La automatización y el Boeing 737 MAX

El 737 MAX es la aeronave bandera de Boeing, con la mayor velocidad de órdenes de compra recibidas en la historia de la compañía. Acumula órdenes desde que efectuó su primer vuelo el 29 de enero de 2016, por algo más de 5.000 aeronaves para 100 empresas en todo el mundo en alguna de sus variantes y representa para la empresa una parte muy importante de los 100 millardos de dólares en ventas anuales.

Pero para este momento toda la flota mundial está parada y en tierra, ¿qué está pasando?

Heredero de más de medio siglo de éxitos obtenidos por el venerable y reconocido 737 en todo el orbe, el MAX enfrenta un gran reto: dos accidentes fatales en un corto intervalo.

El primer accidente ocurrió en octubre de 2018, con la aeronave de Lion Air 610, en el que fallecieron 181 pasajeros y 8 tripulantes al estrellarse en el Mar de Java. El segundo, en marzo pasado en el vuelo 302 de Etiopía Airline, con un saldo de 149 pasajeros y 8 tripulantes fallecidos. Ambas aeronaves eran de la variante 737 MAX -8.

Aun cuando ambas investigaciones están en pleno desarrollo, los informes preliminares sobre el accidente de LA 610 indicaron: por un lado, dificultades del piloto con el enganche automático y desconexión del Sistema de Aumento de las Características de Maniobra (MCAS por sus siglas en inglés), el cual trabaja sobre la estabilidad longitudinal del 737 MAX y, por otro, la incorrecta información de ángulo de ataque (AOA) suministrada. Ambas evidencias pueden haber desempeñado un papel en ese accidente, lo que llevó a la FAA a requerir una actualización del manual de vuelo, que Boeing sacó el 6 de noviembre de 2018.

Es importante señalar que una de las ventajas ofrecidas por Boeing a sus clientes era que cualquier tripulación entrenada en los 737 anteriores de la serie NG o Nueva Generación podría tripular el MAX, sin mayor inversión en un nuevo entrenamiento o adiestramiento logrando un ahorro sustancial de dinero y tiempo para las empresas aéreas. Tan así es que Boeing no había mandado a hacer, hasta ahora, un simulador de vuelo específico del 737 MAX.

Boeing ha pausado las entregas, pero no la producción, de su aeronave más vendida y está trabajando en una actualización de software para ayudar a resolver la reacción posterior al despegue, con el recorte de potencia, retracción de flaps y banqueos pronunciados, del MCAS y la información del sensor de ángulo de ataque que pueden haber jugado un papel fundamental en los dos accidentes.

En un primer momento, el perfil de vuelo original del vuelo de Etiopía Airline 302, basado en los datos en bruto radiados por el ADS-B del avión (Automatic Dependent Surveillance – Broadcast) o Vigilancia Dependiente Automática – Transmitida que la FAA recibió de Aireon, compañía especializada en el rastreo mediante la red satelital Iridium, no fue lo suficientemente parecida a los del vuelo del Lion Air 610, como para justificar la acción inmediata de parar toda la flota en Estados Unidos. Sin embargo, luego se envió un perfil más extenso y refinado, en el que se verificó que en el vuelo EA 302 el perfil de trayectoria del avión era lo suficientemente similar al perfil del LA 610, como para fundamentar la puesta a tierra de todos los aviones, dijo Daniel Elwell, administrador interino de la FAA (Administración Federal de Aviación de Estados Unidos) a la cadena CNBC.

Esa fue la razón principal para el cambio de opinión de la FAA y sumarse a las autoridades aéreas del resto del mundo, para dejar en tierra toda la flota mundial de los Boeing 737 MAX.

Durante el diseño del 737 MAX, para hacerlo más seguro y protegerse contra posibles cambios de sustentación no lineal, ya que los motores CFM LEAP-1B, plantas propulsoras más potentes, con nacelles o receptáculos más grandes que producen sustentación adicional con alto ángulo de ataque o AOA, y siendo estas más pesadas que las de los anteriores 737 NG, variaron adicionalmente la aerodinámica al desplazar el peso y el centro de gravedad del avión. Boeing hizo un cambio al sistema de control de vuelo, para lo cual se desarrolló el MCAS que es un sistema que optimiza el perfil longitudinal del vuelo, ayudando a los pilotos a mantener la aeronave en una actitud adecuada; es decir, un ascenso seguro. El sistema se activa cuando luego del despegue, los flaps se retraen o cuando se desacelera y hay un AOA próximo a un stall o a una sustentación no lineal.

La programación del sistema MCAS, cuando detecta un aumento de sustentación no lineal y un ángulo AOA crítico automáticamente empuja el comando hacia adelante, inclinando la nariz del avión hacia abajo.

La señal de inclinación de la aeronave o AOA la dan unos sensores duplicados, parecido a una cuchilla que sobresalen lateralmente del fuselaje y cuya función es indicar los grados de inclinación de la nariz.

En el accidente de Lion Air, los investigadores han determinado que este sensor de Ángulo de Ataque (AOA) estaba suministrando datos erróneos a la computadora de vuelo del avión, activando el sistema MCAS y presionando repetidamente la nariz del avión hacia abajo, cuando en realidad no había el peligro inminente supuesto.

Los datos registrados en las cajas negras indican que el jet de Lion Air subió y bajó como una montaña rusa durante los 12 minutos de vuelo, antes de que los pilotos aparentemente perdieran el control y se estrellaran en el océano.

Según el ABC de España: “Los primeros elementos de la investigación del accidente de Lion Air 737 MAX 8 revelan que una de las dos sondas de impacto AOA había fallado. Pero aun así continuó transmitiendo información al MCAS, que toma el control del avión, aunque el piloto intente hacer lo contrario hasta que se desactive el sistema”.

Lo curioso del caso es que según las noticias difundidas por The Seattle Times, en fecha 12 y 13 de noviembre de 2018, “a los pilotos de American Airlines y Southwest Airlines que se entrenaron y vuelan el Boeing 737 MAX, no se les informó sobre los nuevos cambios automáticos de los sistemas de vuelo efectuados”, y aparentemente hasta este primer accidente la desactivación del sistema MCAS era compleja y nada habitual para los pilotos de anteriores 737, incluso algunas aerolíneas no permitían su desactivación.

Voy a tratar de dar una breve explicación para que se entienda que puede estar pasando con la automatización y los recientes accidentes del avión más emblemático de Boeing.

Las normas de diseño en todas las aeronaves comerciales de pasajeros requieren, por seguridad, la duplicidad en los sistemas vitales como el sistema hidráulico, el sistema de combustible, etc., precisamente para evitar que la falla en alguno de estos sistemas pueda poner en riesgo la integridad de la aeronave y de sus pasajeros. Pero esto no siempre es suficiente y para que se entienda lo voy a ilustrar con un ejemplo.

Si usted está comandando cualquier aeronave desde el puesto del piloto y durante el despegue, en una situación de vuelo en instrumentos y sin referencia exterior siente que la indicación o actitud de su horizonte artificial no coincide con lo que usted siente o lo que le señala otro indicador, por ejemplo, el indicador de velocidad indicada o IAS, ¿cuál será su primera reacción?, evidentemente enseguida volteará a ver, tanto el horizonte artificial como el Indicador de Velocidad o IAS del copiloto. En seguida se da cuenta y comprueba que las dos actitudes indicadas en los horizontes son diferentes. Ahora le pregunto, ¿cómo sabe usted cuál de las dos refleja la verdadera actitud de la aeronave? La mayoría de los pilotos conoce la respuesta.

Si el sistema solo fuera duplicado ¿cómo podría usted saber cuál de las dos indicaciones es la real o verdadera?, no tendría forma inmediata de saberlo. Tendría que tomar datos de otros indicadores, como altímetro, velocidad vertical y razonar una conclusión, pero posiblemente no haya tiempo suficiente para hacerlo. Por eso es necesario un tercer indicador SHSI o Standby Horizontal Situation Indicator, para comparar los dos principales y poder definir cuál es el que está errado. Por esto hay sistemas que en aviación deben estar por triplicado e independientes. Es el caso de los horizontes, donde incluso su fuente de poder proviene de fuentes diferentes, neumáticas y eléctricas.

Algo similar ocurre con los sistemas de piloto automático, ¿cómo sabe la computadora cuando algo está mal o bien, entre la duplicidad de información de un sistema redundante?, pues solo mediante un software muy bien programado y recibiendo lecturas de otro sistemas duplicados, haciendo comparaciones basadas en cálculos lógicos y matemáticos. La diferencia con nuestro cerebro es que la computadora es capaz de hacer miles de cálculos en milésimas de segundos.

Ahora el problema se complica cuando uno de los sistemas, aun teniendo una falla, sigue transmitiendo información falsa a las computadoras de vuelo, el software tiene que estar diseñado para que en milésimas de segundos y haciendo cómputos en subrutinas debidamente programadas, pueda comparar información en su base de datos y de otros sistemas de medición, y poder así descartar la información falsa o, sin lugar a dudas, si el piloto así lo requiere poder fácilmente desconectar el sistema cuando este no logra desempeñarse de forma eficiente.

Boeing acaba de modificar el software del sistema MCAS y comunica los siguientes cambios.

El sistema de control de vuelo ahora comparará las entradas de ambos sensores AOA. Si los sensores no están de acuerdo con 5.5 grados o más con los flaps retraídos, el MCAS no se activará. Un indicador en la pantalla de la cabina de vuelo solo alertará a los pilotos.

Si el MCAS se activa en condiciones anormales, solo proporcionará una respuesta para cada evento AOA elevado. No hay condiciones de falla conocidas o previstas en las que el MCAS pueda proporcionar múltiples respuestas o correcciones.

El MCAS nunca puede ordenar mayores correcciones al estabilizador de las que pueda contrarrestar la tripulación de vuelo retrocediendo la columna de comando. Los pilotos continuarán teniendo siempre la capacidad de anular el MCAS y controlar manualmente el avión.

Estas actualizaciones reducen la carga de trabajo de la tripulación en situaciones de vuelo no normales y evitan que datos erróneos causen la activación del MCAS, pero serán los hechos futuros los que certifiquen que las correcciones efectuadas modificaron los problemas dados por una mayor automatización.