"Tengo una idea mejor": qué ocurrió en el vuelo 8501 de Indonesia AirAsia de 2014

Nuestra historia de hoy tiene lugar el 28 de diciembre de 2014. Es domingo por la mañana. Aún no ha despuntado el día en el Aeropuerto Internacional Juanda, en la ciudad indonesia de Surabaya, y el vuelo 8501 de Indonesia AirAsia ya se encuentra en plataforma, preparándose para partir rumbo a Singapur. Se trata de un vuelo regular de poco más de dos horas sobre el mar de Java, una ruta corta pero muy transitada en esta época del año.

El aparato, de matrícula PK-AXC, es un Airbus A320-216 de 2008. Cuenta, pues, con algo más de seis años de antigüedad. Acumula 23.039 horas de vuelo distribuidas en 13.610 ciclos y está propulsado por dos motores CFM56-5B6, uno de los modelos más habituales de la familia A320. Al mando de la aeronave se encuentra el comandante Iriyanto, de 53 años, un expiloto militar con más de 20.500 horas de experiencia, 4.687 de ellas en el Airbus A320.

A su derecha se sienta el primer oficial Rémi Emmanuel Plesel, ciudadano francés de 46 años, con más de 2.200 horas totales de vuelo, de las cuales aproximadamente 1.300 corresponden a este tipo de avión. Será él quien lleve los controles en este salto (Pilot Flying), mientras el comandante asumirá el rol de supervisión (Pilot Monitoring). Ambos cuentan con sus respectivas licencias y certificados médicos en regla y han superado satisfactoriamente sus últimos chequeos de competencia apenas un mes antes, en noviembre.

En las últimas 24 horas solo han volado 45 minutos, por lo que se encuentran descansados y dentro de los márgenes reglamentarios de actividad. Completan la tripulación cuatro auxiliares de vuelo: tres mujeres y un hombre, todos indonesios. El pasaje está compuesto mayoritariamente por ciudadanos del país, aunque hay también algunos de otras nacionalidades, incluidos un británico, una coreana y un ciudadano de Malasia; en total 155 pasajeros y un técnico de mantenimiento, por lo que el total de personas a bordo asciende a 162.

05:31 hora local (22:30 del 27 de diciembre hora UTC)

Tras completar con normalidad los procedimientos de embarque de pasajeros, pushback y puesta en marcha, el vuelo 8501 rueda ya hacia la cabecera de la pista asignada para su despegue. Minutos más tarde, a las 05:35 horas, despega de la pista 10 en dirección este para poco después virar a la izquierda, interceptando el radial 329 que atraviesa el mar de Java en sentido noroeste. La altitud de crucero autorizada es FL320 (32.000 pies, unos 9.750 metros).

05:57 hora local

Faltan tres minutos para las 6 de la mañana. La tripulación informa por megafonía de la presencia de turbulencias y pide a los pasajeros que mantengan abrochado el cinturón. Al mismo tiempo, conectan los sistemas de protección contra engelamiento (anti-ice), ya que el radar meteorológico muestra una intensa célula convectiva en su ruta.

A altas velocidades, una deflexión excesiva del timón podría generar esfuerzos críticos en el fuselaje del aparato

Todo transcurre con normalidad hasta que, instantes después, a las 06:00, aparece una primera alerta en la pantalla del sistema ECAM: AUTO FLT RUD TRV LIM 1. Poco después, se muestra una segunda advertencia más genérica: AUTO FLT RUD TRV LIM SYS. Se trata de una anomalía en el sistema limitador de recorrido del timón de dirección (Rudder Travel Limiter), que ajusta automáticamente el ángulo máximo de deflexión del mismo en función de la velocidad del avión.

Este mecanismo forma parte de las denominadas Flight Envelope Protections (protecciones del dominio de vuelo) características de los aviones de Airbus, cuyo objetivo es mantener la aeronave dentro de parámetros seguros y evitar maniobras que puedan comprometer su integridad estructural. A altas velocidades, una deflexión excesiva del timón podría generar esfuerzos críticos en el fuselaje, por lo que el sistema restringe su recorrido según la fase del vuelo. El fallo implica que esta protección no estaría funcionando correctamente. El comandante, que ya ha visto este tipo de fallos en tierra en vuelos anteriores, ejecuta la acción indicada por el ECAM: desconectar y reconectar los ordenadores de aumento de estabilidad (FAC 1 y FAC 2). La alerta desaparece. El vuelo prosigue.

06:04 hora local

Cinco minutos más tarde, a las 06:04, los pilotos solicitan una desviación de 15 nm (millas náuticas) a la izquierda para evitar la zona de actividad convectiva. El controlador de tráfico aéreo (ATC) autoriza el cambio. La aeronave vira ligeramente a rumbo 310°. La tripulación repasa la ruta alternativa: en caso necesario, el aeropuerto de Semarang servirá si las condiciones meteorológicas impiden llegar a Singapur.

06:09 hora local

A las 06:09, vuelve a producirse la misma anomalía en el sistema de control del timón. Es la segunda vez en menos de diez minutos. Se repite el procedimiento. De nuevo se restablece el funcionamiento.

06:11 hora local

A las 06:11, el vuelo entra en el espacio aéreo gestionado por el centro de control de Yakarta. El primer oficial informa que se están desviando de la aerovía por razones meteorológicas y solicita ascender de FL320 a FL380 para superar la tormenta. La petición no puede autorizarse de inmediato debido al tráfico en ese nivel, pero a las 06:13 el controlador ofrece como alternativa el nivel FL340. La tripulación acepta. En ese momento, vuelve a producirse el mismo fallo técnico: tercer aviso de AUTO FLT RUD TRV LIM SYS. Como en las ocasiones anteriores, el comandante ejecuta el procedimiento. Todo parece controlado por el momento. Nadie puede siquiera imaginar que algo espantoso está a punto de ocurrir.

TE PUEDE INTERESAR

Caída en bandada: el día en que una nube de estorninos derribó el vuelo 375 de Eastern Air Lines

Pedro Carvalho

06:15 hora local

A las 06:15, aparece por cuarta vez la misma alerta. La situación empieza a volverse irritantemente repetitiva y desconcertante.

• Copiloto: ¿ECAM actions de nuevo?
• Comandante: Esta vez no, tengo una idea mejor

Esta vez, el comandante decide no seguir el procedimiento recomendado por Airbus. Recuerda que, en una ocasión anterior, un técnico en tierra resolvió el problema reseteando los disyuntores (circuit breakers) de los FAC. Esta acción no figura entre los procedimientos recomendados por el fabricante. A pesar de ello, el comandante decide probarlo. Primero corta la alimentación del FAC 1. Luego hace lo mismo con el FAC 2.

06:16 hora local

Son las 06:16. ATC reitera la autorización de ascenso a FL340. Pero ya no obtiene respuesta. La situación a bordo del vuelo 8501 es de absoluto caos.Al cortar ambos FAC, el avión pierde automatismos clave: el piloto automático se desconecta. También el auto-thrust. El sistema de control de vuelo abandona la configuración normal Normal Law) y pasa a Alternate Law, una configuración degradada con protecciones reducidas. El timón de dirección se desplaza de forma inesperada 2° a la izquierda. El avión comienza a escorarse.

TE PUEDE INTERESAR

Frenar en el vacío: la historia del vuelo 670 que se precipitó por un acantilado en Noruega

Pedro Carvalho

La inclinación lateral llega hasta los 54°. Nueve segundos después, el primer oficial actúa sobre el side stick derecho y reduce el ángulo de alabeo, pero lo hace con fuerza. La corrección es excesiva y provoca un efecto de desequilibrio sensorial. Posiblemente desorientado, el primer oficial sobrecorrige. El avión vuelve a escorarse a la izquierda y, al mismo tiempo, inicia un ascenso brusco. La actitud de morro arriba alcanza los 24 grados. La tasa de ascenso se dispara: 11.000 pies por minuto. La velocidad empieza a caer. A las 06:17:17, suena la alarma de pérdida. No volverá a apagarse.

El comandante ordena bajar el morro: “Get down... Get down!”. Pero el primer oficial mantiene el side stick en una posición de máximo retroceso, lo que refuerza el ascenso. El ángulo de ataque supera ya los 40 grados. El avión alcanza su altitud máxima: 38.500 pies, una altitud a la que, con ese ángulo de ataque, ya no hay sustentación. La aeronave entra en pérdida aerodinámica completa y empieza a caer. Desciende primero a 29.000 pies en actitud nivelada, pero sin control. A partir de ahí, continúa cayendo en una trayectoria inestable, con una velocidad vertical que llega a superar los 20.000 pies por minuto. En este momento, no hay nada ya que los pilotos puedan hacer. A las 06:20 horas, tras una caída incontrolada de más de tres minutos, el vuelo 8501 se estrella en las aguas del mar de Java con una fuerza equiparable a un impacto contra un muro de hormigón. Ninguno de sus 162 ocupantes tiene la más mínima posibilidad de sobrevivir.

Qué ocurrió

La investigación oficial, llevada a cabo por el Komite Nasional Keselamatan Transportasi (KNKT), organismo que investiga los accidentes aéreos en Indonesia, reveló que el accidente del vuelo 8501 fue consecuencia de una concatenación de fallos técnicos y decisiones inadecuadas de la tripulación, agravados por deficiencias en el mantenimiento y una comprensión insuficiente del sistema por parte del comandante. Vamos a analizar todos esos puntos, uno por uno.

Edesencadenante de la tragedia fue un fallo repetitivo en algo llamado rudder travel limiter unit (o RTLU por sus siglas en inglés). Se trata de un sistema que tiene una función crucial en los aviones de Airbus: ajustar automáticamente el ángulo máximo de deflexión del timón de dirección en función de la velocidad. A velocidades bajas, permite movimientos amplios —útiles para maniobrar en despegue o aterrizaje—, pero cuando se vuela a gran velocidad (por ejemplo durante la fase de crucero), reduce ese margen para evitar que una acción brusca del piloto —como pisar con fuerza un pedal del timón— pueda dañar la estructura del avión.

En el caso del vuelo 8501, el RTLU presentaba una grieta en una soldadura interna que afectaba simultáneamente a sus dos canales eléctricos (A y B). Esa doble interrupción en la continuidad del circuito hacía que el fallo se produjera en ambas rutas redundantes al mismo tiempo, generando alertas simultáneas en el sistema de control de vuelo. Este problema técnico ya se había manifestado en vuelos anteriores, pero no fue resuelto adecuadamente por el departamento de mantenimiento. Aun así, el avión había sido declarado apto para volar. La razón era muy concreta: según el MEL (manual de equipo mínimo), el fallo del RTLU en sí mismo no constituía un fallo crítico capaz, por sí solo, de provocar un accidente. El propio informe oficial estableció que no se trataba de un sistema crítico y que el hecho de que fallara no debía impedir que el vuelo continuara con normalidad, siempre que la tripulación recordara no realizar entradas bruscas al timón.

Entonces, ¿qué pasó?

La pérdida intermitente de continuidad eléctrica en el sistema provocaba una serie de alertas. Durante el trayecto, una misma anomalía se presentó en cuatro ocasiones. En las tres primeras, la tripulación siguió el procedimiento estándar del sistema de alertas ECAM (Electronic Centralized Aircraft Monitoring), restableciendo temporalmente el funcionamiento del sistema. Sin embargo, tras el cuarto fallo, el comandante optó por aplicar un procedimiento no autorizado: desconectar manualmente los disyuntores (circuit breakers, CB) de los dos ordenadores FAC (Flight Augmentation Computers).

Durante el descenso incontrolado, el avión alcanzó una velocidad vertical de hasta 20.000 pies por minuto

Estos ordenadores se encargan del control del timón, el yaw damper y el rudder travel limiter. El comandante quiso imitar así una acción que había visto realizar en tierra a un técnico de mantenimiento. Lo que desconocía era que, al hacerlo en vuelo, generaría una interrupción eléctrica simultánea en ambos sistemas, dejando sin alimentación los dos FAC y, por tanto, eliminando varias funciones de estabilidad y control. Además, tras reconectar los disyuntores, no reactivó manualmente los interruptores de los FAC en el panel superior, por lo que ambos ordenadores permanecieron inactivos. Lo que en tierra no representaba ningún riesgo se convirtió, en pleno vuelo, en un evento potencialmente catastrófico.

El Quick Reference Handbook (QRH) de Airbus incluía una advertencia explícita: "No resetear más de un ordenador al mismo tiempo, salvo indicación expresa". Sin embargo, añadía a continuación la frase "como regla general", lo que generaba ambigüedad sobre si podían hacerse excepciones a criterio de la tripulación. Según el KNKT, esa redacción pudo llevar al comandante a interpretar que podía actuar por su cuenta, siempre que creyera conocer las consecuencias de la acción. En la práctica, no las comprendía por completo.

TE PUEDE INTERESAR

¿Puede el viento derribar un avión de pasajeros? La tragedia del vuelo 759 de Pan Am

Pedro Carvalho

La desconexión simultánea de los dos FAC supuso la pérdida de múltiples protecciones de vuelo: se desactivaron el piloto automático y el sistema de empuje automático (autothrust), y el avión pasó de Normal Law (modo con protecciones completas) a Alternate Law (modo degradado con protecciones limitadas), una transición que alteró profundamente el comportamiento de la aeronave. Entre otros efectos, el timón de dirección quedó desviado a la izquierda, lo que indujo un alabeo progresivo de hasta 54°.

El avión inició entonces un comportamiento errático. Nueve segundos después de la desconexión del piloto automático, el primer oficial trató de reducir el ángulo de alabeo a la derecha, accionando el side stick de su lado (el derecho). Sin embargo, la corrección resultó demasiado brusca. Según la investigación oficial, este movimiento repentino podría haber generado en él una falsa sensación de giro excesivo hacia ese lado y, en un intento de corregir, empujó el side stick hacia el otro lado (izquierda). Esos movimientos desencadenaron una nueva oscilación lateral. Y con las protecciones desactivadas, el resultado fue un control errático del eje de alabeo.

El A320 colisionó con el mar en una actitud prácticamente plana, pero con una energía cinética devastadora

A esta inestabilidad se sumó un factor crítico: durante toda esta secuencia, el primer oficial (pilot flying) aplicó inputs de morro arriba casi continuos, lo que llevó a la aeronave a alcanzar una altitud de 38.500 pies con un régimen de ascenso de hasta 11.000 pies por minuto, un valor extremadamente elevado para un Airbus A320. El ángulo de ataque aumentó de forma sostenida hasta alcanzar los 48°, muy por encima del umbral de pérdida aerodinámica. A las 06:17:17 se activó la alarma de stall, que se mantuvo hasta el impacto.

Pese a las órdenes verbales del comandante, el primer oficial mantuvo su side stick todo el tiempo en posición de morro arriba (pitch up), lo que impidió la recuperación. Airbus no disponía entonces de un sistema de interbloqueo o prioridad automática entre los dos side sticks, por lo que las entradas opuestas de ambos pilotos se sumaron sin anularse entre sí. El comandante tampoco pulsó el botón de prioridad de control, que habría desconectado el mando del primer oficial y le habría permitido recuperar el control total de la aeronave.

El vuelo 8501 terminó en tragedia por una serie de omisiones preventivas, decisiones erróneas y fallos sistémicos

En esta situación, el A320 permaneció en pérdida durante más de tres minutos, sin que la tripulación lograra identificar dicha condición ni ejecutar una maniobra efectiva de recuperación. Durante el descenso incontrolado, el avión alcanzó una velocidad vertical de hasta 20.000 pies por minuto. A pesar de recuperar una actitud más estable (con alas niveladas y cabeceo neutral) hacia los 29.000 pies, el elevado ángulo de ataque (AOA) persistió y la velocidad se mantuvo muy por debajo de los valores de vuelo sostenido. Finalmente, el A320 colisionó con el mar en una actitud prácticamente plana, pero con una energía cinética devastadora.

Llegados a este punto, una pregunta que nos podríamos hacer es por qué lo pilotos no se dieron cuenta de que el avión ya no volaba con todas sus protecciones activas. Y la respuesta no es técnica, sino profundamente humana. Según el informe oficial, el capitán «no se dio cuenta de que el restablecimiento de los disyuntores de ambos FACs secuencialmente los desconectaría a los dos al mismo tiempo» y, por lo tanto, «no estaba totalmente preparado para la cascada de advertencias» que asaltó sus sentidos.

Tanto el sistema ECAM como la pantalla principal (Primary Flight Display o PFD) informaron de diversas formas a los pilotos que estaban en Alternate Law y habían perdido las protecciones: no solo mostraron el mensaje "F/CTL ALTN LAW (PROT LOST)" (Ley Alterna de Control de Vuelo [Protección Perdida]), a su vez, el PFD (Primary Flight Display) también lo indicaba: cuando un Airbus vuela en Alternate Law, las barras verdes de limitación de actitud son reemplazadas por unas cruces de color ámbar.

TE PUEDE INTERESAR

Confusión, fallos técnicos y un controlador inexperto: el vuelo 311 de Thai Airways que se estrelló en el Himalaya

Pedro Carvalho

Sin embargo, el shock, la sobrecarga de advertencias, la desorientación espacial y la urgencia de contrarrestar el alabeo de la aeronave impidieron que la tripulación procesara esta información crítica y reaccionara de manera coherente. Además, los pilotos no habían recibido entrenamiento en recuperación de actitud de vuelo inusual (upset recovery training) que pudiera haberles ayudado a manejar esta emergencia sin las protecciones normales. La documentación de la aerolínea indicaba que la efectividad de la arquitectura fly-by-wire y las leyes de control «eliminaban la necesidad de que se entrenaran maniobras de recuperación de actitud inusual en aeronaves Airbus protegidas». Esta peligrosa filosofía contribuyó a que la tripulación no pudiera manejar la emergencia una vez que se retiraron las protecciones.

El informe identificó, además, varios factores contribuyentes. En primer lugar, el historial de fallos recurrentes del sistema RTLU no fue tratado con el nivel de análisis y resolución adecuado por parte del departamento de mantenimiento, que había detectado anomalías similares en días previos, pero no adoptó medidas correctivas eficaces. En segundo lugar, se puso de manifiesto una laguna formativa: el comandante no comprendía plenamente las consecuencias operacionales de interrumpir el suministro eléctrico a ambos FAC en vuelo, y la documentación técnica de Airbus no describía con claridad este escenario. Por último, la respuesta de la tripulación al cambio de ley de control fue ineficaz, sin reconocimiento del stall ni coordinación efectiva de los inputs entre ambos pilotos. Como vemos, el vuelo 8501 terminó en tragedia no solo por un fallo técnico puntual, sino por una serie de omisiones preventivas, decisiones erróneas y fallos sistémicos que permitieron que una anomalía gestionable evolucionase hacia un colapso total del control de vuelo.

Y a partir de entonces...

Los accidentes aéreos no ocurren en vano. Con cada siniestro, la industria aprende valiosas lecciones que contribuyen a hacer a la aviación cada día más segura. Tras la catástrofe del vuelo 8501, el Komite Nasional Keselamatan Transportasi (KNKT) emitió una serie de recomendaciones dirigidas tanto a la aerolínea como a Airbus, a la autoridad de aviación civil de Indonesia y a organismos internacionales. El objetivo era corregir las deficiencias detectadas en mantenimiento, formación de tripulaciones y diseño de procedimientos.

El informe recomendó a Airbus revisar cómo se presentan ciertos mensajes en pantalla cuando se repiten en secuencia

El informe reveló que el problema técnico del sistema limitador del timón (RTLU) se había manifestado en múltiples vuelos previos, sin que se aplicaran medidas correctivas eficaces. En varios casos, los técnicos de mantenimiento simplemente reiniciaron el sistema sin investigar a fondo la causa raíz. Como respuesta, se recomendó establecer criterios más rigurosos para el tratamiento de fallos repetitivos, mejorar la trazabilidad de los informes técnicos en el sistema de mantenimiento y asegurar que cualquier anomalía que reaparezca más de dos veces fuera investigada en profundidad, incluso si el MEL no exigía dejar el avión en tierra.

Uno de los factores clave del accidente fue la desconexión simultánea de ambos FAC (Flight Augmentation Computers), lo que desencadenó el paso a un modo de control degradado (Alternate Law). Esta acción no está contemplada en los procedimientos operacionales normales y la investigación identificó una laguna formativa crítica: los pilotos no comprendían del todo el funcionamiento del sistema, ni las consecuencias de cortar la alimentación a ambos ordenadores.

El desencadenante fue un defecto menor, una fisura en una soldadura en un circuito redundante

Como resultado, se recomendó reforzar el entrenamiento en modos de control de vuelo alternativos (Alternate y Direct Law), especialmente en lo relativo a sus implicaciones operativas, incluir en la formación ejemplos reales de incidentes relacionados con desconexión de sistemas automáticos, para fomentar una comprensión sistémica, no solo procedimental y subrayar en la instrucción que las operaciones con circuit breakers (disyuntores) están expresamente restringidas a personal de mantenimiento cualificado.

La tripulación actuó en todo momento guiándose por las indicaciones del ECAM (Electronic Centralized Aircraft Monitoring), sin cuestionar si la recurrencia del fallo requería una evaluación más profunda. El informe recomendó a Airbus revisar cómo se presentan ciertos mensajes en pantalla cuando se repiten en secuencia, y considerar la implementación de alertas acumulativas o escaladas que indiquen fallos persistentes, no solo puntuales.

TE PUEDE INTERESAR

El accidente del vuelo 062 de Sriwijaya Air: decisiones críticas y un aterrizaje imposible

Pedro Carvalho

Además, se sugirió aclarar en los manuales de operación que no deben aplicarse soluciones improvisadas basadas en experiencias de mantenimiento, salvo indicación expresa del fabricante, así como mejorar la documentación sobre la relación entre sistemas aparentemente independientes pero conectados (como el RTLU y los FAC). Finalmente, se llamó la atención sobre una supervisión laxa por parte de la Dirección General de Aviación Civil de Indonesia (DGCA), que no detectó la reiteración de fallos en la flota ni revisó adecuadamente la respuesta de la aerolínea, por lo que se recomendó reforzar los sistemas de auditoría de mantenimiento y seguimiento de eventos repetitivos, así como implementar una vigilancia más proactiva en la recopilación y análisis de datos operativos.

El accidente del vuelo 8501 de Indonesia AirAsia no fue consecuencia de un fallo estructural ni de una avería masiva. No se rompió un ala, no explotó un motor, ni se incendió ningún sistema vital. El desencadenante fue un defecto menor, una fisura en una soldadura en un circuito redundante que, por sí sola, jamás habría causado una tragedia. Lo que convirtió aquel fallo en un desastre fue la forma en que se gestionó.