23 июля 1983 года Boeing 767 авиакомпании Air Canada покинул Монреаль с полностью неработоспособными указателями уровня топлива. В кабине пилотов три монитора оставались абсолютно темными — об этом знали и техники, и сам экипаж, однако лайнер всё равно отправили в полет. Спустя полтора часа, когда борт находился на эшелоне 410, горючее закончилось, и оба двигателя затихли. К счастью, капитан Роберт Пирсон в свободное время увлекался планерным спортом. Ему удалось ювелирно спланировать огромную машину на заброшенную военную базу в местечке Гимли. В ту субботу там проходили гонки на картах, организованные местным мотоклубом. Спортсмены и зрители едва успели разбежаться, когда самолет пронесся по взлетной полосе мимо палаток и мангалов. Чудом обошлось без жертв — все остались живы!
История впечатляющая, но у любого здравомыслящего человека возникает резонный вопрос: каким образом воздушное судно с неисправными приборами контроля топлива вообще получило разрешение на взлет.
Разгадка кроется в документе, именуемом MEL — Minimum Equipment List (Перечень минимального оборудования). Стоит отметить, что инцидент в Гимли — далеко не единственный случай в мировой практике.
Сотни тысяч узлов и жесткие временные рамки
Для примера возьмем Airbus A320: в его конструкции задействовано около ста тысяч различных деталей, и это не считая крепежных элементов вроде заклепок. У широкофюзеляжных гигантов, таких как Boeing 777 или Airbus A350, количество компонентов еще внушительнее.
Типичный график гражданского лайнера — это подъем на рассвете, первый вылет в 06:30 и еще несколько рейсов до самой полуночи. На обслуживание между перелетами отводится не более полутора часов. За это короткое время нужно высадить пассажиров, выгрузить багаж, провести уборку, заправить баки, принять новых путешественников и оформить полетную документацию.
Представьте ситуацию: во время предполетного осмотра техник обнаруживает, что одна из трех посадочных фар перегорела. До посадки пассажиров осталось сорок минут. Запасная лампа может быть на складе, но склад расположен на другом конце аэропорта. Процесс вызова инженера, замены и оформления документов неизбежно приведет к задержке рейса.
Существует альтернативный сценарий: если полет выполняется в светлое время суток, отсутствие одной фары не критично для безопасности. Замену можно произвести позже, в базовом аэропорту во время ночной стоянки.
Именно для решения таких дилемм и был разработан MEL.
История возникновения регламента на неисправности
Концепция сформировалась в 1960-х годах.
В эпоху бурного развития гражданской авиации системы становились все сложнее, а интенсивность полетов росла. Стало очевидно, что требование абсолютной исправности каждой мелочи перед вылетом парализует отрасль.
Регуляторы и авиаконструкторы провели масштабную аналитическую работу. Для каждого типа воздушного судна был составлен MMEL (Master Minimum Equipment List) — фундаментальный список оборудования, с отказами которого допускается эксплуатация. Каждая позиция сопровождается строгими условиями и расчетами, подтверждающими, что уровень безопасности полета останется в пределах нормы.
Ознакомиться с этими данными можно в открытом доступе: https://drs.faa.gov/browse/MMEL/doctypeDetails
На основе MMEL авиакомпании разрабатывают собственный MEL, который утверждается национальными властями. В США, например, на каждый такой перечень выдается специальное разрешение (Letter of Authorization), которое по статусу приравнивается к сертификату типа для конкретного борта.
Четыре категории срочности:
Любой дефект, который можно «отложить» согласно MEL, классифицируется по одной из четырех категорий, определяющих срок устранения неисправности.
Категория A — временные рамки указаны индивидуально (часто это считанные часы или фиксированное число полетов).
Категория B — ремонт должен быть выполнен в течение трех суток (день обнаружения не учитывается).
Категория C — предоставляется десятидневный срок.
Категория D — самый длительный период, составляющий 124 дня. Сюда попадают незначительные дефекты, например, неработающая розетка в кресле бизнес-класса или капризная подсветка салона.
Важный нюанс: неисправности нельзя просто суммировать. Если на борту выявлено несколько проблем разных категорий, специалисты обязаны убедиться, что их сочетание не нарушит критически важную функцию самолета. То, что безопасно по отдельности, в совокупности может привести к опасной ситуации.
Примеры допустимых отказов
Давайте разберем на конкретных примерах, с чем иногда летают самолеты.
Реверс тяги. Это система, создающая характерный шум при торможении после касания полосы. На двухдвигательном лайнере один из реверсов может быть заблокирован. Техник фиксирует механизм, устанавливает в кабине заглушку с надписью INOP («не работает») и делает запись в журнале.
Звучит тревожно, не так ли.
Однако реверс не является обязательным параметром для сертификации тормозных характеристик. Самолёт обязан безопасно останавливаться, используя только колесные тормоза. Реверс — это лишь дополнительный инструмент. Если полоса короткая или обледеневшая, правила MEL запретят вылет, но на стандартной сухой ВПП это вполне допустимо.
Система кондиционирования. Условный A320 оснащен двумя независимыми контурами охлаждения воздуха. При отказе одного из них полет разрешен, но с ограничениями: максимальный эшелон снижается до 25 000 футов, а количество пассажиров может быть уменьшено, чтобы оставшаяся установка справлялась с нагрузкой.
ВСУ (Вспомогательная силовая установка). Этот малый двигатель в хвосте обеспечивает энергию на стоянке. В самом полете он обычно не задействован. Без работающей ВСУ самолет не сможет запуститься автономно в транзитном аэропорту, и ему будут закрыты сверхдлинные маршруты над океаном, но в остальном он полностью функционален.
Метеорологический радар. Вылет с неисправным радаром возможен только при условии, что по всему маршруту не прогнозируется грозовая активность. Если на пути есть риск штормов — полет категорически запрещен.
Электрогенераторы. Каждый двигатель оснащен генератором. Если один выходит из строя, его функции берет на себя ВСУ, которая будет работать в течение всего полета. Это накладывает ограничения на высоту и маршруты, но не делает полет невозможным.
В список «отложенных» дефектов могут попасть: обогрев одного из слоев остекления, дублирующие датчики температуры масла, запасные кислородные маски для персонала или вторичные индикаторы положения закрылков.
Процедура в реальных условиях
Как это происходит на практике?
Представьте утро в крупном аэропорту. Техник обнаруживает ошибку при тестировании реверса. Он открывает MEL на планшете, находит соответствующий пункт и видит, что неисправность можно «деферировать» (отложить). Он физически блокирует механизм на двигателе штифтом, помечает рычаг в кабине и вносит официальную запись в бортжурнал с указанием срока устранения.
Поднявшись на борт, командир изучает записи. Он анализирует маршрут: длину ВПП, состояние покрытия, метеоусловия. Если параметры безопасности соблюдены — он подписывает документы. Командир имеет полное право отказаться от вылета, если считает, что совокупность факторов создает риск. Это его персональная ответственность.
Одновременно с этим диспетчеры и инженеры авиакомпании пересчитывают взлетно-посадочные характеристики с учетом дефекта.
В итоге самолет отправляется в рейс. Пассажиры даже не подозревают о техническом нюансе, а по возвращении в базовый аэропорт ночная смена техников за несколько часов меняет неисправный блок, возвращая машине полную исправность.
Что на самом деле произошло с тем «Боингом»?
Вернемся к инциденту в Гимли, поскольку его часто интерпретируют неверно.
В июле 1983 года Boeing 767 был практически новым самолетом. На данном борту наблюдались проблемы с системой контроля количества топлива (FQIS), которая имела два независимых канала.
За пару дней до происшествия техник в Эдмонтоне выяснил, что один канал сбоит. Он поступил строго по инструкции: обесточил неисправную цепь, вытянув автомат защиты (circuit breaker), пометил его биркой и сделал запись в журнале со ссылкой на MEL. Один работающий канал позволял летать при условии ручного замера топлива щупами.
Проблемы начались в Монреале. Техник по фамилии Уэллет попытался найти причину сбоя и вернул автомат защиты в рабочее положение для диагностики. В этот момент «умерли» оба канала — экраны погасли. Уэллета отвлекли на замеры топлива, и он забыл снова вытянуть предохранитель. Бирка осталась висеть, создавая ложное впечатление, что отключен только один канал, хотя фактически не работали оба.
Капитан Пирсон, увидев бирку и темные экраны, предположил, что это та же проблема, с которой самолет прилетел. Поверхностно заглянув в MEL, он увидел знакомый номер параграфа и решил, что лететь можно.
Однако MEL четко запрещал эксплуатацию при отказе обоих каналов FQIS. Пирсон этого не заметил. Кроме того, в те годы в Air Canada существовала порочная практика иногда допускать вылеты с нарушениями регламента «в виде исключения».
Финальным аккордом стала ошибка при пересчете единиц измерения. Канада переходила на метрическую систему. Экипаж использовал коэффициент для фунтов вместо килограммов, в результате чего самолет заправили в два раза меньше необходимого.
Итог: полная тишина на высоте 12 тысяч метров, мастерское планирование на заброшенную полосу и посадка «на брюхо» из-за невыхода передней стойки.
Пилотов сначала наказали, а позже наградили за проявленный героизм. Попытки других экипажей повторить этот маневр на тренажере неизменно заканчивались «катастрофой».
Главный вывод: MEL в этой трагедии не виноват — он как раз запрещал взлет. Причиной стала цепочка человеческих ошибок.
Однако существует и по-настоящему мрачная страница истории.
Трагедия рейса Spanair 5022
20 августа 2008 года, Мадрид. McDonnell Douglas MD-82 готовится к вылету на Канарские острова. Во время выруливания приборы показывают аномальную температуру за бортом — 99 градусов.
Очевидно, что это технический сбой. Экипаж возвращает самолет на стоянку.
Техники выясняют: обогреватель датчика температуры самопроизвольно включился на земле. Согласно MEL, этот обогрев можно отключить, если по маршруту не ожидается обледенения. В летнем Мадриде при +35 это было логичным решением. Техник выключил автомат защиты, оформил запись, и самолет снова пошел на взлет.
Спустя несколько секунд после отрыва машина рухнула. Погибли 154 человека.
Причина была шокирующей: экипаж забыл выпустить закрылки. Из-за суеты и стресса, вызванного задержкой, пилоты пропустили критически важный пункт карты проверок.
Но почему не сработала система TOWS, которая должна была оглушительно сигнализировать о неверной конфигурации.
Выяснилось, что в конструкции MD-82 цепи датчика температуры и системы предупреждения о взлете были связаны через одно и то же реле. Отключив обогрев датчика по инструкции MEL, техник, сам того не зная, обесточил и систему оповещения. Этой критической связи не было в документации производителя, и никто не предполагал, что обычный «дефер» по температуре может ослепить систему безопасности.
Оправдан ли такой риск?
Может показаться, что полеты с неисправностями — это игра с огнем. Но альтернативы гораздо хуже.
Либо мы отменяем каждый второй рейс из-за перегоревшей лампочки, либо летаем на честном слове, полагаясь на интуицию техников, как это было на заре авиации.
MEL — это путь жесткой стандартизации. Это четкие границы допустимого, подкрепленные многократным резервированием систем современных лайнеров.
Помимо MEL, существуют и другие списки: CDL (Configuration Deviation List) для внешних элементов (например, отсутствие декоративного обтекателя) и NEF (Non-Essential Furnishings) для бытовых мелочей в салоне вроде сломанного столика.
Многие боятся летать, зная об этих правилах, хотя при этом спокойно управляют автомобилем с горящим индикатором «Check Engine» или изношенными тормозными колодками.
Если вы часто летаете, то наверняка замечали наклейки INOP в салоне. Поделитесь в комментариях своими наблюдениями.
А если вам интересна внутренняя кухня авиации, заглядывайте в мой Telegram-канал — budnipilot.
