Neobviňujme ze všeho jen software MCAS. Problém je mnohem vážnější.

• 21.03.2019 06:00

Katastrofy letadel jsou naštěstí řídkým jevem. A to také zejména díky pokročilé automatizaci a profesionální práci dobře vycvičených pilotů. Dvě katastrofy stejného a nového typu letadla během pouhých pěti měsíců jsou proto něčím naprosto výjimečným. Katastrofy Boeingů 737 MAX, při nichž zahynulo 346 osob, vyvolávají otázku, co se vlastně stalo. Tím spíše, že se jedná o populární model letadla, jehož předchozí generace byly známy svou bezpečností.

Za posledních několik let se se počet katastrof snížil ze 4 % na milion letů na dnešních 0,4 %. Pilotům přidělila automatika novou roli ovládání systémů a automatů spíše než kniplu. Jak se nyní ukázalo, automatika je občas hazard. V roce 2013 zveřejnil americký federální úřad pro letectví FAA studii, která analyzovala „neočekávané nebo nevysvětlitelné“ chování automatiky a uvádí, že tyto jevy hrají roli v až 60 % incidentů.

Prakticky každý den od katastrofy 737 MAX 8 společnosti Ethiopian Airlines vyplouvají na povrch nová fakta, která ukazují, že problém je daleko vážnější než jen pouhé selhání softwaru. Potvrzuje se, že „nehoda není náhoda“. Boeing a FAA jsou v defenzivě a čelí tvrdé kritice odevšud. Oprávněně.

Své vyšetřování již otevřel Výbor pro dopravu Sněmovny reprezentantů, americké Ministerstvo dopravy požádalo Úřad generálního inspektora o audit celého procesu, který vedl k certifikaci typy 737 MAX. Velká porota amerického Ministerstva spravedlnosti zvažuje trestní stíhání proti společnosti Boeing, pokud se ukáže, že Boeing lhal regulátorovi o bezpečnosti 737 MAX nebo zamlčel významné skutečnosti. Něco takového je v USA v případě leteckých katastrof výjimečný krok.

Boeing a FAA doslova masakrují sdělovací prostředky. Reputace dříve mimořádně populárního letadla je minulostí a Boeing se snaží veřejnost i své zaměstnance přesvědčit, že na prvním místě je bezpečnost, nikoli korporátní zájmy. V USA se dokonce objevila poněkud cynická parafráze známého sloganu „If it’s not Boeing, I’m not going!“ na „If it's MAX, I'm not PAX.

Když v roce 2011 oznámily American Airlines, že kupují Airbusy A320, byl to pro Boeing šok. Airbus vsadil v roce 2010 na „new engine option“ – verzi oblíbeného A320. Byl to frontální útok na pozice 737. Boeing se sice původně zabýval myšlenkou vývoje nového stroje, který by nahradil model 737, koncepčně vycházející z 60.let. Avšak vzhledem k překročeným nákladům na vývoj a výrobu Dreamlinerů bylo jasné, že pokud nemá Boeing rezignovat na tento atraktivní trh, musí rychle přijít s důstojným konkurentem A320neo. A to na bázi toho, co již má, tj. 737. Tak vznikl MAX. Měl se stát nejlepším jednouličkovým letadlem na světě. Měl být co nejvíce podobný svému úspěšnému předchůdci, a přitom být daleko efektivnější. A stejný z hlediska pilotování.

Nebezpečný (čti katastrofický) systém řízení

Boeing 737 MAX byl proto vybaven (mimo jiné) většími a efektivnějšími motory posunutými poněkud dopředu, což zvýšilo riziko, že se letadlo dostane na vysoký úhel náběhu, ztratí rychlost, vztlak a zřítí se. Řešením byla implementace systému MCAS (Manoeuvering Characteristics Augmentation System), který měl snížit riziko, že se letadlo dostane mimo letovou obálku. Se systémem MCAS, který pracuje „na pozadí“, se měl nový letoun chovat přesně tak, jako předchozí model. Piloti o něm vlastně ani neměli mít tušení.

Nebezpečí, že systém selže, bylo již v procesu certifikace vyhodnoceno jako „kritické“, jen jediný stupeň pod hodnocením „katastrofické“. MACS přitom přebírá údaje pouze z jediného čidla, což samo o sobě mělo vést k hodnocení „katastrofické“.

V případě katastrofy Lion Air tento systém opakovaně posílal letadlo k zemi, a to na základě chybového údaje z čidla úhlu náběhu. Stejný vzorec chování letadla vykazují zatím dostupná data z letu ET302.

Systém MCAS automatickým, trvalým a opakovaným zásahem do řízení také vybočil z tradiční filosofie Boeingu, která dává pilotům více pravomoci, než je tomu u Airbusu. Navíc podle nových zjištění deníku Seattle Times, dosahuje míra zásahu do řízení až 2,5° výchylky úhlu stabilizátoru namísto hodnoty 0,6°, která byla známa FAA. O MCAS ani změněných letových charakteristikách přitom byli piloti 737 MAX informováni teprve po katastrofě letu Lion Air JT610. O riziku výrazného zásahu MCAS do řízení letu byla FAA výslovně informována pouhých několik dní před katastrofou ET302, ale úřad nekonal.

Zpráva o incidentech, kterou zpracovala NASA, uvádí, že během posledních dvou let přinejmenším ve dvou případech piloti ohlásili, že 737 MAX krátce po startu přešel samovolně do prudkého klesání. Není však jasné, zda příčinou tohoto jevu bylo fungování systému MCAS.  

Bývalý šéf amerického Úřadu pro vyšetřování nehod (NTSB) James Hall je přesvědčen, že Boeing měl uzemnit 737 MAX okamžitě po katastrofě letadla Lion Air, neboť dobře věděl o slabých místech MCAS.

Přes intenzivní kritiku se FAA brání, že piloti měli být na scénář, kterému čelil let JT610 a ET302, vyškoleni. FAA ale připouští, že v tréninkových dokumentech nebyl systém MCAS zmíněn. Je těžké si proto představit, jak se piloti měli připravit na něco, o čem neměli ani tušení. FAA po katastrofě letu JT610 vydal 7. listopadu „nouzovou direktivu“, ve které přikázal výcvikové manuály upravit.

Foto: Bloomberg

Certifikace: Boeing sobě

The Seattle Times uvádí, že dohled nad certifikací zajišťuje FAA delegací zodpovědnosti na vybrané pracovníky, kteří jsou pověřeni prací pro FAA. FAA tedy delegovalo certifikační práce na pracovníky Boeingu. Takovou možnost dává FAA zákona z roku 1958, a to proto, že FAA nemá dostatek prostředků na zajištění vlastního personálu a úřad ani není schopen sledovat rychlý pokrok technologicky špičkového oboru. Know-how je tedy u výrobců, nikoliv u úřadu. Takové řešení pochopitelně budí pochybnosti o objektivnosti certifikace. Pochybnost posiluje zatvrzelé odmítání FAA letadla uzemnit, a to i v situaci, kdy je uzemnil celý zbytek planety. Regulátor je obviňován, že jen razítkoval papíry, které mu Boeing předložil.

S tím souvisí otázka, jak mohl Boeing a FAA dopustit uvedení letadla do komerčního provozu, aniž byli piloti plně seznámeni se systémem MCAS. A proč úřad nezasáhl ihned po katastrofě JT610. A proč ani po takřka dvou letech provozu 737 MAX nejsou k dispozici simulátory.

Prezident Donald Trump pověřil 19. března řízením FAA Stephena Dicksona. Toto místo bylo neobsazené od roku 2018, kdy pozici s koncem svého pětiletého mandátu uvolnil Michael Huerta. Dickson je odborník s vynikající reputací, který pracoval ve vedoucích funkcích u Delta Air Lines. Před nástupem k Deltě byl stíhacím pilotem. Od Dicksona se očekává, že napomůže vlastnímu vyšetřování i zavedení opatření, která z probíhajícího vyšetřování vyplynou.

Jak bylo uvedeno výše, vše nasvědčuje tomu, že FAA pouze razítkoval dokumenty připravené Boeingem. Navíc nyní existují výpovědi, že FAA tlačil na své zaměstnance, aby proces certifikace 737 MAX probíhal rychle, což se zdá absolutně neakceptovatelné. Úkolem FAA je zajistit dodržení vysokých standardů bezpečnosti, nikoliv podporovat hospodářské výkony Boeingu.

iPAD místo simulátorů

Pokud selže automat, jsou zde stále ještě kvalifikovaní piloti, kteří mohou a mají katastrofu odvrátit. Konec konců je to velitel letadla, který nese odpovědnost za bezpečnost letu, nikoliv automat. Předpokladem je, že posádka je informována a řádně vycvičena.  

Výcvikové procedury pro piloty 737 MAX schvaluje FAA. Když byl MAX uveden do komerčního provozu, Boeing věřil, že piloti se zkušeností s pilotováním předchozí generace 737 nepotřebují zvláštní výcvik na simulátorech, a FAA s tímto závěrem souhlasila. To bylo důležité rozhodnutí, které zjednodušilo nástup nové generace letadel ke společnostem a ušetřilo náklady na školení a simulátory. Bohužel se ukázalo, že to byl omyl. FAA však nezměnil stanovisko ani po katastrofě JT610. A to přesto, že Boeing přiznal, že letové charakteristiky čtvrté generace 737 se liší od generace předchozí.

O MCAS a změněných letových charakteristikách letadla proti předchozímu modelu se tedy piloti dozvídají až po katastrofě JT610. Jon Weaks, prezident sdružení pilotů Southwest Airlines v listopadu řekl: „Nelíbí se nám, že jsme nebyli informováni“, a pokračoval: „to nás vede k otázce, o čem dalším ještě nevíme. Doufejme, že nás nečeká více překvapení“. Asociace pilotů American Airlines po katastrofě JT610 shodně potvrdila, že detaily o systému nebyly v dokumentaci k letadlu uvedeny.

Odbory amerických pilotů proto požadovaly výcvik na simulátorech. Nakonec je ale Boeing dokázal přesvědčit, že kombinace školení a úprav MCAS věc vyřeší, a tak se školení místo na simulátorech odbývalo on-line. Dennis Tajer, mluvčí odboru pilotů společnosti American Airlines, potvrdil, že piloti absolvovali školení na iPadech, a netrvalo ani hodinu. K úpravám systému MCAS, které Boeing slíbil zavést „během několika týdnů“, do dnešního dne nedošlo. A školení se ukázala jako nedostatečná.

James Hall je na základě svých zkušeností z NTSB přesvědčen, že se MAXy nemají vrátit do provozu, dokud piloti neprojdou plnohodnotným tréninkem na simulátorech 737 MAX. První simulátory však dorazí k leteckým společnostem (Southwest, American) teprve během letošního roku. James Hall argumentuje, že letadla nyní ovládá více počítač než pilot. Pilotní výcvik se tak stává ještě důležitějším, neboť posádka bude muset zasahovat do řízení zejména v nouzových situacích. A na ty se lze kvalitně připravit pouze na plnohodnotném simulátoru, nikoliv iPadu.

Foto: Tru Simulation and Training

Případy havárie Boeingu 777-200ER Asiana Airlines v San Francisku v roce 2013 nebo katastrofy Airbusu A330 Air France and Atlantikem v roce 2009 mu dávají za pravdu. V obou případech (a řadě dalších) posádka nebyla schopna orientovat se v náhle vzniklé situaci, kterou z různých důvodů automatika nemohla sama vyřešit.

V rámci vyšetřování katastrofy Lion Air se ukázalo, že při posledním letu před katastrofou odvrátila katastrofu pouhá šťastná náhoda. Na „jump seatu“ v letadle během letu z Bali do Jakarty cestoval pilot mimo službu, který dokázal správně diagnostikovat problém a pomohl pilotům situaci vyřešit. Další den už piloti JT610 takové štěstí neměli.

Všechny tyto případy i řada dalších potvrzují názor prezidenta Trumpa, že dnešní letadla jsou „příliš složitá, než aby létala“.

Pokud se vrátíme k letu ET302, velitel letadla měl nalétáno 8100 hod., druhý pilot pouze 350. S takovým náletem by se např. v USA za řízení Boeingu nedostal. Americké společnosti obvykle najímají piloty pro taková letadla s náletem 2000 až 3000 hod., takže cesta za řízení 737 vede obvykle přes menší letadla regionálních společností. Od katastrofy letu Colgan Air 3407 požaduje americký regulátor minimální nálet 1 500 hod.

Kombinace vysoké automatizace, nebezpečného softwaru a nedostatečně informovaných a vyškolených posádek se v případě letu JT610 a ET302 ukázala jako smrtelná. 

Rozdílná filosofie americké FAA vs evropské EASA

Postup FAA se zdá být nepochopitelný. Přirozenou (hypotetickou) otázkou je, jak by v takové situaci postupoval evropský úřad EASA, pokud by se jednalo o Airbus. Tady je nutno připomenout, že evropský princip vycházející z Maastrichtské smlouvy z roku 1992 pracuje s pojetím předcházet rizikům, a tudíž úřady mohou letadla uzemnit, a to jen na základě důvodného podezření, že letoun je potenciálně nebezpečný.

Naproti tomu v USA jsou úřady tradičně více opatrné při zásahu do podnikání privátních firem, a pokud tedy mají letadla uzemnit, pak potřebují důkaz, že letadlo je potenciálně nebezpečné. Rozdílný přístup mezi evropskou a americkou regulací vidíme i mimo obor letectví, např. v oblasti využívání antibiotik, některých plastů jako je BPA, GMO, pesticidů atd.

Procedury a přístupy se tedy mezi USA a EU výrazně liší, ale EASA přitom přejímá automaticky certifikaci FAA. Tím však přejímá i její filosofii.

Návazně na zahájené vyšetřování certifikace 737 MAX v USA oznámily 20. března kanadský regulační úřad a EU (EASA), že proces certifikace důkladně prověří. Výkonný ředitel EASA Patrick Ky vypověděl před komisí Evropského parlamentu, že osobně bude odpovědný za to, že nepustí letadla do vzduchu, dokud Úřad nenajde uspokojivou odpověď na všechny otázky.

Společným problémem amerických, evropských i jakýchkoliv dalších regulátorů je, že letectví je natolik složitý a rychle se rozvíjející obor, že je nemožné očekávat, že úřady mohou letadla certifikovat, aniž by přitom nebyly plně závislé na součinnosti expertů výrobců letadel. A ti pochopitelně mohou být pod vlivem korporátních zájmů.

Závěr

Je bezesporu tragédie, že muselo zahynout 346 osob, aby byl odhalen řetězec vážných pochybení, které ke katastrofě letu JT610 a ET302 nejspíše přispěly. Připomínáme, že vyšetřování obou nehod zatím není uzavřeno. Je však dobře, že se americké úřady věnují vyšetřování s plnou důsledností. Jistě i další regulátoři budou nyní problémům certifikace a výcviku posádek věnovat více pozornosti.

Související články