Milimetrelerin Önemi: Qantas 32 Sefer Sayılı Uçuşun Hikâyesi

• 4 Kasım 2010’da, Qantas’ın Airbus A380 ile yapılan 32 sefer sayılı uçuşunda Singapur’dan kalkıştan hemen sonra 2 numaralı motorun türbin diski parçalandı; kanat, gövde, hidrolik, elektrik, yakıt ve fren sistemleri aynı anda hasar gördü, ancak uçaktaki 469 kişinin tamamı hayatta kaldı
• Kaza, Rolls-Royce Trent 900’ün içindeki yağ besleme stub borusunda başladı; üretim sırasında counter bore yaklaşık 0,5 mm kaymış, bir tarafta duvar kalınlığının 0,35 mm’ye kadar incelmesine yol açan bu kusur metal yorgunluğuna ve yağ sızıntısına neden olmuştu
• Sızan yüksek basınçlı yağ, yaklaşık 365–375°C’lik bir bölgede tutuştu; alev IP türbin diski tahrik kolunu kopardı, disk 4 saniye içinde kritik hızı aştı ve birden fazla parçaya ayrılarak patladı
• Kokpite 20 saniye içinde 34 uyarı yağdı, ECAM prosedürlerini işlemek 55 dakika sürdü; pilotlar yakıt sızıntısı, roll kontrolünün %65 kaybı, azami iniş ağırlığının aşılması ve fren performansının düşmesi koşullarıyla 4.000 m’lik pistte 150 m kala durmayı başardı
• Sonrasında Trent 900 stub borularının tamamı denetlendi; IP türbin aşırı hız koruması, HP/IP bearing hub’larının servisten kaldırılması, Rolls-Royce üretim ve kalite prosedürlerinin iyileştirilmesi, Airbus iniş performansı yazılımının düzeltilmesi izledi; A380 ise yolcu yaralanmalı bir olay yaşamadan operasyon kaydını sürdürdü

---

Kalkıştan hemen sonra A380’i vuran birleşik arıza

• 4 Kasım 2010’da Qantas 32, Londra-Sidney yolculuğu sırasında Singapur’da ara durak yaptıktan sonra Sidney’e giden bir Airbus A380 uçuşuydu
  • Uçağın tescil numarası VH-OQA, takma adı Nancy-Bird Walton idi
  • Uçakta 440 yolcu ve 29 mürettebat olmak üzere toplam 469 kişi vardı
  • Kokpitte kaptan Richard Champion de Crespigny, yardımcı pilot Matt Hicks, Second Officer Mark Johnson, Check Captain Harry Wubben ve Senior Check Captain David Evans olmak üzere 5 kişi bulunuyordu
  • Bu uçuş ekibinin toplam kariyeri 140 yıl, uçuş deneyimi ise 71.000 saate ulaşıyordu
• Singapur’dan saat 09.56’da kalkıştan yaklaşık 4 dakika sonra, 7.000 feet irtifadan geçerken 2 numaralı motorda ölümcül bir arıza meydana geldi
  • Pilotlar ve yolcular kısa aralıkla iki patlama sesi duydu
  • Uçak sola doğru hafifçe yaw yaptı ve otomatik itki sistemi devreden çıktı
  • Kaptan, uçağı düz uçuşta tutmak için autopilot’un altitude hold düğmesine bastı
• ECAM’de önce ENG 2 TURBINE OVERHEAT uyarısı gösterildi; ardından 20 saniye içinde 34 mesaj daha eklendi
  • Hasarlı motor IP türbin diskini ve çevresindeki yapıyı kaybetmişti, ancak hâlâ dönüyordu; bu yüzden ilk anda yalnızca tam bir arıza olarak görünmedi
  • Pilotlar 2 numaralı motorun gücünü azalttığında kısa süreliğine ENG 2 FIRE uyarısı belirdi ve kayboldu
  • Sonrasında ENG 2 FAIL mesajı göründü ve motorun durdurulmasına karar verildi
  • 2 numaralı motorun iki yangın söndürücüsünden yalnızca biri gerçekten çalıştı; onay ışığı ise yanmadı

Trent 900 içindeki yağ sızıntısının disk parçalanmasına dönüşme süreci

• Airbus A380’in Rolls-Royce Trent 900’ü fan, kompresör, yanma odası ve türbinden oluşan yüksek bypass’lı bir turbofan motordur
  • Trent 900’de LP, IP ve HP sistemleri bulunur; HP ve IP türbinleri arkadaki tek kademeli türbin disklerinden oluşur
  • HP/IP bearing hub döner mili destekler; iç bearing chamber’a aşınmayı önlemek için basınçlı yağ beslenir
• Sorunlu parça, bearing chamber’a yağ gönderen oil feed stub pipe idi
  • Bu boru, HP/IP bearing hub’ın inner section ve outer section’ı arasındaki buffer space’ten geçen kısa ve sabit bir bölümdü
  • Kaza anında 2 numaralı motorun içinde boruda çatlak oluştu ve yüksek basınçlı yağ buffer space’e püskürtüldü
• Buffer space sıcaklığının yaklaşık 365–375°C olduğu tahmin edildi; bu, motor yağının kendiliğinden tutuşma sıcaklığı olan 280°C’nin üzerindeydi
  • Püskürtülen yağ hemen tutuştu
  • Yangın öndeki triple seal’a zarar verince annulus gas path’teki yüksek basınçlı hava buffer space’e çekildi
  • İçeri giren hava alevi arkaya doğru iterek doğrudan IP türbin diski drive arm’ına temas ettirdi
• IP türbin diski drive arm, normal çalışma sırasında da büyük gerilim taşıyan bir parçaydı ve yüksek ısıya dayanamayarak birkaç saniye içinde kırıldı
  • Yağ sızıntısının başlamasından drive arm’ın kırılmasına kadar geçen süre 1 dakikadan çok daha kısaydı
  • Drive arm kopunca IP türbin diski şafta bağlı olmayan halde annulus gas path’ten enerji almaya devam etti
  • 4 saniye içinde disk kritik hızı aştı; merkezkaç kuvveti nikel alaşımlı diskin sınırlarını aşınca disk birden fazla parçaya ayrılarak patladı
• Türbin diski parçaları motor kasasını ve kaportayı delerek uçağa birçok yönden hasar verdi
  • Bir parça aşağı düşerek Batam Island’daki bir binanın duvarına zarar verdi, ancak yerde yaralanan olmadı
  • Başka bir parça gövde altını ve wire bundle’ı deldi
  • İki parça sol kanadın içinden geçip kanat üst yüzeyinden dışarı çıktı
  • Küçük parçalar da kanat ve gövdenin çeşitli bölgelerinde ek hasarlar bıraktı

Uyarı sağanağı içinde iniş olasılığını hesaplayan kokpit

• Türbin diski parçaları, uçağın ana sistemlerinde geniş çaplı ikincil hasar bıraktı
  • Sol kanat yakıt tankı sızdırıyordu
  • Leading edge slat çalışma mekanizması hasar gördü
  • Wing leading edge ve belly area’daki 2 wire loom tamamen kesildi; yaklaşık 650 kablo etkilendi
  • Green hydraulic pump kontrolü kaybedildi, yellow hydraulic system zayıfladı, 1 ve 2 numaralı motorların AC gücü kayboldu, slat’lerin tamamı işlevini yitirdi, spoiler ve aileron’ların bir kısmı devre dışı kaldı
  • Sol kanat landing gear brake’i ve sağ wing gear brake anti-skid işlevinin bir bölümü de hasar gördü
• A380 green ve yellow olmak üzere iki hidrolik sistem kullanır; ancak her uçuş kontrol yüzeyinde bağımsız yedek hidrolik aktüatörler bulunduğundan kontrol kaybı sınırlı kaldı
  • Doğrudan hasar ve green hydraulic pressure kaybı nedeniyle roll kontrol kabiliyeti yaklaşık %65 azaldı
  • Kalan spoiler ve aileron’larla uçağı kontrol etmek hâlâ mümkündü
  • Pilotlar, autopilot açık ve kapalı durumlarda uçağın kontrol edilebilir olduğuna karar verdi
• Mürettebat, hemen iniş yapmak yerine ECAM prosedürlerini işleyerek uçağın durumunu anlamaya karar verdi
  • ATC’den holding pattern’e girme izni istedi ve Singapur’un kuzeydoğusundaki deniz üzerinde tur attı
  • ECAM işlemlerinin tamamlanması 55 dakika sürdü ve pilotların beklediği aralığı büyük ölçüde aştı
  • Second Officer Mark Johnson kabin durumunu kontrol etmeye gitti; tail camera görüntüsü ve çıplak gözle sol kanattaki yakıt sızıntısını ve kanadın üst yüzeyindeki büyük deliği doğruladı
  • Pilotlar, tail camera yayınının kapatılmasının yolculara daha endişe verici görünebileceğini düşünerek görüntüyü açık tuttu
• Yakıt durumu iniş kararını daha da zorlaştırdı
  • Sol kanat tankından yakıt sızıyor, sağ-sol yakıt dengesizliği büyüyordu
  • ECAM, dengelemek için fuel transfer valve’un açılmasını söyledi; ancak pilotlar sızıntıyı ve fuel transfer system hasar uyarısını dikkate alarak buna uymadı
  • Fuel jettison system de çalışmadığından uçak, azami iniş ağırlığından 40 tonun üzerinde daha ağırdı
  • Uzun süre uçarak yakıt yakma seçeneğinin, yakıt dengesizliği ve roll kontrolünün %65 kaybı nedeniyle uygun olmadığına karar verildi
• Airbus iniş performansı yazılımı başlangıçta no result döndürdü
  • Yazılım, pilotaj tekniği farklarını muhafazakâr biçimde yansıtan operational coefficient’i her arıza için tekrar tekrar uyguluyordu; arıza sayısı fazla olduğundan katsayı toplam 9 kez uygulandı
  • Check Captain Evans gerçek iniş ağırlığını elle girerek azami iniş ağırlığı varsayımını aştı
  • Bu durumda yazılım mantığı operational coefficient’i yalnızca bir kez uyguladı ve Singapur Changi Airport’un 4.000 m’lik pistine yaklaşık 100 m payla inilebileceği sonucu çıktı

İnişten sonra da süren yangın ve tahliye riski

• Kaptan, kontrol yükünü azaltmak için piste her zamankinden daha uzak bir noktadan hizalandı
  • Roll kontrolünün azalması nedeniyle kumanda hissi ağırlaşmıştı
  • Yaklaşma sırasında manuel kontrol denemelerini tekrarlayarak flap açıldıktan sonra da kontrol karakteristiğinin korunduğunu doğruladı
  • 1 ve 4 numaralı motorlar sabit itkiyle bırakılacak, hız ise görece daha az etkilenen yalnızca 3 numaralı motorla ayarlanacaktı
• Green hydraulic system arızası nedeniyle landing gear lever aşağı indirilse de iniş takımları açılmadı; pilotlar takımları yerçekimiyle indiren yedek sistemi kullandı
  • Yedek sistem başarıyla çalıştı
  • Kaptan, stall riski hızı ile inişten sonra pistten çıkma riski hızı arasındaki çok dar aralığı korumak zorundaydı
  • de Crespigny, güvenli hız aralığının yaklaşık 3–4 knot olduğunu hatırlatır
  • Bir ara low energy alert oluştu, ancak 3 numaralı motor gücü biraz artırılınca uyarı kayboldu
• Qantas 32, saat 11.46’da Changi Airport runway 20C’ye indi
  • Touchdown’dan hemen önce stall warning kısa süre çaldı
  • Pilotlar kalan frenleri ve A380’de yalnızca inboard engine’lerde bulunan reverse thrust içinden 3 numaralı motorun reverser’ını kullandı
  • 4.000 m’lik pistin 150 m’si kala durdu
• Durduktan sonra da yangın ve iletişim sorunları sürdü
  • Sol body gear brake iniş sırasında büyük yük taşıdığı için aşırı ısındı ve 4 lastik deflate oldu
  • Yakıt sızmaya devam ediyordu; sıcak frenlerle temas ederse yangın çıkabilirdi
  • 3 ve 4 numaralı motorlar kapatılınca uçak elektrik gücünü kaybetti; APU, dağıtım altyapısındaki hasar nedeniyle elektrik sistemine bağlanmadı
  • Yalnızca acil durum gücüyle çalışabilen bir VHF radio bulunup itfaiyeyle iletişim kurulması gerekti
• 1 numaralı motor normal prosedürle durdurulamadı
  • Kanat sistemlerindeki hasar nedeniyle 1 numaralı motorun fuel shutoff valve’u çalışmadı
  • 1 numaralı motorun fire extinguisher bottle’ı da çalışmadığından fire handle ile de durdurulamadı
  • İtfaiye, motor girişini ve egzozunu koruyarak frenlere köpük sıktı ve yangını önledi
  • Ardından Qantas mühendisleri motoru yangın söndürme köpüğüyle boğma yöntemini seçti; 1 numaralı motor inişten 3 saatten fazla sonra, 14.53’te durdu
• Yolcu tahliyesi hemen acil durum kaydıraklarıyla yapılmadı
  • Acil durum kaydırağıyla tahliyede yolcuların %5–10’unun ağır yaralandığını gösteren istatistikler vardı; yolcular arasında yaşlı ve engelli kişiler de bulunuyordu
  • Yangın riskinin azaldığı durumda pilotlar, kabinin daha güvenli olduğuna karar verdi
  • Elektrik kaybı nedeniyle klima kapalıyken 50 dakika sonra merdiven geldi; tüm yolcular yaklaşık 1 saat içinde tek çıkıştan indi
  • 440 yolcudan hiçbiri yaralanmadı

0,5 mm’lik üretim kusuru ve kazadan sonraki değişiklikler

• Kazanın doğrudan nedeni, oil feed stub pipe’ın bir tarafındaki duvarın aşırı ince olmasıydı
  • Kaza motorundaki boru 677 uçuşun ardından metal yorgunluğu nedeniyle kırıldı
  • Borunun alt kısmında filtre yerleştirmek için bir counter bore vardı ve bu counter bore merkezden yaklaşık 0,5 mm sapmıştı
  • Duvar kalınlığı bir tarafta 1,42 mm, diğer tarafta 0,35 mm olacak şekilde düzensizdi
• Üretim sürecindeki değişiklik hizalama güvencesini bozdu
  • Orijinal tasarım, outer clearance hole merkezi olan datum AA’yı referans alarak stub pipe ile counter bore’u hizalıyor ve yeterli duvar kalınlığını garanti ediyordu
  • Üretim aşamasında stub pipe yerleştirildikten sonra datum AA’yı bulmak zorlaştığından counter bore referansı inner hub counter bore merkezi olan datum M’ye değiştirildi
  • Stub pipe’ın kendi konumu hâlâ datum AA’ya bağlıydı, ancak datum M’nin datum AA ile hizalı olduğuna dair doğrudan bir güvence yoktu
  • Hub yeniden bağlanırken çok az hareket ederse makinenin hatırladığı timing pin konumu ile gerçek konum kayıyor; buna bağlı olarak inner hub counter bore ile stub pipe counter bore da kayıyordu
• Denetim ve onay süreçleri de kusuru yakalayamadı
  • Stub pipe wall thickness ayrıca belirtilmemişti; hizalama üzerinden dolaylı olarak güvence altına alınan bir yapıdaydı
  • OP 230 denetimi stub pipe counter bore’u yalnızca datum M’ye göre ölçüyor, borunun kendisiyle olan kaymayı yakalayamıyordu
  • OP 70 denetimi interference bore’u datum M’ye göre ölçtüğü için anormalliği saptama ihtimali vardı; ancak üretim çizimleri ile CMM ölçüm referansları arasındaki farkı denetçinin anlamasını zorlaştıran bir yapı söz konusuydu
  • Kaza hub’ının CMM kayıtları saklanmadığından gerçekten uyarı olup olmadığı doğrulanamadı
• 2009’daki üretim referans noktası değişikliği sırasında bazı counter bore hizasızlıkları zaten tespit edilmişti, ancak yaklaşık 100 parça için retrospective concession onaylandı
  • 9 hub ölçümüne dayanarak istatistiksel analiz yapıldı ve azami non-conformance Ø 0,7 mm olarak tahmin edildi
  • Bu analiz, veri sayısının az olması ve geçmiş üretimi temsil ettiğinin garanti edilememesi nedeniyle yüksek belirsizlik taşıyordu
  • Raporda belirsizlik açıkça iletilmedi; Non-Conformance Authority güvenlik etkisi olmadığı kanaatiyle onay verdi
  • Rolls-Royce iç prosedürlerine göre retrospective concession için Business Quality Director ve Chief Engineer imzaları da gerekiyordu, ancak söz konusu onayda bu imzalar yoktu
• Kazadan sonra kapsamlı denetim ve kurumsal değişiklikler izledi
  • Hizmetteki HP/IP bearing oil feed stub pipe’lar ölçüldüğünde çoğunun Ø 0,20 mm toleransın dışında olduğu, bazılarının ise kaza borusundan daha büyük hizasızlık gösterdiği görüldü
  • 2 boruda yaklaşık Ø 1,2 mm düzeyinde non-conformance bulundu
  • Qantas, 4 Kasım 2010’dan 27 Kasım’a kadar A380 filosunu geçici olarak yerde tuttu
  • European Aviation Safety Agency, Trent 900 oil feed stub pipe denetimlerini zorunlu kıldı
  • Rolls-Royce IP turbine overspeed protection geliştirdi; Airbus ise bunun tüm A380’lere 10 uçuş içinde kurulmasını gerektiren mandatory service bulletin yayımladı
  • Erken üretim HP/IP bearing hub’larının tamamı ve stub pipe wall thickness’ı 0,7 mm’nin altında olan hub’lar servisten kaldırıldı
  • Rolls-Royce, üretim ve tasarım mühendisleri arasındaki design intent görüşme prosedürünü revize etti ve retrospective concession uygulamasını sonlandırdı
  • Airbus, tüm iniş ağırlıklarında gerçek performansı daha doğru tahmin edecek şekilde iniş performansı yazılımını düzeltti
• Uçak 535 gün boyunca onarıldı ve onarım maliyeti 139 milyon dolardı; VH-OQA Nancy-Bird Walton 2012’de yeniden uçtu
  • Bu kaza, 0,5 mm’den küçük bir sapmanın dünyanın en büyük yolcu uçağına ciddi şekilde zarar verebileceğini gösterdi
  • Aynı zamanda A380’in fly-by-wire sistemi, yedek hidrolikli kontrol yüzeyleri, ECAM’i, yedekli tasarımı, mürettebatın muhakemesi ve ekip çalışması birleşerek kazanın yolcu yaralanması olmadan sona ermesini sağladı

[GN⁺]

Hacker News yorumları

• Havacılık kazalarının olay sonrası analizlerinde olayların ayrıntılı zincirini her okuduğumda yüzümde bir gülümseme beliriyor
  Tek bir arızalı parçaya kadar daraltılabilmesi ve o parçanın kullanıma girmesine kadarki geçmişinin ve ortamının izlenebilmesi, havacılık sektörünün ne kadar sağlam olduğunu gösteriyor
  Hatalar kaçınılmazdır; bence sağlamlık, hata sayısından çok nasıl karşılık verildiğiyle ilgilidir
  FAANG'de SRE olarak güvenilirlik üzerine çalışmış biri olarak havacılık sektörü bana her zaman hayranlık uyandırıyor; yazılım/teknoloji sektörünün de bir gün bu seviyeye ulaşmasını umuyorum
  Yazar Kyra Dempsey'ye de büyük övgü. Mühendislik açısından ağır bir konuyu gerçekten çok okunabilir yazmış

  • Eski bir Boeing mühendisi olarak, diğer sektörlerin uçakların tasarlanma biçiminden öğreneceği çok şey var
    Fukushima ve Deepwater Horizon felaketleri ikisi de fermuar tipi başarısızlıklardı ve “X başarısız olursa sırada ne var?” düşüncesinin eksikliğini gösterdi
    Burada önemli olan “X başarısız olursa”; “X başarısız olursa acaba” değil. Düşünme biçimi farklı
  • Yazılım, sürekli artan entegrasyon gereksinimlerini karşılamak için sürekli uyarlama ve düzeltme gerektirdiğinden; erime noktası, hava basıncı, yerçekimi gibi bilinen sabitleri olan kesinleşmiş şartnamelerle çalışmanın avantajlarını unutmak kolay
  • O sonuca varmak için 7 ülkeden 10 kuruluştan yüzlerce uzman neredeyse 3 yıl harcadı
    Ama HN'de bulut kesintisi olay sonrası analizinin birkaç saat içinde çıkması isteniyor
  • Sorunlu parçalar patlayıp Güneydoğu Asya'nın dört bir yanına saçıldıktan sonra bile olay zincirinin yeniden kurulabilmesi şaşırtıcı
  • Havacılık harika, çünkü kazalar ve ramak kala olaylardan sonra tüm sektör çok şey öğreniyor
    Sadece suçlu aramak yerine iyileştirmeye odaklanan bir kültür var
    Ancak içeriden duyduğuma göre tedarik zinciri bütünlüğü hafife alınan bir sorun
    Birileri sahte uçak parçalarını son derece incelikli yöntemlerle satarken yakalanmış; başka şüpheli tedarikçiler de var, bu da endişe verici
    “Safran confirmed the fraudulent documentation, launching an investigation that found thousands of parts across at least 126 CFM56 engines were sold without a legitimate airworthiness certificate.”
    https://www.businessinsider.com/scammer-fooled-us-airlines-b...

• Biraz yetkin herhangi bir makinist ya da imalat metrolojisi sorumlusu için, bu boyuttaki bir parçada 0,5 mm eşmerkezlilik hatası fiilen 0,5 mil gibidir
  Çıplak gözle bile görülebilen devasa bir hatadır; normal değişkenlikle oluşacak ölçekte değildir, kurulumda ciddi bir sorun olduğunun açık işaretidir
  Tasarım çiziminde delik toleransı Ø 0,05 mm iken imalat çiziminde açıklama olmadan Ø 0,5 mm'ye değiştirilmişti; kaza göbeğindeki uygunsuzluk Ø 0,90~0,98, yani 0,45~0,49 mm ofsetti, dolayısıyla ekipmanın bunu göstermesi gerekirdi
  CMM kayıtları saklanmadığı için müfettişler hatanın gerçekten kaydedilip kaydedilmediğini doğrulayamadı
  Talaşlı imalat sahasını bilmiyorsanız anlamı daha az hissedilebilir, ama deneyiminiz varsa durum nettir. O fabrikadaki pek çok kişi spesifikasyon dışı parçalar sevk ettiklerini biliyor olmalıydı
  Parçaya dokunan herhangi biri karşı deliğin ciddi biçimde merkezden kaçık olduğunu bir bakışta anlayabilirdi; ama yeniden yapmak ya da sebebini bulmak yerine göstermelik kalite kontrol yapıp sevk etmiş, belgeleri tahrif etmiş ve kanıtları atmışlar
  Analiz karmaşık, ama temel neden çok basit: apaçık ihmal ve bunu örten apaçık aldatma

  • Yazıda, o stub'ın göbeğe girdikten sonra işlendiği için görünmediği söyleniyordu
    Öyleyse “Neden tüpü yerine kaynakladıktan sonra son işleme yapılıyor?” sorusu doğuyor
    Göbeğe bağlı haldeyken işlemek daha kolay ya da daha hızlı olmuş olabilir
    Ayrıca oraya bir yağ filtresi girmesi gerekmiyor muydu? Karşı delik ofsetliyse yağ filtresi bir girişim yaşamaz mıydı?
    Türbin yaparken insanların daha dikkatli olduğunu sanırdım

• 30 yıl önce motor arızası nedeniyle acil iniş yapmıştım
  Kabin ekibinin ayakkabılarımızı çıkarttığı, çarpışma pozisyonunu prova ettirdiği, yolcu yerleşimini değiştirdiği bir durumdu; en etkileyici olan şey herkesin talimatlara uymasıydı
  Kendini öne çıkaran kimse yoktu; herkes kabin ekibinin neden uçakta olduğunu ve hayatta kalmak için ne kadar önemli olduklarını anlıyordu
  Tahliye düzenliydi, ama sonrası uzun sürdü. Örneğin pasaportların hepsi uçakta kalmıştı
  Son zamanlarda insanların eşyalarıyla kaydıraktan kaçtığı fotoğraflar gördüm; bu hem kaydırağın kendisinde tehlikeli hem de tahliyeyi yavaşlattığı için son derece riskli görünüyor
  Bizim olayda kabinde yangın yoktu, ama olsaydı ne olurdu diye düşünüyorum
  Bir de medyanın korkmuş yüzleri çekmek için kamerayı insanların yüzüne dayaması klişesi var ya; gerçekten oluyor

  • Kaydıraktan inerken yanınıza hiçbir şey almamalısınız
    Bagaj olmaz, ayakkabı olmaz; sadece bedeninizle gitmeniz gerekir
    Ama bunun görmezden gelindiği oluyor ve bu yüzden insanlar gerçekten yaralanabilir
    Yine de insanların başka durumlarda nasıl davrandığını düşününce, bu kadar çok kişinin talimatlara uyması başlı başına şaşırtıcı
  • Bir otel yangını tahliyesi yaşamıştım; herkes tüm eşyalarını alıp çıktığı için merdiven boşluğu tıkanmıştı
  • İnsanların eşyalarıyla tahliye olması, yüksek stres altında alışkanlıklara geri dönmelerinden kaynaklanıyor
    Uçaktan inerken normalde “tüm eşyalarımı alırım” diye hareket ederiz
    Bu yüzden daha önce duymuş olsanız bile güvenlik brifingini dinlemek önemli. Tekrarlı eğitim, stres eklendiğinde bile ne yapmanız gerektiğini hatırlamanızı sağlar
  • Acil inişten sonra ne olduğunu hep merak etmişimdir
    Oturup bagajların ve kişisel eşyaların indirilmesini bekleyip sonra başka bir uçuşu mu beklersiniz?
  • Böyle kişilerin hepsinin pervasız tehlikeye neden olmaktan yargılanması ya da uçuş yasağı listesine alınması gerektiğini düşünüyorum; ikisi birden de olabilir
    Böyle sahneler görünce gerçekten öfkeleniyorum

• İlk işim, Trent 900’den biraz daha küçük motorların overhaul’unu yapan bir MRO’daydı; prensipler aynıydı.
  Yazıda düzgün imzalanmadığı söylenenlere benzer form ve imza süreçlerini dijitalleştiren kalite güvence yazılımı geliştirmiştim.
  Öğle yemeğini birlikte yediğim onarım mühendisleri, motorlar hakkında derin bir bilgi kuyusuna sahipti; tek bir konu öğle arasını bitirir, sohbet haftalarca devam ederdi.
  Bu yazının bir paragrafı, eksik imza, mühendisin prosedürü bilmemesi gibi çok ince noktalara dokunuyor. Burada Rolls-Royce eleştirisinin yerinde olduğunu düşünüyorum.
  Çalıştığım MRO’nun kalite güvence müdürü doğal afet gibi biriydi; korkulan ve taviz vermeyen bir insandı.
  Aynı zamanda uçuş sırasında motor kapatmaya yol açabilecek imza yetkisine sahip kişiydi; ona hâlâ saygı duyarım.
  Dünyadaki tüm motor modellerinde bu tür küçük sorunlar her gün yaşanıyor. Şu anda uçan binlerce motorda, kapatmaya neden olabilecek küçük kusurlar var.
  Bazı sorunlar tespit edilip düşük riskli olarak onaylanır ve bir sonraki overhaul’da kontrol edilmek üzere bırakılır.
  Aynı kusuru, erken çatlamış boruları, karbon birikimini, anormal korozyonu tekrar tekrar gören bir mühendis belgeyi yüklediğinde, o belge yukarı çıkar ve orada bekler.
  Göz ardı edilebilir, bir sonraki tasarım için referans olarak kullanılabilir, düzeltilmesi gereken bir şey olarak sınıflandırılabilir, izlemeye alınabilir ya da izleme sıklığı artırılabilir.
  Parça ömrü kısaltılabilir veya her overhaul’da tahribatsız muayene zorunlu kılınabilir.
  Bu sistemler o kadar karmaşık ki her zaman bir miktar sorun bulunması kaçınılmaz; bu yüzden İsviçre peyniri modeli çok iyi uyuyor.
  Qantas ile ilgili olarak yazının sonunda uçağın büyük masrafla onarıldığı belirtiliyor; Qantas, hiçbir gövde kaybı yaşamamış olmayı şirket gururu sayar.
  Ekonomik onarım sınırını aşmış uçakları bile bu sicili korumak için onarır.

  • Doğru. Qantas neredeyse her zaman dünyanın en güvenli havayolu olarak gösterilmiştir [1].
    QF32 yaşandığında herkesin tamamen şoka girdiğini net hatırlıyorum. Çünkü Qantas’ta böyle bir şeyin “asla” olmayacağı düşünülürdü.
    [1] https://www.forbes.com/sites/laurabegleybloom/2023/01/03/ran...
  • AS9001 sertifikalı bir şirkette çalışmıştım; kalite denetçisinin ilk görmek isteyeceği şey neredeyse her zaman uygunsuzluklar ve concession’lar olurdu.
    O seviyede imzalar eksik olsaydı bizi canlı canlı yüzmüş olurlardı ve denetçinin daha fazla sorun bulmak için şirketi altüst etmesi çok olasıydı.
    Bunun sonucunda denetimde büyük bir başarısızlık çıkabilir ya da kalite sertifikası tamamen iptal edilebilirdi.
    Ardından müşterinin, bu durumda Rolls-Royce’un denetimi gelir; yönetime rahatsız edici sorular sorar, şirketler arası concession prosedürünün izlenip izlenmediğine bakar ve içeride “Bu insanlar bu parçayı üretmeye devam edebilir mi?” diye yeniden değerlendirirdi.
    Buradan okuduğum kadarıyla Rolls-Royce taşeronunu kalite açısından yeterince sıkı zorlamamış ve şaşırtıcı derecede gevşek davranmış.
  • Sözleşme kapsamında Rolls-Royce ile küçük ölçekte çalışmıştım ve Derby’de de zaman geçirdim.
    Gördüklerimi düşününce, o yapının içinde inovasyonun nasıl gerçekleşebildiğini, neden her yıl çok daha fazla “fuck-you-shima” yaşanmadığını ve uçak motorlarının her gün patlamamasının nasıl mümkün olduğunu merak etmiştim.
    Yanlış hatırlamıyorsam B777 motor kontrolcüsü hâlâ m68k. 1995’te üretimi durdurulmuştu.

• O uçaktaydım ve yazıda “bir yolcunun uçuş sırasında çektiği, kanadın üst yüzeyindeki türbin parçası çıkış deliğini gösteren fotoğraf. (ATSB)” diye alıntılanan fotoğrafı ben çektim.
  Kısa süre sonra özellikle başka bir A380 uçağına bindim; mühendislik güvenliğine olan inancımı kaybetmemek içindi.

  • Uzun zaman önce motor yangını nedeniyle acil iniş yapmıştım; eve gitmek için aktarma uçuşuna bindim ama sonrasında bir süre uçağa binmedim.
    Psikolojik olarak hemen tekrar binmek daha akıllıca bir seçim olmuş olabilir.

• Yazı karmaşık ve iyi yazılmış, ama zafer havasındaki üslubu ve bitmek bilmeyen güvenlik övgüsü biraz tuhaf geldi
  Kimse bir şey satmıyor ama bazı yerleri satış sunumu gibi hissettiriyor
  Benim gibi okuduysanız bazı pasajlarda “hmm…” demişsinizdir. Çünkü aslında düzgün çalışmayan şeylerdi bunlar
  Anormal verilerle hiç test edilmemiş hesaplama yazılımı, bozuk motoru çalıştırmayı sürdüren bilgisayar, yakıt tankının neredeyse dolu olması sayesinde patlamaması gibi bir şans, motoru durduracak fiziksel bir kill switch’in olmaması buna örnek
  Tüm kontrol listelerini tamamlamak için “bol bol” 1 saat vardı; bu sırada yolcular ve mürettebat, yakıt birikintisinin üstünde hiçbir şeyin tutuşmamasını umarak dayandı
  Son olarak, parçaların uçtuğu yön de tamamen rastlantısaldı
  Bu, üst üste binen “güvenlik katmanları” hikâyesinden çok, üst üste binen rastlantı katmanları hikâyesi gibi görünüyor
  Tüm olası parça yörüngelerinin sonuç dağılımını, yani gerçekte ne kadar şanslı ya da şanssız olunduğunu gerçekten merak ediyorum
  Şirketler böyle bir modeli yayımlamaz gerçi
  Ayrıca yağ filtresi için özel bir hazne yüzünden sağlam bir borunun hassas biçimde delinmesini gerektiren yapı da pek iyi değil
  Zaten tamamı yeniden takılmadan bakım yapılamadığını anladım; o zaman neden tek parça hâlinde yapılmadı?

  • Yazarın olumlu bakmasının nedeni, kusurlu insanlara ve şirketlere rağmen var olan ve ayakta kalan güvenlik katmanları
    UA232 gibi, tek bir motorla birlikte tüm kumanda işlevlerinin kaybedildiği önceki kazalara dönüp bakma kültürü olduğu için A380’in kumanda sistemi daha büyük hasarlara dayanacak şekilde tasarlandı ve gerçekten de çalıştı
    Yine de iyileştirme noktalarına yeterince odaklanılmadığına katılıyorum
    Yangın varken 60 saniye boyunca dönüp tehlikeli parçaları çok hızlı döndüren bilgisayar kontrollü motorun önceden ele alınmış olması gerekirdi gibi geliyor
    Motor üretim süreci o kadar karmaşık ki doğrulaması neredeyse imkânsız görünüyor
    Arıza yönetim sisteminin 40 uyarı varken aynı anda yalnızca 1-2 tanesini göstermesi de sorun
  • Bilgisayarın bozuk motoru çalıştırmayı sürdürmesi bilinçli bir tasarım tercihi
    Motoru kapatmak gibi kritik bir kararı otomasyona verdirmemek gerekir; bu pilotun kararı olmalı
    Fiziksel kill switch’in olmadığı kısmına gelince, gerçekte yakıt akışını bir valfle kesme yöntemi var. Ancak o “kill switch” hasar görmüştü
    Tüm kontrol listelerini tamamlayacak zaman varsa pilotun bunu yapmaya karar vermesi daha güvenli değil mi?
    Parçaların yönünün rastlantısal olması, arızanın doğası gereği beklenen bir şey. Veri merkezinde hangi HDD’nin bozulacağının rastgele olmasından şikâyet etmeye benziyor
    Tüm olası parça yörüngelerine ilişkin veriler yayımlanmıyor, ancak olumlu yörüngeler tasarım aşamasında analiz ediliyor ve yapı ile sistem bileşenleri de buna göre ayrıştırılıyor
  • Admiral Cloudberg’ün yazılarından onlarcasını okuyunca bir örüntü görülüyor
    Eski havacılık kazalarında tek bir hata ya da tek bir parça arızasının onlarca kişinin ölümüyle sonuçlanması sık rastlanan bir durumdu
    Pilotların havadan sudan konuşarak dikkatlerinin dağıldığı kazalara karşılık sterile flight deck uygulamasının ortaya çıkış süreci de böyle
    Modern havacılık kazalarında bu tür şeyler çok daha az oluyor gibi
    Motor patlayıp parçalar kabloların yarısını, kanadı, yakıt depolama bölümünü ve hidrolikleri parçalasa da uçak neredeyse tamamen kontrol edilebilir ve indirilebilir durumdaydı
    Aynı şeyi yedekliliği olmayan bir otomobile yapıp ne kadar dayanacağına bakalım
    Havacılığın güzelliği, herkesin hatalardan öğrenmeye ve bunun üzerine inşa etmeye çalışmasında
    Bu olayda da can kaybı olmadı ama gelecekteki uçuşları daha güvenli kılacak önlemlere yol açtı
  • Zafer havasındaki üslubun bu grafikten[0] geldiğini düşünüyorum
    Ticari baskılara rağmen havacılık güvenliğini iyileştirmeye yönelik sistematik ve bilinçli bir çaba vardı
    İsviçre peyniri modeli, tutması gereken çok daha fazla rastlantısal katman olduğu anlamına gelir
    Bu katmanların önemli bir kısmı önceki kazalardan çıktı ve hiç de rastlantısal değil. Elbette deliksiz katman da yok
    O disk farklı şekilde parçalanmış olsaydı başka katmanlar devreye girebilirdi
    Can kaybı olur muydu? Mümkün. Uçak anında patlar mıydı? Bilemiyoruz
    Ama bu katmanlar olmasaydı çok daha feci bir sonuç ihtimalinin çok daha yüksek olacağı oldukça açık
    [0] https://upload.wikimedia.org/wikipedia/commons/e/ef/Fataliti...
  • Devasa bir motor patlamasıyla yalpa kumanda yüzeylerinin %65’ini kaybetmesine rağmen bu uçağın kontrol edilebilir kalması, o uçağın mühendisleri için bir zafer
    O kısmı okuyunca çok sarsıldım
    Elbette saf şans da vardı. Diskler uçağı ikiye bölebilir ya da yolunun üstündeki birini ölümcül şekilde yaralayabilirdi ama gövdenin büyük kısmını ıskaladı
    Böyle her bir şans için minnettar olmak gerekir
    0 ölü, 0 yaralıyla sonuçlanan bir olaya olumlu bakmamak zor

• Birine “ulusal hazine” demek klişe olabilir, ama Admiral Cloudberg bunun bir adım ötesinde dünyanın hazinesi
  Kyra, nom de cloud adıyla gerçekten çok sayıda harika yazı yazdı
  Rastgele bir yazısını seçseniz bile bir şeyler öğrenirsiniz
  https://news.ycombinator.com/from?site=admiralcloudberg.medi...

  • Video podcast de var
    Şu an TV’de çıkan abartılı çöpler yerine böyle şeyler yayımlanmalı

• Muazzam baskı altında bile görevini yerine getirebilen olağanüstü pilotlar var
  United Flight 232, bu yazıdakinden daha uç bir örnek
  https://en.wikipedia.org/wiki/United_Airlines_Flight_232
  “Can kayıpları yaşanmış olsa da bu kaza, başarılı mürettebat kaynak yönetiminin iyi bir örneği olarak görülür. Uçaktakilerin büyük çoğunluğu hayatta kaldı ve simülatördeki deneyimli test pilotları bile sağ kalınabilecek bir inişi yeniden üretemedi. Havacılık tarihinin en etkileyici inişlerinden biri kabul edilerek ‘imkânsız iniş’ diye anıldı”
  Uçak tüm hidroliklerini kaybetmişti ve yalnızca motorlarla kontrol edilerek düşerek iniş yapmak zorunda kaldı

  • Errol Morris, UA232 hakkında mükemmel bir belgesel yaptı
    Pilotlardan biri doğrudan kameraya bakarak hikâyeyi anlatıyor
    https://www.youtube.com/watch?v=nf33RDu_D6M
  • İnanılmaz bir hikâye. Özellikle şu bölüm dikkatimi çekti
    “Kurtarma ekipleri, kazadan ancak 35 dakika sonra kokpit enkazını ve içinde hayatta olan dört mürettebat üyesini tespit etti”
    Yolcuların hayatta kalıp kalmadığını bile bilmeden kurtarılmayı beklenen o 30 dakikayı hayal etmek zor
  • Aynı yazarın bu olay hakkında yazdığı bir yazı da var
    https://admiralcloudberg.medium.com/fields-of-fortune-the-cr...
  • Hidroliklerini kaybedip yine de iniş yapan uçak örneği olarak bu olay dışında yalnızca bir tane biliyorum
    https://en.m.wikipedia.org/wiki/2003_Baghdad_DHL_attempted_s...

• Mentour Pilot’ın hava kazası analizlerine kusur denecek ölçüde bağımlıyım
  Burada da daha derine iniyor
  https://www.youtube.com/watch?v=JSMe1wAdMdg

  • Mentour Pilot’ı seviyorum ama olayın sonucu ancak en sonda açıklanıyor
    Admiral Cloudberg’in yazıları Columbo’ya daha yakın. Önce ne olduğunu söylüyor, sonra zamanda geriye gidip buna yol açan küçük ayrıntıları bulup açıklıyor
    Bazı açılardan bu çok daha mantıklı
    Mentour Pilot sürekli “Bunu aklınızda tutun, ileride önemli olacak” demek zorunda kalıyor
    Ama neden önemli olduğunu bilmediğiniz için hatırlamıyorsunuz ve sonuçta anlatı daha az netleşiyor
  • Ben de Mentour Pilot’tan bahsedecektim
    Son bir yıl içinde o kanalı keşfettim ve özellikle pilot bakış açısından ele aldığı içerikleri keyifle izliyorum
    Bu yazıyı beğendiyseniz Air Disasters’ı da sevme ihtimaliniz yüksek
    Bölgeye bağlı olarak Air Crash Investigations veya Mayday adlarıyla da bilinir
    Kaza raporlarına dayanarak oldukça ayrıntılı işler ve sansasyonelleştirmez, ama bu yazı kadar derine inmez

• İniş yaklaşmasında güvenli hız aralığının çok dar olması dikkatimi çekti
  Stall hızı ile pistten taşmamak için gereken azami hız arasında sadece 3-4 knot vardı
  Mürettebatın yapması gereken diğer her şeyi de düşününce, uçağı güvenli şekilde yere indirmeleri gerçekten müthiş bir pilotajdı

  • Evet. Uçak çok ağırdı ve mümkün olan durma mesafesini elde etmek için fiilen stall hızında inmek zorundaydı
    Nitekim yere temasın hemen öncesinde stall uyarısı çaldı; yani neredeyse bunu yaptılar
    Yazıya bakılırsa hesaplamalar, çeşitli override’lar kullanılarak biraz geçici çözüm gibi bir araya getirilmişti; bu yüzden varsayımların bazılarında hata payı gerekebileceği için temkinli yaklaşmış gibiler
    Gerçekten çok iyi yazılmış, şaşırtıcı bir yazı
    Qantas operasyon ekibine, özellikle de pilotlara övgüler. İşini bilen insanlar oldukları kesin
    Airbus mühendislik ekibine de övgüler. Yedekli sistemler açısından muazzam bir zaferdi
    Olay sonrası analizin bir parçası olarak durma hesaplamalarının iyileştirilmesi de ilginçti