|
Qantas-Flug 72
Flug 72 der Qantas Airways war ein internationaler Flug eines Airbus A330 am 7. Oktober 2008. Die Maschine war auf dem Weg von Singapur nach Perth, als sie in einer Höhe von rund 11.300 Metern unerwartet in einen Sturzflug ging. Nicht angeschnallte Passagiere prallten mit voller Wucht an die Decke des Flugzeugs. Von den 303 Passagieren und 12 Besatzungsmitgliedern wurden mindestens 119 Personen verletzt, davon 12 schwer.[2][3][4] Dem Kapitän gelang die Notlandung auf dem Flughafen der RAAF Base Learmonth der Royal Australian Air Force. Australische Ermittler fanden heraus, dass es mit gleichen Flugzeugen an ähnlicher Stelle zu ähnlichen Situationen, aber mit glimpflicheren Folgen kam, und stellten den Flug zur Probe nach, jedoch ohne Ergebnis. Sie erkannten eine vage Unregelmäßigkeit in der Software, die die vielen Fehlermeldungen, welche die Piloten erhalten hatten, erklären könnte.[5] HintergrundAm 7. Oktober 2008 wurde Flug 72 der Qantas Airways von einem Airbus A330, mit dem Luftfahrzeugkennzeichen VH-QPA durchgeführt. Die Maschine war ursprünglich als A330-301 ausgeliefert worden, hatte jedoch einen Triebwerkswechsel und wurde zu einem A330-303.[6] Im Cockpit saßen der 53-jährige Kapitän Kevin Sullivan, ein ehemaliger United-States-Navy-Pilot, der nach Australien gezogen war, erster Offizier war Peter Lipsett und, da es sich um einen Langstreckenflug handelte, war auch noch ein zweiter Offizier, Ross Hales, im Cockpit. Die Kabinencrew bestand aus 9 Mitgliedern, die sich um 303 Passagiere kümmerten. Somit waren insgesamt 315 Personen an Bord der Maschine.[7] UnfallhergangFlug 72 verließ den Flughafen von Singapur um 09:32 Uhr Ortszeit und erreichte um 10:01 Uhr die Reiseflughöhe von 37000 Fuß. (11000 Meter) Um 12:40:26 Uhr AWST schaltete sich der Autopilot aufgrund von fehlerhaften Daten, die von einer der drei ADIRUs geliefert wurden, aus. Wenige Sekunden später bekamen die Piloten auf ihrem Electronic Centralized Aircraft Monitoring (ECAM) Warnmeldungen über die fehlerhaften Daten, den automatisch ausgeschalteten Autopilot, sowie sich widersprechende, akustische, Meldungen über Strömungsabriss- und Hochgeschwindigkeitswarnung. Diese beiden Warnungen können logisch nicht gleichzeitig auftreten, da die eine besagt, dass das Flugzeug zu langsam ist, um fliegen zu können, während die andere davor warnt, dass das Flugzeug zu schnell ist, um die strukturelle Integrität zu gewährleisten. Der Autopilot wurde wieder eingeschaltet, jedoch 15 Sekunden später wieder aus und blieb für den Rest des Fluges ausgeschaltet. Etwa 2 Minuten später, um 12:42:27 Uhr, ging die Maschine unerwartet in einen Sturzflug über, der nicht von den Piloten angefordert worden war. Dabei verlor das Flugzeug schnell 650 Fuß (200 Meter) an Höhe. Nach 20 Sekunden brachten die Piloten das Flugzeug wieder in eine normale Fluglage. Um 12:45:08 Uhr ging die Maschine erneut in einen Sturzflug, der nach 16 Sekunden und 400 Fuß (120 Meter) abgefangen worden konnte.[8][9] UnfalluntersuchungDas Australian Transport Safety Bureau (ATSB) wurde bei dieser Untersuchung von der australischen Civil Aviation Safety Authority, der Fluggesellschaft Qantas, dem französischen Bureau d’Enquêtes et d’Analyses pour la sécurité de l’aviation civile (BEA) und Airbus unterstützt.[3] Kopien der Daten der Flugschreiber wurden an die BEA und Airbus gesendet.[9] Das Flugzeug war mit Air Data Inertial Reference Units (ADIRU) ausgestattet, die von Northrop Grumman hergestellt worden waren. Die Ermittler sendeten die fehlerhafte Einheit für zusätzliche Tests zu Northrop Grumman in den Vereinigten Staaten.[10] Am 15. Januar 2009 veröffentlichte die European Aviation Safety Agency (EASA) eine "emergency airworthiness directive"[11] um die Probleme mit Flugzeugen der A330 und A340 Familie mit Northrop-Gruman ADIRUs, die fehlerhaft auf defekte Inertial Reference Daten, zu adressieren. In einem vorläufigen Untersuchungsbericht identifizierte das ATSB einen Fehler in der ersten ADIRU-Einheit "als mögliche Ursache" für die Ereignisse. Die Einheit, von der drei an Bord des Flugzeugs sind, begann fehlerhafte Daten an andere Systeme des Flugzeugs zu senden.[12][13] Die Effekte dieser fehlerhaften Daten waren zunächst[4]:
Etwa zwei Minuten später stellte die ADIRU Nr. 1, welche die Daten für den PFD des Kapitäns bereitstellte, fehlerhaft fest, dass das Flugzeug mit einem sehr hohen Anstellwinkel fliegt. Dies führte dazu, dass die Flugcomputer eine Verringerung des Anstellwinkels um 8,5 Grad veranlassten, um das Flugzeug wieder in eine sichere Fluglage zu bringen. Des Weiteren wurde bei dem Flight-Control Primary Computer (FCPC) ein Anstellwinkel-Fehler ausgelöst.[4] Fehlerhaftes FCPC-DesignDer Anstellwinkel ist einer der wichtigsten kritischen Flugparameter, und Flugsteuerungssysteme wie die, welche im Airbus A330 verbaut sind, benötigen präzise Anstellwinkel-Daten, um ordnungsgemäß zu funktionieren. Das Flugzeug war mit drei ADIRUs ausgestattet, um Redundanz für Fehlertoleranz zu gewährleisten, und die FCPCs verwendeten die drei unabhängigen Anstellwinkel-Werte, um ihre Konsistenz zu überprüfen. Im Normalfall, wenn alle drei Anstellwinkel-Werte gültig und konsistent waren, wurde der Durchschnittswert von Anstellwinkel 1 und Anstellwinkel 2 von den FCPCs für ihre Berechnungen verwendet. Wenn entweder Anstellwinkel 1 oder Anstellwinkel 2 signifikant von den beiden anderen Werten abwich, verwendeten die FCPCs für 1,2 Sekunden einen gespeicherten Wert. Der FCPC-Algorithmus ist sehr effektiv, aber er konnte ein Szenario nicht korrekt handhaben, bei dem mehrere Spikes (kurze, hohe Spitzenwerte) in Anstellwinkel 1 oder Anstellwinkel 2 auftraten, die 1,2 Sekunden auseinander lagen, d. h. wenn die 1,2 Sekunden-Periode der Verwendung des gespeicherten Wertes zufällig endete, während „ein anderer“ Spike stattfand. Wie bei anderen sicherheitskritischen Systemen gab es auch bei der Entwicklung des A330-Flugsteuerungssystems in den Jahren 1991 und 1992 zahlreiche Elemente zur Minimierung des Risikos eines Konstruktionsfehlers, darunter Peer Reviews, eine System-Sicherheitsbewertung (SSA) sowie Tests und Simulationen zur Überprüfung und Validierung der Systemanforderungen. Bei keiner dieser Aktivitäten wurde die Konstruktionsbeschränkung im Anstellwinkel-Algorithmus des FCPC festgestellt. Dieser ADIRU-Fehlermodus war zuvor weder aufgetreten noch vom ADIRU-Hersteller im Rahmen seiner SSA-Aktivitäten identifiziert worden. Insgesamt wurden bei den von Airbus angewandten Konstruktions-, Verifizierungs- und Validierungsverfahren die potenziellen Auswirkungen häufiger Datenspitzen bei einer ADIRU nicht vollständig berücksichtigt. Airbus erklärte, dass ihnen kein ähnlicher Vorfall bekannt sei, gab jedoch über Telex Informationen an Betreiber des A330 heraus, wie im Fall eines ähnlichen Vorfalles die Gefahr minimiert werden könne.[4] AbschlussberichtNach forensischer Untersuchung des Flight Data Recorders, der FCPC Software und der ADIRU wurde festgestellt, dass der Hauptprozessor der ADIRU die Anstellwinkel-Daten korrumpiert hatte. Durch das in das für den Anstellwinkel umgelabelte Datenwort für die Flughöhe wurden die Binärdaten, die eigentlich 37.012 ft bedeuteten, zu 50,625° Anstellwinkel. Der FCPC nahm daraufhin fälschlicherweise einen viel zu hohen Anstellwinkel an und leitete das Nose-Down-Manöver ein, um aus seiner Sicht das Flugzeug zu retten.[14] Potenzielle AuslöseartenEs wurden einige potenzielle Auslösearten untersucht, darunter Softwarebugs, Softwarekorruption, Hardwarefehler, elektromagnetische Interferenzen und die sekundäre kosmische Strahlung, die einen Bit flip herbeiführen kann. Dabei konnte keine definitive Antwort gefunden werden, jedoch lassen Informationen aus mehreren Quellen den Schluss zu, dass keine der potenziellen Auslösearten für den Vorfall verantwortlich war, sondern irgendein marginaler Hardwaredefekt, der die Einheit für Umwelteinflüsse anfällig machte.[14] Es gab Spekulationen, dass Interferenzen mit der Marinefunkstelle Harold E. Holt oder elektronische Geräte der Passagiere zu dem Vorfall beigetragen haben könnten, doch das ATSB schätzt die Wahrscheinlichkeit dafür als sehr gering ein.[14] FazitDas ATSB schlussfolgerte, dass der Vorfall durch eine Kombination von Softwarelimitationen seitens Airbus und einem Fehlermodus der ADIRU in sehr seltenen Fällen dazu führen könne, dass die Flugcomputer einen Pitch-Down veranlassen, um das Flugzeug aus einer vermeintlichen Gefahrensituation zu retten, es jedoch so erst in eine bringt.[14] Qantas-Flug 71Am 21. Dezember 2008 flog ein weiterer Airbus A330-300 der Qantas von Perth nach Singapur, als die Maschine ca. 480 km nordwestlich von Perth und 650 km südlich von Learmonth ähnliche Symptome zeigte. Der Autopilot schaltete sich aus und es wurde ein Fehler der ADRIU Nr. 1 gemeldet. Die Crew des Fluges reagierte auf diesen Vorfall anhand der neuen Checklisten, die Airbus im Anschluss an Flug 72 herausgegeben hatte, und kehrte ohne weitere Probleme zurück nach Perth. Das ATSB schloss diesen Flug in ihre Untersuchung zu Flug 72 ein.[15] Der Vorfall heizte die Spekulationen in den Medien über die Bedeutung der Militärfunkanlage erneut an und die Australian and International Pilots Association forderte, dass kommerzielle Flugzeuge als Vorsichtsmaßnahme nicht mehr in dem Gebiet fliegen sollten, bis man die Ereignisse besser verstehen würde,[16][17] während ein Sprecher der Anlage sagte, es wäre „sehr, sehr unwahrscheinlich“, dass es eine Interferenz mit der Sendeanlage gegeben hätte.[18] FolgenDie Rettungsdienste der Stadt Exmouth sowie überregionale Rettungskräfte beteiligten sich an dem Einsatz. Der Royal Flying Doctor Service, sowie ein CareFlight Ambulanz-Jet brachten die 20 Schwerverletzten nach Perth, Andere wurden im Krankenhaus der Stadt Exmouth behandelt. Qantas schickte zwei Flugzeuge mit medizinischem Personal und Zöllnern nach Exmouth um die Verletzten zu behandeln und die Unverletzten nach Perth zu fliegen. Menschen, die an diesem Tag nicht noch einmal fliegen wollten, wurden in Exmouth untergebracht. Das Flugzeug VH-QPA erlitt minimale Schäden, wurde wieder repariert und fliegt weiterhin für die Qantas.[19] KompensationQantas bot allen Passagieren des Fluges eine Kompensation an. Dies würde die Kosten der Reiseroute, einen Gutschein über einen Flug nach London und zurück in der Klasse in der sie gereist waren, sowie alle medizinischen Kosten inkludieren. Weitere Entschädigungen würden auf einer Fall-zu-Fall-Basis entschieden.[20] Einige Passagiere verklagten die Airline, darunter ein Paar, das ihre Anschnallgurte angelegt hatte.[21][22] Dem durch den Vorfall invaliden Flugbegleiter Fuzzy Maiava wurde geraten, eine Entschädigungszahlung von Qantas in Höhe von NZ$ 35.000 nicht anzunehmen, damit er sich an einer Sammelklage gegen Airbus und Northrop Grumman beteiligen konnte. Die Klage wurde jedoch aus verfahrenstechnischen Gründen abgewiesen und Maiava erhielt so keine Entschädigung.[23] Mediale AufarbeitungDer Unfall des Qantas-Fluges 72 war Thema der siebten Episode, der 18. Season, von Mayday – Alarm im Cockpit mit dem Titel "Freier Fall" (Originaltitel: "Free Fall"). Im Mai 2019 veröffentlichte der Kapitän des Fluges, Kevin Sullivan, seine Erinnerungen an diesen Flug in einem Buch.[24] Literatur
Ähnliche ZwischenfälleWeblinksCommons: Qantas-Flug 72 – Sammlung von Bildern, Videos und Audiodateien
Einzelnachweise
|
||||||||||||||||||||||||||||||||||||
.jpg)
