Článek
V 01:10:18 místního času slyšela posádka letu Aeroperú 603 ze země potvrzení, které znělo jako poslední pevný bod v kabině plné rozporů: radarový displej ukazoval 9700 stop. O devětatřicet sekund později levé křídlo Boeingu 757 narazilo do hladiny Pacifiku. Tlakový výškoměr v kokpitu přitom stále tvrdil, že pod letadlem zbývají téměř tři kilometry vzduchu. Při prvním kontaktu s vodou letoun nebyl bez motorů ani bez řízení. Byl ovladatelný — jen posádka už nevěděla, v jaké výšce a s jakou energií jej ovládá.
Číslo ze země nebylo nezávislým radarovým měřením výšky. Transpondér v letadle převzal vadný tlakový údaj z palubního systému, odeslal jej řídícímu a řídící jej přečetl zpět do kokpitu. Stejná chyba tak během několika sekund získala dvě autority: svítila před piloty a zazněla hlasem člověka na zemi. Posádka nedostala potvrzení reality. Dostala ozvěnu vlastního rozbitého senzoru.
Zdroj poruchy byl fyzicky nepatrný. Před letem se leštila spodní přední část trupu. Statické porty, drobné otvory snímající tlak okolního vzduchu, byly při práci zakryty ochrannou páskou. Ta po skončení zůstala na místě. Kus levé části trupu vytažený po havárii nesl všechny tři levostranné porty stále přelepené. Pásku neodhalil pracovník po leštění, kontrola kvality, předání na linku ani předletová obchůzka.
Třetí díl první řady dokumentu Letecké katastrofy nese původní název Flying Blind, česky Když nefungují přístroje. Je to působivý, ale neúplný popis. Některé přístroje fungovaly správně: umělý horizont, kurz, motory, inerciálně vypočtená rychlost vůči zemi a v malé výšce radiovýškoměr. Tragédie nevznikla z absolutní slepoty. Vznikla z mnohem zákeřnějšího stavu, v němž lež a pravda přicházely současně, stejnými obrazovkami a stejně naléhavými tóny.
PŘÍPAD V ČÍSLECH
2. října 1996 · Aeroperú 603 / PLI603 · Lima–Santiago de Chile · Boeing 757-23A, N52AW · 61 cestujících + 9 členů posádky · vzlet 00:42 místního času · první kontakt s vodou 01:10:57 · konečný náraz 01:11:16 · 70 obětí, bez přeživších.
Před půlnocí: letuschopný Boeing a práce, která měla být kosmetická
N52AW nebyl starý ani zanedbaný stroj. Boeing 757-23A byl vyroben v listopadu 1992, měl nalétáno 10 654 hodin a absolvoval 2673 cyklů. Poslední velká kontrola typu C a C2 skončila v červnu 1996 v autorizovaném zařízení Aeroméxico. Vyšetřovatelé nenašli problém v hmotnosti, vyvážení, palivu ani základní letové způsobilosti. Vzletová hmotnost činila 83 036 kilogramů a 17 800 kilogramů paliva dávalo pro plánovaný let do Santiaga dostatečnou rezervu.
Krátce před osudovým odletem se v údržbě měnily dva lopatkové díly pravého motoru po poškození cizím předmětem a hydraulické čerpadlo na témže motoru. Tyto zásahy byly uzavřeny jako vyhovující a s následnou poruchou letových údajů nesouvisely. Vedle nich se ale naplánoval ještě zdánlivě vedlejší úkol: vyleštit spodní přední část trupu. Právě kosmetická práce otevřela cestu k poruše, která překonala několik elektronických záloh najednou.
Lešticí směs nesmí vniknout do statických portů. Postup proto počítal s jejich ochranou. Na N52AW byla použita obyčejná maskovací páska. Sama o sobě nepoškodila žádný počítač a na zemi nezpůsobila varování. Jen oddělila tlakové okruhy od okolní atmosféry. Dokud letoun stál, byla v potrubí téměř stejná hodnota, jakou systém očekával. Porucha se stala čitelnou teprve ve chvíli, kdy se letadlo odlepilo a tlak venku začal s výškou klesat.
Závěrečná zpráva popsala posloupnost předání: dokončená údržba, kontrola kvality, směnový dozor, linkový mechanik a nakonec posádka. Hlavního supervizora kvůli nemoci zastoupil jiný pracovník; ani následná kontrola nezachytila pásku. Předletovou obchůzku podle svědectví mechanika provedl kapitán. Příčina tedy nebyla jediným zapomenutým gestem jednoho člověka. Jedna chyba prošla sérií obran, které existovaly na papíře, ale v dané noci nevytvořily skutečně nezávislou kontrolu.
Tři okruhy, jedna atmosféra: jak páska porazila redundanci
Pitot-statický systém měří dva druhy tlaku. Pitotova sonda míří do proudu vzduchu a snímá celkový, takzvaný náporový tlak. Statické porty na boku trupu měří okolní tlak, který s výškou klesá. Rozdíl obou hodnot dává přístroji indikovanou rychlost. Samotný statický tlak určuje barometrickou výšku; rychlost jeho změny napájí variometr. Jediný vnější otvor tak není jen zdrojem jednoho čísla. Je vstupní branou pro celou rodinu údajů.
Boeing 757 měl přístroje kapitána, prvního důstojníka a záložní soustavu. Kapitánův a kopilotův displej používal vlastní air data computer a vlastní pitotovou sondu; záložní rychloměr byl pneumatický. Každý okruh však potřeboval také statický tlak z portů na trupu. Elektronika za nimi byla oddělená, fyzické rozhraní s atmosférou ale zablokovala tatáž údržbová operace. To je klasická porucha společnou příčinou: tři kanály nejsou tři zálohy, pokud všechny ztratí stejný základní vstup.
Páska navíc nevytvořila jednoduchou a stálou chybu. NTSB popsala její účinek jako částečné ucpání: tlak se mohl měnit pomalu a s velkým zpožděním. Při stoupání proto výška a rychlost zaostávaly nebo se chovaly nelogicky; při klesání mohly naopak ukazovat příliš vysoké hodnoty. Čísla se nezastavila v jedné poloze. Pohybovala se, jen ne podle skutečného letu. Právě proměnlivá lež je pro diagnostiku horší než mrtvý displej, protože občas vypadá uvěřitelně.
Air data computers neposílaly hodnoty jen na hlavní letové displeje. Rychlost vstupovala do ochranných a trimovacích funkcí, varování překročení rychlosti i dalších systémů. Výška putovala také do odpovídače Mode C. Když se rozbil společný tlakový základ, kokpit neviděl jednu závadu s jedním červeným nápisem. Viděl řadu zdánlivě nesouvisejících problémů — MACH SPEED TRIM, RUDDER RATIO, windshear, příliš vysokou rychlost, nulovou rychlost, zaseknutou výšku. Automatizace poruchu nevymyslela; roznesla její následky do desítek míst.
„Výškoměry se zasekly.“
00:42:12 — první varování přišlo zhruba dvě stě stop nad dráhou
První důstojník David Fernández Revoredo byl při vzletu pilotem letícím. Kapitán Eric Schreiber Ladrón de Guevara monitoroval. Ve 00:41:58 zaznělo „rotate“, krátce nato pozitivní stoupání a povel zasunout podvozek. Přibližně při V2 plus deset uzlů, podle analýzy záznamníku ve výšce jen 200 až 300 stop, Fernández oznámil, že výškoměry nereagují. Ve 00:42:14 třikrát zaznělo hlasové varování WINDSHEAR, přestože počasí nevykazovalo střih větru, který by vysvětloval chování letadla.
To byl první okamžik, kdy se dal problém popsat jako nespolehlivá air data. Posádka však neměla na tuto kombinaci jednoznačný postup v rychlé příručce ani specifický výcvik. Kapitán opakoval, aby první důstojník držel V2 plus deset — jenže právě rychlost byla jednou z veličin, jejíž věrohodnost mizela. Během první minuty se indikace měnily od příliš nízkých po nulové a znovu zdánlivě rozumné hodnoty. Přístroj tak střídavě dokazoval vlastní poruchu i nabízel pokušení mu znovu uvěřit.
Ve 00:43:31 se objevily zprávy RUDDER RATIO a MACH SPEED TRIM. Oba systémy upravují chování letounu podle rychlosti. Jejich současná aktivace byla známým podpisem rozdílu v údajích rychlosti — přesně na ni upozorňovala doporučení NTSB vydaná po havárii Birgenair 301 o osm měsíců dříve. Peruánská zpráva později uvedla, že informace nebyla k provozovatelům 757 a 767 distribuována s potřebnou naléhavostí. V kokpitu N52AW proto dvojice hlášení nevystupovala jako diagnóza, ale jako další dvě položky v lavině.
Časová osa 29 minut: od rotace k poslednímu nárazu
Časy jsou místní v Limě (UTC−5). Sekundy vycházejí z CVR/FDR; souhrnná zpráva některé okamžiky zaokrouhluje na celé minuty.
00:41:58 — povel k rotaci na dráze 15. Letoun o hmotnosti 83,0 tuny se normálně odlepuje.
00:42:12 — první důstojník hlásí zaseknuté výškoměry; letoun je podle FDR přibližně 200 až 300 stop nad zemí.
00:42:14 — třikrát zazní WINDSHEAR. Posádka už nemá spolehlivý společný údaj výšky ani rychlosti.
00:43:31 — začínají se opakovat hlášení RUDDER RATIO a MACH SPEED TRIM, typická stopa rozdílných air data.
00:44:32 — posádka vyhlašuje nouzi a oznamuje, že nemá základní přístroje. Žádá návrat do Limy a radarové vektory.
00:45:26 až 00:53:40 — po přeladění na odletové řízení vzniká dlouhá mezera v kontaktu. V kokpitu se řeší systémy a rozdělení práce se rozpadá.
00:54:06 — řízení popisuje postup k ILS dráhy 15 a jako spodní povolenou barometrickou výšku uvádí 4000 stop.
00:55:07 — posádka žádá, aby jí země pomáhala s výškou i rychlostí. Výškový údaj na radaru však pochází z téhož vadného zdroje v letadle.
00:57 — piloti stahují tah a používají aerodynamické brzdy, ale indikovaná rychlost dál roste. Skutečná energie naopak klesá.
00:58:25 — aktivuje se stick shaker, nezávislé varování přiblížení ke kritickému úhlu náběhu.
00:59:08 — začíná nepřetržitě znít varování překročení rychlosti. V dalších desítkách sekund se současně opakuje stick shaker.
01:00:21 — řízení oznamuje, že Boeing 707 může vzlétnout na pomoc. Jeho příprava má trvat přibližně patnáct minut.
01:02:44 — GPWS spustí 22 hlášení TOO LOW TERRAIN během 45 sekund. Posádka mírně stoupá.
01:04:24 — čtyřikrát zazní SINK RATE. Piloti zvednou letoun; radiovýškoměr později ukáže přibližně 4000 stop nad mořem.
01:07:39 — jeden rychloměr ukazuje 390 uzlů. Posádka se snaží zachytit ILS, současně pokračuje skutečný sestup.
01:09:36 — řízení hlásí 9700 stop, rychlost vůči zemi 240 uzlů a vzdálenost 51 mil od Limy. Jen rychlost a poloha jsou nezávislé radarové údaje.
01:10:17 až 01:10:18 — TOO LOW TERRAIN zní znovu; o sekundu později země potvrzuje falešných 9700 stop.
01:10:57 — levé křídlo poprvé zasáhne vodu. Letoun se ještě zvedne přibližně do 300 stop.
01:11:16 — po dalších zhruba 19 sekundách přichází konečný náraz 48 námořních mil severozápadně od Limy. Všech 70 lidí umírá.
Nouze byla vyhlášena rychle. Pak se ale rozpadla architektura práce
Posádka na první zjevnou poruchu nereagovala pasivně. Už přibližně dvě a půl minuty po vzletu oznámila nouzi, požádala o okamžitý návrat a o radarovou pomoc. To je důležitá korekce pozdějšího obrazu bezradných pilotů. Schreiber měl 21 955 hodin, z toho 1520 na Boeingu 757; poslední přezkoušení absolvoval v červenci 1996. Fernández měl 7954 hodin, z toho 719 na typu. Oba byli zdravotně způsobilí a provozně aktivní.
Zkušenost však nenahrazuje diagnózu, kterou systém posádce nikdy jasně nepojmenoval. Po vyhlášení nouze převzal řízení kapitán. První důstojník současně četl hlášení, komunikoval a navrhoval řešení. Zpráva kritizovala, že už při vzletu pilot letící zároveň obsluhoval rádio a že později chybělo pevné rozdělení „já letím, ty řešíš závadu“. Mezi prvním kontaktem s odletovým řízením a další žádostí o vektory vzniklo více než osm minut, během nichž se posádka nedokázala opřít o stabilní plán.
Checklisty se vracely k MACH SPEED TRIM a RUDDER RATIO, ale nabízely spíše provozní omezení než vysvětlení společné poruchy. Piloti přepínali zdroje air data a porovnávali displeje. Jenže přechod na jiný počítač nemůže pomoci, když je chybný fyzický vstup před všemi počítači. Každý nový pokus, který nepřinesl čistý přístroj, spotřeboval pozornost a zároveň posiloval pocit, že selhává stále více nezávislých systémů.
Nejbezpečnější abstraktní strategie pro nespolehlivou rychlost je stabilizovat známý sklon a tah, udržet letoun v předvídatelné konfiguraci a teprve potom třídit zdroje. Peruánská komise připomněla tabulky výkonu pro let podle postoje a výkonu, ale také výslovně konstatovala, že konkrétní mimořádnost nebyla popsána v příručkách Aeroperú ani ve výcviku posádky. Tvrdit zpětně, že stačilo „prostě létat“, proto zaměňuje teoretickou možnost za úkol prováděný v hluku, tmě a pod časovým tlakem.
Dva protichůdné alarmy: jeden lhal, druhý říkal pravdu
Kolem 00:57 posádka viděla rostoucí indikovanou rychlost, přestože stáhla motory k volnoběhu a vysunula speedbraky. Fyzika kokpitu křičela rozpor: pokud letoun s malým tahem a velkým odporem dál „zrychluje“, rychloměr zřejmě nepopisuje skutečný pohyb. Jenže praktická odpověď — ještě více ubrat energii — přivedla stroj blíž k nízké skutečné rychlosti. Ve 00:58:25 se rozklepal knipl.
Stick shaker na 757 vychází z úhlu náběhu, nikoli ze statického tlaku, který znehodnotil rychloměry. Varoval tedy před reálným přiblížením k pádu. O necelou minutu později se současně rozběhla falešná siréna overspeed a zůstala slyšitelná téměř do konce. Jeden systém tvrdil, že letadlo je příliš pomalé; druhý, že je příliš rychlé. Obě výstrahy byly navrženy tak, aby posádku okamžitě přiměly k opačnému zásahu.
„Nejsme v pádu. Je to falešné, falešné.“
Tato věta není důkazem lhostejnosti. Je záznamem okamžiku, kdy se důvěra v celý varovný ekosystém zhroutila. Posádka už prokazatelně slyšela falešný windshear a falešný overspeed, viděla nespolehlivou výšku a chaotickou rychlost. Když přišel pravdivý stick shaker, byl jen dalším tónem ze stejného reproduktoru. Lidský mozek za těchto podmínek netřídí každý alarm od nuly; vytváří model zdroje. Jakmile model zní „počítače se zbláznily“, pravdivé varování musí překonat nedůvěru, kterou vytvořila předchozí varování falešná.
To neznamená, že posádka neměla odpovědnost. Standardní reakce na stick shaker i GPWS měla mít přednost před diagnostikou. Znamená to však, že bezpečnostní analýza nesmí skončit větou „pilot alarm ignoroval“. Musí se ptát, proč systém dovolil, aby se pravdivé a nepravdivé výstrahy navzájem akusticky překryly, proč chyběla výslovná hláška AIRSPEED UNRELIABLE a proč posádka neměla nacvičený postup, který by rychle oddělil sklon a tah od vadných tlakových údajů.
Radarová past: jak se chybná výška vrátila do kokpitu s razítkem země
Řídící v Limě mohl nezávisle sledovat horizontální polohu letadla, kurz a z posunu radarové stopy odhadovat rychlost vůči zemi. Nemohl však primárním radarem přímo změřit výšku. Číselný štítek výšky na obrazovce pocházel z odpovědi palubního transpondéru Mode C. A transpondér dostával barometrickou výšku z air data systému, jehož statické porty byly ucpané.
Vznikla tak uzavřená informační smyčka. Posádka nahlásila problematické výškoměry a požádala zem o potvrzení. Letadlo odeslalo vadnou hodnotu radaru. Řídící ji v dobré víře přečetl. Shoda mezi kokpitem a zemí pak vypadala jako nezávislé ověření. Ve skutečnosti šlo o jediný senzorický omyl, který absolvoval cestu rádiem ven a hlasem zpět.
Naopak hlášená rychlost vůči zemi byla užitečná. Když palubní přístroj ukazoval 370 nebo 390 uzlů a radar přibližně 220 až 240 uzlů, rozdíl dokazoval, že alespoň jeden údaj je chybný. Groundspeed ale není totéž co rychlost vůči vzduchu; ovlivňuje ji vítr a sama neurčuje rezervu do pádu. Mohla pomoci s energetickým obrazem, nemohla bezpečně nahradit rychloměr při konfiguraci na přiblížení.
Závěrečná zpráva nepřisoudila řídícímu hlavní příčinu a uznala, že poskytoval vyžádané vektory. Současně doporučila výcvik, který by kontrolory učil rozlišovat původ údajů a zvažovat, zda informace čtená z obrazovky nemůže pilota zmást. To je lekce širší než tento let: nezávislost dat se neurčuje podle toho, kolika obrazovkami prošla, ale podle toho, kolika skutečně oddělenými měřicími cestami vznikla.
Tma nad Pacifikem: žádný horizont, podle něhož by šlo přístroje přehlasovat
Posádka se po vzletu odklonila nad moře, kde mohla bezpečně manévrovat bez měst a terénu. Za normálních okolností je to rozumný prostor pro řešení závady. Té noci se však oceán stal beztvarou černou plochou. Nad Limou byla vrstva oblačnosti, dohlednost kolem šesti kilometrů a spodní základna přibližně 270 metrů. Za pobřežím nebyla světla ani viditelný horizont, který by prozradil náklon nebo přibližování k hladině.
Umělý horizont a kurz zůstávaly použitelné, takže letoun mohl držet postoj. Chyběly ale dvě veličiny, podle nichž se posuzuje jeho energie a vertikální poloha: věrohodná rychlost vůči vzduchu a barometrická výška. Posádka navíc nemohla pouhým pohledem ven zjistit, zda klesá ve 4000 stopách, nebo ve stovkách stop. Černá noc odstranila poslední smyslovou kontrolu nad čísly.
Žádost o doprovod jiným letadlem proto dávala logiku. Ve 01:00:21 Lima oznámila Boeing 707, který měl letět do Santiaga a mohl by pomoci. Jen jeho příprava měla zabrat asi patnáct minut. Let 603 už měl před sebou necelých jedenáct. Pomocný letoun nebyl odmítnut ani promarněn; časová osa jej jednoduše předběhla.
Radiovýškoměr: pravdivý hlas, který se ozval až nízko
Barometrický výškoměr odvozuje výšku z okolního tlaku. Radiovýškoměr vysílá signál k povrchu a měří skutečnou vzdálenost pod letadlem. Na typu 757 se jeho údaj zobrazoval pod přibližně 2500 stopami a napájel systém GPWS. Statická páska jej neovlivnila. Když se proto ve 01:02:44 ozvalo TOO LOW TERRAIN, nešlo o další vedlejší produkt vadných air data. Byla to reálná zpráva, že se oceán přiblížil.
Během 45 sekund zaznělo upozornění podle zprávy dvaadvacetkrát. Posádka stoupala jen mírně. O něco později SINK RATE upozornil na klesání; piloti zvedli letoun a podle FDR dosáhli přibližně 4000 stop radiové výšky. To je zásadní okamžik: reakce na pravdivou výstrahu skutečně vytvořila několik minut prostoru. Po zhruba minutě v této výšce ale začal znovu souvislý sestup, průměrně kolem 1480 stop za minutu.
Proč údaj radiovýškoměru nepřevzal roli hlavní výšky? Protože je lokální, funguje pouze nízko a posádka současně slyšela overspeed, windshear a další hlášení, o nichž věděla, že nedávají smysl. Kapitán výslovně spojoval alarmy se selháním počítačů. Když barometrický výškoměr ukazoval 9700 stop a zem stejnou hodnotu potvrzovala, radiovýškové varování vypadalo jako další člen pokaženého systému — ačkoli bylo jedním z mála nezávislých svědků.
„Nemáme žádný funkční přístroj rychlosti.“
01:09:36 — přiblížení k dráze existovalo na mapě, ne v energii letadla
Posádka se pokoušela vrátit k ILS dráhy 15. V 01:07:49 první důstojník oznámil, že se snaží zachytit sestupovou a směrovou osu. Letoun byl ale přibližně padesát mil od letiště a stále nad mořem. K bezpečnému přiblížení potřeboval stabilní výšku, rychlost a konfiguraci. Právě tyto tři věci nebylo možné spolehlivě sladit.
V 01:09:36 řídící uvedl 9700 stop, 240 uzlů vůči zemi a 51 mil od Limy. Posádka začala zvažovat klapky a podvozek. Každá změna konfigurace ale mění odpor, potřebný tah i bezpečnou rychlost. Bez důvěryhodného rychloměru nebylo jasné, zda klapky přiblíží stroj k limitu vysoké rychlosti, nebo mu naopak pomohou při skutečně nízké rychlosti. Diskuse v kokpitu se proto znovu stočila k tomu, které číslo odstranit a čemu věřit.
Od 01:10:17 znělo TOO LOW TERRAIN bez přerušení. První důstojník ještě jednou požádal o výšku. O sekundu později přišlo potvrzení 9700 stop. Řídící se současně správně zeptal na palubní indikaci a vizuální reference. Fernández odpověděl, že výškoměr také ukazuje 9700, ale systém hlásí příliš nízký terén. Tato věta obsahovala celý problém: dvě hodnoty byly shodné, protože měly jeden vadný původ; třetí se jim protivila, protože jako jediná měřila vzdálenost k vodě.
01:10:57 — první náraz nebyl konec. Posádka získala posledních devatenáct sekund
První kontakt přišel bez viditelné hladiny. Podle vyšetřovací zprávy zasáhlo levé křídlo oceán rychlostí kolem 250 uzlů, s mírným levým náklonem. V kokpitu zazněl úder a první důstojník oznámil, že narážejí do vody. Kapitán prudce zvedl příď. Letoun se od hladiny odrazil a ještě vystoupal přibližně do 300 stop.
„Narážíme do vody.“
Těchto několik sekund potvrzuje, že řízení výškovkou a motory stále fungovalo. Současně ale první zásah poškodil levé křídlo a narušil aerodynamickou rovnováhu. Ve 01:11:12 kapitán poznal vznikající převrácení. O čtyři sekundy později se záznam po druhém nárazu zastavil. Letoun dopadl do oceánu 48 námořních mil od VOR Lima na radiálu 288 stupňů. Nikdo ze 61 cestujících a devíti členů posádky nepřežil.
Dokumentární přesnost zde vyžaduje zdrženlivost. Záznamníky dovolují popsat pohyb letadla a slova v kokpitu, ne poslední prožitky lidí v kabině. Závěrečná zpráva neumožňuje spolehlivě určit, kdo mohl přežít první kontakt s vodou ani po jakou dobu. Nejsilnější lidský rozměr proto není v domyšlených scénách, ale v prostém faktu: sedmdesát lidí bylo jedenáct minut od letiště, zatímco poslední funkční ochrany nedokázaly prorazit hluk chybných údajů.
Vyšetřování: tři kusy důkazu — záznamníky, sesterský letoun a páska na trupu
Po zmizení radarové stopy byly aktivovány složky námořnictva, letectva a hasičů. Zpráva současně zaznamenala vážnou nekoordinovanost pátrání: jedna jednotka neměla posádku pro vrtulník ani Antonov, jiná nemohla v noci vzlétnout, protože služba nebyla vycvičena pro brýle nočního vidění. Tato selhání patří k institucionálnímu obrazu nehody, nejsou však důkazem, že rychlejší pátrání mohlo změnit následky prudkého konečného nárazu.
Peru požádalo o pomoc Spojené státy. Zařízení amerického námořnictva pomohlo lokalizovat podmořské trosky; dálkově řízený prostředek společnosti Oceaneering vyzvedl zapisovač letových údajů i hlasový záznamník. Jejich pouzdra byla poškozená, pásky uvnitř však zůstaly v dobrém stavu. Vyšetřovatelé tak získali nejen posledních jednatřicet minut hlasů, ale také profil letu, náklon, přetížení a hodnoty, které palubní systémy zaznamenávaly.
O šest dní později komise společně se zástupci Boeingu, FAA, NTSB a Aeroperú testovala sesterský Boeing 757. EICAS, IRS, GPWS, radiovýškoměry, navigační displeje a varovné systémy pracovaly správně. Test neříkal, že konstrukce byla bez slabin; ukázal ale, že na N52AW nebyla příčinou náhodná simultánní porucha všech těchto zařízení. Jejich chaos byl logickou reakcí na špatná data.
Nejpřímější důkaz připlul v podobě části levého trupu. Tři zapuštěné statické porty byly stále zakryté maskovací páskou. Právě tento nález spojil údržbu s daty FDR: částečně blokovaný statický tlak vysvětloval zpožděnou výšku, rozporné rychlosti i to, proč kapitánův přístroj při sestupu ukazoval výše a rychleji, než letoun ve skutečnosti letěl. U pravé strany stejný fyzický důkaz vyzvednut nebyl; rozsah poruchy však ukazuje, že problém zasáhl všechny tři statické větve, nikoli jen jeden displej.
Co komise označila za příčinu — a proč nestačí ukázat na jediného mechanika
Peruánská komise formulovala hlavní pravděpodobnou příčinu jako chybu údržby „zahrnující posádku“: páska nebyla po leštění odstraněna a nezachytily ji kontroly při uvolnění letounu, předání linkovému mechanikovi ani předletová prohlídka. Za přispívající označila nereagování kapitána na GPWS a nekontrolování radiovýškoměru; u prvního důstojníka nedostatečnou naléhavost při prosazování varování před terénem.
Zpráva používá dobový jazyk o „mozkovém zatemnění“, adrenalinu a tunelovém vidění. Takové formulace mohou svádět k morálnímu soudu nad posledními minutami dvou lidí. Tentýž dokument však uvádí i okolnosti, které tento výkon utvářely: chybějící specifický výcvik, neexistující postup v QRH, opakovaná konfliktní varování, selhání rozdělení práce, potvrzení vadné výšky ze země a údržbový řetězec bez účinné poslední kontroly.
Přesnější autorský verdikt proto zní: páska vytvořila technickou poruchu, ale katastrofu vytvořil systém, který nedokázal poruchu učinit rozpoznatelnou a zvládnutelnou. Mechanik zanechal překážku na senzoru. Organizace ji nechala projít několika branami. Konstrukce proměnila společnou chybu vstupu v mnoho nesourodých hlášení. Výcvik nedal posádce krátký postup k oddělení pravdivých a chybných dat. A země nevědomky vrátila vadné číslo jako potvrzený údaj.
To není rozmělnění odpovědnosti. Je to její přesnější rozdělení. Bez pásky by let pokračoval do Santiaga. Bez ignorování GPWS mohl letoun znovu získat výšku. Bez společné příčiny by alespoň jeden tlakový okruh poskytl čistou referenci. Bez falešného potvrzení 9700 stop by radiovýškové varování mohlo působit přesvědčivěji. Každá obrana měla vlastní šanci řetězec přerušit; žádná to neudělala včas.
Stejný rok, druhý Boeing 757: varování z Birgenairu dorazilo pozdě
Dne 6. února 1996 havaroval u Dominikánské republiky Boeing 757 letu Birgenair 301 po chybných údajích rychlosti způsobených zablokovanou pitotovou sondou. Zahynulo 189 lidí. Nešlo o totožnou poruchu: Birgenair ztratil dynamický tlak v jednom kanálu, Aeroperú přišlo o věrohodný statický základ napříč systémy. Kokpitový obraz však měl společný rys — současná, navzájem rozporná varování a obtížné určení, který zdroj je správný.
NTSB po Birgenairu vydala doporučení A-96-15 až A-96-20. Požadovala, aby společná aktivace MACH/SPEED TRIM a RUDDER RATIO byla v příručkách výslovně vysvětlena jako známka rozdílu v rychlosti, aby EICAS uměl zobrazit jasné varování chybné rychlosti, aby vznikl detailní nouzový postup a aby se tato situace dostala do výcviku. Přesně obě první hlášky viděla posádka Aeroperú 603 už přibližně devadesát sekund po vzletu.
Peruánská zpráva tvrdila, že prioritní informace nebyly k provozovatelům rozšířeny dost rychle. Boeing vydal revizi provozního manuálu 15. listopadu 1996, šest týdnů po Aeroperú. Pozdější souhrn NTSB uvádí, že revize doplnila rozpoznání nespolehlivé rychlosti a pokyny pro reakci; v roce 2004 FAA nařídila u vybraných Boeingů 747, 757 a 767 úpravy air data computers a varování při chybné rychlosti. Bezpečnostní změna tedy nebyla jednorázová. Dozrávala od doporučení přes manuály až k hardwaru.
Neviditelná páska se změnila v červenou vlajku
Už 15. listopadu 1996 vydala NTSB samostatné urgentní doporučení A-96-141. Upozornila, že samotná lepicí páska není dost nápadná a může být snadno přehlédnuta. Někteří výrobci už používali jasně barevné kryty s výstražnými praporky; doporučení požadovalo standardizované, výrazné kryty všude, kde se statické porty při údržbě zakrývají.
Smysl praporku REMOVE BEFORE FLIGHT není estetický. Přesouvá kontrolu z paměti jednotlivce do fyzického prostředí. Dlouhý, barevný prvek vidí více lidí, překáží v běžném provozu a vytváří otázku, kdo jej odstranil. Obyčejná páska dělá opak: splývá s povrchem, po splnění úkolu nic nepřipomíná a nemá vlastní evidenci. Dobrá obrana proto nespoléhá na to, že člověk nikdy nezapomene. Navrhuje zapomenutí tak, aby bylo nápadné.
Komise doporučila také lépe dokumentované předletové kontroly se specifickou zmínkou o statických portech, jasný proces uvolnění po leštění či lakování, simulátorový výcvik nespolehlivé rychlosti a výšky, používání tabulek postoje a tahu, důslednou reakci na GPWS a výcvik řídících o původu radarových údajů. Nešlo tedy o jednu opravu pásky. Šlo o přestavbu rozhraní mezi údržbou, piloty, letadlem a zemí.
Pět zkratek, které případ zkreslují
1. „Selhaly všechny přístroje.“ — Ne. Selhala věrohodnost výšky, rychlosti a vertikální rychlosti odvozených ze statického tlaku. Postoj, kurz, motory, inerciální groundspeed i radiovýška zůstávaly použitelné.
2. „Radar znal skutečnou výšku.“ — Ne. Výškový štítek přebíral Mode C z letadla. Nezávislé byly horizontální poloha a rychlost vůči zemi.
3. „Za všechno mohla jedna páska.“ — Páska poruchu spustila, ale katastrofu umožnily i neúčinné kontroly, společná příčina záloh, chybějící postup, přetížení a odmítnutí pravdivých alarmů.
4. „Zkušení piloti měli snadno letět podle sklonu a tahu.“ — Taková strategie existovala, ale nebyla pro tuto kombinaci v jejich QRH ani specifickém výcviku. Možnost není totéž co nacvičená reakce.
5. „GPWS byl jen další vadný systém.“ — Ne. Jeho radiovýškový vstup byl na statických portech nezávislý. Právě proto byla výstraha TOO LOW TERRAIN pravdivá.
Autorská syntéza: nejnebezpečnější lež je ta, kterou potvrdí více hlasů ze stejného zdroje
Aeroperú 603 bývá vyprávěn jako katastrofa způsobená proužkem pásky. To je zapamatovatelný obraz, ale jeho největší bezpečnostní hodnota leží jinde. Letadlo mělo několik počítačů, několik displejů, záložní přístroje, varovné systémy a radarovou pomoc. Množství techniky však nevytvořilo množství nezávislých pravd. Několik cest se sbíhalo v týchž malých otvorech na trupu a výška na zemi se vracela z téhož palubního zdroje.
Redundance se proto nesmí počítat podle počtu obrazovek. Musí se kreslit až k fyzickému původu dat. Jestliže tři ukazatele sdílejí jeden ohrožený vstup, jsou to tři reproduktory, ne tři svědci. Jestliže řídící přečte posádce hodnotu vyslanou jejím vlastním transpondérem, nevzniká druhé měření. Vzniká jen důvěryhodněji znějící ozvěna.
Druhá lekce je lidská. Alarm nemá hodnotu jen podle toho, zda je technicky správný; má hodnotu podle toho, zda mu člověk v daném informačním prostředí dokáže uvěřit. Když falešný overspeed a skutečný stick shaker znějí zároveň, systém přenáší na posádku téměř nemožný úkol: během sekund určit původ každé výstrahy a zvolit dvě opačné reakce. Proto moderní bezpečnost nestaví jen na hlasitějších alarmech. Staví na jejich prioritě, srozumitelném společném jmenovateli a procvičeném postupu.
A třetí lekce patří údržbě. Kritický senzor nemusí selhat uvnitř. Stačí, aby jej člověk při správně zamýšlené práci dočasně odpojil od světa a systém nedokázal zajistit, že se před letem znovu připojí. Výrazný kryt, praporek, zápis, nezávislá kontrola a jasná odpovědnost nejsou byrokracie kolem skutečné práce. Jsou součástí letové způsobilosti stejně jako motor nebo křídlo.
Ve 01:10:18 znělo 9700 stop jako shoda letadla a země. O devětatřicet sekund později křídlo prořízlo hladinu. Mezi těmito dvěma okamžiky neležely téměř tři kilometry výšky. Ležela tam jen vzdálenost mezi údajem a realitou — a systém, který tuto vzdálenost nedokázal včas poznat.
Poznámka k rekonstrukci
Rekonstrukce vychází především ze závěrečné zprávy peruánské Komise pro vyšetřování leteckých nehod, urgentního doporučení NTSB A-96-141, doporučení A-96-15 až A-96-20 a následného souhrnu NTSB o jejich zavádění. Časy na sekundy byly porovnány s původním španělským přepisem CVR. Zpráva místy zaokrouhluje nebo používá odlišný čas prvního a konečného nárazu; osa proto rozlišuje první kontakt v 01:10:57 a konec záznamu v 01:11:16. Údaj o 9700 stopách je hodnota zobrazená řídícímu z transpondéru, nikoli nezávisle změřená radarová výška.
Vyšetřovatelé fyzicky zdokumentovali pásku na třech levostranných statických portech. Pravá část trupu neposkytla stejný vyzvednutý důkaz; závěr o poruše všech tlakových větví se opírá o rozsah zaznamenaných chyb, výpovědi o zakrytí portů při leštění a chování kapitánových, kopilotových i záložních údajů. Tam, kde prameny dovolují pouze technickou inferenci, text ji označuje jako inferenci, nikoli jako přímo pozorovaný fakt.
Zdroje
Ministerstvo dopravy a komunikací Peru — závěrečná zpráva k N52AW — primární vyšetřovací zpráva; fakta o letu, posádce, FDR/CVR, příčinách a doporučeních
Čitelná kopie závěrečné zprávy — 46 stran — zrcadlo téhož španělského dokumentu pro snadnější veřejné otevření a kontrolu stran
NTSB — urgentní bezpečnostní doporučení A-96-141 — primární dokument z 15. listopadu 1996; statické porty, mechanismus chyby a výrazné kryty s praporky
NTSB — doporučení A-96-15 až A-96-20 po Birgenair 301 — primární dokument; rozpoznání nespolehlivé rychlosti, EICAS, příručky a výcvik 757/767
NTSB — DCA03IA005, přehled následného zavádění doporučení — primární následný materiál; revize manuálu Boeing z listopadu 1996 a FAA AD 2004-10-05
CVR Aeroperú 603 — původní španělský přepis — časovaná kontrolní kopie komunikace; použity pouze krátké, samostatně označené citace
