Es wurden alle Vorschriften eingehalten. Es wurde eine vollständige Sicherheitsanalyse gemacht. Die Zulassung wurde erteilt. 346 Menschen sind gestorben. Dieser Text zeigt, warum das kein Widerspruch ist — und welche fünf Fragen ein Vorstand daraus für die eigene Firma mitnimmt.
Fünf Sätze zum Fall
Boeing wollte ein neues Flugzeug bauen, für das Piloten kein neues Training brauchen. Denn Training kostet die Fluggesellschaften Geld — und Boeing hatte einem Großkunden vertraglich zugesagt, eine Million Dollar pro Flugzeug zurückzuzahlen, falls doch Simulatortraining nötig würde.
Das neue Flugzeug bekam größere Triebwerke. Dadurch flog es anders als das alte. Eine Software namens MCAS sollte diesen Unterschied ausgleichen, damit sich das Flugzeug für die Piloten wieder anfühlte wie das alte. Zweimal drückte diese Software die Flugzeugnase nach unten, obwohl alles in Ordnung war. Beide Maschinen stürzten ab.
Wofür macht ihr das — und für wen?
Die Methode Lebensfähigkeit beginnt immer mit dieser einen Frage. Sie klingt harmlos. Sie ist es nicht.
Boeings erklärtes Ziel war: „Ein Flugzeug, für das man kein Simulatortraining braucht." Das ist kein Zweck. Das ist ein Verkaufsargument. Und der Nutzen ging an das Trainingsbudget der Fluggesellschaft — nicht an den Menschen, der im Flugzeug sitzt.
Das ist derselbe Fehler wie bei Kodak. Kodak sagte: „Wir verkaufen Filme." Als niemand mehr Filme wollte, war die Firma weg. Hätte Kodak gesagt „Wir helfen Menschen, Bilder festzuhalten", wäre daraus eine Digitalkamera-Firma geworden. Der Unterschied ist ein Satz. Er kostet nichts. Er entscheidet über die Existenz.
Warum danach jede Prüfung wertlos war
Es gab eine Sicherheitsanalyse. Es gab eine Risikobewertung. Es gab ein Zulassungsverfahren. Alle drei wurden ordentlich durchgeführt.
Und alle drei prüften gegen das falsche Ziel.
Man kann ein Verfahren vollständig korrekt durchführen und trotzdem nichts prüfen.
Eine Zahl stand an zwei Stellen. Eine wurde geändert.
Die Software durfte die Flugzeugnase pro Eingriff um einen bestimmten Betrag nach unten drücken. Im Sicherheitsbericht stand: 0,6 Grad. Auf dieser Zahl beruhte die Bewertung, dass ein zweiter Sensor nicht nötig sei.
Während der Flugerprobung merkten die Ingenieure, dass 0,6 Grad nicht reichen. Sie erhöhten auf 2,5 Grad — mehr als das Vierfache. Der Sicherheitsbericht wurde nicht neu gerechnet. Er lag in einem anderen Dokument, in einer anderen Abteilung, in einem anderen Programm.
Wäre die Bewertung mit 2,5 Grad gemacht worden, wäre die Einstufung eine Stufe höher ausgefallen — und dann wäre ein zweiter Sensor vorgeschrieben gewesen. Genau der zweite Sensor, dessen Fehlen beide Abstürze verursacht hat.
Doppelte Datenhaltung ist kein Ordnungsproblem. Sie war hier die Todesursache.
Das ist der Punkt, an dem die Methode ansetzt. Wichtige Zahlen dürfen nur an einer Stelle stehen. Alles andere — Bericht, Formblatt, Handbuch, Schulungsunterlage — wird daraus erzeugt. Wenn sich die Zahl ändert, ändert sich alles mit. Nicht weil jemand daran denkt, sondern weil es keine zweite Kopie gibt, an die man denken müsste.
Der Korridor
Die Methode arbeitet mit einem einfachen Bild. Für jede wichtige Sache gibt es einen Korridor.
Der Trick liegt im letzten Satz. Heute setzt man sich in einen Workshop und überlegt sich, was alles schiefgehen könnte. Das hört auf, wenn niemandem mehr etwas einfällt — nicht, wenn man fertig ist.
Zeichnet man stattdessen den Korridor, muss man die Gefahren nicht mehr erfinden. Alles außerhalb des Korridors ist die Antwort. Vollständig, nachrechenbar, ohne Kreativität.
Bei MCAS war der Korridor nie sauber gezeichnet. Deshalb wusste niemand, dass ein einzelner klemmender Sensor genügt, um dauerhaft außerhalb zu landen.
Eine Aufgabe, die niemand erfüllen konnte
Die Sicherheitsanalyse ging davon aus: Wenn die Software etwas Falsches tut, erkennt die Besatzung das in wenigen Sekunden und schaltet nach Standardverfahren ab.
Niemand hat geprüft, ob das überhaupt möglich ist.
Die Methode verlangt an dieser Stelle eine Prüfung, die heute fast niemand macht:Kann derjenige, den ich beauftrage, das überhaupt?Das gilt für eine Maschine, und es gilt genauso für einen Menschen und für eine Abteilung.
Wenn die Antwort nein lautet, gibt es genau drei ehrliche Auswege.
Das war kein Technikfehler
Jetzt derselbe Korridor, eine Ebene höher — nicht für die Software, sondern für das Vorhaben.
Das Unternehmen hatte sich vier Dinge gleichzeitig vorgenommen: größere Triebwerke, kein neues Pilotentraining, ein Termin gegen die Konkurrenz, und die Sache war vertraglich mit einer Rückzahlung abgesichert. Größere Triebwerke ändern das Flugverhalten. Das ist Physik und war bekannt.
Die Konstruktion hat nur sichtbar gemacht, was in der Vorstandsetage beschlossen wurde.
Das ist der Grund, warum keine Sicherheitsanalyse der Welt diesen Fall hätte finden können. Eine Sicherheitsanalyse schaut auf das Bauteil. Sie fragt nie, ob die Vorgabe, aus der das Bauteil entstanden ist, überhaupt erfüllbar war. Diese Verbindung — vom Unternehmensziel zur technischen Vorgabe — existiert in keinem üblichen Werkzeug.
In der Methode Lebensfähigkeit existiert sie zwangsläufig, weil dort Unternehmensziele und Bauteilvorgaben im selben Modell liegen und dieselbe Prüfung durchlaufen.
Fünf Fragen für die eigene Firma
Keine dieser Fragen braucht ein Werkzeug. Sie brauchen nur eine ehrliche Antwort. Die Reihenfolge ist nicht beliebig — Frage 1 entscheidet, ob die anderen vier überhaupt etwas wert sind.
- Wofür machen wir das — und für wen?Ist unsere Antwort ein Zweck oder eine Lösung? Und misst unser wichtigster Kennwert den Nutzen für den Kunden, oder nur unseren eigenen Umsatz?
- Steht jede wichtige Zahl nur an einer einzigen Stelle?Oder gibt es Zahlen, die in drei Dokumenten stehen und in zweien veraltet sind? Wer würde es merken?
- Haben wir irgendwo einen Auftrag erteilt, den der Beauftragte nicht schaffen kann?Ein Termin, eine Menge, eine Reaktionszeit. Wenn ja: welchen der drei ehrlichen Auswege nehmen wir?
- Sehen wir die schwächste Stelle — oder den Durchschnitt?Neun starke Kettenglieder und eines, das bei 100 Kilo reißt, ergeben im Durchschnitt 910 Kilo. Die Kette reißt trotzdem bei 100.
- Wie lange brauchen wir, bis wir auf eine leise Veränderung reagieren?Auf laute Ereignisse reagiert jeder schnell. Gefährlich sind die leisen. Wie viele Tage vergehen bei uns — und kennt jemand diese Zahl?
Die fünf Pflichten und wo sie gebrochen wurden
| Pflicht | Im Fall 737 MCAS |
|---|---|
| Sag, wofür und für wen | Das Ziel war eine Lösung („kein Training"), der Nutzen ging ans Trainingsbudget statt an den Passagier. |
| Sag, wie es sein soll — mit Datum | Die Vorgabe von 0,6 Grad wurde nie gegen den gebauten Stand von 2,5 Grad geprüft. |
| Miss richtig | Eine Einstufung nach Schulnoten-Prinzip entschied darüber, ob ein zweiter Sensor Pflicht ist. |
| Zeig die Schwachstelle, nicht den Durchschnitt | Im Gesamtnachweis sah alles konform aus. Der eine einkanalige Sensor verschwand in der Summe. |
| Miss, wie schnell ihr reagiert | Zwischen dem ersten und dem zweiten Absturz vergingen fünf Monate bei laufendem Betrieb. |
Ein ehrlicher Schluss
Dieser Text schaut auf ein Unglück zurück, dessen Ausgang bekannt ist. Im Rückblick klug zu sein ist billig, und jede Methode sieht dabei gut aus. Das gilt auch für diese.
Was sich prüfen lässt, ist etwas anderes: Die fünf Fragen oben stammen nicht aus der Kenntnis des Ausgangs. Sie stehen seit Jahren fest und lassen sich auf jeden Fall anwenden, dessen Ende noch offen ist. Ob sie tragen, entscheidet sich dort — nicht hier. Aber sie kosten nichts außer der Bereitschaft, die erste Antwort unangenehm ausfallen zu lassen.
Quellen und Anmerkung
Die Angaben zum Vertragsstand (Rückerstattung je Flugzeug bei erforderlichem Simulatortraining), zur Änderung des Stellbereichs von 0,6 auf 2,5 Grad, zur nicht aktualisierten Sicherheitsbewertung und zur Einstufungsfrage beim zweiten Sensor stammen aus der Berichterstattung der Seattle Times (2019), Reuters und AP (2019/2020) sowie aus den Feststellungen des Untersuchungsausschusses des US-Repräsentantenhauses (2020). Vor einer Veröffentlichung sind die Einzelangaben gegen die Originalquellen zu prüfen.
Methode: Lebensfähigkeits-orientiertes Engineering und Organisation, Thomas Arends