CABINAS AVANZADAS DE VUELO

El cambio hacia las llamadas “glass cockpits” hacia mediados de los 80 ha producido un conjunto de cambios en la aviación importantes. Estos cambios son amplificados por dos hechos:

1. Conviven en el mercado aviones con cabinas tradicionales y otros con cabinas nuevas.
2. El diseño usual de la carrera profesional del piloto hace que, a lo largo de su vida profesional, pueda pasar varias veces de uno a otro modelo de cabina. El caso más característico se produce cuando un piloto acaba su trayectoria como segundo en un avión de aviónica avanzada para iniciarla como comandante en otro con aviónica tradicional.

A pesar de que el conjunto de la cabina es vista como un sistema más, tiene una gran trascendencia ya que implica que el modo de volar el avión es completamente distinto y, aunque en cómputo global puedan considerarse más favorables, introducen sus propias fuentes de errores.

Las “cabinas de cristal” no tienen tampoco unos criterios de diseño comunes más allá de la más elemental ergonomía y ello hace que sea difícil establecer conclusiones válidas para todos los modelos actualmente en uso.

Para utilizar ejemplos ampliamente conocidos, mientras Airbus ha diseñado un sistema de protección de envolvente de vuelo que podría denominarse “agresivo” en el sentido de permitir que el avión pueda contravenir una instrucción del piloto, Boeing ha diseñado un sistema más suave que entrega información pero deja la decisión final sobre su utilización al piloto. Por su parte, la extinta McDonnell Douglas en su modelo MD11 introdujo una aviónica muy avanzada pero, al mismo tiempo, muy criticada debido a que la integración entre sistemas había dejado numerosas lagunas que habían producido numerosos incidentes de distinta gravedad; el último conocido fue la exculpación –once años tardía- de un comandante japonés por un incidente en vuelo que, como se acabó sabiendo, fue debido a la aviónica del aparato.

Algunos organismos nacionales e internacionales como la propia CAA británica o la OACI están encendiendo luces de alarma sobre los efectos que están teniendo las cabinas avanzadas de vuelo, incluso las que parecen mostrar una integración correcta. Entre estos efectos, destacan los siguientes:

• Pérdida de capacidad manual de los pilotos: Los nuevos aviones son llevados a mano con carácter excepcional dedicándose los pilotos a manejar diales y a programar el FMS en lugar de volar el avión en la manera usual. De esta forma, el mantenimiento de la habilidad manual no se produce como consecuencia de la propia práctica profesional sino que es preciso un esfuerzo específico en esa dirección.
• Decisiones de aceptación por defecto: El diseño lógico de la aviónica no es conocido por los pilotos en la profundidad suficiente para cuestionar sus decisiones. En consecuencia, es frecuente que se den por buenas las decisiones tomadas por el sistema incluso en el caso de que no lo sean.
• Errores introducidos por el propio piloto en la programación: Los sistemas pueden ser suficientemente sólidos para resistir su propio fallo pero es mucho más difícil que estos sistemas sean capaces de superponerse a una instrucción errónea introducida por el piloto sin razón aparente o por la aparición del fenómeno de transferencia negativa. En un informe de la CAA figura un caso de una tripulación que introdujo un peso al despegue coherente pero 100 toneladas equivocado. Dicha tripulación estaba habituada a volar alternativamente el 340-300 y el 340-600 y la cifra introducida podía ser perfectamente válida para el 300 pero el avión que estaban volando en ese momento era el 340-600.
• Determinadas situaciones son más complejas en una cabina avanzada que en una tradicional, por ejemplo, un cambio de pista en servicio en el último momento.
• El piloto queda reducido en las cabinas más avanzadas a un papel de supervisión que, aparentemente, es poco necesaria lo que, junto con jornadas largas y nocturnas, puede dar lugar fácilmente a desatención y a una dependencia absoluta de la automatización.

Aunque, tanto por parte de los fabricantes como de los operadores, se han tratado de introducir variantes operativas destinadas a minimizar estos efectos, puede decirse que han tenido poco éxito en general y que los inconvenientes citados siguen estando presentes.

Sería necesario por parte de los reguladores internacionales la emisión de una normativa respecto del diseño de las cabinas de vuelo que permitiese atajar estos problemas de una forma mucho más eficaz que la actualmente utilizada.

Como ejemplo, prácticas como el “cross-crew rating” pueden verse seriamente afectadas por la transferencia negativa dado que las mismas tripulaciones pueden estar volando aviones con muy distintas características pero con una aviónica común y, en un momento de tensión, actuar conforme a su conocimiento del avión más conocido (no necesariamente el que están volando en ese momento). Claramente, esta práctica introduce una eficiencia en la utilización de las tripulaciones que la convierte en muy deseable para los operadores y quien la ofrezca podría disfrutar de una ventaja competitiva temporal puesto que arrastrará en la misma dirección al resto de los competidores. La limitación de esta práctica por parte de los reguladores impediría que el mercado pudiera deslizarse por una trayectoria de riesgo y no introduciría elementos distorsionadores ya que nadie, ni ahora ni en el futuro, podría basar su competencia en ese factor.

Debe, asimismo, exigirse que los aviones con cabinas avanzados dispongan de algún medio de detección de errores de usuario. Aunque, evidentemente, nunca podrán detectarse todos, la capacidad de almacenamiento creciente a un precio cada vez disminuido podría permitir introducir en los sistemas información contextual de forma que la actuación del avión no se limite a prácticas estandarizadas como petición de confirmación (que acaban siendo mecánicamente respondidas por el piloto y, por tanto, pierden toda efectividad). En el ejemplo citado –la confusión por la tripulación entre el 340-300 y el 340-600- la inclusión en la base de datos del avión de parámetros como su propio peso contando con una ocupación media y la distancia a recorrer permitiría tener un intervalo de valores razonables de forma que, si la cifra introducida está fuera de ese intervalo, el aviso sea mucho más válido que una mera petición de confirmación. Lo mismo puede decirse si se introducen frecuencias y cartografía y casos como el American Airlines 965 pueden ser detectados y avisados precozmente por el propio avión.

En otros términos, puesto que el piloto no muestra sus mejores capacidades en la supervisión, el sistema ha de tener su propia capacidad de supervisar al piloto de una forma más efectiva que la actual sin que eso signifique restringir aún más los grados de libertad.

En cuanto al mantenimiento de la capacidad de vuelo manual, es posible también realizar algunas modificaciones más allá del procedimiento o del entrenamiento. La inclusión de modos de vuelo intermedios entre el manual y el “vuelo por diales” y la utilización frecuente de estos modos intermedios –limitando o anulando opciones automáticas a las que pueda sustituir con ventaja- puede impedir también este efecto. El “modo intermedio” obedecería a la acción manual del piloto en una situación perfecta, compensando perturbaciones como rachas –incluso “windshear”- o viento cruzado evitando casos como el muy conocido de Lisboa o el muy reciente de Hamburgo.

Cuestiones como la utilización de instrumentos secundarios deberían, asimismo, ser objeto de estudio. Los instrumentos secundarios han de permitir volar el avión en IFR en ausencia de los instrumentos principales y el tamaño y la disposición de éstos lo hacen imposible en diversos modelos avanzados de avión.

En suma, es necesario establecer una norma clara sobre el diseño de cabinas de aviación avanzadas. No hacerlo llevará sin duda a una guerra entre fabricantes donde la funcionalidad inmediata primará siempre sobre los criterios de seguridad mientras que, si éstos se introducen en la norma para todos los fabricantes, se evitará este efecto sin que, al mismo tiempo, se produzca distorsión alguna de la competencia.

Acabo de leer un documento largo pero interesante de la NASA llamado «Computers take flight» y donde expone con detalle el nacimiento del fly-by-wire (FBW) y los pasos seguidos hasta llegar a la etapa actual.

Para los que estamos acostumbrados a volar aparatos de mando convencional, resulta un alivio comprobar que, a lo largo de todo el proceso, se han mantenido los pies en la tierra y se han establecido unos criterios de diseño muy exigentes.

Hay algunos elementos que, desde la perspectiva actual, resultan sorprendentes:

Por ejemplo, ver que los motivos por los que los ordenadores tardaron mucho tiempo en entrar en los aviones consistían en la escasa fiabilidad del hardware y en el peso y volumen que éstos añadían. Naturalmente, una vez que se llegó a un estadio de miniaturización y fiabilidad aceptables, este inconveniente desapareció.

Otro, no menos sorprendente, es el hecho de que aviones modernos estén dotados de procesadores antediluvianos. Por ejemplo, todo un Boeing-777 lleva el procesador 486 de Intel, es decir, ése que todos tiramos a la basura hace aproximadamente quince años. El motivo es sencillo: Cambiar de procesador implicaría cambio de software y todo un proceso de recertificación del avión. Por ello, se ven obligados a mantener stocks suficientes para toda la vida comercial del avión de unos procesadores que hace ya años dejaron de ser fabricados por Intel.

Aparte de estas pequeñas anécdotas, el documento de la NASA da bastante tranquilidad en cuanto a los criterios y al escaso aventurerismo de los diseñadores. Desde la perspectiva de los factores humanos, es necesario tener esto en cuenta o, en otros términos, en el ámbito de la ingeniería existen, como en todas partes, mentalidades cerriles pero no son éstas las que han prevalecido en el desarrollo tecnológico.

Flaco servicio haríamos desde el área de factores humanos si nos limitásemos a lanzar mensajes más o menos apocalípticos sobre la situación actual de las cosas pero, al mismo tiempo, partiendo del respeto y del intento de entender lo mejor posible qué se está haciendo en el área tecnológica, es importante que no dejemos de lanzar algunos avisos:

El primero es relativo al modelo mismo de evolución. El documento muestra cómo ha ido evolucionando la aviación y, en un primer momento, el problema de la estabilidad era sencillamente dejado en manos de la destreza del piloto que, necesariamente, tenía que ser un virtuoso. A medida que la actividad fue creciendo, se encontró que era necesario diseñar aparatos más estables y que no requiriesen tanta habilidad del piloto; lamentablemente, como todo el mundo sabe en aviación, la contrapartida de la estabilidad es la escasa maniobrabilidad y esto podía ser muy grave, por ejemplo, en el momento de diseñar aviones de caza que necesitaban una maniobrabilidad extrema.

En aviación comercial, el problema estaba más relacionado con los costes de diseño y explotación. Un avión, para ser estable, necesitaba grandes superficies aerodinámicas y sistemas complejos y pesados para su manejo; si se pudiera prescindir de todo ello y conseguir que el avión fuera fácil de manejar, es decir estable, y a la vez fácil de maniobrar, es decir inestable, sería un gran avance.

Naturalmente, eso pasa por la utilización de los ordenadores como elementos que, artificialmente, añadan estabilidad sin sacrificar maniobrabilidad pero, al mismo tiempo, deja la duda sobre qué ocurre si el sistema no está funcionando al 100% y sus prestaciones en estabilidad o maniobrabilidad quedan reducidas. Los diseños iniciales confiaban en la habilidad del piloto. ¿Están los actuales preparados para hacer uso de esa habilidad? ¿promueven su existencia o, mas bien, enfatizan la figura del piloto como «gestor del sistema»?

La otra parte que planteaba preguntas en el documento era su concepto del fallo. Es curioso como, por una parte, establecen que hay unos cambios de gran envergadura pero, por otra parte, están manejando las mismas categorías que antes de dichos cambios, en particular el concepto de fallo.

La utilización de software ha traído más de un quebradero de cabeza tanto a los diseñadores como a las autoridades certificadoras. En un primer momento, la FAA pretendió hacer completa abstracción del software limitándose a certificar la funcionalidad, como si fueran cosas separables, y sólo muy a regañadientes acabó emitiendo una norma, la DO178B, relativa a la calidad del proceso de construcción del software muy en la línea de las ISO-9000.

El principal problema con el software estriba en la dificultad para manejar el concepto de fallo como una variable dicotómica. Una disfunción en el software puede dar lugar a lo que podríamos denominar estados crepusculares, es decir, estados intermedios donde aparentemente el sistema está funcionando pero no lo está haciendo.

Otro problema no menos importante es que conceptos como resilience o fault-tolerance pueden referirse a la solidez interna del diseño pero los errores en la introducción de parámetros pueden tener graves consecuencias. El caso de American Airlines 965 (Cali) es un ejemplo claro pero no único. Un reciente paper de la CAA británica relataba cómo una tripulación habituada al A-340-300 y que estaba volando el A-340-600, que comparte la práctica totalidad del diseño pero mucho más pesado, introdujo inadvertidamente un error de 100 toneladas en el peso al despegue porque ese valor era coherente con el 340-300. Puede decirse que en un sistema eficiente los fallos son también eficientes y, por tanto, pueden producir graves consecuencias.

Rassmussen establecía la regla de que el operador ha de ser capaz de ejecutar cognitivamente el programa que está ejecutando la máquina. Es un principio deseable pero sumamente difícil de cumplir, especialmente si se está presionado por la eficiencia y no se desea realizar diseños subóptimos.

Si tenemos que renunciar a la regla de Rassmussen, debemos al menos asegurarnos de que existe, dentro de los criterios de aceptabilidad para el riesgo catastrófico, una alternativa inteligente para operar el sistema cuando se producen fallos que no se habían previsto en su diseño.