Článek
V 16:19:36,6 zachytil mikrofon v kokpitu mimořádně hlasitý zvuk. V příštích sekundách se příď MD-83 sklopila rychlostí téměř 25 stupňů za sekundu. Letoun se převrátil přes levé křídlo, ve výšce přibližně pěti kilometrů dosáhl polohy vzhůru nohama a už se z ní nevrátil. Motory ještě běžely. Křídla byla celá. Počasí bylo dobré. To, co přestalo držet letadlo v podélné ose, se skrývalo vysoko v ocasu a z kokpitu to nebylo vidět.
O deset minut dříve tatáž posádka zastavila první strmý pád z cestovní hladiny. Kapitán a první důstojník přitahovali řízení společnou silou odhadovanou na 130 až 140 liber — zhruba 59 až 64 kilogramů — a během osmdesáti sekund ztratili přes dva kilometry výšky. Poté dokázali poškozený stroj znovu ustálit. Věřili, že horizontální stabilizátor dojel na mechanický doraz. Ve skutečnosti je od katastrofy odděloval doraz, který nikdy neměl nést trvalé letové zatížení.
Pád letu Alaska Airlines 261 se proto nedá přesně popsat jako porucha jednoho šroubu ani jako chyba jedné směny údržby. Závity bronzové matice se bez účinného mazání roky opotřebovávaly. Intervaly údržby a měření se prodlužovaly, kontrola v roce 1997 ukázala hodnotu přímo na povolené hranici a regulační dohled nedokázal rozpoznat širší systémové nedostatky. Když se v letu závity definitivně oddělily, konstrukce neměla druhou nezávislou cestu, která by vodorovnou ocasní plochu udržela.
PŘÍPAD V ČÍSLECH
31. ledna 2000 · Alaska Airlines 261 / AS261 · Puerto Vallarta–San Francisco–Seattle · McDonnell Douglas MD-83, N963AS · 83 cestujících + 5 členů posádky · vzlet 13:37 PST · poslední normální pohyb stabilizátoru 13:49:51 · první pád 16:09:16 · poslední pád 16:19:36,6 · náraz do Tichého oceánu přibližně 16:21 · 88 obětí, žádný přeživší.
Součástka v ocasu: malý pohyb, na kterém závisela celá ocasní plocha
MD-83 má charakteristickou ocasní plochu ve tvaru písmene T. Vodorovný stabilizátor je umístěn na vrcholu přibližně 5,5 metru vysoké svislé ocasní plochy. Jeho zadní část je uchycena v závěsech; přední hranu zvedá a spouští jediná sestava šroubového zvedáku. Natočením celé plochy se letoun podélně vyváží, aby piloti nemuseli trvale tlačit nebo přitahovat řízení. Výškovky na odtokové hraně pak provádějí rychlejší změny polohy.
Sestavu tvořil ocelový šroub s trapézovým profilem závitu, pevná matice z hliníkového bronzu, titanová torzní trubka, převodovky, dva elektromotory a mechanické dorazy. Matice byla připevněna ke svislé ocasní ploše; otáčející se šroub jí procházel vzhůru nebo dolů a tím měnil úhel stabilizátoru. Měkčí bronzová matice byla záměrně součástí, která se má opotřebovávat. Právě proto vyžadovala pravidelné mazání a měření vůle.
Dva motory mohou na první pohled vypadat jako záloha. Primární motor pohyboval stabilizátorem rychleji, alternativní pomaleji a používal jej také autopilot. Oba ale roztáčely stejnou torzní trubku, tentýž šroub a tutéž matici. Pokud se ztratilo jejich vzájemné závitové spojení, nezbyla druhá nosná cesta. Elektrická redundance ovládání nebyla mechanickou redundancí přenosu síly.
Také dvojitý závit vytvářel dojem zálohy. Šroub i matice měly dvě propletené šroubovice, každou o šestnácti úplných otáčkách. Obě však současně nesly letové zatížení, dotýkaly se stejného povrchu a sdílely stejné mazivo. Mohly zabránit tomu, aby trhlina z jedné dráhy prostě pokračovala do druhé, ale proti opotřebení izolované nebyly. NTSB proto uzavřela, že dvojitý závit neposkytoval redundanci právě pro způsob selhání, který let 261 zničil.
TECHNICKÝ ŘETĚZEC V JEDNÉ VĚTĚ
Nedostatečné mazání → přibližně dvanáctinásobná průměrná rychlost opotřebení → asi 90 procent tloušťky závitů pryč → postupné ustřižení zbytku → zablokování šroubu → uvolnění záseku primárním motorem → šroub protažený maticí → první pád → deset minut na spodním dorazu → únavový lom torzní trubky → selhání lehkých krycích držáků → stabilizátor daleko za konstrukční limit → neovladatelný pád.
Rok 1997: měření na hraně a letadlo, které se vrátilo do provozu
Nejdůležitější varování před letem vzniklo při těžké údržbě v Oaklandu v září 1997. Vůle mezi šroubem a maticí se měřila tak, že se stabilizátor zafixoval a na sestavu se působilo v opačných směrech. Hodinový úchylkoměr měl ukázat, o kolik se spoj posune. Povolený rozsah byl 0,003 až 0,040 palce. Překročení horní hranice znamenalo výměnu celé sestavy.
První kontrola zaznamenala přesně 0,040 palce — asi 1,02 milimetru. Formálně to stále nebylo nad limitem. Inspektor však hodnotu považoval za samotný okraj přijatelnosti a podle své výpovědi takové opotřebení neviděl ani u výrazně starších letadel. Vznikla nestandardní pracovní karta s plánem sestavu vyměnit. Nový díl ale nebyl běžně na skladě a záznamy neprokázaly, že by vůbec vznikla potřebná objednávka.
Proces zkomplikovalo chybné číslo technického příkazu, které patřilo jinému typu letadla. O tři dny později jiná skupina měření pětkrát opakovala a zapsala 0,033 palce, přibližně 0,84 milimetru. Řádek s výměnou byl přeškrtnut a N963AS se vrátil do provozu. Obě zaznamenané hodnoty byly podle tehdejšího limitu přípustné. Vyšetřovatelé proto netvrdili, že kontrola byla zfalšována ani že muselo dojít k výměně.
Zůstala však dvě závažná zjištění. Alaska Airlines neprovedla vlastní interní krok, který už jednou naplánovala: proces objednání dílu se nedokončil. A vlastní přípravek dopravce neodpovídal přesně výrobní dokumentaci; pozdější zkoušky ukázaly, že některé takové přípravky mohly ukazovat méně než zařízení vyrobené Boeingem. NTSB připustila, že skutečná vůle mohla už tehdy překračovat 0,040 palce, ale dostupné důkazy nestačily, aby to označila za jistotu.
Právě tato hranice mezi doloženým a domýšleným je pro případ podstatná. Číslo 0,040 nebylo nezákonným návratem letadla do služby. Bylo ale informací o vyčerpané rezervě. Bez trendu předchozích měření, bez povinnosti přeměřovat takto opotřebenou sestavu v kratším intervalu a s téměř třemi lety do další kontroly se z hraniční hodnoty stala jen jednorázová fotografie. Systém nepracoval s otázkou, jak rychle se obraz může změnit.
Intervaly rostly: z 500 hodin na osm kalendářních měsíců
Mazání zvedáku se u Alaska Airlines v roce 1987 provádělo každých 500 letových hodin. V roce 1988 se interval zvýšil na 1 000 hodin, v roce 1991 na 1 200 a v roce 1994 na 1 600. Od roku 1996 už úkol neměl pevný hodinový strop: prováděl se nejpozději po osmi měsících. Při tehdejším vytížení flotily to znamenalo přibližně 2 550 letových hodin, více než pětinásobek hodnoty z roku 1987.
Kalendář ale neumí měřit tření. Letadlo může za osm měsíců stát, nebo létat několikrát denně. NTSB zjistila, že Alaska byla tehdy jediným americkým dopravcem, který měl čistě kalendářní interval mazání bez současného hodinového limitu a pravidla „co nastane dříve“. V průzkumu třinácti velkých domácích provozovatelů měla pro MD-80 nejdelší faktický mazací interval. Nejkratší porovnávaný interval činil 600 hodin.
Podobně se rozvolnila kontrola axiální vůle. Původních přibližně 5 000 hodin se změnilo nejprve na 26 měsíců, asi 6 400 hodin, a v roce 1996 na 30 měsíců. V provozu Alaska Airlines odpovídalo třicet měsíců zhruba 9 550 hodinám. Výrobce sice uváděl také třicet měsíců, ale současně 7 000 nebo 7 200 letových hodin, podle použitého programu — opět s rozhodnutím podle dřívější hranice. Alaska byla jediným americkým provozovatelem bez tohoto hodinového stropu.
Od poslední kontroly v září 1997 do nehody nalétala sestava téměř 9 000 hodin. Další kontrola měla podle kalendáře přijít až v březnu 2000, dva měsíce po pádu. Kdyby dopravce zachoval doporučený hodinový limit, měření by se odehrálo přibližně 1 800 až 2 000 hodin před nehodou. NTSB nemohla zaručit, že by konkrétní postup vždy zachytil skutečnou míru opotřebení. Přesto by vznikla další možnost stav odhalit ještě před úplným selháním.
Prodloužení intervalů samo o sobě není důkazem bezohlednosti. Dopravci běžně upravují údržbu podle provozních zkušeností a spolehlivosti. V tomto případě ale dvě ochranné vrstvy ustupovaly současně. Pokud někdo mazání vynechal nebo provedl špatně, delší interval prodloužil dobu suchého tření. A delší interval kontroly zároveň zmenšil šanci, že se vzniklé opotřebení včas změří. Nezávislé pojistky se staly navzájem závislými na stejném optimistickém předpokladu: že předchozí práce proběhla správně.
Září 1999: úkol byl podepsán, pracovní plocha však účinně namazaná nebyla
Záznamy uváděly poslední mazání vodorovné ocasní plochy a zvedáku 24. září 1999 v San Francisku, jen čtyři měsíce před nehodou. Přesto vyzvednutá sestava nenesla na pracovní části šroubu ani uvnitř matice mazivo schopné podstatně omezovat tření. Vyšetřovatelé našli jen malé tvrdé šupinky u zbytků závitů. V mazacím kanálku matice zůstala černá suchá hmota podobná jílu a kovové částice.
Moře tento obraz nevysvětlovalo. Zvedák ležel ve slané vodě sedm a půl dne, avšak laboratorní zkoušky i jiné vyzvednuté díly ukázaly, že mazivo se ponořením zcela neztratí. Na nepracovní části stejného šroubu zůstaly stopy polotekutého tuku a na dalších součástkách bylo mazivo zřetelné. Prostor uvnitř kanálku byl navíc chráněn před přímým oplachem. NTSB proto dospěla k jasnému závěru: v okamžiku nehody nebylo rozhraní šroubu a matice účinně namazáno.
Mechanik odpovědný za poslední záznam odhadl práci přibližně na hodinu. Dokumentace a výpověď výrobce hovořily o více než čtyřech pracovních hodinách včetně zpřístupnění a uzavření panelů. Mechanik si nepamatoval, že by ověřil vytlačení maziva z horní části matice — praktický důkaz, že tuk prošel celou cestou. Přibližně 40 procent ostatních maznic zahrnutých na stejné kartě bylo po vyzvednutí suchých nebo polosuchých.
Vyšetřovatelé z toho neodvodili, že právě jediná poslední směna sama vytvořila veškeré opotřebení. Při pouhých čtyřech měsících od záznamu a stavu celé sestavy považovali za pravděpodobné, že nedostatečně proběhlo více naplánovaných mazání. Přesný počet určit nedokázali. To je podstatná korekce k jednoduchému příběhu o jednom technikovi: konkrétní úkon byl vážně pochybný, ale poškození vznikalo v systému, který selhání práce nedokázal včas zachytit.
„Údržba měla rozsáhlé systémové nedostatky.“
31. leden 2000: zkušená posádka a letadlo bez zjevné závady
N963AS byl vyroben v roce 1992 a do nehody nalétal 26 584 hodin v 14 315 cyklech. Na palubě bylo 83 cestujících, mezi nimi tři děti mladší dvou let, tři členové kabinové posádky a dva piloti. Vzletová hmotnost činila přibližně 61,9 tuny a zahrnovala téměř 15,8 tuny paliva. Limity hmotnosti i těžiště byly splněny; počasí, požár, střet s ptákem ani předchozí zdravotní problém posádky v nehodě roli nehrály.
Třiapadesátiletý kapitán měl asi 17 750 letových hodin, z toho přibližně 4 150 jako velitel na MD-80. Sedmapadesátiletý první důstojník měl kolem 8 140 hodin, z nichž 8 060 strávil jako první důstojník na tomto typu. Oba byli kvalifikovaní, odpočatí a bez relevantních kázeňských či bezpečnostních záznamů. Vyšetřování tedy nezačínalo u nezkušenosti. Začínalo u systému, jehož skutečný stav nikdo v kokpitu nemohl vidět.
Let 261 měl vést z mexického Puerto Vallarta do Seattlu s plánovaným mezipřistáním v San Francisku. Vzlet proběhl přibližně ve 13:37 pacifického času. O tři minuty později se zapojil autopilot. Stabilizátor se při stoupání běžně posouval z polohy pro vzlet a ve 13:49:51, při průletu asi 23 400 stop, zaznamenal zapisovač jeho pohyb na 0,4 stupně ve směru „příď dolů“. Potom se na dvě hodiny a dvacet minut nepohnul.
13:53:12: autopilot se odpojil a řízení ztěžklo
Ve 13:53:12 letoun stoupal přes 28 557 stop rychlostí 296 uzlů, když se autopilot odpojil. Stabilizátor se nepodařilo přestavit primárním ani alternativním systémem. Posádka pokračovala ručně do letové hladiny 310. V části stoupání bylo podle výpočtů třeba přitahovat řízení silou až 50 liber, přibližně 23 kilogramů. Nebyl to ještě pád ani neovladatelnost, ale letadlo už vyžadovalo nepřetržitou fyzickou korekci.
Prvních asi 24 minut v hladině 31 000 stop letěli piloti rychlostí přibližně 280 uzlů a potřebovali kolem 30 liber přítahu. Potom zvýšili rychlost asi na 301 uzlů. Aerodynamické síly a postupné spalování paliva posunuly letadlo blíže k vyváženému stavu, takže potřebná síla klesla zhruba na deset liber. Po dobu další hodiny a dvaadvaceti minut byl problém nepříjemný, ale zvládnutelný. Právě tato stabilita zakryla, že uvnitř matice pokračuje mechanická nouze.
Záznam hlasu uchovával jen posledních 31 minut. Nevíme proto, jak přesně probíhaly první pokusy a jak posádka interpretovala každou signalizaci. Letová data ukazují sérii firemních rádiových přenosů od přibližně 15:21; jisté je, že piloti probírali zaseknutý stabilizátor s dispečinkem a údržbou ještě před začátkem záznamu v 15:49. Nelze tedy poctivě vytvořit kompletní dvouhodinový dialog. Lze rekonstruovat pohyby systému, síly na řízení a závěrečnou komunikaci.
Proč se nevrátili do Mexika
Po zpětném pohledu působí každá další minuta po zjištění závady jako promarněná šance. Tehdejší příručka však při nefunkčním stabilizátoru nepožadovala okamžitě přistát na nejbližším vhodném letišti. Letoun byl po zvýšení rychlosti dobře ovladatelný a posádka neměla informaci, že závada postupuje k oddělení nosného spoje. K návratu do Puerto Vallarta se přidávala nadlimitní přistávací hmotnost: MD-83 neměl vypouštění paliva a k dosažení maxima pro přistání by potřeboval přibližně 45 minut spalovat.
NTSB proto rozhodnutí nevrátit se okamžitě označila za pochopitelné. To neznamená, že delší let byl ideální. Znamená to, že posádka jednala podle informací, které měla, a podle checklistu, který katastrofický vývoj nepředpokládal. Hodnotit první hodinu stejným měřítkem jako minuty po prvním pádu by znamenalo vložit do kokpitu znalost nalezených závitů, kterou piloti získat nemohli.
Los Angeles místo San Franciska: bezpečnost proti plynulosti provozu
Když se let přiblížil k americkému pobřeží, posádka zvažovala San Francisco a Los Angeles. Kapitán preferoval LAX kvůli příznivějšímu větru, pravděpodobně suché dráze a nižší rychlosti vůči zemi při přistání s omezenými klapkami. Především nechtěl s vadným řízením přeletět letiště, na němž mohl přistát. Z vyšetřovací zprávy nevychází nerozhodnost; vychází snaha zmenšit počet dalších rizik.
Firemní dispečer připomněl, že přistání v Los Angeles může kvůli řízení toku provozu znamenat hodinu až hodinu a půl zdržení. Kapitán reagoval, že tento důvod nechce slyšet ve chvíli, kdy řeší přelet vhodných letišť. NTSB uzavřela dvě věci současně: odklon do LAX byl prozíravý a správný; dispečink se zřejmě pokusil ovlivnit posádku ve prospěch pokračování do San Franciska. Zpráva neříká, že tlak způsobil nehodu, ale označila jej za nepřijatelný bezpečnostní kontext.
„Mám obavu z přeletu vhodných letišť.“
Autopilot problém udržel — a zároveň jej skryl
V 15:46:59 piloti autopilota znovu zapojili. V 15:49:56 se odpojil a o devatenáct sekund později jej znovu aktivovali; v činnosti zůstal až do 16:09:16. Checklist pro nefunkční stabilizátor přitom výslovně zakazoval autopilot používat, pokud jsou oba trimovací systémy mimo provoz. V tomto bodě byla kritika NTSB jednoznačná: použití autopilota bylo v rozporu s firemním postupem a nebylo správné.
Autopilot neopravil stabilizátor. Neustálými výchylkami výškovek jen kompenzoval jeho chybnou polohu. Tím posádce uvolnil ruce pro komunikaci a diagnostiku, ale současně maskoval skutečnou velikost nevyvážení. Kdyby se bez připraveného člověka náhle odpojil, letadlo by prudce změnilo sklon. Elektrická ručička navíc při použití primárního trimu zůstávala vychýlená, což ukazovalo, že motor odebírá proud, ale proti záseku šroubem nepohybuje.
Krátce po 16:07 se připojil technik údržby v Los Angeles. Ptával se na ovladače, kterým se slangově říkalo „kufříkové rukojeti“ a „okurkové spínače“. Kapitán vysvětloval, že vyzkoušeli téměř všechny kombinace: primární systém zatěžoval elektrickou síť, alternativní se neprojevoval. V 16:08:59 oznámil, že autopilota vypne a předá řízení prvnímu důstojníkovi. O sedmnáct sekund později se mechanická rovnováha v ocasu změnila.
16:09:16: motor překonal zásek a z nouze se stal strmý pád
Primární trimovací motor dokázal vyvinout větší krouticí moment než alternativní systém. Předchozí pokusy zásek nepřemohly. Tentokrát ano. NTSB rekonstruovala, že kapitán současně s odpojením autopilota aktivoval primární trim jedním nebo oběma ovladači. Motor uvolnil zaseknutý šroub a matici. Nebylo to obnovení funkce. Bylo to odstranění posledního tření, které po úplném ustřižení závitů bránilo aerodynamickému zatížení vytáhnout šroub vzhůru skrz prázdnou matici.
Během tří až čtyř sekund se zaznamenaná poloha stabilizátoru přesunula z 0,4 na více než 2,5 stupně ve směru „příď dolů“. Skutečný pohyb pokračoval přibližně k 3,1 stupně, za rozsah snímače. Příď se sklopila, rychlost vzrostla až na 353 uzlů a rozezněla se výstraha překročení rychlosti. V 16:09:43 piloti vysunuli aerodynamické brzdy, aby zabránili dalšímu zrychlování. Letoun klesal z 31 050 stop k 23–24 tisícům.
Oba piloti přitahovali. Výškovky pracovaly proti celé vodorovné ocasní ploše nastavené prudce opačným směrem. Model NTSB odhadl potřebnou společnou sílu při vybírání na 130 až 140 liber. To není hmotnost zvedaná jednou rukou, nýbrž trvalý tah do řízení v kabině, která se sklání a zrychluje. Posádka pád po přibližně osmdesáti sekundách zastavila. V 16:11:13 držel letoun asi 24 400 stop a 262 uzlů.
„Ne, nemáme.“
Proč se šroub po prvním pádu úplně neuvolnil
Po ustřižení závitů už matice nemohla šroub držet běžným způsobem. Na spodním konci šroubu však byl mechanický doraz, určený k omezení rotace při poruše elektrických koncových spínačů. Když se šroub protáhl prázdnou maticí, tento doraz se zachytil o její spodní stranu. Letové zatížení se tak přeneslo na kontakt, který nebyl navržen jako dlouhodobé zavěšení stabilizátoru.
Značky na vyzvednutých dílech ukázaly, že doraz do matice opakovaně narážel v různých polohách a šroub se i po ztrátě závitů otáčel oběma směry. Drážkování dorazu bylo poškozeno. Tento forenzní detail spojil data z kokpitu s mechanikou: šroub se během prvního pádu neoddělil úplně, protože jeho spodní doraz zůstal pod maticí. Posádka tak neobnovila původní systém. Náhodně využila poslední kus geometrie, který ještě držel.
Uvnitř šroubu ležela titanová torzní trubka, do níž převodovky přiváděly krouticí moment. Po prvním pádu byla zatěžována nejen tahem, ale kvůli nesouosému kontaktu také ohybem. Každá změna aerodynamického zatížení tuto kombinaci opakovala. Materiál by jediné maximální zatížení podle výpočtů unesl. Deset minut střídavých cyklů však založilo a šířilo nízkocyklovou únavovou trhlinu, která jeho nosnost rychle snižovala.
16:11–16:17: letoun byl znovu ovladatelný, ale za cenu 55 kilogramů síly
Po vybrání pádu potřebovala posádka stále přibližně 120 liber, asi 54 kilogramů, společného přítahu. Kapitán poznal, že stabilizátor je na úplném dorazu a situace je mnohem horší. V 16:15:19 první důstojník oznámil řízení, že stabilizátor je zaseknutý a výšku udržují s obtížemi. O 37 sekund později kapitán požádal o sestup nad záliv, kde chtěl změnit konfiguraci a ověřit řiditelnost mimo obydlenou oblast.
Rozhodnutí testovat nad vodou mělo bezpečnostní logiku: pokud by se řízení prudce změnilo, letoun neohrozí hustě obydlené pobřeží. Zároveň však každá změna rychlosti a vztlaku měnila síly na poškozeném ocasu. Posádka neměla postup pro letadlo, jehož matice už nemá závity a jehož stabilizátor drží mechanický doraz. Výcvik pracoval se zaseknutým nebo samovolně běžícím trimem, ne s částečným konstrukčním oddělením uvnitř nepřístupné ocasní plochy.
Kapitán nechal kabinu uklidit a všechny připoutat. Letuška ohlásila hlasitou ránu ze zadní části; piloti ji také slyšeli. V 16:17:54 vysunuli sloty a v 16:18:05 nastavili klapky na jedenáct stupňů. Rychlost mírně klesla a letoun zůstal stabilní. Kapitán výslovně konstatoval, že konfigurace je v tu chvíli stabilní, a chtěl zpomalit přibližně ke 180 uzlům — rychlosti bližší nouzovému přiblížení.
O devět sekund později však nařídil sloty a klapky zasunout. Důvod z hlasového záznamu nevyplynul. Během příštích padesáti sekund se rychlost zvýšila asi z 245 na 270 uzlů. NTSB později zdůraznila obecné pravidlo: pokud změna konfigurace pomáhá ovladatelnosti a přistání, má zůstat zachována, není-li sama nebezpečná. To je oprávněná kritika rozhodnutí, nikoli důkaz, že zasunutí nebo nové vysunutí klapek samo zlomilo ocas.
Klapky nejsou jednoduchý viník posledního pádu
V populárních rekonstrukcích se často tvrdí, že poslední vysunutí klapek definitivně vytrhlo šroub. Časová souvislost je skutečná: v 16:19:29 kapitán znovu nařídil konfiguraci a v okamžiku hlasitého zvuku se klapky pohybovaly mezi sedmi a jedenácti stupni. Závěrečný mechanický závěr NTSB je však přesnější. Torzní trubka praskla únavou už předtím, než lehké držáky krytu přestaly stabilizátor zadržovat.
Série nejméně čtyř tlumených úderů v 16:19:21 se časově shodovala s prvním dalším pohybem stabilizátoru po deseti minutách. Data a konstrukční model ukazovaly posun z přibližně 3,1 na 3,6 stupně „příď dolů“, až k držákům horního aerodynamického krytu svislé ocasní plochy. Takový pohyb mohl nastat jen po lomu torzní trubky. Zvuková analýza však nedokázala přiřadit samotným úderům konkrétní zdroj a jejich spektrum neodpovídalo laboratorně zlomené trubce.
V 16:19:36,6 pak zazněl mimořádně hlasitý hluk. NTSB jej spojila pravděpodobně se selháním držáků krytu, odtržením části krytu a deformací ocasu pod zatížením. Radar ve stejné chvíli zachytil malé odrazy odpovídající odděleným částem. Uvolněná vodorovná plocha se mohla přesunout výrazně za čtrnáct stupňů, tedy daleko za normální rozsah. Aerodynamická síla na ocasu poté sklopila příď tak rychle, že obnovení kontroly nebylo možné.
16:19:36–16:20:57: posledních osmdesát sekund
Po sklopení přídě zaznamenal zapisovač záporné přetížení a prudký levý náklon. Do 16:19:42 dosáhl poslední platný údaj sklonu přídě minus 70 stupňů a náklon procházel minus 76 stupni. První důstojník vyslovil Mayday v kokpitu, avšak nevysílal jej rádiem. O několik sekund později se letoun převrátil do náklonu 180 stupňů a ve výšce asi 16 420 stop letěl vzhůru nohama rychlostí přibližně 208 uzlů.
Záznam neukazuje rezignaci. Piloti střídali křidélka a směrovku, snažili se „tlačit a rolovat“, hledali směr, v němž by se křídla vrátila k obzoru, a přibližně minutu udržovali letoun poblíž obrácené polohy. V 16:20:49 zapisovač zvuku zachytil pumpáž kompresorů a pokles otáček motorů, pravděpodobný následek narušeného proudění v mimořádných úhlech. V 16:20:56,3 skončil záznam letových dat; o osm desetin sekundy později skončil i hlasový záznam.
Náraz do Tichého oceánu nastal přibližně v 16:21, asi 2,7 míle — 4,3 kilometru — severně od ostrova Anacapa u kalifornského pobřeží. Zahynulo všech 88 lidí. Popis poslední minuty nepotřebuje domyšlené dialogy ani grafické detaily. Jeho nejsilnější skutečností je, že posádka po mechanickém selhání, které NTSB označila za nevratně neovladatelné, pokračovala v koordinovaných pokusech až do konce záznamu.
„Alespoň vzhůru nohama pořád letíme.“
Časová osa: dvě hodiny zvládnutelné závady, deset minut konstrukčního rozpadu
Všechny časy jsou pacifický standardní čas (PST). Poloha stabilizátoru, síly a rychlosti jsou rekonstrukcí NTSB z FDR, CVR, radarových dat, modelů výkonu a stop na vyzvednutých dílech.
13:37 — N963AS odlétá z Puerto Vallarta s 88 lidmi na palubě. Hmotnost i těžiště jsou v povolených mezích.
13:40:12 — posádka zapíná autopilota při stoupání přibližně přes 6 200 stop.
13:49:51 — stabilizátor se při průletu 23 400 stop naposledy běžně posune na 0,4° ve směru příď dolů. Šroub a matice se zablokují.
13:53:12 — autopilot se odpojuje. Posádka dokončuje stoupání ručně, místy s přítahovou silou až 50 liber.
14:00–15:21 — vyšší rychlost a spalování paliva snižují potřebnou sílu asi na deset liber; závada působí stabilně. Přesný průběh prvních pokusů CVR nezachytil.
15:21 — data ukazují začátek souvislejší firemní komunikace; posádka řeší zaseknutý trim, údržbu a místo přistání.
15:46:59–16:09:16 — autopilot je s krátkým přerušením znovu zapojen, ačkoli checklist jeho použití při nefunkčních systémech zakazuje.
15:52–16:03 — kapitán odmítá provozní argument pro San Francisco a potvrzuje odklon do LAX kvůli větru, dráze a přeletu vhodného letiště.
16:07:54–16:09:16 — technik v LAX probírá ovladače. Primární motor při aktivaci odebírá proud proti záseku; následný pokus zásek překoná.
16:09:16–16:10:36 — šroub projde maticí, stabilizátor se přesune na spodní doraz a MD-83 klesá z 31 050 k 23–24 tisícům stop. Posádka pád zastaví.
16:11–16:17 — letoun lze držet jen silou kolem 120 liber. Doraz nese stabilizátor; torzní trubka pod střídavým ohybem a tahem únavově praská.
16:17:54–16:18:26 — sloty a klapky se vysunou, letoun zůstává stabilní, poté jsou z neznámého důvodu opět zasunuty.
16:19:14 — první důstojník doporučuje s ovladatelným strojem přistát; kapitán souhlasí. Trim už znovu neaktivují.
16:19:21 — série tlumených úderů doprovází pohyb stabilizátoru na 3,6°. Torzní trubka je zlomená a plochu dočasně drží krycí konzoly.
16:19:36,6 — konzoly selžou, stabilizátor se vychýlí daleko za normální rozsah a začíná neovladatelný konečný pád.
16:20:57 — končí záznam CVR; krátce poté letoun naráží do oceánu.
Důkaz z hloubky 210 metrů: závity navinuté jako kovový drát
Pole trosek leželo přibližně v hloubce 700 stop, asi 210 metrů, a rozprostíralo se přes čtvrt míle mořského dna. Od 1. února do 15. března pracovaly dálkově řízené prostředky, boční sonar a později komerční vlečná loď. Vyšetřovatelé získali asi 85 procent trupu a podobný podíl ocasních částí, většinu obou křídel, oba motory i oba zapisovače. Tato rozsáhlá záchrana umožnila odlišit poškození před nárazem od následků nárazu.
Nejdůležitější sestava zůstala z velké části připojena k přednímu nosníku stabilizátoru. Kolem střední části šroubu byly navinuty měděně zbarvené kovové pásky se zeleným nádechem. Nebyl to cizí drát. Laboratoř je identifikovala jako dvanáct zbytků bronzových závitů matice, dohromady odpovídajících přibližně 75 procentům jejich původní délky. Vnitřek matice byl téměř hladký; po závitech zůstaly jen nízké hřebínky.
Tloušťka zachovaných fragmentů ukázala, že se přibližně 90 procent materiálu opotřebovalo ještě předtím, než se zbytek postupně ustřihl. Pro srovnání: sestava na maximální povolené vůli 0,040 palce by podle geometrického výpočtu ztratila zhruba 22 procent tloušťky. Havárie tedy nevznikla tím, že by zdravé závity jedním mimořádným zatížením náhle praskly. Závity už téměř neexistovaly a běžné síly dokončily dlouhý proces.
NTSB spočítala průměrnou míru opotřebení od měření 0,033 palce v září 1997 na 0,012 palce za tisíc hodin. Očekávaná hodnota byla asi 0,001 palce — přibližně dvanáctkrát méně. Komise současně upozornila, že rychlost nemusela být po celou dobu konstantní. Laboratorní zkoušky bronzu potvrdily mechanismus: vzorky bez maziva se při odpovídajícím zatížení opotřebovávaly zhruba desetkrát rychleji než vzorky s kterýmkoli testovaným vhodným tukem.
Co vyšetřovatelé vyloučili
Po nehodě se velká pozornost soustředila na přechod od červeného Mobilgrease 28 k zelenému Aeroshell 33 a na možné míchání obou maziv. Zkoušky nezjistily, že by Aeroshell 33, jeho stárnutí, kontaminace nebo kombinace s dřívějším tukem vysvětlovaly mimořádné opotřebení. Také chemické složení a tepelné zpracování šroubu odpovídaly specifikaci.
Komise prověřila povrchovou drsnost závitu, cizí částice, nesouosost a neobvyklé letové zatížení. Ani tyto možnosti nebyly příčinou. Rozhodující nebylo, jaká značka tuku měla být použita, ale že na pracovní ploše nebyla účinná mazací vrstva. To je redakčně méně atraktivní než spor dvou barev maziva, avšak technicky zásadní: nový druh tuku by nezachránil spoj, pokud by se do něj vůbec nedostal.
NTSB také nedokázala přesně určit, co vytvořilo původní zásek po ustřižení závitů. Pravděpodobnou roli hrály zbytky závitu, deformované hřebínky v matici a tření při pokusu šroubu přejít přes poškozený povrch. Zjištění příčiny nehody tuto mezeru nepotřebovalo vyplnit: jisté bylo, že závity už byly ztraceny, zásek byl jen dočasný a primární motor jej v 16:09 překonal.
Piloti: co bylo rozumné, co bylo chybné a co nebylo možné vědět
Vyšetřovací zpráva nepíše jednoduchý rozsudek nad posádkou. Za pochopitelné označila pokračování od mexického pobřeží, protože letoun byl dlouho ovladatelný a checklist nevyžadoval nejbližší letiště. Za prozíravý označila odklon do Los Angeles. Použití autopilota a opakované pokusy s trimem však byly v rozporu s postupem a šly nad jeho rámec. Právě finální aktivace primárního motoru uvolnila zásek a spustila první pád.
Tato kauzalita ale neznamená, že posádka „rozbila“ zdravý systém. Motor působil na sestavu, jejíž nosné závity už byly prakticky zničeny. Zaseknutí nevytvořilo bezpečnou konfiguraci; jen oddálilo pohyb. Kdyby piloti trim znovu nepoužili, nelze z dostupných důkazů slíbit bezpečné přistání. Lze říci pouze to, co uzavřela NTSB: improvizované pokusy zhoršily stav ovladatelného letadla a procedura měla jasněji přikazovat po neúspěchu přestat experimentovat.
Po prvním pádu se situace kvalitativně změnila. Posádka věděla, že je stabilizátor na dorazu a že v ocasu vzniklo mechanické poškození, neznala však ztrátu závitů, kontakt spodního dorazu ani únavovou trhlinu v torzní trubce. Scénář překračoval výcvik i konstrukční předpoklady. NTSB kritizovala zasunutí užitečné konfigurace, ale současně výslovně uznala, že piloti nemohli znát rozsah vnitřního poškození ani mít nacvičený postup pro takový letoun.
Důležitý detail přichází v 16:19:14: první důstojník odmítl další použití trimu, pokud je stroj řiditelný, a doporučil pokusit se přistát. Kapitán souhlasil. Následující pád tedy nezpůsobila nová aktivace motoru po této výměně; žádná zaznamenána nebyla. Mechanismus už běžel sám: torzní trubka únavově praskla a krycí držáky převzaly zatížení, pro něž nebyly určeny.
ROZHODUJÍCÍ AUTORSKÝ BOD
Posádka udělala rozhodnutí, která první pád urychlila, ale nevytvořila opotřebení, chybějící mazivo ani konstrukci bez nezávislé mechanické zálohy. Po prvním pádu navíc zachránila letoun z manévru vyžadujícího až 64 kilogramů síly a bojovala v situaci, kterou žádný checklist nepopsal. Přesná rekonstrukce musí unést kritiku i uznání současně.
Když údržbový program ztrácí rezervu po malých krocích
Nehoda nevznikla v den, kdy někdo schválil jeden interval. Každé prodloužení vypadalo jako omezená administrativní změna. Problém se ukázal až v jejich součinu: více hodin mezi mazáním, více hodin mezi měřením, přípravek s nejistou přesností, chybějící trendování výsledků, práce bez povinné druhé kontroly a systém, který považoval podepsanou kartu za důkaz fyzicky provedeného mazání.
NTSB popsala širší nedostatky v programu Alaska Airlines, ale pečlivě oddělila příčiny. Přímo kauzální byly nedostatečné mazání konkrétní sestavy a prodloužený interval kontroly vůle. Další nalezené problémy nebylo možné spojit přímo s letem 261, představovaly však významné odchylky od očekávaných bezpečnostních standardů. Slovo „systémové“ tedy neznamenalo, že každý technik nebo každá oprava byly špatné. Znamenalo, že organizace nedokázala spolehlivě garantovat kritické úkoly.
Největší autorská chyba by byla převést tento závěr na frázi „šetřili na vazelíně“. Mazivo samo bylo levné. Náklady a tlak ležely v odstávce, přístupu k ocasní ploše, pracovních hodinách, náhradních dílech, plánování a kontrole. Katastrofický potenciál vznikl ve chvíli, kdy provozní efektivita postupně zmenšovala četnost zásahů, aniž by technická data, měření trendu a konstrukční záloha převzaly uvolněnou bezpečnostní rezervu.
FAA: varování o slabém dohledu přišlo dva a půl měsíce před nehodou
Po pádu provedla FAA mimořádnou kontrolu a našla rozsáhlé významné nedostatky, které podle NTSB měla odhalit dříve. Přechod na nový systém dohledu ATOS v roce 1998 přinesl více administrativy a méně času v terénu. Bývalý hlavní inspektor popsal přechod jako velmi špatný a uvedl, že u dopravce prakticky nikdo neprováděl dostatečný přímý dohled. Nešlo jen o hodnocení vytvořené po nehodě.
Dne 12. listopadu 1999 odeslal vedoucí dohledového pracoviště v Seattlu memorandum o kritickém nedostatku lidí. Upozorňoval na opožděná či uspěchaná schválení a psal, že při nezměněném počtu inspektorů je omezení dohledu bezprostřední a riziko incidentů nebo nehod u Alaska Airlines roste. NTSB poté uzavřela, že FAA nesplnila odpovědnost za řádný dohled a její kontrolní činnost byla nedostatečná nejméně několik let.
Po nehodě se vrátila část staršího způsobu kontroly a personální kapacita se významně zvýšila. Panel FAA v červenci 2001 uvedl, že dopravce zjištěné nedostatky napravil. NTSB přesto v době vydání zprávy zůstávala opatrná, protože první následná kontrola úplnou nápravu neprokázala, nezávislé hloubkové ověření bylo omezené a v údržbě se objevovaly další chyby. Článek nemá z tohoto historického stavu vytvářet tvrzení o dnešní Alaska Airlines; popisuje závěr k období nehody.
Konstrukční paradox: dvě elektrické cesty, jeden katastrofický bod
Systém stabilizátoru pocházel z původního DC-9 certifikovaného v roce 1965 podle tehdejších Civil Aeronautics Regulations. MD-80 byl certifikován v roce 1980, ale části považované za dostatečně podobné předchůdci, včetně podélného trimu, se nemusely znovu posuzovat podle novějších požadavků Part 25. Konstrukční analýza nepovažovala úplné opotřebení závitů za realistický režim selhání; předpokládala, že mazání a kontrola vůle součást vyřadí dříve.
Tento předpoklad funguje jen tehdy, když údržba není doplňkem konstrukce, ale skutečnou částí nosné cesty. Zdravá matice měla obrovskou pevnost a dvě závitové šroubovice. Jakmile se však oba povrchy bez maziva opotřebovávaly společně, žádný nezávislý prvek nedokázal stabilizátor zachytit. Mechanické dorazy chránily proti přejetí normálního rozsahu, nikoli proti průchodu šroubu maticí bez závitů. Krycí konzoly nebyly konstrukční pojistkou vůbec.
NTSB proto neuzavřela pouze údržbovou chybu. Jako přispívající faktor uvedla absenci fail-safe mechanismu, který by zabránil katastrofickým následkům úplné ztráty závitů. Formulovala širší princip: pokud může jedna porucha vést ke katastrofě a existuje proveditelná konstrukční alternativa, nelze bezpečnost stavět jen na údržbě a inspekci. Pokud alternativa neexistuje, musí být proces údržby mimořádně robustní, datový a odolný i vůči vynechanému úkonu.
Co se změnilo po letu 261
FAA nejprve vydala nouzové příkazy k prohlídce a následně směrnici AD 2000-15-15. Pro dotčené řady DC-9, MD-80/90, Boeing 717 a vojenské varianty stanovila opakované mazání přibližně po 650 letových hodinách a kontrolu axiální vůle po 2 000 hodinách. Kontroly se rozšířily na kovové částice v okolí sestavy a provozovatelé měli výsledky měření hlásit, aby bylo možné ověřovat skutečnou rychlost opotřebení.
NTSB doporučila odstranit degradované mazivo, matici propláchnout, zvětšit přístupový otvor a udělat z mazání povinně kontrolovanou položku s podpisem inspektora. Pro měření vůle požadovala spolehlivější postup a nejméně dvě příležitosti zachytit rychle postupující opotřebení před katastrofickou hranicí. Výsledky měly být spojeny s registrací letadla i sériovým číslem sestavy, aby se z jednotlivých hodnot stal trend, ne izolovaný papír.
Doporučení mířila také na konstrukci: prověřit možnost dodatečné fail-safe ochrany, vyhledat podobné katastrofické jednotlivé body u jiných typů a změnit certifikační pravidla tak, aby budoucí systémy řízení nemohly projít s jediným režimem selhání znemožňujícím bezpečný let a přistání. Nešlo tedy o jednorázové předepsání většího množství tuku. Nehoda změnila otázku z „jak často součást udržujeme“ na „co se stane, když ji jednou neudržíme správně“.
Pro posádky NTSB požadovala jasné pravidlo: dokončit příslušný checklist, nepokračovat v improvizovaných pokusech a při neobnoveném trimu přistát na nejbližším vhodném letišti. Dohled měl zahrnout i dispečink a technickou podporu, aby lidé na zemi nenavrhovali delší let kvůli jízdnímu řádu. Každé opatření odpovídalo jiné prasklině v obraně — mechanice, údržbě, měření, výcviku, provoznímu tlaku a regulaci.
Pět zkratek, které případ zkreslují
1. „Zlomil se šroub.“ — Nejprve se bez mazání téměř úplně obrousily bronzové závity matice. Šroub se jí protáhl; až později únavově praskla vnitřní torzní trubka.
2. „Kontrola v roce 1997 byla zfalšovaná.“ — NTSB to neprokázala. Hodnoty 0,040 i 0,033 palce byly formálně v limitu, i když proces objednání dílu selhal a měřicí přípravek mohl podhodnocovat.
3. „Klapky utrhly ocas.“ — Klapky se při konečném pádu pohybovaly, ale vyšetřovací závěr označil za mechanismus únavový lom torzní trubky a následné selhání držáků krytu.
4. „Piloti měli hned vědět, že závity zmizely.“ — Kokpit tento stav nezobrazoval a výcvik jej nepředpokládal. Použití autopilota a opakovaný trim byly chybné; znalost vnitřního poškození však posádka neměla.
5. „Byla to chyba jednoho mechanika.“ — Poslední mazání bylo nedostatečné, ale mimořádné opotřebení nejspíš vyžadovalo více vadných úkonů. Následky umožnily prodloužené intervaly, slabá kontrola i konstrukce bez nezávislé zálohy.
Autorská syntéza: katastrofa nezačala ve vzduchu, ale ztrátou otázky „co když“
Let 261 bývá redukován na děsivý obraz letadla vzhůru nohama. Ten obraz je skutečný, ale příčinu neukazuje. Příčina neměla podobu jedné dramatické rány. Měla podobu stále delších intervalů, jedné hodnoty na hraně, nedokončené objednávky, úkonu podepsaného bez fyzického důkazu průchodu maziva a certifikačního předpokladu, že úplná ztráta závitů nenastane. Katastrofa se skládala z obyčejných administrativních a technických okamžiků, které jednotlivě nevypadaly katastroficky.
První hluboká lekce patří bezpečnostní rezervě. Interval údržby není jen datum v plánovači; je to množství chyb, které systém ještě unese. Pokud se mazání provádí v méně než pětinové četnosti a měření téměř po deseti tisících hodin, jedna špatná práce dostává mnohem více času, aby se proměnila v opotřebení. Efektivita neporušila jedinou zjevnou bariéru. Postupně ztenčovala několik bariér zároveň, až každá závisela na bezchybnosti té předchozí.
Druhá lekce patří falešné redundanci. Dva motory, dva ovládací způsoby a dvě závitové dráhy vytvářejí graficky působivý seznam záloh. Všechny ale končily ve stejném styku bronzu a oceli. Bez fyzické izolace není počet prvků totéž co počet nezávislých cest. Let 261 ukázal, že systém může v dokumentaci obsahovat několik záložních slov a v mechanice jediný bod, který se opotřebovává společně.
Třetí lekce se týká posádky. Checklist chrání pilota nejen před zapomenutím kroku, ale také před přirozenou touhou rozbitý systém opravit. Primární motor se jevil jako jediný prostředek, který by mohl zásek uvolnit. Když se mu to podařilo, výsledek byl horší než porucha. Moderní provozní poučení proto zní téměř proti intuici: je-li letadlo ovladatelné a příslušný postup problém neodstraní, další kreativní diagnostika může vzít poslední stabilní stav.
A čtvrtá lekce patří spravedlivému popisu odpovědnosti. Uznat chybu posádky neznamená přepsat roky údržby. Popsat systémové selhání neznamená zbavit jednotlivce profesní odpovědnosti. Připomenout konstrukční slabinu neznamená tvrdit, že údržba není nutná. Bezpečnost vzniká právě tehdy, když žádná vrstva nepředpokládá dokonalost ostatních: konstrukce toleruje vynechaný úkon, kontrola odhalí vadnou práci a provozní postup zastaví improvizaci dřív, než se závada uvolní.
V 16:09 posádka dostala letadlo zpět z prvního pádu. Následujících deset minut není čekáním na nevyhnutelné, ale fyzickým záznamem poslední mizející rezervy: spodní doraz přenášel sílu, torzní trubka se pod každým cyklem poškozovala a lehké držáky krytu na okamžik suplovaly nosnou konstrukci. Když v 16:19:36 povolily, žádná pilotní dovednost už nemohla nahradit spojení mezi stabilizátorem a trupem.
Nejpřesnější památkou na 88 lidí proto není mýtus o jediném šroubu ani soud nad poslední volbou v kokpitu. Je to otázka, kterou případ vložil do každého bezpečnostně kritického systému: pokud kontrola jednou selže, jaká další, skutečně nezávislá vrstva zabrání tomu, aby se z opotřebení stala ztráta řízení? Let 261 skončil v oceánu, protože odpověď tehdy zněla: žádná.
Poznámka k rekonstrukci
Text vychází především z 250stránkové závěrečné zprávy NTSB AAR-02/01, přijaté 30. prosince 2002, z veřejného spisu DCA00MA023 a z oficiální případové studie FAA. Všechny letové časy jsou pacifický standardní čas. Převody liber na kilogramy a stop či mil na metrické jednotky jsou zaokrouhlené; nejde o další měření. Označení „příď dolů“ u stabilizátoru popisuje výsledný trim letadla, nikoli směr pohybu jeho přední hrany.
Některé okamžiky zůstávají neurčité. CVR zachytil jen posledních 31 minut, takže úplný průběh dřívější diagnostiky neexistuje. NTSB neurčila přesný zdroj tlumených úderů v 16:19:21 ani přesný úhel stabilizátoru při začátku posledního pádu; výkonové modely pouze ukázaly, že musel výrazně překročit 14 stupňů. Zpráva také nedokázala určit skutečnou vůli v září 1997, přesný počet nedostatečných mazání ani jistý výsledek hypotetického letu bez opakovaného použití trimu. Text tyto mezery nedoplňuje dramatizací.
Oficiální souhrnná stránka FAA zjednodušuje poslední sekvenci tak, že úplné oddělení spojuje s opětovným vysunutím klapek. Tento článek se v detailu řídí pozdějším a přesnějším kauzálním závěrem závěrečné zprávy NTSB: konečný pád způsobil nízkocyklový únavový lom torzní trubky a následné selhání držáků krytu svislé ocasní plochy. Pohyb klapek je v časové ose uveden, není však vydáván za samostatně prokázanou příčinu.
Zdroje
NTSB — Aircraft Accident Report AAR-02/01 — primární závěrečná zpráva, 250 stran; faktický průběh, CVR/FDR, metalurgie, analýza, závěry a doporučení
NTSB — vyšetřovací stránka DCA00MA023 — oficiální souhrn případu, příčina, spis, zpráva a bezpečnostní doporučení A-01 a A-02
NTSB — veřejný vyšetřovací spis DCA00MA023 — veřejně zpřístupněný dokument spisu, včetně zprávy zvukové analýzy CVR
FAA Lessons Learned — Alaska Airlines 261, N963AS — oficiální technická případová studie FAA; konstrukce trimu, bezpečnostní předpoklady, doporučení a následná opatření
FAA — Airworthiness Directive 2000-15-15 — oficiální směrnice nahrazující AD 2000-03-51; prohlídky, mazání, měření vůle a hlášení výsledků
