fejlmargin

◊◊◊

hver luftkatastrofe er en sammenløb af kritiske fiaskoer, der bygger på og forværrer hinanden, indtil katastrofen bliver uundgåelig. Sjældent, hvis nogensinde, kan et nedbrud forklares med en enkelt årsag. Nogle gange hører hvert trin på strengen af fejl til et fælles tema, der forener hele begivenhedssekvensen—måske en mangel på kommunikation mellem piloterne understøtter flere menneskelige fejl, eller en mekanisk fiasko forårsager andre, der ikke var forudset. Men i andre tilfælde, tilsyneladende tilfældige begivenheder mødes på det forkerte sted og det forkerte tidspunkt, separate kæder af fiaskoer, der konvergerer i et klimaks øjeblik af terror. I mit seneste indlæg om TAROM flight 371, som styrtede ned, fordi kaptajnen havde et hjerteanfald på det nøjagtige tidspunkt, hvor autothrottle fungerede, tog jeg fat på det faktum, at i et system med flere niveauer af afskedigelser, er der altid noget, der fejler, hvilket gør uheldige tilfældigheder mere sandsynlige. Dette er kendt som “svensk ostemodel” af flyulykker. Hver skive ost har huller forskellige steder – de altid tilstedeværende svage punkter, der gør redundans nødvendig i første omgang. Så en stak skiver ost, eller flere lag af redundans, er nødvendig for at dække alle de svage pletter. Men, siger modellen, en gang imellem, hullerne i den svenske ost linje op, og det er, når katastrofen rammer. Det følgende er en historie, hvor systemiske fejl, pilotfejl, controllerfejl, vejrforhold, mekanisk svigt og dårlig flydesign alle kom sammen i en lille by i Canada.

◊◊◊

lørdag den 11. februar 1978 fik en kold og snedækket start i Cranbrook, British Columbia. Den rolige by på 15.000 mennesker, der ligger på den vestlige kant af de canadiske Rockies, var ikke kendt for at være en stor flyrejsedestination, men den var bestemt kendt for sne, og den morgen var der en halv meter af den allerede på jorden ved dens lille flyveplads med en bane, hvor der stadig kom mere ned. Cranbrook var det, der er kendt som en “ukontrolleret lufthavn”, idet den manglede nok lufttrafik til at retfærdiggøre et kontroltårn. Imidlertid var en radiooperatør til stede for at give piloter information om vejrforhold og koordinere andre lufthavnsaktiviteter. Dette blev anset for at være en “rådgivningstjeneste;” som sådan havde radiooperatøren ingen myndighed til at udstede kommandoer til fly, kun for at give dem information.

i overensstemmelse med sin dødvande status, den første kommercielle flyvning planlagt til at ankomme i Cranbrook den dag, en Stillehavet vestlige Boeing 737, forventedes ikke at lande før engang omkring 13:00. Det pågældende fly, Pacific vestlige Airlines flight 314, havde hoppet mellem byer og byer i det vestlige Canada siden tidligt den morgen. Det begyndte sin dag i Edmonton, Alberta, fløj derefter til Fort McMurray, tilbage til Edmonton og ned til Calgary. Det var nu planlagt at flyve fra Calgary til Cranbrookog endelig videre til byen Castlegar i det sydlige centrale British Columbia. Selvom flyet havde en maksimal passagerkapacitet på 117 personer, betød flight 314 ‘ s landdistrikter, at det på flere ben af flyvningen var mindre end halvt fyldt. 44 passagerer og fem besætningsmedlemmer gik ombord på flyet i Calgary, nogle på vej til Cranbrook og andre til Castlegar.

flyets kaptajn var den 30-årige Chris Miles, der begyndte at flyve klokken 19 og havde 2.780 timer på Boeing 737. Han blev ledsaget af den 25-årige første Officer Peter Van Oort, der kun havde 81 timer på 737, ud af 1.316 samlede flyvetimer. Ingen af dem var kendt for at have nogen mangler, og begge var fuldt kvalificerede til flyvningen, fik nok hvile den foregående nat og var fløjet til Cranbrook før. Og alligevel ville de lave fejl, der snart ville blive en del af et ustoppeligt tog af beslutninger og tilfældigheder, der konvergerede på flight 314.

◊◊◊

Pacific vestlige flight 314 lettede fra Calgary på 12:32 og klatrede til sin cruising højde på 20.000 fod. Efter at have forladt Calgary blev der sendt to ETA (estimeret ankomsttidspunkt) meddelelser, en af flyselskabet til sine bagagehåndterere i Cranbrook og en anden af Calgary ATC til Cranbrook radiooperatør. Virksomheden leverede en ETA på 12:55, mens ATC sendte en ETA på 13:05. Dette var en massiv afvigelse for en så kort flyvning, men det var fordi disse to ETA ‘ er var beregnet til forskellige formål: virksomheden eta var praktisk, så bagagehåndterere ville vide, hvornår de skulle gøre sig klar, mens Calgary ATC ‘ s ETA var en ydre grænse—med andre ord det seneste tidspunkt, hvor flyet med rimelighed kunne forventes at ankomme under betingelserne. De ekstra ti minutter skulle redegøre for en mulig vejrforsinkelse sammen med en godtgørelse for en løkke omkring fyret i begyndelsen af tilgangen til Cranbrook for at låse på signalet fra instrumentlandingssystemet. Calgary flyveledere vidste ikke, at besætningen på flight 314 ikke havde planer om at udføre denne løkke. Imens, radiooperatøren i Cranbrook—som kun modtog ATC—estimatet, og ikke den mere nøjagtige fra det vestlige Stillehav-behandlede denne ETA som et ægte skøn over, hvornår flyet ville ankomme.

i Cranbrook var sneplovoperatøren Terry George ude og rydde akkumuleret sne fra landingsbanen som forberedelse til den indkommende flyvning. 12:35 ringede radiooperatøren for at fortælle ham, at flight 314 var planlagt til at ankomme klokken 13: 05 og være væk fra landingsbanen inden da. Eta fra Calgary ATC var aldrig beregnet til brug ved styring af jordoperationer, men radiooperatøren syntes ikke at have nogen anelse om, at flyet let kunne ankomme i god tid før dette tidspunkt. Det gjorde George heller ikke.

klokken 12:42 fik piloterne i flight 314 tilladelse til at begynde deres nedstigning. Så snart Calgary-områdekontrol ryddede dem for at nærme sig Cranbrook, var de i det væsentlige alene og havde ikke brug for yderligere clearance for at lande, gå rundt, cirkulere lufthavnen eller udføre andre manøvrer i lav højde. Piloterne skiftede ikke længere til ATC, Førsteofficer Van Oorts radio til Cranbrook lufthavnsfrekvens, mens kaptajn Miles havde sin indstilling til en vestlig virksomhedskanal i Stillehavet. Selv i 1978 blev dette anset for at være dårlig dømmekraft; han skulle have lyttet til Cranbrook-radiooperatøren selv i stedet for kun at stole på den første officer til at modtage information og kommunikere den til ham. Han kunne have følt, at det var passende i denne indstilling, fordi de ikke ville modtage yderligere instruktioner, kun rådgivende oplysninger.

ved 12:47 ringede Cranbrook-radiooperatøren til flight 314 og informerede dem om, at synligheden var 1,2 km (0,75 mi) med let snefald, og at en sneplov var i færd med at rydde landingsbanen. Van Oort anerkendte transmissionen, men hørte heller ikke om sneplovens tilstedeværelse eller sendte den ikke videre til Miles, forudsat at den ville være væk fra landingsbanen, da de ankom. Han gav ikke Cranbrook-radiooperatøren et estimeret ankomsttidspunkt, og radiooperatøren bad ikke om en. Der var ingen yderligere kommunikation mellem flybesætningen og radiooperatøren, på trods af at det var sædvanligt at informere operatøren, når han nærmede sig lufthavnen, så misforståelsen om flyets eta forblev uløst. Flight 314 nåede snart Skookumchuck radio beacon, hvor de skulle lave sløjfen, hvis de ville bruge ILS, men de fortsatte videre for en direkte manuel tilgang til Cranbrook.

flyet ankom til 12:55 som forudsagt af flyselskabet, men radiooperatøren og sneplovoperatøren forventede det ikke i yderligere ti minutter. Selvom piloterne kunne se landingsbanen, blev sneploven skjult af sneen, den kastede op, hvilket i sig selv var usynligt på baggrund af endnu mere sne. Flight 314 rørte ned 240m (800ft) forbi banetærsklen, og kaptajn Miles indsatte stødomvenderne på motorerne for at bremse. Omkring et sekund senere fik han øje på sneploven, som var omkring 370m (1.200 ft) foran dem, og indså, at de ikke kunne stoppe, før de ramte den. Omkring samme tid hørte Terry George, sneplovoperatøren, en støj og vendte sig om for at se en Boeing 737 kaste sig lige mod ham. “Hvor fanden kom han fra!”han råbte ind i radioen, da han krypterede for at komme ud af vejen.

◊◊◊

Boeing manualer siden 1977 informerede piloter om, at det ikke anbefales at udføre en go-around i en 737, efter at trykomvendere er indsat på grund af faren for en trykomvendingsfejl. Imidlertid vidste piloter hos Pacific vestlige flyselskaber, at det lejlighedsvis blev gjort alligevel uden negative konsekvenser. Piloterne fra flight 314 stod nu over for en beslutning, de kun havde et par sekunder til at tage: annullere det omvendte tryk og tage af igen eller slå sneploven. Af frygt for et nedbrud opfordrede Miles til en øjeblikkelig Go-around og stuvede stødomvenderne kun 2,5 sekunder efter at han befalede dem at indsætte. Boeing 737-200 havde “bucket-style” stødomvendere, som vendte retningen af motorkraften ved at folde to døre ned over bagsiden af motoren for at danne en “spand”, der ville afbøje trykket fremad. Denne hydraulisk drevne spand kunne ikke implementere eller stuve øjeblikkeligt; det tog snarere et par sekunder at flytte på plads. Miles tænkte og bevægede sig hurtigere end det. Næsten så snart han stuvede stødomvenderne, skubbede han gasspjældene for at gå rundt for at løfte tilbage fra landingsbanen. På det tidspunkt, hvor han lavede denne kommando, var de venstre stødomskifterdøre stadig åbne omkring 5 cm.

systemet, der registrerer, om trykomvenderne er indsat, betragter alt, hvad der er “helt lukket”, som åbent. Pludselig kommanderende fuld fremdrift med trykomskifteren stadig lidt i åben position udløste en sikkerhedsmekanisme, der kun nogensinde skulle komme i spil, mens flyet er i luften. For at forhindre, at en utilsigtet implementering af trykomskifter under flyvning bliver en katastrofal ulykke, ville systemet reducere motorkraften til tomgang på den berørte motor og skære hydraulisk kraft til trykomskifterdøren, hvis det opdagede, at reverseren var flyttet ind i den “indsatte” position, mens gashåndtagene var indstillet til at give fremadgående tryk. Tilfældigt var forholdene under go-around lige rigtige for at udløse sikkerhedssystemet, som skar hydraulisk kraft til trykvenderen på venstre motor og rullede tilbage motorens tryk til tomgang til højre, da flyet løftede af. Følgelig forblev stødomskifterdøren åben med 5 cm.

go-around blev udført så hurtigt, at piloterne ikke lagde landingsudstyret eller justerede klapperne til en passende startindstilling, men flyet kunne flyves. Den venstre motor var i tomgang, hvilket forårsagede en krøje til venstre, som Miles instinktivt modvirkede med en højre rorkommando. Bare sekunder efter at have set sneploven, fly 314 passerede omkring 15m (50ft) over toppen af det. “Det var lige over mig,” sagde George senere til Calgary Herald. “Jeg kan huske, at jeg kiggede ud af mit vindue, og hjulet var lige der.”

da flyet klatrede op og væk over Terry George ‘ s sneplov, skruede aerodynamiske kræfter de delvist åbne trykomskiftdøre til den fuldt indsatte position. Øjeblikke senere så piloterne ud til at indse, hvad der var sket, fordi Van Oort rakte op for at forsøge at vende den venstre motorstødomskifter overstyringskontakt, som ville have gendannet hydraulisk kraft til døren og tilladt dem at lukke den. Men de store, uhåndterlige skovldøre forårsagede en enorm mængde træk, som kombineret med det asymmetriske tryk fra motorerne for at tvinge flyet til en forværret venstre bred. For at gøre tingene værre blev landingsudstyret stadig indsat, hvilket forårsagede endnu mere træk, og piloterne havde endnu ikke haft tid til at flytte klapperne i den rette position for at generere ekstra lift til start. Besætningen havde kun omkring fem sekunder til at løse disse problemer. Det var ikke tid nok. Flyet bankede til halvfems grader og gik i stå. Passagererne klamrede sig til deres pladser i kære liv, da flyet slog over og fyldte venstre sidevinduer med et klart billede af jorden, som var kun få meter væk. Første Officer Van Oort blev kastet ud af balance og formåede aldrig at vende omskifteren. Han indtastede ved et uheld mikrofonen på sin radio og udsendte kaptajn Miles’ sidste skræmte skrig på Cranbrook lufthavnsfrekvens: “vi skal craaaash!”

Flight 314 styrtede ned i en næsten lodret bankvinkel og tredive grader næse ned banen. Venstrefløjen og cockpittet ramte jorden først; vingen gik i opløsning, og påvirkningen rev passagerkabinen i to og skød et antal passagerer ud af skroget, da det kom fra hinanden. Cockpittet og den forreste del af kabinen ramte jorden hårdt og brød af og dræbte begge piloter, mens midtersektionen tog hovedparten af påvirkningen. En eksplosion rev gennem flyet, da det pløjede ind i den snedækkede jord, glider kun en kort afstand, før den pludselig stopper. Det meste af passagerkabinen foran række 18 blev fuldstændig ødelagt og dræbte næsten alle indeni, men række 18-21 og den bageste kabys forblev intakt. Bedøvet over at opdage, at hun stadig levede, kæmpede den bageste flyvehjælper ud af sit sæde og åbnede en udgangsdør, hvorigennem hun flygtede fra flyet sammen med en anden overlevende passager fra række 20. Yderligere to passagerer fra række 18 og 21 sprang ud gennem den ødelagte skrog og vaklede væk gennem sneen, snavs og ild.

◊◊◊

radiooperatørens første anelse om, at der var noget galt, var Georges udråb og skriget udsendt over radioen. Forsøger at besvare Georges spørgsmål om, hvor flyet kom fra, sagde radiooperatøren: “jeg kender ikke Terry, men han ringede bestemt ikke efter sit første opkald,” med henvisning til den ene radiosamtale, der fandt sted mellem flyet og operatøren.

i det øjeblik kontaktede Calgary ATC Cranbrook radiooperatøren og sagde: “Jeg har en indgående til dig”, uden at indse, at Stillehavets vestlige flyvning 314 allerede var ankommet og faktisk allerede var styrtet også.

på dette tidspunkt kunne radiooperatøren se røg og flammer bryde ud fra det brændende plan. “Standby venligst, “sagde han,” Jeg har en nødsituation.”

Calgary kontaktede Cranbrook igen ni minutter senere og spurgte: “Cranbrook radio, Calgary, har du stadig travlt?”

“Ah, okay, gå videre nu Calgary.”

” okay, først ud, hvor er PV tre fjorten nu, har du nogen ide?”Calgary spurgte, stadig helt uvidende om situationen.

“ja, han er nødsituationen,” sagde Cranbrook-radiooperatøren. “Han er styrtet ned og brænder ud for enden af landingsbanen.”

◊◊◊

øjeblikke efter at have modtaget den generelle alarm, lufthavnens to brandmænd krypterede ind i lufthavnens eneste brandbil, hentede George og tre andre lufthavnsansatte og skyndte sig til stedet og ankom cirka fem minutter efter styrtet. De blev konfronteret med total blodbad. Meget af flyet var blevet reduceret til brændende murbrokker, og det var tydeligt, at de fleste passagerer var døde. Lig lå overalt, nogle stadig spændt fast i deres pladser. Dyb sne forhindrede brandbilen i at komme tæt på vraget, så de fortsatte til fods og opdagede flere overlevende, der vandrede fortumlet midt i affaldet. De fandt snart yderligere to alvorligt sårede overlevende, der havde siddet i række 16 og 18, liggende på jorden uden for flyet og skyndte dem i sikkerhed. En sidste kritisk såret passager blev opdaget inde i skroget lige bag cockpiten; derefter blev ilden og røgen for intens til at komme ind i vraget. Et par ekstra passagerer, inklusive en baby, menes at være omkommet i flammerne.

det tog 25 minutter for bedre udstyrede brandbiler at ankomme fra Cranbrook, som var 17 km væk fra lufthavnen, og fra det nærliggende samfund Kimberley. Blandt de brandmænd, der skyndte sig til nedstyrtningsstedet, var Stuart Miskova, hvis far var på flyet. “Da jeg nærmede mig scenen, kunne jeg se ild fyre arbejder i cockpiten, gennem vinduerne, forsøger at komme derind,” sagde han. “Og der var lig, der lå helter-skelter overalt. Jeg gik hen mod halesektionen. Jeg kiggede ned, og der var min far. Han sad bare der, bare rolig, bare et kig på hans ansigt, som om han havde kigget ud af vinduet eller noget. Der var intet terror på ham eller noget. Så hvad jeg gjorde var, at jeg gik videre til en af RCMP-officererne, og jeg sagde, ‘jeg vil identificere min far.'”

i mellemtiden kunne ingen af brandbilerne komme tæt nok til at bekæmpe ilden, der brændte ukontrolleret i vraget. Det tog en time for en sneblæser at rydde en sti for lastbilerne, og endnu en og en halv time efter det, før ilden blev slukket. Ingen yderligere overlevende blev fundet ud over dem, der blev opdaget i de første par minutter. Af de syv oprindelige overlevende blev de fleste alvorligt såret, og passageren, der blev fundet bag cockpiten, døde på hospitalet ti dage efter styrtet, hvilket bragte den endelige vejafgift til 43 døde og 6 overlevende. Alle dem, der overlevede, sad bagud i række 16 og tilføjede endnu et eksempel til en lang liste med nedbrud, hvor bagsiden af flyet viste sig at være det sikreste sted at sidde.

◊◊◊

undersøgelsen løb ind i alvorlige vanskeligheder, fordi den langvarige flamme alvorligt beskadigede de sorte kasser, hvilket gjorde cockpit voice recorder ubrugelig og ødelagde det meste af båndet fra flydataoptageren også. Kontrovers fulgte over et rykk i sidste øjeblik til venstre noteret på dataoptageren, hvilket syntes at antyde, at en af piloterne havde lavet en venstre rorkommando eller stoppet med at lave en højre rorkommando sekunder før styrtet. Boeing indgav en ligsyn, der beskyldte styrtet på den første officer, der deprimerede rorpedalen under go-around. Imens, Canadas Transportsikkerhedsråd kom under beskydning for at forhindre, at oplysninger relateret til den igangværende efterforskning blev brugt i en retssag, hvor det var tiltalte, står over for beskyldninger om, at det var ansvarligt for styrtet ved at lade Cranbrook modtage store kommercielle passagerfly på trods af ikke at have et kontroltårn. Disse oplysninger blev til sidst offentliggjort sammen med den endelige rapport, der beskyldte en kompleks konvergens af vidt forskellige faktorer.

anvendelse af den svenske ostemodel til styrtet af flight 314 bliver det klart, hvor meget der skulle gå galt for at forårsage ulykken. Kritisk for resultatet var den relativt ubrugelige eta leveret af Calgary-controllere; Cranbrook-radiooperatørens behandling af denne ETA som en nøjagtig forudsigelse af, hvornår flyet ville ankomme; piloternes beslutning om ikke at bruge ILS-tilgangen, som blev anbefalet under instrumentforhold; piloternes og radiooperatørens manglende bekræftelse af en nøjagtig ETA; pilotenes manglende evne til at informere radiooperatøren, da de var ved at lande (betragtes som høflig, men ikke obligatorisk); og designet af trykomskiftersystemet, som forhindrede bakkedørene i at lukke helt. Undersøgelsen fandt også, at det venstre rorinput var stærkt overdrevet på dataoptageren, fordi et input, der var stort, ville have fået flyet til at gå ned hurtigere, end det faktisk gjorde. Det virkelige, mindre input var sandsynligvis resultatet af et øjebliks distraktion, da piloterne forsøgte at stabilisere andre aspekter af flyvningen. Rapporten rejste også muligheden for, at de to piloters samtidige og kraftige handling for at skubbe gashåndtagene fremad kan have brudt kaptajnens tommelfinger og tilføjet den allerede kaotiske situation i cockpiten.

i sidste ende kan Pacific vestlige Airlines flight 314 siges at være blandt kun en meget lille håndfuld ulykker, hvor systemiske mangler, dårligt vejr, pilotfejl, controllerfejl, mekanisk svigt og dårligt design alle spillede store roller. Der var ikke nok regler om, hvordan piloter skulle opføre sig, når de flyver til ukontrollerede lufthavne, eller om, hvordan ETA ‘ er skulle udstedes og bruges. Dette førte til, at controllere udstedte en dårlig ETA, som derefter aldrig blev rettet på grund af manglende kommunikation mellem piloterne og radiooperatøren, fordi de ikke var juridisk forpligtet til at tjekke ind, selvom det blev betragtet som høfligt. Disse fejl kombineret med det dårlige vejr førte til, at sneploven stadig var på landingsbanen, da flyet rørte ned for at lande. Så begyndte en anden kæde af fejl. Boeing havde ikke overvejet, hvad der ville ske, hvis piloter forsøgte at udføre en go-around efter at have implementeret stødomvenderne indtil 1977, mindre end et år før styrtet, og advarslen om, at dette var farligt, havde endnu ikke haft tid til at slå rod, og Boeing havde heller ikke haft tid til at designe et bedre omvendt tryksystem. Så da piloterne forsøgte at komme ud af den farlige situation, de blev placeret i af den tidligere streng af fejl, snublede de ind i en ny, da deres acceleration utilsigtet udløste et sikkerhedssystem, der forhindrede trykomskifterdørene i at lukke helt og rullede den venstre motor tilbage til tomgang. Reverseren blev derefter tvunget helt åben af luft farende ind i hullet. Kombinationen af træk fra den åbne reverser og den reducerede effektindstilling på venstre motor førte til en farlig bank, der ikke kunne gendannes, fordi flyet ikke var i en ordentlig konfiguration til start. Den sidste søm i kisten var første Officer Van Oorts manglende evne til at vende stødomskifteren tilsidesætte kontakten i tide (selvom det er prisværdigt, at hans første instinkt var at nå ud til det). Hvor som helst på denne kæde kunne ulykken let have været undgået med kun en mindre justering af begivenhedssekvensen.

i dag er der ingen chance for, at en lignende ulykke kan ske igen. Piloter, der nærmer sig ukontrollerede lufthavne, skal udsende deres intentioner på den generelle frekvens. Bucket-style thrust reversere ses nu sjældent, med stort set alle almindelige passagerfly, der bruger et helt andet design, der ikke forårsager så meget træk, når de implementeres, og kan ikke implementeres af aerodynamiske kræfter. Der er ikke længere behov for den type stopgap-sikkerhedssystem, der skulle afbøde virkningerne af en in-flight reverser-implementering, fordi designet af moderne reversere gør det umuligt for dem at implementere i flyvning i første omgang. Begge de store fejlkæder, der førte til dette nedbrud, ville derfor blive nippet i knoppen længe før de kunne forårsage problemer.

værdien i at se tilbage på nedbruddet af Stillehavets vestlige flight 314 er ikke, at det stadig har uadresserede sikkerhedsundervisning, men at det viser, hvor kompleks den “svenske ostemodel” af flyulykker kan blive. På en eller anden måde havde denne uklare ulykke i en lille canadisk Lufthavn en fejlkæde, der måske kun kunne sammenlignes med Tenerife-katastrofen. Så mange systemer mislykkedes på så mange niveauer, at det er svært at tro, at en sådan ulykke kunne ske, selv i det meget mindre regulerede luftfartsmiljø i 1970 ‘ erne. men som man siger, fejler der altid noget. Thrust reverser design var en ulykke venter på at ske. Så var Calgary Atcs unøjagtige ETA ‘ er. Meget få af de fejl, der førte til dette nedbrud, var engangshændelser; snarere var de altid til stede, men havde ikke konvergeret på en måde, der virkelig var farlig. Den eneste grund til, at alle disse systemiske fejl ikke forårsagede en ulykke tidligere, var fordi hullerne i den svenske ost ikke stod op—indtil de en dag tragisk gjorde det.