Pentingnya Milimeter: Kisah Qantas Penerbangan 32

• Pada 4 November 2010, Qantas Airbus A380 Penerbangan 32 mengalami pecahnya cakram turbin mesin nomor 2 tak lama setelah lepas landas dari Singapura, yang merusak sayap, badan pesawat, sistem hidraulik, listrik, bahan bakar, dan pengereman secara bersamaan, tetapi seluruh 469 orang di dalamnya selamat
• Kecelakaan bermula dari pipa stub pemasok oli di dalam Rolls-Royce Trent 900; saat produksi, counter bore meleset sekitar 0,5 mm sehingga ketebalan dinding di satu sisi menipis hingga 0,35 mm, cacat yang berujung pada kelelahan logam dan kebocoran oli
• Oli bertekanan tinggi yang bocor menyala di ruang bersuhu sekitar 365–375°C, dan api memutus drive arm cakram turbin IP, membuat cakram melampaui kecepatan kritis dalam 4 detik lalu pecah menjadi beberapa bagian
• Di kokpit, 34 peringatan membanjir dalam 20 detik dan prosedur ECAM memakan waktu 55 menit; para pilot mendarat dengan kebocoran bahan bakar, kehilangan 65% kendali roll, berat melebihi maksimum pendaratan, dan pengereman menurun, lalu berhenti di landasan 4.000 m dengan sisa 150 m
• Setelah itu dilakukan inspeksi menyeluruh pada pipa stub Trent 900, perlindungan overspeed turbin IP, penghapusan hub bearing HP/IP, perbaikan prosedur manufaktur dan kualitas Rolls-Royce, serta pembaruan perangkat lunak performa pendaratan Airbus; A380 mempertahankan catatan operasi tanpa kecelakaan yang melukai penumpang

---

Kegagalan kompleks yang menimpa A380 tak lama setelah lepas landas

• Pada 4 November 2010, Qantas Penerbangan 32 adalah penerbangan Airbus A380 yang menuju Sydney setelah transit di Singapura dalam perjalanan London–Sydney
  • Nomor registrasi pesawat adalah VH-OQA, dengan julukan Nancy-Bird Walton
  • Di dalamnya ada 440 penumpang dan 29 awak, total 469 orang
  • Di kokpit ada lima orang: kapten Richard Champion de Crespigny, kopilot Matt Hicks, Second Officer Mark Johnson, Check Captain Harry Wubben, dan Senior Check Captain David Evans
  • Total pengalaman kru penerbang ini mencapai 140 tahun, dengan 71.000 jam terbang
• Setelah lepas landas dari Singapura pukul 09.56, sekitar 4 menit kemudian, saat melewati ketinggian 7.000 kaki, terjadi kegagalan fatal pada mesin nomor 2
  • Pilot dan penumpang mendengar dua suara ledakan dalam selang singkat
  • Pesawat sedikit yaw ke kiri dan autothrust terlepas
  • Kapten menekan altitude hold pada autopilot untuk mempertahankan pesawat dalam penerbangan datar
• ECAM pertama-tama menampilkan peringatan ENG 2 TURBINE OVERHEAT, lalu dalam 20 detik berikutnya muncul 34 pesan tambahan
  • Mesin yang rusak kehilangan cakram turbin IP dan struktur di sekitarnya, tetapi masih berputar, sehingga tidak langsung ditampilkan hanya sebagai kegagalan total seketika
  • Saat pilot mengurangi tenaga mesin nomor 2, peringatan ENG 2 FIRE sempat muncul lalu hilang
  • Setelah itu pesan ENG 2 FAIL muncul dan keputusan diambil untuk mematikan mesin
  • Dari dua pemadam api pada mesin nomor 2, hanya satu yang benar-benar bekerja dan lampu konfirmasi tidak menyala

Bagaimana kebocoran oli di dalam Trent 900 berkembang menjadi pecahnya cakram

• Rolls-Royce Trent 900 pada Airbus A380 adalah mesin turbofan high-bypass yang terdiri dari kipas, kompresor, ruang bakar, dan turbin
  • Trent 900 memiliki sistem LP, IP, dan HP; turbin HP dan IP tersusun dari cakram turbin satu tahap di bagian belakang
  • Hub bearing HP/IP menopang poros putar, dan ruang bearing internal dipasok oli bertekanan untuk mencegah keausan
• Komponen bermasalahnya adalah oil feed stub pipe yang mengalirkan oli ke ruang bearing
  • Pipa ini adalah segmen pendek yang tetap, melewati buffer space antara inner section dan outer section pada hub bearing HP/IP
  • Saat kecelakaan, pipa di dalam mesin nomor 2 retak sehingga oli bertekanan tinggi tersembur ke buffer space
• Suhu buffer space diperkirakan sekitar 365–375°C, melebihi suhu penyalaan spontan oli mesin, yaitu 280°C
  • Oli yang tersembur langsung menyala
  • Ketika api merusak triple seal bagian depan, udara bertekanan tinggi dari annulus gas path tersedot ke buffer space
  • Udara yang masuk mendorong api ke belakang hingga mengenai langsung drive arm cakram turbin IP
• Drive arm cakram turbin IP adalah komponen yang bahkan dalam operasi normal menerima tegangan besar, dan tidak mampu menahan panas tinggi sehingga patah dalam hitungan detik
  • Dari awal kebocoran oli hingga patahnya drive arm berlangsung jauh kurang dari 1 menit
  • Setelah drive arm putus, cakram turbin IP tidak lagi terhubung ke poros tetapi terus menerima energi dari annulus gas path
  • Dalam 4 detik, cakram melampaui kecepatan kritis, dan gaya sentrifugal melebihi batas cakram paduan nikel sehingga pecah menjadi beberapa bagian
• Pecahan cakram turbin menembus casing mesin dan cowling, lalu merusak pesawat ke berbagai arah
  • Satu pecahan jatuh ke bawah dan merusak dinding bangunan di Batam Island, tetapi tidak ada korban luka di darat
  • Pecahan lain menembus bagian bawah badan pesawat dan wire bundle
  • Dua pecahan melewati bagian dalam sayap kiri lalu keluar melalui permukaan atas sayap
  • Fragmen kecil lainnya juga meninggalkan kerusakan tambahan di berbagai bagian sayap dan badan pesawat

Kokpit yang menghitung kemungkinan pendaratan di tengah banjir peringatan

• Fragmen cakram turbin meninggalkan kerusakan sekunder yang luas pada sistem utama pesawat
  • Tangki bahan bakar sayap kiri bocor
  • Mekanisme pengoperasian leading edge slat rusak
  • Dua wire loom di wing leading edge dan belly area terputus total, berdampak pada sekitar 650 kabel
  • Terjadi hilangnya kendali green hydraulic pump, degradasi yellow hydraulic system, hilangnya daya AC mesin 1 dan 2, hilangnya seluruh fungsi slat, serta hilangnya sebagian fungsi spoiler dan aileron
  • Sebagian fungsi anti-skid pada landing gear brake sayap kiri dan wing gear brake kanan juga rusak
• A380 menggunakan dua sistem hidraulik, green dan yellow, tetapi setiap permukaan kendali terbang memiliki aktuator hidraulik cadangan independen sehingga kehilangan kendali dapat dibatasi
  • Karena kerusakan langsung dan hilangnya green hydraulic pressure, kemampuan kendali roll berkurang sekitar 65%
  • Pesawat tetap dapat dikendalikan hanya dengan spoiler dan aileron yang tersisa
  • Para pilot menilai pesawat masih dapat dikendalikan baik saat autopilot aktif maupun nonaktif
• Para kru memutuskan untuk memahami kondisi pesawat dengan menjalankan prosedur ECAM, bukan langsung mendarat
  • Mereka meminta kepada ATC untuk masuk holding pattern dan berputar di atas laut timur laut Singapura
  • Penyelesaian tindakan ECAM memakan waktu 55 menit, jauh melampaui yang diperkirakan para pilot
  • Second Officer Mark Johnson pergi memeriksa kondisi kabin, lalu memastikan lewat rekaman tail camera dan pengamatan langsung bahwa bahan bakar bocor dari sayap kiri dan ada lubang besar di permukaan atas sayap
  • Para pilot menilai jika feed tail camera dimatikan, penumpang bisa terlihat lebih cemas, sehingga tetap dipertahankan
• Situasi bahan bakar membuat keputusan pendaratan semakin sulit
  • Bahan bakar bocor dari tangki sayap kiri, membuat ketidakseimbangan bahan bakar kiri-kanan makin besar
  • ECAM menginstruksikan untuk membuka fuel transfer valve agar seimbang, tetapi pilot tidak mengikutinya karena mempertimbangkan kebocoran dan peringatan kerusakan fuel transfer system
  • Fuel jettison system juga tidak bekerja, sehingga pesawat lebih dari 40 ton di atas berat pendaratan maksimum
  • Opsi terbang lama untuk membakar bahan bakar dinilai tidak tepat karena ketidakseimbangan bahan bakar dan hilangnya 65% kendali roll
• Perangkat lunak performa pendaratan Airbus awalnya mengembalikan no result
  • Perangkat lunak menerapkan operational coefficient secara berulang untuk setiap kegagalan guna merefleksikan perbedaan teknik penerbangan secara konservatif; karena kegagalannya banyak, koefisien diterapkan total 9 kali
  • Check Captain Evans memasukkan berat pendaratan aktual secara manual untuk melewati asumsi berat pendaratan maksimum
  • Dalam kasus ini, logika perangkat lunak hanya menerapkan operational coefficient sekali, dan hasilnya menunjukkan pesawat dapat mendarat di landasan 4.000 m Singapore Changi Airport dengan sisa sekitar 100 m

Kebakaran dan risiko evakuasi yang masih tersisa setelah pendaratan

• Kapten menyelaraskan pesawat dengan landasan dari jarak yang lebih jauh dari biasanya untuk mengurangi beban kendali
  • Karena kendali roll menurun, respons kendali terasa tumpul
  • Selama approach, pemeriksaan kendali manual dilakukan berulang untuk memastikan karakteristik kendali tetap terjaga setelah flap diturunkan
  • Mesin 1 dan 4 dibiarkan pada thrust tetap, dan kecepatan diputuskan dikendalikan hanya dengan mesin 3 yang relatif kurang terdampak
• Karena kegagalan green hydraulic system, landing gear tidak keluar meski landing gear lever diturunkan, sehingga pilot menggunakan sistem cadangan yang menurunkan gear dengan gravitasi
  • Sistem cadangan berhasil bekerja
  • Kapten harus mempertahankan rentang yang sangat sempit antara kecepatan risiko stall dan kecepatan risiko keluar landasan setelah mendarat
  • de Crespigny mengenang bahwa rentang kecepatan aman sekitar 3–4 knot
  • Sempat terjadi low energy alert, tetapi peringatan hilang setelah tenaga mesin 3 sedikit dinaikkan
• Qantas Penerbangan 32 mendarat di Changi Airport runway 20C pada pukul 11.46
  • Tepat sebelum touchdown, stall warning sempat berbunyi
  • Para pilot menggunakan rem yang tersisa dan reverser pada mesin 3, salah satu reverse thrust yang hanya ada pada inboard engine A380
  • Pesawat berhenti dengan sisa 150 m dari landasan 4.000 m
• Setelah berhenti, kebakaran dan masalah komunikasi masih berlanjut
  • Rem left body gear mengalami beban besar saat pendaratan sehingga terlalu panas, dan 4 ban deflate
  • Bahan bakar masih terus bocor, sehingga bisa terbakar jika bersentuhan dengan rem yang panas
  • Saat mesin 3 dan 4 dimatikan, pesawat kehilangan daya, dan APU tidak terhubung ke sistem listrik karena infrastruktur distribusi daya rusak
  • Kru harus menemukan satu VHF radio yang dapat beroperasi dengan daya darurat untuk berkomunikasi dengan pemadam kebakaran
• Mesin 1 tidak dapat dimatikan dengan prosedur normal
  • Karena kerusakan sistem sayap, fuel shutoff valve mesin 1 tidak bekerja
  • Fire extinguisher bottle mesin 1 juga tidak bekerja, sehingga tidak bisa dimatikan dengan fire handle
  • Pemadam kebakaran menyemprotkan foam ke rem untuk mencegah kebakaran sambil menghindari inlet dan exhaust mesin
  • Kemudian insinyur Qantas memilih cara membuat mesin sesak dengan foam pemadam, dan mesin 1 berhenti pada pukul 14.53, lebih dari 3 jam setelah pendaratan
• Evakuasi penumpang tidak langsung dilakukan dengan slide darurat
  • Ada statistik bahwa 5–10% penumpang mengalami cedera serius saat evakuasi dengan slide darurat, dan di antara penumpang ada lansia serta penyandang disabilitas
  • Dalam situasi risiko kebakaran sudah menurun, para pilot menilai kabin lebih aman
  • Dengan pendingin udara mati akibat hilangnya daya, tangga tiba 50 menit kemudian, dan seluruh penumpang turun melalui satu pintu selama sekitar 1 jam
  • Tidak ada satu pun dari 440 penumpang yang terluka

Cacat manufaktur 0,5 mm dan perubahan setelah kecelakaan

• Penyebab langsung kecelakaan adalah cacat pada salah satu dinding oil feed stub pipe yang terlalu tipis
  • Pipa pada mesin yang mengalami kecelakaan patah akibat kelelahan logam setelah 677 penerbangan
  • Di bagian bawah pipa ada counter bore untuk memasukkan filter, dan counter bore ini meleset sekitar 0,5 mm dari pusat
  • Ketebalan dinding tidak seragam: 1,42 mm di satu sisi dan 0,35 mm di sisi sebaliknya
• Perubahan proses manufaktur merusak jaminan keselarasan
  • Desain asli menyelaraskan stub pipe dan counter bore berdasarkan datum AA, yaitu pusat outer clearance hole, untuk menjamin ketebalan dinding yang cukup
  • Pada tahap manufaktur, setelah stub pipe dimasukkan, datum AA sulit ditemukan, sehingga acuan counter bore diubah menjadi datum M, yaitu pusat inner hub counter bore
  • Posisi stub pipe sendiri masih terikat pada datum AA, tetapi tidak ada jaminan langsung bahwa datum M selaras dengan datum AA
  • Jika hub bergerak sedikit saat proses reclamping, posisi timing pin yang diingat mesin akan meleset dari posisi sebenarnya, dan inner hub counter bore serta stub pipe counter bore ikut meleset sebesar itu
• Prosedur inspeksi dan persetujuan juga gagal menyaring cacat
  • Ketebalan dinding stub pipe tidak dinyatakan secara terpisah, melainkan dijamin secara tidak langsung lewat keselarasan
  • Inspeksi OP 230 hanya mengukur stub pipe counter bore berdasarkan datum M, sehingga tidak menangkap ketidakselarasan terhadap pipa itu sendiri
  • Inspeksi OP 70 mengukur interference bore berdasarkan datum M dan berpotensi mendeteksi anomali, tetapi strukturnya membuat pemeriksa sulit mengetahui perbedaan antara gambar manufaktur dan basis pengukuran CMM
  • Catatan CMM untuk hub yang mengalami kecelakaan tidak disimpan, sehingga tidak dapat dipastikan apakah ada peringatan sebenarnya
• Dalam proses perubahan titik acuan manufaktur pada 2009, sebagian ketidakselarasan counter bore sudah teridentifikasi, tetapi retrospective concession disetujui untuk sekitar 100 komponen
  • Analisis statistik dilakukan berdasarkan nilai pengukuran 9 hub, dan non-conformance maksimum diperkirakan Ø 0,7 mm
  • Analisis ini memiliki ketidakpastian besar karena jumlah datanya kecil dan tidak ada jaminan mewakili produk lama
  • Ketidakpastian tidak disampaikan dengan jelas dalam laporan, dan Non-Conformance Authority menganggap tidak ada dampak keselamatan lalu menyetujuinya
  • Menurut prosedur internal Rolls-Royce, retrospective concession juga memerlukan tanda tangan Business Quality Director dan Chief Engineer, tetapi persetujuan tersebut tidak memiliki tanda tangan ini
• Setelah kecelakaan, inspeksi menyeluruh dan perubahan sistem menyusul
  • Hasil pengukuran HP/IP bearing oil feed stub pipe yang sedang beroperasi menunjukkan banyak yang berada di luar toleransi Ø 0,20 mm, dan sebagian menunjukkan ketidakselarasan lebih besar daripada pipa kecelakaan
  • Pada 2 pipa ditemukan non-conformance sekitar Ø 1,2 mm
  • Qantas menghentikan sementara operasi armada A380 dari 4 November hingga 27 November 2010
  • European Aviation Safety Agency mewajibkan inspeksi Trent 900 oil feed stub pipe
  • Rolls-Royce mengembangkan IP turbine overspeed protection, dan Airbus menerbitkan mandatory service bulletin yang mewajibkan pemasangan pada semua A380 dalam 10 penerbangan
  • Seluruh HP/IP bearing hub produksi awal dan hub dengan ketebalan dinding stub pipe di bawah 0,7 mm dikeluarkan dari layanan
  • Rolls-Royce merevisi prosedur konsultasi design intent antara insinyur manufaktur dan desain, serta mengakhiri praktik retrospective concession
  • Airbus memperbarui perangkat lunak performa pendaratan agar memprediksi performa aktual secara lebih akurat pada semua berat pendaratan
• Pesawat diperbaiki selama 535 hari dengan biaya perbaikan 139 juta dolar, dan VH-OQA Nancy-Bird Walton kembali terbang pada 2012
  • Kecelakaan ini menunjukkan bahwa deviasi kurang dari 0,5 mm dapat merusak parah pesawat penumpang terbesar di dunia
  • Pada saat yang sama, fly-by-wire A380, hidraulik cadangan pada permukaan kendali, ECAM, desain redundan, serta penilaian dan kerja tim kru berpadu untuk mengakhiri insiden tanpa cedera pada penumpang

[GN⁺]

Opini Hacker News

• Setiap kali membaca rangkaian detail peristiwa dalam analisis pascakecelakaan penerbangan, saya selalu tersenyum
  Fakta bahwa mereka bisa mempersempitnya sampai ke satu komponen yang cacat, lalu menelusuri riwayat dan lingkungan komponen itu hingga masuk ke operasi, menunjukkan betapa tangguhnya industri penerbangan
  Kesalahan pasti terjadi, dan menurut saya ketangguhan lebih berkaitan dengan cara merespons daripada jumlah kesalahan
  Dari sudut pandang saya yang menangani reliabilitas sebagai SRE di FAANG, industri penerbangan selalu terasa mengagumkan, dan saya berharap suatu hari industri software/teknologi juga mencapai level ini
  Pujian besar juga untuk penulis Kyra Dempsey. Isinya berat secara rekayasa, tetapi ditulis sangat mudah dibaca

  • Sebagai mantan engineer Boeing, industri lain punya banyak hal untuk dipelajari dari cara pesawat dirancang
    Bencana Fukushima dan Deepwater Horizon sama-sama merupakan kegagalan berantai seperti ritsleting, dan menunjukkan kurangnya pemikiran “kalau X gagal, apa berikutnya?”
    Yang penting di sini adalah “kalau X gagal”, bukan “seandainya X gagal”. Pola pikirnya berbeda
  • Karena software terus-menerus perlu beradaptasi dan dimodifikasi untuk memenuhi kebutuhan integrasi yang makin bertambah, mudah untuk melupakan keuntungan bekerja dengan spesifikasi yang sudah pasti, yang memiliki konstanta yang diketahui seperti titik lebur, tekanan udara, dan gravitasi
  • Untuk mencapai kesimpulan itu, ratusan pakar dari 10 organisasi di 7 negara menghabiskan hampir 3 tahun
    Tapi di HN orang menginginkan analisis pascainsiden gangguan cloud dalam hitungan jam
  • Menakjubkan bahwa mereka bisa merekonstruksi rangkaian peristiwa bahkan setelah komponen-komponen bermasalah itu meledak dan tersebar di seluruh Asia Tenggara
  • Penerbangan itu hebat karena seluruh industri belajar banyak setelah kecelakaan dan nyaris celaka
    Ada budaya untuk memperbaiki, bukan sekadar mencari pelakunya
    Namun dari yang saya dengar dari orang dalam, integritas rantai pasok adalah masalah yang diremehkan
    Seseorang tertangkap karena menjual komponen pesawat palsu dengan cara yang canggih, dan ada pemasok mencurigakan lain juga sehingga membuat khawatir
    “Safran confirmed the fraudulent documentation, launching an investigation that found thousands of parts across at least 126 CFM56 engines were sold without a legitimate airworthiness certificate.”
    https://www.businessinsider.com/scammer-fooled-us-airlines-b...

• Bagi mekanik atau petugas metrologi manufaktur yang cukup kompeten, kesalahan konsentrisitas 0,5 mm pada komponen sebesar itu pada dasarnya sama saja dengan 0,5 mil
  Itu kesalahan besar yang terlihat dengan mata telanjang, bukan skala yang bisa muncul dari variasi normal, dan merupakan sinyal jelas bahwa ada masalah serius pada setup
  Di gambar desain, toleransi bore adalah Ø 0,05 mm, tetapi di gambar manufaktur berubah tanpa penjelasan menjadi Ø 0,5 mm, dan ketidaksesuaian hub yang mengalami kecelakaan adalah Ø 0,90–0,98, yaitu offset 0,45–0,49 mm, jadi peralatan semestinya menampilkannya
  Karena catatan CMM tidak disimpan, penyelidik tidak bisa memastikan apakah kesalahan itu benar-benar tercatat
  Kalau tidak mengenal lantai machining, maknanya mungkin kurang terasa, tetapi bagi yang berpengalaman ini jelas. Banyak orang di pabrik itu pasti tahu bahwa mereka mengirim komponen di luar spesifikasi
  Siapa pun yang menyentuh komponen itu seharusnya bisa melihat sekilas bahwa counterbore-nya sangat meleset dari pusat, tetapi alih-alih membuat ulang atau mencari penyebabnya, mereka hanya melakukan pemeriksaan kualitas formalitas, mengirimkannya, memalsukan dokumen, dan membuang bukti
  Analisisnya rumit, tetapi akar penyebabnya sangat sederhana. Kelalaian terang-terangan dan penipuan terang-terangan untuk menutupinya

  • Di tulisan itu disebutkan bahwa stub tersebut tidak terlihat karena dikerjakan setelah dimasukkan ke hub
    Kalau begitu muncul pertanyaan, “kenapa machining akhir dilakukan setelah tube dilas di tempatnya?”
    Mungkin machining saat sudah terpasang ke hub memang lebih mudah atau lebih cepat
    Selain itu, bukankah harus ada filter oli yang masuk ke sana? Kalau counterbore-nya offset, bukankah filter oli akan terganggu?
    Saya kira orang-orang akan lebih berhati-hati saat membuat turbin

• 30 tahun lalu saya pernah melakukan pendaratan darurat karena kerusakan mesin
  Awak kabin menyuruh kami melepas sepatu, melatih posisi brace, dan mengubah penempatan penumpang; hal yang paling berkesan adalah semua orang mengikuti instruksi
  Tidak ada orang yang sok-sokan, dan semua orang mengerti mengapa awak kabin ada di pesawat serta betapa pentingnya mereka untuk bertahan hidup
  Evakuasinya tertib, tetapi penanganan setelahnya lama. Misalnya, semua paspor tertinggal di kabin
  Belakangan ini saya melihat foto orang-orang keluar lewat slide sambil membawa tas, dan itu terlihat sangat berbahaya karena berisiko di slide itu sendiri dan juga memperlambat evakuasi
  Saat kami dulu, tidak ada api di kabin, tetapi saya jadi bertanya-tanya bagaimana kalau ada
  Dan stereotip media yang menyorongkan kamera untuk mengambil wajah ketakutan, itu benar-benar terjadi

  • Saat turun lewat slide, tidak boleh membawa apa pun
    Tidak boleh tas, tidak boleh sepatu, hanya tubuh sendiri
    Namun kadang diabaikan, dan karena itu orang benar-benar bisa terluka
    Meski begitu, kalau melihat bagaimana orang bertindak dalam situasi lain, fakta bahwa sebanyak itu orang mengikuti instruksi sebenarnya juga menakjubkan
  • Saya pernah mengalami evakuasi kebakaran hotel, dan tangga darurat tersumbat karena semua orang membawa seluruh barang mereka keluar
  • Orang membawa barang saat evakuasi karena dalam situasi stres tinggi mereka kembali ke kebiasaan
    Saat turun dari pesawat, biasanya kita bertindak dengan “mengambil semua barang saya”
    Karena itu penting untuk mendengarkan briefing keselamatan, meskipun sudah pernah mendengarnya. Latihan berulang membantu kita mengingat apa yang harus dilakukan bahkan ketika stres meningkat
  • Saya selalu penasaran apa yang terjadi setelah pendaratan darurat
    Apakah kita hanya duduk menunggu bagasi dan barang pribadi diturunkan, lalu menunggu penerbangan lain?
  • Orang-orang seperti itu semuanya harus didakwa karena menimbulkan bahaya secara sembrono atau dimasukkan ke daftar larangan terbang, dan menurut saya boleh juga keduanya
    Melihat adegan seperti itu benar-benar membuat marah

• Pekerjaan pertama saya adalah di MRO yang meng-overhaul mesin yang sedikit lebih kecil daripada Trent 900, dan prinsipnya sama
  Saya membuat perangkat lunak penjaminan mutu yang mendigitalisasi formulir dan prosedur tanda tangan, mirip dengan yang disebut dalam tulisan sebagai tidak ditandatangani dengan benar
  Para insinyur perbaikan yang makan siang bersama saya punya sumur pengetahuan yang dalam tentang mesin, dan sering kali satu topik saja menghabiskan jam makan siang lalu percakapannya berlanjut selama berminggu-minggu
  Salah satu paragraf dalam tulisan ini menyentuh titik-titik yang sangat halus, seperti tanda tangan yang terlewat dan masalah insinyur yang tidak mengetahui prosedur. Dalam hal ini, menurut saya kritik terhadap Rolls-Royce valid
  Manajer penjaminan mutu di MRO tempat saya bekerja adalah orang seperti bencana alam; ditakuti dan sama sekali tidak mau berkompromi
  Pada saat yang sama, dia juga orang yang tanda tangannya bisa menyebabkan mesin dimatikan saat terbang, dan sampai sekarang saya masih menghormatinya
  Masalah kecil seperti ini terjadi setiap hari pada semua model mesin di seluruh dunia. Bahkan sekarang, ada ribuan mesin yang sedang terbang dengan cacat kecil yang bisa menyebabkan pemadaman
  Sebagian masalah diidentifikasi dan disetujui sebagai berisiko rendah, lalu dibiarkan untuk diperiksa pada overhaul berikutnya
  Ketika seorang insinyur yang berulang kali melihat cacat yang sama, pipa yang retak dini, penumpukan karbon, atau korosi abnormal mengunggah dokumen, dokumen itu naik ke atas lalu berdiam di sana
  Bisa saja diabaikan, dipakai sebagai referensi desain berikutnya, diklasifikasikan sebagai sesuatu yang harus diperbaiki, dijadikan objek pemantauan, atau frekuensi pemantauannya dinaikkan
  Umur komponen bisa dipersingkat, atau pengujian non-destruktif bisa diwajibkan pada setiap overhaul
  Sistem seperti ini begitu kompleks sehingga selalu saja ada sedikit masalah, jadi model keju Swiss sangat cocok diterapkan
  Terkait Qantas, di bagian akhir tulisan disebutkan bahwa pesawat itu diperbaiki dengan biaya besar; Qantas menjadikan fakta bahwa mereka tidak pernah kehilangan hull sebagai kebanggaan perusahaan
  Bahkan pesawat yang sudah melewati batas ekonomis untuk diperbaiki pun mereka perbaiki demi mempertahankan catatan itu

  • Benar. Qantas hampir selalu disebut sebagai maskapai paling aman di dunia [1]
    Saya masih ingat jelas semua orang benar-benar terkejut ketika QF32 terjadi. Karena di Qantas, hal seperti itu dianggap “tidak akan pernah” terjadi
    [1] https://www.forbes.com/sites/laurabegleybloom/2023/01/03/ran...
  • Saya pernah bekerja di perusahaan bersertifikasi AS9001, dan hal pertama yang hampir selalu ingin dilihat auditor mutu adalah ketidaksesuaian dan concession
    Kalau tanda tangan sampai terlewat sejauh itu, kami pasti sudah dikuliti hidup-hidup, dan besar kemungkinan auditor akan membongkar seluruh perusahaan untuk mencari lebih banyak masalah
    Itu bisa berujung pada kegagalan besar dalam audit, atau bahkan pencabutan sertifikasi mutu sama sekali
    Setelah itu akan ada audit dari pelanggan, dalam kasus ini Rolls-Royce, yang mengajukan pertanyaan tidak nyaman kepada manajemen, memeriksa apakah prosedur concession antarkorporasi dipatuhi, dan secara internal meninjau kembali “apakah orang-orang ini boleh membuat komponen ini?”
    Dari yang saya baca di sini, Rolls-Royce tidak menekan subkontraktornya cukup keras dari sisi kualitas, dan terlihat sangat longgar
  • Saya pernah bekerja sedikit dengan Rolls-Royce lewat kontrak, dan juga sempat tinggal di Derby
    Melihat hal-hal yang saya lihat, saya bertanya-tanya bagaimana inovasi bisa terjadi di dalamnya, mengapa tidak ada jauh lebih banyak “fuck-you-shima” setiap tahun, dan bagaimana mungkin mesin pesawat tidak meledak setiap hari
    Kalau ingatan saya benar, pengendali mesin B777 sampai sekarang masih m68k. Itu sudah dihentikan produksinya pada 1995

• Saya berada di pesawat itu, dan saya yang mengambil foto yang dikutip dalam tulisan sebagai “foto yang diambil penumpang saat penerbangan, menunjukkan lubang keluarnya serpihan turbin di permukaan atas sayap. (ATSB)”
  Tak lama kemudian saya sengaja naik pesawat A380 lain, karena saya tidak ingin kehilangan kepercayaan pada keselamatan rekayasa

  • Dulu sekali saya pernah melakukan pendaratan darurat karena kebakaran mesin; saya tetap naik penerbangan lanjutan untuk pulang, tetapi setelah itu tidak naik pesawat selama beberapa waktu
    Secara psikologis, mungkin pilihan untuk langsung naik lagi memang lebih bijak

• Tulisannya kompleks dan ditulis dengan baik, tetapi nada penuh kemenangan dan pujian keselamatan yang tak ada habisnya terasa agak mengherankan
  Tidak ada yang sedang menjual sesuatu, tetapi ada bagian yang terasa seperti presentasi penjualan
  Kalau membacanya seperti saya, di beberapa bagian mungkin akan berpikir, “hmm…”. Karena sebenarnya itu adalah hal-hal yang tidak bekerja dengan semestinya
  Contohnya: perangkat lunak perhitungan yang belum pernah diuji dengan data abnormal, komputer yang terus menjalankan mesin yang sudah rusak, keberuntungan karena tangki bahan bakar hampir penuh sehingga tidak meledak, dan tidak adanya kill switch fisik untuk mematikan mesin
  Mereka punya 1 jam yang “lebih dari cukup” untuk menjalankan semua checklist, sementara penumpang dan awak bertahan di atas genangan bahan bakar sambil berharap tidak ada apa pun yang menyala
  Terakhir, arah terbangnya serpihan juga sepenuhnya acak
  Ini tampak bukan seperti kisah berlapisnya “lapisan keselamatan”, melainkan berlapisnya lapisan keacakan
  Saya benar-benar penasaran dengan distribusi hasil dari semua kemungkinan lintasan serpihan, yaitu seberapa beruntung atau sialnya mereka sebenarnya
  Perusahaan tidak akan mempublikasikan model seperti itu, tentu saja
  Selain itu, desain yang mengharuskan pipa yang sebenarnya baik-baik saja dibor secara presisi karena ruang khusus untuk filter oli juga tidak bagus
  Dari yang saya pahami, komponen itu toh tidak bisa diservis tanpa memasang ulang semuanya, jadi kenapa tidak dibuat sebagai satu komponen saja?

  • Penulisnya bersikap positif karena lapisan keselamatan yang tetap ada dan bertahan meskipun manusia dan perusahaan penuh cacat
    Karena ada budaya meninjau kembali kecelakaan sebelumnya seperti UA232, yang kehilangan semua fungsi kendali bersama satu mesin, sistem kendali A380 dirancang untuk menahan kerusakan yang lebih besar dan memang berfungsi
    Namun saya setuju bahwa tulisan itu kurang berfokus pada hal-hal yang perlu diperbaiki
    Mesin yang dikendalikan komputer, yang dalam keadaan terbakar terus berputar selama 60 detik dan memutar komponen berbahaya terlalu cepat, seharusnya sudah ditangani sebelumnya
    Proses manufaktur mesin tampak terlalu rumit sehingga hampir mustahil diverifikasi
    Sistem manajemen kegagalan yang hanya menampilkan 1–2 peringatan sekaligus ketika ada 40 peringatan juga menjadi masalah
  • Komputer yang terus menjalankan mesin yang rusak adalah desain yang disengaja
    Keputusan sebesar mematikan mesin tidak boleh diserahkan kepada otomatisasi; itu harus menjadi keputusan pilot
    Soal tidak adanya kill switch fisik juga, sebenarnya ada cara untuk memutus aliran bahan bakar dengan katup. Hanya saja “kill switch” itu rusak
    Jika ada waktu untuk menyelesaikan semua checklist, bukankah lebih aman jika pilot memutuskan untuk melakukannya?
    Bahwa arah serpihan bersifat acak adalah hal yang wajar mengingat sifat kerusakannya. Mirip seperti mengeluh bahwa HDD mana yang akan rusak di pusat data bersifat acak
    Data untuk semua kemungkinan lintasan serpihan tidak dipublikasikan, tetapi lintasan-lintasan yang menguntungkan dianalisis pada tahap desain, dan komponen struktur serta sistem dipisahkan sesuai dengan itu
  • Jika membaca puluhan tulisan Admiral Cloudberg, polanya terlihat
    Pada kecelakaan penerbangan lama, satu kesalahan atau satu kegagalan komponen sering menyebabkan puluhan orang tewas
    Begitu pula proses lahirnya sterile flight deck sebagai respons terhadap kecelakaan ketika pilot teralihkan oleh obrolan
    Pada kecelakaan penerbangan modern, hal seperti itu tampaknya jauh lebih jarang terjadi
    Mesinnya meledak dan serpihannya merobek separuh kabel, sayap, tempat penyimpanan bahan bakar, dan hidrolik, tetapi pesawat masih hampir sepenuhnya bisa dikendalikan dan bisa mendarat
    Coba lakukan hal yang sama pada mobil tanpa redundansi dan lihat seberapa lama ia bertahan
    Keindahan dunia penerbangan adalah semua orang mencoba belajar dari kesalahan dan membangun di atasnya
    Peristiwa ini pun tidak menimbulkan korban jiwa, tetapi melahirkan langkah-langkah yang membuat penerbangan di masa depan lebih aman
  • Menurut saya nada penuh kemenangan itu berasal dari grafik ini[0]
    Ada upaya sistematis dan disengaja untuk meningkatkan keselamatan penerbangan, meskipun ada tekanan komersial
    Model keju Swiss berarti ada jauh lebih banyak lapisan acak yang harus sejajar
    Banyak dari lapisan itu berasal dari kecelakaan sebelumnya, dan sama sekali tidak acak. Tentu saja tidak ada lapisan yang tanpa lubang
    Jika cakram itu terurai dengan cara berbeda, lapisan lain mungkin akan berlaku
    Apakah akan ada korban jiwa? Mungkin. Apakah pesawat akan langsung meledak? Tidak tahu
    Namun cukup jelas bahwa tanpa lapisan-lapisan itu, probabilitas hasil yang jauh lebih mengerikan akan meningkat besar
    [0] https://upload.wikimedia.org/wikipedia/commons/e/ef/Fataliti...
  • Fakta bahwa pesawat ini masih bisa dikendalikan setelah kehilangan 65% permukaan kendali roll akibat ledakan mesin besar adalah kemenangan bagi para insinyur pesawat itu
    Saya terkejut saat membaca bagian itu
    Tentu saja ada juga keberuntungan murni. Cakram-cakram itu bisa saja membelah pesawat menjadi dua, atau melukai fatal orang yang berada di jalurnya, tetapi sebagian besar badan pesawat terhindar
    Kita harus bersyukur atas setiap keberuntungan seperti itu
    Sulit untuk tidak melihat secara positif sebuah peristiwa yang berakhir dengan 0 korban jiwa dan 0 korban luka

• Menyebut seseorang sebagai “harta nasional” mungkin terdengar klise, tetapi Admiral Cloudberg melangkah lebih jauh: ia adalah harta dunia
  Kyra telah menulis begitu banyak artikel hebat dengan nom de cloud itu
  Pilih tulisan mana saja, dan Anda akan mempelajari sesuatu
  https://news.ycombinator.com/from?site=admiralcloudberg.medi...

  • Ada juga podcast video
    Seharusnya yang seperti itu yang diputar, bukan sampah sensasional yang sekarang muncul di TV

• Ada pilot-pilot luar biasa yang mampu menjalankan tugas di bawah tekanan yang sangat besar
  United Flight 232 adalah contoh yang lebih ekstrem daripada tulisan ini
  https://en.wikipedia.org/wiki/United_Airlines_Flight_232
  “Meski ada korban jiwa, kecelakaan ini dianggap sebagai contoh baik dari manajemen sumber daya awak yang berhasil. Mayoritas penumpang selamat, dan bahkan pilot uji berpengalaman di simulator tidak mampu mereproduksi pendaratan yang memungkinkan penumpang selamat. Ini dianggap sebagai salah satu pendaratan paling mengesankan dalam sejarah penerbangan dan disebut ‘pendaratan yang mustahil’”
  Pesawat kehilangan seluruh sistem hidrauliknya, dan harus dikendalikan hanya dengan mesin untuk melakukan pendaratan darurat

  • Errol Morris membuat dokumenter luar biasa tentang UA232
    Salah satu pilot menatap langsung ke kamera dan menceritakan kisahnya
    https://www.youtube.com/watch?v=nf33RDu_D6M
  • Kisah yang menakjubkan. Bagian ini khususnya menarik perhatian
    “Tim penyelamat baru menemukan puing-puing kokpit dan empat awak yang masih hidup di dalamnya 35 menit setelah kecelakaan”
    Sulit membayangkan menunggu diselamatkan selama 30 menit tanpa tahu apakah para penumpang selamat atau tidak
  • Penulis yang sama juga menulis tentang insiden ini
    https://admiralcloudberg.medium.com/fields-of-fortune-the-cr...
  • Selain insiden ini, saya hanya tahu satu kasus pesawat lain yang mendarat meski kehilangan hidraulik
    https://en.m.wikipedia.org/wiki/2003_Baghdad_DHL_attempted_s...

• Saya nyaris kecanduan analisis kecelakaan penerbangan dari Mentour Pilot
  Di sini juga dibahas lebih mendalam
  https://www.youtube.com/watch?v=JSMe1wAdMdg

  • Saya suka Mentour Pilot, tetapi hasil akhir insidennya baru diungkap di bagian akhir
    Tulisan Admiral Cloudberg lebih mirip Columbo. Pertama-tama diberi tahu apa yang terjadi, lalu mundur ke belakang untuk menemukan dan menjelaskan detail-detail kecil yang menjadi penyebabnya
    Dalam beberapa hal, pendekatan itu jauh lebih logis
    Mentour Pilot harus terus berkata “ingat ini, nanti akan penting”
    Namun karena kita tidak tahu mengapa itu penting, kita jadi tidak mengingatnya, dan akibatnya narasinya kurang jelas
  • Saya juga tadinya ingin menyebut Mentour Pilot
    Saya menemukan kanal itu dalam setahun terakhir, dan terutama menikmati pembahasan dari sudut pandang pilot
    Jika Anda menyukai tulisan ini, kemungkinan besar Anda juga akan menyukai Air Disasters
    Tergantung wilayah, acara itu juga dikenal sebagai Air Crash Investigations atau Mayday
    Isinya cukup mendetail berdasarkan laporan kecelakaan dan tidak dibuat sensasional, tetapi tidak sedalam tulisan ini

• Yang menarik perhatian saya adalah rentang kecepatan aman saat pendekatan pendaratan sangat sempit
  Jarak antara kecepatan stall dan kecepatan maksimum agar tidak melewati ujung landasan hanya sekitar 3–4 knot
  Kalau mempertimbangkan semua hal lain yang harus dilakukan awak, mendaratkan pesawat dengan aman benar-benar merupakan keterampilan menerbangkan yang hebat

  • Benar. Pesawatnya sangat berat, dan untuk mendapatkan jarak berhenti yang memungkinkan, mereka pada dasarnya harus mendarat pada kecepatan stall
    Bahkan, peringatan stall berbunyi tepat sebelum touchdown, jadi mereka memang hampir melakukannya
    Dari tulisannya, perhitungannya tampak disusun agak darurat dengan memasukkan beberapa override, sehingga mereka tampaknya mendekatinya dengan hati-hati karena sebagian asumsi mungkin membutuhkan margin kesalahan
    Tulisan yang benar-benar bagus dan menakjubkan
    Pujian untuk tim operasi Qantas, terutama para pilot. Mereka jelas orang-orang yang tahu kemampuan mereka
    Pujian juga untuk tim engineering Airbus. Ini kemenangan besar bagi sistem redundan
    Menarik juga bahwa perhitungan jarak berhenti diperbaiki sebagai bagian dari analisis pascainsiden