Analyse von Flugunfällen hinsichtlich aufgetretener Fehlerketten und daraus abgeleitete Anforderungen an ein Pilotenassistenzsystem

Übersicht

In dieser Diplomarbeit werden Flugunfälle und schwere Störungen im Flugbetrieb von Verkehrsflugzeugen untersucht und die Fehlerketten, die zu den Unfällen geführt haben aufgestellt. Anhand dieser Aufstellung werden Möglichkeiten untersucht und erläutert, wie mit einem Assistenzsystem solche Unfälle vermieden werden können bzw. welche Funktionalitäten ein solches System haben muss, um den Pilot bei Eintritt einer Notlage optimal zu unterstützen.

Alle so erlangten Kenntnisse werden schließlich zusammenfassend aufgeführt, sortiert und ein theoretisches Modell entworfen.

Inhaltsverzeichnis

  i  

  Inhaltsverzeichnis  

0  Abkürzungen  iii

1  Einführung  1

1.2.1  Automatisierung  2

1.2.2  Kognitive Assistenzsysteme  3

2  Definitionen und Bewertungskriterien  5

3  Darstellung und Analyse der Unfälle  10

3.1  Vorgehensweise  10

3.2  Unfall-Hergänge Analysen und Schlussfolgerungen  11

3.2.3  American Airlines Flight 965 am 20 12 95  18

3.2.4  Aeroflot Flight SU593 am 22 3 1994  20

3.2.5  Avianca Airlines Flight 052 am 25 01 1990  23

  China Airlines Flight 006 am 19 2 1985 30 3 2  8

  China Airlines Flight 140 am 26 4 1994 32 3 2  9

3.2.10  Korean Air Flight 801 am 6 8 1997  35

4  Geforderte Funktionalitäten  38

4.2  Erläuterungen und Ergänzungen zu den geforderten Funktionalitäten  43

  Gruppe 1: Hilfe bei Fehlersuche und behebung 43 4 2  1

Inhaltsverzeichnis

  ii  

  Gruppe 2: Hilfe bei Erfüllung der Flugaufgabe 47 4 2  2

  Gruppe 3: Erweiterte Notfallautomatiken 52 4 2  3

5  Schematisches Assistenzsystem  56

5.2  Entwicklung des schematischen Assistenzsystems  60

5.2.1  Komponenten  60

  Gesamtsystem 63 5 2  2

6  Zusammenfassung und Ausblick  66

7  Literaturverzeichnis  68

8  Abbildungs und Tabellenverzeichnis  70

0 Abkürzungen

A/P ATC BFU CCC CFIT CFTT CVR DFDR EFIS EGT FAA FMS GPWS

HUD

IATA LADC/RADC NTSB

PF

PNF SOP

TWR

1 Einführung

1.1 Historische Entwicklung

Flugunfälle gehören zum Fliegen, seit der erste Mensch sich mit einem selbstgebauten Apparat in die Luft erhob. Otto Lilienthal stürzte nach ca. 2500 Gleitflügen tödlich ab. Im zweiten Weltkrieg wurden Flugzeuge bereits in Massenproduktion gefertigt. Trotzdem gingen mehr Flugzeuge durch Flugunfälle verloren, als durch Feindeinwirkung.

Einer Untersuchung über Unfälle von kommerziell genutzten Passagiermaschinen mit Strahlantrieb zufolge wurden von Anfang 1958 bis Ende 1996 548 Maschinen zerstört. Dies sind 14,1 Maschine pro Jahr im Durchschnitt. Der Schnitt der letzten

10 Jahre der Untersuchung betrug 19,7, der letzten 5 Jahre 20,4.

Die absolute Anzahl der Totalverluste muss natürlich im Zusammenhang mit der Anzahl geflogener Sektoren gesehen werden. Diese Betrachtung zeigt eine deutliche Abnahme der Rate. Auch die durchschnittlichen Werte der letzten drei Dekaden bestätigen eine abnehmende Tendenz. Dennoch sieht es so aus, als stabilisiere sich die durchschnittliche Unfallrate bei ca. 1,3 Totalverlusten pro 1 Million Sektoren.

Da es vom reinen Zufall abhängt, wie viele Passagiere sich an Bord einer Unglücksmaschine befinden – es kann sich z.B. auch um einen Frachter handeln – lassen sich aus der Anzahl der in einem Jahr getöteten Passagiere keine Rückschlüsse auf die Flugsicherheit ziehen. Dennoch ist die Öffentlichkeit an diesen Zahlen interessiert, da sie die Wahrscheinlichkeit bei einer Flugreise getötet zu werden, wiederspiegeln. Die Rate war in den letzten Dekaden sehr starken Schwankungen unterzogen. Bedingt durch die vielen Todesopfer 1996 zeigt die Trendlinie eine deutliche Zunahme. Während die Rate für 1995 noch 0,25 betrug, stieg sie 1996 auf 0,7 getötete, pro Million beförderte Passagiere.

Mehr als 80% der Totalverluste erfolgten während nur 7% der Flugzeit. Diese Aussage ist bereits bekannt. Die drei gefährlichsten Flugphasen sind Take Off, Approach und Landing. Das Jahr 1996 zeigte sich hier als atypisch. Erstmals ist in der Climb Phase ein deutlicher Zuwachs zu verzeichnen, während die Totalverluste in der Landing Phase fast um die Hälfte abgenommen hatte.

Über die Flugzeuggenerationen hinweg lässt sich ebenfalls ein positiver Trend erkennen, der wohl hauptsächlich im technischen Fortschritt begründet ist.

Die hier aufgeführten Statistiken stellen den Stand Anfang 1997 dar und sind [11] entnommen.

1.2 Aktuelle Problematik

1.2.1 Automatisierung

Während früher Unfälle oftmals dadurch verursacht wurden, dass der Mensch als Regler unzureichende Fähigkeiten aufwies oder auf mangelnde Erfahrung zurückgreifen mussten, da kritische Situationen nicht in einem Simulator geübt werden konnten, sind diese Gründe heutzutage fast verschwunden. Die zunehmende Ausstattung der Flugzeuge mit Reglern und Computeranlagen vereinfachten das Flugverhalten bzw. ermöglichten es dem Menschen, auch komplexere Flugzeuge sicher zu beherrschen. Dies wurde durch einen zunehmenden Grad an Automatisierung erreicht. In den 50er Jahren ging man noch davon aus, dass man niemals eine Landung vollautomatisch durchführen könnte. Heute ist es problemlos möglich, den kompletten Flug von einem Autopiloten durchführen zu lassen. So wurde der Autopilot einmal als das Allheilmittel gegen Flugunfälle angesehen, und wurde weiterentwickelt. Dann allerdings passierten einige Unfälle in deren Folge sich herausstellte, dass die Piloten nicht mehr in der Lage waren, die komplizierten Vorgänge in ihren Flugzeug-Systemen zu verstehen oder nachzuvollziehen. Dies lag daran, dass automatische Vorgänge nur modellhaft dargestellt werden können und dass ein Eingreifen des Menschen nur begrenzt möglich oder gewollt war. Im Falle eines Systemausfall waren die Piloten hin und wieder nicht mehr in der Lage, das Flugzeug als Gesamtsystem zu beherrschen.

Aus mehreren Gründen kann man aber trotz der hochgradigen Automation in Zukunft nicht auf den Menschen im Cockpit verzichten. Erstens gibt es Flugsituationen, die nicht automatisierbar sind. Zweitens wird eine Fernsteuerung lediglich als eine Verlagerung des Cockpits angesehen. Und drittens wird ein Flugzeug ohne Piloten an Bord wohl kaum von den Flugpassagieren akzeptiert. So wurde aus Untersuchungen der Schnittstelle Mensch / Maschine eine neue Form der Automation entwickelt. Dabei handelt es sich um kognitive Assistenzsysteme, die im folgenden skizzenhaft dargestellt werden sollen.

1.2.2 Kognitive Assistenzsysteme

Solche Systeme sind nicht darauf ausgelegt, dem Piloten die Flugführung abzunehmen, sondern diesen bei der Aufgabe der Flugführung so zu unterstützen, dass sich der Pilot ganz auf die Führung des Flugzeuges konzentrieren kann. Dafür besitzen solche Systeme nach [4] verschiedene Teilsysteme. Dazu gehören eine Situationsanalyse, ein Planungssystem, ein Dialog-Manager, eine Datenbasis, eine Wissenserwerbskomponente sowie Selbstdiagnosekomponente. Die prinzipielle Anordnung dieser Komponenten ist in Abb. 1.1 ersichtlich.

Abb. 1.1 Prinzipielle Anordnung der Systemkomponenten kognitiver Assistenzsysteme [4]

Die Situationsanalyse nutzt alle Daten, die sie über Sensoren von der Umwelt und dem Flugzeug erhält, die ihr der Pilot oder die Datenbasis zur Verfügung stellt oder die per Data-Link an das System gesandt wurden, um die Situation möglichst vollständig zu erfassen und zu interpretieren. Das Planungssystem ist über die Zielsetzung des Piloten informiert und kann so mit der Situationsanalyse eine eigene Flugplanung erstellen und diese dem Piloten präsentieren. Der gesamte Informationsfluss von Flugzeugsystemen und Piloten zum Assistenzsystem und zurück wird von einem Dialog-Manager organisiert. Damit wird der Informationsfluss so geregelt, dass keine Überforderung durch Überinformation entsteht. Die Datenbasis besteht aus drei Teilkomponenten: der Situationsrepräsentation, mit deren Hilfe der Dialog-Manager die Situation dem Piloten darstellt, die statische Datenbasis, die vorher eingespeichert wurde und die dynamische Datenbasis, die sich aus der Lernkomponente entwickelt. Diese Lernkomponente ermöglicht es die Datenbasis zu erweitern. Dabei ist das System in der Lage während der Bearbeitung notwendige Informationen anzufordern (Pilot oder Data-Link) oder es werden während einer Wartung zusätzliche Informationen eingespeichert. Die Erklärungs- und Selbstdiagnosekomponente ist zum einen für Überwachung der eigenen Systemfunktionen, zum anderen aber auch für Erläuterung der Ergebnisse, die das System liefert, zuständig.

Grundsätzlich entsprechen solche System also eher einem „virtuellen“ Kopiloten als einem Autopiloten, da Autopiloten keine Interpretationskomponenten besitzen.

Ziel dieser Arbeit ist aber nicht, die komplette Entwicklung eines solchen Systems, sondern es sollen in erster Linie Funktionalitäten aus den aufgeführten Flugunfällen gewonnen werden, die der Sicherheit eines mit diesem System ausgerüsteten Flugzeuges dienen sollen.

2 Definitionen und Bewertungskriterien

Die folgenden Darstellungen sind [1] und [11] entnommen.

2.1 Definitionen

Um Flugunfälle genau zu beschreiben bedarf es einiger Definitionen, um Verwechslungen und Missverständnisse zu vermeiden. * Unfall: Ein Ereignis beim Betrieb eines Luftfahrzeuges vom Beginn des

sind und

2.2 Bewertungskriterien

Um die Fehler, die zu Flugunfällen geführt haben, genau analysieren und zuordnen zu können, hat die IATA einen Klassifizierung erstellt, in die sich jeder Flugunfall einordnen lässt. Diese Klassifizierungen wurden erstellt, um den Fluggesellschaften zu helfen, effektive Trainingsprogramme für Piloten, Flugbegleiter und anderes Personal zu entwickeln. Sie können helfen, die Hauptfehlerfelder zu identifizieren, in denen noch Trainingsbedarf besteht.

Normalerweise ist es sehr schwierig, einen Unfall oder eine schwere Störung eindeutig einer Kategorie zuzuordnen, da sie oft das Ergebnis einer Verkettung von Fehlern und/oder Versäumnissen sind. Deshalb kann ein einzelner Unfall auch mehreren Kategorien zugeordnet sein. Die IATA unterscheidet 4 Hauptkategorien:

• Mensch-Kategorie (Human „Hum“)

• Technik-Kategorie (Technical „Tec“)

• Umgebungskategorie (Environmental „Env“)

• Organisationskategorie (Organisational „Org“) Diese vier Kategorien besitzen gewisse Schnittpunkte untereinander. Die „H“- Kategorie gilt nur für die Flugbesatzung (Pilot, Co-Pilot, ggf. Flugingenieur). Die Einflüsse menschlicher Fehler lassen sich aber auch in anderen Kategorien finde, so ist z.B. der H3-Faktor oft auch eine Konsequenz aus einem operationellen Fehler oder einem „verborgenem“ Fehler sein.

Die „H“-Kategorie wird wie folgt untergliedert

* H1

Die „T“-Kategorie wird wie folgt untergliedert: * T1 umfangreicher Triebwerksschaden, zerstörte Gondel, Feuer

* T2 * T3 * T4 * T5 * T6 * T7 * T8 * T9 * T10 * T11 * T12

Die „E“-Kategorie wir wie folgt untergliedert:

* E1 * E2 * E3 * E4

* E5

* E6 * E7 * E8 * E9 * E10 Andere

Die „O“-Kategorie wird wie folgt unterteilt:

* O1 * O2 * O3 * O4

* O5

* O6 * O7 * O8 Andere

In diese Aufteilung werden alle Unfälle eingefügt. Außerdem sieht die IATA noch eine Kategorie „I“ (Insufficient data) vor, in die alle Unfälle fallen, über die nicht genug bekannt ist, um sie einer der anderen Kategorien zuzuordnen. Die in dieser Arbeit analysierten Unfälle werden nach dieser Klassifizierung ebenfalls bewertet.

3 Darstellung und Analyse der Unfälle

3.1 Vorgehensweise

Die Unfallberichte sind oftmals sehr ausführlich, weshalb auch auf eine komplette Darstellung des Berichtes verzichtet wird. In diesem Kapitel wird nur eine kurze zusammenfassende Darstellung des Unfallhergangs und aller damit zusammenhängenden technischen Vorgänge eingegangen. Für die kompletten Berichte wird auf die Quellen verwiesen.

Flugunfallberichte sind im Normalfall wie folgt aufgebaut:

• Fakten des Unfalls (z.B.: Unfallhergang, Aufzeichnungen, Wetter- Informationen, Verletzte und Tote, Schäden am Flugzeug, Informationen zum Aufprall und medizinischen/pathologischen Aspekten, etc.)

• Analysen (z.B.: Unfallursache, Reaktion der Piloten, Reaktionen der Flugzeugsysteme, Reaktionen der angefunkten Bodenstellen, etc.)

• Schlussfolgerungen

• Empfehlungen an Airlines und Hersteller

• Anhang (z.B.: CVR-Transskript, Bilder von der Unfallstelle, etc.) Für die Darstellung in dieser Arbeit werden daraus relevante Fakten des Unfalls und die Analysen sowie, falls erforderlich, die CVR- und DFDR-Aufzeichnungen extrahiert. Somit wird eine kurze aber schlüssige Darstellung des jeweiligen Unfalls erreicht. Die Fehlerketten werden sowohl textlich als auch in Form von Diagrammen dargestellt. Diese Diagramme haben folgendes Schema: