Ausgangspunkt für die Aktivitäten der IT-Experten im Erdinger Moos war eine umfassende Inventarisierung, in die Details über die gesamte Infrastruktur des Flughafens einflossen. Außerdem holte das Spezialistenteam alle Hersteller ins Boot, deren Produkte im IT-Fuhrpark des Flughafens eine zentrale Rolle spielen.

Das Y2K-Projektteam

Um den Übergang ins Jahr 2000 IT-technisch ohne Probleme über die Bühne zu bringen und den Flughafenbetrieb auch danach zu sichern, wurde am Münchner Großflughafen eine Projektgruppe gegründet. Keines der sicherheitsrelevanten und -kritischen Systeme des Flugplatzes soll durch den Datumswechsel beeinträchtigt werden oder gar ausfallen. Dafür stehen die Münchner auch im engen Erfahrungsaustausch mit anderen nationalen und internationalen Airports.

In das Kernteam wurden Mitarbeiter aus allen Geschäftsbereichen berufen. Die Hauptabteilung Informatik und Kommunikation nominierte Dieter Schröter, der sonst als Leiter der Systemdienste verantwortlich zeichnet, für den Systembetrieb sorgt Josef Spitzlberger.

Die Truppe koordiniert zentral sämtliche Vorbereitungen für das Jahr-2000-Projekt, die Verantwortung für die Durchführung liegt dann allerdings bei Teilteams, die jeweils für eine einzelne Anlage zuständig sind. Sie müssen sicherstellen, daß ihre Systeme auch nach der Jahrtausendwende einwandfrei funktionieren.

Darüber hinaus richtete man einen gemeinsamen Arbeitskreis ein, der eine Eventualfall-Planung ausgearbeitet hat. Hierin werden übergreifende Abwicklungsprozesse entwickelt und geklärt, welche unmittelbaren Rückfallstufen es für die jeweiligen Systeme und Abläufe gibt und was zu tun ist, wenn mehrere Systeme ausfallen.

Probleme lauern an mehreren Stellen

Zu den sicherheitsrelevanten Systemen auf dem Flughafengelände gehört die Feuerwehr ebenso wie die Zutrittskontrollsysteme oder die Landebahnbefeuerung. Alles, was in der Luft passiert, gehört wiederum zum Verantwortungsbereich der Fluglotsen. Die Kontrolle über eine Maschine übernimmt die Flughafengesellschaft erst, wenn diese nach der Landung eine bestimmte Markierung auf der Rollbahn passiert hat. Computergesteuerte Rollführungssysteme, die durch in den Boden eingelassene Lampen auf den Abrollwegen markiert sind, leiten den Flieger bis zur endgültigen Parkposition.

Darüber hinaus muß die FMG für eine funktionierende Landebahnbefeuerung sorgen. Zusätzliche Werkzeuge der Fluglotsen sind Radar- und Funksysteme sowie Landeanflug-Steuerungssysteme. Bei einem Teil der Technik übernimmt die FMG die Wartung. Die Flughafengesellschaft ist ferner verpflichtet, durchgängig den Strom bereitzustellen, den die Lotsen für ihre Gerätschaften benötigen.

Alle kritischen Systeme, also solche Maschinen und Komponenten, deren Ausfall den Betrieb des Flughafens stören würden, durchlaufen bereits seit Monaten dedizierte Tests, unabhängig davon, "ob der Hersteller für deren Jahr-2000-Konformität garantiert oder nicht", erklärt Schröter.

Koffer auf der Reise ins Jahr 2000

Eine solche wichtige Komponente ist beispielsweise das Gepäckfördersystem. Die FMG hat ihres schon an einem Wochenende im Frühjahr unter Jahr-2000-Bedingungen getestet und, so Schröter, für tauglich befunden. In diesen Versuch waren die Gepäckaufgabebänder und die eigentlichen Fördersysteme sowie die komplexen Gepäcksortiersysteme einbezogen, die anhand der Barcodes erkennen, wohin ein Koffer gehört.

Für einen praxisnahen Test hat das Projektteam die Datenbestände der Gepäckförderanlage, der Luftfahrtgesellschaften und die internen Betriebslösungen des Flughafens zusammengefaßt. In der Gepäckförderanlage selbst mußte die Hardware mit ihren Betriebssystemen sowie die Applikationssoftware angepaßt werden. Hinzu kamen die speicherprogrammierbaren Steuerungen in den Sortierern und Umlenkstationen. Bei der Umstellung des Systems für den Wochenendtest waren die Vertreter von rund zehn Firmen anwesend, die ihre jeweiligen Lösungen an die Jahr-2000-Bedingungen anpassen mußten. Die Kosten für den Test der Gepäckbeförderung beziffert Schröter mit rund 300 000 Mark.

Die Uhr tickt: Zeitplan für die Umstellung

Die Umstellung aller Flughafensysteme richtet sich an einem Zeitplan aus. Die verantwortlichen Teams müssen bis zu einem bestimmten Termin ihre Systeme getestet und einen eventuellen Migrationsbedarf festgestellt haben. Gelingt dies nicht rechtzeitig, muß ein System in die Notfallmaßnahmen eingebunden werden.

"Unsere Leute gehen mit viel Akribie und Engagement an die Projekte, weshalb wir der Jahrtausendwende mittlerweile recht gelassen entgegensehen", lobt Schröter die FMG-Crew. Das zeige sich auch in der sehr engagierten Mitarbeit während der laufenden Tests.

Dennoch will man sich auf alle Eventualitäten vorbereiten. So wurden für unterschiedliche Fehlersituationen gesonderte Notfallmaßnahmen eingeplant. Hierzu gehört die redundante Auslegung besonders kritischer Systeme. Auch weil die Computersysteme im Jahr 2000 zusätzlich mit der Schaltjahrproblematik zu kämpfen haben.

Eine wichtige Säule des Jahr-2000-Projekts am Münchner Flughafen ist deshalb das Notfall-Management: "In der fraglichen Zeit werden die Entscheidungsträger aus der obersten Management-Ebene vor Ort sein, um gegebenenfalls schnelle Entscheidungen treffen zu können", erklärt Schröter.

Bei der Feuerwehr würde es brennen

Für den Fall, daß wegen der Jahr-2000-Problematik beispielsweise die Feuerwehr ausfällt, muß der Verkehrsleiter vor Ort sein, um den Flughafen zu schließen.

Seine Meldung an die Fluglotsen stellt sicher, daß der Airport in München dann nicht mehr angeflogen wird. "Die Feuerwehr mit ihren IT-Systemen ist ein Bestandteil des Flughafens und fällt damit in unseren Verantwortungsbereich. Darum haben wir sie im Rahmen unseres Projekts bereits im Griff", berichtet Schröter weiter.

Andere Systeme dieser Kategorie sind der Sicherheitsdienst für die Passagierkontrolle und die Unterdruckkammer, in der Frachtgut und unbegleitetes Gepäck aus Sicherheitsgründen unter Flugbedingungen zwischengelagert werden.

Die Sicherheitssysteme für die obligatorischen Personenkontrollen, die mit allen anderen sicherheitsrelevanten Bereichen des Flughafens in der SGM Sicherheitsgesellschaft München zusammengefaßt sind, fallen in den Verantwortungsbereich des Luftamts Süd, einer Unterabteilung der Regierung von Oberbayern. Funktionieren die elektronischen Systeme nicht, müßten die Koffer vom Personal geöffnet und untersucht werden. Eine aufwendige Arbeit, die vom vorhandenen Personal nicht bewerkstelligt werden könnte.

Versorgungskreislauf muß funktionieren

Ein ebenfalls wichtiges Glied in der Flughafen-Kette sind die Versorger. Sie beliefern das Flughafengelände mit Fernwärme, Telefonanschlüssen, Elektrizität und Gas. "Der Versorgungskreislauf muß funktionieren, damit der Flughafenbetrieb nicht leidet", sagt Schröter. Zwar wird auch in der Versorgungswirtschaft mittlerweile fieberhaft getestet, auf rechtlich verbindliche Aussagen will sich aber niemand festlegen lassen.

Aus diesem Grund heißt es auch bei der FMG, daß ein auf den Datumswechsel hin getestetes System dann als Jahr-2000-fähig eingestuft wird, wenn in der Y2K-Simulation kein Fehler gefunden wurde.

"Auch die komplexesten Tests sind allerdings keine Garantie dafür, daß ein System bei der Jahrtausendwende nicht doch ausfällt", so der Projektleiter.

Mit der Stromversorgung steht und fällt alles_VS:Im Erdinger Moos läuft die Einspeisung des Stroms über drei verschiedene Wege. "Als Problem für die Stromversorgung unseres Geländes könnte sich die Lastverteilung im europäischen Stromnetz erweisen, denn die ist hochgradig computergesteuert", berichtet Schröter.

Aus diesem Grund sichert zusätzlich ein eigenes Flughafenkraftwerk die Versorgung des Areals. Die notwendige Computerumstellung läuft bereits auf Hochtouren. Hauptantrieb für das Kraftwerk ist Gas; daneben sind für eine Rückfallstufe zwei große Dieseltanks verfügbar, die eine 14tägige Versorgung garantieren. "Allein in der zentralen Leittechnik, die für die Beleuchtung von Gebäuden, für die Heizung und die Klimatisierung sowie eine Reihe von Steuerfunktionen verantwortlich ist, besteht die IT-Infrastruktur aus 50 Rechnern und 1098 speicherprogrammierbaren Steuerungen", so Schröter.

Da die 1098 speicherprogrammierbaren Steuerungen mit einer datumsabhängigen Steuerungssoftware bestückt waren, mußte bei ihnen allen die Firmware ausgetauscht werden.

Hinzu kommen der Test und die eventuelle Umstellung der Gepäckförder- und der Monitoranzeigesysteme, der Rollführungs- und Andocksysteme sowie zahlreicher anderer Lösungen, die im Hintergrund für die einwandfreie Abwicklung aller Abläufe am Flughafen München sorgen.

Für das gesamte Test- und Umstellungsprojekt hat die FMG einen Kostenrahmen von zehn Millionen Mark einkalkuliert. "Allerdings sieht es so aus, daß wir diese Summe dank unserer geschickten Einkaufspolitik und der Jahr-2000-Kompatibilität vieler von uns genutzter Systeme nicht vollständig ausschöpfen müssen", freut sich Schröter.

Ein wichtiger Partner für das Umstellungsprojekt am Flughafen München ist der Servicebereich von Sun Microsystems. Die Sun-Spezialisten kommen immer dann ins Spiel, wenn im Luftverkehrsbereich und im kaufmännischen Umfeld, beispielsweise bei SAP R/3, die Server umgestellt werden müssen.

Da die Systeme für Disposition sowie für den Verkehrsbetrieb auf Sun-Servern laufen, bediente man sich des Know-hows der Sun-Servicemannschaft. "Wir haben diese Spezialisten in unser Jahr-2000-Boot geholt, weil unsere eigenen Ressourcen nicht ausreichen, die Umstellung für uns allein nicht machbar ist", erklärt Josef Spitzlberger.

Zusammen mit dem FMG-Team wurde die Y2K-Festigkeit der Sun-Systeme und des Solaris-Betriebssystems bereits getestet. Andere Untersuchungen, beispielsweise der Applikationen "Solstice Backup" und "Solstice Disksuite", laufen noch.

Inventarisierung ist die halbe Miete

Das FMG/Sun-Team inventarisierte dabei zunächst alle Sun-Server und Sun-Workstations. Hierbei erfaßten sie auch deren jeweilige Betriebssystem-Version und alle darauf laufenden Sun-Applikationen. Bestandteil der Inventarliste sind außerdem die Funktionen der jeweiligen Systeme und die Aktionen, die vorgesehen sind, um diese Jahr-2000-fähig zu machen. So werden etwa alle Workstations auf Solaris 2.6 und alle Server auf 2.5.1 hochgerüstet und mit den "Year-2000-Patch-Clustern" versehen.

Eine pauschale Umstellung der Gesamtinstallation auf Solaris 2.6 schloß das Team aus, da einige wichtige Applikationen nur unter Solaris 2.5.1 laufen. Dazu gehört "BSV" (Basis System Verkehrsbetrieb), ein zentrales System für die Fluginformationen, das auf zwei redundanten Sun-Servern eingerichtet wurde. BSV empfängt alle für den Flughafen relevanten Nachrichten von außen und verteilt sie an die betroffenen Systeme der Airport-Community.

"BVD" (Boden Verkehrs Dienst) ist ein Client-System von BSV und empfängt von diesem Daten, um sie automatisch an diverse Empfänger weiterzuleiten. Dieser Server lief zunächst unter Solaris 2.4 und wurde bereits auf Solaris 2.5.1 umgestellt.

The Final Countdown

Für September 1999 hatte sich das Projektteam verschiedene Kontrollen vorgenommen. Dabei wurde überprüft, welche Anpassungen es gegeben hat und welche Veränderungen oder Nachbesserungen eventuell noch notwendig sind. Geplant ist, die Betriebssysteme und die getesteten Lösungen, beispielsweise die Firmware der Netzkomponenten, auf dem Testlevel einzufrieren, um keine unliebsamen Überraschungen zu erleben.

Die Applikationen hingegen lassen sich nicht einfrieren, weil sie mit ständig aktualisierten Daten laufen. So verlangt der im Herbst anstehende Flugplanwechsel Änderungen an den Anwendungen, weshalb diese sich erst nach Ende der routinemäßig vorgesehenen Testläufe überprüfen lassen. Die werden abschließend durch einen Qualitäts-Management-Beauftragten als unabhängige Kontrollinstanz abgenommen.

Neben der Wirklichkeit die Testwelt

Um den Flughafenbetrieb nicht zu stören und weil sich die meisten Anwendungen im produktiven Betrieb nicht testen lassen, wurde ein unabhängiges Testnetz aufgebaut. Die Testumgebung läßt sich bei Bedarf aber auch an den produktiven Verbund anschließen. Für ihren Aufbau investierte die FMG in zwei neue Rechner. Ein Ultra-Enterprise-250-Server und ein Ultra-Enterprise-10-System übernehmen in jeder Testphase die jeweilige Server-Rolle; eine Ultra 1 sowie eine Sparcstation 5 spielen im Desktop-Bereich die Clients.

Dieses Netz wurde Anfang März 1999 in Betrieb genommen. Zunächst wurden Grundfunktionalitäten getestet, wobei Rechner mit den Betriebssystem-Versionen installiert oder verwendet wurden, die auch im Produktivbetrieb zum Einsatz kommen. In einem nächsten Schritt wurde die Kommunikationssoftware überprüft. Dabei handelt es sich um eine eigene Applikation des Flughafens.

Mittlerweile werden nach und nach alle Applikationen getestet. Im Anschluß folgen die Integrationstests, wobei das Zusammenspiel verschiedener Anwendungen unter dem Aspekt des Jahrtausendwechsels untersucht wird. Woche für Woche werden die verschiedenen Lösungen nach einem genauen Zeitplan getestet, wobei durch die Einzel- und die Verbundtests eine höchstmögliche Sicherheit geschaffen wird.

Auf den beiden Test-Servern sind BVD und BSV implementiert, um die Produktivumgebung zu simulieren. Grundlage und Ausgangspunkt für alle Checks ist das Sichern der kompletten Testumgebung vor dem Wechsel ins Jahr 2000, so daß man jederzeit mit einer definierten Systemumgebung die Überprüfungen neu starten kann.

"Ein Flughafen lebt von lebendigen Daten, und seine Anwendungen funktionieren nur, wenn Echtzeitdaten einfließen. Und dieser Vorgang läßt sich im Testsystem nur schwer nachbilden", beschreibt Josef Spitzlberger die Problematik.

Da sich die Nebeneffekte einer Anbindung an das Produktivsystem nicht abschätzen lassen, hat das Projektteam für drei Monate eine Firewall zwischen die Test- und die Produktivumgebung geschaltet. Produktivdaten können so in das Testsystem ein-, aber nicht in die Produktivumgebung zurückfließen.

Mittlerweile sieht man bei der FMG der Jahrtausendwende um einiges gelassener entgegen als noch zu Beginn des Jahres. "Unser Drehbuch für die Jahrtausendwende steht und wird von allen Beteiligten eingehalten", so Schröter und Spitzlberger unisono. "Wir haben zusammen mit unseren internen und externen Partnern die Risiken minimiert und fühlen uns für den Sprung ins neue Millennium mittlerweile besser gerüstet..

Angeklickt

Jahr-2000-Probleme lauern auf einem Flughafen überall. Können die Leitern der Feuerwehrwagen nicht ausgefahren werden, ist die Feuerwehr also nicht einsatzfähig, wird der komplette Flughafen gesperrt. Dann geht nichts mehr. Funktioniert das Gepäckfördersystem nicht, gibt es massig Ärger mit den Fluggästen. Und ohne Elektrizität, Telekommunikation und Wärme läuft in einem Hochtechnologiepark, den ein Flughafen darstellt, sowieso nichts. Trotzdem müssen am 1. Januar 2000 alle Flugzeuge starten und landen können. Es gibt also viel zu tun.

*Petra Adamik ist freie Journalistin in München.