Doszliśmy do punktu gorzkich refleksji o bezpieczeństwie lotów

Ponad sto lat od pierwszego lotu braci Wright samolot jako środek transportu stał się częścią codzienności. Transport lotniczy jest uważany za najbezpieczniejszy. Katastrofy zdarzają się raz na wiele milionów przelecianych kilometrów. Uzyskany poziom bezpieczeństwa zawdzięczamy temu, że na każdą nieprzewidzianą sytuację zostawia się różne możliwe rozwiązania, czyli żaden pojedynczy element nie może samodzielnie sprawić, że system przestanie działać, zawsze zostaje coś w zapasie.

Granice obniżania kosztów

Taka konstrukcja systemu, w połączeniu z tym, że katastrofy zdarzają się bardzo rzadko, sprawia paradoksalnie, że tak łatwo ulec pokusie szukania oszczędności tam, gdzie tworzy się to właśnie legendarne bezpieczeństwo lotnictwa - pokusie odchudzania działającego systemu do funkcjonalnego minimum. Jednak wtedy, choć z pozoru system nadal może działać poprawnie, sytuacje nietypowe, awaryjne zostają pozbawione marginesu bezpieczeństwa - mogą zginąć ludzie. W imię pozornych oszczędności, w nieuchwytny, trudny do oszacowania sposób naraża się życie ludzi, zarówno w samolotach, jak i na ziemi. Historia dostarcza przykładów, kiedy za podejmowanymi decyzjami nie stały względy bezpieczeństwa, lecz tylko niepohamowany pęd do obniżania kosztów.

Wymowne przykłady

10 września 1976 r. koło Zagrzebia zderzają się w powietrzu lecące prosto na siebie z prędkością ponad 1700 km/h samoloty Hawker Siddeley Trident linii British Airways z Londynu do Istambułu i DC9 linii Inex Adria ze Splitu do Kolonii. Ginie 176 osób. W 1976 r. centrum kontroli ruchu lotniczego w Zagrzebiu obsługuje ponad 760 tys. lotów. W tym czasie brakuje tam ponad 30 kontrolerów, żeby zapewnić ciągłą pracę w sposób adekwatny do liczby obsługiwanych lotów. Braki częściowo kompensowane są poprzez kilkudniowe turnusy kontrolerów z centrum w Belgradzie. Jednak zbyt intensywny, ledwo możliwy do opanowania przy zbyt małej ilości personelu poziom ruchu powoduje przemęczenie pracujących w Zagrzebiu kontrolerów, a to z kolei pogorszenie ich możliwości koncentracji, podzielności uwagi i innych cech niezbędnych do tego, żeby wykonywać ten zawód bezpiecznie. W Zagrzebiu zapewniana jest kontrola proceduralna (czyli kontrolerzy wiedzą o tym, gdzie znajdują się samoloty, na jakiej wysokości i za ile minut będą nad następnym umownym punktem wyłącznie na podstawie tego, co przez radio przekazują im piloci). System radarowy jest wdrażany z opóźnieniami od kilku lat. Jest już co prawda zamontowany na stanowiskach, ale pokazuje dane niewiarygodne, przekłamuje informacje o wysokości, gubi pozycje samolotów. W takiej właśnie sytuacji pomyłka, która sprawia, że samolot DC9 wznosi się do wysokości zajętej przez samolot British Airways, zostaje wykryta bardzo późno, a próba uniknięcia kolizji jeszcze pogarsza sytuację, ponieważ akurat w przypadku tych dwóch samolotów błędy wskazań systemu radarowego są dramatycznie duże.

27 marca 1977 r. na lotnisku Los Rodeos na kanaryjskiej wyspie Teneryfie zderzają się Boeing 747 linii KLM i Boeing 747 linii PanAm. Giną 583 osoby. W wyniku zamknięcia lotniska na sąsiedniej Gran Canarii wiele samolotów zostaje przekierowanych na najbliższe, za to niewielkie i nieprzygotowane do tak intensywnego ruchu lotnisko Los Rodeos (samoloty tej wielkości nie mogły nawet wyminąć się na płycie lotniska). W tym czasie pracuje tam tylko dwóch kontrolerów, niemających dotąd doświadczenia z taką liczbą samolotów. Pomimo kryzysowej sytuacji nie zostają przydzieleni do pracy dodatkowi kontrolerzy. W wyniku nieporozumienia pomiędzy załogą samolotu KLM a kontrolerami samolot ten próbuje wystartować z okrytego mgłą pasa startowego, po którym z przeciwka kołuje drugi z Boeingów. Dochodzi do kolizji i wybuchu samolotów.

12 listopada 1996 w okolicach New Delhi zderzają się w powietrzu Boeing 747 linii Saudi Arabian I Il-76 linii Kazakhstan. Ginie 349 osób. Pilot kazachskiego samolotu źle rozumie instrukcję kontrolera co do wysokości lotu i omyłkowo znajduje się naprzeciwko saudyjskiego Boeinga, na tej samej wysokości. Kontrolerzy dysponują jedynie przestarzałym radarem pierwotnym, który nie dostarcza informacji o faktycznej wysokości lotu (mimo iż od wielu lat standardem jest stosowanie radaru wtórnego, który umożliwia przekazanie kontrolerom znacznie większej liczby informacji). Całą sytuację planują tylko na podstawie radiowych zgłoszeń wysokości od pilotów. Nie mają możliwości wykrycia nadchodzącej katastrofy.

8 października 2001 r. na lotnisku Mediolan Linate - zderzają się samoloty Cessna Citation i McDonnell Douglas MD-87 linii SAS. Ginie 114 osób w obu samolotach i 4 osoby na ziemi. W gęstej mgle załoga samolotu Cessna myli drogę kołowania do pasa startowego. Zamiast dookoła lotniska samolot próbuje przeciąć pas startowy, wjeżdżając wprost pod rozpędzający się do startu samolot MD-87, który w wyniku kolizji poważnie uszkodzony odrywa się od ziemi na wysokość kilku metrów i po chwili, mając uszkodzone oba silniki, uderza w magazyn znajdujący się przy końcu pasa startowego.

Stosowany na lotnisku przestarzały system nie daje kontrolerom możliwości sterowania czerwonymi światłami, ustawionymi przed wjazdem na pas startowy (co jest powszechnie uznawane za niezbędny standard bezpieczeństwa we mgle). Pomyłka pilotów Cessny nie zostaje także wykryta, ponieważ od przeszło dwóch lat nie działa na lotnisku radar. Nowy, choć zakupiony, jest w magazynie. W ramach oszczędności jego instalacja jest odwlekana. Brak radaru sprawia także, że praca kontrolera odpowiadającego za ruch samolotów na ziemi ani przez chwilę nie jest standardowa, co także stawia przed nim nieracjonalnie zwiększone wymagania.

1 lipca 2002 r. koło Überlingen nad Jeziorem Bodeńskim zderzają się w powietrzu samoloty Boeing 757 z Bergamo do Brukseli, przewożący przesyłki dla DHL i Tu-154 linii Bashkirian Airlines z Moskwy do Barcelony. Ginie 71 osób, głównie dzieci lecących na wakacje. W 2002 roku w lotnictwie panuje kryzys (kilka miesięcy po zamachach 11 września 2001 r. i upadku szwajcarskiej narodowej linii Swissair). W tym czasie w centrum kontroli w Zurychu brakowało kontrolerów, żeby bez przeciążania obsłużyć nawet ówczesny, "kryzysowy" poziom ruchu. Dodatkowo, kierownictwo kontroli w Zurychu (tłumacząc decyzję kryzysem) wprowadza SMOP - Single Manned Operations - czyli możliwość, by nie zawsze na każdym stanowisku kontroli pracowało dwóch kontrolerów (w ten sposób, zostawiając jednego z kontrolerów samego, drugiego można wykorzystać na innym kawałku nieba). Ponadto w nocy, 1 lipca 2002 r. w centrum kontroli w Zurychu odbywała się konserwacja systemu kontroli ruchu lotniczego (radary, komputery, systemy łączności). Zaplanowano prace przy wielu komponentach jednocześnie (co dawało szanse ukończenia przeglądu w ciągu jednej nocy, nie powodując konieczności dodatkowego wykorzystania personelu technicznego na kilka kolejnych dni).

Krótko przed północą kontroler ruchu lotniczego odpowiedzialny tej nocy za całą przestrzeń powietrzną Szwajcarii zbyt późno zauważa, że dwa samoloty lecą prosto na siebie na tej samej wysokości. Jest w tym czasie dodatkowo zajęty obsługą samolotu podchodzącego do lądowania, widocznego tylko na innym wskaźniku radarowym, półtora metra dalej. Nie działają żadne systemy ostrzegawcze (są w konserwacji). Nie ma także drugiego kontrolera do pomocy. Kontrolerzy z niemieckiego Karlsruhe, obserwujący na swoim radarze nadchodzącą katastrofę, nie mogą ostrzec szwajcarskiego kolegi (razem z częścią systemu wyłączone do konserwacji są również linie telefoniczne).

Tuż po katastrofie szwajcarski urząd lotnictwa zakazał stosowania procedury pracy jednoosobowej. Żaden z krajów już nigdy nie odważył się w ten sposób narażać bezpieczeństwa pasażerów.

27 sierpnia 2006 r. w Lexington (USA) samolot Canadair CRJ100 linii Delta rozbija się podczas próby startu z niewłaściwego pasa startowego (o wiele za krótkiego dla tego samolotu). Ginie 49 osób. Wydaje się, że po prostu błąd pilotów. Ale także przemęczony kontroler ruchu lotniczego (ponad 14 godzin pracy w ciągu poprzedzającej doby), nie mając nikogo do pomocy i mając do wykonania dodatkowe czynności biurowe, nie zaobserwował krótkiego momentu, kiedy załoga samolotu pomyliła kierunek startu. W kolejnej chwili było za późno.

29 września 2006 r. w Mato Grosso w Brazylii, zderzają się w powietrzu samoloty: Embraer 135 z Sao Jose do Manaus i Boeing 737 linii Gol z Manaus do Brasilii. Giną 154 osoby podróżujące Boeingiem, a Embraer pomimo utraty kawałka skrzydła ląduje bezpiecznie. Znajdujące się na przeciwnych kursach samoloty zderzają się kilkadziesiąt minut po tym, jak piloci Embraera tracą kontakt radiowy z centrum kontroli w Brasilii. W przypadku utraty łączności samolot standardowo wykonuje dalszy lot zgodnie z zatwierdzonym wcześniej planem lotu, a rola kontroli ruchu lotniczego ogranicza się do monitorowania poprawności odwzorowania tego planu przez załogę. W tym przypadku, załoga nie wykonała zaplanowanego manewru zniżania, a przemęczeni kontrolerzy w czasie przekazywania pomiędzy sobą kontroli nad samolotem nie wykryli odstępstwa od planu lotu. Dodatkowej uwagi wymaga fakt, że kontrolerzy obsługujący loty pasażerskie w Brazylii to wojskowi. W większości krajów świata system kontroli ruchu samolotów cywilnych jest zupełnie niezależny od kontroli samolotów wojskowych (inne są cele i standardy wykonywania obu rodzajów lotów; stosowane wyposażenie, a także szkolenie kontrolerów jest profilowane pod kątem specyfiki danego rodzaju lotnictwa). W Brazylii jednak, w ramach kompromisu, podjęto decyzję o nietworzeniu systemu kontroli dla samolotów cywilnych - pomimo różnic funkcjonalnych obu systemów. Poza tym w centrach kontroli w Manaus i Brasilii (na styku ich przestrzeni doszło do kolizji) występowały poważne braki kadrowe wśród kontrolerów. Sprawiało to, że kontrolerzy pracowali przemęczeni, a ich percepcja była znacznie zdegradowana. Zbyt mała liczba kontrolerów uniemożliwiała także regularne szkolenia odświeżające, które normalnie w lotnictwie powinny odbywać się co kilka miesięcy (to gwarantuje, że umiejętności kontrolerów są zawsze zgodne z wymaganiami, najnowszą wiedzą i procedurami).

Igranie z życiem

Katastrofy w przestworzach zdarzają się niezmiernie rzadko, ale jak już mają miejsce to za jednym razem pochłaniają dziesiątki a nawet setki istnień ludzkich. Transport lotniczy jest najbezpieczniejszy, ale tylko dopóki pozwala się na działanie zgodne ze sprawdzonymi przez lata zasadami bezpieczeństwa. Jak pokazują powyższe przykłady, igranie z tymi procedurami i szukanie tam oszczędności, najczęściej kończy się tragedią. We wszystkich opisanych przykładach katastrofy spowodowane były przez ciąg niefortunnych zdarzeń, przy jednoczesnym niezadziałaniu dodatkowych elementów bezpieczeństwa: przemęczeni kontrolerzy, naciąganie zasad pracy (minimalne obsady, czas pracy) do bieżących niedostatków kadrowych, przestarzałe, czy w ogóle wyłączone systemy i sprzęt. Wszystkich tych katastrof dałoby się uniknąć, gdyby nie pazerność i niepohamowane dążenie do wygenerowania dodatkowych oszczędności i zysków. Paradoksalnie ten element kosztowy, jest prawie niezauważalny w ogólnej cenie przelotu i stanowi nie więcej niż 2-4 proc. wartości biletu. Z drugiej strony na szali jest życie ludzi.

@RY1@i02/2013/112/i02.2013.112.21400040e.802.jpg@RY2@

FOT. AP

Samolot MD-87 linii SAS na lotnisku Linate w Mediolanie, 8 października 2001 r. Zginęło 118 osób

Hubert Adamczyk