Vom 10. - 13. Mai 2018 fand im ZKM und in der Hochschule für Gestaltung (HfG) die GPN18 statt. Dort traf Sebastian auf Bernd Sieker und sprach mit ihm um Unfälle mit Autopiloten mit Flugzeugen und Automobilen.

Der Flugreiseverkehr ist inzwischen sehr sicher, es verbleibt aber ein Restrisiko, das man an den sehr seltenen Flugunfällen erkennen kann. Bernd untersucht nun die wenigen Abstürze großer Airliner, die es noch gab, und fragt sich, wie es zu diesen Katastrophen kommen konnte.

Beispiele für Unfallursachen können beispielsweise Ausfälle scheinbar weniger relevanter Systeme sein, wo von der Crew Entscheidungen getroffen werden, die sie für sinnvoll halten, sich aber später als problematisch herausstellen. Technische Schäden, die unmittelbar zum Absturz führen, sind inzwischen sehr selten. Und selbst scheinbare kritische Ausfälle wie Triebwerksausfälle werden geübt und es gibt Prozeduren, wie man in diesen Fällen das Flugzeug möglichst sicher landen können sollte.

Im Segelflug gehört eine Außenlandung auf freiem Feld zum Normalbetrieb, wobei man natürlich für am Boden etwaig entstandenen Schaden aufkommen muss, falls der Landwirt darauf besteht. Eine entsprechende nicht genehmigte Sicherheits- oder Notlandung führt bei Motorflugzeugen zur Auskunfts- oder Meldepflicht mit entsprechenden Auflagen zum Abtransport oder Erlaubnis zum Wiederstart.

Bei der Untersuchung von Unglücksfällen geht der erste Blick auf offizielle Berichte oder Untersuchungen. So auch beim Air-France Flug 447 von 2009, wo ein Airbus A330-203 mitten über dem Atlantik plötzlich verschwand. Erste Indizien auf das Unglück wurden durch ACARS-System über Satellit empfangen, unter anderem über den Ausfall von Staurohren, mit denen die Geschwindigkeit des Flugzeugs gemessen wird. Das ist ein dramatischer Ausfall an Information, mit dem die Piloten aber umgehen können müssten und der eigentlich nicht zu einem Absturz führen sollte, denn die Geschwindigkeit ist noch mittels anderer Sensoren erkennbar. Erste gefundene Wrackteile deuteten darauf hin, dass das Flugzeug fast senkrecht in horizontaler Lage auf das Wasser aufgeschlagen sein musste. Dies führte auf die Vermutung, dass das Flugzeug überzogen wurde, bis es zum Strömungsabriss kam, und es daraufhin einfach herunterfiel.

Nach Bergung des Flugschreibers bestätigte sich der vermutete Ablauf. Er wurde durch einen überraschend kurzen Zeitraum von wenigen Minuten zwischen Fehlermeldung und Absturz aus Reiseflughöhe belegt. Die Piloten müssen in der widersprüchlichen Situation gewesen sein, dass ihnen der Sink"flug" angezeigt wurde, während die Nase des Flugzeugs nach oben zeigte, was laut Training normalerweise in diesem Flugzustand nicht möglich ist. Bei dem eingesetzten Fly-by-wire System wäre eigentlich auch kein Strömungsabriss möglich gewesen. Nach Ausfall der Staurohre führte nun die Verkettung zwischen unvorhersehbarem Flugzeugzustand und der dramatischen Fehlinterpretation durch die Piloten zum Absturz.

In der Ursachenanalyse ist sowohl zu beachten, dass die Warnmeldungen zum Strömungsabriss von den Piloten womöglich wegen einer Vielzahl von Warnmeldungen nicht mehr erfasst werden konnte. Ebenso wurden widersprüchliche Angaben zur Fluggeschwindigkeit und Anstellwinkeln von den Systemen des Flugzeugs irgendwann als ungültig abgewiesen und entsprechende Warnungen abgeschaltet oder nur noch widersprüchlich wiedergegeben.

Dies führt zur Betrachtung solcher Systeme unter dem Aspekt, dass sie sozio-technisch sind, mit der Einsicht, dass gerade bei der Übertragung von Aufgaben des Menschen an Technik und zurück ein besonderes und schwer vorhersehbares Fehlerpotenzial besteht. Insbesondere Autopiloten haben eine besondere Bedeutung, da sie direkt in die Aufgaben der steuernden Menschen eingreifen. Klassisch steuern Autopiloten nur in sehr engen Parametern wie einzuhaltende Richtung, Höhe, Querneigung der Sink-/Steiggeschwindigkeit. Im Auto sind schon Geschwindigkeits- und Abstandsautomatik üblich. Jedoch sind auch Landungen mit Autopilot möglich, die aber ein besonderes Training und Überprüfung von Mensch und Maschine und Verbesserung der Algorithmen und redundante Sensoren erfordern. Dies zeigt schon, wie kritisch Autopiloten im Automobil zu sehen sind, da hier bisher kein besonderes Training für die Verwendung von Autopiloten erfolgt. Eine Überraschung ist dabei, dass eine besondere Gefahr daraus entsteht, wenn Autopiloten so zuverlässig werden dass sich Menschen zu sehr auf sie verlassen. Überraschende Situationen kann aber der Mensch meist besser bewältigen.

Bei der Untersuchung von Flugunfällen stellt sich besonders die Frage, welche Ereignisse die eigentliche Ursache also für das Unglück verantwortlich sind. Wie ist hier Kausalität zu definieren? An der Uni Bielefeld wurde in der Arbeitsgruppe von Prof. Ladkin dazu die Why-Because-Analysis (WBA) entwickelt, wo die Counterfactual Test Theory von David Lewis zum Einsatz kommt. Aus der Überprüfung, ob ein Ereignis notwendig und die Menge der gefunden Ereignisse hinreichend für die Entstehung eines Ereignisses war, entsteht ein kausaler "Why-Because"-Graph (WBG), der genau nur die Ereignisse zusammenfasst, die notwendig zum Unglück führten.

Ein interessantes philosophisches Konstrukt ist hier die Nearest-Possible-World-Theory, die ein Szenario konstruiert, das dem Unglück möglichst stark ähnelt, für das aber es nicht zum Unglück gekommen wäre. Was war hier anders? Was können wir daraus lernen?

Durch Vergleich mit vorherigen dokumentierten Ereignissen können Teile des WBG auch quantitativ bewertet werden, obgleich die Datenbasis oft sehr gering ist. Dennoch können Schlüsse gezogen werden, welche Ereignisse bisher ignoriert wurden und ob dies gerechtfertigt ist.

Das National Transportation Safety Board (NTSB) befasst sich in den USA wie die Bundesstelle für Flugunfalluntersuchung (BFU) in Deutschland typischerweise mit der Aufarbeitung von Unglücksfällen, und wie diesen in Zukunft entgegengewirkt werden kann. Darüber hinaus haben ebenso Versicherungen von Fluggesellschaften ein großes Interesse an einer Aufarbeitung, da die Fluggesellschaften in vielen Bereichen für Unglücke haftbar sind, soweit sie nicht nachweisen können, dass die Hersteller verantwortlich zu machen sind.

Während des Asiana Airlines Flug 214 kam es in einer Boeing 777 im Anflug auf San Francisco 2013 im Landeanflug zu einer "Mode Confusion" beim Autopilot: Die erwartete Schubregulierung blieb aus, und es kam zu einem Absturz. Im Fall des Turkish Airlines Flug 1951 mit einer Boeing 737 nach Amsterdam gab es im Anflug einen Fehler im Radarhöhenmessgerät, wodurch der Autopilot in Erwartung der Landung aktiv den Schub zurückregelte. Die Korrektur der Piloten schlug fehl, da sie sich nicht über die genauen Abläufe im Klaren waren.

Dies deutet schon deutlich darauf, dass Schwierigkeiten beim Einsatz von Autopiloten im automobilen Umfeld zu erwarten sind. Darüber hinaus sind die erforderlichen menschlichen Reaktionszeiten im Auto deutlich kürzer, so dass Missverständnisse oder das An- oder Abschalten von Autopilot-Funktionen deutlich leichter zu Unglücken führen können. Eine wichtige Einstufung sind hier die erreichten SAE Autonomiestufen, die beschreiben, wie weit das Fahrzeug Aufgaben des Fahrens übernehmen kann. Besonders problematisch ist Autonomiestufe 3: Hier darf der Fahrer sich während der Fahrt anderen Dingen als der Fahrzeugführung zuwenden, muss aber nach einer gewisse Vorwarnzeit wieder die Führung wieder übernnehmen können. Selbst bei wenigen Sekunden wird dies bei höheren Geschwindigkeiten sehr schwer zu erfüllen sein. Bei Stufe 4 muss das Fahrzeug auch ohne Fahrerintervention sicher bleiben, notfalls durch Anhalten, Stufe 5 ist vollständig autonom von Tür zu Tür.

Ein weiterer Gesichtspunkt ist die vorhandene Sensoraustattung und deren Ausfallsicherheit oder die Interpretation der Sensormessungen. Im Fall des Unfalls eines Uber-Autos am 18. März 2018 in Arizona wurde eine Fußgängerin von den Sensoren zwar erfasst, jedoch wurden die Detektion durch die Software als Fehler zurückgewiesen und es kam zum Unfall. Die hier verwendete Software war und wird weit weniger getestet und formal geprüft als Software im Luftfahrtumfeld, da dies auch im Bezug auf neuronale Bilderkennungsverfahren schwer umzusetzen sein wird.

Ein weiterer Aspekt ist, dass selbst wenn ein sozio-technisches System sicherer als Menschen fährt, die Akzeptanz nur sehr schwer zu erreichen sein und viele rechtliche und ethische Fragen zunächst zu klären wären.

Vielen Dank an Markus Völter für die Unterstützung in dieser Folge.

Literatur und weiterführende Informationen

• D. Lewis: Counterfactuals and comparative possibility, Springer, Dordrecht, 57-85, 1973.
• P. Ladkin: Causal reasoning about aircraft accidents, International Conference on Computer Safety, Reliability, and Security. Springer, Berlin, Heidelberg, 2000.
• B. Sieker: Visualisation Concepts and Improved Software Tools for Causal System Analysis, Diplomarbeit an der Technischen Fakultät der Universität Bielefeld, 2004.
• B. Sieker: Systemanforderungsanalyse von Bahnbetriebsverfahren mit Hilfe der Ontological Hazard Analysis am Beispiel des Zugleitbetriebs nach FV-NE, Dissertation an der Technischen Fakultät der Universität Bielefeld, 2010.
• Causalis Limited
• Research Group Networks, System Safety, Embedded and Distributed Systems
• B. Sieker: Hold Steering Wheel! Autopilots and Autonomous Driving. Presentation at the Gulaschprogrammiernacht 18, ZKM/HfG, Karlsruhe, 2018.
• B. Sieker: What's It Doing Now? The Role of Automation Dependency in Aviation Accidents. Presentation at the Chaos Communication Congress 33C3, 2016.

Podcasts

• H. Butz, M. Völter: Komplexe Systeme, Folge 058 im omega tau Podcast, Markus Völter und Nora Ludewig, 2011.
• S. B. Johnson, M. Völter: System Health Management, Episode 100 in the omega tau Podcast, Markus Völter and Nora Ludewig, 2012.
• R. Reichel, M. Völter: Fly by Wire im A320, Folge 138 im omega tau Podcast, Markus Völter und Nora Ludewig, 2014.
• S., J., C., A., M. Völter: Mit Lufthansas A380 nach Hong Kong Teil 1, Folge 262 im omega tau Podcast, Markus Völter und Nora Ludewig, 2017.
• S., J., C., A., M. Völter: Mit Lufthansas A380 nach Hong Kong Teil 2, Folge 263 im omega tau Podcast, Markus Völter und Nora Ludewig, 2017.
• P. Nathen, G. Thäter: Lilium, Gespräch im Modellansatz Podcast, Folge 145, Fakultät für Mathematik, Karlsruher Institut für Technologie (KIT), 2017.

GPN18 Special

• B. Sieker, S. Ritterbusch: Flugunfälle, Gespräch im Modellansatz Podcast, Folge 175, Fakultät für Mathematik, Karlsruher Institut für Technologie (KIT), 2018. http://modellansatz.de/flugunfaelle
• A. Rick, S. Ritterbusch: Erdbebensicheres Bauen, Gespräch im Modellansatz Podcast, Folge 168, Fakultät für Mathematik, Karlsruher Institut für Technologie (KIT), 2018. http://modellansatz.de/erdbebensicheres-bauen

GPN17 Special

• Sibyllinische Neuigkeiten: GPN17, Folge 4 im Podcast des CCC Essen, 2017.
• A. Rick, S. Ritterbusch: Bézier Stabwerke, Gespräch im Modellansatz Podcast, Folge 141, Fakultät für Mathematik, Karlsruher Institut für Technologie (KIT), 2017. http://modellansatz.de/bezier-stabwerke
• F. Magin, S. Ritterbusch: Automated Binary Analysis, Gespräch im Modellansatz Podcast, Folge 137, Fakultät für Mathematik, Karlsruher Institut für Technologie (KIT), 2017. http://modellansatz.de/binary-analyis
• M. Lösch, S. Ritterbusch: Smart Meter Gateway, Gespräch im Modellansatz Podcast, Folge 135, Fakultät für Mathematik, Karlsruher Institut für Technologie (KIT), 2017. http://modellansatz.de/smart-meter

GPN16 Special

• A. Krause, S. Ritterbusch: Adiabatische Quantencomputer, Gespräch im Modellansatz Podcast Folge 105, Fakultät für Mathematik, Karlsruher Institut für Technologie (KIT), 2016. http://modellansatz.de/adiabatische-quantencomputer
• S. Ajuvo, S. Ritterbusch: Finanzen damalsTM, Gespräch im Modellansatz Podcast, Folge 97, Fakultät für Mathematik, Karlsruher Institut für Technologie (KIT), 2016. http://modellansatz.de/finanzen-damalstm
• M. Fürst, S. Ritterbusch: Probabilistische Robotik, Gespräch im Modellansatz Podcast, Folge 95, Fakultät für Mathematik, Karlsruher Institut für Technologie (KIT), 2016. http://modellansatz.de/probabilistische-robotik
• J. Breitner, S. Ritterbusch: Incredible Proof Machine, Gespräch im Modellansatz Podcast, Folge 78, Fakultät für Mathematik, Karlsruher Institut für Technologie (KIT), 2016. http://modellansatz.de/incredible-proof-machine