האם בואינג מתקרבת לריקול על יותר מ-1,000 מטוסי דרימליינר?

שלושים ושתיים שניות. זה היה כל משך קיומה המבצעי של טיסת אייר אינדיה 171 ב-12 ביוני 2025. כשהוא בדרכו לנמל התעופה לונדון גטוויק עם 242 נוסעים ואנשי צוות, מטוס הבואינג 787-8 דרימליינר המריא ממסלול 23 באחמדאבאד, חצה את גדר שדה התעופה והתרסק לתוך מעונות הסטודנטים של המכללה לרפואה ביירמג'י ג'יג'יבהוי.

בעוד ממצאי הביניים הראשוניים של הלשכה ההודית לחקירת תאונות תעופה (AAIB) נטו לייחס את האירוע לחריגות תפעוליות ואף רמזו לפעולה מכוונת של הצוות, נתוני טלמטריה חדשים ממערכת ניטור בריאות המטוס ורשומות מערכת התקשורת הדיגיטלית חושפים תמונה שונה לחלוטין. 

האסון לא נולד בתא הטייס במהלך הנסיקה; הוא נזרע עוד על רחבת החניה, דרך התעלמות מאזהרות דיאגנוסטיקה, פגיעה במערכות האוויוניקה וכשל קטסטרופלי שארב בתוך הארכיטקטורה החשמלית האינטגרטיבית של המטוס.

העיתונאית רייצ'ל צ'יטרה ממגזין התחקירים ההודי The Caravan פרסמה ב-1 ביוני האחרון תחקיר על המקרה לאחר שהשיגה את יומני התחזוקה הדיגיטליים של מערכת ניטור הבריאות ואת רשומות תשדורות התקשורת הדיגיטלית ששודרו בזמן אמת לחברת התעופה ולבואינג. התחקיר כלל שיחות וראיונות עם מעל 30 מומחי תעופה, טייסים ומהנדסים, וחשף את שורת התקלות (ובכללן תקלות NO-GO במערכות בקרת הטיסה) שקדמו להמראה הקטלנית של טיסה AI171 ב-12 ביוני 2025. 

החשד כי התקלה הינה תקלה חשמלית וכרוכה בתכנון הדרימליינר המאפשר תקלה מסוג זה הועלתה כבר בעבר בשתי כתבות ביזפורטל - הטייסים או המטוס? מי אשם בהתרסקות טיסת אייר אינדיה 171  ו-התרסקות הדרימליינר - ממצאי החקירה והסיבה המפתיעה לאיבוד השליטה

אזהרה דיגיטלית מוקדמת: הסימנים שזכו להתעלמות

על פי המקור, ההידרדרות הטכנית של גוף המטוס החלה זמן רב לפני ההמראה הקטלנית, עוד בקטע הטיסה הקודם מדלהי לאחמדאבאד. לפי נתוני התחזוקה הדיגיטליים, ששודרו בזמן אמת ישירות לבואינג ולאייר אינדיה, שני רכיבים קריטיים במערכת בקרת העלרוד (Pitch) חוו כשל ראשוני במהלך מקטע זה:

• חיישן מיקום מייצב הגובה (Horizontal Stabilizer Position Sensor): יחידת המשוב העיקרית שמספקת למחשבי הטיסה את נתוני המיקום הפיזי של המייצב כשלה בתפקודה.

• יחידת הבקרה של המנוע החשמלי (EMCU - Electrical Motor Control Unit): ממשק המפעיל האלקטרו-מכני האחראי על שינוי זווית המייצב האופקי בזנב סבל מתקלות חשמליות.

במקביל, נוסעים תיעדו תקלות מערכתיות במיזוג האוויר בתא הנוסעים ובמערכות הבידור. אף שעל פניו מדובר באירועים שוליים, במטוס הבואינג 787 מערכות אלו מתממשקות ישירות עם מערכת הליבה המשותפת - (Common Core System CCS), עמוד השדרה הממוחשב המרכזי האחראי על ניתוב נתונים ומתח חשמלי הן למערכות קריטיות לטיסה והן למערכות שירות משניות.

אף שצוותי הקרקע באחמדאבאד החליפו את המפעיל והחיישן הפיזיים לפני השעה 12:10, המערך האוויוני הבסיסי נותר בלתי יציב באופן מהותי. בשעה 13:23, כ-15 דקות בלבד לפני שחרור הבלמים, כל שלושת מודולי בקרת הטיסה זיהו אי-התאמה קריטית בנתוני מיקום מייצב הגובה. יומני התקשורת הדיגיטלית התריעו על שש תקלות "NO-GO" נפרדות - שכל אחת מהן, על פי החוק והנהלים, מחייבת ביטול מיידי של ההמראה והשבתת המטוס. למרות זאת, הטיסה שוחררה לדרכה.

• טיסת בכורה למטוס המטען הראשון שהתעשייה האווירית הסבה מאיירבוס
• מה הפיל את מטוס אייר אינדיה? שנה אחרי ההתרסקות, התשובה עדיין לא ברורה

שרשרת הכשלים של 32 השניות

שחזורים הנדסיים מעידים כי הזרז הפיזי לאסון התרחש שברירי שניות לאחר הרמת החרטום. ממיר מתח פגום הממוקם בחלקו האחורי של המטוס יצר קשת חשמלית ממושכת בעוצמה גבוהה לאורך צמת החיווט המרכזית.

במטוס בעל חיווט קונבנציונלי, כשלים חשמליים מקומיים מבודדים באמצעות מפסקי זרם פיזיים ופסי צבירה ייעודיים. בדרימליינר, הארכיטקטורה המרוכזת של ה-CCS הותירה את מחשבי הטיסה הראשיים חשופים לקפיצות מתח רגעיות.

• אתחול מערכתי: הקשת החשמלית גרמה לנפילת מתח שכפתה אתחול מחדש של שלושת מודולי בקרת הטיסה, שכבר היו מעורערים, יחד עם מחשבי הטיסה הראשיים.

• שיבוש מצב לוגי: כאשר המחשבים עלו מחדש בעיצומה של הטיסה באוויר, נתוני חיישני קרקע שגויים גרמו למערכת האוויוניקה להיכנס כברירת מחדל ל"מצב קרקע".

• חנק דלק כפול למנועים: מכיוון שמערכת בקרת המנוע הדיגיטליתפירשה את המצב כאילו המטוס עומד על המסלול בזמן שמצערות המנוע דורשות כוח המראה מלא, האלגוריתם ביצע ניתוק דלק אוטומטי לשני מנועי ה-General Electric GEnx כדי למנוע מהירות יתר על הקרקע.

במצב זה, הדרימליינר היה במצב משולל פיצוי א-סימטרי (שנועד להתמודד עם פער דחף בין המנועים), וללא לחץ הידראולי ודחף מנועים בגובה של פחות מ-400 רגל, והמטוס נכנס לצלילה בלתי ניתנת להיחלצות.

זאת לא היתה טעות אנוש

ציר הזמן הדיגיטלי שנחשף מפריך לחלוטין את הנרטיב הראשוני של רשות התעופה ההודית, שרמז כי הקברניט, סומיט סבהרוואל, העביר במכוון את מתגי הדלק למצב ניתוק (CUTOFF).

• הזמן הפסיק לעבוד לטובת איראן
• בואו נדע מה אנחנו שומעים ועל מה אנחנו מדברים

נתוני הטיסה ששוחזרו מוכיחים כי שני מתגי הפעלת הדלק נותרו נעולים במצב RUN לאורך כל רגעי המשבר. יתרה מזאת, טענות הרשות ההודית הראשוניות בנוגע לסדר הפעולות של טורבינת חירום המונעת ברוח וניסיונות ההתנעה של יחידת כוח העזר אינן אפשריות מבחינה פיזית וחשמלית בחלון זמן של 32 שניות תחת קריסה מוחלטת של פסי הצבירה הראשיים. 

הקברניט סבהרוואל וקצין ראשון קלייב קונדר בילו את שניותיהם האחרונות במאבק במערכת בקרת טיסה שנעלה אותם החוצה, כשהם מנסים להניע מחדש מנועים מול ארכיטקטורה אוטומטית שחסמה באופן אקטיבי את אספקת הדלק.

הרשויות לקראת חשבון נפש רגולטורי

הגילויים הטכניים בתחקיר The Caravan סביב אסון AI171 מעבירים את האחריות הישירה לתקני הרישוי של מטוסי Fly-by-wire בעלי אינטגרציה עמוקה, ומעמידים את בואינג ואת רגולטורי התעופה הבינלאומיים בפני משבר מבני בלתי נמנע.

רשות התעופה הפדרלית בארה"ב (FAA) והסוכנות האירופית לבטיחות תעופה (EASA) ניצבות בפני לחץ חסר תקדים להוציא הוראות כושר טיסה מחייבות לכלל ציי מטוסי הדרימליינר בעולם. הוראות אלו חייבות לכלול:

• בדיקה פיזית ובדיקה אולטרסונית מיידית של כל ממירי המתח האחוריים וצמות החיווט הסמוכות להם בכלל צי מטוסי ה-787 העולמי.עדכון תוכנה מחייב ללוגיקת ה-CCS בדרימליינר, שישלול לצמיתות מארכיטקטורת ה-FADEC את היכולת לבצע ניתוק דלק בלתי יזום בשני המנועים בעקבות מעבר לוגי בין מצב "קרקע" ל"אוויר", ללא אימות פיזי בלתי תלוי מחיישני מצב כני הנסע.

• נעילת תוכנה קשיחה שתמנע שחרור מטוס לטיסה (Dispatch) בכל מקרה שבו נרשמת אי-התאמה בין מחשבי ה-FCM באמצעות מערכת התקשורת הדיגיטלית, תוך ביטול זכותן של חברות התעופה לדחות תיקונים תחת רשימת ציוד מינימלי (MEL).

ריקול פיזי יהווה שיבוש לוגיסטי ותעופתי חסר תקדים 

נוהלי חקירת תאונות אוויר בינלאומיות מוסדרים תחת נספח 13 לאמנת שיקגו, ומכתיבים לוחות זמנים וזכויות תגובה קשיחות לגופים המעורבים: חלון זמן קבוע של 60 יום: התקן מעניק לצדדים המעורבים בדיוק 60 יום מיום קבלת הטיוטה להגיש הערות טכניות, השגות עובדתיות ותיקונים מנומקים. סודיות מוחלטת: במהלך תקופה זו הטיוטה זוכה לחיסיון בינלאומי מוחלט ואסורה להדלפה או לפרסום לציבור, במטרה לאפשר דיאלוג הנדסי נקי מלחצים תקשורתיים. על כן הטיוטה צפויה להיות מוגשת כחסויה במהלך אוקטובר 2026 ופרסום הדוח הרשמי הסופי צפוי בתחילת 2027 לאחר קבלת תגובת בואינג ושאר הגופים המעורבים.

על פי המידע שהתפרסם ב-The Caravan, מעבר לעדכוני תוכנה, הכשל מצביע על פגם מערכתי עמוק בהרבה בדרימליינרים: המפגש הפיזי בין מוליכי אוויוניקה דיגיטלית במתח נמוך לבין מערכות חלוקת כוח במתח גבוה בתוך אותן תעלות מבניות. אם הרגולטורים יקבעו כי מערך חלוקת החשמל ב-787 אינו מסוגל להבטיח בידוד מוחלט בין קשת חשמלית קטסטרופלית בממיר לבין פסי הצבירה של מחשבי הטיסה הקריטיים, בואינג עלולה לעמוד בפני קרקוע עולמי מנדטורי שמזכיר את משבר ה-737 MAX.

ריקול פיזי שיחייב התקנת תעלות מבודדות ועמידות לאש עבור מודולי בקרת הטיסה בלמעלה מ-1,000 מטוסי דרימליינר פעילים ברחבי העולם יהווה שיבוש לוגיסטי ותעופתי חסר תקדים. 

עבור יצרנית מטוסים שכבר מתמודדת עם משבר קיומי בתרבות ההנדסית, במשמעת הייצור ובאמון הרגולטורי, הנתיחה הדיגיטלית של טיסה AI171 בדוח התחקירים של המגזין הנחשב The Caravan, אם אכן תאומת בדוח רשות התעופה ההודית, עלולה לסתום את הגולל על הניסיון להציג את האירוע כרשלנות תחזוקתית נקודתית ועלולה לחשוף פגיעות תכנונית וטלטלה תעשייתית עמוקה.

עופר הבר הוא מהנדס בכיר, מומחה תעופה ועובד בואינג לשעבר