El conflicto de hace unos días entre un Airbus A321 de Iberia y un Boeing 787 de Air Europa permite
explicar cómo funciona la última barrera contra una colisión en vuelo, qué aprendimos de Cerritos,
Charkhi Dadri, Überlingen y el Potomac, y por qué automatizar las maniobras del TCAS puede aumentar
la seguridad aérea.
Por Pedro Carvalho
La madrugada del pasado 10 de julio, un Airbus A321 de Iberia y un Boeing 787-9 de Air Europa volaban
en sentidos opuestos por la aerovía N857, dentro del sector oceánico del FIR/UIR de Canarias. Los dos se
encontraban al mismo nivel de vuelo, FL360 (36.000 pies), cuando sus sistemas TCAS detectaron que la
geometría de las trayectorias podía convertirse en un conflicto.
El Airbus recibió una resolución de descenso. El Boeing recibió la instrucción complementaria de ascender. El primero perdió unos 500 pies y el segundo ganó aproximadamente 400 antes de que el sistema declarase resuelto el conflicto. Ambos continuaron después hacia sus destinos sin daños ni heridos. La Comisión de Investigación de Accidentes e Incidentes de Aviación Civil española (CIAIAC) se ha tomado muy en serio el incidente, hasta el punto de abrir una investigación.
Todavía no se ha publicado la separación mínima real alcanzada ni la secuencia completa de autorizaciones y comunicaciones y coordinaciones que llevó a que dos aviones comerciales terminasen en la misma aerovía, al mismo nivel y en sentidos opuestos. Por tanto, conviene tratar con cautela cifras como la de «menos de dos millas» que han aparecido en algunos medios y esperar a que la CIAIAC publique los datos concretos. Sin embargo, el episodio ha sido presentado como una demostración del mérito de las tripulaciones y como una especie de desmentido frente a quienes defienden una mayor automatización de la cabina.
El planteamiento es atractivo, pero también bastante artificial. Me explico…
Las tripulaciones están obligadas por procedimiento a seguir las resoluciones del TCAS. Hacerlo
correctamente tiene mérito profesional, especialmente porque se trata de una situación súbita, infrecuente
y potencialmente crítica. Sin embargo, no sabemos todavía si la maniobra del Airbus fue ejecutada manualmente por sus pilotos o ejecutada automáticamente por el sistema AP/FD TCAS. Esta segunda
posibilidad no reduciría el valor de la actuación de la tripulación ni convertiría a los pilotos en innecesarios. Significaría algo que creo es mucho más relevante: que otra capa del sistema de seguridad funcionó como debía. Porque la clave aquí no es elegir entre personas y máquinas, sino en comprender cómo se distribuyen las funciones entre ambas cuando quedan pocos segundos para impedir una colisión.
La última barrera
Empecemos por el principio. ¿Qué es exactamente el TCAS, para qué sirve y cómo funciona?.
El Traffic Alert and Collision Avoidance System (TCAS) es la implementación más conocida del concepto que la Organización de Aviación Civil Internacional denomina ACAS, Airborne Collision Avoidance System.
Se trata de un sistema que funciona con independencia del control de tráfico aéreo, «llamando» a los transpondedores de las aeronaves cercanas para así obtener su distancia, altitud y evolución vertical. De
esta forma es capaz de calcular en tiempo real si las trayectorias pueden aproximarse peligrosamente. Su lógica no se basa únicamente en determinar cuántas millas separan a los aviones, sino que también es capaz de evaluar el tiempo que queda hasta el punto de máxima aproximación, conocido como CPA o closest point of approach. Cuando el TCAS detecta un tráfico que merece atención, puede generar dos tipos principales de aviso. Un TA, Traffic Advisory, alerta a la tripulación para que busque el otro avión y se prepare para una posible resolución. El mensaje audible habitual es «TRAFFIC, TRAFFIC». Si el riesgo aumenta, el sistema emite una RA, Resolution Advisory. En TCAS II, estas resoluciones actúan en el plano vertical y pueden ordenar ascender, descender, nivelar o modificar la velocidad vertical.
Cuando los dos aviones disponen de TCAS II y transpondedores Mode S compatibles, los sistemas intercambian sus intenciones. Si uno selecciona una resolución ascendente, comunica al otro que debe restringir su selección a una resolución descendente. El resultado son instrucciones complementarias que
reducen el riesgo de que ambas tripulaciones maniobren en el mismo sentido.
Algo importante que debemos tener en cuenta es que no es el controlador quien decide cuál asciende y
cuál desciende. Tampoco son los pilotos quienes deben ponerse de acuerdo por radio. La coordinación se
produce directamente entre los sistemas de los dos aviones y se actualiza continuamente mientras
permanece activa la resolución.
Por eso el TCAS se considera una defensa de último recurso. La separación ordinaria debe ser garantizada
por la planificación del espacio aéreo, los procedimientos, la vigilancia y el control de tránsito. El TCAS
interviene cuando esas barreras anteriores no han impedido que dos trayectorias lleguen a ser
potencialmente incompatibles.
Que se genere una RA no demuestra por sí solo que una colisión fuese inevitable ni permite conocer la
distancia mínima que se habría producido sin maniobrar. Sí demuestra que, de acuerdo con los parámetros
y predicciones del sistema, se había alcanzado un umbral en el que ya no era prudente confiar
exclusivamente en las defensas anteriores.
Cerritos y el final de «ver y evitar»
En contra de lo que se suele decir, la idea de instalar sistemas anticolisión a bordo no nació con el
accidente de Cerritos, pero aquella catástrofe aceleró decisivamente su implantación. El 31 de agosto de
1986, el vuelo 498 de Aeroméxico, operado por un McDonnell Douglas DC-9, se aproximaba al
aeropuerto de Los Ángeles cuando colisionó con un Piper PA-28 que había penetrado sin autorización en
el espacio aéreo controlado. Murieron las 64 personas que viajaban en el DC-9, las tres que ocupaban el
Piper y otras 15 en tierra. En total, 82 víctimas.
El accidente puso de manifiesto las limitaciones de un sistema que seguía confiando, en parte, en que los
pilotos pudiesen ver y evitar visualmente a otras aeronaves, incluso en zonas de tráfico intenso y durante
fases de elevada carga de trabajo. En concreto, la NTSB concluyó que el sistema de control no había
proporcionado una protección suficiente frente a la colisión y reiteró la necesidad de acelerar el desarrollo, certificación e instalación del TCAS.
En diciembre de 1987, el Congreso de Estados Unidos aprobó una ley que obligaba a acelerar el
programa. La FAA publicó posteriormente una norma que exigía TCAS II en los aviones de transporte de
pasajeros con más de 30 asientos que operasen en el espacio aéreo estadounidense. El plazo inicial
terminó siendo ampliado hasta finales de 1993.
Charkhi Dadri y la necesidad de extender la protección
Diez años después, el 12 de noviembre de 1996, un Boeing 747 de Saudi Arabian Airlines que había
despegado de Delhi y un Ilyushin Il-76 de Kazakhstan Airlines que se aproximaba a la ciudad
colisionaron cerca de Charkhi Dadri, en India. Murieron las 349 personas que viajaban en ambos
aviones. Sigue siendo, a día de hoy, la colisión en vuelo con mayor número de víctimas de la historia.
El 747 había sido autorizado a mantener 14.000 pies. El Il-76 debía estabilizarse a 15.000, pero descendió
por debajo del nivel asignado y entró en la trayectoria del Boeing. La investigación señaló problemas de
disciplina de altitud, comunicación, competencia lingüística y coordinación dentro de la cabina kazaja,
pero lo realmente relevante para lo que queremos contar hoy es que ninguno de los dos aviones disponía
de TCAS. La comisión de investigación recomendó, entre otras medidas, la instalación obligatoria de
sistemas anticolisión, la introducción de radar secundario y una mejor separación entre los corredores de
llegada y salida.
El accidente contribuyó al impulso internacional para extender el ACAS II más allá de Estados Unidos. La
OACI fue introduciendo progresivamente requisitos mundiales para determinados aviones de transporte,
acompañados de la obligación de utilizar transpondedores capaces de proporcionar la altitud necesaria
para generar resoluciones coordinadas.
Überlingen y la orden que debe prevalecer
Pero disponer de TCAS no basta. Las tripulaciones deben obedecer sus resoluciones y entender por qué,
durante unos segundos, tienen prioridad sobre las instrucciones del controlador.
La noche del 1 de julio de 2002, un Tupolev Tu-154 de Bashkirian Airlines y un Boeing 757 carguero de
DHL volaban a FL360 sobre el sur de Alemania, dentro de un sector controlado desde Zúrich por la empresa suiza Skyguide. El controlador aéreo detectó el conflicto demasiado tarde y ordenó al Tupolev que descendiera. Casi simultáneamente, los TCAS de ambos aviones se coordinaron. El sistema del Tupolev ordenó ascender y el del Boeing ordenó descender. La tripulación del 757 obedeció la RA y comenzó el descenso. En el Tupolev se produjo una discrepancia. El copiloto advirtió que el TCAS estaba ordenando ascender, pero el comandante decidió seguir la instrucción del controlador y continuar descendiendo. Ambos aviones descendieron.
Los TCAS reforzaron sus órdenes. El del Boeing pidió aumentar el descenso y el del Tupolev insistió en
aumentar el ascenso. Este último continuó bajando. Resultado: ambos aviones colisionaron a unos 34.890
pies. Murieron sus 71 ocupantes.
La investigación alemana identificó dos causas inmediatas. El conflicto no fue advertido por ATC con
tiempo suficiente y la tripulación del Tupolev siguió una orden de descenso contraria a su RA. También
detectó un problema sistémico. Las normas, manuales y programas de formación internacionales no eran
todavía suficientemente uniformes y algunos podían inducir a interpretar que el TCAS era un mero
respaldo subordinado al controlador.
Después de Überlingen, el principio quedó formulado de manera inequívoca. Una tripulación debe seguir una RA aunque contradiga una instrucción del control, salvo que hacerlo ponga en peligro el avión por otro motivo, como una pérdida, una alerta de cizalladura o una advertencia de proximidad al terreno. El controlador puede desconocer qué resolución está recibiendo cada aeronave ya que él no participa en la coordinación entre los dos equipos TCAS y puede estar trabajando con datos menos recientes. Por ello, cuando una tripulación comunica «TCAS RA», el controlador deja de intentar modificar su trayectoria hasta que se declare «CLEAR OF CONFLICT».
El Potomac y el límite de la protección a baja altura
La colisión del Potomac muestra el problema contrario. A veces la última barrera no puede generar una
resolución, aunque el conflicto sea real.
El 29 de enero de 2025, el vuelo 5342 de American Eagle, operado por PSA Airlines con un CRJ700,
realizaba una aproximación nocturna al aeropuerto Ronald Reagan de Washington. Al mismo tiempo, un
helicóptero militar Sikorsky UH-60L Black Hawk recorría una ruta visual sobre el río Potomac. Ambas
aeronaves colisionaron a aproximadamente media milla del aeropuerto, muriendo los 64 ocupantes
del avión y los tres del helicóptero.
Aquí el CRJ sí disponía de TCAS II. Su sistema detectó al helicóptero y generó un TA cuando el avión se
encontraba a unos 448 pies de altitud sobre el terreno, aproximadamente veinte segundos antes de la
colisión. La tripulación oyó «TRAFFIC, TRAFFIC», pero no recibió una RA que le indicase ascender,
descender o nivelar. Sin embargo, esta ausencia de RA no se debió a un fallo del equipo. El sistema
funcionó tal y como estaba diseñado para funcionar. Aun así, no pudo evitar la colisión. ¿Por qué?
Durante el descenso, el TCAS del CRJ pasaba a modo TA ONLY por debajo de aproximadamente 900
pies sobre el terreno. En ese modo podía mostrar el tráfico y emitir determinados avisos, pero tenía
inhibida la generación de resoluciones. La expresión habitual de que «el TCAS no funciona por debajo de
1.000 pies» es, por tanto, inexacta. El sistema puede seguir detectando y presentando tráfico. Lo que se
inhibe es su capacidad de ordenar una maniobra vertical y, a alturas todavía menores, también
determinadas alertas sonoras.
Tampoco sería exacto explicar esta inhibición exclusivamente por el riesgo de que un descenso ordenado
por TCAS llevase al avión contra el terreno. Ese riesgo existe y las alertas de pérdida, cizalladura y
proximidad al suelo tienen prioridad. Sin embargo, el informe final de la NTSB recuerda que los
umbrales de inhibición se establecieron también por las limitaciones tecnológicas disponibles cuando se
desarrolló el sistema y por la necesidad de evitar numerosas alertas no deseadas provocadas por
aeronaves situadas en tierra o por tráficos legítimamente próximos durante despegues y aproximaciones.
Los transpondedores Mode S permitieron posteriormente distinguir mejor entre aeronaves en vuelo y en
tierra, pero los umbrales heredados no fueron reducidos de forma general.
La NTSB calculó que una variante más avanzada, ACAS Xa, podría haber advertido antes a los pilotos del
CRJ. Sus simulaciones indicaron además que reducir de forma segura las altitudes de inhibición habría
permitido generar una resolución y disminuir muy significativamente el riesgo de colisión en aquella
geometría. Así, el organismo investigador recomendó estudiar esa modificación, acelerar la implantación
de ACAS X y desarrollar ACAS Xr, una variante específicamente adaptada a helicópteros.
El accidente del Potomac revela así una limitación. El entorno donde las aeronaves vuelan físicamente
más próximas, alrededor de aeropuertos y rutas de helicópteros, es también uno de aquellos en los que el
TCAS tradicional dispone de menor capacidad para ordenar una evasión.
¿Quién ejecutó la maniobra sobre Canarias?
Volvamos al incidente entre Iberia y Air Europa.
En un sistema TCAS convencional, la RA aparece en los instrumentos y se acompaña de una orden
sonora. El piloto automático se desconecta y el piloto a los mandos (pilot flying) modifica el cabeceo
hasta situar la velocidad vertical fuera de la zona prohibida y dentro de la requerida por la resolución. La
cuestión es que no todos los aviones funcionan ya de esa manera.
Airbus desarrolló hace algún tiempo el AP/FD TCAS, una integración entre el sistema anticolisión, el
piloto automático y el flight director. Cuando el piloto automático está conectado, el avión puede seguir
automáticamente la RA. Eurocontrol señala que esta función se encuentra instalada en todos los A350 y
A380, en los A330 producidos desde abril de 2012 y en los miembros de la familia A320 fabricados desde
febrero de 2017. También afirma que, por diseño, la respuesta proporcionada por AP/FD TCAS es
equivalente o mejor que una RA volada manualmente.
El A321 de Iberia implicado en el incidente es un avión de fabricación reciente. Por tanto, resulta
técnicamente razonable pensar que disponía de AP/FD TCAS. No obstante, eso no permite afirmar
necesariamente que el descenso fuera automático. Para determinarlo sería necesario conocer, al menos, si
la función se encontraba operativa, si el piloto automático estaba conectado cuando se generó la RA y qué
modos quedaron registrados tanto en los ordenadores de vuelo y en el FDR y eso es algo que no podemos
saber con la información pública disponible. Habrá que esperar al informe oficial para conocer los
detalles.
En el Boeing 787, la respuesta ordinaria a una RA sigue la filosofía convencional de desconectar el piloto
automático y ejecutar manualmente la resolución. Sin disponer todavía de los datos de la investigación,
tampoco puede afirmarse cómo se ejecutó exactamente la maniobra en el EC-NBM.
Por ello, atribuir de forma categórica a las dos tripulaciones la ejecución manual de las maniobras va más
allá de lo que sabemos. Una pudo ser manual y la otra automática. También pudieron ser ambas manuales.
En cualquier caso, esto es algo que me da la oportunidad de hablar de la última pata del taburete: la
automatización.
Las ventajas de una RA automática
La primera ventaja de automatizar la maniobra es la reducción del tiempo de respuesta. Es evidente que
un ordenador tiene la capacidad de responder de forma casi instantánea. Un humano no. Hay que tener en
cuenta que una RA se produce en un entorno de gran presión temporal. La tripulación debe reconocer la
alerta, identificar la orden, abandonar la tarea que estuviese realizando, desconectar la automatización
cuando corresponda y aplicar una corrección suficientemente rápida y precisa.
AP/FD TCAS reduce esa cadena. Cuando el piloto automático está conectado, el nuevo modo se activa y
guía el avión hacia la velocidad vertical requerida. Esto disminuye el riesgo de una respuesta tardía.
La segunda ventaja es que reduce las reacciones incorrectas. Los estudios de factores humanos y la
experiencia operacional han mostrado respuestas excesivas, insuficientes e incluso realizadas en sentido
contrario al indicado. La automatización no va a interpretar nunca «CLIMB» como «DESCEND», no va a
plantearse siquiera si seguir la orden del controlador o la RA y no necesita unos segundos para reconstruir
qué está ocurriendo.
La tercera ventaja es la precisión. El objetivo del TCAS no consiste en producir la máxima separación
posible, sino en obtener la separación necesaria con una alteración mínima de la trayectoria. Una
maniobra excesivamente agresiva puede generar desviaciones de altitud innecesarias, molestias o lesiones
en la cabina (un buen momento para recordar al lector que es mejor volar siempre con el cinturón de
seguridad abrochado) y nuevos conflictos con otros tráficos.
AP/FD TCAS dirige el avión hacia la velocidad vertical calculada, incorporando un pequeño margen que
permite comprobar que se ha salido de la zona prohibida. Una vez declarado el fin del conflicto, guía
suavemente el regreso hacia la altitud seleccionada.
La cuarta ventaja es la reducción de la carga de trabajo. Los pilotos no desapareces del proceso, sino
que pasa a supervisar que el modo TCAS se haya activado realmente, que la velocidad vertical
corresponda con la resolución, que la trayectoria permanezca dentro de la envolvente de vuelo y que no
aparezca ninguna alerta de mayor prioridad. En otras palabras, supervisa lo que hace el ordenador. Al
mismo tiempo, puede gestionar las comunicaciones, vigilar el tráfico, controlar los parámetros de la
aeronave y prepararse para intervenir.
Airbus lo tiene claro y considera que esta integración reduce el estrés y disminuye las respuestas
tardías, excesivas o contrarias, además de mejorar la gestión posterior al aviso «CLEAR OF
CONFLICT».
La quinta ventaja es la coherencia entre las dos aeronaves. El TCAS ha calculado una solución
basándose en que cada avión adoptará una determinada velocidad vertical dentro de un plazo concreto.
Cuanto más precisa sea la respuesta real respecto a ese modelo, mayor será la fiabilidad del resultado
previsto. En ese sentido, automatizar la ejecución lo que hace no es tanto añadir una decisión nueva, sino
ejecutar con precisión una decisión que el sistema ya ha tomado y que el piloto está obligado
reglamentariamente a seguir.
Personas y máquinas dentro del mismo sistema
Al contrario que Cerritos, Charkhi Dadri, Überlingen o la colisión sobre el Potomac, el incidente de
Canarias de hace unos días parece, por ahora, un caso en el que las barreras de seguridad funcionaron
perfectamente y evitaron una colisión en vuelo. La investigación deberá determinar por qué llegaron al
mismo nivel, cuál fue la separación mínima y cómo respondió cada aeronave. Hasta entonces, cualquier
afirmación sobre errores concretos, distancias o ejecución manual debe considerarse provisional.
Lo que sí puede afirmarse (y me gustaría insistir en ello) es que no hubo una «competición» entre pilotos y
automatización. El TCAS detectó y resolvió matemáticamente el conflicto. Las tripulaciones siguieron o
supervisaron sus instrucciones. El sistema de guiado pudo ejecutar automáticamente al menos una de las
maniobras y los pilotos mantuvieron la responsabilidad de vigilar el resultado, comunicarlo y asumir el
control si aparecía cualquier anomalía.
Eso es precisamente una defensa en profundidad. Varias capas que existen porque se acepta que la anterior
puede fallar. Por eso me parece muy poco útil presentar este episodio como una reivindicación de los
pilotos frente a las máquinas como ha hecho algún medio. La lección es bastante más interesante:
comprender que la seguridad no depende de elegir entre el ser humano y la automatización. Depende de
que ambos hagan exactamente aquello para lo que fueron diseñados.