A las dos y diez de la madrugada, hora universal, del 1 de junio de 2009, un Airbus A330 de Air France volaba de noche sobre el Atlántico ecuatorial, a 35.000 pies (unos 10.700 m), entre las nubes de una banda de tormentas que los pilotos vigilaban en el radar. El comandante se había ido a descansar ocho minutos antes y en los asientos de pilotaje quedaban dos copilotos. En unos pocos segundos, el hielo atascó las sondas que miden la velocidad, el piloto automático se desconectó y el avión dejó de proteger a sus pilotos como lo hacía siempre. Cuatro minutos y veintitrés segundos después, el vuelo AF447 de Río de Janeiro a París chocó contra el mar con 228 personas a bordo. Nadie pidió socorro.
Durante casi dos años, el AF447 fue un misterio: solo quedaban unos restos flotando, cincuenta cuerpos y veinticuatro mensajes automáticos de avería enviados por satélite. Cuando en mayo de 2011 se rescataron los registradores a casi 4.000 metros de profundidad, la explicación resultó más inquietante que cualquier hipótesis: el avión no tenía nada roto. Los motores funcionaban, los mandos obedecían y las sondas recuperaron la normalidad en menos de un minuto. Lo que falló fue la comprensión de lo que estaba pasando, en una cabina que encadenó sorpresa, confusión y una pérdida aerodinámica que nadie nombró durante tres minutos y medio.
En esta página reconstruimos el vuelo con el informe final de la BEA francesa y sus datos de vuelo: la ruta y la tormenta, cómo se mide la velocidad y qué pasa cuando las sondas se congelan, segundo a segundo cómo se perdieron altitud, velocidad y sustentación, y qué hacían los dos mandos laterales mientras el avión caía. También quiénes iban a bordo, qué cambió en la formación de los pilotos y por qué el caso sigue en los tribunales diecisiete años después.
| Air France 447, 1 de junio de 2009 — Ficha del accidente | |
|---|---|
| Fecha y hora: | Lunes 1 de junio de 2009, fin de los registros a las 02:14:28 UTC 04:14 en París (hora de verano) · 23:14 del domingo 31 de mayo en Río de Janeiro |
| Aeronave: | Airbus A330-203 · matrícula F-GZCP · n.º de serie 0660 · 2 motores General Electric CF6-80E1A3 |
| Primer vuelo y entrega: | Primer vuelo el 25/02/2005 Fuente divulgativa Entregado nuevo a Air France en abril de 2005 · certificado de aeronavegabilidad del 18/04/2005 |
| Horas y ciclos: | 18.870 horas de vuelo y 2.644 ciclos a 31 de mayo de 2009 |
| Aerolínea y vuelo: | Air France · vuelo regular AF 447 · indicativo AFR447 |
| Ruta: | Río de Janeiro-Galeão (GIG / SBGL) → París-Charles de Gaulle (CDG / LFPG) Despegue a las 22:29 UTC del 31 de mayo (19:29 en Río) · aerovía oceánica UN873, puntos INTOL – SALPU – ORARO – TASIL |
| Ocupantes: | 216 pasajeros (126 hombres, 82 mujeres, 7 niños y 1 bebé) + 12 tripulantes (3 pilotos y 9 auxiliares) = 228 |
| Víctimas: | 228 fallecidos · 0 supervivientes · 154 cuerpos recuperados: 50 en el mar en junio de 2009 y 104 del fondo en mayo y junio de 2011 |
| Lugar: | Océano Atlántico, aguas internacionales cerca del punto TASIL, en el límite entre las regiones oceánicas de Brasil (Atlántico) y Senegal (Dakar) · restos en 3°03′57″N 30°33′42″O, a 3.900 m de profundidad |
| Fase: | Crucero a nivel de vuelo 350 (35.000 ft, ≈10.700 m) a Mach 0,82 · de noche, dentro de nubes, con 205,5 t de peso |
| Investigación: | FRANCIABEA (Bureau d'Enquêtes et d'Analyses), con Brasil, EE. UU., Reino Unido, Alemania y Senegal Informe final publicado el 5 de julio de 2012 · 41 recomendaciones de seguridad |
Línea temporal
Condiciones: noche cerrada sobre el Atlántico ecuatorial · zona de convergencia intertropical con cumulonimbos agrupados sobre la ruta · capa nubosa con turbulencia ligera a 35.000 ft · aire más cálido de lo previsto · comunicaciones solo por radio de onda corta (HF), sin radar.
Factores clave: sondas de velocidad obstruidas por cristales de hielo · piloto automático desconectado y ley de control alternativa · subida sin velocidad fiable · aviso de pérdida no reconocido · comandante fuera de la cabina · mandos movidos a la vez por los dos copilotos.
El AF447 despega de Río-Galeão rumbo a París con 228 personas. La salida estaba prevista a las 22:00.
Air France avisa por ACARS de la convección de la zona intertropical entre los puntos SALPU y TASIL.
Última comunicación por radio, en HF con el control brasileño ATLÁNTICO. Poco después el controlador pide tres veces una hora estimada y no obtiene respuesta.
El comandante se va a descansar. Quedan los dos copilotos, sin instrucciones concretas para cruzar la tormenta.
Desvío de 12° a la izquierda para evitar ecos del radar. Reducen a Mach 0,80 y encienden el antihielo de los motores.
Las sondas se obstruyen. Se desconectan el piloto automático y el autoempuje; la ley de control pasa a alternativa. El PF: «tengo los mandos».
«Hemos perdido las velocidades». El PF tira del mando: el morro sube a 11° en diez segundos y el avión trepa.
Último informe automático de posición por ACARS: 2,98° N 30,59° O. La velocidad del lado izquierdo vuelve a ser correcta.
Aviso de pérdida continuo. El PF pone empuje máximo (TOGA) y sigue con el morro arriba, a unos 37.500 ft.
Altitud máxima, casi 38.000 ft. Las tres velocidades ya coinciden, pero el avión está en pérdida y empieza a caer.
Vuelve el comandante. Ángulo de ataque por encima de 40° y descenso de unos 10.000 ft/min. El aviso se calla tras 54 segundos.
La voz sintética avisa: «DUAL INPUT». Los dos copilotos mueven sus mandos a la vez.
Pasan por 10.000 ft. Hace dos minutos estaban a 35.000.
El PF cede el control: «adelante, tienes los mandos». Siguen en empuje máximo y a menos de 9.000 ft.
El sistema de proximidad al terreno avisa: «SINK RATE», «PULL UP».
Fin de los registros: el avión choca con el mar con el morro 16,2° arriba, cayendo a casi 10.900 ft/min.
Los centros de control de Madrid y Brest lanzan las primeras alertas de emergencia. La búsqueda llegará horas después.
Las marinas de Brasil y Francia encuentran los primeros cuerpos y restos flotando.
Un sonar autónomo localiza el avión en el fondo, a 3.900 m, cerca de la última posición conocida.
Se rescatan el registrador de datos (1 de mayo) y el de voz (2 y 3 de mayo). El 15 de mayo ya se han leído.
Horas del informe final de la BEA y de su tercer informe provisional (registradores). París = UTC+2 (horario de verano); Río = UTC−3, y allí todas las horas hasta el impacto son aún del domingo 31 de mayo. «T» es el final de los registros (02:14:28). PF: piloto a los mandos; PNF: piloto que asiste.
La cronología tiene una forma muy rara en un accidente: casi cuatro horas de vuelo tranquilo, un aviso de tormentas que la tripulación conocía desde la medianoche y, de repente, todo resuelto en cuatro minutos y veintitrés segundos. Lo decisivo cabe en el primer minuto. La anomalía de las sondas duró menos de lo que tarda en leerse esta página, pero en ese tiempo el avión pasó de volar estable a subir casi 3.000 pies perdiendo velocidad, y a las 02:10:51 ya rozaba la pérdida. Lo que sigue son tres minutos y medio de caída con el morro arriba y los motores a fondo, en una cabina donde nadie pronunció la palabra que lo explicaba todo. En tierra, la alarma no se dio hasta seis horas después, y la respuesta definitiva tardó casi dos años en salir del fondo del mar.
La tripulación
Un vuelo de once horas no se puede hacer con dos pilotos sin relevo, así que el AF447 llevaba una tripulación reforzada: un comandante y dos copilotos que se turnaban para descansar en una litera junto a la cabina. El comandante Marc Dubois, de 58 años, era un piloto de trayectoria poco habitual: empezó como auxiliar de vuelo en Air France, se hizo piloto por su cuenta, voló como profesional independiente y entró en Air Inter en 1988, que nueve años después se fusionó con Air France. Los copilotos tenían perfiles muy distintos. David Robert, de 37 años, era ingeniero de control aéreo de formación y desde 2008 trabajaba en el centro de operaciones de la compañía, de modo que volaba poco y ese viaje le servía para mantener su experiencia reciente. Pierre-Cédric Bonin, de 32 años, era el más joven y el de menos horas, y llevaba apenas medio año habilitado en el A330.
Hacia las dos, el comandante se fue a descansar en el turno que le correspondía, sin dejar una indicación clara de quién mandaba en su ausencia: según el informe, el relevo recayó de manera implícita en Bonin, que ocupaba el asiento derecho y era el piloto a los mandos, aunque Robert, sentado a la izquierda, tenía más del doble de experiencia y un cargo en la compañía. Ninguno de los dos había practicado en vuelo real el manejo manual a gran altitud ni el procedimiento de velocidad dudosa, y en el simulador solo habían visto pérdidas a baja altura.
El comandante ocupa el asiento izquierdo y Bonin el derecho; Robert descansa.
Marc Dubois
58 años · en Air Inter desde 1988, Air France desde 1997
Comandante en Air France desde 1998; en el A330 desde 2007.
David Robert
37 años · en Air France desde 1998
Su último aterrizaje en A330 antes de este viaje era del 9 de marzo de 2009.
Pierre-Cédric Bonin
32 años · en Air France desde 2003
Habilitado en A330 en diciembre de 2008. Su mujer, Isabelle, viajaba en el avión.
Nueve auxiliares
Nombres y edades no publicados en el informe
De los 12 tripulantes, 11 eran franceses y uno brasileño, según Air France.
Sin fotografías verificadas. Datos del informe final de la BEA (apartado 1.5), que no publica nombres; los nombres y edades de los pilotos, de la prensa de 2009 (AP). La prensa dio cifras de horas algo distintas (11.000, 6.600 y 3.300): usamos las del informe.
Análisis técnico
El avión, la ruta y la tormenta
El F-GZCP era uno de los aviones más modernos de la flota: un A330-200 entregado nuevo en abril de 2005, con cuatro años de servicio, dos motores General Electric y mantenimiento sin anomalías. Como todos los Airbus desde el A320, se pilotaba con un mando lateral, una palanca pequeña junto a la ventanilla que no mueve cables, sino que envía órdenes a unos ordenadores de control de vuelo. Es el mando eléctrico o fly-by-wire: los ordenadores interpretan lo que pide el piloto y, en condiciones normales, le impiden salir de los márgenes seguros. Esa red de protección será clave para entender lo que pasó.
La ruta de Río a París cruza el Atlántico ecuatorial por la aerovía UN873, lejos de cualquier radar. Desde la costa brasileña, el avión pasa a hablar con el control oceánico por radio de onda corta (HF), un sistema de largo alcance pero ruidoso y con cortes frecuentes. A medio camino está la zona de convergencia intertropical, la franja donde chocan los alisios de los dos hemisferios y el aire húmedo sube en columnas que forman cumulonimbos; las previsiones de esa noche les daban techos de hasta 45.000 pies, unos 13.700 metros. Se cruza cada noche, rodeando con el radar las celdas más fuertes. Aquella noche la BEA describe una situación normal para junio, con un grupo de cumulonimbos de unos 400 km de este a oeste justo sobre la ruta, identificable en las imágenes de satélite desde las 00:30.
Dentro de esas nubes, a 35.000 pies, hace unos −40 °C y, según la BEA, es muy poco probable que haya agua en estado líquido: casi todo es hielo en forma de cristales diminutos. Aquella noche, varios aviones que volaban por la misma zona antes y después modificaron su ruta para rodear las masas nubosas; el AF447 se desvió 12 grados a la izquierda a las 02:08, tras ver ecos en el radar. Además hacía más calor de lo previsto, y eso les impedía subir a 37.000 pies, como habrían preferido. En el mapa puedes ver la ruta, la zona de tormentas y el lugar donde se perdió todo contacto.
La ruta del AF447
De Río de Janeiro a la última posición conocida. Activa las capas y toca los puntos.
Simplificación con fines divulgativos. Posiciones: BEA, primer informe provisional (última posición ACARS) e informe final (restos, 3°03′57″N 30°33′42″O). La zona de convergencia y el grupo de cumulonimbos se dibujan de forma esquemática según la descripción del informe (apartado 1.7). Distancias calculadas por Despresurizados. Mapa base: Natural Earth.
Tres sondas, un mismo hielo
Un avión no tiene velocímetro de ruedas: mide la velocidad con el aire. La sonda Pitot es un tubito que apunta hacia delante y recoge la presión del aire que choca contra ella; otra toma, en el costado del fuselaje, mide la presión del aire quieto. La diferencia entre las dos crece con la velocidad, igual que notas más fuerza en la mano cuando la sacas por la ventanilla del coche en autopista que en ciudad. El A330 tiene tres sondas Pitot, una para el comandante, otra para el copiloto y una de reserva, y cada una alimenta a su propio ordenador de datos de aire (ADR). Los ordenadores comparan las tres velocidades y descartan la que se aparta; si las que quedan tampoco coinciden, ya no saben cuál creer.
Eso es lo que pasó a las 02:10:05. Los cristales de hielo entraron en las sondas más deprisa de lo que su calefacción podía fundirlos, y en pocos segundos la velocidad indicada a la izquierda cayó de unos 275 nudos a 60, una lectura imposible. Los ordenadores rechazaron los tres valores y aplicaron lo previsto en su diseño: desconectaron el piloto automático y el autoempuje y pasaron de la ley normal a la ley alternativa 2B. Dicho de forma sencilla, el avión seguía obedeciendo al mando lateral, pero ya no impedía al piloto subir el morro hasta la pérdida, no limitaba la inclinación lateral y dejaba de mostrar en la cinta de velocidad las marcas de velocidad mínima y máxima. Para avisar de una pérdida inminente quedaban la vibración del propio avión y una alarma sonora, «STALL, STALL», con su luz roja, que salta según el ángulo de ataque.
El fenómeno no era nuevo. Entre 2003 y 2008, Airbus había registrado 17 casos de obstrucción temporal de sondas en sus A330 y A340 de largo radio, nueve de ellos en 2008. Air France sufrió el primero en mayo de 2008. En abril de 2009, Airbus le trasladó un estudio de Thales según el cual el modelo de sonda C16195BA parecía comportarse bastante mejor que el C16195AA que llevaba el F-GZCP, y la compañía decidió cambiarlas en todos sus A330 y A340. El primer lote llegó el 26 de mayo y el primer avión se modificó el 30, dos días antes del accidente. La EASA había decidido en marzo de 2009 no hacerlo obligatorio. En los 13 incidentes anteriores que la BEA pudo analizar, ningún avión salió de su envolvente de vuelo: la altitud varió como mucho unos mil pies y la anomalía más larga duró tres minutos y veinte segundos. En el AF447, la velocidad también volvió pronto: la del lado izquierdo fue errónea durante 29 segundos y la del instrumento de reserva, 54. El simulador te deja comprobar qué ve el sistema cuando se congela cada sonda.
Simulador: cuando se congelan las sondas
Pulsa una sonda para obstruirla con hielo y mira cómo votan los ordenadores, qué ley de control queda y qué protecciones se pierden.
Las tres velocidades coinciden. El piloto automático vuela y las protecciones están activas.
| Qué hace el sistema | Ley normal | Alternativa 2B |
|---|---|---|
| Impide superar el ángulo de ataque de pérdida | Sí | No |
| Limita cabeceo e inclinación lateral | Sí | No |
| Limita el factor de carga (las «g») | Sí | Sí |
| Protección o estabilidad a alta velocidad | Sí | No |
| Mando de alabeo | Pide un ritmo de giro | Mueve alerones directamente |
| Marcas de velocidad mínima y máxima en pantalla | Sí | No (aviso SPD LIM) |
| Aviso sonoro «STALL» | La protección impide llegar a la pérdida | Sí, si alguna velocidad supera 60 kt |
| El mando «empuja» al perder velocidad | No | No |
AUTO FLT AP OFF · piloto automático desconectadoAUTO FLT REAC W/S DET FAULT · detección de cizalladura no disponibleF/CTL ALTN LAW · mandos en ley alternativaFLAG ON CAPT PFD SPD LIMIT · sin velocidades límite, pantalla izquierdaFLAG ON F/O PFD SPD LIMIT · ídem, pantalla derechaAUTO FLT A/THR OFF · autoempuje desconectadoNAV TCAS FAULT · anticolisión no disponibleFLAG ON CAPT PFD FD · desaparece el director de vuelo izquierdoFLAG ON F/O PFD FD · ídem, derechoF/CTL RUD TRV LIM FAULT · limitador del timón de direcciónMAINTENANCE STATUS EFCS 2MAINTENANCE STATUS EFCS 1PROBE-PITOT 1X2 / 2X3 / 1X3 · los ordenadores ven incoherencias entre las tres sondasFCPC2 / WRG:ADIRU1 BUS ADR1-2 TO FCPC2FLAG ON CAPT PFD FPV · vector de trayectoria no disponibleFLAG ON F/O PFD FPVNAV ADR DISAGREE · desacuerdo entre los datos de aireISIS SPEED OR MACH FUNCTION · instrumento de reservaADIRU2 · fallo de la unidad inercial y de datos de aire 2F/CTL PRIM 1 FAULTF/CTL SEC 1 FAULTMAINTENANCE STATUS ADR 2AFS FMGEC1 · intermitenteADVISORY CABIN VERTICAL SPEED · la cabina pierde altura demasiado deprisa. Último mensaje.Simulación simplificada con fines divulgativos: la lógica real de vigilancia de los ordenadores (PRIM) es más compleja. Horas ACARS de recepción en tierra. Fuentes: BEA, informe final (apartados 1.6.9 y 2.2.5) y primer informe provisional (apartado 1.16.2).
El primer minuto: subir sin velocidad
Cuando saltó la alarma de desconexión del piloto automático, el avión estaba estable, recto y nivelado. La filosofía de Airbus para una velocidad dudosa en crucero era, en esencia, no precipitarse: desconectar los automatismos, mantener la actitud y el empuje que dan vuelo nivelado según unas tablas, e identificar después qué sonda fallaba. Solo si la seguridad estaba comprometida había que aplicar de memoria unos valores fijos, 5 grados de morro arriba con empuje de subida. Lo que hizo el piloto a los mandos fue otra cosa. La turbulencia empezó a inclinar el avión a la derecha y Bonin respondió con movimientos amplios de alabeo, de tope a tope. Y tiró del mando hacia atrás: en diez segundos el morro pasó a 11 grados y el avión empezó a trepar hasta casi 7.000 pies por minuto.
A esa altitud, un avión de 205 toneladas apenas tiene margen para subir: lo hace cambiando velocidad por altura, como una bicicleta que encara una cuesta sin pedalear. El empuje, además, se había quedado reducido unos segundos antes, al pedir Mach 0,80. Robert leyó los avisos del ECAM, vio que subían y le pidió varias veces que bajara; Bonin redujo el morro, pero no lo bastante. A las 02:10:36 la velocidad de la izquierda volvió a ser correcta: 223 nudos, unos 50 menos que al principio. A las 02:10:51, con el avión a 37.500 pies, el ángulo de ataque llegó al umbral y la alarma «STALL, STALL» empezó a sonar de forma continua. Bonin puso empuje máximo y siguió con el morro arriba. Dos segundos después apareció la vibración típica de la pérdida, el buffet. Ninguno de los dos mencionó jamás la alarma ni la vibración.
¿Por qué subir? La BEA no puede saberlo con certeza, pero apunta varias pistas. Los pilotos de líneas aéreas aprendían que la vibración puede anunciar tanto una pérdida como un exceso de velocidad, y el ECAM, en este tipo de fallo, habla de no superar una velocidad máxima pero no menciona ninguna mínima. Los directores de vuelo, que habían desaparecido, volvieron a mostrarse a las 02:10:47 en un modo que pedía subir, de modo que las barras podían parecer una confirmación de lo que estaba haciendo. Además, la alarma de desviación de altitud saturaba la cabina. El gráfico muestra cómo cambiaron altitud, velocidad y ángulo de ataque segundo a segundo, con los valores registrados que publicó la BEA.
Altitud, velocidad y ángulo de ataque
De las 02:10:00 al final de los registros. Mueve el cursor o pasa el dedo por el gráfico: cada punto es un valor publicado por la BEA.
Valores del tercer informe provisional de la BEA (tabla de parámetros) y del informe final. Las líneas entre puntos son orientativas: unen valores publicados y no reproducen la curva continua del registrador. Velocidad del lado izquierdo; los huecos son periodos sin valor válido. Ángulo de ataque: el mayor valor válido. 1 ft = 0,3048 m; 1 kt = 1,852 km/h.
La caída: dos mandos y un aviso que se callaba
A las 02:11:10 el avión alcanzó casi 38.000 pies y empezó a caer. Ya no volaba: el ala, con un ángulo de ataque de más de 15 grados y subiendo, había perdido buena parte de su sustentación, y el avión bajaba por una trayectoria muy inclinada con el morro apuntando hacia arriba, a unos 10.000 pies por minuto. Desde dentro, de noche, se veía un horizonte artificial con el morro alto, motores a fondo y altímetros bajando: ningún dato, por separado, gritaba «pérdida». La salida era contraintuitiva: bajar el morro de forma decidida, aceptar perder miles de pies para recuperar velocidad y sustentación, y solo después nivelar. El ángulo de ataque, la pieza que lo explicaba todo, no se mostraba en ninguna pantalla.
A las 02:11:42 entró el comandante, después de que Robert le llamara varias veces. Encontró dos copilotos que decían haber perdido el control y una cabina llena de alarmas. Tampoco él identificó la pérdida. Además, por diseño, cuando la velocidad medida baja de 60 nudos, el sistema considera que el aire no fluye lo bastante para fiarse de los sensores de ángulo de ataque y deja de usarlos, de modo que el aviso de pérdida se calla. Con el avión cayendo a ángulos de ataque de 40 grados, eso ocurría a menudo. Cada vez que alguien bajaba un poco el morro, la velocidad volvía a ser válida y la alarma regresaba. El aviso funcionaba al revés de lo que habría ayudado.
Queda el detalle de los mandos. En un Airbus, los dos mandos laterales no están unidos: si uno empuja, el otro no se mueve, y el compañero no ve ni siente lo que hace su colega. Cuando los dos actúan a la vez, el sistema suma sus órdenes y la voz sintética avisa «DUAL INPUT»; para mandar solo, cada piloto tiene un botón de prioridad. A las 02:11:37, Robert dijo «mandos a la izquierda» y tomó la prioridad, pero Bonin la recuperó casi enseguida sin anunciarlo. Entre las 02:13:23 y las 02:13:47 la voz avisó de entradas simultáneas varias veces mientras ambos movían su mando en direcciones distintas, hasta que Bonin dijo «adelante, tienes los mandos». La cabina interactiva reproduce esos momentos.
Cabina: dos mandos, una sola orden
Elige un momento documentado o toca dentro de cada mando para moverlo tú. Arriba del recuadro es morro abajo; abajo, morro arriba (tirar hacia uno mismo).
Simulación simplificada con fines divulgativos: las posiciones son aproximadas a partir de las descripciones del tercer informe provisional de la BEA (tabla de parámetros) y del informe final. Sin botón de prioridad, el sistema suma las dos órdenes y las limita a lo que daría un solo mando a tope. Los mandos no se mueven solos ni se transmiten el movimiento entre sí.
Un avión sin averías que cayó tres minutos y medio en pérdida
Los ordenadores, los motores y los mandos funcionaron hasta el final: el avión hizo siempre lo que le pidieron sus pilotos. La única avería fue una incoherencia temporal de las velocidades, que en el lado izquierdo duró 29 segundos. Menos de un minuto después de la desconexión del piloto automático, el avión ya había salido de su envolvente de vuelo por órdenes inapropiadas.
La BEA concluye que la tripulación, cada vez más desestructurada, probablemente nunca entendió que se enfrentaba a una «simple» pérdida de las tres fuentes de velocidad, y que nunca comprendió que estaba en pérdida, pese a la alarma y a una vibración intensa. Y añade que la formación y el diseño de la alarma no garantizaban la reacción esperada.
Aeroperú 603 · octubre de 1996
- Las tomas estáticas, tapadas con cinta tras una limpieza, falsean velocidad y altitud.
- Avisos contradictorios: exceso de velocidad y pérdida a la vez.
- Los datos están mal durante todo el vuelo.
Air France 447 · junio de 2009
- El hielo obstruye las sondas Pitot y falsea la velocidad.
- Avisos que se encienden, se apagan y se pisan.
- Los datos vuelven a ser correctos en menos de un minuto, pero el avión ya está fuera de control.
Conceptos para entender el AF447
Pulsa cada tarjeta para desplegarla.
Un tubo que apunta hacia delante y mide la presión del aire que choca contra él. Comparada con la presión del aire en reposo, da la velocidad.
El F-GZCP llevaba sondas Thales C16195AA; Air France empezaba a sustituirlas por un modelo mejorado.
La zona donde se encuentran los vientos alisios de los dos hemisferios y el aire húmedo sube formando cumulonimbos. Arriba, a −40 °C, contienen enormes cantidades de cristales de hielo.
Un grupo de cumulonimbos de unos 400 km estaba sobre la ruta, visible por satélite desde las 00:30.
En un avión de mando eléctrico, los ordenadores traducen lo que pide el piloto. En ley normal no le dejan entrar en pérdida ni inclinar demasiado, como el control de estabilidad de un coche. Si fallan los datos, pasan a una ley con menos protecciones.
El AF447 pasó a alternativa 2B a las 02:10:05 y no volvió a ley normal en todo el vuelo.
El ángulo entre el ala y el aire que le llega, no entre el avión y el horizonte. Saca la mano por la ventanilla y gírala: con poco ángulo empuja hacia arriba; con demasiado, el aire se despega y la mano solo se frena.
En crucero era de unos 3°; durante la caída, de 35° a 44°, con el morro unos 15° arriba.
Arriba el aire es tan poco denso que el margen entre el ángulo de ataque de crucero y el que dispara el aviso de pérdida es pequeño. Subir sin más empuje es cambiar velocidad por altura, como encarar una cuesta en bici sin pedalear.
A Mach 0,8 el margen hasta el aviso era de unos 1,5°. Subieron casi 3.000 ft y perdieron unos 50 kt en medio minuto.
Una voz sintética, un sonido de grillo y una luz roja que saltan cuando el ángulo de ataque supera un umbral. Si todas las velocidades bajan de 60 kt, el sistema deja de fiarse de los sensores y lo apaga, para evitar falsas alarmas.
Sonó 54 s seguidos; después se calló y volvía cada vez que bajaban el morro.
Cada piloto tiene un pequeño mando junto a la ventanilla. No están unidos: el compañero no ve ni nota lo que hace el otro. Si los dos lo mueven, el sistema suma las órdenes y avisa «DUAL INPUT»; un botón da la prioridad a uno solo.
«DUAL INPUT» sonó desde las 02:13:23. Robert empujaba y Bonin tiraba.
Un suceso inesperado provoca una reacción emocional fuerte que reduce la capacidad de analizar, como cuando un frenazo repentino te deja en blanco. El simulador, con fallos anunciados, no lo entrena.
La BEA concluye que tuvo un papel principal en la pérdida de la trayectoria y del entendimiento.
La investigación
Como el avión estaba matriculado en Francia y cayó en aguas internacionales, la investigación correspondió a la BEA, la oficina francesa de investigación de accidentes, con representantes de Brasil, Estados Unidos, Reino Unido, Alemania y Senegal, y observadores de otros diez países con víctimas a bordo. Durante dos años trabajó casi a ciegas. Los dos primeros informes provisionales, de julio y diciembre de 2009, se apoyaban en los restos flotantes, en las autopsias y en los 24 mensajes ACARS, que apuntaban a una incoherencia de velocidades pero no explicaban por qué un avión en buen estado había caído al mar. Las balizas de los registradores emiten durante unos 30 días y nadie las oyó. Hubo que buscar con sonar sobre una dorsal submarina de relieve abrupto, en cuatro campañas sucesivas, hasta que el 2 de abril de 2011 un vehículo autónomo del Instituto Oceanográfico Woods Hole detectó los restos.
Con los registradores en la mano, la investigación cambió de naturaleza. La BEA publicó un primer resumen de los hechos en mayo de 2011 y un tercer informe provisional en julio, y creó un grupo específico de factores humanos. El informe final, de julio de 2012, no habla de un error aislado sino de una cadena: sondas obstruidas, órdenes inapropiadas, un procedimiento que no se aplicó, una pérdida que no se reconoció, y debajo, una formación que no preparaba para ello, una alarma que no convencía, unas cabinas que no mostraban el ángulo de ataque y un sistema de seguimiento de incidentes que no había sabido ver el riesgo.
De la superficie del Atlántico a los tribunales
Búsqueda, investigación técnica y proceso judicial, en orden.
Air France avisa de que no tiene noticias del vuelo. Desde la última comunicación hasta que despegó el primer avión de búsqueda pasaron más de nueve horas.
Las marinas de Brasil y Francia recuperan 50 cuerpos y unas 640 piezas, entre ellas la deriva de cola, el 7 de junio. El avión llegó entero al agua.
Las balizas no se oyen; el sonar rastrea 1.100 km² en 2009 y 6.300 km² en 2010, con fondos de hasta 4.600 m.
Describen los mensajes ACARS y las sondas, y piden balizas que emitan 90 días y más datos transmitidos en vuelo.
En la 18.ª misión de los vehículos autónomos, el sonar muestra un campo de restos de unos 600 por 200 m a 3.900 m de profundidad, a unas 6,5 millas de la última posición.
El de datos sale a la superficie el 1 de mayo y el de voz entre el 2 y el 3. Llegan a París el 12 y el 15 ya se han leído sus 1.300 parámetros y dos horas de audio.
Una nota con la secuencia de los hechos y el tercer informe provisional, con recomendaciones sobre formación y ángulo de ataque.
Tres años después del accidente. En total, 41 recomendaciones de seguridad dirigidas a autoridades de Francia, Europa, EE. UU., Brasil, Senegal y a la OACI.
El tribunal correccional de París absuelve a Airbus y Air France de homicidio involuntario. La fiscalía recurre.
El tribunal de apelación de París condena a las dos empresas a la multa máxima, 225.000 euros cada una. Ambas han anunciado recurso de casación: la condena aún no es firme.
El accidente resultó de esta sucesión de hechos:
- una incoherencia temporal de las velocidades medidas, probablemente por la obstrucción de las sondas Pitot con cristales de hielo, que desconectó el piloto automático y llevó a la ley alternativa;
- órdenes de pilotaje inapropiadas que desestabilizaron la trayectoria;
- que la tripulación no relacionara la pérdida de velocidades con el procedimiento adecuado;
- la identificación tardía de la desviación por parte del PNF y la corrección insuficiente del PF;
- que no se identificara la aproximación a la pérdida, sin reacción inmediata y con salida de la envolvente de vuelo;
- que no se diagnosticara la pérdida y, por tanto, no se hiciera nada que permitiera salir de ella.
Factores, uno a uno
Filtra por tipo. Todos proceden del apartado 3 del informe final.
MeteorologíaSistemas
Sistemas
Humanos
HumanosFormación
Humanos
Formación
FormaciónDiseño
Diseño
Organización
Organización
Deficiencias del sistema
Problemas de fondo que no causaron el accidente, pero que la BEA consideró graves.
Sin plan de coordinación de búsqueda entre Brasil y Senegal: más de 9 horas hasta el primer avión de búsqueda.
Control oceánico por radio HF, con cortes frecuentes; con la conexión de datos ADS-C, la pérdida de altitud habría alertado al controlador de Dakar.
Criterios de certificación frente al hielo que no representaban lo que se encuentra a gran altitud.
Registradores difíciles de localizar en el mar y que no graban lo que se ve en el lado derecho de la cabina.
Las víctimas
A bordo iban 216 pasajeros y 12 tripulantes de 33 nacionalidades, una mezcla que dice mucho de una ruta como Río–París: franceses que volvían a casa, brasileños que viajaban por trabajo o por placer, alemanes, chinos, italianos y suizos que enlazaban en París hacia medio mundo. Entre los pasajeros había 126 hombres, 82 mujeres, siete niños y un bebé. La prensa de aquellos días contó quiénes eran algunos: Pedro Luiz de Orléans-Braganza, de 26 años, descendiente del último emperador de Brasil; el director de orquesta y compositor brasileño Silvio Barbato; Luiz Roberto Anastácio, presidente de Michelin para Sudamérica; el activista argentino contra el tráfico de armas Pablo Dreyfus, o la arpista turca Fatma Ceren Necipoğlu, que volvía de un festival en Río. Había también dos pasajeros españoles. En el aeropuerto Charles de Gaulle, Air France montó un centro de crisis para los familiares que esperaban a los viajeros, y en los días siguientes la compañía contactó con cerca de 2.000 allegados.
La búsqueda duró casi dos años. En junio de 2009, las marinas de Brasil y Francia recuperaron 50 cuerpos en el mar, a más de 900 km de la costa. El resto quedó en el fondo. En mayo y junio de 2011, tras encontrar los restos, se subieron 104 cuerpos más desde 3.900 metros de profundidad, una decisión que dividió a las familias, entre quienes querían recuperar a los suyos y quienes preferían dejar que el océano fuera su tumba. Llegaron al puerto de Bayona el 16 de junio y se identificaron en París mediante ADN. En total se recuperaron 154 personas, de las que 153 estaban identificadas a finales de 2011; las otras 74 nunca se encontraron.
Las 228 personas a bordo
Nacionalidades según Air France (1 de junio de 2009). Pasa el cursor, toca o selecciona cada barra.
Quiénes viajaban
126 hombres, 82 mujeres, siete niños y un bebé. Muchos enlazaban en París hacia otros países.
La tripulación
Los 12 tripulantes murieron con su pasaje: 11 franceses y una persona brasileña, según Air France.
Memoria
El 1 de junio de 2010, un año después, cerca de un millar de familiares se reunieron en el cementerio del Père-Lachaise de París para descubrir un monumento con 228 pájaros grabados, uno por cada persona a bordo; en Río de Janeiro se levantó otro igual, frente al mar y orientado hacia la ruta de París. Las bases de granito negro llevan los nombres de todos.
Las familias, agrupadas en la asociación Entraide et Solidarité AF447, han seguido el caso durante diecisiete años, hasta los dos juicios; su presidenta calificó de histórica la condena de 2026.
228 pájaros sobre el vidrio. Setenta y cuatro de ellos siguen en el Atlántico.
Lecciones y legado
Lo primero que cambió fue lo más fácil: las sondas. En pocos meses, toda la flota de A330 y A340 con sondas Thales tuvo que montar sondas Goodrich. Pero el AF447 dejó claro que el hielo había sido solo el detonante. Lo que de verdad cuestionó fue una idea muy asentada en la aviación moderna: que, ante un fallo previsto en el diseño, la tripulación siempre sabrá controlar la trayectoria y luego encontrar el procedimiento correcto. La BEA lo llamó un «fallo de modo común» del modelo de seguridad: si la sorpresa impide lo primero, también impide lo segundo.
Por eso las lecciones más profundas están en la formación. Hasta entonces, la pérdida se practicaba a baja altitud, en ejercicios anunciados de antemano, con el foco en las protecciones de la ley normal. Desde la década de 2010, las autoridades de Europa y Estados Unidos exigen entrenamiento específico para prevenir y recuperar situaciones anormales de actitud y pérdidas, también a gran altitud y con el elemento sorpresa. La consigna, repetida en todas las escuelas, es sencilla: ante una pérdida, primero se baja el morro para reducir el ángulo de ataque, aunque se pierda altura. Junto a eso, el caso alimentó debates que siguen abiertos: si los aviones deberían mostrar el ángulo de ataque a los pilotos, si las cabinas deberían grabarse en vídeo o cómo se reparte la autoridad cuando el comandante descansa. Y abrió otro sobre algo tan básico como saber dónde está un avión sobre el océano.
Sondas nuevas en toda la flota
Air France había cambiado todas sus sondas Thales antiguas el 11 de junio de 2009. El 31 de agosto, la EASA ordenó retirar las C16195AA y montar al menos dos sondas Goodrich en cada A330 y A340 con Thales, en cuatro meses; la FAA hizo lo mismo desde el 9 de septiembre.
BEA, tercer informe provisional, cap. 5 · EASA AD 2009-0195 · FAA, Federal Register (3/09/2009)
Pérdidas a gran altitud, en el simulador
La BEA pidió ejercicios regulares de manejo manual, aproximación a la pérdida y recuperación, también en crucero. La FAA lo hizo obligatorio en su norma de noviembre de 2013 (plazo hasta marzo de 2019) y la EASA, con su decisión 2015/012/R sobre prevención y recuperación de actitudes anormales.
BEA, recomendaciones de 2011 y 2012 · FAA, 14 CFR 121.423 · EASA ED Decision 2015/012/R
Entrenar la sorpresa
Air France añadió en el verano de 2009 una sesión de simulador sobre velocidad dudosa, con vuelo a gran altitud en ley alternativa y aproximación a la pérdida. La BEA pidió además formación para lo inesperado.
BEA, tercer informe provisional, cap. 5 · informe final, rec. FRAN-2012-042
Quién manda cuando el comandante descansa
Desde marzo de 2010, en Air France el comandante designa expresamente a su relevo, que se sienta a la izquierda y actúa como piloto que asiste. La BEA pidió criterios comunes a la EASA.
BEA, tercer informe provisional, cap. 4 y 5
Ver el ángulo de ataque
La BEA recomendó en 2011 a la EASA y la FAA estudiar si los pilotos deben tener un indicador de ángulo de ataque a la vista. En 2019 seguía sin ser obligatorio, por desacuerdo sobre su utilidad.
BEA, tercer informe provisional y final, apartado 4.2.2 · Euronews (1/06/2019)
Saber dónde está un avión
La BEA pidió balizas de 90 días, transmisión automática de datos en emergencia y control por enlace de datos en lugar de radio HF. El seguimiento obligatorio cada 15 minutos sobre zonas remotas no llegó hasta 2018, tras la desaparición del MH370.
BEA, recomendaciones de 2009 a 2012 · Euronews (1/06/2019)
«El AF447 no cayó porque se rompiera el avión, sino porque durante cuatro minutos nadie entendió lo que el avión estaba diciendo. Desde entonces, la aviación entrena para lo inesperado: cuando todo falla, primero baja el morro.»
— Despresurizados · Episodio 12La BEA publicó en julio de 2012 su informe final sobre el accidente del Airbus A330-203 F-GZCP: las sondas obstruidas por hielo, la pérdida de control, la actuación de la tripulación y 41 recomendaciones. Incluye los datos de los registradores y la transcripción de la cabina.
Fuentes y referencias
Vuelo AF447 de Air France (2009)
Un avión moderno, sin averías graves, cae durante tres minutos y medio sobre el Atlántico con el morro arriba y los motores a fondo. Te contamos qué vio y qué no vio aquella tripulación, y por qué cambió la forma de entrenar a los pilotos de todo el mundo.
