Boeing 737 MAX: Wenn ein einzelner Sensor zum kritischen Ausfallpunkt wird
Ein modernes Verkehrsflugzeug fliegt nicht allein durch Mechanik oder Software; seine Sicherheit basiert auf dem kontinuierlichen Zusammenspiel von Aerodynamik, Sensorik, Flugsteuerungsrechnern, Aktuatoren und der Besatzung. Die Abstürze der Boeing 737 MAX gehören daher zu den bedeutendsten Fallstudien der modernen Systemarchitektur. Im Zentrum stand die MCAS-Funktion, deren Architektur es erlaubte, dass ein einzelnes fehlerhaftes Messsignal zum Auslöser einer unkommandierten Kette automatischer Steuerbefehle wurde.
1. Was misst das Flugzeug tatsächlich?
Um die physikalischen Zusammenhänge zu verstehen, ist ein grundlegender Begriff der Aerodynamik erforderlich. Ein Flugzeug bewegt sich in einer dynamischen Luftmasse, in der Windböen, Turbulenzen und Geschwindigkeitsänderungen die Richtung der Anströmung kontinuierlich verändern. Für die Steuerung ist der Anstellwinkel (Angle of Attack, AoA) entscheidend — der Winkel zwischen der Profilsehne des Flugels und der Richtung der anströmenden Luft. Die am vorderen Rumpf angebrachten Windfahnen-AoA-Sensoren dienen reinen Messzwecken: Sie treffen keine Entscheidungen, sondern übermitteln lediglich elektrische Signale an die Flugsteuerungsrechner.
2. Wozu benötigt das Flugzeug Informationen über den Anstellwinkel?
Tragflächen besitzen aerodynamische Grenzen. Mit zunehmendem Anstellwinkel steigt der Auftrieb — jedoch nur bis zu einem kritischen Punkt. Wird dieser kritische Anstellwinkel überschritten, reißt die Strömung an der Oberseite der Tragfläche ab, und das Flugzeug gerät in einen Strömungsabriss (Stall). Für Flugbereichsschutz- und Steuerungsfunktionen benötigt das System präzise Daten über den aerodynamischen Zustand.
3. Warum zwei Sensoren nicht automatisch Sicherheit garantieren
Die Boeing 737 MAX verfügt über zwei AoA-Sensoren — jeweils einen auf der linken und rechten Seite des Bugbereichs. Das Prinzip zweier unabhängiger Sensoren ist einleuchtend: Zeigt ein Sensor einen fehlerhaft hohen Winkel, während der andere normale Werte liefert, deutet die Abweichung (Diskrepanz) auf einen Defekt hin. Ein Grundsatz der Sicherheitstechnik besagt, dass ein einzelnes Messsignal niemals als absolute Wahrheit gelten darf. In der ursprünglichen Implementierung nutzte das MCAS jedoch pro Flug jeweils nur die Daten eines einzigen der beiden AoA-Sensoren.
4. Höhenruder vs. Trimmbare Höhenflosse: Wo liegt der Unterschied?
Am Leitwerk des Flugzeugs befinden sich zwei unterschiedliche Steuerflächen: Das Höhenruder (Elevator) — eine bewegliche Klappe an der Hinterkante zur unmittelbaren Nicksteuerung über das Steuerhorn — und die Trimmbare Höhenflosse (Horizontal Stabilizer), welche die grundlegende aerodynamische Trimmung anpasst. Das Höhenruder reagiert sofort auf Bewegungen des Steuerhorns, während die Höhenflosse die kontinuierliche aerodynamische Kraft verändert, die zum Halten der Fluglage erforderlich ist.
5. Warum wurde das MCAS erforderlich?
Die Boeing 737 MAX stellte eine Weiterentwicklung der 737 NG dar. Die neuen LEAP-1B-Triebwerke besaßen einen größeren Durchmesser und wurden daher weiter vorne und höher im Vergleich zu vorherigen 737-Versionen positioniert. Bei hohen Anstellwinkeln erzeugten die größeren Triebwerksgondeln zusätzlichen aerodynamischen Auftrieb, der ein aufnickendes Moment bewirkte. Das MCAS wurde entwickelt, um das Längssteuerungsverhalten anzupassen und die erforderlichen Steuerhornkräfte bei hohem AoA sicherzustellen. Wichtig: MCAS war kein kontinuierlich aktives Flugsteuerungssystem, sondern aktivierte sich nur unter spezifischen Bedingungen (hoher AoA, eingefahrene Landeklappen, manueller Flug).
6. Wie die fehlerhafte Aktivierungsschleife entstand
Lieferte ein AoA-Sensor ein fehlerhaft hohes Signal ohne Plausibilitätsprüfung durch den zweiten Sensor, interpretierte der Flugsteuerungsrechner dies als drohenden Strömungsabriss. Das MCAS steuerte den elektrischen Trimmantrieb an, um die Höhenflosse nach kopflastig (nose-down) zu verstellen. Piloten konnten dieser Fluglagenänderung durch Steuerhorneingaben und den elektrischen Trimmschalter entgegenwirken. Das System erkannte das Gegensteuern der Piloten jedoch nicht als Beweis für einen fehlerhaften Sensorwert. Blieben die Aktivierungsbedingungen bestehen und das falsche AoA-Signal lag weiterhin an, konnte das MCAS erneut aktivieren.
7. Warum die Besatzungen vor extremen Herausforderungen standen
Die Besatzungen wurden mit einer schnellen Abfolge mehrerer Warnungen konfrontiert: Aktivierung des Stick Shakers, widersprüchliche Geschwindigkeits- und Höhenanzeigen sowie stark ansteigende Steuerkräfte. In der Erstausbildung und den Flughandbüchern wurden die Piloten nicht ausreichend über die Existenz und Funktionsweise des MCAS informiert. Bei hohen Fluggeschwindigkeiten und stark verstellter Höhenflosse erforderte die manuelle Betätigung des Steuerhorns und des Trimmrads aufgrund der hohen aerodynamischen Lasten extreme physische Kraft. Das Standardverfahren bei einer unkommandierten Trimmbewegung (Runaway Stabilizer) sah das Abschalten des elektrischen Trimmantriebs über die STAB TRIM CUTOUT-Schalter vor.
8. Die Katastrophen Lion Air 610, Ethiopian 302 und Erkenntnisse für die Systemtechnik
Diese Ereigniskette führte zu den Abstürzen von Lion-Air-Flug 610 (29.10.2018) und Ethiopian-Airlines-Flug 302 (10.03.2019). Offizielle Untersuchungsberichte identifizierten ein komplexes Zusammenwirken mehrerer Faktoren: fehlerhafte AoA-Daten, die Architektur und Logik des MCAS, das Design der Warnanzeigen, das Handeln der Besatzungen, betriebliche Verfahren sowie Mängel im Entwicklungs- und Zertifizierungsprozess. Nach der Überarbeitung vergleicht das MCAS zwingend BEIDE AoA-Sensoren (mit Abschaltung bei einer Diskrepanz von > 5,5°). Das überarbeitete MCAS ist auf eine einmalige Aktivierung pro Ereignis beschränkt und reaktiviert sich nicht erneut aufgrund eines anhaltend fehlerhaften Sensorsignals.