"SAAB, mamy problem!" - Maciej Szczukowski

istotne

Słowa tworzące część tytułu są znane wszystkim, którzy sięgają wzrokiem w niebo (i historię) tam, gdzie ludzki wzrok nie sięga. Uczestnicy misji Apollo 13, wypowiadając podobny tekst do kolegów z Houston, znaleźli się w sytuacji prawdziwie krytycznej. Zgodnie z założeniami konstrukcji modułu, po eksplozji zbiornika z tlenem, ich los zdawał się być przesądzony.

A jednak Lovell, Swingert i Haise – cała załoga, wrócili bezpiecznie do domu. Jak? Dzięki setkom ludzi w centrum kontroli lotów w Houston. Dzięki specjalistom, którzy nie zmrużyli oczu, nim nie ujrzeli wodowania swoich kolegów na Pacyfiku 1. O kosztach nikt wtedy nie myślał. Motywacja była jednoznaczna.

SAAB ogłosił niedawno, że dzięki ich produktowi (Remote Tower System), można realizować zdalnie służbę kontroli ruchu lotniczego. Dokładniej służbę kontroli lotniska. Padły zapewnienia o wieloletniej pracy nad projektem oraz o wykorzystaniu najdoskonalszych technologii. Na stronie firmy umieszczono tekst o treści: „gdy operacje lotniskowe wymagają wyższej efektywności kosztowej, SAAB Remote Tower jest dokładnie tym, czego lotnisko potrzebuje by pozostać konkurencyjnym i by zredukować koszty” (tłum. autora). Brzmi pięknie i pozostaje w zgodzie z tym, co współczynniki, wyniki i raporty efektywności lubią najbardziej. Tyle, że o bezpieczeństwie ani słowa.

„Bezpieczeństwo” to arcyciekawe pojęcie. Jest mierzalne, ale tylko subiektywnie i binarnie (jest albo go nie ma). Jest wymagane ale, przed faktem, nie jesteśmy w stanie jednoznacznie stwierdzić jego zapewnienia. Potrafi „ulecieć” w ciągu sekundy, a zostać (rzekomo) przywrócone z pomocą jednego zdania. Tak jak wydarzyło się to raptem trzy dni po tragicznej katastrofie Airbusa A320 linii Germanwings, rejs 9525. EASA wydała wtedy zalecenie dotyczące ciągłego przebywania dwóch osób w kokpicie podczas całego lotu. Czekałem na ten dokument od pierwszych minut po wypadku, wiedząc, że nikt w tak krótkim czasie nie jest w stanie podjąć tak ważnej decyzji.

Decyzji rzekomo likwidującej podobne zagrożenie w przyszłości. I to biorąc na siebie odpowiedzialność za całość efektów tej, wbrew pozorom, krytycznej zmiany w zasadach pracy załóg. I nie myliłem się. Bowiem jedno ze zdań wypełniających niecałą stronę A4, a stanowiących całość zalecenia, brzmi: „Wszelkie ryzyko towarzyszące wprowadzeniu powyższej procedury powinno zostać oszacowane i zmitygowane” (tłum. autora). Innymi słowy: ludzie się boją, coś musimy zrobić, to jest najszybsze i najprostsze wyjście, z resztą poradźcie sobie sami. Katastrofa Airbusa to jednak temat na zupełnie oddzielny tekst.

Nie wątpię, że dokumentacja firmy SAAB zawiera szereg zapisów o „oszacowaniu ryzyka”. Każdy system jest zawsze najbezpieczniejszy, najefektywniejszy, najlepszy. Tak było z TCAS, GPWS, itd. Faktem jest, że zysk związany z ich wprowadzeniem przewyższa wielokrotnie ryzyko związane choćby z ich nieprawidłowym użyciem. Co jednak, jeśli produkt SAABa nie jest tak dobry, jak go malują? I kto się o tym dowie. Najdotkliwiej, i jako pierwszy, ich użytkownik (kontroler). Potem odbiorca usług świadczonych przez zespół system-człowiek (pilot, linia lotnicza, pasażer). A zatem jeśli uznamy, na potrzeby tego tekstu, że system ma „prawo” być niedoskonały, to doskonałym musi pozostać przynajmniej jeden pozostały element układanki. Zatem inny system lub człowiek, jego operator.

Niestety system SAABa, w moim przekonaniu, umniejsza rolę, znaczenie i udział istoty ludzkiej. Firma głosi bowiem, iż „dla zmaksymalizowania efektywnego wykorzystania kontrolerów lotniska, ANSP (Air Navigation Service Provider – przyp. tłum.) może zgrupować lotniska, w zależności od obowiązującego na nich rozkładu lotów w roku, tygodniu czy nawet w ciągu dnia” (tłum. autora). Automatycznie nasuwa się pytanie: co w sytuacji opóźnień, spowodowanych np. warunkami pogodowymi, usterkami technicznymi statków powietrznych czy nieprzewidzianymi okolicznościami na samym lotnisku? Jeśli efektywność jest priorytetem, a „efektywnie wykorzystany kontroler” otrzyma informację o trzech samolotach, w tej samej odległości od swoich lotnisk przeznaczenia, lecących z tą samą prędkością, jak wybierze kolejność ich obsługi? Czy załogi będą interesować takie dylematy? O lotach nierozkładowych, lądowaniach awaryjnych czy nierzadkich dziś zgłoszeniach konieczności natychmiastowego lądowania z powodu małej ilości paliwa w zbiornikach (efektywność, a jakże) tylko wspomnę.

Paul Jones, odpowiadający za operacje lotniskowe w NATS, stwierdził, iż trudno mu wyobrazić sobie kontrolera, który ma odpowiadać za ruch na kilku lotniskach, w tym samym czasie i z zobrazowaniem w różnych miejscach dostępnego mu ekranu. Z drugiej strony Paul Adamson, przedstawiciel EUROCONTROL, uznał, że usługi oferowane przez kontrolerów nie zmienią się choć będą realizowane „w nieco inny sposób” (tłum. autora). Być może warto wspomnieć tutaj Petera Nielsena – nieobecnego już wśród nas kontrolera, który pełnił swoją służbę w dwóch sektorach przestrzeni (oraz na dwóch wskaźnikach radarowych) jednocześnie. Przyczyn takiego jego obciążenia, jak i późniejszej katastrofy, jak zwykle, było wiele. Niemało dotyczyło stanu i funkcjonalności (czyli bezpieczeństwa) systemu kontroli ruchu lotniczego. Fakt jest taki, że nad Uberlingen zginęło tej nocy 71 osób. Nieco później, w akcie zemsty, zamordowany został Peter.

Wydarzenia, w których udział brał Peter Nielsen, miały miejsce w trakcie przeglądu części systemów, odbywającego się w czasie zwykłej pracy operacyjnej. A zatem w trakcie pracy wyszkolonego i doświadczonego personelu technicznego. Personelu, którego w imię redukcji kosztów, a zgodnie z założeniami produktu SAABa, miałoby być mniej. Tym samym miałoby zostać zlikwidowane ważne ogniwo komunikacji między personelem operacyjnym i technicznym, tutaj oddalonym od siebie o dziesiątki, a może setki kilometrów. Jako kontroler, któremu wyposażenie, podczas pracy operacyjnej, zrobiło już niejeden „głupi żart”, wiem, że ta komunikacja – szybka, efektywna i, co najważniejsze, bezpośrednia – jest niezbędna. Opiera się bowiem na mojej wierze w wiedzę techników oraz ich znajomości potrzeb moich i moich „klientów”. Pozbawiony ich wsparcia sam musiałbym zdecydować, czy usterka wyposażenia pozwala mi pracować dalej. Bądź „oszacować i zmitygować ryzyko”. Jeśli tak, to należy już dziś zadać pytanie o nowy kształt i czas procesu szkolenia kontrolera oraz o jego odpowiedzialność w razie awarii systemu. Pytanie o koszty oraz „świętą” efektywność.

Wszędzie tam gdzie pojawia się nowa technologia, tam pojawiają się Ci, którzy gotowi są udowodnić jej słabość. SAAB Remote Tower to fizycznie prosta konstrukcja, podobna do wieży przekaźników sieci komórkowych (patrz zdjęcie). To niechroniona budowla, która w dobie dronów staje się łatwym celem nie tylko dla terrorystów, ale i dla zwykłych chuliganów. Fakt, że odległość między źródłem obrazu, a jego odbiorcą, podczas inauguracyjnego lądowania, wynosiła 150 km, daje niemałą przestrzeń na przechwycenie, sfałszowanie lub zupełne uniemożliwienie przesłania niezbędnych danych. Potwierdził to w swojej prezentacji w Dublinie, w czerwcu 2014 roku, Robin Garrity, przedstawiciel SESAR Joint Undertaking.

Wymieniając przewidywalne zagrożenia, zwane „kwestiami bezpieczeństwa” (nigdy zaś ryzyka czy niebezpieczeństwa), wspomniał o „mitygacji na wypadek utraty przesyłu danych lub możliwości komunikacji” (tłum. autora). Nie zapominajmy, że gdy dwa samoloty zderzyły się nad Uberlingen, system łączności telefonicznej między centrami kontroli był niedostępny ...

Trend w procesie rozwoju technologii dla lotnictwa zdaje się czynić z człowieka coraz bardziej operatora i nadzorcę systemów. Każe mu odnaleźć się pomiędzy zaufaniem do „efektywnego” produktu, koniecznością zapewnienia „bezpieczeństwa” oraz „kosztami” własnymi, gdy każdą nową technologię uznaje się za odciążenie kontrolera (a zatem prawo do zwiększenia mu ilości obowiązków lub oczekiwanych wyników). Człowiek staje się ogniwem między „bezpiecznym” systemem, a świadomym, ludzkim działaniem w razie nieprzewidywalnej „decyzji” komputera. Nietrudno się jednak domyśleć, że w razie błędu systemu lub zbyt późnej reakcji człowieka, znaczna odpowiedzialność spłynie właśnie na istotę ludzką. Komputera bowiem nie da się postawić przed sądem.

Powyższy temat i jego problematyka to prawdziwa kropla w morzu kwestii, przed którymi, w moim przekonaniu, stawać będzie coraz bardziej zautomatyzowane i zdalnie realizowane lotnictwo. Dość wspomnieć o niedawnych doniesieniach, prosto z USA, o rzekomym włamaniu się jednego z pasażerów do systemów nawigacyjnych Boeinga 737. FBI bada sprawę, FAA nakazała firmie Boeing „coś z tym zrobić”, świat się śmieje. Sądzę także, że całkowicie niezbadaną kwestią jest to, iż użytkownikami (i operatorami) zdalnych systemów (nie tylko kontroli ruchu lotniczego) coraz częściej zostawać będą przedstawiciele pokoleń wyrosłych na produktach oferujących rozbudowaną rzeczywistość wirtualną. Póki co zaś problematyka oddzielenia emocjonalnego od obrazów wyświetlanych na ekranie została częściowo przeanalizowana tylko wśród operatorów dronów bojowych w amerykańskim wojsku 12. O ile tutaj już publicznie stwierdzono poważne zagrożenie PTSD (Post-Traumatic Stress Disorder czy Zespół Stresu Pourazowego), to w przypadku cywilnych zastosowań systemów zdalnych, póki co, jesteśmy całkowicie nieświadomi efektów psychologicznych.

W tym miejscu, nieco dla równowagi, chcę wspomnieć, iż z tysięcy godzin pracy specjalistów korporacji SAAB wynikają także pozytywne efekty. Kreatywne wykorzystanie technologii, fizyki czy systemów przetwarzania i prezentacji danych zwiększyło znacznie wachlarz dostępnych rozwiązań (a zatem ewentualnych, nowych metod pracy kontrolerów). Niestety, z tego co wiem, nie są one oferowane jako samodzielne systemy. Mowa o wykorzystaniu podczerwieni dla zwiększenia komfortu pracy kontrolerów w warunkach niskiej widzialności i w nocy. Mowa o „cyfrowych lornetkach”, umożliwiających, z pomocą kamer wysokiej rozdzielczości, dojrzeć najmniejsze szczegóły danego statku powietrznego czy dowolny, a niewielki, obiekt na lotnisku. Mowa wreszcie o przeniesieniu części funkcjonalności systemów radarowych do wież kontroli lotniska czyli o prezentacji danych o statku powietrznym bezpośrednio na szybach okien – nieodzownych atrybutów „prawdziwych” wież.

Nie wolno jednak zapominać, że wprowadzanie każdego nowego systemu wiążę się z krótszym lub dłuższym okresem przystosowania użytkownika. I choć to kuszące, przed ogłoszeniem sukcesu (tuż po zakupie produktu), warto co najmniej rzetelnie przeanalizować wrażenia beneficjentów (w tym wypadku, tak kontrolerów, jak i pilotów). Rozwiązanie SAABa wydaje się być także warte rozważenia w roli systemu zapasowego czy tymczasowego, używanego w razie awarii, okresowych napraw czy remontów sal operacyjnych kontroli lotniska. Na takie rozwiązanie (VCF - Virtual Contingency Facility) zdecydowało się np. lotnisko Heathrow w Londynie. Podobnie możliwość obserwacji „żywego” ruchu w trakcie szkolenia teoretycznego (lub praktycznego) kontrolerów mogłoby znacznie uatrakcyjnić sam proces nauczania. Tutaj granicą byłyby jedynie wyobraźnia i zaangażowanie instruktorów.

Dzieło SAABa zadebiutowało na lotniskach Sundsvall oraz Örnsköldsvik. Ilość pasażerów korzystających z drugiego z wymienionych portów to około połowa klientów lotniska w Bydgoszczy (w 2012 roku). Wystarczyło jednak kilkanaście tygodni od „premiery”, by Irlandczycy podpisali umowy na instalację szwedzkiego systemu na lotniskach w Shannon i Cork. Ilość pasażerów obsłużonych przez pierwsze z nich, w 2014 roku, zbliżona była do wyniku portu w Poznaniu. Drugie może poszczycić się rezultatem podobnym do lotniska we Wrocławiu. Zgodnie ze słowami dyrektora generalnego SAAB, firma zainteresowana jest już nie tylko małymi lotniskami. I nie tylko ośrodkami, w których pracują pojedynczy kontrolerzy, a operacje odbywają się w określonych porach dnia. Wszystko w imię „większej efektywności” i zarobku. Słowo safety” zdaje się ginąć gdzieś pośród celów firmy. Wystarczyło kilkanaście tygodni ...

Fizyk Richard Feynman, laureat nagrody Nobla, stwierdził, iż katastrofa promu Challenger w 1986 roku była wynikiem nacisków na inżynierów oraz sposobu zarządzania, skupionego na realizacji misji, bez względu na związane z nią ryzyko. Priorytetem stała się propaganda sukcesu NASA, mająca zapewnić dalsze finansowanie działalności Agencji. Czy nam się to podoba czy nie, postęp i pogoń za sukcesem będą się działy. Tego właśnie chce świat. Nie jest jednak dla mnie jasne, ile zostało jeszcze miejsce dla człowieka, jego talentów, możliwości i opinii. Rozumiem, że rozwiązanie szwedzkiego producenta jest, na swój sposób, nęcące. Szczególnie w przypadku lotnisk, na których liczbę dobowych operacji kontrolowanych liczy się na palcach dwóch rąk. Z drugiej jednak strony z obawą czekam czasów, gdy pilot przechodząc na kolejną częstotliwość radiową usłyszy, na powitanie, „for English press one”. A w razie problemów lub nieprzewidzianych okoliczności, że „najbliższy czynny żywy kontroler we Wrocławiu” ...

Zapraszamy do odwiedzenia strony www.kontrola-ruchu-lotniczego.com