Günlük hayatımızda yazılım ve yazılım içeren sistemlerin kullanımı gün geçtikçe daha fazla artmaktadır. Yazılımın sağlık sektörü, nükleer santraller ve havacılık sektörü gibi emniyet kritik alanlarda artan kullanımıyla birlikte hayatlarımız yazılıma bağlı olmuştur tespitini yapmak yanlış olmayacaktır. Bu alanlarda kullanılan yazılımlardan kaynaklanabilecek olası hatalar insanların hayatını tehlikeye sokabilmekte ve nadiren de olsa can kaybına sebebiyet verebilmektedir. 29 Aralık 1995 yılında meydana gelen American Airlines Uçuş 965 kazası her ne kadar tek nedeni yazılım olmasa da, kök neden analizi yapıldığında yazılımın da etkisi ile meydana gelmiş ve can kaybı ile sonuçlanmış kazalara bir örnek teşkil etmektedir.
Giriş ve Kaza Özeti
American Airlines’a ait Boeing 757 sınıfı, AA965 tarifeli seferi 29 Aralık 1995 tarihinde Miami’den Kolombiya’nın Cali kentinde bulunan Alfonso Bonilla Aragon Havaalanı’na gitmek üzere havalanmıştır. Uçağın başlangıçta planlanan rotası Şekil 1’de verilmiştir. Ancak uçak 20 Aralık 1995 tarihinde iniş için planlanan Alfonso Bonilla Aragon Havaalanı’nın 28 mil(45 km) kuzeyinde Buga kentinin yakınlarında dağa çarparak düşmüştür. Kazada 8’i mürettebat olmak üzere 159 kişi hayatını kaybetmiş, 4 kişi ise kazadan sağ olarak kurtulmayı başarmıştır. Kaza A.B.D. tarafından işletilen ilk Boeing 757 kazası olarak tarihe geçmiştir. Ayrıca kaza gerçekleştiği tarih itibarıyla Kolombiya’da meydana gelen en yüksek sayıda ölüme sebebiyet veren uçak kazasıdır.
Şekil 1 AA Uçuş 965 - Uçuş Rotası
Kaza Seyri
Yılbaşı tatilinden kaynaklı yoğunluktan kaynaklanan uçuş gecikmeleri sebebiyle, uçuşa aktarmalı olarak katılacak yolcuların uçağa yetişebilmesi için uçuş saati 30 dk. ertelenmiştir. Hava alanındaki yoğunluk sebebiyle, uçak toplamda 2 saat gecikmeli olarak havalanmıştır. Uçuş ekibi oldukça tecrübeliydi. Kaptan Pilot Nicholas Tafuri 57 yaşında ve toplam 13.000 saat uçuş tecrübesine sahip iken Yardımcı Pilot Donald Williams ise 39 yaşında ve toplam 6.000 saat uçuş tecrübesine sahipti. Ayrıca Kaptan Pilot Nicholas Tafuri Cali kentinde bulunan Alfonso Bonilla Aragon Havaalanı’na daha önce 13 kez problemsiz iniş yapmıştı.
Cali kentinde bulunan Alfonso Bonilla Aragon Havaalanı’ndaki radar 1992 yılında FARC gerillaları tarafından havaya uçurulduğu için, kazanın gerçekleştiği tarihte hava alanında uçakları izlemek için herhangi bir radar bulunmamaktaydı. Kule iniş yapacak uçakların uçuş ekiplerinden aldığı bilgiler ile uçakların konumunu takip etmeye çalışıyordu. Kazanın gerçekleştiği esnada, hava koşulları uçuş açısından oldukça elverişliydi. Görüş mesafesi 10 km’den fazla idi ve rüzgar oldukça hafifti. Alfonso Bonilla Aragon Havaalanı bir vadinin sonunda 3160 ft (963 mt) yükseklikte konumlanmıştı. Vadinin etrafındaki dağların yüksekliği ise ortalama 14000 ft (4267 mt) kadardı. Miami’den kalkış esnasında uçağın FMS (Flight Management System) yazılımına aşağıdaki rota yüklenmişti (Şekil 2):
Tulua VOR’undan ROZO NDB (R) ‘sine gidilecek
ROZO NDB (R)’den Cali VOR (CLO)’una gidilecek
ILS Yaklaşma ile 01 numaralı piste inilecek
Şekil 2 AA Uçuş 965 – Planlanan İniş
Hava oldukça sakin ve rüzgar çok hafif olduğu için kule uçuş ekibine, eğer isterlerse uçuş başlangıcında planlanan 01 numaralı pist yerine 19 numaralı piste inebileceklerini bildirdi (Şekil 4). Bu öneri az da olsa zaman kazandıracağı için pilotlar tarafından kabul edildi. Kule hava alanındaki radar çalışmadığından, uçağın yerini tespit edebilmek için pilotlardan Tulua VOR’una gelince kendisine bilgi vermesini istedi. Pilotlar 19 numaralı piste inmek için gerekli planlamayı FMS üzerinden yapmaya çalışırken önceki planlamayı sildiler. 19 numaralı piste inebilmek için uçağın önceki plana göre 21 mil daha önce 5000 ft seviyesine inmesi gerekiyordu. Bu sebeple pilotlar kanatlarda bulunan hız frenlerini çalıştırarak uçağın hızını düşürdürler ve 19 numaralı piste inebilmek için ilgili hesaplamaları yapmaya başladılar.
Şekil 3 Kanatlarda Bulunan Hız Freni Mekanizması
Pilotlar hesaplamaları yaparken ilgili haritalardan Tulua VOR’unun kooordinatlarını bulduklarında uçak çoktan Tulua VOR’unu geçmişti. Bunun üzerine pilotlar Tulua VOR’undan bir sonraki yaklaşma noktası olan Rozo’yu FMS’e girmeye karar verdiler. Ellerindeki haritalara göre Rozo’nun kısaltması R olarak belirlenmişti.
Şekil 4 AA Uçuş 965 - İniş Planı
Pilotlar FMS yazılımda Rozo’nun baş harfi ve kısaltması olan R harfini girdiler. FMS yazılımında R harfi girilince 12 adet yol noktası (waypoint) listelenmişti, ancak Rozo bunların içinde yoktu. FMS yazılımında Rozo’yu seçebilmek için adını tam olarak R-O-Z-O şeklinde girmek gerekiyordu. Pilotlar ise sadece R harfi girip, FMS yazılımından EXEC komutunu verdiler. FMS bu durumda R ile başlayan ve listelenmiş olan 12 adet yol noktasından (waypoint) uçağın mevcut konumuna en yakın olan ve Kolombiya’nın Bogota kentinin yakınlarında yer alan Romeo yol noktasını (waypoint) seçti. Bu seçim üzerine oto pilot rotayı Bogoto’ya doğru çevirdi (Şekil 5).
Şekil 5 AA Uçuş 965 – Oto Pilotun Planladığı Rota
Uçak ile Bogota arasında dağ sırası mevcuttu. Dolayısıyla oto pilot uçağın rotasını Bogota’ya doğru çevirince uçak dağlara doğru yönelmiş oldu. Çarpışmadan 20 saniye önce çarpışma sistemi uyarı verdi. Pilotlar uyarıyı alır almaz oto pilotu devreden çıkardılar ve uçağı yükseltmeye çalıştılar. Ancak inişe hazırlanırken uçağı yavaşlatmak üzere açmış oldukları hız frenlerini(Şekil 3) kapatmayı unuttular. Bu sebeple uçak kısa sürede yeterli irtifaya çıkamadı ve 8900 ft yükseklikte ağaçlara çarparak iniş yapmayı planladığı 19 numaralı pistin 28 mil kuzeyinde düştü (Şekil 6).
Şekil 6 AA Uçuş 965 – Enkaz
Kaza Analizi
Kaza sonrasında yapılan soruşturma Kolombiya devletine bağlı olan havacılık otoritesi Aeronáutica Civil tarafından yürütülmüştür. Aeronáutica Civil kazaya ilişkin olarak aşağıdaki bulguları tespit etmiştir:
Uçuş ekibinin 19 numaralı piste inişe hazırlanmak için yeterli zamanının olmadığı tespit edilmiştir.
Veri sağlayıcı aynı olduğu halde aynı navigasyon bilgilerinin basılı haritalarda ve FMS sistemi göstergelerinde farklı şekillerde gösterildiği tespit edilmiştir.
FMS’te Rozo’yu seçtiğini sanıp otopilota EXEC komutu veren pilotun bu işlem için diğer pilottan da onay alması gerektiği halde onay almadığı belirlenmiştir.
Kulenin kurallara uygun hareket ettiği ve bir hatası olmadığı tespit edilmiştir.
Aeronáutica Civil kazanın olası sebepleri olarak aşağıdaki üç maddeyi belirlemiştir:
Uçuş ekibinin 19 numaralı piste iniş planlamasını düzgün yapmaması ve FMS’i uygun şekilde kullanamaması
Uçuş ekibinin konum farkındalığını kaybetmiş olması
Uçuş ekibinin FMS navigasyonu karmaşıklaştığı halde radyo tabanlı navigasyona geçmeyip, FMS kullanmaya devam etmesi ve işyükünü arttırması
Ayrıca kazaya katkı yapan ek faktörler şu şekilde belirlenmiştir:
Mevcut gecikmeleri gidermek için uçuş ekibinin son anda pist değişikliğini kabul etmesi
Uçuş ekibinin çarpmadan kaçmaya çalışırken hız frenlerini kapatmayı unutması
FMS yazılımının basılı haritalardakinden farklı bir isimlendirme kullanıyor olması
FMS yazılımının direk uçuş seçilince aradaki diğer yol noktalarını (waypoint) otomatik olarak silmesi
Öğrenilmiş Dersler
Kaza sonucunda yapılan incelemelerde kaza pilotaj hatası olarak sınıflandırıldığı için kurallara yönelik bir değişiklik yapılmamıştır. Ancak Ground Proximity Warning Systems (GPWS)’nin olası çarpışmalardan makul bir süre önce uyarı vermesi yönünde karar alınmış ve 1996’dan itibaren A.B.D.’deki sivil uçaklara Terrain Awareness Warning System (TAWS) takılması ile sonuçlanmıştır.
Kaza sonrasında Aeronáutica Civil tarafından 22 Adet öneri verilmiştir. Bu önerilerden 17 adedi FAA’yı, 3 adedi ICAO’yu ve 2 adedi de American Airlines’a yöneliktir. Ayrıca A.B.D. menşeili National Transportation Safety Board (NTSB) tarafından da 17 adet öneri verilmiştir. NTSB’nin önerileri daha çok olası çarpışma durumlarında çarpışmanın önlenmesine ilişkindir. Aeronáutica Civil ve NTSB tarafından verilen başlıca öneriler şunlardır:
Basılı haritalar ile FMS ekranlarındaki bilgilerin tutarlı olması için standartlar geliştirilmelidir.
Yaklaşma ve Navigasyon haritalarında hava alanlarının yakınlarındaki yükselti ve engeller gösterilmelidir.
Havayolu işletmeleri uçuş personelini uçuş bilgisayarı ile uçuş yapmak problemli hale geldiğinde temel radyo navigasyonu yaparak uçuş yapabilecek şekilde eğitmelidir.
FMS ekipmanları “direct to” komutu verildiğinde, uçağın mevcut konumu ile “direct to” yapılacak nokta arasındaki yol noktalarını gerektiğinde tekrar gösterilmek üzere saklayacak şekilde güncellenmelidir.
Çarpışma önleme sistemleri daha erken uyarı verecek şekilde geliştirilmelidir.
Pilotlara FMS ekipmanlarındaki gösterim öncelikleri hakkında eğitim verilmelidir.
Pilotlara FMS ekipmanları ile basılı haritalardaki terminoloji farklılıklarına ilişkin bilgi verilmelidir.
Üretilecek yeni uçaklarda çarpışmadan kaçmak için maksimum güç ile manevra yapıldığı zaman, hız frenlerini otomatik kapatacak şekilde bir geliştirme yapılmalıdır.
Boeing’in uçuş prosedürlerinde, çarpışmadan kaçınmak için hızlı yükselme gerektiren durumlarda hız frenlerinin kapatılması gerektiği belirtilmelidir.
Radarı bulunmayan hava alanlarının iniş chartlarında hava alanında radar bulunmadığı bilgisi yazılı olarak belirtilmelidir.
Sonuç
Her ne kadar kaza pilotaj hatası olarak sınıflandırılmış olsa da, yaşanılan tüm olumsuzluklara rağmen eğer pilotlar FMS’te Rozo’yu doğru şekilde seçebilselerdi bu kaza gerçekleşmeyecekti. American Airlines kaza sonrasında Jeppesen ve FMS üreticisi Honeywell firmalarına dava açmıştır. Dava sonucunda, kazada %75 oranında American Airlines, %17 oranında Honeywell ve %8 oranında Jeppesen suçlu bulunmuştur. Kaza sonrasında yapılan incelemelerde toplam 8000 radyo vericisinden 95 tanesinin Jeppesen veritabanında yer almadığı tespit edilmiştir. Rozo ise düşük frekansta kullanıldığı için veritabanında farklı bir dosyada tutulmaktadır. Bu sebeple FMS’te Rozo’yu seçebilmek için ismini tam olarak girmek gerekmektedir. Kazaların kök neden analizi yapılırken, kazaya sebebiyet veren olaylar zinciri değişik seviyelere kadar kırılabilmektedir. Bu kazada, kaza incelemesini yapan otorite kazayı pilotaj hatası olarak sınıflandırmış ve olaylar zincirini daha alt seviyelere kırmamıştır. Ancak bu kazada FMS yazılımının da katkısı olduğunu söylemek yanlış bir ifade olmayacaktır. Kaza bir olay silsilesi sonucunda meydana gelmiş ve tek bir hatadan kaynaklanmamaktadır. Otoritelerin verdiği öneriler de bu duruma işaret etmektedir. FMS yazılımının da bu olaylar silsilesi içerisinde kazanın oluşumunda etkisi olduğu görülmektedir.
Kazadan çıkarılabilecek en büyük ders, uçuş esnasında tamamıyla uçuş bilgisayarına güvenilmemesi gerektiğidir. Gelişmiş uçuş bilgisayarlarına rağmen, pilotların uçuş esnasında mutlaka durum-konum farkındalığı sağlamaları ve kararlarını buna dayanarak vermeleri gerekmektedir. Ayrıca emniyet kritik yazılım geliştirme sürecinin insan hayatı açısından ne kadar kritik ve hassas bir süreç olduğunu da bu kaza ortaya koymaktadır. Emniyet kritik yazılım geliştirme sürecinde yapılacak basit tasarım hatalarının bile uçuş esnasında meydana gelebilecek diğer bir takım olumsuzluklarla birlikte ciddi kazalara yol açabileceği ve can kaybına sebebiyet verebileceği asla unutulmamalıdır.
Referanslar:
[1] W. Eric Wong, Vidroha Debroy ve Andrew Restrepo, “The Role of Software in Recent Catastrophic Accidents”, IEEE Reliability Society 2009 Annual Technology Report
[2] M. Nakao, “Crash of American Airlines Boeing”, December 1995
[3] N. G. Leveson, “Engineering A Safer World”, MIT Press, 2011
[4] FAA Lessons Learned web sayfası, http://lessonslearned.faa.gov,
(Erişim tarihi: 08.07.2014)
Comments