Publicaciones de la categoría: Técnica

El problema del fallo único

28 domingo Jul 2013

Posted by in Aviación, Cultura de seguridad, Técnica

≈ 5 comentarios

Etiquetas

, , , , , ,

No me gusta demasiado entrar en polémicas y por eso este blog no trata directamente de mi trabajo ni de temas de actualidad sino que suele buscar paralelismos entre acontecimientos presentes y otros del pasado. Eso cuando no busco algún incidente de aviación que creo que es interesante o decido simplemente escribir algo entretenido y me decido por narrar una historia de piratas. Pero hoy voy a hacer una excepción. La causa es el desgraciado accidente ferroviario en el que han muerto cerca de 80 personas.

Es lamentable que en estos casos se tienda a buscar una explicación rápida y sencilla sin aguardar a que se realice un informe de seguridad detallado e independiente. El resultado es que se busca un culpable, se le adjudica toda la responsabilidad y se finge que el sistema está bien diseñado y gestionado sin tener en cuenta que en un sistema complejo un fallo único no explica un accidente. Hace algún tiempo escribí un artículo sobre la colisión entre dos aviones sobre Überlingen en el que explicaba todos los fallos que se presentaron aquel día y cómo la prensa y el público se habían limitado a acogerse al mucho más sencillo y tranquilizador fallo humano. Mucho me temo que las cosas siguen igual.

Como no soy experto en ferrocarriles no voy a intentar un análisis, que en cualquier caso sería prematuro puesto que aún no tenemos todos los datos. Pero sí os contaré algo que puede dar un poco de luz. Hace ahora dos años yo estaba trabajando en un documento que debía presentar en una conferencia internacional y que trataba sobre la implementación de nuevos sistemas en la Gestión de Tráfico Aéreo. Una de las fuentes que empleé la obtuve de la FAA, la agencia gubernamental estadounidense que se encarga de la aviación. El documento en cuestión está disponible aquí y es una guía sobre la gestión de riesgos aplicada a la adquisición de sistemas. En la página 15 hay una tabla de la que yo hice mi propia versión para mi documento. Básicamente es lo que vemos a continuación.

TablaLa tabla es una matriz de gestión de riesgos. Por un lado tenemos la probabilidad de que ocurra un suceso y por el otro la gravedad de las consecuencias que se pueden derivar de dicho suceso. Aunque los términos estén escritos en inglés, creo que se entiende bastante bien. Aun así la explicaré con un poco más de detalle.

La probabilidad del suceso se puede dar de distintas formas, pero la más intuitiva es la frecuencia con la que se espera que se pueda repetir el evento. En nuestro caso la FAA, aplicando el concepto al control aéreo, nos da esa frecuencia tanto en una posición individual de control, como en un centro de control compuesto de muchas posiciones y también en el conjunto de todos los centros de control de Estados Unidos. Así, un suceso puede ser:

  • Frecuente: puede ocurrir una vez cada 3 meses aproximadamente en una posición individual, que es como decir que ocurrirá una vez al día o una vez cada dos días en el conjunto de todos los centros que forman el sistema.
  • Probable: Se calcula que ocurrirá varias veces al mes en el conjunto del sistema.
  • Remoto: Se espera que ocurrirá una vez cada pocos meses en el conjunto del sistema.
  • Extremadamente remoto: Se calcula que ocurrirá aproximadamente una vez cada 3 años en el conjunto del sistema.
  • Extremadamente improbable: Se calcula que ocurrirá como mucho una vez cada 30 años en el conjunto del sistema.

En el caso de la gravedad del suceso tenemos una escala que va desde catastrófico (el accidente) hasta la falta de efectos en la seguridad pasando por varios estados (cuasicolisión, necesidad de maniobra evasiva basada en el sistema anticolisión TCAS, etc.)

Los colores indican si el riesgo es o no aceptable y sirven de guía para introducir novedades en el sistema. El verde es aceptable, el rojo totalmente inaceptable y el amarillo implica que se puede realizar el cambio, pero debe estar sometido a seguimiento y evaluación. Por ejemplo, introducimos un nuevo componente cuya probabilidad de fallo es muy escasa, por lo que calculamos que en un único centro de control se produciría el fallo una vez cada 10 años o más y eso quiere decir más o menos una vez cada 3 años en el conjunto de todos los centros. Eso es un suceso extremadamente remoto. Si ese fallo implicara que podríamos tener un incidente severo, el color amarillo indica que sí que podemos introducir el cambio gracias a lo improbable de la situación, aunque siempre sometiéndolo a seguimiento; pero si consideráramos como muy posible que un fallo en ese componente diera lugar a un accidente el color rojo avisa de que no podemos introducirlo.

Veamos un ejemplo en el que aplicaremos la tabla a un motor de aviación. El fabricante nos dará todos sus parámetros, por lo que sabremos la probabilidad de que haya una pérdida de potencia. Lo peor que puede ocurrir es que ese caso se dé justo en el momento en el que el avión está en carrera de despegue y rotando, es decir, empezando a levantar el morro. Como las normas obligan a que el avión sea capaz de despegar aunque tenga un motor parado el caso no sería catastrófico, aunque sí muy grave. Si la fiabilidad es tal que el caso es extremadamente improbable la casilla es verde y podemos usar ese motor, pero si nuestro motor no es tan fiable y el caso entra en lo extremadamente remoto la casilla amarilla implica que tendremos que someterlo a vigilancia: por ejemplo obligando a guardar en cada vuelo un registro de determinados parámetros, para su análisis posterior. Si el motor es tan poco fiable que el fallo entra en lo remoto, probable o frecuente el color rojo deja claro que su instalación es inaceptable por motivos de seguridad.

En la tabla hay una casilla peculiar, porque no es roja ni amarilla, sino una mezcla: se trata de un suceso extremadamente improbable cuya presencia implicaría un posible accidente. Esa casilla se debe tratar como amarilla, pero debe ser considerada como roja en el caso de fallos de punto único. Es decir, un sistema así es admisible con supervisión, pero no si el fallo en ese punto único provoca el accidente. Volvamos al ejemplo del motor para entenderlo mejor.

Supongamos el motor más fiable del mercado. Tal y como hemos visto su fallo daría lugar a una situación muy peligrosa, pero no necesariamente a un accidente, así que se puede utilizar sin problemas. ¿Y si el avión fuera monomotor? En ese caso tenemos que su fallo, por muy improbable que fuera, sí echaría abajo nuestro sistema (el avión). Por lo tanto consideraríamos esa casilla como roja.

Sin embargo si en lugar de un motor estuviéramos considerando instalar un TCAS (sistema anticolisión) sería cierto que su fallo puede dar lugar a un accidente, pero para ello tendrían que darse previamente otros muchos errores, puesto que el sistema sólo funciona como último recurso. La casilla en este caso sería amarilla. (Para más detalles sobre cómo funciona el TCAS recomiendo una ojeada al artículo que mencioné al principio sobre el accidente de Überlingen).

La consecuencia de esa casilla está clara: no es admisible un sistema en el que el fallo de un único componente lleve a un resultado fatal. Y eso incluye cualquier componente del sistema, también el ser humano. Porque las probabilidades de fallo del ser humano son bastante indeterminadas, pero existen: una persona puede distraerse, cometer un error, sufrir un infarto, tener una perforación de estómago, ingerir un alimento en mal estado… cualquiera de estos incidentes puede incapacitar al componente humano del sistema y por eso hay que prever su fallo y buscar la forma de compensarlo.

Volvamos ahora al origen de este artículo. Ahora sabemos que un sistema bien diseñado y gestionado no puede depender en ningún momento de uno solo de sus componentes. Por eso es tan necesaria una investigación, exhaustiva e independiente, antes de juzgar, ya que la socorrida explicación del error humano significaría a lo sumo que un componente del sistema, el humano, ha fallado ¿pero qué pasó con el resto de componentes? ¿O es que quien diseñó el sistema confiaba en que había un componente de fiabilidad infinita que jamás iba a fallar? ¿O lo diseñó correctamente, pero el sistema se había degradado previamente al fallo humano? Y en ese caso ¿por qué se dejó que el sistema siguiera funcionando como si no hubiera pasado nada?

Como vemos hay muchas preguntas que pueden implicar no sólo a la parte operativa del sistema sino también a su diseño y gestión. Demasiadas cuestiones para responder en unas pocas horas y sin un análisis detallado. En cualquier caso se echa de menos el concepto de Cultura Justa (o Cultura de Equidad), según el cual el error no debe criminalizarse, sin que esto signifique que la negligencia quede impune. Pero los modelos de seguridad y el concepto de Cultura Justa merecen un artículo aparte que prometo escribir en breve.

Sobre hélices y turbinas

02 martes Jul 2013

Posted by in Aviación, Técnica

≈ 1 comentario

Etiquetas

, , , , , , , , , ,

Dicen que Dios nos dio dos ojos, dos orejas y una boca porque hay que ver y oír dos veces antes de hablar una sola y dicen también que el necio cuando calla puede pasar por discreto. En general abundan los refranes y consejos que insisten en la necesidad de no hablar antes de tiempo, y de pensar e informarse antes siquiera de abrir la boca, y si tanto se insiste en ello debe de ser porque el consejo es necesario. Eso al menos debe de estar pensando la senadora Ángeles Marra, que se ha visto ridiculizada en los medios por calificar de tercermundista a un avión de apenas seis años de antigüedad.

Los hechos son los siguientes: el día 24 de junio el vuelo Madrid-Vigo tuvo un problema de motor, nada más despegar de Barajas, que obligó a los pilotos a regresar inmediatamente, haciendo algo tan poco común en este aeropuerto como es tomar tierra en una de las pistas que se utilizan para despegues con el fin de acortar lo máximo posible el tiempo de vuelo. El aterrizaje se produjo, dadas las circunstancias, con relativa normalidad.

En cuanto a las reacciones al suceso, era de esperar la habitual unanimidad en las alabanzas a los pilotos y controladores que hicieron cuanto estaba en su mano para resolver un hecho tan grave como es una emergencia en vuelo y que lograron que todo concluyera felizmente. ¿Unanimidad he dicho? Pues no, porque la susodicha senadora perdió una magnífica ocasión de guardar silencio al afirmar que el avión era tercermundista y peligroso. Como el avión salió de fábrica hace apenas seis años, la afirmación ha quedado como ejemplo de declaración absurda. Y todo porque el avión no era un reactor, sino un turbohélice. Por desgracia es habitual que mucha gente piense que un avión de hélices es un avión obsoleto. Nada más lejos de la realidad.

Éste es el motivo de que hoy publique un tipo de artículo nuevo en este blog, a sumar a los de aeronáutica en general, historia y, ocasionalmente, arte; un artículo sobre técnica. En él intentaré explicar qué es un motor turbohélice y en qué se diferencia de lo que se conoce como motor de reacción, haciendo lo posible para no entrar demasiado en tecnicismos. Como las imágenes son muy útiles en estos casos echaré mano de nuestra vieja amiga, Wikipedia, para tener acceso a dibujos y animaciones que faciliten la comprensión de este tema.

Para empezar vamos con algo bastante familiar para casi todo el mundo: el funcionamiento de un motor de 4 tiempos. La animación lo deja bastante claro: se trata (1) de que entre aire (en este caso mezclado previamente con combustible), (2) comprimirlo, (3) provocar la combustión, esto es la reacción química del combustible y el aire, con la consecuencia de que el gas al expandirse provoca el movimiento del pistón y (4) expulsar los gases resultantes de la combustión. De esta forma se aprovecha en el paso 3 la energía química del combustible para hacer girar un eje al que podemos fijar, por ejemplo, una hélice. Y ya tenemos una forma de mover un avión que se utiliza desde que los hermanos Wright consiguieron despegar del suelo en 1903.

4-Stroke-EngineAhora vamos a seguir básicamente los mismos pasos, pero usando un mecanismo totalmente diferente, puesto que haremos que cada paso del proceso ocurra en una sección del motor diferente de la del paso anterior. Imaginemos el motor como un cilindro horizontal. En un extremo, por el que entrará aire, pondremos un compresor para, como su nombre indica, comprimirlo. En el centro del cilindro inyectaremos combustible para que se queme y la expansión resultante hará que los gases salgan a gran velocidad por el otro extremo, generando un empuje.

El problema es que necesitamos algo que mueva el compresor y sería absurdo poner otro motor para ese trabajo, así que en lugar de eso hacemos que los gases, antes de salir, aprovechen parte de la energía que tienen tras la combustión para mover una turbina. Si un compresor es un dispositivo que hacemos girar para comprimir un gas, una turbina es lo mismo funcionando al revés: el gas en expansión la hace girar. Sólo necesitamos unir el compresor a la turbina con un eje para que ésta, al girar, provoque el giro de aquél. El motor queda así:

800px-Jet_engine_spanish.svgAquí vemos un compresor con diecisiete etapas de compresión, a continuación la cámara de combustión, después la turbina, de tres etapas, y la tobera de escape. Este tipo de motor se conoce como turborreactor y presenta el aspecto de un cilindro delgado, como podemos ver en fotografías de reactores comerciales bastante antiguos, porque en la actualidad está en desuso. Se emplea un derivado muy, muy parecido, que se llama turbofán.

Si en un turborreactor ponemos, no una, sino dos turbinas, una a continuación de la otra, cuyos ejes sean concéntricos, podemos mover dos compresores, logrando mejor rendimiento en conjunto. Pero podemos hacer algo más: añadir a la entrada, girando junto al primero de los compresores, lo que se conoce como un fan, que viene a ser una sección muy ancha del compresor. Tan ancha que sólo una parte del flujo de aire (flujo primario) prosigue por el interior del motor en la forma que ya hemos visto, mientras que otra parte (flujo secundario) no entra en el núcleo del motor y va directamente al exterior proporcionando un empuje suplementario. Así tenemos nuestro turbofán, que es más eficiente que el turborreactor y por eso se emplea en aviación comercial.

800px-Turbofan_operation_-_es.svg¿Y si en lugar de un fan ponemos una hélice? Ningún problema, excepto que el compresor gira demasiado deprisa para fijar la hélice sin más, pero eso se resuelve poniendo unos engranajes para reducir la velocidad de giro. Así tendremos un motor básicamente igual a los anteriores, pero en el que la propulsión se deberá principalmente a la tracción de la hélice y en menor medida al empuje de los gases de escape. Se conoce como motor turbohélice y tal y como vemos funciona básicamente igual a un reactor.

800px-Turboprop_operation-es.svg

El turbohélice utiliza casi toda la energía de los gases de combustión en mover la hélice y provocar tracción y sólo un 10% ó 20% de la propulsión se debe al empuje restante tras pasar por la turbina. ¿Y por qué no usar toda la energía de los gases en las turbinas y sustituir la tobera de salida por un simple tubo de escape, renunciando al empuje? Nuestro motor tendrá la turbina de costumbre para mover el compresor y detrás otra que mueva un eje diferente. Así obtenemos lo que se llama una turbina de gas o motor turboeje. Es exactamente igual que el turbohélice, pero ahora no hay nada de empuje, toda la energía de los gases se dedica a mover lo que queramos. Puede ser una hélice, una locomotora, el coche de Batman, un generador de electricidad o el rotor de un helicóptero, que es una de las aplicaciones más comunes de las turbinas de gas.

800px-Turboshaft_operation-es.svgLa ventaja de este tipo de motores en general es la gran potencia que dan en relación a su peso, que es lo que se busca en aviación. Los motores de 4 tiempos han quedado relegados a la aviación ligera y deportiva mientras que los de turbina, en sus diferentes variantes sirven para aviones de caza, reactores de transporte, turbohélices o helicópteros.

Como vemos, no hay diferencia real entre el turbofán de un B 737 y el turbohélice de un ATR 42. Los motores son básicamente iguales y no se puede calificar a ninguno de ellos de obsoleto. Si queremos unir dos ciudades separadas por 3.000 Km. un turbofán es la opción natural, puesto que permite velocidades muy altas. Como su consumo es menor a gran altitud, los aviones que lo emplean vuelan en las capas más altas de la troposfera. Sin embargo para ciudades separadas por unos pocos cientos de kilómetros un turbohélice es una excelente opción. Si quisiéramos volar de Barcelona a Palma de Mallorca, por ejemplo, podríamos considerar usar un turbohélice, puesto que la mayor velocidad del turbofán no supondría un ahorro demasiado grande de tiempo, la poca distancia no permite subir a las altitudes a las que este tipo de motor tiene mejor rendimiento y en general los costes del turbohélice son menores debido a su menor consumo.

En resumen, las hélices siguen teniendo una larga vida por delante y no hay motivo alguno para preocuparse al subir a un avión que las emplee. Personalmente, cada vez que alguien me dice que tuvo que volar «en un avión muy viejo… ¡era de hélice!» le deseo que vuele en un Caravelle, que era un reactor que dejó de fabricarse hace más de 40 años. Aunque tampoco esto debería ser motivo de preocupación siempre que se cumplan las normas y el mantenimiento y la operación del avión sean los adecuados. Aunque se tratara de un antiguo DC 3. Una de las máximas de la aviación es: no hay avión demasiado viejo, sino mantenimiento inadecuado.

Propina para los entusiastas.

Para quienes disfruten con las curiosidades sobre motores voy a comentar algo más. En la cámara de combustión de los motores de turbina que hemos visto no se aprovecha todo el oxígeno del aire. No es posible, porque de hacerlo, quemando más combustible, la temperatura alcanzada sería demasiado alta para la turbina. Por eso los gases de escape tienen aún bastante oxígeno como para utilizarlos por segunda vez. Podemos aprovecharlos poniendo, justo antes de la tobera de escape, otro inyector de combustible para que los gases, nuevamente recalentados tras una nueva combustión, salgan al exterior sin necesidad ya de mover ninguna turbina. En ese caso lograremos un empuje extra al precio de un consumo disparatado. Es lo que se llama postcombustión y la emplean, por ejemplo, los aviones de combate cuando necesitan mucho empuje, como es el caso del F 18 de la imagen, que va a despegar desde una pista tan corta como es la de un portaaviones.

800px-FA18_on_afterburnerSi el vehículo avanza a gran velocidad puede que la compresión del aire motivada por el propio desplazamiento (lo que se llama compresión dinámica) sea suficiente para el motor y no necesitemos compresor ni, por tanto, turbina. A esto se le llama estatorreactor y es útil a velocidades muy altas, por ejemplo unas 5 veces la del sonido. Sólo hay que acelerar antes el vehículo por otros medios. Puede emplearse para un misil de crucero, por ejemplo.

472px-Estatoreactor.svg

Una curiosidad es el pulsorreactor. Aquí tampoco hay compresor ni turbina. Se deja entrar el aire, se abren unas válvulas que lo dejan pasar a la cámara de combustión, se inyecta el combustible y se quema, con lo que el incremento de presión cierra las válvulas y los gases tienen que salir por detrás provocando empuje y aliviando la presión, lo que vuelve a abrir las válvulas para que entre una nueva carga de aire. Aquí la combustión, a diferencia de los otros casos, no es continua. Este motor ya no se usa, pero es todo un histórico que equipó a las bombas volantes alemanas de la Segunda Guerra Mundial, las siniestras, aunque bastante ineficaces, V1. Pero la historia de este antepasado del misil de crucero merece artículo aparte.Pulsoreactor

AF 447

11 jueves Abr 2013

Posted by in Aviación, Técnica

≈ 5 comentarios

Etiquetas

, , , , ,

Los habituales de este blog ya sabéis que de vez en cuando me gusta hacer una incursión por asuntos relacionados con la seguridad aeronáutica. Hoy vamos a tratar de uno de los casos que más me intrigan, el del vuelo de Air France AF447, que cayó al Atlántico el 1 de junio de 2009 con 216 pasajeros y 12 tripulantes a bordo. Para estudiarlo me he basado principalmente en el informe final del accidente, disponible en francés aquí y en inglés aquí. Ambos pueden descargarse desde esta página en la que se incluyen enlaces a los anexos del informe. Para completar la información he acudido a esta otra página en la que se encuentra una transcripción más completa de las conversaciones de cabina, extraída de un libro titulado Erreurs de pilotage. Igualmente he tenido en cuenta algunos comentarios del libro Segundos para el desastre.

Aunque intentaré no entrar en excesivos detalles técnicos es inevitable explicar un concepto sin el que es imposible comprender lo ocurrido: el de la entrada en pérdida.

Entrando en pérdida

Un avión se sostiene en el aire gracias a la fuerza llamada sustentación, que tira de las alas hacia arriba y que está motivada por la diferencia de presiones entre la parte inferior y la superior del ala cuando ésta se desplaza a gran velocidad por el aire (o cuando el aire se mueve a gran velocidad alrededor del ala, que tanto da). Al ser la presión más alta por debajo que por encima, la fuerza sobre el conjunto del ala tira de ésta hacia arriba.

La sustentación depende, entre otras cosas, del denominado ángulo de ataque, que es el ángulo que forma el perfil del ala con el aire que incide contra ella.

Ángulo_de_ataque_de_un_ala

Imagen tomada de Wikipedia

En principio, cuanto mayor es el ángulo de ataque mayor es la sustentación, pero hay un límite. Cuando el ángulo de ataque crece demasiado, el valor de la sustentación baja bruscamente y ya no basta para vencer a la fuerza de gravedad, por lo que el avión cae. Se dice entonces que el ala entra en pérdida. Un valor típico de entrada en pérdida en vuelo a nivel del mar puede ser de unos 12 grados. En el caso de un avión comercial en vuelo de crucero, es decir, muy rápido y a gran altitud, el ángulo de entrada en pérdida es mucho menor, digamos de unos 6 grados aproximadamente, y probablemente me esté pasando en un par de grados.

En un avión el ángulo de ataque está íntimamente relacionado con la velocidad, de manera que cuanto mayor sea el ángulo de ataque más lento vuela el avión. Por eso se suele hablar de velocidad de entrada en pérdida, que es la velocidad mínima a la que el avión se sostiene en el aire y que se obtiene cuando el avión vuela con el máximo ángulo de ataque antes de entrar en pérdida. Si volamos a esa velocidad mínima y se nos ocurre tirar de la palanca para levantar el morro del avión, se iniciará la caída. Salir de ella no es difícil, pero requiere hacer algo poco intuitivo, como es bajar el morro del avión para reducir el ángulo de ataque: cuando uno está cayendo el instinto pide subir el morro del avión para que apunte hacia arriba, pero eso aumentaría el ángulo de ataque y la pérdida sería aún más pronunciada. Todos los pilotos, desde el que vuela un ultraligero hasta el de un A380 conocen esto perfectamente y todos saben cómo reaccionar en este caso.

A veces se habla de dos tipos de pérdida: la de baja, que es la que hemos explicado y se produce por velocidad demasiado reducida y la de alta, que es el caso contrario y en el que podríamos decir que el avión «se pasa de velocidad». En esta situación el avión se acerca demasiado a la velocidad del sonido y los efectos de compresibilidad del aire provocan determinados problemas (la famosa barrera del sonido) que pueden poner en peligro a la aeronave. En un avión comercial en vuelo de crucero y a alta velocidad es un fenómeno a tener muy en cuenta.

Los hechos

El avión, un Airbus 330, había despegado de Río de Janeiro y se dirigía a París. En plena noche, a las 2 de la madrugada hora UTC (es decir, la hora de Greenwich sin tener en cuenta el horario de verano) el comandante de la aeronave se retiró a descansar, dejando el avión en manos de los otros dos pilotos que estaban a bordo, ninguno de los cuales tenía el rango de comandante. En aquellos momentos el avión volaba a 35.000 pies de altitud en la zona de convergencia intertropical, un área cercana al Ecuador en donde con frecuencia el choque de masas de aire procedentes de los hemisferios Norte y Sur unidas al calor y la humedad de la zona provocan fenómenos meteorológicos tales como turbulencia, nubes tormentosas que alcanzan la estratosfera, etc.

Diez minutos después de que el comandante se ausentara comenzaron los problemas. Se habían formado cristales de hielo en los tubos de Pitot, que son las sondas que sirven para medir la velocidad con respecto al aire y en consecuencia el avión no tenía indicaciones fiables de su velocidad aerodinámica. En estas circunstancias, no pudiendo fiarse de los datos que recibía, el ordenador de a bordo actuó según lo previsto: desconectó el piloto automático, lo que devolvió el control a los pilotos. Pero éstos aparentemente quedaron totalmente tomados por sorpresa. El piloto al mando en ese momento era el menos experto de los tres de la tripulación, pero aun así no era ningún novato, y sin embargo las acciones posteriores parecen difíciles de explicar.

El piloto, probablemente como respuesta a un descenso brusco en el primer momento tras la desconexión, tiró de la palanca de mando (un joystick, en el caso del A330), lo que hizo subir al avión hasta los 38.000 pies en aproximadamente un minuto. La velocidad de ascenso llegó a ser de hasta 7.000 pies por minuto, que es más del triple de la velocidad normal de ascenso de un avión. En esas circunstancias el avión ya no subía por la sustentación de las alas, sino por el impulso que había tomado, como lo hace una piedra que se lanza hacia arriba, y por lo tanto iba perdiendo velocidad conforme subía. Finalmente no pudo sujetarse en el aire y comenzó el descenso. La alarma de entrada en pérdida estaba sonando, pero el piloto no actuó en consecuencia.

Habían pulsado ya el botón que avisa al comandante de que debe regresar a la cabina, pero éste tardó aproximadamente un minuto en volver. Cuando lo hizo se encontró una situación caótica: los pilotos bordeando el pánico, porque eran conscientes de que no tenían el control de la aeronave y no sabían qué estaba ocurriendo, mientras la alarma de entrada en pérdida no dejaba de sonar. Era realmente difícil que el comandante se hiciera cargo de la situación al instante. Para entonces el avión estaba bajando a unos 10.000 pies por minuto (unas cinco veces la velocidad normal de descenso) y estaba claramente en pérdida: ¡el ángulo de ataque era de 40º!. Apenas pasaron 2 minutos y 44 segundos desde el regreso del comandante hasta el impacto. En los últimos 45 segundos al fin parecieron comprender que durante todo el drama el copiloto había estado tirando de la palanca de mando hacia atrás, lo que hacía imposible salir de la pérdida. Demasiado tarde para solucionarlo. El lapso de tiempo desde la desconexión del piloto automático hasta el impacto fue de 4 minutos y 20 segundos.

¿Existe explicación?

Ésta es la pregunta que me hago y que me desconcierta. Los hechos dejan claro que el avión cayó porque las acciones del piloto lo llevaron a una entrada en pérdida irreversible. Pero ¿cómo pudo un piloto experimentado cometer semejante error? El aviso de pérdida sonaba y sin embargo él seguía tirando de la palanca sin comprender la situación. Esto no es normal, así que debe de haber factores que ayuden a comprenderlo. Vamos a rascar un poco más.

-Los problemas comenzaron cuando el avión dejó de tener información fiable de su velocidad aerodinámica debido a la formación de cristales de hielo en los tubos de Pitot. Éste era un problema conocido, puesto que según el informe, entre agosto de 2005 y marzo de 2009 hubo 16 incidentes por inconsistencias en la velocidad. A raíz del accidente se aceleró el programa de sustitución de los tubos de Pitot, que concluyó pocos días después.

-Los incidentes motivaron que existiera un programa de entrenamiento para vuelo con fallo de indicación de velocidad, que se practicaba, dice el informe, en configuración de despegue, por ser el caso considerado como más delicado, y no en el caso de vuelo en crucero, que es el que se presentó.

-El informe tiene un tono crítico cuando se refiere al momento en el que el comandante decidió ausentarse, precisamente en la zona de convergencia intertropical. Además dejó como piloto al mando al de menos experiencia de los dos. El informe cree que la zona intertropical era la que más requería de la experiencia de un comandante en la cabina. En este punto hay que mencionar que el autor de Segundos para el desastre está de acuerdo en la necesidad de la presencia del comandante, pero incide en el factor organizativo al criticar el que, necesitando tres pilotos para que puedan descansar por turnos, se vuele por motivos económicos con un comandante y dos copilotos en lugar de con dos comandantes y un copiloto, lo que aseguraría la presencia constante de un comandante en la cabina.

-Aparentemente es extraño que los pilotos no reaccionaran al aviso de entrada en pérdida. El informe menciona que puede ocurrir que la naturaleza intrusiva del aviso haga, paradójicamente, que termine por descartarse. También menciona la posibilidad de que el piloto creyera que se estaba produciendo el caso de pérdida por alta velocidad que mencionamos antes y por eso no comprendiera la naturaleza del problema. Además, los instrumentos no muestran al piloto el valor del ángulo de ataque, aunque paradójicamente el ordenador de a bordo sí tiene esa información y de hecho la utiliza para detectar la pérdida.

-Es muy importante tener en cuenta un detalle: en situación normal es imposible que un avión de ese tipo entre en pérdida. Aunque el piloto intentara provocar la pérdida a propósito no lo conseguiría, porque lo impediría el ordenador de a bordo. Si pudo hacerlo fue por la desconexión del piloto automático, provocada curiosamente por la necesidad de dar más control al piloto humano en un momento en que el fallo de valores fiables de velocidad desaconseja que el control esté en manos del ordenador. Es muy posible que el piloto simplemente hubiese asumido la imposibilidad de hacer entrar en pérdida al avión, de tal manera que no se diera cuenta de lo que estaba ocurriendo. Me gustaría resaltar una frase del informe:

Les conditions d’entraînement actuelles ne permettent pas de pallier à la fois une pratique au vol manuel inexistante en haute altitude et le manque d’expérience sur avions conventionnels. En outre, elles limitent la capacité des pilotes à acquérir ou maintenir des compétences de base de pilotage (basic airmanship).

(El tipo de entrenamiento actual no permite paliar la inexistencia de práctica en vuelo manual a gran altitud unida a la falta de experiencia en volar aviones convencionales. Más aún, limita la capacidad de los pilotos para adquirir o mantener las habilidades básicas de pilotaje).

Dicho de otra forma: dependemos tanto de la tecnología que ya no sabemos volar a mano.

-Para terminar, hace pocos días apareció en Le Point (y otros medios) esta noticia: el informe del accidente omitió que de las conversaciones de los pilotos se desprende que apenas habían dormido la noche anterior. El comandante llega a quejarse de que una hora de sueño no es suficiente. Curiosamente el informe sí menciona la fatiga en el párrafo 1.16.7 pero para descartar que haya indicios de su presencia. Y la fatiga importa. Son muchos los artículos sobre este tema en los que es frecuente que se compare la capacidad de individuos que llevan un periodo largo sin dormir con la de otros que han ingerido alcohol. Quienes sean curiosos encontrarán unos cuantos de estos artículos buscando alcohol, fatigue, performance en Google. La conclusión es que los efectos son parecidos.

Y ahora imaginemos que los pilotos, en lugar de encontrarse afectados de fatiga se hubieran tomado un par de copas, lo que tendría un efecto similar. Todo parece encajar mejor así porque se explica más claramente que el comandante le diera más importancia a retirarse a descansar que al mal tiempo, o que la sorpresa anulara de tal manera al piloto como para no ser capaz de comprender qué estaba ocurriendo. La gran diferencia es que un piloto bajo los efectos del alcohol es un escándalo y un piloto fatigado es una anécdota.

Dije al principio que este caso me intriga y lo sigue haciendo. Hay en él dos aspectos que me preocupan especialmente: el primero el hecho de que del informe se desprende que la tecnología, que debería ser una herramienta a nuestro servicio, se está convirtiendo en una muleta sin la que ya no sabemos trabajar. El segundo, que aunque progresivamente conocemos mejor los efectos de la fatiga, tan parecidos a los del cada vez más denostado alcohol, el artículo de Le Point apunta a que cuando ésta aparece se prefiere mirar hacia otro lado. Si al subir al avión viéramos al piloto sacar una petaca y dar un buen trago ¿volaríamos tranquilos?

Por supuesto ni la fatiga ni ninguna de las otras eventualidades es la única causa del accidente, sino un eslabón más en la cadena de circunstancias organizativas, de entrenamiento, tecnológicas, etc, que según hemos visto unen el fallo inicial, que era conocido por los incidentes previos, con el fatal desenlace. A posteriori es fácil pensar en remedios: se podrían haber cambiado antes los tubos de Pitot, o haber mejorado la formación en caso de fallo de indicación de velocidad en crucero, o haber incluido una indicación en cabina del ángulo de ataque, o haber volado con dos comandantes, etc, etc.

A la postre, por muchas barreras de seguridad que existan hay veces en que un fallo consigue colarse por los resquicios de todas ellas. Por eso es tan importante prestar atención a los incidentes, a esos 16 incidentes en este caso, que señalan por dónde puede abrirse camino el accidente.