El vuelo ET302 de Ethiopian Airlines se estrelló seis minutos después del despegue de Addis Abeba en ruta a Nairobi el pasado 10 de marzo. Según las grabaciones del CVR y el relato de los controladores, el piloto mencionó que “tuvo dificultades” y pidió regresar al aeropuerto poco después del despegue. Todas las alarmas saltaron al encontrarse similitudes con el accidente del vuelo JT610 del 29 de octubre de 2018. La relación con el accidente del avión de la aerolínea Lion Air, que se estrelló en las costas de Indonesia poco después de su despegue de Yakarta y en el que murieron 189 personas, parece razonable.
En el accidente de Indonesia tras el despegue (y después de recoger Flaps/Slats), los pilotos tuvieron problemas con el compensador automático. A los pocos minutos, el ‘segundo’ (copiloto) le pidió al controlador que confirmara la altitud y la velocidad de la aeronave (datos que se muestran en la pantalla del radar del controlador). Esto es prueba inequívoca de lectura no fiable de los instrumentos a bordo. Poco después reportó un «problema con los mandos de vuelo» y la tripulación se enfrentó a graves problemas desde el inicio del vuelo como el desacuerdo entre las señales de los indicadores de AOA y los indicadores de velocidad.
Los datos erróneos del vuelo JT610 (sobre todo de un sensor de AOA, Ángulo de Ataque) indicaban al sistema que el morro del avión estaba más alto de la altitud real lo que provocó que el MCAS (nuevo sistema que incorpora el B737 MAX), picara hacia abajo con compensaciones automáticas del estabilizador horizontal. Los datos del registrador de datos de vuelo (FDR) muestran que la tripulación realizó movimientos periódicos de encabritado para contrarrestar el MCAS. Esto causó fluctuaciones de altitud durante los últimos cinco minutos del vuelo antes de caer en el mar de Java. Los pilotos intentaban corregir la situación, pero el sistema autónomo se conectaba una y otra vez (al no ser anulado por la tripulación): luchaban contra el avión en lugar de desconectar la supuesta ayuda que funcionaba erróneamente.
Al día siguiente, del accidente de Addis Abeba, Etiopía y otros países como Brasil, China, Sudáfrica, Indonesia, China y Corea del Sur anunciaron que suspendían las operaciones de sus flotas de 737 MAX 8 “hasta nuevo aviso”. Esta decisión se tomó en buena medida debido a las similitudes entre ambos accidentes: mismo modelo, misma fase de vuelo (tras el despegue comenzaron los problemas) y parecidos problemas reportados por la tripulación.
La seguridad y la industria
Las tasas de accidentes son las más bajas de cualquier sistema de transporte y tienden asintóticamente a cero. Esta tendencia se mantiene, reduciendo las tasas desde los años 50. Esto no es casual ni una simple consecuencia de los avances tecnológicos, sino del trabajo sistemático y coordinado de todos los agentes implicados.
Un diseño no sólo se piensa para cumplir una función determinada, sino que también se tiene se tiene en cuenta el HMI (“Human Machine Interface”). Básicamente afectará a los mandos de control (palancas y botones) así como a las indicaciones y avisos en cabina que les proporcionen información del estado del sistema (activado, desactivado, en transición, manual, automático, etc.).
Una disciplina clave a la hora de evaluar la aeronavegabilidad de un sistema, es decir, su seguridad en vuelo, es la llamada “Safety Engineering”. Una de las metodologías que se emplean en esta evaluación de la seguridad es el SSA o Análisis de Seguridad Del Sistema, que evalúan los ingenieros y aprueban las autoridades y donde se estiman y prevén todas las condiciones de fallo con sus correspondientes “causa-efecto” que eventualmente pueden ocurrir. En función de estos resultados se habilitan medidas que anulen o mitiguen cualquier efecto indeseable que pueda llevar asociada una condición insegura, es decir, que afecte a la aeronavegabilidad.
Por último cabe reseñar que un accidente casi nunca tiene una única causa. Estadísticamente está muy estudiado cómo convergen una media de cinco factores concurrentes para producir un accidente, como son un fallo específico en un sistema, pérdida de redundancia y fallos adicionales, condiciones ambientales y/o operativas adversas, condiciones organizativas y de procedimiento y el factor humano. Este está presente en más del 80% de los accidentes. En el caso de la tripulación de vuelo, temas como la fatiga, la coordinación entre ambos pilotos y el entrenamiento en simulador se han revelado claves en la reducción de la siniestralidad. Sin ánimo de señalar ninguna responsabilidad, sí que es llamativo que en el caso de Etiopía, el copiloto (“First Officer”) tuviera una experiencia de vuelo de 350 horas. Como baremo baste señalar que en países como USA se requiere un mínimo de 1.500 FH para obtener la licencia de Piloto de Líneas Aéreas (ATPL) y poder operar aviones comerciales de este tipo.
Así funciona el MCAS
En el caso de que se encontrara involucrado el mismo sistema de mando de vuelo que se vio envuelto en el pasado accidente de Indonesia, estaríamos hablando del MCAS (Maneuvering Characteristics Augmentation System). Se trata de un software para aumentar la seguridad de las maniobras en ciertas condiciones.
El B737 MAX ha sido el modelo que más rápidamente ha vendido Boeing acumulando más de 5.000 pedidos hasta la fecha. El principal cambio introducido en la familia MAX es la instalación de motores con mayor empuje y rendimiento respecto a sus predecesores. Parapoder acomodar este en el diseño anterior se realizaron cambios estructurales como reposicionar las góndolas de los motores (más grandes, más adelantadas y elevadas) respetando la baja altura de las alas del diseño original. Esto modifica el centro de gravedad y el comportamiento aerodinámico, lo que provoca una mayor tendencia al encabritado (morro arriba al meter gases a tope) al producirse un incremento de sustentación con altos ángulos de ataque.
Paradójicamente es con objeto de aumentar la seguridad y evitar la entrada en pérdida inadvertida, por lo que Boeing implementó el MCAS. Esta modificación se introdujo superando un proceso de certificación que incluyó una campaña de vuelos de prueba. Uno de los principales elementos de seguridad en este proceso es el mencionado SSA, también realizado en este caso. Una de las principales medidas mitigadoras de riesgo (en caso de consecuencias graves) es la tradicional ‘redundancia’ con que se diseñan los sistemas aeronáuticos para que sus funciones tengan siempre una forma de respaldar o sustituir algún elemento cuando este falle. Naturalmente este proceso también es susceptible de error y de ahí la continuidad en la vigilancia de la aeronavegabilidad, ya mencionada, tanto de la DOA como de las autoridades.
El sistema incorpora dos interruptores “STAB TRIM CUTOUT” independientes para detener la acción descontrolada sobre el estabilizador, desconectando los servos del AP y de Trim que pueden actuar sobre el EH. Es un paso de último recurso incluido en la lista de verificación del piloto cuando acontece que <<el movimiento de compensación del estabilizador no comandado se produce continuamente>> (“uncommanded stabilizer trim movement occurs continuously”). En el procedimiento de estabilizador descontrolado (“runaway stabilizer procedure”) el piloto tiene medios de anular (o ‘puentear’) esta lógica de control mediante interruptores eléctrico e incluso mediante mando manual sobre la rueda del compensador.
Según los datos recogidos en el FDR la tripulación del vuelo JT610 (en octubre en Indonesia) aparentemente no activó estos interruptores.
Sin embargo hay “pequeñas” diferencias en las formas de desactivación del auto-trim (compensación automática del EH), respecto de modelos anteriores que no incorporaban el MCAS:
En los modelos anteriores cuando el PF tira (o empuja) con fuerza de la palanca de control(“Yoke”), los sistemas automáticos sobre el EH se desconectaban (AP y STS). Sin embargo, el nuevo MCAS suprime esta función, manteniendo ‘activo’ el sistema.
La actuación manual del piloto, si bien interrumpe la acción automática y desconecta los servos de control, no desconecta el sistema que vuelve a activarse en cuanto el piloto deja de presionar y los parámetros de lectura siguen siendo los mismos (como una lectura errónea del AOA en el caso de Indonesia).
Más concretamente, el sistema deja de actuar a los diez segundos (funciona en pulsos de 9,6 segundos) y el piloto corrige con el interruptor de Trim eléctrico mientras tira de la palanca. A los 5 segundos, si persiste el AOA alto, el MCAS vuelve a empezar a actuar. Además la acción del MCAS sobre el EH es 4 veces superior a la del resto de sistemas automáticos y en consecuencia la ‘sensación artificial’ de oposición que siente el piloto por parte de la palanca. La inhibición del mando automático del EH al accionar la palanca de control es lo que habían aprendido los pilotos en sus sesiones de simulador hasta ahora.
Se mantienen otras 2 formas de inhibir el mando automático del EH, pero estas encomendadas a la acción del PM: las ya mencionadas con los interruptores “STAB TRIM CUTOUT” y accionando manualmente sobre la rueda del compensador.
La arquitectura del sistema se desalinea con la postura tradicional de Boeing de otorgarle al piloto el control total de la aeronave al permitir al nuevo sistema de control de vuelo automático MCAS actuar en segundo plano sin advertir al piloto. En este sentido, encontramos un punto crítico respecto de los mínimos de entrenamiento de los pilotos requerido por el fabricante.
Medidas Correctoras
La respuesta fue inmediata tanto en el caso del Lion Air JT610 como en el actual ET302 de Ethiopian Airlines. Al ser el fabricante de US se ve afectada la FAA, y en función de la matrícula del avión, las autoridades aeronáuticas de los países de origen de los operadores. No obstante, otras autoridades (como EASA, TC, etc.) toman las medidas que consideran oportunas respecto de las aeronaves de matrícula propia y respecto del sobrevuelo de su espacio aéreo.
La FAA emitió la Directiva de Aeronavegabilidad de Emergencia (AD) 2018-23-51 el 7 de noviembre de 2018. Y emitió una Notificación de Aeronavegabilidad Continua a la Comunidad Internacional (CANIC), el 11 de marzo de 2019, CANIC 2019-03 con información sobre las medidas de mitigación en progreso, que obliga a Boeing a mejorar el diseño del sistema a no más tardar de abril del 2019.
Por su parte el constructor del avión Boeing, emitió el OMB TBC-19 con procedimientos operativos en caso de procedimiento de estabilizador descontrolado (“runaway stabilizer procedure”) y en especial con datos erróneos de AoA.
Desde el accidente de Lion Air, está desarrollando mejoras de diseño del MCAS así como actualización de los requisitos de entrenamiento y los manuales para la tripulación asociados.
En nota de prensa Boeing reiteró que el manual de operaciones de vuelo de Max (FCOM) ya describe los procedimientos existentes para manejar de manera segura una situación en la que existan datos erróneos de un sensor AOA. “El piloto siempre será capaz de anular las leyes de control de vuelo asistido utilizando el control eléctrico o el manual del compensador”.
En definitiva, y como se dijo antes, el accidente probablemente se produjo por un error en la actuación del sistema de compensación unido a un error humano, como consecuencia de la posible falta de conocimiento sobre el protocolo de actuación en caso de fallo del sistema.
