4.3 Dlaczego samoloty są bezpieczne? Redundancja systemów i procedury awaryjne
Spis treści
- Czy latanie jest naprawdę bezpieczne?
- Czym jest redundancja systemów w lotnictwie?
- Jakie systemy w samolocie mają kopie zapasowe?
- Silniki – czy jeden wystarczy?
- Komputery pokładowe
- Jak działają procedury awaryjne?
- Co robią piloci w sytuacji kryzysowej?
- Jak wygląda szkolenie załóg?
- Często zadawane pytania
Czy latanie jest naprawdę bezpieczne?
Tak. Latanie samolotem to statystycznie najbezpieczniejszy środek transportu na świecie.
Według danych Międzynarodowego Zrzeszenia Przewoźników Lotniczych (IATA), w 2023 roku wskaźnik wszystkich wypadków (all accident rate) wynosił 0,80 na milion sektorów, co w przybliżeniu odpowiada jednemu wypadkowi na 1,25 mln lotów. Oznacza to, że przy obecnym poziomie bezpieczeństwa musielibyśmy lecieć codziennie przez około 3 425 lat, żeby statystycznie doświadczyć jednego wypadku lotniczego.
Ryzyko śmierci w wypadku samochodowym jest wielokrotnie wyższe niż w locie samolotem – w przeliczeniu na pasażerokilometr nawet kilkadziesiąt razy (według danych IATA i Eurostat).
Skąd taki poziom bezpieczeństwa? Dwa filary:
- Redundancja systemów – kluczowe elementy mają systemy rezerwowe
- Procedury awaryjne – załogi są przeszkolone na każdy scenariusz
Czym jest redundancja systemów w lotnictwie?
Redundancja to powielenie krytycznych elementów, tak by awaria jednego nie wpływała na działanie całości.
W praktyce oznacza to, że najważniejsze systemy w samolocie istnieją w dwóch, trzech, a nawet czterech kopiach. Jeśli jeden zawiedzie, drugi przejmuje jego funkcję. Automatycznie. Bez ingerencji pilota.
Ta zasada redundancji wywodzi się z lotnictwa wojskowego z lat 40. i 50. XX wieku. NASA rozwinęła i sformalizowała ją w programie kosmicznym od lat 60. Dziś jest standardem w każdym samolocie pasażerskim.
Przykład:
Boeing 777 ma trzy niezależne systemy hydrauliczne. Każdy może samodzielnie sterować samolotem. Dwa układy hydrauliczne mogą całkowicie zawieść, a samolot nadal zachowuje sterowność i jest w stanie bezpiecznie wylądować – choć z istotnymi ograniczeniami operacyjnymi (wyższa prędkość, dłuższa droga lądowania, ograniczone wychylenie klap i spoilerów).
Jakie systemy w samolocie mają kopie zapasowe?
Praktycznie wszystkie, które są niezbędne do lotu i lądowania.
Lista systemów z redundancją:
Tabelę można przewijać w poziomie.
| System | Liczba kopii | Funkcja |
|---|---|---|
| Silniki | 2–4 | Napęd (samolot może lecieć na jednym) |
| Hydraulika | 2–3 | Sterowanie powierzchniami |
| Elektryka | 2–3 + baterie | Zasilanie instrumentów |
| Komputery pokładowe | 3–8 (w zależności od typu samolotu; np. A320: 7, A350: 6, B777: 3–4, B787: 4) | Sterowanie lotem |
| Pompy paliwa | zwykle 2–4 na zbiornik (główne + pomocnicze/override/jettison) | Dostarczanie paliwa |
| Instrumenty nawigacyjne | 2–3 zestawy | Określanie pozycji |
| Systemy komunikacji | typowo 3 radia VHF + 2 radia HF + SATCOM + ACARS | Kontakt z kontrolą |
Silniki – czy jeden wystarczy?
Tak. Każdy dwusilnikowy samolot jest certyfikowany do lotu na jednym silniku.
Airbus A320 może lecieć ponad dwie godziny na jednym silniku i bezpiecznie wylądować. Piloci ćwiczą to na symulatorach co kilka miesięcy.
Komputery pokładowe
W Airbusie A350 znajduje się łącznie 6 głównych komputerów sterowania lotem (Flight Control Computers):
- 3 komputery PRIM (Primary Flight Computers) – odpowiadają za realizację praw sterowania lotem (flight control laws), ochronę obwiedni lotu (flight envelope protection) oraz bezpośrednie sterowanie podstawowymi powierzchniami sterowymi.
- 3 komputery SEC (Secondary Flight Computers) – odpowiadają za sterowanie spoilerami oraz pełnią funkcję rezerwową dla komputerów PRIM w zakresie sterowania podłużnego i poprzecznego; w razie awarii komputerów głównych, jednostki SEC zapewniają ciągłość sterowania poprzez uproszczone prawa lotu (Direct Law).
Działają one w modelu „Command/Monitor”: każda jednostka ma dwa kanały. Jeśli dane z kanału wykonawczego różnią się od monitorującego, komputer automatycznie się wyłącza, a zadania przejmuje kolejna jednostka.
Ciekawą cechą systemu A350 jest tzw. zasada „Dissimilarity” (Niejednorodność). Aby uniknąć błędu projektowego, który mógłby unieruchomić wszystkie komputery naraz, Airbus stosuje różne procesory i różne oprogramowanie (napisane przez oddzielne zespoły programistów) dla jednostek PRIM i SEC.
Jak działają procedury awaryjne?
Procedury awaryjne to szczegółowe instrukcje postępowania w każdej możliwej sytuacji kryzysowej.
Są spisane w dokumentach: QRH (Quick Reference Handbook) – służącym do obsługi sytuacji awaryjnych, oraz Flight Crew Operating Manual (FCOM), zawierających opisy systemów i procedur operacyjnych; nadrzędnym dokumentem certyfikacyjnym dla statku powietrznego jest Aircraft Flight Manual (AFM). Piloci uczą się ich na pamięć. I regularnie powtarzają.
Struktura procedury awaryjnej:
- Identyfikacja problemu – co się stało?
- Działania natychmiastowe – bez sięgania do instrukcji
- Działania z listy kontrolnej – krok po kroku
- Decyzja operacyjna – kontynuować lot czy lądować?
Przykład: Pożar silnika (ENG 1(2) FIRE) – procedura w locie (Airbus A320)
W przypadku wykrycia pożaru silnika ECAM natychmiast wyświetla czerwone ostrzeżenie ENG 1(2) FIRE na górnym wyświetlaczu (E/WD), a na pedale zapala się czerwony annunciator FIRE.
Działania natychmiastowe (tzw. memory items) zajmują zwykle ok. 25–35 sekund. Pełna procedura awaryjna, łącznie z analizą strony STATUS, komunikacją z ATC, oceną sytuacji i przygotowaniem do lądowania na jednym silniku (One Engine Inoperative), trwa znacznie dłużej.
Kolejność działań według ECAM:
- THR LVR (uszkodzony silnik) → IDLE
- ENG MASTER (uszkodzony silnik) → OFF
- ENG FIRE pb (uszkodzony silnik) → wcisnąć (i przytrzymać do potwierdzenia)
→ Automatycznie: wycisza alarm dźwiękowy, zamyka zawór paliwa HP, zawór odcięcia hydrauliki, zawór bleed silnika oraz zawór regulacji przepływu paku, odcina zasilanie FADEC, dezaktywuje IDG oraz uzbraja zapalniki środka gaśniczego. - Po odczekaniu 10 sekund (ECAM automatycznie odlicza czas – pozwala na spadek N1 i zmniejszenie wentylacji gondoli):
AGENT 1 → DISCH - Jeśli czerwona lampka FIRE nadal świeci po upływie czasu:
AGENT 2 → DISCH
Po zabezpieczeniu silnika (engine secured) kontynuuje się pozostałe działania ECAM, sprawdza stronę STATUS i przechodzi do procedur One Engine Inoperative + przygotowania do lądowania.
Piloci ćwiczą tę sekwencję dziesiątki razy w symulatorze, dzięki czemu w rzeczywistej sytuacji wykonują ją niemal automatycznie, z zachowaniem ścisłej koordynacji PF/PM.
Co robią piloci w sytuacji kryzysowej?
Stosują zasadę Aviate, Navigate, Communicate – Leć, Nawiguj, Komunikuj.
Aviate – najpierw utrzymaj kontrolę
Navigate – określ, gdzie jesteś i dokąd lecisz
Communicate – poinformuj kontrolę ruchu
Dopiero na końcu piloci raportują problem. Dlaczego? Bo bezpieczny lot jest ważniejszy niż natychmiastowa rozmowa.
Kapitan Sully Sullenberger, pilot słynnego lądowania na rzece Hudson w 2009 roku, powiedział:
Wszystko, co zrobiliśmy tamtego dnia, było wynikiem dekad szkolenia. Nie improwizowaliśmy. Wykonaliśmy procedury.