¿Puede un error de un solo controlador de tráfico aéreo causar una colisión entre aviones?

No he visto el episodio de Breaking Bad, pero en mi experiencia, cualquier escena relacionada con la aviación en películas y series suele llevar la realidad más allá del punto de quiebre.

Pero es posible que un solo error pueda causar un accidente. Sin embargo, la probabilidad de que eso suceda es extremadamente remota.

Por lo general, hay una serie de barreras de seguridad (también llamadas capas defensivas) en el sistema ⁽¹⁾ que evitan que cualquier error simple se convierta en una colisión. Sin embargo, cada barrera tiene una pequeña probabilidad de no detectar el problema (por ejemplo, debido a que no es perfecta o se encuentra en estado de mantenimiento/falla), por lo que eventualmente podría producirse un bloqueo por un solo error.

Esto a menudo se denomina modelo de queso suizo (originalmente de Reason, J. (1990) Human Error. Cambridge: University Press, Cambridge).

Cuando ocurre un accidente, a veces se escucha la frase "todos los agujeros en el queso suizo alineados", y ahora sabes por qué.

Si bien el primer agujero puede ser el error de un controlador, los otros agujeros pueden no ser errores, pero ciertamente son circunstancias raras y fallas en el sistema. La investigación de accidentes se enfoca en identificar estos factores contribuyentes.

En el accidente de Überlingen mencionado por Portree Kid, se han identificado dos causas inmediatas ⁽²⁾ :

1. ATC no se dio cuenta a tiempo de la infracción de separación inminente. La instrucción de descenso del TU154M se dio en un momento en el que ya no se podía asegurar la separación prescrita con el B757-200.
2. La tripulación del TU154M siguió la instrucción ATC de descender y continuó haciéndolo incluso después de que TCAS les aconsejara ascender. Esta maniobra se realizó en contra del TCAS RA generado.

La primera causa puede ser vista como un error por parte del controlador, sin embargo, ese error solo podría ocurrir debido a una serie de factores contribuyentes (causas sistémicas):

• La gestión y el aseguramiento de la calidad de la empresa de servicios de navegación aérea no garantizaron que durante la noche todos los puestos de trabajo abiertos estuvieran continuamente atendidos por controladores.
• La gestión y aseguramiento de la calidad de la empresa de servicios de navegación aérea toleró durante años que en las horas de poco tránsito nocturno solo un controlador trabajaba y el otro se retiraba a descansar.

Además de lo anterior, el sistema de alerta de conflictos a corto plazo (STCA) no mostró conflictos al controlador de tránsito aéreo debido al mantenimiento (no enumerado como causa en el informe, pero discutido en el texto).

La segunda causa no es un error de la tripulación del TU154M, sino una falla latente en la forma en que se introdujo el ACAS/TCAS II. Nunca nadie brindó orientación sobre qué hacer si el controlador y el TCAS dieron instrucciones contradictorias.

En el informe esto se identifica como una causa sistémica:

• La integración del ACAS/TCAS II en el sistema de aviación fue insuficiente y no se correspondía en todos los puntos con la filosofía del sistema. Las reglamentaciones relativas al ACAS/TCAS publicadas por la OACI y, en consecuencia, las reglamentaciones de las autoridades aeronáuticas nacionales, las instrucciones operativas y de procedimiento del fabricante del TCAS y los operadores no estaban estandarizadas, eran incompletas y parcialmente contradictorias.

Entonces, si bien el accidente fue causado por un solo error del controlador, también hubo muchas fallas en el sistema, que en conjunto permitieron que el error se convirtiera en un accidente.

⁽¹⁾ Por sistema me refiero al sistema de aviación en su conjunto, no solo a los sistemas de control de tráfico aéreo (informático).

⁽²⁾ Informe de accidente de Überlingen

Al ver esto como un acto deliberado, es realmente posible, pero aún se necesitaría el elemento de oportunidad para que funcione. Hay tecnología diseñada para prevenir tal ocurrencia:

• software ATC. La imagen que ve ATC es generada por computadora con mucha información adicional, y busca colisiones potenciales y alertas para ellas. Creo que el sistema de EE. UU. envía señales de audio y visuales llamadas "ofertas"
• Los aviones comerciales por encima de cierto tamaño casi siempre están equipados con TCAS (Traffic Collision Avoidance System) que advertirá a los pilotos sobre posibles colisiones y les indicará que asciendan o desciendan.
• El ojo humano: los pilotos a menudo están mirando y pueden detectar un conflicto potencial

Por lo tanto, un controlador que desee provocar una colisión podría poner 2 aviones sin TCAS en curso de colisión con mal tiempo o en la oscuridad, luego ignorar los mensajes de conflicto automatizados y provocar una situación muy peligrosa. Eso no garantiza una colisión ya que hay mucho espacio aéreo allá arriba, por lo que el controlador podría hacer todo ese trabajo diligente y solo "casi falla".

En cuanto a los accidentes, sí, los errores del controlador han provocado colisiones en el pasado. Por lo general, es una cascada de errores en lugar de un solo error.

No solo es posible, sino que realmente ocurrió en el sur de Alemania .
Debido a que otro controlador descansaba, un controlador estaba observando dos estaciones de trabajo. Justo antes del accidente, se dio cuenta de la situación y le dijo a un avión que descendiera. Desafortunadamente, TCAS alertó al otro avión para que también descendiera. El primer avión ignoró las instrucciones del TCAS para ascender y ambos aviones chocaron matando a 71 personas. El controlador fue asesinado más tarde por un pariente afligido.

Este se remonta a un largo camino, pero sí. (principios de los 70) El centro dividió un vuelo de 4 F-4 en 2 vuelos de 2 sobre Florida, los apiló sobre una ayuda para la navegación en el patrón de espera. El controlador confundió los distintivos de llamada y descendió el vuelo superior de 2 a través del 2 sosteniendo mil pies por debajo. Un F-4 perdió el estabilizador vertical, ambos pilotos aterrizaron de manera segura después de una caída de nailon. El otro F-4 en el aire perdió 6 pies de ala y aterrizó de manera segura enganchando el cable de detención BAK-9 del extremo de aproximación.

Seguro. Me dieron un rumbo incorrecto para volar que podría haber sido trágico (volar hacia una montaña u otro avión). Al igual que los pilotos, los controladores pueden perder el conocimiento de la situación. Especialmente teniendo en cuenta sus horarios que los hacen trabajar en turnos locos con un mínimo de tiempo de inactividad/sueño.