Die OceanGate Tragödie und warum es solide Engineering Prinzipien braucht
Am 18. Juni 2023 implodierte die sogenannte Titan, ein Tauchbot der Firma OceanGate und ihrem CEO Stockton Rush, während eines Tauchgangs zum Wrack der Titanic. Alle fünf Personen an Bord kamen dabei ums Leben.
Nach dem Unfall organisierte die US-Küstenwache (Coast Guard, CG) eine Reihe an öffentlichen Anhörungen mit Zeugen und Experten, die beunruhigende Probleme aufdeckten. Eine weitere Untersuchung wurde vom U.S. National Transportation Safety Board (NTSB) durchgeführt, das kürzlich seinen Abschlussbericht veröffentlichte, der sich stärker auf die technischen Aspekte des Vorfalls konzentriert.
Als ich mich kürzlich mit der OceatGate Rabbit Hole beschäftigte, wurde mir klar, dass mehrere Faktoren, die zur Tragödie führten, mit dem Fehlen solider ingenieurwissenschaftlicher Prinzipien zusammenhängen. Einige dieser Prinzipien, die mir auch dabei helfen qualitativ-hochwertige Software zu entwickeln, diskutierte ich bereits in einem meiner früheren Blogbeiträge. Wie ich im folgenden Artikel zeigen möchte, ist die OceanGate-Tragödie ein gutes Beispiel, warum solche Prinzipien essenziell sind.
Trade-offs und das Versagen des Druckkörpers
OceanGates CEO Stockton Rush, der Aerospace-Engineering an der Princeton University studiert hatte, war überzeugt, dass der Druckkörper der Titan – das wichtigste Bauteil eines Tauchboots – aus Carbonfaser bestehen sollte. Dieses Material spielte eine zentrale Rolle sowohl im Entwicklungsprozess als auch beim Kollaps des Tauchbots.
Grundsätzlich bietet Carbonfaster eine Reihe an Vorteilen, darunter eine hohe Festigkeit bei gleichzeitig geringer Dichte und niedrigem Gewicht. Für Tauchexpeditionen bedeutet das günstigere und einfachere Starts sowie Bergungen vom Mutterschiff. Außerdem reduziert ein leichter Druckkörper das notwendige Gegengewicht durch Auftriebsmaterialien, was mehr Platz für Passagiere schafft, die Gesamtverdrängung verringert und die Balance verbessert. Hinzu kommt, dass ein Carbonfaser-Druckkörper kostengünstiger hergestellt werden kann als gängige Alternativen wie Titan oder Stahl.
Diese Vorteile bringen jedoch erhebliche Trade-offs mit sich. Um diese zu verstehen, ist der Unterschied zwischen Zug- und Druckbelastung entscheidend – ein Konzept, das erklärt, warum Carbonfaser in der Luftfahrt weit verbreitet ist, bei Tiefseetauchbooten jedoch Probleme bereitet.
Eine Struktur kann auf zwei gegensätzliche Arten belastet werden: Zug (zieht das Material auseinander) und Druck (presst es zusammen). Bei Flugzeugen wird der Rumpf von innen unter Druck gesetzt, wodurch die Kabinenluft nach außen drückt und die Struktur dehnt. Hier ist Carbonfaser ideal, da sie besonders zugfest ist.
Bei Tauchbooten ist die Situation umgekehrt: In der Tiefe drückt das Wasser von außen auf den Rumpf und erzeugt Druckspannungen. Und der Druck in der Tiefe der Titanic ist extrem: Während auf Meereshöhe etwa 14,7 psi herrschen, beträgt der Druck in dieser Tiefe etwa 5.554,5 psi.
Unter solchen Bedingungen können Fasern mikroskopisch knicken, Schichten sich voneinander lösen und die Harzmatrix reißen. Zusätzlich kann sich der Schaden mit jedem Tauchgang ausbreiten, was die Lebensdauer des Druckkörpers begrenzt.
Metalle sind isotrop, das heißt, sie haben in alle Richtungen ähnliche Eigenschaften. Kohlefaser hingegen ist anisotrop: Sie ist entlang der Fasern stark, quer dazu jedoch schwach. Deshalb werden bei Tauchbooten üblicherweise Stahl oder Titan verwendet, die unter Druckbelastung zuverlässiger sind.
Ein weiterer Unterschied ist, dass Titan und Stahl duktil sind. Das heißt, sie verformen sich leicht oder zeigen lokale Schwächen, bevor sie versagen, was als Warnsignal dienen kann. Carbonfaser hingegen sind weniger duktil und versagen eher plötzlich durch Faserbruch, Delamination und Rissbildung. Kurz gesagt: Das Versagen von Metallen ist deutlich besser vorhersehbar als das von Kohlefaserverbunden.
Die Materialwahl erfordert – wie viele ingenieurtechnische Entscheidungen – die Berücksichtigung und Abwägung verschiedener Trade-offs. Überwiegen die Vorteile von Carbonfaser wirklich ihre Nachteile, insbesondere unter extremen Tiefseebedingungen?
Eine Carbonfaser-Hülle mag ein günstigeres, größeres und leichteres Tauchboot ermöglichen, allerdings ist die entscheidende Frage, ob dieser Vorteil das erhöhte Risiko der Komplexität und Unsicherheit wert ist.
Integratives Denken bei komplexen Systemen
Ein weiteres wichtiges Prinzip im Ingenieurswesen ist, dass komplexe Systeme integratives Denken erfordert. Bei Planung und Entwicklung eines Flugzeugs oder Tauchboots besteht die Herausforderung darin, verschiedene imperfekte Systeme so zu kombinieren, dass ein zuverlässiges Gesamtsystem entsteht.
Solche Fahrzeuge bestehen aus Materialien, mechanischen und hydraulischen Systemen, Elektronik, Software und mehr. Ingenieure müssen nicht nur verstehen, wie die einzelnen Subsysteme und Komponenten funktionieren, sondern auch, wie diese miteinander interagieren.
Die Anhörungen der U.S. Küstenwache zeigten, dass OceanGate genau hier versagte. Dave Dyer, leitender Ingenieur und Vertreter des Applied Physics Lab (APL) der University of Washington, erklärte in seinem Hearing, dass seine Organisation aufgrund unterschiedlicher Denkweisen aus dem Projekt ausgeschlossen wurde.
Konkret meinte Dyer: „Wenn man ein System hat, bewertet man es als Ganzes.“ Doch OceanGates ehemaliger Director of Engineering Tony Nissen wollte die Komponenten isoliert betrachten, etwa nur den Carbonfaser-Rumpf oder die Kuppel.
Komplexe Systeme müssen jedoch als Ganzes entwickelt und getestet werden. OceanGate ignorierte dieses Prinzip und testete Einzelteile, ohne das vollständige System ausreichend zu prüfen.
Finger weg von „Vibe Engineering“
Ein bekanntes Motto im Silicon Valley lautet: „Move fast and break things“ - eine Motte, welches das Innovationsbestreben der Tech-Industrie widerspiegelt. Laut diversen Aussagen von Zeugen war Stockton Rush diesem Motto sehr angetan. Doch in der Tauchbootindustrie kann dieses Denken tödlich sein.
Über Jahrzehnte haben Ingenieure Standards und Regeln entwickelt, die kumulatives Wissen und Erfahrung widerspiegeln und die Sicherheit kontinuierlich verbessert haben. Das heißt, dass Innovation nicht möglich oder wünschenswert wäre, allerdings müssen neue Materialien und Designs gründlich getestet werden.
Laut dem NTSB-Bericht fehlte bei OceanGate ein zentraler Prozess: der PDCA-Zyklus (Plan-Do-Check-Act). Dieser beschreibt einen iterativen Entwicklungsprozess aus Planung, Umsetzung, Überprüfung und Verbesserung. In der Do-Phase bauen Ingenieure Prototypen, führen Tests durch und sammeln Daten. In der anschließenden Check-Phase werden die Testergebnisse mit den Erwartungen verglichen.
In der Planungsphase definieren Ingenieure Faktoren wie Anforderungen, Risiken, Materialien, Performance-Indikatoren, Prüfmethoden und Teststrategien. In der Act-Phase wird das Design auf Grundlage der Erkenntnisse aus der Check-Phase verbessert, bevor der gesamte Zyklus erneut durchlaufen wird.
Der ehemalige Engineering Director von OceanGate, Tony Nissen, erklärte in seiner Aussage vor der Küstenwache, dass das Unternehmen nicht in der Lage war, auch nur einen Prototyp erfolgreich zu testen, bevor es zum vollmaßstäblichen Tauchboot überging. OceanGate baute und testete zwei Modelle des Carbonfaser-Druckkörpers im Maßstab 1:3 und beide implodierten früher als erhofft. Anstatt die Prototypenentwicklung fortzusetzen, bis ein Modell den erwarteten Druck zuverlässig aushalten konnte, übersprang das Unternehmen diesen Schritt und baute direkt den finalen Druckkörper, der später für die Tauchgänge zur Titanic verwendet wurde.
Darüber hinaus stellten sowohl der NTSB-Bericht als auch Zeugen bei den Anhörungen der Küstenwache fest, dass im Engineering-Prozess von OceanGate zusätzliche Methoden zur Risikobewertung fehlten, etwa eine fundierte Gefahrenanalyse (Hazard Analysis). OceanGate umging außerdem gängige Zertifizierungsverfahren, die im Wesentlichen eine unabhängige Prüfung des Designs, die Überwachung von Tests sowie eine externe Verifizierung durch qualifizierte Dritte gewährleisten – und die bei sicherheitskritischen Systemen normalerweise vorausgesetzt werden.
Das ist keine seriöse Ingenieursarbeit. Man opfert nicht die Sicherheit von Menschenleben zugunsten von Innovation, während man bewährte Entwicklungsprozesse, Standards, Regeln und externe Prüfverfahren ignoriert.
Die Rolle von Monitoring und Datenmodellen
Eine der wohl beunruhigendsten ingenieurtechnischen Entscheidungen von OceanGate war die Abhängigkeit von akustischen Sensoren, die Rissbildung in der Carbonfaser-Hülle überwachen und Echtzeitinformationen über den Zustand des Druckkörpers liefern sollten.
Dieser Ansatz bringt zahlreiche Probleme mit sich. Das offensichtlichste Problem ist, dass allein die Notwendigkeit eines solchen Systems darauf hindeuten sollte, dass das zugrunde liegende technische Konzept möglicherweise bereits fehlerhaft ist. Berichten zufolge zeichnete jeder Tauchgang der Titan Dutzende von akustischen Emissionssignalen auf und zeigte eine gelbe Warnung an, wenn die Anzahl 30 Risse überschritt, und eine rote Warnung bei mehr als 50. Wie der Abschlussbericht des NTSB zeigte, wurden diese Trefferzahlen jedoch nicht über mehrere Tauchgänge hinweg kumuliert, und Signale an der Oberfläche wurden überhaupt nicht berücksichtigt. Das Problem dabei ist, dass Carbonfaser-Druckkörper mit der Zeit degradieren.
Selbst wenn man kumulative Schäden berücksichtigt, stellt sich die Frage: Wie bestimmt man den Schwellenwert, ab dem der Druckkörper außer Betrieb genommen werden muss? Um einen verlässlichen Grenzwert festzulegen, müssten Ingenieure Dutzende, wenn nicht Hunderte von Kohlefaser-Druckkörpern, die mit demselben Verfahren und derselben zylindrischen Konstruktion hergestellt wurden, bis zur Implosion testen, Mittelwerte und Varianzen berechnen und zusätzlich eine großzügige Margin of Error einplanen.
OceanGate sammelte jedoch nicht genügend Daten aus früheren Druckkörpern, um einen solchen zuverlässigen Schwellenwert abzuleiten. Die vorhandenen Daten stammten nur von einer kleinen Anzahl früherer Druckkörper, die zudem mit unterschiedlichen Herstellungsverfahren gefertigt wurden. Angesichts der sehr kleinen Stichprobe und der inkonsistenten Produktionsprozesse war das Überwachungs- und Warnsystem von Anfang an unzuverlässig.
Abschließende Bemerkungen und Fazit
Der fehlerhafte Engineering-Prozess bei OceanGate war einer der Hauptfaktoren auf dem Weg zur Katastrophe. Allerdings erklären rein technische Fehler die Tragödie nicht vollständig. Es scheint, dass diese Fehler eng mit der Psychologie von Stockton Rush verknüpft waren.
In dieser Hinsicht gibt es auffällige Parallelen zum britischen Segler Donald Crowhurst, der 1968 mit einem unerprobten Boot am Golden Globe Race teilnahm und zunehmend zwischen Anspruch und Realität auseinanderdriftete. In beiden Fällen überwogen Image und Ehrgeiz gegenüber fundiertem technischem Urteilsvermögen. Stockton Rush ignorierte die Bedeutung grundlegender ingenieurwissenschaftlicher Prinzipien, wie etwa:
- Technische Abwägungen müssen richtig ausbalanciert werden. Leichtbau-Innovationen heben Materiallimitationen nicht auf.
- Komplexe Systeme müssen als Gesamtsystem geplant und getestet werden und erfordern einen integrativen Ansatz.
- Prototypen, Tests und Datenerhebung sind wesentliche Bestandteile solider Ingenieursarbeit und Innovation.
- Monitoring kann ein gutes Design nicht ersetzen, Sensoren sind kein Ersatz für strukturelle Integrität.
- Standards und Regeln existieren aus gutem Grund und spiegeln die kumulative Erfahrung tausender Ingenieure wider.
- Zertifizierungen sind wichtig, da sie eine unabhängige externe Überprüfung von Konstruktionen durch qualifizierte Experten gewährleisten.
Die OceanGate-Tragödie ist eine eindringliche Erinnerung daran, dass Selbstvertrauen und Wunschdenken keine physikalischen Gesetze aushebeln können. Sie ist ein Beleg für die Notwendigkeit solider ingenieurwissenschaftlicher Prinzipien. Diese Prinzipien ermöglichen es uns, aus den Fehlern anderer und den daraus gewonnenen Erkenntnissen zu lernen, ohne in dieselben Fallen zu tappen.
Auch wenn sich dieser Artikel auf die technischen Aspekte dieses Vorfalls konzentriert, möchte ich abschließend mein aufrichtiges Beileid den Familien und Angehörigen der Verstorbenen aussprechen. Ich bewundere ihren Entdeckergeist und hoffe, dass sie in Frieden ruhen können.