Die Bedeutung von Millimetern: Die Geschichte von Qantas-Flug 32
(medium.com/@admiralcloudberg)- Am 4. November 2010 wurde bei Qantas Airbus A380 Flug 32 kurz nach dem Start in Singapur die Turbinenscheibe von Triebwerk Nr. 2 zerstört; dadurch wurden gleichzeitig Flügel, Rumpf sowie Hydraulik-, Elektrik-, Treibstoff- und Bremssysteme beschädigt, dennoch überlebten alle 469 Menschen an Bord
- Der Unfall begann an einem Ölversorgungs-Stub-Rohr im Rolls-Royce Trent 900; bei der Fertigung war die Counterbore um etwa 0,5 mm versetzt worden, wodurch sich die Wandstärke auf einer Seite auf 0,35 mm verringerte, was zu Metallermüdung und Ölaustritt führte
- Das ausgetretene Hochdrucköl entzündete sich in einem Bereich mit etwa 365–375°C, und die Flammen trennten den Antriebsarm der IP-Turbinenscheibe ab, worauf die Scheibe innerhalb von 4 Sekunden die kritische Drehzahl überschritt und in mehrere Teile zerbarst
- Im Cockpit gingen innerhalb von 20 Sekunden 34 Warnmeldungen ein, die Abarbeitung der ECAM-Verfahren dauerte 55 Minuten, und die Piloten brachten das Flugzeug trotz Treibstoffleck, 65 % Verlust der Rollsteuerung, Überschreitung des maximalen Landegewichts und verringerter Bremsleistung auf einer 4.000-m-Piste mit noch 150 m Rest zum Stillstand
- Danach folgten vollständige Inspektionen der Stub-Rohre im Trent 900, ein Überschutz gegen Überdrehzahl der IP-Turbine, die Entfernung der HP/IP-Lagernaben, Verbesserungen bei Fertigungs- und Qualitätsverfahren von Rolls-Royce sowie Anpassungen der Airbus-Software für die Landeleistungsberechnung; der A380 behielt seinen Einsatzrekord ohne Unfälle mit verletzten Passagieren
Der A380 wird kurz nach dem Start von einem komplexen Systemausfall getroffen
- Am 4. November 2010 war Qantas-Flug 32 ein Airbus-A380-Flug von Singapur nach Sydney im Rahmen einer Reise von London nach Sydney mit Zwischenstopp in Singapur
- Die Registrierung des Flugzeugs war VH-OQA, Spitzname Nancy-Bird Walton
- An Bord befanden sich 440 Passagiere und 29 Besatzungsmitglieder, insgesamt 469 Personen
- Im Cockpit saßen Kapitän Richard Champion de Crespigny, Erster Offizier Matt Hicks, Second Officer Mark Johnson, Check Captain Harry Wubben und Senior Check Captain David Evans, also fünf Personen
- Zusammen kamen diese Piloten auf 140 Jahre Berufserfahrung und 71.000 Flugstunden
- Um 9:56 Uhr startete die Maschine in Singapur, und etwa 4 Minuten später, beim Durchsteigen durch 7.000 Fuß, kam es in Triebwerk Nr. 2 zu einem katastrophalen Ausfall
- Piloten und Passagiere hörten zwei Explosionen in kurzem Abstand
- Das Flugzeug gierte leicht nach links, und die Schubautomatik wurde deaktiviert
- Der Kapitän drückte am Autopiloten auf Altitude Hold, um das Flugzeug im Horizontalflug zu stabilisieren
- Auf dem ECAM erschien zunächst die Warnung ENG 2 TURBINE OVERHEAT, danach kamen innerhalb von 20 Sekunden 34 weitere Meldungen hinzu
- Das beschädigte Triebwerk hatte zwar die IP-Turbinenscheibe und umgebende Strukturen verloren, drehte sich aber weiterhin, sodass es nicht sofort nur als vollständiger Triebwerksausfall angezeigt wurde
- Als die Piloten den Schub von Triebwerk 2 reduzierten, erschien kurzzeitig die Warnung ENG 2 FIRE und verschwand wieder
- Danach wurde die Meldung ENG 2 FAIL angezeigt, worauf die Entscheidung zum Abschalten des Triebwerks fiel
- Von den beiden Feuerlöschern für Triebwerk 2 funktionierte nur einer tatsächlich, und die Bestätigungsleuchte ging nicht an
Wie ein Ölleck im Trent 900 zum Zerbersten der Scheibe führte
- Das Rolls-Royce Trent 900 des Airbus A380 ist ein Turbofan-Triebwerk mit hohem Nebenstromverhältnis, bestehend aus Fan, Verdichter, Brennkammer und Turbine
- Das Trent 900 besitzt LP-, IP- und HP-Systeme, wobei die HP- und IP-Turbinen aus jeweils einstufigen Turbinenscheiben im hinteren Bereich bestehen
- Die HP/IP-Lagernabe stützt die rotierende Welle, und in die innere Lagerkammer wird Drucköl zur Verschleißvermeidung eingespeist
- Das betroffene Bauteil war das oil feed stub pipe, das Öl in die Lagerkammer leitet
- Dieses Rohr ist ein kurzer fester Abschnitt, der durch den buffer space zwischen inner section und outer section der HP/IP-Lagernabe verläuft
- Zum Zeitpunkt des Unfalls bildete sich im Rohr innerhalb von Triebwerk 2 ein Riss, durch den Hochdrucköl in den buffer space gesprüht wurde
- Die Temperatur im buffer space wurde auf etwa 365–375°C geschätzt und lag damit über der Selbstentzündungstemperatur des Triebwerksöls von 280°C
- Das versprühte Öl entzündete sich sofort
- Als das Feuer die vordere triple seal beschädigte, wurde Hochdruckluft aus dem annulus gas path in den buffer space gesaugt
- Diese Luft drückte die Flammen nach hinten direkt auf den drive arm der IP-Turbinenscheibe
- Der drive arm der IP-Turbinenscheibe war schon im Normalbetrieb ein stark belastetes Bauteil und hielt der hohen Temperatur nicht stand, sodass er innerhalb von Sekunden versagte
- Vom Beginn des Ölaustritts bis zum Bruch des drive arm verging deutlich weniger als 1 Minute
- Als der drive arm abriss, war die IP-Turbinenscheibe nicht mehr mit der Welle verbunden, erhielt aber weiterhin Energie aus dem annulus gas path
- Innerhalb von 4 Sekunden überschritt die Scheibe die kritische Drehzahl, und die Zentrifugalkraft überstieg die Belastungsgrenze der Nickelscheibe, sodass sie in mehrere Teile zerbarst
- Die Bruchstücke der Turbinenscheibe durchschlugen das Triebwerksgehäuse und die Verkleidung und beschädigten das Flugzeug in mehreren Richtungen
- Ein Teil fiel nach unten und beschädigte eine Gebäudewand auf Batam Island, verletzt wurde am Boden jedoch niemand
- Ein weiteres Teil durchschlug die Unterseite des Rumpfs und ein Kabelbündel
- Zwei Teile durchquerten das linke Tragflächeninnere und traten an der Oberseite des Flügels wieder aus
- Auch kleinere Fragmente verursachten zusätzliche Schäden an mehreren Stellen von Flügel und Rumpf
Das Cockpit berechnet unter einer Flut von Warnungen die Landefähigkeit
- Die Fragmente der Turbinenscheibe verursachten umfangreiche Sekundärschäden an den wichtigen Systemen des Flugzeugs
- Der linke Flügeltank verlor Treibstoff
- Der Betätigungsmechanismus der leading edge slats wurde beschädigt
- Zwei wire looms an der wing leading edge und im belly area wurden vollständig durchtrennt, wodurch etwa 650 Leitungen betroffen waren
- Es kam zum Verlust der Steuerung der green hydraulic pump, zu einer Beeinträchtigung des yellow hydraulic system, zum Ausfall der AC-Stromversorgung von Triebwerk 1 und 2, zum vollständigen Verlust der Slat-Funktion sowie zum teilweisen Verlust der Funktion von Spoilern und Ailerons
- Auch die Bremsen des linken landing gear und Teile der Anti-Skid-Funktion der rechten wing gear brakes wurden beschädigt
- Der A380 nutzt zwei Hydrauliksysteme, green und yellow, aber jede Steuerfläche besitzt unabhängige hydraulische Backup-Aktuatoren, wodurch ein vollständiger Kontrollverlust begrenzt wurde
- Durch direkte Schäden und den Verlust des green hydraulic pressure verringerte sich die Rollsteuerungsfähigkeit um etwa 65 %
- Mit den verbleibenden Spoilern und Ailerons ließ sich das Flugzeug dennoch weiter steuern
- Die Piloten kamen zu dem Schluss, dass das Flugzeug sowohl mit ein- als auch ausgeschaltetem Autopiloten kontrollierbar war
- Die Besatzung entschied sich, nicht sofort zu landen, sondern zunächst die ECAM-Verfahren abzuarbeiten und den Zustand des Flugzeugs zu bewerten
- Sie baten die Flugsicherung um einen Holding Pattern und kreisten nordöstlich von Singapur über dem Meer
- Das Abarbeiten der ECAM-Maßnahmen dauerte 55 Minuten und lag damit weit über dem, womit die Piloten gerechnet hatten
- Second Officer Mark Johnson ging nach hinten, um die Situation in der Kabine zu prüfen, und bestätigte per tail camera und Sichtkontrolle ein Treibstoffleck am linken Flügel sowie ein großes Loch an dessen Oberseite
- Die Piloten entschieden, den tail camera-Feed eingeschaltet zu lassen, weil das Abschalten auf Passagiere noch beunruhigender wirken könnte
- Die Treibstofflage machte die Landeentscheidung noch schwieriger
- Aus dem linken Flügeltank trat Treibstoff aus, wodurch das Ungleichgewicht zwischen linker und rechter Seite zunahm
- Das ECAM wies an, das fuel transfer valve zu öffnen, um das Gleichgewicht wiederherzustellen, doch die Piloten folgten dem nicht, weil sie das Leck und Warnungen über Schäden am fuel transfer system berücksichtigten
- Auch das fuel jettison system funktionierte nicht, sodass das Flugzeug mehr als 40 Tonnen über dem maximalen Landegewicht lag
- Eine lange Flugphase zum Abbrennen von Treibstoff erschien wegen des Treibstoffungleichgewichts und des 65%igen Verlusts der Rollsteuerung ungeeignet
- Die Airbus-Software zur Landeleistungsberechnung gab zunächst no result zurück
- Die Software berücksichtigte Unterschiede in der Flugtechnik konservativ, indem sie bei jedem einzelnen Ausfall erneut einen operational coefficient anwandte, und wegen der Vielzahl der Ausfälle wurde dieser Koeffizient insgesamt neunmal angesetzt
- Check Captain Evans umging die Annahme des maximalen Landegewichts, indem er das tatsächliche Landegewicht manuell eingab
- In diesem Fall wandte die Softwarelogik den operational coefficient nur einmal an und ergab, dass eine Landung auf der 4.000-m-Piste des Singapore Changi Airport mit etwa 100 m Reserve möglich sei
Auch nach der Landung blieben Feuer- und Evakuierungsrisiken bestehen
- Der Kapitän richtete das Flugzeug in größerer Entfernung als üblich auf die Landebahn aus, um die Belastung im Flug zu verringern
- Wegen der eingeschränkten Rollsteuerung fühlte sich das Flugzeug träge an
- Im Anflug überprüfte er wiederholt per Handsteuerung, ob die Flugeigenschaften auch nach dem Ausfahren der Klappen erhalten blieben
- Die Triebwerke 1 und 4 sollten mit konstantem Schub laufen, während die Geschwindigkeit nur mit Triebwerk 3 geregelt werden sollte, da dieses vergleichsweise wenig betroffen war
- Wegen des Ausfalls des green hydraulic system fuhr das Fahrwerk nicht aus, obwohl der landing gear lever nach unten gestellt wurde, daher nutzten die Piloten das Backup-System zum Ausfahren des Fahrwerks per Schwerkraft
- Das Backup-System funktionierte erfolgreich
- Der Kapitän musste einen äußerst schmalen Bereich zwischen der Mindestgeschwindigkeit vor dem Strömungsabriss und der Geschwindigkeit einhalten, bei der nach der Landung ein Überschießen der Piste drohte
- de Crespigny erinnerte sich später daran, dass dieser sichere Geschwindigkeitsbereich nur etwa 3 bis 4 Knoten breit war
- Zeitweise erschien eine low energy alert, verschwand aber wieder, nachdem der Schub von Triebwerk 3 leicht erhöht worden war
- Qantas-Flug 32 landete um 11:46 Uhr auf runway 20C des Changi Airport
- Kurz vor dem Aufsetzen ertönte vorübergehend die stall warning
- Die Piloten nutzten die verbliebenen Bremsen sowie von den beim A380 nur an den inneren Triebwerken vorhandenen Schubumkehrern den Reverser von Triebwerk 3
- Das Flugzeug kam auf der 4.000-m-Piste mit noch 150 m Rest zum Stehen
- Nach dem Stillstand dauerten Feuer- und Kommunikationsprobleme an
- Die Bremsen des linken body gear waren bei der Landung stark belastet worden und überhitzten, vier Reifen entlüfteten sich
- Treibstoff trat weiterhin aus, sodass beim Kontakt mit den heißen Bremsen Feuer hätte entstehen können
- Nachdem Triebwerk 3 und 4 abgeschaltet worden waren, verlor das Flugzeug die elektrische Versorgung, und die APU konnte wegen beschädigter Verteilinfrastruktur nicht mit dem Bordnetz verbunden werden
- Es musste ein einziges VHF-Funkgerät gefunden werden, das mit Notstrom betrieben werden konnte, um mit der Feuerwehr zu kommunizieren
- Triebwerk 1 ließ sich nicht mit dem normalen Verfahren abschalten
- Wegen der Schäden an den Flügelsystemen funktionierte das fuel shutoff valve von Triebwerk 1 nicht
- Auch die fire extinguisher bottle von Triebwerk 1 funktionierte nicht, sodass sich das Triebwerk auch über den fire handle nicht stoppen ließ
- Die Feuerwehr sprühte Schaum auf die Bremsen, wobei sie den Lufteinlass und den Abgasbereich des Triebwerks mied, um Feuer zu verhindern
- Später entschieden sich Qantas-Ingenieure dafür, das Triebwerk mit Löschschaum zu ersticken, und Triebwerk 1 kam erst um 14:53 Uhr, also mehr als 3 Stunden nach der Landung, zum Stillstand
- Die Evakuierung der Passagiere erfolgte nicht sofort über Notrutschen
- Statistisch erleiden bei einer Evakuierung über Notrutschen 5 bis 10 % der Passagiere schwere Verletzungen, und unter den Menschen an Bord befanden sich auch ältere und behinderte Personen
- Da das Brandrisiko gesunken war, hielten die Piloten das Verbleiben im Flugzeug für sicherer
- Bei ausgefallener Klimaanlage trafen 50 Minuten später Treppen ein, und über einen einzigen Ausgang stiegen innerhalb von etwa einer Stunde alle Passagiere aus
- Keiner der 440 Passagiere wurde verletzt
Der 0,5-mm-Fertigungsfehler und die Änderungen nach dem Unfall
- Die unmittelbare Ursache des Unfalls war ein Defekt, bei dem die Wand auf einer Seite des oil feed stub pipe zu dünn war
- Das Rohr im Unfalltriebwerk versagte nach 677 Flügen infolge von Metallermüdung
- Am unteren Ende des Rohrs befand sich eine counter bore für einen Filter, und diese counter bore war um etwa 0,5 mm aus der Mitte versetzt
- Dadurch war die Wandstärke ungleichmäßig: auf einer Seite 1,42 mm, auf der anderen 0,35 mm
- Änderungen im Fertigungsprozess untergruben die Sicherstellung der Ausrichtung
- Im ursprünglichen Design wurden stub pipe und counter bore am Datum AA, also am Zentrum des outer clearance hole, ausgerichtet, um eine ausreichende Wandstärke sicherzustellen
- Im Fertigungsprozess war es nach dem Einsetzen des stub pipe schwierig, Datum AA wiederzufinden, daher wurde die Referenz der counter bore auf Datum M, das Zentrum der inner hub counter bore, umgestellt
- Die Lage des stub pipe selbst blieb weiterhin an Datum AA gebunden, aber es gab keine direkte Gewähr dafür, dass Datum M mit Datum AA ausgerichtet war
- Wenn sich die Nabe beim erneuten Einspannen minimal verschob, stimmte die vom Bearbeitungszentrum gespeicherte Position des timing pin nicht mehr mit der tatsächlichen Lage überein, und entsprechend verschoben sich auch inner hub counter bore und stub pipe counter bore gegeneinander
- Auch die Inspektions- und Freigabeverfahren erkannten den Fehler nicht
- Eine Mindestwandstärke des stub pipe war nicht ausdrücklich spezifiziert, sondern sollte indirekt über die Ausrichtung gewährleistet werden
- Die Prüfung OP 230 maß die stub pipe counter bore nur relativ zu Datum M und konnte daher eine Fehlstellung gegenüber dem Rohr selbst nicht erkennen
- Die Prüfung OP 70 maß die interference bore relativ zu Datum M und hätte möglicherweise eine Auffälligkeit entdeckt, doch wegen des Unterschieds zwischen Fertigungszeichnung und CMM-Messbezug war dies für Prüfer schwer zu erkennen
- Die CMM-Daten der Unfallnabe wurden nicht aufbewahrt, weshalb sich nicht mehr feststellen ließ, ob es damals einen tatsächlichen Warnhinweis gegeben hatte
- Bei der Änderung der Fertigungsbezugspunkte im Jahr 2009 war eine gewisse Fehlstellung von counter bores bereits festgestellt worden, dennoch wurde für etwa 100 Bauteile eine retrospective concession genehmigt
- Auf Grundlage der Messwerte von 9 Naben wurde eine statistische Analyse durchgeführt und die maximale non-conformance auf Ø 0,7 mm geschätzt
- Diese Analyse war wegen der geringen Datenmenge und der fehlenden Gewissheit, dass sie frühere Produktion repräsentierte, mit hoher Unsicherheit behaftet
- Diese Unsicherheit wurde im Bericht nicht klar vermittelt, und die Non-Conformance Authority genehmigte die Abweichung in der Annahme, sie habe keine sicherheitsrelevanten Auswirkungen
- Nach internen Rolls-Royce-Verfahren wären für eine retrospective concession auch die Unterschriften des Business Quality Director und des Chief Engineer erforderlich gewesen, diese fehlten jedoch bei der Freigabe
- Nach dem Unfall folgten umfassende Inspektionen und Verfahrensänderungen
- Bei Messungen der im Einsatz befindlichen HP/IP bearing oil feed stub pipes zeigte sich, dass viele außerhalb der Toleranz von Ø 0,20 mm lagen und einige eine noch größere Fehlstellung als das Unfallrohr aufwiesen
- Bei 2 Rohren wurde eine non-conformance von etwa Ø 1,2 mm festgestellt
- Qantas setzte seine A380-Flotte vom 4. bis 27. November 2010 vorübergehend außer Betrieb
- Die European Aviation Safety Agency machte Inspektionen der Trent-900-oil-feed-stub-pipes verpflichtend
- Rolls-Royce entwickelte einen Schutz gegen IP turbine overspeed, und Airbus veröffentlichte ein mandatory service bulletin, das die Installation in allen A380 innerhalb von 10 Flügen verlangte
- Sämtliche HP/IP bearing hubs aus der frühen Produktion sowie Naben mit einer stub pipe wall thickness unter 0,7 mm wurden aus dem Betrieb genommen
- Rolls-Royce überarbeitete die Verfahren zur Abstimmung der design intent zwischen Fertigungs- und Konstruktionsingenieuren und beendete die Praxis der retrospective concession
- Airbus passte die Software zur Landeleistungsberechnung an, damit sie die tatsächliche Leistung bei allen Landegewichten genauer vorhersagt
- Das Flugzeug wurde 535 Tage lang repariert, die Reparaturkosten betrugen 139 Millionen Dollar, und die VH-OQA Nancy-Bird Walton flog 2012 wieder
- Der Unfall zeigte, dass eine Abweichung von weniger als 0,5 mm das größte Passagierflugzeug der Welt schwer beschädigen kann
- Gleichzeitig endete der Vorfall ohne Verletzte an Bord, weil Fly-by-wire, Backup-Hydraulik an den Steuerflächen, ECAM, redundante Auslegung sowie Urteilsvermögen und Teamwork der Besatzung zusammenwirkten
1 Kommentare
Hacker-News-Kommentare
Jedes Mal, wenn ich in der Nachanalyse eines Flugunfalls die detaillierte Kette der Ereignisse lese, muss ich lächeln.
Dass man bis zu einem einzelnen fehlerhaften Bauteil vordringen und dessen Historie und Umfeld bis zu seiner Inbetriebnahme zurückverfolgen kann, zeigt die Robustheit der Luftfahrtindustrie.
Fehler passieren nun einmal, und Robustheit hat meiner Ansicht nach mehr mit der Art der Reaktion zu tun als mit der Zahl der Fehler.
Aus meiner Perspektive als SRE bei FAANG, wo ich mich mit Zuverlässigkeit beschäftigt habe, erfüllt mich die Luftfahrtindustrie immer wieder mit Ehrfurcht, und ich hoffe, dass die Software-/Technologiebranche eines Tages dieses Niveau erreicht.
Auch ein großes Lob an die Autorin Kyra Dempsey. Obwohl der Inhalt ingenieurtechnisch anspruchsvoll ist, hat sie ihn wirklich sehr gut lesbar geschrieben.
Fukushima und Deepwater Horizon waren beide Reißverschluss-Fehler und zeigen, dass es an der Denkweise „Wenn X ausfällt, was kommt dann?“ mangelte.
Wichtig ist hier „wenn X ausfällt“, nicht „falls X ausfällt“. Das ist eine andere Denkweise.
Auf HN dagegen erwartet man eine Postmortem-Analyse zu einem Cloud-Ausfall innerhalb weniger Stunden.
Es gibt eine Kultur, die eher auf Verbesserung ausgerichtet ist, statt einfach nur Schuldige zu suchen.
Allerdings habe ich von einem Insider gehört, dass die Integrität der Lieferkette ein unterschätztes Problem ist.
Jemand wurde dabei erwischt, wie er mit raffinierten Methoden gefälschte Flugzeugteile verkaufte, und es gibt offenbar noch weitere verdächtige Zulieferer, was beunruhigend ist.
“Safran confirmed the fraudulent documentation, launching an investigation that found thousands of parts across at least 126 CFM56 engines were sold without a legitimate airworthiness certificate.”
https://www.businessinsider.com/scammer-fooled-us-airlines-b...
Für einen halbwegs fähigen Mechaniker oder Messtechniker in der Fertigung ist ein Konzentrizitätsfehler von 0,5 mm bei einem Bauteil dieser Größe praktisch dasselbe wie 0,5 Meilen.
Das ist ein enormer, mit bloßem Auge sichtbarer Fehler und kein Ausmaß, das durch normale Schwankungen entsteht, sondern ein klares Signal für ein ernsthaftes Problem beim Setup.
Laut Konstruktionszeichnung betrug die Bohrungstoleranz Ø 0,05 mm, in der Fertigungszeichnung wurde sie ohne Erklärung auf Ø 0,5 mm geändert, und die Abweichung der Unfallnabe lag bei Ø 0,90–0,98, also einem Versatz von 0,45–0,49 mm; das hätte die Ausrüstung anzeigen müssen.
Da die CMM-Aufzeichnungen nicht erhalten wurden, konnten die Ermittler nicht überprüfen, ob der Fehler tatsächlich protokolliert worden war.
Wer keine Erfahrung mit Zerspanung hat, dem erschließt sich die Bedeutung vielleicht weniger, aber mit Erfahrung ist es eindeutig: Viele Leute in dieser Fabrik müssen gewusst haben, dass sie Bauteile außerhalb der Spezifikation auslieferten.
Jeder, der das Bauteil in der Hand hatte, hätte auf einen Blick sehen können, dass die Gegenbohrung stark außermittig war. Statt es neu zu fertigen oder die Ursache zu suchen, machte man offenbar nur eine formale Qualitätsprüfung, lieferte es aus, manipulierte Dokumente und entsorgte Beweise.
Die Analyse ist komplex, aber die eigentliche Ursache ist sehr einfach: eklatante Fahrlässigkeit und eklatanter Betrug, um sie zu vertuschen.
Dann stellt sich die Frage: „Warum wird das Rohr an Ort und Stelle verschweißt und erst danach fertigbearbeitet?“
Vielleicht war es einfacher oder schneller, es im an der Nabe befestigten Zustand zu bearbeiten.
Und sollte dort nicht ein Ölfilter hineinpassen? Wenn die Gegenbohrung versetzt war, hätte der Ölfilter dann nicht Probleme mit der Passung bekommen?
Ich dachte, beim Bau von Turbinen würden die Leute sorgfältiger arbeiten.
Vor 30 Jahren hatte ich wegen eines Triebwerksausfalls eine Notlandung.
Die Crew ließ uns die Schuhe ausziehen, übte mit uns die Aufprallhaltung und setzte Passagiere um. Am eindrucksvollsten war für mich, dass alle den Anweisungen folgten.
Es gab niemanden, der sich wichtigmachen wollte, und alle verstanden, warum die Crew an Bord war und wie wichtig sie fürs Überleben ist.
Die Evakuierung verlief geordnet, aber die Nachbereitung dauerte lange. Zum Beispiel waren alle Reisepässe im Flugzeug geblieben.
In letzter Zeit habe ich Fotos gesehen, auf denen Menschen mit Gepäck über die Rutschen fliehen; das wirkt extrem gefährlich, weil es schon auf der Rutsche selbst riskant ist und außerdem die Evakuierung verlangsamt.
Bei uns gab es kein Feuer in der Kabine, aber ich frage mich, wie es gewesen wäre, wenn es eines gegeben hätte.
Und das Klischee, dass die Presse einem Kameras ins Gesicht hält, um verängstigte Gesichter einzufangen: Das passiert wirklich.
Kein Gepäck, keine Schuhe, nur den eigenen Körper.
Trotzdem wird das manchmal ignoriert, und dadurch können Menschen wirklich verletzt werden.
Wenn man bedenkt, wie Menschen sich in anderen Situationen verhalten, ist es dennoch erstaunlich, dass so viele überhaupt den Anweisungen folgen.
Wenn wir ein Flugzeug verlassen, handeln wir normalerweise nach dem Muster: „Ich nehme all meine Sachen mit.“
Deshalb ist es wichtig, sich die Sicherheitsunterweisung anzuhören, auch wenn man sie schon kennt. Wiederholtes Training sorgt dafür, dass man sich auch unter Stress daran erinnert, was zu tun ist.
Sitzt man einfach da und wartet, bis Gepäck und persönliche Gegenstände ausgeladen werden, und dann auf einen anderen Flug?
Wenn ich solche Szenen sehe, macht mich das wirklich wütend.
Mein erster Job war bei einem MRO, der Triebwerke überholte, die etwas kleiner waren als das Trent 900; das Prinzip war dasselbe.
Ich entwickelte Qualitätssicherungssoftware, die Formular- und Unterschriftenprozesse digitalisierte, ähnlich denen, die im Artikel als nicht ordnungsgemäß abgezeichnet beschrieben werden.
Die Reparaturingenieure, mit denen ich zu Mittag aß, verfügten über einen tiefen Wissensfundus zu Triebwerken, und oft war die Mittagspause mit einem einzigen Thema vorbei, während wir das Gespräch über Wochen fortsetzten.
Ein Absatz dieses Artikels trifft sehr subtile Punkte: fehlende Unterschriften, Ingenieure, die Verfahren nicht kennen, und dergleichen. Die Kritik an Rolls-Royce halte ich hier für berechtigt.
Der Qualitätssicherungsmanager des MRO, bei dem ich arbeitete, war eine Naturkatastrophe von Mensch, gefürchtet und kompromisslos.
Gleichzeitig war er aber auch jemand, dessen Unterschrift einen Triebwerksstillstand im Flug auslösen konnte, und ich respektiere ihn bis heute.
Solche kleinen Probleme treten jeden Tag bei allen Triebwerksmodellen weltweit auf. Auch jetzt haben Tausende im Einsatz befindliche Triebwerke kleine Defekte, die zu einem Stillstand führen könnten.
Manche Probleme werden identifiziert, als geringes Risiko freigegeben und zur Prüfung beim nächsten Overhaul vorgemerkt.
Wenn ein Ingenieur, der denselben Defekt, frühzeitig gerissene Leitungen, Kohlenstoffablagerungen oder ungewöhnliche Korrosion wiederholt gesehen hat, einen Bericht einreicht, wandert dieser Bericht nach oben und bleibt dort liegen.
Er kann ignoriert werden, als Referenz für das nächste Design dienen, als zu behebendes Problem eingestuft werden, auf eine Beobachtungsliste kommen oder häufiger überwacht werden.
Die Lebensdauer eines Bauteils kann verkürzt werden, oder es kann bei jedem Overhaul eine zerstörungsfreie Prüfung vorgeschrieben werden.
Solche Systeme sind so komplex, dass es immer irgendwo kleine Probleme gibt; das Schweizer-Käse-Modell passt hier hervorragend.
Im Zusammenhang mit Qantas heißt es gegen Ende des Artikels, dass das Flugzeug mit großem Aufwand repariert wurde. Qantas ist stolz darauf, noch nie einen Rumpfverlust erlitten zu haben.
Selbst Flugzeuge, bei denen die wirtschaftliche Reparaturgrenze überschritten ist, werden repariert, um diesen Rekord zu bewahren.
Ich erinnere mich noch genau, dass alle völlig schockiert waren, als QF32 passierte. Denn bei Qantas galt so etwas als etwas, das „niemals“ passiert.
[1] https://www.forbes.com/sites/laurabegleybloom/2023/01/03/ran...
Wenn in diesem Ausmaß Unterschriften gefehlt hätten, wären wir bei lebendigem Leib gehäutet worden, und der Auditor hätte sehr wahrscheinlich das ganze Unternehmen auf den Kopf gestellt, um weitere Probleme zu finden.
Dann hätte das Audit schwerwiegende Mängel ergeben, oder die Qualitätszertifizierung wäre möglicherweise ganz entzogen worden.
Danach wäre ein Audit durch den Kunden gefolgt, in diesem Fall Rolls-Royce: mit unangenehmen Fragen an das Management, der Prüfung, ob die Concession-Verfahren zwischen den Unternehmen eingehalten wurden, und intern der Frage: „Dürfen diese Leute dieses Bauteil überhaupt fertigen?“
Nach dem, was ich hier gelesen habe, hat Rolls-Royce den Zulieferer in Qualitätsfragen nicht ausreichend unter Druck gesetzt und war überraschend nachlässig.
Nach dem, was ich gesehen habe, fragte ich mich, wie dort überhaupt Innovation entstehen kann, warum es nicht jedes Jahr viel mehr „fuck-you-shima“ gibt und wie es sein kann, dass Flugzeugtriebwerke nicht täglich explodieren.
Wenn ich mich richtig erinnere, basiert der B777-Triebwerkscontroller immer noch auf m68k. Das wurde 1995 eingestellt.
Ich war in diesem Flugzeug und habe das Foto gemacht, das im Artikel als „Foto eines Passagiers während des Flugs, das das Austrittsloch eines Turbinenfragments auf der Oberseite des Flügels zeigt. (ATSB)“ zitiert wird.
Kurz danach stieg ich absichtlich wieder in ein anderes A380-Flugzeug, um meinen Glauben an die Sicherheit der Technik nicht zu verlieren.
Psychologisch gesehen wäre es vielleicht klüger gewesen, sofort wieder einzusteigen.
Der Artikel ist komplex und gut geschrieben, aber der triumphierende Ton und das endlose Lob der Sicherheit wirken etwas befremdlich.
Niemand verkauft hier irgendetwas, und doch fühlt es sich stellenweise wie eine Sales-Präsentation an.
Wenn man es so gelesen hat wie ich, dürfte man an manchen Stellen „hm …“ gedacht haben. Denn tatsächlich waren das Dinge, die nicht richtig funktioniert haben.
Beispiele dafür sind Berechnungssoftware, die nie mit anomalen Daten getestet wurde, Computer, die ein beschädigtes Triebwerk weiterlaufen ließen, das Glück, dass die fast vollen Treibstofftanks nicht explodierten, und das Fehlen eines physischen Kill-Switches zum Abschalten des Triebwerks.
Man hatte „reichlich“ eine Stunde Zeit, um alle Checklisten abzuarbeiten, während Passagiere und Crew auf einer Treibstofflache ausharrten und hofften, dass sich nichts entzündet.
Und schließlich war auch die Richtung, in die die Trümmer flogen, reiner Zufall.
Das wirkt nicht wie eine Geschichte über sich überlagernde „Sicherheitsschichten“, sondern eher wie eine Geschichte über sich überlagernde Zufallsschichten.
Mich würde wirklich die Ergebnisverteilung aller möglichen Trümmerbahnen interessieren, also wie viel Glück oder Pech man tatsächlich hatte.
Unternehmen werden solche Modelle aber nicht veröffentlichen.
Auch die Konstruktion, bei der wegen einer Spezialkammer für den Ölfilter ein völlig intaktes Rohr präzise durchbohrt werden muss, gefällt mir nicht besonders.
Soweit ich es verstanden habe, kann man das ohnehin nicht warten, ohne alles wieder auszubauen; warum hat man es also nicht als ein einziges Bauteil gefertigt?
Weil es eine Kultur gab, die frühere Unfälle wie UA232 aufarbeitete, bei dem mit einem Triebwerk auch sämtliche Steuerfunktionen verloren gingen, wurde das Steuersystem des A380 so ausgelegt, dass es noch größere Schäden übersteht, und genau das hat funktioniert.
Ich stimme allerdings zu, dass die Verbesserungsmöglichkeiten nicht ausreichend im Fokus standen.
Ein computergesteuertes Triebwerk, das im Brandfall 60 Sekunden lang weiterläuft und dabei gefährliche Teile zu schnell rotieren lässt, hätte meiner Meinung nach schon vorher adressiert werden müssen.
Der Herstellungsprozess des Triebwerks wirkt so komplex, dass eine Verifikation nahezu unmöglich erscheint.
Auch dass das Fehlermanagementsystem bei 40 Warnungen jeweils nur 1 bis 2 gleichzeitig anzeigt, ist ein Problem.
Eine so schwerwiegende Entscheidung wie das Abschalten eines Triebwerks sollte nicht von der Automatisierung getroffen werden; das muss die Entscheidung der Piloten sein.
Zum fehlenden physischen Kill-Switch: Tatsächlich gibt es eine Möglichkeit, den Treibstofffluss per Ventil zu unterbrechen. Nur war dieser „Kill-Switch“ eben beschädigt.
Wenn Zeit war, alle Checklisten abzuarbeiten, ist es dann nicht sicherer, dass die Piloten sich dafür entscheiden?
Dass die Trümmerrichtung zufällig war, ist angesichts der Art des Ausfalls selbstverständlich. Das ist ähnlich, als würde man sich in einem Rechenzentrum darüber beschweren, dass zufällig ist, welche HDD ausfällt.
Daten zu allen möglichen Trümmerbahnen werden nicht veröffentlicht, aber günstige Bahnen werden in der Entwurfsphase analysiert, und Struktur- sowie Systemkomponenten werden entsprechend getrennt.
Bei älteren Flugunfällen führten einzelne Fehler oder der Ausfall eines einzelnen Bauteils oft zum Tod Dutzender Menschen.
So war es auch bei der Entstehung des sterile flight deck als Reaktion auf Unfälle, bei denen Piloten durch Smalltalk abgelenkt waren.
Bei modernen Flugunfällen scheint so etwas viel seltener zu passieren.
Ein Triebwerk explodierte, Trümmer rissen die Hälfte der Kabel, den Flügel, Treibstoffspeicher und Hydraulik auf, und trotzdem blieb das Flugzeug fast vollständig steuerbar und konnte landen.
Versuchen wir dasselbe einmal mit einem Auto ohne Redundanzen und schauen, wie lange es durchhält.
Das Schöne an der Luftfahrt ist, dass alle versuchen, aus Fehlern zu lernen und darauf aufzubauen.
Auch dieser Vorfall hatte keine Todesopfer, führte aber zu Maßnahmen, die künftige Flüge sicherer machen.
Trotz kommerziellen Drucks gab es systematische und gezielte Anstrengungen, die Flugsicherheit zu verbessern.
Das Schweizer-Käse-Modell bedeutet, dass viel mehr zufällige Schichten zusammenpassen müssen.
Viele dieser Schichten entstanden aus früheren Unfällen und sind keineswegs zufällig. Natürlich gibt es auch keine Schicht ohne Löcher.
Wenn sich die Scheibe anders zerlegt hätte, hätten möglicherweise andere Schichten gegriffen.
Hätte es Tote gegeben? Möglich. Wäre das Flugzeug sofort explodiert? Das wissen wir nicht.
Aber es ist ziemlich klar, dass ohne diese Schichten die Wahrscheinlichkeit eines weitaus schlimmeren Ausgangs deutlich höher gewesen wäre.
[0] https://upload.wikimedia.org/wikipedia/commons/e/ef/Fataliti...
Als ich diesen Teil gelesen habe, war ich schockiert.
Natürlich war auch reines Glück im Spiel. Die Scheiben hätten das Flugzeug in zwei Teile schneiden oder Menschen in ihrer Flugbahn tödlich verletzen können, verfehlten aber den größten Teil der Maschine.
Für jedes einzelne dieser glücklichen Ereignisse sollte man dankbar sein.
Es ist schwer, einen Vorfall, der mit 0 Toten und 0 Verletzten endete, nicht positiv zu sehen.
Jemanden als „Nationalschatz“ zu bezeichnen, mag abgedroschen sein, aber Admiral Cloudberg geht noch einen Schritt weiter und ist ein Weltschatz.
Kyra hat unter ihrem nom de cloud wirklich viele großartige Texte geschrieben.
Egal welchen Artikel man auswählt, man wird etwas lernen.
https://news.ycombinator.com/from?site=admiralcloudberg.medi...
So etwas sollte man einschalten statt des aufgeblasenen Mülls, der derzeit im Fernsehen läuft.
Es gibt außergewöhnliche Piloten, die auch unter enormem Druck Leistung bringen
United Flight 232 ist ein noch extremeres Beispiel als dieser Artikel
https://en.wikipedia.org/wiki/United_Airlines_Flight_232
„Trotz der Todesopfer gilt dieser Unfall als gutes Beispiel für erfolgreiches Crew Resource Management. Die große Mehrheit der Insassen überlebte, und selbst erfahrene Testpiloten im Simulator konnten keine überlebbare Landung reproduzieren. Sie gilt als eine der beeindruckendsten Landungen der Luftfahrtgeschichte und wurde als ‚unmögliche Landung‘ bezeichnet“
Das Flugzeug verlor die gesamte Hydraulik und musste nur mit den Triebwerken gesteuert eine Bruchlandung durchführen
Einer der Piloten blickt direkt in die Kamera und erzählt die Geschichte
https://www.youtube.com/watch?v=nf33RDu_D6M
„Die Rettungskräfte entdeckten erst 35 Minuten nach dem Absturz die Trümmer des Cockpits und die vier darin noch lebenden Besatzungsmitglieder“
30 Minuten auf Rettung zu warten, ohne zu wissen, ob die Passagiere überlebt haben, ist schwer vorstellbar
https://admiralcloudberg.medium.com/fields-of-fortune-the-cr...
https://en.m.wikipedia.org/wiki/2003_Baghdad_DHL_attempted_s...
Ich bin beinahe schon fehlerhaft stark in die Flugunfallanalysen von Mentour Pilot vertieft
Hier wird es ebenfalls ausführlicher behandelt
https://www.youtube.com/watch?v=JSMe1wAdMdg
Admiral Cloudbergs Texte sind eher wie Columbo. Zuerst wird erklärt, was passiert ist, und dann geht es zeitlich zurück, um die kleinen Details zu finden und zu erklären, die dazu geführt haben
In gewisser Weise ist das viel logischer
Mentour Pilot muss ständig sagen: „Merken Sie sich das, das wird später wichtig“
Aber weil man nicht weiß, warum es wichtig ist, merkt man es sich nicht, und dadurch wird die Erzählung letztlich weniger klar
Ich habe den Kanal im letzten Jahr entdeckt und sehe mir besonders gern die Inhalte aus Pilotensicht an
Wenn dir dieser Artikel gefallen hat, ist die Wahrscheinlichkeit groß, dass dir auch Air Disasters gefällt
Je nach Region ist es auch als Air Crash Investigations oder Mayday bekannt
Die Sendung behandelt die Fälle auf Grundlage der Unfallberichte recht detailliert und macht sie nicht reißerisch, geht aber nicht so tief wie dieser Artikel
Auffällig war, wie eng der sichere Geschwindigkeitsbereich im Landeanflug war
Zwischen der Strömungsabrissgeschwindigkeit und der Höchstgeschwindigkeit, bei der man nicht über die Landebahn hinausschießt, lagen nur 3 bis 4 Knoten
Wenn man all die anderen Aufgaben bedenkt, die die Crew bewältigen musste, war es wirklich hervorragendes Fliegen, das Flugzeug sicher aufzusetzen
Tatsächlich ertönte kurz vor dem Aufsetzen die Stall-Warnung, also war es im Grunde genau das
Dem Artikel nach wurden die Berechnungen mit mehreren Overrides offenbar etwas provisorisch zusammengesetzt, daher war man wohl vorsichtig, weil einige Annahmen Fehlertoleranzen benötigt haben könnten
Ein wirklich gut geschriebener, erstaunlicher Artikel
Hut ab vor dem Qantas-Operations-Team, insbesondere vor den Piloten. Das sind eindeutig Leute, die ihr Handwerk verstehen
Auch Hut ab vor dem Airbus-Engineering-Team. Das war ein gewaltiger Sieg für redundante Systeme
Interessant war auch, dass die Berechnung der Bremsstrecke im Rahmen der Nachanalyse verbessert wurde