Záměna jednotek při tankování způsobila vyčerpání paliva letu známého jako Gimli Glider

V sobotu 23. července 1983 odletěl Boeing 767 Air Canada z Montrealu s necelou polovinou paliva, které posádka předpokládala na palubě. V cestovní hladině mu zhasly oba motory.

Foto: PsamatheM - licence CC BY 4.0

Let 143 měl mířit z Montrealu přes Ottawu do Edmontonu. Místo toho se zapsal do leteckých dějin jako Gimli Glider, těžký dopravní stroj, který bez kapky kerosinu klouzal atmosférou a přistál na vyřazené vojenské dráze v manitobském Gimli, kde zrovna probíhaly závody dragsterů. Všech 69 lidí na palubě přežilo bez vážných zranění. Příběh se dodnes vypráví jako triumf pilotního umění. Jenže vyšetřovací komise ukázala něco znepokojivějšího: chybu nezpůsobil jeden člověk, ale systém, ve kterém nikdo přesně nevěděl, kdo má za výpočet paliva odpovídat.

Kde přesně vznikla chyba

Populární verze říká „zaměnili kilogramy za libry“. Realita je o stupeň složitější. Boeing 767 s registrací C-GAUN byl prvním metrickým letadlem ve flotile Air Canada, která jinak pracovala v imperiálních jednotkách. V den letu nefungoval digitální systém měření paliva FQIS; ukazatele v kokpitu zůstaly prázdné. Posádka proto musela zjistit stav nádrží ručně, takzvaným dripováním: měrkou se změřila hladina v centimetrech a výsledek se převedl na objem v litrech.

Problém nastal v dalším kroku. Z litrů bylo třeba přepočítat na hmotnost v kilogramech. Jenže všichni zúčastnění (posádka i údržba, nejprve v Montrealu a poté znovu v Ottawě) použili převodní faktor 1,77. To je hustota kerosinu v librách na litr, nikoli v kilogramech. Správný faktor pro kilogramy je přibližně 0,803.

Výsledek? Po dripu v Ottawě vyšlo 7 682 litrů paliva na palubě. Vynásobením 1,77 vzniklo číslo 13 597, ve skutečnosti liber (přibližně 6 167 kg), ale považované za kilogramy. Z toho posádka odvodila, že k dosažení minima 22 300 kg stačí doplnit asi 5 000 litrů. Správně měla doplnit zhruba 20 000 litrů. Letadlo vzlétlo s přibližně 10 100 kilogramy paliva, tedy necelou polovinou potřebného množství.

Systém, který selhal na všech úrovních

Podle závěrů vyšetřovací komise nešlo o selhání obsluhy pumpy ani pilota. Komise identifikovala řetězec příčin:

• Porušení MEL: Letadlo nemělo vůbec odletět s nefunkčními ukazateli paliva. Zápis v technickém deníku byl nejasný a několik lidí se mylně domnívalo, že takový odlet je přípustný.
• Žádná jasná odpovědnost: V abnormální situaci, kdy se palivo počítalo ručně, neexistoval postup, který by jednoznačně určil, kdo výpočet provádí a kdo ho nezávisle kontroluje. Komise to označila za „mezeru v systému“.
• Dvojí opakování stejné chyby: V Montrealu výpočet provedli společně pilot a technik údržby. V Ottawě ho zopakovali se stejným chybným faktorem. Kontrolní bod, který měl chybu zachytit, ji místo toho potvrdil.
• Metrický stroj v imperiální flotile: Air Canada neměla specificky vyškolený personál pro tankování metrického 767. Převodní tabulky, formuláře i terminologie byly matoucí.

Komise rozložila odpovědnost mezi provozní personál, Air Canada jako organizaci, Transport Canada za nedostatečný dohled, Honeywell za nespolehlivý FQIS a Boeing za nedostatečnou dokumentaci záložních postupů.

65 minut bez motorů

V hladině 12 500 m (41 000 stop) nad severozápadním Ontariem se rozsvítilo varování nízkého tlaku paliva. Krátce poté zhasl levý motor, za minutu pravý. Boeing 767 se stal kluzákem o hmotnosti přes 100 tun.

Bez motorů přišel stroj o hlavní generátory. Vysouvací vzduchová turbína (RAT) dodala minimum hydraulického tlaku pro řízení, ale kokpit zůstal téměř tmavý. Kapitán Bob Pearson a první důstojník Maurice Quintal měli k dispozici jen kompas, umělý horizont, rychloměr a výškoměr. Žádný letový počítač, žádné klapky, žádnou možnost opakovaného pokusu o přistání.

Quintal znal Gimli z vojenské služby. Z výšky a vzdálenosti, kterou jim hlásilo řízení letového provozu z Winnipegu, průběžně odhadoval klesání. Pearson, zkušený plachtař, řídil stroj technikami, které se u dopravních letadel nepoužívají. Na finále provedl side-slip, manévr, při kterém letadlo letí bokem, aby rychle ztratilo výšku bez zvýšení rychlosti. U Boeingu 767 to nikdo předtím nezkoušel.

Podvozek vysouvali gravitačně až na poslední chvíli, aby zbytečně nezvyšovali odpor. Příďový podvozek se nezajistil. Stroj dosedl na hlavní kola, příď klesla na beton a brzdila třením. Na konci dráhy stály karavany a stany závodníků dragsterů a jejich rodin.

Letadlo zastavilo. Bez obětí, bez vážných zranění.

Co se změnilo

Air Canada po incidentu přepracovala celý systém tankování metrického 767. Dripové tabulky začaly převádět centimetry přímo na kilogramy, bez mezikroku přes libry. Z formulářů zmizel matoucí termín „specific gravity“. Výpočet paliva v abnormální situaci nově provádějí nezávisle posádka i údržba a výsledky porovnávají. Přibyla křížová kontrola doplněného množství přes datový systém ACARS nebo manuálně. Přepracovaly se MEL, provozní manuály i technické deníky, zvýšil se počet náhradních palivových procesorů a posílil výcvik.

Dnešní kanadské letecké předpisy drží požadavky na palivo v regulovaném rámci s pravidelnými aktualizacemi. Přesné zopakování gimliského scénáře je dnes výrazně méně pravděpodobné. Ale princip, který incident odhalil, platí univerzálně: jediná špatná jednotka se stane nebezpečnou teprve ve chvíli, kdy ji žádná vrstva systému neumí nebo nesmí spolehlivě zkontrolovat.

Boeing 767 C-GAUN byl opraven a létal pro Air Canada dalších 25 let. Vyřadili ho v roce 2008. Přezdívka Gimli Glider mu zůstala navždy.