Poté, co jsem si přečetl některé články a zhlédl několik videí na téma „Proč havarovaly Boeingy 737 MAX…“, si nemohu pomoci a musím se ozvat. Nejsem rozhodně nekritickým zastáncem firmy Boeing a jejích produktů, ale opravdu mi začíná vadit, co se kolem této záležitosti děje. Čím dál tím více se mi příčí sledovat komentáře a soudy všech těch náhle se vynořivších odborníků na konstrukci, certifikaci a provoz letadel a při čtení „odborné“ terminologie, kterou používají, se mi ježí chlupy na zádech.

Bohužel celá „aféra MAX“ je další ukázkou toho, jak sice sebevědomí, nicméně absolutně nekvalifikovaní jedinci dělají bez konzultace s opravdovými odborníky a bez uzardění dalekosáhlé závěry, které pak servírují veřejnosti a ta jim, nemaje opravdu odbornou alternativu, bezmezně věří.

Nejsem tak samolibý, abych se považoval za experta z největších, nicméně: vzděláním jsem konstruktér letadel, už víc než dvě desetiletí pracuji v provozu, údržbě a konstrukci civilních letadel, takže si troufám tvrdit, že mohu pohovořit poněkud zasvěceněji.

Jako obvykle, nic není tak jednoduché, jak by si leckdo přál, a tak je třeba určitého teoretického základu ke správnému pochopení byť jen popisu toho, o co ve věci Boeingu 737 MAX jde, o činění závěrů ani nemluvě.

Pokusím se být stručný: každé letadlo má systém řízení, které ovládá jeho pohyb kolem tří os: klonění, klopení a směr. Řídící plochy, kterými se ovládá klonění, tj. náklon letadla doprava či doleva (a jako vedlejší efekt zatáčení doprava či doleva) se nazývají křidélka a jsou umístěna u konce křídel na jejich odtokové hraně. Řídící plochy ovládající klopení, tj. nos dolů nebo nahoru, se jmenují výšková kormidla a jsou pohyblivou částí na odtokové hraně vodorovného stabilizátoru, což je to „malé křídlo“ na konci trupu letadla, a konečně směr se ovládá směrovým kormidlem, které je pohyblivou částí svislého stabilizátoru, neboli kýlu letadla, to je onen „ocas“ vyčnívající vzhůru na konci trupu, i když toto řízení se v praxi používá spíše k udržení stabilizované zatáčky. Ale to bychom se dostali moc hluboko. Aby to nebylo jednoduché, toto výše popsané je takzvané primární řízení. Letadlo však má i sekundární řízení, neboli vyvážení, někdy nazývané trim.

K vysvětlení, k čemu je toto sekundární řízení dobré, je třeba lehce zabrousit do aerodynamiky. Jak známo letadlo letí, protože má křídla. Vědečtěji řečeno, na křídle vzniká obtékáním vzduchu vztlaková síla, která kompenzuje tíhovou sílu nebo chcete-li hmotnost letadla. Je-li vztlaková síla rovna hmotnosti letadla, letadlo letí v horizontu, je-li nižší, letadlo klesá, je-li vyšší, stoupá. Vztlaková síla vzniklá na křídle však vytváří i klopivý moment, a to směrem „nos dolů“. Proto má letadlo onen vodorovný stabilizátor, který vytváří „negativní“ vztlakovou sílu, to je směrem dolů, a tím se kompenzuje onen klopivý moment od vztlaku na křídle. To je jedna část teoretické přípravy.

Teď druhá část: velikost vztlaku na křídle závisí mimo jiné na druhé mocnině rychlosti nabíhajícího proudu vzduchu, tedy zjednodušeně rychlosti letu, a na takzvaném úhlu náběhu, což je úhel mezi takzvanou tětivou, pro zjednodušení řekněme osou profilu křídla, a směrem tohoto proudu vzduchu. Platí, že s rostoucím úhlem náběhu vztlak roste, ale pouze do dosažení takzvaného kritického úhlu náběhu. Potom nastane takzvané přetažení, odtržení proudění z křídla a prudká ztráta vztlaku. Pokud se úhel náběhu nevrátí pod tento kritický úhel, dojde k pádu letadla.

Z výše uvedeného plyne pár věcí: pro různé rychlosti horizontálního letu je třeba různých úhlů náběhu, abychom vytvořili právě takový vztlak, který je roven aktuální hmotnosti letadla. A logicky: čím rychleji letíme, tím úhel náběhu nižší. Aby pilot nemusel celou cestu udržovat ten správný úhel náběhu tak, že drží „berany“ buď mírně přitažené, nebo mírně potlačené, má letadlo právě onen sekundární systém řízení, jehož pro tento účel nejdůležitější částí je vyvážení vodorovného stabilizátoru. U rychlých proudových letadel to funguje tak, že je možné za letu měnit úhel nastavení, tj. de facto úhel náběhu celého vodorovného stabilizátoru, čímž lze vhodně měnit vztlakovou sílu na stabilizátoru a takto nastavenou rovnováhou zajistit, že letadlo samo letí bez zásahů do řízení (bez držení beranů) v horizontu. Pozor, nemluvíme o autopilotu!

A teď se oklikou, za kterou se omlouvám, ale kterou považuji za nezbytnou, dostáváme ke kauze Boeing 737 MAX. Všechny verze Boeingu 737 od roku 1967, kdy vzlétla první, tj. původní verze -100 a -200, dále verze série dnes zvané Classic nebo CL, tj. -300, -400 a -500, verze zvané New Generation nebo NG, tj. -600, -700, -800 a -900, i ony dnes tak propírané MAX 8 a MAX 9, mají stavění úhlu stabilizátoru řešeno primárně elektromotorem. Ten se ovládá buď malým přepínačem na beranech, anebo jej umí ovládat autopilot. Pokud tento systém přestane fungovat, po stranách středního pultu mezi piloty jsou dvě kola, jejichž točením dopředu-dozadu lze stabilizátor mechanicky lanovodem také nastavovat. Takto to mají v podstatě všechna větší letadla.

Samozřejmě i letadlo je jen stroj, který se může porouchat. Na to myslí předpisy, podle kterých se konstruují a certifikují (tzn. schvalují) letadla. V případě letadla velikosti Boeingu 737 je to předpis FAR-25 nebo jeho evropské dvojče předpis CS-25. Tyto předpisy mimo jiné říkají, že zásadní systémy musí být řešeny tak, aby jejich funkci bylo možno nějak nahradit, anebo jeho porucha byla běžnou posádkou řešitelná. Proto pro případ úplné poruchy elektromotoru je letadlo vybaveno zmiňovaným ručním mechanickým ovládáním, a pro případ, že by se elektromotor „zbláznil“ a začal si dělat se stabilizátorem, co chce, čemuž se říká „runaway stabilizer“, je jednak síla elektromotoru taková, že když pilot pevně chytne ono kolo, měl by elektromotor „přeprat“, a pokud ani to nestačí, je letadlo vybaveno spínačem „Trim Stab Cutout“, kterým se prostě odpojí přívod elektřiny k nezbednému elektromotoru. Samozřejmě, že podmínkou je reagovat včas, protože pokud se stabilizátor dostane do extrémní pozice, pilot již nemusí mít sílu na to, aby jej manuálně přestavil zpět z důvodu extrémních aerodynamických sil. Ale toto je v souladu s výše citovanými předpisy.

To výše naznačené musí každý pilot s typovou kvalifikací pro B 737 znát nazpaměť, je to součást nouzových postupů, anglicky emergency procedures, které se procvičují na simulátoru, aby pilot uměl nebezpečnou situaci včas rozpoznat a správně na ni reagoval.

Co se tedy v případě 737 MAX stalo? Tato verze se mimo jiné liší od předchozích instalací nových silnějších a větších motorů CFM LEAP. Ty jsou z prostorových důvodů instalovány více před křídlem a výše než motory CFM-56 verzí CL a NG. Tím se stalo, že klopivý moment od tahu těchto motorů, který má logicky směr „nos nahoru“, protože motory jsou pod křídlem, je v extrémních situacích takový, že by nemusel být posádkou zvladatelný. Takovou situací je například tzv. go around: letadlo se blíží na přistání, a třeba se stane, že na vzletovou a přistávací dráhu před letadlem omylem vjede auto nebo jiné letadlo. Následuje přidání plynu, převedení letadla do stoupání, zasunutí podvozku atd. Na přiblížení na přistání letadlo letí pomalu, řídící plochy jsou tedy nepříliš účinné, rovnováha mezi klopivým momentem vztlaku na křídle a momentem od stabilizátoru je docela křehká, motory běží na volnoběh. Do toho, pokud dojde ke „go around“, obrovský nárůst tahu motorů, pilot řídící přitahuje berany, protož letadlo potřebuje stoupat. Ovšem pokud při poněkud nešťastné konstelaci, kdy v malé rychlosti pilot přitáhne zbytečně moc, se zapojením efektu momentu od náhle zvýšeného tahu motorů, se konstruktéři a testpiloti Boeingu obávali, že ne zcela zkušená posádka nechá zvednout nos letadla do přetažení, se kterým si pak nemusí poradit. Proto vymysleli onen poslední dobou všemi citovaný systém MCAS (Manoeuvring Characteristics Augmentation System), tedy něco jako systém posílení manévrovacích charakteristik. Asi to mělo narážet na fakt, že Boeing 737 je znám tím, že navzdory svým nemalým rozměrům je údajně stále poměrně dobře ovladatelné letadlo.

Předně, MCAS není žádný autopilot, jak se lze občas dočíst a doslechnout. Autopilot dělá spoustu jiných věcí, také umí stavět stabilizátor, ale „po své linii“. MCAS je spíše dodatečný algoritmus doplněný do software počítače FCC (Flight Control Computer), který vyhodnocuje informaci z jednoho senzoru úhlu náběhu. B737 má FCC dva, jeden dostává informaci z levého senzoru úhlu náběhu, druhý z pravého, a oba plní spoustu jiných funkcí, nejen MCAS, přičemž jsou vzájemně plně zastupitelné. V případě, že je nárůst úhlu náběhu rychlý a blíží se přetažení, dá MCAS, resp. přesněji FCC pokyn elektromotoru stabilizátoru k přestavení tak, aby se nos letadla klopil dolů. Opět, jak diskutováno výše, je to stroj, který se může pokazit. O tom, jak pravděpodobné toto „pokažení“ je, a je-li systém proti poruše dostatečně odolný, promluvíme dále. Nicméně z hlediska provozního nebo chcete-li pilotního: Porucha nebo nesprávná funkce MCASu má za následek „runaway stabilizer“, tedy poruchu, na jejíž rozpoznání a řešení jsou piloti B737 cvičeni od roku 1967. To, že ji v daném případě způsobil zrovna MCAS a ne zlomyslný trpaslík nesoucí elektrony, kam nemá, je v tom okamžiku jedno. Postup je jen jeden, ten výše popsaný. Proto snad i rozumím rozhodnutí firmy Boeing nezdůrazňovat nijak extrémně instalaci MCAS v programech přeškolovacích kurzů pro piloty mezi verzemi NG a MAX, a proto považuji za poněkud přehnaná srdceryvná prohlášení některých pilotů, jak je možné, že jim Boeing detailně o MCAS neřekl. Jen na okraj, na netu lze nalézt části příruček firmy Boeing, a tam se o MCAS píše.

Stejně tak tvrdím, že příčinou havárie obou 737 MAX, jak Lion Airu, ta Ethiopian Airways, byla nesprávná činnost posádky. Jedni podle předběžných výsledků patrně správně a včas nepochopili, co se děje, a nereagovali, druzí reagovali, ale podle všeho pozdě, a proto pravděpodobně udělali fatální chybu, že opět připojili elektromotor stabilizátoru, když jej manuálně nezvládali přestavit zpět.

Jinou otázkou je, proč se Boeing spokojil s tím, že MCAS, resp. FCC dostává signály pouze z jednoho senzoru úhlu náběhu a neporovnává nějakým způsobem signály obou. Odpověď, už zase, není jednoduchá. Opět trochu teorie, pokusím se být stručný. Každý systém letadla se během certifikace hodnotí následujícím procesem: první je takzvaná Function Hazard Analysis, FHA, tedy analýza závažnosti funkce, myslí se případ nesprávné funkce nebo úplné ztráty této funkce. Podle předpokládaných následků jejího selhání se pak porucha funkce hodnotí jako „catastrophic“, „hazardous“, „major“, „minor“ nebo „negligible“, předpokládám, že překladu netřeba, pro studijní typy viz paragraf FAR nebo chcete-li CS-25 25.1309 a tzv. AMC k němu.

Na základě této kategorizace se pak takzvanou System Safety Analysis, SSA, stanoví, jaká pravděpodobnost poruchy je přijatelná, a podle toho se pak daný systém zkonstruuje a certifikuje. S ohledem na to, že porucha MCAS způsobí obecně známý „runaway stabilizer“, není až tak nepochopitelné, že se Boeing spokojil s připojením pouze na jeden senzor úhlu náběhu, protože za předpokladu nesprávné indikace tohoto senzoru a tím nesprávného přestavování stabilizátoru předpokládal, že posádka použije tolikrát na simulátoru drilovaný postup „runaway stabilizer“, čímž asi zdůvodnil méně závažnou kategorizaci této závady.

Samozřejmě jinou otázkou je, jak konstruktéři Boeingu hodnotili stav, kdy letadlo přechází samo do přetažení a MCAS nereaguje vůbec. Pokud jej tam jednou dali, asi uznali, že je to proto, aby letadlo v takové situaci zvládla průměrná posádka, což je požadavek předpisu FAR i CS-25. MCAS je tedy nezbytný a letadlo by bez něj ani nešlo certifikovat. Protože pokud by MCAS byl něco jako luxusní nepotřebné vybavení, asi by Boeing teď řekl: MCAS ven, létáme dál. O tomto okruhu otázek jsem nikde nezachytil ani slovo a můžu říci, že by mě to zajímalo více než neustálé přehazování horkého bramboru do Seattlu. A zase, jeden by řekl, dobře, MCAS teď připojíme na oba senzory úhlu náběhu a je to. Bohužel, není to. Protože zase, co máme MCAS naučit, aby dělal v případě, kdy data z obou senzorů jsou rozdílná? A jak je to pravděpodobné? Je přijatelné, aby se MCAS sám rovnou odpojil, viz výše hledisko certifikace? Anebo budeme hledat „třetího do party“, který MCASU pomůže rozhodnout? To je zase celé kolo, FHA, SSA, série zkušebních letů…

Takže závěrem, byl bych poněkud rezervovanější ve všeobecném nasazování psí hlavy firmě Boeing. Se vší úctou ke zmařeným životům, opravdu je nemá na svědomí až tak Boeing, jako - a tak to u leteckých nehod je až v 97 % případů - lidský faktor, to znamená špatný postup posádky, nezvládnutí situace. Odtud cesta vede k nedostatečnému výcviku pilotů a odtud až k takzvaným organizačním příčinám, tedy k otázkám, jak je možné, že nedostatečný výcvik a neuspokojivé výsledky přezkušování posádek byly leteckými společnostmi akceptovány a takovým pilotům bylo dovoleno usednout do kokpitu velkého dopravního letadla.

A toto vidím jako více alarmující než to, že v letadle se objevil systém, který nefunguje bezchybně, respektive leteckým ptydepe řečeno ne „s přijatelnou mírou rizika poruchy“. Není to totiž poprvé, ani naposledy v historii letectví. Opět bych si dovolil zopakovat, primární příčinou obou katastrof nebyl Boeing 737 MAX.