Zusammenfassung

Warum dieser Fall in eine Risiko- und Rechenschaftsakte gehört

Der Boeing 737 MAX MCAS gehört in eine Risiko- und Rechenschaftsakte, weil er an der Schnittstelle von Design, Zertifizierung, Schulung, Delegation, menschlichen Faktoren, Marktdruck, Vertrauen der Regulierungsbehörden, Umsetzung durch Fluggesellschaften und Sicherheit der Passagiere steht. Sicherheitskritische Automatisierung ist keine normale Softwarefunktion. Sie verändert, wer im Cockpit das Risiko trägt und wer dieses Risiko versteht, bevor das Flugzeug für den Dienst zugelassen wird.

Wenn die Automatisierung als Reaktion auf Sensoreingaben Flugsteuerungsflächen bewegen kann, werden die Nachweise über Designannahmen, Fehlertoleranz, Erkennung durch den Piloten, Schulung und Offenlegung gegenüber der Regulierungsbehörde Teil des Sicherheitssystems selbst.

Die öffentliche Akte ist ungewöhnlich umfangreich. Der NTSB-Sicherheitsempfehlungsbericht unter NTSB source konzentrierte sich auf Annahmen über die Reaktion des Piloten auf eine nicht befohlene MCAS-Aktivierung und die damit verbundenen Cockpitauswirkungen. Der Bericht des House Transportation Committee unter source: govinfo.gov beschrieb ein breiteres Versagensmuster unter Beteiligung von Boeing und der FAA-Aufsicht. Die FAA-Zusammenfassung zur Wiederinbetriebnahme unter source: faa.gov erläutert die Korrekturmaßnahmen und den Überprüfungsprozess für das stillgelegte Flugzeug.

Die Lufttüchtigkeitsanweisung im Bundesregister unter source: federalregister.gov ist eine offizielle Regelung, die Korrekturmaßnahmen vor dem Betrieb vorschreibt. Die DOJ-Ankündigung unter DOJ source ist eine strafrechtliche Einigung bezüglich des Verhaltens von Boeing im Zusammenhang mit der FAA Aircraft Evaluation Group.

Die Rechenschaftsfrage ist daher nicht abstrakt. Wer hatte die praktische Kontrolle über die MCAS-Designannahmen, die Abhängigkeit von einem einzelnen Sensor, die Alarmierung, die Arbeitsbelastung des Piloten, die Zertifizierungsdelegation, die Simulator- und Schulungsanforderungen, die Fehleranalyse, die manuelle Offenlegung, die Überprüfung durch die Regulierungsbehörde, die Einhaltung der Vorschriften durch die Fluggesellschaft und den Nachweis der Wiederinbetriebnahme? Boeing hatte die Kontrolle über das Design und die internen Nachweise. Die FAA hatte die Zertifizierungs- und Aufsichtsbefugnis.

Die Fluggesellschaften kontrollierten die Schulungsumsetzung und den Betrieb innerhalb ihrer regulatorischen Systeme. Internationale Regulierungsbehörden kontrollierten die Akzeptanz oder unabhängige Überprüfung in ihren Hoheitsgebieten. Piloten und Passagiere hatten die geringste Möglichkeit, das zugrunde liegende Design und die Zertifizierungsunterlagen zu überprüfen.

Der Fall gehört auch deshalb hierher, weil die Reparatur nachweisbar sein musste. Ein stillgelegter Flugzeugtyp kann nur dann wieder in Dienst gestellt werden, wenn die Regulierungsbehörden und die Öffentlichkeit der Korrektur vertrauen können. Dieses Vertrauen darf nicht allein auf dem Markenruf beruhen. Es muss auf Softwareänderungen, erforderlichen Verkabelungs- und Anzeigemaßnahmen, Schulungsrevisionen, Betriebsverfahren, Überprüfung durch die Regulierungsbehörde, internationaler Koordinierung und fortlaufender betrieblicher Überwachung beruhen. Die öffentliche Akte handelt daher von Nachweisen.