V listopadu 2018 se setkali zástupci firmy Boeing s pracovníky amerického úřadu pro letectví (FAA), aby je informovali o předběžných závěrech interního vyšetřování. Bylo to jen několik dní poté, co se zřítil letoun Boeing 737 MAX indonéských aerolinek (29. října 2018). Už tehdy ale bylo zřejmé, že se na nehodě podílel systém stabilizace, o kterém piloti vůbec netušili. A chováním systému, který za jistých okolností převzal řízení a tlačil letadlo k zemi, byli překvapeni nejen piloti, ale i zástupci FAA.
Federální úřad pro letectví (Federal Aviation Administration, FAA) má za úkol dohlížet na pravidla leteckého provozu. Stanovuje a ověřuje dodržování pravidel bezpečnosti.
„Seděli a nestačili se divit, když jim vysoce postavení šéfové Boeingu líčili jim dosud neznámé podrobnosti o fungování stabilizačního systému (MCAS),“ popisuje investigativní reportáž The New York Times s odkazem na zdroje z Boeingu i FAA. „Zaměstnanec FAA se v jednu chvíli zeptal: Jak je možné, že Boeing nedal FAA vědět, o tom, že se změnily parametry tohoto systému?“
To, že Boeing nedal FAA vědět o rozšířené působnosti stabilizačního systému MCAS, se ví již minimálně od března. Kromě přípomenutí již známých problémů ale nová reportáž přináší i detailnější pohled na to, jak blízko k sobě měl americký výrobce letadel Boeing s úřadem, který na něj má dohlížet.
Původně „zatajený“ systém MCAS v centru pozornosti
Reportáž například popisuje, jak překvapení zaměstnanci FAA byli, když se od zástupců Boeingu dozvěděli o onom stabilizačním systému MCAS. Ten se stal později nechvalně známým jako jedna z pravděpodobných příčin nehody Lion Air i Ethiopian Airlines. Dnes je proto tato zkratka takřka notoricky známá, v listopadu 2018 o systému ale vědělo jen velmi málo lidí. Nebyl uveden v manuálu ani v oficiálním dokumentu FAA popisujícím rozdíly mezi novým letounem 737 MAX a starší variantou NG.
Letoun Boeing 737 Max byl odpovědí amerického výrobce letadel na evropský Airbus A320neo. V Boeingu byl proto velký tlak na rychlý vývoj a testování toho letadla, každé zdržení by totiž mohlo znamenat, že aerolinky utratí své miliardy u konkurence.
MCAS měl za úkol stabilizovat letadlo v případě, že se nakloní čumákem vzhůru. Původně šlo o systém, který se měl aktivovat jen za určitých, velmi neobvyklých okolností, a měl relativně malá práva zasahovat do řízení. Pokud letadlo zaznamenalo vysoké přetížení a zároveň vysoký úhel náběhu, systém sklopil výškový stabilizátor, čímž pomohl vyrovnat letoun, aby se nedostal do nebezpečného stoupání. Zjednodušeně řečeno se MCAS staral o to, aby měl letoun 737 MAX stejné letové vlastnosti, na které byli zvyklí piloti předchozích verzí 737 a nebylo tedy potřeba dalších školení nebo certifikací.
Proč spadla letadla Boeing 737 MAX? Výrobce pospíchal (video Technet.cz)
Systém MCAS na žádost firmy Boeing nebyl zmíněn v manuálu pro piloty. Úřad FAA odsouhlasil žádost Boeingu, že může být zmínka o MCAS zcela vyškrtnuta. Boeing později uvedl, že MCAS nebyl zmíněn, protože nešlo o důležitý systém.
Mezitím ale jiné oddělení Boeingu systému zásadně předělalo a zvýšilo mu pravomoce zasahování do řízení. Nový MCAS mohl zasahovat opakovaně a místo 0,6 stupňů mohl výškovým stabilizátorem pohnout o 2,5 stupně.
Systém stabilizace MCAS je podle předběžného vyšetřování pravděpodobnou příčinou smrtelných nehod letounu Boeing 737 MAX 8.
Tato změna se ale nepromítla do hodnocení rizik systému. Podle nové reportáže NYT i předchozí reportáže Seattle Times byli inženýři FAA šokováni zjištěním, že byl systém MCAS takto mocný. Ve svých hodnoceních vycházeli z jeho původního popisu. Konečné schválení už pak provedla firma Boeing v rámci hromadného schvalování dílčích změn.
Zatím není zcela jasné, proč nebyla důležitost MCAS přehodnocena, je to předmětem nejednoho vyšetřování. Podle anonymního zdroje z Boeingu (citovaného australskou CBS) to bylo proto, že by systém závisející na dvou senzorech bylo potřeba označit za klíčový a musel by tak být součástí výcviku, což by odporovalo slibu aerolinkám, že další výcvik nebude třeba. Zda se takový úmysl prokáže, zatím není vůbec jisté. Stejně tak mohlo jít o velmi špatnou komunikaci podpořenou uspěchanými rozhodnutími a tlakem na dodržení slibů. Faktem zůstává, že systém MCAS dostal práva zasahovat do řízení prakticky neomezeně a závisel pouze na jednom jediném senzoru.
Senzory AoA (Angle of Attack, úhel proudění vzduchu) jsou dva, umístěné blízko čumáku letadla
Když pak selhal senzor úhlu náběhu, piloti zřejmě vůbec nevěděli, proč letadlo nekontrolovaně klesá. Poškozený seznor dával řídící jednotce chybné informace o tom, že letoun má čumák nakloněný nahoru, a systém MCAS ve snaze „stabilizovat“ letadlo naklonil výškový stabilizátor. Tento krok měl letadlo srovnat. Jenže protože data ze senzoru úhlu náběhu byla chybná, výškový stabilizátor naopak tlačil letadlo do nebezpečného klesání. Protože se MCAS s pětisekundovými přestávkami aktivoval opakovaně, brzy tlačil letadlo k zemi takovou silou, kterou piloti nedokázali přetlačit.
Poškozený senzor dává informace o tom, že je letadlo nebezpečně nakloněné vzhůru. Systém MCAS se proto opakovaně aktivuje a tlačí letoun dolů.
Selhání čidla náběhu a následná opakovaná aktivace systému MCAS je podle předběžných vyšetřování pojítkem obou smrtelných nehod.
Havárie let ET302 (12. března 2019)
V březnu 2019 havaroval Boeing 737 MAX patřící Ethiopian Airlines, zemřelo v něm 157 lidí, v říjnu 2018 havaroval stejný letoun indonéské společnosti Lion Air, v něm zahynulo 189 lidí.
Desítky letadel Boeing 737 MAX je zaparkováno poblíž budov Boeingu v Seattlu, některá stojí i na parkovišti pro zaměstnance. Letadla jsou uzeměna od března 2019.
Boeing později uvedl, že MCAS nebyl zmíněn, protože „nešlo o důležitý systém“. Teprve po více než dvou měsících od uzemění letadel 737 MAX šéf Boeingu uznal, že systém byl „špatně implementovaný“ a „špatně vysvětlený“.
FAA delegovala až 96 % své práce na výrobce letadel
Problémy se ale netýkají jen jednoho konkrétního systému. Kritici už dlouho upozorňují na to, že změny, které úřad FAA přijal v roce 2005, vedly k příliš horlivé spolupráci kontrolorů z FAA s výrobci letadel, především pak s největším americkým výrobcem, firmou Boeing.
Nové postupy umožnily FAA ušetřit velké množství lidských zdrojů, času i peněz, a to tak, že velká část certifikace byla převedena právě na výrobce. „FAA na nás v podstatě delegovala více své práce, včetně dohledu a kontroly,“ popsal Tom Heineman, bývalý zaměstnanec firmy Boeing. Tento styl spolupráce si pochvaloval, protože ubylo byrokracie. A FAA ušetřilo peníze i čas.
V roce 2018 to došlo do situace, kdy FAA na výrobce letadel delegovala 96 procent své práce, uvedl jeden ze zaměstnanců FAA. Lidé z Boeingu tak kontrolovali sami sebe, respektive své kolegy, což pochopitelně mohlo vést ke střetu zájmů, zvláště v situaci, kdy firmě Boeing hrozily velké ztráty, pokud by se testování letadla protáhlo proti plánu. Jak je vidět na systému MCAS, úřad pověřený kontrolou a dohledem nedostal někdy k dispozici reálné údaje o tom, co v letadle je a jak to funguje.
Manažeři FAA nechtěli Boeingu zkazit časový harmonogram
Dokonce ani v případě, že kontrolor z FAA nějaký problém odhalil, nebylo jisté, že FAA prosadí změnu. Mohlo se totiž stát, že výše postavení manažeři upřednostnili zájmy výrobce a problém zametli jako nedůležitý. Bylo tomu tak třeba v případě úpravě kabeláže letadla kvůli novým motorům.
Motor CFM LEAP-1B navržený pro Boeing 737 MAX. Velký a úsporný motor byl hlavní inovací varianty 737 MAX.
Pět lidí z Boeingu popsalo reportérům New York Times bitvu, kterou svedli inženýři z FAA se svým vlastním vedením. Upozornili totiž na to, že kabeláž ke směrovce by za určitých okolností mohla být novým (větším) motorem snadno poškozena. Navrhli, aby Boeing pro všechny případy zavedl i náhradní kabely vedoucí k zadní směrovce..
„Vývojáři Boeingu se takové změně bránili. Namítali, že je velmi nepravděpodobné, aby došlo k poškození kabelů motorem,“ popisuje článek spor techniků na straně FAA a Boeingu. Odborníci z FAA trvali na tom, že změna je nezbytná pro zajištění bezpečnosti. Narazili ale u svých vlastních manažerů. V červenci 2015 rozhodl šéf pobočky FAA v Seattlu, že změna není důležitá. „Manažeři FAA uznali, že 737 MAX nesplňuje požadovaná kritéria, ale vzápětí dodali, že „požadovaná změna by byla v této fázi vývoje nepraktická“ a narušila by harmonogram uvedení Boeingu 737 MAX na trh.
Technici FAA byli tímto manažerským rozhodnutím údajně rozhořčeni a obrátili se na interní vyšetřovací orgán FAA. Ten dal o dva roky později technikům za pravdu: manažeři FAA tím, že upřednostnili zájmy Boeingu, „vytvořili atmosféru nedůvěry, která omezuje schopnost FAA efektivně konat svou práci.“ Ale už bylo pozdě, v té době už byla kabeláž schválená a montovala se do letadel.
Daniel Elwell, výkonný ředitel FAA, odpovídá na otázky senátního výboru v březnu 2019
Jaká je vůbec úloha úřadu FAA? Jakou roli hrál úřad při certifikaci letounu Boeing 737 MAX? Jak má FAA postupovat v případě, že nalezne nesrovnalosti? A co vlastně kontroloři v FAA věděli nebo nevěděli o stabilizačním systému MCAS? Právě probíhá několik souběžných vyšetřování, která zřejmě časem do těchto otázek vnesou více světla.
Budou to nepohodlné momenty nejen pro zástupce Boeingu a FAA. Ukáže se totiž zřejmě, jak drahá je bezpečnost a jak snadné je upřednostnit čas a peníze na úkor pečlivě připravených postupů. Už nyní je zřejmé, že došlo k selhání minimálně na několika místech, a to dávno před tím, než Boeing doručil aerolinkám první letoun Boeing 737 MAX.
Oprava: Opravili jsme překlad v pasáži o kabelech. Upřesnili jsme citaci v článku. Za nepřesnost se omlouváme.
