Aunque aún tardaremos meses en ver el informe definitivo sobre el accidente del vuelo 302 de Ethiopian Airlines ya sabemos que los datos de las cajas negras del avión siniestrado muestran claras similitudes con los del vuelo 610 de Lion Air.
Y esto es una muy mala noticia para Boeing y la Autoridad Federal de Aviación de los Estados Unidos (FAA) ya que todo parece indicar que de nuevo el Maneuvering Characteristics Automation System (MCAS), el sistema de seguridad diseñado para evitar que el avión entre en pérdida, está relacionado con el accidente.
Pero según se van sabiendo más cosas la pregunta ya no es solo cómo la FAA aceptó que Boeing instalara el MCAS en los 737 MAX sin mencionar su existencia en la formación de los pilotos. Lo que está cuestionándose es el proceso mismo de certificación para el vuelo de este modelo que permitió su entrada en servicio.
Como es habitual cuando se trata de una variante nueva de un avión ya existente el proceso de certificación es abreviado y se centra en las diferencias de la variante nueva respecto a las anteriores ya en vuelo y por tanto ya certificadas. Es un proceso habitual en el mundo de la aeronáutica que ahorra tiempo y dinero tanto al fabricante como a las autoridades. Y de hecho la Agencia Europea de Seguridad Aérea (EASA) también lo utiliza con las variantes nuevas de los aviones de Airbus, por ejemplo.
El problema, en el caso del 737 MAX, parece estar en que la FAA, carente de de suficientes recursos propios, y ante la presión de acelerar la certificación del MAX por la ventaja que llevaba Airbus con la certificación del A320neo, dejó en manos de Boeing muchos de los aspectos del proceso. Es algo así como darle las llaves del gallinero al zorro. El A320neo viene a ser el equivalente tecnológico del MAX y está siendo un enorme éxito de ventas para el fabricante europeo.
En el caso del MCAS esta falta de supervisión llevó a un sistema que no se incluía en la formación de los pilotos porque, al menos según Boeing, estaba ahí como precaución e iba a ser extremadamente raro que se activara. Pero es que además permitió que el MCAS, en su versión final, tuviera mucho más mando sobre el avión de lo que el análisis inicial de seguridad indicaba, por no hablar de que este análisis jamás tuvo en cuenta el hecho de que el sistema sea capaz de reactivarse automáticamente aún después de que la tripulación lo haya desactivado, algo que tampoco estaba claramente documentado.
Pero de todos modos el problema principal es que Boeing clasificó un posible fallo del MCAS como peligroso en lugar de catastrófico, lo que les permitió diseñar un sistema que solo recibe datos de uno de los dos sensores de ángulo de ataque con los que está equipado el avión.
Estos sensores son una especie de alas minúsculas –generalmente no son más grandes que una mano– que se montan en el exterior del fuselaje y que miden el ángulo de inclinación del morro del avión. Son extremadamente importantes porque si el morro del avión se levanta demasiado el flujo de aire sobre las alas se puede ver reducido tanto como para que la aeronave pierda sustentación y se desplome. Por eso lo habitual es montar al menos dos, uno a cada lado del avión, para minimizar el riesgo de que ambos se puedan ver dañados a la vez.
De hecho el objetivo del MCAS es mantener bajo control la tendencia a encabritarse del 737 MAX, tendencia causada por sus nuevos motores, más potentes y situados un poco más adelante y un poco más arriba que en las variantes anteriores. Sin embargo a pesar de que es capaz de hacer que el morro del avión se mueva para abajo sin intervención de los pilotos –y de hecho hasta hace unos meses sin que ellos supieran que había un sistema capaz de hacerlo– el fabricante lo diseñó, como decíamos antes, para tener en cuenta la lectura de uno solo de los sensores de ángulo de ataque.
En el caso del accidente de Lion Air lo cierto es que ese sensor llevaba unos días dando problemas y probablemente el avión tenía que haber sido dejado en tierra hasta tener claro que estaba correctamente reparado. De hecho el día anterior al accidente un piloto que volaba como extra en la cabina evitó probablemente que el avión se estrellara porque cuando empezó a hacer movimientos extraños se dio cuenta de que era el estabilizador horizontal el que estaba causándolos e indicó a sus compañeros que desactivaran el motor que lo mueve. Lamentablemente este incidente no quedó reflejado en los libros de mantenimiento del avión y al día siguiente se le acabó la suerte al avión y a sus tripulantes que, hay que recordar, no habían recibido información acerca de la existencia del MCAS.
Pero para cuando se produjo el accidente de Ethiopian Airlines hacía meses que la FAA había publicado una directiva de aeronavegabilidad de emergencia sobre los 737 MAX. Decía, básicamente, que las aerolíneas que operan el 737 MAX tenían que recordar a sus pilotos el procedimiento a aplicar si el sistema de ajuste automático del estabilizador horizontal se vuelve loco. En ella se indicaba por primera vez claramente la existencia del MCAS –aunque no se le mencionaba por el nombre– lo que indignó a pilotos y aerolíneas de todo el mundo. Es como si un coche incluyera un mecanismo mediante el que se puede hacer con el control del volante en un momento dado y no se hubiera informado a los conductores de su existencia.
La existencia de la directiva ha hecho que surgieran comentarios que ponían en duda si Ethiopian Airlines había diseminado esa información a sus pilotos. Pero lo cierto es que es una de las aerolíneas punteras del mundo, así que en realidad sonaba a poco probable que esto hubiera podido ser así. Y en cualquier caso la aerolínea ha terminado por emitir un comunicado en el que dice que no solo los pilotos del vuelo 302 habían recibido el entrenamiento pertinente para pasar a volar el 737 MAX desde del 737 NG –un curso que se realiza en aproximadamente una hora utilizando una tablet– sino que además estaban perfectamente informados de la directiva de aeronavegabilidad y de sus contenidos. Añade, además, que el simulador del 737 MAX no está diseñado para simular un problema con el MCAS, lo que de nuevo saca a la luz la poca importancia que Boeing le dio al sistema.
Otra decisión de Boeing –recordemos que autorizada en última instancia por la FAA– que habrá que someter a escrutinio es la de vender como opcionales dos equipos que podían haber evitado los accidentes. El no montarlos de serie viene del interés de los fabricantes de poder vender el avión más barato. Uno de ellos es el indicador de ángulo de ataque, un dispositivo que muestra lo que está leyendo cada uno de los sensores ya sea en un panel aparte o en las pantallas de control. El otro es una luz de alerta que se enciende cuando la lectura de ambos sensores es claramente diferente. Disponer de cualquiera de ellos habría dado más pistas a los tripulantes de lo que estaba pasando con su avión. Y de hecho a raíz de los dos accidentes esta luz de alerta va a ser instalada de serie en todos los 737 MAX que se entreguen a partir de ahora; habrá que ver si se hace obligatoria en los ya entregados.
Boeing, mientras tanto, sigue trabajando en una actualización del software que controla el MCAS para que, entre otras cosas, tenga en cuenta la lectura de los dos sensores de ángulo de ataque. Así, si detecta una discrepancia entre ambos el sistema no actuará. Pero cuando el fabricante tenga lista esta actualización aún habrá que probarla en vuelo, por lo que es poco probable que antes de mayo de 2019 pueda estar certificada, con lo que a los 737 MAX aún les quedan al menos un par de meses en tierra.
De todas formas habrá que ver qué grado de confianza merece la certificación de esa actualización, visto lo visto hasta ahora. Y tampoco hay que olvidar que hay más cosas que mirar, como por ejemplo la tendencia a fallar de los sensores de ángulo de ataque; quizás toque cambiar de fabricante como sucedió con los sensores de velocidad del aire de algunos Airbus A330 a raíz del accidente del vuelo 447 de Air France. Tampoco resultan tranquilizadores los informes que están saliendo a la luz de pilotos que hablan de varias ocasiones en las que el piloto automático del avión se empeñó en bajar el morro justo después de haber sido activado; habrá que ver si están relacionados con el MCAS o no.
Pero desde luego para Boeing es una crisis grave. Grave como pocas en la historia de la compañía, que ha visto como la confianza en uno de sus aviones más populares –estaban vendiendo el 737 MAX como rosquillas– se esfumaba tanto por parte de las aerolíneas como por parte de los pasajeros como por parte de las autoridades competentes.