Boeing tajil změny, úřad pokazil certifikaci, kritizuje zpráva 737 Max

Výsledky první závěrečné zprávy potvrzují předchozí podezření. Systém stabilizace MCAS byl výsledkem chybných dat od firmy Boeing a nedostatečné práce certifikačního úřadu FAA. Zjistila to mezinárodní komise, která vydala zprávu o tom, co poslalo k zemi dva letouny Boeing 737 Max.

Dlouhé vyšetřování nehod dvou letadel Boeing 737 MAX, při kterých zemřelo 346 lidí, přineslo první závěrečnou zprávu. První z mnoha, protože vyšetřování probíhá souběžně z několika úhlů a v rámci několika úřadů. Závěrečná zpráva mezinárodní komise (Joint Authorities Technical Review – JATR), ustanovené americkým Federálním úřadem pro letectví (FAA), má 69 stran a shrnuje závěry půlročního vyšetřování.

Mezinárodní komise složená z odborníků FAA, NASA, evropských regulátorů a také zástupců z Číny nebo Brazílie se zaměřila na to, co oběma nehodám předcházelo: na způsob, jakým byl letoun Boeing 737 MAX v letech 2015 až 2017 testován, schvalován a nakonec certifikován k letu. Komise, která při vyšetřování vychází z výpovědí zaměstnanců firmy Boeing, zaměstnanců FAA i průběžné a závěrečné dokumentace, potvrdila předchozí podezření. Ve svých závěrech vyjmenovává závažné chyby u firmy Boeing i u regulátora FAA:

• Boeing změnil parametry systému MCAS během vývoje a o těchto nových parametrech neinformoval agenturu FAA.
• Boeing neotestoval systém MCAS v realistických podmínkách a počítal s tím, že piloti případný problém rozpoznají během čtyř sekund.
• Boeing vyškrtl zmínku o systému MCAS z manuálu pro piloty.
• FAA hodnotila systém MCAS nesystematicky a izolovaně, namísto toho, aby zvážila fungování systému v rámci širších souvislostí.
• FAA nebyla dostatečně zapojena během vývoje letadla.

Zpráva doporučila Federálnímu úřadu pro letectví, aby do budoucna zlepšil proces certifikace. Systémy musejí být hodnoceny v kontextu letu. K podobnému závěru došel i americký vyšetřovatel leteckých nehod NTSB ve zprávě z konce září.

Piloty Ethiopian Air 302 zaplavilo v rychlém sledu několik varování a alarmů: varování před klesáním, varování před možným nebezpečným stoupáním, roztočila se trimovací kola, klepal se knipl a přístroje udávaly rozcházející se hodnoty.

„Ve všech letech (kde došlo k aktivaci MCAS v důsledku chyby AoA senzoru – pozn. red.) byli piloti vystaveni mnohanásobným varováním, což zvýšilo jejich pracovní zátěž. Protože šlo o kombinaci alarmů, nezačali piloti okamžitě řešit proceduru odpovídající poruše ovládání výškového stabilizátoru (runaway stabilizer),“ uvedlo NTSB. Ke stejnému závěru nyní došla i mezinárodní komise JATR: „FAA mělo zpochybnit předpoklad Boeingu, že piloti dokážou nefunkční MCAS identifikovat během čtyř sekund.“

Úřad FAA se snaží napravit pošramocenou pověst

Zpráva JATR mluví velmi kriticky o práci Boeingu i FAA: „Absence sjednoceného a uceleného pohledu na celý vývoj a bezpečnostní analýzu, spolu s rozsáhlou a útržkovitou dokumentací, měla za následek obtížnou analýzu celkové letuschopnosti,“ píše se v závěrech.

Stabilizační systém MCAS a jeho problémy

Nový Boeing 737 Max potřeboval velké úsporné motory, aby mohl konkurovat Airbusu A320neo. Kvůli nižšímu podvozku však museli konstruktéři motor posunout více před křídlo. Tím se změnily letové vlastnosti stroje. Boeing však slíbil, že nová „sedm tři sedmička bude létat stejně jako ty předchozí.

A tak se zrodil MCAS (Maneuvering Characteristics Augmentation Systém), tedy systém zaručující, že se letadlo bude chovat stejně jako to předchozí. Nový automat, nezávislý na ostatních autopilotech, se aktivuje ve chvíli, kdy se letadlo dostává do nebezpečného úhlu náběhu a hrozí mu pád kvůli takzvanému přetažení. V tu chvíli MCAS využil výškový stabilizátor k upravení úhlu náběhu.

Piloti jsou zvyklí na to, že autopilot se nechá přetlačit, stačí, když vezmou za knipl. Ale protože MCAS je navržený pro mezní situace, dostal možnost na deset sekund přetlačit pilota. Pak pět sekund vypne. Pokud nebezpečný úhel přetrvává, opět se aktivuje na deset sekund. Pak se na pět sekund vypne a tak dále.

Systém MCAS si bere informace ze senzoru úhlu náběhu. Každé letadlo má dva tyto senzory, systém MCAS však čerpal data pouze z jednoho. A právě to podle předběžného vyšetřování dostalo do problémů posádky Boeingů 737 Max v Indonésii a Etiopii.

Senzor úhlu náběhu (Angle of Attack, AoA)

Buletin od společnosti Boeing pro Etiopské aerolinky z listopadu 2018, který „připomíná, že chybná data z AOA senzoru mohou vést řadě problémů.“

Sytém, který měl piloty zachránit v kritické situaci, naopak tuto kritickou situaci zavinil. Poškozený senzor tvrdil, že letadlo je příliš nakloněné vzhůru, a MCAS začal tlačit letadlo k zemi. Piloti jej nedokázali přetlačit ani vypnout, vše se odehrálo během několika minut.

Boeing o potenciálním problému se systémem MCAS věděl už před první nehodou, a to díky reakcím pilotů i vlastních zaměstnanců. Až po druhé nehodě a uzemnění celé flotily 737 Max však firma Boeing veřejně slíbila, že systém MCAS opraví. Nově si bude brát data z obou senzorů úhlu náběhu a nebude se aktivovat opakovaně. Sníží se také síla korekce, aby se pilotům už nemohlo stát, že je systém přetlačí.

Komise dále kritizuje, že úřad delegoval značnou část certifikace na firmu Boeing, která tak do značné míry kontrolovala sama sebe. „Delegace sama o sobě, při dostatečném dohledu, neznamená ohrožení bezpečnosti,“ podotýká zpráva. Jenže v případě certifikace 737 Max měl FAA „nedostatečné a neúplné informace o fukčnosti MCAS, což spolu s nedostatečným zapojením do procesu certifikace vedlo v nemožnost nezávislého posouzení systému MCAS tak, jak jej Boeing navrhl.“

Důsledkem přílišného zapojení Boeingu do procesu certifikace byl také „nemístný tlak na zaměstnance Boeingu“, kteří byli ve střetu zájmů a nesplňovali tak kritéria FAA pro nezávislé zhodnocení.

MCAS byl utajený a měl data jen z jednoho senzoru

Dokument označuje systém MCAS za „společný znak“ obou nehod, nepouští se však do jeho detailní analýzy. Konstatuje nicméně již známá fakta: MCAS nebyl zmíněn v manuálu pro piloty a v průběhu vývoje Boeing výrazně změnil parametry systému, aniž o tom informoval FAA.

Komise také doporučila FAA, aby Boeing 737 Max otestovala s deaktivovaným i aktivovaným MCAS. Vyzkoušet má především mezní podmínky (tzv. přetažení – stall,tedy situaci, kdy letoun stoupá při nedostatečné rychlosti). Jedině tak je prý možné posoudit funkčnost a potřebnost MCAS a identifikovat, zda je systém nezbytný a jaký vliv má na bezpečnost. Boeing označil MCAS nikoli za „systém, který má zabránit přetažení“ (anti-stall), ale za systém, který má zajistit, že se v mezních situacích chová letadlo z pohledu pilota stejně jako předchozí 737 NG.

Doporučení mezinárodního panelu mohou podle odborníků oslovených The New York Times zpozdit už tak protahované testování softwarové záplaty 737 Max. Většina doporučení prý však již byla implementována do současné záplaty software 737 Max, který se nyní testuje.