После того, как Boeing 737 потерпел крушение под Амстердамом более десяти лет назад, голландские следователи стали обвинять пилотов в том, что они не отреагировали должным образом, когда автоматизированная система вышла из строя и вызвала падение самолета в поле, убив девять человек.
Однако вина была не только экипажа. Решения Boeing, в том числе рискованный выбор конструкции и ошибочные оценки безопасности, также способствовали аварии на рейсе Turkish Airlines. Но Голландский совет по безопасности либо исключил, либо преуменьшил критику производителя в своем окончательном отчете после отклика от команды американцев, в которую входили представители Boeing и федеральных чиновников по безопасности.
Обзор причин катастрофы 2009 года, некоторые из которых ранее носили конфиденциальный характер, обнаруживает поразительные параллели с недавними катастрофами - и сопротивление группы американцев полному оглашению результатов, которые впоследствии оказались актуальными для MAX.
Например, в авариях 2009 и MAX отказ одного датчика вызвал перебои в работе системы, что привело к катастрофическим результатам, и Boeing не предоставил пилотам информацию, которая могла бы помочь им отреагировать на неисправность. Катастрофа 2009 года «представляет собой такое событие, к которому никогда не относились всерьез», сказал Сидни Деккер, эксперт по безопасности полетов, который был уполномочен Советом безопасности Нидерландов для анализа катастрофы.
Исследование Деккера обвинило Boeing в попытке отвлечь внимание от его собственных «недостатков дизайна» и других ошибок с «едва ли заслуживающими доверия» заявлениями, которые предостерегали пилотов быть более бдительными, согласно копии, рассмотренной The Times.
Исследование никогда не было обнародовано. По словам Деккера голландская комиссия отказалась от планов публикации. Пресс-секретарь голландского совета заявил, что публикация экспертных исследований не является обычной практикой, и решение о Dekker's принималось исключительно советом.
В то же время голландский совет удалил или исправил выводы в своем отчете об авиационном происшествии, о проблемах с самолетом. Совет также вставил заявления, некоторые почти дословно и без указания авторства, написаны американцами, которые сказали, что что некоторые ошибки пилота не были «должным образом подчеркнуты».
Согласно многочисленным экспертам по авиационной безопасности, имеющим опыт расследования авиационных происшествий, которые прочитали оба документа, ссылки на выводы Деккера в окончательном отчете были краткими, недостаточно четко написанными и недостаточно освещенными.
Один из них, Дэвид Вудс, профессор в Университете штата Огайо, который работал техническим советником Федерального авиационного управления, сказал, что крушение Turkish Airlines «должно было всех разбудить».
Некоторые из параллелей между этой аварией и более поздними особенно примечательны. Проектные решения Boeing, касающиеся как MAX, так и самолета, участвовавшего в аварии 2009 года - 737 NG или Next Generation, позволили запускать мощную компьютерную команду одним неисправным датчиком, даже если самолет был оснащен двумя датчиками. В двух катастрофах МАКС датчик, измеряющий угол самолета к ветру, побудил компьютер управления полетом опустить нос после взлета; во время полета Turkish Airlines датчик высоты заставил другой компьютер снизить скорость самолета непосредственно перед посадкой.
«Боинг» до 2009 года предполагал, что, если датчик выйдет из строя, экипаж быстро распознает проблему и предотвратит остановку самолета - почти то же самое предположение о поведении пилота, сделанное с MAX.
Как и в случае с недавними катастрофами, Boeing не включил в руководство по эксплуатации NG информацию, которая могла бы помочь пилотам отреагировать на неисправность датчика.
Даже предложенное сейчас исправление для MAX имеет сходство с прошлым: после крушения под Амстердамом FAA потребовало, чтобы авиакомпании установили обновление программного обеспечения для NG, которое сравнивало данные с двух датчиков самолета, а не полагалось только на один. Изменение программного обеспечения, разработанное Boeing для MAX, также сравнивает данные двух датчиков.
Важно отметить, что в случае с NG Boeing уже разработал исправление программного обеспечения задолго до крушения Turkish Airlines, включая его на новых самолетах начиная с 2006 года и предлагая его в качестве дополнительного обновления для сотен других самолетов. Но для некоторых старых самолетов, включая тот, который разбился под Амстердамом, обновление не работало, и Boeing не разработал совместимую версию до катастрофы.
Голландские следователи посчитали «примечательным» то, что «Боинг» оставил авиакомпании, не имея возможности получить гарантии для некоторых старых самолетов. Но при рассмотрении проекта отчета об аварии американцы возражали против заявления, согласно приложению к окончательной версии, отмечая, что модификация программного обеспечения была излишней, поскольку «не было обнаружено неприемлемого риска». GE Aviation, которая купила компанию, которая сделала компьютеры для более старых самолетов, также предложили удалить или изменить предложение из отчета.
Голландский совет удалил это заявление, но критиковал Boeing за то, что он не сделал больше, чтобы предупредить пилотов о проблеме с датчиком.
Вудс, который был советником Деккера, сказал, что решение об исключении или недооценке основных результатов исследования позволило Boeing и его регуляторам из США провести «самые небольшие изменения».
По его словам, проблема с одним датчиком должна была отговорить Boeing от использования аналогичной конструкции в MAX. Вместо этого «проблема была похоронена».
Боинг отказался отвечать на подробные вопросы The Times. В своем заявлении компания указала на различия между аварией 2009 года и авариями MAX.
«В этих катастрофах использовались принципиально разные системные входы и фазы полета», - сказали в компании.
Отвечая на вопрос об участии в отчете о происшествиях в Нидерландах, Боинг сказал, что «типично и важно для успешных расследований, чтобы Боинг и другие производители работали совместно со следственными органами».
Джо Седор, представитель Национального совета по безопасности на транспорте, который возглавлял американскую команду, работающую над расследованием Turkish Airlines, сказал, что для следственных органов не является чем-то необычным вносить изменения в отчет после получения обратной связи, или чтобы представители безопасности США совместно представили свои комментарии с Boeing.Sedor теперь контролирует работу NTSB над сбоями MAX. Он признал, что опора на один датчик является фактором, способствующим в обоих случаях, но предостерег от излишнего внимания на этом факте.
«Каждый из этих несчастных случаев был сложным и динамичным событием со многими способствующими факторами», - сказал он. «Сокращение их просто до количества входов игнорирует многие, многие другие проблемы, которые их отличают».
ФАА в своем заявлении также подчеркнула «уникальный набор обстоятельств», окружающих каждую аварию. «Установление широких связей между авариями с участием различных типов чрезвычайных ситуаций упрощает то, что по определению является сложной наукой», - говорится в заявлении.
Агентство, также являющееся частью американской команды по расследованию событий в Нидерландах, отказалось сообщить, учитывались ли уроки, полученные в результате крушения Turkish Airlines в вопросах сертификации MAX, который был одобрен для полетов в 2017 году.
Но высокопоставленный чиновник FAA, который не был уполномочен говорить публично, высоко оценил исследование Деккера и сказал, что оно выявило важные проблемы, которые не получили достаточного внимания общественности. Чиновник указал на сходство - например, зависимость от единственного датчика - между аварией Turkish Airlines и авариями МAX.
Сосредоточиться на пилотов
Утром 25 февраля 2009 года рейс авиакомпании «Турецкие авиалинии» 1951 года приблизился к Амстердаму, перевозив 128 пассажиров из Стамбула. Первый офицер направил самолет к взлетно-посадочной полосе 18R, вызывая изменения в его скорости и направлении. Он был новичком в самолете Боинг, поэтому в состав экипажа входил третий пилот, помимо капитана, бывшего офицера ВВС Турции с 13-летним опытом полета на самолете.
Из-за инструкций авиадиспетчерской службы экипажу пришлось выполнить маневр, который может быть сложным: замедление при спуске быстрее, чем обычно. Они задействовали компьютер, который контролировал тягу двигателя, известную как автоматическая тяга, чтобы помочь регулировать падение скорости.
Когда самолет опустился на 1000 футов, пилоты еще не завершили свой контрольный список посадки. Следователи определили, что строгое соблюдение процедуры авиакомпании означало бы, что нужно совершить еще одну попытку, но нарушения были обычным делом на оживленной взлетно-посадочной полосе.
Примерно через минуту, когда самолет находился на высоте около 450 футов, контрольные рукоятки пилотов начали трястись, предупреждая о приближающемся сваливании. Самолет слишком сильно замедлился. Один из пилотов сразу же толкнул рычаг тяги вперед, чтобы набрать скорость, но когда он отпустил компьютер, он приказал ему поработать на холостом ходу.
Капитан вмешался, отключив автомат тяги и установив упорные рычаги на максимум. Девять секунд прошло с момента предупреждения о сваливании. К тому времени было уже слишком поздно. Самолет упал в поле менее чем в миле от аэропорта.
Три пилота, еще один член экипажа и пять пассажиров погибли.
Голландские следователи определили, что причиной неисправности был датчик на внешней высоте измерения высоты самолета. Датчик ошибочно указал, что самолет находится всего в нескольких шагах от приземления, побуждая двигатели работать на холостых оборотах.
В течение 70 секунд автомат тяги сделал то, что предполагал экипаж: постоянно снижал скорость самолета. Но пилоты не заметили, что компьютер не поддерживал заданную скорость, когда она была достигнута; вместо этого он продолжал замедлять самолет. Пилоты поняли, что произошло, только когда рычаг управления начал вибрировать.
Потеря скорости полета считается серьезной ошибкой. Пилоты, которые, как полагают следователи, были заняты контрольным списком посадки, также пропустили несколько предупреждений о том, что автомат тяги действовал. Выводы голландского совета были сфокусированы на решении не прерывать посадку, неспособности распознать опасное падение скорости и неправильный ответ на дрожащий рычаг управления, возможно, из-за неадекватной подготовки.
По просьбе американской команды, возглавляемой NTSB, голландцы добавили комментарии, которые дополнительно подчеркнули виновность пилотов. Окончательный отчет, например, включал новое заявление, в котором ругался капитан, в котором говорилось, что он мог использовать ситуацию, чтобы преподать первому офицеру «урок» по следующему протоколу.
В своих комментариях, отраженных в основном в приложении, американцы рассмотрели критику Boeing в проекте доклада. Они написали, что описание процедур компании по мониторингу и устранению потенциальных проблем безопасности было «технически некорректным, неполным и чрезмерно» упрощенным. В ответ Правление включило описание программы безопасности Боинга, написанное американцами, и заявление о том, что подход Боинга был более строгим, чем требования FAA.
В проекте также упоминались исследования, в которых сложная автоматизация часто путала пилотов, и предлагались улучшения дизайна и обучения. Исследования, говорится в проекте, включали исследования «самого Боинга».
Американцы возразили, заявив, что заявления «искажают и упрощают результаты исследований». В своем окончательном отчете Правление исключило упоминание о Боинге.
Когда голландский совет объявил о своих выводах во время пресс-конференции, его председатель сказал: «Пилоты могли бы предотвратить это».
Недостающая информация
Голландский совет по безопасности также поручил Dekker провести анализ аварии, в которой применялась инженерная дисциплина, известная как человеческий фактор. Поскольку самолеты стали полагаться на сложные компьютерные системы, исследователи и исследователи определили методы проектирования и обучения, которые могут снизить вероятность ошибки пилота.
Деккер, тогдашний профессор в Швеции, который расследовал другие серьезные аварии и работал неполный рабочий день на самолете 737, признал фатальные ошибки пилотов Turkish Airlines в своем исследовании на 129 страниц.
Но он также обнаружил, что Боинг несет значительную ответственность.
Хотя его исследование так и не было обнародовано, его копии были распространены среди некоторых исследователей и пилотов. А его роль в расследовании была указана в приложении к отчету комиссии. Сейчас он профессор в Австралии и Нидерландах.
В ходе исследования Деккер отчитал Boeing за проектирование автоматической системы, чтобы полагаться только на один из двух датчиков, измеряющих высоту. Это решение, писал он, оставило «путь единственного отказа», повышая риск того, что одна ошибка может привести к катастрофе.
За пять лет до крушения Turkish Airlines Боинг знал, что неисправность датчика может привести к неправильной работе двигателей на холостом ходу, но компания решила, что это не проблема безопасности, пишут голландские следователи. После получения сообщений о пропусках зажигания в автоматическом режиме, которые не привели к несчастным случаям, экспертная комиссия Боинга определила, что в случае неисправности пилоты признают ее и вмешиваются.
Тем временем Boeing разработал обновление программного обеспечения, которое позволило автоматическому рычагу газа сравнивать показания двух датчиков высоты. Если бы они отличались более чем на 20 футов, то автомат тяги не смог бы неправильно работать на холостых оборотах двигателей.
Защита была доступна в 2006 году, но изменение не работали на некоторых моделях 737 NG, таких как самолет Turkish Airlines, которые использовали компьютер с автоматической системой, изготовленный другой компанией. После крушения 2009 года Boeing разработал версию обновления, совместимую с этими компьютерами, и FAA потребовала, чтобы авиалинии установили это.
Исследование Dekker показало, что еще одно решение Boeing - исключить важную информацию из руководства по эксплуатации - также помешало пилотам Turkish Airlines.
737 NG имеет два параллельных набора компьютеров и датчиков, один на левой стороне самолета и один справа. Большую часть времени, только один набор находится под контролем.
На рейсе Turkish Airlines система справа была под контролем. Пилоты распознали неточные показания высоты и отметили, что они поступают от датчика слева. Это привело бы их к заключению, что плохие данные, поступающие слева, не имели значения, потому что автоматическая заслонка получала правильные данные справа, обнаружил Деккер.
Что пилоты не могли знать, так это то, что компьютер, управляющий тягой двигателя, всегда полагался на левый датчик, даже когда органы управления справа управляли самолетом. Деккер узнал, что этой важной информации нигде нет в руководстве для пилотов Боинга.
Эрик ван дер Лели, пилот 737 NG и инструктор европейской авиакомпании, который учился у Деккера, сказал The Times, что не знал об этой особенности конструкции, пока не прочитал копию исследования.
«Я уверен, что никто или почти никто из 737 пилотов не знал этого», - сказал он.
Когда проект отчета подверг критике Boeing за то, что он не предоставил пилотам информацию, которая могла бы помочь предотвратить аварию, американцы не согласились, сославшись на общие указания из учебного пособия и написав: «Boeing действительно давал соответствующие указания летным экипажам». Самолет «легко восстанавливался». «Если пилоты следовали надлежащим процедурам.
В своем окончательном отчете Правление сохранило общее заключение, но смягчило некоторые формулировки.
Позднее Боинг сделал аналогичную оценку на 737 MAX. Исследователи установили, что компания не сообщила пилотам о новой автоматизированной системе, которая привела к обоим смертельным сбоям, препятствуя их способности противодействовать ошибочным командам.
В целом, в окончательном отчете Совета безопасности Нидерландов упоминались некоторые выводы Деккера, но эксперты по авиационной безопасности, читавшие его исследование, сказали, что системные вопросы, которые он поднял, получили слишком мало внимания.
Например, несмотря на то, что в отчете отмечена особенность конструкции, не включенная в руководство, он сделал это лишь на короткое время среди другой технической документации, и значение этого было неясным. По оценкам Деккера, Правление включило в свой отчет эквивалент примерно одной страницы информации из своего исследования, которая составляла 90 страниц в дополнение к приложениям.
«Невозможность ответственности»
Сегодня, столкнувшись с общественным протестом по поводу катастроф MAX и требований к реформам, Boeing и FAA согласились, что больше внимания следует уделить инженерной дисциплине, которую Деккер применил в своем исследовании.
И NTSB, и группа международных экспертов обнаружили, что Boeing и FAA недостаточно учли уроки этого исследования человеческого фактора при разработке и сертификации MAX.
Но даже несмотря на то, что исследования проводились в течение десятилетий - исследование FAA рекомендовало в 1996 году, чтобы отрасль и регулирующие органы более охотно применяли этот подход - расследования авиационных происшествий, как правило, фокусировались на ошибках пилота, сводя к минимуму или игнорируя системные факторы, такие как проблемы проектирования и обучения.
«Действительно легко обвинить погибших пилотов и сказать, что это не имеет никакого отношения к нашей неправильно спроектированной системе», - сказал Шон Пручницки, который преподает в штате Огайо и занимается расследованием авиационных происшествий для Ассоциации пилотов авиакомпании.
Пручницкий, который учился у Деккера, сказал, что он участвовал в многочисленных расследованиях, в которых эксперты по человеческому фактору были в значительной степени проигнорированы.
«Это просто расстраивает, потому что мы продолжаем иметь одни и те же типы аварий», сказал он.
Вудс, профессор штата Огайо, который консультировал FAA, написал электронное письмо коллегам вскоре после первого крушения 737 MAX, в октябре 2018 года, 610 Lion Air, в результате которого 189 человек погибли через несколько минут после взлета из Джакарты, Индонезия. Первоначальные подробности, он написал, указали, что это было вызванное автоматизацией бедствие того вида, который он и другие изучали почти 30 лет. Он сослался на исследования 1990-х годов и указал на крах Turkish Airlines.
«То, что эта ситуация продолжается так долго без серьезных действий, - это не то, как должна работать инженерия», - написал он.
После второго крушения MAX - в марте 2019 года рейса 302 эфиопских авиалиний, убившего всех 157 человек на борту вскоре после взлета из Аддис-Абебы, - сказал Вудс в интервью: «Я был потрясен».
«Это такой отказ от ответственности», - сказал он. «Мы не должны допустить этого».