b737max: fallos latentes que se que se convierten en accidente · 2019-06-20 · abril-mayo-junio...

ABRIL-MAYO-JUNIO 2019 AVIADOR 35

AVIOTECA

N

La historia detrás del B737Boeing siempre ha sido muy lenta en la toma de decisiones parasus aeronaves monopasillo. Cuando en febrero de 1965 anuncióque iba a construir un nuevo avión bimotor de corto alcance, susmás directos competidores, el BAC-1-11 y el Douglas DC-9, yaestaban certificados. Sin embargo, Boeing realizó un cambiocopernicano a su diseño que acabó por triunfar y llevarse casitodo el mercado. Inicialmente, el B737 iba a tener una capacidadde entre 60 y 85 pasajeros. Sin embargo, clientes tan importan-tes como Lufthansa estaban demandando aviones mucho mayo-res, con un mínimo de 100 pasajeros. Aunque parezca obvio,

Boeing escuchó a sus clientes para adecuar el diseño a sus nece-sidades, práctica nada habitual en aquella época donde los cons-tructores aeronáuticos solían lanzar productos al mercado ydependiendo de cómo reaccionaban las aerolíneas, acababanteniendo más o menos éxito. Así que Boeing se puso manos a laobra y comenzó a diseñar el avión para 100 pasajeros aprove-chando la tecnología del ala desarrollada en el B727 y con unacola similar a la del B707. Sin embargo, del B737-100 apenas sevendieron 30 unidades, debido fundamentalmente al rápido cre-cimiento del tráfico aéreo que exigía transportar a más pasajerosen cada avión.

Los accidentes del B737MAX y los antecedentes que se van conociendo serán, sin lugar a duda, un buen ejemplo en los cursos deaeronavegabilidad de cómo no hay que gestionar un programa aeronáutico, sobre dónde poner los límites de la delegación deresponsabilidad de las autoridades aeronáuticas en los especialistas de la industria y, sobretodo, en los fallos latentes que existen en lasorganizaciones y cómo se analizan. El presente artículo se basa en información que se ha ido conociendo en fuentes públicas y,obviamente, sólo puede ser parcial y preliminar, a falta de que se publiquen los informes finales sobre ambos accidentes.

B737MAX

B737MAX: Fallos latentes que seconvierten en accidente Alberto García Pérez. Fotos: Boeing, Alberto García

35 Avioteca.qxp 27/5/19 20:44 Página 35

36

AVIOTECA

El B737 era un avión muy sencillo que únicamente necesitabados personas en el cockpit, en lugar de las 3 ó 4 personas nece-sarias en aquella época, lo cual significaba una reducción de gas-tos considerable. Afortunadamente, dos meses más tarde dellanzamiento del B737-100, Boeing también decidió lanzar unaversión alargada, el B737-200, esta vez con capacidad ampliadahasta los 130 pasajeros y que entraría en servicio en 1968 conUnited Airlines, comenzando así una larga historia de éxito. Tresaños más tarde, entra en servicio el B737-200 Advanced de lamano de la aerolínea japonesa ANA e incorpora ligeros cambiosen la aerodinámica, frenos automáticos, motores más potentes ymayor capacidad de combustible y, por tanto, de alcance. La producción del B737-300 finalizaría en 1988 tras haberseconstruido 1.114 unidades. Mientras tanto, en 1984, aparece unnuevo competidor: el A320 cuyo programa se lanza con apenas7 pedidos de British Caledonian y 25 de Air France. Aparece así elprimer competidor en el “océano azul” en el que había estadonavegando Boeing hasta entonces. El fabricante europeo espera-ba vender únicamente 600 unidades en 20 años. Hoy en día,sus ventas exceden las 10.000 unidades, habiéndose puesto pordelante de las ventas totales del B737, a pesar de haber entradoen el mercado casi 15 años más tarde.La introducción de este nuevo y fuerte competidor, lo cambiótodo. En pocos años, Airbus superó en ventas a Boeing en elsector del monopasillo y pasó a ser el líder en la toma de deci-siones del sector. Buena prueba de ello fue el lanzamiento delA320NEO en diciembre de 2010. Los motores del A320 consi-guieron una significativa reducción en el consumo de combusti-

ble al incrementar su eficiencia propulsiva como consecuenciade aumentar su diámetro desde las 62.5 pulgadas (158 cm) ini-ciales hasta las 81 pulgadas (205 cm) de los motores delA320NEO.Airbus rápidamente comenzó a recibir un aluvión de pedidos,Boeing se encontró sumida en la indecisión sobre cómo reaccio-nar. Pasaron varios meses y no fue hasta agosto de 2011 queBoeing lanzó oficialmente el programa B737MAX. El nombre deMAX ha sido elegido para resaltar que MAXimiza la optimiza-ción de todos y cada uno de los aspectos que Boeing y sus clien-tes han aprendido en cuanto a diseño, fabricación, manteni-miento y operación del avión monopasillo más vendido delmundo hasta ese momento.

Cuando se lanzó el B737MAX se ofrecía una reducción de consu-mo de hasta un 4% respecto del A320NEO y hasta un 7%menos de sus costes operativos. Con el fin de conseguir un pro-grama exitoso a la primera, Boeing decidió aplicar las leccionesaprendidas de los programas de desarrollo del B787 y B747-8 yno establecer tiempos para entrada en servicio demasiado cor-tos que acabaran por minar la credibilidad de la empresa. Eneste sentido, Boeing estimó inicialmente un período de desarro-llo comprendido entre 64 y 76 meses, bastante alejado de los 48meses del B787 original, por lo que el avión estaría disponible en2017. En este sentido, Boeing también estuvo intentando retra-sar un posible rediseño del B777, que ya están pidiendo aerolíne-as como Emirates, con el fin de evitar tener dos programas dedesarrollo simultáneos debido al desembolso económico quepodría suponer su retraso simultáneo, como también ha sucedi-do con el B787 y el B747-8. El resultado del programa fue aparentemente un éxito, ya que elprimer avión del B737MAX se entregó en mayo de 2017 aMalindo Air, tal y como se había comprometido en 2011 cuandose lanzó el programa. Sin embargo, el camino no fue tan fácilcomo pudiera parecer y estuvo marcado por varios problemasimportantes, empezando por la instalación de los motores.

Los problemas de instalación del motorEl B737MAX se iba a propulsar por el motor CFM InternationalLeap-1B, desarrollado de forma conjunta por General Electric ySnecma y que confirmaba la confianza de Boeing en este con-sorcio, que ya poseía el privilegio de propulsar en exclusividadtodas las versiones del B737 desde 1981, cuando se lanzó elB737-300.El problema fundamental de la introducción de la nueva genera-ción de motores, era su instalación en el B737MAX. El nuevoavión heredaría el mismo tren de aterrizaje de los modelos ante-riores. Como es bien sabido cuando se diseñó el B737 en 1964,la aviación comercial no estaba tan extendida como hoy en díani los aeropuertos de aquella época tenían todas las instalacio-nes con las que cuenta hoy. En aquellos años, Boeing asumióque sus operadores tendrían que operar habitualmente en aero-puertos pocos preparados y, por tanto, sin las escaleras conven-cionales de acceso a la aeronave. Por tanto, se decidió que elavión llevara sus propias escalerillas de acceso. Para reducir el

Se cambió la posición relativa delvector de empuje del motor respectodel centro de gravedad de la aeronavey del centro aerodinámico depresiones generado por el ala. Elresultado neto fue que lasustentación generada por la góndoladaba lugar a un momento deencabritado (‘pitch up’) que tendríaque subir el morro del avión y, portanto, a reducir el margen respecto deuna posible entrada en pérdida de laaeronave, especialmente a bajasvelocidades de vuelo […] Esclaramente un mal diseño que seconoce con el nombre de inestabilidaddinámica.

AVIADOR ABRIL-MAYO-JUNIO 2019



AVIOTECA

peso total, se decidió entonces introducir un tren de aterrizajecorto que hiciera que la escalerilla de acceso también fuera máscorta. Ese tren de aterrizaje lo acabaron heredando todos losmodelos posteriores del B737, incluido el B737MAX.Con los años, los motores han ido aumentando su tamaño pro-gresivamente, ya que con ello se consigue aumentar su eficien-cia propulsiva y reducir su consumo de combustible. La distan-cia mínima al suelo que debe tener un motor es ligeramentesuperior a los 40 cm, con el fin de evitar que las góndolasimpacten contra las luces de rodadura del aeropuerto. Tambiénse evita así que los motores puedan succionar de la pista peque-ños objetos que pudieran dañar el fan. Esta distancia mínima yatrajo problemas a Boeing en el pasado y tuvo que recurrir a gón-dolas achatadas, que penalizaban ligeramente el funcionamientodel motor.El problema con la nueva generación de motores necesaria parael B737MAX se agravó aún más. La solución no fue sencilla deencontrar porque el motor anterior del B737, el CFM56-7BE, de61 pulgadas de diámetro, apenas poseía 15 cm de margen (6pulgadas) y si se querían instalar nuevos motores más eficientesera necesario aumentar su relación de derivación, lo que dalugar a introducir álabes de fan de mayor diámetro. Los motoresque se instalarán en el A320NEO como el fan engranado Pratt &Whitney PW1100G tienen un diámetro de 81 pulgadas o el Leap-X1A de CFM tiene 78 pulgadas. Ambos diámetros impiden queestos motores se pudieran instalar directamente en el B737MAXal exceder el límite de 67 pulgadas que imponía su tren de aterri-zaje.Boeing estuvo evaluando junto con el consorcio CFM las distin-tas posibilidades. El fabricante del motor ofreció inicialmenteuna versión de 66 pulgadas y otra, con menor consumo de com-bustible, de 68 pulgadas pero que podría dar lugar a un ligeroincremento del tren de morro. Aunque el impacto en otras con-diciones de vuelo, como el punto final de ascenso (top of climb),y que dimensiona físicamente el diámetro de la toma aerodiná-mica, debía evaluarse también, especialmente para la versiónB737MAX-9. En cualquiera de los casos, era necesario reforzar elanclaje del motor al ala debido al aumento de peso que introdu-

cía el mayor tamaño de la planta propulsora. A pesar de estaslimitaciones, el nuevo motor será entre un 10 y un 12% más efi-ciente que el CFM56-7BE de aquel momento. Finalmente, ennoviembre de 2011, Boeing confirmó la opción de 68 pulgadas. Limitada la capacidad de aumentar la eficiencia propulsiva delmotor, el consorcio CFM tuvo que centrarse en eficiencia térmi-ca del motor, que es mucho más costosa de conseguir técnica-mente y donde hay que invertir un gran esfuerzo en I+D paraconseguir mejoras mínimas. Sin embargo, CFM consiguió resul-tados significativos. Así, por ejemplo, consiguió modular el airede refrigeración de los álabes de la turbina de alta presión (HPT)dependiendo de la fase de vuelo y con el fin de obtener la máxi-ma eficiencia. Hasta entonces, la refrigeración se diseñaba parael peor caso (normalmente despegue en día caliente) y se man-tenía durante el crucero, lo que hacía subir innecesariamente elconsumo de combustible. La FADEC del LEAP no solo se encar-garía de esta modulación sino que también regularía la refrigera-ción de la carcasa de la HPT y de la LPT, consiguiendo reducir elespacio intersticial en crucero y reducir así el consumo de com-bustible. El LEAP también incorporaría 18 álabes de fan realiza-dos en fibra de carbono, lo que representaba también un granlogro, ya que hasta ahora no se había podido introducir en ála-bes tan pequeños y sometidos a tanta fuerza centrífuga y que seha conseguido gracias a una patente del grupo Safran. Cadaálabe tiene cerca de 7 kilómetros de fibra que, una vez curada enun autoclave, sería capaz de levantar un Airbus A350XWB sinromperse. Otro de los hitos conseguidos fue la introducción dematerial compuesto de matriz cerámica (CMC) en el primerescalón de la HPT, que era la primera vez que se emplean enmotores de aviación. Sin embargo, pocos meses después se hizo obvio que las mejo-ras en el ciclo termodinámico del motor no eran suficientes yque habría que incrementar el diámetro del motor para aumen-tar la eficiencia propulsiva y conseguir así el objetivo de reduc-ción de consumo. Por lo que hubo que volver a iterar, lo que setradujo en un diámetro final de 69.4 pulgadas (176 cm).A partir de ahí, todo comenzó a complicarse, debido a que lasnuevas dimensiones del motor complicaban enormemente su

El MCAS impide que el B737MAX tenga inestabilidad dinamica

En teoría, el sistema MCAS sólo seiba a activar en circunstanciasextremas y en zonas muy alejadasde la envolvente de vuelo habitual,por lo que sus ingenierosdecidieron que no era necesarioque los pilotos conocieran losdetalles de su funcionamiento nirecibieran entrenamientoespecífico.


38

AVIOTECA

instalación en el ala, sobretodo para mantener la mínima distan-cia al suelo. El nuevo diámetro supuso un cambio en la posiciónde la línea media del motor de más de 30 cm que hubo quesubir respecto de su posición original, ya que la opción de ovali-zar la toma del motor no era posible. El problema con los nue-vos motores era que tienen una capacidad de succión de airemucho mayor y, por tanto, es necesario alejarlos más del suelopara evitar que la aceleración a potencias intermedias o altasden lugar a la formación de un torbellino que levantaría todo elpolvo de la pista y podría dar lugar a un incremento significativodel FOD (‘Foreign object Damage’) en el motor, con la conse-cuente pérdida de la geometría aerodinámica de los álabes delfan y compresor y, por tanto, dando lugar a un deterioro prema-turo de la eficiencia y un aumento en el consumo de combustible.Los anteriores flaps Krueger del B737 tuvieron que ser adap-tados a la nueva geometría de las góndolas de los motores,y para asegurar que mantenían suficiente distancia con losinversores de empuje y que no sufrirán problemas térmicosal ponerse en contacto con los gases de escape del motor. Elala también se reforzó y se optimizó ligeramente para redu-cir la resistencia aerodinámica y se incluyeron bordes de ata-ques refinados con nuevos carenados para los actuadores delos flaps. La solución final consistió en subir el motor y adelantarlorespecto del borde de ataque del aire con el fin de reducir suinterferencia aerodinámica con el ala y conseguir así un flujomás limpio a la entrada que no penalizara de forma innece-sar ia la eficiencia del motor. Como resultado, se cambió laposición relativa del vector de empuje del motor respectodel centro de gravedad de la aeronave y del centro aerodiná-mico de presiones generado por el ala. El resultado neto fue

que la sustentación generada por la góndola daba lugar a unmomento de encabritado (‘pitch up’) que tendría que subirel morro del avión y, por tanto, a reducir el marge n respectode una posible entrada en pérdida de la aeronave, especial-mente a bajas velocidades de vuelo, donde el empuje delmotor es proporcionalmente mayor que la sustentación delala. Cualquier aceleración de los motores tendería en esecaso a levantar considerablemente el morro del avión y suefecto sería mayor cuanta más potencia se demandara en laaeronave, lo cual es claramente un mal diseño que se cono-ce con el nombre de inestabilidad dinámica. Esta forma dediseñar una aeronave no es recomendable para un avión depasajeros, donde la estabilidad es fundamental, aunque sí seemplea en aviones tipo caza donde la maniobrabilidad envuelo es crítica.

Y llegó así el MCASUna vez que se consiguió la penosa labor de instalar los moto-res con un diámetro aceptable y que consiguiera un consumo decombustible competitivo con el A320, había que resolver el pro-blema de la inestabilidad dinámica. Las posibles soluciones alproblema encontrado podían ser varias. Una de ellas, pasaríapor incrementar la longitud del tren de aterrizaje, lo cual penali-zaría el peso de la aeronave y su carga útil, además de tener quepasar una recertificación mucho más compleja. Este cambiotambién debía compensarse seguramente con un rediseño delala que debería validarse también en el túnel de viento, lo queimplicaba más tiempo de desarrollo y más costes para el progra-ma.Otra de las opciones pasaría por volver a iterar con el fabricantede los motores para intentar conseguir una instalación másaceptable. Pero, sinceramente, el consorcio CFM ya se dejó el

El LEAP-X 1B de CFM propulsa el B737MAX

Boeing convenció a la FAA paraque delegara los Análisis deSeguridad del MCAS a la propiaBoeing, con el fin de acelerar elproceso y evitar buclesinnecesarios. Al fin y al cabo, todostrabajaban por la seguridad envuelo y en interés de nadie estabael sacar al mercado un avióninseguro. Sin embargo, el análisisde seguridad que realizó Boeingestuvo plagado de numerososerrores.




AVIOTECA

resto para aumentar la eficiencia del motor y poco más se podíahacer desde el punto de vista de la instalación.Por último, la solución más simple y sencilla, tanto desde unpunto de vista de costes como de tiempo de desarrollo que per-mitiera reducir el tiempo que Boeing había perdido en introducirel B737MAX en el mercado frente al A320NEO sería corregir elproblema por medio de software, surgiendo así el MCAS(‘Maneuvering Characteristics Augmentation System’) y conse-guir así la meta de que el B737MAX sería otro avión más dentrode la saga y, por tanto, mantendría las mismas características envuelo.No es extraño hoy en día que en caso de encontrar un problemade última hora durante el programa de ensayos del avión serecurra al cambio del software como método más rápido y eco-nómico de resolver el problema. Lo hemos visto en numerosasocasiones como, por ejemplo, los problemas que tuvieron losmotores Gen-X del B787 por problema de engelamiento y que seresolvieron con una lógica de detección que aceleraba los moto-res en caso de formación de hielo en los estátores del motor. Enotras ocasiones, se ha recurrido a introducir zonas a evitar en elfuncionamiento del motor cuando se ha encontrado algún pro-

blema de flutter en los álabes del fan, lo cual permite que la flotamundial siga volando a la espera de los muchos meses necesa-rios para resolver el problema desde un punto de vista aerome-cánico.El razonamiento de Boeing se centraba en que, en teoría, el sis-tema MCAS sólo se iba a activar en circunstancias extremas y enzonas muy alejadas de la envolvente de vuelo habitual, por loque sus ingenieros decidieron que no era necesario que los pilo-tos conocieran los detalles de su funcionamiento ni recibieranentrenamiento específico. Tanta simplificación, dio como resulta-do que un piloto del B737NG apenas necesitara una hora desesión en iPad, y por tanto sin simulador, para conseguir surating del B737MAX. Esto supuso una importante reducción enlos costes de las aerolíneas, que veían así un aliciente más paracomprar el avión.Cuando el MCAS detecta un ángulo de ataque elevado, actúasobre el trimado del empenaje de cola y comanda un movimien-to de picado. Además, también actúa sobre la columna de con-trol del piloto hacia adelante, para que el piloto tenga sensaciónfísica de la actuación que se ha llevado a cabo. Cuando el pilotoquiere corregir esta operación del sistema de control, normal-

La instalacion de los motores LEAP ha sido una pesadilla para Boeing

AVIADOR ENERO-FEBRERO-MARZO 2019


40

AVIOTECA

mente puede tirar de la columna de control hacia atrás (haciaél) para recuperar la posición inicial. Sin embargo, en el casodel MCAS aparentemente esta opción se descartó de formaexplícita.Como es sabido, los sensores de ángulo de ataque, comolos de presión dinámica o pitot, son sensores con una fiabi-lidad relativamente baja y pueden dar problemas de lectura,como ya le sucedió al A320. En estos casos, es necesariorealizar un Análisis de Seguridad para determinar si es nece-sario algún tipo de redundancia, tanto a nivel físico como desoftware.

La situación tras los accidentesSin embargo, todo cambió según comenzaron a conocerse losdetalles del accidente de Ethiopian Airlines (Vuelo 302), que tuvolugar el 10 de marzo de 2019 donde murieron 157 personas.Las trazas del Registrador de Vuelo mostraron que los movi-mientos del estabilizador horizontal no respondían a una pérdi-da de control del mismo sino más bien a un movimiento nocomandado continuo por parte del ordenador de vuelo. Dehecho, los pilotos pudieron reaccionar contra el movimiento depicado en numerosas ocasiones. Del análisis también se des-prende que el MCAS cambió la respuesta de la columna de con-trol frente al movimiento del estabilizador. En condiciones nor-males, tirar de la columna de control hacia atrás interrumpecualquier movimiento de picado del estabilizador, pero en elcaso de que el MCAS entrara en control esta funcionalidad noestaba disponible.Al parecer, el sistema MCAS se reseteaba cada vez que se usaba,lo que daba lugar a que ejerciera una autoridad ilimitada sobre elempenaje de cola al no guardar el histórico realizado. En el casodel accidente de Lion Air, el 29 de octubre de 2018, el sistemaactuó hasta 21 veces picando el avión a pesar de que los pilotosactuaban en sentido contrario sobre el trim. Con sólo dos ciclos,el MCAS podría alcanzar la máxima posición de picado dadoque podía llegar a comandar hasta 2.5 grados, y no registrar queya había comandado esta posición anteriormente.Tras el accidente de Lion Air, muchos de los pilotos de la flotadel B737MAX conocieron por primera vez la existencia del MCASy sobre cómo actuar en caso de que se activara de forma inapro-piada. Southwest, el mayor cliente de 737MAX a nivel mundialcon 23 aparatos, aseguró en su momento que no tuvo conoci-miento del MCAS hasta que ocurrió el accidente de Lion Air, y,por tanto, sus manuales operativos no incluían informaciónsobre cómo tratar con esta lógica. Boeing insistía en los primeros días después del accidente deque los pilotos deberían haber realizado la checklist correspon-diente al caso de pérdida de control del estabilizador (‘stabilizerrunaway’). De hecho, unos pilotos que volaron el mismo avión eldía anterior, consiguieron estabilizar la aeronave una vez queapagaron todos los interruptores del estabilizador (‘stabilizercutoff switches’).Pocos meses después, el accidente de Ethiopian Airlines(ET302) mostraba muchas similitudes con el accidente de LionAir. Esto levantó todas las alarmas. De hecho, resultó chocante

que muchas de las aerolíneas que operaban el B737MAXcomenzaran a retirar este modelo de sus vuelos diarios, ante lapasividad de las autoridades aeronáuticas. No fue hasta quelas autoridades chinas decidieron dar el primer paso, cuandoEASA se atrevió a tomar la decisión. A partir de ahí, la situa-ción se hizo ya insostenible para la FAA que no tuvo másremedido que poner en tierra la flota del B737MAX el 13 demarzo de 2019.Sorprendentemente, después del accidente de Lion Air, Boeingse puso a modificar la lógica de validación del MCAS y en el 11de marzo de 2019, le aseguró a la FAA que iba a introducir yauna validación cruzada con el resto de sensores de ángulo deataque. Además, iba a limitar el movimiento del empenaje decola en caso de señales que se supongan erróneas, y se activaríaúnicamente durante un solo ciclo de control, en lugar de las ili-mitadas veces que podía hacerlo con la lógica anterior. Todo ello,modificando el manual de operación de la aeronave para incluirclaramente el funcionamiento del MCAS.Hasta entonces, según el Análisis de Seguridad de Boeing, elfallo sería tan evidente a los pilotos que éstos precederían deforma automática a desconectar el sistema. Esto de por sí ya esun síntoma de que los factores humanos no fueron evaluadosde forma apropiada durante la certificación de esta lógica decontrol.

Resto del Ethiopian Airlines Flight ET302




AVIOTECA

… y comenzaron a conocerse los detalles de la certificación delMCASPor otra parte, el proceso de certificación que instauró la FAAhace algunos años siempre ha levantado sospechas. Es obvioque los recortes en los presupuestos de la FAA y el aumento dela complejidad de las aeronaves modernas han llevado poco apoco a la falta de un control efectivo de los diseños certificadospor las autoridades aeronáuticas. Incluso EASA tiene el mismoproblema y siempre ha sostenido que su aprobación para conse-guir el certificado de tipo se basa en un muestreo estadístico delas miles de páginas de informes que conforman todos los infor-mes de certificación que envía el fabricante de la aeronave. Hayque pensar también que los inspectores de las autoridades aero-náuticas poseen un buen conocimiento técnico del diseño deaeronaves y, en la mayoría de los casos, provienen de la indus-tria. Sin embargo, el estar alejados algunos años de la punta delanza del diseño y del día a día de la industria hace que susconocimientos se vayan quedando poco a poco obsoletos.Sin embargo, a pesar de estas limitaciones, no parece muy apro-piado el sistema de delegación definido por la FAA donde el res-ponsable último de la certificación de la aeronave reside en lapropia industria y es un empleado de la misma, es decir, unempleado de Boeing en este caso. Como persona, podemosentender que el DER (Designated Engineering Representative) se

encuentre en numerosas ocasiones entre la espada y la paredcuando, por una parte, reciba la presión interna de su empre-sa para aceptar a tiempo algunos informes y, por otra parte, laresponsabilidad penal que asume dicho DER en caso de negli-gencia. En interés de todos, en el día a día, prima la seguridad, perotambién es cierto que muchas veces los diseñadores nos move-mos en terrenos ambigüos donde no conocemos con certeza lasolución o la respuesta a un problema y, en estos casos, esdonde una decisión incorrecta puede dar lugar a un fallo latenteque, eventualmente, puede dar lugar a un accidente. Como biensabemos, cualquier accidente aéreo se produce como conse-cuencia de un cúmulo de circunstancias que, unidas todas ellas,dan lugar a la catástrofe. Parte de estas circunstancias son losfallos latentes, es decir, aquellos que siempre están presentes yque se deben, en la mayoría de los casos, a pequeñas fugas deseguridad en los procedimientos de los diseñadores, los fabri-cantes, los operadores e incluso las autoridades aeronáuticas.En 2015, Boeing quería recuperar el tiempo perdido en el lanza-miento del B737MAX respecto del A320NEO y los retrasos intro-ducidos por los problemas de instalación del motor, lo que dabaya un retraso acumulado de 9 meses en el programa. En marke-ting, el primero que entra en el mercado suele tener una ventajapredominante y se lleva el mayor trozo de la tarta, como hemosvisto en numerosas ocasiones con otros productos como el iPado el iPhone. En estas condiciones, Boeing convenció a la FAApara que delegara los Análisis de Seguridad del MCAS a la pro-pia Boeing, con el fin de acelerar el proceso y evitar bucles inne-cesarios. Al fin y al cabo, todos trabajaban por la seguridad envuelo y en interés de nadie estaba el sacar al mercado un avióninseguro. Sin embargo, el análisis de seguridad que realizóBoeing estuvo plagado de numerosos errores.Como ya hemos comentado, el MCAS depende del sensor deángulo de ataque de la aeronave. Es habitual, por ejemplo, quedurante el Análisis de Seguridad del sistema se evalúe la fiabili-dad de dichos sensores. Si la tasa de fallo de éstos no alcanza elnivel deseado, entonces es necesario recurrir a la redundancia yemplear múltiples sensores. Prácticamente todos los sensoresque se instalan en el avión cumplen con el requisito de fallomayor, es decir, que su tasa de fallo es menor de una entre100.000. Por tanto, en sistemas cuyo fallo dan lugar a un fallomayor pueden funcionar con un solo sensor. Sin embargo, cuan-do la consecuencia del fallo es de peligroso (‘hazardous failure’),se requiere de una tasa de fallo de 1 entre 10 millones que raravez se alcanza por un solo sensor y es necesario recurrir a unmínimo de dos sensores con canales de medida independientes.Incluso en el caso de clasificarse el fallo de peligroso, en ningúncaso se debería haber permitido que toda la lógica de controlpudiera estar basada en un solo sensor. Casos semejantes,como por ejemplo las DECU de los motores que tienen clasifica-ción de fallo peligroso, se basan en lógicas redundantes convarios sensores y líneas de trasmisión de la información inde-pendientes que reduzcan así la posibilidad de un fallo común.No se entiende cómo se siguió adelante con esta configuracióndel MCAS.

AVIADOR ENERO-FEBRERO-MARZO 2019


42

AVIOTECA

Extraña, por tanto, que Boeing pudiera certificar el MCAS conuna consecuencia de fallo mayor, dado que hemos visto desgra-ciadamente que su fallo no es peligroso sino catastrófico. Alparecer, el razonamiento del Análisis de Seguridad del Sistema(SSA – System Safety Analysis), se centraba únicamente en elcaso de fallo del MCAS en condiciones normales de vuelo,donde la activación del MCAS daría lugar a un cambio en el trimdel estabilizador de cola de únicamente 0.6 grados. Por tanto, elfallo se podía clasificar como mayor, es decir, que podría darlugar a un aumento en la carga de trabajo del piloto o a ciertasheridas menores en el pasaje, pero en ningún caso a su muerte.En el caso de un fallo en una maniobra extrema, como puede seren un descenso en espiral, la activación errónea del MCAS seclasificó como peligrosa, el siguiente nivel a fallo mayor, perotodavía por debajo de catastrófica, que daría lugar a la pérdidatotal de la aeronave.Tampoco parece que Boeing haya incluido en su lógica reversio-naria ningún sistema de validación cruzada, donde en caso defallo de la sonda de ángulo de ataque se compruebe su valor

contra las otras dos existentes con el fin de validar si la media escorrecta o no. Esta lógica es muy habitual en aviación y no seentiende por qué no se ha incluido en este caso. De hecho, el Registrador de Vuelo del Lion Air mostró hasta 20grados de diferencia en el ángulo de ataque entre los dos senso-res, no solo durante el vuelo sino también durante la rodaduraen pista de la aeronave. Precisamente, durante la rodadura, sesabe que el ángulo de ataque es conocido y, por tanto, se podríahaber decidido qué sensor es el que funcionaba correctamentecon tan sólo unas pocas líneas de código.Por otro lado, después del accidente de Lion Air, en noviembrede 2018 Boeing sacó un service bulletin explicando que el límitede actuación del MCAS podía ser de 2.5 grados. Sin embargo, nila FAA ni el resto de autoridades aeronáuticas (EASA, CAAC,etc.) habían visto nunca ese valor, ya que el Análisis deSeguridad del sistema especificaba un valor máximo de 0.6 gra-dos. Es habitual que durante los ensayos en vuelo que se realizanantes de la certificación se corrijan los parámetros del siste-ma de control, especialmente en condiciones de alto ángulode ataque, dado que los modelos aerodinámicos no soncapaces de reproducir la física de desprendimiento de la capalímite en las superficies aerodinámicas. Durante dichos ensa-yos, se descubrió que el problema era mayor de lo que habí-an previsto los modelos aerodinámicos y, por tanto, el siste-ma debería actuar de forma más enérgica, por lo que se pro-cedió a actualizar su valor de 0.6 grados a 2.5 grados. Sinembargo, la documentación no fue actualizada correctamen-te y algunas partes del Análisis de Seguridad todavía refleja-ban el límite de 0.6 grados y la actualización a los 2.5 gradostampoco fue comunicada de forma explícita al equipo de eva-luación de la FAA.

ConclusionesParece que la delegación de la FAA ha ido demasiado lejos en elcaso del B737MAX y será, sin dudas, motivo de revisión parafuturos programas aeronáuticos. Esto también ha conseguidoque otras autoridades aeronáuticas como EASA, TCCA (Canadá)o CAAC (China) ya hayan declarado que harán comprobacionesindependientes de los análisis de la FAA, lo cual rompe en ciertamanera los criterios de validación cruzada y confianza mutuaexistentes hasta ahora.También habrá que revisar las cualificaciones internas que lasempresas dan a los trabajadores que asumen competencias deseguridad, ya que muchos que los errores arriba indicados sonde sobra conocidos y existen formas de mitigarlos de formaapropiada. Todo parece indicar una falta de conocimiento y expe-riencia en personal clave al que se le han asignado unas tareasmuy por encima de sus capacidades.Esperemos que los informes de la NSTB y la FAA toquen enprofundidad todos los problemas de fondo que rodean alaccidente y que se deben a fallos latentes y organizativos yque, por tanto, pueden afectar a otros modelos de avión.Hasta entonces, tendremos que esperar para conocer la ver-dad de los hechos. <

La formación de los pilotos: una inversión enseguridad

COPAC

A la espera de conocer todos los detalles de la investigación téc-nica de los dos accidentes, el COPAC ha valorado positivamentela medida preventiva tomada tanto por parte de la AgenciaEuropea de Seguridad Aérea (EASA) como de la Federal AviationAdministratrion (FAA) de suspender las operaciones de losB737MAX.

La formación de los pilotos, como última barrera de seguridadde los vuelos, es un elemento clave para una adecuada gestiónde las operaciones. Los automatismos son un refuerzo de laseguridad aérea pero siempre que se acompañen de una forma-ción adaptada a las cabinas, tanto para la operación en condicio-nes normales como en situaciones de emergencia.

La gran responsabilidad a la que hacemos frente en nuestro tra-bajo debe ir acompañada de un marco normativo eficaz, apoya-da en he rramientas tecnológicas fiables y contando con la forma-ción y el entrenamiento adecuados.

De forma paralela al desarrollo tecnológico por parte de la indus-tria, las autoridades deben establecer unos requisitos de forma-ción y experiencia acordes a la realidad del mercado y a la com-petitividad de la industria. El criterio de los pilotos al mando delas aeronaves es una garantía de seguridad para los pasajeros.Ese criterio se forma en base a la formación, la experiencia y ladeontología profesional, que prioriza la seguridad del pasaje porencima de cualquier otro interés.

Las tragedias vinculadas a los B737MAX ponen de manifiestoque la formación de los pilotos no puede considerarse como ungasto del que es posible prescindir o minimizar, sino como unainversión: una inversión en la seguridad de los vuelos.



b737max: fallos latentes que se que se convierten en accidente · 2019-06-20 · abril-mayo-junio...

Documents