Wenn das Fliegen gefährlich wird…

Für Kunstflugpiloten ist „Straight and Level“-Fliegen (= der Geradeaus-Flug) ungefähr die Steigerung von langweilig. Für den normalen Linienpiloten ist das Tagesgeschäft. Üblicherweise kann man den Geradeaus-Flug bei den Aufzeichnungen des Flugweges direkt verfolgen. Wenn, ja wenn, sich das abgestrahlte GPS Signal ungestört ausbreiten kann.

Das ist etwa bei extremen Sonneneruptionen – die uns die schönen Nordlichter bescheren –, nicht der Fall. Schlimmer noch sind von Menschen bewusst eingesetzte Störsender, die die Positionen verfälschen. Dies kann ernste Konsequenzen für den Luft- und Schiffsverkehr haben und im Extremfall zu schweren Unfällen führen.

Für Piloten, deren Flugweg sich im Bereich des Schwarzen Meeres befindet, ist dies mittlerweile leider schon Teil der Herausforderungen des Langstrecken-Fluges.

Aber zunächst die Begriffsklärung. Was versteht man unter:

Jamming

Das GPS-Signal, das von den Satelliten kommt, wird durch ein starkes Störsignal (Rauschen) im gleichen Frequenzbereich überlagert.

Dadurch können GPS-Empfänger das Signal der Satelliten nicht mehr empfangen.

Spoofing

Beim Spoofing werden die GPS-Satellitensignale nachgemacht beziehungsweise gefälscht. Und dann mit höherer Leistung gesendet als die ursprünglich korrekten Signale der Satelliten.

Dadurch erhalten die GPS-Empfänger das gefälschte Signal, was zu einer falschen GPS-Positions-Lösung der GPS-Empfänger führt.

Spoofing ist wesentlich aufwendiger als Jamming.

Auswirkungen der Störungen auf die Sicherheit in der Luftfahrt

Ein Flug in Richtung Indien:
Wegen Spoofing über dem Schwarzen Meer werden die GPS-Empfänger de-selektiert.
Nach Verlassen der Spoofing-Area zeigt aber nur ein GPS eine plausible Position an. Das andere GPS zeigt weiter falsch an. Deshalb können die GPSe nicht wieder selektiert werden. Das hat zur Folge, dass etwa an der Destination Hyderabad der RNP-Approach (früher „GPS-Anflug“) nicht geflogen werden kann. Da das ILS in Hyderabad in Wartung ist, bleibt nur der VOR-Approach.
Also der ungenaueste Anflug.

A) Jamming

Jamming führt zum Ausfall der GPS-Position.
Der Empfänger empfängt nur Rauschen und zeigt keine Position an.

In der allgemeinen Luftfahrt (bei den lieben kleinen Fliegerlein, wie einer viersitzigen Cessna 172) bedeutet das, dass der Pilot nun anderweitig navigieren muss, da sein GPS nichts mehr anzeigt. Er/sie nutzt dann andere Navigationshilfen wie VORs, DMEs und/oder NDBs zur Navigation beim Sichtflug oder auch in IMC (Instrument Meteorological Conditions), also ohne nutzbare Sicht nach außen.

Bei den großen Fluggeräten (Airbus, Boeing…), die integrierte Computersysteme mit einem Flight Management System (FMS) verwenden, verhindert ein fehlendes GPS-Signal den GPS-Update der FMS-Position.

Hintergrund für Genauer Wissenwollende

Das Flight Management System ermittelt die Flugzeugposition aus allen zur Verfügung stehenden Einzelpositionen.

Als da wären: IRS (Inertial Reference System; Trägheits-Navigations-System), GPS, VOR-DME (UKW Drehfunkfeuer mit Entfernungsmessung), VOR-VOR (Kreuzpeilung zweier Drehfunkfeuer) oder LOC-DME (Anfluggrundkurs mit Entfernungsmessung).

NDBs werden wegen der Ungenauigkeit nicht benutzt.

Zu jeder Einzelposition wird dabei ein momentaner möglicher Fehler berechnet und letztlich die genaueste Einzelposition (in der Regel ist das die GPS-Position) mit der Position der Trägheitssysteme (meist zwei oder drei, je nach Flugzeug) mittels so genannter Kalman-Filter zur FMS-Position verrechnet.

Die FMS-Position ist aufgrund der Kalman-Filter dabei sogar genauer als die genauste Einzelposition, also auch noch genauer als die GPS-Position.

Fällt nun das GPS wegen Jamming aus, dann wird die FMS-Position lediglich etwas ungenauer. Sie bleibt aber grundsätzlich korrekt.

Jedoch fallen einzelne Subsysteme wie zum Beispiel das EGPWS (Enhanced Ground Proximity Warning System) oder ADS-B Out (Automatic Dependent Surveillance-Broadcast; Abstrahlung der eigenen Position meist über den Transponder) während des Jammings aus, da diese oft ausschließlich die GPS-Position verwenden.

Außerdem geht die Möglichkeit, sogenannter GPS, GLS (Ground based augmentation system Landing System) oder RNP (Required Navigation Performance) Anflüge durchzuführen, verloren, da dazu das GPS als primäres Navigationssystem vorgeschrieben ist.

Sobald des Jamming zu Ende ist, steht das GPS wieder zur Verfügung und alle Systeme funktionieren, wie zuvor.

Wenn das Jamming also nur im Reiseflug stattgefunden hat, dann bleibt es nach Beendigung in der Regel ohne jede Konsequenz.

B) Spoofing

Spoofing führt zu einer falschen GPS-Position.

Bei nichtintegrierten Systemen (etwa bei der schon oben erwähnten Cessna 172) zeigt das GPS dem Piloten eine falsche Position. Er/sie muss das selbständig erkennen. Etwa daran, dass die Position ständig gleich bleibt, obwohl man sich offensichtlich fortbewegt, oder daran, dass die angezeigte GPS Ground Speed, also die Geschwindigkeit über Grund, nicht realistisch sein kann.

Es ist also wie sooft beim Fliegen gesunder Menschenverstand gefordert. Sobald der Pilot/die Pilotin die falsche Position erkannt hat, kann er das GPS abschalten und andere Navigationssysteme nutzen (wie beim Jamming; siehe oben).

Bei integrierten Systemen (FMS) erkennt das FMS in der Regel, dass die GPS-Position nicht zu den anderen Positionen passt und verwendet das GPS fortan nicht mehr zur Bestimmung der FMS-Position. Soweit die Theorie.

Boeing und Airbus waren sich anfangs sicher, dass ihre FMS-Systeme sich durch Spoofing nicht in die Irre führen lassen. In der Praxis gab es aber Fälle, bei denen trotzdem die FMS-Position mit der fehlerhaften GPS-Position verschoben wurde.

Bei Bordcomputern, die ausschließlich die GPS-Position verwenden, ist die Auswirkung des Spoofing dramatisch. Sie verwenden die falsche Position.

Das bedeutet, dass auch über den Transponder die (eigene) falsche Position an andere Flugzeuge übermittelt wird (ADS-B out).

Boden-Annäherungs-Warnsysteme (EGPWS), die das Flugzeug vor dem Impact mit Terrain (Berge, Hindernisse oder generell den Boden) warnen sollen, wähnen bei Spoofing das Flugzeug an der falschen Position und lösen deshalb falsche Warnungen aus oder geben dringend notwendige, korrekte Warnungen nicht aus.

Die GPS-Position der in der Luftfahrt verwendeten Empfänger ist stets dreidimensional. Es wird also neben der Position auch die Höhe bestimmt.

Bei den EGPWS-Systemen führt gerade die falsche Höhe zu absolut sinnentleerten Warnungen. So gibt es Fälle, wo im Reiseflug in 39.000 Fuß (11.900 Meter) eine Pull-Up Warning generiert wurde, da das System vor einem vermeintlichen Berg warnte.

Abgesehen davon, dass der höchste Berg der Erde 29.000 Fuß hoch ist!

Auch moderne Wetterradar-Systeme zeigen das Wetter nicht nur als rohe Daten auf dem Navigationsdisplay an, sondern legen die gemessenen reflektierten Strahlen vom Wetter (Wolken, …) in Relation zu ihrer (bei Spoofing falschen) GPS-Position in einer Datenbank ab und übertragen diese (falschen) Koordinaten dann an das FMS, das die Gefahrenzonen auf dem Navigationsdisplay dann an eben dieser falschen Position darstellt.

Wie kann sich eine Flight Crew vor den falschen Daten schützen?

Piloten vermeiden solche Fehlwarnungen, indem sie das GPS – am besten vor dem Einflug in ein Gebiet mit erwartetem Spoofing – aktiv de-selektieren.

Nach Verlassen der Spoofing Area, wird das GPS wieder ausgewählt.

Doch auch dabei kommt es immer wieder vor, dass in einigen Subsystemen zum Teil falsche GPS-Signale gespeichert sind, die dann plötzlich im Anflug zu Fehlwarnungen führen.

Denn das De-selektieren verhindert nicht, dass die Spoofing-Signale die GPS-Empfänger erreichen.

De-selektieren ist nicht gleich ausschalten oder stromlos machen.

Bei der Entwicklung der integrierten Systeme wurde nicht vorgesehen, dass einzelne Empfänger komplett ausgeschaltet werden können. Ebenso ist es nicht möglich, gezielt eine Sicherung (Circuit Breaker, CB) zu ziehen, die nur die GPS-Empfänger stromlos macht.

Jedenfalls ist das in den meisten Fällen im Flug so nicht vorgesehen, da dies immer auch Auswirkungen auf andere Systeme mit sich bringen würde. Auf welche und wie genau ist sehr oft nicht dokumentiert oder öffentlich bekannt. Damit wissen die Piloten nicht, welche weiteren Auswirkungen das CB Ziehen noch hat…

Leider führen die falschen Warnungen in der Praxis dazu, dass Alarmierungen des EGPWS immer häufiger in Frage gestellt werden. Wer zu oft Feuer schreit, dem glaubt man nicht mehr, wenn’s tatsächlich brennt. Ist die Warnung dann korrekt, kann es zu sogenannten Controlled Flight Into Terrain-Unfällen (CFIT) führen. Also sehenden Auges ins Unglück…

Die Luftfahrt hat es in den letzten Jahrzehnten geschafft, die CFIT-Rate auf nahezu null zu reduzieren. Durch das Spoofing und den damit verbundenen Fehlwarnungen, die, wie oben beschrieben, auch Stunden nach Verlassen der Spoofing-Area im Anflug auftreten können, wird das ganze System geschwächt. Warnungen werden nicht mehr ernstgenommen oder führen zu unnötigen Ausweichreaktionen, die in sich gefährlich sein können.

Das Spoofing stellt also einen ernst zu nehmenden Anschlag auf die Sicherheit des Luftverkehrs dar. Auch außerhalb der Spoofing-Areas.

Da das Spoofing aufgrund seiner Komplexität nur durch staatliche Organisationen oder staatsgleichen Terrororganisationen durchgeführt werden kann, ist die internationale Staatengemeinschaft hier gefordert, dagegen vorzugehen.

Bisher passiert da wenig bis nichts.

#controlledFlightIntoTerrain #egpws #gefahr #gefahrlich #gpsPosition #helgaKleisny #jamming #schwarzesMeer #spoofing #wetter