El trágico accidente del vuelo AF447 muestra las consecuencias improbables pero catastróficas de la automatización

El trágico accidente del Air France 447 (AF447) en 2009 causó conmoción en todo el mundo. La pérdida fue difícil de entender dado el notable historial de seguridad de la aviación comercial. ¿Cómo pudo una tripulación bien entrenada que pilotaba un avión de pasajeros moderno perder tan bruscamente el control de su aeronave durante un vuelo rutinario? El AF447 precipitó la creciente preocupación de la industria de la aviación por este tipo de incidentes de "pérdida de control", y por si están relacionados con una mayor automatización en la cabina. A medida que la tecnología se ha vuelto más sofisticada, ha ido asumiendo cada vez más funciones que antes realizaban los pilotos, lo que ha supuesto enormes mejoras en la seguridad de la aviación. En 2016, la tasa de accidentes de los grandes reactores fue de sólo un accidente grave por cada 2,56 millones de vuelos. Pero si bien la seguridad aérea general está mejorando, no ocurre lo mismo con los incidentes de pérdida de control. De hecho, son la causa más prevalente de víctimas mortales en la aviación comercial actual, representando el 43% de las víctimas mortales en 37 incidentes distintos entre 2010 y 2014. La pérdida de control suele producirse cuando los pilotos no reconocen y corrigen una situación potencialmente peligrosa, provocando que la aeronave entre en una condición inestable. Estos incidentes suelen desencadenarse por sucesos inesperados e inusuales -a menudo compuestos por múltiples condiciones que rara vez se dan juntas- que se salen del repertorio normal de experiencia de los pilotos. Por ejemplo, podría tratarse de una combinación de condiciones meteorológicas inusuales, lecturas o comportamientos ambiguos de la tecnología e inexperiencia del piloto - cualquiera de las cuales, una o dos, podrían estar bien, pero juntas pueden abrumar a una tripulación. Los científicos de la seguridad describen esto como el modelo de fallo del "queso suizo", cuando los agujeros en las defensas de la organización se alinean de formas que no se habían previsto. Estos incidentes requieren una interpretación y respuestas rápidas, y es aquí donde las cosas pueden salir mal. Nuestra investigación, publicada recientemente en Organization Science, examina cómo la automatización puede limitar la capacidad de los pilotos para responder a este tipo de incidentes, ya que depender cada vez más de la tecnología puede erosionar las habilidades cognitivas básicas. Revisando los análisis de expertos sobre la catástrofe y analizando los datos de la cabina del AF447 y de los registradores de datos de vuelo, descubrimos que el AF447, y la aviación comercial en general, revelan cómo la automatización puede tener consecuencias imprevistas y catastróficas que, aunque improbables, pueden surgir en condiciones extremas. Automatización en la cabina de vuelo Los aviones comerciales vuelan con el piloto automático la mayor parte del tiempo. Para la mayoría de los pilotos, la automatización suele garantizar que las operaciones se mantengan dentro de unos límites seguros y predecibles. Los pilotos pasan gran parte de su tiempo gestionando y supervisando, más que pilotando activamente, sus aviones. La automatización de la cabina, a veces llamada "cabina de cristal", comprende un conjunto de tecnologías que realizan múltiples funciones. Recogen información, la procesan, la integran y la presentan a los pilotos, a menudo de forma simplificada, estilizada e intuitiva. A través del "fly-by-wire", en el que las acciones del piloto sirven como entradas a un sistema de control de vuelo que a su vez determina los movimientos de las superficies de control de la aeronave, la tecnología media la relación entre la acción del piloto y la respuesta de la aeronave. Esto reduce el riesgo de errores humanos debidos a la sobrecarga, la fatiga y la falibilidad, y evita maniobras que podrían estresar el fuselaje y poner en peligro la aeronave. La automatización proporciona una enorme capacidad de procesamiento de datos y coherencia en la respuesta. Sin embargo, también puede interferir con el ciclo básico de los pilotos de planificar, hacer, comprobar y actuar, que es fundamental para el control y el aprendizaje. Si da lugar a una supervisión menos activa y a un menor compromiso práctico, la conciencia situacional de los pilotos y su capacidad para improvisar cuando se enfrentan a sucesos inesperados y desconocidos pueden disminuir. Esta erosión puede permanecer oculta hasta que se requiera la intervención humana, por ejemplo cuando la tecnología funciona mal o se encuentra con condiciones que no reconoce y no puede procesar. Imagínese tener que hacer algo de aritmética moderadamente compleja. La mayoría de nosotros podríamos hacerlo mentalmente si tuviéramos que hacerlo, pero como normalmente dependemos de la tecnología, como calculadoras y hojas de cálculo, para ello podríamos tardar un rato en invocar los procesos mentales pertinentes y hacerlo por nuestra cuenta. ¿Y si le pidieran, sin previo aviso, que lo hiciera en condiciones de estrés y con el tiempo contado? El riesgo de error sería considerable. Este fue el reto al que se enfrentó la tripulación del AF447. Pero también tuvieron que hacer frente a ciertas "sorpresas de automatización", como que la tecnología se comportara de un modo que no comprendían ni esperaban. Pérdida del AF447 El AF447 llevaba tres horas y media de vuelo nocturno sobre el Atlántico. La formación transitoria de hielo en los sensores de velocidad del Airbus A330 provocó lecturas incoherentes de la velocidad aerodinámica, lo que a su vez llevó al ordenador de vuelo a desconectar el piloto automático y retirar la protección de la envolvente de vuelo, como estaba programado para hacer ante datos poco fiables. Los sobresaltados pilotos tuvieron ahora que pilotar el avión manualmente. Una cadena de mensajes apareció en una pantalla frente a los pilotos, dando información crucial sobre el estado del avión. Bastaba con que un piloto (Pierre-Cédric Bonin) mantuviera la trayectoria de vuelo manualmente mientras el otro (David Robert) diagnosticaba el problema. Pero los intentos de Bonin por estabilizar la aeronave tuvieron precisamente el efecto contrario. Esto se debió probablemente a una combinación de estar sobresaltado y ser inexperto en el vuelo manual en altitud, y tener una protección automática reducida. A mayor altitud, la envolvente de vuelo seguro es mucho más restringida que a menor altitud, razón por la cual los pilotos rara vez vuelan manualmente en esas condiciones. Intentó corregir un ligero alabeo que se produjo al desconectarse el piloto automático, pero corrigió en exceso, haciendo que el avión girara bruscamente a izquierda y derecha varias veces mientras movía el stick lateral de un lado a otro. También tiró hacia atrás del stick, haciendo que el avión ascendiera bruscamente hasta que entró en pérdida y comenzó a descender rápidamente, casi en caída libre. Ni Bonin ni Robert, ni el tercer miembro de la tripulación (Marc Dubois, el capitán) que entró en la cabina a los 90 segundos del episodio, reconocieron que el avión había entrado en pérdida a pesar de las múltiples indicaciones. En la confusión, Bonin interpretó erróneamente la situación como que el avión volaba demasiado rápido y, de hecho, redujo el empuje y pasó a aplicar los speedbrakes, lo contrario de lo que se requería para recuperarse de la entrada en pérdida. Robert le desautorizó e intentó tomar el control, pero Bonin siguió intentando pilotar el avión. Él y Robert hicieron entradas simultáneas y contradictorias, sin darse cuenta de que lo estaban haciendo. Para cuando la tripulación se dio cuenta de lo que estaba pasando, no quedaba altitud suficiente para recuperarse, y el AF447 se estrelló en el océano, con la pérdida de los 228 pasajeros y la tripulación. La tragedia del AF447 revela crudamente la interacción entre la sofisticada tecnología y sus contrapartidas humanas. Comenzó con el abrupto e inesperado traspaso del control a los pilotos, uno de los cuales, no acostumbrado a volar a mano en altitud, empeoró mucho una situación difícil. Un ejercicio de simulación realizado tras el accidente demostró que, sin intervención del piloto, el AF447 habría permanecido a su altitud de crucero tras la desconexión del piloto automático. Con el inicio de la entrada en pérdida, había muchas pistas sobre lo que estaba ocurriendo a disposición de los pilotos. Pero fueron incapaces de ensamblar estas pistas en una interpretación válida, quizás porque creían que una entrada en pérdida era imposible (ya que la tecnología fly-by-wire normalmente impediría a los pilotos provocar una entrada en pérdida), o quizás porque la tecnología normalmente hacía la mayor parte del "ensamblaje" de pistas en su nombre. La posibilidad de que un avión pudiera estar en pérdida sin que la tripulación se diera cuenta también estaba, aparentemente, más allá de lo que imaginaban los diseñadores de sistemas aeronáuticos. Las características diseñadas para ayudar a los pilotos en circunstancias normales se sumaban ahora a sus problemas. Por ejemplo, para evitar las distracciones de las falsas alarmas, el aviso de entrada en pérdida se diseñó para que se desconectara cuando la velocidad aerodinámica de avance cayera por debajo de una velocidad determinada, cosa que hizo cuando el AF447 realizaba su rápido descenso. Sin embargo, cuando los pilotos realizaron dos veces las acciones correctas de recuperación (bajando el morro), la velocidad aerodinámica hacia delante aumentó, haciendo que la alarma de entrada en pérdida se reactivara. Todo ello contribuyó a que los pilotos tuvieran dificultades para comprender la naturaleza de su situación. Segundos antes del impacto, se oye a Bonin decir: "Esto no puede ser verdad". Implicaciones para las organizaciones Esta idea - que la misma tecnología que permite que los sistemas sean eficientes y en gran medida libres de errores también crea vulnerabilidades sistémicas que dan lugar a catástrofes ocasionales - se denomina "la paradoja de los sistemas casi totalmente seguros". Esta paradoja tiene implicaciones para la implantación de la tecnología en muchas organizaciones, no sólo en las críticas para la seguridad. Una de ellas es la importancia de gestionar los traspasos de máquinas a humanos, algo que salió tan mal en el AF447. A medida que la automatización ha aumentado en complejidad y sofisticación, también lo han hecho las condiciones en las que es probable que se produzcan dichos traspasos. ¿Es razonable esperar que humanos sobresaltados y posiblemente fuera de práctica sean capaces de diagnosticar y responder instantáneamente a problemas lo suficientemente complejos como para engañar a la tecnología? Esta cuestión sólo será más pertinente a medida que la automatización impregne aún más nuestras vidas, por ejemplo a medida que los vehículos autónomos se introduzcan en nuestras carreteras. En segundo lugar, ¿cómo podemos aprovechar las ventajas que ofrece la tecnología y mantener al mismo tiempo las capacidades cognitivas necesarias para manejar situaciones excepcionales? Los pilotos se someten a un intenso entrenamiento, con evaluaciones periódicas, simulacros y simulaciones, pero la pérdida de control sigue siendo motivo de preocupación. Tras la catástrofe del AF447, la FAA instó a las aerolíneas a fomentar más el pilotaje manual para evitar la erosión de las habilidades básicas de pilotaje y esto apunta a una vía que otros podrían seguir. La participación y el control regulares y prácticos construyen y mantienen el conocimiento del sistema, lo que permite a los operadores, directivos y otras personas que supervisan sistemas complejos, identificar anomalías, diagnosticar situaciones desconocidas y responder rápida y adecuadamente. Las rutinas estructuradas de resolución de problemas y de mejora que nos incitan a interrogar constantemente nuestro entorno también pueden ayudar en este sentido. La aviación comercial ofrece una ventana fascinante a la automatización, porque los beneficios, así como los riesgos ocasionales, son tan visibles y dramáticos. Pero todo el mundo tiene su equivalente del piloto automático, y la idea principal se extiende a otros entornos: cuando la automatización mantiene a las personas completamente seguras casi todo el tiempo, es más probable que les cueste volver a involucrarse cuando retira sus servicios de forma abrupta. Las organizaciones deben considerar ahora la interacción de distintos tipos de riesgo. Una mayor automatización reduce el riesgo de errores humanos, la mayoría de las veces, como demuestra el excelente y cada vez mejor historial de seguridad de la aviación. Pero la automatización también conduce a una sutil erosión de las capacidades cognitivas que puede que sólo se manifiesten en situaciones extremas e inusuales. Sin embargo, sería miope limitarse a hacer retroceder la automatización, por ejemplo insistiendo en que se vuele más a mano, ya que eso aumentaría de nuevo el riesgo de error humano. Más bien, las organizaciones deben ser conscientes de las vulnerabilidades que puede crear la automatización y pensar de forma más creativa en formas de parchearlas.

El trágico accidente del vuelo AF447 muestra las consecuencias improbables pero catastróficas de la automatización

Resumen.

Partner Center