Fehlfunktion des Fuel Quantity Information System (FQIS)

Bei der Inspektion vor dem Flug durch einen Techniker wurde erkannt, dass das System zur Treibstoffmengenanzeige dunkel war, also keine Anzeige lieferte, und auch keine entsprechenden Werte an die vorderen, zentralen, elektronischen Cockpitinstrumente für die Piloten lieferte. Aus der Erfahrung des Technikers mit einem vorherigen Fehler dieser Art konnte durch die Abschaltung eines der beiden vorhandenen Kanäle per Sicherungskasten die Funktion im anderen Kanal vorläufig wiederhergestellt werden. Die Sicherung wurde entsprechend mit einer Markierung bzw. Abdeckung versehen, die auf ihre absichtliche Deaktivierung hinwies. Ein entsprechender Eintrag im Protokoll wurde gemacht. Die Einheit hätte im Idealfall sofort getauscht werden können, doch zum einen war genau dieses Teil bei Air Canada nicht mehr auf Lager, und zum anderen wurde der Techniker aus dem Cockpit abberufen, um die Kraftstoffmengenbestimmung per Messstab bzw. die weitere Betankung im Außenbereich zu unterstützen.

Später kam ein anderer Techniker ins Cockpit, der den Zustand nochmals überprüfte, die Sicherung wieder aktivierte und danach den Dunkelzustand erkannte. Er zog die Sicherung aber nicht wieder heraus, so dass er damit die zuvor kurzzeitig einseitig funktionierende Einheit aufs Neue vollständig funktionsunfähig machte.

Bei der späteren Prüfung des Protokolls durch den Kapitän war zum einen aus dem Eintrag für das FQIS nicht unmittelbar ersichtlich, dass bei dessen Erstellung eine reduzierte Funktion wiederhergestellt worden war, so dass das Problem als weniger kritisch notiert war, und zum anderen nahm der Kapitän an, dass der Fehler schon auf dem Flug davor vorlag und sich somit keine schwerwiegenden Auswirkungen auf die Flugaufgabe gezeigt hatten. Die allgemeinen Anweisungen zur Flugfähigkeit besagten zwar, dass, wie gegeben, ein Flug ohne das FQIS nicht zulässig ist, jedoch wurde die Protokoll-Eintragung als Aufhebung dieser Handbuchmaßgabe verstanden – diese bezog sich jedoch auf einen zuvor erreichten, aber zwischenzeitlich unbemerkt wieder verloren gegangenen Funktionszustand. Dem Piloten war es weiterhin nicht möglich, ohne weitere Aktion den Zustand der abgedeckten Sicherung nachzuvollziehen, wobei nicht sicher ist, ob eine aktive, aber abgedeckte Sicherung für ihn hätte ungewöhnlich erscheinen müssen.

Die Boeing war weiterhin nur mit zwei Piloten im Cockpit im regulären Einsatz vorgesehen. Der vormals zur Besatzung gehörende und ebenfalls im Cockpit sitzende Flugingenieur war nicht mehr vorhanden. Auf diese Weise waren auch gewisse Ausnahmetätigkeiten, wie etwa die manuelle Bestimmung und die Berechnung der Nachtank-Kraftstoffmenge von dieser Person auf die Piloten sowie auf externe Personen übertragen worden.

Fehlberechnung der benötigten Kerosinmenge

Hinweis: Die nachstehenden Informationen basieren auf unterschiedlichen Quellen bzw. Analysen. Die zugehörigen Zahlen zum Treibstoff sind deshalb nicht vollständig konsistent zueinander bzw. alternative Ansichten hierzu sind jeweils in Klammern angegeben.

Als Quasi-Fakten des Tankvorgangs wurden rekonstruiert:

• Es befanden sich vor dem Tankvorgang insgesamt 7.682 Liter in den Tanks.
• Die Piloten bestimmten eine für die geplanten Flüge erforderliche Treibstoffmenge von 22.300 (20.400) kg. Hierbei ist die Angabe der Menge in Kilogramm üblich, da der Brennwert und damit die Antriebsleistung der Triebwerke von dieser Größe abhängt. (Die Umrechnung zwischen Kilogramm und Litern erfordert in beiden Richtungen für exaktere Berechnungen als Hilfsgröße die Temperatur des Treibstoffs. Ein solcher Umrechnungsfaktor wird deshalb in der Praxis gerne aus einer entsprechenden Tabelle abgelesen. Ob bzw. wie die Piloten hierbei vorgingen, ist im nachfolgenden Text derzeit nicht eingearbeitet.)
• Die Piloten berechneten aus den obigen beiden Angaben eine Menge an Treibstoff, die es nachzutanken galt.
• Die Maschine wurde vom Bodenpersonal gemäß den Angaben der Piloten nachgetankt.
• Laut Messstab befanden sich nach dem Tankvorgang insgesamt 12.589 (11.525) Liter in den Tanks.

Der Fehler trat schließlich mehrfach bei der Umrechnung von Volumen in Masse bzw. umgekehrt auf. Der Flugzeugtyp war der erste in der Flotte von Air Canada, welcher die Treibstoffmenge in Kilogramm anzeigte, während in allen anderen Flugzeugen und Handbüchern noch mit der anglo-amerikanischen Masseeinheit Pfund (lbs) gerechnet wurde. Aus Gewohnheit verwendeten die Beteiligten jedoch fälschlicherweise den Umrechnungsfaktor von 1,77 lb/l, obwohl als Umrechnungsfaktor richtigerweise 0,803 kg/l (0,8 kg/l) hätte verwendet werden müssen. So kam man wiederholt auf ein Ergebnis, das grob der gewünschten Treibstoffmenge gleichkam, jedoch nicht der wahren Menge entsprach, ohne es zu bemerken.

Die aus dem Tankinhalt errechnete Zahl von (12.589 l * 1,77 lb/l = 22.283 lb) 20.400 lb wurde wie vorgegeben ohne Einheitsangabe in den Bordcomputer eingegeben. Dieser interpretierte die Eingabe als kg und errechnete daraus, dass der Tankinhalt bis zum Zielflughafen ausreichen würde. Tatsächlich waren jedoch nur (12.589 l * 0,803 kg/l = 10.109 kg) 9.144 kg Treibstoff in den Tanks, etwas weniger als die Hälfte der benötigten Menge.

Kapitän und Copilot hatten Bedenken wegen der Berechnungen und rechneten sie mehrmals nach. Der falsche Umrechnungsfaktor fiel ihnen jedoch nicht auf, so dass sie immer wieder zu dem gleichen Ergebnis kamen. Schließlich entschied sich der Kapitän mit den Worten That's it, we're going (Das reicht jetzt, wir starten) zum Start.

Der Flugplan sah zunächst eine Zwischenlandung im nicht weit entfernten Ottawa vor. Dort wurde der Bord-Computer außer Spannung gesetzt, so dass er seinen Wert für den Treibstoff verlor. Deshalb wurde erneut die Kraftstoffmenge gemessen und hernach in das Gerät eingegeben, kurz bevor man wieder in Richtung Edmonton abhob.

Flug ohne Treibstoff

In einer Flughöhe von 41.000 Fuß (etwa 12.500 m) über Red Lake in Ontario zeigte das Cockpit-Warnsystem durch vier Warntöne ein Problem mit dem Treibstoffdruck im Tank der linken Tragfläche an. Kapitän und Copilot gingen davon aus, dass eine Treibstoffpumpe gestört war, und schalteten diese ab. Da sich die Tanks oberhalb der Triebwerke befinden, fließt der Treibstoff auch durch sein Eigengewicht in das Triebwerk, so dass der Ausfall einer Pumpe nicht gravierend ist.

Zu diesem Zeitpunkt zeigte der Bordcomputer noch eine ausreichende Kerosinmenge an. Diese Angabe basierte allerdings immer noch auf der erwähnten Fehleingabe.

Wenige Momente später kam ein zweiter Alarm wegen Druckproblemen im Treibstoffsystem. Die Piloten entschlossen sich daraufhin, den Flug abzubrechen und in Winnipeg zu landen. Kurz darauf stand das linke Triebwerk aufgrund des Kraftstoffmangels still, so dass die Piloten sich auf eine Landung mit nur einem Triebwerk vorbereiteten.

Während man noch versuchte, Treibstoff vom rechten in den linken Tank zu pumpen, um das linke Triebwerk wieder starten zu können, und die Fluglotsen im Tower in Winnipeg über die bevorstehende Notlandung informierte, kam überraschend auch das rechte Triebwerk zum Stillstand, wodurch die gesamte Stromversorgung zusammenbrach. In der plötzlichen Stille des Cockpits zeichnete der (batteriebetriebene) Cockpit Voice Recorder den Kraftausdruck „Oh fuck“ sehr deutlich auf.

Bei vollständigem Stromausfall werden die unverzichtbaren hydraulischen Systeme, ohne die ein Flugzeug dieser Größe nicht mehr steuerbar wäre, von einer automatisch ausklappenden Ram-Air-Turbine mit hydraulischem Druck versorgt. Dazu gehört auch ein Notstromgenerator, der jedoch nicht für die komplette Elektrik ausreicht. Da die 767 mit einem Electronic Flight Instrument System (EFIS) ausgestattet und daher für vollständige Kontrolle auf Elektrizität angewiesen ist, verblieb der Crew nach dem Stromausfall nur noch ein kleiner Teil mechanischer bzw. batteriebetriebener Instrumente. Eines der ausgefallenen Instrumente war das Variometer, das die Sinkrate anzeigt, so dass der Crew zunächst nicht klar war, wie weit sie im Gleitflug kommen würden. Die eigentliche Landung ist allein mit den mechanischen Grundinstrumenten immer noch möglich.

Entsprechend dem neuen Flugplan nach Winnipeg hatte die Boeing bereits die Reiseflughöhe verlassen und war auf 28.000 Fuß gesunken, als der Treibstoff ausging.

Da es im Handbuch keinerlei Angaben darüber gab, wie das Flugzeug ganz ohne Triebwerke zu fliegen sei, und dieser Zustand auch bei der Ausbildung im Flugsimulator nicht behandelt worden war, steuerte der Kapitän den Gleitwinkel so, dass sich eine Geschwindigkeit von 220 Knoten (407 km/h) ergab. Er schätzte, bei dieser Geschwindigkeit den flachsten Gleitwinkel und damit die größte Reichweite zu haben.

Der Copilot versuchte derweil zu berechnen, ob die Höhe noch für einen Gleitflug bis nach Winnipeg reichen würde. Dazu benutzte er die Angaben des mechanischen Höhenmessers, während gleichzeitig die zurückgelegte Strecke per Radar ermittelt und über Funk vom Fluglotsen durchgegeben wurde. Wie sich herausstellte, verlor die Boeing 5000 Fuß (1524 m) Höhe auf etwa 10 nautischen Meilen (18.520 m) Strecke, was einem Gleitverhältnis von etwa 1:12 entspricht. Damit war klar, dass man es nicht bis Winnipeg schaffen würde.

Landung in Gimli

Der Copilot, ein ehemaliger Militärpilot der Royal Canadian Air Force, empfahl daraufhin seinen ehemaligen, 12 Meilen entfernten Stützpunkt in Gimli als Notlandeplatz, der seines Wissens über zwei parallele Landebahnen verfügte, von denen die südwestliche (32L) die breitere und vorrangig benutzte war. Weder er noch der Fluglotse in Winnipeg wussten, dass der Flughafen in Gimli mittlerweile in einen öffentlichen Flugplatz umgewandelt worden war. Gerade die Piste 32L war dabei außer Dienst gestellt und teilweise mit Leitplanken in mehrere einzelne Bahnen für Dragster- und andere Autorennen aufgeteilt worden. An diesem Tag fand dort ein großes Familienfest eines Motorsportvereins mit Go-Kart-Rennen statt, so dass dieser Teil der ehemaligen Landebahn von Publikum, Go-Karts, Fahrzeugen und Wohnwagen dicht bevölkert war.

Beim Anflug musste das Fahrwerk ohne hydraulische Unterstützung nur durch sein Eigengewicht ausgefahren werden (Gravity-Drop). Die Hauptfahrwerke rasteten ein, das Bugfahrwerk nicht. Der Luftwiderstand des ausgefahrenen Fahrwerks reduzierte die Leistung der Ram-Air-Turbine und damit den Druck in der Hydraulik, so dass die Steuerung zunehmend schwerer zu bedienen war.

Als sich darauf zeigte, dass das Flugzeug noch zu viel Höhe hatte und über die Landebahn hinausschießen würde, leitete der Kapitän als erfahrener Segelflieger einen Seitengleitflug ein. Dieses im Segelflug übliche Manöver ermöglicht ein kontrolliertes starkes Sinken ohne Geschwindigkeitszunahme. Bei Verkehrsflugzeugen ist es technisch auch möglich, aber sehr ungewöhnlich, weil das Flugzeug dabei im Geradeausflug eine starke Querneigung einnimmt und sich bei den Passagieren das unangenehme Gefühl einstellt, zur Seite zu fallen, obwohl es sich um einen stabilen, sicheren und steuerbaren Flugzustand handelt.

Die starke Schräglage hatte zur Folge, dass die Ram-Air-Turbine nun nochmals deutlich weniger Leistung lieferte, da sie nicht mehr frontal angeströmt wurde. Die Steuerung wurde damit an einem kritischen Punkt sehr schwierig: Ein Seitengleitflug muss rechtzeitig vor dem Aufsetzen wieder normalisiert (ausgeleitet) werden, damit das Flugzeug in gerader Richtung aufsetzt. Es war nicht sicher, ob das Ausleiten mit so wenig Hydraulikunterstützung überhaupt möglich wäre.

Das Ausleiten gelang im letzten Moment vor dem Aufsetzen. Die üblichen Anflughilfen (wie Landeklappen) standen infolge des Stromausfalls nicht zur Verfügung, so dass die Anfluggeschwindigkeit deutlich höher war als normal, was die Landung zusätzlich erschwerte.

Erst aus geringer Entfernung konnte die Besatzung die Situation auf der unbrauchbaren Landebahn erkennen, aber da war es schon zu spät für ein Ausweichen auf die Parallelbahn. Es gab nur noch die eine Chance, auf dem existierenden Landebahnrest eine Landung zu versuchen, während die Personen am Boden, die das geräuscharm anfliegende Flugzeug erst spät wahrnahmen, von der Bahn flüchteten.

Sofort nach dem Aufsetzen wurde als Reaktion auf die teilblockierte Bahn statt einer normalen Bremsung eine Vollbremsung eingeleitet, bei der zwei Reifen platzten. Das Bugrad war während der Landung mangels Verriegelung eingeknickt, so dass die Nase auf der Landebahn entlang schleifte und so ebenfalls einen gewissen Beitrag zur Abbremsung leistete. Die Schubumkehr als Bremshilfe stand wegen des Triebwerkausfalls nicht zur Verfügung – Das Flugzeug kam weniger als 30 Meter vor der Veranstaltungszone zum Stillstand.

Keiner der Passagiere wurde bei der Landung verletzt. Lediglich bei der Evakuierung des Flugzeugs über die Notrutschen kam es zu einigen leichten Blessuren, da das Heck wegen des eingeklappten Bugfahrwerks höher als üblich über dem Boden war und daher diese Rutsche steiler war. Ein kleineres Feuer am Bugfahrwerk konnte von heraneilenden Teilnehmern und Streckenposten sofort unter Kontrolle gebracht werden. Die wenigen Verletzten wurden vor Ort erstversorgt.

Mechaniker, die vom Flughafen Winnipeg nach Gimli geschickt wurden, blieben bei der Anfahrt ironischerweise ebenfalls wegen Treibstoffmangel liegen und mussten von einem anderen Fahrzeug der Gesellschaft abgeholt werden.