Chaos v kokpitu. Úřad kritizuje Boeing, piloti nemohli vnímat vše naráz

  12:00aktualizováno  15:44
Testování nových letadel musí odpovídat reálným scénářům, stojí v nových doporučeních amerického úřadu pro bezpečnost v dopravě. U letounu Boeing 737 MAX kritizuje implementaci stabilizace MCAS. Při selhání senzorů zahltilo piloty velké množství varování, což přispělo k oběma smrtelným nehodám.

Implementace MCAS nevzala v úvahu zátěž pilotů, tvrdí předběžná zpráva NTSB. | foto: montáž: Pavel Kasík, Technet.cz

Nová zpráva NTSB

Předběžné závěry NTSB a doporučení pro zlepšení procesů týkajících se testování...

Text je k dispozici na webu NTSB (PDF) a má formu doporučení pro FAA, nejde o závěrečnou zprávu.

Čtyři sekundy. Tolik času měli piloti na správné vyhodnocení protichůdných varování, která na ně blikala, křičela a vibrovala po celém kokpitu. Po pěti sekundách se totiž znovu aktivoval systém, který stlačil příď letounu dolů. Piloti tak měli plné ruce práce s udržením příď ve vzduchu, a neměli čas řešit „banální“ problém, který se jim po několika minutách čím dál obtížnějšího přetahování stal osudným.

Podle simulací firmy Boeing se ale testovací piloti ve čtyřech sekundách dokázali zorientovat, odhalit, co nefunguje, a zabránit tak eskalaci problému. I na základě tohoto testu pak federální úřad pro letectví (FAA) schválil letoun Boeing 737 MAX v březnu 2017.

Nové letadlo bylo od začátku prodejní hit. Ještě před certifikací se Boeing 737 MAX stal nejprodávanějším (nejobjednávanějším) modelem v historii Boeingu i v historii hromadné dopravy vůbec. Ale pak přišla nehoda indonéské společnosti Lion Air v říjnu 2018 a pád stejného typu letadla Ethiopian Air v březnu 2019. Krátce na to byly letouny uzemněny, protože se ukázalo, že v obou nehodách hrál roli stabilizační systém MCAS.

Jak fungoval MCAS a proč bez něj nemohly 737 MAX létat:

Tento systém má za úkol vyrovnávat některé konstrukční odlišnosti nového letadla 737 Max. Protože však z jednoho senzoru dostával špatné informace o sklonu letadla, namísto vyrovnání stlačil příď letadla dolů.

Nová zpráva NTSB potvrdila, že systém stabilizace MCAS je podle předběžného vyšetřování pravděpodobnou příčinou obou smrtelných nehod letounu Boeing 737 Max 8. Důležité je poznamenat, že tato zpráva NTSB není závěrečnoou zprávou o nehodách a už vůbec nemá být nějakým definitivním rozseknutím toho, kdo za co může. Jde o sadu doporučení pro FAA a další úřady, jak se z těchto nehod poučit v jedné konkrétní oblasti. Můžeme jí říkat přehlednost nebo ergonomie v momentu, kdy v kokpitu nastane neobvyklá situace.

Boeing podcenil zmatek v kokpitu

Úřad NTSB prostudoval, jakým způsobem firma Boeing testovala stabilizační systém MCAS. Jejich předběžná zpráva potvrdila řadu již známých informací: zmiňuje třeba (ale nijak nerozvádí), že se ze systému s původně malými pravomocemi stal systém, který mohl do řízení zasahovat téměř neomezeně.

Zásadní byl časový tlak na piloty. „Pilot mohl působení systému MCAS kdykoli přerušit za použití výškových stabilizátorů na kniplu,“ uvádí zpráva. „Pokud však přetrvávaly podmínky, na základě kterých se MCAS aktivoval, po pěti sekundách od přerušení systém znovu stlačil příď letadla k zemi.“ Boeing předpokládal, že to je dostatečný čas na to, aby pilot na situaci zareagoval.

Externí obrázek

Poškozený senzor dává informace o tom, že je letadlo nebezpečně nakloněné vzhůru. Systém MCAS se proto opakovaně aktivuje a tlačí letoun dolů.

Tento předpoklad firma testovala, ale tento test podle NTSB nebyl dostatečný. Boeing během certifikace navodil v simulátoru hypotetickou situaci, při které se systém MCAS spustí bezdůvodně. Při testech piloti – mimochodem specialisté firmy Boeing – dokázali na nenadálé klesání rychle zareagovat a pomocí známé procedury (tzv. stabilizer runaway) stabilizaci vypnout.

Z jiných zpráv víme, že Boeing v této souvislosti piloty označil za „součást systému“, čímž mimo jiné zdůvodnil, proč není potřeba napojit MCAS na více než jeden senzor. Dále je známo, že FAA letoun schválila, aniž znala konkrétní parametry systému.

Senzor úhlu náběhu (Angle of Attack, AoA)

Senzor úhlu náběhu (Angle of Attack, AoA)

Podle NTSB test „uživatelské přívětivosti“ nebyl realistický. Boeing totiž otestoval jen izolovanou chybu, nikoli situaci, která by k chybě mohla vést, třeba selhání senzoru úhlu náběhu (AoA). Při jeho poškození může zároveň dojít k velkému množství chyb. Výsledkem je několik zdánlivě nesouvisejících, nebo dokonce protichůdných alarmů, které musejí piloti řešit.

„Specifické problémy, které mohly vést k bezdůvodné aktivaci MCAS (jako například špatné hodnoty z poškozeného senzoru AoA), nebyly součástí funkčních testů ověřujících reakce pilotů na dané nebezpečí,“ kritizují inspektoři. „Výsledkem bylo, že nebyly simulovány další okolnosti v kokpitu, jako je třeba hlášení o rozdílné rychlosti, hlášení o rozdílné výšce nebo aktivace vibračního varování.“

Příliš mnoho varování naráz

Podle odborníků z NTSB nedodržel Boeing vlastní ani federální zásady letecké bezpečnosti. Ty říkají, že varování v kokpitu musí:

  • dát pilotům dostatek informací na to, aby odhalili neobvyklou okolnost nebo neobvyklý stav systému letadla.
  • musí být zřejmé, jak má pilot na danou situaci reagovat
  • varování musí být evidentní a rozlišitelné za všech předvídatelných okolností, a to i v případě, že se v jednu chvíli spustí více alarmů naráz.

Právě k vícenásobným varováním došlo v případě obou nehod. Piloti tak měli čtyři nebo pět sekund na to, aby vyhodnotili celou řadu protichůdných varování.

Piloty Ethiopian Air 302 zaplavilo v rychlém sledu několik varování a alarmů:...

Piloty Ethiopian Air 302 zaplavilo v rychlém sledu několik varování a alarmů: varování před klesáním, varování před možným nebezpečným stoupáním, roztočila se trimovací kola, klepal se knipl a přístroje udávaly rozcházející se hodnoty (ilustrační koláž).

Ve chvíli, kdy piloti reagují na vážná varování, třeba tzv. stick shaker (tedy vibrace kniplu upozorňující na hrozbu kriticky nízké rychlosti), není procedura pro úpravu „nepřesného“ vyrovnání letadla to první, co pilota napadne. Ostatní varování totiž „křičí“ mnohem více a pilot musí v první řadě zajistit, aby se letadlo nedostalo do kritické situace. Piloti nevěděli, kterým varováním mohou věřit, a to vyvolalo další „kognitivní náklad“.

První příkaz ve známé poučce “Aviate, Navigate, Communicate“ zdůrazňuje, že pilot se musí v prvé řadě starat o to, jak letadlo letí, teprve pak může řešit další věci. V tomto případe byla varování ohledně rychlosti a sklonu falešná, způsobená vadným senzorem úhlu náběhu (AoA). A stejný senzor způsobil i aktivaci MCAS, který s každou aktivací nabíral na síle, brzy již nešel přetlačit a o několik minut později se posádkám a jejich pasažérům stal osudným.

„Ve všech letech (kde došlo k aktivaci MCAS v důsledku chyby AoA senzoru, pozn. red.) byli piloti vystaveni mnohanásobným varováním, což zvýšilo jejich pracovní zátěž. Protože šlo o kombinaci alarmů, nezačali piloti okamžitě řešit proceduru odpovídající poruchu ovládání výškového stabilizátoru (runaway stabilizer),“ uvádí zpráva. Reakce pilotů byly různé, ani v jednom případě neodpovídaly těm reakcím, které Boeing předvídal ve svých testech a na kterých založila FAA certifikaci letounu.

To, že byl chybně aktivovaný MCAS problémem, který pilotům znesnadnil řešení situace, ostatně opatrnými slovy uznal i šéf Boeingu, když v květnu 2019 poprvé potvrdil, že byl systém MCAS implementovaný špatně: „Víme, že se software MCAS několikrát aktivoval (bezdůvodně), což přidělalo práci pilotům.“

Testy se musí změnit

Přestože nejde o závěrečnou zprávu, NTSB zde jasně ukazuje, co považuje za problém, který si vyžaduje obecnější řešení: „Boeing sice předvídal, že by se MCAS mohl aktivovat bezdůvodně, nezhodnotil však varování a indikace, které by se objevily za různých okolností, které k této bezdůvodné aktivaci mohly vést.“ Jinými slovy: nestačí vyzkoušet, že piloti si poradí s izolovanou chybou. Tu je potřeba simulovat v kontextu toho, co k ní mohlo vést. „Piloti nevěděli, čemu dát prioritu.“

NTSB vydalo sérii doporučení pro FAA, jak lépe testovat reálné hrozby.

NTSB vydalo sérii doporučení pro FAA, jak lépe testovat reálné hrozby.

Ve svých doporučeních proto NTSB žádá FAA, aby v dalších testech zajistilo komplexní otestování různých problémů nikoli izolovaně, ale v realistických scénářích. To stejné by podle NTSB měly udělat i další mezinárodní certifikační autority. „Chceme, aby byly certifikace letadel prováděny i s ohledem na ergonomii,“ uvedla Dana Schulzeová, ředitelka NTSB.

„Boeing úplně ignoroval, pod jakou záplavou alarmů piloti budou, jak budou zaskočeni,“ souhlasil se zprávou NTSB mluvčí Dennis Tajer z odborů pilotů American Airlines. „Nevěděli jsme, že ten systém (MCAS) je tak mocný, neoblomný a děsivý.“

„Pro návrh letadla se použily předpoklady, které nevycházely z reálných zkušeností pilotů,“ shrnuje zprávu Robart Sumwalt, předseda NTSB. „V reálné situaci ale byli piloti zahlceni velkým množstvím upozornění a alarmů naráz.“

Vyšetřování pokračuje

FAA potvrdila, že doporučení přijala a bude se jimi řídit. To může ovlivnit a eventuálně protáhnout proces certifikace uzemněných Boeing 737 MAX, do nichž Boeing již dodal opravený software. Firma Boeing potvrdila, že „si váží toho, co dělá NTSB pro bezpečnost letecké dopravy, a je připravena spolupracovat s FAA při implementaci doporučení NTSB.“

Odstavené letouny 737 MAX na parkovišti Boeingu v Seattlu

Odstavené letouny 737 MAX na parkovišti Boeingu v Seattlu

Jedním ze způsobů, jak by se testy letadel mohly vylepšit, by podle šéfky NTSB mohlo být zapojení náhodně vybraných pilotů. Tím by odpadl střet zájmů a profesionální deformace testovacích pilotů, kteří jsou k testům využíváni dnes. Lidský faktor je při nehodách často klíčový a podle odborníků je proto důležité, aby piloti měli jasný přehled o dění i v situaci, kdy jde do tuhého a zní více alarmů zároveň.

Zpráva nezmiňuje, že Boeing nezajistil dvojitou kontrolu systému MCAS, a místo toho nechal tuto kontrolu na pilotech. Ti měli v případě selhání senzoru AoA kokpit plný nesouhlasných varování a nemohli tak zareagovat stejně rychle, jako reagovali experti firmy Boeing na izolovanou poruchu MCAS.

Nejde ostatně zdaleka o poslední zprávu týkající se nehod Boeingu 737 MAX. Nadále probíhá souběžně několik různých vyšetřování obou nehod. Indonézské vyšetřování je údajně skoro hotové, a závěry viní mimo jiné firmu Boeing z chyb v návrhu letadla. Americké i mezinárodní úřady zkoumají mimo jiné i roli, kterou v nehodách sehrála firma Boeing a agentura FAA. Zpráva NTSB je tak jen dalším dílkem do skládačky.

Obrázek, který nabývá pevné obrysy, v tuto chvíli pro firmu Boeing nevyznívá dvakrát příznivě. Aby se firma vzpamatovala ze ztrát, potřebuje nejen dostat do vzduchu 737 MAX, ale také si získat zpět důvěru pasažérů a pilotů. Manažeři firmy Boeing teď zřejmě nevědí, na který z alarmů reagovat dříve. Na rozdíl od pilotů na to mají více času než několik sekund.

Aktualizace: Do článku jsme doplnili vyjádření předsedy NTSB, odkazy na probíhající vyšetřování a informace o připravované zprávě indonéských vyšetřovatelů.


Líbí se vám naše články? Hlasujte pro nás v anketě Křišťálová lupa 2019. Povzbudíte tak tvorbu takovýchto podrobných textů. Děkujeme!

Hlasovat pro Technet.cz

Autor:

Přechod na DVB-T2

Od 27. 11. bude zahájen postupný přechod na vysílací standard DVB-T2. Proces by měl být dokončen do poloviny roku 2020. Diváci si tak musí pořídit televizi s podporou kódování H.265 (HEVC) nebo starší televizi doplnit vhodným set-top boxem.

  • Nejčtenější

Poslední přistání chtěli utajit. Přístroje se tak třásly, že nešly odečíst

Do přistání zbývá 20 sekund a i teď přijde celá akce kapitánovi Kallbachovi jako šílený nápad. Krátká a ještě ke všemu...

Příprava na šílené přistání. IL-62 bude doslova lízat vrcholky stromů

Osmdesátitunový Iljušin IL-62 přistál na hrbolaté travnaté louce na kopci za lesem. To není začátek nepovedeného vtipu,...

Nejlepší zkratka, kterou neznáte. Snímek obrazovky oříznete za sekundu

Jak nejrychleji udělat screenshot? Na vytvoření snímku obrazovky existuje řada specializovaných programů. Pokud ale...

Premium

Špičkový výrobek i po letech funguje. Kvůli hloupé chybě je však k ničemu

Snoubení spotřební elektroniky a počítačů provázely porodní bolesti, které jsou z dnešního pohledu absurdní a...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Model dronu Airbusu ukazuje technologie budoucí evropské stíhačky

Společnost Airbus v jihoněmeckém Manchingu odtajnila program bezosádkového stealth letadla LOUT (Low Observable UAV...

Premium

Kořeněná jídla ani káva neškodí, vyvrací profesor Tesař letité mýty

Kola je pro ledviny hrob. Nejlepší je nesolit a nejíst ostrá exotická jídla. Alkohol dokáže „propít“ ledviny, které je...

Premium

Hra o 80 tisíc: kolik peněz navíc mohou rodiče získat a jak to udělat

Rodičovský příspěvek se od ledna zvýší ze současných 220 tisíc korun až na celkových 300 tisíc. MF DNES přináší návod –...

Premium

Test celoročních pneumatik. Jak si vedou za sucha, za mokra a na sněhu

K celoročním pneumatikám výrobci přistupovali po dlouhá léta macešsky. Konečně se však vrátily do jejich přízně....

  • Další z rubriky

Donald Knuth: Programming is like nothing else. Become friends with geeks

Telling the computer what to do is unlike any other task in the world. Algorithms are now everywhere. Not everyone...

Příprava na šílené přistání. IL-62 bude doslova lízat vrcholky stromů

Osmdesátitunový Iljušin IL-62 přistál na hrbolaté travnaté louce na kopci za lesem. To není začátek nepovedeného vtipu,...

Premium

Sexrobotky ignorujte, říká expertka. Radši malým dětem vysvětlete porno

Technologie proměňují náš život a zasahují do naší ložnice. Není jednoduché o tom mluvit, sex a nahota jsou tabu....

Za pád 737 MAX v Indonésii může 9 chyb: Boeing, FAA, mechanici i piloti

Nehodu letounu Boeing 737 MAX indonéské společnosti Lion Air, který se loni v říjnu zřítil do Jávského moře, způsobily...

Akční letáky
Akční letáky

Všechny akční letáky na jednom místě!

Najdete na iDNES.cz