21. Mai 2004 Jan Brill
Flugsicherung: Midair von Überlingen
Keine Chance: Untersuchungsbericht der BfU zur Midair von Überlingen
Am Mittwoch erschien der Abschlussbericht der Bundesstelle für Flugunfalluntersuchung zur Midair-Collision von Überlingen vom 1. Juli 2002. Damals waren um etwa 21.30Z eine 757 der DHL und eine Tupolev 154M der Bashkirian-Airlines zusammengestoßen.
Alle 71 Insassen der beiden Maschinen starben, darunter viele Kinder, die auf dem Weg in die Ferien nach Barcelona waren. Wie durch ein Wunder wurde am Boden niemand durch die herabstürzenden Trümmer verletzt.
Selten lässt ein Unfallbericht eine für die Besatzung so ausweglose Situation erkennen, die gleichzeitig so vermeidbar gewesen wäre.
Keine Chance hatten unseres Erachtens nach die Besatzungen der beiden Maschinen | © BfU |
Noch bevor die Brände gelöscht und die Leichen identifiziert waren, war man sich in der populären Presse sicher: natürlich ist der russische Pilot schuld (der war weder Russe, noch schuld, noch sonst was, aber wen stört das). Wer sonst? Schließlich stürzen diese Tupolevs doch dauernd ab, und diese Russen verstehen sowieso kein Englisch - oder?
Pilot und Flugzeug ist dafür bekannt, dass wir gerne deutliche Worte verwenden. Nicht selten bezeichnen wir Vorgänge als dumm oder hirnrissig, wenn sie uns aus der Cockpitperspektive so erscheinen.
Für das Verhalten der Skyguide nach dem Unfall versagen jedoch die normalen Ausdrucksformen unserer Arbeit. Nur noch als widerlich und ekelerregend kann man bezeichnen, was man im Schweizer Flugsicherungsunternehmen nach dem Unfall so alles von sich gab. Die Frage stellt sich, ob bei den damals handelnden und redenden Personen noch irgendwelche Restwerte an Anstand und Offenheit (von Klugheit gar nicht zu reden) vorhanden sind. Allen voran Anton Maag und Patrick Herr.
Schon damals berichteten wir, dass, wenn am klaren Nachthimmel zwei Flugzeuge zusammenstoßen, die Flugsicherung bei der Betrachtung der Ursache nicht außen vor gelassen werden kann. In geradezu widerwärtiger Weise ging man bei Skyguide jedoch daran, die Schuld einzig beim Piloten (dem russischen natürlich) zu suchen. Dabei schreckte man bei der Skyguide weder vor offensichtlichen Falschaussagen über den Zeitpunkt der betreffenden Funksprüche zurück (erst waren es eineinhalb Minuten, am Ende doch nur 44 Sekunden), noch vor Vorverurteilungen und dem hemmungslosen Herumreiten auf wohlbekannten Klischees: "The problem was that the Russian aircraft did not immediately respond".
Die Unternehmenskommunikation der Skyguide nach dem Unfall war so katastrophal, dass man bald von einer zweiten Katastrophe am Boden sprach, und der Fall inzwischen als Musterbeispiel für falsche Informationspolitik gilt (siehe auch http://www.rhetorik.ch/Aktuell/ueberlingen/index.html).
Erst nach und nach wurde klar, dass unfassliche Nachlässigkeiten im Management der Skyguide zu einer Situation führten, in der ein einziger Controller für alle Züricher Sektoren, am Fallback-System arbeitend, ohne Telefon, ohne STCA und während Wartungsarbeiten, es zu einer Staffelungsunterschreitung kommen ließ, die zu spät bemerkt wurde und ultimativ zusammen mit irreführenden Anweisungen des Controllers auch durch TCAS nicht mehr aufgelöst werden konnte.
Nun erschien der Abschlussbericht der deutschen Flugunfalluntersuchung, und dieser zeichnet minutiös die letzten 120 Sekunden der beiden Flugzeuge nach. Dazu wird auch akribisch die Arbeitssituation des diensthabenden Lotsen untersucht. Zusammenfassend hält die BfU folgende Ursachen und Einflussfaktoren fest:
Der Unfall ist auf folgende unmittelbare Ursachen zurückzuführen:
- Die drohende Staffelungsunterschreitung wurde durch die Flugsicherungskontrollstelle nicht rechtzeitig bemerkt. Die Anweisung zum Sinkflug an die TU154M erfolgte zu einem Zeitpunkt, als die vorgeschriebene Staffelung zur B757-200 nicht mehr gewährleistet werden konnte.
- Die Crew der TU154M folgte der Anweisung der Flugverkehrskontrollstelle zum Sinkflug und befolgte sie auch weiter als TCAS sie zum Steigflug aufforderte. Damit wurde ein zur TCAS-RA entgegengesetztes Manöver durchgeführt.
Der Unfall ist auf folgende „systemische“ (systemic) Ursachen zurückzuführen:
- Die Integration von ACAS/TCAS II in das System Luftfahrt war unzureichend und entsprach nicht in allen Punkten der Systemphilosophie. Das für ACAS/TCAS II von der ICAO veröffentlichte Regelwerk und in der Folge damit auch die Regelungen der nationalen Luftfahrtbehörden sowie die Betriebs- und Verfahrensanweisungen des TCAS-Herstellers und der Luftfahrtunternehmen waren nicht einheitlich, lückenhaft und teilweise in sich widersprüchlich.
- Die Führung und das Qualitätsmanagement des Flugsicherungsunternehmens gewährleistete keine permanente Besetzung der geöffneten Arbeitspositionen mit Flugverkehrsleitern im Nachtdienst.
- Die Führung und das Qualitätsmanagement des Flugsicherungsunternehmens duldete seit Jahren, dass zu verkehrsarmen Zeiten in der Nacht nur ein Lotse arbeitete, während sich der ebenfalls zur Schicht gehörende zweite Lotse zur Ruhe begab.
Die Russische Crew hatte kaum eine andere Möglichkeit
Dabei ist die zweitgenannte unmittelbare Ursache ein Punkt, über den sich vortrefflich streiten lässt. Das Befolgen einer Anweisung wird da als unmittelbare Ursache für einen Flugunfall festgehalten. Allein dies ist ungewöhnlich, es erklärt sich jedoch aus der Rolle, die TCAS (als "last line of defense") bei der Kollisionsvermeidung spielt. Das wirklich Irre dabei ist: Wären beiden Besatzungen der TCAS RA (Resolution Advisory) gefolgt, wäre der Unfall vermieden worden. Ganz ohne TCAS allerdings auch. Wie ist das möglich? Indem TCAS und ATC eben genau gegensätzliche Anweisungen erteilen. Die Crew der 757 folgte dem TCAS, die Tupolev folgte der Anweisung des Controllers.
Schnell war man sich auch da sicher: natürlich folgt man dem TCAS. Also doch: der Russe ist schuld! Oder? Wir kritisieren schon seit Jahren, dass das System TCAS unzureichend in das ATC-Regelwerk integriert ist. Tatsächlich steht in den Ops-Manuals der meisten Airlines, dass im Zweifelsfall dem TCAS Folge zu leisten ist, gesetzlich ist dies jedoch nicht abgesichert. Tatsächlich hält der Untersuchungsbericht dies auch als einen systemischen Faktor des Unfalls fest.
Der russische Pilot war mit einem Dilemma konfrontiert, wie es furchtbarer nicht hätte sein können. Abweichend von der Gewichtung des Untersuchungsberichtes behaupte ich jedoch: In diesem konkreten Fall bestand die Möglichkeit dem TCAS zu folgen nur theoretisch. Man muss sich dafür die Situation im Cockpit der Tupolev vor allem in ihrer zeitlichen Abfolge genau betrachten. Eine ungünstigerere Kombination von Faktoren wäre wohl kaum zu konstruieren gewesen. Ich behaupte, dass es der russischen Crew praktisch nicht möglich war sich vor ihrem Erfahrungs- und Ausbildungshintergrund anders zu verhalten als geschehen. Dazu muss man festhalten: TCAS ist in der Russischen Föderation nicht vorgeschrieben, nur auf Flügen in den Europäischen Luftraum kommt das System zum Einsatz. Eine Simulatorausbildung von TCAS-Ereignissen ist nicht zwingend vorgesehen und findet auch nicht statt. Tatsächlich verfügten die Piloten nur über eine Handvoll Flüge in den TCAS-Luftraum und über keine, ich wiederhole, keine praktischen Erfahrungen mit TCAS-Ereignissen. All dies ist sicher suboptimal, entspricht aber den geltenden Anforderungen der ICAO.
Versetzen Sie sich also in die Situation des russischen Piloten. Machen Sie sich klar: Sie fliegen mit einem System, dass Sie noch nie praktisch in Aktion erlebt haben, weil es in Ihrem Heimatmarkt einfach nicht vorkommt.
Betrachten wir uns also die Ereignisse: Man muss festhalten, dass die russische Crew Sichtkontakt zur aus etwa 90 Grad kreuzenden 757 hatte bevor noch der erste Funkspruch eintraf. Die Crew sieht die Maschine also in der klaren Nacht, sie weiß, dass die Maschine auf gleicher Höhe fliegt. Sie erwartet eine Lösung des Problems durch ATC. Zu diesem Zeitpunkt ist die geltende Mindeststaffelung (sie betrug an diesem Abend 7 Meilen wegen der Wartungsarbeiten am ACC Zürich) schon unterschritten. Es sind noch etwa 60 Sekunden bis zur Kollision. In diesem Moment läuft der Funkspruch des Züricher Lotsen ein, der die TU anweist zu sinken. Da dies von der Crew erwartet wird, erfolgt die Umsetzung des Kommandos eben nicht verspätet, wie immer behauptet, sonder außerordentlich schnell, noch während der Lotse spricht! Das Ende des sage und schreibe 7 Sekunden langen Funkspruchs fällt haargenau mit der TCAS RA zusammen. Diese weist die Crew an: "climb". Das Manöver zum Sinken ist allerdings schon eingeleitet. Nun diskutiert die Crew 14 Sekunden lang wie zu verfahren sei. Aus diesen 14 Sekunden glaubte man später, schließen zu können, die Crew habe irgendwas nicht verstanden. Das ist natürlich unrichtig, die Crew verstand den Vorgang sehr genau und bemühte sich den Widerspruch aufzuklären, während sie der zuerst ergangenen Anweisung (descend) Folge leistete.
In diesem Moment leitete auch die Crew der 757 einen Sinkflug ein, denn das TCAS gibt - nachdem sich die beiden Bordsysteme abgestimmt haben - beiden Parteien immer exakt gegensätzliche Anweisung zur Lösung des Verkehrskonfliktes. Die Crew der 757 leistete ihrer RA Folge und sank ebenfalls. Das war etwa 33 Sekunden vor der Kollision.
Nun steht einheitlich in allen Veröffentlichungen, dass man niemals ein der TCAS RA entgegengesetztes Manöver durchführen darf, da dies ja wegen der Gegensätzlichkeit der Anweisungen das Manöver der Gegenpartei eben genau konterkarriert. Der Untersuchungsbericht der BfU spekuliert, diese aus der Systemphilosophie ersichtliche Regel sei der russischen Crew wohl nicht völlig klar gewesen. Ich sehe dafür keinen Anhaltspunkt. Tatsächlich war die russische Crew diese 14 Sekunden lang damit beschäftigt, eben dieses Dilemma zu diskutieren. 14 Sekunden. Die Crew wusste zu diesem Zeitpunkt nicht, dass die 757 sank, sie konnte dies nur schließen, denn die 757 Crew hatte aber ihre Meldung "TCAS desend" noch nicht abgesetzt, was den normalen Reaktionsgeschwindigkeiten und Arbeitsabläufen entspricht.
In diesen Sekunden, die der 757-Crew nicht einmal reichten, nach dem vorrangigen Flugmanöver nun auch die entsprechende Meldung abzusetzen, erwartet die BfU also, dass die mit dem System praktisch nicht erfahrene Crew den Widerspruch der beiden Anweisungen auflöst. Ich behaupte: dies ist selbst TCAS-erfahrenen Crews nicht möglich.
Danach, nach den 14 Sekunden Gedenkzeit, war meines Erachtens nach das Schicksal der beiden Flugzeuge ohnehin besiegelt, denn nun folgt das letzte und dramatischste Glied in der Kette der Fehlleistungen des Controllers. Um 21:35:03 wiederholt er seine Anweisung zum Sinken an die russische Crew. Mit eindringlicher Stimme und dringlicher Wortwahl: "expedite descend!"
Fragen Sie sich: Hätten Sie jetzt einen Steigflug eingeleitet? Selbst wenn in dieser Situation der Crew der ganze Widerspruch der Situation klar geworden wäre (wegen der Belegung der Frequenz war immer noch keine Meldung der 757 erfolgt), selbst wenn die Besatzung sich jetzt entschlossen hätte, gegen die zweimalige eindringliche Anweisung des Lotsen eben doch zu steigen, war ihnen mit der nun folgenden Meldung des Lotsen jede Handlungsmöglichkeit verbaut. Sofort, nachdem die Besatzung die Anweisung zum Sinken zurückgelesen hatte, schob der Controller um genau 21:35:13 nach: "we have traffic at your 2 o'clock position, now at 360".
Aus. Vorbei. Das Schicksal der beiden Flugzeuge obliegt nun dem Zufall einer Annäherung mit 1300 km/h, denn, die 757 befand sich aus Sicht der TU nicht auf zwei Uhr sondern auf 10 Uhr! Nicht rechts, sondern links. Der Lotse hatte die beiden Maschinen verwechselt und der Tupolev-Crew das relative Bearing aus Sicht der 757 gemeldet. Die 757 befand sich auch nicht auf FL360 sondern schon im Sinkflug, aber das wusste der Controller nicht, da er aufgrund der letzten Radarbildaktualisierung und des immer noch ausstehenden Funkspruchs der Boeing von FL360 ausging.
Damit, spätestens, war meines Erachtens nach der Crew der Tupolev jede auch nur theoretische Möglichkeit genommen, nun doch einen Steigflug einzuleiten. Die Crew musste davon ausgehen, dass sich weiterer Verkehr über ihr befand. Wären Sie jetzt gestiegen..?!?
Die Crew konnte sogar davon ausgehen, dass es sich bei der Situation um einen Dreierkonflikt handelte, hatte sie doch die 757 links in Sicht und nun eine Meldung über einen weiteren Verkehr auf zwei Uhr, also rechts. TCAS löst keine Dreierkonflikte auf, das ist kein Geheimnis, sondern einfach eine Betriebsgrenze des Systems. Frage: Wären Sie jetzt dem TCAS gefolgt? Mit unidentifiziertem Verkehr über Ihnen auf zwei Uhr?!? Ich behaupte nein. Ich sehe hier die russische Crew tatsächlich in einer vollkommen ausweglosen Situation. Jetzt erfolgt auch die Meldung der 757 Crew über den TCAS Descend. Weitere 8 Sekunden nach diesem letzten Funkspruch rasen die beiden Maschinen mit rund 1300 km/h ineinander. 8 Sekunden, das ist etwa so lang, wie Sie zum Lesen der letzten beiden Sätze gebraucht haben...
Der Züricher Lotse bekommt davon nichts mit. Er wendet sich auf einem weiteren Arbeitsplatz wieder einem auf Friedrichshafen anfliegenden A320 der AeroLoyd zu, während dieser Zeit regneten bereits brennende Trümmer der beiden Maschinen über Süddeutschland vom Himmel, der Unfall ist an Grausigkeit kaum zu überbieten: 40 Kinder wurden bei der Kollision aus dem Flugzeug geschleudert und fielen aus 34.800 ft zu Boden. Der 757 fehlen etwa 80% des Seitenleitwerks, die Maschine war damit nicht mehr steuerbar und brach in der Luft auseinander. CVR-Aufzeichnungen belegen, dass die Crew dies noch mindestens 10 Sekunden lang miterlebte.
Wie es dazu kommen konnte, dass der Lotse gegen jede Dienstvorschrift und jegliche Vernunft, an einem Abend, an dem Wartungsarbeiten durchgeführt wurden, an dem Telefonanlagen außer Betrieb waren (der benachbarte Sektor Karlsruhe hatte versucht den Kollegen zu warnen, war aber wegen der abgeschalteten Telefonanlage nicht durchgekommen), an dem sogar das Warnsystem STCA außer Betrieb war, nun ausgerechnet allein alle Züricher Sektoren kontrollierte ist eine Geschichte von haarsträubenden Managementfehlern und einer selbstgefälligen Unternehmenskultur. Der Lotse trug an diesem Abend die Verantwortung und erkannte nicht, dass er die Arbeitsbelastung so nicht bewältigen konnte. Man muss ihm zugute halten, dass er rückhaltlos und ehrlich bei der Aufklärung des Unfalls mithalf. Er wurde im Februar 2004 vor seinem Haus erstochen. Ein Angehöriger, der bei dem Unfall seine Familie verlor, ist dringend tatverdächtig.
Der schweizerische Bundesrat und der Präsident des Verwaltungsrates der Skyguide, Kellerhals haben am 19. Mai 2004 zwar ihre Schuld anerkannt und um Verzeihung gebeten (eine Schuldzuweisung nimmt der Untersuchungsberichtbericht gar nicht vor), personelle Konsequenzen sind jedoch weder aus den Versäumnissen noch aus der desaströsen Informationspolitik gezogen worden.
Der vollständige Bericht mit Anlagen kann von der BfU heruntergeladen werden:
http://www.bfu-web.de/aktuinfo42.htm
|
|
|
