EXCLUSIVE | क्या लायन एयर, एयर इंडिया 171 हादसे बोइंग की डिज़ाइन खामी की ओर इशारा करते हैं?

*द फेडरल* की यह दो-भाग वाली विशेष जाँच रिपोर्ट बोइंग 737 मैक्स 8 (लायन एयर और इथियोपियन एयरलाइंस) के हादसों और हालिया एयर इंडिया 171 (बोइंग 787 ड्रीमलाइनर) क्रैश के बीच संभावित समानताओं की पड़ताल करती है। जाँच का पहला भाग ड्रीमलाइनर के कॉमन कोर सिस्टम (CCS) में संभावित डिज़ाइन खामी पर केंद्रित है। पहले के MCAS फेल्योर की तरह, CCS भी “सिंगल पॉइंट ऑफ फेल्योर” हो सकता है, जैसा कि एयर इंडिया हादसे में कई सबसिस्टम के एक साथ फेल होने से संकेत मिलता है। हमारे निष्कर्ष बताते हैं कि यह हादसा पायलट की गलती की बजाय डिजिटल प्रणाली की विफलता से जुड़ा हो सकता है।

छह साल से अधिक पहले, खराब सेंसरों ने लायन एयर फ़्लाइट 610 और इथियोपियन एयरलाइंस फ़्लाइट 302 पर सवार 346 लोगों की जान ले ली थी, क्योंकि बोइंग 737 में डिज़ाइन की खामी थी। अगर हम कहें कि बोइंग ड्रीमलाइनर 787 में भी ऐसी ही खामी हो सकती है—जो 12 जून को अहमदाबाद में दुर्घटनाग्रस्त हुआ और 260 लोगों की मौत हुई—तो? और यह कि इसमें कोर नेटवर्क की विफलता हुई—जो विमानन दुर्घटना जाँच ब्यूरो (AAIB) की प्रारंभिक रिपोर्ट से मेल खाती है? और यह सिर्फ खामी नहीं, बल्कि वही “स्मोकिंग गन”, एक सिंगल-पॉइंट-ऑफ़-फेल्योर सिस्टम हो सकता है?

कोर नेटवर्क क्या है? और आसमान में उड़ते एक मशीन के लिए सिंगल पॉइंट ऑफ फेल्योर का क्या मतलब है?

इन सवालों का जवाब लायन एयर और इथियोपियन एयरलाइंस हादसों को देखकर समझते हैं।

पुराने हादसे

2015 से पहले, बोइंग ने अपने पुराने 737 डिज़ाइन में (जो 1960 के दशक से लगातार अपडेट हो रहा था) एक सॉफ़्टवेयर पैच जोड़ा—ताकि महंगे नए पायलट प्रशिक्षण नियम लागू न हों। यह पैच था MCAS (Manoeuvring Characteristics Augmentation System)।

अक्टूबर 2018 में लायन एयर फ़्लाइट 610 हादसे में करीब 190 लोगों की मौत हुई। जाँच में पाया गया कि MCAS ने बार-बार विमान की नाक नीचे धकेली, क्योंकि सेंसर से गलत डेटा मिल रहा था। बोइंग ने न तो इसे सही से उजागर किया और न ही पायलटों को प्रशिक्षित किया। कारण—MCAS सिर्फ एक एंगल-ऑफ़-अटैक सेंसर पर निर्भर था।

बड़ी डिज़ाइन खामी

एविएशन में हर महत्वपूर्ण सिस्टम के बैकअप होते हैं, सेंसर, कंट्रोल कंप्यूटर, हाइड्रोलिक्स, ताकि एक के फेल होने पर दूसरा संभाल सके। लेकिन MCAS में ऐसा कोई बैकअप नहीं था। सेंसर के फेल होते ही सिस्टम ने लगातार नाक नीचे धकेली, जिससे विमान का एरोडायनमिक संतुलन बिगड़ गया।

इंडियन कैप्टन भाव्य सुनेजा की कोशिशों के बावजूद, लायन एयर का विमान जावा सागर में गिर गया, टेकऑफ़ के सिर्फ 13 मिनट बाद। सभी 189 लोग मारे गए।

मार्च 2019 में इथियोपियन एयरलाइंस फ़्लाइट 302 भी इसी वजह से क्रैश हो गया, 157 और मौतें हुईं। कुल 346 लोग सिर्फ एक कमजोर सेंसर की वजह से मारे गए।

डिजिटल ढहाव?

अब कल्पना करें कि एक सेंसर नहीं, बल्कि पूरी प्रणाली चुपचाप ढह जाए। बोइंग 787 ड्रीमलाइनर की डिजिटल रीढ़—कॉमन कोर सिस्टम (CCS)—में समस्या हो तो? यही सिस्टम उड़ान डेटा, इंजन लॉजिक, कॉकपिट डिस्प्ले, एवियोनिक्स, पावर डिस्ट्रीब्यूशन, सैटेलाइट कम्युनिकेशन और ब्लैक बॉक्स—सबको जोड़ता और नियंत्रित करता है।

अगर यह फेल हो जाए? और 260 लोग इसकी कीमत चुकाएँ?

AAIB की AI-171 कॉकपिट रिकॉर्डिंग में, इंजन पावर खोने के बाद एक पायलट ने ईंधन स्विच बंद करने पर सवाल उठाया, जबकि दूसरे ने इसे नकार दिया। यह सवाल अब इस बहस का केंद्र है कि क्या यह पायलट की गलती थी या किसी बड़े सिस्टम की विफलता का संकेत।

एक नेटवर्क, सभी पर हावी

एयर इंडिया 171 का हादसा शायद पहला ऐसा मामला है जिसमें पूरी तरह ऑटोमेटेड बोइंग जेट—जहां पायलट या मैकेनिकल गलती के बजाय डिजिटल सिस्टम की अचानक विफलता हुई हो—दुर्घटनाग्रस्त हुआ।

जैसे बोइंग 737 MAX का MCAS एक सेंसर पर निर्भर था, वैसे ही 787 ड्रीमलाइनर का एक *सेंट्रल नर्वस सिस्टम* है—CCS। इसके फेल होते ही कई सबसिस्टम एक साथ बंद हो गए:

RAT (Ram Air Turbine) का मिड-एयर में खुलना (पावर लॉस का संकेत)

पीछे का फ़्लाइट डेटा रिकॉर्डर कोई डेटा कैप्चर नहीं कर पाया

ACARS और SATCOM डेटा AAIB रिपोर्ट से गायब

ELT (Emergency Locator Transmitter)* कभी सक्रिय नहीं हुआ

मतलब—बैकअप पावर, फ़्लाइट डेटा रिकॉर्डिंग, ऑटोमैटिक मैसेजिंग, सैटेलाइट कम्युनिकेशन और क्रैश बीकन—सभी एक साथ फेल हो गए।

बोइंग बनाम एयरबस

फ्लाई-बाय-वायर तकनीक का पहला उपयोग एयरबस ने किया था, जिसमें कोर सिस्टम के बीच डिजिटल फायरवॉल होते हैं। इसमें पायलट के इनपुट को डिजिटल सिग्नल में बदलकर कंट्रोल किया जाता है।

एयरबस के दस्तावेज़ बताते हैं कि उसने अपने सिस्टम को अलग-अलग डोमेन (खंडों) में डिज़ाइन किया है, ताकि अगर एक डोमेन फेल हो जाए, तो बाकी ज़िंदा रहें। अगर मुख्य फ़्लाइट कंप्यूटर फेल हो जाए, तो इंजन, पंख या टेल के बैकअप सिस्टम स्वतंत्र रूप से काम कर सकते हैं।

बोइंग ने अलग रास्ता अपनाया। उसने 787 ड्रीमलाइनर को CCS (कॉमन कोर सिस्टम) के साथ बनाया, जो एक एकीकृत डिजिटल दिमाग है और सब कुछ जोड़ता है — फ़्लाइट कंट्रोल, FADEC (इंजन लॉजिक), एवियोनिक्स, ACARS, SATCOM, ELT, पावर सिस्टम और यहां तक कि ब्लैक बॉक्स भी। सब कुछ एक ही डिजिटल रीढ़ (backbone) पर रिपोर्ट करता है।

क्या इसका मतलब है कि अगर यह रीढ़ टूट जाए, तो पूरा शरीर ढीला पड़ सकता है?

बोइंग का दावा है कि CCS में कई परतों की रेडंडेंसी (backup व्यवस्था) है, जिसमें डुअल कॉमन कंप्यूटिंग रिसोर्स (CCR) कैबिनेट, स्वतंत्र डेटा बस और अलग-अलग सॉफ़्टवेयर डोमेन शामिल हैं। सरल शब्दों में, इसका मतलब है — दो अलग-अलग प्रोसेसर हब (CCR), डिजिटल ट्रैफ़िक को अलग-अलग कम्युनिकेशन लाइनों (बस) पर अलग रखना, और फ़्लाइट-क्रिटिकल व गैर-क्रिटिकल सॉफ़्टवेयर सिस्टम को डिजिटल रूप से सील compartments में रखना।

FAA की मंज़ूरी

FAA (फेडरल एविएशन एडमिनिस्ट्रेशन) ने 787 के कोर नेटवर्क यानी CCS आर्किटेक्चर को इसके टाइप सर्टिफिकेशन प्रोसेस के दौरान मंजूरी दी थी, और जनवरी 2008 में ही विशेष एयरवर्दीनेस कंडीशन जारी कर दी थीं, ताकि विमान में उस समय पहली बार इस्तेमाल हो रहे इंटीग्रेटेड डिजिटल नेटवर्क को ध्यान में रखा जा सके।

तब यह विश्वास था कि बोइंग की लेयर्ड रेडंडेंसी — जैसे डुअल CCR कैबिनेट, स्वतंत्र बस और सॉफ़्टवेयर पार्टिशनिंग — एकल-बिंदु विफलता (single-point failure) को रोकने के लिए पर्याप्त होगी।

लेकिन वर्षों में, साइबरसिक्योरिटी रिसर्चर (जैसे IOActive) और FAA खुद, सैद्धांतिक कमज़ोरियों की ओर इशारा करते रहे।

2020 में FAA ने नया दिशानिर्देश जारी किया, जिसमें स्वीकार किया गया कि भले ही 787 का डिज़ाइन शारीरिक और तार्किक रूप से रेडंडेंट है (यानी बैकअप हार्डवेयर और सॉफ़्टवेयर मौजूद हैं जो मुख्य सिस्टम के फेल होने पर संभाल लें), लेकिन सिस्टम का गहरा इंटीग्रेशन फिर भी कॉमन-मोड फेल्योर, डेटा करप्शन, या अप्रत्याशित इंटरैक्शन का कारण बन सकता है — ये कमज़ोरियां पुराने सर्टिफिकेशन मानकों से पूरी तरह कवर नहीं होतीं।

आसान शब्दों में

भले ही ड्रीमलाइनर में कई बैकअप लेयर हैं — जैसे जुड़वां कंप्यूटर या पैरेलल वायरिंग — लेकिन चूंकि इनमें से कई सिस्टम आपस में जुड़े हैं और डेटा पथ साझा करते हैं, एक ही गड़बड़ी (जैसे खराब सेंसर इनपुट या सॉफ़्टवेयर गड़बड़) कई सिस्टम को एक साथ प्रभावित कर सकती है।

इसे कॉमन-मोड फेल्योर कहते हैं।

इसे ऐसे समझिए — जैसे आपके फोन में दो GPS ऐप हों, जो अलग-अलग दिखते हैं, लेकिन दोनों एक ही खराब सैटेलाइट डेटा या करप्टेड मैप अपडेट पर निर्भर हों। दोनों आपको गलत रास्ता दिखाएँगे। FAA का इशारा यही खतरा था, खासकर 787 जैसे गहराई से इंटीग्रेटेड विमानों में।

सॉफ़्टवेयर कमजोरियाँ

2019 में IOActive की खोजों ने बोइंग के सुरक्षित डिजिटल विभाजन (compartmentalisation) के पूरे दावे को चुनौती दी।

रिसर्चरों ने सॉफ़्टवेयर कमज़ोरियां पाईं, जो एक सिस्टम को दूसरे में घुसने की अनुमति दे सकती थीं, जिससे CCS के भीतर क्रिटिकल और नॉन-क्रिटिकल फ़ंक्शन के अलग-अलग होने का दावा कमजोर हो गया।

उन्होंने यह भी चेतावनी दी कि बोइंग का CCR कैबिनेट (विमान का सेंट्रल कंप्यूटिंग हब) पर भरोसा — भले ही मॉड्यूलर और सैद्धांतिक रूप से अलग हो — असली, सेवा में चल रहे विमानों पर कठोर परीक्षण से नहीं गुज़रा था।

दूसरे शब्दों में, बोइंग की रेडंडेंसी कागज़ पर मौजूद हो सकती है, लेकिन उस पर टिकी सुरक्षा धारणाएं असली हालात में कभी परखी नहीं गईं।

यह तब तक था, जब तक एयर इंडिया 171 हादसा नहीं हुआ।

Aft-EAFR — एक और single-point failure

यह सिर्फ कोर नेटवर्क तक सीमित नहीं था। बोइंग ने फ़्लाइट डेटा आर्किटेक्चर को भी एकल-बिंदु विफलता का शिकार बना दिया।

अधिकांश एयरबस जेट्स में दो अलग इलेक्ट्रॉनिक एयरक्राफ्ट फ़्लाइट रिकॉर्डर (EAFR) (जिन्हें आमतौर पर ब्लैक बॉक्स कहा जाता है) होते हैं — एक आगे (नाक में) और एक पीछे (टेल में)। दोनों में स्वतंत्र बैटरी बैकअप होता है।

यह रेडंडेंसी सुनिश्चित करती है कि अगर आग या बिजली फेल होने से एक यूनिट बंद हो जाए, तो दूसरी फिर भी ज़रूरी फ़्लाइट डेटा और कॉकपिट वॉयस रिकॉर्ड कर सके।

लेकिन 787 में केवल आगे वाला EAFR बैटरी बैकअप के साथ आता है। पीछे वाला EAFR — जिसमें FADEC लॉजिक और इंजन कंट्रोल डेटा जैसे महत्वपूर्ण रिकॉर्ड होते हैं — पूरी तरह विमान की बिजली पर निर्भर करता है।

अगर बिजली चली जाए, या यूनिट गर्मी से खराब हो जाए, जैसा कि एयर इंडिया 171 में हुआ, तो ज़रूरी डेटा बस खो जाता है।

डिज़ाइन में अंतर

डिज़ाइन का यह अंतर और गहरा है।

एयरबस FADEC इनपुट और इंजन लॉजिक को दोनों रिकॉर्डर में रिकॉर्ड करता है, जिससे रेडंडेंसी और हादसे के बाद पुनर्निर्माण आसान होता है।

लेकिन बोइंग का आर्किटेक्चर FADEC डेटा सिर्फ पीछे वाले EAFR में भेजता है, जिससे जोखिम बढ़ जाता है।

तो जब पीछे वाला यूनिट फेल हो जाता है, जांचकर्ताओं के पास इंजन की गतिविधियों, थ्रॉटल सेटिंग, मोड ट्रांज़िशन, ऑटोत्थ्रॉटल लॉजिक — सबका रिकॉर्ड चला जाता है।

यह केवल थ्योरी नहीं था। AI 171 मामले में, आगे वाले EAFR ने थ्रस्ट लीवर को टक्कर तक आगे की स्थिति में दिखाया, यानी इंजन उच्च शक्ति पर थे।

लेकिन बाद में जांचकर्ताओं को फिज़िकल थ्रस्ट लीवर आइडल में मिले — सीधा विरोधाभास।

गहरा संकेत

यह अंतर एक गंभीर FADEC लॉजिक विसंगति की ओर इशारा करता है, जिसमें थ्रॉटल लीवर रिज़ॉल्वर सेंसर और उनका FADEC से डेटा बस के ज़रिए संवाद शामिल हो सकता है।

लेकिन चूंकि यह महत्वपूर्ण FADEC लॉजिक सिर्फ पीछे वाले EAFR में रिकॉर्ड था, और वह डेटा खो गया, इसलिए सटीक कारण सिर्फ अनुमानित किया जा सकता है, पक्के तौर पर नहीं कहा जा सकता — ऐसा चार बड़ी अंतरराष्ट्रीय एयरलाइनों के फ़्लाइट इंजीनियर और पायलट कहते हैं, जिनसे *The Federal* ने बात की।

बोइंग की अपारदर्शिता

और भी चिंताजनक यह है कि ऐसी विफलताओं के बाद बोइंग कितना गुप्त रहता है। एयरबस इसके विपरीत, हादसे के बाद FADEC इनपुट, मोड ट्रांज़िशन और थ्रस्ट कमांड की स्पष्ट रिपोर्ट सार्वजनिक करता है।

बोइंग अक्सर ऐसे डेटा को रोकता या संपादित करता है, यह कहकर कि यह मालिकाना सॉफ़्टवेयर है या कानूनी कारण हैं — जिससे जांचकर्ताओं और जनता के लिए यह समझना मुश्किल हो जाता है कि इंजन में असल में क्या गड़बड़ हुई।

तो भले ही पीछे वाले EAFR का डेटा न खोया होता, हमारे पास AI 171 की पहेली के कई हिस्से फिर भी अधूरे रह जाते।

(भाग 2 जल्द आ रहा है: मशीन ने कैसे फेल किया? संभावनाओं का एक सिहरन पैदा करने वाला सिलसिला।)