Softwarefehler brachte Flugzeug in den Sturzflug

Wer Ereignisse wie das folgende für mich hat, her damit – ich sammle sowas…

Die Passagiere des Flugs 72 der australischen Fluggesellschaft Quantas wurden am 7. Oktober 2008 sicher aus ihrer Buchlektüre gerissen, als die Maschine in einer Höhe von 11.277 Metern plötzlich in den Sturzflug überging. Sie waren auf dem Weg von  Singapur nach Perth, als innerhalb von 23 Sekunden das Flugzeug 210 Meter an Höhe verlor – die ersten 45 Meter fiel die Maschine in 2 Sekunden. Zwei Minuten später verlor die Maschine noch einmal an Höhe, dieses Mal sackte sie knapp 122 Meter in 15 Sekunden ab. Passagiere und Besatzungsmitglieder, die nicht angeschnallt waren, wurden durch die Maschine geschleudert. Die Piloten konnten die Maschine auf dem Luftwaffenstützpunkt Learmonth im Bundesstaat Western Australia notlanden.

Die australische Verkehrsaufsichtsbehörde Australian Transport Safety Bureau (ATSB) hat vor Weihnachten den Abschlussbericht zu diesem Beinahabsturz veröffentlicht. Demnach waren fehlerhaften Sensoren und fehlerhafte Software Ursache für einen Sturzflug einer Passagiermaschine der australischen Fluggesellschaft Qantas verantwortlich.

Animation des Vorfalls vom Australian Transport Safety Bureau (ATSB)

Auslöser war eine fehlerhafte Air Data Reference Unit (ADRU), die in der Regel die Instrumentenanzeige der Piloten und andere Systeme des Flugzeugs, wie die Triebwerke und den Autopiloten, mit Informationen zu Windgeschwindigkeit, Windrichtung, Flughöhe, Position und Fluglage versorgt. Aufgrund seiner wichtigen Stellung sind mehrere ADRUs redundant vorhanden. Der betroffene Airbus vom Typ A330 hatte drei ADRUs, von denen eine mehrfach kurzzeitig fehlerhafte Angaben zum Anstellwinkel an den Boardcomputer sendete. Die falschen Informationen entstanden offenbar dadurch, dass der Prozessor der ADRU beim Packaging und Queueing Sensorwerte mit falschen Tags versehen hat. Da das integrierte Systemtests der ADRU das Versagen nicht ausnahmslos detektierten, wurden einige Daten nicht für ungültig markiert.

Ein systematischer Fehler in der ADRU wurde ausgeschlossen. Es wird von einem Single Event Effect (SEE) ausgegangen. Das sind Effekte, die in Halbleiterbauelementen durch den Einschlag, bzw. das Durchqueren eines Teilchens einer ionisierenden Strahlung ausgelöst werden können. Zu diesen Strahlungen zählen z. B. Alphastrahlung, Neutronenstrahlung und kosmische Strahlung. Relevant sind SEEs insbesondere im Bereich der in Luft- und Raumfahrt verwendeten Mikroelektronik, da in höheren Bereichen der Erdatmosphäre und vor allem im Weltraum eine erhöhte Strahlungsintensität herrscht. Solche SEEs sind damit nichts Außergewöhnliches in der Luft- und Raumfahrt.

Normalerweise arbeitet der Algorithmus des Boardcomputers, der den Anstellwinkel verarbeitet, sehr zuverlässig. In diesem Fall war er durch die falschen Daten überfordert gewesen. In dem Bericht kommt das ATSB zu dem Schluss, dass signifikant der vom Boardrechner verwendete Algorithmus zu dem Unglück beitrug.

There was a limitation in the algorithm used by the A330/A340 flight control primary computers for processing angle of attack (AOA) data. This limitation meant that, in a very specific situation, multiple AOA spikes from only one of the three air data inertial reference units could result in a nose-down elevator command.

Als in den 1990ern die Software für den Boardrechner entwickelt worden ist, wurde das Schadensbild mehrfach auftretender Datenspikes der ADRU nicht identifiziert und daher nicht beim Entwurf der Software berücksichtigt. Während der akkumulierten 128 Millionen ist das auslösende Schadensbild der LTN-101 Air Data Inertial Reference Unit nur dreimal beobachtet worden – stets beim Airbus A330. Die beiden weiteren ADIRU haben ordnungsgemäß zu diesem Zeitpunkt funktioniert.

Inzwischen wurde die Software für die Flugsteuerung überarbeitet. Die Überwachung und Filterung der Fluglagedaten wurde erweitert. Der Hersteller der ADIRU hat die integrierten Tests ergänzt, um entsprechende Probleme bei der Datenausgabe zu erkennen und zu melden. Zu den Aufgaben der Piloten gehört es bekanntlich, das Versagen der Technik zu beherrschen: Für den Fall, dass ein NAV IR FAULT im Cockpit gemeldet wird, werden die Piloten angewiesen, die betroffene ADIRU abzuschalten. Das Fehlerbild wurde in das Flugsimulatortraining aufgenommen.

Zu der hohen Zahl der Verletzten trug der Umstand bei, dass 60 der 303 Passagiere nicht angeschnallt gewesen sind. – Also immer schön anschnallen!