A321neo: Wie eine kleine Eisstufe ein riesiges Automatisierungssystem besiegte
Ein modernes Verkehrsflugzeug ist eines der komplexesten technischen Systeme, die je gebaut wurden. Es enthält Dutzende Rechner, mehrere unabhängige Luftdatenkanäle, automatische Schubsteuerung, ein digitales Flugsteuerungssystem und zahlreiche Redundanzebenen. Doch dieses ganze System hat eine grundlegende Grenze: Es kann nur die physikalischen Daten verarbeiten, die es tatsächlich von der Außenwelt erhält. Wird dieser physikalische Eingang unzuverlässig, garantiert die Komplexität des Systems kein korrektes Ergebnis. Am 2. Dezember 2021 führte die Airbus A321-271N VQ-BGU der Fluggesellschaft S7 den Flug 5220 von Magadan nach Nowosibirsk durch. Nach dem Start begannen mehrere Luftdatensysteme widersprüchliche Werte zu liefern. Anschließend änderten sich die Steuerungsgesetze, das Flugzeug begann heftig seine Fluglage zu verändern, und die Besatzung sah sich mit einer Situation konfrontiert, in der die angezeigte Geschwindigkeit keine verlässliche Grundlage mehr war. Die Ursache lag nicht in den Rechnern. Sie war viel einfacher — und physisch viel näher an der Außenhaut des Flugzeugs.
Vor dem Start: Das Flugzeug war nicht mehr „sauber“
In Magadan schneite es. Vor dem Abflug war eine Enteisung an Tragfläche und Höhenleitwerk durchgeführt worden, der obere Rumpfbereich einschließlich der Bugsektion jedoch nicht vollständig von Schnee befreit.
Besatzung und Bodenpersonal gingen davon aus, dass sich lockerer Schnee während des Startlaufs durch den Luftstrom lösen würde. Für Flugzeuge gilt jedoch eine strengere Regel: Kritische Oberflächen müssen vor dem Start frei von Schnee und Eis sein — das Konzept des „sauberen Flugzeugs“.
Das Problem war nicht der Schnee an sich, sondern das, was daraus wurde: Ausgangsmaterial für Eis, das sich genau dort bildete, wo das Luftdatensystem am empfindlichsten darauf reagierte.
Enteisungsflüssigkeit: Die Behandlung allein sagt nicht alles
Der Bericht untersucht gesondert die Eigenschaften der verwendeten Enteisungsflüssigkeit. Eine 2019 hergestellte Charge des Typs IV entsprach bei der Kontrollanalyse im September 2021 den Anforderungen. Die Flüssigkeit aus Tank Nr. 3 war jedoch eine Mischung der Chargen 155 und 55, mit einer dynamischen Viskosität von 1.860 mPa·s bei einem Mindestwert von 2.000 mPa·s.
Zudem betrug die für die A321neo empfohlene Flüssigkeitsmenge zur Vereisungsvermeidung 230 Liter, tatsächlich wurden nur 99 Liter aufgebracht.
Das bedeutet nicht, dass allein eine „falsche Flüssigkeit“ die Ursache war. Die physikalische Kette war vielschichtiger: Wetterbedingungen, Schnee auf dem Rumpf, anschließendes Auftauen und erneutes Gefrieren des Wassers, der Zustand der Enteisungsbehandlung und das Nichterkennen des entstandenen Eises trafen an einem Punkt zusammen.
Eine kleine Eisstufe
Nach Beginn des Rollens begann der Schnee auf dem Rumpf zu schmelzen. Wasser lief über die kalte Bugoberfläche und gefror erneut — so bildeten sich Eisablagerungen genau vor den Staudrucksonden.
Das ist der entscheidende Punkt des gesamten Falls. Eis muss die Sondenöffnung nicht vollständig verschließen. Es genügt, die Oberflächengeometrie unmittelbar davor zu verändern, um die Anströmung zu beeinflussen.
So entstand sogenanntes Barriereeis: Eine kleine Unebenheit vor der Sonde wurde zum aerodynamischen Hindernis. Für das Auge sind es wenige Zentimeter Eis. Für das Luftdatensystem ist es ein verfälschtes physikalisches Eingangssignal.
Eine Staudrucksonde misst keine Geschwindigkeit
Hier lohnt sich ein Blick auf die Physik selbst.
Eine Staudrucksonde (Pitot probe) misst nicht direkt die Geschwindigkeit. Sie erfasst den Gesamtdruck der Anströmung. Das System erhält zusätzlich den statischen Druck. Aus der Differenz beider Werte wird der dynamische Druck berechnet und daraus die Fluggeschwindigkeit, die der Besatzung angezeigt und von anderen Systemen genutzt wird.
Die Kette lautet: Luft → Druck → Sensor → Luftdatensystem → berechnete Geschwindigkeit → Anzeige und Steuerungslogik.
Wird die Anströmung vor der Sonde durch Eis verändert, kann der Sensor technisch einwandfrei funktionieren und trotzdem einen physikalisch falschen Druck erfassen. Die Elektronik „bricht“ dabei nicht. Sie verarbeitet lediglich korrekt ein falsches Eingangssignal.
Das Problem lag nicht im Rohr, sondern in der Strömung
Das unterscheidet diesen Fall vom klassischen Szenario einer vollständig blockierten Staudrucksonde.
Bei VQ-BGU führt die Kommission die unzuverlässigen Anzeigen auf eine gestörte Anströmung vor den Sonden zurück. Während der Beschleunigung begannen die Geschwindigkeitsanzeigen auseinanderzulaufen und normalisierten sich nach einer gewissen Zeit wieder — vereinbar damit, dass die Eisbildung durch den Luftstrom abgelöst wurde.
Das physikalische Problem lag also nicht zwangsläufig im Messkanal selbst, sondern davor — in dem Raum, durch den die Luft zum Sensor gelangen musste.
Drei Luftdatensysteme — ein physikalisches Problem
Die A321 verfügt über mehrere unabhängige Luftdatenkanäle. Im Normalfall soll die Redundanz es dem System erlauben, verschiedene Quellen zu vergleichen und den Ausfall einer davon zu erkennen.
Hier lag jedoch ein anderer Fall vor. Ein äußerer Faktor wirkte gleichzeitig auf mehrere Sonden. Das Problem sah daher nicht wie ein einfacher Einzelsensorausfall aus — mehrere technisch unabhängige Kanäle konnten gleichzeitig durch eine gemeinsame physikalische Ursache, die Vereisung, verfälschte Informationen liefern.
Das ist ein klassischer Fall eines gemeinsamen physikalischen Fehlermodus (Common-Mode-Fehler): Elektronische Unabhängigkeit der Kanäle beseitigt keine gemeinsame externe Fehlerquelle.
Die ersten Minuten: Die Geschwindigkeit ist keine verlässliche Stütze mehr
Nach dem Start bemerkte die Besatzung Abweichungen bei den Geschwindigkeitsanzeigen. Der Kommandant erkannte die Situation als unzuverlässige Geschwindigkeit und wählte BUSS — die Reserveanzeige für den Flug bei unzuverlässiger Fluggeschwindigkeit.
Doch das Problem war bereits keine lokale Angelegenheit eines einzelnen Instruments mehr. Die verfälschten Luftdaten begannen, die Automatisierung des Flugzeugs zu beeinflussen.
Die Automatik beginnt abzudriften
Wenn das Steuerungssystem Daten erhält, denen es nicht mehr vollständig vertrauen kann, wechselt es die verfügbaren Steuerungsgesetze.
Bei diesem Flug war die Ausgangskonfiguration bereits nicht mehr normal: Im Nickkanal befand sich das Flugzeug in ALTERNATE LAW, im Querlagekanal in DIRECT LAW. Später, bei etwa 7.600 ft, rund 225 kt und einem Anstellwinkel von etwa 11°, wechselte auch der Nickkanal von ALTERNATE LAW in DIRECT LAW.
Dieser Unterschied ist wichtig. Das Ereignis lässt sich nicht einfach als Normal → Alternate → Direct für alle Achsen gleichzeitig beschreiben — die Steuerungsgesetze änderten sich nacheinander und achsenweise getrennt.
Das Flugzeug reagiert nicht mehr wie erwartet
Ein Wechsel des Steuerungsgesetzes bedeutet nicht nur eine andere Meldung auf dem Bildschirm. Es verändert die Verbindung zwischen der Bewegung des Steuerorgans und der Reaktion des Flugzeugs selbst.
Mit sinkender Qualität der Luftdaten und dem Übergang zu weniger geschützten Gesetzen wurde die gewohnte Reaktion des Flugzeugs für die Besatzung weniger vorhersehbar. Vor dem Hintergrund starker Vereisung und Turbulenz kam es zu großen Änderungen in Quer- und Längslage.
Zeitweise vermutete die Besatzung sogar einen möglichen Defekt des linken Sidesticks und übergab die Steuerung an den Copiloten. Das änderte nichts am Verhalten des Flugzeugs.
Die Umkehr war keine einfache Prozedur mehr
Die Besatzung versuchte, zum Startflughafen zurückzukehren. Doch nun ging es nicht mehr nur um einen Kurswechsel.
Das Flugzeug befand sich gleichzeitig in starker Vereisung, Turbulenz, mit unzuverlässiger Fluggeschwindigkeit und geänderten Steuerungsgesetzen. Die Piloten mussten die Flugbahn steuern, ohne sich auf die gewohnte Zuverlässigkeit eines Teils der Grundparameter verlassen zu können.
Genau hier beginnt sich ein einfacher Ausgangsdefekt zu einer systemischen Situation zu entwickeln.
Sinkflug, Beschleunigung und steiler Steigflug
Im weiteren Verlauf änderten sich die Flugparameter rasch. Das Flugzeug sank, beschleunigte anschließend und ging danach in einen steilen Steigflug über.
Die Besatzung arbeitete dabei weiterhin mit widersprüchlichen Geschwindigkeitsinformationen und veränderten Steuerungseigenschaften. Jede folgende Bewegung sollte nicht als eigenständiger Defekt betrachtet werden — es handelte sich um eine sich entwickelnde Kette, in der ein einziger fehlerhafter physikalischer Eingang bereits mehrere Systemebenen beeinflusste.
Wenn die Geschwindigkeit auf dem Bildschirm nicht mehr die tatsächliche Geschwindigkeit bedeutet
Bei etwa 12.900 ft, einer angezeigten Geschwindigkeit von rund 170 kt und einem Anstellwinkel von etwa 13° löste eine anhaltende Strömungsabriss-Warnung aus. Der Anstellwinkel stieg anschließend auf über 30°, danach ging das Flugzeug in einen schnellen Sinkflug über.
Hier zeigte sich das zentrale Paradox der Situation: Instrumente und Rechner arbeiteten weiter, doch die physikalische Größe, auf der ein Teil der Berechnungen beruhte, war unzuverlässig.
Der Rechner hatte nicht aufgehört zu rechnen. Er hatte aufgehört, Daten zu erhalten, auf die man sich vollständig verlassen konnte.
Das Höhenleitwerk beginnt, gegen die Steuerreserve zu wirken
Im weiteren Verlauf wurde die Trimmstellung des Höhenleitwerks zu einem der Faktoren, die die Wiederherstellung der Längssteuerung erschwerten.
In DIRECT LAW verfügte das Flugzeug nicht mehr über das bisherige Maß an automatischem Schutz, und die Besatzung musste Lageänderungen unmittelbar selbst ausgleichen. Ein kleiner Beurteilungsfehler des Flugzeugzustands konnte daher deutlich größere Folgen haben als in Normal Law.
DIRECT LAW: Steuerbar, aber ohne Schutz
Der Übergang in DIRECT LAW bedeutet nicht, dass das Flugzeug nicht mehr steuerbar ist. Er bedeutet, dass ein erheblicher Teil der bisherigen Logik zur Umsetzung von Pilotenbefehlen und der automatischen Schutzfunktionen nicht mehr in gewohnter Form wirkt.
In dieser Konfiguration steuert die Besatzung faktisch näher am aerodynamischen Objekt selbst — muss dabei aber weiterhin mit unzuverlässigen Luftdaten und einer hohen Bewegungsdynamik des Flugzeugs umgehen.
Räumliches Aufschaukeln
In der kritischsten Phase führte das Flugzeug heftige Schwingungen in Quer- und Längslage aus. Die aufgezeichneten Werte zeigen Extremwerte von etwa −90° und +47° in Querlage sowie erhebliche Nickänderungen.
Wichtig ist, dies nicht vorschnell als „Dutch Roll“ zu bezeichnen: Der Bericht dokumentiert heftige räumliche Lageänderungen, ohne dass dieser spezifische Begriff zur Erklärung des Geschehens erforderlich wäre.
Technisch bedeutsamer ist etwas anderes: Das Flugzeug geriet in einen Zustand, in dem die normale Verbindung zwischen Besatzungshandlungen, Instrumentenanzeigen und Flugzeugreaktion äußerst schwer vorhersehbar wurde.
Vier Minuten nahezu ohne normale Längssteuerung
Die kritischste Phase dauerte mehrere Minuten. Die Längssteuerung blieb stark beeinträchtigt, und das Flugzeug durchlief große Lageänderungen.
Das glich längst keinem gewöhnlichen Einzelausfall mehr. Das physikalische Eingangssignal war gestört, das Luftdatensystem hatte seine Zuverlässigkeit verloren, die Steuerungsgesetze hatten sich geändert, und die Besatzung stand einem Flugzeug mit deutlich veränderter Dynamik gegenüber.
Manuelles Umtrimmen des Höhenleitwerks stellt die Kontrolle wieder her
Die Wende kam nach einer manuellen Änderung der Trimmstellung des Höhenleitwerks. Sie wurde von etwa 9,3° auf 7,5° und anschließend auf 6,5° kopflastig reduziert.
Danach stellte sich die Kontrolle über das Flugzeug wieder her. Etwa 83 Sekunden später wechselte das Steuerungssystem von DIRECT LAW zurück in ALTERNATE LAW.
Das ist einer der aufschlussreichsten Momente des gesamten Ereignisses: Die Wiederherstellung der Steuerbarkeit erfolgte nicht durch eine plötzliche „Selbstkorrektur“ des Rechners, sondern durch eine physische Konfigurationsänderung, die die Besatzung selbst vornahm.
Das Flugzeug überstand die Situation
Nach Wiederherstellung der Steuerbarkeit setzte die Besatzung den Flug fort und landete in Irkutsk.
An Bord befanden sich 202 Passagiere und 7 Besatzungsmitglieder. Es gab keine Verletzten.
Das ist ein wichtiger Teil der technischen Analyse: Das System geriet nicht nur in einen gefährlichen Zustand, sondern behielt auch genug Möglichkeiten zur Wiederherstellung. Redundanz, die Steuerbarkeit des Flugzeugs, das Handeln der Besatzung und die schrittweise Rückkehr zu einem stärker geschützten Steuerungsgesetz ermöglichten letztlich den Abschluss des Flugs.
Nach der Landung fand sich Eis, wo es nicht sein sollte
Bei der Nachflug-Inspektion wurden Eisablagerungen an der Tragflächenvorderkante sowie an weiteren Zellenoberflächen festgestellt.
Die Inspektionsfotos zeigen die tatsächlich festgestellten Eis- und Reifzonen an der rechten und linken Tragflächenhälfte. Sie sind nicht als dramatische Illustration wichtig, sondern als physischer Beleg dafür, was dem Flugzeug am Boden und in den ersten Flugminuten widerfuhr.
Besonders bedeutsam ist der Zusammenhang zwischen dem Zustand der Bugsektion und dem Verhalten der Staudrucksonden: Eine gestörte Anströmung vor ihnen konnte die Luftdatenanzeigen unmittelbar beeinflussen.
Es war kein einzelner Ausfall
Zusammengefasst als „die Geschwindigkeitssensoren froren ein“ klingt der Vorfall viel zu einfach.
Die tatsächliche Kette hatte mehrere Glieder: Schnee auf dem Rumpf → Schmelzen beim Rollen → Ablaufen des Wassers über die kalte Oberfläche → erneutes Gefrieren → Eisbildung vor den Staudrucksonden → gestörte Anströmung → unzuverlässige Geschwindigkeitsdaten → Degradation der Steuerungsgesetze → starker Verlust der Steuerbarkeit.
Zusätzliche Faktoren waren die Wetterbedingungen, die Besonderheiten der Enteisungsbehandlung und eine unzureichende Kontrolle der kritischen Oberflächen vor dem Abflug.
Redundanz ist nicht gleich Unabhängigkeit von der physischen Welt
Das ist wohl die zentrale technische Erkenntnis dieses Falls.
Drei Messkanäle können elektronisch unabhängig sein und trotzdem eine gemeinsame externe Fehlerquelle haben. Stört dasselbe Eisstück die Anströmung mehrerer Sonden, erhält das System mehrere fehlerhafte Eingangssignale mit gemeinsamem Ursprung.
Echte Ausfallsicherheit erfordert daher mehr als nur mehrere Sensoren. Sie erfordert Unabhängigkeit von physikalischem Prinzip, Position, Umgebung und den Bedingungen, unter denen diese Sensoren ihre Informationen tatsächlich gewinnen.
Warum so viel Automatisierung verwundbar war
Ein moderner Airbus wurde nicht mit der Annahme entworfen, dass alle physikalischen Eingangsdaten gleichzeitig falsch werden könnten. Seine Architektur ist darauf ausgelegt, Ausfälle zu erkennen und zu isolieren sowie bei Verlust einzelner Informationsquellen auf einfachere Steuerungsgesetze zurückzufallen.
Hier geschah jedoch kein klassischer Zusammenbruch der Elektronik. Die äußere physische Welt veränderte die Bedingungen der Messung selbst.
Genau das macht diese Geschichte technisch besonders interessant: Der Rechner war nicht der Gegner des Flugzeugs. Er war Teil einer Kette, die weiterhin mit Daten arbeitete, die unzuverlässig geworden waren.
Die zentrale technische Lehre
Das ausgeklügeltste System der Welt kann aus einem falschen Eingangssignal trotzdem kein richtiges Ergebnis berechnen.
In diesem Fall lag der Ausfallpunkt fast an der Grenze zwischen Atmosphäre und Flugzeug. Eine kleine Eisbildung veränderte die Anströmung vor einem einfachen Messelement. Danach arbeitete bereits das gesamte digitale System: Sensoren, Luftdatenrechner, Anzeigen, Steuerungsgesetze und Schutzfunktionen.
Genau deshalb ist das Konzept des „sauberen Flugzeugs“ keine Formalie der Bodenabfertigung, sondern Teil der gesamten Sicherheitsarchitektur. Ist die Oberfläche verschmutzt, über die ein System physikalische Informationen gewinnt, kann sich der Fehler durch alle nachfolgenden Verarbeitungsebenen fortsetzen.
Letztlich fliegt ein modernes Verkehrsflugzeug nach wie vor nicht wegen seines Computers. Es fliegt wegen der Luft. Der Computer versucht lediglich, richtig zu verstehen, was diese Luft gerade tut.