Článek
V 01:25:33 světového času oznámil první důstojník, že na jeho straně kokpitu je všechno tmavé. Zmínil záložní přístroje a rychlost. O osm sekund později umlkl hlasový zapisovač, letová data i rádiové spojení. McDonnell Douglas MD-11 byl stále ve vzduchu, přibližně 25 námořních mil od letiště v Halifaxu, ale od té chvíle po sobě nezanechával vlastní souvislý záznam. Do nárazu zbývalo pět minut a 37 sekund.
Letoun během nich pokračoval nad nočním Atlantikem. Krátce se znovu objevil údaj o výšce 9 700 stop, pak zmizel i odpovídač. Posádka zřejmě zahájila a zase zastavila vypouštění paliva, vysunula klapky na 15 stupňů a v malé výšce úmyslně vypnula prostřední motor. Primární radar sledoval cíl téměř do konce. Ve 01:31:18 se stroj v pravém náklonu a s přídí dolů roztříštil o hladinu poblíž Peggy’s Cove. Zahynulo všech 229 lidí.
Mezi prvním neobvyklým zápachem a nárazem uplynulo 20 minut a 40 sekund. Posádka požádala o odklon už po třech minutách a 37 sekundách a Halifax vybrala necelých pět minut po prvním vjemu. Přesto nemohla zvítězit nad požárem, o němž dlouho nevěděla, kde je, jak je velký ani co už poškodil. Oheň se šířil nad stropem kokpitu v prostoru bez detektorů a bez zabudovaného hašení. Jeho první skutečně jednoznačné systémové projevy přišly až šest minut a 31 sekund před nárazem.
Vyšetřování letu Swissair 111 proto neodhalilo jediný jednoduchý omyl. Odhalilo střet několika tehdejších jistot s reálným požárem: izolace směla do letadla, protože prošla laboratorní zkouškou; zábavní systém byl považován za nepodstatný, přesto zůstal připojen k důležité elektrické sběrnici; jističe neuměly zachytit všechny typy elektrického oblouku; checklist hledal zdroj kouře postupně, zatímco skrytý oheň postupoval současně. Poslední bariérou se stali dva piloti, kterým konstrukce ukazovala méně, než už požár věděl.
PŘÍPAD V ČÍSLECH
2. září 1998 místního času · Swissair 111 / SR111 · New York–Ženeva · McDonnell Douglas MD-11, HB-IWF „Vaud“ · 215 cestujících + 14 členů posádky · první zápach 01:10:38 UTC · odklon vyžádán 01:14:15 · nouze vyhlášena 01:24:42 · zapisovače končí 01:25:41 · náraz 01:31:18 · 229 obětí, žádný přeživší.
HB-IWF: sedmiletý dálkový letoun s třemi motory a plnou certifikací
HB-IWF byl vyroben jako výrobní číslo 48448 a osvědčení letové způsobilosti získal 28. července 1991. Do posledního letu nasbíral 36 041 hodin. Poháněly jej tři dvouproudové motory Pratt & Whitney PW4462: dva pod křídly a třetí v kořeni svislé ocasní plochy. Vyšetřovatelé nenašli předletovou mechanickou závadu, která by vysvětlovala požár, a všechny tři motory byly až do posledních minut schopné pracovat.
Kabina měla 241 míst — 12 v první, 49 v obchodní a 180 v ekonomické třídě. Na palubě však cestovalo 215 cestujících, dvanáct členů kabinové posádky a dva piloti. Vzletová hmotnost činila přibližně 241,1 tuny a v nádržích bylo při vzletu kolem 64,3 tuny paliva. Těžiště leželo na 20 procentech střední aerodynamické tětivy, v povoleném rozsahu. Hmotnost ani vyvážení požár nezpůsobily; staly se důležité až při plánování nouzového přistání.
Devětačtyřicetiletý kapitán měl 10 800 letových hodin, z toho 900 na MD-11. Byl instruktorem tohoto typu a v simulátoru učil právě postup pro kouř a výpary neznámého původu. Kolegové jej popisovali jako přesného a technicky zvídavého pilota. Šestatřicetiletý první důstojník měl 4 800 hodin, z toho 230 na MD-11; dříve vyučoval na MD-80 a Airbusu A320. Oba byli kvalifikovaní, zdraví a před službou měli 27 hodin volna.
To je pro čtení následujících minut podstatné. V kokpitu neseděla nezkušená dvojice, která by neznala checklist nebo neuměla řídit dálkový třímotorový letoun. Seděli tam lidé vycvičení pro tehdy uznávaný obraz závady. Katastrofa vznikla také proto, že tento obraz byl neúplný: postup předpokládal, že kouř lze izolovat, systémy lze odpojovat po skupinách a na přistání zůstane čas. Nad stropem však už probíhal děj, který se těmito předpoklady neřídil.
Požár začal v prostoru, který posádka neviděla a nemohla prohledat
Nad pohledovým stropem kokpitu a přední části kabiny byl nízký technický prostor, v anglické zprávě označovaný jako attic — půda. Vedly jím stovky elektrických vodičů, vzduchotechnické potrubí, kyslíkové vedení, svazky kabelů i tepelné a zvukové izolační přikrývky. Panely pod nimi vytvářely čistý interiér kokpitu, ale současně zakrývaly místo, kde se malá porucha mohla rozvíjet bez přímého pohledu posádky.
TSB umístila pravděpodobný počátek požáru do poměrně malé oblasti nad pravou zadní částí stropu kokpitu, těsně před zadní stěnou, poblíž konstrukční stanice 383. Nešlo o zavazadlový prostor, kuchyňku ani motorovou gondolu — tedy zóny, u nichž se s požárem běžně počítalo. Předpisy nevyžadovaly, aby v tomto skrytém prostoru byl detektor kouře nebo vestavěné hasicí zařízení. Nebyl ani snadno přístupný pro ruční zásah.
Detekčním systémem se tak stal lidský čich a zrak. Zápach musel proniknout spárami a prouděním do kokpitu, kouř se musel stát viditelným a posádka jej musela správně přiřadit k jednomu z několika možných zdrojů. To jsou tři po sobě jdoucí zpoždění. Žádné z nich samo o sobě nevypadá jako závada, ale dohromady poskytla ohni čas, v němž mohl přejít od lokálního hoření k poškozování letových systémů.
Elektrický oblouk: teplota přes 5 000 °C, kterou jistič nemusí zastavit
Nejpravděpodobnějším zdrojem zapálení byl elektrický oblouk. Vzniká, když se vodič pod napětím přes porušenou izolaci dotkne uzemněné konstrukce nebo jiného vodiče s odlišným potenciálem. Výboj je malý rozměrem, nikoli energií: teplota v jeho středu může přesáhnout 5 000 °C. Měď taje při 1 083 °C. Kapka roztaveného kovu, žhavé plyny a tlaková vlna proto mohou zapálit materiál, který by od běžně horkého kabelu nezačal hořet.
Jistič je navržen především proti nadproudu. U některých přerušovaných, sériových nebo krátkých oblouků nemusí proud překročit vypínací mez dostatečně dlouho. TSB zjistila, že typ jističů v HB-IWF odpovídal běžné letecké praxi, ale neuměl ochránit před všemi režimy oblouku. Skutečnost, že se v kokpitu nerozsvítilo jasné elektrické varování a jističe na začátku nevypadly, proto požár nevylučovala.
Vyšetřovatelé hledali na každém nalezeném vodiči znovu ztuhlou měď. Samotný požár nedosáhl teploty potřebné k jejímu roztavení, takže kovová kulička byla podpisem elektrického výboje, nikoli pouhého ožehnutí. Tato fyzikální hranice — 1 083 °C pro měď proti nižší teplotě okolního požáru — dovolila odlišit skutečné oblouky od tepelného poškození. Teprve jejich poloha a okolní stopy pomáhaly určit, zda mohly patřit k počátku požáru, nebo k jeho následkům.
MPET: izolace prošla předepsanou zkouškou, ve skutečné montáži však nesla plamen
Největší část snadno dostupného paliva netvořily sedačky ani zavazadla. Byly jí izolační přikrývky z vláknitého materiálu, jejichž povrch kryla velmi tenká metalizovaná polyethylentereftalátová fólie, zkráceně MPET. Přikrývky omezovaly hluk a tepelné ztráty a byly rozloženy podél velké části trupu. V prostoru počátku požáru ležely přímo u kabelových svazků.
MPET splnil tehdejší certifikační vertikální Bunsenovu zkoušku. Malý vzorek visel svisle, stanovenou dobu na něj působil plamen a hodnotilo se, jak dlouho hoří po jeho odstranění. Tenká fólie se před plamenem smrštila a často unikla zdroji tepla, takže zkouškou prošla. V letounu ale neležela jako osamělý svislý proužek. Překrývající se plochy byly blízko sebe, odrážely sálavé teplo a byly připevněny páskami a úchyty.
Při zkouškách v uspořádání bližším skutečné instalaci se MPET zapálil od elektrického oblouku a plamen po něm postupoval. Jakmile hořela jedna plocha, zahřívala sousední. Tající nylonové úchyty mohly uvolnit celé přikrývky a odkrýt další povrch. K intenzitě přispívaly také metalizovaná PVF fólie, silikonové koncovky potrubí, suché zipy, pěny, lepidla a spojovací pásky. Zkouška jednotlivého vzorku tak certifikovala materiál, zatímco skutečné letadlo obsahovalo hořlavý systém.
Tento rozdíl je jádrem případu. Materiál nebyl do letounu namontován tajně ani proti předpisům. Prošel testem, který neuměl věrně položit otázku, na níž měla certifikace odpovědět: co se stane, když je několik vrstev v uzavřeném prostoru, v kontaktu s potrubím a kabely a zasáhne je krátký oblouk? Formální shoda nebyla podvodem; byla přesnou odpovědí na příliš úzkou zkušební situaci.
FYZICKÝ ŘETĚZEC POŽÁRU
Porušení izolace vodiče → elektrický oblouk → zapálení MPET v prostoru nad pravým zadním stropem kokpitu → šíření po izolačních přikrývkách a dalších materiálech → poškození silikonové koncovky vzduchotechniky → soustavný přísun upraveného vzduchu → porušení kouřové bariéry → horké spaliny do prostoru nad kokpitem → výpadky displejů, řízení, navigace a rádia → ztráta orientace a kontroly.
Zábavní systém s hazardními hrami: významná stopa, nikoli uzavřený rozsudek
Swissair vybavil první a obchodní třídu tehdy mimořádně pokročilou interaktivní sítí IFEN. Cestující mohli na dotykové obrazovce volit filmy, hudbu, zprávy, hry, pohyblivou mapu a také hazardní hry; systém uměl zpracovat platbu kartou. Právě zmínka o hazardu později vytvořila svůdný titulek, že letadlo zničilo „palubní kasino“. Technický závěr je složitější.
Zařízení bylo v obchodní třídě HB-IWF instalováno mezi 21. srpnem a 9. zářím 1997, první třída dostala příslušná sedadla v únoru 1998. Stroj byl osmým MD-11 Swissair s touto úpravou. Konfigurace odebírala 4,4 kVA třífázového proudu 115 V a 400 Hz. Čtyři napájecí jednotky jej převáděly na 48 V stejnosměrných pro palubní elektroniku. Kabely z kokpitního panelu jističů vedly právě oblastí, v níž se oheň nejspíš narodil.
Jeden nalezený úsek napájecího kabelu IFEN, důkaz 1-3791, nesl na vodiči znovu ztuhlou měď po oblouku. Jeho polohu se podařilo určit blízko stanice 383 — v pravděpodobné oblasti vzniku požáru. TSB vyhodnotila, že tento oblouk nejspíš souvisel s iniciační událostí a pravděpodobně nevznikl až působením hotového požáru. Nedokázala však prokázat, že právě on byl úplně prvním obloukem.
K iniciačnímu výboji zřejmě patřil nejméně ještě jeden vodič. Ten mohl náležet IFEN, původní elektroinstalaci letadla nebo oběma systémům. Vyšetřovatelé nedokázali určit, co izolaci původně porušilo ani čeho se vodič dotkl. Část kabelů se nenašla a pozdější požár vyvolal další oblouky. Poctivá formulace tedy zní: IFEN kabel je nejpřesněji lokalizovaná a velmi důležitá stopa, nikoli definitivně prokázaný jediný zapalovač.
„Nelze uzavřít, že oblouk na vodiči 1-3791 byl prvotní událostí.“
Certifikovaný doplněk obešel hlavní vypínač kabiny
IFEN nebyl součástí původní typové konstrukce MD-11. Byl schválen dodatkovým typovým osvědčením, známým jako STC, které vydala pověřená konstrukční organizace pod dohledem FAA. Takový postup je běžný a umožňuje bezpečně měnit už provozovaná letadla. V tomto projektu se však odpovědnost rozdělila mezi dodavatele systému, projektanta elektroinstalace, držitele oprávnění, dopravce, údržbu a regulátor. Ani projektant elektrické části, ani pověřený schvalovatel neměli v týmu pracovníka obeznámeného s filozofií napájení MD-11.
Původní návrh počítal s napájením z kabinové sběrnice. Ta ale neměla dostatečnou kapacitu pro plánovaný rozsah systému, proto se zdroj změnil na sběrnici 115 V AC Bus 2. Změna nebyla odpovídajícím způsobem promítnuta do původního popisu projektu pro FAA. AC Bus 2 přitom zůstával pod napětím, když posádka přepnula CABIN BUS do polohy OFF — tedy právě tehdy, kdy měla podle checklistu odpojit neesenciální kabinové služby.
Výsledkem byl latentně nebezpečný stav: piloti mohli oprávněně věřit, že vypnutím kabinové sběrnice odstranili napájení zábavního systému, ale IFEN dál dostával proud. TSB přesto výslovně nepropojila tuto integrační chybu se vznikem ani šířením konkrétního požáru. V okamžiku přepnutí CABIN BUS, 13 minut a sedm sekund po prvním zápachu, už oheň prokazatelně běžel. Rozdíl mezi nebezpečnou konstrukční vadou a prokázanou příčinou je zde nutné zachovat.
Zjištění ale otevřelo širší problém. Systém označený jako neesenciální může být posuzován méně dramaticky, ačkoli jeho kabely fyzicky procházejí kritickými oblastmi a jeho napájení se propojuje s nouzovou logikou letadla. „Nepotřebný pro let“ neznamená „neschopný ovlivnit let“. Let 111 ukázal, že skutečná kritičnost doplňku neleží jen v jeho funkci pro cestující, ale také v energii, trasování vodičů a vztahu k ostatním systémům.
01:10:38: první zápach, žádné varování na přístrojích
Let SR111 odstartoval z newyorského letiště JFK v 00:18 UTC, místně ve 20:18. První důstojník řídil a MD-11 vystoupal do letové hladiny 330, přibližně deseti kilometrů. Letěl směrem k Evropě nad Novým Skotskem. V 01:10:38 první důstojník upozornil na neobvyklý zápach. Zapisovač nezachytil požární výstrahu ani závadu, která by okamžitě ukázala na konkrétní zařízení.
V 01:10:57 kapitán řekl „podívej“, což podle TSB znamená, že na okamžik něco viděl. V 01:11:14 převzal řízení a první důstojník vstal, aby prostor prohlédl. O patnáct sekund později konstatoval, že nahoře už nic dalšího není. Kouř se tedy v prvních minutách mohl objevovat a mizet, přesně jako jev z ventilace. Skrytý požár neměl v kokpitu viditelný plamen ani vlastní indikátor.
V 01:12:06 přišla do kokpitu letuška z první třídy. Zápach cítila v kokpitu, nikoli v kabině; zpráva nezaznamenává, že by tehdy viděla kouř. O půl minuty později kapitán ověřil domněnku, že jde o klimatizaci, a první důstojník souhlasil. Nebyl to náhodný výmysl. Kouř přicházel prouděním vzduchu, v kabině nebyl hlášen a jiné systémové příznaky chyběly.
V 01:13:14 se kouř znovu stal viditelným. Kapitán začal uvažovat o vhodném letišti a vyžádal si mapy a počasí. V 01:13:53 pronesl, že se situace nahoře vůbec nevyvíjí dobře. Pokus o spojení v 01:14:05 překrylo jiné vysílání. O deset sekund později vyslal Pan Pan a požádal o okamžitý návrat na vhodné letiště. Od prvního zápachu uplynuly tři minuty a 37 sekund.
„To se tam nahoře vůbec nevyvíjí dobře.“
Proč nejprve zazněl Boston a jak se během 81 sekund změnil na Halifax
Když kapitán v 01:14:15 hlásil kouř, byl stroj 66 námořních mil jihozápadně od Halifaxu. Jako první vyslovil Boston, zhruba 300 mil za letadlem. Není doloženo, že by si v té sekundě uvědomoval přesnou vzdálenost Halifaxu nebo jeho provozní vhodnost. Řídící ihned povolil pravou zatáčku a sestup k Bostonu, současně však v 01:15:06 nabídl Halifax.
Piloti jej do čtyř sekund vyhodnotili jako nejbližší vhodné letiště. Byl schválenou mezilehlou alternativou Swissair pro MD-11 a v 01:15:10 jej posádka vybrala; kapitán volbu řízení formálně potvrdil v 01:15:36. Letoun byl tehdy přibližně 56 mil od prahu dráhy 06. TSB označila rozhodnutí odklonit se do Halifaxu za včasné. Představa, že posádka dlouze směřovala na vzdálený Boston, neodpovídá časové ose.
Kapitán vyjmul kyslíkovou masku už v 01:14:48, nasadil ji v 01:15:56 a první důstojník o sedm sekund později. V 01:15:29 první důstojník znovu převzal řízení a dostal pokyn okamžitě klesat. Po povolení do 10 000 stop vysunul v 01:17:19 aerodynamické brzdy; rychlost klesání dosáhla až 4 000 stop za minutu. Z běžného letu se stával rychlý odklon, nikoli však maximální nouzový profil na mezích letounu.
Mapy mimo dosah a dvě práce, které musel kokpit dělat zároveň
Příletové mapy Halifaxu nebyly v dosahu pilotních sedadel. Ležely v palubní knihovně u pozorovatele, takže je musela přinést letuška. Do dosahu kapitána se dostaly v 01:19:27. Ve stejných minutách posádka ladila frekvenci, přijímala vektory, zjišťovala vítr a typ přiblížení, klesala z cestovní hladiny, komunikovala s kabinou a hledala správný checklist.
Kapitán v 01:17:50 sdělil vedoucímu kabiny, že v kokpitu je kouř a přistání přijde asi za 20 až 30 minut. Kabina začala rychle uklízet a připravovat cestující. V 01:18:44 řídící povolil sestup do 3 000 stop, posádka však požádala o mezilehlých 8 000, dokud nebude kabina připravena. Toto rozhodnutí odpovídalo jejich tehdejšímu obrazu: naléhavý odklon kvůli kouři z klimatizace, nikoli nekontrolovatelný požár nad hlavami.
V 01:19:37 řídící oznámil, že k dráze zbývá 30 mil. O třináct sekund později MD-11 procházel letovou hladinou 210, klesal asi 3 300 stop za minutu a letěl 320 uzlů. První důstojník správně uvedl, že potřebuje více než 30 mil. Kdyby pokračoval přímo, podle pozdějšího výpočtu by zachytil osu dráhy asi 15 mil před prahem ve výšce přibližně 10 000 stop a rychlosti 355 uzlů. Takové přiblížení by nebylo stabilizované ani bezpečné.
230 tun nebylo palivo: hmotnost, která vstoupila do komunikace
Maximální běžná přistávací hmotnost MD-11 činila 199,58 tuny. Za určitých podmínek existoval postup pro přistání s vyšší hmotností až 218,4 tuny a při skutečné nouzi bylo konstrukčně možné dosednout i těžší. Zůstávaly však rychlost, energie, délka dráhy a stav brzdných systémů. Když posádka v 01:20:48 začala probírat vypouštění paliva, hrubá hmotnost stroje byla přibližně 230 tun.
Řídící se v 01:21:20 podruhé zeptal na počet lidí a množství paliva. První důstojník odpověděl, že mají 230 tun paliva. Ve skutečnosti uvedl celkovou hmotnost letadla, nikoli obsah nádrží. Zpráva z této záměny neodvozuje vliv na výsledek: řídící věděl, že posádka potřebuje část paliva vypustit, a otázka přesného množství nebyla rozhodnutím o směru letu.
V 01:21:38 se řídící zeptal, zda mohou kvůli vypouštění zatočit na jih, nebo chtějí zůstat blíž letišti. První důstojník otázku přesně přenesl kapitánovi: mají zamířit na jih, nebo přistát? Posádka na základě tehdejších příznaků zvolila jih. V 01:22:01 dostala kurz 200; řídící současně zdůraznil, že jsou stále asi 25 mil od letiště. Letoun se ustálil kolem 10 000 stop.
Toto je okamžik, který bývá zpětně proměněn v morální rozsudek. Jenže piloti zatím neměli požární výstrahu, kabina nehlásila kouř a letoun neměl zaznamenané systémové výpadky. Připravovali kabinu, konfiguraci, přílet a hmotnost pro přistání. TSB uzavřela, že i rozhodnutí vypustit palivo bylo konzistentní s tím, že posádka nevěděla o šířícím se požáru. To není tvrzení, že každá sekunda byla optimální; je to rekonstrukce jejich dostupných informací.
01:23:45: správně provedený krok změnil proudění nad stropem
V 01:22:33 první důstojník ověřil, že kapitán pracuje s checklistem pro kouř z klimatizace. Rychlost se měla snížit na 250 uzlů, ale ustálila se kolem 300. V 01:23:45 kapitán nahlas označil spínač CABIN BUS a vyžádal si potvrzení druhého pilota. Poté jej přepnul do polohy OFF, jak přikazoval první bod obecného postupu pro kouř a výpary neznámého původu.
Spínač odpojil většinu elektrických služeb v kabině, nikoli však nesprávně integrovaný IFEN na AC Bus 2. V kabině zhasla běžná světla a nouzové osvětlení se samo nerozsvítilo, protože před vypnutím nebylo ručně zapnuto. Od 01:24:46 proto letušky pokračovaly v přípravě s baterkami. Checklist tento krok v opačném pořadí nepožadoval.
Ještě zásadnější změna nastala nad stropem. Vypnutím kabinové sběrnice se zastavily přední recirkulační ventilátory. Do té chvíle vedlo hlavní proudění spaliny směrem dozadu k jejich sání. Po zastavení se proud otočil dopředu a začal horké plyny táhnout do prostoru nad kokpitem. Kouřová bariéra, už oslabená teplem, krátce nato pravděpodobně selhala.
Současně oheň zřejmě propálil silikonovou koncovku jedné větve klimatizačního potrubí. Z otvoru pak do zóny požáru proudil upravený vzduch jako nepřetržitý dmychadlový přívod. Další koncovky a hadice mohly selhávat později. Oheň tak nedostal kyslík proto, že by posádka otevřela dveře nebo udělala svévolný zásah; dostal jej následkem konstrukčního chování, které checklist ani bezpečnostní analýza nepředvídaly.
Časová blízkost svádí k větě, že CABIN BUS požár způsobil. Nezpůsobil. Od prvního zápachu hořelo nejméně 13 minut a sedm sekund. Přepnutí však změnilo proudění právě ve chvíli, kdy se oheň rozšířil a bariéra slábla. Během 24 sekund od tohoto kroku se odpojil autopilot a následovala lavina závad. Je to případ, kdy předepsané opatření nevyvolalo původní nebezpečí, ale odkrylo jeho už pokročilý stav.
01:24:09–01:25:41: za 92 sekund se kokpit rozpadl na jednotlivé výstrahy
V 01:24:09 se odpojil autopilot 2. Výstražný tón zněl až do konce záznamu. Kapitán odpojení zaznamenal, první důstojník převzal plně ruční let a v 01:24:25 požádal řídícího o chráněný výškový blok, nejprve mezi 9 000 a 11 000 stopami. Řídící mu poskytl širších 5 000 až 12 000 stop, aby se nemusel soustředit na přesné držení výšky.
V 01:24:42 oba piloti téměř současně vyhlásili nouzi. Tento okamžik mohl podle požární rekonstrukce odpovídat porušení plastového stropního panelu, po němž hustší kouř a horké spaliny pronikly přímo do kokpitu; zpráva to neurčila jako jistotu. V 01:24:53 kapitán oznámil, že začínají vypouštět palivo a musí okamžitě přistát. O sekundu později selhal dolní kanál tlumiče bočních kmitů A; v 01:24:57 začal ztrácet napájení první letový počítač.
V 01:25:02 zaznělo poslední srozumitelné vysílání posádky. O čtyři sekundy později zamrzly zaznamenávané údaje tlakové výšky, rychlosti a teploty a řídící přišel o výškovou informaci z odpovídače. Kapitán postupně ztrácel své hlavní obrazovky a ohřev pitotovy trubice, přibývaly poruchové hlášky a výstražná světla. Požár už neohrožoval jeden přístroj; narušoval společnou elektrickou infrastrukturu, která data k přístrojům přiváděla.
V 01:25:16 první důstojník řekl, že už jen letí a nedělá nic jiného. O čtyři sekundy později kapitán zmínil, že něco už hoří, a první důstojník znovu odkázal na přistání. V 01:25:33 zhasly všechny tři displeje na jeho straně. Zůstaly malé záložní přístroje, rozmístěné jinak než obvyklý obraz na velkých monitorech, v kokpitu plném kouře, tepla, zvukových výstrah a roztaveného materiálu padajícího ze stropu.
„Já už jen letím. Nic jiného nedělám.“
„Na mé straně je všechno tmavé.“
Pět minut a 37 sekund bez palubního záznamu
V 01:25:41 ztratily napájení oba zapisovače a současně přestaly fungovat VHF radiostanice. Nebyla to konstrukční nezávislost, jakou by dva přístroje naznačovaly: CVR a FDR sice napájely různé sběrnice, ale obě dostávaly energii z generátoru číslo 3. Jediné požární poškození společné cesty proto umlčelo hlas i data téměř současně.
Vyšetřovatelé už nemohli poslouchat rozhodnutí ani číst polohu kormidel. Rekonstrukce posledních minut stojí na primárním radaru, čtyřsekundovém návratu výškového údaje, pamětech elektronického řízení motorů, svědeckých pozorováních a stopách na troskách. V 01:25:50 posádka pravděpodobně přepnula zdroj vzdušných dat z počítače ADC-1 na ADC-2. Odpovídač znovu ukázal 9 700 stop, ale v 01:26:04 zmizel definitivně.
Existují známky, že po skončení záznamu začalo vypouštění paliva. Pomocný izolační ventil byl v poloze odpovídající zahájenému dumpingu. Oba vlastní vypouštěcí ventily však byly při nárazu zavřené, takže posádka proces zastavila. Tato fyzická stopa odpovídá okamžité změně priority: když se situace stala zjevně kritickou, redukce hmotnosti ustoupila co nejrychlejšímu přistání.
Klapky byly při nárazu vysunuty na 15 stupňů, ale sloty zůstaly zasunuté, nejspíš kvůli přerušenému elektrickému napájení jejich ventilů. Aerodynamické brzdy byly zasunuté. V okolí 01:30 posádka úmyslně vypnula motor číslo 2 pomocí palivového spínače ve výšce zhruba 1 800 stop a rychlosti 227 uzlů pravé vzdušné rychlosti. Důvod se nedochoval. Jednou možností je falešná požární indikace způsobená poškozenou kabeláží, ale TSB ji nemohla potvrdit.
Motor číslo 1 při nárazu pracoval na vysoký výkon, motor číslo 3 nad volnoběhem. Křídla, ocas i hlavní řídicí plochy se ve vzduchu neoddělily; konstrukce byla až do kontaktu s vodou vcelku. Problémem už nebyla absence tahu ani rozpad draku. Piloti zřejmě ztratili spolehlivé zobrazení polohy, navigaci a výhled v nočním prostředí, zatímco oheň pronikal k jejich stanovištím.
01:31:18: poslední radarový oblouk a náraz pět mil od Peggy’s Cove
Svědci u St. Margaret’s Bay kolem 01:30 viděli velké letadlo nízko nad oblastí a slyšeli motory. Primární radar zaznamenal, že MD-11 pokračoval na jih a pak zatáčel doprava; poslední odezva zmizela asi deset sekund před nárazem. Seismografy v Halifaxu a Monctonu zapsaly v 01:31:18 výraznou událost. Střed pole trosek ležel přibližně pět námořních mil jihozápadně od Peggy’s Cove v hloubce 55 metrů.
Stopy na konstrukci odpovídaly přibližně dvacetistupňovému sklonu přídě dolů a pravému náklonu většímu než 60 stupňů. Deformace záložního rychloměru ukazovala asi 300 uzlů. Záložní umělý horizont se zastavil kolem 20 stupňů dolů a 110 stupňů doprava, ale jeho napájení už nefungovalo a TSB nepovažovala tento přesný náklon za spolehlivý údaj. Jisté je, že stroj nebyl v řízeném letu.
Kapitánovo sedadlo bylo v ústupové poloze a pás nebyl zapnutý; zda v něm při nárazu seděl, určit nešlo. Sedadlo prvního důstojníka bylo v normální letové poloze, pás zapnutý a vyšetřovatelé doložili jeho obsazení. Tyto stopy mohou znamenat, že kapitán v posledních minutách hledal zdroj ohně, pracoval s panely nebo se pokoušel otevřít boční okno. Neumožňují však napsat jistý poslední děj. Zpráva jej nepíše a tento text jej nedramatizuje.
V prostoru pro cestující nebyly známky srovnatelného žáru. Stropní panely kabinu dlouho chránily a před koncem záznamu nikdo z palubních průvodčích kouř v kabině nehlásil. V posledních minutách tam pravděpodobně část kouře pronikla, zejména vpředu. Kyslíkové masky cestujících zůstaly uložené, což odpovídá standardnímu postupu: při požáru by přídavný kyslík v prostoru mohl situaci zhoršit.
Časová osa: dvacet minut a 40 sekund mezi zápachem a oceánem
Časy jsou UTC; náraz nastal 2. září ve 22:31:18 místního atlantského letního času. Události po 01:25:41 jsou forenzní rekonstrukcí, nikoli záznamem CVR/FDR.
00:18 — HB-IWF odlétá z JFK do Ženevy; první důstojník je řídícím pilotem.
01:10:38 — první důstojník upozorňuje na neobvyklý zápach v kokpitu. Žádná systémová výstraha neoznamuje požár.
01:10:57–01:11:29 — na okamžik je něco viditelné; první důstojník vstává a prostor kontroluje, poté kouř mizí.
01:12:06–01:12:32 — letuška cítí zápach jen v kokpitu. Piloti jej přiřazují ke klimatizaci.
01:13:14–01:14:15 — kouř se vrací, kapitán hledá letiště a po 3:37 od prvního zápachu vysílá Pan Pan.
01:15:06–01:15:41 — řídící nabízí Halifax; posádka jej během sekund přijímá a zahajuje rychlý sestup ze zhruba 33 000 stop.
01:15:56–01:17:19 — oba piloti mají kyslíkové masky, rychlost sestupu dosahuje 4 000 stop za minutu.
01:17:50–01:20:14 — kabina dostává pokyn připravit přistání za 20 až 30 minut; mapy Halifaxu přináší letuška.
01:19:50 — 30 mil před drahou je MD-11 stále ve 21 000 stopách a letí 320 uzlů; posádka žádá delší trať.
01:20:48–01:22:18 — piloti volí vypuštění paliva a dostávají jižní kurz; zůstávají přibližně 25 mil od letiště.
01:23:45 — CABIN BUS jde do OFF. Zastavují se recirkulační ventilátory a proudění nad stropem se obrací k přednímu kokpitu.
01:24:09 — odpojuje se autopilot; začíná zaznamenaná série požárem vyvolaných systémových poruch.
01:24:42–01:25:02 — posádka vyhlašuje nouzi, oznamuje nutnost okamžitého přistání a naposledy srozumitelně vysílá.
01:25:16–01:25:33 — první důstojník se soustředí výhradně na řízení; jeho tři hlavní displeje zhasínají.
01:25:41 — současně končí CVR, FDR a rádiové spojení. Do nárazu zbývá 5:37 bez palubního záznamu.
01:25:50–01:26:04 — přepnutí vzdušných dat krátce vrací výšku 9 700 stop, poté odpovídač definitivně mizí.
přibližně 01:30 — prostřední motor je úmyslně vypnut kolem 1 800 stop; primární radar dál sleduje stroj.
01:31:18 — MD-11 naráží do Atlantiku rychlostí přibližně 300 uzlů; nikdo z 229 lidí nepřežije.
Mýtus o vypouštění paliva: zdržení existovalo, rozhodující časová možnost nikoli
Jižní zatáčka a příprava na vypouštění bezpochyby prodloužily cestu k dráze. Kdyby piloti od prvního rozhodnutí přesně věděli, že nad stropem hoří, správnou prioritou by bylo přistát v nejkratším dosažitelném čase a hmotnost řešit až jako druhotné riziko. Moderní poučení z neznámého kouře je právě takové. Tuto zásadu však nelze zpětně zaměnit za tvrzení, že běžným přiblížením před vypouštěním mohli prokazatelně zachránit let.
TSB nechala spočítat nejrychlejší teoretický profil. Kdyby posádka v 01:14:18 — tři sekundy po Pan Pan — okamžitě zamířila optimální trasou k radionavigačnímu bodu Golf, klesala na mezích schváleného výkonu plně funkčního letadla, nemusela manévrovat a přesně zachytila dráhu 06, práh by přeletěla nejdříve v 01:26:17. Zastavit by mohla přibližně v 01:27.
Jenže autopilot se odpojil už v 01:24:09, téměř tři minuty před teoretickým dokončením přistání a více než dvě minuty před průletem prahem. Nouze byla vyhlášena v 01:24:42. V 01:25:33 první důstojník přišel o hlavní displeje a v 01:25:41 se ztratila navigace, rádia a záznam. Na ideální dráze by v té chvíli byl letoun asi 700 stop nad nadmořskou výškou prahu, stále před dosednutím a právě v okamžiku, kdy by potřeboval přesnou konfiguraci, obraz přístrojů a brzdné systémy.
Výpočet navíc záměrně ignoroval rozhodování, kouř, teplo a závady. Ve skutečném bodě zahájení sestupu bylo kvůli výšce a rychlosti nutné přidat nejméně dvě až tři minuty manévru; pravděpodobně celý okruh nebo jinou dráhu. TSB proto uzavřela, že z žádného bodu skutečné trajektorie po prvním zápachu nezbýval dostatek času k dokončení bezpečného přistání dřív, než podmínky v kokpitu kontrolu znemožnily.
KONTRAFAKTUÁLNÍ VÝPOČET TSB
01:14:18 ideální začátek nouzového sestupu → asi 62 nm po optimální trase → 01:26:17 nejčasnější průlet prahem → přibližně 01:27 úplné zastavení. První systémová porucha však přišla v 01:24:09, displeje prvního důstojníka zhasly kolem 01:25:33 a zapisovače skončily v 01:25:41. Model předpokládal plně funkční letoun a žádný kouř — podmínky, které ve skutečnosti neexistovaly.
Dráha 06: 8 800 stop proti až 12 400 stopám potřebné vzdálenosti
Ani dosažení letiště není totéž co bezpečné přistání. Dráha 06 v Halifaxu nabízela 8 800 stop, přibližně 2 682 metrů. S funkčními systémy by i 230tunový MD-11 při klapkách 50 podle tabulek potřeboval přibližně 4 920 stop a při klapkách 35 asi 5 316 stop. Nouzové přistání s nadváhou tedy samo o sobě nebylo mimo fyzikální možnosti stroje.
Požár však změnil konfiguraci. Trosky ukázaly klapky 15, nevysunuté sloty a možné ztráty automatických pozemních spoilerů, protiskluzového systému i automatických brzd. Pro hmotnost 230 tun vycházela odhadnutá dráha zastavení na 12 400 stop s klapkami 15, 11 100 stop s klapkami 28 a 10 000 stop i při nekonvenčních klapkách 50. Všechny tři hodnoty přesahují dostupných 8 800 stop.
Rozdíl lze převést bez dramatizace: nejlepší z těchto poruchových variant chybělo nejméně 1 200 stop, asi 366 metrů; konfiguraci odpovídající nalezeným klapkám chybělo 3 600 stop, téměř 1,1 kilometru. Za každých pět uzlů nad ideální rychlost se podle provozního grafu přidávalo dalších 1 000 stop. Reverzní tah by část vzdálenosti ubral, ale v kouři, bez slotů a s nejistými systémy nebyla garantována ani přesná rychlost nad prahem.
Tento výpočet neříká, že posádka neměla zkusit přistát. V okamžiku zjevného požáru byl pokus jedinou smysluplnou volbou, i kdyby znamenal vyjetí z dráhy. Ukazuje však, proč věta „stačilo přistát těžký“ není úplnou odpovědí. Letadlo nepotřebovalo jen doletět k asfaltu. Potřebovalo k němu přiletět v řiditelném stavu, s použitelnou konfigurací a rychlostí, kterou poškozený kokpit už nemuselo být možné udržet.
Checklist na 20 až 30 minut proti požáru, který dal posádce méně než 21 minut
Postup pro kouř a výpary neznámého původu měl izolovat zdroj postupným odpojováním elektrických sběrnic a změnami ventilace. U každé konfigurace bylo nutné čekat, zda kouř ustoupí. Podobné checklisty mohly podle TSB trvat 20 až 30 minut. Nešlo o pomalé čtení posádky, ale o logiku diagnostiky: změnit stav, pozorovat výsledek a teprve potom pokračovat.
Od prvního zápachu do nárazu bylo 20 minut a 40 sekund. Celý diagnostický postup tedy mohl být delší než zbývající život letadla, i kdyby začal okamžitě. Navíc nekladl přípravu na bezprostřední přistání na začátek; tento pokyn stál až u konce a byl tím fakticky upozaděn. Posádka tak plnila úlohu, která předpokládala čas k izolaci, zatímco požár tento čas sám ničil.
Chyběl integrovaný plán, který by spojil čtyři děje: okamžité přistání, aktivní hledání zdroje, přístup do skrytých prostor a koordinované hašení. Piloti řídili a diagnostikovali, kabina se připravovala na přistání, ale nikdo neměl konstrukčně reálný způsob, jak otevřít strop, najít několikacentimetrové ohnisko mezi kabely a izolací a zasáhnout jej dřív, než se rozšíří. Ruční hasicí přístroj nepomůže proti místu, k němuž nevede přístup.
Vyšetřování v hloubce 55 metrů: 98 procent konstrukce a 250 kilometrů vodičů
Záchranná akce začala okamžitě. Na moře vyrazily kanadské ozbrojené síly, pobřežní stráž, RCMP i místní rybáři a soukromé lodě. Brzy bylo zřejmé, že nejde o pátrání po přeživších, ale o mimořádně rozsáhlou identifikaci a technické vyšetřování. Hlavní pole trosek měřilo asi 125 krát 95 metrů a leželo 55 metrů pod hladinou.
Letový zapisovač byl vyzvednut 6. září, hlasový 11. září. Oba podvodní majáky vysílaly na stejné frekvenci a jejich držáky byly téměř odtržené, takže přesné zaměření nebylo jednoduché. Celkové vyzvedávání a třídění trvalo přibližně 15 měsíců. Potápěče a dálkově řízené prostředky doplnily dvě spojené bárky s těžkým jeřábem, vlečná loď na hřebenatky a nakonec sací bagr.
Těžký zdvih získal přibližně 68 040 kilogramů trosek. Vlečná loď provedla 1 839 zátahů a přidala asi 34 020 kilogramů. Dálkově řízená vozidla vyzvedla dalších 2 268 kilogramů. Při poslední fázi se dno odtěžilo do hloubky asi 1,5 metru, materiál prošel mechanickým sítem a pracovníci jej na dopravnících ručně přebírali; tak se našlo dalších 12 701 kilogramů.
Celkem bylo získáno přes 126 554 kilogramů letadlového materiálu — asi 98 procent konstrukční hmotnosti — a více než 18 144 kilogramů nákladu. Ve vojenském areálu Shearwater pracovalo přes 350 lidí. Postavili rám v měřítku jedna ku jedné a na něj vraceli identifikované části kokpitu a přední kabiny. Spálený strop, panely, potrubí a kabely tak znovu vytvořily prostorovou mapu teploty a směru ohně.
MD-11 obsahoval přibližně 250 kilometrů vodičů. Každý nalezený úsek se sazemi, tepelným poškozením nebo roztavenou mědí dostal číslo; databáze nakonec obsahovala asi 3 000 segmentů. Vyšetřovatelé kombinovali jejich polohu s požárními zkouškami, lety zaměřenými na proudění vzduchu, počítačovým modelováním, radarem a pamětí motorových řídicích jednotek. Tak mohli odlišovat stopy oblouku od pouhého ožehnutí a posoudit, které výboje mohly patřit k iniciaci a které vznikly až v rozvinutém požáru.
Co trosky prokázaly — a co zůstalo navždy otevřené
Důkazy vymezily nejpravděpodobnější místo počátku a elektrický oblouk jako jediný věrohodný iniciační mechanismus v této zóně. Prokázaly hořlavost MPET, šíření nad stropem a lavinu požárem vyvolaných elektrických poruch. Prokázané je i to, že žádné výbušné nebo zápalné zařízení ani trestný čin požár nespustily. Letoun se před nárazem konstrukčně nerozpadl a nevznikla mechanická porucha motoru, která by nehodu vysvětlila.
Neprokázané zůstává přesné místo prvního porušení izolace, předmět, kterého se vodič dotkl, a identita všech vodičů účastnících se prvního oblouku. Není jisté, zda byl důkaz 1-3791 prvním výbojem, nebo velmi časným následkem jiného výboje. Není známo, zda kapitán v posledních minutách seděl, co přesně dělal mimo polohu sedadla ani proč posádka vypnula motor číslo 2.
Také poslední poloha letounu má rozpětí, nikoli filmový záběr. Strukturální stopy ukazují přes 60 stupňů pravého náklonu a asi 20 stupňů přídě dolů; záložní horizont zachytil 110 stupňů, ale po ztrátě proudu nemusel ukazovat správně. Přesný okamžik ztráty prostorové orientace nelze určit. Vyšetřovací poctivost zde nespočívá v zaplnění mezer nejpravděpodobnější scénou, ale v ponechání jejich hranic viditelných.
Jedenáct příčinných zjištění: nikoli seznam viníků, ale mapa bariér
TSB nezveřejnila jednu větu nazvanou „pravděpodobná příčina“. Uvedla jedenáct zjištění k příčinám a přispívajícím faktorům. První skupina se týkala materiálů: nedostatečné certifikační normy dovolily hořlavé izolaci do provozu; MPET byl nejspíš prvním zapáleným a největším podílem paliva; k šíření přispěly i jiné krycí fólie, pásky, pěny, lepidla, suché zipy a silikonové díly.
Druhá skupina popsala zapálení a detekci: jističe neuměly chránit před každým obloukem, kabel 1-3791 nesl stopu pravděpodobně spojenou s iniciací, ale nebylo možné jej označit za jistý první zdroj. Nad stropem chyběly detektory i hašení. Závislost na zraku a čichu vedla k tomu, že počáteční kouř byl zaměněn za klimatizační anomálii.
Třetí skupina se týkala zvládání následků: letoun neměl integrovaný plán palubního hašení, který by posádku vedl k agresivnímu hledání zdroje a okamžité přípravě na nouzové přistání. Selhání silikonových koncovek přivedlo k ohni stálý proud vzduchu. Výpadky hlavních displejů nakonec donutily piloty přejít na malé záložní přístroje bez vnějšího horizontu, v prostředí, které prostorovou orientaci dramaticky ztěžovalo.
Tato struktura brání jednoduchému soudu. Kabel mohl být zapalovačem, ale bez MPET by nemusel ohrozit letadlo. Hořlavý materiál mohl existovat, ale detektor a přístupné hašení mohly požár odhalit dřív. Oheň mohl pokračovat, ale okamžitě formulovaný přistávací postup by zmenšil potřebný čas. A i při selhání všech předchozích bariér mohly odolnější elektrické trasy déle zachovat pilotům displeje, navigaci a rádia.
PĚT ROZŠÍŘENÝCH ZKRATEK, KTERÉ ZPRÁVA NEPOTVRZUJE
1. „Požár prokazatelně založilo palubní kasino.“ — Oblouk na kabelu IFEN pravděpodobně souvisel s iniciací, ale TSB neurčila jistý první vodič ani mechanismus porušení izolace.
2. „Piloti 13 minut nic nedělali.“ — Odklon vyžádali za 3:37, Halifax vybrali za 4:58 a zahájili rychlý sestup; 13:07 je čas do přepnutí CABIN BUS.
3. „Vypouštění paliva zabilo všechny na palubě.“ — Zatáčka přidala čas, ale ani ideální sestup od Pan Pan by podle TSB neskončil bezpečným přistáním před rozhodujícími výpadky.
4. „CABIN BUS založil požár.“ — Oheň už hořel. Předepsané vypnutí zastavilo ventilátory, obrátilo proudění a urychlilo pronikání spalin do kokpitu.
5. „Letadlo se ve vzduchu rozpadlo.“ — Konstrukce i řídicí plochy zůstaly do nárazu pohromadě. Kontrolu zničily požár, výpadky a podmínky v kokpitu.
Co se po letu 111 změnilo: izolace, kabeláž, doplňky i požární strategie
FAA nařídila směrnicí AD 2000-11-02 odstranění MPET izolačních přikrývek z DC-10 a MD-11 a jejich nahrazení vhodnějším materiálem. Nový předpis 14 CFR 25.856 zavedl pro tepelnou a zvukovou izolaci realističtější zkoušku šíření plamene pomocí sálavého panelu a také kritéria proti prohoření trupu. Předmětem testu už nebyl jen malý proužek, ale chování bližší skutečnému systému v letadle.
Schválení konkrétního IFEN bylo zrušeno směrnicí AD 99-20-08. Švýcarský úřad jeho validaci zrušil už v listopadu 1998 a Swissair zařízení vyřadil. FAA následně prověřovala další zábavní a telefonní instalace: u systémů spojených s 22 dodatkovými certifikáty chyběla posádce rychlá možnost odpojit napájení. Patnáct směrnic proto požadovalo vypínací obvody a odpovídající postupy; další příkazy se týkaly odstranění nebo deaktivace jiných zařízení.
Kontroly elektroinstalace MD-11 vedly k rozsáhlému opravnému programu; do května 2002 uváděla zpráva 41 souvisejících amerických směrnic letové způsobilosti. Poznatky ze Swissair 111 a TWA 800 se promítly také do širšího programu stárnoucích elektrických systémů. Změnily se části amerických předpisů a vznikla část 26, která požaduje programy údržby kabelových systémů u existujících velkých dopravních letadel.
Celkem TSB a americká NTSB vydaly 27 bezpečnostních doporučení: k hořlavosti materiálů a vodičů, odolnosti systémů proti požáru, schvalování STC, resetování jističů, detekci a hašení, prioritě rychlého přistání i zapisovačům. Právě let 111 ukázal cenu krátkého hlasového záznamu a společného napájecího bodu. Doporučení požadovala delší CVR, nezávislý zdroj na deset minut a oddělené generátorové sběrnice pro oba zapisovače.
Systémové doporučení TSB A00-16 žádalo kompletní přehodnocení palubního hašení: postupy mají začít plánováním nejbližšího přistání a zároveň umožnit rychle najít, zpřístupnit a potlačit zdroj. TSB v roce 2019 vyhodnotila reakci jako plně uspokojivou. Doporučení A03-04 k číselnému hodnocení integrace dodatečných systémů bylo v roce 2020 uzavřeno jen jako částečně uspokojivé. Bezpečnostní stopa nehody tedy není příběhem jediné opravy; některé bariéry se posílily více než jiné.
Autorská syntéza: největší deficit nebyl čas posádky, ale čas informace
Časová osa letu 111 má dvě odlišné nuly. Pro oheň začala ve chvíli elektrického oblouku, kterou neznáme. Pro posádku začala v 01:10:38 zápachem bez adresy. Mezi těmito okamžiky mohl požár růst, aniž by vytvořil údaj, který by pilotům řekl „hoří nad stropem vpravo vzadu“. Ztracený čas proto nelze celý připsat rozhodování lidí. Část mu odebrala konstrukce tím, že informaci vůbec nevytvořila.
Když se posádka rozhodovala, každá viditelná stopa byla slabší než skutečný stav. Kouř se na chvíli ztratil, v kabině nebyl cítit, přístroje nic nehlásily a klimatizační anomálie se v tehdejší praxi nepovažovaly za hrozbu vyžadující okamžité dosednutí. Piloti reagovali na zobrazený problém. Katastrofa se vyvíjela podle skrytého problému. Rozdíl mezi nimi se zmenšil až v 01:24 — a tehdy už nebyl časový náskok k dráze.
Z toho vyplývá přesnější poučení než slogan „při kouři hned přistát“. Ano, letadlo s neznámým kouřem musí co nejrychleji směřovat na zem. Současně ale musí konstrukce předpokládat, že lidské smysly jsou opožděný a neurčitý senzor; že skryté zóny potřebují detekci nebo přístup; že diagnostika nesmí trvat déle než nejhorší věrohodný požár; a že vypnutí nepodstatných systémů musí být skutečné, úplné a posádce srozumitelné.
Druhá lekce se týká sekvenčního myšlení. Checklist říkal: odpoj jednu skupinu, sleduj kouř, odpoj další. Požár ale současně pálil izolaci, měnil proudění, poškozoval vodiče a vytvářel nové oblouky. Bezpečnostní proces běžel v řadě, nebezpečí paralelně. Když je hrozba rychlejší než diagnostický cyklus, úspěchem není dokonalé určení vadné součástky; úspěchem je zachování minimálních funkcí a co nejkratší cesta k přistání.
Třetí lekce je o certifikaci změn. IFEN byl službou pro cestující, ale jeho napájení vedlo kokpitem a měnilo význam nouzového vypínače. Klasifikace podle účelu zakryla fyzické rozhraní. Každý nový systém by proto měl být hodnocen nejen otázkou, co se stane, když přestane fungovat, ale i co se stane, když hoří jeho kabel, jeho jistič nevybaví a posádka se pokusí odpojit vše nepodstatné.
A poslední lekce patří práci s vinou. Lze současně říci, že okamžitý nouzový sestup by byl lepší, že jižní zatáčka prodloužila cestu a že posádka nepoznala skutečný požár — a přitom respektovat závěr TSB, že Halifax zvolila včas a bezpečné přistání nebylo dosažitelné ani v ideálním modelu. Technická kritika nepotřebuje falešnou jistotu. Je silnější, když přesně oddělí lepší postup od výsledku, který už tehdy nemusel být zachranitelný.
Let 111 nebývá děsivý proto, že by posádka nic nedělala. Je děsivý proto, že dělala mnoho věcí správně podle systému, jenž nedokázal ukázat rychlost skrytého požáru. Od prvního zápachu k žádosti o odklon uplynulo 217 sekund. Od prvního zaznamenaného výpadku k nárazu 429 sekund. To druhé číslo je skutečný horizont záchrany, který stroj posádce nabídl — kratší než jakékoli reálné přiblížení z cestovní výšky.
Památník u Peggy’s Cove připomíná 229 lidí, nikoli jeden kabel, jednu fólii nebo jednu zatáčku. Technickou pamětí nehody je proto soubor nezávislých bariér, které po ní musely vzniknout: materiál, jenž se v reálné montáži sám nešíří; kabeláž, která snese stáří a údržbu; doplněk, který lze skutečně odpojit; detekce dřív než čich; postup kratší než požár; a přístroje, které zůstanou živé dost dlouho, aby se letadlo dostalo na zem.
Poznámka k rekonstrukci
Text vychází především z 352stránkové závěrečné zprávy Transportation Safety Board of Canada A98H0003, vydané v březnu 2003, z oficiální případové studie FAA a z navazujících bezpečnostních doporučení a směrnic. Všechny podrobné časy jsou UTC. Datum nehody je 2. září 1998 podle místního atlantského času; po přepočtu na UTC už bylo 3. září.
Číselné převody jsou redakční výpočty z oficiálních hodnot: 8 800 stop odpovídá přibližně 2 682 metrům, deficit 1 200 stop asi 366 metrům a deficit 3 600 stop asi 1,10 kilometru. Zaokrouhlení nepředstavuje nové měření. Rozdíl 217 sekund mezi zápachem a Pan Pan, 429 sekund mezi prvním výpadkem a nárazem a 20 minut 40 sekund celého intervalu je vypočten z časů TSB.
Zpráva nedoložila přesný první vodič, příčinu porušení jeho izolace, každou činnost posádky po 01:25:41 ani přesný údaj záložního horizontu při nárazu. Teoretický přílet v 01:27 není simulací skutečného letu, ale akademickou dolní mezí pro plně funkční letoun bez kouře a bez rozhodovací prodlevy. Článek tyto nejistoty nepřeklápí do jistých scén a odlišuje příčinná zjištění od rizik odhalených během vyšetřování.
Zdroje
TSB Canada — Aviation Investigation Report A98H0003 — primární závěrečná zpráva, 352 stran; CVR/FDR, letová dráha, požární a elektrická analýza, výpočty přistání, závěry a bezpečnostní opatření
FAA Lessons Learned — Swissair Flight 111, HB-IWF — oficiální technická případová studie; MPET, elektrický oblouk, IFEN/STC, regulační změny a seznam souvisejících směrnic
TSB Canada — Findings, A98H0003 — oficiální výtah příčinných zjištění, rizik a dalších zjištění ze závěrečné zprávy
TSB Canada — Safety Recommendations, A98H0003 — oficiální výtah vydaných doporučení a opatření k materiálům, hašení, postupům, zapisovačům a certifikaci
TSB Recommendation A00-16 — In-flight firefighting — integrovaná strategie pro rychlé přistání, nalezení, zpřístupnění a potlačení palubního požáru; stav hodnocení TSB
TSB Recommendation A03-04 — Supplemental Type Certificates — hodnocení integrace modifikací do původní typové konstrukce a konečný stav reakce regulátorů
FAA — 14 CFR 25.856, Thermal/Acoustic Insulation Material — oficiální znění nového standardu pro šíření plamene a odolnost proti prohoření izolačních systémů
FAA — Airworthiness Directive 2000-11-02 — povinné odstranění a nahrazení MPET izolačních přikrývek u letounů DC-10 a MD-11
FAA — Airworthiness Directive 99-20-08 — zákaz instalace a provozu systému IFEN schváleného pod STC ST00236LA-D
