Am 25. Mai 1972 stieg NASA-Testpilot Gary Krier in einen modifizierten F-8C Crusader und startete von der Edwards Air Force Base. Anders als jedes frühere Flugzeug leitete dieser Jäger jede Steuerknüppeleingabe über einen digitalen Flugrechner, der Querruder, Höhenruder und Seitenruder ansteuerte. Es war der erste Flug eines digitalen Fly-by-Wire-Systems ohne mechanische Sicherung[s], und er sollte die Art und Weise, wie Menschen Flugzeuge bedienen, grundlegend verändern.
Wie Fly-by-Wire-Systeme die mechanische Steuerung ersetzten
Jahrzehntelang steuerten Piloten Flugzeuge über eine direkte physische Kette: Zug am Steuerknüppel bewegte das Höhenruder mechanisch über Kabel und Seilrollen. Das System war intuitiv, unmittelbar und vollständig vom Urteilsvermögen und Können des Piloten abhängig.
Fly-by-Wire-Systeme veränderten diese Beziehung grundlegend. In einem Fly-by-Wire-Flugzeug werden die Steuereingaben des Piloten in elektronische Signale umgewandelt. Computer verarbeiten diese Signale und entscheiden, wie die Steuerflächen bewegt werden[s]. Der Pilot befiehlt dem Flugzeug nicht mehr direkt; er stellt eine Anfrage, und der Computer entscheidet, ob und wie er ihr nachkommt.
Die Technologie, die dies ermöglichte, kam aus einer unerwarteten Quelle: dem Apollo-Programm. Der Führungscomputer, der Astronauten zur Navigation zum Mond geholfen hatte, bewies, dass digitale Systeme mit Menschenleben anvertraut werden konnten. Neil Armstrong setzte sich nach seiner Rückkehr von der Mondoberfläche für den Transfer dieser Technologie in die Luftfahrt ein[s].
Das 13-jährige Experiment
Das NASA F-8 Digital Fly-By-Wire-Programm lief 13 Jahre und absolvierte 211 Flüge[s]. Die Forschung bewies, dass digitale Fly-by-Wire-Systeme zuverlässig genug für den praktischen Einsatz gemacht werden konnten und Vorteile boten, die mechanische Systeme nicht erreichen konnten: geringeres Gewicht, niedrigerer Wartungsaufwand und die Möglichkeit, Flugzeugkonfigurationen zu fliegen, die sonst nicht kontrollierbar gewesen wären.
Diese NASA-Arbeit beeinflusste direkt das Space Shuttle, das ein vierfach redundantes digitales Fly-by-Wire-System verwendete. Beim Testen des Shuttles Enterprise im Jahr 1977 trat beim Landen ein Piloten-induziertes Schwingungsproblem auf, das durch eine Zeitverzögerung im Flugsteuerungssystem verursacht wurde[s]. Das Problem wurde dank der Erkenntnisse aus dem F-8-Programm erkannt und behoben.
Zwei Philosophien entstehen
Als Fly-by-Wire-Systeme von Militärjets auf Verkehrsflugzeuge übergingen, entstanden zwei konkurrierende Konstruktionsphilosophien.
Airbus führte 1988 mit dem A320 das erste Verkehrsflugzeug mit vollständigem Flugumhüllungsschutz ein[s]. Dieses System hindert Piloten daran, die strukturellen und aerodynamischen Grenzen des Flugzeugs zu überschreiten, selbst wenn sie es versuchen. Zu stark am Seitensteuerknüppel ziehen, und der Computer verweigert das Aufnicken des Flugzeugs über den Überziehwinkel hinaus. Zu stark in die Kurve gehen, und der Computer begrenzt die Querneigung. Diese „harten Grenzen“ können im Normalbetrieb nicht übersteuert werden[s].
Boeing wählte mit dem 777 im Jahr 1994 einen anderen Weg. Boeings Philosophie besagt: „Der Pilot ist die letzte Autorität für den Betrieb des Flugzeugs“[s]. Die Fly-by-Wire-Systeme des 777 geben Warnungen und Widerstand, aber Piloten können sie durch Anwendung übermäßiger Kraft an den Steuerknüppeln übersteuern[s].
Reale Konsequenzen
Beide Philosophien wurden in Notfällen erprobt.
Im Januar 2009 stand Kapitän Chesley Sullenberger einem doppelten Triebwerksausfall gegenüber, nachdem Vögel den US-Airways-Flug 1549 kurz nach dem Start in LaGuardia getroffen hatten. Während des Notabstiegs und der Wasserung ermöglichte der Flugumhüllungsschutz des A320, den Seitensteuerknüppel vollständig nach hinten zu ziehen, ohne einen Strömungsabriss zu riskieren, und holte maximale Leistung aus dem beschädigten Flugzeug heraus[s]. Alle 155 Personen an Bord überlebten.
Weniger als fünf Monate später endete Air-France-Flug 447 tragischer. Als vereiste Pitot-Sonden inkonsistente Geschwindigkeitsdaten lieferten, degradierten die Computer des A330 auf das „Ausweichgesetz“, das den Überziehschutz deaktivierte. Die Piloten, desorientiert durch die Panne auf Panne, tätigten Steuereingaben, die das Flugzeug in einen aerodynamischen Strömungsabriss brachten. Ohne den normalen Überziehschutz sank das Flugzeug unkontrolliert in den Atlantischen Ozean und tötete alle 228 Menschen an Bord[s].
Die Gesamtsicherheitsbilanz spricht für den Umhüllungsschutz. Airbus berichtet, dass Kontrollverlust-Unfälle bei Flugzeugen mit vollständigem Flugumhüllungsschutz um 89 % reduziert wurden[s].
Die anhaltende Debatte
Die Frage der Pilotenautorität bleibt ungeklärt. Airbus argumentiert, dass der Umhüllungsschutz „den Piloten von Unsicherheit befreit“[s], indem er maximale Ausweichmanöver ohne Angst vor Überbeanspruchung der Zelle ermöglicht. Boeing besteht darauf, dass Piloten für unvorhergesehene Situationen die letzte Kontrolle behalten müssen.
Beide Positionen haben ihre Berechtigung. Was mit Gary Kriers Testflug von 1972 begann, ist zum Fundament der modernen Luftfahrt geworden, wobei digitale Fly-by-Wire-Steuerungssysteme heute auf praktisch allen großen Flugzeugen Standard sind. Die Technologie hat Flugzeugkonstruktionen ermöglicht, die sonst nicht beherrschbar wären, vom Space Shuttle bis zum B-2-Bomber[s]. Doch die grundlegende Frage, die dieser erste Flug aufwarf, bleibt bestehen: Wenn Pilot und Computer nicht einer Meinung sind, wer sollte gewinnen?
Am 25. Mai 1972 führte NASA-Forschungspilot Gary Krier den ersten Flug eines digitalen Fly-by-Wire-Flugzeugs ohne mechanische Rückfalloption durch. Das F-8C-Crusader-Versuchsflugzeug verwendete ein für die Luftfahrt adaptiertes Apollo-Primärleit-, Navigations- und Kontrollsystem[s]. Dieser Flug bestätigte das Kernprinzip der digitalen Fly-by-Wire-Steuerung: dass elektronische Signalverarbeitung und computergestützte Steuerung direkte mechanische Verbindungen in sicherheitskritischen Luft- und Raumfahrtanwendungen ersetzen können.
Architektur moderner Fly-by-Wire-Systeme
Moderne Fly-by-Wire-Systeme verwenden mehrere redundante digitale Flugsteuerungscomputer, die Piloteneingaben von Wandlern an der Steuersäule oder am Seitensteuerknüppel verarbeiten. Diese Computer führen Steuergesetze aus, Algorithmen, die Pilotenbefehle unter Berücksichtigung aktueller Flugbedingungen, Flugzeugkonfiguration und Schutzgrenzen in Aktuatorausschlagbefehle umwandeln.
Das F-8-Programm zeigte, dass Fly-by-Wire-Systeme erhebliche Vorteile bieten können: reduziertes Systemgewicht durch Eliminierung mechanischer Komponenten, verringerte Wartungsanforderungen und die Möglichkeit, fortgeschrittene Steuergesetze zu implementieren, die mit hydromechanischen Systemen unmöglich wären[s].
Entscheidend ist, dass die digitale Fly-by-Wire-Steuerung eine gelockerte statische Stabilität ermöglicht. Je aerodynamisch instabiler ein Flugzeug ist, desto manövrierfähiger kann es sein. Ein Computer, der die Fluglage mit hoher Frequenz überwacht, kann Instabilität kompensieren, die menschliche Reaktionszeiten überfordern würde[s]. Die F-16, eines der ersten Serienflugzeuge mit Fly-by-Wire, nutzt dieses Prinzip für überlegene Kampfleistung.
Steuergesetze und Flugumhüllungsschutz
Der Airbus A320, eingeführt 1988, war das erste Verkehrsflugzeug mit vollständigem Flugumhüllungsschutz, integriert in seine Steuergesetze[s]. Bernard Ziegler, Airbus‘ Senior Vice President für Ingenieurwesen, trieb diese Entwicklung voran[s].
Airbus-Fly-by-Wire-Systeme implementieren mehrere Schutzmodi in ihrer „Normalgesetz“-Konfiguration[s]:
- Hochanstellwinkel-Schutz: Begrenzt Nickbefehle zur Verhinderung eines aerodynamischen Strömungsabrisses
- Hochgeschwindigkeitsschutz: Verhindert Übergeschwindigkeit, die zu Steuerungsschwierigkeiten oder Strukturschäden führen könnte
- Nicklageschutz: Schränkt den Nickwinkel ein, um übermäßig steile Steigeflüge oder Sinkflüge zu verhindern
- Querneigungsschutz: Begrenzt Rollwinkel und -rate zur Verhinderung übermäßiger Querneigung oder Rückenlage
- Lastvielfachschutz: Hält die Vertikalbeschleunigung innerhalb der Strukturgrenzen
- Alpha-Floor-Schutz: Erhöht automatisch den Schub, wenn Zustände geringer Energie erkannt werden
Diese Schutzfunktionen wirken als „harte Grenzen“ im Normalgesetz. Der Pilot kann sie nicht übersteuern, ohne dass das System auf Ausweich- oder Direktgesetz degradiert, was typischerweise mehrfache Systemausfälle erfordert[s].
Boeing gegen Airbus: Weiche Grenzen versus harte Grenzen
Boeings Fly-by-Wire-Implementierung beim 777 spiegelt eine andere Philosophie wider. Boeings erklärte Position: „Der Pilot ist die letzte Autorität für den Betrieb des Flugzeugs“[s]. Die Fly-by-Wire-Systeme des 777 liefern taktiles Feedback und erhöhte Steuerungskraftgradienten, wenn sich das Flugzeug den Umhüllungsgrenzen nähert, aber Piloten können diese „weichen Grenzen“ durch Anwendung ausreichender Kraft übersteuern[s].
Diese Konstruktionsentscheidung bewahrt die Kontinuität mit den Flugeigenschaften älterer Boeing-Flugzeuge und vereinfacht Crew-Übergänge innerhalb der Flotte. Sie spiegelt auch die Überzeugung wider, dass unvorhergesehene Notfälle das Überschreiten normaler Flugumhüllungsgrenzen erfordern können.
Der China-Airlines-Flug-006-Vorfall von 1985 veranschaulicht das Argument für Übersteuerungsmöglichkeiten. Die Boeing 747SP-09 geriet nach einem Triebwerksausfall und unsachgemäßer Handhabung in einen unkontrollierten Sinkflug. Die Erholung erforderte einen geschätzten Lastfaktor von 5,5G, mehr als das Doppelte der Auslegungsgrenze des Flugzeugs[s]. Ein Fly-by-Wire-System mit harten Grenzen hätte dieses Manöver verhindert.
Systemausfallmodi
Fly-by-Wire-Systeme führen Ausfallmodi ein, die in mechanischen Systemen nicht existieren. Der Air-France-Unfall 447 demonstrierte die Folgen, als vereiste Pitot-Sonden inkonsistente Geschwindigkeitsdaten lieferten. Die Flugsteuerungscomputer, unfähig, die widersprüchlichen Eingaben in Einklang zu bringen, degradierten vom Normalgesetz auf das Ausweichgesetz und entfernten den Überziehschutz. Die Besatzung, mit Kaskadenausfällen und fehlerhaften Geschwindigkeitsanzeigen konfrontiert, tätigte Nickoben-Eingaben, die einen aerodynamischen Strömungsabriss induzierten, von dem sie sich nicht mehr erholten[s].
Die Boeing-737-MAX-MCAS-Ausfälle 2018 und 2019 enthüllten einen anderen Ausfallmodus. Das Maneuvering Characteristics Augmentation System, das die Längsstabilität bei hohen Anstellwinkeln verbessern und keinen vollständigen Hüllenschutz bieten sollte, empfing fehlerhafte Anstellwinkeldaten und befahl wiederholt Bugabwärts-Trimmung. Die Autorität und Persistenz des Systems überforderte die Fähigkeit der Piloten, es zu kontern, was zu zwei Abstürzen und 346 Todesopfern führte[s].
Redundanz und Zuverlässigkeit
Um akzeptable Zuverlässigkeit in Fly-by-Wire-Systemen zu erreichen, ist umfangreiche Redundanz erforderlich. Das NASA-F-8-Phase-II-Programm entwickelte ein dreifach digitales System mit Fehlererkennungs- und Isolierungsfähigkeiten[s]. Moderne kommerzielle Fly-by-Wire-Systeme verwenden typischerweise mehrere redundante Computer, Sensoren und Aktuatoren mit Abstimmungslogik zur Erkennung und Isolierung ausgefallener Komponenten.
Das Space Shuttle verwendete eine vierfach redundante Architektur mit vier parallel betriebenen IBM-AP-101-Computern. Das F-8-DFBW-Programm trug direkt zur Entwicklung der Shuttle-Flugsteuerung bei, identifizierte Hardwareprobleme und half, Piloten-induzierte Schwingungsprobleme zu lösen, die beim Enterprise-Testing entdeckt worden waren[s].
54 Jahre Entwicklung
Von Kriers Testflug 1972 bis zu modernen Fly-by-Wire-Systemen hat die Technologie erhebliche Reife erlangt. Die F-16 bewies die Fly-by-Wire-Tauglichkeit für Serienkampfflugzeuge; die F/A-18 Hornet wurde 1978 zum ersten Serienflugzeug mit digitaler statt analoger Fly-by-Wire-Steuerung[s]. Die Technologie hat Flugzeugkonstruktionen ermöglicht, die mit mechanischen Steuerungen unmöglich wären, darunter den aerodynamisch instabilen B-2-Bomber und das Space Shuttle[s].
Airbus berichtet von einer 89-prozentigen Reduzierung von Kontrollverlust-im-Flug-Unfällen bei Flugzeugen mit vollständigem Flugumhüllungsschutz[s]. Diese Statistik spricht stark für den Ansatz mit harten Grenzen. Dennoch besteht die grundlegende Konstruktionsspannung fort: das System, das Pilotenfehler verhindert, könnte auch heroische Pilotenleistungen verhindern. Beide Möglichkeiten sind real. Die Debatte darüber, wer die letzte Autorität haben sollte, Mensch oder Computer, bleibt die folgenreichste offene Frage der Luftfahrt.
