Článek
V 06:26:15 UTC se nad Atlantikem zastavil i levý motor. Airbus A330 letu Air Transat 236 byl ve výšce přibližně 34 500 stop a od Lajes na azorském ostrově Terceira jej dělilo zhruba 65 námořních mil — asi 120 kilometrů. V nádržích už nebylo palivo, z něhož by šlo vyrobit tah. Zmizel zvuk dvou motorů, hlavní elektrické generátory i dvě ze tří hydraulických soustav. Na palubě bylo 293 cestujících a třináct členů posádky.
Od této sekundy se příběh často vypráví jako čistý zázrak: kapitán Robert Piché proměnil dvousettunový dopravní letoun v kluzák, udržel jej ve tmě devatenáct minut ve vzduchu a dosedl na vojenskou dráhu. To všechno je pravda. Je to však jen druhá polovina případu. První polovinu tvoří vadně sestavený motor, systém, který zobrazoval čísla bez jejich naléhavosti, a rozhodnutí otevřít crossfeed — propojení palivových větví — ještě předtím, než posádka určila, proč je jedna strana nádrží lehčí.
Tatáž posádka tak v jediném letu zastávala dvě role, které se do hrdinské zkratky nevejdou. Nejprve dobře nacvičeným úkonem nevědomky připojila zdravou levou zásobu k netěsnosti u pravého motoru. Potom profesionálně zvládla následky, na něž nebyla vycvičena a které už nešlo vzít zpět. Vyšetřovací zpráva nevybírá mezi chybou a mimořádným pilotním výkonem. Popisuje obojí. Právě tento rozpor dělá z letu 236 jeden z nejcennějších případů moderní letecké bezpečnosti.
PŘÍPAD V ČÍSLECH
24. srpna 2001 · Air Transat 236 / TSC236 · Toronto–Lisabon · Airbus A330-243, C-GITS · 293 cestujících + 13 členů posádky · vzlet 00:52 UTC · první motor zhasl 06:13 · druhý 06:26 · přistání 06:45 · všech 306 lidí přežilo · při evakuaci bylo zraněno 18 osob, z toho dvě vážně.
Pět dní před letem: motor, který byl kompatibilní jen zdánlivě
Kořen nehody neležel v nádrži ani v kokpitu, ale v konfiguraci pravého motoru. Dne 15. srpna našli technici při běžné kontrole kovové částice v olejovém systému; 17. srpna se nález opakoval. Protože původ kovu nebylo možné určit, Air Transat rozhodl motor vyměnit. Vlastní náhradní jednotka nebyla k dispozici, a tak dopravce použil motor Rolls-Royce zapůjčený jako severoamerická rezerva.
U velkého proudového motoru ale označení typu neznamená, že každá trubka a každý agregát existují v jediné podobě. Výrobci během života typu vydávají servisní bulletiny a mění sestavy. Zapůjčený Trent 772 byl ve starší, předmodifikační konfiguraci. Motory, s nimiž měl tým Air Transat běžnou zkušenost, byly v novější konfiguraci po servisních bulletinech. Na pohled byly obě varianty velmi podobné; kritické rozdíly se skrývaly v geometrii vedení kolem hydraulického čerpadla.
Při montáži nešlo na zapůjčený motor bez kolize nasadit upravené zadní hydraulické čerpadlo převzaté ze sejmutého motoru. Jeho širší těleso zasahovalo do palivové trubky. Technik v katalogu objevil servisní bulletin RB.211-29-C625, avšak přes tři síťové terminály se k jeho obsahu kvůli závadě firemní sítě nedostal. Samostatný počítač s dostupnou dokumentací existoval, ale nebyl použit. Zástupce Rolls-Royce během práce telefonicky nabídl pomoc; na místo povolán nebyl.
Tým se opřel o ústní radu z technického oddělení a vyměnil palivovou trubku za novější díl. Ponechal však starší hydraulické vedení. Právě bulletin uváděl, že palivové a hydraulické trubky se musí instalovat jako sada. Výsledná kombinace — nové čerpadlo, novější palivová trubka a starší hydraulická trubka — nebyla schválenou konfigurací, přestože jednotlivé součásti samy o sobě patřily do rodiny motoru Trent.
Aby mezi trubkami vznikla vůle, bylo hydraulické vedení při utažení drženo mimo svou přirozenou polohu. Po natlakování se snažilo narovnat a vrátilo se k palivové trubce. Kontroly po montáži nic neodhalily; nezávislá prohlídka byla zaměřena především na ovládací prvky motoru, nikoli na tuto dvojici vedení. Dokumentační kontrola kvality se měla provést později, protože o víkendu nebyl pracovník kontroly na místě. Do dne nehody ještě provedena nebyla.
Osmdesát milimetrů: jak se z kontaktu dvou trubek stal únik
Motor po výměně absolvoval 67,5 letové hodiny a čtrnáct cyklů. Vibrace a tlakové pulzace během této doby opakovaně přitlačovaly hydraulickou trubku k palivovému vedení. Kov se postupně prodřel. Vyšetřovatelé po přistání našli na vstupní trubce vysokotlakého palivového čerpadla trhlinu ve tvaru písmene L, dlouhou přibližně 80 milimetrů a rozevřenou asi na tři milimetry.
Palivo unikalo za palivově-olejovým výměníkem, ale ještě před místem, kde se měřil průtok spotřebovaný motorem. To vysvětluje zdánlivý paradox v kokpitu: pravý motor běžel normálně a jeho indikovaný fuel flow nebyl mimořádně vysoký, přesto přes jeho přívod mizely tuny paliva do volného proudu. Přístroj ukazoval, kolik si motor bere ke spalování. Neúčtoval množství, které opouštělo potrubí před měřicím bodem.
Výměník tepla přitom vytvořil nepřímou stopu. Velký objem studeného paliva procházel kolem motorového oleje a ochlazoval jej. Chladnější olej zhoustl, jeho tlak vzrostl a návrat do nádrže se zpomalil, takže zobrazované množství kleslo. Nízká teplota, vysoký tlak a menší množství oleje tedy nebyly třemi náhodnými závadami čidel. Byly fyzikálním podpisem paliva protékajícího cestou, pro niž motorové indikace neměly pojmenování.
A330 jako palivový systém: nádrže, automatika a ventil mezi dvěma světy
Airbus A330-200 nese palivo ve vnitřních a vnějších nádržích obou křídel, ve středové nádrži a také v trimovací nádrži ve vodorovné ocasní ploše. Za normálního letu napájí levá strana levý motor a pravá pravý. Ventil WING X FEED dokáže obě větve propojit, takže oba motory mohou čerpat z jedné strany. Crossfeed není čerpadlo, které přelévá palivo z nádrže do nádrže. Je to brána, jež dovolí spotřebičům — a při poruše také netěsnosti — čerpat ze společného zdroje.
O rozložení paliva se stará Fuel Control and Management Computer. V cestovní hladině automaticky přesouvá palivo do trimovací nádrže a zpět, aby optimalizoval polohu těžiště a udržoval potřebné množství ve vnitřních křídelních nádržích. Posádka nemusí každý transfer schvalovat. Automatika funguje metodou řízení výjimkou: pracuje sama a člověka osloví teprve tehdy, když už naprogramovaný úkol nedokáže plnit.
To se v letu 236 stalo zásadní slabinou. Počátač neznal koncept prasklé trubky za pravým motorem. Viděl jen, že pravá nádrž klesá, a dělal přesně to, k čemu byl určen: posílal do ní další palivo z ocasní nádrže, aby zachoval rozložení. Od 05:11 do 05:30 tak převedl dopředu zbývajících 3,2 tuny. Ty následně rovněž odtekly. Závěry zprávy uvádějí, že transfer zároveň oddálil palivové advisory přibližně o čtvrt hodiny.
ECAM zobrazoval aktuální množství, spotřebu motorů a stav čerpadel, ale neuměl označit samotný únik. Číslo fuel on board bylo pravdivé; chyběla však rychlost změny a věta, která by pravdu přeložila do významu. Posádka musela sama porovnat počáteční zásobu se součtem zbývajícího paliva a paliva vykázaného jako spotřebované motory. V roce 2001 nebylo na tomto stroji aktivní varování, které by takový nesoulad proměnilo v jednoznačnou výstrahu.
TECHNICKÝ ŘETĚZEC V JEDNÉ VĚTĚ
Nesladěná konfigurace vedení → kontakt hydraulické a palivové trubky → 80mm trhlina → únik před měřením motorové spotřeby → automatický transfer dalších 3,2 tuny → pozdní a málo naléhavé upozornění → otevřený crossfeed → zdravá levá zásoba zpřístupněná pravostrannému úniku → úplné vyčerpání paliva.
00:52–04:57 UTC: let, který v účetnictví vypadal normálně
C-GITS vzlétl z Toronta v 00:52 UTC, večer 23. srpna místního času. Na palubě bylo podle dat zapisovače 46,9 tuny paliva. Letový plán počítal s 5,5 tuny nad zákonným minimem, mimo jiné kvůli možným změnám trati a letové hladiny nad severním Atlantikem. Skutečná vzletová hmotnost činila přibližně 200 388 kilogramů; letoun byl v limitech hmotnosti i těžiště.
Kapitán, osmačtyřicetiletý Piché, měl 16 800 hodin, z toho 796 na A330. Osmadvacetiletý první důstojník Dirk de Jager měl 4800 hodin a 386 na typu. Oba byli kvalifikovaní, aktuálně přezkoušení a v jejich záznamech nebyl nedostatek, který by nehodu předem vysvětloval. Kapitán byl pilotem letícím; první důstojník jej podporoval a obsluhoval komunikaci.
V 04:08, při přeletu 40. západního poledníku, zbývalo 26,2 tuny — přesně tolik, kolik odpovídalo plánu. V 04:38 se podle pozdějšího výpočtu z dat o hmotnosti začala rychlost úbytku zvyšovat. Únik odstartoval zhruba půl tunou za hodinu, potom s narůstající trhlinou prudce rostl. Z pohledu posádky však ještě neexistovala událost. Letadlo nezazvonilo, motor nezakolísal a běžný číselný údaj paliva se měnil bez šipky, trendu či červeného rámu.
Při rutinní kontrole kolem 30. západního poledníku ve 04:57 zapisovala posádka 21,7 tuny; výpočet z letových dat uváděl 21,6. Hodnota byla jen asi 200 kilogramů, tedy zhruba jedno procento, od plánu. To nebyla nedbalá kontrola. Byl to okamžik, kdy už únik devatenáct minut existoval, ale předchozí rezerva a automatický transfer ho v jediném kontrolním bodě stále dokázaly ukrýt.
05:03: olej ukázal únik paliva, aniž to uměl říct
Krátce po přeletu 30° západně si piloti všimli, že pravý motor ukazuje méně oleje, výrazně nižší teplotu a vyšší tlak než levý. Přibližně v 05:04 ručně vyvolali stránku ENGINE. Ve 05:21 předali údržbovému středisku Air Transat přes vysokofrekvenční rádio konkrétní hodnoty: na pravém motoru asi 14,5 litru, 65 °C a 150 psi, na levém 18,2 litru, 110 °C a 80 psi.
Všechny hodnoty ještě ležely v povoleném rozsahu a příručky takovou kombinaci nepopisovaly. Piloti ji proto rámovali jako problém indikace, nikoli jako proud paliva ochlazující olej. Ručně zvolená stránka ENGINE navíc zabránila automatickému zobrazení jiné systémové stránky. Když ECAM v 05:33 konečně vytvořil bílé pulzující ADV kvůli tří tunové nerovnováze, stránka FUEL se sama neobjevila. Posádka musela nejprve stránku motoru zrušit.
To je jeden z jemných mechanismů případu: žádný jednotlivý úkon nebyl absurdní. Zobrazit motorovou stránku při neobvyklých motorových hodnotách je logické. Obrátit se na techniky je logické. Automaticky vyvažovat palivo kvůli těžišti je logické. Každá část systému dělala lokálně smysluplnou věc. Teprve jejich součet odvedl pozornost od rychle klesajícího celkového množství.
„Kritický únik paliva neměl jasnou ani jednoznačnou výstrahu.“
05:36: správný pohyb pro nerovnováhu, nebezpečný pohyb pro únik
V 05:34 piloti zobrazili palivovou stránku. Viděli přibližně tří tunový rozdíl mezi křídly a celkovou zásobu hluboko pod očekáváním. O dvě minuty později otevřeli crossfeed a vypnuli pravá čerpadla, aby pravý motor napájeli z levých nádrží. Úkon provedli zpaměti jako postup pro vyrovnání paliva. Kdyby otevřeli QRH, narazili by v postupu FUEL IMBALANCE na upozornění: při podezření na únik použít FUEL LEAK.
V okamžiku otevření ventilu zbývalo přibližně 11,4 tuny a asi 7,3 tuny už bylo ztraceno. Samotný únik dosahoval zhruba 13,8 tuny za hodinu. Crossfeed potom dovolil pravému motoru i prasklému vedení čerpat také z levé strany. Výpočet vyšetřovatelů ukázal, že mezi 05:36 a 05:54 klesala levá zásoba rychlostí asi 18,9 tuny za hodinu — včetně běžné spotřeby motorů a paliva ztráceného trhlinou.
Je důležité pojmenovat děj přesně. Piloti nezačali přečerpávat palivo do pravé nádrže. Otevřeli společnou potrubní cestu a vypnuli čerpadla na lehčí straně. Tím umožnili, aby palivové čerpadlo pravého motoru nasávalo z levých nádrží; netěsnost ležela na stejné větvi. Rozdíl mezi křídly se mohl zmenšovat, i když celkové množství mizelo rychleji. Symptom se tedy zlepšoval právě mechanismem, který zhoršoval příčinu.
Příručka chtěla nejdříve určit, zda palivo uniká z motorové větve, z nádrže, nebo z neznámého místa. Podle varianty by posádka uzavřela přívod k podezřelému motoru, izolovala strany a případně klesla do výšky umožňující gravitační napájení. Kapitán později vysvětlil, že nechtěl opustit FL390 a vzdát se výškové rezervy, pokud by šlo jen o chybu počítače či únik z nádrže. V dané mentální mapě to chránilo dolet. Ve skutečné mapě to chránilo trhlinu před izolací.
ROZHODUJÍCÍ AUTORSKÝ BOD
Vyrovnat nerovnováhu bez určení její příčiny znamenalo odstranit viditelný symptom tím, že se zdravá zásoba připojila k poruše. Crossfeed nebyl sám o sobě chybou konstrukce ani nebezpečný ventil. Nebezpečnou se stala správně nacvičená rutina použitá na jiný problém.
Časová osa: 127 minut od vzniku trhliny k zastavení na dráze
Všechny časy jsou UTC. Množství a rychlosti úniku jsou rekonstrukcí GPIAA z DFDR, hlášení ECAM, ATS a výpočtů hmotnosti; posádka je v této úplnosti během letu neviděla.
04:38 — začíná únik u pravého motoru. Na palubě je asi 23,7 tuny; počáteční dopočtená rychlost úniku je 0,5 tuny za hodinu.
04:56–04:58 — automatika poprvé převádí dopředu asi 0,3 tuny z trimovací nádrže. Ve 04:57 je kontrolní údaj stále téměř přesně podle plánu.
05:03–05:04 — piloti zachytí neobvyklé olejové hodnoty pravého motoru a volí stránku ENGINE. Ta se stává hlavním předmětem diagnostiky.
05:11–05:30 — FCMC převede z ocasu zbývajících 3,2 tuny, převážně do lehčí pravé strany. Ve 05:30 zbývá asi 13,2 tuny a únik dosahuje 13,2 tuny za hodinu.
05:21 — posádka hlásí MCC nízkou teplotu, vysoký tlak a menší množství oleje. Parametry jsou neobvyklé, ale stále v mezích.
05:33–05:34 — bílé pulzující ADV upozorňuje na asi tří tunovou nerovnováhu. Po zrušení ručně vybrané stránky ENGINE se zobrazí stránka FUEL; na palubě je asi 12,3 tuny.
05:36 — crossfeed se otevírá, pravá čerpadla se vypínají a pravý motor začne čerpat zleva. Zbývá 11,4 tuny; zdravá zásoba je od této chvíle dostupná i netěsnosti.
05:45–05:48 — předpověď paliva v Lisabonu klesá pod minimum, posádka zahajuje odklon na Lajes a řízení oznamuje nedostatek paliva. Ve 05:48 zbývá přibližně sedm tun.
05:50–05:54 — palubní průvodčí ve zhasnuté kabině hledají za křídly páru či stopu paliva, ale ve tmě nic nevidí. Piloti přepnou čerpadla tak, aby oba motory čerpaly zprava; zleva se únik na pět minut izoluje.
05:57–06:02 — probíhá dlouhý HF hovor s MCC. Ve 05:58 pravá nádrž hlásí nízkou hladinu; ve 05:59 je uváděno asi 1,0 tuny vpravo a 3,2 vlevo. Otázka MCC na možný únik u levého motoru vede ke krátkému návratu napájení zleva.
06:08–06:10 — ECAM hlásí nízkou hladinu v obou křídlech. Posádka už ví, že palivo k ostrovu nevydrží; v 06:10 zbývá přibližně 1,2 tuny a Lajes je asi 175 mil daleko.
06:13:28 — pravý motor zhasíná v FL390, přibližně 150 mil od Lajes. Posádka postupuje podle checklistu pro poruchu motoru a zahajuje sestup.
06:15–06:23 — řízení dostává údaj o 600 kilogramech paliva. Ve 06:21 pokus o přední transfer potvrzuje prázdnou trimovací nádrž. První důstojník ve 06:23 vyhlašuje Mayday.
06:26:15 — levý motor zhasíná kolem FL345. Posádka dokončuje ALL ENG FLAME OUT; RAT se vysouvá a letoun přechází na nouzovou energii.
06:31–06:36 — v FL270 přebírá let Lajes Approach. Řídící dává směry a vzdálenosti; na žádost rozbliká dráhová světla. Ve 06:36 je posádka hlásí v dohledu.
06:38–06:43 — asi osm mil před prahem je Airbus stále ve 13 000 stopách. Kapitán provádí levou třistašedesátku a S-zatáčky, vysouvá sloty a podvozek a mění výšku na dolet.
06:45 — C-GITS přelétá práh dráhy 33 asi ve 200 uzlech, tvrdě dosedá, odskakuje, podruhé dosedá 2800 stop od prahu a zastavuje v 7600 stopách.
Proč posádka nevěřila číslu, které bylo pravdivé
Po otevření crossfeedu bylo nízké celkové množství zřejmé, ale jeho velikost působila neuvěřitelně. Motorové parametry byly normální, přímá výstraha na únik chyběla, venku nebyla vidět stopa a předchozí podivné olejové údaje už vytvořily podezření na chybu indikace. Oba piloti podle zprávy považovali počítačovou poruchu za pravděpodobnější než ztrátu paliva, která se zdála téměř fyzicky nemožná.
Vyšetřovatelé popsali rámovací a potvrzovací zkreslení. První mentální model zněl: olej a palivo ukazují nesmysl, avionika má problém. Informace, které mu odpovídaly — normální chod motoru, žádná viditelná mlha paliva, žádné červené varování — získávaly velkou váhu. Informace, které jej vyvracely — klesající součet paliva, předčasně prázdná ocasní nádrž a stále nižší předpověď doletu — vyžadovaly dodatečný výpočet a byly posuzovány skeptičtěji.
K tomu se přidala dynamika práce. Piloti současně řídili let, měnili trať na Lajes, komunikovali přes oceánské HF s řízením i technickým střediskem, hledali postupy, vysílali kabinovou posádku k oknům a připravovali možnost přistání na vodě. Po každém dalším úkonu rostla psychologická i praktická cena návratu k počátečnímu rozhodnutí. Znovu zavřít ventil by znamenalo připustit, že dosavadní vyvažování mohlo palivo ztrácet.
Označení confirmation bias nesmí sloužit jako elegantní náhrada slova vina. Je to popis interakce člověka s nedostatečně pozorovatelným systémem. Digitální displej ukazoval přesné kilogramy, ale ne trend; FMS počítal palivo v cíli ze zásoby a běžného průtoku motorů, nikoli z budoucí rychlosti úniku. Hodnota EFOB se proto neustále propadala, místo aby včas oznámila jedinou stabilní předpověď. Stroji nechyběla data. Chyběla věta, která by posádku přinutila změnit diagnózu.
Pohled z kabiny: v noci nemusí být třináct tun za hodinu vidět
Když se ředitelka kabiny kolem 05:45 přišla zeptat na cestující vyžadující pomoc po příletu, dozvěděla se o odklonu. O několik minut později ji kapitán požádal, aby s další letuškou zkontrolovala křídla a motory. Hledaly páru či kondenzační oblak za křídlem. Protože osvětlená kabina měnila okna v zrcadla, světla zhasla. Ani potom nic nenašly.
Negativní vizuální kontrola nebyla důkazem těsnosti. Únik vznikal uvnitř gondoly pravého motoru, proud vzduchu palivo rozptyloval a noc nad oceánem neposkytovala kontrast. Přesto měla informace v kokpitu lidsky pochopitelnou váhu: dva lidé se dívali přesně tam, kde by měl být důkaz, a vrátili se bez něj. Absence viditelného oblaku pak podpořila model počítačové chyby, ačkoli přístrojová bilance ukazovala opak.
V 06:01 dostala kabina pokyn připravit se na přistání přibližně za čtyřicet minut. Ředitelka se zeptala, zda má cestující připravit na letiště, nebo na vodu. Odpověď zněla: na nouzové přistání na vodě. Letušky rozdaly instrukce k vestám a poloze brace. Tři portugalsky mluvící členky kabinové posádky byly důležité pro cestující, kteří nerozuměli anglicky či francouzsky. Bezpečnostní práce v kabině mezitím pokračovala odděleně od technické diagnózy v kokpitu.
05:54–06:13: pět minut izolace a návrat k netěsné cestě
V 05:54 piloti obrátili logiku napájení: zapnuli pravá čerpadla a vypnuli levá, aby oba motory spotřebovávaly palivo z pravé strany. Tím na zhruba pět minut přestala zdravá levá nádrž napájet únik. Kapitán chtěl využít pravostranné palivo dříve, než se z případně netěsné nádrže ztratí. I tato úvaha vycházela z předpokladu, že pravý motor nemůže být místem poruchy, protože pracoval normálně.
Od 05:57 probíhal pět a půl minuty dlouhý hovor s MCC. Ve 05:59 hlásila posádka přibližně tunu vpravo a 3,2 tuny vlevo. Dotaz technického střediska, zda by problém nemohl být u levého motoru, přiměl kapitána krátce obnovit napájení z levé strany. Výpočty ukazují, že od 05:59 do zhasnutí pravého motoru klesala levá nádrž v průměru o 11,2 tuny za hodinu. Crossfeed zůstal otevřený až do úplného vyčerpání.
V 06:05 posádka stále odhadovala přílet s jednou tunou. O tři minuty později už bylo zřejmé, že ani ostrov nebude dosažitelný na motorový let. V 06:10 bylo na palubě asi 1,0 tuny vlevo a 0,2 vpravo, zatímco k Lajes zbývalo kolem 175 námořních mil. V 06:13:28 zhasl pravý motor. Teprve fyzické zastavení motoru donutilo mentální model počítačové chyby k zásadní revizi.
Co by se stalo bez otevřeného crossfeedu
Vyšetřovatelé případ neponechali v rovině dojmu. Spočítali tři alternativy od okamžiku odklonu v 05:45. Kdyby posádka provedla variantu FUEL LEAK — LEAK FROM ENGINE, dorazila by podle modelu na Lajes s přibližně 5136 kilogramy. Při postupu pro únik mimo motor nebo neurčený únik by zbývalo asi 3785 kilogramů. A kdyby pouze nevyvažovala a nechala crossfeed zavřený, přistála by přibližně s 3854 kilogramy, vše v levém křídle.
Model neříká, že nouze byla snadná nebo že posádka měla před očima budoucí výpočet. Dokazuje však kauzalitu: trhlina sama ještě neznamenala zhasnutí obou motorů. Pravý motor by pravostrannou zásobu ztratil, ale levá větev mohla zůstat izolovaná a levý motor v chodu. Úplné vyčerpání vytvořila kombinace fyzického úniku a způsobu, jakým byl systém během diagnózy propojen.
Zvláštní roli hrálo i 5,5 tuny paliva navíc. Rezerva poskytla reálný čas, zároveň ale prodloužila dobu, po kterou automatické transfery udržovaly zdání běžného rozložení. Další výpočet zprávy ukázal, že bez tohoto paliva by se advisory objevilo o osmnáct minut dříve; při zavřeném crossfeedu by však letoun i tak přistál na Lajes s přibližně 2883 kilogramy. Více paliva tedy nebylo jednoduchým zachráncem ani viníkem. O výsledku rozhodovalo, zda zůstane zdravá strana izolovaná.
HRDINSTVÍ A CHYBA NEJSOU PROTIKLADY
Bez údržbové chyby by únik nevznikl. Bez automatického maskování a slabého varování by mohl být poznán dříve. Bez otevřeného crossfeedu by nejspíš nezhasly oba motory. A bez mimořádného výkonu posádky po jejich zhasnutí by 306 lidí nemuselo přežít. Všechny čtyři věty mohou být pravdivé současně.
06:13: první motor zhasl, ale výška ještě byla zásobou energie
Pravý motor se zastavil v FL390, asi 150 námořních mil od Lajes. Posádka ohlásila poruchu a zahájila sestup; na jediný motor nebylo v této hmotnosti a výšce možné hladinu udržet. Zbývající levý motor dál spaloval poslední stovky kilogramů. V 06:15 piloti hlásili řízení asi 600 kilogramů a ve 06:23 první důstojník vyhlásil Mayday.
Výška nyní nebyla pouze číslem nad mořem. Byla potenciální energií, již bylo možné měnit za vzdálenost a čas. Kapitán dříve odmítal klesnout k gravitačnímu napájení právě proto, aby tuto rezervu neztratil. Toto rozhodnutí nepomohlo zastavit únik, ale po zhasnutí motorů poskytlo materiál pro dlouhý kluz. Bez výšky by nebylo co směnit za posledních 120 kilometrů.
Ve 06:26:15 došlo palivo i levému motoru. Posádka provedla checklist ALL ENG FLAME OUT. Automaticky se vysunula ram-air turbine, malá vrtule v proudu vzduchu. RAT nepoháněla letadlo vpřed. Tlakovala zelenou hydraulickou soustavu a přes ni nouzový generátor, aby zůstaly napájeny nejdůležitější přístroje a část elektricky řízených, hydraulicky ovládaných ploch.
Co po zhasnutí obou motorů zůstalo — a co zmizelo
A330 je fly-by-wire letoun: pohyb sidesticku je elektrickým příkazem počítačům, hydraulika potom pohne plochou. Tři hydraulické okruhy vytvářejí redundanci. Po ztrátě motorů vypadly modrá a žlutá soustava; zelenou držela při životě RAT. Letoun zůstal řiditelný, ale s degradovanými ochranami, omezenější autoritou v podélném řízení a bez elektrického trimu výškovky a směrovky.
Nefungovaly oba autopiloty, většina spoilerů, vztlakové klapky v plném rozsahu, reverzace tahu, řízení příďového kola, normální protiskluzový systém ani běžné brzdění. Posádka měla nouzové brzdy napájené akumulátorem, tedy omezenou zásobu hydraulického tlaku. Příručka upozorňovala, že kvůli omezenému řízení bude třeba zahájit podrovnání dříve a případně použít větší výchylku sidesticku.
Nouzová elektrická konfigurace odpojila i řadu navigačních a záznamových zařízení. Zmizel letový management, část displejů a vysokofrekvenční rádio. CVR a FDR po ztrátě napájení přestaly zapisovat. Posledních devatenáct minut proto nemá stejnou datovou hustotu jako předchozí část letu; přesná dráha byla rekonstruována z radarových a radiových záznamů řízení a z výpovědí posádky.
Při přípravě na přistání posádka aktivovala LAND RECOVERY a vysunula sloty v poloze FLAP 1. Tím se nouzový generátor odpojil a palubní síť přešla na baterie, jejichž přibližná výdrž byla třicet minut. Podvozek a sloty zároveň zvýšily odpor. Každá konfigurace byla kompromisem: bez nich by dosednutí bylo rychlejší, s nimi se zkrátil dolet. Kapitán je potřeboval načasovat tak, aby energii začal utrácet až ve chvíli, kdy měl dráhu jistou.
Kabina po 06:26: blikající světla, kyslíkové masky a změna plánu
Když zhasl druhý motor, běžné osvětlení kabiny začalo kolísat a palubní rozhlas pracoval přerušovaně. Nouzová světla se rozsvítila po výpadku. Přibližně o pět minut později, jak se bez motorového stlačeného vzduchu měnila tlaková výška kabiny, spadly kyslíkové masky. U několika pozic se objevily problémy: pět schránek se neotevřelo a u některých masek nebyl hlášen průtok. Volná místa umožnila lidem použít jiné masky.
Původní příprava počítala s vodou, protože letiště nebylo jisté. První důstojník později oznámil, že letoun přistane na dráze nebo v její blízkosti za pět až sedm minut, a těsně před dosednutím vydal povel k ochranné poloze. Kabinová posádka jej opakovala cestujícím. To není vedlejší epizoda kokpitového výkonu: k úspěšnému výsledku patřilo i to, že třináct členů posádky dokázalo udržet společný plán ve stroji, jehož světla, rozhlas i původní varianta přistání se měnily.
„Brace, brace, brace.“
Devatenáct minut kluzu: nejprve dolet, potom přebytek výšky
Ve 06:31 převzalo let Lajes Approach. A330 byl kolem FL270, přibližně 33 námořních mil severovýchodně od letiště. Bez FMS se piloti opírali o radiomaják, kurzové pokyny a vzdálenosti hlášené řídícím. Na jejich žádost začala dráhová světla blikat. V 06:36:17 posádka oznámila, že je vidí, asi čtrnáct mil východně od letiště.
Kapitán nyní řešil opačný problém než nad oceánem: měl výšky příliš mnoho. Přibližně osm mil před prahem byl stále ve 13 000 stopách. Standardní sestupová rovina o sklonu tři stupně by v této vzdálenosti znamenala jen několik tisíc stop. Pokud by pokračoval přímo, přeletěl by dráhu vysoko; pokud by energii utratil příliš agresivně, mohl skončit krátký bez možnosti přidat tah.
Piché provedl levou zatáčku o 360 stupňů, potom další S-zatáčky na finále. Manévry prodlužovaly dráhu letu a dovolovaly klesat, aniž by se vzdal letiště z dohledu. Současně musel hlídat několik hranic: podvozek se měl vysouvat nejvýše při 200 uzlech, doporučená rychlost přiblížení byla 170 uzlů a RAT potřebovala nejméně přibližně 140 uzlů, aby spolehlivě dodávala energii. Bez motorů už žádnou z těchto hranic nešlo opravit prostým přidáním plynu.
Kapitán na A330 nikdy formálně necvičil klouzavé přiblížení bez obou motorů. Měl však zkušenost s přiblíženími bez tahu na jiných typech. Během kluzu nepoužil mechanický trim; soustředil se na vertikální profil a počítal s pomalejší odezvou řízení. Z pohledu čisté aerodynamiky nebyl Airbus neovladatelný. Z pohledu rozhodování byl každý oblouk jednorázovou sázkou s přesně odměřenou výškou.
„Zvládnutí sestupu a přistání bez motorů bylo za daných okolností pozoruhodné.“
06:45: dvě tvrdá dosednutí a jediná zásoba brzdného tlaku
Airbus překročil práh dráhy 33 rychlostí přibližně 200 uzlů, tedy asi o třicet uzlů nad doporučenou přibližovací hodnotou. První kontakt přišel tvrdě 1030 stop za prahem. Letoun odskočil. Příď se zvedla a kapitán nechtěl dopustit další dlouhé odplutí bez tahu. Při druhém dosednutí, 2800 stop od prahu, proto už neprovedl klasické podrovnání a okamžitě použil a držel maximální nouzové brzdění.
Bez antiskidu se osm hlavních kol zablokovalo. Pneumatiky se během několika stovek stop prodřely a vypustily; kovové disky se brousily o beton až k čepům ložisek. Části kol a brzd poškodily spodní část trupu a gondolu. Z levého podvozku se po zastavení objevily malé požáry, ale záchranné vozy byly rozmístěné u dráhy a ihned je uhasily.
C-GITS se zastavil 7600 stop od začátku desetitisícové dráhy — přibližně po 2316 metrech z dostupných 3048. Zůstal na dráze. Tvrdé dosednutí zvlnilo potah trupu u odtokové hrany křídel a podvozek utrpěl rozsáhlé poškození, ale kabina si zachovala prostor pro přežití. Energie, kterou nešlo odnést reverzem ani spoilery, skončila v pneumatikách, kolech, brzdách a konstrukci, nikoli v překážce za koncem dráhy.
Devadesát sekund k opuštění stroje
Po dosednutí cestující začali tleskat a jásat. Letušky je utišily, aby nezanikl další povel z kokpitu. Deset až dvacet sekund po zastavení kapitán vyhlásil kód EASY VICTOR a zahájil evakuaci. Východ L3 se otevřel jen asi o 20 až 25 centimetrů; jeho skluzavka se zcela neoddělila od dveří. Lidé v této části byli přesměrováni k jiným východům.
Část cestujících se zdráhala odejít a mnoho z nich se pokusilo vzít příruční zavazadla. Paraplegickému cestujícímu v první řadě a staršímu muži v zadní kabině museli členové posádky fyzicky pomoci ke skluzavkám. Přesto byla evakuace podle zprávy dokončena přibližně za devadesát sekund. Při ní utrpělo lehká zranění čtrnáct cestujících a dva členové kabinové posádky; další dva cestující byli zraněni vážně. Nikdo nezemřel.
Úspěšný výsledek proto nelze zúžit na dotyk hlavního podvozku s betonem. Zahrnoval zachovanou konstrukci po tvrdém dosednutí, připravené hasiče, rozhodnutí rychle evakuovat, přesměrování od zablokovaných dveří i pomoc lidem s omezenou pohyblivostí. V letecké bezpečnosti se přežití často vytváří po vrstvách: jedna vrstva nehodě nezabrání, ale další zabrání tomu, aby se z ní stala katastrofa.
Vyšetřování bez posledních devatenácti minut záznamu
Ztráta hlavního elektrického napájení ve 06:26 odpojila FDR i CVR. To nebyla porucha obou zapisovačů, ale vlastnost nouzové elektrické konfigurace. Zpráva upozornila, že při horším výsledku by chybějící data po zhasnutí motorů vážně omezila možnost vysvětlit samotný kluz a přistání. V tomto případě mezeru částečně nahradily záznamy řízení, radarové polohy a výpovědi přeživší posádky.
Dalších devadesát minut hlasového záznamu bylo po nehodě nechtěně přepsáno. Při vykládání zavazadel bylo nutné letoun znovu napájet. Posádka věděla, že má záznam chránit, a vyžádala si radu, které jističe vypnout. Informace byla neúplná; vytažené jističe CVR neodpojily a naopak vyřadily jeho ochranu proti přepisu. Případ tak vytvořil bezpečnostní lekci i po zastavení na dráze: důkaz nelze chránit pouhou obecnou povinností, pokud lidé nemají přesný a dostupný postup.
Přesto byl technický řetězec mimořádně dobře čitelný. Letoun zůstal zachován, trhlina i stopy kontaktu byly přímo k dispozici a z dat do výpadku šlo dopočítat úbytek hmotnosti. Vyšetřovatelé spojili konfiguraci motoru, polohu vedení, rychlost ztráty, automatické transfery, hlášení ECAM a přepínání čerpadel. Nevznikla jedna domněnka o „došlém palivu“, ale minutová rekonstrukce toho, odkud palivo odcházelo a které ventily mu otevřely další cestu.
Verdikt komise: iniciační porucha, přispívající rozhodnutí a výkon, který zachránil životy
Portugalská GPIAA označila za iniciační událost nesladěnou instalaci starší hydraulické a novější palivové trubky. Jejich kontakt palivovou trubku rozlomil. K tomu vedlo neodhalení konfigurace při převzetí a plánování motoru, spoléhání na ústní radu místo dostupného servisního bulletinu a kontrola, jejíž rozsah neověřoval právě vzniklou nesrovnalost.
V provozní části zpráva uzavřela, že posádka situaci před zásahem správně nevyhodnotila, provedla vyvažovací postup zpaměti a přivedla palivo z levých nádrží k úniku v pravém motoru. Neprovedení postupu FUEL LEAK označila za klíčový faktor úplného vyčerpání. Zároveň ale mezi rizika výslovně zařadila absenci jasného varování, slabou nápadnost upozornění v checklistu, chybějící výcvik a automatický transfer, který únik maskoval.
A tentýž dokument hodnotí kapitánovo zvládnutí nočního kluzu jako pozoruhodné a uvádí, že jeho dovednost odvrátila katastrofickou nehodu a zachránila životy. První důstojník podle komise poskytoval při kluzu a přistání plnou a účinnou podporu. Není to rozpor vyšetřování. Je to jeho podstata: hodnotí rozhodnutí podle jejich účinku, nikoli člověka jednou nálepkou pro celý let.
Co se změnilo: od kontroly trubek k novému palivovému varování
Transport Canada bezprostředně pozastavil Air Transat oprávnění ETOPS pro A330, zahájil mimořádný audit a nařídil prohlídky. Dopravce musel omezit tratě a posádky prošly zvláštním školením o palivu, odklonech a letech s prodlouženou vzdáleností od náhradních letišť. Air Transat později začlenil scénáře úniku do počátečního i opakovacího výcviku, sjednotil kontrolu paliva na traťových bodech a posílil kvalitu údržby i výcvik lidských faktorů.
Airbus pět dní po nehodě vydal všem provozovatelům A330 s motory Rolls-Royce Trent 700 pokyn k jednorázové vizuální kontrole vůle mezi palivovým a hydraulickým vedením. Rolls-Royce zpřesnil technickou dokumentaci a úpravy sestavy. Smyslem nebylo pouze zabránit stejné trubce ve stejném místě. Bylo nutné zajistit, aby motor s jiným stavem servisních bulletinů nebyl považován za výměnný celek bez kontroly konfigurace.
Francouzský úřad DGAC nařídil změnu postupu pro únik paliva na A330. Airbus připravil modifikaci aktivující hlášení FUEL FU/FOB DISCREPANCY, které porovnává počáteční množství se součtem paliva na palubě a paliva spotřebovaného motory; rozdíl nad 3500 kilogramů má posádku varovat před významnou ztrátou. Americká FAA později nařídila revidované postupy pro A330 a A340. Dnešní lekce tedy není „počítač všechno vyřešil“, ale že rozhraní dostalo přesnější otázku: kam se poděla hmota, kterou motory nevykázaly jako spotřebovanou?
Vyšetřovatelé doporučili také výcvik rozpoznání úniku, přezkum automatických transferů, sloučení či výraznější propojení postupů FUEL IMBALANCE a FUEL LEAK a ochranu zapisovačů. Každé opatření odpovídá jiné slabině řetězce: hardware brání kontaktu, konfigurace brání nesprávné kombinaci dílů, výstraha zviditelňuje trend, checklist chrání před rutinou, simulátor dává posádce zkušenost a přesný postup po nehodě chrání data.
Pět zkratek, které případ zkreslují
1. „Letadlu prostě došlo palivo.“ — Palivo nejprve unikalo prasklou trubkou a úplně došlo až poté, co crossfeed zpřístupnil úniku i levou zásobu.
2. „Posádka přečerpala palivo do děravé nádrže.“ — Crossfeed nepřeléval mezi nádržemi; propojil napájecí větve, takže pravý motor a trhlina mohly čerpat zleva.
3. „Počítač ukazoval špatné množství.“ — Množství bylo v zásadě pravdivé. Systém však neukázal srozumitelný trend ani jednoznačnou kritickou výstrahu na únik.
4. „Piloti byli buď hrdinové, nebo viníci.“ — Jejich rozhodnutí před zhasnutím motorů nouzi zhoršilo; jejich výkon po zhasnutí motorů zachránil 306 lidí.
5. „Od první trhliny byl let odsouzen.“ — Výpočty komise ukázaly, že s izolovanou levou stranou mohl A330 na Lajes přistát s levým motorem v chodu a několika tunami paliva.
Autorská syntéza: stroj může ukazovat pravdu, a přesto ji nesdělit
Let 236 bývá řazen mezi zázračná přistání. Takové označení oceňuje konec, ale zatemňuje mechanismus. Nešlo o náhlou dvojitou poruchu motorů, proti níž nemohl nikdo nic udělat. Dvě hodiny před zastavením na dráze se na letadle postupně rozevírala trhlina. Systém měřil ubývající palivo, automatika jej přesouvala, piloti četli hodnoty a technici na zemi přijímali další čísla. Informace existovala po částech, ale nebyla složena do včasného významu.
První hluboká lekce proto patří pozorovatelnosti. Přesné digitální číslo není totéž co srozumitelné varování. Pokud člověk musí pod tlakem ručně odečítat starší stav, přičítat spotřebu, rozpoznat neplánovaný transfer a teprve z rozdílu odvodit trhlinu ukrytou za motorovým měřidlem, systém mu neposkytuje diagnózu — poskytuje suroviny. Bezpečné rozhraní musí ukázat nejen stav, ale i porušení fyzikální bilance.
Druhá lekce patří rutině. Postup pro nerovnováhu byl v paměti snadno dostupný, protože byl jednoduchý a známý. Postup pro únik byl v příručce, ale nikoli ve zkušenosti; posádka jej nikdy necvičila. Ve stresu lidé nesahají automaticky po nejvhodnějším postupu, nýbrž po nejdostupnějším vzorci. Checklist proto není byrokracie, která zkušeného pilota zpomaluje. Je to protiváha paměti právě ve chvíli, kdy známý vzorec může patřit jinému problému.
Třetí lekce se týká odpovědnosti bez karikatury. Mechanici neinstalovali náhodné díly; řešili reálnou kolizi, ale bez dokumentu, který určoval celou sadu. Piloti neignorovali prázdné nádrže; nedokázali uvěřit rychlosti ztráty, pro niž chyběla potvrzující výstraha a výcvik. Tato vysvětlení jejich rozhodnutí neomlouvají ani nemažou. Umožňují však navrhnout obrany, které fungují i pro dalšího normálního člověka pod stejným tlakem.
A poslední lekce je nepohodlně lidská: člověk může během jedné události udělat zásadní chybu a o několik minut později podat mimořádný výkon. Bez otevřeného crossfeedu by se A330 pravděpodobně nestal kluzákem. Bez Pichého řízení a de Jagerovy podpory by se kluzák pravděpodobně nedostal na dráhu. Bez kabinové posádky a připravených hasičů by samotné dosednutí nemuselo znamenat přežití všech.
Když se ve 06:45 kovové disky brousily o beton Lajes, neuzavíral se příběh jednoho hrdiny ani jedné chyby. Uzavíral se řetězec, v němž se fyzická kompatibilita, přístup k dokumentaci, automatika, lidská diagnóza, aerodynamika a práce kabiny navzájem násobily. Bezpečnostní hodnota letu 236 spočívá právě v tom, že žádný z těchto článků nelze vynechat — ani ten, který palivo ztratil, ani ten, který 306 lidí dopravil na zem.
Poznámka k rekonstrukci
Text vychází především ze závěrečné zprávy portugalské GPIAA 22/ACCID/GPIAA/2001 z 18. října 2004 a z oficiální případové studie FAA. Všechny časy jsou UTC. Zpráva některé okamžiky zaokrouhluje: pravý motor podle detailní analýzy zhasl v 06:13:28 a levý v 06:26:15, zatímco souhrn pracuje s celými minutami. Vzdálenost při zhasnutí druhého motoru se v podkladech odvozuje z různých radarových a situačních bodů; text používá souhrnných 65 námořních mil, tedy přibližně 120 kilometrů.
Údaje o rozložení paliva mezi křídly a poloze čerpadel nejsou v DFDR zaznamenány přímo. Vyšetřovatelé je dopočítali z hmotnosti letadla, prahů jednotlivých ECAM hlášení, rádiové komunikace a stavu ovladačů po přistání. Po zhasnutí druhého motoru přestaly FDR a CVR dostávat proud; časová osa závěrečného kluzu proto stojí hlavně na záznamech ATS a výpovědích. Text označuje tyto rekonstrukční hranice a nedoplňuje chybějící dialogy dramatizací.
Zdroje
GPIAA — Final Investigation Report 22/ACCID/GPIAA/2001 — primární závěrečná zpráva k C-GITS; veřejná čitelná kopie 104 stran, zveřejněná se svolením portugalského vyšetřovacího úřadu
FAA Lessons Learned — Air Transat TSC236, Airbus A330-243 C-GITS — oficiální případová studie FAA; technický průběh, lidské faktory, zjištění a následná opatření
EASA Safety Publications Tool — AD F-2002-548R2 — oficiální záznam evropské směrnice k revidovanému postupu pro únik paliva na A330
EASA Safety Publications Tool — AD F-2005-195 — oficiální navazující směrnice nahrazující předchozí francouzské opatření
FAA — Airworthiness Directive 2006-02-01 — oficiálně publikovaná povinnost revidovaných postupů při úniku paliva pro Airbus A330 a A340
