Boeing 737 MAX este a patra generație de 737, una dintre cele mai de succes familii de aeronave de transport.

Primele modele 737-100 și 737-200 au zburat în 1967-1968. Tipul 737-200 încă mai zboară, 17 exemplare fiind în serviciu în Canada, deși producția lor a încetat din 1988. Sunt aeronave foarte fiabile și au o capabilitate unică de a decola fără riscuri de pe piste cu pietriș și nisip antiderapant, având o echipare specială pentru acest tip de operațiuni. Multe aeroporturi din nordul Canadei nu justifică investiții în piste astfaltate, care în acele condiții de temperatură sunt și foarte scump de întreținut. Localitățile izolate din acea regiune nu au alt mijloc de transport și 737-200 este singura lor legătură rapidă și confortabilă cu restul lumii. Viața acestui aparat va fi prelungită încă mulți ani de companiile canadiene, cu sprijinul autorității aeronautice naționale. Avionul inițial era echipat cu instrumente clasice de bord, dar avioanele recertificate recent în Canada se bucură de o avionică modernă, de tip glass cockpit. Am ținut să dau acest exemplu pentru că au apărut în media discuții despre vechimea aeronavelor și critici la adresa unor operatori aerieni care au la zbor avioane mai vechi. Cel mai puternic om al planetei, președintele SUA ar trebui să fie foarte îngrijorat. Avioanele lui au 30 de ani vechime. Dimpotrivă, recentele accidente 737 MAX ne reamintesc că de fapt o nouă tehnologie poate genera riscuri mai mari decât tehnologia matură, consacrată, pe care se bazează aeronavele aflate de mulți ani în serviciu. Fiecare inovație majoră și-a avut partea ei de sacrificiu uman, ne gândim la De Havilland Comet în anii 1950, sau la Airbus A320 în anii 1990.

Bolile copilăriei nu au ocolit primele avioane Boeing 737-200. Destul de multe exemplare au sfârșit prost, rata accidentelor fiind de 1,75 la un milion de zboruri. Rata accidentelor la seriile ulterioare s-a redus treptat, fiind de 0,54 la Classic și de 0,27 la NG. Maturizarea unei tehnologii vine cu beneficii de siguranță explicabile. Pe de altă parte, ceea ce se întâmplă acum cu seria MAX iese complet din ce ne-am fi așteptat. În doi ani, cele 200 de avioane MAX în serviciu nu au acumulat mai mult de un sfert de milion de zboruri, iar cele 2 accidente urcă rata la cca. 8 pe milion. Desigur că această rată va scădea cu fiecare an, pentru că am convingerea că MAX va fi resoftat și problemele lui tehnice vor fi eradicate.

A doua generație de 737 s-a numit Classic (-300 normal, seria de bază, cu variantele -400 alungit și -500 scurtat). Au fost aeronave produse între 1981 și 2000. Aproape 2000 de exemplare au fost exploatate cu succes pe toate continentele. Lufthansa a utilizat tipul -300 ca pe un cal de povară din 1986 timp de 30 de ani, până în 2016, când ultimul -300 a fost retras. Tarom și Blue Air folosesc încă această serie de avioane foarte fiabile.

Atât prima generația cât și generația Classic au avut inițial anumite probleme cu controlul direcției. O serie neagră de accidente s-au datorat defectării unor servomecanisme hidraulice ale controlului direcției. În situații rarisime, pe fondul turbulenței atmosferice, apărea bracajul necomandat și total de palonier, din care aeronava nu mai putea fi salvată.

Un alt exemplu de problemă tehnică la generația Classic nu a făcut nicio victimă, dar ilustrează cât de complicate pot fi problemele tehnice și cât de greu le este uneori inginerilor să le rezolve. Electronica pilotului automat era realizată de Boeing pe o arhitectură comună cu a tipului B747, pentru a reduce costurile. Avionul fiind mult mai mic (anvergura aripii de 737 era mai mică decât anvergura ampenajului orizontal de la 747), anumite intrări analogice în pilotul automat erau neutralizate cu filtre care includeau condensatoare. În timp, condensatoarele se uscau, își pierdeau capacitatea electrică și ca urmare referința de ruliu începea să nu mai fie zero. La cuplarea pilotului automat, piloții constatau că avionul zboară ușor înclinat pe o parte. La început, unghiurile de înclinare erau foarte mici, dar la un moment dat un exemplar din flota Lufthansa ajunsese să mențină un ruliu constant de 8°! Desigur, piloții decuplau pilotul automat și zburau manual, până când inginerii au dat de cap acestei probleme ciudate. Între data primului raport al unui pilot Lufthansa că pilotul automat nu zboară orizontal și data implementării soluției tehnice de corectare a situației, a durat aproximativ un an de zile.

Generația 737 Next Generation (NG, -600, -700, -800 și -900 în funcție de lungime, de la fuselajul cel mai scurt la cel mai lung) a însemnat o reproiectare a aeronavei cu instrumente de bord electronice. Totodată s-a mărit stabilitatea aeronavei prin mărirea stabilizatorului vertical și reproiectarea sistemului de control al direcției, după lecțiile învățate de la generațiile anterioare.

Ryanair (care, în treacă fie spus, a debutat cu avioane BAC One-Eleven închiriate de la Tarom prin wet lease) a consacrat conceptul de flotă monotip cu tipul Boeing 737-800. Southwest Airlines în Statele Unite de asemenea a folosit exclusiv tipurile -700 și -800. Tarom și Blue Air au de asemenea aceste tipuri în dotare.

Fără să fie Fly-by-Wire ca Airbus A320, Boeing 737 NG sunt avioane glass cockpit, puternic computerizate. Există vreo 7000 de asemenea avioane în serviciu sau comandate și ele vor fi retrase din fabricație pe măsură ce noua generație MAX le va lua locul. Siguranța aeronavelor 737 NG a fost impecabilă, cu doar 15 accidente sau 0,27 la un milion de zboruri, iar aceste accidente nu au fost în principiu din cauze tehnice. Două dintre accidentele care au făcut vâlvă au fost cu B737-800: Turkish Airlines la Amsterdam și Ethiopian la Beirut. În ambele cazuri, culpa a aparținut piloților.

Ca să înțelegem cât de sigure sunt avioanele Boeing 737, merită să menționăm cazul Concorde. Supersonicul franco-britanic care a zburat în 1976 a avut primul și unicul accident abia în anul 2000 (Gonesse). Un singur accident în 24 de ani. Până la acel accident, avionul se bucura de o aură de siguranță legendară. Cineva totuși a făcut un mic calcul. În toată istoria lui în serviciu, Concorde a zburat cam cât zboară Boeing 737 într-o săptămână. Prin urmare, un accident la 24 de ani la Concorde ar echivala cu un accident săptămânal la 737. Aura de siguranță legendară o merită de fapt 737, chiar în pofida recentelor dezastre!

Noua serie MAX a fost anunțată de Boeing în 2011, în oglindă cu retehnologizarea pe care Airbus o realiza prin seria Neo. De câțiva ani au intrat în serviciu noile modele. La doar doi ani de la primul zbor și cu o listă de vânzări de peste 5000 de unități, MAX îngrijorează. În octombrie 2018 și martie 2019 două accidente produse la scurt timp după decolare par să semene. Dacă despre accidentul recent din Etiopia nu cunoaștem foarte multe, accidentul Lion Air din Indonezia a fost deja elucidat.

În esență 737 MAX vine cu un sistem nou de augmentare în contolul automat al zborului, care teoretic intrevine doar în situații de atitudini neobișnuite și brachează stabilizatorul orizontal independent de comenzile date de piloți. Un astfel de sistem este caracteristic aeronavelor Fly-by-Wire, așa cum este familia Airbus, însă e cam neobișnuit pentru piloții formați la școala Boeing. Sistemul se numește Maneuvering Characteristics Augmentation System (MCAS). În accidentul Lion Air 610, acest sistem a reacționat eronat, pe baza unui senzor de unghi de atac defect. Ca urmare, s-a produs bracajul negativ al stabilizatorului orizontal, care a condus la prăbușirea avionului, în ciuda strădaniei piloților de a se opune acestui bracaj negativ prin comenzi de profundor. Profundorul având o suprafață mult mai mică decât cea a stabilizatorului, autoritatea sa a fost sever limitată, zădărnicind eforturile piloților de a salva avionul.

După accidentul Lion Air, Boeing a emis o notă tehnică prin care solicita piloților să decupleze sistemul MCAS (prin comanda STAB TRIM CUTOUT) în cazul tendinței de tangaj negativ necomandat și a promis o nouă versiune de software, care să adreseze acest tip de problemă. Din păcate, până la ora accidentului de la Addis Abeba, acest nou software nu fusese livrat. Cu toate că accidentul recent din Etiopia este încă neelucidat, o eroare de funcționare a sistemului MCAS este greu de exclus. Traiectoria aeronavei imediat după decolare și variațiile neobișnuite ale vitezei verticale recepționate prin ADS/B pot fi explicate prin bracajul necomandat și incorect al stabilizatorului, întocmai ca la Lion Air. De aceea, oprirea de la zbor a noului tip de aeronavă în China[1] are sens. Una dintre întrebările cheie este dacă piloții etiopieni au decuplat sistemul MCAS prin STAB TRIM CUTOUT la primele semne de tangaj negativ necomandat și dacă nu au făcut-o, de ce? Martori care au recepționat apelul de urgență prin radio transmis de piloții etiopieni relatează despre probleme de tip unreliable speed indications (indicații inconsistente de viteză) și dificultăți de control.

Sistemul MCAS nu exista la seriile anterioare de 737. El a apărut la MAX ca o necesitate, din cauza unei geometrii schimbate a motoarelor și a modului în care motoarele sunt prinse pe aripă. S-a câștigat eficiență în consum de combustibil în zbor, în schimb s-a deteriorat comportamentul aeronavei la atitudini neobișnuite. Fiind un avion cu aripa jos și cu motoarele montate sub aripă, vectorul tracțiune induce un moment de tangaj semnificativ. Dacă manetele de gaze sunt împinse la maximum, botul aeronavei are tendința de a se ridica necomandat. Această tendință poate fi periculoasă la unghiuri de atac mari, când viteza este aproape de limita de angajare. Ieșirea din limita de viteză presupune pe de-o parte mărirea tracțiunii și pe de altă parte împingerea manșei pentru reducerea unghiului de tangaj. Prima manevră la un 737 MAX fără MCAS ar risca s-o anihileze pe cea de-a doua. MCAS nu are rolul să intervină în zborul normal, ci doar în acele situații foarte rare, când avionul ajunge într-o atitudine cu un unghi de atac foarte mare.

Merită spus că Airbus are un sistem similar încă din 1988, de la lansarea primului Fly-by-Wire de transport, Airbus A320. Sistemul de pe Airbus folosește doi senzori de unghi de atac, aflați pe cele două laterale ale fuselajului și în caz de dezacord între cei doi senzori, nu se iau decizii automate de bracaj. În cazul Lion Air 610, sistemul Boeing aparent a luat o decizie automată de bracaj negativ într-o condiție de dezacord între cei doi senzori, doar unul dintre cei doi fiind defect. Accidentul A320 de la Perpignan (2008) ilustrează cum sistemul de control automat al zborului de la Airbus se poate păcăli în cazul în care ambii senzori de unghi de atac măsoară eronat, dar nu sunt în dezacord. Avionul respectiv fusese spălat înainte de zbor cu jet de apă sub presiune, contrar normelor tehnice, care interziceau un astfel de mod de a spăla aeronava. Apa inflitrată în interstițiul ambilor senzori a înghețat concomitent când aeronava în urcare a trecut de izoterma de 0° și sistemul automat a fost alimentat cu două informații de unghi de atac, ambele greșite, dar nu în dezacord. Ca urmare, sistemul automat a comandat cabrajul aeronavei fără ca piloții să poată reacționa în vreun fel pentru a se salva. Un lucru similar s-a întâmplat cu un Airbus A321 al Lufthansa la Bilbao (2014), din fericire piloții au putut recâștiga controlul prin decuplarea unui Air Data Computer. Varianta actuală de software de MCAS de la Boeing 737 MAX își ia informațiile de la un singur senzor, iar dezacordul între cei doi senzori de unghi de atac nu este semnalizat la bord decât într-o variantă opțională de software.

O aeronavă este proiectată pe cele două principii, ale redundanței funcționale și ale disimilarității. Nicio defecțiune a unui singur echipament nu trebuie să conducă la un accident. Toate echipamentele sunt dublate, triplate sau cuadruplate, iar furnizorii lor sunt diferiți, astfel că dacă unul dintre echipamente are o eroare de software sau de hardware, aceasta nu va afecta și celelalte echipamente care fac aceeași funcție, acestea funcționând concomitent pe microprocesoare de alt tip, cu un software scris de altcineva, pe aceleași specificații. Echipamentul senzor de unghi de atac (AOA) este dublat, dar modul cum este el integrat în arhitectura MCAS nu prea respectă principiul redundanței. Din principiu, funcționarea unui singur senzor nu ar trebui să decidă soarta unui zbor.

Pe 12 martie 2019, Boeing a emis următoarea notă referitoare la MCAS și la accidentele Lion Air  610 și Ethiopian 302: ”În ultimele luni și în urma accidentului Lion Air 610, Boeing a început să dezvolte o îmbunătățire de software pentru 737 MAX destinată să facă o aeronavă deja sigură într-una și mai mai sigură. Aceasta include actualizări ale legii de control a Sistemului de Augmentare a Caracteristicilor de Manevră (MCAS), afișajul pentru piloți, manualele operaționale și instruirea piloților. Legea de control îmbunătățită include intrările de unghi de atac (AOA), limitează comenzile trim de stabilizator ca răspuns la o citire eronată de unghi de atac și saturează comanda de stabilizator pentru a păstra autoritatea profundorului.”

Cheia rezolvării acestei situații constă tocmai în această promisiune făcută de Boeing. Dacă MCAS își limitează acțiunea sa automată asupra stabilizatorului la o valoare la care încă profundorul are autoritate, înseamnă că un avion în situația Lion Air 610 sau (prezumtiv) Ethipian 302, ar rămâne controlabil de la manșă și piloții ar putea compensa manual astfel de căderi ale botului aeronavei induse în mod incorect de MCAS, din cauza unor senzori defecți. Aceasta ar fi bineînțeles o întoarcere la tradiția filosofiei Boeing, centrată pe pilot. Desigur, rămâne soluția decuplării sistemului STAB TRIM, care va suspenda cu totul acțiunea MCAS.

Persistă și întrebarea de ce se defectează niște senzori noi atât de des și atât de ușor.

O altă lecție necesară ar fi reconsiderarea afișajului unghiului de atac (AOA). În anii 2000 la aeronavele de transport s-a renunțat treptat la afișajul acestui parametru esențial al zborului. Atât aeronavele Boeing, cât și Airbus ajunseseră în această situație. După viteza aerodinamică indicată, unghiul de atac este al doilea parametru ca importanță în menținerea aeronavei în zbor. Totuși, s-a considerat că pentru piloți este mai important unghiul de tangaj și că două unghiuri pe canalul longitudinal s-ar putea să-i încurce. Abia după accidentul Air France 447 cu un Airbus 330 (2009), recomandarea Biroul Francez de Anchetă a fost de a reintroduce afișajul la bord al unghiului de atac. În accidentul Lion Air 610, afișajul la bord al unghiului de atac ar fi putut ajuta piloții să înțeleagă imediat ce se întâmplă cu avionul lor, vizualizând practic indicația inconsistentă a unuia din sezorii AOA.

Aeronavele Boeing sunt și vor rămâne aeronave foarte sigure. Ceea ce s-a întâmplat în Indonezia și în Etiopia marchează o boală a copilăriei noii tehnologii MAX. Inovațiile tehnologice vin cu acest preț greu de suportat, în vieți omenești. În aviație însă, niciun accident sau incident nu rămâne în zadar. Sistemul aviației va învața din aceste greșeli. Am convingerea că MAX va recupera terenul pierdut și că vom zbura cu MAX în siguranță deplină, de acum încolo, mulți ani.

Octavian Thor Pleter

[1] Până la momentul publicării articolului, EASA, CAA-ul britanic și alte autorități naționale s-au alăturat chinezilor în oprirea la sol a aeronavelor 737 MAX