Dzisiejsza awaria systemu w Polskiej Agencji Żeglugi Powietrznej skłoniła nas do przygotowania niniejszego materiału. W związku z licznymi, często nieprecyzyjnymi lub mylącymi komentarzami pojawiającymi się w przestrzeni publicznej na temat funkcjonowania systemu zarządzania ruchem lotniczym (ATM) w sytuacjach kryzysowych, przedstawiamy podstawowe informacje wyjaśniające, jak w praktyce działają służby kontroli ruchu lotniczego (ATC) w przypadku awarii.
Materiał ten ma na celu przybliżenie mechanizmów operacyjnych, które wyjaśniają między innymi powody występowania opóźnień, przyczyny wstrzymywania odlotów przy jednoczesnej realizacji lądowań oraz okoliczności, w których możliwe są wybrane starty.
System kontroli ruchu lotniczego w dużej mierze opiera się na infrastrukturze radarowej, ale w praktyce stanowi znacznie bardziej złożone środowisko operacyjne. Kluczowe jest zrozumienie różnicy między radarem, który odpowiada za wykrywanie obiektów w przestrzeni i przekazywanie danych o ich położeniu, prędkości i kierunku lotu, a wskaźnikiem radarowym, czyli ekranem, na którym przetworzone informacje są prezentowane kontrolerowi – łącznie z danymi z planów lotów.
Wskaźnik jest jedynie końcowym ogniwem złożonego procesu technologicznego, obejmującego urządzenia radarowe, systemy przetwarzające dane oraz narzędzia planistyczne. Dlatego błędne interpretacje sugerujące, że awarii ulega „wyświetlacz do przewidywania ruchu”, nie oddają rzeczywistego charakteru potencjalnych zakłóceń. Jeden z takich przekazów pojawił się dziś w mediach – wskazując na awarię „jednego z wyświetlaczy” – co może wprowadzać w błąd opinię publiczną co do skali i natury problemu.
Awarie wskaźników radarowych rzeczywiście mogą się zdarzać, jednak mają one zazwyczaj charakter techniczny lub lokalny i nie skutkują automatycznym przejściem całego systemu w tryb awaryjny. W takich przypadkach operacje mogą być kontynuowane z wykorzystaniem innych dostępnych stanowisk lub zgodnie z przewidzianymi rozwiązaniami operacyjnymi.
Warto podkreślić, że obraz widoczny na wskaźniku to wynik integracji wielu źródeł danych, a nie samodzielna funkcja jednego urządzenia. Rozumienie tej różnicy ma kluczowe znaczenie w kontekście rzetelnej oceny sytuacji operacyjnej.
Systemy podstawowe ATM oferują szereg funkcjonalności, które znacząco automatyzują i usprawniają pracę służb kontroli ruchu lotniczego. Należą do nich automatyczne funkcje takie jak powiązanie tracku z planem lotu, generowanie i przekazywanie powiadomień między sektorami oraz organami kontroli, a także inne procesy związane z zarządzaniem ruchem w czasie rzeczywistym.
Utrata części funkcji systemu podstawowego w wyniku awarii wymusza przejście na tryb zapasowy, który – mimo że zapewnia ciągłość działania – wiąże się z ograniczoną efektywnością operacyjną. W takiej konfiguracji konieczne jest wprowadzenie ograniczeń w ruchu lotniczym, a kontrolerzy muszą przejąć wiele procesów, które normalnie odbywają się automatycznie. To przekłada się na większe obciążenie personelu i wydłużenie czasu niektórych operacji, co bezpośrednio wpływa na przepustowość systemu.
Poszukiwanie przyczyn
Każda awaria, niezależnie od jej charakteru, wymaga w pierwszej kolejności precyzyjnego rozpoznania przyczyny. Wbrew potocznym wyobrażeniom, służby operacyjne nie otrzymują natychmiastowej informacji o źródle problemu. Diagnozowanie zakłóceń w działaniu systemów zarządzania ruchem lotniczym jest procesem stopniowym i opartym na analizie zdarzeń i sygnałów świadczących o nieprawidłowościach.
W praktyce rzadko dochodzi do natychmiastowego wyłączenia systemu podstawowego. Zazwyczaj mamy do czynienia z postępującą degradacją jego funkcjonalności. W takim scenariuszu system podstawowy wciąż działa, lecz pojawiają się symptomy wskazujące na możliwość utraty pełnej zdolności operacyjnej. Decyzja o przejściu na system zapasowy zapada zazwyczaj przed osiągnięciem krytycznego poziomu zakłóceń i należy do osób pełniących funkcje kierownicze w danym procesie operacyjnym.
Ocena sytuacji opiera się na bieżącej analizie stanu systemu i potencjalnego wpływu jego dalszej eksploatacji na bezpieczeństwo operacji. W przypadku oceny, że dalsze korzystanie z systemu podstawowego wiąże się z niedopuszczalnym ryzykiem, uruchamiane są procedury awaryjne. Celem tego działania jest zapewnienie ciągłości operacyjnej i utrzymanie pełnego poziomu bezpieczeństwa ruchu lotniczego.
Na wypadek wystąpienia poważnych zakłóceń opracowywane są scenariusze awaryjne przewidujące różne warianty zdarzeń oraz szacowany czas potrzebny na przywrócenie pełnej funkcjonalności systemu. Tego rodzaju plany operacyjne stanowią integralną część zarządzania kryzysowego i są wdrażane w zależności od skali oraz charakteru problemu. Plany awaryjne stanowią nieodłączny element funkcjonowania każdej organizacji odpowiedzialnej za zapewnianie służb żeglugi powietrznej. Są one nie tylko narzędziem operacyjnym, ale przede wszystkim kluczowym komponentem systemu bezpieczeństwa.
Warto podkreślić, że plany awaryjne podlegają ocenie ze strony organu nadzoru. Regulator weryfikuje ich kompletność, adekwatność oraz gotowość do wdrożenia w ramach bieżącego nadzoru nad podmiotem odpowiedzialnym za świadczenie służb.
W systemach zarządzania ruchem lotniczym obowiązują rozwiązania umożliwiające przejście na tryb zapasowy w przypadku zakłóceń w pracy systemu podstawowego. W zależności od architektury operacyjnej danego kraju lub regionu, operacja ta może być przeprowadzana zarówno w tej samej lokalizacji operacyjnej, jak i w wyznaczonej sali rezerwowej.
Zapasowe pomieszczenia operacyjne wykorzystywane są w sytuacjach, gdy dalsze pełnienie służby w głównym ośrodku operacyjnym jest niemożliwe lub stwarza zagrożenie – np. w wyniku pożaru, zalania, zadymienia bądź innych incydentów mogących wpływać na bezpieczeństwo personelu. W pozostałych przypadkach procedury awaryjne są najczęściej wdrażane w obrębie tej samej sali operacyjnej, co minimalizuje czas przejścia i umożliwia szybką stabilizację sytuacji.
Ostateczna decyzja jednak o wyborze konkretnego rozwiązania podejmowana jest każdorazowo w zależności od bieżących potrzeb operacyjnych i charakteru zakłócenia.
Przełączenie się na środowisko zapasowe wymaga od kontrolerów wykonania szeregu standardowych czynności wynikających z zatwierdzonych procedur operacyjnych. Działania te mają na celu przywrócenie operacyjności w ograniczonym, lecz w pełni bezpiecznym zakresie.
Pomiędzy systemem podstawowym a zapasowym mogą występować różnice funkcjonalne, które mają wpływ na sposób prowadzenia operacji. To właśnie te różnice są główną przyczyną ograniczeń w ruchu lotniczym w czasie pracy w trybie awaryjnym.
W praktyce oznacza to konieczność dostosowania procedur i wdrożenia dodatkowych środków ostrożności, tak aby utrzymać ciągłość działania i pełne bezpieczeństwo operacji w przestrzeni powietrznej.
W trybie zapasowym priorytetowo traktowane są operacje lądowania, które mają na celu bezpieczne sprowadzenie statków powietrznych już znajdujących się w przestrzeni.
Niezależnie od kraju, jednym z podstawowych działań operacyjnych podejmowanych w sytuacjach awaryjnych, jest wprowadzenie ograniczeń w ruchu lotniczym. Celem takich działań jest minimalizacja ryzyka wystąpienia incydentu, zgodnie z zasadą ostrożności stosowaną powszechnie przez służby odpowiedzialne za bezpieczeństwo operacji lotniczych.
W przypadku poważnej lub całkowitej awarii systemu operacyjnego standardową praktyką jest tymczasowe ograniczenie ruchu lotniczego – tzw. „zero rate” – bez formalnego zamykania przestrzeni powietrznej. Informacja o wprowadzeniu takiego rozwiązania przekazywana jest właściwym instytucjom międzynarodowym, w tym przede wszystkim europejskiemu Network Managerowi.
Decyzja o zastosowaniu „zero rate” podejmowana jest na podstawie bieżącej oceny sytuacji operacyjnej i wpływu ewentualnej zmiany systemu na bezpieczeństwo ruchu lotniczego w danym obszarze odpowiedzialności. W wielu przypadkach możliwe jest przełączenie systemów bez konieczności wdrażania tak daleko idących środków, jednak każdorazowo decyzja należy do służb operacyjnych nadzorujących przebieg procesu.
Podczas trwania przełączenia systemów sytuacja w przestrzeni powietrznej jest stale monitorowana przez wyznaczony personel, który podejmuje dalsze działania w zależności od dynamiki zdarzeń i dostępnych zasobów operacyjnych.
W każdej sytuacji awaryjnej, w której dochodzi do poważnych zakłóceń w funkcjonowaniu systemu operacyjnego ATM, pierwsze decyzje dotyczą wstrzymania wszystkich operacji na ziemi. Oznacza to natychmiastowe zatrzymanie planowanych odlotów z lotnisk znajdujących się w rejonie objętym zakłóceniem. Wprowadzone ograniczenia wpływają również na statki powietrzne znajdujące się poza granicami kraju, ale planujące wlot lub przelot przez elementy przestrzeni dotknięte problemem – powodując ich opóźnienie lub konieczność zmiany planu lotu.
W operacyjnej konfiguracji awaryjnej priorytetem staje się obsługa ruchu już znajdującego się w przestrzeni powietrznej. Najważniejsze jest zapewnienie bezpiecznego przelotu i sprowadzenia samolotów do lądowania w sposób umożliwiający stopniowe zmniejszanie liczby operacji w powietrzu oraz przywracanie kontroli nad sytuacją operacyjną.
Dopiero po ustabilizowaniu pracy systemów i przeprowadzeniu ponownej oceny sytuacji możliwe jest stopniowe przywracanie przepływu ruchu lotniczego. W pierwszej kolejności podejmowane są decyzje o wznowieniu wybranych odlotów, zgodnie z aktualnymi możliwościami technicznymi oraz dostępnością zasobów operacyjnych.
Cyberatak?
W przestrzeni medialnej pojawiły się hipotezy sugerujące możliwość cyberataku jako przyczyny zakłóceń. Choć tego typu scenariuszy nie można całkowicie wykluczyć, należy traktować je z dużą ostrożnością – jako jedną z roboczych hipotez, a nie potwierdzony fakt.
Gdyby doszło do równoczesnego unieruchomienia zarówno systemu podstawowego, jak i zapasowego, instytucja odpowiedzialna za zapewnianie służb ruchu lotniczego stanęłaby przed koniecznością zawieszenia wszystkich operacji cywilnych.
Europa nie dysponuje obecnie szczegółowo przetestowanymi, operacyjnymi mechanizmami przekazywania odpowiedzialności za zarządzanie ruchem lotniczym pomiędzy państwami w sytuacjach nagłych – na przykład w przypadku zakłóceń systemowych, cyberataków czy incydentów o charakterze geopolitycznym. Choć podstawy prawne i deklaracje współpracy istnieją, brakuje procedur wdrożeniowych oraz przeszkolonego personelu gotowego do natychmiastowego przejęcia obowiązków operacyjnych w przestrzeni sąsiedniego kraju.
W ramach programu SESAR prowadzone są jednak działania mające na celu zwiększenie elastyczności systemu ATM. Jednym z takich projektów jest IFAV (Increased Flexibility of ATCO Validations), który koncentruje się na możliwości dynamicznego przydzielania kontrolerów ruchu lotniczego do różnych sektorów – niezależnie od ich macierzystej jednostki. Projekt zakłada wykorzystanie systemów wsparcia operacyjnego oraz standaryzację zadań, co w przyszłości może poprawić elastyczność reagowania i przepustowość systemu.
Mimo że koncepcja IFAV jest krokiem w dobrym kierunku, znajduje się ona nadal w fazie testów i nie stanowi obecnie gotowego rozwiązania dla sytuacji kryzysowych wymagających przekroczenia granic odpowiedzialności operacyjnej. W związku z tym uzasadnione jest pytanie, dlaczego dotąd nie opracowano w Europie realnych, operacyjnych planów awaryjnych opartych na współpracy państw sąsiednich – co mogłoby znacząco zwiększyć odporność całego systemu zarządzania ruchem lotniczym.
Podstawy prawne do takiej współpracy istnieją, między innymi w postaci operacyjnych umów dwustronnych i wielostronnych, jednak ich praktyczne wdrożenie wymagałoby nie tylko wspólnych ćwiczeń, ale także standaryzacji procedur i odpowiedniego przeszkolenia personelu. Obecny model licencjonowania oraz przypisania kontrolerów do określonych przestrzeni nie zapewnia wystarczającej elastyczności w warunkach kryzysowych i może ujawniać słabości w kontekście rosnących zagrożeń geopolitycznych.
Kontrola proceduralna w niebycie
Na koniec warto podkreślić, że w obecnych realiach operacyjnych zapewnienie kontroli ruchu lotniczego wyłącznie w oparciu o kontrolę proceduralną nie jest możliwe. Kontrola proceduralna to forma kontroli realizowana bez wykorzystania wskaźnika radarowego – oparta wyłącznie na planach lotu, raportach pozycyjnych załóg i sztywnych procedurach czasowo-przestrzennych.
Tego rodzaju działania nie znajdują obecnie zastosowania, chociażby ze względu na brak odpowiednich, operacyjnie zatwierdzonych procedur oraz brak stosownych uprawnień wpisanych do licencji kontrolerów ruchu lotniczego.
