24 октября в бразильском штате Сан-Паулу грузовик врезался в Boeing 727, выставленный на территории автозаправки Rodomaster. Самолёт давно не летал и служил местной достопримечательностью: путешественники останавливались здесь, чтобы сфотографироваться с лайнером.
По предварительным данным, 46-летнему водителю стало плохо за рулём, после чего он потерял управление. Грузовик пересёк встречную полосу, пробил ворота заправки и врезался прямо в нос самолёта. Удар оказался настолько сильным, что Boeing сдвинулся назад примерно на 15 метров. У него были повреждены носовая часть и шасси.
Кабину грузовика сильно смяло, и пожарным пришлось извлекать водителя из искорёженного металла. Его доставили в больницу в тяжёлом состоянии. При этом после столкновения он оставался в сознании и даже смог позвонить владельцу транспортной компании. Других пострадавших не было.
По словам владельца заправки, самолёт фактически спас грузовик от падения с крутого откоса за территорией: если бы Boeing не остановил машину, последствия могли оказаться ещё серьёзнее.
А судя по повреждениям, более крепким в этом столкновении оказался именно 727-й: самолёт отделался повреждениями носа и шасси, тогда как кабина грузовика была практически уничтожена.
Утром 10 марта 2019 года из Аддис-Абебы в Найроби готовился к вылету Boeing 737 MAX авиакомпании Ethiopian Airlines. На борту находились 157 человек - 149 пассажиров и 8 членов экипажа. Самолёт был почти новым, авиакомпания получила его несколько месяцев назад.
Тот самый борт
MAX был новейшей версией семейства 737 - самолёта, который десятилетиями оставался одним из самых успешных в мире. Но новая версия получила более крупные двигатели, и из-за этого её поведение в некоторых режимах отличалось от прежних 737. Чтобы сохранить привычные для пилотов характеристики управления, на MAX установили систему MCAS. В нормальной ситуации она должна была незаметно помогать пилоту, слегка опуская нос самолёта при слишком большом угле атаки.
Проблема была в том, что на момент катастрофы MCAS полагалась на данные только одного датчика угла атаки. Если этот датчик выдавал неверную информацию, система могла решить, что самолёт опасно задирает нос, хотя на самом деле этого не происходило.
Схема MCAS
До этого, в октябре 2018 года, у берегов Индонезии разбился такой же MAX авиакомпании Lion Air. Там как раз таки возникла проблема с датчиком угла атаки, после чего MCAS начала многократно перекладывать стабилизатор на пикирование. Расследование индонезийской катастрофы к марту 2019 года ещё продолжалось, но Boeing и FAA уже выпустили предупреждения для операторов MAX. В них говорилось, что при ошибочных данных датчика самолёт может самопроизвольно уводить нос вниз, а экипаж должен действовать по процедуре runaway stabilizer - отключить электропривод стабилизатора специальными переключателями и управлять им вручную.
Формально Ethiopian Airlines получила эти документы и распространила их среди пилотов. Но обучение с Boeing 737 NG на MAX проходил в формате короткого компьютерного курса. В нём не было полноценного объяснения MCAS. То есть пилоты знали, что при самопроизвольной перекладке стабилизатора нужно использовать переключатели, но не изучали полный сценарий отказа, где одновременно трясутся штурвалы, расходятся показания скорости и высоты, тяга остаётся высокой, растёт скорость, а MCAS снова и снова пытается опустить нос.
Экипаж рейса формально соответствовал всем требованиям. При этом опыт пилотов сильно отличался. Командир имел более 8 тысяч часов налёта и уже больше года летал командиром на Boeing 737. На MAX у него было чуть больше 100 часов налёта. Второй пилот, напротив, находился в самом начале карьеры: его общий налёт составлял 361 час, а к работе на Boeing 737 он был допущен всего за несколько недель до этого полёта.
Взлёт Boeing 737 MAX прошёл нормально. Самолёт разогнался, оторвался от полосы, экипаж убрал шасси. Но почти сразу после отрыва левый датчик угла атаки начал выдавать ошибочные значения. Началась тряска штурвалов, предупреждающая об угрозе сваливания. При этом реального сваливания не было. На приборах появились расхождения по скорости и высоте, загорелось предупреждение Master Caution и индикация Anti-Ice. Второй пилот произнёс: «Master Caution, Anti-Ice». Командир ответил коротко: «ОК».
Ситуация с первых секунд стала сложной, а пилоты были перегружены информацией. В кабине трясутся штурвалы, появляются предупреждения, а показания приборов расходятся. Командир пытается включить автопилот, но он тут же отключается. После очередной попытки командир спрашивает: «Что происходит?»
Когда закрылки были убраны, возникли условия для активации для MCAS. Система решила, что самолёт задирает нос, и начала перекладывать стабилизатор на пикирование. Нос пошёл вниз. Командир тянул штурвал на себя, пытаясь поднять самолёт, и использовал электротриммер, чтобы вернуть стабилизатор обратно.
Через несколько секунд MCAS снова сработала. В кабине прозвучало предупреждение «Don’t sink», на экранах появилось «Pull up». Командир приказал: «Trim, trim up». Второй пилот помогал. Затем он дважды предложил: «Stab trim cut-out?» Командир ответил: «Yes, yes, do it!».
Экипаж отключил электропривод стабилизатора. Это действительно остановило MCAS, стабилизатор уже не двигался. Однако к этому моменту самолёт оказался сильно разбалансирован. Нос продолжал уходить вниз, экипажу приходилось держать прилагать к штурвалам большие усилия, а скорость росла. Автомат тяги оставался включённым, двигатели продолжали работать на высокой мощности. В кабине сработало предупреждение о превышении скорости.
Командир сообщил диспетчеру, что у них проблема с управлением, и запросил высоту 4000 метров. Затем экипаж попросил вектор для возвращения в аэропорт. Управлять самолётом становилось всё тяжелее. Командир несколько раз просил второго пилота тянуть штурвал вместе с ним: «Pitch up, pitch up». Второй пилот попытался использовать механическое колесо триммера, но сказал, что оно не работает. В действительности при высокой скорости и большом отклонении стабилизатора усилия на колесе могли стать настолько большими, что повернуть его было крайне трудно.
Колесо триммера
В какой-то момент экипаж, судя по данным самописцев, вернул переключатели стабилизатора в обычное положение. Вероятно, пилоты пытались снова получить возможность пользоваться электротриммером, потому что вручную вращать колесо управляющее стабилизатором у них не получалось. Но вместе с этим они снова дали MCAS возможность вмешаться.
Система сработала ещё раз. Стабилизатор снова перевёл самолёт в пикирование. За несколько секунд тангаж стал отрицательным, а вертикальная скорость резко выросла. Экипаж тянул штурвалы на себя, но самолёт уже разгонялся в крутом пике. В кабине прозвучало: «Terrain, terrain, pull up». Затем - отчаянное «MAYDAY». Через несколько секунд запись оборвалась.
Boeing 737 MAX ударился о землю к юго-востоку от Аддис-Абебы. Удар был настолько сильным, что на месте падения образовался глубокий кратер, а большая часть обломков оказалась под землёй. Все 157 человек на борту погибли.
На месте катастрофы
Эфиопские расследователи сразу же назвали наиболее вероятной причиной катастрофы многократные команды MCAS на опускание носа из-за ошибочных данных датчика угла атаки. В отчёте также указали на конструктивные проблемы: MCAS полагалась на один датчик, могла срабатывать повторно, а Boeing при оценке рисков исходил из того, что пилоты быстро распознают проблему и справятся с ней стандартными действиями. Но в реальном полёте отказ одного датчика породил сразу несколько предупреждений, а экипаж оказался в ситуации сильнейшей перегрузки.
Отдельно расследователи указали на обучение. MAX продавался как вариация знакомого всем Boeing 737, и это было важной частью его привлекательности для авиакомпаний, так как пилотам не требовалась длительная и дорогая переподготовка. Но именно это стало одной из слабых точек. Система, способная активно перекладывать стабилизатор, фактически оставалась для многих пилотов скрытой. Компьютерный курс по отличиям MAX от предыдущих 737 не давал полноценного понимания MCAS и не готовил экипажи к сочетанию отказов, которое возникло в реальном полёте.
Чёрный ящик
После катастрофы Ethiopian Airlines судьба MAX висела на волоске. Самолёты этого типа начали останавливать по всему миру. Ethiopian Airlines вывела свои МАКСы из эксплуатации уже на следующий день. Затем последовали другие страны и регуляторы. Boeing оказался в крупнейшем кризисе за многие десятилетия: поставки были остановлены, производство сокращалось, авиакомпаниям пришлось выплачивать компенсации, а доверие к самолёту и к самой компании было серьёзно подорвано.
Возвращение МАКС в эксплуатацию заняло около 20 месяцев. Boeing изменил работу MCAS. Система теперь сравнивает данные двух датчиков угла атаки. При этом она не должна срабатывать при их расхождении, не должна многократно перекладывать стабилизатор из-за одного и того же события и не должна лишать пилотов возможности пересилить самолёт обычным ручным управлением. Также были введены новые требования к подготовке пилотов, включая тренировки на тренажёре.
Управление стабилизатором
Но итоговый отчёт эфиопского расследования устроил не всех. Американский NTSB и французское BEA согласились, что MCAS сыграла ключевую роль, но посчитали, что отчёт слишком мало внимания уделил действиям экипажа и человеческому фактору. NTSB указал, что при правильном управлении ситуацией по существовавшим тогда процедурам самолёт можно было спасти. Ведомство отдельно отметило недостаточное использование электротриммера, отсутствие ручного уменьшения тяги и решение вернуть переключатели стабилизатора из CUTOUT в NORMAL.
BEA также посчитало, что первые минуты полёта изучены недостаточно. По мнению французских специалистов, экипаж не полностью применил процедуры, связанные со срабатыванием stick shaker и unreliable airspeed. Автопилот пытались включать, хотя при таких обстоятельствах требовалось, наоборот, отключить автоматические системы и стабилизировать самолёт по базовым параметрам.
Эта критика не снимает вопросов к конструкции MAX. Скорее она показывает, что катастрофа не была результатом одной ошибки. В ней сошлись несколько факторов: спорное проектное решение, чрезмерная уверенность в том, что пилоты быстро распознают отказ, слабое обучение по новой системе, недостаточная чёткость предупреждений и крайне сложная обстановка в кабине сразу после взлёта.
29 октября 2018 года Boeing 737 MAX 8 авиакомпании Lion Air выполнял внутренний рейс по Индонезии из Джакарты в Панкалпинанг. На борту находились 189 человек - 181 пассажир и 8 членов экипажа.
Тот самый борт
Самолёт был почти новым: его передали авиакомпании всего за несколько месяцев до катастрофы. Boeing 737 MAX на тот момент был современной версией самого массового семейства Boeing 737. Формально это был новый самолёт, но по сути он оставался развитием конструкции, созданной ещё десятилетия назад. Чтобы установить более крупные и экономичные двигатели, инженерам пришлось разместить их немного иначе - выше и дальше вперёд относительно крыла. Из-за этого на больших углах атаки самолёт мог вести себя не совсем так, как прежние 737. Вместо радикальной переработки конструкции Boeing решил компенсировать эту особенность с помощью электроники. Так появилась система MCAS, которая должна была автоматически опускать нос самолёта и делать поведение MAX более похожим на предыдущие версии 737.
Полет должен был занять около часа. Утром лайнер вылетел из аэропорта Сукарно-Хатта и начал набор высоты. Почти сразу после взлёта экипаж сталкивается с серьёзной проблемой: самолёт ведёт себя нестабильно, а на приборах появляются противоречивые показания.
Командир сообщает диспетчеру о проблемах с управлением и запрашивает возврат в аэропорт. Это происходит всего через несколько минут после взлёта. Самолёт продолжает полёт, но его высота начинает колебаться. Лайнер то набирает высоту, то снова теряет её. Для пассажиров это могло ощущаться как резкие провалы и рывки.
Главная опасность скрывалась не в погоде и не в двигателях. Проблема была в MCAS. Система автоматически опускала нос самолёта, если "решала", что угол атаки слишком большой и есть риск сваливания. Для пилотов старых версий Boeing 737 такая система была новой, но в документации и обучении MAX её роль не была подробно разъяснена.
В тот день один из датчиков угла атаки передавал неверные данные. Проще говоря, самолёт "думал", что его нос поднят слишком высоко, хотя в реальности ситуация была иной. MCAS получала эти ошибочные данные и снова и снова пыталась опустить нос вниз.
Пилоты борются с самолётом. Они отклоняют штурвалы на набор высоты, но через некоторое время автоматика снова вмешивается и опускает нос вниз. В кабине одновременно срабатывают предупреждения, приборы показывают разные значения, экипаж ведёт связь с диспетчером и пытается понять, почему самолёт не слушается.
Изменения скорости и высоты
За последние минуты полёта лайнер несколько раз резко меняет высоту. Экипаж продолжает удерживать самолёт, но борьба становится всё тяжелее. MCAS остаётся активной и вновь и внось опускает нос. В какой-то момент пилоты уже не успевают вернуть контроль.
Через 13 минут после взлёта Boeing 737 MAX 8 с большой скоростью падает в Яванское море. Удар был настолько сильным, что самолёт разрушился на множество фрагментов. Все 189 человек на борту погибли.
Поисковая операция началась почти сразу. В район падения направили корабли, вертолёты и водолазов. Обломки обнаружили вскоре после катастрофы. Бортовой самописец с параметрами полёта нашли через несколько дней, а речевой самописец удалось поднять значительно позже. Во время поисковой операции погиб один из водолазов.
Кадры поисковой операции:
Расследование быстро показало, что катастрофа не была результатом одной ошибки. Это была цепочка проблем, каждая из которых усиливала следующую.
Выяснилось, что на этом самолёте уже возникали похожие неисправности. Во время предыдущего рейса экипаж столкнулся с тем, что автоматическая система также пыталась опустить нос. Тогда пилотам удалось справиться, они отключили электропривод триммера стабилизатора и продолжили полёт на ручном управлении. Но информация о проблеме не была должным образом передана следующему экипажу.
Маршрут
Кроме того, перед катастрофой на самолёте заменили датчик угла атаки. Позже следователи пришли к выводу, что этот датчик был неправильно откалиброван. Техническое обслуживание не выявило проблему, и самолёт снова выпустили в рейс.
Ключевым вопросом стала и сама конструкция MCAS. Система могла опираться только на один датчик угла атаки. Если этот датчик ошибался, система всё равно воспринимала его данные как достоверные и вмешивалась в управление. При этом пилоты не имели полного представления о том, как именно работает MCAS и как она может вести себя при ложных данных.
Финальный отчёт индонезийского комитета по безопасности транспорта указал сразу на несколько факторов. Среди них были ошибки в проектировании и сертификации Boeing 737 MAX, недостаточное информирование пилотов о MCAS, неправильная калибровка датчика угла атаки, плохое техническое обслуживание и неудовлетворительный обмен информацией между экипажами и инженерами.
Бортовой самописец
После катастрофы Boeing и американские авиационные власти выпустили предупреждения для операторов 737 MAX. Пилотам напомнили о действиях при самопроизвольном движении стабилизатора. Boeing также заявил о подготовке обновления программного обеспечения MCAS.
Катастрофа Lion Air стала первым крупным ударом по репутации нового Boeing 737 MAX, но пока выглядела лишь как трагическая случайность. Пока через несколько месяцев похожий сценарий не повторился в Эфиопии.
