Die Erneuerung der Cockpittür

Was Germanwings 2015 mit 9/11 zu tun hat

Am 24. März 2015 stürzte ein Airbus A320-211 der Fluglinie Germanwings auf dem Flug von Barcelona nach Düsseldorf nahe des Dorfs Prads-Haute-Bléone in den französischen Alpen ab. FDR und CVR des Flugzeugs konnten inerhalb von wenigen Tagen nach dem Unglück geborgen werden. Die Untersuchungen ergaben, dass der Co-Pilot, nachdem der Pilot das Cockpit verlassen hatte, das Flugzeug gezielt in die Felswand lenkte, vgl. den vorläufigen Bericht der französischen Flugunfalluntersuchungsbehörde, S. 7ff.

At 9 h 30 min 08, the Captain told the co-pilot that he was leaving the cockpit and asked him to take over radio communications, which the co-pilot read back.
[...]
At 9 h 30 min 24 (point 3), noises of the opening then, three seconds later, the closing  of the cockpit door were recorded. The Captain was then out of the cockpit.

Ab vier Minuten nach Verlassen des Cockpits versucht der Kapitän mit immer verzweifelteren Methoden, sich wieder Zugang zum Cockpit zu verschaffen:

At 9 h 34 min 31 (point 7), the buzzer to request access to the cockpit was recorded for one second.
[...]
the cockpit call signal from the cabin, known as the cabin call, from the cabin interphone, was recorded on four occasions between 9 h 35 min 04 and 9 h 39  min 27 for about three seconds;
[...]
noises similar to a person knocking on the cockpit door were recorded on six occasions between 9 h 35 min 32 (point9) and 9 h 39 min 02;
muffled voices were heard several times between 9 h 37 min 11 and 9 h 40 min  48, and at 9 h 37 min 13 a muffled voice asks for the door to be opened;
[...]
noises similar to violent blows on the cockpit door were recorded on five occasions between 9 h 39 min 30 (point 11) and 9 h 40 min 28

Doch es war vergeblich. Um 09:41 Uhr endet der Flug tödlich für alle 144 Passagiere und sechs Mitglieder der Crew, darunter der suizidale Co-Pilot.

At 9 h 40 min 41 (point), the ‘‘Terrain, Terrain, Pull Up, Pull Up’’ aural warning from the GPWS triggered and remained active until the end of the flight.
At 9 h 40 min 56, the Master Caution warning was recorded, then at 9 h 41 min 00 the Master Warning triggered and remained active until the end of the flight.
At 9 h 41 min 06, the CVR recording stopped at the moment of the collision with the terrain.

Die verstärkte Tür zum Cockpit und ein diffiziles Schließsystem (vgl. den BEA-Report, S. 15f.) machten es dem Piloten unmöglich, Zugang zum Cockpit zu erhalten. Es mutet wie bittere Ironie an, dass genau diese Maßnahmen Reaktionen auf 9/11 waren:

Following the 11 September 2001 attacks, several measures were introduced to mitigate the risk of unwanted persons entering the cockpit. Secure cockpit door locking was rapidly mandated at international  and European level, and rules were subsequently fine-tuned to address the risks in the areas of rapid aircraft depressurisation, double pilot incapacitation, post-crash cockpit access, and door system failure including manual lock use. The vast majority of passenger transport aircraft are compliant to the current set of regulations. The focus for all the measures that were introduced was put on the threat from outside of the cockpit. A  potential threat from inside the cockpit was not fully considered in either the initial phase or the period that followed, when the regulations were fine-tuned.
(Report der Germanwings Task Force der European Aviation Safety Agency, S. 6)

Die schwache Cockpittür und das Fehlen eines derartigen Schließsystems hatten den Entführern 9/11 wenig Widerstand geboten und es ihnen ermöglicht, schnell gewaltsam oder schnell per Schlüssel ins Cockpit zu gelangen.

Second, the fact that all flight attendants carried keys to the cockpit meant that all the hijackers had to do was attack the flight attendant in the first class section and claim her key. [...] Fourth, the weak cockpit door made it possible for hijackers to gain access by simply knocking down the door. It would have take only about 150 pounds of pressure to break down the door.
(Atkins, How the Hijackers, S. 91)

Veränderungen nach 9/11

Verstärkung der Cockpittür

Die Verstärkung der Cockpittür gegen einen Angriff von außen wurde bereits vor 9/11 im Zusammenhang mit Vorkommnissen sog. crew interference (“air rage”) diskutiert (vgl. Thomas, Soft Landing, S. 92ff.). Vor 9/11 gab es jedoch trotz dieser Vorfälle für Entscheider auf Administrationsebene wenig Anlass, davon auszugehen, dass ein Flugzeugentführer ein Interesse daran haben könnte, den Piloten des Flugzeugs Gewalt anzutun. Deshalb überwogen damals andere Aspekte (meine Herv.):

FAA regulations call for a frangible cockpit door, meaning it must be able to break from its frame and prevent pilots from becoming trapped inside. But many times, a door is not enough to protect pilots or airplane controls from an enraged passenger, aviation officials said.
(Bryan Okada, Air Rage prompts Call for Safety Measures, Januar 2001)

Since Sept. 11, the FAA has been able to change the rules regarding cockpit security as well. Previous security analysis had been focused on explosives, a case of “still fighting the last battle,” Leitch observed. The possibility of a bomb made pilots want to be able to get out of the cockpit easily. Another consideration in not separating the compartments was cabin pressurization. Different pressures in different areas could cause an airplane to break apart, “which was the reason we had weak cockpit doors,” Leitch said.
(Vortrag von FAA Chief Counsel David Leitch, Februar 2002)

Die Veränderungen nach 9/11 verliefen in mehreren Schritten. Kurz nach 9/11 unternahm die FAA in Eigeneinitiative erste provisorische Verstärkungen an Cockpittüren.

On Oct. 9, 2001, the FAA published the first of a series of Special Federal Aviation Regulations (SFARs) to expedite the modification of cockpit doors in the U.S. fleet. This “Phase I” fix included installation of steel bars and locking devices.
(FAA Fact Sheet, 5. September 2002)

Zwei Monate nach 9/11 verabschiedete der US-Senat den Aviation and Transportation Security Act (ATSA), der die FAA beauftragte, in zwei Phasen die Sicherheit auf Flugzeugen zu verbessern. Eine der Aufforderungen war es, “[to] fortify cockpit doors to deny access from the cabin to the pilots in the cockpit” (ATSA, S. 32). Die Aufforderung war nötig, denn trotz der erhöhten Sicherheitsvorkehrungen nach 9/11 gelang es im ersten halben Jahr nach 9/11 zu sieben Gelegenheiten Passagieren, unberechtigt ins Cockpit einzudringen (vgl. Thomas, Soft Landing, S. 94f.).
Im April 2003 waren die Anforderungen des ATSA umgesetzt:

The FAA announced that more than 10,000 aircraft serving the United States are now equipped with new, hardened cockpit doors, making air travel safer for [cockpit crews]. FAA Administrator Marion C. Blakey said that the airlines met Wednesday’s deadline to install doors that stop intruders and small-arms fire because of the extraordinary cooperation between the FAA and the door and airplane manufacturers.
(Pressemitteilung der FAA, 10. April 2003)

Der 9/11 CR, S. 85, fasst den Komplex der Cockpittüren wie folgt zusammen:

The final layer, security on board commercial aircraft, was not designed to counter suicide hijackings. The FAA-approved “Common Strategy” had been elaborated over decades of experience with scores of hijackings, beginning in the 1960s. It taught flight crews that the best way to deal with hijackers was to accommodate their demands, get the plane to land safely, and then let law enforcement or the military handle the situation. According to the FAA, the record had shown that the longer a hijacking persisted, the more likely it was to end peacefully. The strategy operated on the fundamental assumption that hijackers issue negotiable demands (most often for asylum or the release of prisoners) and that, as one FAA official put it, “suicide wasn’t in the game plan” of hijackers. FAA training material provided no guidance for flight crews should violence occur.
This prevailing Common Strategy of cooperation and nonconfrontation meant that even a hardened cockpit door would have made little difference in a hijacking. As the chairman of the Security Committee of the Air Line Pilots Association observed when proposals were made in early 2001 to install reinforced cockpit doors in commercial aircraft, “Even if you make a vault out of the door, if they have a noose around my flight attendant’s neck, I’m going to open the door.” Prior to 9/11, FAA regulations mandated that cockpit doors permit ready access into and out of the cockpit in the event of an emergency. Even so, rules implemented in the 1960s required air crews to keep the cockpit door closed and locked in flight. This requirement was not always observed or vigorously enforced.

Änderung des Schließsystems

Nach FAA Order 8400.10 vom 7. Januar 1997 trugen Crewmitglieder eines Passagierflugzeugs einen Schlüssel zum Cockpit bei sich. Die Entscheidung begründete die FAA seinerzeit mit einer Empfehlung des NTSB (zit. n. Thomas, Soft Landing, S. 92):

Because of the need for a flight attendant to retrieve a cockpit key from its assigned storage area before being able to unlock the cockpit door, the Safety Board is concerned that having only one cockpit key available and stored in a prearranged area may not allow a key to be readily accessible to all flight attendants in an emergency.

Dies traf 9/11 auf alle Angestellten von American Airlines zu, wie leitende Mitarbeiter bestätigen.

With respect to keys to the cockpit, the AA flight standards manual calls for flight crewmembers to guard their key carefully. However, one key did fit everything, from the refrigerator to the cockpit and in practice, it was never an issue; every flight attendant had two keys that opened everything. (AA Craig Marquis MFR, S. 7)

Woodward confirmed that every flight attendant on board was issued two keys: a jet bridge key that gets them through all of the jet bridge gates throughout the system except for Chicago, and a cockpit key which, prior to 9-11, opened all cockpit doors and also opened the cabinets for emergency equipment like the defibrillator and the enhanced medical kit. Flight attendants carried the keys on their person. (AA Michael Woodward MFR, S. 3)

Aus den Befragungen des FBI von Angestellten bei United geht hervor, dass auch einige Flugbegleiter bei United den Schlüssel um den Hals trugen (vgl. Summers/Swan, The Eleventh Day, S. 461). Die Regel war aber, dass auf United-Flügen die Schlüssel im vorderen Flugzeugbereich aufbewahrt wurden:

United flight attendants, unlike those at American, did not carry cockpit keys. Instead, such keys were stowed in the cabin-on Flight 175, in the overhead bin above seats 1A and 1B in first class. See Don Dillman briefing (Nov. 18, 2003); Bob Jordan briefing (Nov. 20, 2003). (9/11 CR, Kap. 1, Fußn. 41)

Die Flugbegleiter von United Airlines trugen keinen Schlüssel bei sich, der im Notfall benutzt werden konnte. Ein Schlüssel lag immer im vorderen Teil eines jeden Flugzeugs, manchmal in der Kombüse, aber nicht immer am gleichen Platz. (Longmann, Todes-Flug UA 93, S. 21)

Von AA11 und UA 175 ist durch die Anrufe von Cremitgliedern und Passagieren bekannt, dass Flugbegleiter attackiert wurden. Auf dem CVR von UA 93 ist eine Flugbegleiterin im Cockpit bei den Attentätern zu hören. Der Grund dafür, dass die Attentäter diese für sie relativ ungefährlichen Personen angriffen, besteht wahrscheinlich in ihrem Besitz eines Cockpitschlüssels (vgl. Thomas, Soft Landing, S. 91; Atkins, How the Hijackers, S. 91; Woodward MFR, S. 3).

Nach 9/11 wurde das Schließsystem für die Cockpittür parallel zu ihrer Verstärkung geändert (Elias, Airport and Aviation Security, S. 236f., meine Herv.):

Provisions in ATSA (P.L. 107-71) prohibit access to the flight deck of passenger aircraft except by authorized persons. ATSA also required that flight deck doors and locks be strengthened and that these doors remain locked while the aircraft is in flight, except when necessary to permit access and egress by authorized persons. The FAA required interim modifications to flight deck doors and provided temporary regulatory relief from certain airworthiness standards to quickly improve the intrusion resistance of the flight deck. These short-term measures principally consisted of door modifications for stronger internal locking devices that can only be unlocked from inside the flight deck and reinforced bars to hinder any attempted forced entry into the cockpit.

Genau dieses Prinzip, nach dem eine Tür nur durch den oder die Piloten im Cockpit geöffnet werden konnte, zeigte seine Kehrseite am 24. März 2015, als die Gefahr nicht von außerhalb, sondern innerhalb des Cockpits kam. Eine indirekte und bittere Folge von 9/11.

Fazit

Nach 9/11 gab es massive Änderungen im Bereich der Flugsicherheit an Flughäfen und an Bord von Flugzeugen. Die Veränderungen an Bord gehörten zu den frühesten dieser Änderungen und hier insbesondere die Verstärkung der Cockpittür und die Modifikation ihres Schließmechanismus. Das Thema Cockpittür zeigt exemplarisch, dass das System der Flugsicherung vor 9/11 reaktiv und nicht proaktiv funktionierte, nämlich (häufig) erst wenn das Kind in den Brunnen gefallen war:

[T]he culture of reactivity was present not only at the FAA but also throughout the entire civil aviation security system, including the air carriers, the airports, and the Congress. (Johnstone: 9/11, S. 26)

Ein reaktives System bedeutet nicht, dass eine Gefahr nicht antizipiert wird, sondern dass niemand bereit ist, in ihre Verhinderung Geld zu investieren. Die Gefahr, dass jemand ins Cockpit eindringen könnte, der nicht ins Cockpit gehört, wurde vor 9/11 durchaus wahrgenommen (s. die Fälle der “air rage”). Doch jede Erneuerung kostet Geld. Jede der neuen Cockpittüren nach 9/11 z.B. kostete FAA und US-Kongress zwischen 30.000 und 50.000 Dollar (vgl. Elias, Airport and Aviation Security, S. 263).
So kam es, dass erst nach der Katastrophe eine Maßnahme finanziert wurde, die dafür sorgte, dass in diesen Brunnen – aber auch nur in diesen – kein weiteres Kind fällt. Die Entscheidung, jedem Flugbegleiter einen Schlüssel zum Cockpit zu geben, wurde anno 1997 als Reaktion auf einen Unfall mit demselben guten Gewissen getroffen wie die Entscheidung, den Schlüssel durch eine vom Piloten kontrollierte Schließanlage zu ersetzen nach 9/11 getroffen wurde. Die Entscheidung, die Cockpittüren nicht zu verstärken, wurde vor 9/11 mit demselben guten Gewissen getroffen wie die Entscheidung nach 9/11, es doch zu tun. Die 1997 klug wirkende Entscheidung offenbarte 2001 ihre Kehrseite. Die 2001 klug wirkende Entscheidung offenbarte 2015 ihre Kehrseite.

Update, 20.03.2016:
Am 13. März 2016 veröffentlichte die französische Flugunfalluntersuchungsbehörde BEA ihren Abschlussbericht zur Germanwings-Katastrophe. Der Bericht bestätigt die Ergebnisse des vorläufigen Reports (s.o.) und enthält neben einer detallierten Krankheitsgeschichte des suizidalen Co-Piloten und entsprechenden Empfehlungen auch resignative Schlussfolgerungen zur Sicherung der Cockpittür (Zitate aus der englischen Übersetzung des Abschlussreports, S. 93f., meine Herv.).

The scenario of this accident and previous events identified during the investigation bring to light the threat within the cockpit, which current cockpit door systems and  procedures are not designed to address. A door cannot address a risk that could be present from both sides.
[...]
This “2-person in the cockpit” rule cannot fully mitigate the risk of suicide, although it is likely to make it more difficult. In addition, this rule may introduce new security risks by allowing an additional person inside the  flight deck. Consequently, the BEA acknowledges the potential safety benefits of the  “2-person  in  the  cockpit”  rule, although the security risks and training needs for the staff performing the tasks of that second person have to be carefully assessed.
[...]
The risk of illicit attacks in flight being considered more threatening than the scenario of this accident, the BEA has not issued any safety recommendation concerning the modification of cockpit door designs.

 

Literatur

Atkins, Steven: How the Hijackers on September 11 Approached American Aviation Security and Evaded it. In: Andrew R. Thomas (Ed.): Aviation Security Management. Volume 1. Westport: Prager Publishers 2008,  S. 77-97

Elias, Bartholomew: Airport and Aviation Security. U.S. Policy and Strategy in the Age of Global Terrorism. Boca Raton: CRC Press 2010

Johnstone, R. William: 9/11 and the Future of Transportation Security. Westport: Praeger Publishers 2006

Longman, Jere: Todes-Flug UA 93. München: Goldmann 2003

Summers, Anthony/Swan, Robbyn: The Eleventh Day. The Full Story of 9/11 and Osama Bin Laden. New York: Ballantine Books 2011

Thomas, Andrew R.: Aviation Insecurity. The new Challenges of Air Travel. Amherst: Prometheus Books 2003

Thomas, Andrew R.: Soft Landing: Airline Industry Strategy, Service, and Safety. New York: Apress 2011

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

*

Du kannst folgende HTML-Tags benutzen: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>