Indonéský úřad pro bezpečnost dopravy KNKT (National Transportation Safety Committee of Indonesia) zveřejnil v pátek 25. října 322stránkovou závěrečnou zprávu o vyšetřování katastrofy letadla Boeing 737 MAX společnosti Lion Air (PK-LPQ), při které zahynulo 189 osob. Ta je především zdrcující kritikou konstrukce letadla 737 MAX a jeho certifikace, ale zároveň poukázala také na řadu dalších problémů, které větším či menším dílem ke katastrofě přispěly. Úřad na zprávě spolupracoval s americkým protějškem NTSB a úřady pro vyšetřování nehod Austrálie, Malajsie a Singapuru.
Zpráva přináší detailní popis událostí, která přesně před rokem stála životy 189 osob. Je kritická k údržbě ve společnosti Lion Air i k činnosti posádek Lion Air, jakož i k floridské firmě, která dodala kritické komponenty letadla v defektním nastavení. Jak to v takových případech bývá, bylo špatně vše, co mohlo být.
Zpráva vytýká Boeingu systém MCAS (Maneuvering Characteristics Augmentation System), v jehož návrhu ani certifikaci nebyla odpovídajícím způsobem zohledněna pravděpodobnost ztráty kontroly nad letadlem. Systém nemá požadovanou nadbytečnost (redundanci) a neodpovídá požadavku bezpečnosti při poruše. V důsledku toho může aktivaci MCAS způsobit chybný údaj jediného čidla. Činnost systému nebyla správně interpretována regulátorovi FAA a ani piloti neměli o existenci a fungování systémů žádnou informaci.
Nezahrnutí, resp. vypuštění informace o MCAS z dokumentace k letadlu a dokumentace pro výcvik posádek výrazně snížilo šance, že posádka bude schopna včas diagnostikovat problém a zasáhnout do řízení tak, aby odvrátila nebezpečí. To ještě dále zhoršila nefungující indikace „AoA disagree“, a to jak pro posádku, tak pro obslužný personál v údržbě. O závadě v indikaci Boeing věděl, ale zamlčel jí jak regulátorovi, tak provozovatelům letadel.
Během certifikačních testů byl soulad MCAS s požadavky předpisu 14 FAR25.672 demonstrován zkušebními lety. Nicméně ty byly prováděny vysoce kvalifikovanými zkušebními piloty, kteří mají nadprůměrnou znalost letadla a jeho systémů. Linkoví piloti mají odlišné znalosti a dovednosti než zkušební piloti.
Vyšetřování rovněž potvrdilo, že Boeing svévolně změnil konstrukci MCAS tak, že systém povolil výchylku stabilizátoru místo původních 0,6° na 2,5°, čímž vznikl daleko větší moment způsobený stabilizátorem, než bylo specifikováno v certifikačních dokumentech posuzujících bezpečnost letadla. O této změně nebyl regulátor FAA informován, a proto nebyl schopen přehodnotit bezpečnost konstrukce.
Zmíněný softwarový defekt v signalizaci „AoA disagree“ dále přispěl k tomu, že posádka nebyla schopna pochopit, co se s řízením děje. Neexistence jakékoliv informace o MCAS v dokumentaci k letadlu a výcvikových materiálech pro piloty znamenala, že pro piloty bylo obtížné určit problém a korigovat chování letadla.
Kritické čidlo měření úhlu náběhu (AoA) bylo z „druhé ruky“ a dodáno po opravě floridským dodavatelem, a to v defektním stavu. Z dokumentace údržby Lion Air se nepodařilo zjistit, zda bylo defektní čidlo po jeho montáži do letadla na letu předcházejícím let tragický vůbec testováno.
Zpráva hodnotí kriticky výkon pilotů letu JT610, zejména druhého pilota, jakož i nízkou úroveň součinnosti posádky. Dokumentace prokázala, že druhý pilot měl problémy s ovládáním letadla a znalostí procedur již během výcviku. Během letu nepostupoval podle relevantního check listu a nezastavil činnost MCAS.
Poté, co systém MCAS začal samovolně intervenovat do řízení a vice než 20x posílal letadlo k zemi, předal kapitán řízení druhému pilotovi, který nebyl schopen pád letadla odvrátit.
Pozůstalí po obětech katastrofy jsou přesvědčeni, že zpackaná certifikace a absence jakýchkoliv informací o existenci a činnosti systému MCAS jsou natolik prokazatelné a závažné, že jejich žaloba bude úspěšná.
28. října 2018, den před tragickým letem, bylo vyměněno levé čidlo úhlu náběhu (AoA), které poskytovalo špatné údaje. Čidlo bylo instalováno během opravy v Denpasaru. Ihned po vzletu z Denpasaru čidlo indikovalo údaj s chybou 21°, což nasvědčuje jeho chybné kalibraci u dodavatele XtraAerospace. Součástí dokumentace čidla měl být písemný záznam o kalibraci, který ale nebyl nikdy dohledán. Přesto, že po instalaci nového, resp. repasovaného čidla měla být provedena kontrola, vyšetřovatelům se také nepodařilo najít žádný doklad, který by takovou kontrolu prokázal. Mechanik sice ujišťuje, že kontrolu provedl a doložil fotografiemi, není však jasné, zda pochází z inkriminovaného letadla.
Vyšetřovatelé rovněž zjistili, že v říjnových záznamech Lion Air o údržbě chybí 31 stránek.
Nové, resp. repasované čidlo AoA dodal certifikovaný dodavatel Xtra Aerospace z Miramaru na Floridě a je prokázáno, že čidlo bylo vadné a vykazovalo odchylku 21° proti čidlu na pravé straně. Jak známo, Boeing 737 MAX má pouze dvě čidla AoA, přičemž MCAS pracuje pouze na základě údajů jediného čidla. V tomto případě vadného.
Procedury Xtra Aerospace nevyžadovaly finální kontrolu součásti, přičemž zpráva uvádí, že FAA, která procedury schvalovala, přehlédla, že postupy jsou neefektivní. Součástí čidla měl být písemný záznam o kalibraci, který nebyl vypracován. Na základě zjištěných závad odebrala v pátek FAA společnosti Xtra Aerospace licenci. Vyšetřovací zpráva však kritizuje FAA za nedostatečný dohled.
Při letu dne 28. října, tj. posledním letu před katastrofou, způsobilo defektní čidlo AoA aktivaci MCAS. MCAS dostával vstupy z defektního čidla a systém usoudil, že letoun letí na mezním úhlu náběhu v prudkém stoupání. Nasměroval proto nos letadla dolů. Protože Boeing neinformoval o existenci systému MCAS a na letounech předchozí generace MCAS není, posádka si podivné chování řízení nedokázala nijak vysvětlit. V kabině letu byl na jump seatu pilot společnosti mimo službu, který pomohl posádce orientovat se v situaci a odpojil elektrický přívod k vyvažování (trimu), načež se posádce podařilo kontrolu nad letadlem obnovit. Po diskusi se tři piloti rozhodli systém zapojit, což opět spustilo zásahy MCAS do řízení. Poté bylo napájení definitivně odpojeno. Místo odklonu na nejbližší letiště však letoun pokračoval do cílové destinace. Pro úplnost nutno dodat, že vyřešení problému odpojením napájení trimů Boeing ve své dokumentaci nepředpokládal.
Po přistání kapitán tohoto letu sepsal neúplné hlášení o závadě a zejména nezmínil fakt, že řízení posílalo letoun opakovaně k zemi a nezmínil, že problém vyřešilo vyřazení el. pohonu. Tato vážná opomenutí neumožnila technikovi správně diagnostikovat problém ani pochopit, že jde o smrtelně vážný problém. O tom se měla přesvědčit teprve posádka letu JT610 druhého dne ráno.
Jak již bylo zmíněno, zpráva podrobně popisuje vážné konstrukční nedostatky systému MCAS. Mezi nimi fakt, že na letadlech nefungovala signalizace „AoA disagree“, která měla upozornit piloty, že čidla poskytují různé hodnoty.
Jak se potvrdilo, systém byl v důsledku závady softwaru funkční pouze na letadlech, která byla vybavena dalšími nepovinnými doplňky. Ty však Lion Air nepořídil. Boeing sice o závadě systému věděl, ale provozovatele ani FAA nevaroval. Podle zprávy tak systém letadla zamlčel pilotům důležité informace o abnormální situaci. Boeing plánoval závadu vyřešit až s výrobou 737 MAX 10 v roce 2020.
Hlavní problém však zpráva shledává v samotném fungování systému MCAS a vyhodnocení jeho bezpečnosti. Tuto práci delegoval během certifikace americký regulátor FAA na pracovníky Boeingu.
Závislost bezpečnosti letadla na fungování MCAS byla Boeingem (resp. FAA) označena jako riskantní. Podle definice „hazardous failure condition“, může letadlo záviset na čidle, které má pravděpodobnost selhání méně než 1x10-7. V případě jediného čidla měla být použita klasifikace katastrofická. Jinými slovy, nikdy nemělo být připuštěno, aby MCAS pracoval pouze s daty z jediného čidla AoA.
Zpráva opatrně připouští, že FAA si nemusela být plně vědoma změn v systému MCAS a Boeing úřadu nepředal veškerou dokumentaci. Zpráva v tom shledává doklad nedostatečné úrovně kontroly FAA nad procesem certifikace.
Během diskuse s regulátorem v březnu 2016 se Boeingu podařilo FAA přesvědčit, že dokumentaci týkající se MCAS je možné odstranit z dokumentace FCOM. Důvody pro vypuštění zmínky o MCAS byly sice s FAA diskutovány, ale obsah diskuse a rozhodující argumenty nebyly dokumentovány zápisem z jednání. Boeing prezentoval systém MCAS tak, že pracuje na pozadí a piloti o jeho existenci proto nemusí nic vědět.
KNKT konstatuje, že bez předchozí znalosti MCAS a řádného výcviku je pro posádku obtížné identifikovat a vyřešit abnormální situace ve fungování systému.
Boeing si vážnost dopadu MCAS na bezpečnost buď neuvědomil, nebo takové riziko hrubě (či záměrně) podcenil. Technici Boeingu vycházeli z faktu, že systém může chybně pracovat max. 3 s, za které je dosaženo výchylky stabilizátoru pouze 0,81°, nikoliv 2,5°. Boeing totiž předpokládal, že v případě chyby posádka zasáhne během 3 s. Vyšetřovací komise přitom shledala, že v obou letech posádka byla schopna zasáhnout během 8 s. Při následných testech na simulátoru se zjistilo, že zasáhnout ve stanovené lhůtě se nedařilo ani jednomu ze tří zkušebních pilotů Boeingu. Boeing také předpokládal, že k vyřazení fungování systému postačí přitáhnout řízení a vůbec nepočítal s tím, že je nutno odpojit el. přívod.
V prosinci 2018 se během rekonstrukce zjistilo, že po dvou pokusech překonat působení systému MCAS se výrazně zvyšují síly potřebné k přetlačení řízení. Zpráva požaduje, aby „překonání chybného fungování systému nevyžadovalo mimořádné schopnosti ani fyzické síly posádky“.
Zpráva poskytuje také další údaje, týkající se posledních fází letu. Druhý pilot nešťastného letu původně neměl být vůbec v kokpitu, ale zaskakoval v důsledku změn v letovém řádu. K letu byl probuzen ve 4 hodiny ráno. Hlasový záznamník letu JT610 také odhalil, že 31letý kapitán si stěžoval, že má chřipku, a na záznamníku je zaznamenáno jeho kašlání. Kapitán byl držitelem licence ATPL, měl nalétáno přes 6000 hodin, z toho 5176 na letadlech 737, a byl nepochybně velmi zkušený. Druhý pilot měl licenci CPL, nálet přes 5000 hodin, z toho 4286 na letadlech 737. Problémy druhého pilota během výcviku a pravidelných přezkoušeních uvádí zpráva na straně 30, přičemž seznam zjištěných problémů a jejich vážnost je zarážející. Druhý pilot měl opakovaně problémy se standardními postupy a ani jeho schopnosti ovládat letadlo nebyly na výši. Posádka také neměla před letem informace, co se dělo 28. října na předchozím letu.
Poté, co se krátce po startu z Jakarty poprvé aktivovala ochrana proti přetažení, kapitán požádal druhého pilota, aby postupoval podle check listu Airspeed Unreliable (nespolehlivý údaj o rychlosti). Pilotovi trvalo nalezení příslušné stránky v manuálu Quick Reference Handbook (QRH) 4 minuty.
Druhý pilot tedy nejenom neuměl klíčové postupy nazpaměť, ale nebyl je schopen ani rychle vyhledat v manuálu QRH. Správně měl zkontrolovat oba indikátory vzdušné rychlosti, identifikovat, který údaj je správný, a následně zapojit autopilota (bod 12). Zapojení autopilota odpojí MCAS, což by v dané situaci bylo řešením. Druhý pilot to však neudělal. Na druhou stranu dokumentace Boeingu ani neuváděla, že by se nežádoucí a svévolná intervence MCAS do řízení mohla eliminovat odpojením el. přívodu trimu.
Kapitán byl v tu chvíli příliš zatížen bojem s MCAS ve snaze udržet letoun pod kontrolou, nerozuměl a nemohl rozumět, proč řízení posílá letadlo znovu a znovu k zemi. Nevěděl o existenci a fungování systému MCAS a podezíral, že problém způsobuje Speed Trim System. Požádal druhého pilota o převzetí řízení, zřejmě proto, aby se mohl soustředit na identifikaci problému. To mu boj s MCAS nedovoloval.
Řídící letového provozu během krize na palubě letu JT810 celkem osmkrát instruovalo letoun o změně kurzu. Posádka sice ohlásila, že má problémy s řízením, ale nevyhlásila nouzi. Posádka také neodmítla plnit instrukce řídícího ke změně kurzu. To jen dále zvýšilo vytížení posádky. Vzhledem k tomu, že nebyl vyhlášen signál PAN PAN ani MAYDAY, řízení letového provozu let nijak neprioritizovalo.
Kapitán rovněž neposkytoval informace o problému a nesdílel je s druhým pilotem. To vedlo k tomu, že oba piloti měli odlišné vnímání situace a druhý pilot nebyl dobře připraven. Krátce poté, co převzal řízení, ztratil nad letadlem kontrolu a letoun se zřítil. Jak prokázalo vyšetřování, nedostatečně trimoval řízení, aby kompenzoval vliv MCAS. To výrazně zvýšilo potřebné ovládací síly na řízení, které během letu o 25 % překonaly maximální limit povolený předpisem 14 FAR25. Pokud by systém MCAS pracoval s původní mírou intervence o 0,6°, přijatelné síly v řízení by byly zachovány. V systému s max. výchylkou 2,5° to možné nebylo.
Zpráva připomíná, že stejná situace se opakovala 10. března 2019 v případě Boeingu 737 MAX (ET-AVJ) společnosti Ethiopian Airlines během letu ET302.
Zpráva na základě rozboru katastrofy dává Boeingu následující doporučení:
Po zveřejnění zprávy Boeing v pátek informoval, že řeší doporučení KNKT směřující ke zvýšení bezpečnosti letadla 737 MAX, aby zabránil tomu, „aby se podmínky pro pilotáž letadla, které se objevily v tomto případě, mohly opakovat“.
Boeing potvrzuje, že v rámci přepracovaného systému řízení bude MCAS porovnávat údaje z obou čidel AoA, a to tak, že systém se bude aktivovat pouze v případě, kdy budou údaje obou čidel stejné. MCAS se přitom bude aktivovat pouze jedenkrát a nemůže se samovolně spouštět opakovaně. Intervence do řízení bude omezena jen na míru, při které bude možné působení MCAS kompenzovat zásahem pilotů do řízení a nebudou nutné zvláštní znalosti ani fyzická síla překračující možností běžné posádky. Upraveny budou manuály a výcviková dokumentace.
Stojí za zmínku, že navrhovaná řešení nemusí plně uspokojit Evropskou agenturu pro bezpečnost letectví EASA, která vychází z toho, že letadla by měla mít tři čidla AoA. To dovoluje vyřadit chybné čidlo „hlasováním“. EASA přitom také poukazuje na několik případů, kdy u letadel Airbus, která jsou standardně vybavena trojicí čidel, došlo k situaci, kdy dvě čidla vykazovala shodně chybnou hodnotu, a automatika proto vyloučila vstup z fungujícího čidla. Zatím však není jasné, nakolik „nekompromisně“ bude EASA zastávat tuto principiální pozici v případě recertifikace 737 MAX nebo bude-li tento požadavek mandatorní až pro všechna následující letadla.
Boeing dne 23. října ujistil, že finalizuje úpravu řídicího systému, že letoun bude recertifikován ještě během tohoto roku a v příštím roce se výroba vrátí na původní tempo produkce. Světoví regulátoři dali jasně najevo, že letovou způsobilost stroje budou posuzovat samostatně. Většina z nich uvádí, že se přitom budou orientovat podle rozhodnutí EASA. EASA již prohlásila, že nepředpokládá, že by letadlu udělila certifikaci během ledna. Kdy se nakonec vrátí letadlo do služby není stále jasné. Stejně tak je neznámou, jak rychle obnoví letecké společnosti a jejich zákazníci důvěru v letadlo. A jak FAA získá důvěru dalších regulátorů, že jedná nezávisle na Boeingu.
Zpráva konstatuje závažné nedostatky v konstrukci letadla, nedostatečný dohled FAA nad certifikací a řadu chyb u posádky i v organizaci údržby společnosti Lion Air.
Je zjevné, že vzhledem k vážným nedostatkům v systému řízení a absenci dokumentů o MCAS neměl být 737 MAX nikdy certifikován. Piloti nemohli letoun pilotovat bezpečně, neboť nevěděli o existenci systému MCAS zasahujícího do řízení. To vše potvrzuje, že rozhodnutí z 13. března o celosvětovém uzemnění letadla, kterému se úřad FAA opakovaně bránil, bylo odůvodněné.
Je smutné, že muselo zemřít dalších 157 osob na palubě letu Ethiopian Airlines, než se začalo jednat. (Foto: AP)
Mě by celkem zajímal názor "starého" práškaře, jehož příběhy jsem se zaujetím četl. Jestli se nepletu, vyprávění končilo právě u Lion Air
Osobně si myslím,že ty Maxy si už nezalétají. I kdyby se Boeing snažil sebevíc,to letadlo ztratilo
důvěru.Piloti s ním nebudou chtít létat,budou se bát zrovna jako cestující.Tim pádem padá zájem
od společností.Nakonec zkončí ve šrotu. I když Boeingy patří k mým oblíbeným od B 707 až po
B 747. Je velká škoda že moje nej.B 747 pomalu mizí z oblohy. Tentokrát firma šlápla do něčeho hodně měkkého a tak snadno se z toho nevzpamatuje.Možná,.že to nakonec povede ke krachu. J.H.
Tak přes ně hoď ňákou plachtu!
No při pohledu na těch 7 odstavených letadel TVS v Praze vždy přemýšlím, co s nimi udělá zima. Ty stroje tam musí neuvěřitelně trpět.
Celkem 5 záznamů
Copyright © 1999-2024 planes.cz | Redakční systém
Vždyť přece na samém začátku psali zasvěcení diskutéři, že stačí doplnit řádek do řídícího SW a za týden bude po problému. A ony takové ciráty. Do konce roku bude hotovo? No uvidíme.