EN
Mark học AILion Air 610 · 29/10/2018 · biển Java | Ethiopian 302 · 10/3/2019 · Ejere, Ethiopia
Nguồn: Báo cáo cuối cùng của Ủy ban Giao thông Hạ viện Mỹ (9/2020), tr. 13, 21, 24–25; FAA, bản tóm tắt cho phép bay lại (11/2020), tr. 20–23.
Một hãng máy bay lâu đời, một cơ quan cấp phép mạnh nhất thế giới, và một hệ thống nhỏ đến mức không được ghi vào sổ tay. Vì sao một giả định chưa ai kiểm lại có thể đi qua mọi lớp kiểm tra, và vì sao sau vụ thứ nhất, vụ thứ hai vẫn xảy ra?
Nguồn: Hạ viện Mỹ (2020), tr. 5, 9, 24; KNKT (2019), tr. xviii; EAIB (2022), tr. 17–18.
Giờ địa phương, quy đổi từ giờ UTC trong báo cáo của Indonesia (KNKT) và Ethiopia (EAIB).
Nguồn: Hạ viện Mỹ (2020), tr. 5, 8–9, 13; KNKT (2019), tr. xviii, 36–37; EAIB (2022), tr. 21; ý kiến của đoàn Mỹ về báo cáo EAIB (NTSB, 2022), tr. 3, 7 (chỉ thị khẩn AD 2018-23-51); FAA (18/11/2020).
Ủy ban Hạ viện Mỹ viết: hai vụ rơi "không phải kết quả của một lỗi đơn lẻ", mà là "đỉnh điểm khủng khiếp" của một chuỗi giả định kỹ thuật sai, sự thiếu minh bạch của lãnh đạo Boeing và sự giám sát "thiếu trầm trọng" của FAA.
Nguồn: Hạ viện Mỹ (2020), tr. 6.
Nguồn: Hạ viện Mỹ (2020), tr. 20–25; JATR (2019), tr. VII–VIII; Bộ Tư pháp Mỹ, thông cáo 7/1/2021; KNKT (2019), tr. xviii.
| Câu hỏi | Báo cáo Ethiopia (EAIB, 12/2022) | Đoàn Mỹ (NTSB) và Pháp (BEA) |
|---|---|---|
| Nguyên nhân chính | MCAS chúi mũi lặp lại do cảm biến sai | Đồng ý MCAS phải nằm trong nguyên nhân |
| Máy bay có cứu được không | "không thể phục hồi" | vẫn điều khiển được nếu làm đúng quy trình |
| Lực đẩy và tốc độ | không phân tích hành động tổ bay | lực đẩy giữ tối đa, quá tốc "đóng vai trò quan trọng" |
| Cảm biến hỏng vì sao | sự cố điện chưa giải thích | cánh cảm biến gãy do va vật lạ, "nhiều khả năng là chim" |
Nguồn: ý kiến của đoàn Mỹ về dự thảo báo cáo EAIB (NTSB công bố 27/12/2022), tr. 2–3, 6–7; NTSB, thông cáo 24/1/2023; kết luận EAIB và ý kiến BEA (3/1/2023) theo tóm tắt của Flightradar24 và Fear of Landing (nguồn thứ cấp).
Báo cáo Indonesia thì nêu thẳng: yếu tố thứ 9 trong 9 yếu tố góp phần là khả năng điều khiển tay, thực hiện quy trình bất thường và giao tiếp trong buồng lái, những điểm "đã được ghi nhận trong huấn luyện và lặp lại trong chuyến bay tai nạn". Nhưng 8 yếu tố còn lại nói về thiết kế, chứng nhận, cảm biến, bảo dưỡng và thông tin.
Nguồn: KNKT (2019), mục 3.2 "Contributing factors" (tr. 215 theo mục lục); lời văn theo bản tóm tắt thứ cấp.
13 điều hay được kể về 737 MAX, đối chiếu với hồ sơ gốc. Bấm từng dòng để xem lý do.
FAA xác nhận trong bản tóm tắt cho bay lại (tr. 20). KNKT liệt kê đây là một yếu tố góp phần. Bản sửa dùng cả hai cảm biến.
MCAS bị gỡ khỏi sổ tay vận hành tổ bay với sự chấp thuận của FAA; Ủy ban viết phi công "phần lớn không biết hệ thống tồn tại" (Hạ viện, tr. 13, 21). Boeing chỉ gửi thông tin về MCAS cho mọi hãng bay ngày 10/11/2018, sau vụ Lion Air (NTSB, 1/2023, tr. 7).
Nó bị gắn nhầm với một tùy chọn mua thêm, nên "không hoạt động trên hơn 80% máy bay MAX". Boeing phát hiện 8/2017 và hoãn sửa đến 2020 (Hạ viện, tr. 22–24). Cả Lion Air và Ethiopian đều không có nó (KNKT; EAIB, tr. 55).
Tổ bay ngắt trim điện theo gợi ý của một phi công đi nhờ, nhưng không ghi việc này vào sổ kỹ thuật (KNKT, tr. xviii, 36; Hạ viện, tr. 8–9). Tình huống xử lý được, nhưng thông tin không đến được tổ bay sáng hôm sau.
Từ một thử nghiệm mô phỏng tháng 11/2012, có trong ít nhất sáu văn bản nội bộ 2015–2018 (Hạ viện, tr. 24–25).
Hợp đồng 2011 với Southwest: giảm ít nhất 1 triệu USD mỗi máy bay nếu FAA bắt học mô phỏng; Boeing thông cáo 7/2014 rằng không cần học mô phỏng (Hạ viện, tr. 24, 26).
KNKT nêu khả năng điều khiển tay, thực hiện quy trình và giao tiếp của tổ bay Lion Air là một yếu tố. Với ET302, đoàn Mỹ chỉ ra lực đẩy giữ tối đa dẫn tới quá tốc, và tổ bay bật lại trim điện trái quy trình (tr. 6–7). Cơ phó ET302 có 207 giờ trên 737 (Hạ viện, tr. 10). Sai sót có thật, nhưng diễn ra giữa nhiều báo động cùng lúc, với một hệ thống họ không được dạy.
Phần mềm chạy đúng như được thiết kế. Cái sai nằm ở thiết kế và giả định: một cảm biến, kích hoạt lặp lại, phi công không được báo, và một hệ thống không được đánh giá "như một chức năng hoàn chỉnh, tích hợp" (JATR, tr. VIII).
NTSB kết luận cánh cảm biến gãy do va vật lạ, "nhiều khả năng là chim", và nói bằng chứng này không được đưa vào báo cáo cuối. EAIB lại quy cho một sự cố điện. Hai cơ quan mâu thuẫn; chưa ngã ngũ.
Một phân tích rủi ro nội bộ của FAA ngày 3/12/2018 ước tính có thể có 15 vụ rơi chết người trong cả đời đội bay nếu không sửa MCAS. Tài liệu được công bố tại phiên điều trần Hạ viện 12/2019; Mark chỉ đọc được qua báo chí (CNBC), nên ghi là nguồn thứ cấp.
Phi công thử của chính Boeing mất hơn 10 giây. Hai phi công Lion Air có hơn 5.100 và 4.200 giờ bay trên 737. Chủ tịch nghiệp đoàn phi công American Airlines điều trần trước Quốc hội: nói tai nạn sẽ không xảy ra với phi công Mỹ là "tự phụ và không có căn cứ" (Hạ viện, tr. 10–11, 24–25). Chính FAA sau vụ đầu đã thay đổi thiết kế, huấn luyện và sổ tay cho mọi phi công, kể cả phi công Mỹ.
Họ nhận một chỉ thị khẩn và bản tin sổ tay (11/2018). Thông tin về vị trí cánh tà cần để MCAS kích hoạt không có trong bản tin của Boeing lẫn chỉ thị của FAA (NTSB, 1/2023, tr. 6). Huấn luyện MCAS bắt buộc chỉ có từ 11/2020 (FAA, tr. 11, 14).
Thỏa thuận hoãn truy tố ngày 7/1/2021 trị giá hơn 2,5 tỷ USD, nhưng tiền phạt hình sự chỉ 243,6 triệu. 1,77 tỷ là bồi thường cho hãng bay, 500 triệu cho quỹ gia đình nạn nhân (Bộ Tư pháp Mỹ).
Điểm là đánh giá của Mark dựa trên các nguồn ở Phần 8, không phải số liệu của một nghiên cứu.
Nguồn: FAA (11/2020), tr. 11, 14, 24; NTSB, điều tra DCA24MA063 (Alaska 1282, 5/1/2024): nguyên nhân là Boeing thiếu huấn luyện, hướng dẫn và giám sát; bốn bu lông giữ cửa không được tìm thấy.
Không phải một lỗi, mà là một giả định được mang qua mọi lớp kiểm tra mà không ai kiểm lại, cộng với việc người cần biết nhất lại không được biết.
Sau Lion Air, Boeing và FAA chọn cách vá bằng quy trình: nhắc phi công dùng thao tác "trim chạy loạn" có sẵn. Cùng lúc, phân tích nội bộ của FAA ước tính rủi ro còn cao (nguồn thứ cấp). Máy bay vẫn bay trong lúc Boeing làm bản sửa phần mềm.
Trên ET302, tổ bay ngắt trim điện, nhưng lúc đó máy bay đã nhanh và lệch trim đến mức tay quay không quay nổi. Quy trình được viết cho một tình huống "sạch" hơn tình huống thật. Đó lại là một giả định nữa chưa được kiểm.
Nguồn: EAIB (2022), tr. 26–30; ý kiến đoàn Mỹ (2022), tr. 6–7; CNBC 11/12/2019 về phân tích TARAM của FAA.
Áp dụng cho mọi thiết kế giao cho người khác dùng: tính năng sản phẩm, quy trình nội bộ, mô hình AI, bản kế hoạch.
Ưu tiên tài liệu gốc. Chỗ nào chỉ có nguồn thứ cấp đã ghi rõ ở phần Kiểm chứng.