Kongres: za nesreči Boeingov 737 Max odgovorna Boeing in FAA

Pristojni odbor za promet in infrastrukturo v ameriškem predstavniškem domu (spodnji dom Kongresa) je objavil 245 strani dolgo poročilo o strmoglavljenju dveh leta Boeing 737 Max, v kateri je bil vpleten sistem MCAS. Let Lion Air flight 610 je strmoglavil 29. oktobra 2018, let Ethiopian Airlines 302 pa 10. marca 2019. Obe nesreči sta bili podobni, saj so piloti izgubili nadzor nad letaloma, ki sta treščili v tla. Zaradi nezgod, v katerih je izgubilo življenje 346 ljudi, je ta tip letal še vedno prizemljen, Boeing je moral popraviti programsko opremo, še vedno pa čakamo na ponovno certificiranje letal. Osemnajst mesecev trajajoča preiskava Kongresa je vključevala pregled dizajna, razvoja in certificiranja letala ter ugotovila, da so nesreči botrovale številne napake in pomanjkljivosti: pomanjkljivi tehnični kriteriji, napačne predpostavke o odzivnem času pilotov in pritisk na hitro dokočanje razvoja. Objektivno odgovornost za tragedijo si delita agencija za letalski promet (FAA), ki ni ustrezno nadzirala postopka certificiranja, in Boeing zaradi pritiska na inženirje. Poročilo prav tako predlaga spremembe postopka certificiranja letal.

FAA je certifikat za Boeing 737-8 izdala 8. marca 2017. To je prvo letalo družine 737 MAX, ki je naslednik 737 NG. Prvi 737 je dobil certifikat že davnega leta 1967 in do danes smo videli 12 večjih modelov oziroma družin. To pomeni, da je Boeing v resnici nadgrajeval pol stoletja star dizajn. Toda letala niso padla z neba zaradi ene težave, temveč je šlo za verigo dogodkov in splet nesrečnih okoliščin, ki pa bi se jim lahko izognili z ustreznimi postopki. Ključni problem je Maneuvering Characteristics Augmentation System (MCAS), ki je lahko računalniku predlagal ukaze, ki jih pilot ni izrecno zahteval. MCAS je bil namenjen lažjemu krmiljenju, saj se je z njim letalo obnašalo kot starejši modeli (737 NG), zato ni bilo potrebno dolgotrajno ponovno usposabljanje pilotov (type rating). MCAS je pri delovanju uporabljal podatke enega izmed senzorjev vpadnega kota. Na letu Lion Air flight 610 je bil ta senzor defekten, zaradi česar se je MCAS nepravilno vključil in z vertikalnim stabilizatorjem letalo usmeril k tlom. Piloti so skušali dvigniti kljun, kar jim je uspelo z izklopom varovalk za MCAS. V poročilu tega detajla (varovalke) niso navedli. To se je zgodilo 28. oktobra 2018. Dan pozneje se je napaka ponovila, a piloti niso ugotovili, kaj je narobe, zato je po 20 vklopih MCAS-a letalo treščilo navzdol. Podobna je bila tudi druga nesreča marca 2019. Defekten senzor vpadnega kota je spet zmedel MCAS, ki je po štirih vklopih letalo obrnil proti tlom. Piloti niso imeli možnosti rešiti letala, ker se je to zgodilo kmalu po vzletu (šest minut).

Preiskava je preverila tudi očitke o pomanjkljivem vzdrževanju ali napačnih postopkih posadke. Očitki o pomanjkljivem znanju pilotov so bili neutemeljeni, saj so imeli vsi izkušnje s temi letali. Namesto tega je preiskava odkrila, da so bili postopki pri FAA in v Boeingu tehnično pomanjkljivi, slabo vodeni in tvegani. Glavne težave so bile: pritiski v Boeingu za hitro proizvodnjo, napačen dizajn (uporaba enega samega senzorja vpadnega kota kot vhodni podatek za MCAS), neutemeljene predpostavke (da bodo piloti vedeli, kako ključen je MCAS in kako reagirati, če odpove), kultura prikrivanja v Boeingu (nedeljenje ključnih informacij s FAA in strankami ter piloti, ki večinoma sploh niso vedeli, kaj točno je MCASA in da je indikator za pokvarjen senzor vpadnega kota na večini letal nedelujoč, kar naj bi popravili šele leta 2020!) in konflikt interesov (FAA in Boeing sta imela pretesne odnose). FAA je šele po prvi nesreči, ko je preiskovala incident in pripravila poročilo, prvikrat izvedela podrobno, kako MCAS deluje. MCAS bi bil moral biti označen kot varnostno kritični sistem, namesto tega pa je Boeing njegovo delovanje skrival. Že leta 2015 je interni revizor v Boeingu (RA - ki opravlja funkcijo FAA) vprašal, kaj bi se zgodilo z MCAS, če bi senzor vpadnega kota odpovedal. Boeing te težave ni rešil. Prav tako RA-ji niso obvestili FAA, da so že leta 2012 ugotovili, da pilot v povprečju potrebuje več kot 10 sekund, da izklopi MCAS, kar je lahko prepozno. Še več, v priročniku za pilote (Flight Crew Operations Manual) MCAS ni bil omenjen.

MCAS je imel zelo jasno finančno ozadje. Ko je Boeing podpisal pogodbo s Southwestom, je bilo jasno navedeno, da bo vsako letalo cenejše za milijon dolarjev, če bo FAA zahtevala prešolanje pilotov Boeinga 737 NG za 737 MAX. To je en primer, a vsaka letalska družba bo bolj zainteresirana za letalo, če lahko piloti letijo brez dodatnega usposabljanja. Da bi Boeing 737 MAX letel kot 737 NG, je bil potreben MCAS (brez njega letalo še vedno leti in ni nestabilno, le obnaša se drugače od predhodnika!). Zato je Boeing poskrbel, da je podatke, ki bi to terjali (npr. dejstvo, da pilot potrebuje več kot 10 sekund za izklop ponorelega MCAS-a), prikril pred FAA. Če bi se vedelo, kako deluje MCAS, bi FAA verjetno zahteval več kot le šolanje Level B (to je teoretično brez simulatorja). Boeing je to javno oglaševal in hkrati pritiskal na FAA, da to tudi določi. Predvsem je bil problem, da simulatorjev sploh ni bilo dovolj. Boeing je posamezne letalske družbe, ki so vseeno želel pilote poslati v simulatorje, aktivno prepričeval, naj tega ne storijo. Po prvi nesreči pa je Boeing zatrjeval, da bo zadostovalo prešolanje po Level A, kar je še manj zahtevno od Levela B. FAA je Boeing le devet dni pred drugo nesrečo opozarjala, da to ne bo dovolj.

Celo po prvi nesreči sta FAA in Boeing izdala opozorila pilotom (advisories), v katerih sploh nista omenila MCAS-a. Boeing je bil vedel, da defekten senzor vpadnega kota lahko povzroči katastrofo, a je letalske družbe o tem nameraval obvestiti šele 14 mesecev kasneje - a je vmes strmoglavilo prvo letalo. Šele tedaj je Boeing sprožil prvo resno interno preiskavo certificiranja sistema MCAS in šele tedaj je FAA izvedela, kako v celoti deluje. Z zamudo so informacije prikapljale tudi do letalskih družb in pilotov.

Sklepi: FAA ni opravila javne službe, to je zagotoviti varnost javnega potniškega prometa, saj je preveč nadzora delegirala kar Boeingu (ki se je samocertificiral). Boeing pa je odgovoren za pomanjkljiv dizajn, ki je posledica neustrezne korporativne kulture, hitenja in prikrivanja. Popravljena letala bodo imela dva senzorja vpadnega kota, MCAS se ne bo več vključeval večkrat, piloti bodo deležni dodatnega usposabljanja. Če bi to storili prej, nesreč zelo verjetno ne bi bilo.