Air Canada 759: letadlo málem přistálo na čtyři čekající stroje

Je 7. července 2017, těsně před půlnocí. Airbus A320 společnosti Air Canada klesá k letišti v San Francisku. Posádka má povolení přistát na dráze 28R a před sebou vidí světla, která vypadají jako dráha. Jenže to není dráha. Je to pojezdová dráha C a na ní v řadě stojí čtyři dopravní letadla připravená ke vzletu. Následující popis vychází ze zprávy amerického Národního úřadu pro bezpečnost dopravy (NTSB).

Co se stalo

Let Air Canada 759 z Toronta přilétal do San Francisca kolem 23:56 místního času. Na palubě bylo 5 členů posádky a 135 cestujících. Počasí bylo dobré, noční viditelnost bez problémů.

Na letišti má dvojice rovnoběžných drah 28L a 28R. Té noci byla dráha 28L od 23:00 uzavřená. Posádka měla přistát na 28R. Vpravo od ní vede rovnoběžně pojezdová dráha C, po které letadla pojíždějí na start.

Kapitán, který řídil, si podle NTSB myslel, že vidí světla dráhy 28L. Proto považoval skutečnou dráhu 28R za tu levou a pojezdovou dráhu C za dráhu 28R. Letadlo srovnal na pojezdovou dráhu.

Na ní stála čtyři dopravní letadla: Boeing 787, Airbus A340, další Boeing 787 a Boeing 737. Všechna čekala na povolení ke vzletu.

Posádka si všimla světel „na dráze“ a požádala řídícího, aby potvrdil, že je dráha volná. Dotaz se kvůli provozu na frekvenci věže zpozdil. Řídící potvrdil, že dráha 28R je volná, což byla pravda. Posádka ale nedokázala sladit jeho odpověď s tím, co viděla.

Letadlo kleslo na zhruba 100 stop (asi 30 metrů) nad zemí a přeletělo první letadlo na pojezdové dráze. Teprve nad povrchem letiště posádka zahájila přerušení přiblížení (tzv. go-around). Podle kapitána první důstojník zavolal „go-around“ ve stejném okamžiku, kdy kapitán manévr začal. Letadlo ještě kleslo na nejnižší výšku kolem 60 stop (asi 18 metrů), přeletělo druhé letadlo a pak začalo stoupat.

Nikdo nebyl zraněn a žádné z letadel nebylo poškozeno. NTSB ve svých závěrech výslovně uvádí, že přerušení přiblížení v malé výšce zabránilo srážce s jedním nebo více letadly na pojezdové dráze.

Časová osa letu

Podle informací o únavě, které Air Canada svým pilotům poskytovala, začínalo období nejnižší bdělosti těchto pilotů kolem třetí hodiny ráno torontského času. Incident se tedy odehrál těsně před ním.

Proč se to stalo

NTSB nenašla jednu velkou chybu. Našla řadu drobných selhání, z nichž každé by samo o sobě nic nezpůsobilo.

Informace byla k dispozici, ale nedostala se do hlavy

Uzavření dráhy 28L bylo v podkladech pro let (tzv. NOTAM, zpráva pro letce) i ve zprávě s informacemi o letišti, kterou posádka dostala během letu. První důstojník si nevybavil, že by zprávu o uzavření četl. Kapitán ji viděl, ale když na ní záleželo, nevzpomněl si. Oba si pamatovali, že informace o letišti během letu četli, ale nevybavili si konkrétní zprávu o uzavřené dráze.

NTSB konstatovala, že způsob, jakým byla informace podaná, nezdůraznil její důležitost. Důležitá zpráva se ztratila mezi méně podstatnými. Podle úřadu nešlo o ojedinělý problém: databáze dobrovolných hlášení NASA obsahovala řadu podobných událostí, kdy piloti přehlédli důležitou informaci v záplavě méně důležitých.

Chyběla záloha

Postup pro toto přiblížení vyžadoval, aby první důstojník ručně naladil frekvenci přístrojového přistávacího systému (ILS). Ten by ukazoval, zda letadlo míří na osu dráhy. První důstojník krok vynechal a kapitán, který měl nastavení kontrolovat, to nepostřehl. Bylo to jediné přiblížení v databázi Airbusů A320 této společnosti, které ruční ladění vyžadovalo, takže nešlo o běžnou rutinu. Pokyn navíc na mapě přiblížení nebyl dost nápadný.

Oči viděly, co mozek čekal

Oba piloti létali do San Francisca v noci už dříve a znali ho se dvěma otevřenými drahami. Čekali tedy, že uvidí dvě dráhy, a „našli“ je. Podle NTSB existovaly signály, že jde o pojezdovou dráhu, například zelená světla na ose a blikající žlutá světla. Byly tu ale i signály, které očekávání potvrzovaly: řada světel letadel v přímce vypadala jako dráha. NTSB to popisuje jako expectation bias, tedy zkreslení očekáváním. Uzavřenou dráhu označoval blikající bílý kříž, ten ale nebyl navržený tak, aby upoutal posádku mířící na jinou dráhu.

Piloti v rozhovorech po incidentu uvedli, že povrch pojezdové dráhy C připomínal dráhu. Jakmile letadlo srovnali na to, co považovali za správnou plochu, protichůdné informace podle NTSB už příliš nezvažovali.

Únava

Posádka začala cítit únavu po průletu bouřkami. Podle jejich tělesných hodin, nastavených na Toronto, bylo v okamžiku incidentu 2:56 ráno, tedy doba, kdy by normálně spali. Kapitán byl vzhůru přes 19 hodin, první důstojník přes 12 hodin. NTSB dospěla k závěru, že oba byli unavení a že únava pravděpodobně přispěla k záměně dráhy, přetrvávajícímu zkreslení i ke zpožděnému rozhodnutí přerušit přiblížení.

Rozpis služeb přitom odpovídal kanadským předpisům. Kapitán byl záložní pilot povolaný na večerní let a podle NTSB by jeho doba služby a odpočinku nevyhověla americkým pravidlům pro piloty (14 CFR Part 117). Kanadská pravidla platila od roku 1996, návrhy nových úřad Transport Canada zveřejnil v letech 2014 a 2017, ale v době vyšetřování je ještě nedokončil.

Rozdělená pozornost

V kritických chvílích se první důstojník díval dovnitř kokpitu, protože nastavoval údaje pro případné nezdařené přiblížení. Když vzhlédl, letadlo už mířilo na pojezdovou dráhu. Předpokládal, že kapitán ho srovnal správně.

Ani systémy na zemi nevarovaly

Věž v San Francisku měla systém pro sledování pohybu na letištní ploše. Nebyl ale navržený tak, aby odhalil přilétající letadlo srovnané s pojezdovou dráhou, a žádný poplach nevydal. NTSB přitom už v březnu 2011 doporučila americkému úřadu pro letectví FAA prověřit, zda by podobné systémy dokázaly přistání na pojezdovou dráhu odhalit. Doporučení v září 2011 uzavřela s hodnocením „nepřijatelná reakce“. Ukázka FAA z února 2018 pak podle NTSB naznačila, že by takové varování fungovat mohlo.

Co naopak nehrálo roli

NTSB výslovně vyloučila několik věcí, které by člověka napadly jako první: kvalifikaci posádky, která odpovídala kanadským i americkým předpisům, zdravotní stav pilotů, technický stav letadla a osvětlení letiště, které splňovalo americké předpisy. Řídící letového provozu podle zprávy reagoval správně, jakmile potenciální konflikt zaznamenal.

NTSB zmínila jen jednu výhradu k věži: řídící neměli spojovat pracovní pozice, dokud se používal postup, kdy letadla čekají na dráze nebo u ní na povolení ke vzletu. Na vzniku incidentu se to ale nepodílelo.

Řetěz pojistek, které nezachytily chybu

Při čtení zprávy je vidět, kolik příležitostí existovalo chybu zachytit. Každá pojistka selhala z jiného důvodu.

Co mohlo následovat

Na pojezdové dráze stála čtyři velká dopravní letadla připravená ke vzletu, s plnými nádržemi paliva a lidmi na palubě. Nad nimi v noci ve výšce desítek metrů letěl další dopravní letoun. NTSB k tomu uvádí, že bezpečnostní rezervy byly „vážně sníženy“ vzhledem k blízkosti země a minimální vzdálenosti mezi letadly. Počty lidí na palubách čekajících strojů zpráva ve shrnutí neuvádí. Není ale těžké domyslet, co by znamenala srážka.

Podle NTSB se kapitán k přerušení přiblížení nejspíš rozhodl, když se letadlo blížilo k hrázi na okraji letiště a nesoulad s dráhou byl už zjevný z více signálů najednou. Simulace, kterou úřad provedl, přitom ukázala, že kdyby letadlo mělo systém varující před přistáním mimo dráhu, posádka mohla chybu poznat dřív a přiblížení přerušit v bezpečnější výšce.

Proč vyšetřování nemá úplný obraz

Letadlo mělo záznamník hlasů z kokpitu (CVR). Než si ale vedení Air Canada uvědomilo, jak vážná událost se stala, záznam se přepsal. NTSB proto nemohla zjistit, zda k chybám přispělo rozptýlení nebo pracovní zátěž. Záznam by podle úřadu mohl přímo ukázat, jak se posádka na přiblížení připravovala, jak spolupracovala a jak se rozhodovala.

Kdo má v autě kameru nahrávající ve smyčce, zná stejný problém v malém. Záznam, který se neuloží hned, za chvíli neexistuje. Více v článku autokamera jako důkaz. A totéž platí pro fotky a videa v telefonu: jediná kopie není záloha. Jak to nastavit, popisuje článek záloha fotek v telefonu.

Co se změnilo

NTSB projednala zprávu AIR-18/01 na veřejném zasedání 25. září 2018 a vydala sedm bezpečnostních doporučení. Mezi nimi:

• americkému úřadu pro letectví FAA, aby vyžadoval systémy, které pilota varují, pokud letadlo není srovnané s dráhou,
• upravit letištní systémy sledování pohybu na ploše tak, aby řídící dostali výstrahu, když letadlo míří na pojezdovou dráhu (systém v San Francisku takové varování nevydal),
• zlepšit podávání provozních informací pilotům, aby se důležité zprávy neztrácely, a sestavit k tomu skupinu odborníků na lidský faktor,
• prověřit přiblížení, která vyžadují neobvyklé ruční ladění frekvence, a buď zavést automatické ladění, nebo pokyn na mapách zvýraznit,
• výrazněji označovat uzavřené dráhy, pokud rovnoběžná dráha zůstává v provozu,
• kanadskému úřadu Transport Canada, aby upravil pravidla odpočinku záložních pilotů povolávaných na večerní lety.

Delší záznam z kokpitu

Nejviditelnější dlouhodobý dopad se týká právě přepsaného záznamu. V tiskové zprávě z května 2024 NTSB uvedla, že o 25hodinové záznamníky hlasu v kokpitu poprvé žádala po incidentu v San Francisku v roce 2017. Od roku 2018 se podle úřadu záznamy ztratily v dalších 14 vyšetřováních, mimo jiné u sedmi vážných narušení dráhy v roce 2023 a u lednové nehody Boeingu 737 MAX 9 společnosti Alaska Airlines, při které šlo o záslepku dveří.

Americký zákon o FAA z roku 2024 podle NTSB požaduje 25hodinové záznamníky na nových i stávajících letadlech, oproti dosavadním dvěma hodinám. Záznam z letu, jako byl ten nad pojezdovou dráhou C, by se tak do rukou vyšetřovatelů dostal mnohem pravděpodobněji.

Co si z toho vzít do běžného života

Nejste pilot, ale mechanismy, které tu selhaly, fungují stejně za volantem, v kuchyni i v práci.

Když čekáme něco známého, přehlédneme změnu

Denně jezdíte stejnou trasou a jednoho dne tam je objížďka, nová značka nebo uzavřený pruh. Mozek doplní, co zná. Totéž se děje chodci, který „ví“, že auto u přechodu zastaví. Více v článku proč přednost chodce neznamená jistotu.

Na stejném principu stavějí i podvodníci. Hlas v telefonu, který se představí jako vnuk v nesnázích nebo policista, počítá s tím, že mozek doplní zbytek a nezačne pochybovat. Jak takový hovor rozpoznat, popisuje článek podvody na seniory: vnuk a falešný policista.

Únava bere úsudek dřív než vědomí

Piloti nespali za kniplem. Byli vzhůru, jen unavení, a to stačilo, aby špatný obraz neopustili. Podle evropské observatoře bezpečnosti silničního provozu má řidič po 17 hodinách bez spánku riziko nehody srovnatelné s 0,5 promile alkoholu v krvi. Kapitán letu 759 byl v tu chvíli vzhůru přes 19 hodin. Jak únavu poznat, popisujeme v článku mikrospánek za volantem.

Když něco nesedí, zastavte se

Posádka viděla světla na dráze, kterou řídící označil za volnou. Ten rozpor byl signál. Za volantem to znamená zpomalit, když něco nevypadá, jak má, a ne doufat, že to „nějak dopadne“.

Stejně to platí u telefonu. Když vám někdo z „banky“ volá kvůli podezřelé platbě a tlačí vás, abyste peníze rychle převedli jinam, je to signál zavěsit a zavolat bance sami na číslo z jejího webu. Víc v článku falešný bankér po telefonu: kdy zavěsit.

Jedna kontrola nestačí

ILS měl sloužit jako záloha vizuálního přiblížení a kapitán měl zkontrolovat práci prvního důstojníka. Obě pojistky vypadly najednou. Doma to vypadá podobně nenápadně: dávkovač léků, který chystá jeden člověk a nikdo ho nezkontroluje, nebo krabičky, které vypadají stejně. Jak předejít záměně, popisuje článek záměna léků doma.

Na internetu hraje roli zálohy druhý krok přihlášení. Když selže heslo, účet pořád chrání kód v telefonu. Proč ho zapnout, vysvětluje článek dvoufázové ověření.