Die Rolle neuartiger Bordsysteme
Im weiteren Sinne betrifft die dringliche Lufttüchtigkeitsanweisung das Maneuvering Characteristics Augmentation System (MCAS), welches bei den MAX-Modellen der Boeing 737 kritische Flugsituationen erkennen und korrigieren soll; es bezieht die Daten unter anderem vom Anstellwinkel-Sensor. MCAS wurde notwendig, weil die nach vorne verschobenen, vergrößerten Triebwerksgehäuse bei hohen Anstellwinkeln einen relativ starken Auftrieb erzeugen, was im Vergleich zu den NG-Modellen eine schlechtere Kontrollierbarkeit zur Folge hat.[21] MCAS ist nur bei eingefahrenen Landeklappen und bei manuellem Flug aktiv. (Ausgefahrene Landeklappen verlagern den Auftriebsschwerpunkt nach hinten, was den Effekt des nach vorne verlagerten Triebwerksgehäuses dämpft.) Ist der Autopilot aktiv, besteht ein ausreichender Schutz vor heiklen Fluglagen; jedoch fällt der Autopilot als Schutzmaßnahme aus und kann nicht wieder eingeschaltet werden, wenn Sensoren unzuverlässige Messdaten liefern. Das MCAS-System schützt vor einem Strömungsabriss bei zu hohem Anstellwinkel, indem es die Höhenflosse so trimmt, dass das Flugzeug die Nase nach unten nimmt. Damit greift es direkt und massiv in die Flugsteuerung ein, indem es die Flugzeugnase ohne Zutun der Piloten nach unten drückt.
Trotzdem hatte Boeing die Existenz des MCAS-Systems – und dessen mögliche Fehlfunktionen – bewusst verschwiegen, um die Umschulung der NG-Piloten auf die MAX-Modelle zu vereinfachen. Nach Angaben von Piloten wurde MCAS nicht einmal in den Handbüchern erwähnt.[22]
Hinzu kommt die Tatsache, dass bei allen 737-Modellen die elektrische Trimmung des Höhenleitwerks – egal, ob es das Heben oder das Senken der Flugzeugnase zur Folge hat – stets aufhört, sobald der Pilot mit dem Steuerknüppel einen gegenteiligen Befehl gibt. Dies ist aber bei MCAS nicht der Fall, denn es führt – solange es eine kritische Flugsituation erkennt und kein manuelles gegenteiliges Trimmen über Schalter am Steuerhorn vorgenommen wird – nach wie vor zu Nase-senken-Befehlen an die Leitwerk-Trimmung. Hat der Pilot keine Kenntnis von MCAS, steht das Flugverhalten der Boeing 737MAX somit im direkten Widerspruch zu seinen Ausbildungsinhalten. Es wird vermutet, dass die Verwirrung auf dem Flug 610 eine Problemlösung verhindert hat.[21] Es besteht zwar die Möglichkeit, MCAS über die Runaway-Trim-Prozedur zu blockieren – siehe die Lufttüchtigkeitsanweisung – jedoch besteht dann der Schutz vor kritischen Flugsituationen nicht mehr. Ein Pilot, der von seiner Ausbildung und Erfahrung her das Flugverhalten eines NG-Modells erwartet, könnte dann überfordert sein.
Die US-Luftfahrtbehörde FAA hat aufgrund dieser Entwicklungen eine Untersuchung angeordnet; sie befasst sich mit den von Boeing-Ingenieuren angefertigten Sicherheitsanalysen, mit der Umschulung der Piloten und damit, wie die FAA auf eine geeignete Weise die vom Hersteller verbauten elektronischen Bordkomponenten prüfen und genehmigen kann.[23] Einige der Fragen bestehen darin, warum MCAS nur die Daten des einen Anstellwinkel-Sensors nutzt (fehlende Redundanz und Plausibilitäts-Prüfung), und wie Boeing den Flugzeugtyp zertifizieren konnte – denn der mögliche Ausfall von MCAS verschlechtert unmittelbar die Stabilität des Flugzeuges, und müssen zur Verbesserung der Stabilität die Landeklappen ausgefahren werden, schränkt dies wiederum die Reichweite des Flugzeuges ein, was bei ETOPS-Berechtigungen zu einem Problem werden kann.
Ein allgemeiner Aspekt des Unglücks ist die weit fortgeschrittene Automatisierung von modernen Linienflugzeugen bis zu einem Punkt, an dem die Piloten in den immer seltener werdenden Ausnahmesituationen überfordert sind,[24] auch wenn die Automatisierung den Luftverkehr insgesamt sicherer gemacht hat – zum Beispiel EGPWS, welches sogenannte CFIT-Unfälle stark reduziert hat. Hervorzuheben ist noch der Umstand, dass die Boeing 737 aufgrund ihrer Geschichte (Erstflug 1967) nicht für die elektronische Fly-by-Wire-Steuerung ausgelegt ist, was die Integration von Flight-Envelope-Protection-Systemen wie MCAS erschwert. Hingegen wurden die wesentlich jüngeren Boeing 777 und Airbus 320 für den Einsatz solcher Systeme konzipiert.
Zwischenbericht, November 2018
Beim vorherigen Flug hatten die Piloten festgestellt, dass zwei Störungen aufgetreten waren: Daraufhin machte der Flugkapitän zwei Eintragungen im Aircraft Flight & Maintenance Log(book) auf der Seite mit der Nummer B3042855. Bei dem ersten Item wurde IAS and ALT Disagree shown after Take Off eingetragen. Als zweite separate Beanstandung wurde FEEL DIFF PRESS LT ILL (Feel Differential Pressure Light Illuminated) eingetragen.[25] Dieses Licht besagt, dass es in dem System, welches in Abhängigkeit von Flughöhe und Fluggeschwindigkeit die manuelle Bedienbarkeit der Höhenruder (engl. Elevator) verändert, zu einer Störung gekommen ist. Vereinfacht ausgedrückt: Je größer die Flughöhe (Altitude) und die Geschwindigkeit (Airspeed), desto höher ist der benötigte Kraftaufwand zum Bedienen der Höhenruder, was durch das Einwirken der sogenannten Elevator Feel und Centering Unit auf das Steuerhorn (engl. Control Column) gewollt ist.
Auf beiden Seiten des Flugzeugs befinden sich Luftdrucksensoren – einerseits Staurohre (Pitotrohre), welche die rohe, unkorrigierte Fluggeschwindigkeit (engl. IAS für „Indicated AirSpeed“) messen, und die Statischen Sonden (Static Ports), welche die rohe, unkorrigierte Flughöhe (engl. „Altitude“) registrieren. Die Messungen der linken und der rechten Seite widersprachen sich, was die Funktion der Bordsysteme beeinträchtigt. Die Piloten arbeiteten die Checkliste durch; die baldige Landung wurde darin nicht empfohlen. Neben anderen Schritten deaktivierten sie daher die automatische Trimmung des Höhenleitwerks und flogen ohne Probleme weiter.
Nach der Landung begaben sich Flugzeugmechaniker auf die Fehlersuche und prüften einige Systeme. Sie fanden keine einsatzverhindernden Störungen und betrachteten das Flugzeug daher als lufttüchtig.
Auf dem Unfallflug maßen die beiden Anstellwinkel-Sensoren (AOA-Sensors, engl. „Angle of Attack“)[26] Werte mit einer Differenz von 20°. Die automatische Höhenleitwerk-Trimmung setzte bis zum Absturz ein und wurde zeitweise unterbrochen, als die Piloten die Landeklappen ausfuhren. 26 Mal konnten die Piloten den von Bordsystemen eingeleiteten Sinkflug stoppen und wieder an Höhe gewinnen.
