Autopsia de Boeing Errores Humanos Mcas FFAA!
Interesante articulo que da una visión impresionante de como una cadena de errores llega hasta el final
La primera señal de problemas apareció justo después del despegue.
Dentro de la cabina de PK-LQP, un nuevo Boeing 737 Max que pertenece a Lion Air, el
vibrador de palos en el costado del capitán comenzó a vibrar. Los agitadores de palos están diseñados para advertir a los pilotos de una inminente parada, lo que puede causar una peligrosa pérdida de control. Son inconfundiblemente ruidosos por esa razón.
Pero el avión volaba normalmente, en ninguna parte cerca de un puesto. El capitán lo ignoró.
Aproximadamente 30 segundos después, notó una alerta en la pantalla de su vuelo, IAS DISAGREE, lo que significaba que la computadora de vuelo había detectado un mal funcionamiento del sensor. Esto requería un poco más de atención.
Un avión de pasajeros moderno es menos como un coche de carreras y más como una impresora temperamental: pasas más tiempo monitoreando y revisando sistemas que conduciendo la cosa. Entonces, el capitán pasó el control de la aeronave al primer oficial y comenzó el proceso de resolución de problemas desde la memoria.
Como todos los aviones comerciales, el Boeing 737 Max tiene múltiples niveles de redundancia para sus sistemas importantes. En la cabina, hay tres computadoras de vuelo y paneles de instrumentos digitales que operan en paralelo: dos sistemas primarios y uno de respaldo. Cada sistema es alimentado por un conjunto independiente de sensores. En este caso, el capitán verificó ambos paneles de instrumentos contra la copia de seguridad, y descubrió que los instrumentos de su lado, el lado izquierdo, estaban obteniendo datos erróneos.
Así que con el giro de un dial, el capitán cambió las pantallas primarias para usar solo datos de los sensores de trabajo en el lado derecho del avión. Fácil.
Todo esto tomó menos de un minuto, y todo parecía volver a la normalidad.
A 1.500 pies de altitud, la parte de despegue del vuelo se completó oficialmente, y el primer oficial comenzó el ascenso inicial. Ajustó el acelerador, colocó la aeronave en su pendiente de ascenso óptima y retrajo las aletas.
Excepto que el avión no subía. Se tambaleó hacia abajo, su nariz apuntando hacia el suelo.
El primer oficial reaccionó instintivamente. Encendió un interruptor en su columna de control para contrarrestar la inmersión. El avión respondió de inmediato, levantando su nariz de nuevo. Cinco segundos después, se zambulló una vez más.
El primer oficial levantó la nariz del avión por tercera vez. Se lanzó hacia abajo.
No había una lista de verificación memorizada que pareciera aplicarse a esta situación, por lo que el capitán buscó el Manual de referencia rápida del avión (QRH). El QRH es una serie de listas de verificación simples que están diseñadas para ayudar a los pilotos a evaluar y gestionar rápidamente situaciones "no normales". La idea es que Boeing haya pensado en todas las cosas posibles que podrían sucederle a uno de sus aviones, y las ha incluido todas en el QRH. Básicamente, es más solución de problemas.
Pero nada en el QRH parecía aplicarse, tampoco.
Durante los siguientes seis minutos, mientras el primer oficial luchaba por controlar el avión y el capitán buscaba la lista de verificación correcta, el PK-LQP subió y se lanzó una docena de veces. En un momento dado, el avión se retiró de una inmersión de 900 pies a una velocidad de casi 375 mph, que está incómodamente cerca de la "línea roja" del 737 de 390 mph.
La tripulación de vuelo tuvo que resolver algo rápido antes de perder el control del avión.
Luego, según informes, la tercera persona en la cabina, que estaba técnicamente fuera de servicio, "rumbo muerto" a su próxima tarea, habló.
¿Qué pasa con la lista de verificación de estabilizador fuera de control?
Era un tiro en la oscuridad, otra lista de verificación. El "recorte fuera de control" se produce cuando algún tipo de falla hace que el estabilizador horizontal de un avión se mueva, o "recorte", cuando no debería moverse en absoluto. Por lo general, esto crea una fuerza ascendente o descendente constante que la tripulación de vuelo debe tratar de contrarrestar por el resto del vuelo. Es como intentar conducir cuando las ruedas no están alineadas.
El problema de PK-LQP fue un poco diferente. Era intermitente, temporalmente reversible, y ni siquiera estaba claro si el estabilizador horizontal estaba causando el problema. Pero se estaban quedando sin opciones. Siguieron la lista de verificación y cambiaron los interruptores STAB TRIM a CUT OUT en la consola central.
El avión dejó de tirar hacia abajo. Pasaron cinco segundos. Luego cinco minutos. Una vez más, PK-LQP estaba bajo su control y fuera de peligro.
Una hora más tarde, el vuelo 043 de Lion Air aterrizó en Yakarta, Indonesia, con solo unos minutos de retraso. Siguiendo el procedimiento estándar, el capitán informó el episodio a la aerolínea, y el equipo de mantenimiento de la aerolínea verificó fallas graves en el equipo y no encontró ninguna.
A la mañana siguiente, PK-LQP, operando como el vuelo 610 de Lion Air, despegó a las 6:20 am hora local en su camino a Pangkal Pinang, Indonesia. Su coctelera se activó justo después del despegue. Lanzó múltiples errores en la pantalla de vuelo. Se zambulló justo después de que la tripulación de vuelo retirara las alas. Y activó implacablemente su ajuste de tono automático en la dirección de nariz abajo 28 veces en el transcurso de ocho minutos.
Esta vez, no había un tercer piloto para ayudar a la tripulación de vuelo.
PK-LQP puede haber alcanzado 600 mph, más rápido que un misil Tomahawk, ya que se lanzó al agua. Fue el primer accidente de 737 Max en sus 18 meses de servicio.
Para los forasteros de la industria, fue un shock. ¿Qué podría haber derribado uno de los aviones más nuevos y tecnológicamente más sofisticados de Boeing? Pero los que estaban más cerca del desarrollo del avión sabían mejor: hubo señales de advertencia desde el principio.
The Verge habló con una docena de pilotos, instructores, ingenieros y expertos sobre el 737 Max y su desarrollo, implementación y los dos choques que han cobrado la vida de 346 personas. Lo que surgió fue una historia de fallas en cascada: los muchos pequeños errores humanos en cada fase del proceso de diseño, certificación y operación del avión. Esos errores llegaron a un clímax terrible y mortal en los cielos sobre el mar de Java en octubre de 2018 y sobre el campo etíope cinco meses después.
La historia de Max es, en última instancia, la historia del ciclo de negocios de Darwin, donde compañías maduras como Boeing enfrentan amenazas constantes de nuevos productos, nuevos competidores y la búsqueda de un nuevo crecimiento. A veces esto los motiva a nuevas alturas de innovación y progreso. Otras veces, les pide que retiren todo en nombre del recorte de costos.
Los eventos que llevaron a estos dos accidentes fatales se pusieron en marcha hace casi una década, y comenzaron no con Boeing, sino con el rival europeo de la compañía, Airbus.
El 737 de Boeing y el A320 de Airbus son los dos jugadores principales en el mercado masivo y masivamente rentable de aviones de pasajeros de cuerpo estrecho. Juntos, ambos aviones comprenden casi la mitad de los 28,000 aviones comerciales del mundo. Lo más probable es que si alguna vez has volado en algún lugar, hayas volado en uno de ellos.
Ambos fabricantes se enfrentan a una carrera para hacer que sus aviones sean más baratos para que las aerolíneas operen, especialmente cuando se trata de combustible.
En 2018, por ejemplo, la flota de Southwest Airlines de 751 Boeing 737 quemó
2.100 millones galones de combustible a un costo promedio de $ 2.20 por galón para un total de $ 4.6 mil millones. Un aumento del 1% en la eficiencia del combustible ahorraría $ 46 millones. Eso no es nada para estornudar, incluso para una compañía que obtuvo $ 2.5 mil millones en ganancias netas.
Un ciclo de desarrollo no puede ser rápido, barato y bueno
Por lo tanto, Airbus y Boeing ajustan constantemente sus aviones para obtener ganancias de puntos porcentuales. Pero las revisiones completas son raras: el 737 recibió una última en 1997, con el debut de la tercera generación de 737NG, mientras que el A320 no se había renovado desde su lanzamiento en 1988.
Luego, el 1 de diciembre de 2010, Airbus sorprendió a la comunidad de aviación. En secreto, había desarrollado una versión más eficiente del A320 llamada A320neo (que significa "nueva opción de motor"). Quemaría alrededor de un 6 por ciento menos de combustible que el 737NG. Ese fue un impresionante salto en la eficiencia del combustible, dado en un momento en el que el precio del combustible para aviones alcanzó un récord cercano de $ 2.50 por galón.
A las aerolíneas les encantó. El verano siguiente, en el Salón Aeronáutico de París 2011, el equivalente a la industria aeroespacial del Viernes Negro, Airbus
vendió un récord de 667 A320neos en el lapso de una semana. Eso fue más pedidos de los que habían recibido los 737
en todo 2010 .
Boeing fue atrapado con los pies planos. Había pasado cuatro años debatiendo el futuro de su programa de chorro de cuerpo estrecho, y aún no tenía una respuesta a su pregunta más básica: si Boeing debería hacer un diseño completamente nuevo o renovar el 737 una vez más.
Ante la amenaza existencial del A320neo, los ejecutivos de Boeing decidieron en cuestión de semanas. La compañía lanzaría un 737 de cuarta generación, y lo haría en un tiempo récord.
El 737 Max era, claro y simple, una medida provisional.
Boeing podría ahorrar miles de millones de dólares en costos de ingeniería al basar el Max en la plataforma 737. Eso le dio a la empresa una ventaja en el diseño y el trabajo de ingeniería, suficiente, según esperaba Boeing, para permitir que el Max entre en servicio solo unos meses después del A320neo.
Pero los ingenieros del proyecto tendrían que superar algunos desafíos monumentales para poder cumplir a tiempo. La primera fue la propia plataforma 737. Se necesitaría una cantidad considerable de trabajo para actualizar un diseño de 46 años con toda la tecnología que necesitaba para ser tan eficiente como la competencia.
"El 737 fue concebido en la década de 1960 como lo que hoy llamaríamos un avión regional, y con cada variante, lo han empujado hasta el final de su sobre", dice Patrick Smith, piloto de una aerolínea y blogger de
Ask el piloto "Hace que te preguntes si la plataforma con la que están trabajando está tan obsoleta en este momento".
Al mismo tiempo, los diseñadores no pudieron actualizarlo
demasiado . Por ley, un piloto solo puede volar un tipo de avión a la vez. Sin embargo, la Administración Federal de Aviación permite que diferentes modelos de aviones con características de diseño similares compartan un "certificado de tipo" común.
Entonces, por ejemplo, las tres generaciones anteriores del 737 tienen un certificado de tipo común. Cuando te calificas en un modelo, puedes volar todos.
Esto permite a las aerolíneas con flotas de tipo común sustituir más fácilmente a los pilotos y aviones, lo que hace que sus operaciones sean más flexibles. Como resultado, muchas aerolíneas se limitan a los aviones de un fabricante sobre el otro. Algunos, como Ryanair y Southwest, solo operan un tipo de avión para la máxima eficiencia operativa.
También incentiva a los fabricantes a diseñar aviones que obtengan estas certificaciones de tipo común. Sin embargo, un certificado de tipo es tan detallado y completo, que abarca desde las dimensiones del avión hasta la configuración de la cabina de pasajeros y la forma en que el avión se mueve y se siente durante el vuelo, que puede limitar la cantidad de personas que tienen los diseñadores cuando intentan agregar un nuevo modelo. a un certificado existente.
El Max, por ejemplo, no solo tenía que ser similar al 737NG de la generación anterior, que se lanzó por primera vez en 1993, sino que también tenía que ser lo suficientemente similar al 737 Classic de 1980 y al 737 original de 1964. En esencia, tenía que ser un avión de vanguardia del siglo XXI que aún se sentía y volaba como los diseñados cuando los Beatles todavía estaban juntos.
Boeing se dio seis años para hacer todo esto: un año menos de lo que se tardó en desarrollar el 777, y 18 meses menos que el 787. Para vencer a Airbus, tendría que infringir la única ley inquebrantable de la gestión de proyectos: un desarrollo El ciclo no puede ser rápido, barato
y bueno. Si fallaba, Airbus podría acaparar un mercado de $ 35 mil millones para aviones de pasillo único durante una década o más.
Así que Boeing no podía permitirse el lujo de fallar.
Las primeras señales fueron alentadoras. Con dos años de desarrollo, Boeing prometió que el Max sería un
8% más eficiente en combustible que el A320neo. Cinco años y medio después, la FAA otorgó a Max su Certificación de Tipo Modificado. Solo unos meses después, el piloto principal del programa, Ed Wilson, se jactó de que los pilotos clasificados en versiones anteriores del 737 podían cambiar al Max con solo "
2 horas y media de entrenamiento en computadora ".
Este fue otro punto de venta clave para las aerolíneas: no hay costosas horas de clase, no hay costosos tiempos de simulación. En teoría, los pilotos podían leer sobre el Max en casa, tomar un curso de computación autoadministrado por la mañana y estar listos para volar por la tarde.
Por lo tanto, entre su combustible y su eficiencia de entrenamiento, el Max parecía un prospecto ganador para todos, especialmente Boeing, que vendió un valor
récord de $ 200 mil millones en Maxes antes de que el primer prototipo llegara a los cielos.
La campaña de relaciones públicas de Slick enmascaró un proceso de diseño y producción que se extendió hasta el punto de ruptura.
Los diseñadores
sacaron planos al doble de su ritmo normal, a menudo enviando esquemas incorrectos o incompletos a la fábrica. Los ingenieros de software tuvieron que conformarse con la recreación de instrumentos analógicos de 40 años en formatos digitales, en lugar de innovarlos y mejorarlos. Todo esto se hizo con el fin de mantener el Max dentro de las restricciones de su certificado de tipo común.
Y muchos pilotos sintieron que, durante los primeros 737 nuevos en más de 20 años, Boeing parecía ser extrañamente reacio a prepararlos.
La capitana Laura Einsetler , que ha volado durante más de 30 años, incluso en los 737, considera que un curso totalmente informático es completamente inadecuado como introducción a un nuevo avión.
"No tengo los esquemas. No tengo los paneles de la cabina. No tengo un instructor al que pueda hacerle preguntas ", dice ella. “Esperas que la primera vez que veas a Max sea en un día claro y agradable. Pero a veces no lo es, y te presentas por la noche o con mal tiempo en un avión que tiene todos estos cambios ".
Había algo más que Boeing no había mencionado sobre el 737 Max. Ocho días después del accidente de Lion Air, apareció un boletín en MyBoeingFleet, el portal en línea de la compañía para pilotos y aerolíneas.
Se leía:
"Boeing desea llamar la atención sobre una condición de falla [ángulo de ataque] que puede ocurrir solo
durante el vuelo manual ".
En una jerga técnica insulsa, Boeing describió la serie exacta de eventos que derribaron a PK-LQP. La confusa serie de alertas. Las súbitas inmersiones. El hecho de que esta "condición de falla" seguiría ocurriendo hasta que, a menos que la tripulación cambiara el STAB TRIM, cambia a CUT OUT, tal como lo había adivinado correctamente la tripulación en el penúltimo vuelo de PK-LQP.
La presencia de este sistema, al acecho en algún lugar de la suite de software de Max, fue lo suficientemente impactante. Aún más aterrador, Boeing solo proporcionó el mínimo de información a las aerolíneas y los pilotos. El boletín no le dio un nombre al sistema ni le explicó para qué estaba diseñado para su funcionamiento normal. Solo se dice que a veces funciona mal y que puede estrellar su avión.
"Fue un poco como, 'Ok pilotos, buena suerte con eso, descifrelo'", dice Einsetler.
Durante cuatro días, pilotos enojados y oficiales de la aerolínea bombardearon a Boeing con demandas de más información.
Finalmente, el 10 de noviembre, apareció otro mensaje en MyBoeingFleet:
"Boeing ha recibido muchas solicitudes de la misma información de 737 operadores de flotas", decía.
Por fin, Boeing admitió lo que el mundo temía: algo estaba fundamentalmente mal con el nuevo 737 Max.
El culpable fue el Sistema de Aumento de Características de Maniobra (MCAS). Al igual que el 737 Max, MCAS fue hecho para ser un recurso provisional.
El Max fue diseñado alrededor de un nuevo conjunto de motores llamados LEAP-1Bs. Estos son mucho más eficientes que los motores del 737NG, pero también son mucho más pesados y más grandes.
Esto creó un problema de diseño. Los motores en el NG están a solo
18 pulgadas del suelo, y el montaje de los LEAP-1B en el mismo lugar les dio muy poco
espacio libre durante el despegue. Así que Boeing los colocó más adelante y ligeramente más arriba en el ala del Max.
Esa solución creó un problema de aerodinámica. Debido a su tamaño y posición, los motores del Max crean sustentación cuando el avión entra en una subida pronunciada (o, en el lenguaje de la aviación, en ángulos de ataque altos). Este levantamiento adicional hace que el Max se maneje de manera diferente a las versiones anteriores del 737, pero solo cuando está escalando abruptamente.
Esa solución creó un problema regulatorio. Para que los diferentes modelos de aviones compartan un certificado de tipo, la FAA requiere que todos se manejen de la misma manera. Un modelo de avión con controles sensibles, como un automóvil deportivo, no puede compartir un certificado de tipo con un modelo cuyos controles son mucho más lentos, como un camión semi. A Boeing le preocupaba que la FAA pudiera considerar esto lo suficiente como para otorgarle a Max su propia calificación de tipo, socavando uno de sus puntos de venta prometidos.
La solución correcta no era obvia, dice Alex Fisher, un piloto retirado de British Airways que escribe sobre seguridad de vuelo. Debido a que el problema solo ocurrió en circunstancias específicas, Boeing no podía simplemente dar una palmada a un conjunto adicional de aletas en el avión y llamarlo un día. Los cambios aerodinámicos "funcionan" todo el tiempo y requieren un montón de diseño y pruebas para que funcionen correctamente. Boeing necesitaba un objetivo preciso, calibrado cuidadosamente y de efecto no lineal. Necesitaba software.
Así que MCAS fue diseñado para compensar. Utilizaría un sensor de ángulo de ataque (AoA) para detectar cuándo el avión entró en una subida pronunciada. Activaría el sistema de ajuste de inclinación del avión, que se usa habitualmente para ayudar a estabilizar el avión y facilitar el control, especialmente durante el ascenso y el descenso. Y recortaría el avión en incrementos modestos por hasta nueve segundos a la vez hasta que detectara que el avión había regresado a un AoA normal y había terminado su ascenso. Parece bastante simple - en papel, eso es.
Boeing, mientras tanto, defendió su silencio anterior sobre el MCAS.
"Dado que opera en situaciones en las que la aeronave se encuentra con una carga de carga relativamente alta y cerca de un punto muerto, un piloto nunca debe ver el funcionamiento del MCAS", lee
un Q&A distribuido a Southwest Airlines.
El subtexto: los pilotos tenían necesidad de saber sobre el MCAS, y hasta el accidente de Lion Air, Boeing sintió que no habían necesitado saberlo.
Einsetler está totalmente en desacuerdo. "Necesitamos tener la comprensión y el conocimiento de cómo funciona todo en el avión, para que podamos ordenar al avión que haga lo que necesitamos que haga, no solo acompañarnos en el viaje", dice.
"No hay mucha información disponible de manera oportuna", concuerda Juan Browne, un 777 piloto con más de 40 años de experiencia en vuelo. "Casi me hace preguntarme si los ingenieros de Boeing realmente entendieron la potencia y la autoridad que incorporaron en este sistema".
Cuando Boeing quemó sus puentes con pilotos, buscó reparar lazos con sus principales clientes: las aerolíneas.
A los pocos días del accidente de Lion Air, Boeing desplegó representantes de cuenta en todo el mundo para apuntalar la confianza en el Max. Tuvieron éxito: entre noviembre de 2018 y marzo de 2019, Boeing anunció nuevos pedidos de varias aerolíneas, e incluso logró disuadir a Lion Air de cancelar su pedido de $ 5 mil millones.
El Max continuó volando.
Luego, el 10 de marzo de 2019, volvió a ocurrir el desastre. ET-AVJ, otro 737 Max 8 de propiedad de Ethiopian Airlines, despegó de Addis Abeba, Etiopía, con destino a Nairobi, Kenia. Al mando estaba Yared Getachew, el capitán más joven de la aerolínea. A su derecha estaba Ahmed Nur Mohammed, un primer oficial bastante nuevo.
El agitador de palos en la columna de control izquierda se activó justo después del despegue. Los indicadores de altitud y AoA en un lado del avión funcionaron mal. Aproximadamente 90 segundos después del despegue, e inmediatamente después de que el primer oficial retiró las aletas, el avión se lanzó inesperadamente.
El sistema de advertencia de proximidad a tierra sonaba en la cabina: "NO SE PIERDE. No se hunda ".
Instintivamente, el capitán Getachew tiró de su columna de control para apuntar la nariz hacia el cielo, luego pulsó el interruptor de ajuste eléctrico en su yugo. El primer oficial Mohammed, por su parte, transmitió por radio el control del tráfico aéreo.
"Romper, romper, romper", dijo. "Solicitud de vuelta a casa. Solicitud de vectores para el aterrizaje ".
Cinco segundos después, el MCAS se activó de nuevo.
"No se hunda. No se hunda ".
El capitán Getachew volvió a levantarse y volvió a pulsar el interruptor de ajuste. Pero cada vez que los pilotos ganaban unos pocos cientos de pies de altitud, MCAS empujó el avión nuevamente hacia abajo.
Fue Mohammed, el piloto cuya experiencia fue calificada de “
absurdamente bajo ” por el mismo Chesley “Sully” Sullenberger, quien diagnosticó correctamente el problema.
Corte de recorte de puñalada, recorte de recorte de puñalada", llamó. Getachew estuvo de acuerdo, y Mohammed cambió los interruptores para deshabilitar el MCAS.
A más de 400 millas por hora de velocidad, el avión ya había pasado su línea roja. La tripulación tenía unos pocos cientos de pies de altitud para trabajar, y a esa velocidad y altitud, las fuerzas aerodinámicas en el avión habrían sido inmensas, lo que dificultaría el control.
"¡Levantar! ¡Levántate! ”, Dijo Getachew, lo que hicieron, al unísono, docenas de veces en los siguientes dos minutos. El avión apenas respondió. Mohammed intentó ajustar el adorno con la manivela manual ubicada en la consola central. Eso tampoco funcionó.
Casi tres minutos después de apagar el sistema de ajuste eléctrico para deshabilitar el MCAS, la tripulación lo reactivó. Deben haber creído que era la única forma de volver a subir al avión.
Los pilotos se recortaron dos veces con sus interruptores de pulgar, y luego el MCAS se activó una última vez. Quince segundos después, el avión se estrelló a más de 500 nudos de velocidad aérea en un campo cerca de la ciudad de Bishoftu, Etiopía. Ninguna de las 157 personas a bordo sobrevivió.
El ajuste de cuentas había llegado para el 737 Max. Al día siguiente, los reguladores de todo el mundo comenzaron a aterrizar el avión.
Sin embargo, Estados Unidos no hizo lo mismo. El director general de Boeing, Dennis Muilenburg, informó que llamó al presidente Trump para asegurarle que el 737 Max era seguro para volar.
El 13 de marzo, la FAA puso a tierra el avión de todos modos. Muilenburg admitió que MCAS fue directamente responsable de ambos choques y prometió que Boeing arreglaría su sistema roto. "Es nuestra responsabilidad eliminar este riesgo", dijo. "Lo tenemos y sabemos cómo hacerlo".
Pero, ¿por qué nadie lo había atrapado en primer lugar? La respuesta podría ser exasperadamente simple: nadie leyó el papeleo.
Pero hay una diferencia entre delegación y sumisión total.
Aunque la FAA es responsable de la seguridad de cualquier avión fabricado en los Estados Unidos, delega gran parte de la certificación a los propios fabricantes.
Tiene que hacerlo para obtener algo certificado, dice Jon Ostrower, editor en jefe de
The Air Current y ex reportero de aviación de
The Wall Street Journal . Boeing ya tiene la gente y la experiencia, paga mejor y no es susceptible a los cierres del gobierno. Mientras tanto, la FAA dice que necesitaría
10,000 empleados más y un adicional de $ 1.8 mil millones de dinero de los contribuyentes cada año para llevar la certificación por completo dentro de la empresa.
Pero hay una diferencia entre delegación y sumisión total.
Durante el proceso de certificación de Max, los gerentes de la FAA presionaron a sus equipos para que
delegaran todo lo posible en Boeing. Cuando Boeing volvió a la FAA para que la revisara, "no hubo una revisión completa y correcta de los documentos ... la revisión fue apresurada para alcanzar ciertas fechas de certificación", según un ingeniero de certificación de la FAA.
Los resultados de esa revisión apresurada son claros.
Cada vez que agrega un nuevo avión a un certificado de tipo, la FAA enumera dónde el avión hace o no difiere de otros modelos del mismo tipo. En el
caso del 737 Max , la lista de la FAA se extiende a 30 páginas, revisando todo, desde el ruido del motor hasta los sistemas de deshielo, la fatiga del aluminio hasta las puertas de seguridad.
Sin embargo, este documento dedicado a las minucias no menciona MCAS ni una sola vez, no por su nombre, no por su descripción, lo cual es un tanto sorprendente si se considera que incluso los cinturones de seguridad reciben una mención.
La FAA también pasó por alto a MCAS en otros lugares.
Como parte de su revisión de certificación, la FAA asigna una "
condición de falla " a cada sistema, lo que básicamente es una suposición de lo que sucedería si ese sistema se rompiera.
Los sistemas de menor gravedad solo deberían causar "algunos inconvenientes" a los pasajeros, mientras que las condiciones de falla más "peligrosas" y "catastróficas" pueden poner en peligro a la aeronave y sus pasajeros. Cuanto más grave sea la condición de falla, más redundancias se supone que tiene el sistema.
Simplemente cree cualquier información que se proporcione, incluso si esa información es mala.
Al menos, esa es la teoría. MCAS recibió una designación de "falla peligrosa". Esto significaba que, a juicio de la FAA, cualquier tipo de mal funcionamiento del MCAS daría lugar, en el peor de los casos, a "una gran reducción en los márgenes de seguridad" o "lesiones graves o fatales para un número relativamente pequeño de los ocupantes". Tales sistemas, por lo tanto, necesita al menos dos niveles de redundancia, con una probabilidad de fallo inferior a 1 en 10 millones.
MCAS, sin embargo, no cumple con ninguna de estas normas.
No tiene redundancia: toma la entrada de un solo sensor AoA a la vez. Eso hace que el MCAS sea completamente incapaz de hacer frente a un mal funcionamiento del sensor. No puede "comprobar la cordura" sus datos contra un segundo sensor o cambiar a una copia de seguridad si la fuente original falla. Simplemente cree cualquier información que se proporcione, incluso si esa información es mala, que es lo que sucedió en el vuelo 610 de Lion Air y en el vuelo 302 de Ethiopian Airlines.
Se agrava: en los últimos cinco años,
50 vuelos en aviones comerciales de EE. UU. Experimentaron problemas con el sensor de AoA, o aproximadamente una falla por cada
1,7 millones de horas de vuelo comercial . Claro, esa es una tasa baja, pero todavía es casi seis veces superior a lo que la
FAA permite para los sistemas "peligrosos": se supone que solo fallan una vez cada 10 millones de horas de vuelo.
Peor aún: la FAA no entendió el hecho de que la versión de MCAS realmente instalada en el 737 Max era mucho más poderosa que la versión descrita en las especificaciones de diseño. Sobre el papel, se suponía que el MCAS solo movía el estabilizador horizontal
0,6 grados a la vez . En realidad, podría mover el estabilizador tanto como 2.5 grados a la vez, haciéndolo significativamente más poderoso al forzar la nariz del avión hacia abajo.
"Aunque los funcionarios estaban al tanto de los cambios",
informó The New York Times , "ninguno fue examinado por completo por la FAA".
Por lo tanto, si alguien hubiera comprobado, podría haber marcado el MCAS por una de varias razones, incluida su falta de redundancia, su riesgo inaceptablemente alto de falla o su significativo aumento de potencia hasta el punto de que ya no era solo una clase de "falla peligrosa". del sistema.
Cuando se le pidió un comentario, la agencia dijo: "Los procesos de certificación de aeronaves de la FAA están bien establecidos y han producido constantemente diseños de aeronaves seguros".
Boeing también defendió el proceso. "El sistema de representantes autorizados (autoridad delegada) es una forma sólida y eficaz para que la FAA ejecute su supervisión de seguridad", dijo un portavoz a
The Verge .
Pero ese sistema solo funciona cuando alguien lee el papeleo.
De manera extraña, la historia del 737 Max trata menos de lo
que sucedió y más de lo que no sucedió. Nadie hizo nada criminal. Nadie hizo nada malicioso. Nadie hizo nada malo, en un sentido estrictamente técnico.
De hecho, cuando se ve
en términos comerciales , Boeing hizo todo
bien . Entre 2011, cuando se anunció por primera vez el Max y 2018, los ingresos anuales totales de Boeing aumentaron casi un 50 por ciento a $ 101 mil millones, sus ganancias anuales casi se duplicaron y el precio de las acciones se cuadruplicó. Sus ejecutivos personalmente ganaron decenas de millones de dólares en bonos por alcanzar sus objetivos de desempeño corporativo, gracias, en gran parte, al ritmo récord de 737 ventas máximas.
Es un ejemplo perfecto de los propósitos cruzados en los que los negocios, la tecnología y la seguridad se encuentran a menudo. Con su línea de fondo amenazada, Boeing se centró en la velocidad en lugar del rigor, el control de costos en lugar de la innovación y la eficiencia en lugar de la transparencia. La FAA se vio atrapada en la prisa de Boeing por poner a Max en producción, posiblemente sin hacer cumplir sus propias normas de seguridad y perdiendo una oportunidad clara de evitar estos dos choques.
La apuesta de Boeing en el 737 Max ahora parece haber sido mal calculada. Desde los dos choques, la compañía ha perdido más de $ 25 mil millones en capitalización de mercado. Puede que tenga que pagar miles de millones más a sus proveedores y clientes de líneas aéreas por los costos relacionados con la conexión a tierra, y eso no incluye los casi
$ 30 mil millones en pedidos que las aerolíneas han amenazado con cancelar. Todo esto para un avión cuyo desarrollo inicial se suponía que tenía un gran valor con solo
$ 3 mil millones .
En Etiopía, mientras tanto, las consecuencias de la apuesta de Boeing son mucho menos abstractas. Una semana de luto siguió al choque en Addis Abeba. Familiares de las víctimas llegaron de Kenia, Canadá y China. Otros que vivían en Etiopía fueron
transportados en
autobús a la capital por la aerolínea.
Tres días después del accidente, cientos de dolientes y 17 ataúdes vacíos avanzaron por las calles de Addis Abeba, que terminaron en la Catedral de la Santísima Trinidad.
En el lugar del accidente, los parientes colocaron un arco con flores en forma de memorial, bajo el cual colocaron fotografías de sus seres queridos. El avión había golpeado el suelo con tanta fuerza que no había restos identificables. En cambio, las familias recibieron bolsas de tierra de los campos circundantes.
Corrección: hemos actualizado nuestra discusión sobre la tasa de fallas de los sensores de ángulo de ataque. Ahora se refiere a fallas por horas de vuelo totales en lugar de vuelos totales, y solo considera vuelos comerciales de pasajeros (no vuelos de carga o privados) en su cálculo.
Por
darryl campbell 2 de mayo de 2019, 8:03 am EDT
Ilustraciones de
William Joel
Fuente
The many human errors that brought down the Boeing 737 Max