Nie mieli czasu, szefowie naciskali i B737 MAX sprawdzono po łebkach. Szokujące ustalenia dziennikarzy o ukrywaniu błędu

Tym razem sytuacja jest jednak poważniejsza. Nikt nie mówi o zrywaniu dwustronnych porozumień o współpracy, jednak decyzja EASA i Kanadyjczyków jest mocnym wyrazem niezadowolenia z postępowania Amerykanów. To, co wychodzi na jaw przy okazji kryzysu B737 MAX, rzuca bowiem cień na profesjonalizm FAA i praktyki Boeinga.

Najbardziej szokujące informacje ujawnił dziennik "The Seattle Times". Jego dziennikarz Dominic Gates przyglądał się uważnie sprawie B737 MAX od czasu pierwszej katastrofy, w październiku 2018 roku w Indonezji. Rozmawiał z wieloma pracownikami Boeinga oraz inspektorami FAA (anonimowo) zaangażowanymi w proces certyfikacji nowego samolotu powstającego w zakładach koncernu w Renton pod Seattle. Praca nad tekstem szła jednak powoli, ponieważ ani FAA, ani Boeing nie miały ochoty odpowiadać na jego oficjalne pytania.

Po katastrofie w Etiopii w ubiegłym tygodniu postanowił już jednak nie czekać. Opublikowano jego bardzo obszerny artykuł, będący poważnym oskarżenieM wymierzonym w Boeinga oraz FAA. Według jego ustaleń koncern i rządowa agencja w sposób niedopuszczalny ignorowały potencjalne ryzyko. Pod dużą presją menadżerów chcących jak najszybciej zaoferować klientom nowego B737 (ponieważ Airbus wcześniej wypuścił na rynek konkurencyjnego A320neo) wydano certyfikat bezpieczeństwa, który nie powinien zostać wydany.

Główny zarzut dotyczy wprowadzonego do systemu sterowania nowego podsystemu MCAS. B737 jest już dość starą konstrukcją z lat 60., która przechodziła szereg poważnych modyfikacji. Nie zmieniono jednak podstawowej konstrukcji kadłuba, skrzydeł i podwozia. B737 projektowano pierwotnie z myślą o lotach na niewielkie i spartańsko wyposażone lotniska, więc chciano, aby obsługa naziemna mogła dostać się do ładowni bez specjalistycznych podnośników. Oznaczało to konieczność zaprojektowania maszyny tak, aby była stosunkowo niska. W latach 60. nie był to problem, ponieważ ówczesne silniki odrzutowe miały małą średnicę.

W B737 MAX zainstalowano jednak nowoczesne silniki CFM International Leap. Bardzo podobne do tych na konkurencyjnych A320neo. Bez nich nowy B737 nie miałby szans w rywalizacji, ponieważ obniżają zużycie paliwa o kilkanaście procent. Są jednak duże. W porównaniu do pierwszego napędu B737 z lat 60. w postaci silników JT8D mają prawie metr większą średnicę i ważą o 600 kg więcej (2,8 tony wobec 2,2 tony). Pod nisko zawieszonym nad ziemią skrzydłem B737 zabrakło więc miejsca i nowy silnik trzeba było wysunąć dalej przed nie oraz do góry. Oznaczało to jednak niekorzystny rozkład masy i zmianę aerodynamiki, co wpłynęło na to, jak samolot zachowuje się w powietrzu.

Stwierdzono, że takie umieszczenie silników zwiększa ryzyko przeciągnięcia podczas startów i lądowań. To groźne zjawisko, kiedy ze względu na określone ustawienie skrzydła względem kierunku ruchu samolotu zostaje zaburzone opływające je powietrze. Efektem jest częściowa utrata siły nośnej i duże ryzyko katastrofy, ponieważ samolot wymyka się spod kontroli, czasem niezauważenie. Stworzono więc system MCAS, którego zadaniem jest wykrywać nadejście takiej sytuacji i automatycznie wprowadzić poprawkę do ustawienia sterów. Ma on doprowadzić do opuszczenia nosa, nabrania prędkości i poprawienia opływu powietrza wokół skrzydeł, co odsuwa ryzyko przeciągnięcia. W teorii wszystko jest super i z myślą o zwiększeniu bezpieczeństwa.

Gorzej było z przekuciem dobrych intencji w rzeczywiście działający system. Jak opisuje dziennikarz "Seattle Times", inspektorzy FAA pracujący już na stałe w fabryce Boeinga wiedzieli o wprowadzaniu MCAS do B737 MAX. Jednak ze względu na znaczne przeciążenie pracą (FAA od lat zmaga się z problemami finansowymi), już od dawna dzielą się oni obowiązkami z pracownikami Boeinga. Rządowi inspektorzy zajmują się najważniejszymi sprawami, a inżynierowie koncernu sami dokonują przeglądu i weryfikacji wielu swoich rozwiązań. Ten proces przekazywania kompetencji Boeingowi narasta od lat i był krytykowany już dekadę temu. Kongresman James Oberstar z Komisji ds. Transportu Izby Reprezentantów nazwał to w 2008 roku "przytulną atmosferą" i krytykował nazywanie koncernu przez FAA "klientem". Jednak od tego czasu zażyłość tylko się zwiększyła.

Według "Seattle Times" system MCAS został uznany za mało ważny, więc jego dokładnego przeglądu dokonywali sami inżynierowie Boeinga. Inspektorzy FAA nie dokonali natomiast niezależnej weryfikacji. Zwłaszcza że mieli być ciągle naciskani przez swoich szefów, aby przyśpieszyć prace i delegować jej jak najwięcej ludziom z koncernu. Bardzo na tym zależało Boeingowi, który chciał jak najszybciej mieć konkurencyjną ofertę wobec A320neo. - Nie przeprowadzono pełnej i dokładnej weryfikacji dokumentów. Wszystko pośpieszano, aby zdążyć na konkretną datę - mówi dziennikowi anonimowo inspektor FAA. Miało dojść do tego, że menadżerowie sami podpisywali dokumenty, choć powinni to zrobić inspektorzy po weryfikacji.

System MCAS był jednym z tych, którymi zajmował się sam Boeing. Okazuje się, że wbrew temu, co napisano w dokumentacji, może on zmienić położenie sterów cztery razy bardziej niż początkowo założono. Jak pisze "Seattle Times", zmiany prawdopodobnie wprowadzono po testach w locie, ale nie odnotowano tego w dokumentach, a inspektorzy FAA nie mieli okazji tego sprawdzić. MCAS po wykryciu groźnej sytuacji nie zmieni tak zwanego trymu steru poziomego o 0,6 stopnia, ale o 2,5 stopnia. Oznacza to wprowadzenie stałej poprawki do pozycji steru. Nie jednorazowe ruszenie nim, ale ustawienie go na stałe pod nieco innym kątem, aby każdy ruch wykonywany sterami przez pilotów był od razu skorygowany. Załoga może ręcznie cofnąć zmianę, ale najpierw musi wiedzieć, że do niej doszło. Co więcej, nawet jeśli piloci to zrobią, a MCAS będzie dalej wykrywał sytuację bliską przeciągnięcia, to ponownie wprowadzi poprawkę. Mogą się one nakładać na siebie. Na przykład jeśli za pierwszym razem system zmieni trym o 2,5 stopnia, a piloci cofną to o 2 stopnie, to za drugim razem trym będzie zmieniony już o maksymalnie trzy stopnie.

Dodatkowo system działa w oparciu o tylko jeden czujnik kąta natarcia porównujący pozycję skrzydła do kierunku ruchu samolotu. B737 MAX ma je dwa, ale z jakiegoś powodu MCAS zaprojektowano tak, aby korzystał tylko z jednego. Choć mógłby porównywać wskazania obu, w celu uzyskania większej precyzji. Dawałoby to też możliwość wykrycia awarii jednego z czujników, gdyby oba przekazywały mocno różniące się informacje.

Rozmówcy "Seattle Times" twierdzą, że gdyby inspektorzy FAA byli świadomi tych dwóch spraw, to najpewniej uznaliby MCAS za znacznie ważniejszy system, który może w razie usterki sprowadzić na samolot ryzyko katastrofy. Wówczas mogliby sami dokonać jego dokładniejszej weryfikacji i najpewniej wymusić pobieranie informacji z dwóch czujników oraz dokładniejsze poinformowanie linii lotniczych i pilotów o jego działaniu. Można też było wprowadzić algorytm sprawdzający poprawność działania czujników jeszcze podczas kołowania na ziemi, kiedy wiadomo, co powinny wskazywać.

W ten sposób przez niedoskonały system kontroli przedostał się groźny błąd. Przez kilka lat B737 MAX latały pomimo tego bezpiecznie, choć teraz wychodzi na jaw, że piloci wiele razy zmagali się z niezrozumiałymi dla nich interwencjami MCAS. Szczęście wyczerpało się jednak w październiku 2018 roku w Indonezji. Według ujawnionych dotychczas informacji ze śledztwa staje się jasne, że w rozbitym samolocie doszło do awarii jednego z czujników wskazujących kąt natarcia. Niestety akurat tego, z którego informacje pobierał MCAS. Stało się to jeszcze podczas przedostatniego lotu maszyny, jednak wówczas załoga sobie poradziła z sytuacją i odłączyła automatyczną korekcję trymu. Problem zgłoszono i technicy podczas nocnego postoju sprawdzili system, przeczyścili czujniki i wydawało im się, że problem rozwiązali.

Niestety tuż po ostatnim starcie maszyn okazało się, iż byli w błędzie. Czujnik nadal był uszkodzony. MCAS otrzymywał informację, iż samolot jest bliski przeciągnięcia, więc dokonywał maksymalnej korekty trymu. Zaskoczona załoga kontrowała to, ale czujnik nadal był uszkodzony. MCAS ponownie dokonywał korekty. I tak 21 razy. Piloci nie rozumieli, co się dzieje i do końca lotu wertowali instrukcje na wypadek usterek. Boeing twierdzi, że jest tam procedura odpowiednia na taki wypadek i załoga powinna po prostu wyłączyć systemy automatycznie korygujące trym. Tak mieli sobie radzić z MCAS piloci innych B737 MAX, kiedy byli zaskakiwani jego działaniem.

Rozmówcy "Seattle Times" twierdzą jednak, że wskazana przez koncern procedura dotyczy sytuacji, kiedy elektronika stale wychyla stery. MCAS robi to natomiast raz po razie i za każdym razem dało się to ręcznie skontrować. Piloci mogli być więc zagubieni. Ostatecznie maszyna rozbiła się po tym, jak pilot przekazał stery mniej doświadczonemu pierwszemu oficerowi, aby samemu poszukać odpowiedzi w instrukcjach. Młodszy pilot dwa razy za słabo skontrował MCAS, przez co wprowadzone zostały wspomniane kumulujące się poprawki i samolot wszedł w nurkowanie. Kapitan w ostatnich sekundach złapał za ster i mocno go pociągnął do siebie, starając się wzbić maszynę w górę. Było już jednak za późno.

Nie wiadomo jeszcze, czy tak samo wyglądał scenariusz katastrofy w Etiopii, jednak zapis zachowania samolotu w ostatnich minutach jest podobny do tego z katastrofy w Indonezji. To podobieństwo było tym, co popchnęło większość państw i ostatecznie również USA, do uziemienia B737 MAX.

Ponieważ Boeing i, co za tym idzie, automatycznie FAA zakwalifikowali system MCAS za mało ważny i mający działać tylko w ekstremalnych sytuacjach, koncern uznał, że nie musi informować o jego istnieniu pilotów. Stwierdzono, że wspomniana procedura na wypadek awarii elektronicznego trymu jest w pełni wystarczająca. Boeing starał się do minimum zmniejszyć długość szkolenia dla załóg przesiadających się ze starszych B737 na B737 MAX. Było to podkreślane w ofercie dla linii lotniczych jako wielka zaleta ograniczająca koszty. Piloci mieli czuć się w kokpicie nowych maszyn jak w domu. Sam samolot miał się zachowywać w powietrzu tak samo jak starsze modele, ponieważ problemy wynikające z innego położenia silników miał rozwiązywać MCAS. Formalnie B737 MAX uznano za ten sam typ co starsze B737, przez co za szkolenie wystarczyła godzina z tabletem.

O istnieniu MCAS Boeing poinformował linie lotnicze i pilotów dopiero po katastrofie w Indonezji. Zaczęto też prowadzić prace nad poprawkami oprogramowania i procedur pod nadzorem FAA. Planowano je wprowadzić w połowie tego roku. Po aktualizacji oprogramowania MCAS ma pobierać informacje z obu czujników i je porównywać, ma mieć ograniczoną możliwość ruchu sterami oraz ma uruchamiać się tylko raz w danym czasie. Wszystkie te poprawki są wyraźną reakcją na te ryzyka, które wymieniali rozmówcy "Seattle Times". Wskazują też na to, że Boeing dobrze rozumiał, jaki jest problem z MCAS już po pierwszej katastrofie.

Sprawa być może rozeszłaby się po kościach, gdyby nie rozbił się etiopski B737. Ponieważ jednak doszło do tej katastrofy, to pojawiają się bardzo niewygodne pytania pod adresem Boeinga i FAA. Nie tylko o to, dlaczego doprowadzono do takiego przeoczenia podczas certyfikacji B737 MAX, ale też dlaczego nie dość zdecydowanie zareagowano na pierwszą tragedię, najwyraźniej starając się załatwić sprawę po cichu. Chęć przeprowadzenia własnej analizy bezpieczeństwa przez europejskich i kanadyjskich inspektorów staje się w tej sytuacji zrozumiała.

Cała afera z B737 MAX złowieszczo przypomina opisaną już przez nas historię amerykańskich samolotów pasażerskich DC-10 w latach 70. Wówczas też nie dość zdecydowanie zareagowano na ujawnienie potencjalnie katastrofalnej wady nowego samolotu. Kierownictwo FAA i koncern McDonell Douglas zawarło wówczas "dżentelmeńską umowę" po pierwszym wypadku (na szczęście bez ofiar). Zmiany w wadliwych drzwiach luku bagażowego miały zostać wprowadzone bez rozgłosu, jednak robiono to za wolno i niedokładnie, co doprowadziło do drugiego wypadku, tym razem tragicznego. Co więcej - podczas śledztwa wyszło na jaw, że o potencjalnie katastrofalnej wadzie wiedziano jeszcze zanim FAA wydało DC-10 certyfikat bezpieczeństwa.

Doprowadzenie do powtórki takiej historii kosztującej życie tylu osób na pewno zmieni nastawienie reszty świata do Boeinga i FAA. Odbudowanie zaufania nie będzie łatwe. Bardzo prawdopodobne są też pozwy oraz dochodzenia, które mogą wykazać jeszcze więcej problemów.

Zwiastuje to też straty finansowe dla amerykańskiego koncernu. Zapowiedziane poprawki w MCAS mają zostać wprowadzone do kwietnia. Wówczas być może FAA wyda zgodę na wznowienie lotów B737 MAX. Będzie ona jednak ograniczona tylko do USA. Zapowiedziane oddzielne weryfikacje w Kanadzie i UE mogą zająć kilka dodatkowych miesięcy, co oznacza dalsze straty. Inne państwa też mogą pójść tym tropem.

Pomimo tego Boeing z powodu obecnej afery nie upadnie, a B737 MAX nie zostaną wycofane. Na pewno straci jednak część rynku na rzecz A320neo.