Fluglotsen schlagen Alarm - Fehler in der Software

[Sabo]

"Vor drei Wochen berichtete Report München über die Einführung eines neuen Radar- und Flugplandatensystems für den süddeutschen Luftraum. Fluglotsen hatten damals gewarnt, dass das System Mängel aufweise und die Schulung unzureichend gewesen sei. Die DFS reagierte mit einer Abmahnung für den Chef der Fluglotsengewerkschaft und warf Report Panikmache vor. "

 

http://www.br-online.de/daserste/report/archiv/2004/00112/

 

Es war der Super-GAU für die europäische Flugsicherung: Zusammenstoß zweier Flugzeuge über dem Bodensee. Die Trümmer lagen im Umkreis von 30 Quadratkilometern verstreut, 71 Menschen starben – die meisten davon Kinder. Schuld an dem Unglück: Ein überforderter Schweizer Fluglotse und ein System, das wegen Wartungsarbeiten stillgelegt werden musste. Eineinhalb Jahre später: Aus den Ursachen von damals hat die Deutsche Flugsicherung scheinbar nicht gelernt. Anders ist es nicht zu erklären, dass die Deutsche Flugsicherung kurz vor Weihnachten ein neues, jedoch unausgereiftes Flugüberwachungssystem in München in Betrieb nahm. Die Kontrollzentrale Langen bei Frankfurt. Seit Ende 1999 wird das System mit dem Namen P1 hier schon verwendet und die Erfahrungen zeigen: Noch immer müssen die Fluglotsen dort Systemschwächen umgehen. Karla Reininghaus, Vorstandssprecherin der Gewerkschaft der Flugsicherung, sagt:

 

„Wir haben natürlich immer noch Probleme in der Softwareanwendung. Es gibt immer noch mehr als 40 work-arounds. Zu Erklärung: Das sind Maßnahmen, die man ergreifen muss am System vorbei, also es auszutricksen, um bestimmte Anzeigen oder Kontrollstreifen zu erzeugen. Wir haben auch bei den anderen Systemen, nicht nur bei P1, die Problematik, dass gerade Softwarestände in den Betrieb genommen werden, die sich möglicherweise hinterher als fehlerhaft herausstellen.“

 

Die Schwächen von P1 sind bekannt, doch an der Einführung in München hielt die DFS fest – schließlich war die Investition schon getätigt. Jetzt muss mit dem schwächelnden System auch der gesamte süddeutsche Luftraum überwacht werden. Klaus Berchtold-Nicholls, Vorsitzender der Gewerkschaft der Flugsicherung über die Schwächen des Systems:

 

„Bekannte Systemmängel sind unter anderem in bestimmten Fällen falsche Höhenangaben. Das ist so zu verstehen, dass für bestimmte Sektoren, Punkte und Flüge Höhen angegeben werden im System, die nicht mit der tatsächlichen Flughöhe übereinstimmen. Das wird gemacht, um das System dahingehend zu überlisten, dass für diese Sektoren überhaupt Informationen zu diesen Flügen dargestellt werden.“

 

Heißt für die Fluglotsen: Sie werden zum Mängelverwalter des neuen Systems. Schon deshalb forderten sie eine Verschiebung des Starts in München. Klaus Berchtold-Nicholls sagt:

 

„Das ist eine zusätzliche Belastung, ein Mehraufwand. Und ein Teil unserer Konzentration wird gerade in der Einführungsphase besonders damit belegt sein, dass wir solche Systemschwächen und Systemanomalien erkennen und korrigieren.“

 

Systeme, die hauptsächlich aus wirtschaftlichen Gründen mit Fehlern an den Start gehen. Für den internationalen Dachverband der Flugleiter ist das schon normal, wie Marc Baumgartner, Präsident der IFATCA (International Federation of Air Traffic Controllers' Associations)

, bestätigt:

 

„Das ist für uns eigentlich nichts Neues, dass wenn man ein neues Flugsicherungssystem einführt, dass es überall am Beginn einige Probleme gibt.“

 

Frage report München: „Warum ist das so?“

 

Antwort Marc Baumgartner: „Das hat damit zu tun, dass es sehr komplexe Systeme sind, die einen speziellen Übergangsschnitt brauchen.“

 

Doch diese Vorwürfe weist die DFS scharf zurück und verweist auf die Kontrollzentrale in Langen. Karl-Heinz Gatz, Geschäftsführer der DFS des Kontrollzentrums Süd ist wehrt sich vehement gegen die Vorwürfe:

 

„Das System ist nicht unsicher. Das ist System völlig sicher. Denn der Umkehrschluss würde ja heißen, wir operieren ein System in Langen seit vielen Jahren unsicher. Die sichere Situation in Langen ist unwidersprochen und in allen Dingen dokumentiert. Die Dinge, die sicherlich mal adressiert wurden, gingen in die Richtung als wir in der Probephase waren, dass noch nicht alle Justierungen richtig vorgenommen wurden. Diese Dinge sind alle behoben.“

 

Und vorsorglich fährt die DFS noch schwerere Geschütze auf. In einer Presseerklärung bezichtigt sie die Vorstände der noch nicht anerkannten Gewerkschaft der Flugsicherung, sich auf Kosten der DFS profilieren zu wollen. Es sei davon auszugehen, so heißt es in der Erklärung, dass „sie versuchen, die Anerkennung der Organisation zu erreichen, indem sie mit illegalen Mitteln öffentlichen oder politischen Druck erzeugen.“

 

Grund des Verdachts: Die Gewerkschaft hatte in einer Aktion ihre Mitglieder aufgefordert, Verbessungsvorschläge für mehr Sicherheit zu machen. Doch daran hat die DFS wohl kein Interesse. So lehnte sie auch die Forderung nach einer besseren Schulung für das neue System ab. Klaus Berchtold-Nicholls sagt hierzu:

 

„Es gab 6 Schulungstage pro Fluglotsen, auch pro Flugdatenbearbeiter. Die müssen auch mit dem System umgehen. Die Schulungszeit an sich war möglicherweise ausreichend, aber die Inhalte definitiv nicht.“

 

Frage report München: „Was hat an den Inhalten nicht gestimmt?“

 

Antwort Klaus Berchtold-Nicholls: „Die Schulung war vor allem theoretisch. Man konnte sich also theoretisch mit den Systemfunktionen vertraut machen, allerdings in der Praxis stand kein Simulator zur Verfügung.“

 

Und auch eine weitere von der Gewerkschaft geforderte Sicherheitsvorkehrung war mit der DFS nicht verhandelbar: Die vorsorgliche Absenkung der Flugkapazität. Einziges Zugeständnis: Das System wurde in der verkehrsärmeren Weihnachtszeit eingeführt. Marc Baumgartner erklärt die Notwendigkeit einer Absenkung der Flugkapazität:

 

„Ein Flugverkehrsleiter braucht Ruhe und Stabilität, wenn er seinen Job macht. Wenn man ihm ein neues System bringt, ist das schon eine gewisse Unstabilität. Er muss die neuen Verfahren lernen, er muss sich an die neuen Schnitte gewöhnen, er muss die verschiedenen neuen Manipulationen integrieren. Das heißt: Er ist mehr gefordert in seiner täglichen Arbeit.“

 

Dass Lotsen immer wieder auch überfordert sind, zeigt die Statistik der Beinahe-Zusammenstöße über dem deutschen Luftraum. So wurden zwischen 1998 und 2002 allein 17 Beinahe-Zusammenstöße von der Deutschen Flugsicherung verursacht. Verunsicherte Mitarbeiter kann sich also auch die DFS nicht leisten. Völlig unverständlich also, warum sie bei den bestehenden Sorgen ihrer Lotsen nicht mehr in die Schulung und Entwicklung von P1 investiert hat. Die DFS argumentiert, dass es seit der Einführung des Systems keine sicherheitsrelevanten Vorfälle gegeben hat. Marc Baumgartner sieht die Probleme woanders:

 

„Was ist sicherheitsrelevant? Wir erfassen das statistisch, wenn eine Staffelungsunterschreitung passiert ist. Aber wenn ein Flugverkehrsleiter nicht mehr schlafen kann, weil er ein neues System hat, weil er sich mit dem nicht sicher fühlt, weil er jetzt das Gefühl hat, er könnte noch etwas vergessen, was er ja nicht darf: Dann ist das ein Problem für das Individuum – und das sollte eigentlich nie vorkommen."

 

Es war eigentlich ein Routinefall. Mittwoch vorvergangener Woche: An Bord des Turkish-Airlines Fluges 19 38 gibt es einen medizinischen Notfall. Die Maschine muss kurz nach dem Start nach Frankfurt zurückkehren. Für die Lotsen im Kontrollzentrum Süd der Deutschen Flugsicherung heißt das: Sie müssen die Flugplandaten für die Turkish Airlines ändern. Doch für ihr neues Radar- und Flugplandatensystem P1 ist das eine Eingabe zu viel. Statt für einen ändert es die Daten für mehrere hundert Flüge. Dann stürzt das System ab. Damit bestätigt sich genau das, wovor ein Münchner Lotse am 12. Januar in report München gewarnt hatte: Das System habe erhebliche Mängel. Klaus Berchtold, Vorsitzender der Gewerkschaft der Flugsicherung (GdF) sagte noch in dem report-Beitrag vom 12.01.04:

 

„Bekannte Systemmängel sind bestimmten Fällen immer noch falsche Höhenangaben."

 

Doch nach seinen Aussagen bekam der Vorsitzende der Gewerkschaft der Flugsicherung die volle Härte seines Arbeitsgebers zu spüren: Er wurde abgemahnt, durfte seinen Arbeitsplatz nicht mehr betreten und musste sich einer Nachschulung unterziehen. Mehr noch: Die Flugsicherung stellte ihren Mitarbeiter in einer Pressemitteilung sogar öffentlich an den Pranger. Seine Vorstandskollegin und -sprecherin Karla Reininghaus in der Gewerkschaft will sich davon trotzdem nicht abschrecken lassen.

 

„Man wollte ein Gewerkschaftsmitglied und damit den Vorsitzenden mundtot machen. Man hat das öffentlich gemacht, damit jeder sieht: Also das können wir auch mit dem Vorsitzenden der Gewerkschaft der Flugsicherung machen, passt auf, was ihr denn dann sagt.“

 

Auch report München machte die Deutsche Flugsicherung in ihrer Pressemitteilung schwere Vorwürfe. Darin wirft sie der Redaktion Zitat: „Unlauteren... Umgang mit Informanten und Informationen“ vor.

 

Die Abmahnung sei erfolgt, „um zu verhindern, dass weiterhin wahrheitswidrige Angaben über die Sicherheit im süddeutschen Luftraum verbreitet werden“.

 

Wahrheitswidrige Angaben – die hatte in der vergangenen Sendung wohl eher der Geschäftsführer der Kontrollzentrale Süd, Karl-Heinz Gatz, gemacht:

 

„Das System ist nicht unsicher, das System ist völlig sicher. Die Dinge, die sicherlich mal adressiert wurden gingen in die Richtung als wir in der Probephase waren, dass noch nicht alle Justierungen richtig vorgenommen wurden. Diese Dinge sind alle behoben.“

 

Doch jetzt dürfte auch der Deutschen Flugsicherung das Lachen vergangen sein. Interne Tagesberichte, die report München exklusiv vorliegen, zeigen: Das System ist völlig instabil:

 

- 14.1., 14.02 Uhr: Datenaustausch an alle externen Units ausgefallen

 

- 18.1., 17:55 Uhr: Panning-Funktion zum wiederholten Mal im gesamten Center nicht verfügbar

 

- 21.1., 15:20 Uhr: Probleme mit Flugplandaten. 15.55 Uhr: Umschalten auf Trackview TV

 

- 22.1., 05:20 Uhr: Probleme mit Flugplänen. Noch nicht erkennbar, warum

 

So geht es seitenlang weiter. Und nachdem das System innerhalb einer Woche dann sogar noch ein zweites Mal abstürzte, wurde es auch den Lotsen zuviel. Zahlreiche Anrufe und Emails gingen bei report München ein. Eiszeit zwischen Geschäftsleitung und Fluglotsen. Trotz Angst erkannt zu werden und den Arbeitsplatz zu verlieren: Drei Lotsen gingen verdeckt vor die Kamera – aus Sorge um die Flugsicherheit. Der Informant I sagt:

 

“Unterbewusst macht man sich auf jeden Fall Gedanken, dass etwas passieren könnte. Aber man kann nicht mit Angst an die Arbeitsposition rangehen. Im Moment sagen wir einfach: Nein, wir sind so gut, wir können auch diesen Mist ausgleichen. Aber ich bin mir sicher unterbewusst, beim einen mehr, beim anderen weniger, ist eine Angst vorhanden, eine latente Angst.“

 

Angst bei den Mitarbeitern? Der Geschäftsführung ist das scheinbar egal. So ignorierte sie auch einen Brief, den 35 Münchner Lotsen zwei Wochen vor der Einführung von P1 an die Vorgesetzten gerichtet hatten. Darin warnen die Lotsen vor Mängeln des Systems, die inakzeptabel und gefährlich seien. Doch die Geschäftsführung der Flugsicherung hat offenbar das Maß dafür verloren, was den Lotsen zuzumuten ist. Als am 21. Januar P1 zum ersten Mal abstürzte und das Notfallprogramm, das so genannte Fallback-System, einsetzte, mussten die Lotsen in der entstehenden Hektik feststellen: Das System hatte eine völlig neue Bedienleiste, über die sie nicht unterrichtet worden waren. Und selbst das Notfallsystem wies noch Fehler auf. Informant II schildert den Vorfall:

 

„Das System hat einen anderen Flieger dargestellt als er in Wirklichkeit war. Es war nicht so viel Verkehr, als dass wir das nicht bemerkt hätten. Aber man kann sich Situationen vorstellen: Das Fallbacksystem springt an in einer kniffligen Situation, ich habe keine Zeit, zuvor auf meinen Streifen zu schauen. Ich schaue nur aufs Radar und spreche den Flieger an – und der reagiert nicht. Ich spreche ihn nochmals an, der regiert nicht. Und dann, wenn ich Glück habe, merke ich: Der heißt ja gar nicht so.“

 

Oder der Lotse hat eben kein Glück, so wie vor eineinhalb Jahren am Bodensee. Auf eine Interviewanfrage von report München am vergangenen Dienstag reagierte die Flugsicherung am nächsten Tag mit einer Frist: Das Interview könne nur innerhalb der nächsten fünf Stunden in Langen bei Frankfurt stattfinden – danach nicht mehr. Einen Tag später überlegte sie es sich dann doch anders: Stellungsnahme ja, aber Fragen sind nicht erlaubt. Das Ergebnis: Osman Safaan, Geschäftsführer der Deutsche Flugsicherung der Kontrollzentrale Langen gibt sein Statement ab:

 

„Dieses System, das wir auch Ende letzten Jahres in München eingeführt haben, ist mittlerweile vier Jahre gereift und ist als sicher zu bezeichnen, auch für den süddeutschen Luftraum.“

 

Der Informant III sagt über das System:

 

“Für uns ist das System keine Arbeitserleichterung, sondern erheblich zusätzlicher Stress und eine erheblich zusätzliche Belastung. Durch die zusätzliche Arbeit ist es nicht mehr möglich, das Radarbild noch so genau zu verfolgen. Das kann sich die DFS nicht erlauben. Wir haben eine Null-Fehler-Philosophie. Solche Mängel kann sich ein Auto- oder Computerhersteller leisten, aber wir nicht.“

 

Trotz all der Bedenken: Eine Verschiebung des Starts kam für die Deutsche Flugsicherung gar nicht erst in Frage. Lieber ging sie das Risiko ein, die Mängel im laufenden Flugverkehr zu beseitigen - am lebenden Objekt also. Ein Kalkulation, die sich übrigens auch auszahlt – denn die Flugsicherung kann das System jetzt früher abschreiben. Und auch die Geschäftsführung in München profitierte. Für sie gab es Prämien für eine pünktliche Inbetriebnahme noch vor Jahresende. Doch jetzt läuft die Zeit gegen die Deutsche Flugsicherung, sie muss möglichst schnell die Mängel des Systems beseitigen. Denn im März steigt mit dem Sommerflugplan das Verkehrsaufkommen und damit der Stress für die Lotsen erheblich an. Dann, so ein Lotse, geht es ans Eingemachte. "

[Chris99]

Das ganze wurd ebereits hier diskutiert:

 

http://82.165.8.107/community/viewtopic.ph...805&forum=1