Wenn das Backup-System ebenfalls versagt
Nach dem Start erlitt eine Boeing 757 (Frachtversion) einen Ausfall des primären Hydrauliksystems, das für das Ausfahren des Fahrwerks zuständig ist. Die Situation eskalierte zu einem Notfall, als sich herausstellte, dass ein Ausfall der Redundanzfunktion vorlag: Das alternative Ausfahrsystem war ebenfalls funktionsunfähig. Die anschließende Untersuchung zeigte, dass die Rumpflandung nicht durch einen einzelnen Defekt, sondern durch das Zusammentreffen unabhängiger, latenter Ausfälle verursacht wurde.
Erster Ausfall
Kurz nach dem Start erhielt die Besatzung eine Anzeige über Druckverlust im linken Hydrauliksystem. Die Parameteranalyse ergab einen Verlust von Hydraulikflüssigkeit durch einen beschädigten Hydraulikschlauch des Fahrwerksklappenantriebs. Infolgedessen verlor das System den für das normale Ausfahren der Fahrwerksbeine erforderlichen Druck.
Ausfall der Redundanzfunktion
Die Konstruktion des Flugzeugs sieht für solche Szenarien ein alternatives Fahrwerksausfahrsystem vor. Die Besatzung arbeitete die Notverfahren ab, der Backup-Kreislauf reagierte jedoch nicht. Die anschließende technische Untersuchung ergab einen Kabelbruch in der elektrischen Leitung zwischen dem Notschalter im Cockpit und dem Hydraulaggregat des Backup-Systems.
Warum die Redundanz versagte
Der Ausfall des linken Hydrauliksystems allein hätte nicht zu einer Landung ohne Fahrwerk führen dürfen. Der kritische Faktor war ein latenter Ausfall des Backup-Systems, der bis zum Moment der tatsächlichen Anforderung unbemerkt blieb. Die ungenutzten Komponenten befanden sich in einem Zustand Scheinergebnisbereitschaft («Scheinbereitschaft») und offenbarten den verborgenen Defekt erst, als sie ihre Primärfunktion erfüllen sollten.
Landung und Evakuierung
Nach erfolglosen Versuchen, das Fahrwerk mit allen verfügbaren Methoden auszufahren, führte die Besatzung eine Notlandung auf dem Rumpf durch. Trotz erheblicher Schäden an der Zelle und des Abkommens von der Start- und Landebahn gab es keine Verletzten. Im Untersuchungsbericht wurden das hohe Niveau der Crew-Koordination (CRM), die effiziente Arbeitslastverteilung und die methodische Abarbeitung der Checklisten besonders hervorgehoben.
Zusätzliche Befunde
Bei den anschließenden Überprüfungen der Notsysteme stellten die Inspektoren Abweichungen an den Mechanismen der Kabinentüren fest. Nach dem Vorfall führte der Betreiber eine Auditierung seiner Flotte durch, die ähnliche Abweichungen bei einigen anderen Flugzeugen aufzeigte. Diese Mängel wurden in den Untersuchungsunterlagen als beitragende Faktoren aufgenommen, die behoben werden müssen.
Ingenieurtechnische Schlussfolgerung
Aus der Untersuchung lässt sich folgende Schlussfolgerung ziehen: Redundanz schafft nur dann zusätzliche Systemstabilität, wenn die Funktionsfähigkeit der Backup-Kreisläufe verifiziert ist. Primärausfälle sind meist offensichtlich und werden von Sensoren schnell erfasst. Weitaus gefährlicher sind verborgene Defekte in Hilfsleitungen, die nicht am täglichen Betriebszyklus teilnehmen und sich erst in einem kritischen Moment manifestieren.
Messbare Ergebnisse
- Primaerausfall Druckverlust im linken Hydrauliksystem durch einen beschädigten Hydraulikschlauch
- Verborgener Ausfall Kabelbruch im Stromkreis des alternativen Fahrwerksausfahrsystems
- Auswirkung Notlandung auf dem Flugzeugrumpf
- Verletzte Keine
- Wichtigste Lehre Redundanz ist nur bei nachgewiesener und prüfbarer Funktionsfähigkeit der Backup-Systeme effektiv