Türsicherheitskonzept

Transkript

1 Türsicherheitskonzept Seite 1 von 7

2 Ausgangssituation Das technische Konzept bezieht sich auf den Flugzeugabsturz der Germanwings Maschine im A320 Flug 4U9525. Die Maschine wurde absichtlich durch den Copiloten zum Absturz gebracht, indem ein Sinkflug eingeleitet wurde und das Eingreifen des Piloten durch ein absichtliches Verriegeln der Cockpittür verhindert wurde. Durch den Absturz wurde in den Cockpits die 4 Augenregel eingeführt, so dass immer 2 Personen im Cockpit sein müssen. Aktueller technischer Stand Aktuell muss der Schalter auf der Mittelkonsole im Cockpit für die Türsteuerung auf Verriegeln gestellt werden um die Tür für eine vordefinierte Zeitspanne zu blockieren. Jedoch selbst nach einführen der 4 Augenregel, also der Anwesenheit einer zweiten Person im Cockpit würde sich jedoch ein Abschließen des Cockpits nicht verhindern lassen. Der scheinbar gewonnene Sicherheitsaspekt ist nicht wirklich vorhanden, denn ein Flugbegleiter als zweite Person würde eine absichtliche Fehlbedienung vermutlich gar nicht oder viel zu spät bemerken. So hätte ein Pilot immer noch genügend Zeit ganz in Ruhe die Tür zu blockieren und dann den Flugbegleiter anzugreifen, so dass dieser nur unter erschwerten Umständen die Tür wieder freigeben könnte. Dieses Problem gab es bereits mehrfach, wurde jedoch erst mit der Maschine der Germanwings so bekannt. Nachteile aktuell diskutierter Lösungen: In den Medien sind bereits verschiedene Lösungen diskutiert worden, ob nicht eine weitere Zugangsmöglichkeit geschaffen werden soll, um die Cockpittür im Notfall öffnen zu können. Dabei wurde z.b. erörtert, Magnetkarten einzusetzen, Fingerabdrucksensoren oder auch einfach einen zweiten Sicherheitscode einzuprogrammieren oder die Türöffnung durch die Bodenstation durchzuführen. Betrachten wir die Lösungen etwas näher: Magnetkarten können kopiert, gestohlen oder die Herausgabe erzwungen werden. Fingerabdrucksensoren zur Türöffnung sind wenig hilfreich, denn bei einer gewünschten Verrieglung könnte eine zugangsberechtigte Person zur Öffnung gezwungen werden. Zweiter Code: Auch ein erweiterter Sicherheitscode stellt ein weiteres Risiko dar, denn auch dieser Code kann weitergegeben und die Freigabe erzwungen werden. Funkfreigabe der Tür durch eine Bodenstation: Dieses Signal könnte gefälscht werden und dazu missbraucht werden, die Tür durch einen lokalen Sender an Bord zu öffnen. Es besteht außerdem die Möglichkeit, dass ein Signal einer autorisierten Bodenstation nicht korrekt empfangen wird und der gewünschte Schutz nicht erreicht wird. Welches System man auch wählt, alle bisher diskutierten Lösungsansätze verfolgen das gleiche Ziel: Eine weitere Möglichkeit zu schaffen ins Cockpit zu gelangen. Dabei stellt jede weitere Möglichkeit ins Cockpit zu kommen, auch ein zusätzliches Risiko dar, dass sich unbefugte Personen Zugang zum Cockpit verschaffen können. Ziel sollte daher sein, das Seite 2 von 7

3 bestehende System so anzupassen, dass die Schutzwirkung gegen unbefugtes Eindringen nicht reduziert wird. Vorstellung des neuen Türverrieglungskonzeptes Der neue Verrieglungsmechanismus setzt daher an einer anderen Stelle an, es wird keine weitere Möglichkeit geschaffen, Zugang zum Cockpit zu bekommen, sondern bereits im Ansatz verhindert, dass die Tür durch eine Person alleine verriegelt werden kann. Die folgende Skizze erläutert die Änderungen. Altes Prinzip: Neues Prinzip: Normalfall, Zutritt zum Cockpit: Über das Tastenfeld vor dem Cockpit wird über die # Taste Zutritt erbeten. Der Buzzer im Cockpit summt und einer der Piloten kann die Tür durch Drücken des Türschalters auf Stellung Open öffnen. Der Schalter zum Öffnen befindet sich in der Mitte, so dass beide Piloten ihn drücken können. Normalfall, Zutritt zum Cockpit: Über das Tastenfeld vor dem Cockpit wird über die # Taste Zutritt erbeten. Der Buzzer im Cockpit summt und einer der Piloten kann die Tür durch Drücken des Türschalters auf Stellung Open öffnen. Der Schalter zum Öffnen befindet sich auf der Seite des Piloten und des Copiloten. Beide Schalter können die Tür unabhängig voneinander öffnen. Notfallöffnung: Wird die Tür nicht durch die Piloten geöffnet z.b. aufgrund von Bewusstlosigkeit, kann über das Zahlenfeld vor dem Cockpit der Notfallcode eingegeben werden. Im Cockpit ertönt für 30 Sekunden der Buzzer. In dieser Zeit können die Piloten entscheiden ob sie die Tür öffnen oder verriegeln. Erfolgt keine Aktion z.b. wegen Bewusstlosigkeit, wird die Tür nach dieser Zeit automatisch kurzzeitig entriegelt, so dass der Zugang zum Cockpit auch ohne Pilotenaktion möglich ist. Das ursprüngliche Prinzip bleibt erhalten und wird nicht modifiziert. Aktive Verrieglung: Die Piloten können sich jederzeit dazu entschließen den Türschalter auf die Position Lock zu drücken. Die Tür wird dann für einige Minuten verschlossen. Der Notfallcode ist mit dieser Aktion außer Kraft gesetzt. Von außen ist kein Eindringen ins Cockpit mehr möglich. Der Schalter befindet sich in der Mitte und kann jeweils von Pilot oder Copilot gedrückt werden. Seite 3 von 7 Aktive Verrieglung: Pilot und Copilot haben einen Türschalter auf jeweils ihrer Seite. Soll die Tür aktiv verriegelt werden, müssen beide Piloten den Schalter auf jeweils ihrer Seite simultan auf die Position Lock drücken. Die Tür wird dann für einige Minuten verschlossen. Der Notfallcode ist mit dieser Aktion außer Kraft gesetzt. Von außen ist kein Eindringen ins Cockpit mehr möglich. Durch baulich voneinander getrennte Schalter können jedoch nur 2 Personen im Cockpit die Tür abriegeln. Eine Person alleine ist nicht im Stande beide Schalter simultan zu betätigen.

4 Vorteile des 2 Schalter Prinzips: Durch das Aufteilen der Verrieglung auf zwei Schalter ist es für einen Piloten alleine nicht mehr möglich das Cockpit zu verriegeln. Verlässt ein Pilot das Cockpit muss er durch eine dritte Person z.b. Flugbegleiter (4 Augen Regel) ersetzt werden. Selbst wenn die Verrieglung bei Abwesenheit des anderen Piloten nötig ist, kann so durch die Anwesenheit einer zweiten Person das Cockpit jederzeit verriegelt werden. Die Verrieglung ist jedoch nur gemeinsam möglich, so dass eine böswillige Verrieglung des Cockpits im Alleingang unmöglich wird. Weitere Vorteile Geringe Nachrüstkosten, da geringer Hardwareaufwand (im einfachsten Fall ein weiterer Schalter und einige Meter Kabel) Keine langen technischen Überprüfungen, da das bestehende System kaum verändert wird. Keine unmenschlichen Zumutungen für Piloten zu deren Überwachung (Soziale Akzeptanz) Keine Reduzierung der Schutzwirkung nach außen, ursprüngliche Schutzwirkung bleibt erhalten, da es keine weitere Möglichkeit gibt ins Cockpit zu gelangen. Zusätzliche Erhöhung der Schutzwirkung nach innen, da das Cockpit nur gemeinsam verriegelt werden kann, es ist nicht mehr möglich sich alleine einzuschließen. Das Verriegeln kann von jeder zweiten Person im Cockpit durchgeführt werden. Dieses Konzept unterscheidet sich zu anderen Sicherheitslösungen in einem wesentlichen Punkt. Es wird keine weitere Möglichkeit geschaffen, von außen in das Cockpit zu gelangen. Es wird vielmehr verhindert, dass sich eine Person alleine im Cockpit einschließen kann, wodurch das ursprüngliche Sicherheitskonzept nicht geschwächt wird! Seite 4 von 7

5 Voraussetzungen Damit dieses Prinzip funktioniert, müssen mindestens 2 Schalter zum Öffnen/Verriegeln der Cockpittür im Cockpit verbaut werden. Dabei ist es wichtig zu beachten, dass die Schalter nicht gleichzeitig von der gleichen Person zu bedienen sind. Dies kann durch folgende Möglichkeiten vermieden werden: Die Schalter werden baulich und räumlich so angeordnet werden, dass die Schalter nicht gleichzeitig durch eine Person zeitgleich erreicht werden können. (Räumlicher Abstand) Der Schalter kann berührungssensitiv und flach ausgeführt werden um Manipulationen durch eine Schnur oder langen Gegenstand zum Drücken zu verhindern (Geometrische Form und Einbaulage des Schalters) Die bauliche Ausführung muss dabei so ausgestaltet sein, dass nicht mit Hilfsmitteln wie Stock oder Schnur oder weitere Gegenstände als Ersatz für eine weitere Person verwendet werden können. Dies kann beispielsweise durch einen berührungsempfindlichen Schalter realisiert werden, so dass keine Angriffsfläche für Schnur, Gewicht oder Stock geboten wird. Alternativ ist auch ein verwinkelter Einbau hilfreich, so dass z.b. keine Stange von oben auf den Schalter gedrückt werden könnte. Zeitliche Synchronität: Die Verrieglung sollte nur aktiv werden wenn die Schalter in einem nahen zeitlichen Zusammenhang auf Verriegeln gedrückt werden, z.b. innerhalb von 5 Sekunden. Die Tür würde also nur dann verriegelt, wenn beide Schalter innerhalb dieser Zeit gedrückt werden würden. Dies reduziert weiter die Möglichkeit die Schalter erfolgreich zu manipulieren. Realisierung Die technische Umsetzung kann auf unterschiedlichste Arten und Weisen realisiert werden. Das einfachste Prinzip soll hier näher erläutert werden. Eine einfache Möglichkeit ist die UND / ODER Verknüpfung des bestehenden Schalters. Dazu sind lediglich ein weiterer Schalter und etwas Kabel erforderlich. Altes Prinzip Ursprüngliche Türsteuerung Open Lock Ungedrückt Zustand = Normal Seite 5 von 7

6 Neues Prinzip Ursprüngliche Türsteuerung Open Lock Schalter 1 Ungedrückt Zustand = Normal Schalter 2 Ungedrückt Zustand = Normal Das Öffnen der Tür ist dabei logisch ODER verknüpft, heißt, es ist egal ob Schalter 1 ODER 2 zum Öffnen verwendet werden. Das Verschließen ist logisch UND verknüpft, heißt Schalter 1 UND 2 müssen gleichzeitig gedrückt sein um die Tür zu verschließen. Im vorigen Beispiel ist eine einfache Analogschaltung mit einem zusätzlichen Doppelschalter als Beispiel gezeigt. Je nach Anbindung des Schalters in die restliche Elektronik kann die Auswertung eines zweiten Schalters ebenso über einen Mikrocontroller oder durch komplexere Analogschaltungen oder anderweitige Hardware ausgewertet und verarbeitet werden. Das Prinzip bleibt dabei jedoch erhalten. Insbesondere kann die zuvor einfache Schaltung durch eine Zeitverzögerung ergänzt werden, so dass die Verrieglung nur dann aktiv wird, wenn beide Schalter z.b. in einem festen zeitlichen Fenster von z.b. 5 Sekunden gleichzeitig gedrückt werden. Werden die Schalter also nicht beide innerhalb dieser 5 Sekunden gedrückt, wird die Tür nicht verriegelt. Dies hat den Vorteil, das bei einem Manipulationsversuch nicht unbegrenzt Zeit zur Verfügung steht den zweiten Schalter gleichzeitig zu drücken wenn nur eine Person im Cockpit anwesend wäre. Fazit: Es gibt zahlreiche Möglichkeiten das Problem anzugehen. Diskutierte Lösungen haben als Kernansatz jedoch alle das gleiche Ziel: Sie schaffen eine weitere Zugangsmöglichkeit zum Cockpit und reduzieren damit auch die Schutzwirkung der Cockpittür. Das vorgestellt Konzept setzt daher präventiv an und lässt die Situation, dass eine weitere Seite 6 von 7

7 Zugangsmöglichkeit überhaupt erst benötigt wird, nicht entstehen, indem das Verriegeln des Cockpits im Alleingang effektiv verhindert wird. Da im Cockpit nach der eingeführten 4 Augenregel immer 2 Personen im Cockpit anwesend sein müssen, ist durch das vorgestellte Konzept die Cockpitverrieglung weiterhin jederzeit möglich, so dass die Sicherheit durch das Zweischalterprinzip nicht gefährdet ist. Seite 7 von 7