Boeing begrenzt Cockpit-Warnungen, damit Piloten ihnen vertrauen — bei unter 10 % der Flüge ertönt überhaupt eine

In einem Essay aus dem Jahr 2015 über einen 16-jährigen Patienten, der eine 39-fache Medikamentenüberdosis überlebte, fragte der Arzt Bob Wachter, was Krankenhäuser von der Luftfahrt über Alarmmüdigkeit lernen könnten — über elektronische Warnungen, die das Personal in die Irre führten oder im Lärm untergingen, bis niemand mehr hinhörte. Die Antwort der Luftfahrt war mühsam erarbeitet worden: Frühe „Fahrwerk ausgefahren“-Warnungen, die mit dem Schubhebel verdrahtet waren, lösten fälschlich jedes Mal aus, wenn die Piloten das Flugzeug verlangsamten, sodass die Besatzungen lernten, sie abzuschalten — und dann die Warnung ignorierten, als sie echt war. In den frühen 727-Tagen waren die Alarme so häufig und falsch, dass Piloten die Schutzschalter herauszogen.

Boeings Lösung ist zuerst organisatorisch. Ein Team verantwortet die Integration des gesamten Cockpits und prüft jede vorgeschlagene Warnung; als der Ingenieur für die Fensterheizung 25 Meldungen bringt, die er ausgeliefert haben will, sagen die Piloten: „Das interessiert uns nicht!“ — keine davon schafft es ins Cockpit. Warnungen werden in eine strikte Hierarchie eingeteilt: rotes Licht, roter Text, Sprachausgabe und rüttelnder Steuerknüppel nur bei drohender Katastrophe; etwa 40 Warnungen erhalten Rot und Sprachausgabe; rund 150 Vorsichtsmeldungen erhalten Bernstein und eine Modalität; Hinweise erhalten eine eingerückte Textzeile. Rot wird nie für etwas anderes als Warnungen der obersten Stufe verwendet, und jede Warnung ruft die passende Checkliste auf.

Das Ergebnis: Der Anteil der Flüge, bei denen überhaupt eine Warnung ausgelöst wird — Warnung, Vorsichtsmeldung oder Hinweis —, liegt deutlich unter 10 Prozent, bei Flugzeugen, die mehr als 10.000 Datenpunkte pro Flug aufzeichnen. Als man Boeing den Leiter der Cockpit-Integration mit der Alarmdichte auf einer Intensivstation konfrontierte, konnte er nur sagen: „Oh, mein Gott.“

Stille zur Grundeinstellung machen: Ein zentrales Team verantwortet jede Warnung im gesamten Cockpit, Rot bedeutet nur „jetzt handeln oder abstürzen“, und die Wünsche der Subsystem-Ingenieure verlieren.

Falschmeldungen sind das Schlimmste, was man einem Warnsystem antun kann — sie gewöhnen Menschen daran, wegzuhören, und die Luftfahrt hat das durch Unfälle gelernt.

Zentrale Verantwortung schlägt Subsystem-Lobbyismus: Nur ein Team, das für das gesamte Cockpit rechenschaftspflichtig ist, kann zu den 25 Meldungen Nein sagen, die jeder Komponenteningenieur ausgeliefert haben will.

Strikte Knappheit bewahrt das Signal: Wenn bei unter 10 Prozent der Flüge überhaupt eine Warnung ertönt, bedeutet ein ausgelöster Alarm tatsächlich etwas.

Eine einheitliche Grammatik — Rot, Bernstein, eingerückter Text, zugeordnete Checklisten — ermöglicht es Piloten, die Schwere auf einen Blick zu erfassen, statt jedes Mal neu zu entscheiden.

Jede zusätzliche Warnung kostet Vertrauen: Warnungen zentral budgetieren, rücksichtslos rangordnen und Falschmeldungen als Gift für das System behandeln.

Wachters Serie schloss mit der Aufforderung an Krankenhäuser, die Disziplin zu übernehmen — priorisierte Alarme, rücksichtslose Filterung, klare Verantwortungszuweisung —, zu der die Tragödien der Luftfahrt sie gezwungen hatten; die Boeing-Ingenieure waren angesichts der Alarmdichte in der Medizin verblüfft.