Двадцать три секунды: отказ, которого не могло быть

Восьмого сентября тысяча девятьсот девяносто четвёртого года рейс 427 заходил на посадку в Питтсбурге. На борту было 132 человека. До касания полосы оставалось около восьми минут.

Полёт проходил штатно. Экипаж опытный, погода спокойная, машина исправна. За предыдущие сорок минут не случилось ничего, что стоило бы отметить в отчёте.

В 19:03 самолёт пересёк спутный след борта, прошедшего впереди несколькими минутами раньше. На подходе к загруженному аэропорту это обычное дело: вихри от впереди идущего самолёта ощущаются как короткая болтанка и сами по себе опасности не представляют.

Через семь секунд руль направления отклонился до упора влево.

Экипаж такой команды не давал.

Почему двадцать три секунды — это очень мало

Самолёт начал вращение. С высоты примерно тысяча девятьсот метров до удара о землю прошло двадцать три секунды.

Кажется, что этого времени должно хватить. Не хватило бы никому, и вот почему.

Чтобы справиться с отказом, его сначала нужно опознать. Пилот действует по процедуре, а процедура существует только для тех отказов, которые описаны в руководстве по лётной эксплуатации. Отказа, при котором руль направления уходит в сторону, противоположную усилию на педали, в руководстве не было. Его считали невозможным.

Экипаж делал то, чему его учили: давил на педаль, чтобы вывести машину из крена. Каждое такое действие усугубляло ситуацию — руль уходил глубже.

Это важный момент, и он объясняет, почему первые версии расследования оказались тупиковыми. Со стороны поведение экипажа выглядело как ошибка. По записям бортовых самописцев было видно: пилоты прикладывают усилие, самолёт реагирует наоборот. Такая картина естественно читалась как потеря управления из-за неправильных действий.

Четыре с половиной года

Расследование стало самым длительным в истории NTSB на тот момент. Разбирались долго не потому, что не хватало данных, а потому что данные противоречили всему, что было известно о конструкции.

Проверялись версии: ошибка экипажа, спутный след, отказ двигателя, посторонний предмет в системе управления. Ни одна не объясняла всю картину целиком.

Ключ нашёлся в агрегате управления рулём направления — гидравлическом блоке, который преобразует усилие на педали в отклонение руля. Внутри блока стоит золотниковый клапан: две подвижные гильзы, входящие одна в другую с очень малым зазором.

Испытания показали: при определённом сочетании условий — резкое перемещение при большой разнице температур между холодным корпусом и горячей гидравлической жидкостью — гильзы могут заклинить в положении, при котором клапан работает наоборот. Команда «вправо» даёт отклонение влево.

Сочетание редкое. Именно поэтому за десятилетия эксплуатации оно проявилось считанное число раз.

Три случая, которые оказались одним

Когда механизм был понят, он объяснил и другие события.

• 1991 год, Колорадо-Спрингс. Катастрофа с похожей картиной. Расследование тогда закончилось без установленной причины — редкий случай в практике NTSB.
• 1994 год, Питтсбург. Рейс 427.
• 1996 год. Похожий отказ в полёте. Экипажу хватило высоты, и самолёт удалось посадить. Этот случай дал следствию то, чего не было раньше: живых свидетелей и уцелевшую матчасть.

Третий эпизод стал решающим. Одно дело — реконструировать отказ по обломкам, другое — получить показания людей, которые его пережили.

Что изменилось

По результатам расследования конструкция системы управления рулём направления была переработана на всём парке. Изменились и требования к расследованию подобных отказов.

Но главный вывод лежит не в технической плоскости.

Отказ, который считался невозможным, оказался возможен. Чтобы это доказать, потребовалось четыре с половиной года и три отдельных события.

Конструкция была рассчитана верно. Испытания проводились честно. Никто не халтурил и ничего не скрывал. Просто сочетание условий, при котором система ведёт себя противоположно заданному, не пришло в голову никому из тех, кто её проектировал и сертифицировал.

Это и есть самый неприятный класс отказов: не тот, где кто-то ошибся, а тот, где всё сделано правильно в рамках имеющихся представлений — а представления оказались неполными.

Почему это до сих пор обсуждают

История рейса 427 стала учебным случаем сразу по нескольким причинам.

Во-первых, она показала цену преждевременного вывода. Версия об ошибке экипажа выглядела убедительно и подтверждалась записями. Если бы расследование остановилось на ней, механизм отказа остался бы неизвестным — и третий случай тоже закончился бы катастрофой.

Во-вторых, она изменила отношение к нераскрытым делам. Событие 1991 года было закрыто без установленной причины. Именно возврат к нему дал третью точку, без которой картина не складывалась.

В-третьих, она поставила неудобный вопрос: сколько ещё отказов считается невозможными просто потому, что их пока не было?