Escucha el artículo ahora…
Después de los atentados del 11 de septiembre de 2001, la aviación comercial reforzó de manera radical la protección de la cabina de vuelo. La puerta del cockpit dejó de ser una simple separación física entre la cabina de pasajeros y los pilotos para convertirse en una auténtica barrera de seguridad.
Su propósito era claro: impedir que una amenaza exterior pudiera acceder a los controles del avión. Y ha funcionado.
Sin embargo, algunos acontecimientos excepcionales han puesto de manifiesto una paradoja que merece ser estudiada: ¿qué ocurre cuando la amenaza ya está dentro del cockpit?
Ethiopian 702: la puerta como barrera para recuperar el avión
El 17 de febrero de 2014, el vuelo ET702 de Ethiopian Airlines volaba de Addis Abeba a Roma. Cuando el comandante abandonó temporalmente la cabina, el copiloto cerró la puerta y le impidió volver a entrar. Tomó el control del Boeing 767, desvió el avión hacia Ginebra y posteriormente solicitó asilo en Suiza.
La puerta había cumplido exactamente la función para la que había sido diseñada: impedir el acceso desde el exterior. El problema era que, en este caso, quien debía permanecer fuera era precisamente quien necesitaba recuperar el control del avión.
La lógica podría resumirse así:
Ethiopian: "Sal del cockpit → cierro la puerta → me quedo con el avión".
Germanwings 9525: la misma barrera, consecuencias completamente diferentes
Algo más de un año después, el 24 de marzo de 2015, el vuelo Germanwings 9525 volaba entre Barcelona y Düsseldorf.
El comandante salió de la cabina. El copiloto, Andreas Lubitz, quedó solo, seleccionó deliberadamente un descenso mediante el piloto automático y mantuvo bloqueada la puerta mientras el comandante intentaba regresar.
El informe final del BEA fue especialmente explícito: las características de seguridad que hacían que la puerta pudiera resistir una intrusión hicieron imposible acceder al cockpit antes del impacto contra los Alpes franceses. Murieron las 150 personas que viajaban a bordo.
La secuencia era inquietantemente similar:
Germanwings: "Sal del cockpit → cierro la puerta → nadie puede impedir lo que hago".
En este caso la puerta no fue solamente una barrera de seguridad: se convirtió, involuntariamente, en una barrera frente a la recuperación de la aeronave.
Flydubai FZ1073: una nueva variante
El incidente ocurrido el 30 de septiembre de 2026 en el vuelo FZ1073 de flydubai, entre Dubái y Tel Aviv, introduce una dimensión diferente.
La investigación todavía está abierta y, por tanto, cualquier conclusión sobre motivaciones debe considerarse provisional.
Lo que sí está documentado hasta ahora es que se produjo una violenta confrontación dentro del cockpit. El comandante, Smit Machchhar, resultó herido por arma blanca y el avión experimentó un descenso de aproximadamente 14.000 pies en menos de 30 segundos. La investigación apunta a que el copiloto atacó al comandante dentro del cockpit, provocando una situación completamente distinta a las de Ethiopian y Germanwings.
A pesar de sus heridas, el comandante consiguió abrir la puerta del cockpit. Ese acto cambió completamente la dinámica del incidente.
Pasajeros y miembros de la tripulación pudieron intervenir y reducir al agresor. Otros pilotos de flydubai que viajaban a bordo pudieron posteriormente hacerse cargo del avión y aterrizarlo en Tabuk, Arabia Saudí.
El copiloto, según se investiga, no necesitó esperar a que el comandante abandonara la cabina. La amenaza ya estaba dentro y compartía inicialmente el control del avión y, por tanto, en esta oportunidad, la secuencia cambia:
Flydubai: "No necesito esperar a que salgas → te neutralizo → me hago con el control".
Aparece entonces la paradoja más interesante de los tres casos: La supervivencia depende finalmente de hacer exactamente lo contrario: abrir la puerta.
Una misma puerta. Tres funciones diferentes
Los tres acontecimientos son muy distintos y no deberían equipararse ni en motivaciones ni en circunstancias. En mi opinión y desde la perspectiva de Safety Management y Security existe un elemento común extraordinariamente interesante: la puerta del cockpit.
- En Ethiopian, la puerta permitió mantener al comandante fuera.
- En Germanwings, impidió que el comandante pudiera recuperar el acceso mientras el avión descendía.
- En Flydubai, por el contrario, abrir esa misma puerta se convirtió en una barrera de recuperación.
Y ahí aparece una de las cuestiones más interesantes de la ingeniería de seguridad: una barrera diseñada para controlar un determinado riesgo puede comportarse de manera completamente diferente cuando cambia la naturaleza de la amenaza.
El dilema de las barreras
En aviación hablamos constantemente de barreras:
- Procedimientos,
- Redundancias,
- Checklists,
- Sistemas independientes,
- CRM,
- Formación,
- Diseño.
Cada una de ellas intenta evitar que un único fallo pueda evolucionar hasta convertirse en un accidente, pero las barreras no existen de manera aislada: Interactúan entre sí. En determinadas circunstancias, una barrera diseñada para protegernos de un escenario puede dificultar la recuperación frente a otro. La puerta reforzada del cockpit representa perfectamente ese dilema:
Una puerta demasiado fácil de franquear reduce la protección frente a una intrusión exterior, pero una puerta prácticamente inexpugnable puede dificultar enormemente la recuperación del avión cuando la amenaza procede precisamente del interior.
La realidad es que no existe una solución sencilla porque permitir que alguien desde fuera pueda anular fácilmente el bloqueo podría reintroducir exactamente la vulnerabilidad que se intentó eliminar después del 11-S.
El concepto de “insider threat”
Como define la OACI al insider threat?
"El riesgo que surge de los empleados de la aviación que realizan o facilitan un acto de interferencia ilícita (AUI) mediante el uso de su acceso autorizado, lo que les otorga una ventaja táctica".
Durante décadas, buena parte de la seguridad aeronáutica se construyó alrededor de una hipótesis razonable: la amenaza intenta acceder al avión o al cockpit desde fuera. Estos acontecimientos obligan a considerar otra posibilidad mucho más difícil de gestionar: que la persona potencialmente peligrosa ya tenga autorización para estar dentro. Eso, en palabras más simples, es la definición de insider threat.
Y es probablemente uno de los escenarios más complejos de gestionar porque el sistema necesita confiar precisamente en las personas a las que concede acceso. Un piloto necesita:
- poder controlar el avión,
- poder cerrar la puerta,
- disponer de determinados sistemas y herramientas.
Sin esa confianza, la operación aérea simplemente no sería posible bajo el paraguas de los requisitos actuales sobre seguridad en cockpit y, por tanto, el problema no puede resolverse eliminando la autoridad del piloto.
El desafío consiste en construir nuevas capas de protección alrededor de una realidad inevitable: el sistema depende de seres humanos que poseen un enorme grado de autoridad operacional.
¿Es suficiente tener dos personas dentro del cockpit?
Después de Germanwings, muchas compañías y autoridades revisaron los procedimientos relacionados con la permanencia de dos personas en cabina. el incidente de Flydubai plantea una cuestión adicional: si la amenaza procede de uno de los dos pilotos, la simple presencia de una segunda persona dentro del cockpit no garantiza necesariamente la redundancia.
Es decir: Dos personas dentro de la cabina no equivalen necesariamente a dos barreras independientes.
Y este punto merece una reflexión mucho más amplia sobre cómo entendemos el CRM, la selección, el seguimiento psicológico, el peer monitoring, los sistemas de acceso y los procedimientos ante comportamientos anormales.
El valor de las barreras de recuperación
Hay además otra enseñanza importante: en seguridad solemos concentrarnos en evitar que el acontecimiento ocurra, pero ningún sistema puede garantizar riesgo cero.
Por eso existen también las llamadas recovery barriers: mecanismos que permiten recuperar el sistema después de que las barreras preventivas hayan fallado.
En el incidente de Fly Dubai, la apertura de la puerta parece haber actuado precisamente de esa manera: no evitó que el acontecimiento comenzara, pero permitió que otras personas intervinieran cuando la situación ya estaba gravemente degradada.
Esa diferencia puede ser fundamental, ya que un buen sistema de seguridad no solamente intenta impedir que algo ocurra, sino que también se pregunta:
Y si ocurre, ¿qué opciones quedan para recuperar la situación?
La pregunta que quizá debamos hacernos
La puerta reforzada del cockpit sigue siendo una de las protecciones más importantes de la aviación moderna, por lo que estos acontecimientos no deberían utilizarse para cuestionar de forma simplista su existencia.
Lo que sí debería es invitarnos a revisar continuamente las hipótesis sobre las que diseñamos nuestras barreras.
Quizá la pregunta ya no sea únicamente: ¿cómo impedimos que alguien entre al cockpit?
Tal vez debamos añadir otra: ¿Cómo protegemos el cockpit frente a quien intenta entrar sin convertirlo, llegado el caso, en un espacio del que nadie pueda recuperar el control?
La historia de la seguridad aérea está llena de soluciones que parecían definitivas hasta que apareció un escenario que nadie había previsto. Precisamente por eso la aviación ha alcanzado sus actuales niveles de seguridad.
Cada accidente, cada incidente y cada anomalía nos obliga a cuestionar nuestras propias certezas. La puerta del cockpit fue diseñada para resolver uno de los mayores problemas de seguridad de nuestra historia.
Quizá ahora tengamos que preguntarnos cómo puede evolucionar para hacer frente también a uno de los más difíciles: la amenaza que ya está dentro.
*Óscar Trujillo es directivo senior con más de 35 años de trayectoria en el sector aéreo, combinando visión estratégica, gestión y ejecución operativa como comandante en líneas aéreas, seguridad y cumplimiento normativo.
Añadir Tourinews como fuente preferida de Google de forma gratuita
Mantente informado con las últimas noticias de actualidad.
