Publicaciones de la categoría: Cultura de seguridad

ASSIST

22 domingo May 2016

Posted by in Aviación, Cultura de seguridad

≈ Deja un comentario

Etiquetas

, , , , , ,

Esta semana hemos sufrido un accidente aéreo y, como suele ocurrir en estos casos, se han disparado las hipótesis. Es humano el buscar una explicación rápida a un suceso de ese calibre, pero sería deseable que además de comportarnos como seres humanos lo hiciéramos como seres racionales y esperásemos a tener datos suficientes antes de realizar conjeturas. Mientras escribo esto he sabido que se ha localizado el lugar donde están las llamadas cajas negras (grabadores de voz y datos), pero hasta que su contenido se analice por los expertos no sabremos lo que ocurrió.

Se ha conocido, eso sí, que se enviaron mensajes automáticos alertando de la presencia de humo a bordo y se ha empezado a hablar de accidente, aunque en un primer momento se lanzó la idea del atentado. Era de esperar, porque es raro que un avión tenga un accidente en la fase de vuelo de crucero y además los pilotos no habían tenido ni siquiera tiempo de hacer una llamada de emergencia. Pero esto no demuestra nada porque los pilotos no hacen llamadas de emergencia deprisa y corriendo. Todo esto me ha recordado un curso sobre este particular que impartí hace algún tiempo y, claro, me ha faltado tiempo para compartirlo con mis lectores.

Todos hemos visto la escena en alguna película: plano del piloto (que suele parecerse a Bruce Willis), plano de un motor, música ominosa, otro plano del piloto con aspecto feliz de no saber lo que se le viene encima, plano del motor que de pronto echa humo, o revienta, o se incendia… y un segundo después vemos al piloto luchando por controlar el avión con una mano mientras con la otra se acerca un micro a la boca: «Mayday, mayday, mayday, acabamos de perder un motor…». Caray, qué ansias por contar sus problemas. En la realidad, los pilotos no suelen tener tanta prisa.

Una vez que se detecta que hay una anomalía a bordo, lo primero es evaluar la situación. Es posible que el piloto realice algunas acciones de memoria y para eso está entrenado. Por ejemplo, si salta una alerta de fuego en un motor lo primero (que algún piloto me corrija si me equivoco) es activar el extintor y si hay una despresurización brusca en crucero se inicia un descenso de emergencia sin esperar más datos, pero tras esas primeras acciones básicas empieza todo un proceso muy estudiado.

Afortunadamente, en los vuelos comerciales hay dos pilotos. Así, en caso de emergencia uno de ellos se preocupa de mantener el avión en vuelo, que es la prioridad absoluta, mientras el otro consulta el manual de situaciones anormales. Una vez agotados los procedimientos de memoria se siguen los del manual, que van diciendo paso a paso lo que hay que hacer para cada situación concreta. Cuando la situación esté estabilizada se deciden los siguientes pasos en función de varios factores: ¿hay alguien herido a bordo? ¿hay daños estructurales? ¿cuál es la situación meteorológica en el aeropuerto de destino? ¿y en la ruta hasta él? En función de todo esto se toma una decisión: proseguir el vuelo, aterrizar inmediatamente, aterrizar en un aeropuerto que se considere adecuado cuanto antes, pero sin necesidad de que sea de inmediato… las posibilidades son muchas.

Pero hay algo que no viene en el manual: no se dice que haya que llamar al control aéreo. Simplemente, la carga de trabajo es demasiado alta para pensar en ello. Sólo cuando se ha tomado una decisión, el piloto la comunicará a control y entonces sí, declarará emergencia si es necesario y solicitará lo que considere conveniente, como por ejemplo, en un caso grave, dirigirse a un aeropuerto cercano que no estaba previsto originalmente y que le esperen con bomberos y asistencia médica a pie de pista. O a lo mejor la cosa no ha sido tan grave y se limita a pedir prioridad, pero sin necesidad de asistencia de ningún tipo.

La prioridad absoluta siempre es mantener en vuelo el avión, a continuación navegar (es decir saber dónde se está) y en último lugar de la lista comunicar la situación. Por eso no es tan raro que el piloto no haya dicho nada en una situación que termina en accidente: estaba demasiado atareado como para perder tiempo contando sus problemas. Un piloto con el que hablé cuando preparaba el curso que mencioné antes, me decía que al declarar emergencia el controlador suele preguntar inmediatamente por las intenciones. «Pero no puedo responder porque ni yo mismo lo sé aún. Pido que esperen y a los 30 segundos me vuelven a preguntar, justo cuando necesito que no me distraigan».

En cuanto a la actuación de los controladores, hace ahora 20 años que Eurocontrol empezó a estudiar el problema. Se pensó que sería útil tener una palabra clave que ayudara a recordar la mejor forma de actuar. Se hicieron varias propuestas, pero una de las que más éxito ha tenido es ASSIST, que quiere decir lo siguiente:

A: Acknowledge the call; es decir acusar recibo de la llamada para que el piloto sepa que el control aéreo ya está al tanto de la emergencia.

S: Separate the aircraft; es decir mantener el avión separado de los demás (que al fin y al cabo es la función de control), manteniendo incluso una separación mayor de la habitual en previsión de que el comportamiento no sea el habitual.

S: Silence. Imponer silencio en la frecuencia porque no queremos que en el momento en que tenemos que decir algo, o el piloto necesita comunicar con control, aparezca un tercero pidiendo permiso para iniciar descenso. Si es posible, se le da al avión en apuros una frecuencia aparte, para que esté él solo con un controlador.

I: Inform. Informar a todos los que tienen que conocer el problema, como por ejemplo a la torre de un aeropuerto cercano que va a recibir a un avión que no estaba previsto, a los servicios de emergencia del aeropuerto, etc.

S: Support the pilot. Dar apoyo al piloto pensando en rutas alternativas, preparando información meteorológica que le pueda hacer falta, etc.

T: Time. Al piloto hay que darle tiempo y no agobiarle. Está en un momento de mucho trabajo y estrés y ya pedirá lo que necesite. Se trata, sobre todo, de estar a su disposición.

ASSIST es un buen recordatorio de lo que debe hacer el controlador en una emergencia. Personalmente me gusta más TAS, que resume con la máxima brevedad lo que se le debe dar al avión en un caso así: Time, Airspace y Silence (tiempo, espacio y silencio).

En realidad no es que no me guste ASSIST, pero debo confesar algo. Cuando preparé el curso que he mencionado acompañé un test. En él se preguntaba por el significado de la palabra y además de la respuesta verdadera puse tres falsas. Una de ellas era: Antes de Salir el Sol Iremos a Sembrar Tomates. ¡Maldita sea, ahora siempre me acuerdo de esta respuesta en primer lugar y no de la correcta!

 

Incursiones y frustradas

14 lunes Jul 2014

Posted by in Aviación, Cultura de seguridad

≈ Deja un comentario

Etiquetas

, , , , , , , , , ,

¡Válgame Dios, qué revuelo se organizó la semana pasada a cuenta de una aproximación frustrada en Barcelona! Podría entretenerme en copiar titulares de prensa a cual más exagerado, pero para eso ya está el blog Burradas aeronáuticas, que recoge algunos de los casos más llamativos. Mi favorito es éste, que habla de increíble maniobra, dice que pudo haber un catastrófico accidente y para remate añade que el piloto tuvo que improvisar una maniobra. Improvisar, como suena.

El caso es que el vídeo que dio origen a todo el asunto es excelente para ilustrar dos temas que son conocidos por todos los profesionales, pero no tanto por los profanos: las incursiones en pista y las maniobras de aproximación frustrada o «motor y al aire». Por si alguien no lo ha visto, es éste:

Resulta muy impactante, pero no debemos olvidar que la perspectiva nos puede jugar una mala pasada, especialmente sabiendo que el avión que está a punto de aterrizar es un B767, es decir un avión grande. Quizás si hubiese sido un A319 la impresión sería que está mucho más lejos y las imágenes no habrían dado lugar a tanta controversia. En cualquier caso basta con ver el vídeo para tener dos cosas claras: que hubo una frustrada y que casi con total seguridad el motivo fue una incursión en pista. Como una incursión en pista no deja de ser un incidente, hay ya una investigación en curso y será entonces cuando podremos saber qué ha ocurrido exactamente y por qué. Mientras tanto intentaré explicar qué son ambas situaciones para intentar aclarar lo que se ve en la grabación.

Aproximación frustrada

Imaginemos que vamos en coche por una ciudad y queremos girar a la derecha. Ponemos el intermitente, empezamos a mover el volante y de pronto vemos una señal de dirección prohibida que nos impide entrar en la calle por la que pretendíamos pasar. No ocurre nada, simplemente enderezamos el volante, quitamos el intermitente y seguimos recto hasta que tengamos mejor ocasión. Podríamos decir que hemos hecho un giro frustrado, y eso es precisamente lo que ocurre, salvando las distancias, cuando un avión está en su aproximación a una pista y, por el motivo que sea, interrumpe la maniobra. Decimos que frustra la aproximación, o que hace una frustrada o que hace motor al aire, son muchas formas de expresar lo mismo.

La gran diferencia entre el conductor y el piloto es que el conductor, normalmente no sabe exactamente qué hará a continuación. Buscará una forma de hacer el giro que quería, pero no sabe dónde y cómo lo hará. El piloto sin embargo, no improvisa sino que sigue un procedimiento establecido de antemano y que podemos conocer fácilmente. Para verlo, tenemos que consultar la carta de aproximación ILS, que es la aproximación instrumental más común, a la pista 02 de Barcelona. Esta carta es fácil de encontrar, basta con ir a la Publicación de Información Aeronáutica (AIP) y buscar en la parte de aeródromos. Como el AIP es accesible al público en internet, sólo hay que bucear un poco en Google y aquí está lo que queremos. Sugiero hacer click en la imagen para poder agrandarla y verla con todo detalle.

LE_AD_2_LEBL_IAhora ya vemos con claridad cómo es la maniobra: tenemos tres puntos llamados IAFs (VIBIM, RUBOT y SLL) en los que el avión puede estar realizando esperas y desde los que se puede iniciar la aproximación. Al tramo final, el que tiene guía por el sistema llamado ILS, se llega a 2.000 pies de altitud y poco después se inicia un descenso con una pendiente de 3º hasta tocar la pista… o frustrar. En este caso, la misma carta indica el procedimiento de frustrada. Quien quiera verlo en detalle no tiene más que agrandar la imagen y leer debajo del mapa donde dice: «FRUSTRADA: subir en rumbo de pista hasta alcanzar 500 ft (…)». El resto del procedimiento nos dice que hay que virar a la derecha a una velocidad máxima de 185 nudos, y luego seguir el radial 054 del VOR (un tipo de radiofaro) llamado PRA hasta alcanzar los 3.000 pies de altitud y esperar instrucciones de control. Se añade el caso de que además haya un fallo de comunicaciones para que todo esté previsto.

Comprobamos así que no hay nada de improvisado. Simplemente, si el piloto considera que no se dan las condiciones para aterrizar seguirá ese procedimiento y se lo comunicará al controlador de la torre. También puede ocurrir que sea éste quien vea que no se debe llevar a cabo el aterrizaje y ordene al piloto ejecutar la frustrada. En cualquiera de los dos casos la maniobra se ejecuta conforme al procedimiento establecido. Los motivos por los que un avión puede irse al aire son muchos: si hay baja visibilidad, el piloto sigue la aproximación hasta una determinada altitud (llamada de decisión) y si, al llegar a ella no ve la pista, se va al aire, pero también puede irse por otras causas; por ejemplo si el avión se está acercando a la pista sin alcanzar una actitud adecuada (se habla de aproximación no estabilizada) puede irse al aire para hacer un segundo intento en lugar de arriesgarse a hacer una toma deficiente. Otro motivo posible, que es el que nos ocupa, es una incursión en pista.

Incursiones en pista

Según OACI, en su documento 4444 la incursión en pista se define como «Todo suceso en un aeródromo que suponga la presencia incorrecta de una aeronave, vehículo o persona en la zona protegida de una superficie designada para el aterrizaje o despegue de una aeronave». Se podrían añadir más casos, porque también puede entrar en la pista un animal, por ejemplo un perro, y eso sería motivo para que un avión se fuera al aire en lugar de seguir con la aproximación; sin embargo la definición no lo contempla.

A veces las incursiones en pista son peculiares y hay anécdotas muy curiosas. Me contaron que una vez en Barcelona consiguió colarse en el recinto del aeropuerto, no se sabe cómo, un turista borracho que se alojaba en un cámping cercano y que extendió una toalla y se puso a tomar el sol justo donde por aquel entonces se cruzaban las dos pistas del aeropuerto. En cierta ocasión, una controladora me explicó como poco después de abrirse el servicio en cierto aeropuerto les tuvo que recordar a los bomberos, que aún no tenían experiencia, que antes de entrar en pista tenían que pedir permiso aunque no hubiera previstas salidas ni llegadas de aviones.

Pero más allá de las anécdotas, las incursiones en pista no son para tomarlas a broma. Pueden ser muy peligrosas si no hay buena visibilidad y, aunque no son comunes, su número se está incrementando, como vemos en esta gráfica obtenida de un documento de Eurocontrol, según la cual en 2012 había casi una incursión en pista por cada 100.000 vuelos. Datos del propio Eurocontrol aseguran que hay unos 26.000 vuelos al día en Europa lo que daría más o menos un incidente de este tipo cada 4 días.

runway incursionAlgunas estadísticas americanas eran más preocupantes y daban una media de una incursión en pista diaria. El fenómeno es lo bastante significativo como para que haya importantes programas para estudiar el problema y reducir su incidencia. Como siempre, es importante estudiar los incidentes que se produzcan, y por eso habrá una investigación sobre el de la semana pasada.

Volviendo a ese incidente, nos faltan demasiados datos como para tener una idea de qué pasó exactamente. El vídeo da una pista, pero nada más. Si volvemos a leer artículos anteriores de este blog como El factor humano o La cultura del error recordaremos el modelo SHEL y el de Reason y la cantidad de causas que hay tras un incidente. En este caso se me ocurren varias posibilidades como causas directas o indirectas:

  • Posible error del piloto, entrando en pista sin estar autorizado.
  • Posible error del controlador, no calculando correctamente los tiempos y autorizando a entrar en pista a un avión con otro en corta final.
  • Posible malentendido en el que uno no autoriza y el otro cree que sí.
  • Posible fallo de coordinación entre controlador de rodadura y de local (uno lleva el rodaje y otro se ocupa de los movimientos que afectan a la pista).
  • Posible fallo de coordinación entre los pilotos del avión.
  • Posibles problemas en el equipo de radio que hagan más difícil la comunicación.
  • Posibles obras, cortes de calles de rodaje, cambios de configuración, etc. que hagan más difícil la maniobra y requieran mucha atención.
  • Posible desconocimiento del aeropuerto por parte de la tripulación, que haga más fácil un despiste.
  • Posible momento del relevo en la torre, que es bien conocido como típico momento en el que puede aparecer un incidente.

Todo esto y más puede haber ocurrido. No sabemos casi nada. Puede, incluso, que el controlador tuviera en cuenta a ambos aviones y estuviera convencido de que había tiempo suficiente para el cruce de pista y que el piloto  del avión que se acercaba, sin embargo, no se sintiera seguro en esa situación. En ese caso y puestos a buscar titulares ¿diríamos que el controlador, osado, pecó de exceso de confianza o que el piloto, timorato, se excedió en su prudencia?. Yo no me atrevería a decir nada hasta tener más datos, aunque creo que está claro que la actuación del piloto que decide frustrar es siempre correcta porque él es responsable de la seguridad de su avión y debe tomar la decisión de hacer motor y al aire si alberga cualquier duda. Precisamente por eso se publican los procedimientos de frustrada.

Las conclusiones de todo esto son tres: que una incursión en pista es un incidente que debe ser investigado, que es prematuro adelantar causas mientras no se publique un informe sobre los hechos y que una frustrada es un procedimiento que no tiene nada de improvisado. Y aunque en un titular quede muy épico decir que se evitó una catástrofe in extremis gracias a la genialidad de un piloto, yo, francamente, me siento mucho más seguro cuando vuelo sabiendo que hasta para los casos imprevistos hay un procedimiento preparado y que el piloto no necesita echar mano de su imaginación sino de lo que ya está establecido. La seguridad no se basa en creer que el día que surja un incidente habrá una persona extraordinariamente hábil a los mandos que sabrá cómo improvisar, sino en asegurar que esa persona es alguien perfectamente normal que ha recibido la formación y el entrenamiento adecuados para seguir unos procedimientos racionales.

 

 

 

La cultura del error

26 jueves Sep 2013

Posted by in Cultura de seguridad

≈ 3 comentarios

Etiquetas

, , , , ,

No tenía previsto volver sobre el tema de la cultura de seguridad, al menos tan pronto, pero esta noticia según la cual Fomento quiere poner cámaras en los trenes para vigilar la conducta de los maquinistas a raíz del desgraciado accidente de Santiago me ha resultado tan chocante que no puedo evitar regresar a este asunto.

Habíamos visto ya en artículos anteriores que el diseño de sistemas debe hacer imposible, al menos en teoría, la existencia de un componente cuyo fallo por sí solo acarree la caída del sistema completo (lo conté aquí) y también vimos por encima (en un artículo que se puede leer aquí) los modelos SHEL y de Reason y el concepto de Cultura Justa. Vimos que, según el modelo de Reason, un accidente se explica por uno o más fallos activos que se unen a varios fallos latentes que han debilitado previamente el sistema. Estos fallos latentes, achacables a la organización, deben corregirse para evitar las consecuencias de un fallo activo, imposible de evitar por completo.

Recordemos que comenté que al alcanzar la aviación la madurez técnica empiezan a achacarse los accidentes sistemáticamente al fallo humano. Al no existir un fallo mecánico evidente, los investigadores buscan acciones u omisiones del personal que opera el sistema. Se llega así hasta el descubrimiento de fallos activos, pero no se avanza hasta llegar a los fallos latentes. La consecuencia es una cultura que tiende a achacar culpas y asignar castigos.

El problema es que este enfoque consigue identificar qué ha ocurrido, quién ha actuado o dejado de actuar de una manera determinada y cuándo ha sucedido cada hecho. Y sin embargo queda sin saberse el cómo y el por qué ha ocurrido el accidente. Al no profundizar la investigación hasta identificar los fallos latentes, las condiciones que hicieron posible el accidente siguen presentes a la espera de un nuevo fallo activo similar que haga posible la repetición. El modelo de Reason y la Cultura Justa surgen para llenar este hueco.

Vamos a insertar un ejemplo, pero esta vez no lo inventaré yo, sino que se lo tomaré prestado nada menos que a OACI, la Organización de Aviación Civil Internacional, que naturalmente conoce perfectamente todos los conceptos esbozados y se refiere a ellos en  su documento 9859 (Safety Management Manual o Manual de Gestión de la Seguridad). El ejemplo supone la existencia de una ventana en cuyo alféizar colocamos una maceta. Existe la posibilidad de que al asomarse alguien a la ventana empuje accidentalmente la maceta, provocando su caída con consecuencias más o menos graves dependiendo del piso en el que estemos situados y de que alguien esté o no pasando por debajo de la ventana justo en el momento de la caída. (Nota: el ejemplo está tomado de la segunda edición, publicada en 2009, del documento 9859, edición que estaba en vigor en el momento de escribir el artículo. Las ediciones posteriores, empezando por la tercera, de 2013, eliminaron este ejemplo).

Un enfoque tradicional investigaría el accidente partiendo de la responsabilidad de la persona que se asomó descuidadamente a la ventana y resolvería el problema con una multa y, a lo sumo, un recordatorio a los ocupantes del edificio de la necesidad de ser cuidadosos al asomarse, o simplemente prohibiendo tal acción. Sin embargo un enfoque atento a los factores de organización podría dar las siguientes recomendaciones:

  • Colocar un tope al final del alféizar para detener la maceta en caso de que se la empuje accidentalmente.
  • Colocar una red bajo la ventana para detener la maceta en su caída.
  • Colocar un toldo a la altura del primer piso para detener la maceta en su caída.
  • Ampliar el ancho del alféizar.
  • Desviar el paso de peatones bajo las ventanas, construyendo por ejemplo un jardincito justo debajo de ellas.
  • En un caso extremo, tapiar las ventanas.

Con cualquiera de estas medidas se tiene en cuenta el hecho de que el ser humano tiende a cometer errores, sólo que así conseguimos que no sean irreparables. Aunque ahora alguien, en un descuido, empuje la maceta, las consecuencias ya no serán catastróficas. Al suprimir errores latentes, el error activo pierde su capacidad de desencadenar el accidente.

Lo curioso del documento 9859 de OACI, al que aludí antes, es que cuando habla del modelo según el cual el problema de la maceta llevaría a multas y recordatorios de la necesidad de tener cuidado, se refiere al “enfoque tradicional” al que menciona siempre en pasado, nunca en presente, puesto que lo considera como algo ya superado. Esto es natural, ya que permanecer anclado en una mentalidad que se centra en el llamado “error humano”, sin profundizar más allá deja sin resolver el problema de fondo: cómo crear las condiciones para que el accidente no se produzca.

El recuerdo de este documento y de este ejemplo tan sencillo es lo que me hizo pensar en escribir este artículo cuando leí la noticia que mencioné al inicio. El responsabilizar exclusivamente a una persona de un accidente y pretender que la solución es que no se cometan errores instaurando una cultura punitiva y un sistema policial es algo que debería estar ya superado. Por eso escribo este artículo y por eso escribí los dos anteriores: porque, a pesar del escaso número de lectores de este blog, es preciso esforzarse en divulgar esta cultura de seguridad con el fin de que algo tan importante como los servicios de transporte público no basen sus sistemas de seguridad en una cultura que los principales expertos en la materian consideran que quedó obsoleta hace cuarenta años.