Übersicht

In dieser Diplomarbeit werden Flugunfälle und schwere Störungen im Flugbetrieb von Verkehrsflugzeugen untersucht und die Fehlerketten, die zu den Unfällen geführt haben aufgestellt. Anhand dieser Aufstellung werden Möglichkeiten untersucht und erläutert, wie mit einem Assistenzsystem solche Unfälle vermieden werden können bzw. welche Funktionalitäten ein solches System haben muss, um den Pilot bei Eintritt einer Notlage optimal zu unterstützen. Alle so erlangten Kenntnisse werden schließlich zusammenfassend aufgeführt, sortiert und ein theoretisches Modell entworfen.

Inhaltsverzeichnis

   i

Inhaltsverzeichnis   

0  Abkürzungen.  iii

1  Einführung  1

1.1  Historische Entwicklung  1

1.2  Aktuelle Problematik.  2

1.2.1  Automatisierung.  2

1.2.2  Kognitive Assistenzsysteme  3

2  Definitionen und Bewertungskriterien.  5

2.1  Definitionen.  5

2.2  Bewertungskriterien  7

3  Darstellung und Analyse der Unfälle.  10

3.1  Vorgehensweise.  10

3.2  Unfall-Hergänge, Analysen und Schlussfolgerungen.  11

3.2.1  Aeroperu Flight 603 am 02.10.96.  11

3.2.2  Lufthansa Flight 2904 am 14.9.1993.  14

3.2.3  American Airlines Flight 965 am 20.12.95  18

3.2.4  Aeroflot Flight SU593 am 22.3.1994  20

3.2.5  Avianca Airlines Flight 052 am 25.01.1990.  23

3.2.6  Birgen Air Charterflug am 6.2.1996.  25

3.2.7  British Midland Airways am 8.1.1989  27

3.2.8  China Airlines Flight 006 am 19.2.1985  30

3.2.9  China Airlines Flight 140 am 26.4.1994  32

3.2.10  Korean Air Flight 801 am 6.8.1997.  35

4  Geforderte Funktionalitäten  38

4.1  Auswertung der Flugunfallanalysen.  38

4.2  Erläuterungen und Ergänzungen zu den geforderten Funktionalitäten  43

4.2.1  Gruppe 1: Hilfe bei Fehlersuche und -behebung  43

Inhaltsverzeichnis

   ii

4.2.2  Gruppe 2: Hilfe bei Erfüllung der Flugaufgabe.  47

4.2.3  Gruppe 3: Erweiterte Notfallautomatiken  52

5  Schematisches Assistenzsystem.  56

5.1  CAMA  56

5.2  Entwicklung des schematischen Assistenzsystems.  60

5.2.1  Komponenten.  60

5.2.2  Gesamtsystem  63

6  Zusammenfassung und Ausblick  66

7  Literaturverzeichnis  68

8  Abbildungs- und Tabellenverzeichnis  70

Abkürzungen iii

0 Abkürzungen

A/P Autopilot ATC Air Traffic Control (Flugverkehrskontrolle) BFU Bundesstelle für Flugunfalluntersuchungen CCC Crew Coordination Concept (Team-Konzept) CFIT Controlled Flight Into Terrain CFTT Controlled Flight Towards Terrain CVR Cockpit Voice Recorder (Stimmenrecorder) DFDR Digital Flight Data Recorder (Datenrecorder) EFIS Elektronisches Fluginformationssystem EGT Exhaust Gas Temperature (Abgastemperatur) FAA Federal Aviation Association (Flugaufsichtsbehörde der USA) FMS Flight Management System GPWS Ground Proximity Warning System (Bodenannäherungs-Warngerät) HUD Head-Up-Display (Anzeige vor dem Cockpit-Fenster) IATA International Air Transport Association LADC/RADC (Left/Right) Air Data Computer (Luftdatenrechner) NTSB National Transport Safety Board (US-amerik. Luftsicherheitsbehörde) PF Pilot flying (gerade aktiver Pilot) PNF Pilot non-flying (gerade inaktiver Pilot) SOP Standard operational procedures (Vorschriften für Standard-Situationen) TWR Tower (zuständig für die Kontrolle des Endanfluges)

Einführung 1

1 Einführung

1.1 Historische Entwicklung

Flugunfälle gehören zum Fliegen, seit der erste Mensch sich mit einem selbstgebauten Apparat in die Luft erhob. Otto Lilienthal stürzte nach ca. 2500 Gleitflügen tödlich ab. Im zweiten Weltkrieg wurden Flugzeuge bereits in Massenproduktion gefertigt. Trotzdem gingen mehr Flugzeuge durch Flugunfälle verloren, als durch Feindeinwirkung.

Einer Untersuchung über Unfälle von kommerziell genutzten Passagiermaschinen mit Strahlantrieb zufolge wurden von Anfang 1958 bis Ende 1996 548 Maschinen zerstört. Dies sind 14,1 Maschine pro Jahr im Durchschnitt. Der Schnitt der letzten 10 Jahre der Untersuchung betrug 19,7, der letzten 5 Jahre 20,4. Die absolute Anzahl der Totalverluste muss natürlich im Zusammenhang mit der Anzahl geflogener Sektoren gesehen werden. Diese Betrachtung zeigt eine deutliche Abnahme der Rate. Auch die durchschnittlichen Werte der letzten drei Dekaden bestätigen eine abnehmende Tendenz. Dennoch sieht es so aus, als stabilisiere sich die durchschnittliche Unfallrate bei ca. 1,3 Totalverlusten pro 1 Million Sektoren.

Da es vom reinen Zufall abhängt, wie viele Passagiere sich an Bord einer Unglücksmaschine befinden - es kann sich z.B. auch um einen Frachter handelnlassen sich aus der Anzahl der in einem Jahr getöteten Passagiere keine Rückschlüsse auf die Flugsicherheit ziehen. Dennoch ist die Öffentlichkeit an diesen Zahlen interessiert, da sie die Wahrscheinlichkeit bei einer Flugreise getötet zu werden, wiederspiegeln. Die Rate war in den letzten Dekaden sehr starken Schwankungen unterzogen. Bedingt durch die vielen Todesopfer 1996 zeigt die Trendlinie eine deutliche Zunahme. Während die Rate für 1995 noch 0,25 betrug, stieg sie 1996 auf 0,7 getötete, pro Million beförderte Passagiere.

Einführung 2

Mehr als 80% der Totalverluste erfolgten während nur 7% der Flugzeit. Diese Aussage ist bereits bekannt. Die drei gefährlichsten Flugphasen sind Take Off, Approach und Landing. Das Jahr 1996 zeigte sich hier als atypisch. Erstmals ist in der Climb Phase ein deutlicher Zuwachs zu verzeichnen, während die Totalverluste in der Landing Phase fast um die Hälfte abgenommen hatte. Über die Flugzeuggenerationen hinweg lässt sich ebenfalls ein positiver Trend erkennen, der wohl hauptsächlich im technischen Fortschritt begründet ist. Die hier aufgeführten Statistiken stellen den Stand Anfang 1997 dar und sind [11] entnommen.

1.2 Aktuelle Problematik

1.2.1 Automatisierung

Während früher Unfälle oftmals dadurch verursacht wurden, dass der Mensch als Regler unzureichende Fähigkeiten aufwies oder auf mangelnde Erfahrung zurückgreifen mussten, da kritische Situationen nicht in einem Simulator geübt werden konnten, sind diese Gründe heutzutage fast verschwunden. Die zunehmende Ausstattung der Flugzeuge mit Reglern und Computeranlagen vereinfachten das Flugverhalten bzw. ermöglichten es dem Menschen, auch komplexere Flugzeuge sicher zu beherrschen. Dies wurde durch einen zunehmenden Grad an Automatisierung erreicht. In den 50er Jahren ging man noch davon aus, dass man niemals eine Landung vollautomatisch durchführen könnte. Heute ist es problemlos möglich, den kompletten Flug von einem Autopiloten durchführen zu lassen. So wurde der Autopilot einmal als das Allheilmittel gegen Flugunfälle angesehen, und wurde weiterentwickelt. Dann allerdings passierten einige Unfälle in deren Folge sich herausstellte, dass die Piloten nicht mehr in der Lage waren, die komplizierten Vorgänge in ihren Flugzeug-Systemen zu verstehen oder nachzuvollziehen. Dies lag daran, dass automatische Vorgänge nur modellhaft dargestellt werden können und dass ein Eingreifen des Menschen nur begrenzt möglich oder gewollt war. Im Falle eines Systemausfall waren die Piloten hin und wieder nicht mehr in der Lage, das Flugzeug als Gesamtsystem zu beherrschen.

Einführung 3

Aus mehreren Gründen kann man aber trotz der hochgradigen Automation in Zukunft nicht auf den Menschen im Cockpit verzichten. Erstens gibt es Flugsituationen, die nicht automatisierbar sind. Zweitens wird eine Fernsteuerung lediglich als eine Verlagerung des Cockpits angesehen. Und drittens wird ein Flugzeug ohne Piloten an Bord wohl kaum von den Flugpassagieren akzeptiert. So wurde aus Untersuchungen der Schnittstelle Mensch / Maschine eine neue Form der Automation entwickelt. Dabei handelt es sich um kognitive Assistenzsysteme, die im folgenden skizzenhaft dargestellt werden sollen.

1.2.2 Kognitive Assistenzsysteme

Solche Systeme sind nicht darauf ausgelegt, dem Piloten die Flugführung abzunehmen, sondern diesen bei der Aufgabe der Flugführung so zu unterstützen, dass sich der Pilot ganz auf die Führung des Flugzeuges konzentrieren kann. Dafür besitzen solche Systeme nach [4] verschiedene Teilsysteme. Dazu gehören eine Situationsanalyse, ein Planungssystem, ein Dialog-Manager, eine Datenbasis, eine Wissenserwerbskomponente sowie eine Erklärungs-und

Selbstdiagnosekomponente. Die prinzipielle Anordnung dieser Komponenten ist in Abb. 1.1 ersichtlich.

Abb. 1.1 Prinzipielle Anordnung der Systemkomponenten kognitiver Assistenzsysteme [4]

Einführung 4

Die Situationsanalyse nutzt alle Daten, die sie über Sensoren von der Umwelt und dem Flugzeug erhält, die ihr der Pilot oder die Datenbasis zur Verfügung stellt oder die per Data-Link an das System gesandt wurden, um die Situation möglichst vollständig zu erfassen und zu interpretieren. Das Planungssystem ist über die Zielsetzung des Piloten informiert und kann so mit der Situationsanalyse eine eigene Flugplanung erstellen und diese dem Piloten präsentieren. Der gesamte Informationsfluss von Flugzeugsystemen und Piloten zum Assistenzsystem und zurück wird von einem Dialog-Manager organisiert. Damit wird der Informationsfluss so geregelt, dass keine Überforderung durch Überinformation entsteht. Die Datenbasis besteht aus drei Teilkomponenten: der Situationsrepräsentation, mit deren Hilfe der Dialog-Manager die Situation dem Piloten darstellt, die statische Datenbasis, die vorher eingespeichert wurde und die dynamische Datenbasis, die sich aus der Lernkomponente entwickelt. Diese Lernkomponente ermöglicht es die Datenbasis zu erweitern. Dabei ist das System in der Lage während der Bearbeitung notwendige Informationen anzufordern (Pilot oder Data-Link) oder es werden während einer Wartung zusätzliche Informationen eingespeichert. Die Erklärungs- und Selbstdiagnosekomponente ist zum einen für Überwachung der eigenen Systemfunktionen, zum anderen aber auch für Erläuterung der Ergebnisse, die das System liefert, zuständig. Grundsätzlich entsprechen solche System also eher einem „virtuellen“ Kopiloten als einem Autopiloten, da Autopiloten keine Interpretationskomponenten besitzen.

Ziel dieser Arbeit ist aber nicht, die komplette Entwicklung eines solchen Systems, sondern es sollen in erster Linie Funktionalitäten aus den aufgeführten Flugunfällen gewonnen werden, die der Sicherheit eines mit diesem System ausgerüsteten Flugzeuges dienen sollen.

Definitionen und Bewertungskriterien 5

2 Definitionen und Bewertungskriterien

Die folgenden Darstellungen sind [1] und [11] entnommen.

2.1 Definitionen

Um Flugunfälle genau zu beschreiben bedarf es einiger Definitionen, um Verwechslungen und Missverständnisse zu vermeiden. * Unfall: Ein Ereignis beim Betrieb eines Luftfahrzeuges vom Beginn des

Definitionen und Bewertungskriterien 6

* Schwere Störung: Ein Ereignis beim Betrieb eines Luftfahrzeugs, dessen

* Tödliche Verletzung: Eine Verletzung, die eine Person bei einem Unfall

* Schwere Verletzung: Eine Verletzung, die eine Person bei einem Unfall

Definitionen und Bewertungskriterien 7

2.2 Bewertungskriterien

Um die Fehler, die zu Flugunfällen geführt haben, genau analysieren und zuordnen zu können, hat die IATA einen Klassifizierung erstellt, in die sich jeder Flugunfall einordnen lässt. Diese Klassifizierungen wurden erstellt, um den Fluggesellschaften zu helfen, effektive Trainingsprogramme für Piloten, Flugbegleiter und anderes Personal zu entwickeln. Sie können helfen, die Hauptfehlerfelder zu identifizieren, in denen noch Trainingsbedarf besteht.

Normalerweise ist es sehr schwierig, einen Unfall oder eine schwere Störung eindeutig einer Kategorie zuzuordnen, da sie oft das Ergebnis einer Verkettung von Fehlern und/oder Versäumnissen sind. Deshalb kann ein einzelner Unfall auch mehreren Kategorien zugeordnet sein. Die IATA unterscheidet 4 Hauptkategorien:

• Mensch-Kategorie (Human „Hum“)

• Technik-Kategorie (Technical „Tec“)

• Umgebungskategorie (Environmental „Env“)

• Organisationskategorie (Organisational „Org“)

Diese vier Kategorien besitzen gewisse Schnittpunkte untereinander. Die „H“-Kategorie gilt nur für die Flugbesatzung (Pilot, Co-Pilot, ggf. Flugingenieur). Die Einflüsse menschlicher Fehler lassen sich aber auch in anderen Kategorien finde, so ist z.B. der H3-Faktor oft auch eine Konsequenz aus einem operationellen Fehler oder einem „verborgenem“ Fehler sein. Die „H“-Kategorie wird wie folgt untergliedert * H1 Aktiver Fehler (Nichteinhaltung von Standards und Prozeduren

Definitionen und Bewertungskriterien 8

* H2 Passiver Fehler (Unbewusstsein - dies kann beinhalten:

* H3 Fehlende Fertigkeiten (ungeeignetes Handhaben des

* H4 Untauglichkeit (Flugbesatzung ist nicht in der Lage, ihren

Die „T“-Kategorie wird wie folgt untergliedert:

* T1 umfangreicher Triebwerksschaden, zerstörte Gondel, Feuer * T2 Triebwerksschaden, Fehlfunktion, Feuerwarnung * T3 Fahrwerk und Räder * T4 Flugkontrollen (Stick, Pedale, Schub, Trimmung, etc.) * T5 Strukturelle Schäden (Rumpf, Flügel, Leitwerk) * T6 Feuer, Rauch (Kabine und Frachtraum) * T7 Wartung, Service (incl. Menschlicher Fehler) * T8 Avionik (Flugelektronik) * T9 Design, Hersteller * T10 Andere * T11 Systemfehler * T12 Automatischer Flug

Definitionen und Bewertungskriterien 9

Die „E“-Kategorie wir wie folgt untergliedert: * E1 Wetterbedingungen * E2 ATC / Kommunikation / Konflikte mit Verkehr * E3 Bodenpersonal, Kabinenpersonal, Passagiere * E4 Vögel, Beschädigung durch herumfliegende Objekte (z.B. beim Start angesaugte Objekte, wie Steine oder anderer Dreck) * E5 Flughafen-Anlagen * E6 Bodenunterstützung (Prozeduren, Training) * E7 Navigationshilfen * E8 Gefährliche Transportgüter * E9 Sicherheit * E10 Andere

Die „O“-Kategorie wird wie folgt unterteilt:

* O1 Auswahl und Training der Besatzungsmitglieder * O2 Mangelhafte SOPs und Regularien * O3 Administrative Defizite * O4 “verborgene” Fehler (Fehler, die aus dem “allgemein üblichen” resultieren * O5 Mangelhafte Kontrolle und Überwachung * O6 Unterschiedliche Zielsetzungen verschiedener Gruppen * O7 Mangelhafte Kommunikation * O8 Andere

In diese Aufteilung werden alle Unfälle eingefügt. Außerdem sieht die IATA noch eine Kategorie „I“ (Insufficient data) vor, in die alle Unfälle fallen, über die nicht genug bekannt ist, um sie einer der anderen Kategorien zuzuordnen. Die in dieser Arbeit analysierten Unfälle werden nach dieser Klassifizierung ebenfalls bewertet.

Darstellung und Analyse der Unfälle 10

3 Darstellung und Analyse der Unfälle

3.1 Vorgehensweise

Die Unfallberichte sind oftmals sehr ausführlich, weshalb auch auf eine komplette Darstellung des Berichtes verzichtet wird. In diesem Kapitel wird nur eine kurze zusammenfassende Darstellung des Unfallhergangs und aller damit zusammenhängenden technischen Vorgänge eingegangen. Für die kompletten Berichte wird auf die Quellen verwiesen. Flugunfallberichte sind im Normalfall wie folgt aufgebaut:

• Fakten des Unfalls (z.B.: Unfallhergang, Aufzeichnungen, Wetter-

• Analysen(z.B.: Unfallursache, Reaktion der Piloten, Reaktionen der Flugzeugsysteme, Reaktionen der angefunkten Bodenstellen, etc.)

• Schlussfolgerungen

• Empfehlungen an Airlines und Hersteller

• Anhang (z.B.: CVR-Transskript, Bilder von der Unfallstelle, etc.) Für die Darstellung in dieser Arbeit werden daraus relevante Fakten des Unfalls und die Analysen sowie, falls erforderlich, die CVR- und DFDR-Aufzeichnungen extrahiert. Somit wird eine kurze aber schlüssige Darstellung des jeweiligen Unfalls erreicht. Die Fehlerketten werden sowohl textlich als auch in Form von Diagrammen dargestellt. Diese Diagramme haben folgendes Schema: