Článek
Ve 06:47:27 UTC začaly nad Egejským mořem klesat otáčky levého motoru. O dvaadvacet sekund později se ustálily na pouhých 25 procentech: motor CFM56 už nevytvářel použitelný tah. Boeing 737-800 registrace OK-TVO byl dvacet minut po startu ze Samosu v hladině FL360, přibližně jedenáct kilometrů nad mořem. Na palubě sedělo 170 cestujících a pracovalo šest členů posádky. Druhý motor zůstal v chodu, letoun byl ovladatelný a nikdo se nezranil.
Tím však příběh teprve začal. Posádka sestoupila, dvakrát se pokusila levý motor spustit a po druhém neúspěchu měla podle nouzového checklistu naplánovat přistání na nejbližším vhodném letišti. Vyšetřovací komise později označila jako vhodné Kavalu, Sofii a Bělehrad. Kapitán místo toho pokračoval přes několik států až do Prahy. Od ztráty tahu do dosednutí uplynuly 2 hodiny 18 minut a 59 sekund — zaokrouhleně 139 minut letu na jediný motor.
Závěrečná zpráva Ústavu pro odborné zjišťování příčin leteckých nehod neurčila jako příčinu vážného incidentu samotné rozpadlé palivové čerpadlo. Za příčinu označila chybný rozhodovací proces velitele po ztrátě pohonné jednotky, který nebyl v souladu s povinnými postupy QRH a FCTM. Podle komise byl ohrožen let QS1125 a současně snížena bezpečnost okolního provozu. Let tedy skončil bezpečně. Z toho ale nelze zpětně vyrobit důkaz, že bezpečný byl i způsob, jakým se k přistání dospělo.
Právě zde se případ vzdaluje titulkové zkratce „letadlo letělo na jeden motor“. Dopravní Boeing musí ztrátu jednoho motoru zvládnout; jeho výcvik, výkonové výpočty i nouzové postupy s ní počítají. Spor se vede o něco jiného: jak dlouho smí posádka vystavovat letoun neznámé závadě, proč řídící v pěti zahraničních vzdušných prostorech neznali její povahu, proč se druhý pilot nedokázal prosadit a proč se palivová jistota smrskla na rezervu vypočtenou pro jiný, dvoumotorový režim.
PŘÍPAD V ČÍSLECH
22. srpna 2019 · Smartwings QS1125 / radiový volací znak TVS4MP · Samos–Praha · Boeing 737-800, OK-TVO · 170 cestujících + 6 členů posádky · 139 minut s jedním pracujícím motorem · 0 zraněných.
Před Samosem: první varování už bylo zapsané v technickém deníku
OK-TVO nebyl zanedbaný nebo nezpůsobilý letoun. Boeing výrobního čísla 32360 pocházel z roku 2002, měl platné osvědčení letové způsobilosti a údržbu prováděla oprávněná organizace podle Part-145. Na obou křídlech nesl motory řady CFM56-7. Právě levý motor ale před incidentním letem vyslal signál, který se později ukázal jako začátek téže technické poruchy.
V záznamu závad DL 107847 byla uvedena přibližně 1,5procentní odchylka otáček N1 levého motoru proti pravému při spouštění a stoupání. Technici mimo jiné vyměnili palivový filtr a letoun se vrátil do provozu. Závěrečná zpráva neříká, že by údržba byla neautorizovaná; říká něco technicky důležitějšího: zjištěné poškození dovoluje usuzovat, že porucha palivové soustavy začala už před letem, při němž motor zhasl.
Filtr je v takovém příběhu zrádný svědek. Když zachytí nečistoty, může jejich odstranění obnovit průtok, ale ještě nevysvětluje, odkud se částice vzaly. Vyšetřování později našlo v hlavním filtru přes sto kovových úlomků velkých 1 až 10 milimetrů a v jemnějším filtru palivových trysek další více než stovku částic o velikosti 0,5 až 1,5 milimetru. Výměna filtru odstranila zachycený projev. Zdroj — mechanicky se ničící čerpadlo — zůstal v systému.
Smartwings po incidentu mezi interní nápravná opatření zařadil požadavek provést motorovou zkoušku po zápisu pilota o nedostatečné odezvě nebo výkonu motoru. To je přesná institucionální lekce tohoto předletového dějství: opakovaná odchylka výkonu není jen číslo k vynulování výměnou spotřebního dílu. Je to stopa, jejíž původ musí být uzavřen dříve, než se uzavře technický deník.
06:26:57 — vzlet z krátké dráhy, rozdíl v tahu znovu před očima
Posádka toho rána nejprve letěla s OK-TVO z Prahy na Samos. Záznam zpátečního letu začal v 06:21 UTC; na řeckém ostrově bylo o tři hodiny více. Samos je letiště kategorie C s dráhou dlouhou 2 100 metrů a náročným okolním terénem. Pro odlet z dráhy 09 bylo počasí CAVOK, vítr 020 stupňů o sedmi uzlech. Hmotnost při vzletu činila 66,7 tuny a klapky byly v poloze 25.
Tah byl nastaven na redukovaných 88,63 procenta N1. Letová data ukázala, že se otáčky obou motorů během rozjezdu lišily o více než 1,5 procenta. Oba piloti později uvedli, že parametry vnímali jako stejné nebo téměř stejné. Kapitán, který plnil roli monitorujícího pilota, ohlásil „thrust set“. Při startu vnímal kolísání levého motoru, připsal je však bočnímu větru; atypický pohyb letadla spojil s obvyklým střihem větru na Samosu.
Komise tuto chvíli nečetla jen jako předzvěst pozdějšího zhasnutí. Vypočtená vzdálenost pro přerušení vzletu při poruše motoru ponechávala na dráze rezervu pouhých 122 metrů. Kdyby v kritické fázi selhal pravý motor a levý současně podával o 1,5 procenta nižší výkon, vstupní předpoklady pro rychlosti a brzdnou dráhu by přestaly odpovídat skutečnosti. Motor nezhasl na dráze, ale už tady se ukázalo, proč i malý rozdíl výkonu patří do rozhodování, nikoli do kategorie kosmetických odchylek.
Rekonstrukce po sekundách a minutách: od FL360 k zastavení v Praze
Všechny časy v následující ose jsou UTC. Samos měl místní čas UTC+3, Praha UTC+2. Údaje na sekundy vycházejí z DFDAU/FDR a z přepisů řízení letového provozu v závěrečné zprávě ÚZPLN.
06:26:57 — rotace při vzletu z dráhy 09 na Samosu; hmotnost 66,7 tuny. Rozdíl N1 obou motorů je větší než 1,5 procenta.
06:30:56 — OK-TVO stoupá přes FL100 rychlostí 299 uzlů. Let pokračuje bez zjevné mimořádnosti.
06:46:22 — letoun dosahuje FL360. Tah se krátce stabilizuje přibližně na 88 procentech N1.
06:47:27 — otáčky levého motoru č. 1 začínají klesat. Automatika reaguje křidélky na vznikající asymetrii; první důstojník téměř okamžitě přidává směrovku.
06:47:49 — N1 levého motoru se ustaluje na 25 procentech. Motor zhasl a neposkytuje použitelný tah.
06:49:26 — po téměř dvou minutách v FL360 posádka nastavuje FL240 a zahajuje klesání; řídícím oznamuje „technický problém“, nikoli selhání motoru ani PAN PAN.
06:49:31 — rychlost klesá na minimum 226 KIAS, Mach 0,689. Letoun váží přibližně 64,7 tuny.
06:50:02 — je ustavena vypočtená rychlost pro klesání s nepracujícím motorem 244 KIAS.
06:56:39 až 07:05:04 — posádka zrychluje na zhruba 310 uzlů, aby proud vzduchu roztáčel motor pro první, takzvaný windmill restart. V FL241 přesouvá spouštěcí páku do IDLE; pokus selže.
07:05:18 — OK-TVO se ustaluje v FL240 s hmotností 64,2 tuny. Podle pozdějšího výpočtu komise byla pro dlouhý ekonomický let na jeden motor reálně použitelnější FL220.
07:07:45 až 07:08:56 — druhý pokus využívá stlačený vzduch z pravého motoru, tedy crossbleed start. Také selže; levý motor zůstává až do přistání vypnutý.
07:20 — provozní středisko Smartwings dostává přes ACARS zprávu o vypnutém motoru, pokračování v letu a možné palivové nejistotě. Ve hře jsou Budapešť a Brno; středisko později preferuje Budapešť.
08:39:29 — teprve po vstupu do českého FIR posádka vyhlašuje PAN PAN, oznamuje provoz na jeden motor a žádá zkratku.
08:49:05 — začíná klesání z FL240 do FL170. Praha připravuje místní pohotovost.
09:01:47 až 09:03:26 — klapky postupně 1, 5 a 15; v 09:03:18 jde podvozek dolů. Závěrečné přiblížení je stabilní.
09:06:26 — hlavní podvozek dosedá na dráhu 06 v Praze. Hmotnost 59,8 tuny, palivo 2 435 kilogramů.
09:09:27 — po vyjetí z dráhy a zastavení je vypnut pravý motor. Jednomotorová etapa trvala 2:18:59.
Boeing 737-800 registrace OK-TVO na pražském letišti dva měsíce po incidentu.
První dvě minuty: letoun ztrácel rychlost, ale řídící nedostali slovo, které mění prioritu
Ve FL360 je vzduch řídký a jednomotorový výkon těžkého Boeingu omezený. Jakmile levý motor zhasl, autopilot začal korigovat náklon a první důstojník jako pilot letící přidal směrovku proti asymetrickému tahu. Základní úloha byla jasná: zachovat ovladatelnost, nastavit výkon živého motoru a klesnout k výšce, kterou lze dlouhodobě udržet.
První důstojník podle své výpovědi sledoval klesající rychlost a naléhal na okamžitý sestup. Byl připraven odchýlit letoun od trati, pokud povolení nepřijde. Kapitán se několikrát pokoušel navázat spojení, ale místo urgentního volání použil formulace „maintenance issue“ a poté „technical problem“. Zpráva popisuje, že komunikace se zdržela a rychlost klesla až na 226 KIAS.
PAN PAN není dramatické přiznání, že letadlo padá. V letecké frazeologii označuje naléhavý stav: bezpečnost budí obavu a posádka potřebuje včasnou, byť ne bezprostřední záchrannou pomoc. Řídící díky němu může chránit frekvenci, dát zprávě prioritu, uvolnit hladinu, nabídnout nejkratší trať, odklonit ostatní provoz a začít připravovat letiště. MAYDAY patří až stavu tísně s vážným a bezprostředním nebezpečím.
Nevyslovení PAN PAN tedy nebylo jen stylistickou volbou. Informace o ztrátě tahu chyběla systému, který měl posádce pomoci. Kapitán vyšetřovatelům řekl, že nepředpokládal větší ochotu ATC po vyhlášení naléhavosti a že nerad sděluje konkrétní závadu na frekvenci. Komise tento úsudek odmítla: právě konkrétní změna výkonových možností je pro bezpečné rozstupy a předávání mezi sektory podstatná.
Dva pokusy o restart nebyly formalita. Rozdělily incident na dvě fáze
Po zhasnutí motoru ještě nebylo jisté, zda je porucha trvalá. Posádka použila postup Engine In-Flight Start. Pro první pokus potřebovala zrychlit přibližně na 310 uzlů, aby proud vzduchu roztáčel kompresor — odtud označení windmill. V 07:05:04 byla v FL241 spouštěcí páka levého motoru přesunuta do IDLE, ale otáčky a spalování se neobnovily. O 69 sekund později se páka vrátila do CUTOFF.
Druhý pokus v 07:07:45 použil crossbleed: stlačený vzduch z funkčního pravého motoru měl roztočit startér levého. Ani tentokrát motor nenaskočil. V 07:08:56 byla jeho páka přepnuta do CUTOFF pro zbytek letu. V této chvíli už posádka neřešila přechodný výpadek s nadějí na návrat ke dvěma motorům. Měla potvrzenou trvalou ztrátu poloviny pohonu pro celé další rozhodovací období.
A právě zde končil nouzový checklist větou, která se stala osou vyšetřování: naplánovat přistání na nejbližším vhodném letišti. Komise uvedla, že bod 10 nebyl dokončen. Checklist tedy nelze považovat za splněný jen proto, že byly provedeny technické úkony vypnutí a restartu. Jeho poslední řádek nebyl poznámkou pod čarou; určoval strategii po nezdařeném obnovení motoru.
„Bylo to moje rozhodnutí.“
„Nejbližší vhodné“ není bod na mapě. Je to nejkratší cesta k bezpečně ukončenému letu
Slovo vhodné dává veliteli prostor k odbornému úsudku. Geograficky nejbližší letiště může mít krátkou dráhu, špatné počasí, nevhodný terén, nedostatečné záchranné zajištění nebo přiblížení, které je s danou poruchou horší než o něco vzdálenější alternativa. Proto obecný evropský předpis nemůže mechanicky přikázat vždy první letiště pod křídlem. EASA v prvních dnech případu právě tuto obecnou skutečnost připomínala.
Z obecné volnosti ale neplyne, že cílové letiště vzdálené přes dvě hodiny je automaticky „vhodné“, pokud na něj letoun výkonově doletí. V konkrétním provozu Smartwings byly podle ÚZPLN postupy výrobce převzaté do schválených příruček závazné. QRH i FCTM směřovaly posádku k co nejčasnějšímu ukončení letu. Komise po druhém neúspěšném restartu identifikovala tři vhodné možnosti: Kavalu v Řecku, Sofii v Bulharsku a Bělehrad v Srbsku.
To je podstatné i proti opačnému zjednodušení: vyšetřovatelé neřekli, že kapitán musel za každou cenu otočit na Samos nebo přistát v Athénách. Hodnotili letiště dostupná po potvrzení trvalé poruchy a výslovně vyjmenovali Kavalu, Sofii a Bělehrad. Praha v tomto seznamu nebyla. Rozhodujícím měřítkem není počet kilometrů na navigačním displeji, ale čas, po který zůstává letadlo vystaveno provozu s jedinou zbývající pohonnou jednotkou a neznámou příčinou první poruchy.
Kapitán ve výpovědi zmiňoval vybavení, počasí a vlastnosti letiště. Soluň vyloučil, Bělehrad podle něj ležel dole vpravo od trati a Vídeň odmítl kvůli hustému provozu. Provozní středisko po zprávě ACARS zvažovalo Budapešť a Brno a jako provozně vhodnější doporučilo Budapešť. Kapitán však následně oznámil, že to do Prahy zvládne. Strom možností se tak s každou minutou nezmenšoval podle nouzového postupu; byl udržován otevřený až k původnímu cíli.
Proč Boeing 737 na jeden motor nespadne — a proč se přesto přistává co nejdříve
Dvoumotorová dopravní letadla jsou navržena a certifikována tak, aby po ztrátě jednoho motoru zůstala ovladatelná a mohla bezpečně pokračovat k přistání. Piloti tuto situaci pravidelně cvičí v simulátoru. Funkční motor má dostatečný tah, ale jeho síla působí mimo podélnou osu, takže letoun stáčí. Směrovka, mírný náklon a správná rychlost asymetrii vyrovnávají. Část systémů má záložní napájení nebo je schopna pracovat z druhé strany.
To však není totéž jako běžný let se dvěma motory. Stroj má horší stoupavost, nižší dostup, větší odpor nepracujícího motoru a menší výkonovou rezervu. Živý motor pracuje blíž maximálnímu trvalému tahu. Případný další technický problém, zhoršení počasí, přerušené přiblížení nebo nutnost přeletět na náhradní letiště má dražší cenu v palivu i možnostech. Zbývající motor už nemá partnera, který by převzal práci.
Ve FL360 začala po zhasnutí motoru rychlost klesat, protože letoun v této výšce nemohl v dané hmotnosti udržet ustálený let s jedním motorem. Posádka sestoupila do FL240. Komise z tabulek QRH dopočítala, že při hmotnosti kolem 64,1 tuny a tehdejší teplotní odchylce vycházela maximální použitelná hladina pro dlouhý jednomotorový let přibližně na 22 788 stop — tedy nejbližší použitelná cestovní hladina FL220, nikoli FL240.
K udržení FL240 bylo proto nutné asi sedm minut používat maximální trvalý tah, než se rychlost přestala snižovat. To není důkaz, že letoun byl v nekontrolovatelném pádu. Je to důkaz, že posádka zvolila horní okraj výkonové obálky a musela jej zaplatit vyšším zatížením živého motoru. V nouzi se přitom bezpečnost nestaví na otázce, zda stroj právě teď ještě letí. Staví se na tom, kolik nezávislých možností zbývá, pokud se situace zhorší.
V debatě se objevovalo i slovo ETOPS. To je ale především předletový rámec pro plánování tras dvoumotorových letadel v určité vzdálenosti od vhodných letišť, nikoli povolenka po poruše ignorovat nouzový checklist. Kapitán věděl, že konkrétní provoz nesplňuje ETOPS požadavky, zároveň uvedl, že Boeing pro daný dolet nestanoví omezení. Vyšetřovací závěr se však neopírá o teoretickou schopnost motoru pracovat další hodiny. Opírá se o závazný pokyn ukončit mimořádný stav přistáním na nejbližším vhodném letišti.
Pět zahraničních vzdušných prostorů slyšelo jen „technický problém“
Let po sestupu pokračoval přes řecký, severomakedonský, srbský, maďarský a rakouský vzdušný prostor. Předávající řídící si mezi sebou sdělovali, že TVS4MP klesl kvůli technickému problému a chce pokračovat v FL240 do cíle. Záznamy shromážděné vyšetřovateli však neprokázaly, že by kterýkoli z těchto zahraničních oblastních dispečinků dostal informaci o skutečném vysazení motoru. Maďarský bezpečnostní úřad výslovně potvrdil, že ACC o poruše motoru informováno nebylo.
Ticho neměnilo okamžitou schopnost letadla letět, měnilo však připravenost všech kolem něj. Řídící nemohli plně posoudit výkonnostní omezení v RVSM prostoru, nabídnout prioritu odpovídající riziku ani připravit navazující sektory na rychlou změnu plánu. Ostatní posádky na frekvenci netušily, že letoun, kterému mohou být přiděleny stejné hladiny a křížení, má omezený výkon a jen jedinou pohonnou rezervu.
V 08:39:29, už v českém FIR, kapitán konečně vyhlásil PAN PAN, oznámil provoz na jeden motor a požádal o zkratku. Řídící si urgentní volání nechal zopakovat a poté s ním pracoval jako s naléhavou situací. O třináct minut později se dotázal, zda má být vyhlášena místní pohotovost, plná pohotovost nebo zda posádka potřebuje jinou asistenci. Kapitán odpověděl, že pomoc nepotřebuje, letoun je stabilní a dráhu normálně uvolní. Letiště přesto místní pohotovost aktivovalo.
PAN PAN vyslovené u Prahy ukázalo, že posádka význam tohoto signálu znala a použít jej uměla. Právě proto je předchozích bezmála 112 minut od poruchy do vyhlášení tak těžké vysvětlit pouhým nedorozuměním. Naléhavost není odměna za zhoršení situace těsně před cílem. Je to společný jazyk, který má zkrátit dobu mezi vznikem omezení a reakcí celého bezpečnostního systému.
Kokpit: zkušenost na jedné sedačce, pochybnost na druhé
Kapitánovi bylo 53 let. Měl nalétáno 20 980 hodin, z toho přes 8 065 na typu Boeing 737, a ve společnosti zastával také pozici flight managera; byl instruktorem a examinátorem. Prvnímu důstojníkovi bylo 35 let, měl 3 400 hodin celkem a 2 488 na typu. Kapitán byl pilotem monitorujícím, první důstojník pilotem letícím. Oba byli odpočatí: před letem měli 27 hodin 18 minut a 24 hodin volna. Únava proto nevysvětluje, co následovalo.
Rozdíl zkušeností sám o sobě není problém. Kokpit je záměrně hierarchický, protože v kritickém okamžiku musí někdo nést konečné rozhodnutí. Moderní CRM ale současně vytváří protiváhu: druhý pilot má nejen právo, nýbrž povinnost upozornit na odchylku, zpochybnit chybný plán a při krajní situaci převzít iniciativu. Autorita má rozhodování zrychlit, nikoli uzavřít přístup důkazům.
První důstojník podle zprávy při poklesu rychlosti opakovaně žádal sestup. Později kapitána vracel k bodu 10 nouzového checklistu a považoval pokračování do Prahy za nelogické. Kapitán provedl vlastní výpočet paliva, ale kolegovi neukázal postup ani mezivýsledky; sdělil mu jen závěr, že doletí. První důstojník už rozhodnutí dál nenapadal, protože nechtěl zhoršit spolupráci nutnou k dokončení letu.
„Vnitřně jsem s tím rozhodnutím nesouhlasil.“
Interní hodnocení CRM, které komise převzala, označilo velitelský gradient za mimořádně vysoký. Kapitánovo průměrné hodnocení se na pětibodové stupnici pohybovalo jen mezi 1,26 a 1,43; spolupráce během události byla klasifikována jako velmi špatná. Není to popis mlčícího kopilota. První důstojník odpor opakovaně projevil, prosadil alespoň pozdější vyhlášení PAN PAN a fyzicky letadlo bezpečně pilotoval. Selhání spočívalo v tom, že jeho odborné námitky neměly v konečném rozhodnutí odpovídající váhu.
„Podle mě je pokyn v QRH závazný.“
Tady se autorita stala skrytým technickým faktorem. Stejně jako zanesený ventil omezil průtok paliva, vysoký velitelský gradient omezil průtok informací. Kapitán měl v kokpitu nejvíc hodin, vyšší funkci i poslední slovo. Když však kontrola jeho výpočtu neproběhla mezi dvěma lidmi, posádka přišla o jednu z nejlevnějších bezpečnostních pojistek: nezávislé ověření.
Kabina cítila, že se něco změnilo. Cestující se skutečnou závadu nedozvěděli
Vedoucí kabiny během servisu zaznamenala neobvyklé houpání letadla, práci přerušila a zavolala do kokpitu. Nejprve dostala informaci, že piloti právě řeší technický problém. Po dvojím zvukovém signálu přišla dopředu a kapitán jí sdělil, že jeden motor ztratili, nepodařilo se jej znovu spustit, ale hodlají pokračovat. Zeptala se, zda má připravit kabinu na evakuaci; odpověď byla záporná.
V průběhu letu se dozvěděla, že zatím není jisté, zda palivo vystačí do Prahy, a že se zvažují Budapešť nebo Brno. Přibližně 45 minut před přistáním dostala zprávu, že paliva bude dost. Kabinová posádka byla připravena reagovat, ale nebyla vedena k mimořádné přípravě přistání. Motor nebyl kontrolován pohledem z oken kabiny, aby si cestující nevšimli, že neběží.
Kapitán se s prvním důstojníkem a vedoucí kabiny shodl, že cestujícím sdělí pouze klesání z technických důvodů; poruchu motoru neoznámí, aby nevznikla panika. Cestující podle pozdějšího svědectví situaci skutečně nepoznali a přistání proběhlo normálně. Z pohledu komfortu komunikace plán fungoval. Z pohledu nouzové připravenosti ale kabina nemohla rozumět plnému rizikovému obrazu, který byl sám v kokpitu neuzavřený.
Není automatickým pravidlem, že cestující musí dostat technickou diagnózu okamžitě a do detailu. Piloti mají chránit klid v kabině a nezahltit ji informacemi. Rozdíl je mezi zadržením detailu během pracovního zatížení a dlouhodobým udržováním dojmu běžného letu, když plán přistání, palivo i jediný motor nesou zvýšené riziko. Informace pro cestující není jen právo vědět; v krajním případě určuje, zda jsou lidé mentálně připraveni poslouchat pokyny při rychlé změně situace.
Palivo: nikoli 23 kilogramů od prázdna, ale 23 kilogramů nad nesrovnatelnou rezervou
Letoun vezl palivo pro celou rotaci Praha–Samos–Praha. Kapitán nechal naplánovat 15 500 kilogramů, aby nebylo nutné tankovat na Samosu. Po prvním úseku a vypnutí motorů zůstalo 9 460 kilogramů, téměř přesně podle plánu. Pro zpáteční dvoumotorový let bylo vypočteno 9 217 kilogramů; při vzletu ze Samosu ukazovaly nádrže 9 310 kilogramů.
Při dosednutí v Praze zůstalo 2 435 kilogramů a po vypnutí pravého motoru 2 340. Často opakovaná věta, že letadlo přistálo s „rezervou 23 kilogramů“, je bez vysvětlení zavádějící. V nádržích nebylo 23 kilogramů a stroj nebyl několik sekund od vyschnutí. Rozdíl 23 kilogramů vznikl porovnáním skutečných 2 435 kilogramů při dosednutí s hodnotou FMS RES 2 412 kilogramů — balíkem určeným pro let na náhradní letiště a konečnou rezervu.
Tato hodnota se skládala přibližně z 1 328 kilogramů pro přelet na náhradní letiště a 1 083 kilogramů konečné rezervy; rozdíl jednoho kilogramu v součtu je dán hodnotami převzatými a zaokrouhlenými ve zprávě. Problém nebyl prázdný tank, nýbrž kompatibilita výpočtu. FMS pracoval s předpoklady běžného dvoumotorového výkonu, zatímco QRH po ztrátě motoru výslovně zakazoval používat jeho výkonové predikce a vyžadoval konzervativní výpočet z tabulek Engine Inoperative.
V operačním plánu nebyl záznam, který by doložil průběžný správný jednomotorový výpočet paliva pro zvolené letiště. Kapitán provedl tři kontroly množství a kolegovi sdělil výsledek, nikoli metodu. Komise dospěla k závěru, že systematický výpočet podle QRH by vedl buď k dřívějšímu preventivnímu přistání, nebo k formálnímu zrušení náhradního letiště. Pokračovat do Prahy a současně zachovat papírovou alternativu nebylo podloženo stejnou fyzikou, podle níž letoun skutečně letěl.
Vyšetřovatelé modelovali i případ, že by Praha nebyla použitelná a bylo nutné pokračovat na Drážďany. Jednomotorové stoupání, vyšší odpor a maximální trvalý tah pravého motoru by spotřebovaly více než dvoumotorový plán. Letoun by mohl začít čerpat konečnou rezervu ještě před dosažením náhradního letiště a posádka by musela vyhlásit MAYDAY FUEL. Nic takového se nestalo. Smyslem rezervy ale není oslavit, že se nejhorší varianta neuskutečnila; je předem zaplatit možnost, že se uskuteční.
Kapitán navíc neznal příčinu zhasnutí. Ačkoli se později ukázalo mechanické ničení čerpadla levého motoru, ve vzduchu nešlo vyloučit kontaminované palivo nebo jinou společnou příčinu, která by mohla zasáhnout i motor pravý. Druhý motor pracoval bez závady a dovedl letadlo do Prahy. Přítomnost funkčního motoru však neruší nejistotu; pouze poskytuje čas, který má posádka využít ke zkrácení expozice.
Co se uvnitř levého motoru skutečně stalo
Po přistání byly části palivové soustavy motoru výrobního čísla 888760 odeslány k odbornému rozebrání. Hlavní palivové čerpadlo běželo bez paliva, které za normálních okolností současně maže jeho pohyblivé části. Suché tření zvýšilo teplotu, obrousilo oběžné kolo a plášť a místy zanechalo stopy nataveného kovu i částečného přivaření rotující části ke stěně.
Vzniklé špony a úlomky se roznesly dál. Hlavní filtr zachytil přes sto kusů hliníkových slitin o velikosti až jednoho centimetru. Filtr trysek obsahoval přes sto menších částic slitin mědi, cínu a olova. Hydromechanická jednotka HMU byla kovem silně kontaminovaná; její tlakový a uzavírací ventil uvízl v zavřené poloze a šel obtížně vyjmout. Palivová cesta se přerušila a plamen v motoru zhasl.
Příčina technického výpadku tedy nebyla „špinavé palivo“ v běžném smyslu. Kovové částice si palivová soustava z velké části vyrobila sama, když čerpadlo pracovalo nasucho. Filtry nebyly původcem poruchy, nýbrž místem nálezu jejích trosek. To zároveň vysvětluje, proč předchozí výměna filtru nemusela závadu vyřešit: nový filtr mohl být čistý, ale opotřebovávající se čerpadlo dál vytvářelo nový kovový materiál.
Na letadle bylo jako poškozený celek vykázáno zničené palivové čerpadlo. Nebyl požár, nebylo další poškození draku a pravý motor zůstal zdravý. Technická část incidentu tak skončila relativně úzce lokalizovanou závadou. Provozní část se naopak rozšířila přes půl Evropy, protože nikdo v kokpitu nemohl tuto lokalizaci znát dřív, než byl motor na zemi rozebrán.
Chybějící hlas kokpitu: CVR nebyl po přistání zajištěn
Vyšetřování mělo letová data z DFDAU, záznamy řízení provozu, zprávy ACARS, dokumentaci a výpovědi posádky i techniků. Nemělo však záznam hovoru v kokpitu. Kapitán po přistání nezajistil uchování CVR: nevydal technikům doložený ústní pokyn a nezapsal požadavek do technického deníku. Technici vyjmuli datovou kartu DFDAU, nikoli hlasový záznam. Ani přibližně o sedmnáct hodin později podle jejich výpovědi žádný pokyn k CVR nedostali.
To nelze poctivě přepsat jako důkaz úmyslného mazání. Zpráva takový úmysl neprokázala. Přesné tvrzení zní, že předepsaný postup pro zabezpečení záznamu nebyl splněn, a hlas kokpitu proto vyšetřovatelům chyběl. Následkem je menší jistota o tónu, pořadí námitek, skutečném dělení práce i o tom, jak byly výpočty vysvětleny v reálném čase.
CVR není nástroj k trestání pilota za každou větu. Je to časová kapsle lidského rozhodování, bez níž se paměť účastníků snadno skládá do logičtější podoby, než jakou měla v okamžiku stresu. U letu QS1125 je jeho absence zvlášť citelná, protože spor není o polohu páky — tu zaznamenala data — ale o to, proč se dvěma kvalifikovaným pilotům nepodařilo společně dokončit poslední strategický bod checklistu.
Závěrečná zpráva oddělila poruchu od příčiny vážného incidentu
ÚZPLN sestavil řetězec ve dvou rovinách. Technicky motor zhasl kvůli přerušení přívodu paliva, které způsobilo nasucho běžící a rozpadající se čerpadlo. Provozně však komise za příčinu vážného incidentu označila chybný rozhodovací proces velitele po ztrátě motoru, nevyhovující závazným postupům QRH a FCTM. Přispěly nedokončený bod 10, nevyhlášení PAN PAN, nesprávná volba letiště, nekonzervativní práce s palivem a velmi slabé CRM.
Zpráva také popsala nesprávný „kvazipostup“ v jedné z interních verzí dokumentace, podle nějž měla posádka při provozu na jeden motor pokud možno dosáhnout náhradního letiště do hodiny, ale nemělo jít o povinnost. Vyšetřovatelé takové znění v závazném předpisu nenašli a upozornili, že k němu z nouzového checklistu nevedla relevantní cesta. Vnitřní vysvětlení vytvořené po události nemohlo zpětně nahradit pokyn výrobce použitý v kokpitu.
Komise výslovně uvedla, že vadný rozhodovací proces ohrozil bezpečnost QS1125 a současně snížil bezpečnost okolního provozu. To není tvrzení, že katastrofa byla jistá nebo těsně před vypuknutím. V bezpečnostním jazyce se hodnotí i pravděpodobnost a následky možností, které se nakonec nestaly: druhý výpadek, potřeba průletu na náhradní letiště, nestabilní přiblížení, zhoršení počasí nebo konflikt s provozem, který nezná omezení letounu.
„Bezpečnost letu nebyla ohrožena.“
kapitán při zpětném hodnocení svého výkonu; zkrácený český překlad z anglické závěrečné zprávy ÚZPLN
Bezpečné přistání je výsledek. Není to zpětný certifikát správného procesu
Kapitán při vyšetřování uvedl, že při zpětném hodnocení je přesvědčen, že bezpečnost letu ohrožena nebyla. Letadlo opravdu přistálo bez zranění, bez poškození draku a s více než dvěma tunami paliva. Tyto skutečnosti patří do příběhu stejně jako chyby. Jeho profesionální pilotáž a práce prvního důstojníka udržely let stabilní; pravý motor fungoval a počasí dovolilo normální přiblížení.
Jenže výsledek umí svádět k takzvanému outcome bias: pokud vše dopadne dobře, předchozí rozhodnutí se nám jeví bezpečnější, než byla v okamžiku přijetí. Stejný plán by byl fyzicky totožný, i kdyby se nad Rakouskem rozsvítila další výstraha nebo byla pražská dráha náhle zablokovaná. Bezpečnostní kvalita rozhodnutí se proto posuzuje podle informací, rezerv a postupů dostupných tehdy — ne podle toho, co už dnes víme o šťastném konci.
Letectví nestaví pravidla na průměrném dni, kdy všechno ostatní funguje. Staví je na řetězení poruch. Motorový checklist posádku neposílá dolů proto, že letadlo s jedním motorem neumí letět. Posílá ji dolů proto, aby první selhání zůstalo jediným selháním, které je třeba zvládnout ve vzduchu. Každá další minuta v cestovní hladině spotřebovává čas, během něhož se z jedné poruchy může stát kombinace.
Nejpřesnější věta o letu QS1125 proto nezní „málem spadl“ ani „vždyť bezpečně doletěl“. Zní: technicky zvládnutelná porucha vytvořila dostatek času pro bezpečné preventivní přistání, ale rozhodovací proces tento čas použil k pokračování do původního cíle. Motor dal posádce problém. Volba po jeho zhasnutí dala problému délku.
Co vyšetřování neprokázalo
Neprokázalo, že druhý motor byl vadný. Pravý CFM56 pracoval až do zastavení normálně. Riziko spočívalo v neexistenci další pohonné rezervy a v neznámé příčině prvního výpadku, nikoli v doložené poruše obou motorů.
Neprokázalo, že letoun přistál téměř bez paliva. Při dosednutí měl 2 435 kilogramů. Kritický byl rozdíl proti rezervě a použití dvoumotorových předpokladů pro jednomotorovou situaci.
Neprokázalo úmyslné smazání CVR. Doložilo nezajištění záznamu a nedodržení postupu; motiv z dostupných důkazů určit nelze.
Neprokázalo finanční motiv. Komise kvůli dvojí roli velitele jako kapitána a flight managera nedokázala ekonomický vliv ani potvrdit, ani spolehlivě vyloučit. Tvrdit, že do Prahy letěl kvůli penězům, by překročilo důkazy.
Neurčilo vinu v trestněprávním smyslu. Bezpečnostní vyšetřování podle evropských pravidel hledá příčiny a prevenci; samo nerozhoduje o trestu ani občanské odpovědnosti.
Neřeklo, že každý pilot musí zvolit geograficky nejbližší dráhu. Požadovalo nejbližší vhodné letiště a v konkrétních podmínkách označilo Kavalu, Sofii a Bělehrad.
Nápravná opatření: od motorové zkoušky po právo druhého pilota přerušit řetězec
Smartwings ve svém interním šetření přijal soubor opatření. Kromě povinné motorové zkoušky po zápisu o nedostatečné odezvě motoru zahrnoval opakovací simulátorový výcvik zaměřený na asertivitu prvních důstojníků, pozorovací lety obou pilotů s instruktorem CRM, následné line checky a školení v používání postupů výrobce a QRH. Firma měla doplnit postup pro dočasné vyřazení posádky z provozu a výcvik zajištění CVR a DFDR.
ÚZPLN doporučil Úřadu pro civilní letectví mimo jiné zajistit psychologické vyšetření kapitána a prověřit soulad provozních příruček Smartwings s FCTM Boeingu. Údržbová doporučení mířila k tomu, aby technici při opakované výkonové odchylce odstranili příčinu, nikoli pouze její projev. Společným jmenovatelem nebyla nová technologie. Byl to požadavek, aby každá vrstva — údržba, kokpit, operační středisko i dohled — skutečně ověřila informaci, na níž staví další rozhodnutí.
Nejzajímavější opatření se týká asertivity kopilota. Je snadné napsat „měl se ozvat“ člověku, který se ozval několikrát, ale seděl vedle instruktora, examinátora a manažera letového provozu. Smyslem CRM proto není naučit mladšího pilota jednu statečnou větu. Musí vytvořit předem nacvičenou eskalační cestu, v níž opakovaná odchylka od checklistu vede od námitky přes důraznou výzvu až k zásahu, aniž se kokpit rozpadne na osobní konflikt.
Veřejná a právní dohra: od prvního ujištění k zastavenému trestnímu stíhání
Smartwings bezprostředně po zveřejnění případu tvrdil, že posádka postupovala podle bezpečnostních a provozních předpisů. V září 2019 však dopravce podle informací ÚCL ve vlastním šetření připustil pochybení posádky a zdůraznil, že nešlo o systémovou chybu. Kapitán Pavel Veselý přestal zastávat funkci letového ředitele; po zveřejnění závěrečné zprávy mu společnost v červenci 2020 dočasně pozastavila létání do splnění požadovaných kroků.
Policie případ prověřovala a 25. června 2021 bylo zahájeno trestní stíhání jedné osoby pro přečin obecného ohrožení z nedbalosti. V říjnu téhož roku je státní zástupce zrušil. Dospěl k závěru, že postup nebyl plně v souladu s předpisy a manuály, ale nenaplnil znaky trestného činu. Věc postoupil Úřadu pro civilní letectví k posouzení možného přestupku.
Zastavení trestního stíhání proto nerevidovalo technické závěry ÚZPLN. Odpovědělo na jinou otázku a s jiným důkazním prahem: zda jednání naplnilo skutkovou podstatu trestného činu. Bezpečnostní zpráva odpovídala, proč vzniklo riziko a jak zabránit opakování. Ve veřejně dostupných podkladech, které se podařilo dohledat k redakční uzávěrce, není jednoznačně doložen pravomocný konečný výsledek navazujícího přestupkového řízení; text proto žádný pozdější trest ani osvobození nedovozuje.
Proč je QS1125 důležitější než jeho mediální přezdívka „let na jeden motor“
Kdyby příběh skončil u techniky, byl by to přesvědčivý doklad robustnosti Boeingu 737: motor zhasl, druhý převzal tah, piloti udrželi směr, sestoupili a bezpečně přistáli. Jenže nouzové systémy se neposuzují podle toho, zda jedna vrstva vydržela přesně jednou. Posuzují se podle toho, zda lidé po prvním selhání obnovili bezpečnostní rezervy, nebo je dál spotřebovávali.
Kapitán měl za sebou téměř 21 tisíc hodin a fyzický let zvládl. První důstojník správně rozpoznal klesající rychlost, létal stroj a vracel diskusi k checklistu. Kabinová posádka vnímala změny a zůstala připravená. Řízení po vyhlášení PAN PAN reagovalo. Každý jednotlivý profesionál vykonal část práce dobře. Incident přesto vznikl, protože mezi těmito částmi chyběla společná strategie odpovídající nejhorší věrohodné variantě.
Bezpečnostní kultura se nepozná podle toho, jak přesvědčivě po přistání vysvětlí šťastný výsledek. Pozná se podle ochoty zkrátit let, přiznat nejistotu, ukázat výpočet kolegovi a dát okolnímu systému přesné slovo včas. PAN PAN, tabulka QRH a volba bližšího letiště nejsou administrativní překážky zkušenému pilotovi. Jsou to zhuštěné zkušenosti mnoha posádek, které neměly možnost spoléhat na to, že zbývající motor bude dalších 139 minut bezchybný.
OK-TVO dosedl v Praze v 09:06:26 UTC a o tři minuty později se pravý motor zastavil. Cestující vystoupili bez zranění a patrně bez vědomí, jak neobvyklou cestu absolvovali. Motorový kov pak pod mikroskopem vysvětlil první poruchu. Letová data, radiové přepisy a výpovědi vysvětlily druhou. Mezi nimi zůstala nejdůležitější lekce: porucha odebere jednu možnost; nesprávné rozhodování může postupně odebrat i všechny ostatní.
Let QS1125 neukazuje, že na jednom motoru nelze letět. Ukazuje, proč se s jedním motorem nemá déle létat, když už lze bezpečně přistát.
POZNÁMKA K REKONSTRUKCI
Chronologie, letová data, technický rozbor, výpovědi posádky, letiště označená jako vhodná a bezpečnostní závěry vycházejí především ze 66stránkové závěrečné zprávy ÚZPLN CZ-19-0776 z července 2020. Časy jsou ponechány v UTC, aby se nemíchala tři časová pásma trasy; místní odlet ze Samosu byl v 09:26:57 a přistání v Praze v 11:06:26. Přímé výroky jsou krátké redakční překlady anglické verze zprávy a stojí samostatně s atribucí. Tam, kde chyběl CVR nebo komise motiv neurčila, text zachovává nejistotu. Právní dohru ověřují veřejnoprávní zdroje a dokumenty ÚCL; bezpečnostní závěr není zaměňován s trestní vinou.
Zdroje
ÚZPLN — závěrečná zpráva CZ-19-0776 (PDF, 66 stran) — Hlavní primární zdroj: sekundová chronologie, výpovědi posádky a řízení, DFDAU, výkon, palivo, technický rozbor čerpadla, CRM, příčina a bezpečnostní doporučení.
Úřad pro civilní letectví — prohlášení k incidentu z 22. srpna 2019 — Institucionální stanovisko k požadavku výrobce přistát na nejbližším vhodném letišti a k zahájenému dohledu.
Úřad pro civilní letectví — poskytnuté informace za rok 2020 — Veřejné dokumenty k předběžnému opatření, procesnímu vývoji správního řízení a postoji úřadu k dostatečnosti existujících pravidel.
ČT24 — první reakce úřadů a vysvětlení obecného stanoviska EASA — Dobový veřejnoprávní zdroj k počátečnímu sporu o význam slov „nejbližší vhodné letiště“; pozdější konkrétní závěr je podřízen finální zprávě ÚZPLN.
ČT24 — závěrečná zpráva, pochybení a pozastavení činnosti kapitána — Veřejnoprávní shrnutí zveřejněných závěrů, personální reakce dopravce a bezprostředních následků v červenci 2020.
iROZHLAS — zahájení trestního stíhání v červnu 2021 — Ověření data, právní kvalifikace a rozsahu tehdejšího trestního řízení.
iROZHLAS — zrušení trestního stíhání a postoupení ÚCL — Veřejnoprávní zdroj k rozhodnutí státního zástupce z října 2021 a oddělení porušení postupů od znaků trestného činu.
