En el número A/L-421 publicamos la primera parte de este trabajo, introduciendo el concepto de las operaciones con piloto único a bordo. Vimos allí aspectos de seguridad en vuelo en este entorno de cabina. En la segunda nos ocuparemos de dos apartados fundamentales: consideraciones sobre la carga de trabajo del piloto y, sobre todo, del problema de la incapacitación del único a bordo, bien temporal, progresiva o determinante. La última parte del reportaje (III) tratará de las alternativas en estudio para estas situaciones extremas, pues la solución debe resolverse para la condición más crítica.

• Operaciones aéreas con un solo piloto (I) Conceptos y presentaciones económicas y de seguridad
• Operaciones con piloto único a bordo en líneas aéreas (y III): Alternativas para sustitución del copiloto

La cuestión inicial es considerar la carga de trabajo del piloto en la cabina de vuelo, puesto que se trata de suprimir uno de los puestos actualmente existentes en ella. En situaciones normales, un piloto al mando de Boeing 777, pongo este ejemplo como avión anterior a la última generación y en largas distancias, se ocupa de los mandos unos 7 u 8 minutos durante el trayecto, digamos que los toca durante ese período de tiempo, más o menos. El resto del tiempo es automático y supervisado por los pilotos. En el caso de aviones de Airbus, o del 787 de Boeing, se ocupa aún menos tiempo en el control directo de vuelo, pues son aeronaves más automatizadas que el anterior citado. 

Estado del Boeing 777-200ER de Asiana después de realizar una aproximación visual al aeropuerto de San Francisco (foto NTSB).

Desde este punto de vista podría argüirse que, dado el poco tiempo de control manual necesario en los aviones actuales, ¿para qué vamos a ocuparnos de los esquemas de carga de trabajo del piloto en cabina? Y esto es así porque, aún en situaciones normales de vuelo, nada emergentes, es obligado hablar de carga física y de mental del piloto, que son distintas, como reconoce la sicología aeroespacial. La primera se refiere al número de acciones que debe completar el piloto en un tiempo muy concreto y determinado; la carga mental se refiere a la capacidad cognitiva que tiene el piloto en comparación con la demanda, también cognitiva, que exige una tarea determinada para completarla. Por sencillez podemos agrupar ambas parcelas como carga de trabajo, sin más categoría, pues admitimos que el piloto está entrenado y dispone de los recursos cognitivos necesarios. 

Así, se admite a nivel profesional que existe alta carga de trabajo en ciertos momentos de la operación de vuelo y, por supuesto, otras emergentes, que en su conjunto citamos como ejemplos: comunicaciones, diagnóstico de averías o mal funcionamiento de sistemas a bordo, gestión de esos fallos, navegación, meteorología muy adversa, gestión de la configuración de la aeronave (tren de aterrizaje, flaps, etc.), gestión de las modificaciones de autorizaciones (típicamente en la proximidad de los aeropuertos) y de desvíos al aeropuerto alternativo, aproximaciones para aterrizaje en pistas paralelas poco distantes, descensos con perfil optimizado, selección de modo de los componentes automáticos, vigilancia de riesgos externos (intrusiones en pista, tráficos próximos y anticolisión), ejecución de procedimientos de emergencia y anormales, tratamiento de la descompresión rápida de cabina, supervisión de la evacuación de emergencia y un amplio etcétera.

Automatización 

En aviones de última generación cabe decir que algunos procedimientos de emergencia de los citados están también automatizados, por ejemplo, la salvaguarda de la colisión en el aire con otra aeronave. Los aviones de Airbus implantan en los ordenadores de vuelo un modo automático que ejecuta una maniobra de evasión si se detecta que existe riesgo, el llamado modo AP/FD TCAS (Autopilot/Flight Director Traffic Collision Aviodance System). Si hay tráfico de otra aeronave en la vecindad los pilotos reciben avisos, audio e instrumentales de su presencia. Ahora bien, si el sistema reconoce que hay riesgo próximo de colisión lo que reciben es la llamada advertencia de resolución que significa que hay que hacer algo para evitarla. 

Pantalla con información de tráfico proporcionada por el TCAS.

Esta acción evasiva se ejecuta normalmente mediante el cambio de la velocidad vertical del avión y, desde luego, puede hacerse de forma manual, siguiendo las instrucciones verticales y/u horizontales que para estos casos aparecen en los instrumentos. Ahora bien, si el piloto automático (AP) está conectado, el sistema ejecutará la maniobra de evasión de forma automática. Con el AP desactivado, como hemos dicho, el piloto puede volar la maniobra de resolución manualmente, siguiendo la guía instrumental. Más aún, hoy día casi todos los aviones pueden aterrizar en modo automático. Si el sistema de aterrizaje instrumental en la pista 28L del aeropuerto de San Francisco hubiera estado en servicio y el piloto de un Boeing 777-200ER de Asiana hubiera armado el “autoland” de la aeronave, el accidente del 6 de julio de 2013 no se hubiera producido y el avión habría aterrizado de forma automática.

Queremos decir con esto que el piloto único a bordo, según el nuevo concepto que se desarrolla, debe ejecutar o supervisar estos procedimientos y en muchos de ellos necesitará soporte, el que no tendrá ahora con el segundo piloto, con el que no que podrá hablar, tampoco vigilar el comportamiento del compañero para alcanzar la toma de decisión más adecuada. Más sencillo aún, sentirse acompañado en un momento de tensión emocional por una advertencia de seguridad en vuelo recibida. O si se quiere, en larga distancia, tener alguien con quien mitigar el aburrimiento. Entonces, el hecho de que un piloto de 777 vuele realmente el avión 7 minutos a lo largo de su extensa ruta es un acontecimiento que puede deslizarse hacia la anécdota, considerando que el esquema de piloto único debe resolverse para la situación más crítica previsible.

Para responder de forma teórica a esta situación multidisciplinar los especialistas que se ocupan de este tema en NASA, EASA, FAA (organizaciones gubernamentales) junto a fabricantes de aviones como Airbus, Embraer (especialmente activa en el tema) y Boeing, han hecho y elaboran diversas investigaciones, según las cuales la adaptación a piloto único en aviación comercial podría presentarse según dos modos básicos de actuación: El primero de ellos es un híbrido que consiste en mantener un cierto nivel de automatismo en la cabina de vuelo más la existencia de soporte externo al propio vuelo, por ejemplo un piloto con calificación suficiente en tierra que cuenta con enlace directo con el avión. 

Esto significa “acceso” a los mandos de vuelo. Viene en llamarse esta solución como “modo de piloto único distribuido”. Un ejemplo sería el piloto único a bordo y otro en una estación en tierra con capacidad de tomar el mando de la aeronave si se reconoce que el piloto de a bordo no controla el avión, digamos, por sencillez, al estilo de modo de piloto de aeronave no tripulada. Nótese que, así las cosas, si uno de los soportes hacia la iniciativa de piloto único se orienta al estado financiero de la compañía aérea (aparte de la supuesta escasez futura de pilotos) puede preguntarse: ¿qué ventaja económica hay para la compañía aérea?

Intervención

El concepto que se abre paso en este asunto es que el piloto de tierra interviene en aquella situación donde hay un piloto en el aire de su compañía con exceso de carga de situaciones anormales, tanto del propio avión y sus sistemas como fisiológicas del que está a bordo. En situaciones normales el piloto en tierra formaría parte de una organización de agentes y medios de apoyo en tierra que gestionaría el conjunto de aviones de la compañía a lo largo de sus rutas. Otro modo o alternativa incluida en el nuevo concepto de operación es el llamado modo de piloto único con alternativa centrada en el avión. En este caso toda situación anormal se resuelve dentro de la aeronave. 

La opción más directa para este modo centrado consiste en automatizar por completo las funciones que antes realizaba el segundo piloto. Y no son sencillas. Así, por ejemplo, el copiloto virtual –valga la categoría- debería tener capacidad suficiente de procesar el lenguaje natural, esto es, debe permitir al piloto único la opción de solicitar al copiloto virtual que ejecute ciertas acciones, como sucede en la cabina estándar de 2 pilotos, y que éste las reconozca y ejecute. En caso extremo, si el piloto único es incapaz de volar el avión, porque entra en estado de incapacitación, el copiloto virtual debería asumir el control de vuelo y aterrizar la aeronave, dada la incapacidad del piloto humano al mando para ejecutarla. Vemos que la cuestión tampoco es sencilla de resolver en este ejemplo, porque el piloto virtual debe reconocer que el que está al mando está incapacitado antes de tomar el control del avión. 

Es regla de oro a bordo que en la toma de decisión final no puede existir duda de quién controla la aeronave. Otros ejemplos de este modo serían la presencia de un segundo piloto que viaja en el avión (pero no en funciones de vuelo), esto es, las asumiría en situaciones anormales. También, en fin, hay quien piensa que la situación podría resolverse con un tripulante de cabina (entrenado para ello) que pueda hacerse cargo de los mandos..., pero es una solución que sólo tiene cabida en el análisis morfológico del esquema de soluciones que tratamos. Como hemos dicho, de estas situaciones nos ocuparemos en la parte III del reportaje. Hablemos ahora de una cuestión clave.

Incapacitación del piloto

La opción de eliminar el segundo puesto de piloto pivota en torno a una derivada fundamental: la incapacitación que puede sufrir para volar el piloto único a bordo. En principio, señalaremos que la incapacidad del piloto al mando para realizar las funciones de vuelo no es novedad. Es tan antigua como la propia aviación. De hecho, los 2 primeros accidentes aéreos que se atribuyen a incapacidad del piloto sucedieron en 1911, ocho años después del vuelo de los hermanos Wright, aunque hay indicios históricos actualmente que estos 2 accidentes apuntan más a la pérdida de control de vuelo que a la incapacitación como factor causal principal. 

Sea como fuere, la pequeña historia de esta incidencia recorre todos los años de la actividad aérea, como en la II Guerra Mundial, tan extensa en incapacitación de personal de vuelo por problemas músculo-esqueléticos, cardíacos y, en particular, psiquiátricos. El estado de incapacidad en vuelo del piloto único es la situación más comprometida a que se enfrenta el modelo de cara futura a su certificación por parte de aviación civil. A estos efectos conviene señalar que se distinguen en medicina aeronáutica dos términos: incapacidad y deficiencia. 

La incapacitación (médica) para vuelo es la condición según la cual un miembro de la tripulación es incapaz de realizar cualquier tarea de vuelo. En términos de registro, hay estados que aplican un tiempo mínimo de 10 min. en este estado para catalogar tal incidencia médica en vuelo, es decir, en categoría de incapacitación plena. La definición más aceptada de deficiencia (Evans y Radcliffe) es: “Incapacidad parcial asociada a síntomas que provocan, o podrían provocar, una reducción de las funciones o una distracción de la tarea funcional de la tripulación de vuelo”. El piloto, pues, puede realizar tareas de vuelo limitadas, aunque su rendimiento puede estar degradado.

El Manual de Medicina Aeronáutica Civil de la OACI (Organización de la Aviación Civil Internacional) cita un modelo matemático de probabilidad de incidencias médicas de pilotos a partir de la epidemiología de la insuficiencia coronaria, elegida ésta porque puede aplicarse a otros estados de salud (convulsión, apoplejía, etc.). Se conoce por la regla del 1 por ciento. Señala el límite común de riesgo para validación del certificado médico de piloto de línea aérea. Asume que el riesgo de incapacitación es del 1 por ciento anual, es decir, suponiendo que haya 100 pilotos que padecen la misma afección, uno de ellos tendrá un episodio de incapacitación en el entorno de los 12 meses de ese año, mientras que los restantes 99 pilotos no lo tendrán. Los estudios realizados en este campo muestran que el riesgo de incapacitación es bajo para edades inferiores a cuarenta años, aumenta por encima de los cincuenta y se eleva por encima de los sesenta. 

A los sesenta años los datos muestran una tasa media de incapacitación de aproximadamente 1,2 por ciento. El modelo matemático de la OACI se orienta a términos de licencia de piloto y parece claro que, desde el punto de vista de certificación del procedimiento de piloto único, la autoridad reguladora deberá conocer y concretar las incidencias de incapacidad o deficiencia que se producen en vuelo. Igualmente ocurre con las declaradas por los propios pilotos cuando están fuera de servicio (digamos que, hasta el momento, aunque se ha estudiado, no se ha encontrado correspondencia entre las incidencias médicas declaradas por pilotos fuera de servicio con las que se producen en vuelo, en servicio).

La estadística

Los datos estadísticos de incapacidad más concluyentes, y que forman parte de todos los estudios, fueron los realizados por DeJohns, de la de FAA (Federal Aviation Administration), publicados en “Flight Safety Digest” en 2005; y el realizado por Evans y Radcliffe en el Reino Unido, en 2012 en “Aviation, Space, and Environmental Medicine”. No son recientes, pero muy predictivos, Ambos coinciden en plano general y están sirviendo de base a la investigación en este campo. DeJohns encontró 39 incapacitaciones y 11 deficiencias en pilotos con licencia ATPL (Airline Transport Pilot Licence) en 47 vuelos durante el periodo que va de 1993 a 1998 (en 3 de los vuelos, más de un piloto se vio afectado).

Las compañías aéreas estadounidenses volaron durante los años citados un total de 85.732.000 h. y, por lo tanto, el índice de incapacidad en vuelo fue de 0,045 por cada 100.000 h. (4,5e-7 en forma exponencial). Esto corresponde a la ocurrencia de un caso de incapacidad cada 1,85 meses, o cada 2,2 millones de h. de vuelo, retengamos este dato. En el período contemplado hubo 2 accidentes aéreos (no mortales) debidos a deficiencias médicas de los pilotos. Uno tuvo su origen en la insuficiencia visual del piloto, que usó lentes de contacto monovisión durante una aproximación. El otro fue por fatiga de la tripulación de vuelo. 

El estudio completo (DOT/FAA/AM-04/16) recoge también que hubo situaciones donde se vio afectada la seguridad en vuelo de la aeronave. Ocurrió en 7 de los 47 vuelos en los cuales hubo incapacitación y/o deficiencia. La edad media de los 7 pilotos implicados fue de 48,4 años.  He aquí un par de casos que citamos como ejemplos causales. Un copiloto de Boeing 737 de 45 años, que sufría abstinencia de alcohol, entró en convulsión y extendió los brazos hacia arriba, rígidos, empujó a fondo el pedal derecho y se desplomó sobre el volante de mando cuando la aeronave estaba en aproximación a pista. El avión descendió a 300 m. del nivel del suelo, en viraje no coordinado, antes de que la tripulación auxiliar pudiera retirar al copiloto de los mandos, lo que permitió al comandante recuperar el control del avión. 

En otro suceso, el pie del copiloto, que estaba en ese momento al mando de un DC-9, se quedó atrapado en el pedal del timón tras sufrir un ataque al corazón. El comandante aplicó timón opuesto para controlar la aeronave hasta que pudo desalojar el pie de su copiloto. Nótese lo siguiente: el hecho de que la recuperación del vuelo normal del avión en estos ejemplos que hemos comentado la realizara el piloto sin afección compromete sin duda el esquema de piloto único frente a la autoridad de aviación civil, en su exigencia de que la alternativa debe contar con peso suficiente de seguridad, dicho en términos informáticos.

Similares y más recientes resultados fueron, como hemos dicho, los obtenidos por Evans y Radcliffe en Reino Unido en 2004, un estudio que se publicó en 2012. Ambas investigadoras compararon los datos de 539 pilotos varones, que experimentaron un episodio de incapacidad médica y encontraron un sesgo definido hacia los grupos de edad más avanzada (Figura 1). El número de episodios demostró el peso estadístico del factor edad en el riesgo de experimentar una incidencia médica. Un piloto varón de sesenta años tenía 5 veces más riesgo de incapacitación que otro de cuarenta. La tasa anual de incapacitación fue de 40/16.145 (0,25 por ciento). Del número de incapacitaciones, la mitad tenía origen cardiaco o cerebrovascular.

La detección y cuantificación

Precisamente, de cara a la nueva iniciativa de piloto único, es preciso comentar que la detección de la incapacitación del profesional en servicio es más fácil si se debe a problemas de salud cardiaca que a episodios cerebrales, porque los primeros son más pronunciados y están presentes durante un periodo de tiempo más largo. Ahora bien, el estudio de Evans en el Reino Unido y el de FAA encontraron que, proporcionalmente, las incapacitaciones psiquiátricas predominaban como una de las causas mayores de incidencia en vuelo y tales situaciones se acompañan de síntomas más difusos, hasta el punto de que en ocasiones se detecta sólo interrogando al sujeto que la padece. 

Las incapacitaciones en vuelo (y una en simulador) que encontraron Evans y Radcliffe fueron predominantemente de origen psiquiátrico y gastrointestinal aguda (intoxicación alimentaria). Curiosamente, en su estudio, notificaron que había 18 pilotos con licencia JAR clase 1 que no experimentaron incidencia alguna, y tenían edades de 70-79 años, y hubo 2 más que sobrepasaban esta banda de edad, también sin incidencias, pero es claro que como dato estadístico habría que ponderarlo con mayor muestra.

Las investigadoras inglesas citadas calcularon la tasa anual de incapacitación de pilotos en el Reino Unido para el año en estudio en 2,83e-7 incapacitaciones/h. (2,83 por 10 millones de h. de vuelo). Entre los pilotos de líneas aéreas estadounidenses en el período de 1993 a 1998, DeJohns encontró una tasa de 4,5e-7 (4,5 por 10 millones). Las tasas en Estados Unidos y Reino Unido, pues, son de magnitud similar o, al menos, están en el mismo orden exponencial estadístico. Por consiguiente, trasladando estos datos a la iniciativa de piloto único, cabe esperar un orden de magnitud exponencial de e-7 en la incidencia de incapacitación de piloto único para continuar el vuelo. 

¿Es aceptable este dato desde el punto de vista de certificación? En la UE se exige cuantificar los niveles de seguridad en la navegación aérea según ATM (Air Traffic Management), versión ESARR4 o superior, que precisa un Nivel Objetivo de Seguridad de riesgo global de accidentes para ATM de 1,55e-8 (1,55 por 100 millones de h. de vuelo). Del mismo modo, las FAR (Federal Aviation Regulations) estadounidenses establecen que la ocurrencia de cualquier condición de fallo que impida la continuación segura del vuelo y el aterrizaje de un avión debe tener una probabilidad del orden de 1e-9 o inferior (1 por 1.000 millones de h. de vuelo). 

Observamos que los índices hallados por Evans y DeJohn (2,8e-7 y 4,5e-7, respectivamente) son dos órdenes de magnitud superiores a lo aceptable por las FAR o UE para cualquier condición de fallo de consecuencias equivalentes. Bien es cierto que las FAR asignan probabilidades máximas a condiciones genéricas de fallo y entonces la incapacitación del piloto debería mejor asimilarse al fallo de un componente. El piloto sería un componente más del sistema de avión. Pero, en todo caso, dos órdenes de magnitud son clara indicación de que un solo piloto no cumple los requisitos de aeronavegabilidad, a menos que se proporcione redundancia por otro medio.

Gestión de la incapacitación del piloto único a bordo

Sea cual fuere el agente o medios elegidos en apoyo del piloto único (se podrá ver en próxima parte III del reportaje), es obvio que deben ser capaces de intervenir con rapidez. Presentamos a este respecto un conjunto de consideraciones sobre la gestión del piloto único a bordo incapacitado. Si se elige la automatización como apoyo al piloto único, el enfoque debe ser conservador desde el punto de vista de la seguridad en vuelo, es decir, el agente o medio automático entra en acción (aunque sea temporalmente) cuando haya que tomar inmediatamente una decisión relacionada con el vuelo y aún no hay respuesta firme si el piloto está o no incapacitado. 

Por supuesto, el agente o medio de refuerzo debe determinar dónde aterrizar la aeronave. Una cuestión importante y complicada es, que una vez determinado el estado de incapacidad del piloto, la aeronave debe ser inmune a las entradas involuntarias de tal piloto. Piénsese, por ejemplo, que entra en un estado de convulsión (por ejemplo, síncope o epilepsia) y en su acción convulsiva echa la minipalanca o el volante de mando de vuelo hacia atrás u otra posición. ¿Cómo se debe ejecutar la inmunidad? Decimos esto porque la opción de bloquear las acciones de mando del piloto a bordo debe manejarse con cuidado y precisa determinar de forma fehaciente que el piloto está realmente incapacitado. 

De pasada, hay un aspecto colateral inquietante que no debe obviarse: La mera existencia de esta capacidad de intervención en el control total del avión es una invitación para que piratas informáticos expertos puedan acceder a las funciones de bloqueo de la aeronave cuando, en la práctica, el piloto único está en perfectas condiciones de controlar el vuelo. También, si un piloto se recupera del estado de incapacitación habrá que establecer un algoritmo de respuesta: ¿Puede tal piloto recobrar control total de la aeronave o este grado de control debe tener limitaciones?

Detección de la incapacidad

Llegados los casos, pues, estaremos de acuerdo que la detección de la incapacitación del piloto único, sin la presencia de un segundo piloto humano a bordo, representa uno de los retos más importantes para la certificación de las operaciones de piloto único, aparte de las acciones subsiguientes que deben tomarse tras el reconocimiento de la incapacidad. Se está de acuerdo hoy día que por medios automáticos no se podrá alcanzar la capacidad de evaluación del estado de consciencia o salud que tiene el piloto humano respecto a su compañero de cabina. 

Dicho esto, también se considera que hay muchos datos del estado de salud de un tripulante que podrían ser controlados en modo automático. No se trata de “cablear” al piloto con sensores por todos lados para determinar sus condiciones fisiológicas, sencillamente porque es indeseable y los pilotos se opondrán firmemente a ello. Además, en este caso debería cambiarse la ergonomía del puesto de cabina y hay también condiciones de seguridad. 

Hay sensores fisiológicos elaborados para evaluar ciertas variables el estado de salud, como el electroencefalograma.

Dicho esto, también es cierto que hay sensores fisiológicos, poco o nada intrusivos, que pueden evaluar ciertas variables del estado de salud de una persona, que van desde el simple cambio de la frecuencia cardiaca y los niveles de oxígeno en el pulso, hasta medios más elaborados, como electroencefalograma y la espectroscopia en el infrarrojo cercano, una unidad óptica de imagen que ofrece una visión del cerebro basada en la oxigenación de la sangre, que, por tanto, proporciona una medida indirecta de la actividad cerebral. 

Figura 1: Porcentaje en tasa de incapacitación por grupo de edad. El estudio, publicado en 2012 en Reino Unido por Evans y Radcliffe, comparó datos de 539 pilotos varones que experimentaron un episodio de incapacidad médica y encontraron un sesgo definido hacia los grupos de edad más avanzada (fuente de datos, Evans y Radcliffe; dibujo, Technicus Graph para A/L92).

La tecnología avanza en estos campos hacia la teledetección que sería necesaria en el campo que tratamos. Si se consigue, estas mediciones serían la base para evaluar si el piloto único a bordo está en buen estado de salud y, sobre todo, responde normalmente en sentido neurológico. En cualquier caso, se presenta un amplio campo por delante, pues no sólo se trata del estado de salud del piloto, también de su comportamiento en cabina.

Figura 2: Incidencias médicas más frecuentes de incapacidad en vuelo según grupo de edad (fuente de datos, DOT/FAA/AM-04/16 de DeJohn; dibujo de Technicus Graph para A/L92).