23 июля 1983 года Boeing 767 компании Air Canada вылетел из Монреаля с погасшими топливомерами. Все три экрана в кабине были тёмные. И экипаж это видел, и техники знали. Борт выпустили в рейс. Через полтора часа на эшелоне 410 у машины кончилось топливо, и оба движка затихли. Капитан Боб Пирсон, который в свободное от полётов время летал на планерах (и слава богу!), спланировал лайнер на бывшую военную базу в местечке Гимли, где в тот субботний день местный мотоклуб устроил картинговые гонки. Народ с трассы разбежался кто куда, самолёт прокатился по полосе мимо палаток и барбекю и остановился. Все живы!
Хорошая история. Но в ней есть один момент, который не укладывается в голову у нормального человека: как самолёт с нерабочими топливомерами вообще оказался в воздухе?
Ответ в документе под названием MEL, Minimum Equipment List. И вот какая штука, случай с Гимли вообще не уникален.
Сто тысяч деталей и полтора часа между рейсами
Возьмем Airbus A320, у него около ста тысяч компонентов. Это не считая всякой мелочёвки вроде заклёпок. У широкофюзеляжных машин типа 777 или A350 компонентов ещё больше.
Самые обычные будни среднего лайнера предсатвляют из себя подъём в пять утра, первый рейс в шесть тридцать, потом ещё три-четыре перелёта за день, последняя посадка ближе к полуночи. Между рейсами борт стоит на перроне час, от силы полтора. За это время из него вытаскивают одних людей с их чемоданами, убирают салон, загружают других, заправляют, подписывают бумаги.
Но вот одним утрецом техник на предполётном осмотре находит неработающую посадочную фару. Одну из трёх. Самолёт должен через сорок минут принять пассажиров. Запасная лампа? Возможно, есть на складе, но склад в другом конце аэропорта. Вызвать инженера, дождаться, заменить, проверить, записать — это займет время и точно задержит сам рейс.
Или второй вариант, борт летит днём без одной фары из трёх, потому что днём это безопасно, а вечером на базе спокойно меняют лампу.
Из этой развилки и родился MEL.
Как появился документ, разрешающий летать со сломанным
Произошло это ещё в шестидесятых.
Авиация тогда активно развивалась, самолёты становились сложнее, рейсов становилось больше, и стало очевидно, что требовать стопроцентной исправности всего оборудования перед каждым вылетом просто нереалистично.
И вот регуляторысовместно с производителями сели и проделали колоссальную работу: для каждого типа самолёта составили документ MMEL — Master Minimum Equipment List. Мастер-список, в котором перечислено всё оборудование, которое может быть неисправно при выпуске борта в рейс. С условиями, ограничениями и расчётами, доказывающими, что при такой-то неисправности самолёт сохраняет достаточный уровень безопасности.
Почитать их, кстати, можно здесь: https://drs.faa.gov/browse/MMEL/doctypeDetails
MEL утверждается национальным авиационным регулятором. В Штатах выдают на каждый утверждённый MEL специальный документ Letter of Authorization, который юридически является Supplemental Type Certificate. То есть MEL такой вот сертификат, привязанный к конкретному хвостовому номеру.
Четыре категории:
Каждый дефект, который можно деферить по MEL, относится к одной из четырёх категорий — по срочности ремонта.
Категория A — срок прописан прямо в позиции MEL, обычно считанные часы или конкретное число рейсовых циклов.
Категория B — трое суток, не считая дня обнаружения.
Категория C — десять суток.
Категория D — тут внезапно 124 дня. Борт может летать четыре месяца с этим дефектом, и всё легально. Понятно, что сюда попадает всякая ерунда вроде нерабочей розетки для зарядки в бизнес-классе или подсветки потолка.
Эти категории нельзя плюсовать, то есть еслии на борту одновременно висит дефект по B и дефект по C, нельзя просто сказать «ну оба разрешены, значит всё ок». Надо проверить, что два дефекта вместе не выбивают какую-то целую функцию. По отдельности может быть и ерунда, а вместе может получиться что-то очень плохое.
Что именно бывает сломано
Я хочу остановиться на поподробнее.
Реверс тяги. Это то, что рычит после посадки, когда самолёт тормозит. На двухдвигательном лайнере два реверса, по одному на каждый движок. Один может быть заблокирован. Техник ставит штифт, вешает бирку INOP на рычаг в кабине, делает запись и борт улетает.
Звучит страшно!
Но реверс тяги вообще не входит в сертификационные посадочные характеристики. Самолёт обязан укладываться в полосу на одних колёсных тормозах. Реверс у нас представляет из бонус, дополнительная страховочка. На мокрой полосе или на коротком аэродроме оба реверса могут быть обязательны, тогда MEL не поможет и борт туда не полетит. Но на сухой трёхкилометровой полосе один реверс — это запас сверх запаса.
Один кондиционер из двух. У A320 два воздушных контура, которые забирают горячий воздух от двигателей и охлаждают его для кабины. Если один отказал, можно лететь. Но есть ограничения, потолок падает до 25000 футов, и загрузку могут ограничить, потому что один пак не прокачает воздух на забитый под завязку салон.
ВСУ — вспомогательная силовая установка. Маленький движок в хвосте, который жужжит, пока самолёт стоит у гейта, даёт электричество и кондиционирование до запуска основных двигателей. Без ВСУ самолёт летит прекрасно, в воздухе она вообще не нужна в нормальном режиме. Но без неё борт не запустится сам и на трансокеанские маршруты его не выпустят.
Метеорадар. Можно лететь без него, но только если на маршруте не прогнозируется грозовая активность. Если есть грозы в прогнозе, то без радара никто никуда не пойдёт, и это не обсуждается.
Один генератор из двух. Каждый двигатель крутит свой ��лектрогенератор. Если один сломался, то его нагрузку возьмет на себя ВСУ — она работает всю дорогу вместо генератора. Потолок высоты при этом снижается, а трансокеанские маршруты закрыты.
Список можно продолжить. Подогрев одного из слоёв лобового стекла. Резервный датчик температуры масла. Один кислородный прибор из набора бортпроводников. Дублирующий указатель положения закрылков.
Обычное утро обычного аэропорта
Хочется показать, как это выглядит вживую.
Утро, допустим, Домодедово. Техник на предполётном осмотре прогоняет тест реверса правого двигателя, тест падает с ошибкой. Далее он открывает MEL (сейчас обычно на планшете, находит нужную позицию, читает условия. Реверс можно деактивировать при определённых ограничениях. Дальше процедура: физически установить блокировочный штифт в механизм реверса (это железяка, которую надо поставить руками на двигателе), заклеить и промаркировать соответствующий рычаг в кабине, внести запись в бортовой журнал: номер позиции MEL, дата, крайний срок устранения.
Приходит экипаж. Командир берёт журнал, видит запись, открывает MEL, проверяет: а куда мы сегодня летим? Полоса в пункте назначения — какой длины? Какое покрытие? Что с погодой? Если всё сходится — кивает. Если полоса короткая или мокрая и оба реверса там обязательны — говорит «нет». Никакой MEL не перевесит решение командира. Это его ответственность.
Параллельно диспетчерская служба авиакомпании пересчитывает лётные характеристики: посадочную массу, потребную дистанцию торможения, может быть, запасной аэродром.
И борт улетает. Пассажиры садятся, пристёгиваются и летят. Никто ни о чём не догадывается. Вечером самолёт прилетает на базу, заруливает на стоянку, и ночная смена инженеров спокойно меняет блок реверса. Утром борт снова полностью исправен.
В крупных авиакомпаниях такие вещи обрабатываются десятками в день по всему флоту.
Так что там с тем боингом
Вернёмся к тому Боингу, с которого мы начали, потому что эту историю обычно пересказывают неправильно.
Июль 1983 года. Boeing 767 Air Canada, борт C-GAUN. Совсем молодая машина, четыре месяца в эксплуатации. У неё хроническая болячка с системой FQIS, которая показывает количество топлива. Система работает через два независимых канала: если один глючит, второй подхватывает.
21 июля техник в Эдмонтоне по имени Конрад Яремко обнаруживает, что второй канал барахлит. Он делает правильную вещь: отключает сбойный канал, выдернув в кабине автоматический выключатель (нзывается circuit breaker), вешает на него бирку и записывает в журнал ссылку на MEL — позиция 28-41-2, один канал из двух неисправен, летать можно при условии проверки топлива мерными щупами перед каждым вылетом. Первый канал работает, топливомеры показывают правильные цифры.
Борт летит из Эдмонтона через Оттаву в Монреаль.
В Монреале другой техник. Фамилия его Уэллет, и он решает разобраться, в чём причина сбоя второго канала. Для диагностики он возвращает circuit breaker на место. И тут оба канала ложатся, экраны топливомеров гаснут полностью. Техника зовут делать замеры топлива щупами. Он уходит. И забывает вернуть автоматический выключатель в выдернутое положение. Бирка остаётся висеть, создавая иллюзию, что всё как было, но фактически оба канала мертвы.
Дальше — капитан Боб Пирсон. Он приходит в кабину и видит ровно то, что ожидает: тёмные экраны и бирку. На парковке он перекинулся парой слов с предыдущим капитаном, тот рассказал про проблему с датчиками. Из-за недопонимания Пирсон решил, что борт уже летал с этим дефектом из Торонто. Полистал журнал, записи подтверждали его картину мира. Бегло глянул в MEL, увидел знакомый номер позиции, и решил, что всё в порядке.
А в MEL прописано: один неработающий канал FQIS — можно, оба — нельзя. Но Пирсон этого не уловил. Расследование потом выяснит, что в Air Canada бывало, когда центр управления техобслуживанием разрешал вылеты с нарушениями MEL, по разу-другому в месяц. MEL стал юридически обязательным в Канаде только с 1977 года, шесть лет назад, и старые привычки ещё не выветрились.
Ну и вишенка в переводе единиц. Канада переходила на метрическую систему, 767-й был одним из первых метрических бортов в Air Canada. Экипаж пересчитал литры в «вес» через коэффициент 1.77, не зная, что это фунты, а бортовой компьютер считал в килограммах и ждал коэффициент 0.8. Самолёт улетел с половиной нужного топлива.
Дальше двенадцать с половиной тысяч метров, тишина, планирование на бывшую базу ВВС, ребятки с картингами на полосе, посадка с невыпущенной передней стойкой.
Пирсон и второй пилот Морис Кинталь получили за это сначала по шапке (Пирсона понизили на полгода, Кинталя отстранили на две недели), а потом первый в истории диплом за выдающееся мастерство от Международной авиационной федерации.
Пилоты Air Canada потом пытались повторить эту посадку на тренажёре, ни у кого не вышло, все разбивались, представьте себе!
Короче говоря, MEL в этой истории вообще ни при чём. Он как раз запрещал вылет. Виновата цепочка человеческих ошибок.
Но если эта история закончилась хорошо, то есть совсем обратная история.
Spanair 5022
Двадцатое августа 2008 года, мадридский аэропорт Барахас, жара за тридцать пять. McDonnell Douglas MD-82 компании Spanair собирается лететь на Канары. Сто семьдесят два человека на борту, рейс уже опаздывает. Экипаж начинает разбег, и тут на приборах — температура наружного воздуха 99 градусов.
Бред, конечно, но сигнал есть.
Командир прерывает взлёт, самолёт откатывают на стоянку.
Приезжают техники. Быстро находят причину: обогреватель датчика температуры наружного воздуха включился на земле, хотя должен работать только в полёте, он там защищает датчик от обледенения. Техник открывает MEL. Позиция есть: обогреватель RAT-сенсора можно деактивировать, если по прогнозу нет условий обледенения. Август, Мадрид, плюс тридцать пять, ну какой лёд? Техник вытаскивает автоматический выключатель, деактивирует обогреватель, записывает. Процедура нормальная.
Экипаж запускается заново, выруливает на полосу, второй разбег.
Машина разгоняется, отрывается метров на двенадцать, и падает.
Сваливается вправо, врезается в канаву между полосами, разваливается на части и загорается. Сто пятьдесят четыре человека погибли. Выжили восемнадцать, все из первых девяти рядов, некоторых выбросило из обломков прямо в ручей, что спасло их от огня.
Что произошло? Экипаж не выпустил закрылки и предкрылки. Самолёт пытался взлететь в чистой конфигурации, крыло не давало подъёмной силы на взлётной скорости, машина кое-как оторвалась, и тут же свалилась.
Когда борт вернулся на стоянку после первого прерванного разбега, экипаж по стандартной процедуре убрал механизацию, закрылки и предкрылки. Так положено на стоянке. А при повторном запуске забыл выпустить. Стресс от задержки, суета с техниками, давление графика, Spanair тогда переживала тяжёлые финансовые времена и даже обещала пассажирам компенсации за опоздания. Всё это сбило экипажу рутину.
А система TOWS — Take-Off Warning System, которая обязана орать, если конфигурация на взлёте неправильная промолчала.
Расследование показало: на MD-82, когда после катастрофы Northwest Airlines рейса 255 в 1987 году (тоже забыли закрылки, тоже MD-82, тоже 154 погибших) McDonnell Douglas добавил систему TOWS, её проводку при монтаже завязали в один жгут с проводкой датчика наружной температуры. Деградировавшее реле R2-5, связанное с цепью того самого RAT-датчика, не дало системе предупреждения сработать.
Техник действовал по MEL. Экипаж знал про отключённый датчик. Но ни один человек на земле не знал, что деактивация обогревателя датчика температуры может повлиять на систему предупреждения о неправильной взлётной конфигурации. В MEL этой связи не было, потому что она вообще не была задокументирована, никто не думал, что эти системы как-то пересекаются.
Так зачем он нужен, если от него бывают проблемы?
После двух таких историй идея «летать со сломанным — это ок» звучит не очень убедительно...
Без MEL у авиакомпании два пути.
Первый — отменять рейс при любом обнаруженном дефекте.
Второй путь — летать на усмотрение конкретного техника и конкретного командира, без единых правил, по принципу «ну вроде нормально, полетели». Это, собственно, и были пятидесятые-шестидесятые годы, и тот подход убивал людей регулярно.
MEL — это третий путь: формализация. Такие вот раницы допустимого.
Плюсом добавим тот факт про современные самолёты, что они спроектированы с колоссальным запасом резервирования.
К тому же, MEL не одинок, у него есть родственники. CDL (Configuration Deviation List) описывает, какие элементы внешней конструкции могут отсутствовать: декоративная панель обтекателя, мелкая аэродинамическая заглушка. Вещи, потеря которых не влияет на лётные качества, но их отсутствие должно быть зафиксировано.
NEF (Non-Essential Furnishings) — это уже салон: сломанный откидной столик, заевший подлокотник, нерабочий плафон. NEF часто оформляет сам экипаж, без вызова инженера.
После таких разговоров люди говорят «ужас, больше не полечу». При этом спокойно ездят на машине, у которой check engine светится с прошлого лета, дворник левый размазывает вместо того чтоб вытирать, и подвеска стучит на каждой кочке. И ничего, живут.
Кто летает часто — наверняка видели эти наклейки INOP или что-нибудь заклеенное в салоне. Расскажите в комментариях, любопытно послушать.
Ну и скромно оставлю тут свой тг — budnipilot. Пишу про авиацию, заходите.
