Boeing acaba de hacer públicos detalles sobre la nueva versión del Maneuvering Characteristics Automation System (MCAS) del Boeing 737 MAX. Es el sistema de seguridad diseñado para evitar que el avión levante demasiado el morro al que se relaciona directamente con los accidentes de los vuelos 302 de Ethiopian Airlines y 610 de Lion Air.

El primero de estos cambios es que la nueva versión usa los datos de los dos sensores de ángulo de ataque del 737 MAX. El ángulo de ataque mide cómo de levantada está el ala con respecto al aire que incide en ella, aunque para simplificar podemos pensar que mide cómo de levantado está el morro del avión. Aumentar el ángulo de ataque hace que, hasta cierto punto, las alas generen más sustentación –más fuerza hacia arriba–. Pero a partir de un cierto ángulo esa sustentación vuelve a bajar. Y si baja mucho el avión puede entrar en pérdida y desplomarse.

El objetivo del MCAS en el 737 MAX es evitar que el ángulo de ataque suba demasiado. Es una tendencia que los motores más grandes, potentes, y situados mas adelante y hacia arriba de este modelo exacerba. En los dos accidentes citados un fallo del único sensor que proporcionaba datos al MCAS llevó al sistema a activarse innecesariamente.

Siempre son posibles pequeñas diferencias que no vienen de ningún fallo de los sensores sino de cosas como un viento cruzado, por ejemplo. Pero con la actualización el sistema no se activará si los datos de los dos sensores de ángulo de ataque que monta el avión difieren en más de 5,5 grados. 

Además, cuando se de esa discrepancia de más de 5,5 grados se activará un indicador en las pantallas de los pilotos, indicador que antes era opcional y tenía un coste extra. Boeing también ofrecerá la posibilidad de incorporar en las pantallas de los pilotos un indicador de ángulo de ataque.

La segunda modificación es que si el MCAS se activa sólo lo hará una vez por cada ocasión en la que lea un ángulo de ataque excesivo. En la versión original el sistema se reactivaba aunque los pilotos lo desconectaran; así es que en el caso del accidente de Lion Air el MCAS se reactivó hasta 20 veces. Con la actualización será necesario que el valor del ángulo de ataque vuelva a valores normales antes de que el sistema pueda rearmarse si los pilotos lo han desconectado.

Y la tercera modificación que incorpora esta actualización es que limita el margen de maniobra del MCAS. En la versión original podía mover el estabilizador horizontal hasta su límite físico. En la actualizada nunca puede moverlo más de lo que los pilotos pueden contrarrestar tirando de la columna de mando aunque no lo desactiven.

Eso sí, aunque Boeing dice que estos cambios harán el sistema más robusto sigue negando que el diseño original no fuera adecuado.

Además de estas modificaciones en el funcionamiento del MCAS Boeing también va a cambiar el entrenamiento que reciben los pilotos acerca de su funcionamiento. En concreto en el caso de los pilotos certificados para el Boeing 737 NG, la generación anterior de este avión, ahora tendrán que pasar un pequeño examen al terminar de estudiar las diferencias entre el NG y el MAX en el que específicamente se va a comprobar si han entendido cómo funciona el MCAS y cómo reaccionar en caso de que falle. Otra cosa que se hará es modificar los manuales del avión para que incluyan información acerca del sistema, algo que Boeing no había considerado necesario.

Según Boeing la Administración Federal de Aviación (FAA) de los Estados Unidos ya ha aprobado los cambios en la formación. Sin embargo aún no ha certificado la nueva versión del software del MCAS,  que se instala más o menos en una hora por avión, a pesar de que la empresa dice haberlo probado tanto en laboratorio como en el simulador como en dos vuelos reales.

Pero para cuando lo haga, que lo hará, queda por ver si y cómo las demás autoridades competentes al respecto del mundo se fían sin más de la aprobación de la FAA. A fin de cuentas la agencia estadounidense es la que certificó la versión original del MCAS con todos los peros que esta actualización busca corregir. Y también la que autorizó no incluir la información de su existencia en las manuales.

De hecho China, que fue el primer país en dejar en tierra los MAX después del accidente de Ethiopian, acaba de anunciar que anula su certificado de tipo hasta que de nuevo estén convencidos de que es un avión seguro para volar. Y es cierto que esto se puede enmarcar dentro de la lucha comercial que mantienen los Estados Unidos –no hay que olvidar que Boeing es una empresa estadounidense– y el país asiático. Pero no es menos cierto que la Fuerza Aérea de los Estados Unidos también acaba de anunciar que va a revisar los procedimientos y entrenamiento de las tripulaciones de los aviones nodriza Boeing KC-767 y KC-46. Y es que también usan el MCAS, aunque en una variante que ya usa datos de dos sensores, con lo que en principio no es propensa a este tipo de fallo. Pero por si acaso.

También parece necesario aclarar cómo es posible que hayan fallado los sensores de ángulo de ataque en dos aviones tan nuevos –el Lion Air tenía poco más de dos meses y el Ethiopian no llegaba a los cuatro–. Si son del mismo fabricante igual toca cambiar sensores en toda la flota, igual que hubo que hacer en los Airbus A330 que montaban el mismo sensor de velocidad del aire que el del vuelo 447 de Air France. Si son de fabricantes distintos igual toca repasar los procedimientos de mantenimiento del avión que pueden haber llevado a dos fallos en dos aviones operados por aerolíneas tan distintas, una de ellas –Ethiopian– entre las más respetadas del mundo.

Sea como sea a Boeing y la FAA les quedan meses –sino años– por delante en los que su credibilidad estará seriamente comprometida. Garuda Indonesia, por ejemplo, ya ha anunciado su intención de cancelar el pedido de 50 unidades de 737 MAX que había firmado en octubre de 2014 del que hasta ahora sólo había recibido uno. Dicen no tener dudas de que Boeing solucionará los problemas con el MAX pero al mismo tiempo dicen no querer tener que lidiar con la desconfianza de los pasajeros.

La crisis a la que se está enfrentando Boeing con el 737 MAX no es la primera de su historia, aunque todo parece indicar que puede ser la más seria.

La más reciente hasta ahora había tenido que ver con el Boeing 787, su avión de largo radio más nuevo, que entró en servicio en octubre de 2011. A principios de enero de 2013, y en menos de una semana, las baterías principales de sendos aviones de Japan Airlines y de All Nippon Airways se incendiaron, una de ellas en vuelo. Y aunque ninguno de los incidentes causó víctimas Boeing decidió dejar de entregar nuevos 787 hasta determinar qué estaba pasando. Luego sería la Autoridad Federal de Aviación de los Estados Unidos (FAA) la que le retirara el permiso para volar.

Esta decisión fue imitada por sus equivalentes en todo el mundo, con lo que para el 17 de enero todos los 787 estaban en tierra. Era la primera vez que sucedía esto con un avión comercial desde que la FAA dejara en tierra al McDonnell Douglas DC-10 temporalmente en junio de 1979 por un problema con la puerta de la bodega de carga.

Boeing hizo ciertas modificaciones en las baterías, que consistieron fundamentalmente en la instalación de aislante entre las distintas celdas que las componen y ponerlas en una caja ignífuga conectada con el exterior para que los gases procedentes de una posible combustión sean expulsados directamente. Además instauró algunos cambios en los procedimientos de monitorizado del sistema eléctrico y de operación del avión. Así que para finales de abril la FAA volvía a autorizar la operación de los 787, ejemplo que de nuevo fue seguido por el resto de autoridades competentes.

Pero el informe final sobre los fallos de las baterías publicado por la Junta Nacional de Seguridad del Transporte (NTSB) en diciembre de 2014 repartía la responsabilidad entre el fabricante de las baterías por utilizar unos métodos de fabricación que podían producir fallos que no se detectaban durante su inspección; Boeing, a quien acusaban de no haber tenido en cuenta y probar los posibles peores fallos de las batería; y a la FAA, que no identificó el peligro potencial de estas baterías y no ordenó llevar a cabo pruebas apropiadas como parte de su proceso de certificación del avión. Suena curiosamente parecido a lo del 737 MAX.

Y antes de la debacle del MCAS, Boeing ya había tenido problemas con el 737. El 3 de marzo de 1991 el vuelo 585 de United Airlines, operado por un 737-200, se estrellaba poco antes de aterrizar en Colorado Springs. Durante la aproximación el avión bajó el ala derecha hasta quedar invertido y luego cayó en picado, estrellándose. Murieron sus 25 ocupantes. Las cajas negras de la época, mucho menos sofisticadas que las actuales, no sirvieron de mucha ayuda, con lo que la NTSB llegó a la conclusión de que o bien un fallo de las superficies de control del avión o una turbulencia habían causado la pérdida de control y el consiguiente accidente.

Pero mientras la NTSB terminaba su informe acerca del vuelo 585, publicado el 8 de diciembre de 1994, el 8 de septiembre de ese mismo año el vuelo 427 de USAir se estrellaba de una forma muy parecida durante su aproximación a Pittsbugrh. En este caso el avión se volteó hacia la izquierda y aunque los pilotos en primera instancia consiguieron enderezarlo el avión volvió a voltearse y ya no pudieron recuperar el control. Fallecieron 132 personas. En este segundo accidente la NTSB tuvo bastante claro desde el principio que el accidente podía haber sido causado por un movimiento del timón de dirección no ordenado por los tripulantes. Lo que no tenían tan claro era la causa de ese movimiento espurio.

El timón de dirección es una pieza –aunque en algunos aviones está formado por dos paneles– que va en la parte vertical de la cola del avión y es usado por los pilotos para hacer una guiñada. Esta maniobra consiste en cambiar la dirección en la que apunta el morro del avión sin modificar su rumbo. Se usa, por ejemplo, en aterrizajes con viento cruzado para contrarrestar su efecto al hacer que el empuje de los motores del avión actúe de forma oblicua a la dirección del vuelo.

En el caso del Boeing 737 un fallo de diseño la válvula que controla el movimiento del timón de dirección hacía que en determinadas circunstancias se bloqueara parcialmente. Y cuando eso sucedía el timón giraba al revés de lo que mandaban los tripulantes. En ese caso la reacción natural de los pilotos era apretar más el pedal para girar más el timón. Pero como debido al fallo de la válvula el timón giraba al revés el avión seguía girando en el sentido contrario.

En esa situación los tripulantes, concentrados en intentar dirigir el avión hacia donde querían, podían no darse cuenta de que estaban excediendo los límites de seguridad en cuanto al ángulo de guiñada. Y en ese caso una ráfaga de viento sobre el ala adelantada podía causar el vuelco. A tan baja altura y sin margen de maniobra para corregirlo las consecuencias eran mortales.

La inspección de la válvula que controlaba el sistema hidráulico que mueve el timón de dirección del 737 del vuelo 427 de USAir, junto con un problema parecido que tuvo un 747 de British Airways, aunque en este caso sin mayores consecuencias, y una pérdida de control momentánea del 737-200 que volaba el vuelo 517 de Eastwind Airlines el 9 de junio de 1996, fue lo que permitió finalmente a la NTSB determinar la causa de los accidentes. En el caso del vuelo 585 aunque la NTSB tenía sospechas acerca del funcionamiento de la válvula ésta había resultado tan dañada que no se pudieron hacer pruebas con ella tras el accidente; de ahí que en el primer informe sobre el accidente la causa no quedara claramente establecida.

Una vez detectado el origen del problema la FAAordenó sustituir las válvulas en cuestión en todos los 737 por otras de diseño corregido que no podían sufrir ese bloqueo. También ordenó incluir en el entrenamiento de los pilotos nuevos protocolos para responder a movimientos imprevistos de las superficies de control.

Aunque aún tardaremos meses en ver el informe definitivo sobre el accidente del vuelo 302 de Ethiopian Airlines ya sabemos que los datos de las cajas negras del avión siniestrado muestran claras similitudes con los del vuelo 610 de Lion Air.

Y esto es una muy mala noticia para Boeing y la Autoridad Federal de Aviación de los Estados Unidos (FAA) ya que todo parece indicar que de nuevo el Maneuvering Characteristics Automation System (MCAS), el sistema de seguridad diseñado para evitar que el avión entre en pérdida, está relacionado con el accidente.

Pero según se van sabiendo más cosas la pregunta ya no es solo cómo la FAA aceptó que Boeing instalara el MCAS en los 737 MAX sin mencionar su existencia en la formación de los pilotos. Lo que está cuestionándose es el proceso mismo de certificación para el vuelo de este modelo que permitió su entrada en servicio.

Como es habitual cuando se trata de una variante nueva de un avión ya existente el proceso de certificación es abreviado y se centra en las diferencias de la variante nueva respecto a las anteriores ya en vuelo y por tanto ya certificadas. Es un proceso habitual en el mundo de la aeronáutica que ahorra tiempo y dinero tanto al fabricante como a las autoridades. Y de hecho la Agencia Europea de Seguridad Aérea (EASA) también lo utiliza con las variantes nuevas de los aviones de Airbus, por ejemplo.

El problema, en el caso del 737 MAX, parece estar en que la FAA, carente de de suficientes recursos propios, y ante la presión de acelerar la certificación del MAX por la ventaja que llevaba Airbus con la certificación del A320neo, dejó en manos de Boeing muchos de los aspectos del proceso. Es algo así como darle las llaves del gallinero al zorro. El A320neo viene a ser el equivalente tecnológico del MAX y está siendo un enorme éxito de ventas para el fabricante europeo.

En el caso del MCAS esta falta de supervisión llevó a un sistema que no se incluía en la formación de los pilotos porque, al menos según Boeing, estaba ahí como precaución e iba a ser extremadamente raro que se activara. Pero es que además permitió que el MCAS, en su versión final, tuviera mucho más mando sobre el avión de lo que el análisis inicial de seguridad indicaba, por no hablar de que este análisis jamás tuvo en cuenta el hecho de que el sistema sea capaz de reactivarse automáticamente aún después de que la tripulación lo haya desactivado, algo que tampoco estaba claramente documentado.

Pero de todos modos el problema principal es que Boeing clasificó un posible fallo del MCAS como peligroso en lugar de catastrófico, lo que les permitió diseñar un sistema que solo recibe datos de uno de los dos sensores de ángulo de ataque con los que está equipado el avión.

Estos sensores son una especie de alas minúsculas –generalmente no son más grandes que una mano– que se montan en el exterior del fuselaje y que miden el ángulo de inclinación del morro del avión. Son extremadamente importantes porque si el morro del avión se levanta demasiado el flujo de aire sobre las alas se puede ver reducido tanto como para que la aeronave pierda sustentación y se desplome. Por eso lo habitual es montar al menos dos, uno a cada lado del avión, para minimizar el riesgo de que ambos se puedan ver dañados a la vez.

De hecho el objetivo del MCAS es mantener bajo control la tendencia a encabritarse del 737 MAX, tendencia causada por sus nuevos motores, más potentes y situados un poco más adelante y un poco más arriba que en las variantes anteriores. Sin embargo a pesar de que es capaz de hacer que el morro del avión se mueva para abajo sin intervención de los pilotos –y de hecho hasta hace unos meses sin que ellos supieran que había un sistema capaz de hacerlo– el fabricante lo diseñó, como decíamos antes, para tener en cuenta la lectura de uno solo de los sensores de ángulo de ataque.

En el caso del accidente de Lion Air lo cierto es que ese sensor llevaba unos días dando problemas y probablemente el avión tenía que haber sido dejado en tierra hasta tener claro que estaba correctamente reparado. De hecho el día anterior al accidente un piloto que volaba como extra en la cabina evitó probablemente que el avión se estrellara porque cuando empezó a hacer movimientos extraños se dio cuenta de que era el estabilizador horizontal el que estaba causándolos e indicó a sus compañeros que desactivaran el motor que lo mueve. Lamentablemente este incidente no quedó reflejado en los libros de mantenimiento del avión y al día siguiente se le acabó la suerte al avión y a sus tripulantes que, hay que recordar, no habían recibido información acerca de la existencia del MCAS.

Pero para cuando se produjo el accidente de Ethiopian Airlines hacía meses que la FAA había publicado una directiva de aeronavegabilidad de emergencia sobre los 737 MAX. Decía, básicamente, que las aerolíneas que operan el 737 MAX tenían que recordar a sus pilotos el procedimiento a aplicar si el sistema de ajuste automático del estabilizador horizontal se vuelve loco. En ella se indicaba por primera vez claramente la existencia del MCAS –aunque no se le mencionaba por el nombre– lo que indignó a pilotos y aerolíneas de todo el mundo. Es como si un coche incluyera un mecanismo mediante el que se puede hacer con el control del volante en un momento dado y no se hubiera informado a los conductores de su existencia.

La existencia de la directiva ha hecho que surgieran comentarios que ponían en duda si Ethiopian Airlines había diseminado esa información a sus pilotos. Pero lo cierto es que es una de las aerolíneas punteras del mundo, así que en realidad sonaba a poco probable que esto hubiera podido ser así. Y en cualquier caso la aerolínea ha terminado por emitir un comunicado en el que dice que no solo los pilotos del vuelo 302 habían recibido el entrenamiento pertinente para pasar a volar el 737 MAX desde del 737 NG –un curso que se realiza en aproximadamente una hora utilizando una tablet– sino que además estaban perfectamente informados de la directiva de aeronavegabilidad y de sus contenidos. Añade, además, que el simulador del 737 MAX no está diseñado para simular un problema con el MCAS, lo que de nuevo saca a la luz la poca importancia que Boeing le dio al sistema.

Otra decisión de Boeing –recordemos que autorizada en última instancia por la FAA– que habrá que someter a escrutinio es la de vender como opcionales dos equipos que podían haber evitado los accidentes. El no montarlos de serie viene del interés de los fabricantes de poder vender el avión más barato. Uno de ellos es el indicador de ángulo de ataque, un dispositivo que muestra lo que está leyendo cada uno de los sensores ya sea en un panel aparte o en las pantallas de control. El otro es una luz de alerta que se enciende cuando la lectura de ambos sensores es claramente diferente. Disponer de cualquiera de ellos habría dado más pistas a los tripulantes de lo que estaba pasando con su avión. Y de hecho a raíz de los dos accidentes esta luz de alerta va a ser instalada de serie en todos los 737 MAX que se entreguen a partir de ahora; habrá que ver si se hace obligatoria en los ya entregados.

Boeing, mientras tanto, sigue trabajando en una actualización del software que controla el MCAS para que, entre otras cosas, tenga en cuenta la lectura de los dos sensores de ángulo de ataque. Así, si detecta una discrepancia entre ambos el sistema no actuará. Pero cuando el fabricante tenga lista esta actualización aún habrá que probarla en vuelo, por lo que es poco probable que antes de mayo de 2019 pueda estar certificada, con lo que a los 737 MAX aún les quedan al menos un par de meses en tierra.

De todas formas habrá que ver qué grado de confianza merece la certificación de esa actualización, visto lo visto hasta ahora. Y tampoco hay que olvidar que hay más cosas que mirar, como por ejemplo la tendencia a fallar de los sensores de ángulo de ataque; quizás toque cambiar de fabricante como sucedió con los sensores de velocidad del aire de algunos Airbus A330 a raíz del accidente del vuelo 447 de Air France. Tampoco resultan tranquilizadores los informes que están saliendo a la luz de pilotos que hablan de varias ocasiones en las que el piloto automático del avión se empeñó en bajar el morro justo después de haber sido activado; habrá que ver si están relacionados con el MCAS o no.

Pero desde luego para Boeing es una crisis grave. Grave como pocas en la historia de la compañía, que ha visto como la confianza en uno de sus aviones más populares –estaban vendiendo el 737 MAX como rosquillas– se esfumaba tanto por parte de las aerolíneas como por parte de los pasajeros como por parte de las autoridades competentes.

En servicio comercial desde el 10 de febrero de 1968, el Boeing 737 es el avión de pasajeros con más ventas de la historia. En este medio siglo el fabricante ha ido incorporando mejoras en el avión para adoptar nuevas tecnologías según han ido apareciendo y así mantenerlo competitivo frente a la competencia.

Pero al tratarse de mejoras sobre un modelo ya existente y que en su primera versión tuvo que pasar por un exhaustivo programa de pruebas, estas modificaciones que han aprobado mediante procedimientos abreviados en los que básicamente se comprueba que los cambios no suponen ningún problema. Es un procedimiento habitual y que también emplea la Agencia Europea de Seguridad Aérea con las versiones nuevas de los aviones Airbus, por ejemplo.

Así, uno de los cambios que Boeing hizo en el 737 MAX, la variante más reciente del avión, fue el de ponerle unos motores más grandes que al 737NG, la variante anterior. Pero para poder mantener la altura sobre la pista de los motores del 737NG tuvieron que, además de estirar un poco el tren de aterrizaje, moverlos un poco hacia delante y hacia arriba. Esto hace, de hecho, que los motores queden un poco por delante del borde de ataque del ala.

En vuelo nivelado o al girar en maniobras normales, las góndolas de los motores no generan sustentación. Pero si, por alguna circunstancia, el morro se eleva demasiado –a partir de aproximadamente los 14º–, las góndolas empiezan a generar sustentación. Es, para entendernos, como si de repente al avión le salieran dos pequeñas alas por delante de las alas de verdad. Esto hace que el morro empiece a elevarse más rápido, efecto que es mucho más pronunciado en el MAX que en un NG al ser las góndolas más grandes y estar más adelante respecto al centro de gravedad. Y cuanto más se eleva el morro, más posibilidades hay de que el avión pierda sustentación y entre en pérdida y por tanto deje de volar.

Para contrarrestar esto, Boeing decidió implementar un sistema de ajuste automático del timón de profundidad, conocido como MCAS o Maneuvering Characteristics Automation System. Es una rutina en el software de control del vuelo que si detecta un ángulo de ataque excesivo –que el morro está demasiado elevado– mueve el estabilizador horizontal hacia arriba para que baje el morro. Pero sólo se activa cuando, además de estar el morro muy levantado, el piloto automático está desconectado, los flaps están recogidos y el avión está virando fuerte. Y también tienen que cumplirse ciertos parámetros de velocidad y altura.

La idea es 'aislar' a los pilotos de esa tendencia del MAX a levantar el morro de tal forma que no noten la diferencia a la hora de pilotar un MAX o un NG. De hecho, un piloto de 737 NG es certificado para pilotar también el 737 MAX con un curso de poco más de una hora en el que se le explican las pocas diferencias que tiene que tener en cuenta. Y el MCAS no está incluido en esa formación porque Boeing entendió que como sólo se iba a activar en muy raras ocasiones y, aunque lo hiciera, no lo iban a notar, no hacía falta decirle nada a los pilotos de su existencia, algo con lo que la Administración Federal de Aviación (FAA) de los Estados Unidos estuvo de acuerdo.

El problema es que, a falta del informe definitivo sobre el accidente, todo parece indicar que el accidente del vuelo Lion Air 610, que se estrelló el 29 de octubre de 2018, a los pocos minutos de despegar y operado por un Boieing 737 MAX 8 con poco más de dos meses de servicio, fue provocado por un fallo del MCAS. En concreto, el sistema habría fallado al recibir indicaciones erróneas de uno de los dos medidores de ángulo de ataque del avión, activándose una y otra vez. Esto hizo que el avión estuviera subiendo y bajando continuamente antes de estrellarse mientras los pilotos luchaban contra un sistema que no sabían que estaba ahí.

De hecho, a los pocos días del accidente, la FAA publicó una directiva de aeronavegabilidad que indicaba a las aerolíneas que operan el 737 MAX que recordaran a sus pilotos el procedimiento a aplicar si el sistema de ajuste automático del timón de profundidad se vuelve loco. Porque se desactiva con un pulsador situado en el pedestal que está entre ambos pilotos. Una acción extremadamente sencilla que podía haber salvado el vuelo 610 de Lion Air.

En su momento, Boeing prometió revisar el software que controla el MCAS para asegurarse de que el fallo de uno de los sensores no lo puede volver loco y, en general, para asegurarse de que el funcionamiento del sistema es el esperado y que, según en qué condiciones extremas o poco habituales, no hace lo que no debe. Pero esa revisión aún no está disponible.

En cualquier caso, el asunto probablemente habría quedado ahí de no ser por el accidente del vuelo 320 de Ethiopian Airlines, de nuevo un vuelo operado por un Boeing 737 MAX 8, en este caso con menos de cuatro meses de servicio. Su comandante informó al poco de despegar de problemas para controlar el avión, solicitando la vuelta al aeropuerto de origen, vuelta que fue autorizada aunque nunca llegaron porque se estrellaron seis minutos después de haber despegado.

Hay que insistir, porque es así, en que no hay ningún dato –al menos ningún dato que se haya hecho público oficialmente– que por ahora permita afirmar que los dos accidentes han sido causados por un fallo del MCAS. De hecho, hay testigos que afirman que oyeron cómo el avión hacía “ruidos extraños” y dejaba un “rastro de humo”, que saldría de un fuego cerca de la cola, a la vez que veían cómo caían restos como ropa y papel justo antes de estrellarse. Pero lo que digan los testigos no son datos sobre los que poder actuar, aparte de que en muchos casos están equivocados.

Sin embargo, es extremadamente raro que dos aviones nuevos –recordemos que apenas tenían dos y cuatro meses de servicio– se estrellen con apenas cinco meses de diferencia. Así que, al día siguiente del accidente, la Autoridad de aviación civil china ordenó, por si acaso, a las aerolíneas del país que usan el 737 MAX que lo retiren del servicio hasta nueva orden, algo que tanto Ethiopian Airlines como Cayman Airways también decidieron hacer.

En los dos últimos días, se han ido uniendo a esa decisión aerolíneas y autoridades aéreas de todo el mundo, incluyendo la Agencia Europea de Seguridad Aérea en la tarde del día 12, lo que deja prácticamente aisladas a la FAA y a Boeing, que sigue insistiendo, como es lógico, en que el 737 MAX es un avión seguro.

Es importante tener en cuenta que la decisión de dejar en tierra los 737 MAX viene de una dosis generosa –pero comprensible– de precaución y también de la necesidad de las aerolíneas de cubrirse desde un punto de vista legal por si se descubre que efectivamente el MAX tenía un defecto de fabricación. También les evita problemas con pasajeros nerviosos de todo el mundo que no quieren subirse a un MAX.

Así las cosas, la presión sobre la FAA y Boeing –a quienes el mundo de la aviación les está diciendo poco menos que no se fía de ellos– es enorme para que hagan algo.

El problema es que tardaremos meses en saber qué causó el accidente de Ethiopian Airlines.