Die Frachttür blieb offen. Dann verschwand die Fluggeschwindigkeit.
Die gefährlichsten Ausfälle komplexer technischer Systeme beginnen nicht immer dort, wo schließlich das Problem sichtbar wird. Beim Boeing 747-400 SF G-ONEE begann die Ereigniskette bereits am Boden mit einer während des Regens geöffneten Frachttür. Wasser gelangte in das Flugzeug, erreichte elektrische Komponenten unterhalb des Frachtdecks und führte zur Abschaltung zweier AC-Busse. Dadurch fiel die Heizung aller vier Pitot-Statik-Sonden aus. Die entscheidende flugtechnische Gefahr entstand erst später, als das Flugzeug beim Sinkflug in Vereisungsbedingungen geriet. Die Pitot-Sonden vereisten, alle drei Geschwindigkeitsanzeigen wurden unzuverlässig und der Autopilot reagierte auf die falschen Daten mit einer deutlichen Nose-down-Bewegung. Die Untersuchung zeigt, wie eine scheinbar gewöhnliche Bedingung während der Bodenabfertigung mehrere Ebenen der Flugzeugsystemarchitektur durchlaufen und schließlich zu einem Problem der Flugsteuerung werden kann.
1. Das Problem begann bereits vor dem Start
Die Boeing 747-400 war für einen Flug von London Heathrow nach Hongkong ohne Fracht an Bord vorgesehen. Während nächtlicher Wartungsarbeiten blieb die linke vordere Frachttür L1 geöffnet. In den letzten zwei Stunden vor Abschluss der Arbeiten fiel mäßiger Regen. Die Untersuchung stellte fest, dass die Türmatte an L1 und der angrenzende Bereich des Frachtdecks nass waren. Größere Wasseransammlungen wurden nicht festgestellt, dennoch war das Frachtdeck dem Regen ausgesetzt. Nach dem Start traten die ersten elektrischen Probleme bereits während des Startlaufs auf.
2. Das Wasser erreichte Komponenten, die trocken bleiben sollten
Das Main Equipment Centre (MEC) befindet sich unterhalb des Hauptfrachtdecks. Die E1- und E2-Racks enthalten die Generator Control Units sowie weitere elektrische und elektronische Komponenten. Die Untersuchung fand Hinweise auf Wassereintritt in GCU 1 und GCU 4. Nach dem Ausbau von GCU 4 trat Wasser aus dem Gerät aus; auch im Einbaubereich wurde Feuchtigkeit festgestellt. Bei der Untersuchung wurden Korrosion, Feuchtigkeitsrückstände und Spuren eines Wassereintritts festgestellt. Der genaue Weg des Wassers vom Frachtdeck zu den GCUs konnte nicht bestimmt werden.
3. Das elektrische Schutzsystem reagierte auf das Wasser
In GCU 4 traten Fehler in den internen Schutzfunktionen auf. Die aufgezeichneten Daten zeigten, dass AC Bus 4 abgeschaltet wurde, nachdem die GCU zunächst einen Sync Bus Protection Fault und anschließend einen Shorted Rotating Diode Fault erkannt hatte. Die Untersuchung betrachtete Wassereintritt als mögliche Ursache dieser Fehler. Kurz darauf ging auch AC Bus 1 verloren. Die GCUs veranlassten das Öffnen der zugehörigen Schütze und isolierten dadurch die Busse. Nach dem Austausch von GCU 4 verschwanden die aufgezeichneten Fehler und beide AC-Busse konnten wieder normal versorgt werden. GCU 1 wurde ebenfalls ersetzt.
4. Der Verlust zweier AC-Busse bedeutete auch den Verlust der Pitot-Heizung
Die Boeing 747-400 verfügt über vier kombinierte Pitot-Statik-Sonden. Die Geschwindigkeits- und Höheninformationen auf den Displays von Kapitän und Erstem Offizier werden aus diesen Sonden gewonnen; das integrierte Standby Flight Display nutzt die linke Hilfs-Pitot-Statik-Sonde. Die Heizung des Pitot-Statik-Systems wurde über AC Bus 1 und AC Bus 4 versorgt. Nach dem Verlust beider Busse fiel die Heizung aller vier Pitot-Statik-Sonden sowie beider Total-Air-Temperature-Sonden aus. Die Besatzung war sich dieser Konsequenz bewusst, und das QRH warnte ausdrücklich davor, Vereisungsbedingungen zu durchfliegen, da die Geschwindigkeitsanzeigen von Kapitän, Erstem Offizier und Standby-Instrument unzuverlässig werden konnten.
5. Die Besatzung versuchte, Vereisung zu vermeiden
Die Besatzung setzte PAN ab und leitete die Umleitung nach Amsterdam Schiphol ein. Sie erkannte, dass der geplante Sinkflug durch Vereisungsbedingungen führen konnte, und bereitete sich auf einen möglichen Ausfall der zuverlässigen Geschwindigkeitsanzeige vor. Gleichzeitig begann die Kabinenhöhe anzusteigen und überschritt 8600 ft. Um zusätzliche Schwierigkeiten durch Sauerstoffmasken bei einer Kabinenhöhe von 10.000 ft zu vermeiden, leitete der Commander den Sinkflug im FLCH-Modus ein und setzte die Umleitung nach Schiphol fort. Die Besatzung hatte die Möglichkeit einer unzuverlässigen Geschwindigkeit bereits besprochen und anhand des QRH geeignete Sinkflugparameter vorbereitet. Dennoch musste das Flugzeug sinken, obwohl dabei Vereisung erwartet wurde.
6. Dann wurde die Geschwindigkeitsanzeige falsch
Bei ungefähr 12.000 ft geriet das Flugzeug in Vereisungsbedingungen. Die auf allen drei Geschwindigkeitsanzeigen dargestellten Werte begannen zu sinken und das Flugzeug ging in eine Nose-down-Bewegung. Der steuernde Pilot erhöhte die Triebwerksleistung geringfügig, doch die angezeigte Geschwindigkeit fiel weiter. Die aufgezeichneten Daten zeigten, dass der Autopilot eingeschaltet blieb, während Pitot-, TAT- und zugehörige Heizungsfehler aktiv waren. IAS und Groundspeed wichen deutlich voneinander ab, was mit einer Vereisung der Pitot-Sonden übereinstimmte. Die Untersuchung kam zu dem Schluss, dass alle drei Pitot-Rohre während des Sinkflugs eingefroren waren. Bei einem vereisten Pitot-Rohr wird im Sinkflug der Druck eingeschlossen, wodurch die Geschwindigkeitsanzeige zu niedrig wird.
7. Der Autopilot tat genau das, was die Daten vorgaben
Das Flugzeug befand sich im FLCH-Modus, in dem der Autopilot den Nickwinkel steuert, um die ausgewählte Geschwindigkeit oder Machzahl zu erreichen. Als die angezeigte Geschwindigkeit aufgrund der vereisten Pitot-Sonden sank, reagierte der Autopilot mit einer zunehmenden Nose-down-Bewegung, um die ausgewählte Geschwindigkeit wiederherzustellen. Das Flugzeug erreichte 7,6° Nose-down und eine Sinkrate von etwa 6240 ft/min. Die Besatzung erhielt eine IAS-disagree-Anzeige und erinnerte sich, dass sie gerade eingreifen wollte. Bevor dies geschah, sank das Flugzeug durch etwa 10.000 ft und verließ die Vereisungszone. Die Pitot-Sonden wurden frei, die angezeigte Geschwindigkeit stieg stark an und der Autopilot reagierte mit einer Pitch-up-Bewegung.
8. Als die Pitot-Sonden frei wurden, änderte sich die Gefahr erneut
Nach dem Verlassen der Vereisungszone stieg die angezeigte Geschwindigkeit des Kapitäns innerhalb von vier Sekunden von ungefähr 260 auf 345 kt. Dies entsprach dem Freikommen der blockierten Pitot-Sonde und der Wiederherstellung einer genaueren Druckmessung. Der Autopilot reagierte auf den schnellen Anstieg der angezeigten Geschwindigkeit mit einer Erhöhung des Nickwinkels. Dennoch kam es zu einem Overspeed mit einem aufgezeichneten Spitzenwert von 383 KIAS. Die Besatzung setzte anschließend MAYDAY ab und bewältigte die verbleibenden Systemausfälle und Probleme mit der Landekonfiguration, bevor sie sicher in Amsterdam Schiphol landete.
9. Das verborgene Problem lag im Wasserschutz
Die Untersuchung konnte keinen einzigen bestätigten Wasserweg von der Tür L1 zu den GCUs nachweisen. Stattdessen wurden mehrere Schwachstellen in den Schutzmaßnahmen festgestellt, die Wasser von den flugkritischen elektrischen Komponenten fernhalten sollten. Auf dem Hauptdeck oberhalb der Racks E1 und E2 wurden Bereiche mit beschädigtem oder fehlendem Feuchtigkeitsschutz und Polyurethanband festgestellt. Der Tropfschutz über den Racks wies beeinträchtigte Dichtungen auf, unter anderem oberhalb der Einbaupositionen von GCU 1 und GCU 4. Auch im Bereich der Türmatte L1 fehlte Dichtmasse. Weitere Befunde konnten einen möglichen Wasserweg unterhalb des Frachtdeckbodens ermöglichen.
10. Ein komplexer Ausfall ohne eine einzige Checkliste
Die Besatzung war mit mehreren gleichzeitigen Ausfällen konfrontiert, die den Umfang einer einzelnen Standardprozedur überschritten. Für den gleichzeitigen Verlust von AC Bus 1 und AC Bus 4 gab es kein eigenes QRH-Verfahren. Die Besatzung musste daher mehrere Verfahren parallel bearbeiten und gleichzeitig die sich entwickelnde Druckhaltesituation sowie die Möglichkeit einer unzuverlässigen Geschwindigkeitsanzeige berücksichtigen. Die AAIB stellte fest, dass derartige seltene Kombinationen von Ausfällen nicht vollständig durch einzelne Checklisten abgedeckt werden können und dass die Besatzung in solchen Situationen auf eigenes Urteil und Erfahrung angewiesen sein kann. Die Besatzung nutzte eine strukturierte Entscheidungsfindung und wurde durch ein drittes Besatzungsmitglied unterstützt.
11. Die Ausfallkette war länger als das endgültige Problem
Dieser Fall zeigt deutlich, wie sich ein flugkritisches Ereignis über mehrere scheinbar voneinander unabhängige technische Ebenen entwickeln kann. Es war kein einfacher 'Pitot-Ausfall'. Zunächst wirkte die Umgebung auf das Flugzeug ein, danach kam es zu Wassereintritt, zum Ansprechen der elektrischen Schutzfunktion, zum Verlust zweier AC-Busse, zum Ausfall der Pitot-Heizung, zur Vereisung, zu einer unzuverlässigen Geschwindigkeitsanzeige und schließlich zu einer automatischen Flugsteuerungsreaktion auf falsche Daten. Jede einzelne Ebene erfüllte ihre eigene technische Funktion. Die Gefahr entstand aus ihrem Zusammenspiel.