Risikoregister · Eintrag
Q3 · KonstruiertAir France Flug 447
Drei vereiste Sensoren gaben die Maschine an die Crew zurück, die die Nase bis zum Aufprall oben hielt.
Eng gekoppelte Systeme, in denen ein kleiner Fehler kaskadiert und die ganze Maschine zum Stillstand bringt.
Warum dieser Quadrant
Das Ereignis liegt in Q3, weil ein kleiner, vorübergehender Fehler in einer Sensorklasse sich durch eine eng gekoppelte Architektur aus Flugsteuerung und Crew-Schnittstelle bis zum Totalverlust des Flugzeugs fortpflanzte. Die Blockade der Pitotsonden durch Eiskristalle dauerte weniger als eine Minute, machte aber die Fluggeschwindigkeit ungültig, was automatisch Autopilot und Autoschub abschaltete und die Flugsteuerung vom Normal Law auf Alternate Law umkonfigurierte. Damit entfielen die Envelope-Schutzfunktionen, auf die sich die Crew laut ihrer Ausbildung verlassen sollte, während zugleich eine ECAM-Kaskade und eine Stall-Warnung erzeugt wurden, die später aussetzte, weil die Fluggeschwindigkeitsdaten ungültig geworden waren. Die Kopplung ist der Mechanismus: Der Sensorfehler, die Umkonfiguration des Steuergesetzes, die Warnlogik und das Diagnosemodell der Crew waren keine unabhängigen Schichten, sondern eine einzige Kette, und das Flugzeug wurde der Crew in dem Moment zurückgegeben, in dem ihren Instrumenten am wenigsten zu trauen war.
Die Aktenlage
- Alle 228 Menschen an Bord kamen ums Leben: 12 Besatzungsmitglieder (3 Cockpitbesatzung, 9 Kabinenbesatzung) und 216 Passagiere, am 1. Juni 2009, an Bord des Airbus A330-203 mit der Kennung F-GZCP.gesichert
- Die Stall-Warnung ertönte 54 Sekunden lang ununterbrochen und verstummte dann, weil alle aufgezeichneten Fluggeschwindigkeiten ungültig geworden waren; zu diesem Zeitpunkt befand sich das Flugzeug in etwa 35.000 ft, der Anstellwinkel überstieg 40 Grad, und die Vertikalgeschwindigkeit betrug etwa -10.000 ft/min.gesichert
- Autopilot und Autoschub schalteten sich bei 2 h 10 min 05 ab, und die Aufzeichnungen endeten bei 2 h 14 min 28, also etwa vier Minuten und zwanzig Sekunden vom Verlust der Fluggeschwindigkeit bis zum Aufschlag; die zuletzt aufgezeichnete Vertikalgeschwindigkeit betrug -10.912 ft/min bei einer Längsneigung von 16,2 Grad nach oben.gesichert
- Die BEA untersuchte siebzehn frühere Ereignisse, die unter ähnlichen Bedingungen wie AF447 auftraten; in fast allen hielten die Crews, die die Stall-Warnung hörten, sie für überraschend und nicht einschlägig.gesichert
- Die erste Charge der Ersatz-Pitotsonden Thales C16195BA traf am 26. Mai 2009 bei Air France ein, sechs Tage bevor F-GZCP abstürzte; das Unfallflugzeug war noch mit den ursprünglichen Sonden C16195AA ausgerüstet.gesichert
Quellen
Der Newsletter
Jede Woche eine Risikogeschichte, auseinandergenommen wie diese: was bekannt war, was ignoriert wurde, und in welchem Quadranten sie wirklich lag.
Kein Spam, eine E-Mail pro Woche.