Justo antes de la medianoche del 1 de julio de 2002, dos aeronaves convergieron sobre el lago de Constanza a 36.000 pies de altitud. Una era un Boeing 757 de carga de DHL que despegaba de Bérgamo con dos pilotos a bordo. La otra era un Tupolev Tu-154 de Bashkirian Airlines que transportaba a 69 personas desde Moscú hacia Barcelona para pasar unas vacaciones, entre ellas 46 escolares de la ciudad rusa de Ufa. En Zúrich, un controlador aéreo llamado Peter Nielsen trabajaba en dos estaciones simultáneamente mientras sus compañeros realizaban tareas de mantenimiento nocturno que habían desactivado silenciosamente su sistema de alerta de conflictos y la mayoría de sus teléfonos.

Ambas aeronaves llevaban un dispositivo diseñado precisamente para este momento: el TCAS, el Sistema de Prevención de Colisiones en el Tráfico Aéreo. En el último minuto de ambos vuelos, funcionó a la perfección. Y aun así, murieron 71 personas, a causa de una pregunta que nadie había respondido con suficiente claridad: cuando la máquina ordena ascender y el piloto dicta descender, ¿quién tiene el control?

Cuarenta y tres segundos

A las 23:34:49 hora local, el TCAS del Tupolev ordenó ascender. Segundos después, Nielsen, al percatarse del conflicto tardíamente, instruyó a la misma tripulación a descender. Los pilotos rusos se enfrentaron a una contradicción en tiempo real entre una voz sintética y una humana, y su propio manual de operaciones describía el TCAS como un "sistema de respaldo" para el control de tráfico aéreo, una formulación que podía interpretarse como una jerarquía superior para el controlador. Obedecieron a la voz humana. Mientras tanto, la tripulación del DHL, al escuchar su propia instrucción coordinada, siguió las instrucciones del TCAS y descendió, lo que significó que ambas aeronaves ahora descendían una hacia la otra. A las 23:35:32, la aleta de cola del 757 atravesó el fuselaje del Tupolev. No hubo supervivientes: 69 a bordo del Tu-154, dos a bordo del Boeing. De los 71 fallecidos, 52 eran niños.

La Oficina Federal Alemana de Investigación de Accidentes Aéreos (BFU) dedicó dos años a reconstruir las actas del accidente. Su veredicto arrojó diversas causas: un único controlador a cargo de dos estaciones, equipos terrestres defectuosos y procedimientos internacionales peligrosamente ambiguos. Sin embargo, su declaración sobre las causas inmediatas fue contundente.

La crueldad del hallazgo radica en su simplicidad: si ambas tripulaciones hubieran seguido las indicaciones del TCAS, los aviones habrían sobrevolado la zona sin peligro. La tripulación de DHL siguió las suyas hasta el final. La tripulación del Tupolev, entrenada en un sistema donde la palabra del controlador era ley, comenzó a obedecer al sistema solo dos segundos antes del impacto, demasiado tarde.

La historia completa de la colisión de Überlingen y el asesinato que le siguió.

Cómo piensa la máquina

Para comprender qué falló —y qué se solucionó—, es útil saber qué es realmente el TCAS. Cada unidad TCAS II interroga los transpondedores de las aeronaves cercanas en 1030 MHz; sus respuestas en 1090 MHz le permiten crear un mapa del tráfico circundante que se actualiza constantemente: distancia a partir del tiempo de ida y vuelta de la señal, altitud a partir de la respuesta y rumbo a partir de una antena direccional. A partir de esto, la computadora proyecta la trayectoria de cada aeronave a una corta distancia en el futuro.

Si otra aeronave pasa demasiado cerca, el sistema se activa en dos etapas. Aproximadamente 40 segundos antes de una posible colisión, se emite el Aviso de Tráfico —"Tráfico, tráfico"— que indica a la tripulación que esté atenta. Aproximadamente 25 segundos después, se emite el Aviso de Resolución (AR): una orden de vuelo directa como "Ascender, ascender" o "Descender, descender". Y aquí reside la clave: cuando ambas aeronaves cuentan con TCAS II, los dos ordenadores se comunican entre sí mediante sus transpondedores Modo S y emiten órdenes complementarias y coordinadas: un avión asciende y el otro desciende. Esta sincronización solo funciona si ambas tripulaciones actúan en perfecta coordinación. Esta premisa, integrada en la lógica del sistema, es precisamente lo que provocó el accidente de Überlingen.

Las señales de advertencia ya estaban ahí. Diecisiete meses antes, sobre Japón, dos aviones de Japan Airlines estuvieron a punto de colisionar cuando la tripulación siguió las instrucciones de un controlador en lugar de la orden de ascenso del TCAS; solo una maniobra de último segundo evitó la catástrofe, y cerca de 100 personas resultaron heridas. La lección de aquel incidente se documentó y se difundió, pero aún no se había convertido en normas vinculantes a nivel mundial cuando la misma situación se repitió sobre el lago de Constanza.

El capitán Joe repasa las pantallas del TCAS, los TA y los RA desde el asiento del piloto.

Nacido en la niebla tóxica de Los Ángeles

El sistema TCAS se gestó con sangre una generación antes. El 31 de agosto de 1986, el vuelo 498 de Aeroméxico, un DC-9 que descendía hacia Los Ángeles, fue impactado por un Piper Archer privado que había entrado sin permiso en la zona de control de la terminal. El avión de pasajeros cayó boca abajo sobre el suburbio de Cerritos. Las 64 personas a bordo del DC-9 fallecieron, junto con los tres ocupantes del Piper y 15 personas en tierra: 82 en total.

La FAA llevaba décadas investigando la prevención de colisiones —el accidente del Gran Cañón en 1956 marcó el inicio de esa investigación—, pero el accidente de Cerritos puso fin a las deliberaciones. En diciembre de 1987, el Congreso aprobó la Ley Pública 100-223, que ordenaba la instalación del TCAS II en todos los aviones comerciales con más de 30 asientos que volaran en el espacio aéreo estadounidense a principios de la década de 1990; la flota estaba completamente equipada a finales de 1993. Gran parte del mundo siguió el ejemplo, y las colisiones en el aire entre aviones equipados se volvieron extremadamente raras. El sistema funcionaba. Lo que quedaba por probar era la integración entre el sistema y la autoridad humana.

Las secuelas y una segunda tragedia

El dolor de Überlingen no terminó en el lugar del accidente. Peter Nielsen, el controlador de turno, sobrevivió a la noche, pero no a la historia. El 24 de febrero de 2004, Vitaly Kaloyev, un arquitecto ruso que había perdido a su esposa y a sus dos hijos en el vuelo 2937 y que había buscado personalmente a su hija en los campos, viajó a la casa de Nielsen cerca de Zúrich y lo apuñaló hasta la muerte delante de su familia. Un tribunal suizo condenó a Kaloyev, dictaminando posteriormente que había actuado con responsabilidad disminuida; fue puesto en libertad en 2007 y regresó a casa. Es necesario decirlo claramente: Nielsen era el único que mantenía a flote un sistema fallido que su empleador había permitido que se deteriorara a su alrededor. El informe de la BFU, y posteriormente las condenas de un tribunal suizo a los directivos de Skyguide, priorizaron los fallos institucionales por encima de cualquier responsabilidad individual.

La propia Skyguide, tras haber señalado inicialmente a la tripulación rusa, asumió la responsabilidad cuando se publicó el informe final en 2004. Su director ejecutivo, Alain Rossier, se dirigió directamente a las familias.

Cerca de Brachenreute, donde se derrumbó gran parte del Tupolev, se alza un monumento conmemorativo de la artista Andrea Zaumseil: un gigantesco collar de perlas desgarradas en acero, que recuerda el collar roto que Kaloyev encontró junto a su hija. Cada mes de julio, los familiares se reúnen allí.

¿Qué cambió en Überlingen?

La respuesta regulatoria llegó rápidamente y nunca se suavizó. Los procedimientos de la OACI se reescribieron para eliminar toda ambigüedad: una vez que suena una Alerta de Resolución, la tripulación debe seguirla de inmediato, incluso si contradice una instrucción explícita del control de tránsito aéreo. Los pilotos informan "TCAS RA" por radio, y desde ese momento el controlador deja de emitir instrucciones de maniobra a esa aeronave hasta que la tripulación informe que no hay conflicto. En la dimensión vertical, durante esos pocos segundos, la máquina tiene prioridad sobre todos.

El software también aprendió. La versión 7.1 del TCAS II, desarrollada tras el accidente de Überlingen y de uso obligatorio en el espacio aéreo europeo entre 2012 y 2015, incorporó la función que aquella noche exigía: si una aeronave no sigue su RA coordinada, el sistema detecta el incumplimiento e invierte la instrucción de la otra aeronave, transformando una geometría de descenso-descenso condenada al fracaso en una de descenso y ascenso. También sustituyó la instrucción, frecuentemente mal ejecutada, de "Ajustar velocidad vertical, ajustar" por un rotundo "Nivelarse, nivelarse". La siguiente generación, ACAS X, va aún más allá, utilizando una lógica probabilísticamente optimizada y nuevas fuentes de vigilancia como el ADS-B; actualmente se está instalando en aviones de pasajeros de nueva construcción.

El TCAS moderno es, sin duda, uno de los triunfos silenciosos de la ingeniería aeronáutica: una última línea de defensa que ha contribuido a que las colisiones en el aire entre aviones comerciales sean prácticamente erradicadas. Pero su componente más importante nunca fue la antena ni el algoritmo. Es una regla, escrita en el lenguaje más sencillo que conocen los reguladores, comprada en Überlingen al precio más alto imaginable: cuando la máquina habla, se obedece.

Fuentes: Informe de investigación de la BFU AX001-1-2/02, Biblioteca de lecciones aprendidas de la FAA, EUROCONTROL, SKYbrary, Wikipedia, swissinfo.ch