Boeing 737 MAX 2019: la seguridad como víctima de la competencia

Situación

Es el 10 de marzo de 2019. El vuelo 302 de Ethiopian Airlines, un 737 MAX 8, se estrelló seis minutos después de despegar de Adís Abeba, matando a las 157 personas a bordo. El perfil de los datos de vuelo es casi idéntico al del vuelo 610 de Lion Air, que se estrelló el 29 de octubre de 2018 y mató a 189 personas en Indonesia.

En ambos accidentes, los sensores que alimentaban datos erróneos al MCAS (Maneuvering Characteristics Augmentation System) hicieron que el sistema automático empujara repetidamente la nariz del avión hacia abajo. Las tripulaciones siguieron los procedimientos aprobados por Boeing, pero no pudieron vencer al MCAS. En los cinco meses entre los dos accidentes, Boeing emitió un boletín de servicio sobre el MCAS, pero no reveló su autoridad operativa completa, y argumentó que no era necesario dejar el MAX en tierra.

A las pocas horas del accidente de Ethiopian, China deja en tierra su flota de 737 MAX. La FAA, tras días de presión, suspende los vuelos del avión el 13 de marzo. La flota global de 387 aviones MAX sale de servicio.

El 737 MAX había sido el producto más importante de Boeing en décadas: 4,600 aviones en pedido, que representaban $600,000 millones en ingresos potenciales. American Airlines, Southwest y United habían estructurado sus planes de crecimiento alrededor del avión. Solo Southwest tenía 34 MAX en servicio.

El momento de la decisión

Eres miembro del consejo de administración de Boeing. Es el 14 de marzo de 2019, un día después de la suspensión de vuelos de la FAA, cuatro meses antes de que el consejo despida al director general Dennis Muilenburg. Te estás preparando para una sesión de emergencia del consejo.

En 72 horas han salido a la luz los siguientes hechos:

1. El MCAS se diseñó para activarse con los datos de un solo sensor de ángulo de ataque (AoA), sin una verificación cruzada con el segundo sensor.
2. La autoridad completa del MCAS se le reveló a la FAA mediante el análisis de seguridad del avión, pero las revelaciones no estaban completas: Boeing evaluó al principio la deflexión máxima del MCAS en 0.6 grados; para la certificación se había ampliado a 2.5 grados, un cambio que aumentó significativamente el peligro sin una actualización correspondiente del análisis de peligros.
3. A los pilotos no se les entrenó en el MCAS con simulador, una decisión deliberada para mantener la equivalencia de la "habilitación de tipo" del MAX con las variantes anteriores del 737. La equivalencia de la habilitación de tipo permitía a las aerolíneas hacer la transición de sus pilotos sin una nueva certificación en simulador, ahorrando aproximadamente $1 millón por piloto. Solo American Airlines lo valuaba en $1 millón por piloto en toda la flota de 737 MAX.
4. Un empleado interno de Boeing había escrito en 2017: "Este avión lo diseñan payasos, a los que a su vez supervisan monos".
5. La certificación de la FAA se apoyó de forma significativa en la propia Organization Designation Authorization (ODA) de Boeing: en la práctica, los ingenieros de Boeing aprobaban sus propios análisis de seguridad.

El consejo enfrenta tres preguntas:

1. El contexto competitivo como causa de fondo. El programa del 737 MAX se aceleró en respuesta al anuncio del A320neo de Airbus en diciembre de 2010. Los motores LEAP del neo le daban a Airbus una ventaja en eficiencia de combustible. La respuesta de Boeing, montar los motores LEAP en la estructura existente del 737 en lugar de diseñar un avión nuevo, creó el problema de centro de gravedad que exigió el MCAS. Si Boeing hubiera diseñado un avión nuevo (el NSA, New Small Airplane), no habría habido MCAS. ¿La presión competitiva para evitar un diseño desde cero es una restricción de ingeniería legítima, o fue una decisión de la dirección que subordinó la seguridad a la velocidad competitiva?

2. La decisión sobre la habilitación de tipo. Boeing les vendió el MAX a las aerolíneas con la promesa de que no habría nuevo entrenamiento en simulador. Eso valía cientos de millones de dólares en costos de transición para los grandes clientes. Pero mantener la equivalencia de la habilitación de tipo significaba que el MCAS tenía que ser un sistema "invisible", uno en el que no se entrenaba a los pilotos. Cuando el valor comercial de un sistema depende de que los pilotos no sepan que existe, ¿cómo debería ese hecho afectar el proceso de aprobación regulatoria?

3. La arquitectura de gobierno. Los procesos de revisión de seguridad de Boeing se habían vuelto menos rigurosos con el tiempo. La ODA le devolvió a Boeing la autoridad de certificación. El consejo recibía poco detalle sobre los trade-offs técnicos de seguridad específicos. El director general era un profesional de finanzas, no un ingeniero. ¿Qué cambios de gobierno, a nivel del consejo, de la dirección y regulatorio, habrían producido un resultado distinto?

Datos financieros clave

La mecánica de la falla del MCAS

La falla del MCAS ilustra cómo decisiones de ingeniería incrementales, cada una racional a nivel local, pueden combinarse en una catástrofe sistémica:

1. El problema original: Los nuevos motores LEAP, montados más arriba y más adelante en el MAX para mantener la distancia al suelo, movieron el centro de gravedad y cambiaron las características de cabeceo del avión, sobre todo con un ángulo de ataque alto.

2. La solución del MCAS: Empujar automáticamente la nariz hacia abajo cuando el único sensor AoA superaba un umbral, para igualar las características de manejo de las variantes anteriores del 737. Eso preservaría la equivalencia de la habilitación de tipo que Boeing les había prometido a las aerolíneas.

3. Ampliación del alcance: El MCAS certificado originalmente tenía una autoridad limitada (0.6 grados del estabilizador horizontal). Durante las pruebas, los ingenieros ampliaron la autoridad del MCAS a 2.5 grados (más de 4× la original) sin una actualización formal correspondiente del análisis de peligros. La documentación de seguridad de la FAA describía la versión más limitada.

4. Diseño con un solo sensor: El MCAS dependía de los datos de un solo sensor AoA. Si ese sensor fallaba (como pasó en ambos vuelos accidentados), el MCAS se activaba con datos falsos y empujaba la nariz hacia abajo una y otra vez, cada pocos segundos, mientras persistiera la entrada del sensor defectuoso.

5. No revelado a los pilotos: Como el MCAS debía ser invisible para los pilotos, no estaba en el manual de vuelo. Cuando las tripulaciones enfrentaron la activación del MCAS con datos erróneos, no tenían un procedimiento para ello. Existía el procedimiento de estabilizador desbocado, pero no contemplaba activaciones repetidas del MCAS.

Frameworks que se aplican

• Teoría de los grupos de interés. Boeing tenía obligaciones que competían entre sus grupos de interés: los accionistas (mantener la economía del programa), las aerolíneas clientes (evitar los costos de entrenamiento), los reguladores (obtener la certificación) y los pasajeros y las tripulaciones (entregar un avión seguro). Cuando los intereses de los grupos con intereses financieros se priorizaron por encima de la seguridad de los pasajeros, el resultado fueron 346 muertes. Un análisis genuino de los grupos de interés habría identificado a los pasajeros como el usuario final cuyos intereses no se podían negociar.
• La degradación de la cultura de seguridad. La fusión de Boeing con McDonnell Douglas en 1997 trajo una cultura de ingeniería financiera que chocó con la identidad históricamente centrada en la ingeniería de Boeing. Varios estudios internos documentaron el cambio cultural. La "cultura de seguridad" no es un eslogan: es el conjunto de incentivos, mecanismos de reporte y relaciones de autoridad que determinan si las preocupaciones de seguridad pueden imponerse a la presión comercial.
• Captura regulatoria y autocertificación. El programa ODA de la FAA, que delegaba la autoridad de certificación en los propios ingenieros de Boeing, tenía sentido económico dada la complejidad técnica de los aviones modernos. Pero cuando los ingenieros que certifican trabajan para el fabricante y enfrentan las mismas presiones comerciales, la independencia de la certificación queda comprometida por diseño. Los accidentes del MAX fueron en parte una falla del modelo ODA.
• Estrategia de respuesta competitiva. La decisión de Boeing de acelerar el MAX en lugar de diseñar un avión desde cero fue una respuesta competitiva al A320neo de Airbus. Esa decisión creó las restricciones de ingeniería (la ubicación de los motores, el cambio del centro de gravedad, la necesidad del MCAS) que llevaron a los accidentes. Entender la estrategia competitiva exige entender sus implicaciones técnicas y de seguridad posteriores.

Preguntas para la discusión

1. Los ingenieros de Boeing documentaron la autoridad ampliada del MCAS en sistemas internos, pero la documentación de seguridad de la FAA reflejaba la versión original, más limitada. Las comunicaciones internas sugieren que se conocía esta discrepancia. ¿Es una falla de documentación de ingeniería, una tergiversación intencional o algo intermedio, y cómo afecta tu respuesta la culpabilidad de Boeing?
2. Southwest Airlines valuaba la equivalencia de la habilitación de tipo en aproximadamente $1 millón por piloto. American y United le daban valores similares. ¿En qué medida son responsables las aerolíneas del desastre del MCAS, dado que el valor comercial de "no entrenar en simulador" creó el incentivo de mantener el MCAS invisible para los pilotos?
3. La ODA de Boeing permitió que sus propios ingenieros certificaran la seguridad del MAX. La FAA revisó lo que presentó Boeing, pero no verificó de forma independiente todos los análisis técnicos. Después de los accidentes, la FAA contrató expertos técnicos independientes y encontró problemas adicionales que Boeing no había señalado. ¿Cuál es el modelo regulatorio apropiado para certificar sistemas complejos cuando el regulador no puede replicar de forma independiente el análisis técnico del fabricante?
4. La suspensión de vuelos del 737 MAX duró 20 meses. Durante ese tiempo, Boeing siguió produciendo aviones MAX, acumulando más de 450 aviones sin entregar. ¿Qué te dice la decisión de seguir produciendo durante una suspensión sobre la confianza institucional de Boeing en la recertificación final, y estaba justificada esa confianza?
5. Dennis Muilenburg testificó ante el Comité de Comercio del Senado en octubre de 2019, diciendo que estaba "orgulloso" del historial de seguridad de Boeing y que Boeing había "seguido las reglas". Cinco meses después se publicaron comunicaciones internas en las que ingenieros de Boeing decían que el MAX lo habían "diseñado payasos" y se burlaban de los reguladores. ¿Cómo deberían los directores generales equilibrar la defensa legal con la rendición de cuentas moral cuando testifican ante el Congreso después de una falla de seguridad corporativa?

El desenlace real (se revela al final de la sesión)

18 de noviembre de 2020: La FAA recertifica el 737 MAX después de que Boeing rediseña el MCAS para usar dos sensores AoA, agrega una luz de discrepancia y exige entrenamiento en simulador para todos los pilotos.

Enero de 2021: Boeing acepta pagar $2,500 millones para resolver los cargos penales del DOJ, incluida una multa penal de $243.6 millones y $1,770 millones en compensaciones a las aerolíneas. El acuerdo incluye un acuerdo de enjuiciamiento diferido (sin declaración de culpabilidad de Boeing como empresa).

2021: Boeing entrega un acuerdo de más de $500M a las familias de las 346 víctimas.

2024: El DOJ determina que Boeing violó el acuerdo de enjuiciamiento diferido de 2021 (ocultó información técnica). Reabre la investigación penal; Boeing acepta declararse culpable de un cargo de conspiración para defraudar a Estados Unidos.

La lección: La presión competitiva no es una restricción de ingeniería: es una decisión de la dirección. Cuando las decisiones comerciales determinan si los sistemas de seguridad se les revelan a los pilotos, si se incorpora redundancia en los sensores y si los reguladores reciben una documentación técnica completa, la organización ha hecho un intercambio entre seguridad e ingresos. Boeing hizo ese intercambio. 346 personas lo pagaron.

Fuentes

• Comité de Transporte e Infraestructura de la Cámara de Representantes de EE. UU., "The Boeing 737 MAX Aircraft: Costs, Consequences, and Lessons from its Design, Development, and Certification" (septiembre de 2020).
• Comunicado de prensa del DOJ: Boeing celebra un acuerdo de enjuiciamiento diferido por conspiración para defraudar a la FAA (enero de 2021).
• Joint Authorities Technical Review (JATR), "Observations, Findings, and Recommendations" (octubre de 2019).
• FAA AD 2019-06-08, directiva de aeronavegabilidad de emergencia que suspendió los vuelos del 737 MAX (marzo de 2019).
• Informes finales: KNKT de Indonesia (Lion Air JT610) y Autoridad de Aviación Civil de Etiopía (ET302).
• Peter Robison, "Flying Blind: The 737 MAX Tragedy and the Fall of Boeing" (2021).