La tragedia del vuelo QZ 8501

15 Seguridad accidente_Maquetación 1 23/2/16 20:17 Página 15
NOTICIAS DE SEGURIDAD
Análisis de la pérdida de control de un A-320 a
32000 pies en el Mar de Java
El 28 de diciembre de 2014 un A-320 operado por la compañía de bajo coste Air
Asia se estrella en el Mar de Java tras caer sin control durante 3 minutos y 51
segundos desde 32000 pies. 162 personas perdieron la vida. En el siguiente
artículo analizaremos el informe publicado por la KNKT indonesia y lo
relacionaremos con otros accidentes catalogados como LOC-I (Loss of control
In-Flight). El artículo incluye expresiones muy técnicas, ya que está orientado
principalmente a pilotos que estén familiarizados con la terminología de aviones
Airbus.
porque previamente había volado ese
avión y antes de la puesta en marcha
había tenido el mismo problema. En
tierra los mecánicos lo resolvían
mediante un reset de los circuits breakers. De acuerdo a registros de mantenimiento, el avión había tenido 9 avisos de este tipo en el mes de diciembre. Este corte de corriente en vuelo
ocasionó lo siguiente:
- El avión pasó a ley alternativa (protecciones reducidas), sin piloto automático ni ATHR; y lo más importante,
debido a este corte de corriente eléctrica el rudder se deflectó 2º, ocasionando que el avión virase 54º de alabeo a la izquierda.
- El avión perdió el control, debido a la
incapacidad tanto del comandante
como del copiloto de controlar la
aeronave en esa situación.
De acuerdo a la sinopsis del informe,
el accidente se desarrolló de la
siguiente forma:
Debido a un fallo repetitivo del AUTO
FLT RUD TRV LIM SYS en vuelo, el
comandante actuó a parte sobre las
Desarrollo del vuelo en crucero y
tratamiento de los avisos ECAM
El vuelo QZ 8501 (A-320-216 PK-AXC)
despegó a las 05:35 LT (22:35 UTC del
27 de diciembre). El vuelo estaba establecido a 32000 pies. El comandante
La tragedia del vuelo
QZ 8501
Francisco Cruz. Colegiado Nº 413
pastillas de reinicialización del ordenador que ordenaba el procedimiento
ECAM (FAC, Flight Augmentation
Computer) sobre el suministro de
corriente eléctrica (circuits breakers) de
ambos ordenadores. Esto lo realizó
ENERO-FEBRERO-MARZO 2016 AVIADOR
15
15 Seguridad accidente_Maquetación 1 23/2/16 20:17 Página 16
NOTICIAS DE SEGURIDAD
Overhead panel y breakers.
Ubicación del FAC 2 CB, detrá del asiento del copiloto.
Es preciso tener en cuenta una recomendación de
seguridad emitida tanto por la BEA como por la NTSB,
fundamental para evitar los accidentes debidos a
pérdidas de control en vuelo: La instalación de un
indicador de ángulo de ataque en aviones de
transporte.
16
AVIADOR ENERO-FEBRERO-MARZO 2016
era el PM y el copiloto PF. La secuencia de los hechos desde el nivel de
crucero es la siguiente (todas las
horas son UTC):
- 22:49, el vuelo alcanza la altitud de
crucero de 32000 pies.
- 22:57, El PF pide ENG A-ICE y se
enciende la luz de cinturones debido a
condiciones meteorológicas, posibilidad de turbulencia. De acuerdo al
informe, la meteorología no fue un
factor en el accidente.
- 23:00, el ECAM anuncia el aviso
AUTO FLT RUD TRV LIM 1, el PF solicita ECAM action.
- 23:01, el ECAM da el aviso AUTO FLT
RUD TRV LIM SYS, el PM (cte) realiza
las acciones ECAM consistentes en
realizar un reset a los FAC del overhead panel de uno en uno. Ambos
Rudder Travel Limiter Units vuelven a
funcionar normalmente.
- 23:04, el PM requiere al controlador
un desvío de 15 NM para evitar mal
tiempo. El ATC aprueba el desvío y la
aeronave vuela en rumbo 310.
- 23:09, se registra el segundo fallo de
AUTO FLT RUD TRV LIM SYS, realizando las acciones ECAM y volviendo
a funcionar normalmente.
- 23:12, el piloto requiere nivel FL 380 y
el ATC le dice STBY.
- 23:14:41, suena el tercer aviso AUTO
FLT RUD TRV LIM SYS y los pilotos
vuelven a realizar las acciones ECAM
funcionando el sistema normalmente.
- 23:15.36, suena el cuarto aviso AUTO
FLT RUD TRV LIM SYS.
- 23:16, el ATC les autoriza a subir a
FL340 pero no hay respuesta del piloto.
El controlador intenta llamar al vuelo
varias veces pero no hay respuesta.
- 23:16:27, suena el quinto aviso
Master Caution esta vez por el aviso
FAC 1 FAULT ocasionado por la desconexión del circuit breaker que el cte
sacó. En resumen, el comandante tras
ver que el problema no se resuelve reinicializando el ordenador (desconectando y volviendo a pulsar el pushbutton FAC del overhead panel) decide
cortarle el suministro de corriente a
través del circuit breaker. Aunque vuelve a meter el circuit breaker al FAC 1
doce segundos después de que los
15 Seguridad accidente_Maquetación 1 23/2/16 20:17 Página 17
NOTICIAS DE SEGURIDAD
desconectase, el FAC 1 no vuelve a
funcionar, ya que no se le hace un
reset (volver a pulsar la pastilla) tal
como indica el ECAM.
- 23:16:44, el comandante intenta lo
mismo con el ordenador FAC 2, es
decir, quitarle la corriente a través del
circuit braker que tiene en el panel trasero, para lo que es necesario levantarse del asiento. Con este ordenador
ocurre lo mismo; aunque a las
23:16:54 se le devuelva la corriente
eléctrica, el ordenador FAC 2 permanece inoperativo debido a que es
necesario hacerle una reinicialización.
- 23:16:44, aparece el aviso AUTO FLT
FAC 1+2 FAULT que origina un alabeo
de roll a la izquierda de 54º por deflexión de 2º del rudder. La desconexión
de los FACs, aunque se recupera la
corriente eléctrica de los dos ordenadores, hace que queden inoperativos al no
hacerles un reset, tal como indica el
ECAM.
Secuencia de la pérdida de control en
vuelo
Debido a la deflexión del rudder, el
avión alabeó 6º por segundo alcanzando 54º de alabeo a la izquierda, el
copiloto que iba volando en ese
momento tardó 9 segundos en reaccionar a este alabeo inesperado. El PF
probablemente no estaría fijándose en
el PFD y sí en el ECAM o mirando las
acciones del cte sobre el panel de circuits breakers que estaba a su espalda. Las acciones del PF (cop) y PM
(cte) se pueden ver en las figuras.
Respecto a estas figuras, cabe destacar lo siguiente:
1. Al igual que en muchos accidentes
por pérdida de control, el factor sorpresa jugó un papel esencial en este caso
por parte del segundo piloto cuando se
dio cuenta de la posición inusual del
avión. Cuando el copiloto tomó el control, con el avión girando a 54º a la
izquierda, este redujo el roll en 9º a la
derecha. Este rápido movimiento a la
derecha pudo causar en el copiloto una
sensación de excesivo input de alabeo a
la derecha que le provocara una desorientación espacial haciendo virar el
avión a la izquierda hasta 50º.
Trayectoria de vuelo basada en los datos del FOR superpuestas por Google Earth.
2. El input inicial que hace el copiloto
hace que el pitch suba 9º morro arriba
en 3 segundos. El FD estaba disponible. La fraseología utilizada por el
comandante (indonesio) al decir "pull
down...pull down" a la hora de recuperar la pérdida pudo confundir al copiloto de nacionalidad francesa, ya que
este hizo inputs de morro arriba en
lugar de morro abajo en el sidestick
para recuperar la pérdida.
3. Es curiosa una de las figuras en las
que se ve que el comandante hace
inputs completamente de morro abajo
y el copiloto inputs de morro arriba;
sin embargo, no suena el aviso de
DUAL INPUT al estar sonando el
aviso de pérdida y tener prioridad
este. En ningún momento se aplicó el
procedimiento de toma de control por
parte de los pilotos, consistente en
pulsar durante al menos 40" el botón
rojo de prioridad del sidestick. El CVR
no registró ninguna orden de toma de
control del avión por parte del comandante. Al sumarse los dos inputs del
comandante y del copiloto (uno pitch
down y otro pitch up) la trayectoria del
avión no se alteró por inputs de los
pilotos.
4. El aviso de pérdida se activó a las
23:17:22, se paró durante un segundo
y continuó sonando hasta el final de la
grabación.
5. A las 23:17:41 el avión alcanza la
máxima altitud de 38500 pies y un roll
de 104º a la izquierda.
6. A aproximadamente 29000 pies,
el avión estaba con planos nivelados
(roll 0º), un pitch de 0º y con una
velocidad indicada que variaba entre
100 y 160 nudos. Sin embargo, y esto
es importante, el ángulo de ataque
permanecía constante a 40º up con
el aviso de pérdida sonando hasta el
final de la grabación. El A-320 perdió
altitud a un régimen medio de 12000
pies/min. Este hecho lo remarca la
conclusión 34 del informe, textualmente dice lo siguiente: "The pilots
were trained and had experienced of
recover from the approaching stall. The
Es curioso que el A-330/A-340 tenga un
procedimiento en el QRH respecto a deflexiones
inadvertidas del rudder trim (RUDDER TRIM
RUNAWAY) y el A-320 no.
ENERO-FEBRERO-MARZO 2016 AVIADOR
17
15 Seguridad accidente_Maquetación 1 23/2/16 20:17 Página 18
NOTICIAS DE SEGURIDAD
tenía 2247 horas de vuelo totales y
1367 en A-320.
Aircraft rolled 54º to the left.
The first aural stall warning activated.
condition of stall at zero pitch had
never been trained as the training for
stall was always with a high pitch attitude". El comandante, de 53 años,
con 20.537 horas de vuelo había vola-
do durante 10 años en la fuerza
aérea indonesia aviones de combate
(F5) y de transporte; tenía 4687
horas en A-320, y también había volado el B-737. El copiloto, de 46 años,
Este es el segundo accidente que tiene la familia
Airbus 320/330 en fase de crucero. A pesar de los
magníficos resultados en cuanto a estadísticas de
accidentes, algunos sistemas del avión siguen
mostrando lagunas en cuanto a ergonomía.
18
AVIADOR ENERO-FEBRERO-MARZO 2016
Antecedentes de accidentes e
incidentes
Accidentes debidos a pérdida de control por deflexión de rudder son tristemente conocidos. En los años 90 el B737 sufrió dos accidentes y un incidente grave debido a deflexión inadvertida
del rudder que ocasionó un alabeo
inducido en los tres casos.
En relación con el accidente, es destacable el siguiente suceso. El 24 de
agosto de 2010 un A-321 tuvo un incidente por una deflexión del rudder
trim debido a un problema de corte de
corriente eléctrica. El informe de la
AAIB británica (Bulletin 10/2011) dice
textualmente:
“The aircraft suffered an electrical malfunction during a scheduled night flight
between Khartoum (Sudan) and Beirut
(Lebanon). The more significant
symptoms included the intermittent failure of the captain and co-pilot's electronic displays and the uncommanded
application of left rudder trim, which
was not annunciated to the flight crew.”
Tras este incidente la AAIB hizo la
siguiente recomendación de seguridad:
“Safety Recommendation 2010-092
It is recommended that Airbus alert all
operators of A320-series aircraft of the
possibility that an electrical power generation system fault may not be clearly
annunciated on the ECAM, and may
lead to uncommanded rudder trim operation”.
Sin embargo, esta recomendación de
seguridad sólo se implementó a un
procedimiento, QRH DISPLAY UNIT
FAILURE. Concretamente el procedimiento dice que si se tienen interrupciones intermitentes en el suministro
de energía eléctrica, esto puede ocasionar un desplazamiento del rudder
trim.
Es curioso en este sentido que el A330/A-340 tenga un procedimiento en
el QRH respecto a deflexiones inadvertidas del rudder trim (RUDDER
TRIM RUNAWAY) y el A-320 no. En
concreto el procedimiento QRH del A-
15 Seguridad accidente_Maquetación 1 23/2/16 20:17 Página 19
NOTICIAS DE SEGURIDAD
330/A-340 dice lo siguiente en relación
a como es percibido esta anormalidad
por el piloto: "This failure will be seen
mainly as uncommanded roll (induced
by yaw).
Pero el accidente del que todos nos
acordamos debido a su similitud con
este, es el del A-330 de Air France en
junio de 2009. Las similitudes son
obvias:
1. El avión pierde el control en crucero
al pasar a ley alternativa, en este caso
por obstrucción con cristales de hielo.
2. Los pilotos no ven el input que uno
hace en el sidestick del otro debido al
diseño del sistema, a pesar del aviso
DUAL INPUT, este no suena si se activa el aviso de STALL.
3. Los pilotos no perciben la entrada
en pérdida. En el accidente de Air
France la llegan a confundir con una
sobrevelocidad.
4. En ambos accidentes los pilotos
hacen un input de morro arriba. En el
del QZ8501 lo hacen a pesar de que
hay ya un procedimiento de recuperación de pérdida en el QRH que se
estableció tras el accidente del A-330.
5. Hay un aspecto que se analiza en el
accidente del Air France y no en el de
Air Asia, y es que en ley alternativa (la
más severa de las dos que tiene) el
avión pierde la estabilidad estática
longitudinal.
Entrenamiento de la tripulación
El informe es muy crítico con el entrenamiento que recibió la tripulación.
Concretamente, la conclusión 37 del
informe dice lo siguiente: "The FCTM
stated that the effectiveness of fly-by-wire
architecture and the existence of control
laws eliminate the need for upset recovery manoeuvres to be trained on protected Airbus." El manual de entrenamiento de la organización en el capítulo 8.11 describía el upset recovery,
sin embargo este entrenamiento no se
había implementado en el A-320. La
conclusión 32 del informe es clara:
"The flight crew had not received the
operator upset recovery training on
Airbus A 320 as it was not required
according to the Airbus FCTM". Sin
embargo, en la documentación que se
The aircraft altitude at the highest pitch angle.
da a los instructores sobre el curso del
A-320, Airbus sí contempla el entrenamiento en vuelo manual a alta altitud,
tal como viene en el apéndice del
informe.
Los porqués y cómos del accidente
Tal como dice el documento 9859 de
OACI sobre Sistemas de Gestión de
Seguridad, poco aprenderíamos de un
accidente si no nos hiciéramos las
siguientes preguntas.
1. ¿Por qué el comandante actuó sobre
el circuit breaker en vuelo?
Tal como dice el informe, el comandante en un vuelo anterior tuvo el
mismo problema y en tierra los mecá-
nicos lo resolvieron haciendo un reset
a los Cb´s. Probablemente al ver esto
y tras numerosos avisos continuos, el
comandante decidiese hacer el procedimiento de los mecánicos. A esto hay
que añadir, según el informe, la ambigüedad del QRH, que respecto al reset
de breakers dice textualmente: " In
flight, as a general rule, the crew must
restrict computer resets to those listed
in the table. Before taking any action
on other computers, the flight crew
must consider and fully understand
the consequences." El informe considera respecto a esto lo siguiente:
"This statement was potentially ambiguous to the readers and might be
ENERO-FEBRERO-MARZO 2016 AVIADOR
19
15 Seguridad accidente_Maquetación 1 23/2/16 20:17 Página 20
NOTICIAS DE SEGURIDAD
open for multiple interpretations"
(Conclusión 30 del informe final).
2. ¿Cómo se trataba la avería repetitiva del Rudder Travel Limiter por
parte de la organización de mantenimiento?
El informe es muy crítico con la resolución de averías que tenía estableci-
Aircraft in upset situation.
Altitude recovered.
20
AVIADOR ENERO-FEBRERO-MARZO 2016
do el operador. Los datos mostraban
que tras lo fallos de la RTLU estos se
solucionaban haciendo un reset al
FAC o al cb sin realizar un diagnóstico adecuado de la avería. Los mecánicos sólo utilizaban para la resolución de averías el Technical Log Book
(Maintenance Report) y no los Post
Flight Report del avión que realiza
automáticamente.
La documentación de mantenimiento
de Airbus es clara. El uso del Post
Flight Report junto con el TSM (Trouble
Shooting Manual) hubieran identificado
la causa del fallo y hubiera conducido a
reemplazar la unidad RTLU que fallaba
intermitentemente. La organización de
mantenimiento atribuyó el fallo de la
RTLU a un FAC, que por cierto cambió
en los días previos al accidente. Este
cambió no influyó en la unidad RTLU
que seguía fallando.
Recomendaciones de seguridad
emitidas tras el accidente
Ante de mencionar las recomendaciones de seguridad, es preciso tener en
cuenta una recomendación de seguridad emitida tanto por la BEA como
por la NTSB, fundamental para evitar
los accidentes debidos a pérdidas de
control en vuelo: La instalación de un
indicador de ángulo de ataque en
aviones de transporte.
Las dos recomendaciones para Airbus
a raíz del accidente son las siguientes:
"1. The KNKT recommends that Airbus
to consider in developing a means for
flight crews to effectively manage multiple and repetitive Master Caution
alarms to reduce distraction.
2. The KNKT recommends that Airbus
to consider and review the FCTM concerning the Standard Call-Outs in all phases of flight."
Conclusiones
Este es el segundo accidente que tiene
la familia Airbus 320/330 en fase de
crucero. A pesar de los magníficos
resultados en cuanto a estadísticas de
accidentes, algunos sistemas del
avión siguen mostrando lagunas en
cuanto a ergonomía. No sólo Airbus,
también Boeing tiene sus problemas
en este asunto en determinados sistemas, por ejemplo algunos modos del
Autothrottle (accidente B 777 San
Francisco y B 737 en Amsterdam).
Quizás uno de los defectos que tienen
muchos aviones en cuanto a diseño
ergonómico es la SPEED TAPE del
PFD. Este factor se ha mostrado en
15 Seguridad accidente_Maquetación 1 23/2/16 20:17 Página 21
NOTICIAS DE SEGURIDAD
algunos accidentes debidos a pérdidas
de control en vuelo, tal como dice
Don Bateman (inventor del
GPWS/EGPWS) en un artículo de la
revista de la Flight Safety Foundation:
“I believe that the EFIS airspeed tape, or
scale, used on most transport aircraft
should be reversed.
The scale typically has a red-striped box
bordering the speeds at which flap and
aircraft overspeed occur. As airspeed
increases and the trend arrow points into
the overspeed-warning box — both
upward movements on the scale — the
pilot's natural reaction is to push forward on the control column, inadvertently increasing airspeed further.
There have been accidents and incidents
in which a flap overspeed alert coupled
with spatial disorientation likely contributed to a critical distraction at a critical
time, leading to LOC”.
Lo cierto es que la tripulación del
QZ8501 tuvo que enfrentarse a los
siguientes fallos latentes:
1. No contaban con un entrenamiento
adecuado.
2. La organización de mantenimiento
no trataba de manera adecuada los
fallos repetitivos.
3. Los procedimientos que había para
la resolución de la avería de acuerdo
al informe eran ambiguos (QRH reset
de ordenadores).
4. El avión no tenía procedimientos
para tratar alabeos inducidos debido a
cortes de corriente eléctrica. Por ejemplo, el A 330 y A 340 sí contaban con
uno.
5. A pesar de contar con un procedimiento de recuperación de pérdida,
este fue inútil debido al diseño del sistema de toma de control (poco intuitivo en situaciones de alto estrés).
6. No hay call outs establecidos del
fabricante a nivel de crucero. Este
hecho, junto con que la tripulación era
de diferente nacionalidad desde el
punto de vista de CRM fue clave en el
accidente, ya que no hubo una comunicación y coordinación claras.
Tanto el accidente de Air France
(A330) como este de Air Asia (A 320)
se han llevado la vida de 390 personas
en la fase de vuelo, que de acuerdo a
estadísticas es la más segura de
todas, hasta ahora... <
Bibliografía:
- Aircraft Accident Investigation
Report. KNKT Air Asia Airbus A 320216 PK-AXC 28 December 2014
- AAIB Bulletin 10/2011
- Don Bateman AeroSafety World
Flight Safety Foundation. Simple tools
to prevent loc.
PARTE DE INCIDENCIAS PROFESIONALES (PIP)
Es anónimo y confidencial
Está disponible en la web del COPAC y en cualquier dispositivo móvil
Es necesario para conocer cualquier problema, incidencia o actuación irregular en el sector
Es la herramienta para exigir soluciones y mejorar nuestra profesión
ENERO-FEBRERO-MARZO 2016 AVIADOR
21