Lion-Air-Flug 610

Flugroute

Das Flugzeug hob um 06:20 Uhr Ortszeit (23:20 Uhr UTC) ab und sollte um 07:20 Uhr Ortszeit (00:20 Uhr UTC) in Pangkal Pinang landen.[5] Es startete in westlicher Richtung und drehte dann auf eine nordöstliche Richtung ein, die es beibehielt, bis es gegen 06:33 Uhr Ortszeit (23:33 Uhr UTC) nordöstlich von Jakarta ins Meer stürzte. Die Absturzstelle liegt etwa 34 Seemeilen vor der Küste der Karawang Regency.[4][12] Die Javasee hat an der Absturzstelle eine Wassertiefe von bis zu 35 m.[13]

Höhen- und Geschwindigkeitsprofil im Flugverlauf

Öffentlich verfügbare Daten des Automatic Dependent Surveillance (ADS-B, ein System zur Anzeige der Flugbewegungen im Luftraum) zeigen, dass das Flugzeug auf einer Flughöhe von etwa 2100 Fuß (700 m) einen und bei ungefähr 5000 Fuß (1700 m) innerhalb von rund sechs Minuten mehrere steile, unregelmäßige Sinkflüge durchführte. Der letzte dieser Sinkflüge (und Absturz) dauerte rund eine Minute.[8]

Die Funksignale der Notfunkbake wurden nicht empfangen, weshalb der Absturz zunächst nicht bei der nationalen Such- und Rettungsbehörde Indonesiens bekannt wurde. Ursache kann sein, dass die Boje nicht an der Wasseroberfläche blieb.[14]

Das Flugzeug meldete weniger als einen Tag vor dem Absturz ein nicht näher bezeichnetes technisches Problem, das jedoch nicht zum Startverbot führte.[8] Hierbei waren bereits nicht zueinander passende bzw. ungleichmäßige Geschwindigkeits- und Flughöhen-Daten des ADS-B beobachtet worden.[15] Die Daten hatten sich jedoch nach acht Minuten stabilisiert.[16]

Beim Unfallflug hatten die Piloten die Rückkehr zum Flughafen angefordert.[15]

Im weiteren Sinne betrifft die dringliche Lufttüchtigkeitsanweisung das Maneuvering Characteristics Augmentation System (MCAS), das bei den MAX-Baureihen der Boeing 737 kritische Flugsituationen erkennen und korrigieren soll; es bezieht die Daten unter anderem vom Anstellwinkel-Sensor. MCAS wurde notwendig, weil die nach vorne verschobenen, vergrößerten Triebwerksgehäuse bei hohen Anstellwinkeln einen starken Auftrieb erzeugen. Dieser vor dem Tragflächenschwerpunkt entstehende Auftrieb bewirkt zusätzlich ein Moment, das die Flugzeugnase nach oben zieht. Dadurch ist das Steuerverhalten anders als bei den 737-NG-Baureihen („Next Generation“).[22] Das MCAS greift in die Flugsteuerung ein, indem es automatisch die Trimmung der Höhenflosse verstellt und die Nase ohne Zutun der Piloten nach unten drückt. So schützt es vor einem Strömungsabriss bei zu hohem Anstellwinkel. Es ist nur bei eingefahrenen Landeklappen und bei manuellem Flug aktiv. (Ausgefahrene Landeklappen verlagern den Auftriebsschwerpunkt nach hinten, was den Effekt des nach vorne verlagerten Triebwerksgehäuses dämpft.) Ist der Autopilot aktiv, besteht ein ausreichender Schutz vor heiklen Fluglagen; jedoch fällt der Autopilot als Schutzmaßnahme aus und kann nicht wieder eingeschaltet werden, wenn Sensoren widersprüchliche Messdaten liefern.[23]

Obwohl das MCAS direkt in die Flugsteuerung eingreift, hatte Boeing die Existenz des Systems – und dessen mögliche Fehlfunktionen – bewusst verschwiegen, um die Umschulung der NG-Piloten auf die MAX-Baureihen zu vereinfachen. Nach Angaben von Piloten wurde MCAS nicht einmal in den Handbüchern erwähnt.[24]

Hinzu kommt, dass bei allen bisherigen 737-Versionen die elektrische Trimmung des Höhenleitwerks – egal, ob es das Heben oder das Senken der Flugzeugnase zur Folge hat – stets aufhört, sobald der Pilot mit dem Steuerknüppel einen gegenteiligen Befehl gibt. Dies ist aber bei MCAS nicht der Fall, denn es führt – solange es eine kritische Flugsituation erkennt und kein manuelles gegenteiliges Trimmen über Schalter am Steuerhorn vorgenommen wird – nach wie vor zu Nase-senken-Befehlen an die Leitwerk-Trimmung. Hat der Pilot keine Kenntnis von MCAS, steht das Flugverhalten der Boeing 737MAX somit im direkten Widerspruch zu seinen Ausbildungsinhalten. Es wird vermutet, dass diese Verwirrung auf dem Flug 610 eine Problemlösung verhindert hat.[22] Die Wirkung des MCAS kann zwar über die Runaway-Trim-Prozedur blockiert werden – siehe die Lufttüchtigkeitsanweisung – aber das MCAS bleibt trotzdem im Hintergrund aktiv und versucht später erneut einzugreifen. Wird die Prozedur befolgt, besteht aber der Schutz vor kritischen Flugsituationen nicht mehr. Ein Pilot, der von seiner Ausbildung und Erfahrung her das Flugverhalten einer NG-Version erwartet, könnte dann überfordert sein.

Die US-Luftfahrtbehörde FAA hat wegen dieser Entwicklungen eine Untersuchung angeordnet; sie befasst sich mit den Sicherheitsanalysen der Boeing-Ingenieure, mit der Umschulung der Piloten und damit, wie die FAA auf eine geeignete Weise die vom Hersteller eingebauten elektronischen Bordkomponenten prüfen und genehmigen kann.[25] Einige der Fragen bestehen darin, warum MCAS nur die Daten eines der beiden Anstellwinkel-Sensoren nutzt (fehlende Redundanz und Plausibilitäts-Prüfung), und wie Boeing den Flugzeugtyp zertifizieren konnte – denn der mögliche Ausfall von MCAS verschlechtert unmittelbar die Stabilität des Flugzeuges, und müssen zur Verbesserung der Stabilität die Landeklappen ausgefahren werden, schränkt dies wiederum die Reichweite des Flugzeuges ein, was bei ETOPS-Berechtigungen zu einem Problem werden kann. Eine weitere Komplikation ist diese: Ein Bordsystem bei einem unerwarteten Flugverhalten auszuschalten kann zwar lebensrettend sein. Ein System, welches die vorgeschriebene, notwendige Flugstabilität sicherstellt, darf jedoch nicht einfach deaktivierbar sein – und in kritischen Flugsituationen (zum Beispiel kurz nach dem Start, in geringer Höhe) bleibt ohnehin keine Zeit, um abzuwägen, ob ein aktives Bordsystem nun die Sicherheit gefährdet oder nicht. Die Grundannahme hinter sämtlichen Bordsystemen ist nämlich, dass sie korrekt arbeiten. Weicht man davon ab, entstehen durch die höhere Arbeitsbelastung der Besatzungen Gefahren.

Ein allgemeiner Aspekt des Unfalls ist die weit fortgeschrittene Automatisierung von modernen Linienflugzeugen bis zu einem Punkt, an dem die Piloten in den immer seltener werdenden Ausnahmesituationen überfordert sind,[26] auch wenn die Automatisierung den Luftverkehr insgesamt sicherer gemacht hat – zum Beispiel EGPWS, welches sogenannte CFIT-Unfälle stark reduziert hat. Hervorzuheben ist noch der Umstand, dass die Boeing 737 aufgrund ihrer Geschichte (Erstflug 1967) nicht für die elektronische Fly-by-Wire-Steuerung ausgelegt ist, was die Integration von Flight-Envelope-Protection-Systemen wie MCAS erschwert. Hingegen wurden die wesentlich jüngeren Boeing 777 und Airbus 320 für den Einsatz solcher Systeme konzipiert.

Nach Angaben von Spiegel Online hatte die Fluggesellschaft eine Flugsimulatorschulung ihrer Piloten vor dem Einsatz der Maschine gefordert. Erfolgreich versuchten Mitarbeiter von Boeing die Fluggesellschaft von dieser Idee abzubringen. Eine Umschulung von älteren Modellen wäre nicht vorgesehen und notwendig. Eine Schulung auf einem Flugsimulator hätte auch im konkreten Fall wenig gebracht, da die Boeing-Flugsimulatorsoftware die MCAS-Funktion überhaupt nicht berücksichtigte. Die Flugsimulatorsoftware wurde erst nach dem Absturz nachgerüstet. In internen E-Mails wurde bei Boeing der Wunsch nach Simulatortrainings für Piloten der 737 Max von Boeing-Mitarbeitern als idiotische Idee beschrieben.[27]

Beim vorherigen Flug hatten die Piloten festgestellt, dass zwei Störungen aufgetreten waren: Daraufhin machte der Flugkapitän zwei Eintragungen im Aircraft Flight & Maintenance Log(book) auf der Seite mit der Nummer B3042855. Bei dem ersten Item wurde IAS and ALT Disagree shown after Take Off eingetragen. Als zweite separate Beanstandung wurde FEEL DIFF PRESS LT ILL (Feel Differential Pressure Light Illuminated) eingetragen.[28] Dieses Licht besagt, dass es in dem System, welches in Abhängigkeit von Flughöhe und Fluggeschwindigkeit die manuelle Bedienbarkeit der Höhenruder (engl. Elevator) verändert, zu einer Störung gekommen ist. Vereinfacht ausgedrückt: Je größer die Flughöhe (Altitude) und die Geschwindigkeit (Airspeed), desto höher ist der benötigte Kraftaufwand zum Bedienen der Höhenruder, was durch das Einwirken der sogenannten Elevator Feel und Centering Unit auf das Steuerhorn (engl. Control Column) gewollt ist.

Auf beiden Seiten des Flugzeugs befinden sich Luftdrucksensoren – einerseits Staurohre (Pitotrohre), welche die rohe, unkorrigierte Fluggeschwindigkeit (engl. IAS für „Indicated AirSpeed“) messen, und die Statischen Sonden (Static Ports), welche die rohe, unkorrigierte Flughöhe (engl. „Altitude“) registrieren. Die Messungen der linken und der rechten Seite widersprachen sich, was die Funktion der Bordsysteme beeinträchtigte. Die Piloten arbeiteten die Checkliste durch; die baldige Landung wurde darin nicht empfohlen. Neben anderen Schritten deaktivierten sie daher die automatische Trimmung des Höhenleitwerks und flogen ohne Probleme weiter.

Nach der Landung begaben sich Flugzeugmechaniker auf die Fehlersuche und prüften einige Systeme. Sie fanden keine einsatzverhindernden Störungen und betrachteten das Flugzeug daher als lufttüchtig.

Auf dem Unfallflug maßen die beiden Anstellwinkel-Sensoren (AOA-Sensors, engl. „Angle of Attack“)[29] Werte mit einer Differenz von 20°. Die automatische Höhenleitwerk-Trimmung, welche sich immer nur auf den defekten Sensor stützte, setzte bis zum Absturz immer wieder ein und wurde nur unterbrochen, als die Piloten die Landeklappen ausfuhren. Innerhalb elf Minuten konnten die Piloten 26 Mal den von Bordsystemen eingeleiteten Sinkflug stoppen und wieder an Höhe gewinnen.[30]

Der Journalist Dominic Gates schrieb in einem Artikel für die Seattle Times, dass aufgrund des hohen Zeitdruckes – Airbus war gerade daran, das Modell 320neo zu entwickeln – Boeing die FAA im Jahre 2015 dazu gedrängt hatte, einige Sicherheitsanalysen selbst durchführen zu dürfen, und zwar unter anderem jene für das erwähnte MCAS-System. Das horizontale Leitwerk kann bei der Boeing 737 um höchstens 5° nach unten trimmen; und die Dokumente, welche Boeing der FAA übersandt hatte, sprechen davon, dass MCAS bei jeder einzelnen Aktivierung nur um 0,6° nach unten trimmt. Testflüge ergaben allerdings, dass MCAS um 2,5° nach unten trimmen sollte, um ausreichend wirksam zu sein – und mit dieser Limite wurden die MAX-8-Flugzeuge schließlich ausgeliefert, ohne dass diese Änderung der FAA mitgeteilt wurde. MCAS war somit in der Lage, das Leitwerk bis zu den maximalen 5° zu trimmen, bloß mit zwei aufeinander folgenden Aktivierungen.

Nach dem Dokument AC 25.1309–1A „Systems Design and Analysis“ der FAA wurden Fehlfunktion von MCAS in einer kritischen Fluglage als „hazardous failure“ eingestuft, einer Klassifikation zwischen „major failure“ (alle Insassen überleben) und „catastrophic failure“ (Flugzeug ist unrettbar verloren, die meisten Insassen kommen dabei ums Leben).[31] Bedeutet der Ausfall eines Bordsystems ein „major failure“, ist eine redundante, ausfallsichere Auslegung noch nicht gefordert. Obwohl MCAS nach dieser Klassifikation ein kritischeres Bordsystem darstellt, bezog es die Anstellwinkel-Daten nur von einem einzigen Sensor.[32]

Nach den beiden Abstürzen von Lion Air 610 und Ethiopian Airlines 302 bildeten die FAA, die NASA, die EASA und diverse nationale Luftfahrtbehörden ein Komitee, den Joint Authorities Technical Review. Der Bericht des Komitees, der auf die Bordsysteme der 737 MAX-8 und MAX-9 fokussiert, empfiehlt unter anderem:

• Vom Hersteller angestellte Ingenieure, die an Flugzeugsystemen arbeiten, sollen FAA-Experten kontaktieren können, ohne Nachteile befürchten zu müssen.
• Flugzeughersteller sollen Fachleute beauftragen, die von sämtlichen Designprozessen unabhängig sind. Sie sollen unparteiisch arbeiten und die Flugzeug- und Bordsysteme und deren Design auf Sicherheitsmängel überprüfen.
• Flugzeugsysteme sollen ganzheitlich analysiert werden und nicht fragmentiert. Bei neuen oder geänderten Systemen sollen alle Auswirkungen auf alle anderen Bordsysteme abgeklärt werden.
• Die Entscheidung, welche Bordsysteme auf welche Weise in den Handbüchern (Airplane Flight Manual, Flight Crew Operation Manual, Flight Crew Training Manual) beschrieben werden, soll begründet und dokumentiert werden.[33]

Am 26. Oktober 2019 wurde der Abschlussbericht[34] veröffentlicht. Wie bei vielen Flugunfällen geschah auch dieser Unfall durch eine Verkettung mehrerer Fehler:

Durch einen fehlerhaft arbeitenden Anstellwinkel-Sensor wurde MCAS aktiviert, sobald die Landeklappen eingefahren wurden. MCAS führte zu Steuerbefehlen, welche die Piloten überforderten, bis sie letztlich die Kontrolle über das Flugzeug verloren hatten.

Die folgenden Unfallursachen wurden festgestellt:

Boeing

• Mögliche Fehlfunktionen von MCAS wurden als major failure eingestuft (siehe oben), was eine rigorose Abklärung möglicher Fehlerquellen und Störungen nicht erforderlich machte – im Gegensatz zur angemessenen Klassifizierung als hazardous oder sogar catastrophic failure. Daraufhin wurde entschieden, dass MCAS nur von einem Anstellwinkel-Sensor die Daten beziehen sollte, anstelle von zweien (fehlende Redundanz).
• Boeing befand, der fehlerhaften Aktivierung von MCAS könne anfänglich mit dem Höhenruder alleine wirksam begegnet werden. Es wurde auch angenommen, die Crew könne bei einer MCAS-Fehlfunktion innerhalb von drei Sekunden angemessen reagieren und die Höhenflosse austrimmen, sogar unter Beibehaltung des Flugpfades. Die Möglichkeit, dass die Besatzung erst mit Verzögerung die Höhenflosse austrimmt, wurde nicht beachtet.
• Während der Tests im Flugsimulator wurde nie die Möglichkeit durchgespielt, dass MCAS die vollen 2,5° Trimmung pro Aktivierung ausnutzen würde. Die Arbeitsbelastung durch eine mehrfache Auslösung von MCAS wurde ebenso nicht angemessen beachtet.
• Während der letzten Flugphase verlor das Flugzeug an Höhe und konnte nicht mehr kontrolliert werden. Die benötigte Kraft, um am Steuerhorn zu ziehen, überstieg 100 lbs (45,4 kg). Zulässig sind höchstens 75 lbs (34 kg).
• Der Zug am Steuerhorn stoppt bei allen Flugzeugen, in allen Fällen, die Nase-senken-Trimmung des Leitwerkes, was aber bei der 737 MAX 8 nicht der Fall war. Dies hatte zur Verwirrung der Piloten beigetragen.
• Boeing informierte die FAA nicht vollständig über Änderungen der Bordsysteme, was möglicherweise die rechtzeitige Aufdeckung des problematischen Designs verhindert hatte.
• Boeing befolgte zwar die Anweisungen nach dem obengenannten Dokument AC 25.1309–1A. Der Flugzeugbauer ging jedoch davon aus, dass die Besatzung in einem Notfall stets korrekt handeln würde, was aber nicht realistisch ist. Mögliche Fehlreaktionen der Piloten müssen in die Sicherheitsanalyse der Bordsysteme integriert werden. MCAS und seine möglichen Fehlfunktionen wurden den Piloten jedoch nie erklärt, was eine Fehlreaktion der Besatzung wahrscheinlich machte.
• Das Flugzeug besaß zwei Anstellwinkel-Sensoren. Das System, welches abweichende Anstellwinkel-Werte anzeigt, wurde nicht standardmäßig verbaut. Dies hätte den fehlerhaften Sensor (siehe unten) anzeigen können.

Lion Air und ihre Besatzungen

• Nach dem Flug von Manado nach Denpasar (Flug 43, 28. Oktober) hätte das Flugzeug aus dem Verkehr gezogen werden müssen, weil beim Start die automatische Schubregelung ausfiel; dies durch eine sehr wahrscheinliche Fehlfunktion der Höhen- und Geschwindigkeitsmessung. Die Flugunfalluntersuchungsbehörde, die hätte eingeschaltet werden müssen, wurde nicht benachrichtigt.
• Bei der Neuinstallation des Anstellwinkel-Sensors wies dieser eine Fehl-Ausrichtung um 21° auf. Dies hätte jedoch bei Tests auffallen müssen; die Testresultate wurden nicht dokumentiert.
• Vor dem Flug 610 wurden die auf dem vorherigen Flug aufgetretenen Probleme nicht besprochen.
• Auf dem Unfallflug schilderten die Piloten die Problemlage nicht auf eine klare Weise (siehe Crew Resource Management). Der Captain forderte den Ersten Offizier nicht dazu auf, der Trimmung durch MCAS durch eine eigene, gegensätzliche Trimmung zu begegnen. Die Aufgaben wurden nicht auf eine sinnvolle Weise aufgeteilt.
• Der Captain litt unter einer Grippe; der Erste Offizier erhielt schlechte Beurteilungen während seiner Ausbildung. Er brauchte vier Minuten, um in der Checkliste die relevanten Seiten zu finden.

Xtra Aerospace (USA)

• Der Verkäufer des Anstellwinkel-Sensors hatte diesen nicht korrekt kalibriert. Es fehlte eine schriftliche Prozedur, um den Sensor korrekt und fehlerfrei kalibrieren zu können.

Noch während der Untersuchung des Absturzes kam es am 10. März 2019 erneut zu einem Absturz einer Boeing 737 MAX 8. Es stürzte eine Maschine der Ethiopian Airlines kurz nach dem Start von Addis Abeba ab, wobei alle 157 Insassen ihr Leben verloren. Der Unfallhergang ähnelte dem des Fluges 610, was den Luftfahrtbehörden zahlreicher Länder Anlass zum Flugverbot (Engl.: Grounding) für Flugzeuge des Typs Boeing 737 MAX 8 bzw. aller 737 MAX-Varianten gab.[37][38] Grund dafür waren ähnliche, außergewöhnliche Schwankungen der Steig- beziehungsweise Sinkrate, in beiden Fällen ein fast vertikaler Sturz mit hoher Geschwindigkeit[39] und die am Wrack festgestellte Trimmung des Höhenleitwerks.