Resumen
La pérdida se desarrolló en unos 20 minutos, pero se construyó a partir de controles acumulados durante años.El vuelo 111 de Swissair partió de Nueva York con destino a Ginebra el 2 de septiembre de 1998, con 215 pasajeros y 14 tripulantes. A las 01:10:38 UTC, los pilotos detectaron un olor inusual. Declararon “Pan Pan Pan” 3 minutos y 37 segundos después, seleccionaron Halifax tras ofrecérseles como desvío más cercano y declararon emergencia tras empezar a fallar los sistemas de la aeronave. Ambos registradores se detuvieron a las 01:25:41. El MD-11 impactó en el Atlántico a las 01:31:18, sin supervivientes.
El informe final de la TSB A98H0003 es el relato de seguridad de referencia. Sus conclusiones no son juicios civiles ni penales.
Las pruebas respaldan el arco eléctrico como clase de ignición, no un solo cable probado.Los investigadores localizaron el origen más probable sobre el techo de la cabina de mando, cerca de la pared trasera en la estación 383. Un segmento de cable de alimentación del IFEN, la pieza 1-3791, presentaba un arco orientado hacia delante en esa zona y durante el período probable de inicio del incendio. El arco probablemente estuvo asociado con el inicio, pero los investigadores no pudieron determinar si fue el evento principal o si intervino el cableado del IFEN, el cableado original de la aeronave o una combinación.
El resumen oficial de la FAA de las conclusiones adoptadas preserva esa distinción. Atribuir todo el incendio a un único cable identificado iría más allá de las pruebas.
Un sistema suplementario para pasajeros expuso un fallo de integración y control de configuración.La red de entretenimiento a bordo se describía como no esencial, sin embargo, la mayor parte de su alimentación provenía del bus de CA 2 en lugar de un bus de cabina. Por lo tanto, al desconectar el interruptor CABIN BUS no se eliminaba la alimentación del IFEN como cabría esperar razonablemente. El paquete aprobado no definía completamente el enrutamiento en una zona delantera crítica, y las instalaciones variaban. Se trataba de hallazgos graves de certificación e instalación.
No establecen que el fallo de integración del IFEN iniciara o propagara el incendio; la TSB determinó expresamente que no existía tal vínculo porque el incendio ya estaba en curso cuando se seleccionó el bus de cabina.
La certificación de materiales permitió que un aislante conforme se convirtiera en combustible importante del incendio.El tereftalato de polietileno metalizado, o MPET, que cubría los aislantes termoacústicos superó la prueba vertical del mechero Bunsen aplicable. En configuraciones instaladas y en condiciones de ignición más representativas, podía inflamarse y propagar la llama. La TSB determinó que probablemente fue el primer material inflamado y la mayor parte del material combustible que alimentó el incendio.
El módulo de lecciones de la FAA sobre el Swissair 111 muestra por qué la certificación debe reproducir amenazas instaladas creíbles en lugar de recompensar a una probeta por encogerse ante una llama de laboratorio.
El ático oculto no era observable ni defendible como zona de incendio.No existía detección ni extinción de humo o fuego integrada donde se inició y propagó el incendio, y la normativa no lo exigía. El olfato y la vista humanos proporcionaron indicios tardíos y ambiguos, mientras que un extintor manual no podía alcanzar el fuego por encima de los revestimientos y detrás de la estructura. Los disyuntores protegían el cableado contra sobreintensidades sostenidas, pero podían no detectar arcos intermitentes por debajo de su umbral de disparo tiempo-corriente.
El resultado fue un sistema en el que la ignición podía permanecer energizada, el fuego podía permanecer oculto y la tripulación no podía localizarlo ni atacarlo.
Las pruebas de procedimiento no deben convertirse en un resultado alternativo garantizado.Los pilotos tomaron una decisión de desvío oportuna basándose en los escasos indicios que tenían, estaban entrenados para aterrizar con sobrepeso cuando una emergencia lo requiriera y finalmente dijeron que tenían que aterrizar inmediatamente. El vertido de combustible no había comenzado antes de la parada del registrador ni estaba en curso en el momento del impacto.
El informe final concluyó que, desde puntos de la trayectoria real tras el primer olor, una aproximación a Halifax habría durado más de lo que la cabina de mando seguía siendo utilizable de forma segura. Los perfiles de simulador y teóricos iluminan el tiempo y la carga de trabajo; no demuestran que una descarga, ruta o elección de lista de verificación diferente hubiera salvado sin duda la aeronave.
La reparación es una cadena de controles verificables, no la etiqueta de cierre de una recomendación.Le siguieron la retirada del MPET, ensayos de propagación de llama más estrictos, normas de cableado eléctrico, directrices de aislamiento de sistemas suplementarios, cambios en listas de verificación, formación de tripulaciones y trabajos de endurecimiento contra incendios. La recopilación de la FAA de las recomendaciones y respuestas del Swissair documenta una acción sustancial.
La responsabilidad en 2026 sigue exigiendo pruebas de que cada flota aplicable, modificación, programa de mantenimiento y procedimiento de tripulación implementa el control previsto, y de que un incendio oculto se detecta, aísla y extingue antes de que destruya los sistemas necesarios para aterrizar.
Veinte minutos convirtieron una suposición de espacio oculto en una catástrofe pública
El suceso no se anunció como un incendio evidente. El primer oficial mencionó un olor inusual a las 01:10:38 UTC. Ninguna advertencia ni parámetro de datos de vuelo identificó un fallo técnico. Los pilotos investigaron, vieron algún indicio de humo, no recibieron un informe de humo desde la cabina de pasajeros y asociaron inicialmente la condición con el aire acondicionado. Esa interpretación importaba porque los procedimientos y el entrenamiento de las aeronaves de transporte distinguían los olores molestos o relacionados con sistemas de las emergencias, y porque el fuego estaba por encima del techo visible de la cabina de mando.
A las 01:14:15, el capitán transmitió la señal internacional de urgencia "Pan Pan Pan", informó de humo en la cabina y pidió un regreso inmediato al aeropuerto más conveniente. Primero mencionó Boston, un aeropuerto que conocía. La aeronave se encontraba entonces a unas 66 millas náuticas al suroeste de Halifax y a unas 300 millas náuticas más allá de Boston. Cuando el controlador ofreció Halifax, la tripulación lo aceptó.
Se pusieron máscaras de oxígeno, descendieron y comenzaron los preparativos para un aterrizaje que requería gestionar altitud, velocidad, peso de la aeronave, preparación de la cabina, navegación, comunicaciones y una condición anómala de humo durante la noche.
La tripulación pidió permanecer a 8.000 pies hasta que la cabina estuviera lista. Cuando se les informó en un momento dado de que la aeronave estaba a 30 millas náuticas de la pista, dijeron que necesitaban más distancia para descender. A las 01:20:48 discutieron el vertido de combustible porque la aeronave pesaba unas 230 toneladas, por encima de su peso máximo normal de aterrizaje. Esa cifra se transmitió en respuesta a una solicitud de cantidad de combustible y era en realidad el peso bruto de la aeronave.
El control de tráfico aéreo desvió el vuelo hacia el sur sobre el agua, manteniéndolo dentro de aproximadamente 35 a 40 millas náuticas de Halifax.
La situación observable cambió abruptamente. A las 01:23:45 el capitán seleccionó el interruptor CABIN BUS en posición OFF, el primer elemento de la lista de verificación de humo/vapores de origen desconocido entonces en uso. Veinticuatro segundos después se desconectó el piloto automático. Siguieron una rápida serie de fallos. Ambos pilotos declararon emergencia a las 01:24:42. A las 01:24:53 indicaron que comenzaban a verter combustible y que tenían que aterrizar inmediatamente, pero el registro muestra que el vertido no había comenzado antes de que se detuvieran los registradores ni estaba en curso en el momento del impacto.
La última transmisión inteligible de la aeronave se recibió a las 01:25:02. Tanto la grabación de voz de la cabina como la de datos de vuelo finalizaron a las 01:25:41 tras una pérdida de alimentación eléctrica.
El impacto se produjo 5 minutos y 37 segundos después de la parada de los registradores y 20 minutos y 40 segundos después del primer olor. El radar primario, los datos sísmicos, la memoria no volátil de los motores y las pruebas de los restos preservan fragmentos del período final. No preservan las acciones completas, palabras, visibilidad, estado de los instrumentos ni proceso de decisión de la tripulación. Esa ausencia es un límite probatorio, no una invitación a escribir un final dramático.
La compresión del tiempo es central para la responsabilidad. Una decisión de diseño o certificación tomada años antes determinaba si el aislante se autopropagaría. Una decisión de modificación tomada meses antes determinaba por dónde discurrían los cables del sistema de entretenimiento y qué interruptor eliminaba su alimentación. Un diseño de disyuntor determinaba qué firmas de arco se interrumpirían. Una lista de verificación determinaba la rapidez con que podían aislarse las cargas esenciales y no esenciales. Una definición de zona de incendio determinaba si el ático contenía detección o extinción.
Una vez que el olor llegó a la tripulación, todas esas asignaciones previas de control ya habían configurado las opciones restantes.
Las pruebas establecen un sistema de incendios, no un eslogan de causa única
Una narración de accidente se vuelve engañosa cuando colapsa un sistema interactivo en un solo objeto. En este caso, "un cable del sistema de entretenimiento causó el accidente" es demasiado seguro y demasiado estrecho. Las pruebas físicas apoyan en cambio una secuencia vinculada: uno o más arcos eléctricos proporcionaron una fuente de ignición; el aislante cercano cubierto de MPET era fácilmente inflamable en las condiciones; otros múltiples materiales combustibles sostuvieron e intensificaron la propagación; la arquitectura de espacio oculto retrasó la detección y limitó el ataque;
el flujo de aire y los fallos de sistemas inducidos por el fuego empeoraron el incendio; y la degradación de los sistemas de la cabina de mando y el entorno terminaron en pérdida de control.
La TSB situó el origen más probable en el lado derecho, por encima del techo de la cabina de mando, cerca del recorte en la parte superior de la pared trasera de la cabina, en la estación 383. Esa ubicación coincidía con la migración del primer olor, el retraso antes de las anomalías de los sistemas, el patrón de calor observado, los materiales combustibles disponibles y la forma en que la llama podía viajar hacia atrás y luego regresar más intensamente hacia la cabina.
Los investigadores descartaron otras regiones de origen cuando sus señales de humo previstas, el momento de los daños o las trayectorias de propagación no coincidían con el registro.
Esa localización no reveló un conductor iniciador único. Cientos de cables cruzaban la región. Algunos cables recuperados mostraban arcos eléctricos; muchos arcos eran claramente efectos secundarios tras dañar el aislante por el fuego. La tarea analítica consistía en distinguir un arco que precedió a la ignición combustible de los arcos producidos por el propio fuego. La recuperación fue extraordinariamente extensa, pero no recuperó todos los cables ni preservó todas las fundas identificativas. El impacto y el fuego también alteraron las pruebas.
La distinción entre "clase de causa" y "componente identificado" importa. El incendio muy probablemente comenzó con un arco de cable porque ninguna otra fuente de ignición plausible encajaba con las pruebas localizadas. La pieza 1-3791 importaba porque su arco orientado hacia delante se situaba en la región del origen y era inconsistente con un simple escenario de daño tardío por fuego. Sin embargo, las partes delanteras de otro par de cables del IFEN y de un cable de control no fueron identificadas, y también estaban presentes cables originales de la aeronave.
La TSB concluyó que al menos otro cable participó probablemente en el evento de arco principal, pero no pudo decir a qué sistema pertenecía.
Esto no es indecisión. Es prueba calibrada. La acción de seguridad puede ser amplia incluso cuando se desconoce la primera trayectoria del electrón: proteger el cable de daños, calificar el comportamiento de fallo del aislante, mejorar la detección de arcos, separar y documentar el cableado suplementario, retirar el material fácilmente inflamable, detectar humo oculto, extinguir incendios inaccesibles y hacer que las cargas no esenciales sean directamente aislables. Una acusación legal contra un actor o producto particular requiere un mandato diferente y pruebas potencialmente diferentes.
La investigación de seguridad identifica qué defensas fallaron; no decide daños ni culpabilidad.
El cable 1-3791 es un límite de incertidumbre, no una etiqueta de culpable
La pieza 1-3791 era un segmento de un cable de la unidad de alimentación en la instalación del IFEN. Una resolidificación de cobre cerca de su extremo delantero era un lugar de arco eléctrico. Una segunda fusión aproximadamente 51 centímetros más atrás mostraba que al menos un evento de arco no había abierto el disyuntor asociado. Los investigadores utilizaron trabajos metalúrgicos, muestras de cuentas de arco, reconstrucción de posición, patrones de daño por fuego y lógica del sistema eléctrico para determinar si los lugares de arco eran causales o consecuentes.
El programa de ensayos ilustra por qué la inspección visual por sí sola era insuficiente. En ensayos con muestras, algunos cables dañados intencionadamente producían arcos hacia aluminio u otros conductores sin disparar sistemáticamente sus disyuntores. En una serie a presión normal, los disyuntores se abrieron en 15 de 30 ensayos. En otra a una presión simulada de 8.000 pies, se abrió uno de cuatro disyuntores. Son observaciones de ensayo acotadas, no una probabilidad estadística para el accidente.
Su importancia es conceptual: un arco puede crear calor localizado intenso mientras consume una corriente que no persiste por encima de la curva de disparo del disyuntor.
El registro de apoyo de la TSB sobre técnicas, ensayos y trabajo con simulador también separa el arco primario del secundario. El fuego puede fundir o carbonizar el aislante, poniendo en contacto conductores energizados y generando muchos arcos tardíos. Un fallo intermitente de "tictac" puede cebarse repetidamente sin suficiente sobrecorriente integrada para abrir un disyuntor convencional. Algunos aislantes de poliimida pueden formar carbón conductor bajo calor, permitiendo el seguimiento del arco a lo largo de un cable y el flameo a través de un mazo.
El ETFE se comporta de forma diferente, fundiéndose y quemándose en lugar de soportar la misma trayectoria carbonizada. Un régimen de protección creíble debe, por tanto, ensayar el comportamiento de fallo bajo tensión, altitud, daño, agrupamiento y condiciones de material, no solo la clasificación nominal del cable intacto.
Los investigadores razonaron que era improbable que el arco delantero del cable 1-3791 hubiera sido causado únicamente por un fuego posterior que perforara selectivamente el aislante necesario en esa ubicación dejando intacto el patrón de pruebas adyacente. Probablemente estuvo asociado con el período de inicio del incendio. Pero la asociación no demuestra primacía. El conductor podría haber formado arco con otro cable del IFEN, con un cable original de la aeronave, o como colateral de otro arco iniciador. Los investigadores no pudieron determinar cómo se perforó inicialmente su aislante ni con qué contactó.
La respuesta de responsabilidad es, por tanto, deliberadamente más amplia que "sustituir este cable". Pregunta quién especificó el cable, quién evaluó los modos de fallo, quién controló el enrutamiento y la protección de bordes, quién inspeccionó la configuración instalada, quién capturó las discrepancias de servicio, quién seleccionó la protección del circuito y quién revisó el sistema combinado de la aeronave. Si el control solo funciona después de que los investigadores identifiquen un conductor fallido único, es demasiado estrecho para las pruebas.
Este límite también protege la legitimidad institucional. El público puede entender que una investigación encontró una probable ignición por arco eléctrico sin pretender que se cerró una brecha forense. La precisión fortalece el caso para la reforma porque mapea los controles a los peligros demostrados. Una reclamación excesiva haría que un registro de seguridad por lo demás sólido fuera vulnerable a una única objeción correcta: el cable principal nunca fue probado de manera única.
La red de entretenimiento convirtió "no esencial" en una cuestión de integración de sistemas
El IFEN de Swissair era una instalación interactiva de entretenimiento para pasajeros aprobada mediante el Certificado de Tipo Suplementario (STC) de la FAA ST00236LA-D. La etiqueta "no esencial, no requerido" describía su criticidad operativa prevista. No hacía que la instalación estuviera físicamente separada de la aeronave. Añadía demanda de potencia, disyuntores en un panel de la cabina de mando, cableado a través de áreas ocultas delanteras, funciones de refrigeración y control, dibujos de instalación, supuestos operativos y consecuencias de aislamiento para la tripulación.
El material de diseño inicial contemplaba alimentar el sistema desde los buses de cabina. Esos buses no podían soportar la configuración prevista de 257 asientos, por lo que la mayor parte de la alimentación del IFEN se trasladó al bus de CA 2 de 115 voltios. El cambio de diseño alteró el significado del interruptor CABIN BUS del MD-11. Ese interruptor estaba destinado a eliminar la alimentación no esencial de la cabina y era la primera acción en la lista de verificación de humo/vapores, pero no desenergizaba el bus de CA 2.
Ningún relé eliminaba automáticamente la alimentación del IFEN al desconectar el bus de cabina, y ningún suplemento aprobado del manual de vuelo daba a los pilotos otra instrucción de aislamiento directa.
El relato de apoyo de la TSB sobre las revisiones del STC de la FAA muestra cómo falló la interfaz de aprobación. Una revisión crítica inicial de diseño indicó incorrectamente que el IFEN estaba en un bus de cabina. Una sesión informativa posterior corrigió ese error. La FAA realizó entonces una revisión especial de certificación examinando el diseño, la instalación, la práctica de certificación del delegado y la supervisión de la FAA. La TSB concluyó que la integración de alimentación certificada era incompatible con la filosofía de desconexión de cargas de emergencia del MD-11 y no cumplía con el certificado de tipo.
Era una condición insegura latente.
El paquete de instalación también carecía de una definición completa del enrutamiento entre el panel inferior de disyuntores de aviónica y aproximadamente la estación 515. En lugar de una configuración completa, los documentos remitían repetidamente a directrices generales de mejores prácticas. Las inspecciones de otros MD-11 de Swissair encontraron diferencias de enrutamiento, envoltura espiral protectora inconsistente, contacto de cable con un borde de equipo, discrepancias en herrajes y terminaciones, y ningún aviso de cambio que registrara variaciones en un área que el paquete aprobado no había definido.
Una configuración que existe solo en el criterio del instalador es difícil de inspeccionar, reproducir o auditar.
La responsabilidad estaba distribuida. El titular del STC y sus colaboradores de diseño desarrollaron y sustentaron la alteración. El delegado de la FAA emitió conclusiones de cumplimiento en nombre de la agencia. La FAA retuvo la responsabilidad de supervisión del sistema de delegación. Swissair era el operador y cliente. SR Technics proporcionó apoyo, realizó instalaciones a través de contratistas y aseguramiento de la calidad bajo sus obligaciones de mantenimiento, pero el informe distinguió ese rol de la aprobación del diseño y la certificación. Cada actor controlaba una parte diferente de la cadena de pruebas.
El aviso de Transport Canada sobre integración de sistemas de entretenimiento posterior al accidente hace explícita la lógica de reparación: el equipo no requerido debe poder desconectarse de la alimentación sin sacrificar los sistemas necesarios para vuelo y aterrizaje seguros; las tripulaciones necesitan un interruptor práctico en lugar de depender de la extracción de disyuntores individuales; y los procedimientos operativos deben revisarse con la instalación. Esa es una guía posterior, no la norma legal exacta que rigió cada decisión de 1996. Es prueba de la lección sistémica extraída del accidente.
El límite final es esencial. El fallo de integración del IFEN no se activó mediante la selección del CABIN BUS hasta 13 minutos y 7 segundos después del primer olor, cuando el incendio ya se autopropagaba. La TSB no encontró vínculo entre esa condición latente y el inicio o propagación. Del mismo modo, los investigadores descartaron las propias unidades de alimentación del IFEN como fuente de ignición. El grave problema de responsabilidad es que los controles de certificación e instalación permitieron un sistema suplementario incompletamente definido e incorrectamente aislado, no que cada deficiencia probara el origen físico.
El material superó su ensayo y fracasó en su propósito instalado
Los aislantes termoacústicos no son adornos de cabina. Gestionan temperatura, sonido y condensación en grandes áreas del fuselaje presurizado. Sus películas de cobertura, guata, cintas, fijaciones y reparaciones forman un sistema instalado situado junto a cables, conductos y estructura. En el HB-IWF, gran parte de la cobertura del aislante era MPET, una fina película de poliéster metalizado.
El material con cobertura de MPET cumplió el requisito de inflamabilidad aplicable cuando se certificó el MD-11. El ensayo vertical del mechero Bunsen suspendía una probeta estrecha sobre una llama durante 12 segundos y juzgaba el tiempo de posllama, la longitud quemada y las gotas inflamadas. La película de MPET podía encogerse alejándose del mechero y evitar el contacto sostenido. Ese comportamiento le permitió superar el ensayo.
Sin embargo, en una aeronave, las superficies del aislante eran amplias, curvas, en capas, cercanas a superficies adyacentes y expuestas a realimentación radiativa, precalentamiento, flujo de aire, material de empalme y pequeños arcos eléctricos. Esas condiciones cambiaron el resultado.
Los investigadores ensayaron disposiciones más representativas y descubrieron que el MPET podía inflamarse con una fuente pequeña y propagar la llama. Fue muy probablemente el primer material inflamado en la región del origen y el mayor componente de la carga combustible que propagó e intensificó el incendio. También contribuyeron otros materiales aprobados: cobertura de fluoruro de polivinilo metalizado, tapas de elastómero de silicona, fijaciones de gancho y bucle, espumas, adhesivos y cintas de empalme. El problema no era un avión viejo y sucio.
Los ensayos encontraron materiales relevantes inflamables en condiciones de instalación nueva y no contaminada, por lo que se descartó la contaminación como necesaria para iniciar este incendio.
La certificación había codificado una geografía del riesgo. Las superficies de cabina ocupadas y las zonas de incendio designadas recibían requisitos comparativamente severos. Las áreas ocultas no designadas se trataban como relativamente benignas porque los diseñadores suponían que carecían de la combinación de fuente de ignición y combustible. Sin embargo, esos espacios contenían cableado energizado y grandes áreas de aislante. La norma había separado los dos riesgos administrativamente mientras que la instalación los colocaba juntos físicamente.
La Recomendación A99-08 de la TSB sobre ensayos de fuego deficientes en materiales pedía que los materiales aislantes se validaran como sistemas instalados según criterios más rigurosos y representativos. Posteriormente, los reguladores adoptaron un ensayo de propagación de llama con panel radiante, y la página de la recomendación registra una evaluación Totalmente Satisfactoria y cierre en 2020 tras las acciones sobre MPET y AN-26 y normas más estrictas. El cierre significa que la Junta consideró la respuesta suficiente para reducir sustancialmente la deficiencia identificada.
No significa que cada material en cada reparación heredada haya sido reensayado individualmente o que ningún incendio en espacio oculto pueda propagarse.
La Recomendación A01-02 sobre inflamabilidad de materiales fue más allá de los aislantes. Solicitaba que los materiales en la parte presurizada de una aeronave se evaluaran frente a escenarios de ignición realistas para que no se aceptara un incendio sostenido o propagado solo por su ubicación, tipo o cantidad. La TSB evaluó posteriormente la respuesta como Totalmente Satisfactoria. Ese estado refleja el trabajo normativo; no hace retroactivamente adecuado el ensayo anterior al accidente ni demuestra cumplimiento en cada evento de mantenimiento.
La lección de diseño es sobre representatividad. Una probeta de certificación puede superar el ensayo mientras que el conjunto instalado falla si el ensayo omite orientación, superficies adyacentes, flujo de calor, envejecimiento, contaminación, reparaciones, fijaciones, flujo de aire o la energía de ignición creíble. La prueba correctiva debe conectar el método de laboratorio con la configuración de la aeronave.
Debe identificar la instalación en el peor caso, muestrear todas las combinaciones de componentes, definir los materiales de reparación, verificar la producción del proveedor, inspeccionar la instalación en la flota y realizar un seguimiento de cualquier medio alternativo de cumplimiento aprobado.
La responsabilidad del material tampoco puede terminar con la retirada del MPET. Una película de sustitución puede resistir mejor la ignición pero seguir viéndose comprometida por cinta, adhesivo, parches de reparación o contaminación. Una etiqueta de "material conforme" solo es significativa cuando la configuración realmente instalada coincide con la configuración ensayada y permanece controlada a través del servicio. Este es el mismo problema de gobierno de configuración expuesto por los planos del IFEN: un diseño seguro sobre el papel no es suficiente sin un registro de mantenimiento actualizado.
El ático oculto carecía tanto de sensor como de un límite de incendio alcanzable
El espacio por encima del techo de la cabina de mando y de la cabina delantera no era una zona de incendio designada. Ninguna normativa exigía detección de humo o fuego integrada allí, ningún sistema de extinción fijo lo protegía, y ninguna ruta de acceso permitía a las tripulaciones descargar de forma fiable un extintor portátil en el frente de la llama. Ese diseño dejaba la detección al olor y al humo que llegaban al espacio ocupado y dejaba la extinción a una persona que primero tenía que inferir dónde ardía un fuego oculto.
Los sentidos humanos eran un sensor débil. El flujo de aire podía alejar los productos de combustión de la fuente, filtrarlos, diluirlos o llevarlos a través de una salida de aire acondicionado que sugería un origen erróneo. En este suceso, el olor inicial y la señal visual intermitente eran coherentes con la evaluación de la tripulación sobre el aire acondicionado. El fuego podía viajar sobre y entre las superficies del aislante por encima del revestimiento mientras la cabina de pasajeros no mostraba ninguna señal correspondiente.
Los límites del ático tampoco estaban endurecidos contra el fuego para esta tarea. Una barrera contra el humo dividía partes de la región superior, pero las normas de las aeronaves de pasajeros no exigían que cumpliera una norma de bloqueo del fuego. Las aberturas admitían conductos, cables y enlaces de las palancas de fuego de los motores. A medida que el calor dañaba la barrera y el revestimiento del techo, el humo y los gases calientes podían entrar en la cabina de mando.
Cuando los ventiladores de recirculación de la cabina se detuvieron con la selección del CABIN BUS, el flujo de aire por encima del falso techo delantero se invirtió hacia la cabina de mando. Eso no inició el incendio, pero afectó al entorno de propagación tardía.
La Recomendación de la TSB sobre metodología de zonas de incendio designadas pidió a los reguladores y a la industria que reconsideraran qué áreas presurizadas necesitan detección y extinción mejoradas. Su última evaluación mostrada es Satisfactoria en Parte y su expediente está cerrado. Esa combinación es importante: un expediente cerrado puede preservar una preocupación residual cuando no se espera que más acciones produzcan más progreso. No debe traducirse en una afirmación de que cada área oculta tiene ahora detección y extinción automáticas.
La Recomendación de la TSB sobre normas de lucha contra incendios en vuelo abordó procedimientos, formación, equipo y acceso a espacios como áticos como un sistema. Posteriormente se evaluó como Totalmente Satisfactoria y se cerró. El marco sistémico sigue siendo el marco de auditoría correcto. Un nuevo sensor de humo sin localización puede generar una alarma pero no una vía de ataque. Una herramienta de acceso sin equipo de protección respiratoria, práctica y coordinación de la tripulación puede ser inutilizable. Un material más resistente al fuego puede ralentizar la propagación pero no elimina los fallos de cableado.
La prueba debe basarse en escenarios. Un ensayo creíble introduce una pequeña ignición eléctrica oculta, mide la latencia de detección, confirma qué alerta llega a la tripulación, verifica el aislamiento automático o manual, demuestra la entrega del agente o el acceso a la fuente, y confirma que la navegación, comunicación y grabación esenciales permanecen disponibles. Debe incluir estados de flujo de aire y fallos realistas. Una revisión de lista de verificación por sí sola no puede demostrar que el fuego es alcanzable.
Los disyuntores convencionales protegían los conductores pero no todas las firmas de arco
El MD-11 utilizaba disyuntores térmicos típicos de las aeronaves de transporte. Su función principal era proteger el cableado contra corrientes excesivas a lo largo del tiempo. No garantizaban la detección de todo arco intermitente metal-metal, trayectoria de carbonización o fallo de "tictac" de alta temperatura. Puede existir una descarga local muy caliente por debajo de la combinación tiempo-corriente necesaria para calentar y disparar el disyuntor.
Esta distinción explica por qué "el disyuntor no saltó" no demuestra "no había fallo eléctrico". También explica por qué sobredimensionar un disyuntor o confiar en un disyuntor como interruptor principal de la tripulación puede socavar la seguridad. Las pruebas recuperadas y los ensayos con muestras mostraron que algunos arcos podían continuar o repetirse sin abrir la protección. Otros arcos posteriores sí dispararon disyuntores. La respuesta depende de la forma de onda del fallo, el material, la geometría de contacto, la presión, la carga del circuito y el tiempo.
La Recomendación A01-03 de la TSB sobre certificación de fallos de cableado solicitaba ensayos en condiciones operativas realistas y criterios de rendimiento especificados para la forma en que falla el aislante del cable. La recomendación se evaluó como Totalmente Satisfactoria y se cerró en marzo de 2023 tras describir los reguladores la elaboración de normas sobre sistemas de cableado, estándares de cualificación y acciones de aeronavegabilidad continuada. Es una respuesta institucional significativa.
No es una prueba de que los disyuntores convencionales se hayan convertido en detectores universales de arco o de que cada instalación envejecida haya sido inspeccionada.
El aislamiento eléctrico tiene también dos propósitos diferentes. La protección automática del circuito debe detener un fallo eléctrico peligroso sin diagnóstico de la tripulación. La desconexión operativa de cargas debe permitir a la tripulación retirar rápidamente el equipo no esencial preservando los sistemas necesarios para volar y aterrizar. El IFEN cruzó mal esos propósitos: disyuntores individuales protegían sus circuitos, pero el control de potencia de cabina esperado no los desenergizaba.
Una tripulación que se enfrenta a humo no debería necesitar un esquema eléctrico y una búsqueda fila por fila de disyuntores para lograr el aislamiento supuesto por el procedimiento.
Por lo tanto, un sistema eléctrico responsable necesita pruebas en capas: enrutamiento resistente a daños y separación; aislante y abrazaderas compatibles; cualificación de fallo de arco; protección ajustada a fallos creíbles; un desconector de cargas no esenciales directo y claramente etiquetado; alimentación esencial independiente; registros de configuración; umbrales de inspección; y datos de dificultad de servicio que hagan visibles los daños recurrentes en el cableado en todas las flotas. Cada capa cubre la incertidumbre que dejan las demás.
Una lista de verificación no puede recuperar el tiempo que la arquitectura ya ha gastado
La tripulación del Swissair disponía de dos vías de procedimiento relacionadas con el humo. Inicialmente creyeron que la condición provenía del aire acondicionado y discutieron la lista de verificación correspondiente. El procedimiento más amplio de humo/vapores de origen desconocido utilizaba un aislamiento eléctrico y neumático secuencial para localizar la fuente. Completarlo podía llevar de 20 a 30 minutos, dependiendo de cuánto esperara la tripulación en cada configuración para observar si el humo cambiaba. No existía ninguna normativa que limitara el tiempo que podía requerir esa resolución de problemas.
Esa duración encajaba mal con un incendio oculto que se autopropagaba. Cuando el humo visible llegó a la cabina de mando, los investigadores creían que el fuego ya se sostenía por sí mismo. Incluso una desconexión inmediata de cargas eléctricas en ese punto probablemente no habría cambiado la propagación de este incendio, aunque una desenergización rápida podría prevenir la ignición en otro evento donde un componente sobrecalentado no hubiera inflamado aún el material circundante. La lección correcta no es "las listas de verificación nunca importan";
es que el aislamiento debe ser lo suficientemente rápido para la etapa de peligro que se pretende controlar.
La Recomendación de la TSB sobre la sincronización de la lista de verificación de humo solicitaba procedimientos que minimicen la posibilidad de que una anomalía eléctrica pueda convertirse en un incendio o sostenerlo mientras las tripulaciones resuelven problemas. Se evaluó como Totalmente Satisfactoria y se cerró en 2023 tras una larga historia de respuestas y revisión.
Una auditoría de procedimientos aún debe preguntar cuántas acciones ocurren antes de la preparación para el aterrizaje, qué acciones desenergizan fuentes probables, qué sistemas esenciales se pierden, cuánto tiempo lleva la espera diagnóstica y qué sucede cuando no se puede identificar la fuente.
La filosofía de aterrizaje es un control separado. La Recomendación de la TSB sobre preparación expedita para el aterrizaje instó a las normas del sector a tratar el olor o humo desconocido como una razón para prepararse para el aterrizaje adecuado más cercano sin demora. Se evaluó como Totalmente Satisfactoria y se cerró. La recomendación no dice que cada olor exija una zambullida incontrolada o que las tripulaciones deban ignorar el terreno, el clima, la energía de la aeronave, la idoneidad de la pista y el estado del sistema.
Cambia el valor por defecto de diagnóstico primero a preparación para el aterrizaje mientras se realiza el diagnóstico.
Las decisiones reales de los pilotos del SR 111 deben juzgarse según sus indicios, no según el conocimiento posterior de los investigadores sobre un incendio por encima del techo. La TSB consideró oportuno su desvío a Halifax. Estaban entrenados para aterrizar con sobrepeso si una emergencia lo requería y para verter combustible sin restricciones cuando fuera apropiado. Inicialmente vieron una condición tratada en el sector como no necesariamente inmediata y catastrófica. Necesitaban distancia de trayectoria para descender y reducir la velocidad desde la altitud de crucero. Su cabina tenía que estar preparada.
Las cartas de aproximación no estaban al alcance directo. El clima significaba que partes del descenso eran en nubes.
El estudio de rendimiento de la TSB sobre los últimos minutos no registrados etiqueta cuidadosamente su descenso de emergencia como teórico. Utiliza radar y supuestos de rendimiento para crear una línea base académica, no una recreación de lo que los pilotos con humo, fallos e información incompleta podrían ejecutar con certeza. El informe final concluyó que, desde puntos de la trayectoria real tras el primer olor, completar una aproximación a Halifax habría llevado más tiempo del que la cabina de mando permaneció segura para el aterrizaje. Eso respalda la gravedad y el déficit de tiempo del evento.
No autoriza la afirmación inversa de que una alternativa ciertamente habría funcionado. Un aterrizaje directo con sobrepeso aún habría requerido descenso, desaceleración, alineación, navegación y una cabina de mando utilizable. Girar en un momento diferente cambia altitud y distancia pero también cambia la gestión de la energía. Omitir el vertido de combustible ahorra tiempo, pero la tripulación ya había comenzado a posicionarse antes de que la situación se declarara catastrófica, y el vertido no estaba en curso en el momento del impacto.
Las ejecuciones con simulador comienzan con fallos conocidos, una tripulación preparada y un simulador en servicio; no pueden reproducir cada incertidumbre, señal sensorial o pérdida en cascada de sistemas.
La disciplina contrafactual es una forma de responsabilidad. Evita que los debates sobre procedimientos oculten la cadena de fallos físicos. La pérdida no fue simplemente el número de minutos dedicados a discutir el combustible. Fue una aeronave en la que un pequeño arco oculto podía inflamar material conforme, crecer sin detección ni extinción, derrotar sistemas y destruir la cabina de mando más rápido de lo que podía completarse un desvío normal. Son necesarios mejores procedimientos, pero no sustituyen a la prevención y contención del incendio.
La pérdida y recuperación de registradores definen lo que aún se puede conocer
La grabadora de voz de cabina capturó solo 30 minutos, el mínimo reglamentario en ese momento. Su contenido más temprano comenzaba unos 17 minutos antes del primer olor. La grabadora de datos de vuelo y la de voz de cabina se alimentaban del mismo sistema de bus generador. Ambas se detuvieron en un intervalo de un segundo a las 01:25:41, muy probablemente porque los daños relacionados con el fuego eliminaron la alimentación; las pruebas indicaban que el selector de humo estaba probablemente en su posición normal entonces. La pérdida simultánea borró la evidencia más rica de los últimos 5 minutos y 37 segundos.
Los investigadores compensaron sin pretender que la brecha desapareciera. El radar primario continuó casi hasta el impacto. La memoria de control electrónico del motor retuvo fallos y una indicación de apagado del motor. Los registros sísmicos fijaron la hora del impacto. Las posiciones de los restos, las marcas testigo de los instrumentos, las firmas térmicas y los patrones de hollín apoyaron partes de la reconstrucción física. Ninguno registró la conversación final de la cabina, la visibilidad exacta, cada acción de interruptor ni la ubicación del capitán en cada instante.
La recuperación fue inmensa. El relato de la TSB sobre la búsqueda, recuperación y participación en la investigación describe recursos navales, de guardacostas, policiales, militares, locales y técnicos trabajando en agua de unos 55 metros de profundidad. Se recuperó casi el 98 por ciento del peso estructural de la aeronave. El fuselaje delantero fue reconstruido para que los investigadores pudieran mapear la evidencia de calor, cable y material. Todas las personas a bordo fueron identificadas, y la operación se completó sin lesiones graves al personal de recuperación a pesar de los peligros significativos.
La cronología pública también importa. La cronología abreviada de la investigación de la TSB registra la recuperación temprana de registradores, operaciones de izado, miles de participantes, la desactivación voluntaria del IFEN y el largo camino hasta el informe final de 2003. Muestra que la continuidad probatoria era una función institucional: los restos tuvieron que ser localizados, catalogados, clasificados, reconstruidos, ensayados y comparados antes de que fuera posible una conclusión responsable.
La resiliencia de los registradores es, por tanto, parte de la responsabilidad de prevención. Fuentes de alimentación separadas, mayor duración y alimentación independiente protegida pueden preservar la evidencia durante una emergencia eléctrica. No ayudan a la tripulación a extinguir el incendio, pero mejoran la capacidad del sistema público para aprender.
La continuidad del sector público después de una catástrofe depende de esa capacidad: las organizaciones de respuesta deben recuperar personas y pruebas, los investigadores deben preservar la cadena de custodia, los reguladores deben actuar sobre los peligros provisionales y las familias deben recibir conclusiones limitadas por lo que el registro puede sostener.
La responsabilidad sigue los derechos de control a lo largo del ciclo de vida de la aeronave
Swissair controlaba la adopción operativa del servicio de entretenimiento, los procedimientos de la tripulación, las acciones en la flota y su relación con las organizaciones de mantenimiento y modificación. Desactivó el IFEN tras el accidente, revisó la presentación de la lista de verificación y los procedimientos de humo, introdujo formación e inspecciones de cableado a través de SR Technics, sustituyó los aislantes de MPET en respuesta a la acción reguladora y realizó modificaciones en la aeronave. Esas acciones importan porque un operador puede reducir la exposición antes de que se emita un informe final.
El operador no controlaba todos los estándares de diseño ni la delegación de certificación. El fabricante de la aeronave controlaba el diseño base del MD-11, la filosofía eléctrica, la información de servicio y muchas modificaciones posteriores al accidente. Las organizaciones de diseño del IFEN y del STC controlaban los datos de alteración y la justificación de cumplimiento dentro de sus roles asignados. Los instaladores y SR Technics controlaban la mano de obra, la conformidad, el aseguramiento de la calidad y el registro de lo instalado. La FAA controlaba el marco de certificación y delegación de Estados Unidos para el STC.
Las autoridades de aeronavegabilidad suiza y otras controlaban la validación y la aplicabilidad obligatoria a sus registros.
Los proveedores de materiales y las autoridades de métodos de ensayo controlaban pruebas diferentes. Un proveedor podía demostrar las propiedades de una película según un método especificado; los reguladores decidían si ese método representaba el peligro. Los fabricantes y modificadores de aeronaves decidían cómo se juntaban materiales, cables y conductos. Las organizaciones de mantenimiento decidían qué cintas y parches de reparación entraban en servicio. Ninguna capa podía suponer con seguridad que otra había ensayado la combinación instalada.
Las tripulaciones de vuelo controlaban la aeronave solo después de que el peligro produjera una señal. Su autoridad incluía la desviación, la declaración de emergencia, el aterrizaje con sobrepeso, el vertido de combustible y la ejecución de listas de verificación. Pero su control estaba limitado por lo que podían detectar, qué interruptores existían, qué equipo permanecía alimentado, la altitud y energía de la aeronave, la ubicación de las cartas, el clima y la velocidad de propagación.
Atribuir a las tripulaciones la responsabilidad de un incendio oculto que no podían localizar ni alcanzar confunde la agencia operativa con el control de diseño.
El control de tráfico aéreo dio forma al enrutamiento y al apoyo de emergencia pero no veía la cabina. El informe final concluyó que las interacciones piloto-controlador no afectaron al resultado. Los servicios de emergencia y las comunidades costeras se movilizaron rápidamente tras la pérdida del contacto por radar; controlaban la búsqueda y la recuperación, no la prevención del incendio en vuelo. Los investigadores controlaban la reconstrucción de seguridad, no la responsabilidad legal. Los tribunales y las autoridades competentes, cuando participan, controlan las conclusiones legales.
Esta asignación evita dos errores comunes. El primero es la culpabilización corporativa totalizadora: decir "Swissair" como si una aerolínea por sí sola hubiera creado las pruebas federales de materiales, cada conclusión del STC, cada característica del disyuntor y cada cable instalado. El segundo es la fragmentación: decir que cada componente cumplía por separado, por lo que ninguna institución era propietaria del peligro combinado. La responsabilidad se sitúa entre ambos.
Cada actor debe responder por los controles e interfaces que realmente poseía, mientras que los propietarios del sistema y los reguladores deben garantizar que las interfaces sumen una aeronave segura.
Una reparación verificable necesita diez defensas conectadas
Primero, la configuración del sistema suplementario debe ser completa.Cada cable añadido debe tener un origen, destino, ruta, separación, soporte, protección de bordes, disyuntor, conector, cálculo de carga y método de retirada controlados. El plano aprobado debe coincidir con la aeronave instalada. Las desviaciones requieren disposición de ingeniería registrada, no criterio discrecional del instalador no documentado. Las herramientas de configuración digital y la automatización del flujo de trabajo empresarial pueden mejorar la trazabilidad, pero solo si las inspecciones de conformidad física cierran el ciclo.
Segundo, la alimentación no esencial debe ser directamente aislable.Una acción de la tripulación descrita como retirada de cargas de cabina o no esenciales debe hacer exactamente eso en todos los equipos de fábrica y suplementarios. El aislamiento debe preservar las funciones mínimas de navegación, comunicación, control de vuelo, iluminación, oxígeno y grabación necesarias para continuar el vuelo y el aterrizaje seguros. Los ensayos de certificación deben verificar el interruptor en la arquitectura eléctrica real modificada.
Tercero, la protección del circuito debe abordar la física del fallo.La protección contra sobrecorriente convencional sigue siendo necesaria, pero las firmas creíbles de arco intermitente y seguimiento necesitan detección o prevención apropiadas para sus circuitos. La cualificación debe incluir aislante dañado, altitud, tipos de cable mezclados, mazos, vibración, humedad y contacto con la estructura. Un disyuntor no debe utilizarse como interruptor rutinario a menos que esté específicamente diseñado y aprobado para ese servicio.
Cuarto, los ensayos de materiales deben representar los sistemas instalados.La película aislante, la guata, las cintas, las fijaciones, los adhesivos y las reparaciones deben evaluarse juntos en las orientaciones, flujo de calor y flujo de aire del peor caso. Los materiales de producción y reparación deben seguir siendo equivalentes a la probeta ensayada. El envejecimiento, la contaminación y los daños de mantenimiento deben abordarse cuando modifiquen materialmente el rendimiento.
Quinto, el fuego oculto debe producir una alerta temprana y localizable.La ubicación de los sensores y los algoritmos deben cubrir el ático, la aviónica y otros espacios no designados donde coexisten ignición y combustible. Los ensayos deben medir el tiempo de detección antes de que el humo llegue al espacio ocupado, la resistencia a falsas alarmas y la capacidad de la tripulación para identificar la zona afectada. Una alerta que llega solo tras múltiples fallos de sistema no es una defensa eficaz.
Sexto, la extinción debe alcanzar la fuente.Un sistema fijo, un punto de acceso diseñado u otro método validado debe controlar el fuego donde un extintor portátil no puede ser dirigido. La distribución del agente debe demostrarse bajo estados de ventilación realistas. El equipo de protección de la tripulación, las herramientas de acceso y la formación deben ser compatibles con el tiempo disponible y no deben requerir desmontaje inseguro en vuelo.
Séptimo, el análisis de seguridad del sistema debe incluir el fuego en curso.La Recomendación de la TSB sobre fallos de sistema inducidos por fuego abordó el oxígeno, el aire acondicionado, los sistemas hidráulicos y otros cuya rotura puede alimentar un incendio o cambiar el flujo de aire. Se evaluó como Totalmente Satisfactoria y se cerró en 2023 tras identificar las autoridades acciones sobre inflamabilidad y sistemas de cableado. La prueba continua es que cada sistema se evalúa no solo por fallo interno sino también por cómo se comportan sus materiales y conexiones cuando un incendio adyacente los ataca.
Octavo, los procedimientos deben priorizar el aterrizaje mientras se realiza el aislamiento.El humo desconocido debe desencadenar la preparación inmediata para el aeropuerto adecuado más cercano, una división explícita de tareas de la tripulación y una desconexión rápida de cargas no esenciales. La resolución de problemas debe tener tiempos de espera acotados y una condición de parada clara. La formación debe incluir olores ambiguos, fuentes ocultas, cascadas de sistemas, visibilidad deteriorada por humo, instrumentos de reserva y coordinación entre la tripulación de cabina y la de pasajeros.
Noveno, los registradores y los instrumentos esenciales necesitan alimentación resistente.La voz y los datos de vuelo no deben desaparecer juntos porque un único bus dañado por el fuego falle. La alimentación independiente o alternativa, la duración adecuada y el enrutamiento protegido deben verificarse en configuraciones de aislamiento de humo. La capacidad de vuelo, comunicación y navegación de reserva debe permanecer utilizable desde las posiciones de la tripulación en condiciones de visibilidad reducida.
Décimo, la reparación en la flota debe ser auditable.Las autoridades y los operadores deben publicar o conservar listas de aplicabilidad, registros de finalización, métodos alternativos aprobados, hallazgos de inspección y tendencias de defectos recurrentes. El muestreo debe confirmar que los planos, boletines de servicio y directivas de aeronavegabilidad llegaron a la aeronave física. El cierre de recomendaciones es evidencia de gobernanza; la conformidad a nivel de aeronave es evidencia operativa.
Las diez defensas están intencionadamente vinculadas. Un mejor material gana tiempo para la detección. La detección desencadena el aislamiento y la extinción. El aislamiento no debe eliminar los instrumentos necesarios para aterrizar. La extinción depende del acceso y la formación. Los registros de configuración dicen a los inspectores por dónde discurren realmente las adiciones. La resiliencia del registrador muestra lo que ocurrió cuando falla una defensa. Un caso de seguridad que demuestra solo un elemento deja el mismo problema de interfaz que caracterizó al suceso.
La acción reguladora fue sustancial, pero el estado no es lo mismo que la prueba universal
La primera acción importante sobre materiales se dirigió al MPET. La página de la TSB para la Recomendación A99-07 registra directivas de aeronavegabilidad de la FAA que exigen la retirada en aeronaves afectadas registradas en Estados Unidos, respuestas de Transport Canada y la industria, y una evaluación Totalmente Satisfactoria con el expediente cerrado en 2018. Swissair comenzó la sustitución selectiva antes del mandato y luego inició un programa completo bajo el marco de la directiva; el informe final indicó que la directiva se había cumplido en 11 MD-11 propiedad anterior de Swissair en enero de 2003.
Se trata de un remedio concreto: un material identificado fue localizado y retirado en aeronaves afectadas documentadas.
La reparación más profunda cambió las pruebas y las normas de diseño. Los criterios de panel radiante abordaron la propagación de llama en aislantes termoacústicos. Los programas de cableado ampliaron la inspección, mantenimiento, separación y cualificación. Se revisaron las instalaciones suplementarias de entretenimiento, las condiciones inseguras produjeron directivas de aeronavegabilidad y la guía enfatizó una función dedicada de desconexión de alimentación. Las listas de verificación y la formación trataron cada vez más el humo desconocido como un evento de aterrizaje crítico en tiempo.
Los fabricantes endurecieron contra el fuego conexiones de oxígeno específicas y otros componentes vulnerables.
El registro de recomendaciones debe leerse con precisión. A99-07, A99-08, A00-18, A00-19, A00-20, A01-02, A01-03 y A01-04 muestran evaluaciones finales Totalmente Satisfactorias y expedientes cerrados. A00-17 muestra Satisfactoria en Parte y cerrada. Esas etiquetas reflejan la evaluación de la TSB de las respuestas a las deficiencias de seguridad, a menudo después de años de elaboración de normas y revisión. No significan todas lo mismo, y un estado cerrado no implica necesariamente que los reguladores implementaran la recomendación exactamente como estaba redactada.
La acción reguladora posterior tampoco puede proyectarse hacia atrás como el deber legal exacto el 2 de septiembre de 1998. Una norma posterior al accidente puede demostrar que las autoridades reconocieron un control mejor; no decide, por sí misma, si un actor anterior al accidente violó la ley entonces aplicable. A la inversa, la demostración de que un material o instalación superó la norma antigua no responde si la norma controlaba adecuadamente el riesgo de seguridad. La responsabilidad en seguridad evalúa tanto el cumplimiento como la adecuación de la norma, preservando su diferencia legal.
La auditoría práctica en 2026 es específica de la configuración. Para cada aeronave y modificación, ¿puede el operador identificar la película aislante y la cinta ahora instaladas? ¿Puede demostrar que el IFEN u otras cargas no requeridas se desconectan cuando se utiliza el control designado? ¿Pueden los registros de mantenimiento identificar discrepancias en cables ocultos y arcos recurrentes? ¿Puede una tripulación alcanzar o extinguir un incendio por encima del techo? ¿Permanece alimentado el registrador durante el aislamiento? ¿Puede el regulador muestrear la evidencia en lugar de confiar en una declaración de finalización?
La confianza pública depende de respuestas visibles. El accidente involucró a pasajeros de muchos países, una aeronave registrada y operada a través de instituciones europeas, una modificación aprobada por Estados Unidos, espacio aéreo canadiense y una investigación canadiense. Ninguna jurisdicción por sí sola poseía toda la cadena de seguridad. La legitimidad institucional proviene, por tanto, de normas armonizadas más la aplicación local, no de suponer que la aprobación de otra autoridad cubre cada interfaz.
Las conclusiones de seguridad deben permanecer separadas de la responsabilidad legal
La declaración de mandato de la TSB es inequívoca: investigó para promover la seguridad del transporte y no asigna culpa ni determina responsabilidad civil o penal. Su informe utiliza un lenguaje causal y contribuyente para identificar actos, condiciones y deficiencias inseguros. Ese lenguaje es vital para la prevención. No es un veredicto contra Swissair, un proveedor, un modificador, un empleado o un regulador.
Los tipos de prueba tienen diferente autoridad. El informe final contiene las conclusiones adoptadas por la Junta. Las páginas técnicas de apoyo muestran métodos, ensayos, registros y pruebas intermedias. El material de lecciones de la FAA es una síntesis educativa retrospectiva. Las páginas de recomendaciones documentan una preocupación de seguridad, las respuestas de las partes interesadas, las evaluaciones de la Junta y el estado. Un aviso circular proporciona orientación; no es automáticamente una norma vinculante en cada jurisdicción y período de tiempo.
Un boletín de servicio puede volverse obligatorio cuando se incorpora mediante una directiva de aeronavegabilidad, pero ambos no son intercambiables.
Por lo tanto, este artículo no infiere intención, negligencia, criminalidad ni daños a partir de una conclusión técnica. No dice que un cable del IFEN fuera definitivamente la única fuente de ignición. No afirma que la tripulación causara la pérdida al planear verter combustible. No establece que el fallo de integración del STC propagara el incendio cuando la TSB no encontró vínculo. No trata las normas posteriores al accidente como la línea base legal exacta de 1998.
La responsabilidad sigue siendo posible dentro de esos límites. Se puede pedir a las instituciones que expliquen por qué una modificación se definió de forma incompleta, por qué la alimentación no esencial no se desconectaba con el interruptor esperado, por qué un aislante conforme propagó la llama, por qué el ático no tenía detección ni extinción, por qué los disyuntores podían pasar por alto arcos, por qué los registradores compartían una fuente de alimentación vulnerable y cómo se repararon esos peligros. Son preguntas de gobernanza basadas en pruebas incluso cuando una junta de seguridad no adjudica responsabilidad.
Lo que sigue sin resolverse
El evento de arco principal único sigue sin resolverse. La pieza 1-3791 tenía un significado temporal y espacial importante, pero la TSB no pudo determinar si fue el primer arco ni identificar todos los demás cables implicados. No todos los cables fueron recuperados o identificables. El debate futuro debería preservar "probablemente asociado con el inicio" y rechazar "fuente única probada".
La secuencia precisa en la cabina después de las 01:25:41 sigue sin resolverse. El radar y los datos del motor acotan la trayectoria de vuelo y algunos estados del sistema, pero los registradores se detuvieron. No se sabe exactamente qué elementos de la lista de verificación se completaron, qué instrumentos permanecieron visibles, si se produjo lucha contra incendios, por qué se apagó el motor 2, si el capitán estaba sentado en el momento del impacto o qué alternativas consideró la tripulación en los últimos minutos.
El resultado contrafactual del aterrizaje sigue sin resolverse en la única forma que importa: una afirmación de certeza. La investigación estableció un grave déficit de tiempo en la trayectoria real y consideró oportuno el desvío de la tripulación dados sus indicios. Un perfil teórico o de simulador puede mostrar viabilidad bajo supuestos específicos. No puede demostrar que una ruta diferente, una aproximación directa con sobrepeso, un plan de vertido omitido o una acción de lista de verificación más temprana hubieran producido sin duda un aterrizaje seguro en medio de un incendio y fallos en evolución.
La efectividad exacta de cada reforma en toda la flota no está contenida en un único conjunto de datos público. Las evaluaciones de recomendaciones documentan un progreso sustancial. No proporcionan evidencia actual, a nivel de número de cola, para cada aeronave heredada, cada alteración suplementaria, cada reparación de aislante o cada ciclo de formación de tripulación en todo el mundo. La ausencia de dicho registro público consolidado no es prueba de incumplimiento; es un límite sobre lo que esta revisión puede verificar.
El rendimiento futuro de la detección y extinción en espacios ocultos sigue siendo también una cuestión sistémica viva. Algunas aeronaves y operadores adoptaron mejoras, pero la lección más amplia del accidente es específica de la arquitectura. Las nuevas cargas eléctricas, la conectividad en cabina, los sistemas de baterías, las reparaciones y los materiales siguen cambiando los interiores de las aeronaves. Cada alteración debe evaluarse frente a la detección, aislamiento y extinción de incendios, en lugar de confiar en el cierre histórico de una recomendación.
La prueba de responsabilidad
El Swissair 111 demuestra cómo un sistema puede cumplir reglas de componentes y aún así ensamblar un peligro intolerable. El cable podía estar certificado. El aislante podía superar su ensayo de mechero. El sistema de entretenimiento podía denominarse no esencial. El disyuntor podía cumplir su propósito de sobrecorriente. El ático podía quedar fuera de los requisitos de zona de incendio designada. La lista de verificación podía estar aprobada. Los registradores podían cumplir su norma de duración.
Ninguna de esas proposiciones garantizaba que un arco oculto fuera detectado, aislado y extinguido antes de que la cabina de mando se volviera inutilizable.
El estándar correctivo es una prueba de extremo a extremo. Comienza con la ruta instalada de cada cable suplementario y el comportamiento de fallo realista de su aislante. Sigue la energía de ignición disponible en el conjunto completo de materiales. Mide el tiempo de detección y extinción en el espacio oculto. Verifica el interruptor de aislamiento de la tripulación, la continuidad de la alimentación esencial, la carga de trabajo de la lista de verificación, la preparación para el aterrizaje y la resistencia del registrador. Termina con registros de conformidad a nivel de aeronave y muestreo del regulador.
La responsabilidad debe seguir el derecho a controlar cada eslabón. Los operadores controlan la configuración de la flota y los procedimientos. Las organizaciones de diseño y modificación controlan la justificación. Las organizaciones de mantenimiento controlan la mano de obra y la aeronavegabilidad continuada. Los fabricantes controlan la integración del sistema base y la información de servicio. Los reguladores controlan las normas, la delegación, la acción obligatoria y la vigilancia. Las tripulaciones controlan la respuesta posible con los indicios y herramientas que reciben.
Los investigadores controlan el registro público de seguridad calibrado.
La disciplina final es la moderación. Una relación de ignición probable no es un cable probado de forma única. Una conclusión sobre una condición latente del STC no es una prueba de que alimentó este incendio. Un aterrizaje con simulador no es una historia alternativa garantizada. Una recomendación de seguridad cerrada no es una prueba universal a nivel de aeronave. Y una conclusión de la TSB no es un juicio legal. Preservar esos límites fortalece el caso de la responsabilidad, porque cada afirmación apunta entonces a un control que puede ser inspeccionado, ensayado y mejorado.
Notas de fuentes
Este artículo otorga peso de control al informe final de la TSB para la cronología, análisis y conclusiones adoptadas. Los registros de apoyo de la TSB se utilizan para detalles técnicos, de rendimiento y de recuperación acotados; el material de la FAA se utiliza para síntesis retrospectiva oficial y documentación de respuesta. Las evaluaciones de recomendaciones describen el estado de las deficiencias de seguridad, no la implementación universal ni la responsabilidad legal. Las normas y orientaciones posteriores están fechadas y no se proyectan hacia atrás como la norma legal exacta de 1998.
El acceso, los grados de evidencia, los usos previstos y los límites no resueltos se registran en el libro de contabilidad de fuentes adjunto.