Katastrofa 737 Max

Když letadla nepadají nešťastnou náhodou

Během posledních měsíců jsme byli svědky několika leteckých katastrof. Když se na ně člověk podivá z výšky deseti tisíc stop vypadají jako neštastné náhody. Všichni dělají všechno podle předpisů a stejně dochází ke katastrofám. Nic by nebylo vzdálenější pravdě. Pokud vám při čtení následujících řádků budou vstávat vlasy hrůzou z toho, čím jste málem v létě málem letěli na koupačku k moři, tak je mi to líto.Analýza možných příčin mrazivě připomíná, že původně bezpečný systém kvůli sérií jednotlivě izolovaných a lokálně optimálních rozhodnutí postupně vede ke katastrofě. Tomu se říká drift into failure at the best.

While pursuing success in a dynamic, complex environment with limited resources and multiple goal conflicts, a succession of small, everyday decisions eventually produced breakdowns on a massive scale. We have trouble grasping the complexity and normality that gives rise to such large events.

Drift into Failure, Sidney Dekker

Eroze systému, geneze

Obrázek se nepodařilo načíst. Ilustrace srovnání letadel Boeing 737 MAX a 737 od Norebbo

↗ Medium

Norebbo.com

Všimli jste si na obrázku 737 Max a 737 nějakého rozdílu? Zkuste se podívat pozorněji na velikost a umístění proudových motorů. Motory u 737 Max jsou větší. Přesněji řečeno sakra větší, původní průměr byl 100cm, nový průměr 176cm.

Jsou tak velké, že je nebylo možné zavěsit pod křídlo, protože není dost místa od země. Krátká odbočka. Proč má 737 Max větší motor? Protože všichni chceme létat na dovolené a po celém světě za ceny letenek blížícíh se většímu nákupu v supermarketu. Větší motor rovná se větší efektivita, ménší spotřeba paliva, a jsme u ceny. Máme tedy problém, velký motor, který se nevejde po křídklo, jak si s ním poradíme? Mohli bychom motor předsadit před křídlo. Problém vyřešen.

Né tak docela. Tím, že jsme motor přesunuli před křídlo, posunuly se s ním všechny fyzikální síly, které na letadlo působí. Kvůli tomu má 737 Max tendence zvedat špičku nosu pokud pilot přidá tah motoru. Čím více se letadlo “staví na zadní”, tím více klesá aerodynamický vztlak pod křídlem, který zajišťuje, že letadlo může letět. Když aerodynamický vztlak poklesne pod kritickou hodnotu, letadlo začne padat. Jediná šance, kterou v tu chvíli pilot má, je naklonit letadlo na čumák, získat rychlost a tím pádem potřebný vztlak. Pokud má tedy čas tenhle manévr provést.

Letečtí inženýři Boeingu se zamysleli nad tímhle problémem a vymysleli systém Maneuvering Characteristics Augmentation System”, zkráceně MCAS. Tenhle systém hlídá náklon letadla a když vyhodnotí, že by vlivem příliš zvednuté špičky mohlo dojít k pádu, provede přesně to co by měl udělat pilot, naklopí špičku dolu. Letadlo nabere rychlost a všichni jsou opět šťastní.

Ke kontrole náklonu letadla se používá senzor, který je umístěný pod okny pilotní kabiny. Senzor něco naměří, pošle data do počítače. V něm je zpracuje MCAS systém a vydá patřičné rozkazy, které řídící počítač přivede digitálně po drátech k hydraulice, která pohne mechanickými ovládacími prvky letadla. Původně byly v letadlech natažená lanka a všechny manévry byly obtížnější, protože pilot zápasil s aerodynamickým silami, které působí na jednotlívé ovládací prvky. S hydraulikou je to sranda. Malá odbočka. F-105 nadzvukový lehký bombardér a americký tažný kůň během Války ve Vietnamu, k velké nevoli pilotů, používal místo lanek rovněž hydrauliku. Bohužel její primární i záložní okruh byly propojené a zásah vedoucí ke ztrátě hydraulické kapaliny vedl v lepším případě pouze ke ztrátě letounu a návštěve pilota v neslavně proslulém hanoiském Hiltonu (severovietnamské vězení). Horší případ asi netřeba popisovat.

Tak či onak, většina letadel má kritické systémy zálohované. Senzory pro měření náklonu špičky nosu letadla jsou tedy dva. Bohužel MCAS naprosto nelogicky využívá data pouze z jednoho z nich. O důvodech můžeme spekulovat, ale pravdy se zřejmě nedobereme, protože inženýrům do hlav nevidíme. Pokud jsou data nepřesná např. kvůli tomu, že se senzor zasekne, máme velký problém. MCAS a řídící počítač si začnou myslet, že letadlo kvůli náklonu brzo spadne a přitlačí špičku k zemi. Řídící počítače dnešních letadel jsou naprogramované, aby nenechaly pilota udělat žádnou fatální chybu. Pokud si MCAS myslí, že má letadlo nebezpečný náklon, pilot s tím nic neuděla třebaže by knipl urval. Jedinou záchranou je MCAS vypnout.

Ehm, vypnout. To se lehce řekne. Nejsem pilot, ale představuji si naivně tu situaci takhle. Klídný let Středomořím, letadlo je rovně jako pravítko, flirtuji s letuškou a popijím Jacka Danielse z bezcelního obchodu. Vtom někdo pošle čumák mého letadla k zemi. Zuřivě přitahuji knipl a ono se nic neděje. Kouknu se na druhého pilota, který stejně bezradně kouká na mě. Bezradně koukáme tedy dva. V tom si vzpomenu, že letím na 737 Max, a že to je tím systémem MCAS, který tam nově přidali. Náhodou vím, kde se ten systém vypíná. Vypnu ho a naposlední chvíli to vyberu před tím než se čumák letadla rozprskne o vodní hladinu někde poblíž Heraklionu.

Pokud vám nejde do hlavy, jak je možné, že o MCAS systému vím jako pilot kulový, zkusím jednu hypotézu. 737 bylo uvedené do provozu v roce 1967. Pokud jsem si udělal certifikaci na 737 před půl stoletím, můžu se zaškolením létat i dneska na Maxu, přestože je to úplně jiné letadlo. Jak je možné, že je 737 a 737 Max stejné letadlo? No, certifikace nového typu stroje stojí řádný balík. A to nemluvíme o zaškolení pilotů na nový typ stroje. Kdo by asi ty náklady zaplatil? Letecké společnosti, nebo společnosti provozující běžné či charterové lety. Nejsme naivní a dostáváme se oklikou k ceně letenky… Proto Boeing dělá všechno možné i nemožné, hádám že se pohybuje v šedé zóně, aby 737 Max bylo pořád certifikované jako 737 z roku 1967. Jak to, že mu to prochází? Správná otázka.

Nyní na řadu přichází jedno z nějvětších chucpe našeho příběhu. V letectví je z dobrých důvodů oddělena role toho, kdo letadla vyrábí, od role toho, kdo dohlíží na to, že jsou dodrženy všechny bezpečnostní postupy. Představme si ho jako auditora nebo kontrolóra, je to nějaký ouřada (úředník). Jak do letectví proudily peníze bylo stále složitější udržet si tyhle ouřady jako ouřady, protože soukromé letecké společnosti jim mohly platit pořádný ranec. A tak se řeklo, že tohodle ouřadu si vlastně mohou dělat letecké společnosti sami sobě. Takovej vnitřní audit, říká se mu údajně Designated Engineering Representative či zkrácene DER. Já bych to česky přejmenoval na KZ — kozel zahradníkem.

Je na čase si udělat malou rekapitulaci toho jak náš systém, 737 Max, erodoval až ke katastrofě.

• Všichni chceme létat levně
• Máme letadlo, které v zájmu ekonomiky provozu, dostane větší motory
• Motory jsou tak velké, že je musí posunout před křídlo
• Posunutí motoru před křídlo změní letové vlastnosti, letadlo je během přidání tahu více nachylné k zvedání nosu ergo aerodynamickému pádu
• Vzniká nový systém MCAS, který předchází aerodynamickému pádu
• Letadlo se ovládá elektronicky nikoliv jako za starých dobrých časů lanky nebo hydraulikou, kterou by člověk silou přetlačil
• Řídící systém letadla je software, MCAS je jeho nedílnou součástí
• V software jsou chyby (bugy)
• MCAS používá pouze jeden senzor náklonu, přestože senzory jsou dva
• MCAS má nadřazenou roli vůči pilotovi, MCAS může být pouze deaktivován
• Dochází k platovým nerovnostem mezi těmi, kteří letadla vyrábějí a těmi, která je mají kontrolovat
• Máme systém certifikací, který byl outsorcován do společnosti, která tu samou 737 vyrábí
• Máme letadlo, které je certifikované jako 737, přestože s původní verzí z roku 1967 nemá nic společného
• Kruh se uzavřel

Neznám moc lepších příkladů systémů erodujících k fatálnímu selhání než je tento. Za povšimnutí stojí to, že každý jednotlivý krok je nějaká forma optimalizace. Když se kroky sečtou je tu katastrofa. Připomíná mi to havárii raketoplánu Challenger a vadné těsnící kroužky v SRB, ale o tom někdy příště. Tento článek vychází z článku Gregory Travise How the Boeing 737 Max Disaster Looks to a Software Developer kde je vše mnohem detailněji popsané vysvětlené. Velmi vřele doporučuji. Samotnému softwarovému bugu se z jiného úhlu věnuje matka agile Mary Poppendieck What If Your Team Wrote the Code for the 737 MCAS System?. Na závěr ještě jednou zmínim Drift into Failure: From Hunting Broken Components to Understanding Complex Systems, která se tématem selháním zabývá.

Starší na Dagblogu

• Chyba je nevyhnutelná a mávnutí motýlích křídel, které smazalo naší databázi