Mała zmiana, duże konsekwencje - system MCAS zniszczył Boeinga 737 Max

Boeing 737 Max to samolot, który od paru miesięcy stoi na ziemi i nie zapowiada się, aby w kolejnych tygodniach powrócił on do służby powietrznej. Efekt domina, który ciąży nad amerykańskim producentem rozpoczął się już po pierwszej tragedii indonezyjskiej linii Lion Air, a dokładnie sześć miesięcy później cała konstrukcja została zrównana z ziemią przez następny wypadek - katastrofę samolotu Ethiopian Airlines 302 ze 157 osobami na pokładzie. Pojedynczy, uszkodzony czujnik zamontowany na poszyciu samolotu zmusił pilotów do walki, która zakończyła się nieodwracalnym nurkowaniem samolotu ku ziemi.

Po wielu tygodniach na horyzoncie zaczyna pojawiać się odpowiedź. Boeing zdecydował się na agresywne zmiany i naniósł poprawki do swojego samolotu, które doprowadziły do jego zguby. Piloci testowi, urzędnicy, inżynierowie, a także wszystkie inne osoby uczestniczące w całym procesie rozwoju samolotu Boeing 737 MAX stały się ofiarą małej zmiany dotyczącej sposobu działania systemu MCAS. Czy obu katastrofom można było więc zapobiec jeszcze na powierzchni ziemi?

W rozmowie z The New York Times, pracownicy Boeinga oraz FAA - najważniejszej organizacji związanej z komercyjnym lotnictwem - potwierdzili najgorsze przypuszczenia. Każda z wymienionych osób założyła, że system MCAS działa w oparciu o większą liczbę czujników niż tylko jeden i rzadko, jeśli w ogóle aktywuje się samodzielnie. W oparciu o te błędne założenia, inżynierowie i urzędnicy podjęli w późniejszym okresie krytyczne decyzje wpływające nie tylko na projekt, ale również certyfikację samego samolotu. Największymi poszkodowanymi stali się jednak piloci, którzy mieli usiąść ze sterami modelu 737 MAX - zostali oni bowiem pozbawieni szkolenia omawiającego zmiany względem wcześniejszych wersji samolotu.

Pośpiech oraz chaos informacyjny w sprawie Boeinga 737 MAX pozbawił inżynierów i urzędników pełnego obrazu oraz wizji katastrofy, której można było zapobiec jeszcze zanim pierwszy samolot opuścił hangar i stanął na pasie startowym. Amerykański gigant także dopuścił się ogromnego zaniedbania. Boeing na pewnym etapie nie ujawnił organizacji FAA zmiany, którą naniósł do systemu MCAS.

Konsekwencje?

Większość pilotów siadających za sterami Boeinga 737 MAX nie miała pojęcia o istnieniu systemu i wadliwym oprogramowaniu. Aż do pierwszej katastrofy w październiku 2018 roku.

Od samego początku istnienia system MCAS miał być rozwiązaniem, które uruchamiałoby się jedynie w wybranych warunkach sprawiając, iż sam samolot byłby w stanie płynniej przeprowadzać niektóre ruchy w powietrzu. Algorytmy opierały się na wielu czujnikach i sensorach: między innymi tych, które są odpowiedzialne za mierzenie przyspieszenia czy też kąta natarcia - informacji mającej kluczowy wpływ na powstanie siły nośnej. W przypadku przeciągnięcia, czyli nagłej utraty siły nośnej, system MCAS miał automatycznie pomóc pilotom w ucieczce z danej sytuacji i sprawić, że dalszy lot będzie kontynuowany w bezpieczny sposób - bez ryzyka katastrofy.

Finalnie Boeing zdecydował się usunąć odczyt informacji z wybranych sensorów i postawił tylko te dane, które były przekazywane do MCAS przez czujnik kąta natarcia. Podstawowe zabezpieczenia zniknęły. Piloci testowi zamknięci w symulatorach nie rozumieli, w jaki sposób działanie systemu MCAS mogło wpłynąć na ich bezpieczeństwo. Urzędnicy odpowiedzialni za regulację i certyfikację nie przeprowadzili formalnej oceny bezpieczeństwa nowej wersji MCAS. Wiele osób zapiera się po fakcie, że postąpiłoby inaczej wiedząc, że system stworzony przez Boeinga zbiera dane tylko z jednego z dwóch dostępnych czujników, a nie opiera się jak wcześniej na wielu sensorach.

System MCAS został powołany do życia jeszcze w 2012 roku - podczas początków projektowania i rozwoju Boeinga 737 MAX, na długo przed jego oficjalną certyfikacją i wprowadzeniem do służby powietrznej.

Podczas tego okresu, pilot testowy Ray Craig, emerytowany lotnik marynarki wojennej był odpowiedzialny za testowanie zachowania samolotu w określonych sytuacjach. Siedząc w symulatorze miał on między innymi sprawdzić, jak 737 MAX zachowuje się podczas agresywnego unikania przeszkód oraz ucieczki z wiru powietrznego, który może zostać stworzony przez silnik innego samolotu. Tego typu sytuacje zdarzają się rzadko w komercyjnym lotnictwie, niemniej jednak FAA wymaga, aby każdy samolot radził sobie z nimi sprawnie i bez większych przeszkód.

Samolot radził sobie zbyt dobrze z obiema sytuacjami. Aby rozwiązać kwestię sterowności, firma  postawiła na oprogramowanie MCAS. System miał działać w tle korygując błędy, a piloci nie musieli wiedzieć, że rozwiązanie faktycznie się tam znajduje. Rayowi Craigowi nie spodobało się, że Boeing chce umieścić w samolocie oprogramowanie, które przejmuje kontrolę nad sterownością oraz cechami aerodynamiki podczas lotu. Zamiast tego, pilot testowy zaproponował klasyczne rozwiązania mechaniczne. Inżynierowie Boeinga po przeprowadzeniu testów w tunelu aerodynamicznym uznali, że proponowane przez lotnika patenty na poprawę sytuacji nie działają w satysfakcjonujący sposób.

Craig ustąpił - problematyczne sytuacje w modelu 737 MAX miały zdarzać się w powietrzu tak rzadko, że sam MCAS nie byłby w zasadzie potrzebny. Autonomiczne uruchomienie systemu miało być świętem.

Deszczowego dnia, pod koniec 2016 roku tysiące pracowników Boeinga zebrało się na pasie startowym obok fabryki producenta w mieście Renton. Wszyscy mieli obserwować pierwszy, udany i jednocześnie dziewiczy lot testowy samolotu 737 MAX. Główny pilot testowy Ed Wilson oznajmił tego samego dnia, iż operacja zakończyła się sukcesem. Następca Raya Craiga był pewny, że Boeing 737 MAX spełni oczekiwania klientów firmy, ale także i samych pasażerów. Po kilku tygodniach od wypowiedzenia tych słów, Wilson musiał je jednak zmienić. Okazało się, że samolot nie radzi sobie z lotem z małą prędkością. To sytuacja, w której teoretycznie łatwiej o "przeciągnięcie" i utratę siły nośnej. Zwołano specjalne spotkanie.

Podczas posiedzenia w Boeing Field na terenie Seattle, Ed Wilson powiedział inżynierom, że problem musi zostać rozwiązany. W odpowiedzi zaproponowano... MCAS. Omówiono zastosowanie oprogramowania w nowych scenariuszach testowych i postanowiono wdrożyć sam system do samolotu. MCAS musiał działać prawidłowo podczas niskich prędkości. Ta mała modyfikacja oznaczała, że pojedynczy czujnik kąta natarcia stał się wyrocznią w sprawie poprawnego działania całego systemu.

Korzystanie z MCAS przy niższych prędkościach wymusiło również na Boeingu nadprogramowe dodanie mocy samemu systemowi tak, aby skuteczniej mógł on zarządzać komponentami samolotu. Oryginalna wersja MCAS mogła przesuwać powierzchnie sterowe (stabilizator) maksymalnie o około 0,6 stopnia w 10 sekund. Usprawniona, nowa wersja algorytmów mogła przesunąć je z kolei już o 2,5 stopnia w tym samym czasie. To kolosalna różnica.

Boeing odmówił komentarza na temat tego czy przyznanie MCAS większej mocy sprawiło, że stał się on bardziej niebezpieczny.

FAA bez zająknięcia zatwierdziło poprzednią wersję MCAS i nie wiedziało o zmianach w zakresie mocy systemu, które zostały naniesione przez amerykańskiego producenta. Nie podjęto także żadnego, wewnętrznego audytu bezpieczeństwa oraz testów, aby upewnić się, że wszystko działa tak, jak należy. Urzędnicy zapierają się, że wszystkie kroki zostały wykonane zgodnie z procedurą.

Co gorsza, nikt nie sprawdził także sytuacji, w której oprogramowanie aktywuje się w momencie uszkodzenia zbierania błędnych danych przez czujnik kąta natarcia. Dokładnie ten problem wystąpił zarówno w przypadku katastrofy lotu Lion Air, jak i Ethiopian Airlines. Boeing od początku miał świadomość, że system MCAS może aktywować się błędnie. Statystyki mówiły jednak, że tego typu sytuacja może zdarzyć się nie więcej niż raz na 10 milionów godzin lotu.

Boeing broni systemu MCAS od samego początku - również po pierwszej katastrofie lotu Lion Air na terenie Indonezji. Podczas "gorącego" spotkania ze związkiem pilotów w American Airlines, które miało miejsce w listopadzie 2018 roku, dyrektorzy Boeinga odrzucili obawy pilotów związane z działaniem oprogramowania. Według wiceszefa Boeinga, Mike Sinetta, piloci samolotu mieli być swoistą "kopią zapasową", która zapobiegłaby niebezpieczeństwu.

Cztery miesiące po spotkaniu z pilotami American Airlines, drugi Boeing 737 MAX rozbił się na terenie Etiopii. Kilka dni później każdy wariant tego samolotu został uziemiony na całym świecie.

W ramach poprawki Boeing przerobił system MCAS tak, aby bardziej przypominał on swoją pierwotną wersję. Od teraz oprogramowanie będzie mniej agresywne i wykorzysta dane dostarczane przez dwa czujniki kąta natarcia umieszczone na poszyciu samolotu. Amerykańska firma wierzy, iż 737 MAX wróci w powietrze jeszcze na przestrzeni 2019 roku.