La importancia de los milímetros: la historia del vuelo 32 de Qantas
(medium.com/@admiralcloudberg)- El 4 de noviembre de 2010, el vuelo 32 de Qantas, un Airbus A380, sufrió la ruptura del disco de turbina del motor 2 poco después de despegar de Singapur, lo que dañó simultáneamente los sistemas de ala, fuselaje, hidráulico, eléctrico, de combustible y de frenado; aun así, sobrevivieron las 469 personas a bordo.
- El accidente comenzó en el stub pipe de suministro de aceite dentro del Rolls-Royce Trent 900: durante la fabricación, un contrataladro quedó desalineado unos 0.5 mm, reduciendo el grosor de una pared hasta 0.35 mm, defecto que derivó en fatiga del metal y fuga de aceite.
- El aceite a alta presión filtrado se encendió en una zona de unos 365–375 °C, y las llamas cortaron el brazo de accionamiento del disco de la turbina IP; en 4 segundos el disco superó su velocidad crítica y se fragmentó en varias piezas.
- En la cabina aparecieron 34 alertas en 20 segundos y completar los procedimientos ECAM tomó 55 minutos; los pilotos aterrizaron con fuga de combustible, pérdida del 65% del control de alabeo, exceso sobre el peso máximo de aterrizaje y frenado degradado, deteniéndose en una pista de 4,000 m con 150 m de margen.
- Después se realizaron inspecciones completas de los stub pipes del Trent 900, se incorporó protección contra sobrevelocidad de la turbina IP, se retiraron hubs de rodamientos HP/IP, Rolls-Royce mejoró sus procesos de fabricación y calidad, Airbus corrigió el software de desempeño de aterrizaje, y el A380 mantuvo su historial operativo sin accidentes con lesiones a pasajeros.
Una falla múltiple golpea al A380 poco después del despegue
- El 4 de noviembre de 2010, el vuelo 32 de Qantas era un Airbus A380 que viajaba de Londres a Sídney y se dirigía a Sídney tras una escala en Singapur.
- La matrícula de la aeronave era VH-OQA, con el apodo Nancy-Bird Walton.
- A bordo iban 440 pasajeros y 29 tripulantes, 469 personas en total.
- En la cabina había cinco pilotos: el capitán Richard Champion de Crespigny, el copiloto Matt Hicks, el segundo oficial Mark Johnson, el capitán de verificación Harry Wubben y el capitán sénior de verificación David Evans.
- La experiencia combinada de esa tripulación de vuelo sumaba 140 años y 71,000 horas de vuelo.
- Tras despegar de Singapur a las 9:56 a. m., unos 4 minutos después, mientras atravesaban los 7,000 pies de altitud, se produjo una falla catastrófica en el motor 2.
- Los pilotos y pasajeros oyeron dos explosiones separadas por un breve intervalo.
- El avión hizo una ligera guiñada hacia la izquierda y el autothrottle se desconectó.
- El capitán presionó el altitude hold del autopilot para mantener el avión en vuelo nivelado.
- En el ECAM apareció primero la alerta ENG 2 TURBINE OVERHEAT, y durante los 20 segundos siguientes se añadieron 34 mensajes.
- El motor dañado había perdido el disco de la turbina IP y estructuras cercanas, pero seguía girando, por lo que no apareció de inmediato solo como una falla total.
- Cuando los pilotos redujeron la potencia del motor 2, apareció brevemente la alerta ENG 2 FIRE y luego desapareció.
- Después apareció el mensaje ENG 2 FAIL, por lo que decidieron apagar el motor.
- De los dos extintores del motor 2, solo uno funcionó realmente y la luz de confirmación no se encendió.
Cómo una fuga de aceite dentro del Trent 900 terminó en la ruptura del disco
- El Rolls-Royce Trent 900 del Airbus A380 es un motor turbofán de alto bypass compuesto por fan, compresor, cámara de combustión y turbina.
- El Trent 900 cuenta con sistemas LP, IP y HP; las turbinas HP e IP están formadas por discos de turbina de una sola etapa en la parte trasera.
- El hub de rodamientos HP/IP sostiene el eje de rotación, y la cámara interna de rodamientos recibe aceite presurizado para evitar el desgaste.
- La pieza problemática era el oil feed stub pipe, que enviaba aceite a la cámara de rodamientos.
- Ese tubo era una sección fija y corta que pasaba por el buffer space entre la sección interna y externa del hub de rodamientos HP/IP.
- En el momento del accidente, dentro del motor 2 se abrió una grieta en el tubo y aceite a alta presión se pulverizó hacia el buffer space.
- Se estimó que la temperatura del buffer space era de unos 365–375 °C, por encima de los 280 °C de temperatura de autoignición del aceite de motor.
- El aceite pulverizado se encendió de inmediato.
- Cuando el incendio dañó el triple seal delantero, aire de alta presión del annulus gas path fue aspirado hacia el buffer space.
- El aire entrante empujó las llamas hacia atrás, hasta tocar directamente el drive arm del disco de la turbina IP.
- El drive arm del disco de la turbina IP era una pieza sometida a grandes esfuerzos incluso en operación normal, y no soportó el calor intenso: falló en cuestión de segundos.
- Desde el inicio de la fuga de aceite hasta la rotura del drive arm transcurrió mucho menos de 1 minuto.
- Al romperse el drive arm, el disco de la turbina IP quedó desconectado del eje, pero siguió recibiendo energía del annulus gas path.
- En 4 segundos el disco superó su velocidad crítica, y la fuerza centrífuga excedió el límite del disco de aleación de níquel, que se fragmentó en varias piezas.
- Los fragmentos del disco de turbina atravesaron la carcasa del motor y el cowling, dañando el avión en varias direcciones.
- Un fragmento cayó hacia abajo y dañó la pared de un edificio en la isla de Batam, aunque no hubo heridos en tierra.
- Otro fragmento atravesó la parte inferior del fuselaje y un wire bundle.
- Dos fragmentos pasaron por dentro del ala izquierda y salieron por la superficie superior del ala.
- Fragmentos más pequeños también dejaron daños adicionales en varias partes del ala y el fuselaje.
La cabina calcula si era posible aterrizar en medio de una avalancha de alertas
- Los fragmentos del disco de turbina causaron amplios daños secundarios en sistemas clave del avión.
- El tanque de combustible del ala izquierda empezó a filtrar.
- El mecanismo de operación de los leading edge slats resultó dañado.
- Dos wire looms del wing leading edge y del belly area quedaron completamente cortados, afectando unos 650 cables.
- Se produjo pérdida de control de la green hydraulic pump, degradación del yellow hydraulic system, pérdida de alimentación AC de los motores 1 y 2, pérdida total de función de los slats, y pérdida parcial de función de spoilers y alerones.
- También se dañaron parcialmente el freno del landing gear del ala izquierda y la función anti-skid del wing gear brake derecho.
- El A380 usa dos sistemas hidráulicos, green y yellow, pero cada superficie de control de vuelo cuenta con actuadores hidráulicos de respaldo independientes, lo que limitó la pérdida de control.
- Por el daño directo y la pérdida de green hydraulic pressure, la capacidad de control de alabeo se redujo alrededor de 65%.
- Aun con solo los spoilers y alerones restantes, el avión todavía era controlable.
- Los pilotos concluyeron que el avión podía controlarse tanto con el autopilot activado como desactivado.
- La tripulación decidió comprender el estado del avión procesando los procedimientos ECAM, en lugar de aterrizar de inmediato.
- Solicitaron al ATC entrar en un holding pattern y orbitaron sobre el mar al noreste de Singapur.
- Completar las acciones ECAM tomó 55 minutos, muy por encima de lo que los pilotos esperaban.
- El segundo oficial Mark Johnson fue a revisar la situación en cabina de pasajeros y confirmó, mediante la cámara de cola y observación visual, la fuga de combustible del ala izquierda y un gran agujero en la superficie superior del ala.
- Los pilotos consideraron que apagar la transmisión de la cámara de cola podría parecer aún más inquietante para los pasajeros, así que la mantuvieron encendida.
- La situación de combustible hizo todavía más difícil decidir el aterrizaje.
- El combustible se filtraba desde el tanque del ala izquierda, aumentando el desequilibrio entre ambos lados.
- El ECAM indicó abrir la fuel transfer valve para equilibrar, pero los pilotos no siguieron esa instrucción al considerar la fuga y las alertas de daño del fuel transfer system.
- El fuel jettison system tampoco funcionaba, por lo que el avión estaba más de 40 toneladas por encima del peso máximo de aterrizaje.
- Se consideró inadecuado volar durante mucho tiempo para quemar combustible debido al desequilibrio de combustible y a la pérdida del 65% del control de alabeo.
- El software de desempeño de aterrizaje de Airbus devolvió inicialmente no result.
- El software aplicaba repetidamente un operational coefficient para cada falla, reflejando de forma conservadora diferencias en la técnica de pilotaje; como había muchas fallas, el coeficiente se aplicó 9 veces en total.
- El capitán de verificación Evans ingresó manualmente el peso real de aterrizaje para eludir la suposición de peso máximo de aterrizaje.
- En ese caso, la lógica del software aplicó el operational coefficient solo una vez y arrojó que era posible aterrizar en la pista de 4,000 m del Singapore Changi Airport con unos 100 m de margen.
Incendios y riesgos de evacuación que siguieron presentes tras el aterrizaje
- El capitán se alineó con la pista desde una distancia mayor de lo habitual para reducir la carga de pilotaje.
- Por la degradación del control de alabeo, la respuesta de mando se sentía lenta.
- Durante la aproximación repitió verificaciones de control manual para confirmar que las características de control se mantuvieran incluso después de desplegar los flaps.
- Decidió dejar los motores 1 y 4 con empuje fijo y ajustar la velocidad solo con el motor 3, relativamente menos afectado.
- Debido a la falla del green hydraulic system, el tren de aterrizaje no salió al bajar la landing gear lever, así que los pilotos usaron el sistema de respaldo que despliega el tren por gravedad.
- El sistema de respaldo funcionó correctamente.
- El capitán tuvo que mantener una franja extremadamente estrecha entre la velocidad de riesgo de stall y la velocidad que aumentaría el riesgo de salirse de la pista tras el aterrizaje.
- de Crespigny recordó que el rango de velocidad segura era de unos 3 a 4 nudos.
- En un momento se activó una low energy alert, pero al aumentar ligeramente la potencia del motor 3 la alerta desapareció.
- El vuelo 32 de Qantas aterrizó en la runway 20C del Changi Airport a las 11:46 a. m.
- Poco antes del touchdown sonó brevemente la stall warning.
- Los pilotos usaron los frenos restantes y el reverser del motor 3, entre los reverse thrust disponibles solo en los inboard engines del A380.
- Se detuvieron con 150 m restantes de la pista de 4,000 m.
- Después de detenerse continuaron los problemas de incendio y comunicación.
- El freno del body gear izquierdo había soportado una gran carga durante el aterrizaje, se sobrecalentó y cuatro neumáticos se desinflaron.
- El combustible seguía filtrándose y, si entraba en contacto con los frenos calientes, podía provocar un incendio.
- Al apagar los motores 3 y 4, el avión perdió energía, y el APU no se conectó al sistema eléctrico debido a daños en la infraestructura de distribución.
- Tuvieron que encontrar una radio VHF que pudiera funcionar solo con energía de emergencia para comunicarse con los bomberos.
- El motor 1 no se apagó con el procedimiento normal.
- Por daños en los sistemas del ala, la fuel shutoff valve del motor 1 no funcionaba.
- La fire extinguisher bottle del motor 1 tampoco funcionaba, así que no pudieron apagarlo con el fire handle.
- Los bomberos evitaron la entrada y salida del motor y rociaron espuma sobre los frenos para prevenir un incendio.
- Más tarde, los ingenieros de Qantas eligieron sofocar el motor con espuma contra incendios, y el motor 1 se detuvo a las 14:53, más de 3 horas después del aterrizaje.
- La evacuación de pasajeros no se realizó de inmediato por toboganes de emergencia.
- Existía una estadística de que entre el 5% y el 10% de los pasajeros sufren lesiones graves durante una evacuación por toboganes de emergencia, y entre los pasajeros había personas mayores y con discapacidad.
- Con el riesgo de incendio reducido, los pilotos consideraron que el interior del avión era más seguro.
- Con el aire acondicionado apagado por la pérdida de energía, las escaleras llegaron 50 minutos después, y todos los pasajeros descendieron por una sola salida durante aproximadamente 1 hora.
- Ninguno de los 440 pasajeros resultó herido.
El defecto de fabricación de 0.5 mm y los cambios posteriores al accidente
- La causa directa del accidente fue un defecto por el cual una pared del oil feed stub pipe era demasiado delgada.
- El tubo del motor accidentado falló por fatiga del metal tras 677 vuelos.
- En la parte inferior del tubo había un counter bore para colocar un filtro, y ese counter bore estaba descentrado unos 0.5 mm.
- El grosor de pared era irregular: 1.42 mm de un lado y 0.35 mm del otro.
- Un cambio en el proceso de fabricación rompió la garantía de alineación.
- El diseño original alineaba el stub pipe y el counter bore tomando como referencia el datum AA, el centro del outer clearance hole, lo que garantizaba un grosor de pared suficiente.
- En la etapa de fabricación, como resultaba difícil encontrar el datum AA después de insertar el stub pipe, la referencia del counter bore se cambió al datum M, el centro del inner hub counter bore.
- La posición del stub pipe seguía vinculada al datum AA, pero no había una garantía directa de que el datum M estuviera alineado con el datum AA.
- Si el hub se movía mínimamente durante el proceso de volver a sujetarlo con abrazaderas, la posición del timing pin recordada por la máquina y la posición real quedaban desalineadas, y en esa misma medida también se desalineaban el inner hub counter bore y el stub pipe counter bore.
- Los procedimientos de inspección y aprobación tampoco detectaron el defecto.
- El grosor de pared del stub pipe no estaba especificado por separado y se garantizaba indirectamente mediante la alineación.
- La inspección OP 230 medía el stub pipe counter bore solo con referencia al datum M, por lo que no detectaba la desalineación respecto del propio tubo.
- La inspección OP 70 medía el interference bore con referencia al datum M, por lo que podría haber detectado una anomalía, pero la estructura hacía difícil que el inspector advirtiera la diferencia entre el plano de fabricación y la referencia de medición CMM.
- Los registros CMM del hub accidentado no se conservaron, por lo que no se pudo confirmar si había habido una advertencia real.
- En 2009, durante el cambio del punto de referencia de fabricación, ya se habían identificado algunas desalineaciones de counter bore, pero se aprobó una retrospective concession para unas 100 piezas.
- Se realizó un análisis estadístico con base en mediciones de 9 hubs, estimando la no conformidad máxima en Ø 0.7 mm.
- Ese análisis tenía gran incertidumbre porque los datos eran pocos y no había garantía de que representaran la producción pasada.
- La incertidumbre no se comunicó claramente en el informe, y la Non-Conformance Authority lo aprobó al considerar que no tenía impacto en la seguridad.
- Según los procedimientos internos de Rolls-Royce, una retrospective concession también requería la firma del Business Quality Director y del Chief Engineer, pero esa aprobación no las tenía.
- Tras el accidente siguieron inspecciones completas y cambios de sistema.
- Al medir los HP/IP bearing oil feed stub pipes en servicio, muchos estaban fuera de la tolerancia de Ø 0.20 mm y algunos mostraban desalineaciones mayores que las del tubo accidentado.
- En 2 tubos se halló una non-conformance de alrededor de Ø 1.2 mm.
- Qantas suspendió temporalmente la operación de su flota A380 del 4 al 27 de noviembre de 2010.
- La European Aviation Safety Agency hizo obligatorias las inspecciones del Trent 900 oil feed stub pipe.
- Rolls-Royce desarrolló protección contra sobrevelocidad de la turbina IP, y Airbus emitió un mandatory service bulletin que exigía instalarla en todos los A380 en un plazo de 10 vuelos.
- Se retiraron del servicio todos los HP/IP bearing hubs de producción inicial y los hubs con stub pipe wall thickness inferior a 0.7 mm.
- Rolls-Royce revisó el procedimiento de coordinación del design intent entre ingenieros de fabricación y de diseño, y puso fin a la práctica de retrospective concession.
- Airbus corrigió el software de desempeño de aterrizaje para predecir con mayor precisión el desempeño real en todos los pesos de aterrizaje.
- La aeronave estuvo 535 días en reparación, con un costo de 139 millones de dólares, y el VH-OQA Nancy-Bird Walton volvió a volar en 2012.
- Fue un accidente que mostró que una desviación de menos de 0.5 mm podía dañar gravemente el avión de pasajeros más grande del mundo.
- Al mismo tiempo, la combinación de fly-by-wire del A380, hidráulica de respaldo en las superficies de control, ECAM, diseño redundante, criterio de la tripulación y trabajo en equipo permitió cerrar el accidente sin lesiones entre las personas a bordo.
1 comentarios
Opiniones de Hacker News
Cada vez que leo la cadena detallada de eventos en un análisis posterior a un accidente aéreo, me saca una sonrisa.
El hecho de que puedan acotar el problema hasta una sola pieza defectuosa y rastrear el historial y el entorno de esa pieza hasta que entró en operación demuestra la solidez de la industria aeronáutica.
Los errores son inevitables, y creo que la solidez tiene más que ver con cómo se responde que con la cantidad de errores.
Como alguien que ha trabajado en confiabilidad como SRE en FAANG, la industria aeronáutica siempre me inspira respeto, y espero que algún día la industria del software/tecnología llegue a ese nivel.
También un gran reconocimiento para la autora, Kyra Dempsey. Aunque es un tema de ingeniería bastante denso, lo escribió de una forma realmente fácil de leer.
Los desastres de Fukushima y Deepwater Horizon fueron ambos fallas en cremallera, y mostraron falta de pensamiento del tipo “si X falla, ¿qué sigue?”.
Lo importante aquí es “si X falla”, no “si X fallara”. Es una mentalidad distinta.
Pero en HN se espera un análisis post mortem de una caída en la nube en cuestión de horas.
Hay una cultura de mejorar, más que simplemente buscar culpables.
Dicho eso, por lo que escuché de alguien de adentro, la integridad de la cadena de suministro es un problema subestimado.
Alguien vendió partes de avión falsas con métodos sofisticados y fue descubierto, y hay más proveedores sospechosos, lo cual preocupa.
“Safran confirmed the fraudulent documentation, launching an investigation that found thousands of parts across at least 126 CFM56 engines were sold without a legitimate airworthiness certificate.”
https://www.businessinsider.com/scammer-fooled-us-airlines-b...
Para cualquier mecánico o encargado de metrología de fabricación medianamente competente, un error de concentricidad de 0.5 mm en una pieza de ese tamaño es prácticamente como 0.5 millas.
Es un error enorme que se ve a simple vista, y no es de una magnitud que pueda surgir por variación normal: es una señal clara de un problema grave en el setup.
En el plano de diseño, la tolerancia del diámetro del agujero era de Ø 0.05 mm, pero en el plano de fabricación se cambió sin explicación a Ø 0.5 mm; y la no conformidad del cubo del accidente era de Ø 0.90–0.98, es decir, un desplazamiento de 0.45–0.49 mm, así que el equipo debería haberlo indicado.
Como no se conservaron los registros de la CMM, los investigadores no pudieron confirmar si el error efectivamente quedó registrado.
Si no conoces un taller de mecanizado, quizá esto no se entienda del todo, pero si tienes experiencia, es clarísimo. Mucha gente en esa fábrica tuvo que haber sabido que estaban entregando piezas fuera de especificación.
Cualquiera que hubiera manipulado la pieza habría podido ver de un vistazo que el contrataladro estaba muy descentrado, pero en vez de volver a fabricarla o buscar la causa, hicieron una inspección de calidad de mero trámite, la despacharon, manipularon la documentación y tiraron la evidencia.
El análisis es complejo, pero la causa raíz es muy simple: negligencia descarada y un engaño descarado para encubrirla.
Entonces surge la pregunta: “¿por qué harían el maquinado final después de soldar el tubo en su lugar?”.
Tal vez era más fácil o más rápido mecanizarlo ya montado en el cubo.
Además, ¿no iba un filtro de aceite ahí? Si el contrataladro estaba desplazado, ¿el filtro de aceite no habría tenido interferencia?
Pensé que la gente ponía más atención al fabricar turbinas.
Hace 30 años tuve que hacer un aterrizaje de emergencia por una falla de motor.
La tripulación nos hizo quitarnos los zapatos, practicar la posición de impacto y cambiar la distribución de los pasajeros, pero lo que más me impresionó fue que todos siguieron las instrucciones.
No había gente con ego ni actitudes raras; todos entendían por qué estaba la tripulación a bordo y lo importante que era para sobrevivir.
La evacuación fue ordenada, pero lo que vino después tomó mucho tiempo. Por ejemplo, todos los pasaportes habían quedado dentro del avión.
Últimamente he visto fotos de gente escapando por el tobogán con su equipaje, y parece extremadamente peligroso: tanto por el riesgo en el propio tobogán como porque ralentiza la evacuación.
En nuestro caso no había fuego en la cabina, pero me pregunto qué habría pasado si lo hubiera habido.
Y ese cliché de la prensa metiéndote una cámara en la cara para capturar el miedo: sí pasa de verdad.
Ni equipaje, ni zapatos: solo tu cuerpo.
Pero hay gente que lo ignora, y por eso otros pueden salir realmente lastimados.
Aun así, viendo cómo actúa la gente en otras situaciones, también sorprende que tanta gente siga las instrucciones.
Al bajarnos de un avión, normalmente actuamos bajo la idea de “recoger todas mis cosas”.
Por eso es importante escuchar la charla de seguridad, aunque ya la hayas oído antes. La práctica repetida ayuda a recordar qué hacer incluso cuando se suma el estrés.
¿Simplemente te sientas a esperar a que bajen el equipaje y tus pertenencias, y luego esperas otro vuelo?
Ver esas escenas me da muchísima rabia.
Mi primer trabajo fue en una MRO que hacía overhaul de motores un poco más pequeños que el Trent 900, y el principio era el mismo.
Desarrollé software de aseguramiento de calidad que digitalizaba formularios y procedimientos de firma similares a los que el artículo menciona como no firmados correctamente.
Los ingenieros de reparación con los que almorzaba tenían un pozo profundísimo de conocimiento sobre motores, y a veces un solo tema ocupaba todo el almuerzo y la conversación seguía durante semanas.
Un párrafo de este artículo toca puntos muy sutiles, como firmas faltantes y el problema de que los ingenieros no conozcan el procedimiento. En ese sentido, me parece válida la crítica a Rolls-Royce.
El gerente de aseguramiento de calidad de la MRO donde trabajaba era como un desastre natural: alguien temido y sin disposición a transigir.
Al mismo tiempo, también era la persona cuya firma podía provocar la detención de un motor en vuelo, y aún lo respeto.
Estos pequeños problemas ocurren todos los días en todos los modelos de motores del mundo. Incluso ahora, miles de motores en vuelo tienen pequeños defectos que podrían causar una detención.
Algunos problemas se identifican y se aprueban como de bajo riesgo, quedando pendientes para revisarse en el siguiente overhaul.
Cuando un ingeniero que ha visto repetirse el mismo defecto, tuberías agrietadas prematuramente, acumulación de carbono o corrosión anormal sube documentación, ese documento escala y queda ahí.
Puede ser ignorado, usarse como referencia para el siguiente diseño, clasificarse como algo que debe corregirse, ponerse bajo monitoreo o aumentar su frecuencia de monitoreo.
También puede reducirse la vida útil de una pieza o imponerse una inspección no destructiva en cada overhaul.
Estos sistemas son tan complejos que siempre hay algún problema pequeño, así que el modelo del queso suizo encaja muy bien.
En cuanto a Qantas, al final del artículo se dice que repararon el avión a un costo elevado, y Qantas presume como orgullo corporativo que nunca ha perdido un fuselaje.
Incluso si un avión supera el límite económico de reparación, lo reparan para mantener ese récord.
Recuerdo con claridad que, cuando ocurrió QF32, todos quedaron completamente conmocionados. Porque se consideraba que algo así “nunca” le pasaba a Qantas.
[1] https://www.forbes.com/sites/laurabegleybloom/2023/01/03/ran...
Si hubieran faltado firmas a ese nivel, nos habrían desollado vivos, y lo más probable es que el auditor hubiera puesto la empresa patas arriba para encontrar más problemas.
Eso podría haber derivado en una falla grave en la auditoría o incluso en la cancelación total de la certificación de calidad.
Después habría seguido una auditoría del cliente, en este caso Rolls-Royce, con preguntas incómodas para la gerencia, revisión de si se había respetado el procedimiento de concessions entre empresas y una reevaluación interna de “¿esta gente debería estar autorizada a fabricar esta pieza?”.
Por lo que leí aquí, Rolls-Royce no presionó lo suficiente a su subcontratista en materia de calidad y fue sorprendentemente laxa.
Por lo que vi, me preguntaba cómo podía ocurrir innovación ahí dentro, por qué no había muchos más “fuck-you-shima” cada año y cómo era posible que los motores de avión no explotaran todos los días.
Si no recuerdo mal, el controlador del motor del B777 todavía es m68k. Fue descontinuado en 1995.
Yo estaba en ese avión y tomé la foto que el artículo cita como “foto tomada por un pasajero durante el vuelo, que muestra el orificio de salida de los fragmentos de turbina en la superficie superior del ala. (ATSB)”.
Poco después me subí deliberadamente a otro A380, porque no quería perder la confianza en la seguridad de la ingeniería.
Psicológicamente, quizá habría sido más sensato haber vuelto a subirme enseguida.
El artículo es complejo y está bien escrito, pero me resulta un poco extraña su tonalidad triunfalista y sus elogios interminables a la seguridad
Nadie está vendiendo nada, pero hay partes que se sienten como una presentación comercial
Si lo leíste como yo, en algunos pasajes habrás pensado “mmm…”. Porque, en realidad, eran cosas que no funcionaron correctamente
Por ejemplo, software de cálculo que nunca se había probado con datos anómalos, computadoras que siguieron haciendo girar un motor averiado, la suerte de que los tanques de combustible estaban casi llenos y no explotaron, y la ausencia de un interruptor físico de corte para detener el motor
Tuvieron una hora “de sobra” para completar todas las listas de verificación, mientras pasajeros y tripulación aguantaban sobre un charco de combustible esperando que nada se encendiera
Por último, la dirección en la que salieron los fragmentos también fue puro azar
Esto no parece una historia de capas de seguridad superpuestas, sino de capas de azar superpuestas
Me da mucha curiosidad la distribución de resultados de todas las trayectorias posibles de los fragmentos; es decir, qué tanta buena o mala suerte hubo realmente
Las empresas no van a publicar ese tipo de modelos, claro
Además, tampoco me convence esa estructura en la que, por una cámara especial para el filtro de aceite, hay que perforar con precisión una tubería que estaba perfectamente bien
Según entendí, de todos modos no se puede hacer mantenimiento sin reinstalar todo; entonces, ¿por qué no hacerlo como una sola pieza?
Como existía una cultura de revisar accidentes anteriores, como el UA232, en el que se perdió todo control de vuelo junto con un motor, el sistema de control del A380 fue diseñado para soportar daños mayores, y de hecho funcionó
Aun así, coincido en que no se enfocó lo suficiente en los puntos a mejorar
Un motor controlado por computadora que, estando en llamas, gira durante 60 segundos y hace rotar componentes peligrosos demasiado rápido, parece algo que debió haberse abordado de antemano
El proceso de fabricación del motor parece tan complejo que verificarlo casi resulta imposible
También es un problema que el sistema de gestión de fallas, cuando hay 40 alertas, muestre solo 1 o 2 a la vez
No se debe dejar que la automatización tome una decisión tan importante como apagar un motor; esa debe ser una decisión del piloto
Sobre la ausencia de un interruptor físico de corte, en realidad existe un método para cortar el flujo de combustible mediante una válvula. Solo que ese “interruptor de corte” estaba dañado
Si había tiempo para completar todas las listas de verificación, ¿no es más seguro que los pilotos decidan hacerlo así?
Que la dirección de los fragmentos fuera aleatoria es algo natural por el tipo de falla. Es parecido a quejarse de que, en un centro de datos, sea aleatorio cuál HDD va a fallar
Los datos sobre todas las trayectorias posibles de los fragmentos no se publican, pero las trayectorias positivas se analizan en la etapa de diseño, y los componentes estructurales y de sistemas se separan en consecuencia
En accidentes aéreos antiguos, era común que un solo error o la falla de una sola pieza terminara en decenas de muertes
Lo mismo ocurrió con el surgimiento del sterile flight deck en respuesta a accidentes en los que los pilotos se distrajeron con conversaciones casuales
En los accidentes aéreos modernos, eso parece ocurrir mucho menos
Aunque el motor explotó y los fragmentos destrozaron la mitad de los cables, el ala, los depósitos de combustible y la hidráulica, el avión siguió siendo casi totalmente controlable y pudo aterrizar
Hazle lo mismo a un auto sin redundancia y veamos cuánto aguanta
La belleza de la aviación es que todos intentan aprender de los errores y construir sobre ellos
Este incidente tampoco tuvo víctimas fatales, pero dio lugar a medidas que harán más seguros los vuelos futuros
A pesar de las presiones comerciales, hubo un esfuerzo sistemático e intencional por mejorar la seguridad aérea
El modelo del queso suizo significa que hay muchas más capas aleatorias que tienen que alinearse
Muchas de esas capas surgieron de accidentes anteriores y no son aleatorias en absoluto. Por supuesto, tampoco existe una capa sin agujeros
Si ese disco se hubiera desintegrado de otra forma, podrían haber entrado en juego otras capas
¿Habría habido muertos? Es posible. ¿El avión habría explotado de inmediato? No lo sabemos
Pero parece bastante claro que, sin esas capas, la probabilidad de un resultado mucho más trágico habría sido mucho mayor
[0] https://upload.wikimedia.org/wikipedia/commons/e/ef/Fataliti...
Me impactó leer esa parte
Por supuesto, también hubo pura suerte. Los discos podrían haber partido el avión en dos o herido de muerte a alguien en su trayectoria, pero esquivaron la mayor parte del fuselaje
Hay que agradecer cada uno de esos golpes de suerte
Es difícil no ver de forma positiva un incidente que terminó con 0 muertos y 0 heridos
Llamar a alguien “tesoro nacional” puede sonar trillado, pero Admiral Cloudberg va un paso más allá: es un tesoro mundial
Kyra ha escrito muchísimos textos excelentes bajo su nom de cloud
Elige cualquiera y seguro vas a aprender algo
https://news.ycombinator.com/from?site=admiralcloudberg.medi...
Deberían poner eso en vez de la basura exagerada que pasan ahora en la TV
Hay pilotos extraordinarios que logran cumplir incluso bajo una presión inmensa
United Flight 232 es un caso aún más extremo que este artículo
https://en.wikipedia.org/wiki/United_Airlines_Flight_232
“A pesar de las víctimas mortales, este accidente se considera un buen ejemplo de una gestión exitosa de recursos de la tripulación. La mayoría de las personas a bordo sobrevivió, y ni siquiera pilotos de prueba experimentados en simuladores pudieron reproducir un aterrizaje con posibilidad de supervivencia. Se considera uno de los aterrizajes más impresionantes de la historia de la aviación, y fue llamado ‘el aterrizaje imposible’”
El avión perdió toda la hidráulica y tuvo que hacer un aterrizaje de emergencia controlándolo solo con los motores
Uno de los pilotos mira directo a la cámara y cuenta la historia
https://www.youtube.com/watch?v=nf33RDu_D6M
“Los rescatistas no identificaron los restos de la cabina y a los cuatro tripulantes que seguían vivos dentro hasta 35 minutos después del accidente”
Es difícil imaginar esos 30 minutos esperando el rescate sin saber siquiera si los pasajeros habían sobrevivido
https://admiralcloudberg.medium.com/fields-of-fortune-the-cr...
https://en.m.wikipedia.org/wiki/2003_Baghdad_DHL_attempted_s...
Estoy enganchado casi hasta el punto de parecer un defecto con los análisis de accidentes aéreos de Mentour Pilot
Aquí también lo trata con más profundidad
https://www.youtube.com/watch?v=JSMe1wAdMdg
Los textos de Admiral Cloudberg se parecen más a Columbo. Primero te cuentan qué ocurrió y luego retroceden en el tiempo para encontrar y explicar los pequeños detalles que lo causaron
En cierto sentido, eso es mucho más lógico
Mentour Pilot tiene que seguir diciendo “recuerden esto, será importante más adelante”
Pero como uno no sabe por qué es importante, no lo recuerda, y al final la narrativa queda menos clara
Encontré ese canal en el último año y disfruto especialmente el enfoque desde la perspectiva de los pilotos
Si te gustó este artículo, es muy probable que también te guste Air Disasters
Según la región, también se lo conoce como Air Crash Investigations o Mayday
Se basa en informes de accidentes y los cubre con bastante detalle sin volverlos sensacionalistas, aunque no llega tan profundo como este artículo
Me llamó la atención lo estrecho que era el rango de velocidad segura durante la aproximación al aterrizaje
Entre la velocidad de pérdida y la velocidad máxima para no pasarse de la pista había apenas 3 o 4 nudos
Considerando todo lo demás que la tripulación tenía que hacer, haber posado el avión de forma segura fue realmente una maniobra excelente
De hecho, la alarma de pérdida sonó justo antes del toque, así que prácticamente lo hicieron
Por lo que se lee en el artículo, los cálculos parecían haberse armado de manera algo improvisada con varios overrides, así que probablemente fueron cautelosos porque algunas suposiciones podían necesitar margen de error
Un artículo increíble y realmente bien escrito
Mis respetos al equipo de operaciones de Qantas, especialmente a los pilotos. Sin duda son gente que sabe lo que hace
También mis respetos al equipo de ingeniería de Airbus. Fue una enorme victoria de los sistemas redundantes
También fue interesante que los cálculos de frenado se mejoraran como parte del análisis posterior