מוט ההיגוי קפא: הכשל המערכתי שכמעט הפיל את האיירבאס A320

ב-4 באוגוסט 2026, באמצע טיסה שגרתית של חברת אייר אינדיה מפוקט שבתאילנד לניו דלהי, כשהמטוס שייט בגובה רב, צנח לפתע מטוס האיירבאס A320neo כ-300 רגל בתוך שניות ספורות. 24 נוסעים ואנשי צוות נפצעו כשהוטחו ברחבי תא הנוסעים. ההסבר הראשוני של חברת התעופה ייחס את האירוע ל"כיס אוויר ומערבולת חריגה", אולם פתיחת הקופסאות השחורות וניתוח נתוני רשם הטיסה חשפו תרחיש בלהות הנדסי: במשך ארבע שניות רצופות, טייס המשנה דחף ומשך את מוט ההיגוי בצד  הימני עד קצה הטווח, אך משטחי ההיגוי לא הגיבו כלל.

מה היתה הסיבה? שלוש המערכות ההידראוליות הבלתי-תלויות של המטוס קרסו בזו אחר זו בתוך פחות משתי שניות, לפני ששבו לפעול באורח מסתורי. מדובר באירוע נדיר ויוצא דופן במטוס הנחשב לנפוץ ולנמכר ביותר בתעופה האזרחית.

לא המקרה הראשון

אירועים שבהם כשל חיישני או הידראולי משתק את השליטה במטוס אינם זרים לעולם התעופה. נזכיר כאן את טיסה 72 של קוונטס ב-2008 עם איירבאס A330, כאשר בעת טיסה מעל האוקיינוס ההודי, יחידת מדידת נתוני האוויר החלה לשדר נתוני שווא של זווית התקפה למחשבי בקרת הטיסה. מחשב הטיסה פירש זאת כמצב של הזדקרות ופקד באופן אוטומטי על הורדת אף חריפה. המטוס צלל פעמיים בפתאומיות, ועשרות נוסעים ואנשי צוות נפצעו קשה לפני שהטייסים הצליחו להשתלט עליו.

טיסה נוספת היא טיסה 232 של יונייטד ב-1989 עם מטוס DC-10, שבה אירע מקרה קלאסי של כשל הידראולי משולש, שבו התפרקות מנוע הזנב חתכה את כל שלושת קווי ההידראוליקה הבלתי-תלויים. לקח מרכזי מאותו אסון היה הצורך בהפרדה פיזית מוחלטת ובהתקנת שסתומי חסימה כדי למנוע אובדן כולל של לחץ כתוצאה מנקודת כשל בודדת.

בחקר האירוע האחרון מעורבים ארבעה גורמים: רשות חקירת תאונות התעופה של הודו - AAIB, רשות חקירת תאונות התעופה של צרפת המספקת סיוע הנדסי ומקצועי לצוות החקירה ההודי כנציגת המדינה שבה תוכנן ויוצר המטוס, יצרנית המטוסים איירבאס וחברת התעופה אייר אינדיה שנדרשה לבצע את הבדיקות התפעוליות במטוס המקורקע, להעביר את כלל רישומי התחזוקה שנעשו בחודש טרום הטיסה ולתחקר את אנשי הצוות. האירוע סווג על ידי AAIB כאירוע חמור.

ניתוח הנדסי: מה עומד מאחורי קריסת המערכות המשולשת?

אין ספק שיש לחכות למסקנות הגופים הרשמיים העוסקים בחקר התקלה, אך שאר דגמי A320 לא קורקעו וממשיכים לטוס, האם יש בכך סיכון לציבור הנוסעים?

מטוסי האיירבאס A320 מתוכננים על בסיס יתירות משולשת (Redundancy): שלוש מערכות הידראוליות נפרדות לחלוטין - המערכת הירוקה, הכחולה והצהובה. כל אחת מהן מוזנת ממקור כוח שונה (משאבות מנוע, משאבה חשמלית או טורבינת רוח לשעת חירום). ההסתברות לכשל הידראולי פיזי מלא בכל שלוש המערכות בעת ובעונה אחת שואפת לאפס.

מערכת ה-Fly-by-wire-של איירבאס מציגה גישה הנדסית מרתקת שהחליפה את הקישורים המכניים המסורתיים באותות חשמליים, פילוסופיית תכנון וניהול טיסה שונה למדי מזו שיושמה בחברות מתחרות. אופן תפקוד המערכת מוביל למספר מסקנות אפשריות לסיבת הכשל.

• נקודת כשל יחידה ברכיב מיתוג או ניטור משותף (Common Mode Failure): החשד המוביל בחקירה הוא מתג חשמלי או רכיב בקרה המנטר את שלוש הלולאות. תקלה פנימית ברכיב זה עשויה הייתה לשדר למחשבי המטוס נתוני כזב של חוסר לחץ או דליפה, מה שהוביל לסגירה אוטומטית של שסתומים הידראוליים או להשבתת פקודות ההיגוי.

• קצר או פגם בצמות החיווט החשמלי: רצף של תשע התראות שונות שהופיעו בתוך דקה אחת (כולל התראות סרק על מפלס נוזל נמוך וניתוק טייס אוטומטי) מעיד על תקלת תקשורת חשמלית. שחיקת בידוד, חדירת לחות או רעידות במעברי החיווט עלולים ליצור פולס חשמלי שגוי שמשתק בו-זמנית ערוצי פיקוד נפרדים.

• פגם סדרתי בחיישני לחץ ודליפה:רכיבי מדידת הלחץ והדליפה מדווחים למחשבי בקרת הטיסה. אם חיישנים אלו כשלו או סבלו מכיול לקוי, המערכת עלולה הייתה לפרש זאת כ"מצב חירום הידראולי" ולחסום תנועת משטחים למניעת נזק מבני.

• אי-התאמה או שגיאת תחזוקה:איירבאס דרשה לתחקר את כל פעולות התחזוקה שבוצעו במערכת ההידראולית בחודש שקדם לטיסה. הרכבה שגויה של מחברים, חוסר ניקוז אוויר או שימוש בנוזל לא תקני עלולים להוביל להפרעות לחץ רגעיות.

• איירבאס לוקחת את ההימור הנועז בתולדותיה על מטוס העתיד. כמה יעלה לכם לטוס בו?
• ריח חריג בתא הנוסעים? מה איירבאס ובואינג עושות כדי להבטיח את בטיחות הטיסות

ארכיטקטורה בטיחותית של מטוסי איירבאס

על פי תקני הרישוי הבינלאומיים המחמירים ביותר, מערכת בטיחות קריטית במטוס נוסעים מחויבת לפעול על פי עיקרון ה-Fail-Safe ואסור שיהיה בה שום תרחיש של "נקודת כשל בודדת" שעלול להשבית את כל אמצעי היתירות.

לכן, בארכיטקטורה המקורית של ה-A320 אין בתא הטייס שום מתג יחיד שמנתק או מכבה את כל שלוש המערכות ההידראוליות (ירוקה, כחולה וצהובה), וכן לכל אחת משלוש המערכות יש לחצני שליטה עצמאיים לחלוטין בפאנל העליון, משאבות נפרדות, מיכלי נוזל נפרדים, צנרת מופרדת פיזית, ונתיבי חיווט חשמלי נפרדים.

מבחינה תכנונית מוצהרת על פי התקנים - התכנון לכאורה לא מאפשר כשל בודד המשבית את אמצעי היתירות, אך עובדה כי בפועל קרה אחרת.

אם כך, כיצד כשל במתג או בחיווט יכול לגרום לניתוק משולש בו-זמנית?

החקירה בטיסת אייר אינדיה מתמקדת בדיוק בפער שבין התכנון הנפרד על הנייר לבין תופעות של "כשל סיבתי משותף" בעולם הפיזי. ישנם מספר מנגנונים שבהם תקלה ברכיב חשמלי/מיתוגי עלולה להשפיע על יותר ממערכת אחת:

• דוגמאות אקטואליות לכך ש"גם השכל הישר חבר במועדון"
• אירופה מלאה, המזרח התיכון מסוכן - ומפת התיירות העולמית מתחילה להשתנות

1. ממשקי בקרה ואיסוף נתונים משותפים (SDAC / מחשבי בקרת טיסה) - אמנם המערכות המכניות נפרדות, אך המידע מחיישני הלחץ והמפלס של שלוש המערכות מתנקז אל מחשבי עיבוד מרכזיים. אם מתג ניטור משותף או מעגל לוגי קורס ומשדר קריאת שווא של נפילת לחץ מוחלטת או זיהום נוזל, מחשב בקרת הטיסה עלול "להסיק" באופן שגוי שקיים מצב חירום ולהשבית פקודות היגוי או לשנות את חוקי הטיסה ל-Direct Law / חסימת משטחים.

2. שסתומי מדידת דליפה ובידוד (Leak Measurement / Isolation Valves) - במערכת ההידראולית של ה-A320 מותקנים שסתומי מדידת דליפה (LMV) שנועדו לבודד מעגלים במקרה של דליפה או במהלך בדיקות תחזוקה קרקעיות. שסתומים אלו נשלטים חשמלית באמצעות סולנואידים וממסרים. אם מתג בקרה, ממסר רב-קוטבי, או כרטיס פיקוד משותף סובלים מקצר פנימי, הם עשויים לשלוח פולס סגירה בו-זמני ליותר משסתום אחד.

3. שחיקת בידוד וקצרים בצמות חיווט (Wiring Chafing) - למרות עקרון ההפרדה, במעברים צפופים בגוף המטוס (כמו באזור חיבור הכנפיים לגוף או בתא האוויוניקה שמתחת לתא הטייס), צמות החיווט של המערכות השונות עוברות בסמיכות פיזית. שחיקה מכנית עקב רעידות, לחות או תחזוקה לקויה יכולה לחשוף גידים וליצור קצר בין חוט פיקוד של מערכת אחת לחוט פיקוד של מערכת שנייה, מה שגורם להפלת שתי מערכות או יותר בפולס חשמלי אחד.

4. תנודות מתח באפיקי הזנה קריטיים (Electrical Bus Glitch) - הסולנואידים והמתגים שמחזיקים את השסתומים ההידראוליים במצב פעיל מוזנים מאפיקי חשמל מרכזיים. נפילת מתח רגעית או קצר במתג אספקת כוח ראשי עלולים לגרום לכל השסתומים המופעלים חשמלית "ליפול" או להינעל בו-זמנית לשבריר שנייה, עד שמערכת החשמל מתייצבת.

התקלה חמורה. מה איירבאס צריכה לעשות?

בעולם יוצרו ונמסרו עד כה כ-4,700 מטוסים ממשפחת ה-neo, מתוכם כ-2,200 מדגם A320neo. האם הרשויות ואיירבאס יחכו לסיום החקירה הרשמית או שלפחות ינקטו צעד מיידי להגן על ציבור הנוסעים?

צעד כזה יכול להיות הוצאת הוראת שירות דחופה, כלומר הנחיה לכל חברות התעופה המפעילות את הדגם לבצע בדיקת מעבדה מקיפה למתגי הלחץ, חיישני הדליפה ומדידי המפלס, והחלפתם ברכיבים משודרגים בעלי עמידות גבוהה יותר.

בטווח הארוך יותר יתכן ויידרשו צעדים נוספים כתלות במסקנות ועדת החקירה, למשל עדכון לוגיקת התוכנה של מחשבי בקרת הטיסה - הטמעת אלגוריתם סינון שאינו משבית משטחי היגוי על סמך קריאות חיישן רגעיות, והענקת עדיפות מוחלטת לפקודות מוט ההיגוי של הטייס במצבי חירום של אובדן גובה פתאומי. צעד אפשרי נוסף הוא ביצוע רוויזיה בנהלי התחזוקה וההדרכה -הידוק פרוטוקולי הבדיקה של מערכות לחץ הידראוליות בקרקע ורענון נהלי הצוות להתמודדות עם כשל הידראולי מרובה בגובה שיוט.

נורת אזהרה בוהקת לתעשיית התעופה העולמית

בשורה התחתונה תכנון המטוס אינו מאפשר זאת באופן מכוון, אך התקלה מדגישה את אחת הבעיות המורכבות במטוסי Fly-by-wire מודרניים: התלות המשותפת בתשתית החשמלית והלוגית. כאשר מחשבים, חיישנים וצמות חיווט מנטרים מספר מערכות מכניות נפרדות, כשל חשמלי/לוגי בודד ברכיב משותף עלול "לעקוף" את ההפרדה המכנית ולשתק את המערכת כולה. זוהי בדיוק הסיבה שאיירבאס דרשה בדיקות מעבדה דחופות למתגים, לחיישנים ולחיווט.

האירוע בטיסת אייר אינדיה הוא נורת אזהרה בוהקת עבור תעשיית התעופה העולמית. משפחת ה-A320 היא עמוד השדרה של חברות התעופה המסחריות וכל ספק לגבי אמינות מערכות השליטה הקריטיות שלה דורש מענה חד-משמעי. 

תוצאות בדיקות המעבדה שנערכות כעת לחלקים שפורקו מהמטוס יהיו מכריעות: הן יקבעו האם מדובר בתקלה נקודתית במטוס בודד, או שמא בפתח נדרש ריקול טכנולוגי נרחב שיחייב התאמות בכלל צי המטוסים העולמי של איירבאס A320neo.

עופר הבר הוא מהנדס בכיר, מומחה תעופה ועובד בואינג לשעבר