Bài học từ vụ Flydubai: Trong hàng không, phương án B không bao giờ thừa

Những người từng làm việc trong một hãng hàng không có lẽ đều quen với hệ thống vé đi lại nội bộ dành cho nhân viên. Phần lớn những tấm vé ấy phụ thuộc vào chỗ trống trên chuyến bay, nhưng có một nhóm khác hẳn: phi công, thợ máy hay nhân sự kỹ thuật đang di chuyển để thực hiện nhiệm vụ khai thác thường được xếp ở mức ưu tiên rất cao.

Một chuyến bay có thể kín khách nhưng nếu người phi công ấy phải có mặt ở sân bay khác để nhận chuyến tiếp theo, hay một thợ máy phải tới nơi xử lý tàu bay nằm sân, việc đưa họ đi đúng nơi, đúng giờ trở thành một phần của cả dây chuyền khai thác.

Trong hàng không, những người tưởng như chỉ đang ngồi ghế hành khách đôi khi lại là một phần của phương án dự phòng. Vụ việc trên chuyến bay FZ1073 của Flydubai ngày 30/9 vừa qua cho thấy điều đó theo một cách không ai mong muốn.

Dự phòng để một sự cố không làm đổ vỡ cả hệ thống

Theo thông tin được công bố đến nay, chiếc Boeing 737 MAX 8 từ Dubai đi Tel Aviv gặp tình huống nghiêm trọng trong buồng lái khi cơ phó tấn công cơ trưởng và tìm cách giành quyền kiểm soát tàu bay.

Trên chuyến bay có hai phi công Flydubai đang di chuyển để thực hiện nhiệm vụ khác. Khi sự việc xảy ra, họ tham gia kiểm soát tình hình, tiếp quản buồng lái và đưa máy bay hạ cánh xuống Tabuk, Saudi Arabia. Cuộc điều tra của UAE vẫn đang tiếp tục, vì vậy còn nhiều chi tiết chưa thể kết luận.

Hàng không không thể chuẩn bị trước cho mọi biến cố, nhưng luôn cần một con đường khác đưa chuyến bay trở về an toàn. Ảnh minh họa: Nguyễn Huế

Điều đáng nói không phải là từ nay các hãng nên bố trí thêm phi công trên mọi chuyến bay. Hai người có mặt trên FZ1073 vì yêu cầu khai thác của hãng, chứ không phải vì người ta đã dự liệu trước một kịch bản như vậy. Nhưng sự tình cờ ấy lại gợi ra một nguyên tắc rất cũ của hàng không: không xây dựng an toàn trên giả định rằng mọi thứ sẽ luôn vận hành đúng như kế hoạch.

Một chiếc máy bay thương mại hiện đại được thiết kế với nhiều tầng dự phòng. Hệ thống điện có nguồn thay thế, thủy lực có nhiều kênh, thiết bị dẫn đường và thông tin liên lạc không trông chờ vào một thiết bị duy nhất. Mục tiêu là để một lỗi đơn lẻ khó có thể ngay lập tức đẩy chiếc máy bay vào tình trạng mất kiểm soát.

Chuyến bay Qantas 32 ngày 4/11/2010 là ví dụ thường được nhắc tới. Một động cơ của chiếc Airbus A380 vừa rời Singapore bị phá hủy, các mảnh vỡ làm hư hại nhiều hệ thống. Tổ bay vẫn đưa máy bay quay lại Changi và hạ cánh an toàn. Nhiều bộ phận đã hỏng cùng lúc nhưng vẫn còn đủ hệ thống và con người để kiểm soát tình hình.

Tư duy ấy còn hiện diện ở những thứ hành khách ít để ý hơn. Khi lập kế hoạch một chuyến bay, tổ lái không tính lượng nhiên liệu vừa đủ từ điểm đi đến điểm đến. Phải tính tới nhiên liệu dự phòng, sân bay dự bị trong những trường hợp cần thiết và lượng nhiên liệu cuối cùng phải duy trì. Sân bay đích có thể bình thường lúc cất cánh nhưng vài giờ sau gặp giông hoặc sự cố đường băng. Phương án khác phải được tính từ trước.

Con người cũng được tổ chức theo logic đó. Hãng phải xây dựng lịch bay trong giới hạn giờ bay, giờ làm nhiệm vụ và thời gian nghỉ đồng thời phải có cách xử lý khi phi công theo lịch bị ốm, chuyến trước chậm kéo dài hoặc tổ bay chạm giới hạn thời gian làm nhiệm vụ. Phi công dự bị vì thế không phải người “ngồi chờ vì chưa có việc”. Họ là một phần của khả năng duy trì khai thác khi kế hoạch ban đầu thay đổi.

Việc điều chuyển tổ bay cũng vậy. Trong tiếng Anh, deadheading hoặc positioning là việc hãng vận chuyển thành viên tổ bay tới nơi họ sẽ thực hiện nhiệm vụ. Nhìn trên sơ đồ ghế, đó vẫn là một hành khách. Nhưng nhìn ở cấp độ mạng khai thác, người ấy có thể là điều kiện để một chuyến bay khác cất cánh đúng giờ hoặc để lịch bay phía sau không bị đổ vỡ.

Bởi vậy, nếu chỉ nhìn từng chuyến bay riêng lẻ, một ghế dành cho phi công đang điều chuyển có thể bị xem như một ghế chưa bán được. Nếu nhìn cả hệ thống, ý nghĩa lại khác. Đôi khi thứ chưa được sử dụng hết chính là phần giúp hệ thống còn đường xoay xở khi có việc bất thường.

Tổ chức Hàng không dân dụng quốc tế (ICAO) dùng khái niệm resilience, có thể hiểu là khả năng duy trì hoặc khôi phục trạng thái an toàn khi gặp biến cố. Theo đó, khi một mắt xích bất ngờ mất đi, phần còn lại phải đủ sức giữ cho sự việc không đi xa hơn.

Điều này càng đáng chú ý khi hàng không luôn chịu áp lực tối ưu hóa. Tàu bay nằm đất là chi phí. Ghế trống là doanh thu mất đi. Nhân sự dự bị, thiết bị dự phòng hay khoảng thời gian đệm trong lịch khai thác đều tốn tiền. Nhưng nếu mọi thứ đều được đẩy tới sát giới hạn, hệ thống sẽ ít khả năng hấp thụ một biến cố bất ngờ hơn.

Dự phòng cũng không có nghĩa là càng nhiều càng tốt. Một hãng không thể giữ vô hạn phi công ngồi chờ, một sân bay cũng không thể xây mọi hạng mục gấp đôi để đề phòng. Câu hỏi thực tế hơn là mức dự phòng nào phù hợp với rủi ro của từng hoạt động và nếu phương án đầu tiên không còn dùng được thì phương án kế tiếp là gì.

Hàng không Việt Nam cần chuẩn bị gì khi quy mô khai thác tăng?

Ở Việt Nam, tư duy này đã thể hiện trong quy định về thời gian làm nhiệm vụ của tổ bay. Bộ Quy chế An toàn hàng không dân dụng quy định giới hạn giờ làm nhiệm vụ và giờ bay trong từng khoảng thời gian đồng thời có quy định về nhiệm vụ dự bị. Những con số ấy nhìn khá hành chính nhưng bản chất là để việc khai thác không dựa trên giả định rằng con người có thể làm việc liên tục mà năng lực vẫn không thay đổi.

Kiểm soát viên không lưu cũng có giới hạn thời gian trực tiếp điều hành tàu bay và thời gian nghỉ giữa các phiên làm việc. Những khoảng nghỉ ấy không tạo thêm chuyến bay nào nhưng một người đã mệt hoặc giảm tập trung có thể trở thành điểm yếu của cả hệ thống.

Bài toán này sẽ đáng quan tâm hơn khi hàng không Việt Nam bước vào giai đoạn phát triển mới. Sân bay Long Thành đi vào khai thác, mạng sân bay và đường bay mở rộng, nhu cầu nhân lực tăng lên. Khi sản lượng tăng nhanh, sức ép sử dụng tối đa tàu bay, hạ tầng và con người cũng lớn hơn. Một trục trặc nhỏ cũng dễ lan sang nhiều khâu hơn.

Với hãng hàng không, câu hỏi có thể rất cụ thể: Nếu vài tổ bay đồng thời chạm giới hạn giờ làm nhiệm vụ vì chuyến bay chậm kéo dài, lịch khai thác phía sau sẽ xử lý thế nào? Nếu một tàu bay hỏng ở sân bay ngoài căn cứ chính, thợ máy và vật tư được đưa tới bằng cách nào? Nếu hệ thống công nghệ thông tin phục vụ điều hành bị gián đoạn, hãng còn phương thức nào để duy trì những chức năng thiết yếu?

Với sân bay và đơn vị bảo đảm hoạt động bay cũng vậy. Một nguồn điện dự phòng chỉ có ý nghĩa nếu được thử; một quy trình ứng phó chỉ đáng tin khi con người đã từng thực hành. Vì thế các kịch bản ít xảy ra vẫn cần được diễn tập: Mất điện, gián đoạn hệ thống công nghệ, đường cất hạ cánh phải đóng tạm thời hoặc nhiều chuyến bay chuyển hướng cùng lúc.

Qua những tình huống ấy, tổ chức cũng có thể nhìn ra nơi nào đang phụ thuộc quá nhiều vào một người, một thiết bị hay một nhà cung cấp duy nhất. Nếu một mắt xích như vậy gặp vấn đề mà không có phương án thay thế, đó mới là điều đáng lo.

Chi phí cho dự phòng chắc chắn không nhỏ. Nhưng trong hàng không, có những nguồn lực ít khi phải dùng tới và vì thế rất dễ bị coi là lãng phí. Một xe cứu hỏa sân bay tốt nhất là không bao giờ phải tham gia một vụ tai nạn lớn; điều đó không có nghĩa nó thừa. Một tổ bay dự bị có thể ngồi chờ cả ngày nhưng chỉ một lần họ có mặt đúng lúc cũng đủ để tránh một chuỗi chuyến bay phía sau bị hủy hoặc chậm kéo dài.

Hai phi công trên FZ1073 có lẽ bước lên máy bay với suy nghĩ rằng họ chỉ đang được đưa đến nơi thực hiện một nhiệm vụ khác. Không ai có thể dự liệu vài giờ sau họ sẽ phải tham gia xử lý một tình huống nghiêm trọng trong buồng lái.

Hàng không không thể chuẩn bị trước cho mọi biến cố nhưng một hệ thống tốt phải cố gắng để khi phương án đầu tiên không còn dùng được, vẫn còn một con người, một thiết bị hoặc một con đường khác đưa chuyến bay trở về an toàn.