En toda la historia del MAX, una de las mejores fuentes disponibles es el Seattle Times, y su periodista estrella, Dominic Gates. Conocedor de la interna de Boeing y de la industria en general, es una referencia obligada para entender qué pasó y qué pasará con el 737 MAX.
En la vereda de lo que pasó, hoy el Seattle Times dio a conocer un documento tremendo sobre una queja de un ingeniero a través de la línea de ética de Boeing, en la que detalla errores y decisiones incompatibles con los principios de la compañía para la que trabajaba.
En USA, la figura del “whistleblower” es extremadamente relevante – de hecho, el pedido de impeachment al Presidente Trump que actualmente está en proceso nace de una denuncia de un whistleblower-, principalmente por su eficiencia. Las empresas crean un procedimiento a través del cual sus empleados pueden realizar denuncias anónimas. Y esas denuncias cuentan cosas muy complicadas.
Hasta aquí, la introducción al artículo de Dominic Gates, que contó con la colaboración de Steve Miletich y Lewis Kamb. Trataremos de resumir las partes salientes, sin alterar el espíritu original de la nota.
Siete semanas después del segundo accidente fatal de un 737 MAX en Marzo, un ingeniero de Boeing presentó una queja al departamento de ética alegando que la gerencia, determinada a mantener bajos los costos para las aerolíneas clientes, había bloqueado mejoras significativas de seguridad durante el desarrollo del avión.
La denuncia, presentada por el ingeniero Curtis Ewbank, de 33 años, cuyo trabajo consistía en estudiar accidentes anteriores y usar esa información para hacer que los nuevos aviones sean más seguros, describe cómo alrededor de 2014 su grupo presentó a los gerentes y altos ejecutivos una propuesta para agregar varias actualizaciones de seguridad al MAX.
La queja sugiere que uno de los sistemas propuestos podría haber evitado los accidentes en Indonesia y Etiopía que mataron a 346 personas. Tres de los antiguos colegas de Ewbank entrevistados para esta historia estuvieron de acuerdo.
Los detalles revelados en la queja de ética plantean nuevas preguntas sobre la cultura en Boeing y si el imperativo de larga data de que la seguridad debe ser la prioridad principal se vio comprometido en el MAX por consideraciones comerciales y el enfoque de la gerencia en el cronograma y el costo.
Los gerentes rechazaron dos veces agregar el nuevo sistema argumentando sobre el “costo y el impacto potencial del entrenamiento adicional de pilotos”, señala la queja. Luego se planteó por tercera vez en una reunión con el ingeniero jefe de proyectos de 737 MAX, Michael Teal, quien citó las mismas objeciones cuando rechazó la propuesta.
Ya se había instalado una versión del sistema propuesto, denominado Synthetic Airspeed, en el 787 Dreamliner.
El sistema Synthetic Airspeed no tiene relación directa o dependencia del sistema de control de vuelo que contribuyó a ambos accidentes, el Manouvering Characteristics Augmentation System, o MCAS. Pero hubiera detectado la señal de falso ángulo de ataque que inició los eventos en ambos accidentes, y por lo tanto podría haber evitado que el MCAS se active y empuje repetidamente hacia abajo la nariz del avión.
Pero instalarlo en el MAX probablemente hubiera significado que los pilotos de 737NG necesitaran capacitación adicional en simuladores de vuelo para completar la transición al MAX. El escenario de miles de pilotos yendo a simulador hubiera retrasado la entrada en servicio del avión y agregado costos sustanciales para los clientes de Boeing, dañando la ventaja competitiva del MAX contra su rival, el Airbus A320neo.
Recordemos que en su momento, el MAX se promocionaba como un producto atractivo por su transición casi transparente. Lo vimos en esta nota, de los archivos de Diazpez:
La historia del Boeing 737 MAX, Parte 1: El parche que nació al revés
La queja de Ewbank va más allá de la decisión de no instalar este nuevo sistema. Describe a la gerencia como “más preocupada por el costo y el programa de entregas que por la seguridad y la calidad”. Y alega que, en un caso, Boeing ocultó datos de incidentes de seguridad durante el vuelo a la Agencia de Seguridad Aérea de la Unión Europea (EASA).
Boeing realizó una evaluación inadecuada de la seguridad del sistema que no detectó fallas en el diseño de MCAS que fueron centrales en los dos accidentes del MAX. Y los ingenieros de Boeing estaban bajo presión para limitar las pruebas de seguridad, con la intención de no demorar la certificación del MAX. Estas nuevas acusaciones del interior de Boeing indican que los problemas con la cultura de seguridad del fabricante de aviones pueden ser bastnte más profundos que el MCAS.
Presentado a través del sistema interno de denuncias de Boeing, la denuncia de Ewbank sostiene que los gerentes del programa MAX, preocupados por evitar costos más altos y capacitación incrementada de pilotos, tenían la intención de “anular los estudios comerciales que intentaron modernizar el avión y evitar la difusión de los problemas conocidos encontrados en la operación del 737 MAX. ”
Investigación Federal
El FBI entrevistó al menos a dos empleados de Boeing sobre la denuncia. No está claro cómo llegó el documento de Boeing a la agencia, pero se sabe que los investigadores federales han emitido citaciones a la empresa.
Los fiscales del Departamento de Justicia, los inspectores del Departamento de Transporte y los funcionarios de la Comisión de Bolsa y Valores (SEC) están involucrados en una amplia investigación federal sobre posibles irregularidades en Boeing durante la certificación del MAX, investigación que ya estaba en marcha antes de que el ingeniero presentara su queja interna, en Abril.
El MAX ha estado radiado de las operaciones durante casi siete meses, ya que Boeing trabaja en una solución integral a sus sistemas de control de vuelo que buscará satisfacer a los reguladores de seguridad aérea de todo el mundo. Se espera que las actualizaciones finales de los sistemas se presenten a la Administración Federal de Aviación (FAA) este mes, y Boeing anticipa la autorización para volver al servicio en noviembre.
Mientras tanto, múltiples investigaciones y revisiones, internas y externas, están examinando qué causó los accidentes mortales. La semana pasada, el directorio de Boeing anunció una renovación de las estructuras de informes de la compañía con el objetivo de producir una mejor supervisión de la seguridad interna. El lunes, el presidente y director ejecutivo de Boeing, Dennis Muilenburg, dijo que está “tomando medidas inmediatas” para implementar esas recomendaciones.
La queja de ética de Ewbank expresó su preocupación por las posibles consecuencias para sí mismo, si la misma avanzaba dentro de la empresa.
“Dada la naturaleza de esta queja, el temor a represalias es alto, a pesar de todas las garantías oficiales de que no debería ser así”, escribió. “Existe una actitud cultural represiva hacia las críticas a la política corporativa, especialmente si esa crítica se produce como resultado de accidentes fatales”. Ewbank escribió que sus compañeros de trabajo le dijeron en privado que tienen miedo de hablar sobre preocupaciones de seguridad similares por “miedo a sus trabajos”.
En una declaración en respuesta a las solicitudes de comentarios esta semana, Boeing dijo que “ha implementado procesos rigurosos, tanto para garantizar que tales quejas reciban una consideración exhaustiva como para proteger la confidencialidad de los empleados que las formulan”. “En consecuencia, Boeing no comenta sobre el fondo o la existencia de tales quejas internas”, agrega el comunicado.
El perfil de Ewbank en LinkedIn muestra que se graduó de la Universidad Aeronáutica Embry-Riddle en 2008 con un título en ingeniería aeronáutica, luego obtuvo una maestría en Purdue. Después de la universidad, tomó un trabajo como científico de cohetes, haciendo ingeniería de diseño del sitio de lanzamiento en el Centro Espacial Kennedy en Florida con United Space Alliance, la empresa conjunta entre Boeing y Lockheed Martin.
Boeing lo contrató en 2010 para trabajar en el diseño de sistemas de cabina de mando de aviones comerciales, incluido el MAX. Ahora trabaja en la integración de sistemas de avión para el programa 777X.
Sin embargo, insatisfecho con su experiencia en el programa MAX, se tomó un descanso de Boeing. LinkedIn muestra que dejó la compañía en abril de 2015 y volvió a trabajar en el 777X solo en noviembre pasado. La razón de la ruptura profesional se cita en la queja de ética: su sensación de que la gerencia de Boeing estaba “exprimiendo el presupuesto de ingeniería para nuevos programas … más preocupados por el costo y el cronograma que por la seguridad y la calidad”. La queja de Ewbank dice que su trabajo incluía “diseñar alertas de tripulación apropiadas y procedimientos de tripulación basados en fallas (del sistema) esperadas”.
La semana pasada, un informe de la Junta Nacional de Seguridad en el Transporte (NTSB) pidió mejoras a dichos sistemas y criticó las pruebas de Boeing por no simular el posible aluvión de fallas del sistema y las advertencias que enfrentaron los pilotos en los vuelos accidentados.
La propuesta de Ewbank
La propuesta de actualizaciones del sistema que Ewbank discute en su queja surgió del trabajo que realizó junto con varios empleados veteranos en el departamento de Seguridad de la Aviación de Boeing “para analizar los accidentes de pérdida de control durante el vuelo y diseñar las características de la plataforma de vuelo que funcionarían para romper la cadena de eventos de accidentes”.
Uno fue el asociado técnico asociado Randy Mumaw, psicólogo cognitivo y experto en “factores humanos” sobre cómo reaccionan los pilotos a los instrumentos de un avión. Mumaw, quien dejó Boeing en 2015, dijo que, al no tener formación en ingeniería, no puede evaluar los tecnicismos del sistema Synthetic Airspeed. Pero indicó que conocía a Ewbank y hacía honor a su reputación de “muy respetado y brillante”.
Rick Ludtke, un ex ingeniero de integración de cabina de mando, trabajó junto a Ewbank y fue un participante clave en la propuesta, que se presentó en una nota de ingeniería titulada “Estrategia de Boeing Commercial Airplanes para reducir el riesgo de eventos de pérdida de control”.
Ludtke dijo que el propósito del memorando, que Ewbank cita en su queja, era “obtener la aprobación” de los ejecutivos y tratar de incorporar una lista de seis mejoras del sistema aceptadas en todos los programas de aviones de Boeing, incluido el MAX, que entonces estaba en su etapa inicial de desarrollo.
El memorando, que fue firmado por Todd Zarfos, el vicepresidente de Boeing que dirige los centros de diseño de ingeniería de la compañía, recomendó que se instale el sistema Synthetic Airspeed en el MAX “en la próxima actualización de software disponible”.
Otro veterano ingeniero de Boeing y técnico asociado, Carlo Ruelos, fue el primer experto en Synthetic Airspeed en Boeing.
Cualquier piloto necesita saber el True Airspeed de su avión: la velocidad de la aeronave en relación con el aire. Dependiendo de la dirección del viento, que puede ser más rápido o más lento que la velocidad del suelo, el airspeed representa la velocidad del avión en relación con la tierra. Una velocidad demasiado alta podría estresar la célula. Una velocidad demasiado baja podría hacer que el avión en pérdida aerodinámica.
Esta pieza clave de datos se mide mediante sensores de presión de aire, llamados puertos pitot, pequeños tubos que sobresalen del fuselaje en ambos lados debajo de la cabina. Este dato se usa en múltiples cálculos realizados por la computadora de control de vuelo, por lo que es importante que el valor sea extremadamente preciso.
La velocidad aérea sintética es un nuevo sistema que proporciona un cálculo indirecto adicional de la velocidad aérea utilizando diferentes sensores, incluidos los sensores de ángulo de ataque del avión. El sistema ingresa el ángulo de ataque del avión, su peso, la posición de sus superficies de control y otros parámetros en un algoritmo patentado de Boeing para obtener una lectura de airspeed medida independientemente de los sensores tradicionales.
La independencia de la lectura sintética significa que si coincide con las lecturas de velocidad directa, verifica que los datos sean altamente confiables. Si hay una discrepancia, el air data se rechaza y los sistemas automatizados del avión no lo usará.
La queja de Ewbank cita un estudio que sobre la confiabilidad de los datos aéreos, y la conciencia de la velocidad del aire en particular, como un “tema dominante” en los accidentes aéreos donde los pilotos perdieron el control. El único avión de Boeing que usa Synthetic Airspeed es el 787 Dreamliner.
En el MAX, Ruelos vio una oportunidad porque el avión tenía una nueva caja integrada de sistema de air data instalada que tenía más potencia computacional que la del 737NG. Esa capacidad adicional, decidió Ruelos, permitiría agregar una variante del sistema de velocidad de aire sintético del 787 al MAX. Y si pudiera agregarse, sintió que debería serlo, porque incrementaría dramáticamente la confiabilidad de los sistemas de air data del MAX.
Ruelos, ahora de 75 años y retirado, dijo en una entrevista que el pitot y las sondas estáticas utilizadas para la medición estándar de la velocidad del aire “sobresalen del avión y pueden dañarse con un birdstrike. O algo puede tapar el agujero muy pequeño “.
Entonces, dijo, “creo firmemente que como otro medio de verificar el air data, Synthetic Airspeed es un elemento clave para mantener la seguridad del avión”.
“Nos esforzamos mucho porque la seguridad siempre es la prioridad número 1”, agregó. Con la nueva caja de aviónica de air data en el MAX, creía que el sistema estaba “listo para funcionar” en el nuevo avión.
En el momento de esta propuesta, nadie había identificado al MCAS como una preocupación. En aquel entonces, el diseño original del MCAS era más benigno que la versión final que falló en los accidentes. Se necesitaban dos sensores para activarse, un ángulo de ataque muy elevado y una gran fuerza G, y su autoridad para bajarla nariz era menos extensa. No fue sino hasta marzo de 2016 que el diseño de MCAS se modificó para depender únicamente de un solo sensor de ángulo de ataque.
Synthetic Airspeed adquiere importancia después de los accidentes porque la verificación cruzada del sistema de las lecturas de velocidad de aire independientes elevaría una bandera roja si hay una falla en el sensor de ángulo de ataque. Si las lecturas no están de acuerdo, escribió Ewbank en su queja, el sistema implementado en el 787 está diseñado para “monitorear y detectar datos erróneos de ángulo de ataque, y luego trabajar para evitar el uso de datos erróneos por los subsistemas”.
Si bien Ewbank presenta esta declaración con un cuidadoso: “No es posible decir con certeza que cualquier implementación real de Synthetic Airspeed en el 737 MAX hubiera evitado los accidentes”, lo que implica es muy claro: Synthetic Airspeed podría haber impedido que el MCAS se activase en las condiciones que enfrentaron los vuelos accidentados. Ludtke y Ruelos estuvieron de acuerdo.
Hay “una muy buena posibilidad” de que si Boeing hubiera implementado Synthetic Airspeed en el MAX, se hubieran evitado los accidentes, dijo Ludtke.
“En nuestro departamento, nunca diseñamos nada sin comparadores”, es decir, monitores que comparan lecturas de sensores independientes y desactivan el sistema si no están de acuerdo, dijo. “Curtis, lo sé, tenía varios tipos de comparadores en ese sistema”.
Cuando se le preguntó por separado si Synthetic Airspeed podría haber evitado los accidentes, Ruelos respondió: “Creo que sí. Los sistemas izquierdo y derecho hacen verificaciones cruzadas, y si hay una discrepancia, no permitirá que el sistema automático tome el control del avión. … Se desconectaría y los subsistemas no utilizarían esos datos no confiables”.
Cuestión de Costos
Por supuesto que Boeing podría haber logrado el mismo resultado de maneras más simples, por ejemplo, si el MCAS hubiera sido diseñado desde el principio para comparar las lecturas de los dos sensores de ángulo de ataque en lugar de solo uno. Aún así, en retrospectiva, el rechazo a instalar Synthetic Airspeed parece fatídico.
En su denuncia, Ewbank lo atribuye a “una cultura corporativa … de conveniencia de diseño a lo que pide el mercado y a la reducción de costos”. “El 737 MAX fue diseñado a través de actualizaciones poco sistemáticas para evitar la activación de una costosa recertificación y capacitación adicional de pilotos”, afirma.
Ludtke estuvo de acuerdo. La velocidad del aire sintética fue rechazada “probablemente por el costo”, dijo. Dijo que Boeing había prometido a las aerolíneas que el MAX sería tan mínimamente diferente del modelo 737 anterior que no sería necesaria una certificación adicional de piloto o capacitación en simulador de vuelo.
Dijo que su gerente le dijo que Boeing le prometió a Southwest, cliente de lanzamiento del MAX “$ 1 millón por avión” si la FAA requería capacitación costosa en el simulador.
“Los líderes del programa MAX siempre ordenaron que, si no se requiere para la función o la certificación, no se instale en el avión”, dijo Ludtke. Consideraron que Synthetic Airspeed era “una buena mejora, pero solo una mejora”, no una necesidad.
“Aún lo intentamos. Porque creíamos que estos aviones necesitan mejorar para adaptarse al nuevo estándar de pilotos que vemos surgir”, agregó Ludtke. “En los viejos tiempos, antes del MAX, así era como hacíamos negocios. En el lanzamiento de un nuevo programa, sus líderes estarían muy interesados en incluir todas las últimas ideas y mejoras de seguridad. El MAX fue diferente desde el principio”, dijo. “Simplemente vamos a poner estos nuevos motores y el cambio mínimo para que eso suceda”.
“Ese concepto rompió la empresa”, concluyó Ludtke.
Otro ex empleado de Boeing, un piloto de pruebas veterano que también participó en la evaluación de los cambios propuestos al sistema, no estaba lo suficientemente cerca de los detalles técnicos de Synthetic Airspeed para estar seguro de que hubiera evitado los accidentes, pero aceptó que cualquier sistema similar basado en ángulo de ataque probablemente habría limitado la intervención del MCAS.
“Así es como esperarías que el sistema funcionara”, dijo el piloto, quien pidió el anonimato para preservar las relaciones en Boeing. Y el piloto acordó con Ludtke que preservar la calificación de tipo común del MAX, certificándolo como solo una variante del modelo anterior 737 NG, en lugar de un nuevo avión, y asegurando que los pilotos de las aerolíneas no estarían obligados a entrenar para el MAX en vuelo los simuladores fueron “un problema tan grande” que bloqueó las posibles actualizaciones de los sistemas de aviónica.
“No podía creer que siguieran estirando el 737, tanto literalmente (con un fuselaje más largo) como también en términos de diseño de la cabina de mando”, dijo el piloto.
La cultura
Ray Craig, ex piloto jefe del 737 MAX hasta que se retiró en 2015, tenía una opinión muy diferente. Dijo que trabajó con Ewbank y lo conocía como un ingeniero “muy inteligente y muy dedicado”.
Sin embargo, defendió la cultura de seguridad en Boeing y en torno al programa MAX.
“La seguridad era primordial. Si había algo que pensábamos que era un problema de seguridad, no había duda, se solucionó ”, dijo Craig. “Pero no siempre es una decisión en blanco y negro”.
Al carecer de detalles técnicos completos, no se aventuraría a opinar si Synthetic Airspeed podría haber evitado los choques. “No lo recuerdo listo para salir. No fue solo un simple plug-and-play “, dijo Craig. “No estaba tan listo para el programa como quizás pensaban algunas personas. Pero no recuerdo la razón exacta por la que fue rechazado”.
La queja de ética de Ewbank es mucho más amplia que la imposibilidad de instalar Synthetic Airspeed. Ataca la cultura de la compañía en torno a la seguridad de la aviación y cuestiona la afirmación de Craig y Boeing de que la seguridad siempre es primordial.
Cuenta un episodio en su departamento cuando dice que Boeing ocultó los incidentes de seguridad en vuelo del regulador de aviación de Europa. Esto ocurrió cuando EASA encontró cinco eventos en los que los 737 experimentaron un problema con la desconexión del acelerador automático al acercarse y una alerta confusa condujo a una respuesta piloto inapropiada.
EASA preguntó si Boeing estaba al tanto de otros eventos similares y Ewbank fue asignado para buscar en las bases de datos en servicio. Pero cuando identificó otros cinco incidentes similares en el 737, en su denuncia dice que su gerente decidió “no decirle a EASA sobre estos eventos” y que en su lugar “solucionaríamos el problema nosotros mismos”.
Ewbank, un ingeniero relativamente joven al comienzo de su carrera y con menos de seis años en Boeing por sus dos períodos de empleo, llega tan lejos en la denuncia que ataca directamente al CEO Muilenburg.
Cita la declaración de Muilenburg en una teleconferencia de ganancias trimestrales, solo cuatro días antes de que Ewbank presentara la queja de ética, negando que los dos accidentes MAX recientes se debieron a algún “error técnico” de Boeing durante el diseño o certificación del avión. Ewbank llama a esto “una declaración falsa”.
“Cuando el CEO Muilenburg y otros afirman que el Max era un avión seguro desde el punto de vista del diseño, tergiversan seriamente lo que Boeing Engineering ha aprendido sobre cómo deben tratarse las funciones de datos y control”, concluyó Ewbank.
Excelente post Pablo!!
Impecable una vez más
Excelente post!
Una velocidad demasiado alta podría estresar la célula…. Desarrolle Diazpez.
Ese avión estuvo mal parido de entrada; la empresa debería enviarlos a todos a desguace y devolver a las compañías el dinero con intereses y costes incluidos.
Buen post, gracias!