Sterczał w ścianie taki pstryczek

Kiedy dokładnie i z jakiego powodu bezpiecznik został wyłączony? Tego
Państwowa Komisja Badania Wypadków Lotniczych jeszcze nie ustaliła. Będzie to
trudne, bo przeprowadzone dotąd testy, także na innych samolotach Boeing 767,
wykazały, że pozycja "wyłączona" tego bezpiecznika nie jest rejestrowana i
sygnalizowana przez systemy samolotu (FDR – Flight Data Recorder, EICAS – Engine
Indications and Crew Alerting System). Komisja w raporcie wstępnym zamieściła
szczegółowy wykaz obwodów, za które odpowiada ów bezpiecznik. Jest ich
kilkanaście, w tym właśnie elektromechaniczny system wypuszczania podwozia.
Jednak całkiem możliwe, że to nie ten system spowodował wyłączenie bezpiecznika,
bo stan wszystkich ograniczników (sygnalizatorów) przeciążeń systemu awaryjnego
nie wykazywał, by takie miały miejsce. System awaryjny ma także swój osobny
bezpiecznik i ten był załączony. Komisja będzie musiała zatem podjąć próbę
ustalenia, który z systemów był odpowiedzialny za wyłączenie feralnego
bezpiecznika i kiedy ono nastąpiło.

Kapitan statku powietrznego Tadeusz Wrona deklarował, że sprawdzono
bezpieczniki, jednak eksperci muszą ustalić, czy załoga skontrolowała ten
konkretny bezpiecznik. Jeśli nie, to dlaczego został przeoczony? Weryfikacji
bezpieczników nie ma w instrukcji QRH (Quick Reference Handbook), opisującej
sposoby postępowania w przypadkach szczególnych w locie. Jednak piloci tę
czynność uznają za oczywistą. Komisja powinna wskazać, czy mogło być tak, że
bezpiecznik cały czas znajdował się w pozycji wyłączonej, lub czy jego wybicie
było efektem awaryjnego lądowania.
Zgodnie z zapowiedzią dr. inż. Macieja Laska, wiceszefa PKBWL, opublikowany
wczoraj raport wstępny zawiera jedynie fakty dotyczące samego lotu, wypadku i
pierwszych czynności podjętych przez ekspertów po awaryjnym lądowaniu. Raport
liczy 19 stron. Nie zawiera żadnych analiz i wyników badań.
Na podstawie zebranych dokumentów ustalono, że samolot do lotu LO 016
wystartował z lotniska Newark 1 listopada 2011 roku o godz. 4.19 (UTC). Przed
rozpoczęciem lotu maszyna przeszła przegląd techniczny. Wykonała go amerykańska
organizacja obsługowa, działająca na mocy umowy z PLL LOT. Nie stwierdzono
żadnych nieprawidłowości i samolot został dopuszczony do lotu.
Jak podkreślił w rozmowie z PAP Waldemar Targalski, członek PKBWL, kierujący
zespołem badającym wypadek, przedmiotem badań Komisji jest to, dlaczego nie
zadziałał alternatywny system wysuwania podwozia. – Główna hipoteza i nasze
analizy skupiają się wokół bezpiecznika. Z naszych ustaleń wynika, że gdy jest
on w pozycji wyłączonej, alternatywny system wypuszczania podwozia się
dezaktywuje – powiedział. Jak dodał, zebrana dotąd dokumentacja potwierdza, że
załoga zgłaszała, iż sprawdziła bezpieczniki w kabinie. – Faktem jest, że ten
bezpiecznik był w pozycji wyłączonej po wylądowaniu. Natomiast kiedy on został
dezaktywowany i co to spowodowało, tego na chwilę obecną nie wiemy – wyjaśnił
Targalski. Jak dodał, w świetle informacji, które Komisja zebrała do chwili
obecnej, działanie załogi było właściwe.

Widoczny z fotela
W ocenie pilotów, z którymi rozmawiał "Nasz Dziennik", choć nie sposób określić,
kiedy doszło do wyłączenia bezpiecznika, to mało prawdopodobne, by był on
wyłączony przed startem. – Przed startem samolot sprawdza ekipa techniczna.
Inżynier dopuszczający maszynę do lotu firmuje przegląd swoim podpisem w
dzienniku. Później, niezależnie od tego, załoga i tak wszystko przegląda –
ocenił pilot. Jak dodał, bezpiecznik zawsze może wybić i jest to kwestia
zaistnienia krótkich zwarć czy przeciążeń. Nie bez znaczenia może być fakt, że
instalacja awaryjna nie była używana i w czasie próby jej użycia mogło dojść do
wyłączenia obwodu elektrycznego.
Jak wyjaśnił nasz rozmówca, kiedy na pokładzie samolotu pojawia się problem, jak
np. niedziałający system awaryjny, załoga zawsze sprawdza bezpieczniki. Może to
uczynić zarówno dowódca, jak i drugi pilot. Nie ma tu wyraźnego podziału ról. By
zweryfikować stan wszystkich bezpieczników, pilot najczęściej wstaje z fotela i
podchodzi do szafy, choć są one też widoczne po wychyleniu się z fotela.
– W przypadku lotu 016 nie wiemy, kiedy bezpiecznik wyskoczył. Czy nie był on
włączony do startu, czego nie podejrzewam, czy może stało się to później, gdy
instalacja awaryjna była włączana, a może nastąpiło to już w czasie
przyziemienia? Na razie nie mamy takiej informacji, a jako że rejestratory nie
zapisały tego zdarzenia, nie widzę tu sposobu, aby taką informację pozyskać –
dodał nasz rozmówca.

Stan wyjątkowy
Według zapisów FDR, po starcie w trakcie chowania podwozia i klap nastąpił
wyciek płynu hydraulicznego z centralnej instalacji hydraulicznej (instalacja
"C") co w konsekwencji doprowadziło do spadku ciśnienia w tej instalacji. Stało
się to niebawem po oderwaniu od ziemi, bo o 4.22 (UTC). Fakt ten zasygnalizował
EICAS (Engine Indications and Crew Alerting System) oraz zarejestrował pokładowy
rejestrator parametrów lotu. Równocześnie aktywowany został system informujący
załogę o niesprawności. Piloci podjęli czynności zgodnie z zapisami zawartymi w
instrukcji QRH i po konsultacji z centrum operacyjnym operatora podjęli decyzję
o kontynuowaniu lotu do Warszawy.
W czasie podejścia załoga wykonała procedurę wypuszczenia podwozia za pomocą
instalacji alternatywnej. Bez powodzenia. Piloci zweryfikowali poprawność
wykonanej procedury i poinformowali kontrolera ruchu lotniczego o braku
możliwości wypuszczenia podwozia, prosząc o pomoc centrum operacyjne. Samolot
został skierowany do strefy oczekiwania. Około godziny 12.25 załoga
zadeklarowała sytuację EMERGENCY. O godzinie 12.45 została uruchomiona para
dyżurna F-16 i 20 minut później samoloty były już w pobliżu Boeinga 767.
Potwierdzono fakt niewypuszczenia podwozia. Załoga podjęła jeszcze próbę jego
wypuszczenia sposobem grawitacyjnym. Także bez powodzenia. Kończący się zapas
paliwa oraz bezskuteczne próby wypuszczenia podwozia zdecydowały o podjęciu
decyzji o lądowaniu awaryjnym. Samolot bezpiecznie zatrzymał się na pasie
lotniska Okęcie o godz. 13.39 (UTC) i w ciągu następnej 1,5 minuty wszyscy
pasażerowie bezpiecznie opuścili pokład.

Wyłączenie nierejestrowane
Wtedy do pracy przystąpiła PKBWL. Stwierdzono, że w kokpicie, na panelu P6,
bezpiecznik C829 BAT BUS DISTR (na pozycji A1) znajdował się w pozycji
"wyłączonej", natomiast bezpiecznik C4248 LANDING GEAR – ALTN EXT MOTOR (na
pozycji F6) znajdował się w pozycji "włączonej". Komisja zabezpieczyła zapisy
rejestratorów pokładowych (CVR – Cockpit Voice Recorder, FDR – Flight Data
Recorder i QAR – Quick Access Recorder) oraz wykonano dokumentację
fotograficzną. Eksperci ustalili, że bezpiecznik C829 odpowiada za kilka
systemów samolotu, w tym za zastępczy system wypuszczania podwozia. Jak
stwierdzono, pozycja "wyłączona" bezpiecznika nie jest rejestrowana i
sygnalizowana przez systemy samolotu (FDR, EICAS).
Kolejne czynności Komisja podjęła 2 listopada. Zidentyfikowano miejsce wycieku
płynu hydraulicznego i wypuszczono podwozie. Po podniesieniu samolotu z drogi
startowej, w uzgodnieniu z kierującym operacją podnoszenia samolotu,
przeprowadzono test polegający na próbie wypuszczenia podwozia z wykorzystaniem
instalacji alternatywnej. Po wcześniejszym podłączeniu naziemnego źródła
zasilania, wciśnięciu bezpiecznika (A1) BAT BUS DISTR i uruchomieniu
alternatywnej instalacji wypuszczania podwozia, podwozie zostało wypuszczone –
stwierdza raport. Następnie samolot został odholowany do bazy technicznej
operatora.
4 listopada eksperci Komisji uczestniczyli w pracach demontażu uszkodzonego
przewodu instalacji hydraulicznej centralnej i zabezpieczyli go. Trafił on wraz
z dokumentacją fotograficzną do Stanów Zjednoczonych do laboratorium National
Transportation Safety Board (NTSB), która dokonuje jego analizy.
PKBWL zweryfikowała także rolę bezpiecznika C829. W tym celu zostały
przeprowadzone testy na sprawnych, takich samych egzemplarzach samolotów "767".
Eksperci sprawdzali, czy położenie "wyłączony" bezpiecznika jest sygnalizowane w
kokpicie i rejestrowane przez FDR. Weryfikowano też, czy fakt wyłączenia
bezpiecznika ma wpływ na prace innych systemów, które zabezpiecza – zarówno
przed uruchomieniem, jak i po uruchomieniu silników. Efektów tych badań Komisja
nie opublikowała. Eksperci przyjrzeli się też elementom alternatywnego systemu
wypuszczania podwozia. – Stan wszystkich ograniczników (sygnalizatorów)
przeciążeń tego systemu nie wykazywał wystąpienia przeciążeń (NLG/MLG LOAD
LIMITERS) – ustaliła Komisja. Obecnie prowadzone są testy funkcjonalne całości
instalacji elektrycznej alternatywnego systemu wypuszczania podwozia.
Lecący z Newark do Warszawy samolot B767 lądował awaryjnie 1 listopada br. na
lotnisku Okęcie. Kapitanem był Tadeusz Wrona, drugim pilotem Jerzy Szwarc.
Piloci wykonali lądowanie "na brzuchu". Nikt z 220 pasażerów i 11 członków
załogi przebywających na pokładzie nie odniósł obrażeń. Sprawę oprócz PKBWL bada
Prokuratura Okręgowa w Warszawie. Śledczy weryfikują, czy sytuacja awaryjna była
wynikiem usterki technicznej czy też zaistniał czynnik ludzki.

 

Marcin Austyn

***

 

Przeoczenie niewykluczone

Z Ignacym Golińskim, doświadczonym pilotem, byłym członkiem
Państwowej Komisji Badania Wypadków Lotniczych, rozmawia Marcin Austyn

Wyłączony bezpiecznik spinający kilka systemów samolotu Boeing 767, w
tym system awaryjnego wypuszczania podwozia, tłumaczy przyczyny dysfunkcji tego
systemu?
– Z pewnością na tej podstawie możemy założyć, że bezpiecznik bezpośrednio
odpowiadający za obwód systemu awaryjnego mógł nie mieć zasilania i system nie
zadziałał. Wiemy też, że wybity bezpiecznik odpowiadał za kilka systemów. Zatem
w którymś z nich musiało nastąpić przepięcie.

Rejestratory pokładowe nie zapisują, kiedy doszło do wyłączenia tego
obwodu. Jakie są szanse, by ustalić ten szczegół?
– W tej sytuacji możliwości Komisji są mocno ograniczone. Pozostają relacje
pilotów i ich deklaracje. Te jednak mogą być subiektywne.

Załoga, nie mając żadnej sygnalizacji, mogła zorientować się, że obwód
został wyłączony?
– Tego rodzaju niesygnalizowane wyłączenia można zaobserwować, np. gdy przestają
działać niektóre urządzenia. Wtedy załoga kieruje swoją uwagę na bezpieczniki,
bo może się okazać, że jakiś obwód został wyłączony w wyniku chwilowego
przeciążenia i wciśnięcie bezpiecznika rozwiązuje problem. Może być też tak, że
wciskany bezpiecznik od razu wyskoczy, bo w obwodzie jest jakieś zwarcie. Jeśli
chodzi o wypadkek z 1 listopada, to mogło zdarzyć się tak, że piloci sprawdzili,
może nawet wcisnęli bezpiecznik odpowiadający za awaryjny system wypuszczania
podwozia i przekazali, że go sprawdzili, ale nie zwrócili uwagi na znajdujący
się na samym dole wyłączony bezpiecznik, który spina kilka systemów. Być może
gdyby pod niego podpięte były systemy, których działanie widać na tablicy i np.
wysiadłby sztuczny horyzont czy wysokościomierz, to wówczas załoga otrzymałaby
wyraźny znak, że coś jest nie tak. W przypadku kiedy bezpiecznik nie odpowiada
za instrumenty będące w polu widzenia załogi, to wyłączenie zasilania takiego
obwodu jest trudne do wykrycia. Ponadto piloci nie muszą dokładnie wiedzieć, pod
jaki bezpiecznik, ile i jakich systemów jest podłączonych. Tego typu
szczegółowych informacji nie podawano nam nawet na szkoleniach w Stanach
Zjednoczonych.

Nie doszłoby do awaryjnego lądowania, gdyby nie awaria systemu
hydraulicznego wypuszczania podwozia. Można było wykryć uszkodzenie przewodu w
czasie rutynowej kontroli samolotu?
– Tego rodzaju uszkodzenie jest trudne do wykrycia, kiedy samolot stoi na
płycie. Wówczas instalacja hydrauliczna nie jest obciążona, jest wyłączona i nie
ma w niej maksymalnego ciśnienia. Takie uszkodzenie przewodu ujawnia się, kiedy
system pracuje, np. właśnie kiedy chowane jest podwozie. Wtedy może dojść do
pęknięcia wcześniej osłabionego przewodu.

Dziękuję za rozmowę.