Análisis erróneo, supervisión fallida: El MCAS, el apuro de Boeing y el exceso de confianza de la FAA para certificar al 737 MAX

Cuando de Boeing se trata, The Seattle Times es un diario de lectura obligada. Y en sus filas, se encuentra Dominic Gates, uno de los periodistas especializados con más expertise sobre el fabricante.

Ayer salió una nota en ST sobre el proceso de certificación del 737 MAX y la delegación creciente de la FAA en Boeing para que verifique y haga las inspecciones que la agencia debería haber hecho. La nota también toma en consideración el apuro de Boeing por no quedarse atrás del A320neo.

Me comuniqué anoche con Dominic para pedirle permiso de reproducción de la nota en cuestión, que es una clase magistral de periodismo. En un acto de generosidad que lo enaltece, lo autorizó sin mayores condiciones. Dejo acá el artículo original y la nota traducida, a la que por respeto a su autor no modificaré en extensión. Me voy a tomar el trabajo de interpretarla lo mejor posible para que sea más fácil de leer.

«Cuando Boeing se apresuró en 2015 para ponerse al día con Airbus y certificar su nuevo 737 MAX, los administradores de la Administración Federal de Aviación (FAA) presionaron a los ingenieros de seguridad de la agencia para que delegaran las evaluaciones de seguridad en Boeing y aprobaran rápidamente el análisis resultante. Pero el análisis de seguridad original que Boeing entregó a la FAA en relación con un nuevo sistema de control de vuelo en el MAX, un informe utilizado para certificar que el avión es seguro para volar, tuvo varios defectos cruciales.

Ese sistema de control de vuelo, llamado MCAS (Maneuvering Characteristics Augmentation System), ahora está bajo escrutinio luego de que dos accidentes en menos de cinco meses dieron como resultado la orden de la FAA del miércoles de suspender las operaciones del avión. Los ingenieros actuales y anteriores que participaron directamente en las evaluaciones o que estaban familiarizados con el documento compartieron los detalles del «System Safety Analysis» que Boeing hizo del MCAS.

El análisis de seguridad:

• Subestimó la capacidad del nuevo sistema de control de vuelo, que fue diseñado para girar el estabilizador empujando la nariz del avión hacia abajo para evitar una entrada en pérdida. Cuando los aviones entraron en servicio, el MCAS fue capaz de mover el estabilizador cuatro veces más del ángulo indicado en el documento de análisis de seguridad inicial.
• No explica cómo el sistema se reinicia y cuenta 1 (es decir, no suma las iteraciones de su activación)  cada vez que un piloto responde al MCAS, por lo que se pierde el impacto potencial de un análisis del sistema que no evalúa la situación como una acción repetida.
• Evaluó una falla del sistema un nivel por debajo de «catastrófico». Pero incluso catalogado en el nivel «peligroso», debería haber impedido la activación del sistema en base a la información recibida de un solo sensor. Y sin embargo, así es como se diseñó.

Las personas que hablaron con The Seattle Times y compartieron detalles del análisis de seguridad hablaron bajo condición de anonimato para proteger sus trabajos en la FAA y otras organizaciones de aviación.

Tanto Boeing como la FAA fueron informados de los detalles de esta historia y se les pidió respuestas hace 11 días, cuatro días antes del segundo accidente de un 737 MAX el domingo pasado.

El viernes por la noche, la FAA dijo que siguió su proceso de certificación estándar en el MAX. Citando una semana ocupada, un portavoz dijo que la agencia «no pudo profundizar en ninguna investigación detallada».

Boeing respondió el sábado con una declaración de que «la FAA consideró la configuración final y los parámetros operativos del MCAS durante la certificación del MAX, y concluyó que cumplía con todos los requisitos reglamentarios y de certificación».

Agregando que es «incapaz de comentar … debido a la investigación en curso» sobre los accidentes, Boeing no respondió directamente a la descripción detallada de las fallas en la certificación MCAS, más allá de decir que «hay algunas interpretaciones erróneas significativas».

Varios expertos técnicos dentro de la FAA dijeron que el accidente de Lion Air en octubre, donde los investigadores en Indonesia han implicado claramente al MCAS, es solo el último indicador de que la delegación de certificación de aviones de la agencia ha ido demasiado lejos, y que es inapropiado que los empleados de Boeing tengan tanta autoridad sobre los análisis de seguridad de los aviones que ellos mismos fabrican.

«Necesitamos asegurarnos de que la FAA esté mucho más involucrada en las evaluaciones de fallas y las suposiciones que se incluyen en ellas», dijo un ingeniero de seguridad de la FAA.

Certificación de un nuevo sistema de control de vuelo
En contra de la larga tradición de Boeing de otorgarle al piloto el control completo de la aeronave, el nuevo sistema de control de vuelo automático MCAS del MAX fue diseñado para actuar en segundo plano, sin intervención del piloto. Esto es necesario porque los motores mucho más grandes del MAX debían colocarse más adelante en el ala, cambiando la elevación aerodinámica del fuselaje.

Diseñado para activarse automáticamente solo en una situación de vuelo extrema como una entrada en pérdida de alta velocidad, este descenso de la nariz haría que el avión se sienta igual para un piloto que los modelos 737 más antiguos. Los ingenieros de Boeing autorizados para trabajar en nombre de la FAA desarrollaron el Análisis de seguridad del sistema para el MCAS, un documento que a su vez se compartió con autoridades aeronáuticas en Europa, Canadá y en otras partes del mundo.

El documento, «desarrollado para garantizar el funcionamiento seguro del 737 MAX», concluyó que el sistema cumplía con todas las regulaciones aplicables de la FAA.

Sin embargo, los datos de la caja negra recuperados después del accidente de Lion Air indican que un solo sensor defectuoso, un tubo en el exterior del fuselaje que mide el “ángulo de ataque” del avión, es decir el ángulo entre el flujo de aire y el ala, disparó el MCAS varias veces durante el vuelo mortal, iniciando una lucha entre el sistema que empujaba repetidamente la nariz del avión hacia abajo y los pilotos que luchaban con los controles para levantarlo.

El miércoles, al anunciar la puesta a tierra del 737 MAX, la FAA citó similitudes en la trayectoria de vuelo del vuelo de Lion Air y el accidente del vuelo 302 de Ethiopian Airlines el domingo pasado. Los investigadores también encontraron el jackscrew -una parte que mueve el estabilizador de la aeronave- del avión de Ethiopian en una posición inusual, con el MCAS como una posible razón para ello. Los investigadores están trabajando para determinar si el MCAS podría ser la causa de ambos accidentes.

La FAA, citando la falta de fondos y recursos, a lo largo de los años ha delegado cada vez más autoridad a Boeing para asumir más del trabajo de certificación de la seguridad de sus propios aviones. Al inicio de la certificación del 737 MAX, el equipo de ingeniería de seguridad de la FAA dividió las evaluaciones técnicas que se delegarían a Boeing , pero retendrían para sí las que consideraban más críticas.

Pero varios expertos técnicos de la FAA dijeron en entrevistas que a medida que avanzaba la certificación, los gerentes los instigaron a acelerar el proceso. El desarrollo del MAX se retrasó nueve meses con respecto al Airbus A320neo rival. El tiempo era esencial para Boeing. Un ex ingeniero de seguridad de la FAA que participó directamente en la certificación de MAX dijo que en la mitad del proceso de certificación, “la gerencia nos pidió que reevaluemos lo que se delegaría. La gerencia pensó que habíamos retenido demasiado en la FAA «.

«Había una presión constante para volver a evaluar nuestras decisiones iniciales», dijo el ex ingeniero. «E incluso después de que lo hubiéramos reevaluado … hubo una discusión continua por parte de la gerencia sobre la delegación de más artículos a la compañía Boeing».  Incluso el trabajo retenido, como la revisión de documentos técnicos proporcionados por Boeing, a veces se redujo.

«No hubo una revisión completa y adecuada de los documentos», agregó el ex ingeniero. «La revisión fue apurada para alcanzar ciertas fechas de certificación». Cuando el personal técnico de la FAA no disponía de tiempo suficiente para completar una revisión, a veces los gerentes aprobaron los documentos o delegaron la revisión en Boeing. «Los gerentes de la FAA, no los expertos técnicos de la agencia, tienen la autoridad final en la delegación», dijo el ingeniero.

Límite inexacto
En esta atmósfera, el Análisis de Seguridad del Sistema MCAS, que era sólo una parte de la montaña de documentos necesarios para la certificación, se delegó a Boeing. El documento original de Boeing que se proporcionó a la FAA incluía una descripción que especificaba un límite a la cantidad que el sistema podía mover el estabilizador: un límite de 0,6 grados, de un máximo físico de menos de 5 grados de movimiento hacia abajo.

Más tarde, ese límite se incrementó después de que las pruebas de vuelo demostraron que se requería un movimiento más potente del trim para evitar un stall de alta velocidad, cuando el avión está en peligro de perder sustentación. El comportamiento de un avión en un escenario de entrada en pérdida es difícil de modelar de antemano solo por análisis y, por lo tanto, a medida que los pilotos de prueba trabajan a través de rutinas de recuperación durante el vuelo en un nuevo avión, no es raro que se modifiquen parámetros de software para refinar el rendimiento del aparato.

Después del accidente del vuelo 610 de Lion Air, Boeing proporcionó por primera vez a las aerolíneas detalles sobre el MCAS. El boletín de Boeing a las aerolíneas indicó que el límite del comando del MCAS era de 2.5 grados. Ese número era nuevo para los ingenieros de la FAA que habían visto 0.6 grados en la evaluación de seguridad.

«La FAA creía que el avión estaba diseñado para el límite de 0.6, y eso es lo que pensaban también las autoridades reguladoras extranjeras», dijo un ingeniero de la FAA. «Hace una diferencia en su evaluación del peligro involucrado». El límite más alto significaba que cada vez que se activaba el MCAS, causaba un movimiento de la cola mucho mayor que el especificado en ese documento original de análisis de seguridad.

El ex ingeniero de seguridad de la FAA que trabajó en la certificación MAX, y un antiguo ingeniero de control de vuelo de Boeing que trabajó en el MAX como representante autorizado de la FAA, dijeron que dichos análisis de seguridad deben actualizarse para reflejar la información más precisa de la aeronave. siguientes pruebas de vuelo. «Los números deben coincidir con cualquier diseño que se haya probado y desplegado», dijo el ex ingeniero de la FAA. Pero ambos dijeron que a veces se hacían acuerdos para actualizar documentos solo en una fecha posterior.

«Es posible que los últimos números no estén allí, siempre que se revisen y concluyan que las diferencias no cambiarán las conclusiones ni la gravedad de la evaluación de peligros», dijo el ex ingeniero de controles de vuelo de Boeing. Si el documento final de análisis de seguridad se actualizó en partes, ciertamente aún contenía el límite de 0.6 en algunos lugares y la actualización no se comunicó ampliamente dentro del equipo de evaluación técnica de la FAA. «Ninguno de los ingenieros era consciente de un límite más alto», dijo un segundo ingeniero de la FAA.

La discrepancia sobre este número se amplía por otro elemento en el Análisis de seguridad del sistema: el límite de la autoridad del sistema para mover la cola se aplica cada vez que se activa el MCAS. Y se puede activar varias veces, como lo fue en el vuelo de Lion Air. Un ingeniero de seguridad de la FAA dijo que cada vez que los pilotos en el vuelo de Lion Air restablecían los interruptores en sus columnas de control para hacer retroceder la nariz, el MCAS se activaba nuevamente y «permitía nuevos incrementos de 2.5 grados».

«Así que una vez que presionaron un par de veces, llegaron al tope», es decir, en toda la extensión del giro del estabilizador.

Peter Lemme, un ex ingeniero de control de vuelo de Boeing que ahora es consultor de aviónica y comunicaciones por satélite, dijo que debido a que el MCAS se reiniciaba cada vez que se usaba, «efectivamente tiene autoridad ilimitada». Girar el estabilizador hasta el tope final, le da a la nariz del avión el máximo empuje posible hacia abajo.

«Tenía plena autoridad para mover el estabilizador hasta su tope», dijo Lemme. «Eso no era necesario. Nadie debería haber aceptado darle autoridad ilimitada «.

En el vuelo de Lion Air, cuando el MCAS empujó la nariz del avión hacia abajo, el capitán lo levantó de nuevo, usando los interruptores de pulgar en la columna de control. Operando bajo la falsa lectura del ángulo de ataque, el MCAS se activó cada vez que giraba el estabilizador, empujando la nariz hacia abajo nuevamente.

Los datos de la caja negra publicados en el informe de investigación preliminar muestran que después de este ciclo repetido 21 veces, el capitán del avión cedió el control al primer oficial. Cuando el MCAS bajó la nariz dos o tres veces más, el primer oficial respondió con solo dos movimientos cortos de los interruptores de pulgar. A un límite de 2.5 grados, dos ciclos de MCAS sin corrección hubieran sido suficientes para alcanzar el máximo efecto de nariz abajo.

En los últimos segundos, los datos de la caja negra muestran que el capitán reanudó el control y se recuperó con gran fuerza. Pero fue demasiado tarde. El avión se zambulló en el mar a más de 500 millas ( 830km) por hora.

El sistema falló en un solo sensor
El resultado final del Análisis de seguridad del sistema de Boeing con respecto al MCAS fue que, en un vuelo normal, una activación del MCAS con una autoridad máxima supuesta de 0,6 grados podía calificarse solo como un «fallo mayor», lo que significa que podría causar un malestar físico a las personas en el avión, pero no la muerte.

En el caso de una maniobra extrema, específicamente cuando el avión se encuentra en una espiral descendente inclinada, una activación de MCAS se clasificó como una «falla peligrosa», lo que significa que podría causar lesiones graves o fatales a un pequeño número de pasajeros. Esto es todavía un nivel por debajo de una «falla catastrófica», que representa la pérdida del avión con múltiples muertes.

El ex ingeniero de control de vuelo de Boeing que trabajó en la certificación de MAX en nombre de la FAA dijo que la clasificación de fallas en el análisis de seguridad del sistema el criterio es la base para determinar si un sistema en un avión puede confiar en la información obtenida de un sensor, o si debe tener información de al menos dos.

Dijo que prácticamente todos los equipos en cualquier avión comercial, incluidos los distintos sensores, son lo suficientemente confiables para cumplir con el requisito de «falla mayor», que es que la probabilidad de una falla debe ser menor a uno en 100,000. Por lo tanto, normalmente se permite que tales sistemas dependan de un solo sensor de información. Pero cuando se evalúa que las consecuencias son más severas, con un requisito de «falla peligrosa» que exige una probabilidad más estricta de uno en 10 millones, entonces un sistema generalmente debe tener al menos dos canales de obtención de información separados en caso de que uno salga mal.

La evaluación del Análisis de seguridad del sistema de Boeing según la cual el fallo del MCAS sería «peligroso», incide en el antiguo ingeniero de control de vuelo Lemme porque el sistema se activa mediante la lectura de un solo sensor de ángulo de ataque. «Un modo de falla peligrosa que depende de un solo sensor, no creo que pase el examen», dijo Lemme.

Como todos los 737, el MAX en realidad tiene dos de los sensores, uno a cada lado del fuselaje cerca de la cabina. Pero el MCAS fue diseñado para tomar una lectura de solo uno de ellos.

Lemme dijo que Boeing podría haber diseñado el sistema para comparar las lecturas de los dos sensores de AoA, lo que habría indicado si uno de ellos tenía un inconveniente.

Alternativamente, el sistema podría haber sido diseñado para verificar que la lectura del ángulo de ataque era precisa mientras el avión estaba rodando en tierra antes del despegue, cuando el ángulo de ataque debería ser cero. «Podrían haber diseñado un sistema de dos canales. O podrían haber probado el valor del ángulo de ataque en el suelo ”, dijo Lemme. «No sé por qué no lo hicieron».

Los datos de la caja negra proporcionados en el informe de investigación preliminar muestran que las lecturas de los dos sensores diferían en unos 20 grados, no solo durante el vuelo sino también mientras el avión rodaba en tierra antes de despegar.

Sin formación, sin información.
Después del accidente de Lion Air, se notificó a los pilotos de 737 MAX de todo el mundo sobre la existencia del MCAS y qué hacer si el sistema se activa de forma inapropiada.

Boeing insiste en que los pilotos en el vuelo de Lion Air deberían haber reconocido que el estabilizador horizontal se movía sin ser ordenado, y deberían haber respondido con un procedimiento estándar de lista de verificación de pilotos para manejar lo que se denomina trim runaway. Si lo hubieran hecho, los pilotos habrían accionado los interruptores de corte y desactivado el movimiento automático del estabilizador.

Boeing señaló que los pilotos que volaban en el mismo avión el día anterior al accidente experimentaron un comportamiento similar al del Vuelo 610 e hicieron exactamente eso: activaron los interruptores del estabilizador, recuperaron el control y continuaron con el resto del vuelo.  Sin embargo, los pilotos y los expertos en aviación dicen que lo que sucedió en el vuelo de Lion Air no se parece a un trim runaway estándar, porque se define como un movimiento continuo y no controlado de la cola.  En el vuelo del accidente, el movimiento de la cola no fue continuo; los pilotos pudieron contrarrestar el movimiento de la nariz hacia abajo repetidas veces.

Además, el MCAS modificó la respuesta de la columna de control al movimiento del estabilizador. Al tirar hacia atrás en la columna, normalmente se interrumpe cualquier movimiento de estabilización hacia abajo del estabilizador, pero cuando se activa el MCAS, la función de la columna de control se desactiva mientras el avión completa el descenso de la nariz. Estas diferencias podrían haber confundido a los pilotos de Lion Air en cuanto a lo que estaba sucediendo.

Dado que se suponía que el MCAS se activaría solo en circunstancias extremas muy por fuera de la envolvente normal del vuelo, Boeing decidió que los pilotos de 737 no necesitaban entrenamiento adicional en el sistema, y ​​que de hecho ni siquiera necesitaban saberlo. No fue mencionado en sus manuales de vuelo. Esa postura permitió que el nuevo avión ganara un type rating común con los 737 existentes, lo que permite a las aerolíneas minimizar el entrenamiento de pilotos que transicionan al MAX.

Dennis Tajer, un portavoz de la Asociación de Pilotos de American Airlines, dijo que su entrenamiento para pasar de la antigua cabina de mando del modelo 737 NG al nuevo 737 MAX consistió en poco más de una sesión de una hora en un iPad, sin entrenamiento de simulador. Minimizar la capacitación en la transición de los pilotos de MAX fue un importante ahorro de costos para los clientes de las aerolíneas de Boeing, un punto de venta clave para el avión, que ha acumulado más de 5,000 pedidos. El sitio web de la compañía lanzó el avión a las aerolíneas con la promesa de que «a medida que construya su flota de 737 MAX, se ahorrarán millones de dólares debido a sus características comunes con el 737 NG».

Como consecuencia del accidente, los funcionarios de los sindicatos de los pilotos de American Airlines y Southwest Airlines criticaron a Boeing por no proporcionar información sobre el MCAS, o su posible mal funcionamiento, en los manuales de pilotos de MAX.

Un ingeniero de seguridad de la FAA dijo que la falta de información previa podría haber sido crucial en el accidente de Lion Air. El análisis de seguridad de Boeing  asumió que «los pilotos reconocerían lo que estaba sucediendo como un trim runaway y activarían los interruptores», dijo el ingeniero. “Las suposiciones aquí son incorrectas. Los factores humanos no fueron evaluados adecuadamente «.

El lunes, antes de la puesta en tierra de los MAX, Boeing describió «una mejora del software de control de vuelo para el 737 MAX», que se ha estado desarrollando desde poco después del accidente de Lion Air. Según una información detallada de la FAA dirigida al Congreso Norteamericano, Boeing cambiará el software MCAS para que el sistema reciba información de ambos sensores de ángulo de ataque. También limitará cuánto podrá intervenir el MCAS sobre el estabilizador en respuesta a una señal errónea. Y cuando se active, el sistema lo hará solo durante un ciclo, en lugar de varias veces.

Boeing también planea actualizar los requisitos de entrenamiento del piloto y los manuales de la tripulación de vuelo para incluir el MCAS. Estos cambios propuestos reflejan la crítica hecha por los ingenieros de seguridad en esta historia. Habían hablado con The Seattle Times antes del accidente del Ethiopian 302. La FAA dijo que ordenará la corrección del software de Boeing en una directiva de aeronavegabilidad a más tardar en abril.

Frente a las acciones legales iniciadas por las familias de los muertos, Boeing tendrá que explicar por qué esos arreglos no formaban parte del diseño original del sistema. Y la FAA tendrá que defender el proceso de certificación del sistema.