– Det skal ikke kunne gå an at en enkeltfeil medfører at rotoren forlater helikopteret.
Avdelingsdirektør Kåre Halvorsen i Statens havarikommisjon for transport (SHT) satte ord på det mange har tenkt da den endelige rapporten etter Turøy-ulykken ble lagt fram i Bergen torsdag.
Girboksen må redesignes
Den direkte årsaken til at hovedrotoren løsnet på Turøy-helikopteret 29. april 2016, var et utmattingsbrudd i ett av åtte planetgir i andre trinn i den episykliske modulen i hovedgirkassa (MGB).
Alle tretten om bord i EC225LP-helikopteret omkom.
Utmattingen i planetgiret startet i lagerbanen på innsiden av tannhjulet og vokste ut mot tennene. Sprekken vokste og medførte en kollisjon med solgiret i midten, som igjen førte til at planetgiret knakk og umiddelbart rev av hele toppen av hovedgirboksen sammen med hovedrotoren.
Sprekken startet som et lite overflatesår og utviklet seg usynlig under overflata. Bakgrunnen for at dette oppsto var partikler i girboksen. Måten sprekken vokste på og utviklet seg på, er en tidligere ikke kjent feil.
– I vår undersøkelse har vi kikket på design, driftserfaring, materialvalg og belastning og konkludert med at denne girboksen har nådd et nivå der marginene for feil er for små, sa Halvorsen.
Derfor er SHTs sikkerhetstilråding rettet mot Airbus Helicopters at de bør revurdere designet til girboksen for å øke robustheten, påliteligheten og
sikkerheten.
- 370 Airbus-ansatte ble satt inn etter Turøy-ulykken: Slik jobber de for at det aldri skal skje igjen
Også dagens gir kan feile
Når det gjelder selve planetgiret, var det tidligere to leverandører av lager til disse girene, og utformingen var ikke hundre prosent identisk. Den geometriske utformingen av den ene lagertypen, som ga størst kontaktpress, ble brukt i ulykkeshelikopteret og nå tatt ut av drift. Det er ikke nødvendigvis alene godt nok.
– Vi ser i vår undersøkelse at mekanismen for brudd er lik for begge typer. Dersom forholdene ligger til rette for det, kan vi ikke se bort fra at også et gir med lager fra den gjenværende fabrikanten kan bryte sammen, sa Halvorsen under rapportframleggelsen.
I rapporten viser SHT til data, analyser og tester som ikke avkrefter at dagens planegir også kan ha potensial til å utvikle skjulte utmattingssprekker i materialet fra en skade på overflaten.
– Beslutninger angående luftdyktighet er ikke havarikommisjonens mandat, dette er tilsynsmyndighetens ansvar. I forbindelse med opphevelsen av flyforbudet har Airbus Helicopters vist for Easa at sannsynligheten for en tilsvarende ulykke er akseptabel med hensyn til fortsatt luftdyktighet, heter det i rapporten.
Airbus har i et eget vedlegg i rapporten, der de kommer med det de karakteriserer som «oppklarende tilleggsopplysninger». Her skriver helikopterprodusenten at de er enige i SHTs overordnede konklusjoner og analyser.
Også Airbus' egne undersøkelser peker på at det sannsynligvis var partikler i oljestrømmen i girboksen kan skadet en eller flere ruller i lageret, som igjen førte til «micro-pitting» på den ytre lagerbanen, men mener at sprekken som førte til bruddet ikke startet under overflata. Denne konklusjonen er på tvers av havarikommisjonens (side 125 i rapporten).
- Legger fram Turøy-rapporten: Airbus er uenig med havarikommisjonen
Gir ble jevnlig kassert
Etter dagens regelverket studeres kun slitasje girtennene, ikke det som skjer inne i giret. Da girboksen ble sertifisert i 2004, ble levetida på disse planetgirene sett på som nærmest uendelig, men ble satt med god margin til 4.000 timer.
– Det viste seg å ikke være tuftet på virkeligheten, sa Halvorsen på pressekonferansen på Flesland.
For undersøkelsen har nemlig vist at under ti prosent av andretrinns planetgir i Super Puma-helikoptrene EC225 og AS332L2, som har nær identisk girboks, oppnådde forventet levetid før de ble kassert under vedlikehold som følge av tegn på slitasje.
Havarikommisjonen er kritisk til at Airbus ikke har undersøkt hvorfor det var slik og etterlyser en systematisk analyse av kasserte planetgir slik at denne problematikken ble forstått. Ikke minst i etterkant av ulykken med et AS332L2 (G-REDL) på britisk sektor i 2009 der et tilsvarende planetgir brøt sammen. Alle 16 omkom i ulykken.
– Airbus behandlet ulykken i Skottland primært som et resultat av en vedlikeholdsfeil. Tiltakene etter G-REDL var ikke tilstrekkelig for å hindre nytt rotortap og oppfølgingen burde vært grundigere både fra Airbus og Easa, sa Halvorsen.
I undersøkelsen av denne ulykken, ble faktiske ikke den britiske havarikommisjonen gjort kjent med at helikopteret brukte to ulike planetgirdesign.
I den endelige G-REDL-rapporten, som kom i november 2011, er det 17 tilrådinger, flere av dem går direkte inn på sertifisering og tiltak knyttet til girboksens komponenter og luftdyktighet, for eksempel tilråding 2009-075:
Den sier at Easa og produsenten (daværende Eurocopter) snarest bør gjennomgå design, levetid og inspeksjonsrutiner av planetgirene i de episykliske moduelene i hovedgirkassene på AS332L2- og EC225LP-helikoptre, for å minimalisere risikoen for at eventuelle sprekker utvikler seg til brudd.
Presentasjon på ulykkesdagen
Easas respons på dette den gang var at det allerede var gjort betydelig arbeid med å revurdere planetgirdesignen og vedlikeholdsrutiner, og at produsenten også hadde foretatt en omfattende gjennomgang av det samme.
Ifølge SHT var det faktisk bare noen timer før Turøy-ulykken skjedde at Airbus holdt en presentasjon for Easa om status for det såkalte G-REDL-testprogrammet. Der ble det vist til partikler funnet i hovedgirboks og produsenten framhold at deteksjon ble ivaretatt av magnetplugger og filter og at sikkerheten var ivaretatt med gjeldende vedlikeholdsrutiner.
– Det er likhetstrekk til G-REDL-ulykken i 2009, men fordi det ikke fantes klare beviser den gangen, var det umulig å iverksette tiltak som kanskje kunne ha forhindret LN-OJF-ulykken, skriver Airbus i en epost.
G-REDL-testprogrammet ble for øvrig kraftig forsinket på grunn av andre presserende tekniske problemer: Helikoptertypen ble satt på bakken i sju måneder i 2012 og 2013, som følge av at to EC225-helikoptre måtte nødlande i Nordsjøen med havarert hovedgirboks (MGB) med sprekk på samme sted i akslingen.
Deteksjon
De fleste sikkerhetstilrådingene går nettopp til europeiske luftfartsmyndigheter (Easa).
Når det gjelder girbokssertifiseringa, er den basert på at dersom det oppstår sprekkvekst i et gir, vil det også medføre betydelig avskalling. Noe som ikke skjedde i Turøy-helikopteret. Dette var verken forventet eller hensyntatt, og SHT mener at det må stilles strengere krav til framtidige girbokser.
Prinsippet da girboksen ble konstruert, var altså at løse partikler skal dette fanges opp og varsles. I tillegg til at det her er vist at det kan skje katastrofale feil uten at det frigis partikler i særlig grad, har det tidligere deteksjonsssystemet vist seg lite effektivt. Magnetene plukket kun opp cirka 12 prosent av partiklene som ble frigitt i oljen.
Airbus framholder at den nye såkalte «full flow magnet plug» (FFMP), som nå er installert på H225, tar 80 prosent av partiklene. Planetgirene nå maksimalt tusen timer før de erstattes med nye. Dessuten er størrelsen og mengden partikler som tolereres langt mindre enn før og inpeksjonsfrekvensen er hyppigere.
I tillegg er det blitt strengere regler for hvordan girboksene skal vedlikeholdes for å forsikre at det ikke kommer fremmedlegemer inn i systemet som senere kan bidra til skader på planetgirene og avskalling.
Da er man tilbake til utgangspunktet i SHTs tilråding til Airbus, nemlig en redesign av selve girboksen der denne type feil ikke truer dens strukturelle integritet og der man slipper å være avhengig av deteksjons- og inspeksjonsmetoder som har vist seg å ikke være pålitelige.
Havarikommisjonen finner det spesielt tvilsomt at man her har endt opp med å være avhengig av evnen til å detektere og tolke metallpartikler på noen få mm2 i giroljen for å forhindre katastrofale feil.
SHT er også kritiske til Easa/FAAs beslutning om å oppheve flyforbudet allerede i oktober 2016.
– Dette skjedde på et tidspunkt der det fortsatt gjenstod viktige aspekter av undersøkelsen. Vi hadde forventet en mer forsiktig tilnærming ettersom ulykken dreide seg om feil på en kritisk del som hadde utløst to katastrofale ulykker, heter det i rapporten.
- For ett år siden: Derfor mener Luftfartstilsynet at Super Puma er trygge å fly igjen
