Orden de trabajo, RTS y parte de vuelo en formato electrónico

Cada persona tiene su cuenta nominal, entregada individualmente por ⟨responsable de credenciales⟩, con contraseña que debe cambiar en la primera entrada. Sus permisos dependen de su rol en la organización, y firmar exige además una habilitación nominal vigente —qué puede certificar, sobre qué tipos de aeronave y hasta cuándo— que no la concede el rol ni la puede saltar nadie, ni el administrador de la cuenta. El sistema registra las altas, bajas y cambios de privilegios, y la organización conserva el derecho de revocar el acceso en cualquier momento; cambiar o retirar una contraseña cierra las sesiones abiertas en todos los dispositivos.

Cada orden reúne el trabajo tarea a tarea: quién ejecutó y cuándo, la inspección independiente en las tareas críticas (por una persona distinta del ejecutor), las horas por persona, el material instalado con su lote o número de serie y su certificado de aptitud, las herramientas con su estado de calibración en ese momento, los documentos de mantenimiento aplicados con su edición, y los defectos encontrados. Cada paso queda registrado con la persona, la hora del servidor y las condiciones del momento.

Cuando el trabajo está terminado, el certificador autorizado firma el CRS desde la propia orden. El certificado impreso —o su copia legible en PDF— contiene la declaración de conformidad, la organización y su referencia de aprobación, la fecha, el nombre del firmante y su número de licencia o autorización, y la mención de que firma en nombre de la organización. Lleva un código de verificación (QR) que permite a cualquier tercero contrastar el documento contra el registro en línea.

Cada vuelo es un parte con las mismas casillas que la hoja de papel ⟨AVNT-01 u hoja equivalente⟩: fecha, comandante, aceptación prevuelo, origen y destino, tiempos en GMT, aterrizajes, combustible y aceite, horas totales de la aeronave, y los defectos. Los próximos mantenimientos no se transcriben a mano: los calcula el sistema y se congelan en cada copia impresa. El libro de cada aeronave es la vista cronológica de sus partes, de los CRS asentados y de las anotaciones de mantenimiento externo. Las horas de la aeronave entran únicamente por el parte.

Una sola firma, un solo registro, dos vistas. El CRS que el certificador firma en la orden de trabajo es, sin transcripción, el asiento de CRS del libro de la aeronave: aparece en su lugar cronológico con su número, fecha, firmante, licencia y referencia de aprobación, y el comandante lo ve antes de aceptar la aeronave. No existe un segundo acto de firma en el TLB.

Cuando intervienen organizaciones que no usan el sistema, se aplica lo previsto en la guía DT01, «Interoperabilidad de flujos», con la regla de que hay una sola fuente legal por aeronave en cada momento:

El modo de cada aeronave (TLB papel o electrónico) y de cada orden (RTS manual o electrónico) se fija en el sistema y su cambio queda registrado con fecha. ⟨Política por defecto de la organización: p. ej. «electrónico para las aeronaves propias y las de clientes usuarios del sistema; papel como excepción declarada por cliente»⟩. ☐ Decisión de la organización

Ningún registro se edita ni se borra. Un parte registrado se corrige con un parte rectificativo enlazado, con motivo: el original queda legible y tachado, como en el papel. Una orden cerrada se reabre con motivo, o se enmienda con una revisión numerada; un dato corregido conserva el valor anterior, el nuevo y quién lo cambió. En los flujos secuenciales, corregir un paso invalida los posteriores hasta que se reconfirman con nuevas firmas.

En el hangar o en el campo puede no haber red. El sistema distingue firmar —el acto de la persona, en su dispositivo, con su identificación personal— de sellar —la anotación en el registro del servidor, que se difiere hasta recuperar la conexión—. El registro conserva las dos horas: la de la firma (informativa, reloj del dispositivo) y la del sello (valor de registro, reloj del servidor). Al sellar, el servidor vuelve a comprobar identidad, habilitación y privilegio; si el estado de la orden cambió entre la firma y el sello, el acto se sella pero queda marcado para revisión. El sistema informa en pantalla de la pérdida de conexión y confirma al firmante cuando el paso ha sido procesado. La emisión del CRS final nunca se difiere: exige conexión y sello inmediato.

Los registros con valor de libro —partes de vuelo, historial de firmas, movimientos de material, historial de habilitaciones, fotos selladas del estado de la aeronave y el propio diario de auditoría— no pueden modificarse ni borrarse: lo impide la base de datos, no la pantalla, también para el usuario con el que la aplicación se conecta. El resto de datos, que la aplicación necesita poder escribir, quedan trazados en el diario de auditoría con autor, hora, dirección de red y columnas cambiadas; una modificación hecha directamente en la base de datos se registra igualmente y aparece sin autor, que es la señal que la organización revisa. Cada cierre conserva una foto sellada encadenada por huella criptográfica, y una comprobación específica detecta cualquier cambio posterior al sello.

Todo registro se puede imprimir o guardar como PDF con la mención de ser copia del registro electrónico y un código de verificación (QR) que lleva a una página pública, sin cuenta, donde se contrasta el documento con el registro en línea. La Autoridad dispone de una cuenta de solo lectura durante la inspección y de una exportación completa de los registros en formato abierto con la huella de cada fichero.

Los registros se conservan sin borrado durante ⟨plazos por tipo de registro, según 145.A.55 y la Ley 48/1960⟩. ⟨Política de copias: periodicidad ≤ 24 h, ubicación distinta del servidor de trabajo, cifrado, retención y prueba de restauración periódica⟩. 🔧 Previsto

El certificador firma con una clave criptográfica personal que reside en su propio dispositivo —el chip seguro de su teléfono, desbloqueado con su huella o su cara, o una llave física con NFC protegida por su PIN— y que firma la huella del propio documento. El servidor guarda la firma y la clave pública, añade un sello de tiempo de un prestador cualificado y anota el acto en el registro inmutable. Cualquier tercero puede verificar la firma con herramientas estándar. Es el tipo de mecanismo que la AN-A-005 GM5 describe como «firma delegada en servidor o servicios de confianza», y se evalúa por sus cuatro garantías:

Límite declarado: la identidad que la clave representa la avala el registro de altas de la organización, no un prestador de servicios de confianza. Por eso esta variante se presenta como medio alternativo y no como cumplimiento directo del AMC.

El certificado se firma con un sello electrónico cualificado emitido a nombre de la organización por un prestador cualificado, cuyos datos incluyen el nombre y el número de aprobación de la organización. El sello lo aplica el sistema únicamente al terminar el acto de un certificador autorizado, en formato PDF con sello de tiempo cualificado y validez a largo plazo. El documento se verifica con cualquier validador eIDAS (por ejemplo, VALIDe) sin intervención de la organización ni del proveedor. Es el cumplimiento directo de DT01 §5.4 («AESe, o una norma superior»).