Bezpiecznik C829 w położeniu otwartym. Dlaczego? Nikt nie wie, ale przez to kapitan Wrona stał się słynny

C829 BAT BUS DISTR w pozycji wyłączonej. To taki mały czarny plastikowy grzybek, tuż przy podłodze kabiny, za plecami pilotów. Tyle wystarczyło, żeby dziesięć lat temu życie 231 osób zawisło na umiejętnościach kapitana Tadeusza Wrony. Dlaczego tak się musiało stać, do dzisiaj nie wiadomo i najpewniej nigdy nie będzie pewności.

Dokładnie dekadę temu, pierwszego listopada 2011 roku, maszyna Boeing B767 linii LOT wylądowała awaryjnie bez wysuniętego podwozia na lotnisku Chopina na warszawskim Okęciu. Trudny i niebezpieczny manewr został wykonany przez załogę wzorowo, a potem równie sprawnie przeprowadzono ewakuację. W efekcie nikomu z 231 osób na pokładzie nic się nie stało, a zdarzenie stało się głośne na cały świat.

Jak szybko ustalono, co do zasady system awaryjnego wypuszczania podwozia działał. Tylko nie miał zasilania, ponieważ w kokpicie z nieznanego powodu był wyłączony wspomniany bezpiecznik C829. Kiedy go wciśnięto, podwozie podniesionego z pasa samolotu wysunęło się bez problemu.

Dokładne zbadanie wypadku i wydanie zaleceń zajęło ekspertom prawie sześć kolejnych lat. W obszernym raporcie Państwowej Komisji Badania Wypadków Lotniczych z 2017 roku dokładnie opisano, co się stało. Choć nie ma tam definitywnych odpowiedzi czy wskazania winnych.

Więcej tekstów na takie tematy znajdziesz na stronie głównej Gazeta.pl

 

Wszystko przez wąż i bezpiecznik

B767 linii LOT wystartował z lotniska Newark opodal Nowego Jorku przed świtem czasu polskiego. Oględziny samolotu przed lotem przeprowadzone przez amerykańskiego technika, kapitana Wronę i drugiego pilota Jerzego Szwarca, nie wykazały nic odbiegającego od normy. Dopiero w powietrzu czujniki wykryły spadek ciśnienia w jednym z systemów hydraulicznych odpowiadających za wysunięcie podwozia. Po naradzie z ziemią załoga postanowiła lecieć do Warszawy i wysunąć podwozie w trybie awaryjnym. Niezależnie od najwyraźniej uszkodzonego systemu hydraulicznego. Siedem godzin później nad Polską, ku konsternacji załogi, ów system awaryjny nie zadziałał. Nie pomogły konsultacje z ziemią, resetowanie systemów i weryfikowanie położeń wybranych przełączników oraz bezpieczników. Zawiodły też próby zmuszenia podwozia do wysunięcia się przy pomocy grawitacji i gwałtownych ruchów samolotem.

Badając samolot, specjaliści szybko, jeszcze zanim został zabrany z miejsca lądowania, znaleźli pierwotną przyczynę całej sytuacji. Jeden z węży w instalacji hydraulicznej pękł. Jak stwierdzono, stało się to po części z winy LOT. Koncern Boeing już w 2000 roku stwierdził, że sposób zainstalowania tej wersji przewodu, wprowadzonej do produkcji w 1995 roku, był wadliwy. Był poddawany większym obciążeniom niż powinien i czasem pękał. Opracowano więc modyfikację połączeń węża i nowy sposób jego instalacji. Zestaw odpowiednich części i instrukcję wykonania przeróbki zawarto w tak zwanym biuletynie technicznym, o którym są informowani wszyscy użytkownicy maszyn. Nadano mu jednak niski priorytet, czyli wykonanie modyfikacji było nieobowiązkowe. W LOT zdecydowano jej nie przeprowadzać, opierając się na "własnej ocenie i wcześniejszym doświadczeniu". Przewód były zgodnie z normami sprawdzany co trzy tysiące godzin w powietrzu. Ostatni raz technicy badali go w marcu 2011 roku i nie stwierdzili żadnych problemów. Osiem miesięcy później pękł tam, gdzie było to według Boeinga najbardziej prawdopodobne.

Niezależnie od tego, podwozie samolotu powinno móc wysunąć się przy pomocy awaryjnego napędu elektrycznego. Dlatego możliwość pękania przewodu nie wywołała alarmu. Zawsze był zapas, szanse były małe, więc modyfikacja miała charakter opcjonalny. W tym feralnym locie nie zadziałał jednak też system awaryjny. Nie miał prawa, bo po prostu miał odcięte zasilanie przez wyłączony bezpiecznik C829. Dlaczego załoga tego nie zauważyła? Komisja nie potrafiła jednoznacznie stwierdzić.

Kluczowe przeoczenie

Bezpiecznik C829 jest umieszczony w lewym dolnym rogu panelu P6-1. Czyli znajdował się tuż nad podłogą za fotelem pierwszego oficera, który w krytycznych momentach sprawdzał położenie bezpieczników i przełączników. Kapitan, siedząc na swoim lewym fotelu, nie mógł go dostrzec. Drugi pilot siedząc na swoim, mógł, ale musiałby się bardzo wysilić i miał na to małe szanse. Jednak podczas lotu wstawał z fotela i chodził po kokpicie. Przyglądał się nawet panelowi P6-1, gdzie znajdował się też bezpiecznik C4248, bezpośrednio kontrolujący zasilanie systemu awaryjnego wypuszczania podwozia. Ten jest jednak umieszczony w jego górnej części, około 30 centymetrów nad podłogą. Był wciśnięty. Z jakiegoś powodu pilot nie zauważył położonego nieco niżej wyłączonego C829, który był bezpiecznikiem zbiorczym, drugą warstwą zabezpieczenia między innymi awaryjnego wypuszczania podwozia i kilku innych, działających jedynie w rzadkich sytuacjach nadzwyczajnych. Systemy elektryczne i elektronika samolotu były tak skonstruowane, że ten fakt nie był nigdzie sygnalizowany. Nie było też o nim żadnej wzmianki w procedurach awaryjnych.

Komisja w swojej analizie stwierdziła, że takie przeoczenie było możliwe ze względu na trudną i stresującą sytuację, w jakiej był drugi pilot. Leciał samolotem od wielu godzin, ze świadomością poważnej awarii głównego systemu wypuszczania podwozia. Zbliżała się krytyczna faza lotu, czyli lądowanie. Dodatkowo z niezrozumiałych dla niego przyczyn nie działał awaryjny system wypuszczania podwozia. Wszystkie dostępne na pokładzie instrukcje awaryjne nie pomogły rozwiązać problemu. Jednocześnie musiał prowadzić komunikację z kontrolą lotów, pilotami dwóch myśliwców F-16 towarzyszących B767 w ostatniej godzinie lotu, a przede wszystkim konsultować się z ekspertami technicznymi na ziemi i wykonywać ich polecenia. Wszystko pod wielką presją i samodzielnie, ponieważ kapitan był skupiony niemal wyłącznie na pilotowaniu. W takiej sytuacji zdaniem ekspertów było możliwe, iż przegapił fakt wyłączenia bezpiecznika, o którego istotności nie poinformowały go ani procedury awaryjne, ani specjaliści na ziemi. Po prostu sprawdzając panel P6-1 skupił się na kluczowym bezpieczniku C4248 i nie zerknął w dół.

Eksperci badający wypadek podkreślili, że we współczesnym lotnictwie ogromne znaczenie mają wyuczone rutynowe i automatyczne działania załogi, oraz ścisłe przestrzeganie procedur. Dopiero na trzecim miejscu jest samodzielna analiza i krytyczne myślenie, na które w sytuacji nagłej i stresującej może nie być czasu oraz miejsca.

Komisja starała się też wyjaśnić, dlaczego właściwie C829 był wyłączony i kiedy to się mogło stać. Niestety tu również nie było jednoznacznej odpowiedzi. Bezpiecznik zbadano na szereg sposobów, a nawet wysyłano do USA. Wszystkie próby stwierdziły brak problemów i poprawne działanie. Pozostało więc takie wytłumaczenie, że został przypadkowo wyłączony przez kogoś w kokpicie. Załoga zeznała, że przed startem sprawdzała położenie wszystkich bezpieczników, co potwierdziła, podpisując stosowny dokument. Czyli na ziemi w USA C829 musiał być wciśnięty, bo nikt nie zauważył, aby nie był. Musiał zostać wyłączony w jakiś sposób później, już po kontroli przed odlotem. Kiedy i dlaczego pozostaje niewyjaśnione.

Eksperci ustalili jednak, że w przeszłości linie lotnicze zgłaszały do Boeinga problemy z panelem P6. Ponieważ jest umieszczony tuż nad podłogą i za fotelem drugiego pilota, zdarzały się przypadki niezamierzonego wyciągnięcia bezpieczników. Czy to podczas sprzątania, czy to przypadkowo stopą, czy za sprawą toreb załogi zawierających dokumenty. Boeing problem dostrzegł i najpierw zaoferował dodatkowe odpłatne osłony na cały panel. Potem wprowadził je jako standardowe wyposażenie, ale dopiero kilka lat po wyprodukowaniu tego konkretnego B767 należącego do LOT. Polska linia lotnicza nie zdecydowała się kupić dodatkowej osłony.

Wypadek bez następstw

Eksperci z PKBWL nie oceniają. Nie orzekają o winie. Nikogo nie oskarżają. Jedynie stwierdzają fakty i wydają zalecenia. W tym wypadku zalecili jedynie pewne zmiany w instrukcjach dla pilotów na wypadek problemów z podwoziem i dodanie takiej na wypadek lądowania bez niego. Boeing polskie sugestie odrzucił. Amerykanie stwierdzili, że nie należy dodatkowo komplikować instrukcji, które mają być maksymalnie proste i zakładają, że uprzednio załoga zweryfikuje między innymi położenie wszystkich adekwatnych bezpieczników:

Instrukcje dotyczące list kontrolnych informują, że zakłada się, iż przed rozpoczęciem czynności zawartych w listach kontrolnych dotyczących sytuacji nienormalnych (NNC) elementy sterujące poszczególnych systemów są normalnej konfiguracji odpowiadającej danej fazie lotu. W odniesieniu do rozważanego zdarzenia normalna konfiguracja oznacza, że stosowne bezpieczniki są we właściwych położeniach (zamknięte)

Podobne zalecenia co do procedur skierowano do LOT. Polacy częściowo je spełnili. Zapewnili też, że zwrócili się do amerykańskiego koncernu z pytaniem o możliwość instalacji osłon na panele bezpieczników. Dodatkowo zalecono drobne poprawy w działaniu systemu ratowniczego na lotnisku Chopina, co zostało zrobione.

Ewentualne pociąganie uczestników wypadku do odpowiedzialności to zadanie prokuratury. Ta jednak nie stwierdziła za zasadne tego robić w tym przypadku. Wręcz przeciwnie, załoga maszyny była fetowana jak bohaterowie i otrzymała państwowe odznaczenia. Sam samolot skończył jako dawca części i złom. Awaryjne lądowanie spowodowało poważne uszkodzenia kadłuba, których usuwanie w tak starej maszynie (24 lata) uznano za nieopłacalne. Najpierw sprzedano nadające się do napraw silniki. Reszta maszyny nieco ponad pół roku później została sprzedana na części. Dwa lata po awaryjnym lądowaniu i wymontowaniu wszystkiego, co miało jakąś wartość, została pocięta na złom.