Вечером 26 августа 1969 года Ил-18, следовавший рейсом SU-1770 из Адлера, приземлился во аэропорту Внуково на «брюхо» — пилоты забыли выпустить шасси. Обломки пропеллера пробили обшивку, загорелось масло, начался пожар в салоне. 16 человек отравились продуктами горения. По официальным данным, основная причина катастрофы: капитан и бортмеханик не выполнили своих обязанностей по подготовке и выполнению посадки. 

Интересный факт: лётчики садятся на «брюхо». Есть шутка, что пилоты делятся на 2 категории: тех, кто садился на брюхо, и тех, кто сядет на брюхо. Из того, что получилось быстро найти: 

1. Ил-86, Дубай, 2001 год
2. Боинг-747, Карачи, 1986 год
3. Боинг-737, Калининград, 2008 год
4. Ан-12, Храброво, 2019 год
5. Су-27, Братислава, 1997 год

В реальности подобных происшествий в десятки раз больше. Это без учёта случаев, когда пилоты или диспетчера заметили, что самолёт идёт на посадку без шасси, и самолёт уходил на второй круг. 
Посадка самолётов с убранными шасси — это обычное свойство системы «самолёт-человек». Люди могут делать ошибки, это свойство людей, пилоты постоянно забывают выпустить шасси. 

Задачи авиации, как системы сделать так, чтобы этого не было. Вся система должна быть настроена на то, чтобы пилоты не забывали это делать. Для этого встраивают сигнализацию, делают контрольные карты (чек-листы), распределение обязанностей и т. д. В случае с этим Ил вся система не сработала. Почему так? Что случилось, где система дала сбой? 

У меня нет доступа к материалам дела, поэтому я основывался только на том, что я нашёл в сети. Но я даже с тем, что есть — я не согласен с выводами расследования. Атрибуция этой аварии как человеческого фактора, а не как свойств системы привело к тому, что мы не устранили часть будущих аварий. Обвинение капитана воздушного судна не принесло никому никакой пользы, а если посмотреть внимательней — то и принесло очевидный вред. 

Саму аварию можно разбить на 2 акта. Потом можно посмотреть на аварию с позиции текущего момента, исходя из того, что мы уже знаем про авиацию и системы повышения надёжности.

На фото ниже: Боинг сел на брюхо в Карачи.

Краткая цепочка событий:

• КВС спешит, поэтому снижаются с превышением нормативной скорости
• Перед посадкой диспетчер сообщает, что в очереди перед ними 2 самолёта и нужно повернуть на 30 градусов
• Экипаж отвлекается на поиск самолётов и пропускает раздел чек-листа про выпуск шасси
• Сигнализация о невыпущенных шасси отключена, что было разрешено по нормам Министерства гражданской авиации 

По каким-то причинам капитан спешил. Он хотел сесть в Москве как можно быстрее. Информации о том, почему он спешил — нет. Я не смог найти расписание рейса. Равно как и непонятно, как в Аэрофлоте тогда относились к расписанию. В подкасте говорится, что в те года не особо следили за расписанием, однако кто его знает. 

Спешка стала одним из триггеров аварии, но мы не знаем, почему она была. Если и были какие-то организационные причины у аварии, то мы об этом не узнаём, к сожалению. 

Кроме этого капитан спал всего 4 часа перед рейсом. Его не заставляли лететь, это было его решение. Как это повлияло на спешку или на принятие решений капитаном — я не думаю, что позитивно. Как он смог пройти тогда проверку перед вылетом и была ли она — непонятно. 

Чтобы выйти на посадку кратчайшим путём, капитан начинается снижаться с вертикальной скоростью 28 м/с, при нормативной 10 м/с. Это прямое нарушение руководства по лётной эксплуатации. Само по себе это не могло повлиять на аварию, нет прямой причинно-следственной связи между этим нарушением и самой аварией. Это следствие спешки, но не причина аварии — все процедуры выполнялись в ускоренном режиме. Но этот факт упоминается во всех статьях, как нарушение РЛЭ. 

Однако это нарушение вызывает вопрос. Капитан первого класса, пятнадцатилетний безупречный стаж, безукоризненная репутация и авторитет — и вдруг снижается со скоростью 28 м/с при нормативе в 10! Этот как бабушка, которая всегда ездит 40 км/час вдруг начинает отжигать под 130 на той же трассе. 

У меня два объяснения. Либо спешка была на уровне жизни и смерти — что вряд ли, это было бы в материалах дела. Либо, что более вероятно, пилоты позволяли себе такое и раньше: снижаться быстрее, обходить углы и т. д. Мнение капитана о диспетчерах (об этом дальше) только подтверждает это. 

Но у капитана нет ни одного замечания. Это значит, что тогда к таким «нарушениям» относились спустя рукава: «ты можешь это делать, только не попадайся». Я думаю, что если бы они выпустили шасси и сели нормально — такое резкое снижение не попало бы документы, расследования и т. д. 

Итак, экипаж (КВС) спешил. Перед выходом на точку, где обычно выпускались шасси, диспетчер сообщает, что впереди находятся два самолёта и нужно отвернуть на 30 градусов, чтобы обеспечить необходимый интервал. Экипаж, включая КВС, отвлекаются на поиск других самолётов и выполнение манёвра. 
Диспетчер не сообщил, где именно находятся другие самолёты, хотя должен был сделать этого. В материалах нет никакого объяснения, почему он не сообщил нужную информацию. В те времена системы предупреждения о столкновении в воздухе ещё не были совершенными, так что экипаж начал высматривать эти самолёты. 

Капитан во время следствия сказал: «Надо было не связываться с диспетчерами и сажать самолёт по интуиции», что косвенно говорит о следующем: 

1. поиск самолётов отвлек команду от стандартных процедур посадки
2. взаимодействие между экипажами и диспетчерами не было отлаженным
3. общение с диспетчерами не рассматривалось как обязательное. Из того, что я знаю, заход на посадку без общения с диспетчером сейчас просто невозможен

В подкасте рассматриваются ещё два момента работы с диспетчером. Первое вместо диспетчера посадки работал диспетчер старта. Скорее всего, кто-то заболел и диспетчер его подменял. В те времена эти были две разные должности, сейчас — это фактически одна позиция, и обязанности у них примерно одинаковые. Насколько обязанности у них были разными в то время — непонятно.

Второе: диспетчер не затребовал у экипажа информацию о готовности к посадке. Но сейчас это не входит в обязанности диспетчера, да и думаю, что это не зона ответственности диспетчера. Так что эти пункты можно отметить как несущественные. 

Перед снижением с высоты 7800 м. КВС дал команду бортрадисту пройти раздел контрольной карты «Перед заходом на посадку». После выхода на глиссаду капитан должен был приказать пройти следующий раздел: «Перед посадкой», где первый пункт «выпуск шасси». Но как раз в этот момент команда начала искать другие самолёты. 

У капитана был пятнадцатилетний опыт. Распоряжение о прочтении контрольной карты должно идти автоматически. И то, что он этого не сделал — вроде бы является ещё одним аргументом в том, что КВС виновен. 

Это верно, только если не учитывать отрицательное свойство автоматизма: когда что-то делаешь тысячу раз, то в памяти не остаётся чёткого следа, сделал это или нет. 

Мы закрывали дверь ключами тысячи раз. И каждый в какой-то момент либо забывал закрыть дверь, либо не помнил, сделал он это или нет. Автоматизм как раз сыграл дурную роль в этом эпизоде. Если капитан хотел сделать что-то на автоматизме, а потом его отвлекли — то в памяти не будет несделанного дела. Скорее всего, мозг работает следующим образом: мы хотели сделать что-то, что уже делали тысячу раз, нам обычно хватало для этого одного напоминания, так что если напоминание было — значит, пункт сделан. 

Вернёмся к Ил-18. Да, КВС не выдал команду на чтение контрольной карты. Но что делали остальные 4 человека? Должен ли был второй пилот контролировать чтение чек-листа, или бортмеханик? Почему они ничего не сказали про завершение чек-листа? Какие у них были обязанности по работе с чек-листом? Они все забыли? Или кто-то из них помнил, но не решился сказать? 

(*во всех источниках царит одна и та же неразбериха. Контрольную карту перед снижением КВС приказал читать бортрадисту, но не приказал продолжать читать её бортмеханику. Кто должен был читать контрольную карту? Или на каждый раздел свой ответственный?)

Цель контрольной карты — в том, чтобы как раз никто ничего не забыл, чтобы не происходило. Значит, контрольная карта не сработала: то есть, сам механизм, призванный спасти нас от плохой памяти и внешних обстоятельств не сработал. 
Другой вопрос: как взаимодействует команда. Сработанный экипаж работает лучше, чем собранный случайно. В этот полёт в команде было два новых человека: второй пилот и бортмеханик. Второй пилот недавно закончил переучиваться на Ил-18, и с КВС они были мало знакомы. Бортмеханик выполнял только пятый рейс в этом экипаже, а до этого у него был большой перерыв в лётной практике — несколько лет. 

В книге написано: «Бортмеханик …, не имея необходимого опыта и профессиональных навыков, не только не включил механизм выпуска шасси, что было его прямой обязанностью, но зная, что самолет идёт на посадку и приближается к посадочной полосе с убранными шасси, не доложил об этом командиру корабля». То есть, бортмеханик знал, что самолёт идёт на посадку с убранными шасси — но ничего не сделал и никому не сказал! Почему? 

Как тогда выстраивается общение в экипаже? Как старички относились к новичкам? К ним прислушивались, их ценили, или им сказали: ты новичок, сиди молча, смотри и учись у опытных пилотов? 

В зависимости от того, что имел в виду автор, ситуация может разворачиваться двумя путями:

1. Авиакомпания допустила на рейс необученных сотрудников, которые не знали своих обязанностей или 
2. Атмосфера в экипаже не позволяла младшим (по званию или новичкам) высказывать своё мнение. 

Любой из этих вариантов не является позитивным.

Контрольная карта Ил-14. Предположительно, не сильно отличается от Ил-18.

В Ил-18 три типа индикации о невыпущенных шасси: звуковая, световая и данные приборов. Звуковая сигнализация в Ил-18 была настолько громкая, что общаться при её работе просто невозможно. Поэтому её можно отключать, это разрешалось рекомендациями Министерства гражданской авиации. 

Конструктивная особенность Ил была в том, что звуковая и световая индикация отключались одним автоматом. Выключив одну — мы автоматически выключаем и другую. Остаются только показания приборов. Но приборная панель самолёта перегружена приборами, и заметить нужное показание — это надо постараться. 

Таким образом, у системы индикации есть два больших недостатка:
Первый: слишком громкий сигнал тревоги, который делает невозможным общение команды, что приводит к рекомендации отключить.
Второй: отключение звукового сигнала приводит автоматически к отключению световой индикации не выпуска шасси. 

И в книге, и в подкасте упоминается, что на Илах и самолётами с подобными же системами сигнализации происходили подобные аварии. На самолётах, в частности «Ту», где сигнализация выключалась раздельными автоматами, подобных аварий зарегистрировано не было. То есть, световая сигнализация играет большую роль в предотвращении подобных случаев. И очень даже вероятно, что наличие световой сигнализации предотвратило бы эту аварию. 

Кабина Ил-18.

Самолёт садился уже в тёмное время суток. Это сыграло свою роль при эвакуации. Экипаж вначале не понял, что случилось, в их картине мира они садились штатно. Начали тушить пожары в двигателях, но не приняли никаких мер по эвакуации пассажиров. 

Первым на ситуацию в салоне среагировал штурман, он и стюардессы открыли переднюю и заднюю двери, два из четырёх аварийных люков. Эвакуация сдерживалась, так как думали, что пассажиры при падении с высоты разобьются — не было видно земли. Похоже, что ВВП тоже не была освещена в те времена. 

Пассажиры вытолкнули стюардесс и штурмана, и в панике выбежали из самолёта. Быстрому развитию пожара также способствовала отделка пассажирской кабины легкосгораемыми материалами. Пересчёта вышедших не было, пожарные приехали через 15–20 минут. 16 пассажиров отравились продуктами горения. 

Здесь всё вызывает вопросы, кроме первичного шока экипажа.
Наземные службы участия в эвакуации не принимали. Они приехали через 15–20 минут. На мой взгляд 15–20 минут — это много. 

Из картины эвакуации видно, что нет отработанной схемы работы экипажа при пожаре. Зачем открывать двери и не выпускать пассажиров? Были ли надувные трапы? Как вообще надо действовать при пожаре в самолёте, если нет трапов? 
Определение суда подтвердило: не было достаточной тренировки экипажей на действия в случае пожара. Всем приходилось действовать по интуиции, что тоже повлияло на результаты. 

Однако вопрос про схему эвакуации и способы эвакуации остался неразобранным. Это взаимосвязанные факторы или нет, что и обучения экипажа не было и трапов не было? 

В результате расследования пилота признали виновным, осудили на 7 лет, через 3,5 года он вышел по амнистии.

Если посмотреть на факторы аварии: 

1. Пилот не выспался и спешил, в результате не распорядился прочитать контрольную карту посадки.
2. Диспетчер не выдал информацию должным образом, тем самым отвлёк экипаж.
3. Весь экипаж проигнорировал работу с контрольными картами. 
4. Бортмеханик ничего не сказал про шасси. 
5. Сигнализация о шасси работала не должным образом. 
6. Экипаж не умел и не был обучен работать при пожаре внутри самолёта, надувных трапов не было. 
7. Самолёт был сделан из легковоспламеняющихся материалов. 
8. Наземные службы прибыли на место через 15–20 минут. 

Из 8 факторов аварии КВС ответственен только за первый. А если предположить, что было организационное давление, то и за половину этого пункта. Пункты 2–5 могли бы предотвратить аварию, а пункты 6–8 уменьшить её последствия.

На мой взгляд, если убрать любой из пунктов 2–5, то аварии бы не было. 
Но почему осудили только пилота? Капитан воздушного судна в этом деле просто крайний. Ответственность за любой из пунктов 2–8 размазана, там нельзя найти одного ответственного.

Когда мы понимаем, что система отвечает за результат, то мы имеем шанс изменить систему, сделать её лучше. Когда мы обвиняем людей — мы не меняем систему, оставляя предпосылки для следующих аварий.

Как же система отреагировала на остальные пункты? Я не могу сказать за все пункты, но по ряду пунктов удалось найти интересную информацию. 

2001 год, аэропорт Дубай, на посадку заходит Ил-86. По правилам посадки в Дубаи шасси выпускаются в последнюю очередь, чтобы не создавать излишнего шума от самолётов, идущих на посадку. Экипаж отключает сигнализацию невыпущенных шасси, выходит на посадку и… садится на брюхо. Пассажиров эвакуировали за 36 секунд. Аэрофлот заплатил 10 млн долларов за занятие полосы. 

Как я нашёл на одном сайте: на Ил-86 звуковая и световая индикация о невыпущенных шасси регулировались одним автоматом. С 1969 года прошло более 30 лет, однако этот блок остался, как был. Похоже, изменений в конструкцию не вносили. 

В 1969 году признали, что наличие раздельного автомата на отключение звуковой и световой сигнализации значительно снижает ошибки. Комиссия по расследованию выпускала рекомендацию по устранению недостатков сигнализации на самолётах типа «Ил» и «Ан».

В «Ил» по состоянию на 2001 год изменений не было. В 2019 году военный Ан-12 сёл на брюхо — пилоты забыли выпустить шасси. Про причину особо неизвестно, таки это был военный самолёт. Но можно предположить, что и там сигнализация поучаствовала. 

В итоге, мы летаем с одной и той же ошибкой более 50 лет, но не исправляем её. 

На фото: Ил-86 в аэропорту Дубай.

1973 год, Чехословакия, Ту-154 падает при посадке. Одной из причин стала замена двух членов экипажа (где-то это уже было...), в кабине присутствовали два проверяющих и стажёр. Это сильно осложнило взаимодействие в экипаже, капитан не заметил, что переключил стабилизатор из посадки в режим полета. Это была первая катастрофа Ту-154, его ещё осваивали. При разборе этой аварии будет проведена психологическая экспертиза, и суд прямо укажет, что это большой недосмотр руководства отряда, что нельзя одновременно вводить более одного нового члена экипажа. 

Вопрос: если бы эту причину указали как основную при разборе аварии 1969 года, заменили ли двух членов экипаже в Ту-154 в Праге и как это бы повлияло?

В 1977 году, на Тенерифе столкнулись 2 самолёта, погибло более 500 человек. Одна из причин — КВС не послушал бортмеханика, который высказывал сомнение, что им разрешили взлёт. Но капитан спешил домой — их и так задержали из-за теракта на Канарах. 

После этого начало развиваться CRM — управление ресурсами экипажа. Настройка взаимодействия внутри экипажа, с учётом мнения всех. Если член экипажа видит, что КВС совершает ошибку — он должен исправить эту ошибку! Разрабатываются специальные методики, проводится обучение. 

Более того, сейчас идёт отбор не только по лётным качествам, но и по управлению экипажем. Если КВС не прислушивается к остальному экипажу и игнорирует их мнение, то его не допускают до полётов или не повышают до КВСа. В СССР управление ресурсами экипажа стало внедряться только в начале 90-х. 

31 декабря 1970 года при вылете из Пулково упал Ил-18. Погибло 6 человек — практически весь экипаж. В отчёте указано, что прошло всего 1 минута 10 секунд между разрешением занять исполнительный старт и докладом о готовности к взлёту, что значительно меньше, чем требуется для исполнения контрольной карты обязательных проверок. Скорее всего, экипаж спешил на Новый год домой. То есть, в спешке не стали исполнять контрольную карту. 

Но как можно не исполнить контрольную карту — мне непонятно. Она что, носит рекомендательный характер? Интересно было бы узнать о взаимодействие экипажа, как все реагировали на пропуск контрольной карты. И здесь либо не учили, почему важно работать по контрольной карте, либо КВС всех «задавил» авторитетом. 

Во всех авариях выше, так или иначе, угадываются причины, схожие с причинами аварии Ил-18 во Внукове. Я не могу сказать, что правильная работа с причинами устранила бы эти аварии — этого никто не может сказать. Но правильная работа с этими причинами бы точно снизила вероятность подобных аварий. 

Для того чтобы работать с причинами аварии, надо вначале признать ответственность системы, а не человека. Пилот допустил ошибку. Равно как и диспетчер, и команда, и конструкторы, и те, кто готовил команды. Все мы ошибаемся. Задача авиации — как системы — не в том, чтобы люди не ошибались (хотя это важно), а в том, чтобы это не приводило к подобным катастрофам. 

Люди ошибаются — мы не можем изменить это. Задача любой системы — построить такие процессы, чтобы ошибка людей не приводила к авариям. Но если мы говорим, что к катастрофам приводят ошибки людей, значит, мы строим системы, не рассчитанные на работу с людьми. Тогда катастрофы — это всего лишь вопрос времени. 

КВС полностью признал свою вину. Как говорится в книге, он не пытался переложить ответственность на кого-то другого и обвинить кого-то другого. То есть, сам капитан говорит, что он виновен — как можно тогда винить систему? 

В этом случае то, как мы думаем, работают против нас. Мы сами выстраиваем концептуальные модели мира, в которых определены причинно-следственные связи. С позиции капитана всё просто: он не приказал, не проконтролировал — люди погибли. Сложно идти против этих фактов. 

Дон Норман в книге «Дизайн привычных вещей» описывал этот аспект нашего мышления. Мы создаём сложные, непонятные системы. Когда с ними что-то идёт не так — мы виним себя. У других же получается. Возникает заговор молчания — мы все думаем, что проблемы только у нас. 

Я встречал подобную реакцию. Коллега разработала приложение и отправила на тестирование. Я подключился чуть позже и увидел, что логика приложения неудобна. Когда я сказала про это коллеге, то получил в ответ — тестирование прошло никто, никто об этой ошибке не говорил. 

Мало кто понимает, как работает система и какие причины действительно приводят к аварии. Мы нажали на кнопку — что-то плохое случилось. Это мы виноваты или система? 

Я не удивлён, что капитан признал свою вину. Но всё-таки авария — это не его ошибка, а ошибка системы.

Подводя итоги. В случае с Ил-18 в 1969 году не ошибка пилота привела к катастрофе — а сама система. Пилот ошибся — но вся система не позволила предотвратить эту ошибку. Так что это ошибка системы. 

Самая глупая авария — эта та, что ничему нас не научила. Это, похоже, одна из таких аварий. Исправления системы после катастрофы Ил-18 я не вижу. 
Осуждение пилота не изменило ничего, кроме того, что у мы лишились хорошего пилота и посадили человека за решётку. 

(1) Расшифровка подкаста: https://diletant.media/articles/45385370/
(2) Википедия: https://ru.wikipedia.org/wiki/Катастрофа_Ил-18_в_Москве_(1969)
(3) Статья на пикабу: https://pikabu.ru/story/posadka_na_bryukho_7467185 — примерно тоже самое.
(4) https://www.airdisaster.ru/database.php?id=131
(5) Кисенишский И.М., Кисенишский М.М. «Известные судебные процессы» (Записки адвокатов-участников) - М.: «Международный Союз (содружество) адвокатов», 1993. - 336 336 стр.
(6) Посадка Ил-86: https://ru.wikipedia.org/wiki/Авария_Ил-86_в_Дубае, https://aviation-safety.net/asndb/323216
(7) Развитие CRM: https://akoryakov.site/crm
(8) Канал про Внутренний контроль, доказательный менеджмент и человеческий фактор: https://t.me/evidencebasedman

PS. В доступных материалах очень много пропусков. Также есть множество вопросов о организации работы экипажей и летной работы. Так что если есть какая-либо информация, существенная для этого расследования, то прошу вас поделиться ей. Контакты можно найти в телеграмм канале.