Risikoregister · Eintrag
Q3 · KonstruiertAbstürze der Boeing 737 MAX (MCAS)
Ein einziger Sensor konnte die Nase nach unten drücken. Den Piloten wurde nie gesagt, dass es das System gab.
Eng gekoppelte Systeme, in denen ein kleiner Fehler kaskadiert und die ganze Maschine zum Stillstand bringt.
Warum dieser Quadrant
Die MAX gehört in Q3 Konstruiert, weil ein System mit Befugnis über die Höhenrudertrimmung des Flugzeugs auf das Signal eines einzigen Anstellwinkelsensors hin handeln durfte, ohne Gegenprüfung und ohne Redundanz, sodass sich der Ausfall eines einzelnen äußeren Sensorflügels unmittelbar in wiederholte, nicht angeforderte Kommandos zum Drücken der Nase fortpflanzte. Die vorgesehene Absicherung gegen diesen Ausfall war die Cockpitbesatzung, doch der Besatzung war nicht mitgeteilt worden, dass das System überhaupt existierte, und die AOA-Disagree-Warnung, die den Sensorfehler angezeigt hätte, war auf dem größten Teil der ausgelieferten Flotte funktionslos, womit die letzte entkoppelnde Schicht zwischen einem kleinen Bauteilfehler und dem Verlust des Flugzeugs entfiel. Boeing stufte MCAS zudem nicht als sicherheitskritisch ein, sodass die Kopplung nie der Prüfung unterzogen wurde, die eine solche Einstufung ausgelöst hätte: ein kleiner Fehler, ein eng gekoppelter Steuerpfad und eine durchtrennte menschliche Rückfallebene.
Die Aktenlage
- 346 Menschen kamen bei den beiden Abstürzen ums Leben: Lion-Air-Flug 610 (29. Oktober 2018, 189 Tote) und Ethiopian-Airlines-Flug 302 (10. März 2019, 157 Tote).gesichert
- Boeing ließ zu, dass MCAS auf das Signal eines einzigen Anstellwinkelsensors hin aktiviert wurde, und erwartete, dass die Piloten, die weitgehend nicht wussten, dass das System existierte, jede Fehlfunktion abfangen würden; zudem versäumte es Boeing, MCAS als sicherheitskritisches System einzustufen.gesichert
- 2015 warf ein Boeing Authorized Representative die Frage auf, ob MCAS „anfällig für den Ausfall eines einzelnen AOA-Sensors“ sei; Boeing ließ MCAS gleichwohl mit einem einzigen AOA-Sensor arbeiten.gesichert
- Interne Boeing-Testdaten von 2012 zeigten, dass ein Testpilot von Boeing im Simulator mehr als 10 Sekunden brauchte, um eine nicht angeforderte MCAS-Aktivierung zu erkennen und darauf zu reagieren, ein Zustand, den der Pilot als „katastrophal“ einstufte; Boeing verschwieg dies der FAA und seinen Kunden.gesichert
- Boeing schloss im Januar 2021 mit dem DOJ eine Vereinbarung über den Aufschub der Strafverfolgung mit einer Zahlung von über 2,5 Mrd. USD, nachdem es sich verschworen hatte, die FAA im Zusammenhang mit der Zulassungsbewertung von MCAS zu betrügen; die strafrechtliche Bußgeldkomponente betrug 243,6 Mio. USD.hoch
Quellen
Der Newsletter
Jede Woche eine Risikogeschichte, auseinandergenommen wie diese: was bekannt war, was ignoriert wurde, und in welchem Quadranten sie wirklich lag.
Kein Spam, eine E-Mail pro Woche.