Análisis Ethiopian ET302, parte 1: Seis minutos terribles

Me tomé unos días para analizar el informe, y por tanto debo pedir disculpas por la demora. La verdad que no ha sido fácil de leer, no sólo por lo complejo y por la responsabilidad que conlleva analizar en profundidad los detalles para entender a fondo la cuestión, sino porque uno no deja de hacerse la idea de lo que se vivió en esos minutos a bordo. Es terrible.

El jueves 4 de abril, las autoridades Etíopes publicaron finalmente el Informe Preliminar del ET302. Un informe que contesta algunas preguntas, deja abiertas otras y que habla tanto desde lo que dice como desde ciertos silencios que hace. Tratemos de ir por partes y analizar los seis minutos que van desde el despegue hasta el impacto.

Lo que sabemos del avión

El Boeing 737 MAX 8 ET-AVJ había sido entregado a Ethiopian en noviembre de 2018.

Al momento del accidente, el avión tenía 1330 horas de vuelo en 382 ciclos, es decir, en 382 vuelos con despegue y aterrizaje. Había pasado por su primer check A1 (inspección visual) en Febrero de este año y no había reportado grandes eventos de mantenimiento. Aunque hay un asterisco.

Se ven en esta imagen eventos de lectura errónea de datos de altura y velocidad (Log Ref 23639, 23640 y 23645), y en un caso, se identifica el error específico en los instrumentos del Comandante. (23640). Las acciones de mantenimiento se realizaron correctamente y el avión no repitió esos eventos hasta el accidente.

Sin embargo, no podemos dejar de ver que estos eventos de mantenimiento están relacionados con la causa (probable hasta que el informe final lo determine) del accidente: intervención del MCAS por lectura errónea del ángulo de ataque (AoA) del sensor del Comandante.

Para tener como referencia (encararemos una revisión de las similitudes y diferencias de los dos accidentes en otro post), ésta es la bitácora de mantenimiento del JT610 de Lion Air:

Qué sabemos de la tripulación

El Comandante tenía 29 años al momento del accidente, y acumulaba en total:

-8122 horas de vuelo

-1417 en Boeing 737

-103 en 737 MAX

Tenía certificaciones para volar como FO en 737 (NG y MAX), 757, 767, 777 y 787. Como Pilot in Command, 737-800 y MAX. No presentaba condicionamientos médicos de ningún tipo.

Había completado el curso de diferencias de 737 MAX el 3 de Julio de 2018, día que obtuvo la certificación del tipo. Su último entrenamiento en simulador fue el 30 de Septiembre de 2018, y el 1ro de Octubre realizó su proficiency check de simulador.

El Primer Oficial tenía 25 años, y 361 horas totales de vuelo. 207 de ellas en 737, y 56 en MAX. El 12 de Diciembre de 2018 obtuvo su certificación para volar como Primer Oficial en 737 (NG y MAX). Ninguna restricción médica.

Línea de tiempo del accidente

Los tiempos están expresados en UTC-GMT.

• 05:37:34: El avión es autorizado a despegar por pista 07R. La altura del aeropuerto de Addis Ababa es de 2333msnm. La temperatura es de 17°.

• 05:38:00: El ET302 inicia su carrera de despegue, con la potencia de motores (N1) seteada en 94%. Se setean los flaps en 5°. De acuerdo a los datos que entrega la DFDR, el Comandante es quien realiza la maniobra de despegue.

• 05:38:44: El sensor de Angulo de Ataque (AoA) de Comandante y Primer Oficial muestran diferencias importantes. El AOA izquierdo (Cmdte) muestra un ángulo de 11,1° y después salta a 35,7°, mientras el sensor derecho muestra un AOA de 14.94°. Inmediatamente después, el AOA izquierdo alcanza 74,5° en 0,75 segundos mientras el derecho muestra 15.3°. El stick shaker (indicador de entrada en pérdida) de la columna de mando izquierda se activa, y seguirá sacudiéndose hasta que termine el vuelo.

Las lecturas de velocidad, altitud y actitud (posición de la nariz) de los sistemas del Comandante muestran desviaciones importantes con respecto a las que recibe el Primer Oficial. Van a mantenerse así casi hasta el final del vuelo.

-05:38:46: a 200 pies (60m) del suelo, suena la alarma Master Caution. Indica inicialmente falla de Anti-Hielo, y cuatro segundos después cambia a alarma de calefactor del sensor de AOA.

-05:38:58: El Comandante setea el Piloto Automático en modo VNAV (Vertical Navigation) y lo notifica diciendo «Command», que es la denominación estándar para la activación del Piloto Automático. Suena una alarma del PA. Dos segundos después, un nuevo intento de activar el PA (Comandante dice «Command») y un segundo más tarde el autopilot dispara una alarma de nuevo. La altura en ese momento es de 630 pies.

-05:39:22: El Comandante engancha el PA. Seis segundos después, el avión muestra pequeños cambios de rumbo, de timón, de alabeo y de aceleración lateral. Veinte segundos después, se ingresa la altura deseada en el modo Level Change del Director de Vuelo. La altitud seleccionada es 32000 pies. La velocidad se reduce a 238 nudos (440 km/h).

05:39:45: El Comandante solicita flaps arriba y el Primer Oficial mueve la palanca de posición 5 a 0.

05:39:50: El rumbo cambia de 072 a 197. El Comandante le pide al PO que mantenga «runway heading», en lo que es el primer indicio serio de un problema.

Interviene el MCAS

05:39:55: El piloto automático se desengancha. Dos segundos después, el Comandante reitera el pedido al Primer Oficial de mantener runway heading y dice que están teniendo problemas de control.

En este punto, los planetas se alinean para que el MCAS empiece a intervenir: Autopilot desenganchado, flaps retraídos, ángulo de ataque elevado. Cinco segundos después del PA disengage, empieza el final.

05:40:00: La grabadora de datos registra el primer comando del MCAS para bajar la nariz: durante 9 segundos, el estabilizador se mueve y la nariz del avión baja. Como estaba en plena trepada, apenas desciende. Tres segundos después, el GPWS (Ground Proximity Warning System) detecta que el avión no sube y avisa: «Don’t Sink».

La columna de mando se tira hacia atrás y el avión recupera actitud positiva. La nariz vuelve a apuntar hacia arriba.

05:40:12: El Comandante activa el mando eléctrico del estabilizador y lo lleva a 2.4 unidades de nariz arriba. La actitud del avión se mantiene igual, mientras la fuerza ejercida sobre la columna de mando crece.

05:40:20: Cinco segundos después del final del movimiento eléctrico del estabilizador que hace el Comandante, el MCAS se activa y vuelve a bajar la nariz. El avión vuelve a interrumpir el ascenso y queda con la nariz para abajo. Se repite el alerta del GPWS: «Don’t Sink».

05:40:27: El Comandante le pide al PO que mueva el estabilizador con él. Se observa que ambos comandos eléctricos del estabilizador se activan y el avión recupera la actitud de nariz arriba.

05:40:35: El Primer Oficial, que tiene sólo 56 horas en el tipo, recuerda el procedimiento que indica Boeing para tratar el trim runaway -que también servía para tratar una falla de MCAS, en los papeles- y sugiere al Comandante cortar los switches de Trim Automático. El Comandante está de acuerdo y el PO desactiva entonces el Stab Trim.

05:40:41: El MCAS vuelve a intervenir con un comando de descenso de nariz, pero al estar el switch cortado, no hay acción física sobre el estabilizador. Tres segundos después, el Comandante sigue intentando levantar la nariz y dice «Pull Up» tres veces.

05:40:42: El estabilizador se siguió moviendo para bajar la nariz, mientras se seguía aplicando fuerza hacia atrás sobre las columnas de mando. La velocidad sigue peligrosamente alta: 340 nudos (630km/h) era la lectura del Comandante; los sistemas del PO muestran casi 680km/h.

05:41:20: El sistema de alerta de exceso de velocidad (overspeed) empieza a sonar y se mantendrá activo hasta el final de la grabación. Doce segundos después, el overspeed clacker izquierdo hará lo mismo, y se activará intermitentemente hasta el impacto.

05:41:46: El Comandante le pregunta al PO si el estabilizador (eléctrico) está funcionando. El PO responde que no, y repregunta si puede probar manualmente. El Comandante le da el ok. Ocho segundos después, el PO indica que no funciona.

05:42:51: Vuelve a sonar la Master Caution, por Anti-Ice. Tres segundos después, los dos pilotos indican «Left Alpha Vane»: se dan cuenta que el sensor de AOA del lado izquierdo no es confiable.

05:43:04: El Comandante le pide al PO que tire con él de la palanca de mando para subir la nariz, y después dice «no es suficiente».

05:43:11: Se registran dos comandos de nariz arriba del estabilizador eléctrico.

05:43:15: El estabilizador se mueve hacia la posición de nariz arriba, pero no será suficiente. El trim eléctrico está nuevamente activado. El MCAS vuelve a entrar en escena, por última vez.

05:43:20: Cinco segundos después del último comando de trim eléctrico, el MCAS se activa y durante cinco segundos mueve el estabilizador hacia abajo. Los pilotos tiran de la palanca hacia atrás para subir la nariz. La nariz sigue bajando, hasta llegar a un ángulo de 40° hacia abajo. La velocidad indicada del Comandante es de 458 nudos (850km/h). En los sensores del Primer Oficial, llega a los 500 nudos, o 926km/h.

 

Con esto leído, podemos entrar a analizar pormenores, detalles y cuestiones que hacen a las grandes preguntas que todos nos estamos haciendo: Por qué pasó? Qué falló? Qué se pudo haber hecho?

Y sin minimizar las dos tragedias, tal vez la pregunta más importante mire hacia adelante. La pregunta más grande de este asunto parece ser, simplemente:

Y ahora?