[50]. Но это нарушило всю аэродинамику[51]: когда самолет был на полной тяге во время взлета, нос часто задирался слишком высоко, вызывая сваливание. Поначалу инженеры оценивали идею изменения формы крыльев или добавления к крыльям небольших металлических лопастей, чтобы изменить аэродинамику[52]. Когда эти варианты не сработали, компания Boeing разработала в качестве программного решения систему MCAS[53]. MCAS изначально была создана так, чтобы учитывать входные сигналы от двух источников: от одного из датчиков угла атаки и о перегрузке. Если и угол атаки, и перегрузка были слишком велики, MCAS тонко отрегулировала бы положение хвоста самолета, чтобы опустить нос. Но затем инженеры поняли, что самолет может испытывать аэродинамическую нестабильность не только на высоких, но и на низких скоростях, поэтому они убрали фактор перегрузки как механизм запуска системы MCAS. Это означало, что теперь активировать MCAS мог и один датчик угла атаки[54].
ФАА сертифицировало систему MCAS и ее активацию с помощью одного датчика, основываясь на предварительном «анализе безопасности системы», который компания Boeing предоставила надзорным органам. Но впоследствии инженеры Boeing сделали MCAS более мощной и интенсивной – без обновления сертификационных документов ФАА. К тому времени, когда самолеты были доставлены заказчикам, MCAS могла перемещать хвост в четыре раза дальше, чем предполагалось изначально, и могла автоматически перезагружаться, снова и снова опуская нос самолета, даже когда пилот поднимал его. Согласно показаниям руководства Boeing, летный экипаж уже был обучен обращению с тем, что называется «неуправляемым стабилизатором», – по сценарию, при котором нос самолета также опускается. Из-за этого руководство Boeing «предположило», что пилоты будут реагировать на ошибочную активацию MCAS и решат эту проблему таким же образом: щелкнут переключателями на панели управления и отключат эту систему[55].
Ошибочные предположения Boeing привели к нескольким неверным шагам. Во-первых, эти предположения были основаны на том факте, что в ходе испытаний опытные пилоты Boeing смогли распознать опасность заваливания носа, щелкнуть переключателями и взять под контроль самолет за четыре секунды. Но при испытаниях не учитывались хаотические ситуации в кабине или другие возможные переменные. Национальный совет по безопасности на транспорте США (NTSB) указал в своем официальном отчете за 2019 год, что ФАА должно разработать новые стандарты проектирования и потребовать внедрения бортовых диагностических инструментов для повышения эффективности пилотирования. Национальный совет также отметил, что «отраслевые эксперты обычно признают, что система самолета должна быть спроектирована таким образом, чтобы последствия любой ошибки человека были ограничены»[56].
Кроме того, компания Boeing с одобрения ФАА поставила самолеты Max (с активацией MCAS одним датчиком) без дополнительной подготовки пилотов и без упоминания MCAS в руководстве по эксплуатации. Первый пилот в отставке Чесли «Салли» Салленбергер, прославившийся тем, что в 2009 году благополучно посадил самолет на воды реки Гудзон в Нью-Йорке, в июне 2019 года объяснил подкомитету конгресса: «Я сомневаюсь, что до этих происшествий кто-либо из пилотов американских авиакомпаний сталкивался с подобным сценарием при обучении на тренажерах»[57]. Он также настаивал на том, что нельзя заставлять пилотов компенсировать «внутренние дефекты» в конструкции самолета.
В этом случае причина принятия неверных решений отчасти кроется в том факте, что ФАА наделяло Boeing все большими и большими полномочиями в отношении сертификации безопасности. Смысл в том, чтобы привлекать к этому инженеров компании, в какой-то мере есть[58]. У Boeing достаточно опыта, чтобы помогать ФАА с отдельными аспектами, на которые у последнего нет ресурсов или времени. Первоначально инженеры по сертификации назначались ФАА, подчинялись непосредственно своим коллегам в ФАА и получали оплату от Boeing. Но в 2004 году система изменилась[59]: теперь их назначали – и руководили ими – менеджеры Boeing, принимавшие окончательные решения о том, что будет представлено ФАА. Эти изменения дали менеджерам Boeing больше полномочий, а инженерам по сертификации – меньше независимости, и корпорация Boeing воспользовалась этими изменениями, обратив их в свою пользу.
Расследования, проведенные американскими газетами New York Times и Seattle Times, показали, что руководство Boeing было настолько одержимо стремлением опередить Airbus, настолько сосредоточено на скорости производства и стоимости, что инженеры были вынуждены представлять технические планы «вдвое быстрее обычного», а менеджеры работали в «сжатые сроки и с ограниченным бюджетом». Один из информаторов утверждал, что в трех разных случаях компания отклоняла те меры безопасности, которые могли бы предотвратить роковые катастрофы[60].
Процесс принятия решений в Boeing был свернут, когда в компании увлеклись гонкой к финишной черте, а также и позже. В 2017 году, через несколько месяцев после поставки самолетов, в компании Boeing обнаружили сбой с предупреждением о расхождении показаний датчиков угла атаки[61]. Предупреждение о несогласии – это стандартная функция, которая сообщает пилоту, что два датчика угла атаки имеют разные показания: это говорит о том, что один из датчиков, возможно, вышел из строя. Сбой, как обнаружили в Boeing, заключался в том, что предупреждение о несогласии в самолетах Max ошибочно связывалось со второй необязательной функцией, «индикатором датчиков угла атаки», которая была премиальной функцией. Это означало, что если перевозчик не покупал опцию «премиум», предупреждение о несогласии у него не срабатывало. Компания Boeing не уведомила об этом ни покупателей, ни пилотов[62]. Вместо этого она решила подождать до следующего запланированного обновления программного обеспечения в 2020 году, чтобы исправить ошибку[63].
Предупреждение о несогласии могло бы проинформировать пилотов компаний Lion Air и Ethiopian Airlines о неисправности одного из датчиков, что могло бы помочь им быстрее распознать проблему. Но ни один из этих перевозчиков не оплатил опцию «премиум», поэтому предупреждение у них не сработало. Такой индикатор для датчиков угла атаки приобрели примерно 20 % всех клиентов Max; следовательно, только эти 20 % также располагали этим средством обеспечения безопасности. Даже среди трех американских перевозчиков, которые купили самолеты Max, за премиальный вариант заплатили лишь American Airlines и Southwest Airlines, а United Airlines – нет[64].
Модель Max 8 была запущена в эксплуатацию в 2017 году и быстро стала самым продаваемым самолетом Boeing в истории[65] – ошеломительный успех… пока вскоре пилоты не оказались вынуждены вести бой против своих самолетов, а сами самолеты не упали с небес на землю. Модель Max была призвана укрепить позицию Boeing как самого уважаемого и успешного производителя самолетов в мире. Вместо этого она пролила свет на этическую проблему, решение которой нельзя откладывать.
Давайте рассмотрим три важных бинарных решения, с которыми столкнулась компания Boeing.
Во-первых, в 2017 году ее руководители осознали, что они сделали средство обеспечения безопасности (предупреждение о несогласии датчиков угла атаки) премиальным вариантом, а не стандартом. На этом этапе вопрос звучал так: будем ли мы делать это достоянием общественности и все исправлять или нет?
Компания Boeing решила придерживаться позиции, согласно которой предупреждение о несогласии предоставляет только «дополнительную информацию» и не является средством обеспечения безопасности[66]. Возможно, так оно было и с более старыми моделями 737, но в Boeing должны были знать, что мощный характер системы MCAS превратил это предупреждение в необходимую функцию безопасности, предоставляющую пилотам важную информацию. Компания Boeing не сообщила об этом и не исправила эту ошибку, решив вместо этого исправить ее через три года при обновлении программного обеспечения[67].
Во-вторых, после того как в Индонезии разбился первый самолет, выбор был таким: отзываем ли мы самолеты до тех пор, пока не выясним наверняка, что стало причиной катастрофы, и не сможем исправить это и соответствующим образом обучить пилотов, или мы будем продолжать полеты на этих самолетах? Компания не только продолжала полеты; она также заняла бессовестную позицию, обвинив во всем пилотов. «Мы использовали стандартное для нашей отрасли предположение о пилотах и о том, какие у них бывают реакции», – свидетельствовал главный инженер Boeing Джон Гамильтон на слушаниях в сенате США в октябре 2019 года[68]. Поскольку неправильные условия работы MCAS были похожи на проблему с неконтролируемым стабилизатором, руководство Boeing предположило, что пилоты должны были знать, что следует щелкнуть переключателями и отключить MCAS. Но, как ранее в том же году заявил конгрессу капитан Салленбергер, пилоты заслуживают того, чтобы летать на самолетах, на которых «не установлены непреднамеренные ловушки»