Nová zpráva NTSB  Text je k dispozici na webu NTSB (PDF) a má formu doporučení pro FAA, nejde o závěrečnou zprávu. |
Čtyři sekundy. Tolik času měli piloti na správné vyhodnocení protichůdných varování, která na ně blikala, křičela a vibrovala po celém kokpitu. Po pěti sekundách se totiž znovu aktivoval systém, který stlačil příď letounu dolů. Piloti tak měli plné ruce práce s udržením příď ve vzduchu, a neměli čas řešit „banální“ problém, který se jim po několika minutách čím dál obtížnějšího přetahování stal osudným.
Podle simulací firmy Boeing se ale testovací piloti ve čtyřech sekundách dokázali zorientovat, odhalit, co nefunguje, a zabránit tak eskalaci problému. I na základě tohoto testu pak federální úřad pro letectví (FAA) schválil letoun Boeing 737 MAX v březnu 2017.
Nové letadlo bylo od začátku prodejní hit. Ještě před certifikací se Boeing 737 MAX stal nejprodávanějším (nejobjednávanějším) modelem v historii Boeingu i v historii hromadné dopravy vůbec. Ale pak přišla nehoda indonéské společnosti Lion Air v říjnu 2018 a pád stejného typu letadla Ethiopian Air v březnu 2019. Krátce na to byly letouny uzemněny, protože se ukázalo, že v obou nehodách hrál roli stabilizační systém MCAS.
Jak fungoval MCAS a proč bez něj nemohly 737 MAX létat:
Tento systém má za úkol vyrovnávat některé konstrukční odlišnosti nového letadla 737 Max. Protože však z jednoho senzoru dostával špatné informace o sklonu letadla, namísto vyrovnání stlačil příď letadla dolů.
Nová zpráva NTSB potvrdila, že systém stabilizace MCAS je podle předběžného vyšetřování pravděpodobnou příčinou obou smrtelných nehod letounu Boeing 737 Max 8. Důležité je poznamenat, že tato zpráva NTSB není závěrečnoou zprávou o nehodách a už vůbec nemá být nějakým definitivním rozseknutím toho, kdo za co může. Jde o sadu doporučení pro FAA a další úřady, jak se z těchto nehod poučit v jedné konkrétní oblasti. Můžeme jí říkat přehlednost nebo ergonomie v momentu, kdy v kokpitu nastane neobvyklá situace.
Boeing podcenil zmatek v kokpitu
Úřad NTSB prostudoval, jakým způsobem firma Boeing testovala stabilizační systém MCAS. Jejich předběžná zpráva potvrdila řadu již známých informací: zmiňuje třeba (ale nijak nerozvádí), že se ze systému s původně malými pravomocemi stal systém, který mohl do řízení zasahovat téměř neomezeně.
Zásadní byl časový tlak na piloty. „Pilot mohl působení systému MCAS kdykoli přerušit za použití výškových stabilizátorů na kniplu,“ uvádí zpráva. „Pokud však přetrvávaly podmínky, na základě kterých se MCAS aktivoval, po pěti sekundách od přerušení systém znovu stlačil příď letadla k zemi.“ Boeing předpokládal, že to je dostatečný čas na to, aby pilot na situaci zareagoval.
Poškozený senzor dává informace o tom, že je letadlo nebezpečně nakloněné vzhůru. Systém MCAS se proto opakovaně aktivuje a tlačí letoun dolů.
Tento předpoklad firma testovala, ale tento test podle NTSB nebyl dostatečný. Boeing během certifikace navodil v simulátoru hypotetickou situaci, při které se systém MCAS spustí bezdůvodně. Při testech piloti – mimochodem specialisté firmy Boeing – dokázali na nenadálé klesání rychle zareagovat a pomocí známé procedury (tzv. stabilizer runaway) stabilizaci vypnout.
Z jiných zpráv víme, že Boeing v této souvislosti piloty označil za „součást systému“, čímž mimo jiné zdůvodnil, proč není potřeba napojit MCAS na více než jeden senzor. Dále je známo, že FAA letoun schválila, aniž znala konkrétní parametry systému.
Senzor úhlu náběhu (Angle of Attack, AoA)
Podle NTSB test „uživatelské přívětivosti“ nebyl realistický. Boeing totiž otestoval jen izolovanou chybu, nikoli situaci, která by k chybě mohla vést, třeba selhání senzoru úhlu náběhu (AoA). Při jeho poškození může zároveň dojít k velkému množství chyb. Výsledkem je několik zdánlivě nesouvisejících, nebo dokonce protichůdných alarmů, které musejí piloti řešit.
„Specifické problémy, které mohly vést k bezdůvodné aktivaci MCAS (jako například špatné hodnoty z poškozeného senzoru AoA), nebyly součástí funkčních testů ověřujících reakce pilotů na dané nebezpečí,“ kritizují inspektoři. „Výsledkem bylo, že nebyly simulovány další okolnosti v kokpitu, jako je třeba hlášení o rozdílné rychlosti, hlášení o rozdílné výšce nebo aktivace vibračního varování.“
Příliš mnoho varování naráz
Podle odborníků z NTSB nedodržel Boeing vlastní ani federální zásady letecké bezpečnosti. Ty říkají, že varování v kokpitu musí:
- dát pilotům dostatek informací na to, aby odhalili neobvyklou okolnost nebo neobvyklý stav systému letadla.
- musí být zřejmé, jak má pilot na danou situaci reagovat
- varování musí být evidentní a rozlišitelné za všech předvídatelných okolností, a to i v případě, že se v jednu chvíli spustí více alarmů naráz.
Právě k vícenásobným varováním došlo v případě obou nehod. Piloti tak měli čtyři nebo pět sekund na to, aby vyhodnotili celou řadu protichůdných varování.
Piloty Ethiopian Air 302 zaplavilo v rychlém sledu několik varování a alarmů: varování před klesáním, varování před možným nebezpečným stoupáním, roztočila se trimovací kola, klepal se knipl a přístroje udávaly rozcházející se hodnoty (ilustrační koláž).
Ve chvíli, kdy piloti reagují na vážná varování, třeba tzv. stick shaker (tedy vibrace kniplu upozorňující na hrozbu kriticky nízké rychlosti), není procedura pro úpravu „nepřesného“ vyrovnání letadla to první, co pilota napadne. Ostatní varování totiž „křičí“ mnohem více a pilot musí v první řadě zajistit, aby se letadlo nedostalo do kritické situace. Piloti nevěděli, kterým varováním mohou věřit, a to vyvolalo další „kognitivní náklad“.
První příkaz ve známé poučce “Aviate, Navigate, Communicate“ zdůrazňuje, že pilot se musí v prvé řadě starat o to, jak letadlo letí, teprve pak může řešit další věci. V tomto případe byla varování ohledně rychlosti a sklonu falešná, způsobená vadným senzorem úhlu náběhu (AoA). A stejný senzor způsobil i aktivaci MCAS, který s každou aktivací nabíral na síle, brzy již nešel přetlačit a o několik minut později se posádkám a jejich pasažérům stal osudným.
„Ve všech letech (kde došlo k aktivaci MCAS v důsledku chyby AoA senzoru, pozn. red.) byli piloti vystaveni mnohanásobným varováním, což zvýšilo jejich pracovní zátěž. Protože šlo o kombinaci alarmů, nezačali piloti okamžitě řešit proceduru odpovídající poruchu ovládání výškového stabilizátoru (runaway stabilizer),“ uvádí zpráva. Reakce pilotů byly různé, ani v jednom případě neodpovídaly těm reakcím, které Boeing předvídal ve svých testech a na kterých založila FAA certifikaci letounu.
To, že byl chybně aktivovaný MCAS problémem, který pilotům znesnadnil řešení situace, ostatně opatrnými slovy uznal i šéf Boeingu, když v květnu 2019 poprvé potvrdil, že byl systém MCAS implementovaný špatně: „Víme, že se software MCAS několikrát aktivoval (bezdůvodně), což přidělalo práci pilotům.“
Testy se musí změnit
Přestože nejde o závěrečnou zprávu, NTSB zde jasně ukazuje, co považuje za problém, který si vyžaduje obecnější řešení: „Boeing sice předvídal, že by se MCAS mohl aktivovat bezdůvodně, nezhodnotil však varování a indikace, které by se objevily za různých okolností, které k této bezdůvodné aktivaci mohly vést.“ Jinými slovy: nestačí vyzkoušet, že piloti si poradí s izolovanou chybou. Tu je potřeba simulovat v kontextu toho, co k ní mohlo vést. „Piloti nevěděli, čemu dát prioritu.“
NTSB vydalo sérii doporučení pro FAA, jak lépe testovat reálné hrozby.
Ve svých doporučeních proto NTSB žádá FAA, aby v dalších testech zajistilo komplexní otestování různých problémů nikoli izolovaně, ale v realistických scénářích. To stejné by podle NTSB měly udělat i další mezinárodní certifikační autority. „Chceme, aby byly certifikace letadel prováděny i s ohledem na ergonomii,“ uvedla Dana Schulzeová, ředitelka NTSB.
„Boeing úplně ignoroval, pod jakou záplavou alarmů piloti budou, jak budou zaskočeni,“ souhlasil se zprávou NTSB mluvčí Dennis Tajer z odborů pilotů American Airlines. „Nevěděli jsme, že ten systém (MCAS) je tak mocný, neoblomný a děsivý.“
„Pro návrh letadla se použily předpoklady, které nevycházely z reálných zkušeností pilotů,“ shrnuje zprávu Robart Sumwalt, předseda NTSB. „V reálné situaci ale byli piloti zahlceni velkým množstvím upozornění a alarmů naráz.“
Vyšetřování pokračuje
FAA potvrdila, že doporučení přijala a bude se jimi řídit. To může ovlivnit a eventuálně protáhnout proces certifikace uzemněných Boeing 737 MAX, do nichž Boeing již dodal opravený software. Firma Boeing potvrdila, že „si váží toho, co dělá NTSB pro bezpečnost letecké dopravy, a je připravena spolupracovat s FAA při implementaci doporučení NTSB.“
Odstavené letouny 737 MAX na parkovišti Boeingu v Seattlu
Jedním ze způsobů, jak by se testy letadel mohly vylepšit, by podle šéfky NTSB mohlo být zapojení náhodně vybraných pilotů. Tím by odpadl střet zájmů a profesionální deformace testovacích pilotů, kteří jsou k testům využíváni dnes. Lidský faktor je při nehodách často klíčový a podle odborníků je proto důležité, aby piloti měli jasný přehled o dění i v situaci, kdy jde do tuhého a zní více alarmů zároveň.
Zpráva nezmiňuje, že Boeing nezajistil dvojitou kontrolu systému MCAS, a místo toho nechal tuto kontrolu na pilotech. Ti měli v případě selhání senzoru AoA kokpit plný nesouhlasných varování a nemohli tak zareagovat stejně rychle, jako reagovali experti firmy Boeing na izolovanou poruchu MCAS.
Nejde ostatně zdaleka o poslední zprávu týkající se nehod Boeingu 737 MAX. Nadále probíhá souběžně několik různých vyšetřování obou nehod. Indonézské vyšetřování je údajně skoro hotové, a závěry viní mimo jiné firmu Boeing z chyb v návrhu letadla. Americké i mezinárodní úřady zkoumají mimo jiné i roli, kterou v nehodách sehrála firma Boeing a agentura FAA. Zpráva NTSB je tak jen dalším dílkem do skládačky.
Obrázek, který nabývá pevné obrysy, v tuto chvíli pro firmu Boeing nevyznívá dvakrát příznivě. Aby se firma vzpamatovala ze ztrát, potřebuje nejen dostat do vzduchu 737 MAX, ale také si získat zpět důvěru pasažérů a pilotů. Manažeři firmy Boeing teď zřejmě nevědí, na který z alarmů reagovat dříve. Na rozdíl od pilotů na to mají více času než několik sekund.
Aktualizace: Do článku jsme doplnili vyjádření předsedy NTSB, odkazy na probíhající vyšetřování a informace o připravované zprávě indonéských vyšetřovatelů.
Líbí se vám naše články? Hlasujte pro nás v anketě Křišťálová lupa 2019. Povzbudíte tak tvorbu takovýchto podrobných textů. Děkujeme!
