Strona główna / Moim zdaniem / Katastrofy lotnicze a czynnik ludzki

GP #4, 12 lutego 2011 r.

Katastrofy lotnicze a czynnik ludzki

KPT. PILOT ŁUKASZ TURKOWSKI

„Matematyczny formalizm do modelowania zachowań człowieka” – to pewnie nie jest proste, ale też nie jest nierealne, biorąc pod uwagę próby stworzenia sztucznej inteligencji – w tej dziedzinie, przyznaję, jestem ignorantem. Sądzę, że nie ma prostej odpowiedzi na takie pytanie, ale może warto spróbować? Ja w każdym razie sądzę, że chodzi o uwzględnienie w symulacji czynnika ludzkiego, jakkolwiek by to rozumieć. Zacznę od niezbędnego w tej sytuacji wprowadzenia.

Sytuacje określane jako „krytyczne” w czasie pilotowania samolotu mogą być różnego rodzaju. Jeżeli przyjrzymy się dwóm katastrofom samolotów IŁ-62 PLL LOT, obydwu spowodowanym wadami technicznymi rosyjskiego sprzętu, to zasadniczą różnicą jest czas, jaki minął od wystąpienia usterki do katastrofy. W pierwszym przypadku, 14 marca 1980 r., było to około 20 sekund, w drugim, w maju 1987 r. – kilkadziesiąt minut. W pierwszym przypadku kapitan próbował wszystkich sposobów, aby wyprowadzić samolot z nurkowania: wolant nie działał, nie działał trymer, a więc podjął próbę otwarcia klapki zakrywającej przełącznik awaryjnego sterowania trymerem i prawdopodobnie już nie zdążył. W drugim przypadku załoga miała czas na przedyskutowanie różnych wariantów, wybrała optymalny, na podstawie informacji, jakie posiadała. Niestety, nie mieli informacji o rozwijającym się w tylnym bagażniku pożarze, a kiedy do nich dotarła, było za późno, żeby coś zmienić. To, co załogi tych samolotów robiły, wynikało z ich wiedzy i doświadczenia. To była walka do końca, i nie przypuszczam, że ktokolwiek z nich dopuszczał do siebie myśl o tym, iż zginie, a więc świadomość zagrożenia nie wpływała na ich działanie.

Kiedy w 1993 r. w Seattle pierwszy raz zetknąłem się z metodami szkolenia i standardami postępowania w sytuacjach awaryjnych przyjętymi przez Boeinga, przeżyłem szok. Instruktor na odprawie powiedział mniej więcej tak: „Jeżeli pali się silnik, popraw sobie skarpetki, zobacz, która godzina, a następnie oceń sytuację, zdiagnozuj problem, jeżeli okoliczności tego wymagają, wykonaj memory items, a następnie wyciągnij QRH (Quick Reference Handbook) i postępuj według zapisów”. Tak to powinno wyglądać. Pośpiech, nieprzemyślane, często błędne decyzje nie raz doprowadziły do katastrofy.

Przykład. Jeden z naszych instruktorów wymyślił takie ćwiczenie – oczywiście na symulatorze: najpierw flame out jednego silnika, a później pożar drugiego. Otóż silnik, który z jakichś powodów gaśnie (np. pył wulkaniczny), przez długi czas nic nie sygnalizuje. Obroty spadają wolno, a więc ciśnienia oleju i instalacji hydraulicznej są w normie. W tej sytuacji pojawienie się pożaru drugiego silnika – sygnalizowane i dźwiękowo i optycznie – powodowało, że załogi w 90% wyłączały palący się silnik i uruchamiały instalację gaśniczą. W efekcie w kokpicie zapadała cisza i można było już tylko próbować lądować gdzieś bez silników. A wystarczyło poświęcić 10 najwyżej 15 sekund na analizę wskazań przyrządów silnikowych. Palący się silnik wciąż wytwarza ciąg... Szybkie i właściwe działanie konieczne jest, gdy mamy awarię podczas startu, kiedy trzeba podjąć decyzję, czy można start przerwać, czy trzeba kontynuować, i dlatego podczas sesji symulatorowych, dwa razy w roku, przerwane i kontynuowane starty były stałym punktem programu. Na symulatorach start przerywałem setki razy, w realnym samolocie, w ciągu 30 lat – nigdy.

Jak się reaguje na awarie, które zaskakują nas w krytycznych fazach lotu, tuż po starcie, krótko przed lądowaniem? Jeżeli jest to awaria silnika tuż przed lądowaniem – nie robi się nic. Kontynuuje się podejście. Jeżeli po starcie – najpierw nabiera się wysokość, potem jest czas na działania. Awaria układu sterowania przed lądowaniem? Wiem coś o tym. Bez szczegółów, ale to był też TU-154. Tu nie było czasu na rozmowy. Jest wolant, są trymery i nadzieja, że coś w końcu zadziała. Zadziałało... Inna sytuacja. Gdzieś w okolicach Teheranu. Noc, rozgwieżdżone niebo i nagle na wskaźniku symbol samolotu. Leci z naprzeciwka, ma tę samą wysokość. Prędkość względna ok. 1500 km/godz. (400 m/s). Zapalamy reflektory i ci naprzeciw też zapalają. Znaczy nie śpią. Co w tej sytuacji? Cisza i oczekiwanie na komendę TCAS (Traffic Collision Avoidance System). To musi zadziałać i innej szansy nie ma. Sam nie masz prawa nic zrobić. Masz tylko być gotowy. W końcu jest: TRAFFIC, TRAFFIC i za chwilę CLIMB, CLIMB. Odłączenie autopilota, pełna moc... Bez emocji. Na to będzie czas po lądowaniu. Można będzie wypić szklankę za wspaniałe wynalazki poprawiające błędy kontrolera.

Start z lotniska Kennedy’ego w Nowym Jorku. Kontroler daje zgodę na start 40 sekund po Jumbo Alitalii. Jak zwykle, ignorują separacje mające zapobiec wejściu w ślad aerodynamiczny poprzednika i uniknąć lotu w wake turbulence. Lotnisko zapchane, kolejka samolotów długa, my też kołowaliśmy ponad pół godziny. Była to jakaś presja, kontroler oczekiwał, że ja też zignoruję zapis o separacjach, żeby nie zatkać lotniska i nie kazać tym, co są za mną, czekać jeszcze dłużej. Mógłbym się uprzeć i odczekać jeszcze minutę, powinienem tak zrobić. Też powinien zaczekać 5 miesięcy później kapitan Airbusa A-300, który walcząc z wake turbulence wdepnął gwałtownie ster kierunku, co z niejasnych powodów spowodowało urwanie statecznika pionowego. Wszyscy plus parę osób na ziemi zginęli po uderzeniu w domy na Queens. Ale jest 5 miesięcy wcześniej, mam zgodę na standardowy odlot, taką samą i z tego samego pasa, jaką dostanie dużo później Airbus i jaką dostał przed chwilą Jumbo Alitalii. Startuję. Długo nie musiałem czekać. Samolot zaczął się zachowywać tak jak gazeta unoszona przez porywisty wiatr. Na stery reagował z opóźnieniem albo wcale. Tu naprawdę nie ma o czym mówić i nie ma na to czasu. Walka ze sterami, zwiększenie mocy i w końcu ucieczka do góry. Jumbo wznosił się, jak przewidywałem, wolniej.

Czy zdarzało mi się przekraczać przepisy? Tak. W jednym przypadku spóźnienie (późne wyjście z domu, korek na trasie, brak miejsc na parkingu) i wynikający z niego pośpiech, zaufanie do FO (First Officer), który jednak nie sprawdził wszystkiego, o co go prosiłem, w efekcie podejście do lądowania w warunkach poniżej minimów. Ale też postawienie sobie granicy nieprzekraczalnej. Idiotyczna próba zatuszowania niestaranności sprzed startu, w porę, dużo za nisko przerwana. Pogoda po krótkim oczekiwaniu poprawiła się i można było zrobić kolejne podejście zgodnie z przepisami. Jeżeli to była presja, to wewnętrzna.

Powtarzam: tu nie ma powodów do „dramatycznej zmiany zachowania”. Tu jest szybka ocena sytuacji i reakcja wynikająca z doświadczenia, wiedzy lub czasem instynktowna. Emocje przychodzą później, po locie. Nie ma znaczenia, kto jest na pokładzie. To może być prezydent. Nie zdarzyło mi się to, ale miałem sytuacje, kiedy na pokładzie była moja żona (stewardesa) i dwójka moich dzieci. To też nie jest powód do zmiany zachowania. Nie można i nie da się być bardziej odpowiedzialnym, kiedy ma się na pokładzie kogoś bliskiego, bo to znaczyłoby, że w innych przypadkach jest się mniej odpowiedzialnym. Trzeba pamiętać, że w każdym przypadku na pokładzie jest ktoś, kto jest najważniejszy. Ja sam. Jeżeli zrobię wszystko, co możliwe, żeby być bezpiecznym, wszyscy będą bezpieczni.

Nie spotkałem się nigdy z wywieraniem presji w sprawach zasadniczych, sprawach bezpieczeństwa. Zdarzały się przypadki, kiedy próbowano namówić mnie do zrobienia czegoś niezgodnie z zasadami, przepisami, ale to raczej drobiazgi. Np. dotyczące zabrania osoby wyraźnie chorej, ale bez wymaganego zaświadczenia lekarskiego. Pasażera pijanego, bo „to przecież też pasażer, który zapłacił za bilet”. W takich przypadkach odmawiałem. Były naciski, aby zgodzić się przedłużyć czas pracy lub skrócić przerwę między lotami, poza limity wyznaczone przepisami. Zdecydowanie odmawiałem, jeżeli pierwotną przyczyną było czyjeś zaniedbanie lub niekompetencja. W takich przypadkach nacisk czy groźby (zdarzało się, że prezes firmy miał na biurku donos, zanim wróciłem do Warszawy) wywoływały wręcz odwrotny skutek. Gorsze jest to, co nazwałem presją wewnętrzną. Kapitan KLM, który spowodował największą do tej pory katastrofę (Teneryfa), koniecznie musiał tego dnia wrócić do domu, śpieszył się, a nikt z załogi nie potrafił zwrócić mu w krytycznym momencie uwagi, że robi błąd. FO raz mu zwrócił, ale drugi raz się nie odważył, ze względu na swoją słabą pozycję i bardzo wysoką pozycję w KLM kapitana – instruktora. FO w locie do Smoleńska odezwał się w końcówce lotu raz. Powiedział „odchodzimy” w momencie, kiedy można było to jeszcze zrobić. Dlaczego zabrakło mu konsekwencji?

Nie wiem, jak to można ująć matematycznie. Zadziałała tu zasada nieoznaczoności Heisenberga. Ma ona zastosowanie nie tylko w fizyce kwantowej. Chodzi o to, że wprowadzenie urządzenia pomiarowego zniekształca rzeczywistość. Takim „urządzeniem pomiarowym” może być kamera filmowa – ludzie w obecności kamery zachowują się inaczej niż bez niej (chyba, że to ukryta kamera) – ale może to być też obecność innego człowieka. FO inaczej zachowywałby się, gdyby w kokpicie nie było Dowódcy Wojsk Lotniczych. A był, temu nikt nie zaprzecza. Ostatnie sekundy życia upłynęły FO w dużym napięciu. Kapitan bez uprzedzenia zmienił plan. Mieli zniżyć się do 100 m i w przypadku złej pogody odejść. Zniżał się dalej. Dlaczego? Presja wewnętrzna. Pamiętał, że „oficer nie może być lękliwy”, pamiętał interpelacje poselskie i doniesienia do prokuratury. Wiedział, że za plecami stoi człowiek, od którego zależy jego kariera. Miał świadomość, że może dużo zyskać, jeżeli wyląduje. A JAK-40 przecież wylądował.

Ktoś może powiedzieć, że piszę bzdury, nie ma na to żadnych dowodów. Dobrze. Zostawmy to, co działo się w jego świadomości. Wycofuję się. Wróćmy do FO. Więc kapitan bez uprzedzania załogi rozpoczyna zniżania. Nie mówi, do jakiej wysokości chce się zniżyć. Nie mówi nic. A może mówi, tylko się nie zapisało? Tylko, że FO na 80 m mówi „odchodzimy”. Czyli jednak nic nie było ustalone. Dlaczego nie reaguje bardziej zdecydowanie? Obecność generała zmieniła rzeczywistość, jak promień świetlny zakłóca pęd cząsteczki, podczas pomiaru położenia. Może, gdyby byli sami, powiedziałby „K...a! Co robisz?!” i złapał za stery. A tak, to tylko siedział, patrzył, co się dzieje i miotał się pomiędzy wątpliwościami, strachem a kalkulacją. To napięcie rozładował okrzykiem „K...a mać!” w momencie zderzenia z drzewami. To była wściekłość, myślę, że głównie na siebie, że jednak nie zareagował... Może tak nie było. Może się mylę, ale czuję to, patrzę na to przez pryzmat 15000 godzin w kokpicie. Jest to bardziej prawdopodobne niż te spekulacje o zamachu, o tym, że kontroler wprowadził ich w błąd. Jeżeli to miał być zamach, to jest tylko jedna możliwość. Idiotyczna. To musiałaby być samobójcza misja kapitana.

W latach 80. latałem na liniach krajowych AN-24. Większość lotnisk to były lotniska wojskowe, współużytkowane przez LOT. Kiedyś, po przejściu na łączność z wieżą jednego z takich lotnisk, zorientowaliśmy się, że do lądowania tam podchodzi jeszcze jeden samolot LOT z innego miasta. Po chwili doszło do naszej świadomości, że kontroler się gubi, nie wie, z kim rozmawia, wydaje bezsensowne polecenia. Podziękowaliśmy mu za współpracę, z kolegami z drugiego samolotu ustaliliśmy swoje pozycję i sami zapewniliśmy sobie separację do lądowania. Po lądowaniu zadzwoniliśmy po milicję i jeden z kolegów pojechał z milicjantami na wieżę. Kontroler był kompletnie pijany. Czy w związku z tym mieliśmy się pozabijać, bo kontroler nie wiedział, co robi?

Mogę jeszcze napisać, jak czuje się pilot samolotu pasażerskiego, który odwraca się i widzi faceta trzymającego w jednej ręce granat, a palec drugiej ręki ma włożony w kółko zawleczki. A ręce się trzęsą... Tu nie ma paniki, jest spokój, żal, że to mi się trafiło i świadomość, że za chwilę może mnie nie być. A dalej to już spokojna rozmowa z porywaczem, spełnienie jego żądań (polecieliśmy na Tempelhof). Nie byliśmy bohaterami. Wręcz zabawialiśmy go rozmową (syndrom sztokholmski?), dokładnie tłumaczyliśmy, co aktualnie robimy, a co będziemy robić za chwilę. Obroną przed zagrożeniem nie jest ucieczka czy agresja. Obroną jest działanie – im większe zagrożenie, tym precyzyjniejsze. Skupienie na tym, żeby nie popełnić błędu.

Podczas jubileuszu Wydziału Mechaniczno-Energetycznego i Lotnictwa Politechniki Warszawskiej spotkałem znakomitego pilota, również absolwenta MEiL, pracującego latami w Instytucie Lotnictwa w dziale prób w locie a później w PLL LOT, Jana Gawęckiego. Przedstawił on zwięzłą, lecz trafną ocenę sytuacji po katastrofie pod Smoleńskiem. Stwierdził mianowicie, że w Polsce mało jest ludzi, którzy wiedzą, dlaczego samoloty latają, ale wszyscy wiedzą, dlaczego spadają. Słyszałem też, jak ktoś, chyba premier, powiedział, że raport komisji badającej wypadek musi być do przyjęcia przez opinię publiczną. Jest to nonsens, gdyż dla mnie opinia publiczna w tej sprawie jest zbiorowym ignorantem.

Prosty przykład. W dniu katastrofy podstawowym pytaniem, które sobie zadawałem, było, jakie były tam warunki meteorologiczne, jaki był system podejścia i jakie były minima do lądowania samolotu i załogi. Dziennikarze odkryli, że jest coś takiego jak minima po pewnym czasie, podawane w mediach przez różne źródła informacje różniły się znacząco, a gdy ostatnio zadałem paru osobom pytanie, jak rozumieją te minima, dlaczego są one różne dla lotniska, samolotu i załogi, to nikt nie potrafił sensownie odpowiedzieć. A jest to sprawa fundamentalna i nie jedyna dla zrozumienia, co się stało. Również mówienie o rejestratorach „czarne skrzynki” (tu dziennikarze dodają: „koloru pomarańczowego”) jest nieprecyzyjne. Opinia publiczna, czyli przeciętny ignorant, pod tym pojęciem rozumie rejestrator rozmów w kabinie pilotów – Cocpit Voice Recorder. Jego zapisy są ważne, ale naprawdę ważne stają się po zsynchronizowaniu ich z informacjami z rejestratorów parametrów lotu. O ile zapisy wypowiadanych przez załogę i kontrolerów kwestii są częściowo dla niefachowców zrozumiałe, zwłaszcza zapisy ostatnich słów przed katastrofą, to trudno oczekiwać, że ktoś nie mający pojęcia o technice lotniczej jest w stanie zrozumieć cokolwiek z zapisu setek parametrów, informacji o położeniu przełączników, organów sterowania. Czy mamy dostęp do wiarygodnych zapisów? Tak. Na pokładzie, oprócz tych czarnych skrzynek koloru pomarańczowego, które ciągle są u Ruskich, był nowoczesny Quick Access Recorder (QAR) polskiej firmy ATM. Ten rejestrator (podobnych używa PLL LOT) zapisuje to samo i jeszcze trochę więcej niż te rosyjskie. Zapis nie jest na taśmie magnetycznej, ale w pamięci urządzenia i służy do bieżącego monitorowania stanu urządzeń, ale też w LOT do analizowania poprawności działań załogi przez Dział Bezpieczeństwa. Po każdym locie dane na dyskietce trafiają właśnie tam. Komputer skanuje zawartość i sygnalizuje odejścia parametrów poza ustalone progi. Jeżeli wszystko jest w porządku, dyskietka odkładana jest do archiwum, jeżeli nie, jest dokładnie sprawdzana, załoga proszona o wyjaśnienia lub, przy poważnych naruszeniach, dyscyplinowana w stosowny sposób. Otóż rejestrator ATM QAR został przekazany prokuraturze wojskowej zaraz po wypadku. Sądzę, że są tam wszystkie informacje o przebiegu całego lotu, stanie urządzeń, działaniach załogi, i są to wiarygodne informacje. Chyba, że przyjmiemy zasadę ograniczonego zaufania do naszej armii.