericht noch unveröffentlicht ist.
Nach bislang geheimen Ermittlungsergebnissen zeigte der A320 während der Orkanlandung aber offenbar ein unerwartetes Verhalten. Die wahrscheinlichste Erklärung: Weil ein Reifen der Maschine bereits kurz den Boden berührt hatte, schaltete der Computer von dem Anflugmodus in den Bodenmodus. Letzterer aber erlaubt keinen so starken Einschlag des Querruders, wie es die Piloten wegen des extremen Seitenwinds tun mussten. Der Computer griff ein, begrenzte den Einschlag - und die Flügelspitze schrammte urplötzlich die Landebahn.
"Solch ein Verhalten der Maschine stand in keinem Handbuch", kritisiert ein Pilot - und es steht auch heute noch nicht drin, weil Airbus sich bis zum Abschluss der Untersuchung bedeckt hält.
Dabei hätte die Landung durchaus mit einem schlimmen Unglück enden können. Fast drei Sekunden führte der Computer das Kommando. Erst durch das beherzte Eingreifen des Piloten, der das Flugzeug wieder in die Luft zog, konnte die über 200 Stundenkilometer schnelle Maschine eingefangen und vor dem Zerschellen bewahrt werden.
Generell ist unstrittig, dass Digitaltechnik an Bord geholfen hat, die Sicherheit in der Luftfahrt zu mehren; in den allermeisten Fällen hilft sie, gefährliche Fluglagen frühzeitig zu verhindern.
Doch all jene Ereignisse belegen eindrucksvoll, dass die digitale Aufrüstung auch zur Bedrohung werden kann. Die unheimlichen Pannen bescheren der Luftfahrt eine Debatte, die Airlines wie Hersteller nur zu gern vermeiden würden: Mit wie viel Hightech sollen die Ingenieure das Cockpit noch aufrüsten? Führt mehr Digitaltechnik wirklich automatisch zu mehr Sicherheit? Und wie viel Macht darf der Flugcomputer haben, ohne dass eine verhängnisvolle Ohnmacht der Piloten droht?
Computer besitzen ein janusköpfiges Wesen: Einerseits helfen sie, Abstürze zu vermeiden. Deshalb stellt niemand ihre Daseinsberechtigung in Frage. Manch ein Experte sähe am liebsten sogar noch mehr Rechner im Cockpit. Der britische Luftfahrtexperte David Learmount etwa glaubt, dereinst könnten sie einen der Piloten in der Kanzel ganz ersetzen: "Warum braucht man zwei, wenn doch das Computersystem der Co-Pilot des Kapitäns ist?", fragt Learmount provozierend.
Andererseits jedoch können die Computer ihrerseits zum Sicherheitsproblem werden. Als die australischen Unfallermittler genauer recherchierten, fanden sie, dass auch der Blackout des QF-72-Rechners keineswegs einen Einzelfall darstellt: Im vergangenen Dezember, gerade einmal zwei Monate nach dem Drama vor der australischen Küste, machte sich ein weiterer Qantas-A330 selbständig. Und auch Konkurrent Boeing ist vor unvorhergesehenen Computerkapriolen nicht gefeit: 2005 zog der Flugrechner eine Boeing 777 zweimal rund 700 Meter ohne erkennbaren Grund nach oben - so stark, dass sie über ein Drittel an Geschwindigkeit verlor und die Strömung beinahe abgerissen wäre.
"Zwischenfälle dieser Art sind Vorboten dessen, was uns in Zukunft häufiger begegnen könnte", fürchtet Thomas Haueter, Direktor für Luftfahrtsicherheit der mächtigen US-Flugunfallbehörde NTSB. Der Ermittler warnt damit vor nur schwer vorhersehbaren Pannen in den Bordrechnern: "Eine Menge Leute sind sehr besorgt, dass aus der Fülle von Computern und Software bisher nicht gekannte Probleme entstehen können." Haueter fordert, dass Piloten niemals die ganze Macht über ihr Flugzeug verlieren dürften.
In einem modernen A320-Kurzstreckenflugzeug etwa arbeiten über 2000 Computer: Sie steuern die Klimaanlage, überwachen die Triebwerke, kontrollieren die Bordtoiletten - sie lenken aber auch das Flugzeug mit.
Lange vorbei sind die Zeiten, als ein Pilot seine Maschine noch vollkommen verstand. "Wir müssen gewaltige Anstrengungen unternehmen, damit wir nicht bei der Flugsicherheit Einbußen erleiden", mahnt Haueter. Die Hersteller seien sich der Problematik durchaus bewusst: "Die wissen, dass der Automatisierung die Zukunft gehört - aber sie wissen auch, dass Computer noch besser als bisher getestet werden müssen."
In einem Bericht der US-Wissenschaftsakademie NAS sprechen die Autoren von "mehreren Flugzeugunfällen", bei denen Piloten unterschiedliche Computereinstellungen durcheinanderbrachten: "Die Software verhielt sich, wie man sie programmiert hatte, aber nicht so, wie die Piloten es erwarteten." Die US-Luftfahrtbehörde FAA stimmt zu, dass zunehmende Computerisierung von Flugzeugen "die Überprüfung der Software zu einer großen Herausforderung" macht. Die Programme sind kaum mehr für alle Eventualitäten zu testen - zu komplex.
"Wenn man die technische Dokumentation eines Flugzeugs stapelt, ist der Papierberg dreimal so hoch wie der Eiffelturm", sagt Marc Diouane, Manager des US-Software-Konzerns PTC.
Lange Zeit konnte die Luftfahrtindustrie darauf verweisen, dass das Fliegen tatsächlich immer sicherer geworden ist. Abermillionen Touristen steigen alljährlich bedenkenlos in ihre Urlaubsflieger. Selbst unter Passagieren mit Flugangst hat sich herumgesprochen, dass das Gefährlichste am Fliegen die Autofahrt zum Airport ist.
Statistiker haben errechnet, dass dieser Spruch durchaus wörtlich zu nehmen ist: Die vielen Menschen, die nach den Anschlägen des 11. September vom Flugzeug ins Auto umgestiegen sind, haben demnach letztlich zu mehr Verkehrstoten geführt, als in den zum Anschlag verwendeten Maschinen gestorben sind.
Auf eine Million Starts und Landungen kommt derzeit weniger als ein Unfall mit Todesfolge. Um 1960, der Anfangszeit des Jetzeitalters, lag dieser Wert noch bei elf. Wäre die Luftfahrt heute noch so unsicher wie in den siebziger Jahren, würde allwöchentlich ein Flugzeug vom Himmel fallen (siehe Grafik Seite 108).
Alles bestens also für die Flugreise in den Sommerurlaub? Kein Zweifel: Flugzeuge von heute sind so zuverlässig, dass man zu vergessen scheint, in einer mit Kerosin vollbetankten, knapp unter Schallgeschwindigkeit rasenden Aluminiumröhre zu sitzen. Die Triebwerke fallen kaum noch aus - einst eine der Hauptursachen von Abstürzen. Druckkabine, Hydraulik und Fahrwerk haben an Beständigkeit viel gewonnen. Der Computer warnt frühzeitig, wenn der Aufprall auf den Boden oder der Zusammenstoß mit einem anderen Flugzeug droht. Und die Leitstrahlen des Landesystems dirigieren die Flieger wie an einer Perlenkette herunter auf die Piste - selbst bei dickstem Nebel.
"In puncto Sicherheit ist die Luftfahrt eine Erfolgsgeschichte sondergleichen", resümiert Stefan Levedag, Direktor am Deutschen Zentrum für Luft- und Raumfahrt (DLR) in Braunschweig. Doch das könnte Geschichte sein: Im ersten Halbjahr 2009 war die Zahl der Toten im Luftverkehr so hoch wie seit 2002 nicht mehr. Nach den Airbus-Abstürzen von Air France über dem Atlantik und von Yemenia Airways vor den Komoren lag die Zahl der getöteten Passagiere mit 499 um rund die Hälfte über dem Durchschnitt der vergangenen zehn Jahre.
Erst vorige Woche veröffentlichte "Flight International" die neuesten Zahlen. Demnach ergibt sich aus der Statistik eine historische Zäsur: Hatte sich seit den Gebrüdern Wright jedes Jahrzehnt die Absturzrate weiter verringert, so scheint sie zwischen 2000 und 2010 erstmals zu stagnieren. "Sicherheit im Rutschen?", titelte das Magazin.
Längst ist in Fachkreisen eine neue Sicherheitsdebatte um die Fliegerei entbrannt. "Wie sollen wir das hohe Sicherheitsniveau noch weiter verbessern?", fragt Levedag fast verzweifelt. Genau dazu ist die Luftfahrtindustrie aber wohl oder übel verdammt. Denn rasant wächst die Zahl der Flugzeuge am Himmel und mit ihr auch die Absturzgefahr. Ein Beratungsgremium der Europäischen Union hat in einer Studie deshalb gefordert, dass die Unfallrate im Flugverkehr noch einmal um 80 Prozent gesenkt werden müsse, und zwar bis zum Jahr 2020.
Unklar bleibt, wie ein solches Ziel erreichbar sein soll. Denn schon heute lässt sich der Anstieg der Flugbewegungen kaum mehr durch einen Zuwachs an Sicherheit kompensieren. Manche Experten sehen schon jetzt eine Trendwende. Die Zahl kleinerer Zwischenfälle und Beinahe-Unfälle habe zugenommen, sagt der Sicherheitsexperte einer großen Fluggesellschaft. Auf jeden Absturz oder Unfall mit Personenschaden, so die Faustregel, kommen Hunderte Unfälle mit Sachschaden sowie kleinere Zwischenfälle. "Und auf dieser unteren Ebene erkennen wir einen steigenden Trend", sagt der Insider.
Experten befürchten, dass die Möglichkeiten ausgereizt sind, die Sicherheit durch noch höhere Wartungsqualität oder etwa die modernen Aufprall-Warnsysteme weiter zu erhöhen. Zusätzlich tauchen neue Gefahrenquellen auf: das Gedränge im engen Luftraum etwa, der ruinöse Wettbewerb und als dessen Folge schlechte Wartung oder Ausbildung. Und schließlich bringt auch das digitale Wettrüsten neue Risiken hervor - Risiken, die sich aus der Komplexität ergeben, aus dem binären Geplauder Tausender Bordrechner.
Auf ganz neue Weise stellt sich damit die Frage, welche Rolle der Mensch in diesem System künftig spielen soll. Sicherheitsexperte Learmount: "Wie viel Kontrolle soll beim Piloten bleiben, wann soll ein Computer intervenieren, und wie soll so eine Schnittstelle zwischen Mensch und Computer aussehen?"
Gerade die Piloten selbst fordern derzeit auf zur Diskussion um das Selbstverständnis ihres Berufs. "Wir müssen Computer und Mensch zu einer gemeinsam operierenden Einheit machen", sagt Nikolaus Braun von der Pilotenvereinigung Cockpit. Mehr Technik dürfe keineswegs weniger Mensch im Cockpit bedeuten. Im Gegenteil: Je komplexer die Systeme, desto mehr seien die Piloten gefragt. "Deren Ausbildung muss verstärkt, nicht reduziert werden", fordert Fran Hoyas von der Europäischen Pilotenvereinigung ECA.
Reiner Kemmler, langjähriger Flugpsychologe bei der Deutschen Lufthansa, ist überzeugt, dass die Technik die Piloten vor neue Herausforderungen stellt: "Sie sind vor allem visuell an der Grenze dessen angelangt, was das menschliche Wahrnehmungssystem noch bewältigen kann", warnt er (siehe Interview Seite 112).
Schritt um Schritt hat der Mensch Macht an die Maschine abgeben müssen. Eingeführt wurden die ersten Flugcomputer vom Militär. Unmöglich wäre es, heutige Kampf- jets mit ihrem instabilen Flugverhalten ohne Computerhilfe zu steuern. Dann tauchten die Systeme in dem legendären Überschallflugzeug Concorde auf.
Schließlich revolutionierte der damals noch junge Luftfahrtkonzern Airbus seine Flotte mit einem neuartigen, digitalen Flugzeugsystem: "Fly by wire" - so wurde es schnell in Fachkreisen betitelt, und es kam mit dem Versprechen beispielloser Sicherheit daher. Von Beginn an sei es deshalb mit einer "psychologischen Nebenwirkung" behaftet gewesen, schreibt Sicherheitsexperte Learmount, "analog zu dem Gerede von der Unsinkbarkeit der 'Titanic'". Als 1987 der A320 zum Jungfernflug startete, ging in Fachkreisen längst der inoffizielle Airbus-Werbeslogan um: Der bestbezahlte Passagier sitzt im Cockpit.
Fly by wire heißt zunächst einmal: Statt über ein mechanisches Gestänge und Seilzüge werden die Steuerbewegungen des Piloten an die hydraulischen Stellzylinder der Leitwerke elektrisch mit Hilfe von Kabeln ("wire") übertragen (siehe Grafik Seite 116). Das Konzept beinhaltet aber noch einen entscheidenden Unterschied zur konventionellen Bauweise: Zwischen Pilot und Ruder sind als Kontrollinstanzen stets Computer geschaltet, die alle Steuerimpulse überwachen und notfalls korrigieren.
"Laien denken dabei irrtümlich an den Autopiloten, der sich an- und ausschalten lässt", erklärt Gerhard Hüttig vom Zentrum für Flugsimulation in Berlin. Den gibt es zwar auch. Dieser Automat ist aber nur einer von vielen und steuert das Flugzeug entlang einem vom Piloten vorab programmierten Kurs. Die Flugcomputer des Airbus jedoch machen weit mehr: Sie werden von selbst aktiv, wenn das Flugzeug in einen gefährlichen Anstellwinkel gerät, zu viel Geschwindigkeit verliert oder eine zu heftige Rollbewegung zu vollziehen droht. "Flight Envelope Protection", so tauften die Ingenieure von Airbus jene Software, die das Flugzeug allzeit im grünen Bereich halten soll. "Die Computer greifen ein", erklärt Hüttig, "da kann der Pilot noch so sehr am Steuer ziehen."
Der Flugprofessor führt das live vor - nicht in der Luft, dafür auf sicherem Boden unweit des Ernst-Reuter-Platzes im Herzen Berlins. Dort steht in seinem Institut einer der modernsten Flugsimulatoren. Hüttig nimmt vorn links Platz in einem Cockpit des A330. "Das entspricht hier ziemlich genau jenem Air-France-Flugzeug, das im Atlantik verunglückt ist", erzählt der Wissenschaftler.
Den Start vom Flughafen München überlässt er seinem unbedarften Co-Piloten. Dann greift er zur Anschauung zum eigenen Steuergerät. Es sieht aus wie ein Joystick, kaum größer als der eines Spielcomputers. "Dies ist der sichtbarste Teil der Fly-by-wire-Technik", sagt Hüttig.
Bis zum Anschlag drückt er den Sidestick, so der offizielle Name, nach rechts. Und sofort zeigt sich, dass Kollege Computer tatsächlich mitfliegt. Die hydraulischen Stützbeine des Flugsimulators knicken ein und erzeugen das sinnliche Gefühl einer sanften Rechtskurve. "Eigentlich müsste das Flugzeug jetzt eine so scharfe Kurve fliegen, dass es übersteuert und im Extremfall überrollt", erklärt Hüttig.
Genau das aber verhütet der Computer: Blitzschnell hat er anhand der Lage des Flugzeugs, die ihm von den Sensoren gemeldet wurde, berechnet, wie viel er einschlagen kann, ohne zu havarieren.
In der realen Flugwelt fände dieses Manöver seine Entsprechung, wenn sich eine entgegenkommende Maschine von links näherte. "Würde der Pilot in Panik geraten und beim Ausweichen übersteuern, bewahrt ihn der Computer vor einem Flugfehler", erklärt der Flugzeugtechniker.
Ein ähnliches System hat Boeing Mitte der neunziger Jahre in seinem Langstreckenflugzeug 777 eingebaut. Die Boeing 787, das neueste Modell aus der Flugzeugschmiede, wird sogar noch mehr solcher automatischen Flugsysteme enthalten; und auch heutige 737er besitzen bereits diverse Automatikkomponenten.
Doch es gibt einen Unterschied zwischen dem amerikanischen und dem europäischen Konzept: Bei Airbus ist nicht wirklich vorgesehen, dass der Pilot den Flugcomputer auch ausknipsen kann. Anders als der Autopilot kann sich der Flugcomputer nur selbst zügeln, wenn seine Systeme derart durcheinandergeraten, dass er nicht mehr weiterweiß.
Ständig wird der Pilot in der Airbus-Kanzel also digital überwacht und umsorgt. Bestechend schien zunächst diese neue Sicherheitsphilosophie. Und dennoch stand schon am Anfang ein Desaster: Drei Monate nach der Erstauslieferung des A320 schmierte auf einer Flugschau im Elsass ein Airbus vor laufenden Kameras in ein Waldstück ab. Das Bild der großen Rauchwolke über den Baumwipfeln wirkte wie ein Menetekel: Manch einer glaubte, Airbus werde sich von diesem Rückschlag nie mehr erholen können.
Handelte es sich nur um eine Panne, wie sie bei der Einführung einer neuen Technik fast unvermeidlich sind? Oder offenbarte sich eine grundlegende Schwäche der neuen Airbus-Philosophie?
Leidenschaftlich stritten die Experten. Die einen sagten, Computer und Pilot hätten sich in diesem komplizierten Flugmanöver nicht richtig verstanden. Airbus beharrt bis heute darauf, der Pilot habe sich damals nicht diszipliniert verhalten.
Fünf Jahre später ein erneuter Unfall: Warschau, ein stürmischer Tag. Eine A320 der Lufthansa schlitterte bei starkem Wind und Regen über die Landebahn hinaus und zerbrach. Zwei Menschen starben. Der Wind hatte plötzlich gedreht, vielleicht hätten die Piloten besser durchstarten sollen. Stattdessen setzten sie die Maschine sachte auf. Unter anderem weil die Reifen sich aber auf der nassen Piste wie beim Aquaplaning nicht drehten, täuschte sich die Automatik; der Computer erkannte nicht, dass sich der Flieger bereits auf der Landebahn befand. Neun Sekunden lang
zögerte das System, bis Schubumkehr und Bremsklappen vom Flugcomputer schließlich freigegeben wurden. Neun ohnmächtige Sekunden, in denen die Piloten tatenlos zusehen mussten, wie die Befeuerung am Ende der Piste näher kam.
Kaum verhohlen warb Boeing damals für seine Strategie, die dem Piloten größere Interventionsrechte einräumte. Verwiesen wurde auf eine Boeing 747, die zwei chinesische Piloten aus fast hoffnungsloser Lage gerettet hatten; das Vierfache der Erdanziehungskraft wirkte dabei auf die Maschine. Die Airbus-Computer hätten den Piloten ein solch radikales Flugmanöver nicht gestattet.
Aus Airbus-Kreisen kamen Gegenbeispiele. In Kolumbien etwa war eine Boeing 757 abgestürzt; 159 Menschen an Bord starben. Das Kollisionswarnsystem hatte die Crew vor einem Aufprall gewarnt. Der Pilot zog die Maschine hoch, schaffte es aber nicht mehr über die Bergspitze, weil er vergessen hatte, die Bremsklappen einzufahren. Ein A320 hätte dies automatisch getan, so Airbus.
Inzwischen, so der Flugzeugbauer aus Toulouse, sei der Kulturkampf entschieden. Ein hochrangiger Sicherheitsmanager verweist auf die Statistik: "Die Unfallzahlen beweisen, dass wir recht hatten."
Die Behauptung ist nur schwer zu widerlegen: Einen aussagekräftigen Vergleich von Unfallzahlen zwischen Boeing- und Airbus-Modellen gibt es nicht. Einen deutlich sichtbaren Vorteil der Airbus-Strategie geben die Statistiken allerdings auch nicht her: Flugzeuge beider Hersteller stürzen ab; und immer wenn es darum geht, die Unfallursache zu ermitteln, ist Airbus peinlich darauf bedacht, keinen Verdacht gegen das eigene Fly-by-wire-System aufkommen zu lassen. Beim Qantas-Unfall, wiegelt der Konzern ab, verbiete sich jede Spekulation; noch liege der Abschlussbericht der ATSB nicht vor. Und erst recht gelte dies für den abgestürzten A330 der Air France.
Boeing oder Airbus - unter Piloten ist das fast zur Glaubensfrage geworden. "Das lässt sich genauso wenig entscheiden wie die Frage, ob Mercedes oder BMW besser ist", sagt Pilotenvertreter Braun.
Genährt wird dieser Streit immer wieder durch Unglücke und Zwischenfälle mit den Fly-by-wire-Computern. Und immer wieder erleben Piloten wie jene in der Lufthansa-Maschine bei der Orkanlandung in Hamburg neue böse Überraschungen, die keiner der Konstrukteure je vorhergesehen hat.
Zumindest nach außen hin lassen sich die Ingenieure durch solche unvorhergesehenen Ereignisse nicht verunsichern. "Redundanz" heißt das Zauberwort, mit dem die Flugzeugentwickler die Piloten zu beruhigen versuchen. So viele Rechner arbeiteten parallel, dass Probleme eines einzelnen von ihnen kein Unglück bedeuteten. Fünf Flugcomputer sind in einem Airbus wie dem A330 installiert: drei primäre und zwei sekundäre. Ihre Software ist in diversen Ländern von verschiedenen Firmen in unterschiedlichen Programmiersprachen verfasst, um größtmögliche Absicherung zu schaffen gegen einen Komplettabsturz des Systems.
Aber auch noch so viel Redundanz kann keinen 100-prozentigen Schutz bieten: Im Anflug auf Chicago brach an Bord der Maschine einer südamerikanischen Airline digitales Chaos aus. Der Hauptschalter eines der Flugcomputer hielt wegen einer gebrochenen Feder nicht in der On-Position und begann, den Rechner mit hoher Frequenz an- und wieder abzuschalten. Die Folge war ein Durcheinander, das auch die anderen Rechner außer Gefecht setzte.
Auch den Piloten einer Airbus-Maschine auf dem Flug von London nach Budapest widerfuhr 2005, was nach Logik der Ingenieure eigentlich gar nicht vorkommen kann: ein Ausfall aller Bildschirme bis auf einen, auf dem die Warnungen für diese Panne erschienen. Nicht mal genug Saft zum Funken von "Mayday" war da.
Bis es den Piloten letztlich gelang, das kollabierte System wieder hochzufahren, waren sie auf Notfallinstrumente angewiesen, wie sie sich seit den frühen Tagen der modernen Luftfahrt auf dem Instrumentenbrett befinden: auf den künstlichen Horizont etwa und einen Höhenmesser auf Basis des Luftdrucks.
In der jüngsten Generation von Flugzeugen erscheint auch die Notfallanzeige auf einem Bildschirm. "Glascockpit" heißt unter Piloten deshalb eine heutige, mit Monitoren gespickte Flugzeugkanzel - im Unterschied zu früher, als die Piloten noch liebevoll vom "Uhrenladen" sprachen (siehe Grafik Seite 110). Wären auch die Monitore mit den Notanzeigen auf dem Budapest-Flug schwarz geworden?
Im Februar 2005 wiederum versagte an Bord eines A340 auf dem Weg von Hongkong nach London der Rechner, der die Treibstoffbestände überwachte und steuerte. Ein Triebwerk setzte aus, ein zweites stotterte. Weil der A340 eine vierstrahlige Maschine ist, gelang die Notlandung in Amsterdam problemlos.
Angesichts solcher Pannen stellt sich die Frage, ob man je wird ausschließen können, dass irgendwo tief verborgen im Geflecht der Rechnereinheiten, in der Kakophonie der Programmiersprachen, im Geplauder aus Nullen und Einsen noch ein unerkannter Fehler steckt. Als zum Beispiel die Boeing 777 der Malaysia Airlines vor vier Jahren aus dem Ruder lief, fanden die Experten hinterher heraus, dass eine Software-Aktualisierung nicht kompatibel mit den vorinstallierten Programmen war. "Es würde mich für die Zukunft sehr beunruhigen, wenn wir solche Probleme nicht in den Griff bekommen", mahnt NTSB-Experte Haueter und fordert neue Standards in der Zertifizierung der Bordautomatik.
An einem ähnlichen Projekt arbeitet Peter Ladkin, ein Experte für Software-Sicherheit an der Universität Bielefeld. Er kritisiert mangelnden Sachverstand und eine falsche Methodik bei der Zulassung neuer, gern als "intelligent" gepriesener Technik. "Da wird höchstens ein Ausfall in einer Milliarde Flugstunden garantiert, und dann spinnt das System auf einem Flug gleich zweimal - und einige Monate später schon wieder", kommentiert er die Qantas-Zwischenfälle.
Zunehmend überfordere selbst die Systementwickler die Komplexität der von ihnen erschaffenen Rechnernetzwerke. Nach einem Unfall könnten häufig nur noch die Experten der Herstellerfirma rekonstruieren, was für ein Fehler dem Rechner unterlaufen ist. Und nicht selten brauchten sie Wochen dafür. "Der Pilot hingegen hat mitunter nur Sekunden, um sein Leben und das der Passagiere zu retten", sagt Ladkin, der selbst Pilot ist.
Zudem, meint er, sei es höchst problematisch, wenn der Hersteller eines Flugzeugs oder einer Computerkomponente nach einem Unfall mit der Ermittlung betraut werde, weil kein anderer Sachverständiger durch die Software durchsteigt: "Das schränkt die Sicht bei der Ursachenforschung ein", sagt Ladkin. Wohl auch, weil sich niemand gern selbst belastet.
Der englische Software-Sicherheitsberater Martyn Thomas sekundiert: "Die Computer haben sich von den Menschen, die sie bedienen sollen, zu weit entfernt." Gefragt sei ein Cockpit, das so angeordnet ist, dass der Mensch im Notfall intuitiv das Richtige macht.
Umstritten unter Piloten ist zum Beispiel der Sidestick des Airbus, der das Lenken grundlegend verändert hat. Früher hingen die Steuersäulen von Pilot und Co-Pilot an der gleichen Mechanik. Jeder von ihnen konnte folglich stets spüren, was der andere gerade macht. Ganz anders bei Airbus: In den modernen Maschinen werden die Bewegungen des Piloten gewöhnlich mit denen des Co-Piloten verrechnet. Drücken beide in eine Richtung, verstärkt sich der Ausschlag der Ruder. Steuert der eine rechts, der andere aber links, so heben sich beide Impulse auf.
Zwar gibt es am Sidestick einen Knopf, mit dem einer der Piloten die ganze Steuerung an sich ziehen kann. Doch muss er im Notfall auch daran denken, draufzudrücken. Außerdem dauert dieses Umschalten einen kurzen Augenblick.
Den fliegerischen Alltag allerdings hat die Elektronik zweifellos leichter gemacht. Vorbei die Zeiten, da die Piloten das Flugzeug mühevoll in die richtige Lage trimmen, den Schub anpassen, mit den Rudern gegen den Wind ansteuern mussten. Auch die Passagiere profitieren vom Flugkomfort, den die modernen Jets bieten: Der Computer sorgt meist dafür, dass das Ruckeln während der Turbulenzen glimpflich verläuft. Zudem hat die Digitaltechnik das Fliegen wirtschaftlicher gemacht.
So weit automatisiert etwa ist die Landung, dass die Ingenieure es den Piloten absichtlich überlassen haben, Landeklappen und Fahrwerk auszufahren - obgleich der Computer das genauso gut erledigen könnte. "Das dient allein dazu, die Aufmerksamkeit der Piloten zu bewahren", erklärt Luftfahrtprofessor Hüttig.
Umso mehr jedoch ist ihre Nervenstärke gefragt, wenn es zum Störfall kommt. Plötzlich fluten auf die zwei Menschen im Cockpit eine Fülle von Kontroll- und Warnhinweisen ein, die kaum mehr abzuarbeiten sind. Zwar ordnet das System die Ausfälle nach ihrer Dringlichkeit. Eine streikende Toilettenspülung etwa taucht im Fehlermenü erst ganz hinten auf. "Im Extremfall erfordert es von den Piloten ein Verständnis des Systemaufbaus, wie es sich kaum bewältigen lässt", sagt Iberia-Pilot Hoyas. Ein Beispiel dafür sei auch der Absturz des Air-France-Airbus: "Aus den Fehlermeldungen lässt sich auf eine ungeheuerliche Arbeitslast schließen."
Zwar gebe es für viele Ausfälle eine Anweisung in der Bedienungsanleitung. Doch wie soll man unter Stress im nächtlichen Gewitter so ein digitales Multi-Organversagen reparieren? "Und am Ende heißt es dann vom Hersteller: ,Da hat es doch Anleitungen gegeben'", so Hoyas.
Fatal sei es da, dass es den Piloten immer mehr an Training fehle. "Manch ein Langstreckenkapitän kommt im Monat auf höchstens eine Handvoll Starts und Landungen", sagt Hoyas. Während des Flugs selbst aber gibt es, wenn der Rechner erst einmal schnurrt, nur noch wenig zu tun. Das klassische Fliegen mit Steuersäule und Schubhebeln gehört weitgehend der Vergangenheit an.
Gleichzeitig wird von jungen Piloten immer weniger praktische Flugerfahrung gefordert. Vor allem der Boom der Billig-Airlines und das ungezügelte Wachstum des Luftverkehrs in Asien hat dazu geführt, dass die Ausbildung in der Luft halbiert wurde: von 300 auf 150 Stunden.
Und es soll noch weiter runtergehen. "Multi Crew Pilot Licence" ist ein Schlagwort, hinter dem sich verbirgt, dass Pilotenanwärter künftig noch mehr im Simulator als in der Wirklichkeit trainieren. "Da sitzen bald Co-Piloten im Cockpit mit nur 70 Stunden echter Flugerfahrung", kritisiert Hoyas.
So kommt es den Airlines gerade recht, dass immer mehr menschliche Arbeitskraft in der Flugzeugkanzel an den Automaten delegiert wird. Das leugnen auch die Airbus-Leute nicht: "Einige Gesellschaften reduzieren das Training mit dem Argument, sie hätten ein modernes Flugzeug mit allen erdenklichen Sicherheitstechniken eingekauft", sagt ein Airbus-Manager. Dass allerdings gerade diese Einsparungsmöglichkeit von Airbus als Verkaufsanreiz benutzt wird, bestreitet er.
So setzt sich die Automatisierung der Luftfahrt unaufhaltsam fort. Derzeit haben die Ingenieure die vielleicht gefährlichste Flugphase ins Visier genommen: den Moment des Aufsetzens, wenn sich Menschen mit Flugphobie bereits entspannen und bei Charterflügen gern Applaus durch die Kabine brandet.
Eine neuartige Technik misst anhand der exakten Position und des topografischen Flughafenprofils, ob das Flugzeug richtig auf die Landebahn einschwebt: nicht zu hoch, nicht zu spät, nicht zu früh, nicht zu schnell.
Nach dem Aufsetzen der Räder dosiert ein zweites System die Bremskraft. Es sorgt dafür, dass das Flugzeug genau an der richtigen Landebahnausfahrt abbiegen kann. Die Entscheidung zum Durchstarten behält in der derzeitigen Konfiguration zwar noch der Pilot. "Das System könnte aber schon heute vollkommen selbständig landen", sagt Holger Duda vom DLR in Braunschweig.
Wie weit entfernt ist da noch der Zeitpunkt, bei dem der Mensch im Cockpit gänzlich überflüssig wird? Das Selbstvertrauen der Luftfahrtingenieure ist groß und zeigt sich an der Entwicklung von unbemannten Flugzeugen fürs Militär. Drohnen observieren Feindesland, feuern Raketen ins Ziel und transportieren bald auch Nachschub. Der "Global Hawk" etwa besitzt bereits die Spannweite einer heutigen zivilen Kurzstreckenmaschine.
Der fensterlose Metallvogel landete nach einer Atlantiküberquerung auf dem Militärflugplatz Nordholz bei Cuxhaven, während der Pilot am Joystick in einer kalifornischen Luftwaffenbasis saß. "In zehn Jahren werden wir auch im zivilen Luftverkehr unbemannte Frachtmaschinen haben", sagt Richard Deakin voraus, britischer Manager des Flugzeugkomponentenherstellers Thales.
Nach der Vorstellung der Ingenieure würde man Flugzeuge zwar nicht allein in die Lüfte schicken, sondern immer einen Menschen im Cockpit sitzen lassen - zur Beruhigung der Passagiere, wie in der U-Bahn. Aber müssen wirklich zwei Piloten mitfliegen? "Erste Fluggesellschaften haben bei den Herstellern angefragt, ob nicht das Ein-Mann-Cockpit machbar sei", sagt Cockpit-Mann Braun.
Nach der heutigen Redundanz-Logik wäre ein Pilot so gut wie keiner: Fällt er aus, dann muss das Flugzeug vollkommen selbständig landen können. Was aber, wenn die Fernsteuerung über einen Satelliten so zuverlässig wird und im Notfall der Flieger auch per Fernbedienung runtergeholt werden kann? Würden die Ingenieure dann die Menschen in der Kabine den Maschinen anvertrauen wollen?
Es gibt aber auch Flugzeugentwickler, die Techniken favorisieren, mit deren Hilfe der Mensch seine Stärken im Fliegen ausspielen kann. "Wir brauchen eine Aussöhnung von Mensch und Maschine", fordert DLR-Mann Duda.
In seinem Institut für Flugsystemtechnik entwickeln die Ingenieure einen aktiven Sidestick, damit beide Piloten spüren können, wie der Kollege oder der Computer gerade lenkt. "Naturalistisches Flugdeck" nennt sich jener Forschungsansatz, der auch am Institut für Luft- und Raumfahrt der Technischen Universität Berlin verfolgt wird.
Dort experimentieren Flugingenieur Christian Berth und sein Team an einem Display, das in das Cockpitfenster den künstlichen Horizont, die Flughöhe, die Position der Landebahn und die wichtigsten Flugdaten projiziert. Denkbar wäre auch, das Fenster ganz durch Monitore mit einer Rundumprojektion zu ersetzen. Berth will ein Infrarotbild von der näher kommenden Landebahn einblenden. "Im Nebel behielten die Piloten damit den Durchblick und könnten das Flugzeug mit ihren eigenen Sinnen auf die Piste bringen", sagt Berth. Sie brauchten nicht nach unten auf die Bedienfelder zu starren, wo das Landesystem heutiger Bauweise den Piloten lediglich abstrakt die Abweichung vom optimalen Anflugkurs anzeigt.
Eine Version dieser Darstellungsmöglichkeit fliegt in heutigen Kampfjets und Transportmaschinen des Militärs bereits mit. Auch für zivile Passagiermaschinen können die Airlines solche Head-up-Displays bestellen. "Viele Fluggesellschaften schrecken aber vor den hohen Kosten zurück", kritisiert ein deutscher Pilot. "Dabei wäre das Ganze intuitiver, schneller zu verstehen und unbewusster zu benutzen."
Das heutige, automatische Landeanflugsystem hingegen erfordert von den Piloten mehr Konzentration als ein Landen per Hand. Der Pilot sitzt zwar nur daneben und überwacht den Computer bei seiner Arbeit. Doch das ist anstrengender als das eigenhändige Fliegen.
So verliert der einstige Traumjob den Glanz alter Tage. Der Pilot wird vom Helden der Lüfte zum Überwacher der Elektronik. Dabei wird von den Ingenieuren gern seine Fähigkeit verkannt, Fehler erst gar nicht entstehen zu lassen.
Nur noch selten kann der Mensch seine Überlegenheit unter Beweis stellen - wie jüngst im Fall von Flugkapitän Chesley Sullenberger, der seinen Airbus A320 in einer fliegerischen Meisterleistung auf dem New Yorker Hudson River wasserte.
Wenn aber der Pilot die Kontrolle an den Computer erst einmal verloren hat, erscheint er so hilflos wie jeder ganz normale PC-Benutzer, dem gerade der Computer abgestürzt ist. Nach dem Sturzflug der Qantas-Maschine riefen die ratlosen Piloten mehrmals über Satellitentelefon in ihrer Technikzentrale an und fragten die Wartungsleute, was denn gerade mit ihrem Flieger vorgehe.
Und der Anruf verlief so frustrierend wie bei einer typischen Computerhotline: Die Techniker in Sydney wurden auch nicht schlau aus all den Fehlermeldungen, die die Bordrechner inzwischen an die Zentrale gefunkt hatten. Einmal rieten die Techniker, den dritten Flugcomputer einfach auszuschalten. Doch auch damit ließen sich die Fehlermeldungen nicht stoppen, die auf den Monitoren herunterrollten.
So mussten die Piloten allein kämpfen gegen das Durcheinander aus Pieptönen und Warnansagen, die so zahlreich durch das Cockpit schallten, dass der Flugschreiber sie wohl gar nicht alle aufzeichnen konnte.
Die letzten Warnungen verschwanden erst, als die Maschine um 13.50 Uhr gelandet und die Stromversorgung abgeschaltet war. GERALD TRAUFETTER
* Am Deutschen Zentrum für Luft- und Raumfahrt in Braunschweig.
Von Gerald Traufetter

DER SPIEGEL 31/2009
Alle Rechte vorbehalten
Vervielfältigung nur mit Genehmigung


DER SPIEGEL 31/2009
Titelbild
Abo-Angebote

Den SPIEGEL lesen oder verschenken und Vorteile sichern!

Jetzt Abo sichern
Ältere SPIEGEL-Ausgaben

Kostenloses Archiv:
Stöbern Sie im kompletten SPIEGEL-Archiv seit
1947 – bis auf die vergangenen zwölf Monate kostenlos für Sie.

Wollen Sie ältere SPIEGEL-Ausgaben bestellen?
Hier erhalten Sie Ausgaben, die älter als drei Jahre sind.

Artikel als PDF
Artikel als PDF ansehen

Titel:
Captain Computer

  • Doku zu cholesterinreicher Ernährung: Fett for Fun
  • Freizeitpark im Schwarzwald: Karussell ähnelt Hakenkreuzen
  • "Uber Boat": In Cambridge kommt der Kahn per App
  • Archäologie: Jahrtausendealtes Wandrelief in Peru entdeckt