Letecké předpisy jsou napsány krví. Čím je ale psát, když krev dochází?
Letectví je dnes nejbezpečnější v historii.
A právě to je paradoxně velký problém.
Létá se víc než kdy dřív, nehod je zlomek toho, co bývalo, a naše bezpečnostní bariéry fungují líp než kdykoli v minulosti. Skvělá zpráva, že? Jenže přesně tenhle úspěch se dnes stává jednou z největších hrozeb pro budoucnost bezpečnosti v letectví. Jak je to možné? Na problém dnes upozorňují ICAO i Eurocontrol. A měl by rezonovat hlavou každého, kdo se pohybuje v letectví.
Znáte to okřídlené rčení: „Letecké předpisy jsou napsány krví." V letecké komunitě se používá tak dlouho, že je to prostě zažitá pravda oboru. ¹ A není to jen metafora. Když nahlédnete do historie letecké legislativy, zjistíte, že za mnoha odstavci v předpisech, za úkony v postupech, za prvky v systému řízení letového provozu, stojí konkrétní tragédie.
Animace srážky letadel PanAm (Boeing 747-100) a KLM (Boeing 747-200) při nehodě na Tenerife (1977). Autor: SafetyCard / Wikimedia Commons, licence CC BY-SA 3.0 DE.
Srážka dvou Boeingů 747 na Tenerife v roce 1977 v husté mlze si vyžádala 583 mrtvých, dodnes nejsmrtelnější nehoda v historii letectví. Právě tato tragédie položila první základ pro moderní pohled na runway incursion (narušení dráhy) a ukázala fatální následky selhání komunikace mezi posádkou a ATC. ² Letecký svět začal pracovat na tom, aby se to nemohlo opakovat. O to silněji jím v roce 2001 otřásla další srážka, tentokrát na milánském letišti Linate, kde vzlétající MD-87 narazil do Cessny Citation, která vjela na aktivní dráhu přes rozsvícenou červenou stop příčku. Tato nehoda vzala život 118 lidem a fungovala jako spouštěč ještě rozsáhlejší iniciativy pro bezpečnost letišť, takzvaně EAPPRI – European Action Plan for the Prevention of Runway Incursions ³, což můžeme volně přeložit jako Evropský akční plán pro prevenci narušení dráhy. Každá tragédie napsala prolitou krví nová pravidla. Přidala bariéru. Zacelila systémovou trhlinu. A dnes? Dnes narážíme na nečekaný paradox bezpečnosti.
„Letecká pravidla byla napsána krví. Krve je naštěstí čím dál méně, ale jak teď budeme psát nová pravidla?“
Tuto frázi, která zaznívá nejen na chodbách Eurocontrolu, je samozřejmě nutné brát metaforicky. Opravdu pro další zvýšení bezpečnosti musíme čekat na další tragické nehody? Dosavadní reaktivní přístup přestává fungovat, když se počet nehod pohybuje na relativně nízkých hodnotách. Je proto nutné změnit přístup na preventivní, proaktivně označovat důležité bezpečnostní bariéry, které musíme v regulacích udržet, a včas přicházet s novými, které zabrání dalším nehodám.
Vizualizace srážky letadel SAS686 (MD-87) a Cessna Citation CJ2 na dráze 36R při nehodě na letišti Milán-Linate (2001). Autor: Bananas222 / Wikimedia Commons, licence CC BY-SA 4.0.
V článku se dozvíte:
Proč se z rostoucí bezpečnosti může stát riziko samo o sobě?
Proč riziko na letištní ploše neroste s provozem lineárně, ale mnohem rychleji?
Co je přístup Safety II a proč mění pohled na to, co považujeme za „nehodu"?
Proč má smysl reportovat i situaci, kterou jste nakonec zvládli?
Co si z toho odnést do provozu.
Nebezpečí, které přinesl úspěch
Díky všem bezpečnostním bariérám se dnes děje jen zlomek nehod oproti minulosti. To je samozřejmě skvělá zpráva. Problém ale spočívá v lidské psychologii a také v manažerském uvažování.
Když bariéry fungují perfektně, nedějí se žádné nehody. A když nevidíte žádné nehody, postupně ztrácíte respekt k riziku, kterému ty bariéry zabraňují. Začne se kupříkladu mluvit o tom, že je letectví přeregulované. Můžete zaslechnout výroky podobné tomuto: „Proč to musíme dělat tak složitě? Vždyť se u nás taková nehoda nestala už desítky let!"
Tlak na efektivitu i úspory roste a může docházet k nenápadnému obcházení nebo odstraňování některých procedur, protože se přece nic neděje. Jenže tím může dojít i k odstranění opatření, díky kterému se právě nic nedělo. Je to, jako byste ze střechy sundali hromosvod s tím, že do domu už léta neuhodilo.
Exponenciální matematika rizika
O to víc to platí dnes, kdy celosvětový provoz roste. A tady začíná ta zákeřná část: s rostoucím leteckým provozem roste riziko exponenciálně.
Zjistila to kanadská studie věnovaná prevenci runway incursions. Ta ukázala, že už 20% nárůst provozu (řekněme nárůst provozu na letišti z pěti pohybů na šest) může znamenat až 140% nárůst potenciálu pro narušení dráhy. ⁴ Počet možných nebezpečných interakcí totiž s počtem pohybů roste kvadraticky. Čím víc letadel se na ploše potkává, tím dramatičtěji přibývá příležitostí, kdy se dvě z nich mohou dostat do konfliktu. ⁵
Stejný princip potvrzuje i globální akční plán GAPPRI (Global Action Plan for the Prevention of Runway Incursions), který v srpnu 2024 společně vydaly ICAO, Flight Safety Foundation a Eurocontrol: interakce na dráze se víc než zdvojnásobí, když se zdvojnásobí provoz — a protože se objem provozu má v příštích 20 letech zdvojnásobit, riziko srážky na dráze poroste značně, pokud nepřidáme nové bezpečnostní bariéry.
Z toho plyne nepříjemný závěr: pokud při rostoucím provozu jen udržíme stejnou úroveň bezpečnosti, naše reálná bezpečnost fakticky klesá. Aby zůstala zachovaná, musí bariéry růst rychleji než samotný provoz. Jenže kde na to vzít data pro nová opatření, když na ně nechceme čekat až do chvíle, kdy se stane další nehoda?
Za významnou část iniciativy v oblasti „boje“ proti rizikům narušení dráhy můžeme být vděční organizaci Eurocontrol, která stála u zrodu a publikace klíčového dokumentu EAPPRI. Při následné tvorbě globálního nástupce GAPPRI byl Eurocontrol jedním z hlavních tahounů společné mezinárodní iniciativy vedené spolu s ICAO, IATA, ACI World, CANSO a Flight Safety Foundation. Na fotografii je Aviation Learning Centre v Lucemburku, jedna z mnoha budov Eurocontrolu. Autor Adam Jandora.
odpověď leží v odvrácených chybách: Safety II
Tady na scénu přichází přístup označovaný jako Safety II. Jeho autorem je Erik Hollnagel a Eurocontrol ho publikoval v roce 2013 v dokumentu From Safety-I to Safety-II.⁷ Erik tam říká jednu klíčovou věc:
nesmíme už analyzovat jen to, co selhalo. Musíme stejně tvrdě analyzovat i situace, kdy se nehodě předešlo.
Klasický přístup (Safety I) bere bezpečnost jako stav, kdy je počet nehod, incidentů a near missů co nejnižší, a člověka vnímá hlavně jako zdroj rizika. Safety II obrací perspektivu: ptá se, proč věci fungují dobře, a z toho se snaží pochopit, proč někdy jdou špatně. Hollnagel to shrnul do jedné věty: bezpečnostní management by se měl posunout od zajištění toho, aby „co nejméně věcí fungovalo špatně", k zajištění toho, aby „co nejvíc věcí fungovalo dobře". ⁷
V anglicky hovořícím ATC světě mají hezký termín. Když se seběhne nějaká nestandardní situace, a řídící třeba něco přehlédne, ale požadovaný rozstup nakonec i tak šťastnou náhodou „vyjde“ sám od sebe a všechno dobře dopadne, říkají tomu, že šlo o „God's provision", prostě, že ten rozstup nezajistil onen řídící, ale Bůh. V méně náboženském Česku říkáme takovým situacím, například ve výcviku řídících, že „ti to prostě vyšlo“, namísto aby to bylo řídícím cíleně zajištěno předem.
A přesně tady je ten rozdíl v myšlení. Z pohledu staré školy se nic nestalo, můžeme si oddechnout a jít dál. Z pohledu moderního řízení bezpečnosti (SMS, Safety Management System dle ICAO Annex 19, u nás předpis L 19) je ale tohle „nic se nestalo" tím nejcennějším zdrojem dat pro budoucnost. ⁸ Byli jsme totiž přesně o jeden krok od katastrofy. Když se i z takové situace systém poučí, pomůže to zabránit příštímu opakování s horšími následky, kdyby šťastná náhoda už nezasáhla.
Má se reportovat i správně provedený postup?
Uděláte go-around, protože se vám na finále nelíbil rozstup od letadla, které opouští dráhu před vámi poněkud pomaleji, než jste vy i řídící čekali. Přidáte výkon, provedete průlet a jdete na druhý okruh. Nic se nestalo. Odvedli jste perfektní pilotní práci a riziko incidentu jste odvrátili. Klobouk dolů.
Jenže pokud se tohle nikam nezareportuje, systém přijde o kritickou informaci. Pokud se na stejném letišti za půl roku provede dvacet go-aroundů ze stejného důvodu, znamená to, že sám systém generuje rizikové situace. Řídící tam třeba pouštějí letadla příliš blízko za sebou, nebo je vyčkávací místo špatně umístěné. Bez hlášení o „nakonec úspěšném" go-aroundu o tom ale nikdo neví. Zjistí se to až u jednadvacátého průletu, který nevyjde.
Eurocontrol proto go-around nebere jako pouhou anomálii, ale jako bezpečnostně relevantní událost a zdroj dat. Věnoval mu i samostatnou studii Operational Safety Study on Low Level Go-Around. ⁹
A aby lidé takové situace hlásili, musí mít jistotu, že se hlášení neobrátí proti nim. To zajišťuje princip Just Culture neboli kultura, v níž se řadový personál netrestá za jednání, opomenutí nebo rozhodnutí odpovídající jeho zkušenostem a výcviku, ale kde se zároveň netoleruje hrubá nedbalost a úmyslné porušování pravidel. Bez tohohle prostředí důvěry žádný reporting nefunguje, a systém zůstává slepý.
just culture
JUST CULTURE = opomenutí nebo nechtěná chyba se netrestá; hrubá nedbalost a úmyslné porušení pravidel se netoleruje.
Nahlásit odvrácenou situaci není přiznání chyby. Je to potrava pro systém, informace o tom, jaká bezpečnostní bariéra právě zafungovala. A možná varování, že příště to nemusí vyjít samo.
kdo má reportovat co a jak?
Pro praktické použití ještě upřesním, že se tímto rozhodně není myšleno, aby se podávalo hlášení na každý go-around. V systému řízení bezpečnosti totiž existují kromě „řádných“ hlášení událostí v leteckém provozu (incidentů a nehod) i tzv. dobrovolné hlášení, které slouží právě k ohlášení situací, kdy k incidentu došlo jen málem. Nebo když někdo odhalí rizikové místo v systému, které jen čeká na určitou souhru nešťastných náhod nebo sérii pochybení několika lidí, aby došlo k incidentu. Všichni to známe z legendárních TV dokumentů Vyšetřování leteckých nehod, kde je nejlépe vidět, jak k oněm nehodám vždy vede série více či méně samostatných událostí a chyb.
Pro nahlášení takové situace, kdy mohlo dojít k incidentu, můžete využít systémy dobrovolného hlášení buďto v rámci řízení bezpečnosti vaší organizace (SMS nebo Just Culture). Ale i jako individuální pilot bez příslušnosti k organizacím máte samozřejmě kam „volat“. Pro hlášení událostí v civilním letectví využije systém spravovaný Ústavem pro odborné zjišťování příčin leteckých nehod nebo přímo Evropskou komisí: Aviation Safety Reporting.
V případě, že z jakéhokoli důvodu nechcete výše uvedené systémy využít, můžete využít i systém Dobrovolného hlášení událostí spravovaný českým ÚCL. Tak jednoduché to je.
Co si z toho vzít do provozu
Abychom mohli psát nová pravidla daty, a ne krví, musíme přenastavit mindset:
Reporting není sebeudání ani žalování. Když oznámíte, že jste situaci zachránili např. zmíněným go-aroundem, dáváte systému data o tom, jaká bariéra právě v tomto případě zabránila incidentu nebo letecké nehodě.
Když to „jenom vyšlo", je to skoro stejný průšvih jako nehoda. Rozdíl mezi incidentem a nehodou je často jenom štěstí. A na štěstí se v letectví spoléhat nemá. ⚠️
Respektujte pravidla, i když nerozumíte, proč tam zrovna jsou. Většinou je psali lidé, kteří nad nimi strávili i stovky hodin analýz, porad a studií. A často je někdo psal krví obětí nehod. Šance, že za letu nebo na věži vymyslíme za pochodu lepší postup, je mizivá.
Nehody se už (naštěstí) nedějí tak často. Nenechme se tím ale ukolébat. Naším úkolem dnes je nacházet ty momenty, kdy se nehoda nestala jen tak tak, a učit se z nich úplně stejně, jako by se stala.
Znáte ze své praxe situaci typu „prostě to vyšlo", kdy se incidentu zabránilo jen díky obrovskému štěstí? Podělte se o ni na letišti u kafe, sdílejte tuto zkušenost! Napište ji klidně i do naší skupiny Lepším pilotem na Facebooku, kde se z ní poučí tisíce dalších pilotů. Ale hlavně, pokud došlo k situaci, kdy málem došlo k incidentu nebo nehodě, měla by se hlásit i oficiálně. Protože přesně z takových dat chceme psát bezpečnou budoucnost. Závěrem bych nám všem popřál:
pišme předpisy daty, a ne krví. 🩸
Tento článek je originální tvorbou AirGuru.cz. Jedním z cílů projektu je naučit leteckou komunitu čerpat znalosti z oficiálních zdrojů v aktuálním znění. Proto informace v článku podkládáme odkazy na zdroje nikoliv proto, že bychom opisovali, ale proto, aby čtenáři mohli zjistit, odkud tyto informace pramení. Staňte se lepším pilotem ne proto, že to psali na AirGuru, ale proto, že víte kde a jak získat správné informace. 🫵
Zdroje odkazované v článku:
AOPA — Regulations are written in blood
SKYbrary — B742/B741, Tenerife 1977
SKYbrary — MD87/C525, Milan Linate 2001
Transport Canada — Sub-Committee on Runway Incursions, Final Report (TP 13795 E)
George Mason University — Estimation of Potential Conflict Rates
Eurocontrol / Flight Safety Foundation — GAPPRI
Eurocontrol / SKYbrary — From Safety-I to Safety-II: A White Paper
AIM ŘLP ČR — Předpis L 19 Řízení bezpečnosti
Eurocontrol — Operational Safety Study on Low Level Go-Around
SKYbrary — Just Culture Manifesto