EL VUELO 447 DE AIR FRANCE

¿Recuerdan la misteriosa desaparición de este vuelo que partió de Rio de Janeiro con destino Paris y nunca llegó a su destino? Despegó del aeropuerto Galeao el 31 de mayo de 2009 a las 19:29 hora local (22:29 UTC) y su último contacto por radio con la aeronave fue a las 01:35 UTC,. Como siempre sucede, tras unos días en portada de toda la prensa del mundo, otras noticias se impusieron y poco a poco la opinión pública olvidó la tragedia. Pero las investigaciones continuaron. El 6 de junio, las autoridades brasileñas confirmaron el hallazgo de 2 cadáveres y una maleta pertenecientes al vuelo 447. Los registradores de vuelo (las cajas negras, que realmente son de fuerte color rojo o naranja), fueron encontradas, una, la que registra los datos del vuelo, el 27 de abril de 2011 sin la unidad de memoria, que posteriormente fue hallada en buenas condiciones, a 4000 metros de profundidad, el sábado 1 de mayo, por lo que se esperaba tener finalmente más información al respecto de las causas del accidente. Días más tarde, el 3 de mayo, fue encontrada la segunda caja negra, que contiene las voces de cabina.

Es muy interesante la lectura de este artículo que formara parte de un relato más extenso acerca de los peligros de confiar ciegamente en los medios electrónicos para multitud de actividades humanas.

AIRBUS 2

AIRBUS A 330-300

Cuando un soñoliento Marc Dubois entró en la cabina de su avión, se encontró con una escena de confusión. El avión se sacudía con tanta fuerza que era difícil leer los instrumentos. Una alarma fue alternando entre chirridos y pitidos y una voz automática repetía: “STALL, STALL, STALL” (pérdida de sustentación). Sus copilotos Juniors estaban en los controles. En un tono tranquilo, el capitán Dubois preguntó: «¿Qué está pasando?»

La respuesta del copiloto David Robert era menos tranquila. «¡Hemos perdido por completo el control del avión, y no entendemos nada! ¡Hemos probado de todo!» La tripulación estaba, de hecho, controlando el avión. Una simple maniobra podría haber terminado con la crisis a que se enfrentaban, pero no la habían intentado. David Robert tenía razón en una cosa: que no entendía lo que estaba pasando.

Como William Langewiesche, un escritor y piloto profesional, describe en un artículo para la revista Vanity Fair en octubre de 2014, el vuelo 447 de Air France había comenzado bastante bien. Un despegue a su hora, las 19:29 del 31 de mayo de 2009, en dirección a Paris. De forma retrospectiva los tres pilotos tenían vulnerabilidades. Pierre-Cédric Bonin, de 32 años, era joven y sin experiencia. David Robert, de 37 años, tenía más experiencia, pero recientemente se había convertido en directivo de Air France y ya no volaba a tiempo completo. El capitán Marc Dubois, de 58 años, tenía experiencia en abundancia, pero había estado de gira por Río con un asistente de vuelo fuera de servicio. Más tarde se informó que sólo había tenido una hora de sueño.

Afortunadamente, pese a estos datos negativos, la tripulación estaba a cargo de uno de los aviones más avanzados en el mundo, un legendario Airbus 330, suave y fácil de volar. Al igual que cualquier otro avión moderno, el A330 tiene un piloto automático para mantener el avión volando en una ruta programada, pero también tiene un sistema de automatización mucho más sofisticado llamado fly-by-wire (literalmente volar por cable). En un avión tradicional el piloto tiene el control directo de los flaps, -el timón de cola y los alerones-. Esto significa que tiene suficiente margen para cometer errores. Fly-by-wire es más suave y, teóricamente, más seguro. Es un seguro entre el piloto, con todos sus defectos y limitaciones y la compleja mecánica del avión. Es en definitiva un cuidadoso traductor de órdenes entre el humano y la máquina, que analiza los movimientos de los controles del piloto, deduce cómo quiere el piloto que el avión se mueva y ejecuta esa maniobra perfectamente. Cambia un movimiento falto de fluidez en uno suave y elegante.

Esto hace que sea muy difícil estrellar un A330, un avión que tiene un excelente historial de seguridad: no se han producido accidentes en operaciones comerciales en los 15 años desde que se introdujo en 1994. Sin embargo, paradójicamente, existe un riesgo en la construcción de un avión que protege continuamente a los pilotos de incluso el más mínimo error. Esto significa que cuando ocurre una situación complicada, los pilotos tendrán muy poca experiencia para tratar de superar dicho reto.

La complicación en el vuelo 447 no parecía especialmente sobrecogedora: las tormentas sobre el Océano Atlántico, al norte de la línea ecuatorial son bastante habituales. No son, por tanto, un problema importante, aunque quizás el capitán Dubois estaba demasiado tranquilo (y somnoliento) cuando a las 23:02 hora de Río, se fue de la cabina de pilotos para una siesta, dejando al inexperto Bonin a los mandos.

Bonin parecía nervioso. El mínimo indicio de problemas produjo un estallido de ira: «Infierno de mierda. Mierda». Más de una vez expresó su deseo de volar a «3-6» (36.000 pies) y lamentó el hecho de que los procedimientos de Air France recomendaran volar un poco más bajo. Aunque es posible para evitar problemas cuando se vuela sobre una tormenta, hay un límite en la altura máxima a la que un avión puede volar con seguridad. La atmósfera se hace tan sutil que apenas puede sustentar la aeronave. Los márgenes de error se estrechan. El avión estará en riesgo de perder sustentación, pérdida de sustentación que se produce también, cuando el avión intenta ascender en un ángulo demasiado vertical. En ese ángulo las alas ya no hacen su función sustentadora y la aeronave no se comporta correctamente[1]. Pierde la velocidad aerodinámica y se desploma sin gracia en una posición de morro arriba.

Afortunadamente, una gran altura[2] ofrece mucho tiempo y espacio para corregir la pérdida de sustentación. Se trata de una maniobra fundamental para aprender a volar un avión: el piloto empuja el morro del avión hacia abajo y en una zambullida como de buceo, recupera la velocidad y las alas vuelven a trabajar correctamente. El piloto tira luego suavemente del mando y se recupera de nuevo el nivel de vuelo.

Conforme el avión se aproximaba a la tormenta, comenzaron a formarse cristales de hielo en las alas. Bonin y Robert conectan, el sistema anti-hielo para evitar demasiada acumulación que hace perder sustentación. Robert indicó a Bonin un par de veces virar a la izquierda, evitando lo peor de la tormenta.

El avión comenzó a dar violentas sacudidas. El copiloto corrigió con fuertes tirones del mando. Cometió un error muy simple.

Entonces sonó una alarma. El piloto automático se había desconectado. Un sensor de velocidad del aire se había helado y dejo de funcionar. No es un problema importante, pero requiere que los pilotos tomen el control manual. Pero algo más sucedió al mismo tiempo y por la misma razón: el sistema fly-by-wire se redujo a un modo operativo que daba al piloto menos ayuda y más libertad para controlar el avión. A falta de un sensor de velocidad, el avión no pudo ayudar a Bonin.

La primera consecuencia fue casi inmediata: el avión comenzó a moverse a derecha e izquierda, Bonin trataba de corregir con fuertes tirones del mando. Luego cometió un error simple: tiró hacia atrás del mando de control y el avión comenzó a subir abruptamente.

A medida que el morro del avión se levantó y empezó a perder velocidad, la voz automatizada gritaba en inglés: «PERDIDA. PERDIDA. PERDIDA”. A pesar de la advertencia, Bonin mantuvo la palanca en subida, y en los negros cielos sobre el Atlántico el avión subía a una sorprendente velocidad de 7.000 pies por minuto. Sin embargo, la velocidad del avión se iba perdiendo; pronto comenzó a deslizarse hacia abajo a través de la tormenta y hacia el agua, 37.500 pies por debajo. ¿Se habían dado cuenta Bonin o Robert de lo que estaba sucediendo y que podrían haber solucionado el problema, en sus primeras etapas? No, no lo hicieron. ¿Por qué?

El origen del problema era el sistema que tanto había hecho para mantener a salvo muchos A330 durante 15 años, a través de millones de millas de vuelo: el cable fly-by-wire. O, más exactamente, el problema no era el fly-by-wire, sino el hecho de que los pilotos se habían acostumbrado a confiar en él. Bonin sufría un problema llamado modo de confusión. Tal vez no se dio cuenta de que el avión había cambiado al modo alternativo que le proporcionaría mucha menos ayuda. Quizás sí sabía que el avión había cambiado el modo, pero no comprendía plenamente la implicación: que su avión entraría en pérdida. Esa es la razón más plausible, Bonin y Robert ignoraron la alarma, asumían que esto era la forma en que avión les decía que estaba interviniendo para evitar una pérdida de sustentación. En resumen, Bonin llevó la aeronave a pérdida porque en su interior sentía que era imposible que la aeronave entrara en pérdida.

Agravó esta confusión la falta de experiencia de Bonin en volar un avión sin ayuda de la computadora. Aunque había pasado muchas horas en la cabina del A330, la mayor parte de esas horas se habían utilizado en el seguimiento y ajuste de los equipos del avión en lugar de volar manualmente la aeronave (sin las ayudas de los sistemas). Y del reducido número de horas dedicadas a volar manualmente el avión, casi todas se dedicaron a despegar o aterrizar. No es extraño que se sintiera tan impotente frente a los mandos.

Los pilotos de Air France «eran terriblemente incompetentes», escribió William Langewiesche, en su artículo de Vanity Fair. Y él creía saber por qué. Langewiesche argumentó que los pilotos simplemente no estaban acostumbrados a volar su avión en altitud sin la ayuda de la computadora. Incluso el experimentado capitán Dubois estaba oxidado: de las 346 horas que había estado a los mandos de un avión durante los últimos seis meses, sólo cuatro estaban en control manual, y hasta entonces había tenido la ayuda plena del sistema fly-by-wire. A los tres pilotos se les había negado la posibilidad de practicar sus habilidades porque el avión era por lo general el que hacía el vuelo solo.

Este problema tiene un nombre: la paradoja de la automatización. Se aplica en una amplia variedad de contextos, desde los operadores de centrales nucleares hasta la tripulación de los buques de crucero, desde el simple hecho de que ya no podemos recordar los números de teléfono porque tenemos todos ellos almacenados en nuestros teléfonos móviles, a la manera en que ahora luchamos con la aritmética mental, porque estamos rodeados de calculadoras electrónicas. Cuanto mejores sean los sistemas automáticos, más fuera de práctica estarán los operadores humanos, y más extremas las situaciones a las que tendrán que enfrentarse. El psicólogo James Reason, autor de “Error humano”, escribió: «El control manual es una actividad altamente especializada y necesita ser practicado de forma continua con el fin de mantener las habilidades. Sin embargo, un sistema de control automático que sólo raramente falla niega a los operadores la oportunidad de practicar estas habilidades básicas… Cuando se toma el control manual es por lo general porque algo ha ido mal; esto significa que los operadores tienen que ser más y no menos cualificados con el fin de hacer frente a estas condiciones extraordinarias».

La paradoja de la automatización tiene tres aspectos. En primer lugar, los sistemas automáticos facilitan la incompetencia por ser cada vez más fáciles de operar y corrigen automáticamente los errores. Debido a esto, un operador inexperto puede funcionar durante un largo tiempo antes de que su falta de habilidad se haga evidente. Su incompetencia es una debilidad oculta que puede persistir casi indefinidamente. En segundo lugar, incluso si los operadores son expertos, los sistemas automáticos erosionan sus habilidades mediante la eliminación de la necesidad de la práctica. En tercer lugar, los sistemas automáticos tienden a fallar ya sea en situaciones inusuales o de manera que producen situaciones inusuales, que requieren una respuesta especialmente hábil. Un sistema automático más capaz y fiable empeora la situación.

Hay aún muchas situaciones en las que la automatización no crea tal paradoja. Una página web de servicio al cliente puede manejar las quejas y solicitudes de rutina, por lo que el personal está a salvo de trabajo repetitivo y puede hacer un mejor trabajo para los clientes con preguntas más complejas. No es así con un avión. El piloto automático y la ayuda más sutil de fly-by-wire no liberan a la tripulación para concentrarse en las cosas importantes. En su lugar, libera a la tripulación para conciliar el sueño en los controles, en sentido figurado o incluso literal. Un notorio incidente se produjo a finales de 2009, cuando dos pilotos dejaron que su piloto automático rebasara el aeropuerto de Minneapolis en más de 100 millas. Habían estado entretenidos con sus computadoras portátiles.

Cuando algo va mal en este tipo de situaciones, es difícil ajustar la atención y hacer frente a una situación que es muy probable que sea desconcertante.

Tras la brusca interrupción de su siesta el capitán Dubois llegó a la cabina 1minuto y 38segundos después de que el indicador de velocidad fallara. El avión estaba todavía por encima de 35.000 pies, a pesar de que estaba cayendo a más de 150 pies por segundo. Los descongeladores habían hecho su trabajo y el sensor de velocidad del aire estaba operando de nuevo, pero los copilotos ya no confiaban en ninguno de sus instrumentos. El avión -que ahora estaba en perfecto estado de funcionamiento- les estaba diciendo que apenas se movían hacia delante en absoluto y fueron bajando cortando el aire hacia el agua, decenas de miles de pies más abajo. Pero en lugar de darse cuenta de que el sensor defectuoso estaba arreglado, parecen haber asumido que algunos otros instrumentos se habían estropeado. Dubois se quedó en silencio durante 23 segundos, una enorme cantidad de tiempo en esas circunstancias. Tiempo suficiente para que el avión descendiera otros 3.500 pies.

Todavía no era demasiado tarde para salvar el avión si Dubois hubiera sido capaz de reconocer lo que estaba pasando. El morro estaba ahora tan alto que el aviso de pérdida se había detenido. Al igual que los pilotos, simplemente rechazó la información que estaba recibiendo por considerarla anómala. Un par de veces, Bonin empujo la palanca para para bajar el morro del avión un poco y el aviso de pérdida se reanudó ¡PERDIDA PERDIDA PERDIDA!, que sin duda lo confundía aún más. En un momento trató de usar los frenos de velocidad, pensando que iban a demasiada velocidad, lo contrario de la realidad: el avión estaba arrastrando su camino a través del aire a menos de 60 nudos -alrededor de 70 millas por hora – demasiado lento. Empezó a caer dos veces más rápido. Totalmente confundidos, los pilotos discutieron brevemente sobre si el avión estaba subiendo o descendiendo.

Bonin y Robert se estaban gritando el uno al otro, cada uno tratando de controlar el avión (Control Dual). Los tres hombres hablaban con objetivos opuestos. El avión estaba todavía nariz hacia arriba, pero perdiendo altura rápidamente.

Robert: «Controle la Velocidad! Estamos subiendo! ¡Descender! ¡Desciende, desciende, desciende! »

Bonin: «Estoy descendiendo!»

Dubois: «No, estás subiendo.»

Bonin: «¿Estoy subiendo? OK, así que vamos hacia abajo».

Nadie dijo: «Estamos estancados. Pon el morro hacia abajo y vuela fuera de la pérdida».

A las 23.13.40, menos de 12 minutos desde que salió Dubois de la cabina para una siesta, y dos minutos después de que el piloto automático se haya apagado automáticamente, Robert gritó a Bonin: «Suba, subir, subir, subir.» Bonin contestó que él había tenido la palanca hacia atrás todo el tiempo, información que podría haber ayudado a Dubois diagnosticar sobre la pérdida si la hubiera conocido.

Finalmente la moneda parecía caer por Dubois, que estaba de pie detrás de los dos copilotos. «No, no, no. No suba, no, no.»

Robert anunció que estaba tomando el control y empujó el morro del avión hacia abajo. El avión comenzó por fin a acelerarse. Pero era un minuto demasiado tarde, estaban a 11.000 pies de altitud. No había altura bastante entre el aparato y la superficie del agua para alcanzar velocidad suficiente en la bajada para recuperar potencia y poder librarse de la colisión con el agua del Atlántico.

En cualquier caso, Bonin retomó en silencio el control del avión y trató de subir de nuevo. Fue un acto de puro pánico. Robert y Dubois, tal vez, se habían dado cuenta de que el avión había entrado en pérdida, pero nunca lo dijeron. Es posible que no se dieran cuenta de que Bonin era el que tenía el control del avión. Y Bonin no comprendió lo que había hecho. Sus últimas palabras fueron: «¿Pero qué es lo que está pasando?» Cuatro segundos más tarde el avión cayó al Atlántico a unas 125 millas por hora. Todo el mundo a bordo, 228 pasajeros y la tripulación, murió en el acto.

Earl Wiener, una figura de culto en la seguridad de la aviación, acuñó lo que se conoce como leyes de Wiener de la aviación y el error humano. Una de ellas era: «Los dispositivos digitales detectan pequeños errores, pero ocasionalmente crean extraordinarios errores» Podríamos reformular este principio como: «La automatización arregla generalmente pequeños errores, pero en ocasiones crean las condiciones para líos extraordinarios». Es una idea que se aplica ahora más allá de la aviación.