"Nie zapomnij kupić mleka" czyli o sile checklisty (cz. II)

W 1983 roku Krystyna Prońko, wspaniała polska wokalistka, wydała płytę z przebojem "Jesteś lekiem na całe zło". Kim jest podmiot liryczny tego przeboju? Tego nie wiem. Na pewno jednak piosenkarka nie śpiewała o listach kontrolnych.

W pierwszej części tekstu, rozpływałem się w zachwytach nad checklistami, ich mocy czynienia życia łatwiejszym i bezpieczniejszym, prostocie i dostępności. Skonsolidowany przepis na wykonanie zdawał się czynić z nich prosty i tani środek na wieczną szczęśliwość i poczucie bezpieczeństwa. Pomimo to dziedziny, w których checklisty odgrywają znaczącą lub kluczową rolę nieustannie borykają się z zagadnieniem błędu, niedopatrzenia lub, niestety, zaniedbania.

Jak już wspomniałem, tworzenie listy kontrolnej nie opiera się na przepisywaniu instrukcji i dokumentacji. A zatem produkt finalny nie może być podręcznikiem czy encyklopedią. Podstawową rolą checklisty jest bowiem pomoc w zidentyfikowaniu i zapobieganiu ewentualnym błędom na krytycznych etapach wykonywania zadania. Wspomniałem o przepisie kucharskim jako przykładzie listy kontrolnej. I wiadomo, że mnie, miłośnika kuchni i posiadacza pokaźnej serii literatury specjalistycznej, żaden przepis nie uczyni następcą francuskich mistrzów. Receptura jest mnie jednak w stanie przekonać, że po 30 minutach we wrzątku, trudno będzie oczekiwać od kurzego jaja jakiejkolwiek elastyczności. To oznacza, że checklista nie zastępuje wiedzy i umiejętności. Ona je porządkuje i przypomina ich kluczowe elementy. Kwalifikacje, opanowanie materiału źródłowego oraz zaangażowanie w wykonanie zadania - to należy tylko i wyłącznie do nas.

Załoga samolotu typu Avro-RJ100, wykonując lot z Monachium do Zurichu, zapomniała uruchomić oba systemy klimatyzacji, odpowiedzialne za utrzymanie odpowiedniej presuryzacji kabiny (zachowanie należytego ciśnienia). Gdy  samolot przecinał, we wchodzeniu, poziom lotu 200[1], ciśnienie w kabinie pasażerskiej odpowiadało wysokości 13 tysięcy stóp. To spowodowało  uwolnienie masek tlenowych w kabinie pasażerskiej. Podczas schodzenia załoga zorientowała się, że oba przełączniki, odpowiedzialne za system presuryzacji, ustawione były w położeniu "OFF" ...

Wspomniany w pierwszej części artykułu Daniel Boorman z firmy Boeing, dokonał podstawowego podziału list kontrolnych na dwie kategorie: "do - confirm" (czyli zrób i potwierdź) oraz "read - do" (czytaj i rób). Pierwszy typ jest rozpowszechniony w kokpitach statków powietrznych, w ramach standardowych działań. Tu pilot lub cała załoga, po wykonaniu wyuczonych czynności, sprawdza poprawność ich realizacji, weryfikując stan urządzeń i systemów z pomocą listy. Druga kategoria list bliższa jest pracy operacyjnej kontrolerów ruchu lotniczego (o tym niżej). Praktyka rewiduje nieco powyższy podział, wskazując na konieczność użycia list "read - do" także na pokładach statków powietrznych, w sytuacjach awaryjnych. Wtedy każdy element listy, przed jego wykonaniem, zostaje potwierdzony przez obu członków załogi. W użyciu jest również technika mieszana. Stosowana jest, gdy konieczne jest błyskawiczne i wstępne działanie z pamięci (pożar, dym w kabinie, dekompresja), następnie wywoływanie listy kontrolnej "do - confirm", na końcu zaś wykonanie kolejnej checklisty techniką "read - do". 

Skąd tyle schematów i różnic ? Wynikają one z dwóch powodów. Pierwszy dotyczy środowisk pracy. O ile dla jednej załogi (lub jednego pilota) kokpit jest, przez cały okres trwania lotu, z nią "związany", o tyle w przypadku kontroli ruchu lotniczego zwykle wiele organów ruchu lotniczego zajmuje się kolejno jednym statkiem powietrznym. Zadania tych  organów, choć spójne (szczęśliwy pilot, zadowolony pasażer, sprawny statek powietrzny), są różne i odbywają się w różnych środowiskach. Wyposażenie, procedury, uprawnienia, dostęp do informacji - to powoduje, że checklista dla tego samego wydarzenia ale dla kontrolera lotniska będzie różna od tej dla kontrolera zbliżania. Wie o tym DFS[2], autor produktu pod tytułem "Emergency checklists". Zapytany swego czasu, co sądzę o tym wydawnictwie odpowiedziałem, że "jest tak dobre, jak dobre być może".

Pokaźny zestaw list kontrolnych, dopasowany do większości znanych ludzkości lotniczych niepowodzeń w powietrzu i na ziemi, zgodny jest z zasadami czytelności oraz uniwersalności dla wszystkich przedstawicieli służb ruchu lotniczego. Prócz tego jednak niczego nie narzuca. Zatem tam, gdzie pilot czyta "zrób", księga ta powiada "spodziewaj się". Zaś gdy załoga realizuje hasło "ustaw" albo "zmień", ja czytam "przygotuj". A wynika to wprost z przepisów. Wedle prawa bowiem, za statek powietrzny i bezpieczne wykonanie lotu odpowiada dowódca statku powietrznego. W razie sytuacji szczególnej lub niebezpiecznej kontroler, z "władcy" przestrzeni staje się obserwatorem i przedstawicielem służb, które mają zdjąć z dowódcy ciężar przynajmniej części obowiązków. Kontroler musi tak zorganizować podległą mu przestrzeń, by być gotowym na wszystko, co w danej chwili zażyczyć może sobie pechowy pilot. I to w taki sposób, by nie musiał potem tłumaczyć się z tego prokuratorowi ...

Dopasowanie zawartości checklisty do użytkownika to jednak nie wszystko. Jej pojemność także powinna odpowiadać sytuacji. Jeśli zatem zaproponujemy załodze przeanalizowanie kilkudziesięciu elementów tuż przed samym startem, natychmiast ucierpi na tym przepływ ruchu lotniczego. Narazimy się także na ryzyko przerwania checklisty, dublowania lub opuszczenie jej elementów. Gdy zaś niepotrzebnie ograniczymy listę w fazie przelotu, wtedy gdy załoga może wykonać swoje czynności wolniej i spokojniej - utracimy szansę na wykorzystanie jej efektywności.

... Podczas kołowania po lądowaniu w Monachium, załoga zauważyła wskazanie awarii IDG[3] w jednym z silników. Zgodnie z MEL[4] generator APU[5] mógł zostać użyty zamiast wadliwego IDG. Zatem załoga musiała przerwać czytanie checklisty po uruchomieniu silników (w locie powrotnym), po to by wykonać niezbędne procedury z MEL i użyć generatora APU. W międzyczasie inny samolot, stojąc za Avro, rozpoczął kołowanie. Dowódca przyznał, że poczuł, iż jest pod presją. W rezultacie elementy dotyczące systemu klimatyzacji, będące częścią checklisty po uruchomieniu silników, zostały pominięte ...

Badania sprzed ponad 20 lat[6] wykazały, że istnieją, między innymi, dwie przyczyny, które decydują o niecałkowitym lub nieprawidłowym wykonywaniu checklist. Pierwsza z nich dotyczy głównie, lecz nie tylko, pilotów o dużym doświadczeniu. Okazuje się, że miewają oni skłonność do rutynowego podejścia do listy i czasami rezygnują z rzetelnego porównania np. stanu fizycznego przełącznika z rzeczywistym lub wymaganym ustawieniem. Piloci tacy bazują na przekonaniu, że w danym momencie konfiguracja systemu "powinna być" zgodna z optymalnym standardem (i zapewne taka właśnie jest). Między innymi Wickens i Hollands, w 2000 roku, analizowali to zjawisko specyficznego postrzegania typu "góra-dół", gdzie percepcja "napędzana" jest z pamięci długotrwałej[7], zatem osoba dany stan postrzega jako dobrze zapamiętany i oczekiwany w danym momencie, nie zaś jako stan rzeczywisty. Druga z przyczyn mówi o sytuacji zakłócenia procesu wykonywania checklisty, spowodowanego napłynięciem nowego bodźca lub poczuciem presji. Pilot może wtedy pominąć elementy listy kontrolnej lub zakończyć wykonywanie przed dotarciem do jej końca.

... Samolot pokołował do pasa 26L po czym wystartował. Po etapie początkowego wchodzenia, drugi pilot (który był pilotem lecącym) poprosił o przeczytanie checklisty "po starcie". Dowódca, pilot monitorujący, nie wykrył nieprawidłowego położenia przełączników systemu klimatyzacji. Pilot lecący także nie zauważył ich niewłaściwego położenia. Gdy samolot przecinał poziom lotu 100, we wchodzeniu, wykonano listę kontrolną "system check" (sprawdzenie systemów) lecz ponownie, obaj piloci, nie dostrzegli błędnego ustawienia przełączników. I to pomimo uprzedniej weryfikacji przepływu powietrza w instalacji oraz zwiększającej się różnicy ciśnień między kabinie i na zewnątrz samolotu[8].

Ryzyko przerwania wykonywania listy kontrolnej, z powodu "nadejścia" innego zadania, również było tematem wielu badań[9]. Eksperci, poprzez analizę nagrań filmowych pilotów uczestniczących w szkoleniu LOFT[10] ustalili, że transmisja radiowa ze strony służb ruchu lotniczego (zwykle kontroli ruchu lotniczego) powodowała nierzadko "wybicie" pilota ze "stanu zaangażowania" w realizację zadań o wyższym priorytecie (zgodnie z hierarchią ANCS[11]). Okazało się, na szczęście, że zakłócenie takie nie ma wpływu na ilość zasobów, jaką pilot przeznacza na ręczne sterowanie statkiem powietrznym (bez wykorzystania autopilota). Niestety, nie udało mi się odnaleźć podobnych badań, mówiących o kontrolerach i ich pracy operacyjnej. Dr Kara Latorella, pracownik NASA, stwierdziła natomiast, że wykonywanie czynności opierających się przede wszystkim na użyciu wzroku jest mniej narażone na "zakłócenie" niż zadanie oparte na zmyśle słuchu (na przykład przyjęcie i zrozumienie korespondencji ze strony pilota czy kontrolera). Różnica ta wynika z faktu, iż zadanie wzrokowe pozwala na utworzenie w pamięci rodzaju "zakładki", umożliwiającej powrót do niego po pewnym czasie (na przykład ostatni widziany element checklisty). W przypadku zadań słuchowych zaś jest to utrudnione dlatego pilot, lub kontroler, "chętniej" przerwie czynność wykorzystującą wzrok, niż słuch. W drugim wypadku zapewne z obawy o ograniczone możliwości dokładnego przypomnienia sobie odebranej informacji sprzed momentu przerwania. 

Świadomy powyższych zagrożeń i ograniczeń, rynek lotniczy odpowiedział automatyzacją. W przypadku checklist za wyjście z sytuacji uznano proste użycie komputera, który od użytkownika wymaga zaznaczenia wykonanego elementu checklisty. Bardziej zaawansowane technologicznie produkty dodatkowo weryfikują stan urządzeń i systemów, porównując je z ustawieniami oczekiwanymi. Ewentualne odnalezione różnice między konfiguracją rzeczywistą a spodziewaną są prezentowane operatorowi systemu. To rozwiązanie, do niedawna spotykane tylko w nowoczesnych kokpitach np. Boeinga 777, dziś, dzięki smartfonom i tabletom dostępne jest praktycznie każdemu[12]. I to zawsze za cenę o wiele niższą niż koszt ewentualnego efektu niewykonania checklisty.

Boeing 737-800 utrzymywał poziom lotu 180 gdy w kokpicie rozległ się alarm. Piloci założyli maski i szybko ustalili, że przełączniki obu PACK[13] ustawione były w położeniu "OFF". Po ustawieniu ich w pozycję "AUTO" załoga zdjęła maski. Podczas wyjaśniania incydentu ustalono, że przed lotem wydarzył się incydent związany z nieodłączeniem dyszla po wypchnięciu ze stanowiska. Z powodu tej sytuacji załoga przerwała wykonywanie checklisty "po uruchomieniu silników" i przeoczyła punkt mówiący o ustawieniu obu PACK na AUTO. Kolejne checklisty, wykonywane między 3 a 10 tysiącami stóp nie doprowadziły do zidentyfikowania problemu. Ustalono, że przy realizowaniu listy kontrolnej "po uruchomieniu silników" odpowiedź pilota lecącego "PACKS OFF, BLEEDS ON" nie została zakwestionowana przed pilota monitorującego, a to był moment, w którym nieprawidłowa konfiguracja systemu klimatyzacji powinna zostać zaobserwowana i skorygowana[14].

Usłyszałem kiedyś opinię, że checklisty mogą powodować poczucie presji, z racji konieczności wykonania ich w odpowiednim momencie. Dowiedziałem się też, że listy kontrolne rzekomo rozleniwiają oraz usypiają czujność. No cóż, każdy musi zadać sobie pytanie czy i czym chce ryzykować ? Jestem jednak w stanie zrozumieć odmienne opinie pilotów i kontrolerów, szczególnie tych, którzy za ruch odpowiadają jednoosobowo i nie dysponują pomocą "planning-kontrolera"[15].

W załodze wieloosobowej wykonywanie listy kontrolnej przez jednego z członków załogi nie odwraca (całkowicie) uwagi pozostałych osób od samego zadania. Na jednoosobowym stanowisku kontrolerskim, gdzie rzeczy potrafią dziać się szybko, lub jeszcze szybciej, znalezienie optymalnego momentu na wykonanie checklisty może jednak stanowić problem. Kontrolerowi pozostaje wygospodarowanie czasu (kłania się dopasowanie długości listy do sytuacji) lub pomoc innej osoby (jeśli taka jest dostępna). Okazuje się, że rozwiązaniem może być także nadzór osoby trzeciej nad większym zespołem ludzi i wykonanie checklist dla i za nich. Świadkiem ostatniego rozwiązania byłem w dużym, europejskim centrum kontroli ruchu lotniczego. Konieczność podzielenia części przestrzeni powietrznej na dwa sektory wymagała zmiany stanowiska pracy przez jednego z kontrolerów. Cały proces trwał 5 sekund, brało w nim udział ... 5 osób. Jedna z nich fizycznie nie wykonała nic, w rzeczywistości jednak zrealizowała zadanie najważniejsze. Stojąc obok upewniła się, że pozostali nie popełnili żadnego błędu i o niczym nie zapomnieli. Tak, by kontroler mógł pełnić służbę praktycznie bez przerwy. Moje skojarzenie z tej obserwacji ? Pit-stop w Formule 1. Niesamowite ...

Na końcu pytanie, które mogło przyjść czytelnikowi, w międzyczasie, do głowy. Czy checklista nie zabiera kontroli nad sytuacją i nie ogranicza twórczego myślenia ? Przecież jestem tu i teraz, wiem co powinienem lub powinnam zrobić. Po co tracić czas na produkt, który tylko niszczy spontaniczność i umiejętność improwizowania ? Zapewniam Was jednak, że i na te umiejętności potrafi się znaleźć czas.

15 stycznia 2009 roku, Airbus A320 linii US Airways, wodował na rzece Hudson. Podczas początkowego wznoszenia i po zderzeniu ze stadem ptaków oba silniki utraciły moc. Po przejęciu kontroli nad samolotem przez kapitana, drugi pilot rozpoczął czytanie trzystronicowej checklisty dotyczącej utraty mocy obu silników, przeznaczonej do użycia w fazie przelotu. Czytanie listy nie zostało ukończone.

Raport końcowy stwierdza, że choć checklista nie odpowiadała rzeczywistej sytuacji, odpowiadała jej w największym stopniu i jej użycie było uzasadnione. Ustalono, że jeśli lista kontrolna, dotycząca utraty mocy obu silników na małej wysokości, byłaby dostępna załodze, prawdopodobnie jej realizacja byłoby bardziej prawdopodobne. Stwierdzono także, że pomimo niewykonania całej dostępnej i wybranej przez załogę listy, kapitan uruchomił APU, co zredukowało negatywne efekty wodowania [...][16].

Kapitan Sullenberger powiedział później w wywiadzie, że jego udane wodowanie wskazało na znaczenie opierania się na własnym doświadczeniu i pamięci. Szczególnie w nagłych sytuacjach. Ponad 35 tysięcy godzin, jakie w sumie w powietrzu spędzili obaj piloci, kazało im przyznać, że praca zespołowa i doświadczenie "umożliwiło skupienie się na priorytetach bez odwoływania się do list kontrolnych"[17]. Do kwestii doświadczenia postaram się jeszcze kiedyś wrócić ...  

Wprowadzenie checklist to zwykle zmiana wielu nawyków. Nowy porządek. Świadomość, że spoczywa na nas odpowiedzialność za wykonanie obowiązków zgodnie z listą może stanowić problem i prowokować niechęć. Uważam jednak, że latanie i kontrola ruchu lotniczego to nie "bohaterstwo" pod tytułem "dam radę". To możliwie umiejętne posługiwanie się dostępnymi narzędziami, wraz z resztą zespołu i z pominięciem choć części własnych przekonań i uprzedzeń.

6 stycznia 2011 Boeing 737-800 wylądował, bez zezwolenia, na lotnisku w Alicante. Dopiero po lądowaniu załoga zauważyła, że światła lądowania nie były włączone oraz, że radiostacje ustawione były na częstotliwości kontroli zbliżania oraz ATIS[18]. Światła lądowania to ostatni element na checkliście, która powinna zostać wykonana zaraz po otrzymaniu zezwolenia na lądowanie. Wśród zaleceń bezpieczeństwa znalazł się wymóg edycji listy kontrolnej (dodanie wymogu otrzymania zezwolenia na lądowanie)[19].

Zawsze jest czas na wykonanie wewnętrznej, osobistej checklisty. Na zadanie sobie pytania ile potrafię, na ile jestem przygotowany czy przygotowana. Jak reaguję na strach, lęk, stres. Na improwizację godną kapitana Sullenbergera zawsze może przyjść czas (oby nie). Ale póki co, po co kusić los ? A jeśli zgadzacie się ze mną, to ja zaznaczam "przekonany czytelnik: checked".

Specjalne podziękowania dla Wiesława Jedynaka, za pomoc w przygotowaniu powyższego tekstu.

[1] Około 20 tysięcy stóp nad poziomem morza
[2] DFS - Deutsche Flugsicherung - niemieckie przedsiębiorstwo, z siedzibą w Langen, odpowiedzialne za zapewnianie służby kontroli ruchu lotniczego w części niemieckiej przestrzeni powietrznej.
[3] Intergrated Drive Generator - Zintegrowany Generator Napędzający - generator połączony z silnikiem i odpowiedzialny za wytwarzanie energii elektrycznej.
[4] Minimum Equipment List - Lista wyposażenia minimalnego - stanowi wykaz niesprawnych części statku powietrznego, z którymi statek może zostać dopuszczony do użytku. MEL sugeruje także rozwiązania tymczasowe i alternatywne dla zniwelowania efektów poszczególnych awarii.
[5] Auxillary Power Unit - Pomocnicza jednostka mocy - generator niezbędny do uruchomienia silników głównych, pozbawionych dostępu do zasilania naziemnego. Zapewnia m.in. energię elektryczną i  ciśnienia w układach hydraulicznych.
[6] Degani & Wiener (1993); Hawkins (1993)
[7] W odróżnieniu od postrzegania "dół-góra" gdzie percepcja bierze swój początek z bodźców zmysłowych a następnie podlega analizie przez układ nerwowy, z korą mózgową na końcu (Tomasz Maruszewski, "Psychologia poznania", 2001).
[8] http://avherald.com/h?article=409a999e&opt=0
[9] Latorella (1996), Damos (1997), Dismukes (2001)
[10] Line Oriented Flight Training - element szkolenia symulatorowego, gdzie symuluje się wykonywanie lotu rejsowego, podczas którego generowane są różnego rodzaju usterki i/lub zakłócenia operacyjne (np. pogodowe) i gdzie obserwowane są działania załogi. Instruktor prowadzący sesję nie ingeruje w przebieg lotu, nie udziela wskazówek ani podpowiedzi. Po zakończonej sesji, najlepiej filmowanej, przyjęte przez załogę rozwiązania są dyskutowane z instruktorem.
[11] Aviate, Navigate, Communicate, System Check/Management
[12]http://www.aopa.org/News-and-Video/All-News/2013/March/19/Five checklist-apps
[13] Pressure and Air Conditioning Kit - niewielki kompresor, odpowiadający za pobranie powietrza z silników, schłodzenie go i zasilenie nim kokpitu i kabiny pasażerskiej, dla zachowania odpowiedniego ciśnienia i temperatury powietrza wewnątrz samolotu.
[14] http://www.aaiu.ie/sites/default/files/report-attachments/REPORT%202014-009.pdf
[15] Dodatkowa osoba na stanowisku operacyjnym, odpowiedzialna zwykle za koordynację z innymi podmiotami i wczesne wykrywanie konfliktów między statkami powietrznymi
[16] http://avherald.com/h?article=41370ebc/0001&opt=0
[17] http://online.wsj.com/news/articles/SB124454975782297751
[18] Automatic Terminal Information Service - nadawany, na częstotliwości radiowej, komunikat zawierający najważniejsze warunki meteorologiczne i informacje operacyjne dotyczące lotniska
[19]http://www.fomento.es/NR/rdonlyres/5D305D20-1FAE-4AA7-B061-C609BD2CDBF3/116237/2011 _001_IN_ENG.pdf

Maciej Szczukowski:
  
Od 2001 roku kontroler ruchu lotniczego na warszawskim Okęciu. Współpracował z EUROCONTROL-ą jako autor artykułów i programów edukacyjnych. Zajmował się także analizą incydentów i wypadków lotniczych. Okazyjnie udziela się jako wykładowca w szkołach lotniczych. W listopadzie 2011 roku uczestniczył w lądowaniu Boeinga 767 kapitana Wrony.

Czytaj również:
"Nie zapomnij kupić mleka" czyli o sile checklisty (część pierwsza) 

Powyższy artykuł po raz pierwszy pojawił się na Dlapilota.pl 4 września 2014 r. W ramach nowego cyklu, na łamach naszego portalu cyklicznie przybliżamy najciekawsze i najbardziej poczytne teksty z lat ubiegłych