El trágico accidente del vuelo Air France 447 (AF447) en 2009 tuvo repercusión en todo el mundo. Nada parecía explicar una pérdida, en principio, contraria al brillante historial de seguridad de la aviación comercial. ¿Cómo era posible que una tripulación bien entrenada y a bordo de un avión moderno y en buen estado perdiera el control de la aeronave durante un vuelo rutinario?

El AF447 precipitó una preocupación cada vez mayor en la industria aeronáutica por estos incidentes de "pérdida de control", por la posibilidad de que estuvieran relacionados con una mayor automatización dentro de la cabina. A medida que la tecnología se ha vuelto más sofisticada, también ha ido asumiendo cada vez más funciones que antes desempeñaban los pilotos. ¿El resultado? Grandes mejoras en la seguridad aérea. En 2016, el índice de accidentes de los grandes aviones a reacción fue de un solo accidente grave entre 2,56 millones de vuelos. Sin embargo, y aunque la seguridad aérea en general está mejorando, los incidentes de pérdida de control no. De hecho, son la causa más frecuente de muertes en la aviación comercial actual; responsables del 43 % de las muertes en 37 incidentes diferentes entre 2010 y 2014.

La pérdida de control suele ocurrir cuando los pilotos no logran reconocer y corregir una situación potencialmente peligrosa, lo que hace que la aeronave entre en una situación inestable. Estos incidentes son por lo general el resultado de eventos inesperados e inusuales, los cuales incluyen diferentes condiciones que rara vez ocurren simultaneamente y que quedan fuera de la experiencia habitual de un piloto. Un ejemplo podría ser la mezcla de condiciones meteorológicas adversas, malfuncionamiento de la tecnología de abordo e inexperiencia del piloto. Cualquiera de ellas, e incluso dos de ellas a la vez, podrían abordarse sin complicaciones. Pero, si ocurren todas a la vez, la mezcla puede superar a la tripulación. Los expertos en seguridad describen estas situaciones como fracasos en un "modelo del queso suizo". Es decir, cuando las brechas en las defensas, en los instrumentos o métodos de seguridad, coinciden y se alinean de formas que no se habían previsto. Son incidentes imprevistos y que exigen una interpretación y respuesta rápidas, y es aquí donde las cosas pueden salir mal.

Nuestra investigación, publicada en la revista Organization Science, examina el posible impacto de la automatización sobre la habilidad de los pilotos para reaccionar en este tipo de emergencias; analiza si, al volverse más dependientes de la tecnología, sus habilidades cognitivas básicas se deterioran. Al revisar los análisis de expertos sobre el desastre del AF447 y estudiar las grabaciones de la cabina y los datos del vuelo siniestrados, encontramos que el caso del AF447, y la aviación comercial en general, revela las posibles consecuencias catastróficas e imprevistas de la automatización. Consecuencias improbables, pero que pueden surgir en condiciones extremas.

Automatización en la cabina de vuelo

Los aviones comerciales vuelan en piloto automático durante gran parte del tiempo. Para la mayoría de los pilotos, la automatización garantiza que las operaciones se realicen dentro unos márgenes de seguridad controlados y predecibles. En realidad, los pilotos dedican gran parte de su tiempo a la gestión y supervisión de las aeronaves más que a pilotarlas de forma activa.

La automatización de la cabina, a veces llamada "cabina de cristal", comprende un conjunto de tecnologías que realizan múltiples funciones. Recopilan información, la procesan, la integran y la presentan a los pilotos, a menudo de manera simplificada, estilizada e intuitiva. La tecnología media la relación entre la acción del piloto y la respuesta del avión a través del "pilotaje por cable", en el que las acciones del piloto se convierten en señales eléctricas de un sistema de control digital que a su vez determina cómo deben moverse las superficies de control de la aeronave. Esto reduce el riesgo de errores humanos debidos a la sobrecarga, la fatiga y la mera falibilidad; evita maniobras que puedan estresar el fuselaje y poner en peligro el avión.

 

En realidad, los pilotos dedican gran parte de su tiempo a la gestión y supervisión de las aeronaves más que a pilotarlas de forma activa.

 

La automatización proporciona una enorme capacidad para procesar los datos y responder de forma coherente. Sin embargo, también puede interferir con el ciclo básico de planificación, ejecución, verificación y actuación de los pilotos, el cual es fundamental para el control y el aprendizaje. Si la automatización se traduce en un control y supervisión, además de un contacto manual, menos activo, la percepción de situaciones inesperadas y la capacidad para improvisar de los pilotos puede disminuir. Esta pérdida puede permanecer oculta hasta que se necesite de verdad la intervención humana, por ejemplo, cuando la tecnología funciona mal o encuentra condiciones que no reconoce y no puede procesar.

Imagine tener que resolver un cálculo matemático ligeramente complicado. La mayoría podríamos hacerlo de cabeza si tuviéramos que hacerlo pero, dado que solemos depender de tecnologías como las calculadoras y las hojas de cálculo para ello, seguramente necesitemos un rato para recordar los procesos mentales necesarios. ¿Qué pasaría entonces si se le pidiera, sin previo aviso, que lo resolviera bajo condiciones de estrés y a contrarreloj? El riesgo de error sería considerable.

Este era el reto al que se enfrentaba la tripulación del AF447. Uno de ellos, porque también tuvieron que lidiar con ciertas "sorpresas de la automatización", como el comportamiento de la tecnología en formas que no entendían o esperaban.

Pérdida del AF447

El AF447 llevaba tres horas y media de vuelo nocturno sobre el Atlántico. La congelación transitoria de los sensores de velocidad del Airbus A330, los llamados tubos Pitot, provocó lecturas inconsistentes de la velocidad aerodinámica, lo que a su vez llevó al ordenador de vuelo a desconectar el piloto automático y a retirar la protección de la envolvente de vuelo, tal y como estaba programado para hacer frente a lecturas dudosas. Los sorprendidos pilotos tuvieron que pilotar el avión manualmente.

Una serie de mensajes apareció en una pantalla delante de los piloto con información crucial sobre el estado de la aeronave. Todo lo que había que hacer era que un piloto, Pierre-Cédric Bonin, mantuviera la trayectoria de vuelo en modo manual mientras que el otro, David Robert, diagnosticaba el problema.

Sin embargo, los intentos de Bonin para estabilizar la aeronave tuvieron precisamente el efecto contrario. Esto se debió seguramente a una combinación de sorpresa, falta de experiencia de vuelo manual en altura y la reducción de la protección automática. A mayor altitud, la envolvente de vuelo segura es mucho más limitada que a menor altitud: rara vez vuelan en manual en esas condiciones. Bonin intentó corregir un ligero giro provocado por la desconexión del piloto automática, pero sobrecompensó la aeronave e hizo que el avión rodara bruscamente a izquierda y derecha varias veces mientras movía el mando de lado a lado. También tiró de la palanca, a fin de que el avión subiera rápidamente, hasta que entró en pérdida y comenzó a descender con rapidez, casi en caída libre.

Ni Bonin ni Robert ni el tercer tripulante (Marc Dubois, el capitán, que entró en la cabina a los 90 segundos del episodio), se dieron cuenta de que la aeronave había entrado en pérdida a pesar de las múltiples señales. En la confusión, Bonin malinterpretó la situación, pensó que el avión volaba demasiado rápido y redujo el empuje mientras proponía accionar los deflectores, todo lo contrario a lo que se necesita para salir de la pérdida. Robert le desautorizó e intentó tomar el control, pero Bonin siguió intentando pilotar el avión. Él y Robert pilotaban el avión en paralelo y de forma contradictoria sin darse cuenta. Para cuando la tripulación se percató de lo que sucedía, apenas quedaba altitud para recuperarse y el AF447 se estrelló contra el océano, con la pérdida de los 228 pasajeros y la tripulación.

 

Una vez el avión entra en pérdida, una vez se paran los motores, los pilotos tenían muchas pistas para comprender lo que sucedía.

 

La tragedia del AF447 expone con crudeza la interacción entre la tecnología avanzada y sus interlocutores humanos. Comenzó con la abrupta e inesperada entrega del control a los pilotos, uno de los cuales, sin experiencia de volar en manual en altura, empeoró la situación. Un ejercicio de simulación después del accidente demostró que, de no haber intervenido ninguno de los pilotos, el A330 habría conservado la altura de crucero incluso sin piloto automático.

Una vez el avión entra en pérdida, una vez se paran los motores, los pilotos tenían muchas pistas para comprender lo que sucedía. Pero ninguno de ellos fue capaz de reunir todos los indicios en una interpretación válida. Quizá porque creían que una pérdida era imposible (el pilotaje por cable normalmente impediría que los pilotos causaran una parada), quizá porque la tecnología hacía normalmente la mayor parte de la interpretación de las señales.

La posibilidad de que una aeronave pudiera entrar en pérdida sin que los tripulantes se dieran cuenta también parecía estar fuera de cualquier previsión de los ingenieros aeronáuticos. Las funcionalidades diseñadas para ayudar a los pilotos en circunstancias normales se convirtieron en problemas. Por ejemplo, para evitar las distracciones por falsas alarmas, la alarma de pérdida estaba diseñada para desconectarse cuando la velocidad de avance del aire cae por debajo de cierta velocidad, lo que ocurrió cuando el AF447 comenzó a bajar en picado. Sin embargo, cuando los pilotos realizaron dos veces las acciones correctas de recuperación (colocando el morro hacia abajo), la velocidad de avance del aire aumentó y reactivó la alarma de parada. Todo esto complicó aún más a los pilotos comprender qué ocurría. Segundos antes del impacto, puede oírse decir a Robert: "No puede ser verdad".

Implicaciones para las organizaciones

La idea de que la misma tecnología que permite que los sistemas sean eficientes y, en gran medida, libres de errores, también crea las vulnerabilidades sistémicas que pueden provocar una catástrofe se denomina "la paradoja de los sistemas seguros casi por completo". Esta paradoja tiene implicaciones para la implementación de tecnología en muchas organizaciones, y no solo en las que la seguridad es una cuestión crítica.

Una de ellas es la importancia de gestionar el traspaso del control de máquinas a humanos, algo que salió tan mal en el AF447. A medida que la automatización se vuelve más compleja y elaborada, también lo hacen las condiciones en las que es probable que ocurra dicho traspaso. ¿Es razonable esperar que un humano sorprendido y posiblemente sin práctica sea capaz de diagnosticar y reaccionar al segundo frente a problemas lo suficientemente difíciles como para confundir a la tecnología? Esta cuestión será cada vez más pertinente a medida que la automatización se extienda más y más por nuestras vidas. Por ejemplo, según se introduzcan los vehículos autónomos en nuestras carreteras.

En segundo lugar, ¿cómo podemos capitalizar los beneficios que ofrece la tecnología y al mismo tiempo mantener las capacidades cognitivas necesarias para manejar situaciones excepcionales? Los pilotos reciben un entrenamiento intenso, con evaluaciones, prácticas y simulacros periódicos, pero la pérdida de control sigue siendo motivo de preocupación. Tras la catástrofe del AF447, la FAA instó a las aerolíneas a que fomenten un mayor número de vuelos manuales para evitar la pérdida de las habilidades básicas de pilotaje. Es una fórmula que otras industrias podrían imitar. El control activo y la interacción manual de forma regular mejoran y mantienen el conocimiento sobre un sistema, lo que permite a operarios, encargados y supervisores identificar anomalías, diagnosticar situaciones desconocidas y responder rápida y adecuadamente. Las rutinas de resolución de problemas y mejoras estandarizadas que incitan a interrogar constantemente nuestro entorno también pueden ayudar.

La aviación comercial ofrece una ventana fascinante a la automatización. Los beneficios, así como los riesgos ocasionales, son obvios e impresionantes. Pero todo el mundo tiene su equivalente del piloto automático. El problema principal también se extiende a otros entornos: cuando la automatización mantiene a las personas completamente seguras casi todo el tiempo, también es más probable que tengan dificultades para tomar el control cuando falle.

Las organizaciones deben considerar por tanto los diferentes tipos de riesgo en juego. Una mayor automatización reduce la mayoría de veces el riesgo de errores humano. Así lo demuestra el excelente historial de seguridad de la aviación. Pero la automatización también conduce a la sutil merma de las habilidades cognitivas, una pérdida que solo aparece en situaciones extremas y atípicas. Pero dar marcha atrás a la automatización y, por ejemplo, abogar por más vuelos en manual sería un sinsentido: aumentaría de nuevo el riesgo de errores humanos. Más bien, lo que las organizaciones necesitan es ser conscientes de las vulnerabilidades que la automatización puede crear y pensar de manera más creativa sobre cómo solucionarlas.