Publicado el informe sobre el accidente del vuelo 610 de Lion Air… y no es bonito para Boeing

Por @Wicho — 25 de Octubre de 2019

El Comité Nacional de Seguridad en el Transporte de Indonesia (KNKT) acaba de publicar el informe definitivo sobre el accidente del vuelo Lion Air 610, ocurrido el pasado 28 de octubre de 2018 y que junto con el del Ethiopian 302 ha sido el causante de que el Boeing 737 MAX lleve desde marzo de 2019 sin poder volar.

Como siempre es una cadena de fallos la que conduce al accidente. Y en este caso podemos decir que empieza en noviembre de 2017 cuando los técnicos de Xtra Aerospace en Miami reparan y ponen a punto un sensor de ángulo de ataque de los que se usan en el MAX. El procedimiento de verificación incluye el uso de ciertos equipos de pruebas y los pasos a seguir. Pero Xtra Aerospace no tenía esos equipos sino otros equivalentes que habían sido convenientemente homologados por la Administración Federal de Aviación (FAA).

Esos equipos equivalentes, sin embargo, tienen un modo de funcionamiento en el que es posible que un sensor pase las pruebas aunque internamente sus piezas estén mal alineadas. Y en el caso del sensor que nos ocupa las pruebas posteriores descubrieron que presentaba una desviación de 21º. Ese modo de funcionamiento no estaba documentado. Primer eslabón de la cadena.

El 28 de octubre de 2018, después de varios vuelos con problemas con el indicador de ángulo de ataque del lado izquierdo –el MAX monta dos, uno a cada lado del fuselaje– un técnico de Lion Air de la base de la aerolínea en Denpasar cambió ese sensor en el avión que luego resultaría accidentado por el que habían reparado en Xtra Aerospace. Después del cambio los manuales del avión especifican que hay que comprobar su funcionamiento o bien utilizando un equipo específico del que el técnico no disponía o bien «a mano», que es el método que él dice haber utilizado. Con este método lo que hay que hacer es colocar el sensor en la posición neutra y en cada uno de los extremos de su recorrido y comprobar lo que dice el ordenador de a bordo.

Se sabe, porque se ha comprobado después del accidente, que de haber hecho esta comprobación correctamente, el ordenador habría detectado que el sensor estaba mal alineado. El técnico insiste en que hizo las pruebas y que el sensor las pasó, aunque no apuntó en ningún lado los resultados y unas fotos que presentó después del accidente con las que pretendía justificarlo en realidad fueron tomadas antes del cambio de sensor. Segundo eslabón.

Después del cambio del sensor el avión fue declarado apto para volver a volar y ese mismo día despegó como el vuelo Lion Air 43 rumbo a Yakarta. Casi inmediatamente tras recoger las ruedas el avión empezó a soltar alertas y alarmas de todo tipo, incluyendo la opción de sacudir la columna de mando, algo típico de los Boeing cuando quieren llamar la atención de los pilotos ante un problema serio.

Sin embargo en ese vuelo iba un piloto extra en la cabina en vuelo de posicionamiento, lo que les dio un par extra de ojos que les permitió hacerse con el control del avión. De hecho fue este tercer piloto el primero en darse cuenta de que el avión estaba bajando el morro sin que nadie se lo indicara. Los pilotos consiguieron hacerse con el control del avión desactivando los motores eléctricos que mueven el timón de profundidad y volando en manual todo el resto del vuelo, aunque cabe preguntarse por qué el comandante no decidió volver al aeropuerto de origen.

Al aterrizar el comandante dejó constancia de los problemas que habían tenido con los instrumentos indicando que se habían encendido las luces de velocidad y altura no fiables, así como otra más relacionada con la activación de un sistema que da más fuerza a la columna de mando cuando se la empuja hacia delante y que sirve para ayudar a evitar que el avión entre en pérdida. Pero no apuntó nada acerca de que el avión hubiera bajado el morro motu proprio ni acerca de la activación de la sacudida de las columnas de mando. No lo hizo porque pensó que eran consecuencia de los otros fallos. Pero aún así debería haberlo apuntado; la normativa exige que se deje constancia de todos los problemas aparecidos durante el vuelo. Tercer eslabón.

Se supo luego, durante la investigación de los accidentes de ambos vuelos, que un fallo en la programación del software de a bordo del MAX hizo que no se activara la indicación de que los dos sensores de ángulo de ataque estaban dando valores divergentes. Debido al fallo en cuestión el indicador sólo se activa en aquellos aviones cuyas aerolíneas propietarias han pagado para que en las pantallas aparezca indicado el ángulo que lee cada sensor, una opción que un porcentaje muy reducido de aerolíneas ha pagado porque no se considera necesario. Pero la alerta de divergencia entre los sensores tendría que haberse activado sí o sí porque sí es una cosa seria que sin duda habría llamado la atención de la tripulación y de la que habría quedado constancia. Cuarto eslabón.

El mecánico que revisó el avión tras el vuelo 43 sólo hizo una comprobación parcial de los errores, o al menos si la hizo completa no quedó constancia de ello. Y es que faltan, por cierto, 31 páginas del libro de mantenimiento del avión correspondientes al mes de octubre de 2018. Pero de todas formas aunque la hubiera hecho los pasos a seguir no le habrían permitido detectar el fallo en la alineación del sensor de ángulo de ataque izquierdo. Así que se puede argumentar que aunque no estuvo bien este mantenimiento incompleto del avión no influyó en el posterior accidente.

Una vez revisado el avión fue declarado de nuevo listo para el vuelo. Durante la preparación del vuelo el comandante, según quedó recogido en el grabador de voz de la cabina (CVR), no hizo mención alguna a los fallos que había tenido el avión en vuelos anteriores, así que no hay constancia de si estaba al tanto de ellos o si no se los comunicó a su primer oficial. Esto contribuyó a que cuando el avión empezó a dar fallos la conciencia situacional de ambos pilotos fuera peor de lo que podía haber sido. Quinto eslabón.

El avión accidentado en una foto del 20 de septiembre de 2018 – Foto CC BY-SA 4.0 por Rizky Bramantyo

Como era de esperar al no haber sido detectado el fallo del sensor de ángulo de ataque al poco de despegar el vuelo 610 los tripulantes se encontraron de nuevo ante un montón de alertas que los asaltaban, disminuyendo su capacidad de reacción pues básicamente los aturullaban. Sexto eslabón.

Tampoco ayudó nada que el primer oficial no se supiera de memoria algunos procedimientos de emergencia que las normas indican que tenía que saberse. De hecho era un problema conocido por parte de la aerolínea. Por qué no se hizo nada al respecto es el séptimo eslabón de esta cadena.

La tardanza en reaccionar por parte del primer oficial y una falta de claridad por parte del comandante a la hora de repartir tareas y gestionar la crisis hicieron que perdieran unos preciosos minutos que no tenían antes de ponerse a diagnosticar el problema. Además, en un momento dado le pasó el mando al primer oficial sin decirle que había tenido que estar tirando de la palanca hacia atrás para intentar evitar que el avión descendiera; para cuanto quisieron darse cuenta ya era demasiado tarde. Octavo y último eslabón.

La lectura del informe –son 322 páginas– permite, por supuesto, contar una historia más detallada, con más eslabones en esta cadena del accidente. Pero en líneas generales estos son los ocho pasos que llevaron directamente al vuelo 610 de Lion Air a estrellarse contra el mar.

Pero todos esos eslabones están lastrados por un enorme peso que hacía prácticamente imposible que los ocupantes del vuelo 610 hubieran podido salvarse y poco menos que un milagro –aunque en realidad fue gracias a la formación de los tripulantes– que los del vuelo 43 no sufrieran ese destino: el MCAS del 737 MAX.

El MCAS, de Maneuvering Characteristics Automation System, Sistema de Automatización de las Características de Maniobra, es un sistema que tiene como función mantener bajo control la tendencia del MAX a encabritarse demasiado en ciertas condiciones de vuelo. Esta tendencia se deriva de sus motores más potentes y situados más hacia arriba y adelante que en modelos anteriores.

Esquema del funcionamiento del MCAS - The Air Current

Pero hasta después del accidente del vuelo 610 de Lion Air era un sistema cuya existencia se había mantenido en secreto a los pilotos porque se suponía que sólo se iba a activar en ciertas condiciones muy limitadas y extremas de la envolvente de vuelo del avión. Así que difícilmente podían saber cual era el problema real de su avión y mucho menos como contrarrestarlo.

Además a raíz de los dos accidentes se descubrió que Boeing le había dado mucho más poder sobre el avión del que decía la documentación original. Y también se descubrió que no habían estudiado adecuadamente cómo iba a actuar frente a un fallo del único sensor de ángulo de ataque del que lee datos, que en el caso del accidente de Lion Air resultó ser el que estaba mal calibrado. Toda una serie de decisiones más que comprometidas en aras de certificar el avión para el vuelo con prisas.

El informe es muy crítico con Boeing –y en menor medida con la FFA, aunque también, en especial por haber delegado en Boeing la toma de decisiones sobre muchos aspectos de seguridad del MAX y no haber hecho una supervisión adecuada del proceso– e incluye algunas recomendaciones para el fabricante como:

Que haga un rediseño a prueba de fallos del MCAS.
Que se incluya información adecuada sobre el MCAS en los manuales de los pilotos y en su formación.
Que en el futuro haga un examen más detallado de cualquier sistema capaz de quitar el control del vuelo al piloto.
Que tenga en cuenta el efecto de todas las posibles alertas e indicaciones de la cabina de vuelo sobre la capacidad de procesarlas y responder a ellas de los pilotos.

Boeing, por su parte, ha respondido diciendo que en el futuro el MCAS comparará la información de ambos sensores de ángulo de ataque antes de activarse, lo que añade una nueva capa de protección a su funcionamiento. Además, el MCAS sólo se activará si ambos sensores coinciden y sólo se activará una vez en respuesta a una lectura de ángulo de ataque fuera de rango, no como ahora, que se activa una y otra vez. Además siempre lo hará con una fuerza limitada por la que se pueda contrarrestar mediante la columna de control.

En cualquier caso, los MAX siguen sin poder volar mientras Boeing termina de implementar esos cambios y los presenta a la FAA y otras autoridades para que los aprueben –o no– y que el avión pueda volver a volar.

Relacionado,