Air France 447: Buscando cajas negras a 4.000 metros de profundidad (y 2)

"Mi corazón comparte la tristeza y la impotencia de los familiares de los pasajeros del Malaysian Airlines."

Firma: la mamá de un pasajero del 447 de Air France, que leyó estas líneas.

---

Ir a la primera parte

---

Durante la mañana del 1 de junio de 2009, tres continentes fueron alcanzando poco a poco tres conclusiones. La primera, que al vuelo Air France 447 de Río de Janeiro a París con 228 personas a bordo ya no podía quedarle ni una gota de combustible. La segunda, que el avión, un moderno Airbus A330-200, no se hallaba en ningún lugar de las tierras emergidas. Y por tanto la tercera: que había desaparecido en el mar. Como en los viejos tiempos.

A las 11:04 UTC salió la primera aeronave en su busca, de la Fuerza Aérea Brasileña. En torno a las 12:15 se le sumó un Breguet Atlantique-2 desde la base que Francia todavía conservaba en Senegal, antigua colonia suya. Después acudieron también un CASA 235 de la Guardia Civil Española y un P-3 Orion perteneciente a la Armada Estadounidense. Luego, muchos más, todos ellos buscando frenéticamente alguna pista del vuelo desaparecido y sus ocupantes a lo largo y lo ancho de miles de millas de mar. A primera hora de la tarde, Air France comunicó oficialmente al mundo que habían perdido un avión. Uno grande.

Durante un día entero, no encontraron nada. Fue a las 15:20 del día dos de junio cuando un Embraer R99 de la Fuerza Aérea Brasileña divisó la primera mancha de combustible en el océano. Aunque en un primer momento se les ocurrió que podía ser un sentinazo de algún barco, enseguida comenzaron a avistar otros fragmentos flotantes. Unos pocos al principio y luego algunos más, incluyendo restos humanos. El 6 de junio, la corbeta brasileña Caboclo rescataba los dos primeros cadáveres junto a un asiento, una mochila con un ordenador portátil y una cartera con una tarjeta de embarque para el AF447. Sin embargo lo más llamativo, o simbólico, fue la deriva que la gente llama "timón de cola" (el timón en sí es la parte móvil), cuya foto dio la vuelta al mundo. Su estructura es de fibra de carbono (CFC) y puede flotar. Un gran timón con los colores de Air France, o sea de Francia, por mucho que esté privatizada, flotando en medio del mar.

Ay, la grandeur. Y encima mandando el Sarkozy y con la crisis ya en marcha. Y Airbus, con sede en Toulouse, acusándola como todo el mundo. Mira, no estuve yo atento a contar los minutos que tardó lo que era un accidente aéreo en convertirse en una cuestión de estado y orgullo nacional. Pero no fueron muchos.

La primera que se les ocurrió fue sacar un submarino atómico. Cuál si no. Para un buen chauviniste ofendido en su orgullo patrio, cualquier excusa es buena para sacar a los submarinos atómicos. En menos de cuatro días, el submarino nuclear Émeraude se hizo a la mar a toda máquina para localizar las cajas negras con sus "sonares ultrasensibles" (así los definieron), y de paso el resto del avión. Le precedían la fragata Ventôse y el portahelicópteros Mistral. Eso, para empezar.

Los profesionales empezaron a encogerse con esa cara de velocidad que se nos pone a todos cuando vemos una catástrofe a punto de ocurrir, y ya iban a ser dos esa semana. Hay muchas, muchas maneras de destrozar una búsqueda y una investigación que prometían contarse entre las más delicadas de la historia de la aviación. Gracias a Neptuno, no rompieron nada. Pero sólo por la sencilla razón de que ni hallaron las cajas negras, ni los restos del avión y si encontraron el Océano Atlántico yo creo que fue porque ya estaban en él. Parecía un happening muy caro ilustrando aquello tan viejo de que al que sólo tiene un martillo, todos los problemas le parecen clavos. Con toda esa gente muerta, de un tono bastante macabro, la verdad.

Verás. Para empezar, cuatro días son radicalmente insuficientes para diseñar una búsqueda tan compleja como la que era fácilmente previsible. Por expeditivo y machote que quede de cara al electorado, el submarino salió con lo puesto, sin preparación, formación ni equipamiento específico alguno. Sólo disponían de sus sonares pasivos para detectar el pulso ultrasónico (ping) a 37,5 kilohercios que emiten una vez por segundo las balizas subacuáticas de las cajas negras. Estas balizas (underwater locator beacon, ULB) son el cilindro pequeño que suele verse al extremo de las mismas, capaces de seguir haciendo ping hasta a 6.000 metros de profundidad durante aproximadamente un mes.

Pero es que además resulta que tanto el Émeraude como cualquier otro submarino de combate en general son herramientas totalmente inapropiadas para esa función. Este en particular sólo podía barrer 34 km² por día con alguna exhaustividad y encima, mal. De entrada, el área de búsqueda profunda ascendía a más de 17.000 km² y terminó superando los 25.000. O sea, entre dieciocho meses y dos años y pico para hacer un barrido preliminar, sin parar ni un solo segundo y con más rendijas que la casa de la Familia Monster. Porque sus sensores, por "ultrasensibles" que fuesen, no eran los correctos para detectar una señal cada vez más débil y posiblemente apantallada por los restos del avión que tuviesen encima, menos aún en ese rango de frecuencias, y viniéndole desde muy abajo (los sensores de los submarinos son bastante mejores detectando a sus alrededores, en busca de otros submarinos o buques de superficie, que justo encima o debajo; y además están especializados en captar las frecuencias y señales más características de esos navíos).

Por si fuera poco, los submarinos de combate sólo se sumergen hasta unos cientos de metros. Supongamos que el Émeraude llegue hasta los 500, que ya es mucho suponer (los datos reales de profundidad máxima de los submarinos son secretos, pero para uno de ese tipo, por ahí puede ir la cosa; salvo algunos bichos extraños, ninguno llega ni cerca de mil). Y resulta que ahí hay entre 2.500 y 4.000 metros de profundidad. Es decir, una capa adicional de dos a tres kilómetros y medio de agua entre el fondo y el submarino (y sus sensores). Aún más: esa es una región con abundante ruido biológico, que tiende a confundir a estos sensores (o sus operadores). En suma, era como limpiar el agua radiactiva de Fukushima con un cubo, sin cuerda y encima agujereado.

Adicionalmente, la presencia de un submarino nuclear en el área obligó a crear una extensa zona de seguridad a su alrededor que no podía ser utilizada por los barcos con sensores remolcados. Hasta el informe oficial de la BEA francesa al respecto es sutilmente crítico cuando afirma que "el uso de un submarino genera constricciones operacionales significativas y dificultades de coordinación con los buques de superficie. La limitada capacidad de inmersión de los submarinos no representa una ventaja decisiva con respecto a los buques de superficie y es incluso menor que la de un hidrófono sumergido. Un submarino podría ser útil para explorar áreas de profundidad limitada, siempre que esté equipado con los sensores apropiados."

Naturalmente los profesionales de la Armada Francesa, que son gente inteligente y capaz, pidieron ayuda ante semejante marrón. Acudió en su auxilio, por un lado, el buque Pourquoi Pas? del IFREMER con el batiscafo Nautile, capaz de llegar hasta el fondo del mar. Lo que también tenía algo de tufillo patriotero, porque aunque la gente del IFREMER son auténticos profesionales de las profundidades, y además de primera categoría (hace poco escribí algo sobre ellos), un batiscafo de limitada autonomía como todos los batiscafos tampoco parece la herramienta más apropiada para barrer decenas de miles de kilómetros cuadrados de mar. Por su parte, el américain ese del que hay que defender al cine francés les prestó algo bastante más útil: dos sensores de arrastre especializados en detectar esta clase de balizas a gran profundidad. Francia contrató otros dos barcos para remolcarlos: el Fairmount Glacier y el Fairmount Paramount.

Daba igual. Toda la operación obedecía a criterios tan absurdos que no sirvió de nada. Hacia finales del mes el Émeraude, el Pourquoi Pas?, la Ventôse, el Mistral y los dos Fairmount se retiraron muy discretamente sin haber encontrado un solo tornillo del Air France 447. Luego se supo que habían pasado dos veces prácticamente por encima de los restos, con al menos una baliza subacuática aún viva, emitiendo pings sin cesar. Pues ni por esas. El informe oficial de la BEA vuelve a clavar otra puyita al decir que "el uso de recursos sin probar no es deseable. Por ejemplo, los recursos acústicos del submarino nuclear y el Pourquoi pas? no se habían probado con señales de [balizas subacuáticas] ULB antes de ser desplegados en el sector. Ajustar los sistemas una vez en el lugar es difícilmente compatible con el cumplimiento de la misión."

Mientras tanto, los buques y aviones de rescate brasileños recuperaban todo lo que se podía recuperar en superficie muy profesionalmente, sin alharacas pero con gran efectividad, cubriendo un millón de kilómetros cuadrados de mar. Rescataron 50 cuerpos humanos de los 288 ocupantes, incluyendo el del comandante Marc Dubois, y 640 fragmentos del avión; algunos, bastante grandes. Sin embargo, los elementos más importantes para la investigación, como los motores, los ordenadores, los instrumentos o las cajas negras, seguían en el fondo del océano.

La tontada, como todas las tontadas a ese nivel, tuvo consecuencias. Ya te digo, fue tan ineficaz que no rompieron nada porque no toparon con nada que romper. Pero se había perdido un tiempo precioso: exactamente los treinta días que tardan en agotarse las pilas de las balizas subacuáticas. Ahora, los restos críticos del Air France 447 no sólo permanecían en el fondo del mar, sino que además habían perdido la voz y se hallaban en el más completo silencio. El silencio de la gran profundidad.

Mientras tanto, mil Airbus A330 seguían volando por todo el mundo cargados de gente, más todos los demás aviones equipados con sistemas muy parecidos, y seguía sin saberse con ninguna certeza qué los podía matar. Lo único que se pudo hacer por el momento fue cambiar los tubos Pitot del modelo Thales AA, como los que llevaba el AF447, por otro modelo distinto, dado que ese era un problema conocido y además los mensajes ACARS que vimos al final del post anterior parecían apuntar en tal dirección. Pero sin saber lo que pasó, eso y nada es básicamente lo mismo. Podían ser los tubos Pitot o cualquier otra cosa. Sin restos y sin cajas negras y sin investigación técnica, en cualquier momento podía volver a ocurrir y matar a otras doscientas o trescientas o más personas de nuevo. Es lo que tienen la ignorancia y la estupidez, que son peligrosísimas. Con poder, para echarse a temblar. Y mira que había antecedentes, ¿eh?

El antecedente.

Los genios que idearon lo de mandar al submarino ni siquiera pueden alegar la novedad, porque no era la primera vez que se intentaba. Muchos años atrás, un Jumbo sudafricano acabó en el fondo del Océano Índico con 159 personas a bordo. Fue el vuelo South African 295 de Taipei a Johannesburgo con escala en Isla Mauricio, un Boeing 747-244B Combi mixto de carga y pasaje, una de esas cosas de entonces (aunque aún quedan algunos por ahí, si bien en versiones muy modernizadas).

El 27 de noviembre de 1987, este vuelo South African 295 declaró una emergencia por humo en cabina y fallo eléctrico a los controladores de Mauricio que se extendió durante 16 minutos. Después, dejó de comunicar. Se había estrellado en el mar unos 250 km al Noreste de Isla Mauricio y mil al Este de Madagascar. Ahí el Océano Índico tiene casi 5.000 metros de profundidad. Como en aquellos tiempos Sudáfrica se hallaba bajo sanciones internacionales por el apartheid, muchas veces se ha dicho que el avión transportaba una carga ilegal de productos químicos militares que se incendió. Lo cierto es que no se sabe con seguridad.

Los sudafricanos intentaron primero localizar las cajas negras y con ello los restos del avión mediante sonar pasivo, exactamente igual que Francia 22 años después. Con el mismo éxito: ninguno. Tras dos meses de búsqueda, cuando ya era evidente que las balizas no podían seguir transmitiendo (de hecho, es posible que esas balizas antiguas ni siquiera funcionasen tan hondo), pagaron un pastón para contratar a la empresa Steadfast Oceaneering (ahora Oceaneering International), expertos en rescates de material a gran profundidad.

Oceaneering tardó exactamente dos días en localizar buena parte de los restos, a 4.900 metros de profundidad, utilizando magnetómetros y un primitivo sonar de barrido lateral. A diferencia del sonar pasivo, básicamente hidrófonos que se dedican a escuchar el agua a su alrededor buscando alguna señal en las siempre inciertas condiciones de propagación submarinas, el sonar de barrido lateral es un sistema activo que sirve exactamente para ver el fondo marino. Es decir, la herramienta adecuada para buscar los restos de un avión (o de cualquier otra cosa) cuyas balizas subacuáticas no estás detectando a la primera. O sea, el destornillador para el tornillo. Como te digo, les costó poco más de 48 horas hallar lo que quedaba del South African 295, su carga y sus ocupantes.

Pese a que los restos estaban bastante dañados, en dos campos separados entre sí, el 6 de enero de 1988 Oceaneering rescató la grabadora de voces en cabina (CVR) utilizando un vehículo submarino a control remoto y así la investigación en serio pudo comenzar. Por el contrario, la grabadora de datos (FDR) nunca se encontró. No obstante, entre el análisis de la CVR y el estudio de los demás restos que hallaron pudieron descubrir lo ocurrido con bastante precisión. Muy resumido, el incendio se inició en el compartimiento de carga –no se pudo determinar el punto exacto, debido al grado de desintegración de los restos, pero sí el palé: el primero de estribor–, alcanzando los 600ºC necesarios para fundir una raqueta de tenis de fibra de carbono que se halló derretida. Debido a unas separaciones inadecuadas, el fuego se extendió rápidamente al área de pasaje y terminó dañando tantos sistemas que el avión no pudo más y se estrelló.

El caso es que podían recuperarse los restos de un avión a gran profundidad desde 1988 por lo menos, incluso mil metros más hondo. Se sabía cómo hacerlo. Sin embargo, esta vez iba a ser más difícil. Mucho más difícil.

Vuelven los profesionales. Con material.

El IFREMER regresó a mediados de julio de 2009, de nuevo con el Pourquoi Pas?, pero esta vez en mejores condiciones. Es decir, con material más adecuado: un sonar de barrido lateral como el que utilizó Oceaneering para encontrar al South African 295 casi un cuarto de siglo atrás, aunque mucho más moderno.

El problema fue que no sabían muy bien dónde buscar. Con las balizas subacuáticas de las cajas negras definitivamente muertas, no tenían ninguna pista. Comenzaron a partir de la última posición conocida del Air France 447 y durante las tres semanas siguientes fueron cubriendo trabajosamente un círculo de 75 kilómetros a su alrededor. Levantaron excelentes mapas del fondo marino... pero no encontraban ni una sola astilla del avión.

Mientras tanto, gracias al análisis de los restos recuperados en superficie por la Armada Brasileña, empezaban a saberse algunas cosas. Una de ellas, fundamental, es que no hubo despresurización de la cabina antes del impacto: ninguna máscara de oxígeno estaba desplegada. Esta es una de las primeras cosas que se buscan en una investigación, porque indica muy bien si el avión resultó dañado en el aire (en cuanto hay perforación o fractura del fuselaje, hay despresurización y se disparan las máscaras) o por el contrario llegó más o menos de una sola pieza al suelo. Esto es importantísimo, dado que excluye un conjunto enorme de posibles causas. Entre ellas, los tipos más comunes de atentado o derribo: las explosiones e impactos de proyectiles tienden a abrir boquetes en el fuselaje, con la consiguiente despresurización y despliegue de las máscaras. También excluye, por ejemplo, la posibilidad de una gran explosión interna en vuelo como la que mató al TWA800 en 1996. O fallos estructurales severos como el del Aloha 243. Y un montón de cosas más.

El análisis de los restos flotantes recuperados permitió descubrir varias cosas importantes más. En particular, el estudio de los cuerpos practicado por los forenses brasileños. Los cuerpos humanos son magníficos testigos de lo que les ha pasado antes, durante y después de la muerte. Por ejemplo, ninguna de las víctimas (ni de los restos del avión) presentaba quemaduras. Cuando viajas junto a 140.000 litros de combustible de aviación, de los que en ese momento debían quedar aún en torno a 100.000, eso significa que difícilmente se produjo explosión o incendio alguno antes del impacto contra el mar. Todo empezaba a apuntar a que el Air France 447 y sus ocupantes permanecían en buen estado hasta que se estrellaron, un dato esencial.

El estudio forense aportó más datos aún. Todas las víctimas murieron instantáneamente o casi, debido a lesiones muy parecidas: fracturas compresivas de pelvis, tórax y columna vertebral con ruptura masiva de los órganos internos por deceleración súbita en el eje vertical, con algo de ángulo hacia atrás y un pelín hacia un lado. O sea: estaban sentadas en sus asientos y cayeron de culo con la espalda inclinada unos 15º hacia atrás. Los pedazos recuperados del avión contaban la misma historia: deformaciones por frenazo repentino de arriba abajo con cabeceo positivo y algo de alabeo. Es decir, que el Air France 447 se estrelló de panza con el morro levantado y un poquito de inclinación lateral.

Aunque esto no es determinante, porque el ángulo de impacto puede deberse al azar, insinúa que el avión conservaba alguna clase de control. En caso contrario, suelen caer de cualquier modo: en picado, de cola, con un ala por delante, boca abajo, como sea. Es relativamente raro que un avión incontrolado por completo caiga de panza con el morro levantado como si estuviese aterrizando, si bien a un ángulo y velocidad brutal. Más bien sugiere pérdida de control sobre la altitud, la velocidad y el ángulo de ataque, entre otras cosas, pero no tanto sobre la actitud (de alabeo, cabeceo y guiñada). Sugiere que los pilotos, humanos o automáticos, seguían al mando aún. En estos dos videos podemos ver lo que suele pasarle a un avión cuando hay pérdida total de control:

El Tatarstan 363, un Boeing 737-500 procedente de Moscú, se estrella en Kazán (Rusia) el 17 de noviembre de 2013 con 50 personas a bordo. Puede observarse que lo hace en un fuerte picado, a consecuencia de una entrada en pérdida aerodinámica por mala configuración durante un aterrizaje frustrado, que derivó en una pérdida total de control.

Accidente del carguero militar estadounidense National Airlines 102, un Boeing 747-428BCF Jumbo con 7 tripulantes a bordo, a la salida de Bagram (Afganistán). Estaba llevándose vehículos militares pesados de vuelta a Dubai. Cinco de ellos se soltaron durante el despegue, dando lugar a un corrimiento de carga con sobredesplazamiento hacia atrás del centro de gravedad y pérdida total de control. Puede observarse que, aunque en este caso viene a caer "de panza", la actitud de descenso es totalmente incontrolable y podía haber caído en cualquier otra posición.

Todas estas fueron informaciones muy interesantes y útiles para descartar una montaña de posibilidades. Pero no para saber lo que ocurrió. Y sin saber lo que ocurrió, la seguridad aeronáutica continuaba en entredicho. El 17 de agosto, el Pourquoi Pas? se tuvo que retirar por segunda vez, sin haber encontrado nada. Todos los días, a todas horas, miles de aviones seguían surcando los cielos sin saber si lo que mató al Air France 447 podía matarlos a ellos en cualquier momento también.

A la tercera...

Y pasaron los meses. Tras la segunda intentona del Pourquoi Pas?, ya nadie sabía muy bien dónde buscar o qué hacer. ¿Podía ser que el AF447 se hubiera desviado enormemente de su ruta antes de estrellarse? ¿O quizá estaría encajonado en el fondo de alguno de los profundos valles submarinos que habían detectado en el sector, a cubierto de los haces del sonar de barrido lateral? ¡Porque todo aquello resultó ser una especie de escarpada cordillera sumergida a miles de metros de profundidad! No estaba fácil, no.

Conforme pasaba el tiempo, todo el mundo iba poniéndose más y más nervioso. El gobierno francés, porque lo que convirtieron en asunto de orgullo nacional se había transformado en humillación. Air France-KLM, porque en un contexto de crisis global donde muchas compañías aéreas estaban quebrando, miraba a sus aviones preguntándose cuál de ellos les daría un puntillazo de los malos. Airbus, porque en el peor año de ventas de la industria aeronáutica en década y media, tenía que explicar a sus clientes que bueno, que en fin, que no, que no sabemos por qué se estrelló nuestro avión, ¿cuántos dijo que quería comprar? Sus tripulantes, porque sabían que podían ser los próximos. Y eso sin mencionar a las familias y amistades de las víctimas, que iban pasando de la resignación a la furia, y con sobrada razón.

En abril de 2010, diez meses después del accidente, lo intentaron otra vez. La cosa estaba tan caliente que se dejaron por fin de patrioterismos y contrataron a empresas de talla mundial expertas en rescate submarino. Por un lado, a la estadounidense Phoenix International, que acudió con el buque Anne Candies, un sonar avanzado de barrido lateral ORION y un vehículo submarino a control remoto (ROV) CURV-21, ambos propiedad de la Armada de los Estados Unidos. Por otro, a la noruega Swire Seabed, con el navío especializado Seabed Worker, tres vehículos submarinos autónomos (AUV) del modelo REMUS-6000 y otro ROV más. Además, consultaron las áreas de búsqueda con oceanógrafos no sólo franceses, sino también británicos, norteamericanos y rusos. Esta vez iban en serio de veras.

Ambos buques partieron de Recife (Brasil) el 29 de marzo e iniciaron la búsqueda el 2 de abril, en un área de 4.500 km² al Norte de la última posición conocida del avión. Pese a todos sus medios, tampoco encontraron nada. La cosa empezaba a ser desesperante. Para acabar de arreglarlo, cuando regresaron a hacer una parada técnica en Recife el 28 de abril, se encontraron con que la Armada de los Estados Unidos necesitaba que les devolviesen el sonar ORION y el vehículo CURV-21 para una de sus operaciones militares. Y a los dueños de uno de los REMUS-6000, los alemanes del IFM-GEOMAR, también les hacía falta el suyo. La tercera intentona parecía condenada a acabar como las dos anteriores antes siquiera de terminar.

Entonces, Airbus y Air France salieron por fin al quite. Vamos, que se sacaron la chequera para financiar otras tres semanas de búsqueda con el material restante y otro sonar lateral. En total, barrieron un área de 6.300 km² en distintos sectores al Norte y alrededor de la última posición conocida. Pero una vez más, sin éxito. ¿Dónde demonios estaba ese maldito avión?

Y llegaron los científicos.

Transcurrió otro año, que se dice pronto. Durante ese tiempo, una de las empresas a las que habían consultado, Metron Scientific Solutions de Estados Unidos, propuso una aproximación innovadora. Bueno, en realidad no tan innovadora, porque era un método que ya se había utilizado para localizar el naufragio del submarino nuclear USS Scorpion, hundido en 1968, o la bomba termonuclear que cayó frente a Almería en 1966.

Metron sugirió un nuevo juego de patrones de búsqueda basado en un método matemático teórico conocido como busqueda bayesiana, utilizando datos de la BEA francesa y la MAK rusa. Simplificándolo mucho, este es un método estadístico que permite asignar distintas probabilidades a cada cuadrícula de un mapa y dirige la búsqueda de mayor a menor probabilidad, retroalimentándose constantemente a sí mismo. Sobre esta idea, volvieron a intentarlo otra vez más. Y, con algunas lecciones ya aprendidas, en esta ocasión encargaron directamente el trabajo a la Woods Hole Oceanographic Institution de Massachusetts, una universidad y centro de investigación que se cuenta entre los líderes mundiales en ciencias marinas.

La WHOI se puso a ello con el yate M/V Alucia y tres vehículos autónomos submarinos REMUS-6000, estudiando un área inicial de 10.000 km² en las zonas sin barrer o peor barridas durante las expediciones anteriores. Se hicieron a la mar desde Suape (Brasil) el 23 de marzo. Iniciaron la búsqueda siguiendo esas técnicas bayesianas el 25. Y apenas nueve días después, el 3 de abril de 2011, el Air France 447 apareció por fin:

Mientras la BEA y Air France y todo quisqui convocaban ruedas de prensa y demás, profesionales de todo el mundo se agolparon a mirar. Y se miraron un poco raro, porque la primera sorpresa fue que los restos del Air France 447 no se encontraban entre todas aquellas montañas submarinas, sino en una suave llanura de limo a unos 3.900 metros de profundidad; a apenas doce kilómetros de su última posición conocida y justo al lado de su ruta de vuelo prevista, un poquito a la izquierda. Habían pasado un montón de veces por encima. Estuvo ahí todo el tiempo, a la vista de cualquiera que mirase bien.

La segunda cosa que llamó la atención fue que, salvo por unos pocos fragmentos que habían ido a parar algo más lejos, el campo de restos era muy pequeño: apenas 600 x 200 metros, después de estrellarse con gran violencia y hundirse cuatro kilómetros. Esto confirmó que el Air France 447 hizo impacto contra la superficie de una sola pieza, sin ninguna desintegración significativa en el aire. El avión estaba entero cuando golpeó contra el océano.

No sólo eso. La primera inspección visual de los motores, gracias a las imágenes proporcionadas por los vehículos submarinos de la Woods Hole Oceanographic Institution, evidenció que las turbinas giraban a gran velocidad cuando se produjo la colisión. Sus álabes están torcidos de una manera que sólo puede explicarse si los reactores seguían en marcha a toda potencia cuando penetraron en el agua. En cuestión de horas, quedó prácticamente confirmado que el Air France 447 permaneció vivo y peleando hasta el último momento. No era un avión que hubiese sufrido algun gravísimo problema en el aire para luego caer como un ladrillo inerte al mar. Era un avión que continuó operativo, en marcha y al menos parcialmente controlado hasta el instante final. Todo lo cual no hizo sino engordar todavía más el misterio. ¿Qué hace que un avión perfectamente funcional se caiga del cielo así?

Francia envió inmediatamente al buque cablero Île de Sein con un vehículo submarino a control remoto Remora-6000 para iniciar la recuperación de los restos. Llegó el 26 de abril y ya durante la primera inmersión encontró el chasis de la registradora de datos (FDR), pero sin la cápsula de memoria, que hallaron el 1 de mayo. Y al día siguiente, a las 21:50 UTC del 2 de mayo de 2011, apareció la registradora de voz (CVR). Estaba en relativo buen estado, parcialmente hundida en el limo, pero de una sola pieza y con su baliza subacuática, sin nada encima que hubiera podido apantallar la señal. Después se comprobó que estuvo emitiendo pings como debía hasta agotar la pila. Que la primera búsqueda con el submarino y demás no fuera capaz de localizarla sólo evidencia la chapuza que fue.

Toda la información de ambas cajas negras se pudo recuperar. Finalmente, todas las partes sustanciales del AF447 fueron localizadas con la siguiente distribución, y rescatadas del fondo del mar junto a (creo que) todos los cadáveres restantes, o lo que quedase de ellos casi dos años después:

Bueno, y... al final, ¿qué les pasó?

Pues como siempre, varias cosas. Prácticamente ya no quedan accidentes aéreos que obedezcan a una sola causa. Este, además, tiene algo de Chernóbil: se origina en un problema de diseño, pero conocido y hasta tenido en cuenta en los manuales y procedimientos, que de modo casi incomprensible resulta agravado por los humanos a los mandos hasta que ya no les salva ni la caridad. Y digo casi incomprensible porque en realidad es muy comprensible, demasiado comprensible, como vamos a ver.

El problema de diseño estaba en el sistema de tubos Pitot. Los tubos Pitot son un dispositivo que, en combinación con las sondas de presión estática, permiten calcular la velocidad con respecto al aire a la que va un avión: su referencia fundamental de velocidad, la que vale. En el caso particular del Airbus A330, hay tres tubos Pitot (llamados comandante, copiloto y standby) más seis sondas de presión estática.

La presión registrada en cada uno de estos tubos y sondas es digitalizada por los ADM (Air Data Modules) y procesada por los ADR (Air Data Reference) de unos dispostivos llamados ADIRU (Air data inertial reference unit). Estos ADIRU, en combinación con otros sensores como la unidad de referencia inercial (IR o IRU), proporcionan a los ordenadores del avión y sus pilotos las medidas esenciales de velocidad, ángulo de ataque, altitud, actitud y posición. De los ADIRU dependen un montón de sistemas críticos: los ordenadores de control de vuelo y el fly-by-wire, los de gestión de los motores, los de gestión de vuelo y orientación, el sistema de aviso de proximidad al suelo, el transpondedor y el sistema de control de flaps y slats. Y, por supuesto, los pilotos, que ya me dirás tú qué van a hacer si no saben su velocidad, ángulo de ataque, altitud, actitud y demás.

Como puede comprenderse fácilmente, esto es algo muy importante y en el caso del Airbus A330 va todo por triplicado. Si falla uno o incluso dos, siempre queda uno más. Además, existe otro dispositivo llamado ISIS (integrated standby instrument system) que utiliza sus propios sensores para proporcionar información de respaldo sobre velocidad, altitud y actitud, pero aún depende del tubo Pitot 3 ("standby") y su correspondiente par de sondas estáticas. De algún sitio tiene que tomar las referencias de presión exterior, no se las puede inventar.

No es ningún misterio que este es un sistema bastante complejo, pero necesario para los ordenadores volantes que son los aviones de hoy en día. En realidad es mucho más seguro y eficiente volar así que a la manera tradicional. Sin embargo, da problemas cuando uno o varios sensores suministran información inconsistente con los demás, normalmente debido a algún fallo técnico. Los ordenadores tienen problemas para saber qué datos son los buenos y cuáles son los malos, así que pueden inducir comportamientos anómalos. Esto había ocurrido varias veces en aviones tanto de Airbus como de Boeing (como por ejemplo el Malaysia 124 en 2005, un Boeing 777-2H6ER como el que se ha estrellado este fin de semana, y esto no quiere decir nada por el momento).

No obstante, parece como si la implementación específica en el Airbus A330 hubiese sido especialmente delicada. Casi todos los problemas "menos leves" se habían dado en aviones de este modelo. Hasta lo del Air France 447 el peor incidente se produjo en el Qantas 72, otro A330, el 7 de octubre de 2008. Durante un vuelo de Singapur a Perth, un fallo en el ADIRU nº 1 provocó la desconexión del piloto automático, falsas alarmas de entrada en pérdida y sobrevelocidad y, lo más grave, dos bruscos cabeceos que hirieron a 115 de los 315 ocupantes, 12 de ellos graves. Más a menudo, el tema se saldaba con una simple desconexión del piloto automático y un rato de datos erróneos hasta que los pilotos humanos se aclaraban. Normalmente, cuando los ordenadores no saben a qué atenerse, lo que hacen es desactivar el piloto automático y pasar el control a manos humanas.

El problema era tan común que, salvo en algún caso extremo como el del Qantas 72, no hacía mucho más que levantar alguna ceja. Es llamativo observar cómo cuando el centro de operaciones de Air France en París recibió el chorro de mensajes ACARS del Air France 447 informando de problemas con los Pitot, los ADIRU y demás –lo que vimos al final del post anterior–, simplemente pasó de ellos. Ocurría tan a menudo que no disparó ninguna alerta. Y esta es una de las primeras causas del accidente del AF447: la normalización de una anomalía evidente. El problema no es tanto que si los tubos Pitot hacen tal o el ADIRU deja de hacer cual, sino un "ecosistema humano" que asume y normaliza una anomalía conocida y obvia pero potencialmente muy peligrosa hasta el punto de emitir directivas de aeronavegabilidad (como la FAA 2008-17-12 y la 2009-0012-E) o redactar procedimientos específicos para cuando se dé el caso.

Los problemas del Air France 447 se inician a las 02:10'03" de la madrugada UTC. Ese es el momento en el que sus tubos pitot se congelan, la instrumentación se altera, los ordenadores del avión empiezan a recibir datos contradictorios y hacen lo de costumbre: desactivar el piloto automático (anunciado con una alarma sonora) y reconfigurar el modo de control de vuelo manual a ley alterna. Este es un modo que reduce las limitaciones (protecciones) del piloto, permitiéndole así actuar con mayor libertad. Ni qué decir tiene que eso le da también mayor libertad para meter la pata mucho más a fondo.

Y la mete. Nadie sabe muy bien lo que pasó por la cabeza del piloto al mando en ese momento, pero hay dos cosas que están claras. Una que, mentalizados como iban para un tranquilo vuelo transoceánico, este incidente súbito les tomó totalmente por sorpresa, induciéndoles un alto grado de confusión. La segunda, que sobrerreaccionó. La desconexión del autopiloto provocó un alabeo (inclinación lateral) de +8,4º, pero él, al intentar compensarla, levantó excesivamente el morro del avión. Es posible que le confundieran las falsas indicaciones del sistema director de vuelo, también dependiente de los ADIRU. A gran altitud, levantar mucho el morro no es una buena idea. Te elevas rápidamente –el AF447 ascendió a 6.500-7.000 pies por minuto (1.980-2.130 m/min), una barbaridad– pero a costa de la velocidad en una región del aire donde la velocidad es extremadamente crítica, provocando una inmediata entrada en pérdida aerodinámica (stall). Con eso, el avión pierde la capacidad de sustentarse en el aire. La primera alarma de entrada en pérdida suena a las 2:10'10", apenas siete segundos después de la desconexión inicial del piloto automático. Con eso podemos hacernos una idea de lo rápido y sorpresivo que fue todo.

El caso es que ahora el avión se hallaba en una senda y actitud incompatibles con la seguridad del vuelo. Que después de subir se caía, vaya. Sin embargo, aún no estaban ni siquiera cerca de un accidente. La solución habría sido tan sencilla como agachar el morro (picar) para recuperar velocidad y sustentación y reestabilizarse a una altitud inferior. Esto lo sabe cualquiera que haya echado dos partidas al Flight Simulator. Y así lo indica en el informe técnico final: en este momento y durante al menos dos minutos más, habría bastado con descender en actitud morro-abajo de manera sostenida hasta salir de la pérdida y volver a estabilizar el vuelo. El hecho de que dos pilotos profesionales no realizaran una maniobra tan obvia evidencia hasta qué punto quedaron confundidos desde los primeros segundos (hay que recordar que no tenían visibilidad exterior.) De hecho, es posible que pensaran que tenían el problema contrario, de exceso de velocidad, cuyos síntomas se parecen a los de la entrada en pérdida (recordemos también que habían perdido las indicaciones de actitud y velocidad).

Existe incluso un procedimiento para esto: el de vuelo con velocidad indicada dudosa, que los pilotos entrenan y practican. Pero claro, en Chernóbil también había decenas de procedimientos y limitadores para impedir que un reactor nuclear con un alto coeficiente de reactividad positiva sufriera, precisamente, un embalamiento por reactividad positiva. Y eso fue exactamente lo que ocurrió, tras muchas horas de manipulaciones insensatas. Si los humanos no siguen los procedimientos, o deciden saltárselos a la torera, o simplemente están demasiado confundidos y desorientados para comprender que se encuentran en esa situación (cosa esta última que pasó tanto en Chernóbil como aquí), pues entonces no sirven para nada porque ni siquiera llegan a ponerse en marcha.

Cuando un avión empieza a irse, no se suele disponer de muchas horas, sino sólo de unos pocos minutos en el mejor de los casos. Es crítico que los pilotos reconozcan la condición de inmediato para poder adoptar el procedimiento que la corrige antes de que todo esté perdido. Normalmente, lo hacen. Por eso casi nunca pasa nada. Sin embargo, en esta ocasión no fue así. Ninguno de los tres pilotos que había en la cabina en ese momento, incluyendo a un veterano comandante de amplia experiencia como Marc Dubois (58 años, 10.988 horas de vuelo, que entró en la cabina poco después), supo reconocer la condición de velocidad indicada dudosa y entrada en pérdida aerodinámica. Me resulta escalofriante, entre otras cosas porque si se hubieran dado cuenta, como te digo, habría sido facilísimo de resolver.

El caso es que el avión siguió cayendo, cabeceando con fuerte ángulo de ataque, la panza por delante y una embarullada interacción entre ambos pilotos. La sorpresa, la confusión y los nervios no sólo deterioraron su capacidad para comprender la situación, sino que desestructuraron rápidamente la coordinación en cabina. Un minuto y medio después el comandante que se había ido a descansar regresa alertado por los bruscos movimientos (con aceleraciones verticales de hasta 1,6 g y alabeo) que deben haber despertado y aterrorizado a todo el pasaje. Les pregunta qué hacen, qué pasa. La contestación del piloto no-al mando (Robert) resume el accidente a la perfección:

02:11:43,0 – Qu’est-ce qui se passe? Je ne sais pas, je sais pas ce qui se passe. (...) On a tout perdu le contrôle de l’avion, on comprend rien, on a tout tenté.

¿Qué pasa? No sé, no sé lo que pasa. (...) Hemos perdido totalmente el control del avión, no entendemos nada, lo hemos intentado todo.

No entendemos nada. Esa es la explicación (que no la causa) primaria del accidente. Ese es el motivo por el que no hicieron cosas tan obvias que sabe cualquier jugador de videojuegos de aviones. Aparentemente, sin indicaciones de velocidad, no creen que la alarma de entrada en pérdida sea real. Y el retorno del comandante a la cabina no lo arregla en absoluto. Por el contrario, parece inducir aún más nerviosismo y confusión. Hay que decir que en ese momento el avión, después del veloz ascenso provocado por la sobrerreacción inicial del piloto al mando, se encuentra más o menos a la misma altitud a la que estaba cuando él se marchó a descansar. Así que, como no ha visto la secuencia previa de acontecimientos, tampoco tiene motivos para creer que estén en una situación de pérdida aerodinámica ("si estamos en pérdida, ¿cómo es que seguimos a la misma altitud que cuando me fui?").

Saben que están cayendo, saben que llevan los motores acelerados a potencia de despegue (TO/GA), saben que cabecean con un ángulo de ataque letalmente alto pero en apariencia no se les ocurre en ningún momento que realmente están en pérdida completa a pesar de que las alarmas de stall y otras más no paran de sonar (se ha sugerido que el exceso de alarmas sonoras en la cabina incrementó la confusión) y que el avión batanea (se sacude) sin cesar. En realidad, parecen mucho más concentrados en impedir que les alabee (que se les incline de lado). El avión está yéndose a estribor y describiría casi tres cuartos de vuelta antes del impacto.

Ahora con los tres pilotos en cabina, el Air France 447 cae por debajo del nivel 315 (31.500 pies, 9.600 m) sobre las 02:12. En ese momento el ángulo de ataque es de 40º, descendiendo muy deprisa, y eso ya no tiene tan fácil solución. En palabras del informe final de la BEA, a partir de ahí "sólo una tripulación extremadamente resuelta con una buena comprensión de la situación podría haber realizado una maniobra que quizá hubiera permitido recuperar el control de la aeronave. En la práctica, la tripulación había perdido casi por completo el control de la situación" y así siguió siendo durante otros dos minutos y dieciocho segundos más. El avión es una batidora que cabecea sin parar. El ángulo de ataque ya jamás volvió a bajar de 35º. Las penúltimas palabras registradas en la CVR, pronunciadas por el copiloto Pierre Cédric-Bonin, dejan poco margen a la duda:

02:14:23,7 – (!) On va taper. C'est pas vrai. Mais qu'est-ce qui se passe?

¡Nos vamos a estrellar! Esto no puede ser verdad. ¿Pero qué está pasando? Continuaban sin comprender nada. Pierre apenas había acabado de decir estas palabras cuando el Air France 447 con todas sus 228 vidas se estrelló violentamente contra el océano, de panza y con la cola por delante, siendo exactamente las 02:14:28,4 de la madrugada del 1 de junio de 2009. Fin de la grabación.

El informe final de la BEA lo explica así (las negritas y corchetes son míos, el resto es traducción directa del original):

3.2. Causas del accidente.

La obstrucción con cristales de hielo de los tubos Pitot era un fenómeno conocido pero poco comprendido por la comunidad aeronáutica en el momento del accidente. Desde una perspectiva operacional, la pérdida total de información sobre la velocidad con respecto al aire que resultó de este suceso era un fallo clasificado [previsto] en el modelo de seguridad. Tras unas reacciones iniciales que dependen de habilidades de pilotaje básicas, se esperaba que [la situación] fuese diagnosticada rápidamente por los pilotos y gestionada en lo que fuese preciso mediante medidas de precaución sobre la actitud de cabeceo y el empuje, tal como se indica en el procedimiento asociado.

Cuando se produjo este fallo en el contexto de un vuelo en fase de crucero, sorprendió por completo a los pilotos del AF447. Las dificultades aparentes con el manejo del avión a gran altitud entre turbulencias condujeron al piloto al mando a levantar el morro bruscamente y alabear en exceso. La [subsiguiente] desestabilización ocasionada por la senda de vuelo ascendente y la evolución en la actitud de cabeceo y la velocidad vertical se añadió a las indicaciones de velocidad erróneas y los mensajes ECAM, lo que no ayudó con la diagnosis. La tripulación, desestructurándose progresivamente, probablemente nunca comprendió que se enfrentaba a una “simple” pérdida de tres fuentes de información sobre la velocidad con respecto al aire.

En el minuto que siguió a la desconexión del autopiloto, el fracaso de los intentos por comprender la situación y la desestructuración de la cooperación entre tripulantes se realimentaron hasta alcanzar la pérdida total del control cognitivo de la situación. (…) El avión entró en una pérdida sostenida, señalada por la alarma de entrada en pérdida y un fuerte bataneo [sacudidas]. Pese a estos síntomas persistentes, la tripulación nunca entendió que habían entrado en pérdida y en consecuencia nunca aplicaron la maniobra de recuperación. La combinación de la ergonomía de diseño de las alertas, las condiciones en las que los pilotos de aerolínea son entrenados y expuestos a pérdidas durante su formación profesional y el proceso de entrenamiento recurrente no genera el comportamiento esperado con ninguna fiabilidad aceptable.

En su forma actual, dar por buena la alarma de entrada en pérdida, incluso cuando está asociada al bataneo [sacudidas], supone que la tripulación otorga un mínimo nivel de “legitimidad” [credibilidad] a la misma. Esto presupone una experiencia previa suficiente con las entradas en pérdida, un mínimo de disponibilidad cognitiva y de compresión de la situación, conocimiento de la aeronave (y sus modos de protección) y su física de vuelo. Un examen del entrenamiento actual para los pilotos de aerolínea, en general, no aporta indicaciones convincentes de que se formen y mantengan las habilidades asociadas.

Más generalmente, el doble fallo de las respuestas procedimentales planeadas pone de manifiesto los límites del modelo de seguridad actual. Cuando se espera que la tripulación actúe, siempre se supone que serán capaces de tomar inicialmente el control de la senda de vuelo y realizar una rápida diagnosis que les permita identificar el epígrafe correcto en el diccionario de procedimientos. Una tripulación puede verse enfrentada a una situación inesperada que les lleve a una pérdida de comprensión momentánea pero profunda. En este caso, su supuesta capacidad para dominar [la situación] al inicio y después realizar la diagnosis se pierde, y el modelo de seguridad queda entonces en “modo de fallo general.” Durante este accidente, la incapacidad inicial para dominar la senda de vuelo les hizo también imposible entender la situación y acceder a la solución planeada.

Por tanto, el accidente fue el resultado de:

• Una inconsistencia temporal entre las mediciones de velocidad con respecto al aire, a consecuencia de la obstrucción de los tubos Pitot con cristales de hielo que, en este caso particular, causaron la desconexión del piloto automático y la reconfiguración del [control de vuelo] a ley alterna;

• [La aplicación de] acciones de control inapropiadas que desestabilizaron la senda de vuelo;

• La incapacidad de la tripulación para establecer un vínculo entre la pérdida de las velocidades indicadas y el procedimiento apropiado;

• La identificación tardía por parte del piloto no-al mando del desvío de la senda de vuelo, y la insuficiente corrección aplicada por el piloto al mando;

• La incapacidad de la tripulación para identificar la aproximación a la entrada en pérdida, su falta de respuesta inmediata y el abandono de la envolvente de vuelo;

• La incapacidad de la tripulación para diagnosticar la entrada en pérdida y, como resultado, la ausencia de las acciones que les habrían permitido recuperarse de la misma;

Estos sucesos pueden explicarse mediante una combinación de los siguientes factores:

• Los mecanismos de retroalimentación [de información] por parte de todos los implicados [el conjunto del sistema humano, no sólo los pilotos] que hicieron imposible:

  • Identificar que, repetitivamente, no se estaba aplicando el procedimiento para la pérdida de información sobre la velocidad con respecto al aire y remediarla.
  • Asegurar que el modelo [de gestión] de riesgos para tripulaciones incluía la congelación de los tubos Pitot y sus consecuencias.

• Identificar que, repetitivamente, no se estaba aplicando el procedimiento para la pérdida de información sobre la velocidad con respecto al aire y remediarla.

• Asegurar que el modelo [de gestión] de riesgos para tripulaciones incluía la congelación de los tubos Pitot y sus consecuencias.

• La ausencia de entrenamiento para el pilotaje manual a gran altitud y en el procedimiento de “vuelo con velocidad indicada dudosa.”

• Una [coordinación] de tareas debilitada por:

  • La incomprensión de la situación cuando el piloto automático se desconectó.
  • La pobre gestión del efecto sorpresa que indujo un factor de alta carga emocional en ambos copilotos.

• La incomprensión de la situación cuando el piloto automático se desconectó.

• La pobre gestión del efecto sorpresa que indujo un factor de alta carga emocional en ambos copilotos.

• La ausencia de un indicador claro en cabina que mostrase las inconsistencias en la velocidad con respecto al aire identificadas por los ordenadores.

• La tripulación que no tuvo en cuenta la alarma de entrada en pérdida, lo que pudo deberse a:

  • Incapacidad para identificar la alarma sonora, debido al poco tiempo de exposición durante el entrenamiento a los fenómenos de entrada en pérdida, alarmas de entrada en pérdida y bataneo [sacudidas].
  • La aparición al principio del suceso de alertas transitorias que pudieron considerarse espurias.
  • La ausencia de ninguna información visual que confirmase la aproximación a entrada en pérdida tras la pérdida de los límites de velocidad.
  • La posible confusión con una situación de exceso de velocidad, para la que el bataneo también se considera un síntoma.
  • Indicaciones del sistema director de vuelo que pudieron conducir a la tripulación a creer que sus acciones eran apropiadas, aunque no lo eran; y
  • La dificultad para reconocer y comprender las implicaciones de una reconfiguración [del modo de vuelo] a ley alterna sin protección de ángulo de ataque.

• Incapacidad para identificar la alarma sonora, debido al poco tiempo de exposición durante el entrenamiento a los fenómenos de entrada en pérdida, alarmas de entrada en pérdida y bataneo [sacudidas].

• La aparición al principio del suceso de alertas transitorias que pudieron considerarse espurias.

• La ausencia de ninguna información visual que confirmase la aproximación a entrada en pérdida tras la pérdida de los límites de velocidad.

• La posible confusión con una situación de exceso de velocidad, para la que el bataneo también se considera un síntoma.

• Indicaciones del sistema director de vuelo que pudieron conducir a la tripulación a creer que sus acciones eran apropiadas, aunque no lo eran; y

• La dificultad para reconocer y comprender las implicaciones de una reconfiguración [del modo de vuelo] a ley alterna sin protección de ángulo de ataque.

O sea (y esto ya lo digo yo):

• El diseño e implementación del sistema de tubos Pitot/ADR/ADIRU en el Airbus A330 era problemático, un hecho conocido y normalizado. Tanto es así, que el centro de operaciones de Air France en París ignoró los mensajes ACARS transmitidos automáticamente por los ordenadores del AF447 desde el Atlántico porque sucedía a menudo sin mayores consecuencias.

• El avión se encontraba fuera del alcance de los radares terrestres y en la práctica sin servicio de control de tráfico aéreo, o con el mismo reducido a un mínimo, pero esto era el procedimiento estándar en ese tramo de su ruta. No tuvo ningún efecto sobre los acontecimientos.

• La noche y el estado de la meteorología degradaban severamente o impedían la orientación natural de los pilotos (con sus ojos, vamos). Operaban por completo bajo condiciones de vuelo instrumental ("a ciegas") y por tanto dependían totalmente de la fiabilidad de los instrumentos del avión.

• Pese a ello, las condiciones no eran peligrosas y de hecho había otros vuelos circulando con normalidad por la misma ruta u otras próximas. El Air France 447 operaba de manera estándar sin violar ninguna norma de seguridad aérea, orientado instrumentalmente, por su ruta, altitud y velocidad previstas. Ni la aeronave, ni la tripulación ni sus procedimientos presentaban ningún problema específico.

• Súbitamente, al congelarse los tubos Pitot, se produjeron diversos acontecimientos simultáneos (desconexión del piloto automático, reconfiguración del control de vuelo a ley alterna con la consecuente pérdida de protecciones y limitaciones, indicaciones anómalas en los instrumentos...) que tomaron completamente por sorpresa a los pilotos, mentalizados en ese momento para un largo vuelo de crucero a gran altitud.

• El avión no sufrió ningún otro problema técnico. Todos sus demás sistemas siguieron operando perfectamente hasta el momento del impacto final. Sus ordenadores comenzaron a transmitir automáticamente mensajes ACARS notificando las anomalías al centro de operaciones de Air France en París y siguieron haciéndolo hasta los momentos anteriores a la colisión.

• La tripulación técnica (los pilotos) no estaba bien formada para el vuelo manual a gran altitud en este tipo de circunstancias anómalas, sobre todo bajo el efecto de la sorpresa. El entrenamiento al respecto era inadecuado, insuficiente y no cubría numerosas posibilidades realistas.

• La instrumentación de cabina no incluía ningún indicador claro que permitiera a los ordenadores comunicar a los pilotos la pérdida de sincronía entre los datos procedentes de los tubos Pitot, lo que habría clarificado bastante la situación.

• Debido a la sorpresa y al entrenamiento inadecuado, la pobre reacción inicial del piloto al mando llevó al avión a una actitud anómala incompatible con la seguridad del vuelo a gran altitud.

• La veloz sucesión de estos hechos indujo a los pilotos un intenso estado psicológico de confusión y ofuscación con fuerte carga emocional. El rápido regreso del comandante a la cabina desde el área de descanso, aunque sin duda inspirado por un recto sentido de la responsabilidad, no tuvo ninguna utilidad práctica y sólo sirvió para aumentar aún más la confusión, en la que él también cayó.

• Este estado de ofuscación degradó rápidamente sus capacidades cognitivas y la coordinación entre ellos, llegando al extremo de no reconocer o reaccionar a algunas indicaciones obvias y tomar acciones contradictorias, mientras creían seguir actuando racional y coordinadamente.

• Debido a todo esto, cuando el avión entró en pérdida aerodinámica ("comenzó a caerse") por causa de su actitud de vuelo anómala, los pilotos no creían que estuviese sucediendo realmente pese al disparo de la alarma sonora de entrada en pérdida y las características sacudidas (bataneo) que la acompañan, pero que también pueden darse en otras condiciones como el exceso de velocidad.

• Durante los cuatro minutos y veinticinco segundos que transcurrieron desde la desconexión inicial del piloto automático hasta el impacto final contra el mar, el estado de confusión y ofuscación de los pilotos no hizo sino incrementarse con el nerviosismo. Ninguno de ellos mostró indicios de comprender la situación real del avión o la severa degradación de su propio estado cognitivo. Todos creían estar haciendo lo correcto en un estado psicológico tenso pero bien ajustado y normal. Aparentemente en ningún momento se sintieron compelidos a sobreponerse, pues no percibieron que hubiera nada a lo que sobreponerse, sino que tan solo debían resolver la situación técnica a la que se enfrentaban.

• Como consecuencia de todo lo anterior, los pilotos nunca llegaron a entender lo que estaba sucediendo, el conjunto de sus reacciones fue inadecuado y el avión acabó por estrellarse en el mar, matando a todos sus ocupantes de manera instantánea o prácticamente instantánea. La mayor parte de sus restos acabaron sumergidos a gran profundidad.

• El "ecosistema humano" que envolvió al accidente no permitía la identificación y resolución eficaz de estas deficiencias y de hecho era bastante pasivo con las mismas.

Así que ya ves. Ni un piloto idiota, como pretendieron algunos desalmados, incluso con fotitos de pésimo gusto (además de falsas) que me niego a enlazar; ni un comandante entretenido con una azafata como dijeron otros –claro, un comandante francés, qué iba a estar haciendo, jiji, jaja >:-( –, ni ninguna otra simpleza por el estilo. Como siempre en el mundo real, fue todo mucho más complejo y difícil. Desde mi punto de vista, de todas las causas del accidente definidas por la investigación técnica, doy la mayor importancia a dos: las notables deficiencias en el entrenamiento de los pilotos de Air France (y probablemente de muchas otras compañías) en esos momentos y la inexistencia de mecanismos eficaces para detectar numerosos problemas humanos y técnicos y corregirlos.

En mi opinión, el problema con los tubos Pitot fue secundario por mucho que iniciara la secuencia de acontecimientos que condujo al accidente. Como cualquier otra máquina fabricada por manos humanas, un avión en vuelo puede tener un problema con los tubos Pitot o con cualquier otra cosa. Precisamente para eso están los pilotos. Hoy en día o en breve plazo, el estado de la técnica permitiría tener aviones totalmente automáticos, sin pilotos, como los UAV militares. Mantenemos y con bastante seguridad mantendremos pilotos durante mucho tiempo justamente por si la técnica falla, por si la situación se sale de la envolvente de diseño concebida por los ingenieros. Para cuando todo sale mal, porque aún no sabemos hacer máquinas que reaccionen igual o mejor que un humano en tales circunstancias. Se dice a veces que un piloto (o un conductor de cualquier otro transporte público) se gana todo el sueldo de su carrera en diez segundos malos, y es verdad. Diez segundos, o cuatro minutos y medio, pueden ser la diferencia entre la vida y la muerte para decenas o cientos de personas.

Pero para eso tienen que estar bien entrenados, y los pilotos del Air France 447 no habían sido bien entrenados. El "ecosistema" les traicionó. Tal entrenamiento, sobre todo cuando se realiza con simuladores realistas y ya no te digo con vuelo real, es caro y consume mucho tiempo durante el que el piloto "no está produciendo." Así que siempre existe una presión para recortarlo o rebajarlo de cualquier otra manera. Es fundamental para la seguridad aérea que estas presiones no tengan éxito, por muy nerviosos que se pongan los contables.

Porque un personal insuficientemente entrenado, como los pilotos del AF447 o los operadores de Chernóbil, puede provocar el efecto opuesto: convertir un problema técnico conocido y documentado, y en el caso del AF447 relativamente menor, en una catástrofe. El accidente del AF447 no se inicia cuando se congelan los tubos Pitot, sino cuando el piloto al mando queda totalmente sorprendido y reacciona mal, sacando rápidamente al avión de la envolvente de vuelo seguro. Pero aún en ese momento podrían haberse salvado. Tuvieron casi cuatro minutos y medio antes de estrellarse. Al igual que en Chernóbil, la causa esencial del accidente fue la inmediata degradación cognitiva y la desestructuración rápida de la coordinación que se produjo como resultado de la sorpresa, la confusión y los nervios, a su vez consecuencia de un entrenamiento inadecuado.

Incluso aunque hubiesen hecho algo bien, habría sido por casualidad, como en "...sonó la flauta por casualidad." Resulta imposible acertar si no sabes lo que está ocurriendo, si estás totalmente confundido y obcecado y ni siquiera eres consciente del hecho. Los seres humanos reaccionamos fatal ante la sorpresa y la acumulación rápida de tensión. Desde tiempo inmemorial, todo soldado sabe lo eficaces que son los ataques por sorpresa, cuanto más violentos mejor, precisamente porque confunden y obcecan al enemigo de tal modo que para cuando quiere reaccionar, ya ha sido derrotado. La única forma de evitarlo es, precisamente, un entrenamiento estricto, minucioso, motivador y eficaz que prevea el caso. El entrenamiento que no tuvieron los pilotos del Air France 447. Así, sufrieron un ataque por sorpresa de las circunstancias y ya no fueron capaces de reaccionar, atrapados entre el cielo y el mar. Más que ninguna otra cosa, eso fue lo que se los llevó y a las otras 225 personas que iban con ellos, también. Pues como es sabido desde muy viejo, del cielo y del mar no cabe esperar piedad.

***

NOTA IMPORTANTE: El accidente del Air France 447 y el del Malaysia Airlines 370 ocurrido este fin de semana, pese a todas sus similitudes aparentes, pueden obedecer a causas y circunstancias radicalmente distintas. Extrapolar conclusiones del uno al otro es una mala idea, al igual que formular conjeturas u opiniones antes de que se complete la investigación técnica. Nadie sabe todavía lo que le ha pasado al MH370, tardará algún tiempo en saberse y quien pretenda lo contrario, o miente o desconoce la profundidad de su ignorancia. Esta misma regla es aplicable a cualquier otro accidente de aviación y a todos los siniestros tecnológicos complejos en general. Muchas veces, incluso a los aparentemente simples, que luego resulta que no lo eran tanto.

***

A la pregunta: ¿Es seguro volar en un Airbus A330? Yo diría que sí, y de hecho yo mismo lo elijo si se da el caso. Precisamente, el éxito de la investigación técnica permitió introducir los cambios necesarios tanto en sus sistemas ADIRU como en la formación de los pilotos, de tal modo que es muy difícil que el mismo tipo de accidente pueda repetirse en este modelo. Me atrevería a decir que ahora antes sucedería en cualquier otro avión que en un A330, por lo demás una aeronave excelente. Justamente para eso sirven las buenas investigaciones técnicas: para corregir los problemas y así salvar incontables vidas futuras.