Once años de la tragedia del vuelo 9525 de Germanwings. Los límites del relato oficial
Hoy se cumplen once años de uno de los capítulos más tristes de la historia de la aviación europea. El 24 de marzo de 2015, el vuelo 9525 de Germanwings despegó de Barcelona con destino a Düsseldorf. Nunca llegó. El primer oficial, Andreas Lubitz, aprovechó una breve ausencia del comandante para bloquear la puerta y descender de forma controlada contra el terreno, hasta impactar contra los Alpes franceses. 150 personas murieron.
Once años después, analizo los aspectos técnicos de esta tragedia, explico el funcionamiento del sistema de vuelo del Airbus A320 y de por qué las teorías conspirativas no resisten el contraste con los datos.
Publicado el 24/03/2026 -
15:02 UTC+01:00 (hora de Madrid)
Actualizado: 24/03/2026 -
20:58 UTC+01:00
La del 24 de marzo de 2015 fue una típica mañana de martes de finales de marzo. En la terminal del Aeropuerto de Barcelona-El Prat, 144 pasajeros embarcaban minutos antes de las nueve de la mañana en un Airbus A320-211 matrícula D-AIPX que cubría vuelo 9525 de Germanwings a Düsseldorf (Alemania). Seis tripulantes, dos pilotos y cuatro de cabina, completaban la dotación. En total 150 personas a bordo.
Poco más tarde, la aeronave rodaba hacia la pista 07R y despegaba. El primer oficial, Andreas Lubitz, de 27 años, era el piloto a los mandos (pilot flying); el comandante Patrick Sondenheimer, de 34, monitorizaba el vuelo y se encargaba de las comunicaciones (pilot monitoring). En crucero, a FL380 (38.000 pies, unos 11.600 metros), el vuelo discurría bajo cielos despejados sobre cirros dispersos. Las comunicaciones con el control de Marsella transcurrían con normalidad.
A las 9:30:08, el comandante informó a Lubitz de que abandonaba momentáneamente la cabina y le pedía que se hiciera cargo de las comunicaciones de radio. Lubitz lo confirmó. A las 9:30:24, el FDR registró el cierre de la puerta de cabina. El comandante estaba fuera.
A las 9:30:53, veintinueve segundos después del cierre de la puerta, la altitud seleccionada en la FCU pasó de 38.000 ft a 100 ft en el plazo de un segundo. Cien pies es el valor mínimo que puede seleccionarse en un A320. Un segundo después, el autopilot cambió al modo OPEN DESCENT y el autothrust (sistema de empuje automático) pasó a régimen de ralentí. El avión comenzó a descender.
Lo que ocurrió a continuación quedó registrado de forma precisa en el FDR y el CVR, las llamadas «cajas negras». No hay la más mínima duda o ambigüedad.
Para entender lo que hizo Lubitz, hay que entender cómo funciona el sistema de gestión del vuelo del Airbus A320, concretamente el panel de control de vuelo o FCU (Flight Control Unit), y la diferencia entre los modos de velocidad managed y selected.
En condiciones normales de crucero, el A320 opera en modo managed. El sistema de gestión del vuelo (FMS) calcula automáticamente la velocidad óptima en función del plan de vuelo introducido por la tripulación. El piloto puede ver en el selector de la FCU una altitud preseleccionada, pero girar ese selector no hace que el avión haga nada por sí solo. Para que una instrucción tenga efecto en el plano vertical, hay que realizar una acción deliberada adicional: tirar o empujar el selector de altitud, según la maniobra deseada.
Este es precisamente el punto que desmonta una de las teorías conspirativas más elaboradas que circularon tras el accidente y sobre la que volveremos en breve.
El modo OPEN DESCENT es un modo de descenso automático disponible en el A320. Cuando está activo, el autopilot controla la actitud del avión para mantener la velocidad objetivo, mientras el autothrust pone los motores al ralentí. Para este modo, el piloto debe seleccionar una altitud inferior a la actual y tirar del selector de altitud. Es una acción de dos pasos, secuencial y consciente. Y eso es exactamente lo que registró el FDR: a las 9:30:53, Lubitz seleccionó 100 ft —el mínimo absoluto del sistema— y activó el modo OPEN DESCENT. El avión comenzó a descender desde FL380 con los motores a ralentí.
A las 9:33:12, Lubitz cambió la gestión de velocidad de managed a selected y fijó una velocidad objetivo de 308 nudos (en torno a 570 km/h), cuando el avión iba a 273 (505 km/h). La velocidad empezó a aumentar. Durante los treinta segundos siguientes, la ajustó hasta en seis ocasiones. A las 9:35:03 la fijó en 350 nudos (casi 650 km/h), equivalente a VMO, la velocidad máxima de operación del A320. Ahí se quedó hasta el impacto.
El autopilot y el autothrust permanecieron conectados durante todo el descenso. Entre las 9:39:33 y las 9:40:07, el FDR registró pequeños inputs en el sidestick del copiloto. En el A320, el autopilot se desconecta automáticamente si la deflexión del sidestick supera un umbral determinado; por debajo de él, los inputs del piloto no tienen efecto sobre la trayectoria y el autopilot permanece conectado. El BEA señala explícitamente que la amplitud de esos movimientos se mantuvo por debajo de ese umbral. El avión siguió descendiendo exactamente como Lubitz había programado.
A las 9:40:41 se activó la alarma del GPWS: «Terrain, Terrain, Pull Up, Pull Up». A las 9:41:06, el CVR dejó de grabar en el momento del impacto.
El informe final del BEA documenta un hecho que raramente aparece en los resúmenes mediáticos del accidente: durante el vuelo de ida, el que hizo la misma tripulación de Düsseldorf a Barcelona esa misma mañana, Lubitz ya manipuló la FCU de forma análoga.
A las 7:20:50, cuando el comandante había abandonado la cabina, la altitud seleccionada bajó a 100 ft durante tres segundos, luego subió al máximo y se estabilizó. El vuelo continuó con normalidad porque los modos del autopilot entonces activos neutralizaron el efecto de esa selección. El comandante regresó y no ocurrió nada. El BEA señala expresamente que esos cambios de altitud seleccionada durante el vuelo anterior no influyeron en la trayectoria del avión.
Lo que esto implica es que Lubitz hizo una prueba. Verificó cómo respondía el sistema. Horas después, lo ejecutó en condiciones que sabía que funcionarían.
El BEA publicó su informe final en marzo de 2016. El BFU alemán participó activamente en la investigación como autoridad del Estado del operador. Sus conclusiones son coherentes y no dejan resquicio interpretativo relevante.
Los investigadores identificaron tres factores causales principales:
Primero, la ocultación deliberada de un diagnóstico psiquiátrico. Lubitz padecía un trastorno depresivo severo y, según la investigación, posiblemente síntomas psicóticos en el período previo al accidente. Tenía partes médicos de baja que no presentó a Germanwings. Esos partes, rotos pero recuperados por la policía en su domicilio, cubrían el día del accidente.
Segundo, la prescripción y consumo de antidepresivos no declarados a las autoridades aeronáuticas. El sistema de certificación médica para pilotos no contemplaba mecanismos de comunicación entre los médicos tratantes y la autoridad aeronáutica. Un piloto podía estar siendo tratado por un psiquiatra con medicación que lo inhabilitaba para volar, y la autoridad no tenía forma de saberlo si el propio piloto no lo declaraba.
Tercero, la ausencia de esos mecanismos de intercambio de información entre el sistema sanitario y el sistema de certificación aeronáutica. El médico que trata a un piloto en Alemania no está obligado a comunicar nada a la LBA ni a la aerolínea, amparado en el secreto médico. Lubitz se benefició de ese vacío de forma deliberada.
El informe señala además que ninguno de los pilotos o instructores que volaron con Lubitz en los meses anteriores al accidente advirtió comportamientos preocupantes durante las operaciones.
La respuesta inmediata de la industria fue la implantación de la regla de las dos personas en cabina, también llamada regla del tercer tripulante. En ningún momento podía quedar un solo piloto en el cockpit; si uno salía, debía entrar un auxiliar de vuelo para acompañar al que permanecía.
Por su parte, EASA (regulador en materia de aviación civil en Europa) emitió una recomendación en ese sentido , aunque sin carácter vinculante obligatorio en toda la Unión Europea. Muchas aerolíneas la adoptaron de inmediato. Sin embargo, en 2017, Lufthansa y la Federación de Aviación Alemana la retiraron. Y el argumento no era una excusa, sino que tenía fundamento técnico real. Un auxiliar de vuelo no dispone de formación ni de protocolos específicos para gestionar una situación de incapacitación o conducta anómala del piloto en cabina. Su presencia está concebida como un mecanismo de supervisión pasiva, no de intervención activa.
Además, la puerta blindada del cockpit, diseñada tras los atentados terroristas del 11 de septiembre de 2001 en Estados Unidos, es la primera y más robusta línea de defensa contra una toma de control no autorizada de la aeronave. Su eficacia depende directamente de que permanezca cerrada. La regla del tercer tripulante obliga a abrir esa puerta con una frecuencia mucho mayor, especialmente en rutas cortas con múltiples servicios de cabina. Y cada apertura es una ventana de vulnerabilidad frente a quien pudiera intentar acceder al cockpit por la fuerza desde la cabina de pasajeros.
La decisión de Lufthansa puede percibirse como un «lavado de manos». Sin embargo, fue una evaluación de que otros controles —mejora de los exámenes psicológicos, programas de apoyo a la salud mental— eran respuestas más directas al problema de fondo que la regla del tercer tripulante. Puede compartirse o no ese criterio, pero tiene lógica. Una lógica que siguieron otras muchas aerolíneas europeas en los meses sucesivos.
A día de hoy, no existe en Europa un estándar vinculante. Distintos operadores aplican políticas distintas. Hablé de todo ello con Kiko Novoa en esta entrevista en el programa de Radio Galega Galicia por diante. Fue hace ya un año, pero sigue de plena actualidad.
Como ocurre con toda catástrofe de esta magnitud, no tardaron en aparecer explicaciones alternativas. Sin embargo, como también suele ocurrir en estos casos, ninguna resiste el contraste con los datos. Vamos a enumerar algunas de las más extendidas y explicar por qué.
«El avión fue derribado por un misil o un ejercicio militar». El perfil de descenso registrado en el FDR es incompatible con un impacto externo. Es un descenso controlado, sostenido, con inputs deliberados en el sistema. Un impacto de misil genera desintegración estructural inmediata y un perfil de caída caótico. No hay nada de eso en los datos. Además, el CVR registra la respiración tranquila de Lubitz durante todo el descenso. Nadie reacciona así ante un fallo catastrófico repentino.
«La cabina fue pirateada o controlada de forma remota». El CVR lo desmonta por completo. Se escucha respirar a Lubitz con normalidad durante los once minutos de descenso mientras el comandante aporraea la puerta desde el exterior. Si el avión hubiera sido controlado externamente, Lubitz habría estado tan alarmado como el comandante. No lo estaba. El BEA verificó además que no hubo ningún fallo ni anomalía en los sistemas del avión durante el vuelo.
«Lubitz no fue el responsable. Fue un fallo en el diseño del Airbus lo que lo permitió accidentalmente». Esta es la más elaborada, porque usa terminología técnica real. La teoría sostiene que el descenso fue consecuencia involuntaria de una interacción accidental con el FCU, que Airbus ocultó para proteger la certificación del A320.
El problema es que quien la formula no parece entender bien el sistema que critica. Como hemos explicado, en modo managed girar el selector del FCU no tiene efecto inmediato sobre la trayectoria del avión. Para que tenga efecto hay que realizar una acción adicional deliberada, tirar del selector para activar el modo OPEN DESCENT. No es algo que ocurra por accidente.
Y aquí viene lo que destruye esta teoría por completo. El FDR no registra una interacción accidental ni puntual. Lo que registra son inputs sostenidos y deliberados a lo largo de varios minutos, con ajustes progresivos de velocidad que indican un control activo y consciente de la situación. No es un clic involuntario, sino una operación mantenida en el tiempo, con modificaciones sucesivas. A eso hay que añadir que en el vuelo de ida, Lubitz ya había probado la misma operación horas antes.
La explicación que ofrecen el BEA, el BFU y la fiscalía francesa puede que a algunos no les resulte cómoda, pero es la única que encaja con los datos que hay detrás.
En los años que siguieron al accidente, las familias de algunas víctimas, especialmente en España, reclamaron que el vuelo 9525 fuera clasificado como atentado terrorista y no como accidente. El escritor Marçal Girbau reflejó esa demanda en su libro El vol de la Cristina, centrado en la historia de la científica catalana Cristina Muñoz, y denunció que el Gobierno español no defendió la tesis de las familias.
El dolor de esas familias es completamente legítimo, y su demanda de reconocimiento, comprensible, pero aquí hay un problema técnico. La calificación jurídica no depende del dolor, sino de criterios legales específicos.
La definición de acto terrorista, tanto en el ordenamiento jurídico español como en el derecho europeo y en el marco del Convenio de Montreal exige la concurrencia de tres elementos: un acto violento, una motivación política, ideológica o religiosa, y la intención de coaccionar a un gobierno o aterrorizar a la población en general.
Lubitz no tenía ninguna de las dos últimas. La investigación no encontró ningún componente político, ideológico ni reivindicativo en su conducta. Lo que documentó fue una psicopatología grave y una decisión de suicidio con víctimas. Perturbador, premeditado, deliberado, sí. Terrorismo, en el sentido técnico y jurídico del término, no.
En muchos marcos legales, la clasificación como atentado conlleva reconocimientos y protecciones adicionales para las víctimas. Que las familias la reclamaran tiene una lógica práctica y una carga emocional completamente comprensibles. Pero el deseo de una clasificación no la hace jurídicamente correcta.
Lo más incómodo del caso Germanwings no es la figura de Lubitz. Es lo que reveló sobre el sistema.
Un piloto con una enfermedad psiquiátrica grave, en tratamiento con medicación que lo inhabilitaba para volar, pudo ejercer durante meses porque los incentivos del sistema apuntaban exactamente en esa dirección. Declarar la enfermedad significaba perder la licencia, perder el empleo y perder la capacidad de devolver un préstamo de 41.000 euros. El informe del BEA documenta incluso que Lubitz intentó contratar un seguro de pérdida de licencia, pero no pudo porque el historial de su certificado médico se lo impedía.
Once años después, se han introducido mejoras. Ahora hay protocolos de evaluación psicológica más rigurosos, programas de apoyo a la salud mental para pilotos, algunas iniciativas de comunicación entre el sistema médico y el aeronáutico... Sin embargo, a mí algo me sigue rechinando. Aún no existe en Europa un marco vinculante y homogéneo que haya resuelto el problema de fondo, el piloto que teme perder su licencia si declara una enfermedad mental sigue teniendo los mismos incentivos para ocultarla.
El sistema le ofrecía razones concretas para ocultar... y ningún mecanismo efectivo para detectarlo.
Imagen de portada: Memorial de Le Vernet, a los pies del macizo donde el vuelo 9525 impactó el 24 de marzo de 2015. Un lugar al que los familiares de las 150 víctimas siguen regresando / Wikimedia
BEA – Informe final de la investigación de seguridad. Accidente del 24 de marzo de 2015 en Prads-Haute-Bléone (Alpes-de-Haute-Provence, Francia) al Airbus A320-211 matrícula D-AIPX operado por Germanwings. Publicado el 13 de marzo de 2016
EASA – Seguimiento del accidente del vuelo 9525 de Germanwings. Cronología de medidas adoptadas (2015–2016)
EASA – Safety Information Bulletin SIB 2015-04. Recomendación de presencia mínima de dos personas en cabina (27 de marzo de 2015)
European Cockpit Association (ECA) – Posición sobre la ocupación mínima de la cabina de vuelo ("minimum occupancy concept")
ECA – Position Paper. Minimum Occupancy of the Flight Deck (febrero 2016)
Convenio para la unificación de ciertas reglas para el transporte aéreo internacional (Convenio de Montreal, 28 de mayo de 1999). Texto en español publicado en el Diario Oficial de la Unión Europea, L 194, 18 de julio de 2001
BOE – Instrumento de Ratificación del Convenio de Montreal por España (BOE núm. 122, 20 de mayo de 2004)