Neházejte 737 Max na piloty, píše legenda „Sully“. Byla to smrtelná past

Chesley Sullenberger varuje před svalováním viny za nehody letadel 737 Max jen na piloty. Slavný „kapitán Sully“, kterého proslavilo nouzové přistání na řece Hudson v roce 2009, si vyzkoušel, čím piloti havarovaných letadel prošli: „Je nesmysl vinit je za to, že nedokázali vykompenzovat špatně navržené letadlo.“

S tím, jak přibývá zpráv o vyšetřování důvodů nehod letounů Boeing 737 Max, pokračuje i odborná a veřejná debata o míře zavinění. Jaký podíl viny nese výrobce letadel Boeing, který pilotům i regulátorům zatajil parametry systému MCAS? Jaký podíl viny nesou piloti, kteří mohli – s použitím v manuálu uvedené sekvence – deaktivovat splašený systém MCAS a klesání včas zabránit? A jaký podíl má regulátor FAA, aerolinky, návrh kokpitu a další organizace, které v rámci úspor šetří i tam, kde by šetřit neměly?

Právě na špatný výcvik pilotů upozornil podrobný článek The New York Times Magazine. Jeho autor – sám bývalý pilot – William Langewiesche v něm popisuje problémy týkající se výcviku pilotů, nejen v Etiopii a Indonésii, ale po celém světě. Langewiesche v článku varuje před zjednodušeným narativem o „korporátní nenasytnosti“ a „hledáním jednoznačného viníka“ a ukazuje různé rozměry a kontext obou tragických nehod. Popisuje jak snahu Boeingu vměstnat nový letoun 737 Max do certifikace založené na předchozím modelu 737 NG, tak potíže související se špatnou údržbou i neschopnost pilotů najít – jak píše – „očividné řešení“ problémů s nefunkčním MCAS.

Neobviňujte piloty, horší je systémové selhání při návrhu

Kapitán Chesley „Sully“ Sullenberger vypovídal před americkým Kongresem v souvislosti se nehodami letadel. (19. června 2019)

Podtrhávání podílu pilotů na obou nehodách však přišlo nepřiměřené kapitánu Chelseymu Sullenbergerovi, který je v současnosti možná nejznámějším pilotem na světě – proslavilo jej úspěšné nouzové přistání na řece Hudson.

„Patřím k těm nemnoha pilotům, kteří v kapitánském křesle zažili situaci, ve které se všechno příšerně pokazilo, a měli jen několik sekund na rozhodnutí,“ píše v otevřeném dopise Sullenberger. Kapitán byl totiž při nehodě v roce 2009 v situaci, kdy musel řešit výpadek obou motorů v nízké výšce, navíc prakticky uprostřed města New York. „Navíc jsem jeden z mála, který si na plně motorizovaném simulátoru Boeingu 737 Max (Level D) mohl vyzkoušet celý průběh situace, ve které byli piloti havarovaných letadel.“

Osudné lety Lion Air i Ethiopian Airlines si v simulátoru vyzkoušel několikrát: „Vím, čemu čelili a jak špatné je obviňovat je z toho, že nedokázali vykompenzovat tak příšernou a smrtelnou chybu v návrhu letadla.“

V listopadu poslal Boeing pilotům a aerolinkám buletin, ve kterém upozornil na problémy se systémem stabilizace.

Odmítá častý argument o tom, že řešení situace bylo „očividné“ a že stačilo, aby piloti následovali postup v manuálu týkající se poruchy výškového stabilizátoru (runaway stabilizer). „Nouzová situace se neprojevila jako typický problém, který by se řešil tímto postupem,“ zdůrazňuje Sullenberger. 

„Ze začátku to vypadalo na jiný problém, který se projevoval nespolehlivým ukazatelem rychlosti a výšky, což maskovalo skutečnou příčinu. Tou byl systém MCAS.“

Stabilizační systém MCAS a jeho problémy

Nový Boeing 737 Max potřeboval velké úsporné motory, aby mohl konkurovat Airbusu A320neo. Kvůli nižšímu podvozku však museli konstruktéři motor posunout více před křídlo. Tím se změnily letové vlastnosti stroje. Boeing však slíbil, že nová „sedm tři sedmička bude létat stejně jako ty předchozí.

A tak se zrodil MCAS (Maneuvering Characteristics Augmentation Systém), tedy systém zaručující, že se letadlo bude chovat stejně jako to předchozí. Nový automat, nezávislý na ostatních autopilotech, se aktivuje ve chvíli, kdy se letadlo dostává do nebezpečného úhlu náběhu a hrozí mu pád kvůli takzvanému přetažení. V tu chvíli MCAS využil výškový stabilizátor k upravení úhlu náběhu.

Piloti jsou zvyklí na to, že autopilot se nechá přetlačit, stačí, když vezmou za knipl. Ale protože MCAS je navržený pro mezní situace, dostal možnost na deset sekund přetlačit pilota. Pak pět sekund vypne. Pokud nebezpečný úhel přetrvává, opět se aktivuje na deset sekund. Pak se na pět sekund vypne a tak dále.

Systém MCAS si bere informace ze senzoru úhlu náběhu. Každé letadlo má dva tyto senzory, systém MCAS však čerpal data pouze z jednoho. A právě to podle předběžného vyšetřování dostalo do problémů posádky Boeingů 737 Max v Indonésii a Etiopii.

Senzor úhlu náběhu (Angle of Attack, AoA)

Buletin od společnosti Boeing pro Etiopské aerolinky z listopadu 2018, který „připomíná, že chybná data z AOA senzoru mohou vést řadě problémů.“

Sytém, který měl piloty zachránit v kritické situaci, naopak tuto kritickou situaci zavinil. Poškozený senzor tvrdil, že letadlo je příliš nakloněné vzhůru, a MCAS začal tlačit letadlo k zemi. Piloti jej nedokázali přetlačit ani vypnout, vše se odehrálo během několika minut.

Boeing o potenciálním problému se systémem MCAS věděl už před první nehodou, a to díky reakcím pilotů i vlastních zaměstnanců. Až po druhé nehodě a uzemnění celé flotily 737 Max však firma Boeing veřejně slíbila, že systém MCAS opraví. Nově si bude brát data z obou senzorů úhlu náběhu a nebude se aktivovat opakovaně. Sníží se také síla korekce, aby se pilotům už nemohlo stát, že je systém přetlačí.

„Tento systém neměl být nikdy schválen ani Boeingem, ani úřadem pro letectví,“ domnívá se Sullenberger. „Národní úřad pro bezpečnost v dopravě shledal, že Boeing se dopustil chyb jak při návrhu systému, tak v předpokladech ohledně reakce posádky na tento probém.“ Odkazuje tak na zářijovou zprávu, ve které NTSB píše o špatné implementaci a špatném testování MCAS.

Boeing se podle NTSB neřídil existujícími předpisy.

Hlavní problémy v původní implementaci systému MCAS vidí NTSB a mezinárodni komise JATR v následujících bodech:

• Boeing změnil parametry systému MCAS během vývoje a o těchto nových parametrech neinformoval agenturu FAA. 
• Boeing neotestoval systém MCAS v realistických podmínkách a počítal s tím, že piloti případný problém rozpoznají během čtyř sekund. 
• Boeing vyškrtl zmínku o systému MCAS z manuálu pro piloty.
• FAA nepřistoupil k certifikaci MCAS v kontextu práce pilota v kokpitu.
• Piloti byli zahlceni různými a protichůdními varováními.

Nejedná se zatím ani v jednom o úplné či konečné stanovisko. Vyšetřování nadále probíhá na mnoha úrovních, včetně občanskoprávních žalob.

Piloty Ethiopian Air 302 zaplavilo v rychlém sledu několik varování a alarmů: varování před klesáním, varování před možným nebezpečným stoupáním, roztočila se trimovací kola, klepal se knipl a přístroje udávaly rozcházející se hodnoty.

Je potřeba více změn, aby byla zajištěna bezpečnost

Sullenberger svým dopisem upozorňuje na to, že není vhodné uchylovat se ke klasickým taktikám obviňování pilotů: „Souhlasím s Langewieschem (autorem článku v NYT – pozn. red.), že pilot musí být vždy špičkově vycvičený a musí mít vždy situaci pod kontrolou. Nedostatečná expertíza pilotů a špatný výcvik pilotů jsou reálné problémy po celém světě. Nesmí se tím však omlouvat špatný návrh systému MCAS, který byl smrtelnou pastí.“

Sullenberger se s dalšími piloty shoduje i v tom, že nelze hledat jednu jedinou příčinu nehod: „Tyto lekce jsou vykoupené krví a my se těmito nehodami musíme poučit. A musíme opravit všechny chyby v současném systému: v systému korporátní zodpovědnosti, přístupu regulátorů, údržbě letadel a také výcviku pilotů a jejich kompetencí. Jedině tak můžeme zajistit bezpečnost všech cestujících v letecké dopravě.“

Aktualizace: Článek jsme rozšířili o další odkazy a informace z dříve publikovaných zpráv NTSB a JATR.