קרני שמש או ליקוי מאורות – הכשל באיירבאס A320 בראי הנדסת האיכות
מאת אמנון מרגלית – מכללת מסד
האירוע האחרון שטלטל את עולם התעופה העולמי, במסגרתו קורקעו אלפי מטוסי איירבאס A320 בעקבות כשל תוכנה וחומרה, מהווה מקרה בוחן (Case Study) קלאסי עבור כל העוסקים בניהול איכות. הדיווחים על קרינת שמש ששיבשה את מחשב בקרת הגובה, והובילה לצניחה לא מתוכננת של מטוס ג'טבלו, הם הרבה מעבר לידיעה חדשותית, הם הדגמה חיה למחזור החיים של טיפול באי-התאמה בסדר גודל גלובלי. עבורנו, כמובילי איכות, זהו השיעור המעשי הטוב ביותר ליישום עקרונות הנלמדים באופן תיאורטי במכללת מסד.
חשיבה מבוססת סיכונים: איפה היה הכשל?
אבן היסוד בתקני האיכות המודרניים כגון ISO 9001 ו AS9100 היא חשיבה מבוססת סיכונים. במקרה של איירבאס, מערכת בקרת הטיסה תוכננה לקבל נתונים מחיישנים שונים. הסיכון שלא נצפה במלואו, או שההסתברות לו הוערכה בחסר, היה ההשפעה של התפרצויות שמש (קרינה אלקטרומגנטית חיצונית) על רכיבי החומרה ומערכת העיבוד. כפי שאנו מלמדים במכללת מסד, ניהול סיכונים אפקטיבי דורש בחינה של תרחישי קיצון סביבתיים כבר בשלבי הפיתוח.
הכשל הכפול: כשל מוצר וכשל תהליך
כאנשי איכות עלינו לזהות כי באירוע זה מתקיים "כשל כפול". הרובד הראשון הוא כשל המוצר – הרכיב הפיזי והתוכנה שלא עמדו בעומס הקרינה. אולם, הרובד העמוק והמטריד יותר הוא כשל תהליך הפיתוח. השאלה הקריטית שחייבת להישאל היא מדוע תקלה כזו לא זוהתה בשלב הפיתוח? תהליך פיתוח תקין כולל בתוכו "שערים" ומנגנוני בקרה שאמורים לזנות כשלים מסוג זה טרם שחרור המוצר. במקרה זה, ניכר כי מערך הסינון כשל במספר נקודות מפתח עליהן אנו דנים בקורסי האיכות במכללת מסד:
- סקר סיכונים של תהליך הפיתוח (RMP – Risk Management Plan) – האם בתוכנית ניהול הסיכונים זוהה האיום של "Environment Stress" (סיכון סביבתית) ברמה מספקת? נראה כי ניתוח הסיכונים לא ירד לרזולוציה הנדרשת של השפעת קרינה קוסמית על רכיבי ה MEMS הספציפיים במערכת.
- סקרי תכן (Design Reviews) – בסקרי התכן (PDR/CDR) , אמורה להתבצע בחינה ביקורתית של עמידות המערכת. העובדה שהכשל הגיע למוצר המבצעי מעידה כי בשולחן הדיונים לא נשאלו השאלות הקשות לגבי תרחישי קיצון אלקטרומגנטיים, או שהתשובות שניתנו לא גובו בתיקוף מספק.
- מבחני הוכחת כושר (Qualification) – שלב הקואליפיקציה נועד להוכיח שהמוצר עומד בדרישות הסביבה, למשל עפ"י תקן DO-160 בתעופה. הכשל מצביע על פער מהותי בין פרופיל הבדיקות במעבדה לבין המציאות. ייתכן והבדיקות בוצעו בתנאים סטריליים מדי ולא דימו את השילוב הקטלני של חומרה ספציפית עם קרינה בעוצמה חריגה.
מאי-התאמה לפעולה – יישום מתודולוגיית הטיפול
ברגע שהתרחש האירוע ("התקלה"), עולם התעופה נכנס לפעולה לפי סדר הפעולות המדויק הנלמד בקורסי האיכות במכללת מסד:
- שלב ההכלה (Containment): הפעולה הראשונה והקריטית ביותר הייתה עצירת הדימום. הדיווח המיידי על התקלה הוביל להנחיה גורפת של הרגולטורים ויצרנית המטוסים לקרקוע המטוסים החשודים. זוהי בדיוק הפעולה של הפרדת המוצר הלקוי (Segregation) מיתר המוצרים התקינים. מטרת ההכלה היא להגן על הלקוח (במקרה זה, הנוסעים וחברות התעופה) מפני הסיכון המיידי, עוד בטרם נמצא הפתרון המלא.
- ניתוח סיבת שורש (Root Cause Analysis – RCA) – במקום להסתפק בתיקון זמני, מהנדסי איירבאס צללו לעומק הבעיה. הם זיהו כי לא מדובר רק בבאג בתוכנה, אלא באינטראקציה מורכבת בין קרינה חיצונית לבין רכיב חומרה ספציפי שגרמה למחשב להציג ערכים חריגים.
- ועדת MRB (Material Review Board) – הדיונים שנערכו בין איירבאס, יצרניות החלקים ורשויות התעופה הם הלכה למעשה דיוני MRB בדרגים הגבוהים ביותר. הוועדה נדרשה להחליט על גורל הציוד. האם לבצע תיקון (Rework) באמצעות עדכון תוכנה? האם נדרשת החלפה (Scrap/Replace) של רכיבי חומרה? ההחלטה התקבלה – שילוב של חזרה לגרסת תוכנה יציבה והחלפת רכיבים רגישים במטוסים מסוימים.
- פעילות מתקנת (Corrective Action) – היישום בפועל של החלפת החומרה ועדכון התוכנה הוא הפעילות המתקנת. מטרתה היא לא רק לתקן את המטוס הספציפי, אלא לשנות את תצורת הצי כולו כדי להסיר את גורם השורש.
הפספוס הגדול – פעילות מונעת
בקורסי האיכות במכללת מסד, אנו מדגישים את פעילות המניעה כעמוד תווך. המקרה הנוכחי הוא תזכורת כואבת למחיר של היעדר פעילות מונעת מספקת שנובעת ישירות מכשל התהליך שניתחנו קודם לכן. לו היה מתבצע ניתוח סיכונים מעמיק (RMP) ו תיקוף מלא בשלב הפיתוח התקלה הייתה נמנעת לחלוטין. עלות המניעה תמיד תהיה זולה עשרות מונים מעלות הכישלון הכוללת כעת ביטולי טיסות המוניים, פגיעה במוניטין ועלויות לוגיסטיות אדירות.
בדיקת אפקטיביות ומבדקים פנימיים
התהליך לא מסתיים בתיקון. השלב הבא, המוכר לכל לומד בקורסי האיכות במכללת מסד, הוא בדיקת אפקטיביות הפעילות המתקנת. חברות התעופה ואיירבאס יידרשו לבצע ניטור צמוד ומבדקים פנימיים כדי לוודא שהפתרון אכן עמיד לאורך זמן ושיישום הפעילות המתקנת מתבצע עפ"י נוהל מסודר. ללא סגירת מעגל זו, הטיפול באירוע אינו שלם.
סיכום
התמונה המלווה את הדיווחים, המציגה מטוסים מקורקעים ועוברים תחזוקה, היא המחשה ויזואלית לסעיף 8.7 בתקן ISO9001:2015 – בקרת תוצרים שאינם תואמים. עבורנו, אנשי האיכות, האירוע באיירבאס הוא קריאת השכמה לחשיבותה של מתודולוגיה סדורה המטפלת הן במוצר והן בתהליך הפיתוח שיצר אותו. רק הקפדה על זיהוי סיכונים פרואקטיבי, סקרי תכן קפדניים ומבחני קואליפיקציה ריאליסטיים יבטיחו את רמת הבטיחות והאיכות הנדרשת בתעשיות קריטיות.
