La balsa de la Medusa

Etiquetas

, , , , , , , ,

Una de las razones que me llevaron en su día a estudiar la carrera de Historia fue darme cuenta de que la Universidad me obligaría a ser sistemático y a entrar en materias que nunca tocaría si me limitara a leer sobre esta disciplina por mi cuenta. Fue un acierto, porque de otro modo apenas habría leído nada de temas tales como Historia de América, Edad Media o Historia del Arte, materias que no me arrepiento en absoluto de haber estudiado.

Esta última, Historia del Arte, no es extraña en este blog, aunque se prodiga poco. Sin embargo me parece una materia fascinante, puesto que bien enfocada nos enseña a considerar la obra de arte con los ojos de sus contemporáneos y es entonces cuando realmente empezamos a comprender lo que tenemos delante. Se puede visitar el Louvre, y echar una ojeada a un óleo como «La balsa de La Medusa» en atención a que aparece en todos los manuales de Historia de la Pintura, pero sin un cierto conocimiento previo es difícil ir más allá del aspecto estético y, francamente, el ejemplo que he escogido no es de los que resultan inmediatamente agradables a la vista. Sin embargo esta obra tiene toda una historia detrás, y de las que dan escalofríos.

JEAN_LOUIS_THÉODORE_GÉRICAULT_-_La_Balsa_de_la_Medusa_(Museo_del_Louvre,_1818-19)El cuadro está basado en un hecho real. La Méduse era una fragata francesa que en 1816 encabezaba una flotilla de 4 barcos que se dirigía a Senegal con el fin de retomar posesión de aquel territorio, que los ingleses devolvían a Francia tras las guerras napoleónicas. El buque encalló el 2 de julio de 1816 y fue abandonado tres días más tarde. La balsa que inmortalizó Théodore Géricault en su cuadro acogía a 150 personas de las que apenas 15 continuaban con vida 13 días después, cuando fueron rescatadas. Las circunstancias de lo ocurrido son muy importantes para entender el impacto que causó este cuadro, así que vamos a describirlas en detalle.

La Méduse era un barco rápido y en su afán por llegar cuanto antes a Senegal, no sólo se distanció de los otros tres hasta perderlos de vista sino que se acercó imprudentemente a la costa hasta situarse sobre una zona con muy poco fondo. Era inevitable que terminara por encallar, y para colmo lo hizo durante la marea alta, de modo que salir del apuro se presentaba complicado. A los dos días de estar varados allí, una tormenta dejó el barco en muy mal estado y se tomó la decisión de abandonarlo. Como no había botes para poner a salvo a los 400 ocupantes del buque, 150 de ellos tuvieron que conformarse con una balsa improvisada, mientras que 17 recalcitrantes se negaron a irse del barco y se quedaron en él a la espera de un posible rescate.

Los desafortunados ocupantes de la balsa tenían motivos para inquietarse puesto que no tenían prácticamente medios de supervivencia y pocas posibilidades de gobernar su precaria embarcación. Cargaban poca agua, algunos toneles de vino, algo de bizcocho y contaban con unas amarras que los sujetaban a los botes para que los remolcaran. Pero esas amarras se soltaron… o las soltaron, que es muy probable teniendo en cuenta que los botes iban sobrecargados y la balsa era un impedimento enorme. Solos y a la deriva, los náufragos se enfrentaron a una espantosa primera noche en la que el mal tiempo amenazaba con hacerlos zozobrar. Algunos desaparecieron barridos por las olas, otros murieron a causa de las heridas provocadas al quedar atrapados por las mal aseguradas junturas de la balsa, hubo quienes perdieron la vida al ser aplastados por los demás, puesto que todos buscaban la seguridad que parecía ofrecer la parte central de la almadía. Al menos veinte de los náufragos no sobrevivieron a aquella primera noche.

El segundo día trajo los primeros suicidios: tres de los ocupantes de la balsa se despidieron de los demás y se arrojaron al mar. Parecía que nada podía ir peor, pero en la segunda noche estalló una verdadera guerra civil que conocería varios brotes. El efecto del vino que conservaban, unido al hambre, las malas condiciones y el horror, acabó por enloquecer a varios de los ocupantes, muchos de ellos antiguos presidiarios, que se hicieron con un hacha y empezaron a cortar el cordaje que mantenía unida la balsa. Era imposible hacerles razonar, sobre todo teniendo en cuenta que ya entonces nadie parecía estar totalmente en sus cabales: algunos creían seguir en la Méduse, otro aseguraba haber escrito a un almirante que les iba a rescatar, mientras varios amotinados querían matar a un teniente al que odiaban y que ni siquiera estaba en la balsa, aunque ellos creían verle. Durante la primera de estas peleas, la única mujer que iba a bordo fue arrojada por la borda junto a su marido, aunque otros pasajeros lograron rescatarlos. En ocasiones las refriegas llegaron a librarse, literalmente, a dentelladas.

Al tercer día recurrieron por primera vez al canibalismo. Algunos parecían incapaces de dar el paso, pero hubieron de ceder al ver que quienes probaban la carne humana mejoraban, lo que no ocurría con quienes probaban suerte con el cuero, la tela o los excrementos. Decidieron intentar secar la carne humana, que, aparte de algunos peces voladores que consiguieron capturar y el escaso bizcocho que les quedaba, era todo lo que podían comer. Para beber sólo disponían de algo de vino, agua de mar y orina, que pudieron comprobar que sabía diferente según quién la aportara. El poco vino que tenían era un líquido precioso y hubo que imponer pena de muerte a quien fuera sorprendido bebiendo a escondidas. Al menos dos ocupantes fueron ejecutados, arrojándolos al mar, por este delito.

Tras una semana en esas condiciones sólo quedaban en la barca 27 personas, de las que 12 estaban tan débiles que no parecían capaces de resistir más de uno o dos días. Se celebró un consejo, aunque ignoro si en él participaron todos los ocupantes o, como es más probable, sólo los 15 que aún conservaban fuerzas. En él se adoptó la resolución de eliminar a los 12 enfermos asegurando así la ración de vino para los 15 supervivientes durante 6 días más. Entre los que fueron sacrificados aquel día estaba el matrimonio al que habían rescatado días antes los mismos que ahora los arrojaban al mar. Fue una decisión muy dura, pero en el fondo acertada, puesto que precisamente 6 días más tarde vieron en el horizonte una vela. Hicieron señas con desesperación, pero el barco volvió a desaparecer, para desconsuelo de todos, aunque reaparecería horas más tarde. Era el Argus, uno de los integrantes de la flotilla de la que había formado parte la Méduse. De los 15 supervivientes, 5 morirían poco después.

Hasta aquí la historia de un desastre que llevó a un puñado de seres humanos hasta el extremo de la resistencia física y mental. En la narración no falta de nada para estremecer a quien la conoce por primera vez: violencia, locura, canibalismo, muerte… es una historia de horror, pero sobre todo de un horror evitable, provocado y acrecentado por decisiones muy cuestionables, que provocaron una polémica inmensa.

Para empezar, ¿qué fue de los ocupantes de los botes? También sufrieron penalidades aunque no fueron comparables a los sufrimientos de quienes se quedaron en la balsa. Y entre ellos estaba el capitán del barco, que faltó al deber de honor de ser el último en abandonar el buque y al de asegurarse de que alguien con conocimientos náuticos quedara en la balsa. Cuando se conocieron las circunstancias se supo que el abandono del buque fue un auténtico sálvese quien pueda en el que no sólo el capitán, también varios oficiales, huyeron literalmente hacia los botes a pesar de que se había hecho previamente una lista de quién debía ocupar cada puesto. En los tres días transcurridos desde que la Méduse embarrancó hasta la decisión de abandonarla la situación fue de caos, pero aún había más.

El capitán había confiado para la navegación más en un pasajero que aseguraba ser conocedor de aquellos parajes que en los oficiales de su tripulación, con los que estaba enemistado. Aquello lo llevó a adentrarse en una zona conocida por la peligrosidad de su escaso fondo en lugar de evitarla, como hicieron los otros tres barcos. Para colmo, de los 17 hombres que se negaron a abandonar la Méduse sólo se rescató con vida a 3, porque se les daba prematuramente por perdidos y cuando por fin el capitán preparó una expedición a los restos del barco fue con el fin de recuperar, no a los hombres, sino los cerca de 100.000 francos que transportaba la fragata. Hasta aquí se diría que la elección del hombre que ocuparía la máxima responsabilidad no fue acertada, pero si además tenemos en cuenta que el capitán llevaba cerca de 20 años sin navegar, porque se había exiliado durante la Revolución y la época napoleónica y ahora, al llegar la Restauración, se le había asignado el mando gracias a sus contactos políticos, tenemos un escándalo monumental.

Ante un caso así el ministro se comportó como cabe esperar de un ministro: no le ofendieron los hechos sino el que se filtrara el relato de los supervivientes. Finalmente hubo un proceso contra el capitán del barco, que se libró de la guillotina, pero fue condenado a tres años de prisión.

Y ahora que ya conocemos los hechos y nos podemos colocar en el estado emocional adecuado vamos con el cuadro en sí. Durante la época anterior había triunfado el neoclasicismo de Jacques-Louis David, pero con esta pintura, Géricault creó algo totalmente diferente. Para empezar, se intentó alejar de las representaciones idealizadas en boga hasta entonces. Al contrario, se entrevistó con dos supervivientes y construyó un modelo de la balsa para examinarla en profundidad, estudió cadáveres, reconstruyó los acontecimientos y se esforzó por plasmar la realidad de la forma más fidedigna posible. Dudó mucho sobre cuál de todos los momentos espantosos que se habían vivido a bordo de aquella embarcación maldita iba a representar, y finalmente se decidió por el instante en el que los náufragos divisan por primera vez a su salvador en el horizonte, sin saber que pocos momentos después lo perderán de vista. Si hacemos click en la imagen y la agrandamos al máximo veremos una vela en el horizonte, el barco que representa la esperanza de salvación, y que es difícil de apreciar en las reproducciones aunque no en el original, que es de gran formato.

La composición tiene una estructura piramidal peculiar: en la parte más baja los cadáveres, de los que se aleja la mirada según asciende siguiendo la línea de los brazos de los que aún viven hasta llegar al trapo que enarbola uno de los supervivientes para hacer señas al barco salvador. Estéticamente… bueno, hay quien considera que este cuadro inaugura la entrada de la fealdad en el arte y desde luego no era el tipo de imagen que se solía ver en la pintura del momento; pero Géricault no quería representar belleza sino reflejar una realidad horrible. Y lo consiguió, porque rompe totalmente con el neoclasicismo para introducirnos en la era posterior, la romántica e incluso, como han apuntado algunos autores, en el realismo.

El cuadro fue la comidilla del Salón de 1819, y ahora que conocemos la historia que cuenta sabemos por qué fue tan polémico. Para poder empezar a entender esta obra hemos necesitado casi 2.000 palabras, pero el espectador de 1819 veía el cuadro y se estremecía pensando en el reciente escándalo y en las penalidades, por él conocidas, de los náufragos representados. Y todo para que 200 años después algún turista eche una ojeada rápida al cuadro y pase deprisa a la siguiente sala del museo.

El factor humano

Etiquetas

, , , , , , ,

Al final de mi anterior artículo prometí escribir algo sobre modelos de seguridad y el concepto de Cultura Justa. Como lo prometido es deuda, en esta ocasión repasaremos la evolución de la idea de seguridad ante los accidentes en el mundo de la aviación. Gran parte de lo tratado en este nuevo artículo será fácilmente extrapolable a otros ámbitos en los que tengamos un sistema que haya que proteger contra accidentes potencialmente catastróficos.

Consideremos en primer lugar los inicios de la aviación. Era un campo totalmente nuevo y, por tanto, experimental. Los accidentes eran frecuentes por cualquier causa: motores poco fiables, escasa resistencia de los materiales, desconocimiento de fenómenos que hoy consideramos elementales, etc. Volar era tan arriesgado que los primeros aviadores eran considerados héroes. La única forma de prevenir accidentes era investigar los que ya habían ocurrido e intentar corregir los errores. Gradualmente se fueron consiguiendo mejores materiales, motores más fiables, aparecieron nuevos y mejores equipos, mejoró el conocimiento de la meteorología… y volar se fue convirtiendo en una actividad menos arriesgada.

Al terminar la Segunda Guerra Mundial el progreso técnico era tal que podemos considerar que la aviación estaba alcanzando su madurez. Hacia 1950 se puede hablar de una industria segura y enormemente regulada en todos sus aspectos. Se desarrolla la idea de que el cumplimiento de la infinidad de normas existentes garantiza la seguridad, mientras que desviarse de ellas lleva al desastre. Ya no es fácil encontrar fallos técnicos evidentes y los accidentes se achacan al fallo humano asociado al incumplimiento de la normativa. Se desarrolla así una cultura centrada en las ideas de culpa y castigo mientras se pasa de la era del fallo técnico a la del fallo humano.

Es una cultura tranquilizadora puesto que el error humano es una explicación simple y basta con recomendar mayores precauciones para recuperar la sensación de seguridad. Pero la aviación es cada vez más complicada, y conforme pasa el tiempo más aún: ya no hay sólo unos pocos aviones, sino que hay todo un entramado de aeronaves, sistemas de comunicaciones, de navegación, de vigilancia, control aéreo, control de afluencia… es un sistema complejo en el que hay una parte, el ser humano, de la que se espera que supla las carencias de todos los demás componentes mientras se le achacan todos los errores. Es a partir de los años 70 cuando se desarrolla un modelo en el que se trata de sistematizar todos los componentes. Se trata del modelo SHEL, a veces conocido como SHELL. Tiene 4 componentes:

  • S: Software. Es la parte inmaterial formada por procedimientos, documentación, reglas, etc. Digamos que es el conocimiento.
  • H: Hardware. Es la parte material pura y dura. La máquina.
  • E: Environment. Es el ambiente entendido como condiciones de luz, ruido, condiciones sociales, económicas, etc.
  • L: Liveware. Es el ser humano responsable de operar el sistema.

Lo novedoso es que más que diseccionar los componentes del sistema en su conjunto se presta atención a las relaciones entre componentes poniendo al ser humano (L) en el centro y analizando su interacción con el resto de las partes (S, H, E). Como además los seres humanos interaccionan entre sí se añade una segunda L al modelo. Gráficamente:

Fundam10Imagen tomada de Atlasaviation.com. Click para visitar la página original.

En los años 90 se empieza a abandonar el modelo del fallo humano y se empieza a considerar el fallo organizacional. El principal responsable es James Reason y su célebre modelo de múltiples capas de seguridad. Lo novedoso es que no busca fallos puntuales, que por sí solos no explican el accidente, sino que afirma que cada capa tiene sus propios fallos latentes, consecuencia de decisiones tomadas en los niveles más altos de la organización. Los fallos activos son consecuencia de errores o de desviaciones de las normas y se producen habitualmente sin que den lugar a mayores problemas. Sin embargo si estos fallos activos se alinean con otros fallos latentes puede ocurrir que el accidente consiga abrirse paso por todas las capas de seguridad que protegen el sistema. El operador del sistema (la L del modelo SHEL) hereda esas condiciones en forma de diseños erróneos, averías en los equipos, objetivos de productividad y seguridad contrapuestos, etc.

x9656s01Imagen tomada del blog An Eye in the Sky. Click para visitarlo.

La consecuencia es que el error es algo natural en el sistema y no puede ser eliminado por completo. Se trata de intentar crear las condiciones para neutralizarlo. Dado que los errores normalmente se producen sin dar lugar al accidente es posible detectarlos con antelación, puesto que lo normal es que el error que resultó ser catastrófico haya tenido lugar en cientos de ocasiones sin que se le pusiera remedio y sólo a posteriori se reconoce su importancia con la manida frase «se veía venir». Para detectar los fallos a tiempo se desarrollan sistemas de notificación de incidentes, pero para que sean eficaces es preciso que quienes hacen funcionar el sistema reconozcan sus propios errores y eso, en una cultura de culpa y castigo, es imposible puesto que quien comete una equivocación prefiere ocultarla a incriminarse.

Por eso se está intentado implantar el concepto de Just Culture, que se traduce como Cultura Justa o Cultura de Equidad y que consiste en que el operador del sistema no pueda ser sancionado por acciones, omisiones o decisiones tomadas conforme a su experiencia y formación, sin que sean tolerables los actos negligentes o intencionadamente destructivos. En otras palabras: se reconoce el derecho al error honesto.

Pongamos un ejemplo imaginario, pero que podría ser perfectamente real. Tenemos dos vuelos de una misma aerolínea, a los que llamaremos Gelves7665 y Gelves7265. El primero está sobrevolando Zaragoza con destino Madrid y el segundo tiene destino Bilbao y está a la altura de Huesca. Ambos vuelan a 35.000 pies de altitud, no son conflicto entre ellos y están en contacto con el mismo controlador. Éste observa que el descenso del Gelves7665 es problemático porque hay varios aviones en ruta hacia Barcelona que se interponen a distintos niveles: 34.000, 32.000 y 30.000 pies. Por su parte el Gelves7265 sólo tiene un obstáculo, que es un avión en rumbo opuesto a 32.000 pies.

Nuestro controlador decide que el Gelves7265 aún no necesita iniciar el descenso. Está bastante lejos de Bilbao y tiene tiempo de esperar hasta haberse cruzado con el avión que le pasará por debajo. Sin embargo el Gelves7665 debería empezar a bajar cuanto antes para que tenga tiempo de descender lo suficiente como para pasar por debajo de los otros tres aviones, ya que de no hacerlo así el avión llegará muy alto a las cercanías de Madrid. Es un problema sencillo y sólo falta dar las órdenes correspondientes. El procedimiento es que el controlador da la orden y el piloto responde repitiéndola, para que así el controlador compruebe que se ha recibido correctamente. En principio se ordenará el descenso a 25.000 pies. El diálogo sería:

-Controlador: Gelves siete seis seis cinco, descienda a nivel de vuelo 2-5-0.

-Piloto: Descendemos a nivel de vuelo 2-5-0, Gelves siete dos seis cinco.

Y ya tenemos el error: ha respondido el piloto equivocado. Si el controlador no se da cuenta y no lo corrige inmediatamente tendremos al avión que va a Bilbao descendiendo directamente hacia el avión que viene de frente, mientras que el avión que va a Madrid seguirá volando a la misma altitud que llevaba. Nuestro controlador, que quiere estar seguro de que el Gelves7665 desciende cuanto antes, observa el radar concentrándose en el avión que le interesa y por eso, mientras se pregunta por qué el piloto no empieza a bajar ya y empieza a pensar en repetir la orden, no se da cuenta de que en otro punto de la pantalla se está gestando un incidente grave o algo peor.

Veamos posibles puntos de conflicto según el modelo SHELL, analizando unas interacciones imaginarias, pero verosímiles:

  • L-H: Los altavoces de la posición de control no funcionan demasiado bien y eso contribuye a la confusión de indicativos similares.
  • L-S: Hay un equipo de reserva que se oye mejor, pero al controlador no le ha llegado la información de que ya está disponible.
  • L-E: En la sala de control hay ruido porque han entrado de visita los alumnos de un colegio. Además el controlador está preocupado porque su hijo pequeño está enfermo y como además el niño no ha dejado de llorar en toda la noche, tenemos el efecto de fatiga por no haber dormido bien.
  • L-L: El controlador que debe hacer el papel de ayudante tuvo hace unos días un altercado con nuestro protagonista y por eso le molesta formar equipo con él y está más ocupado rumiando su disgusto que prestando atención a la situación, que por otra parte, no parecía difícil de resolver.

Desde el punto de vista de Reason tenemos varios fallos latentes (indicativos de llamada similares, un equipo que no funciona correctamente, error en la transmisión de información referente al equipo de reserva) unidos a fallos activos (error del piloto que creyó que la transmisión de la orden era para él, error del controlador que no detectó el fallo anterior). Los fallos activos son difíciles de evitar, pero los fallos latentes pueden corregirse: se podría haber corregido el problema del altavoz, se puede mejorar la distribución de información interna de la empresa y se puede informar a la compañía aérea de que mantienen dos indicativos de llamada parecidos en rutas cercanas y pueden dar lugar a confusión. En referencia al último punto existe un programa de Eurocontrol para detectar y corregir este tipo de situaciones; si alguien quiere información sobre él puede visitar esta página.

¿Dónde entra aquí la Cultura Justa de la que hablábamos antes? En un entorno en el que esté implantada todos los implicados harán un informe del incidente para intentar que se tomen las medidas adecuadas, pero en un entorno punitivo posiblemente ocultarán el incidente: el controlador para que no le sancionen por no detectar la respuesta incorrecta, el piloto que se confundió para que no le amonesten por creer que le llamaban a él y el piloto al que estaba destinada la orden para que nadie le eche en cara el no haberse dado cuenta de que le llamaban a él y respondía otro. En un ambiente así, si el incidente llega a conocerse los protagonistas se intentarán echar la culpa unos a otros. Si no llega a conocerse, los aviones de indicativos similares seguirán volando y los fallos latentes seguirán agazapados, al acecho, esperando el momento en que aparezca un fallo activo que se una a ellos y les permita abrir paso al accidente, que atravesará con limpieza todas las capas de seguridad del sistema.

Nota: Para no alargar el artículo he renunciado a poner un ejemplo real, pero creo que puede ser muy instructivo releer mi artículo sobre el terrible accidente de Überlingen considerando los fallos desde el punto de vista del modelo SHEL y del modelo de Reason.

El problema del fallo único

Etiquetas

, , , , , ,

No me gusta demasiado entrar en polémicas y por eso este blog no trata directamente de mi trabajo ni de temas de actualidad sino que suele buscar paralelismos entre acontecimientos presentes y otros del pasado. Eso cuando no busco algún incidente de aviación que creo que es interesante o decido simplemente escribir algo entretenido y me decido por narrar una historia de piratas. Pero hoy voy a hacer una excepción. La causa es el desgraciado accidente ferroviario en el que han muerto cerca de 80 personas.

Es lamentable que en estos casos se tienda a buscar una explicación rápida y sencilla sin aguardar a que se realice un informe de seguridad detallado e independiente. El resultado es que se busca un culpable, se le adjudica toda la responsabilidad y se finge que el sistema está bien diseñado y gestionado sin tener en cuenta que en un sistema complejo un fallo único no explica un accidente. Hace algún tiempo escribí un artículo sobre la colisión entre dos aviones sobre Überlingen en el que explicaba todos los fallos que se presentaron aquel día y cómo la prensa y el público se habían limitado a acogerse al mucho más sencillo y tranquilizador fallo humano. Mucho me temo que las cosas siguen igual.

Como no soy experto en ferrocarriles no voy a intentar un análisis, que en cualquier caso sería prematuro puesto que aún no tenemos todos los datos. Pero sí os contaré algo que puede dar un poco de luz. Hace ahora dos años yo estaba trabajando en un documento que debía presentar en una conferencia internacional y que trataba sobre la implementación de nuevos sistemas en la Gestión de Tráfico Aéreo. Una de las fuentes que empleé la obtuve de la FAA, la agencia gubernamental estadounidense que se encarga de la aviación. El documento en cuestión está disponible aquí y es una guía sobre la gestión de riesgos aplicada a la adquisición de sistemas. En la página 15 hay una tabla de la que yo hice mi propia versión para mi documento. Básicamente es lo que vemos a continuación.

TablaLa tabla es una matriz de gestión de riesgos. Por un lado tenemos la probabilidad de que ocurra un suceso y por el otro la gravedad de las consecuencias que se pueden derivar de dicho suceso. Aunque los términos estén escritos en inglés, creo que se entiende bastante bien. Aun así la explicaré con un poco más de detalle.

La probabilidad del suceso se puede dar de distintas formas, pero la más intuitiva es la frecuencia con la que se espera que se pueda repetir el evento. En nuestro caso la FAA, aplicando el concepto al control aéreo, nos da esa frecuencia tanto en una posición individual de control, como en un centro de control compuesto de muchas posiciones y también en el conjunto de todos los centros de control de Estados Unidos. Así, un suceso puede ser:

  • Frecuente: puede ocurrir una vez cada 3 meses aproximadamente en una posición individual, que es como decir que ocurrirá una vez al día o una vez cada dos días en el conjunto de todos los centros que forman el sistema.
  • Probable: Se calcula que ocurrirá varias veces al mes en el conjunto del sistema.
  • Remoto: Se espera que ocurrirá una vez cada pocos meses en el conjunto del sistema.
  • Extremadamente remoto: Se calcula que ocurrirá aproximadamente una vez cada 3 años en el conjunto del sistema.
  • Extremadamente improbable: Se calcula que ocurrirá como mucho una vez cada 30 años en el conjunto del sistema.

En el caso de la gravedad del suceso tenemos una escala que va desde catastrófico (el accidente) hasta la falta de efectos en la seguridad pasando por varios estados (cuasicolisión, necesidad de maniobra evasiva basada en el sistema anticolisión TCAS, etc.)

Los colores indican si el riesgo es o no aceptable y sirven de guía para introducir novedades en el sistema. El verde es aceptable, el rojo totalmente inaceptable y el amarillo implica que se puede realizar el cambio, pero debe estar sometido a seguimiento y evaluación. Por ejemplo, introducimos un nuevo componente cuya probabilidad de fallo es muy escasa, por lo que calculamos que en un único centro de control se produciría el fallo una vez cada 10 años o más y eso quiere decir más o menos una vez cada 3 años en el conjunto de todos los centros. Eso es un suceso extremadamente remoto. Si ese fallo implicara que podríamos tener un incidente severo, el color amarillo indica que sí que podemos introducir el cambio gracias a lo improbable de la situación, aunque siempre sometiéndolo a seguimiento; pero si consideráramos como muy posible que un fallo en ese componente diera lugar a un accidente el color rojo avisa de que no podemos introducirlo.

Veamos un ejemplo en el que aplicaremos la tabla a un motor de aviación. El fabricante nos dará todos sus parámetros, por lo que sabremos la probabilidad de que haya una pérdida de potencia. Lo peor que puede ocurrir es que ese caso se dé justo en el momento en el que el avión está en carrera de despegue y rotando, es decir, empezando a levantar el morro. Como las normas obligan a que el avión sea capaz de despegar aunque tenga un motor parado el caso no sería catastrófico, aunque sí muy grave. Si la fiabilidad es tal que el caso es extremadamente improbable la casilla es verde y podemos usar ese motor, pero si nuestro motor no es tan fiable y el caso entra en lo extremadamente remoto la casilla amarilla implica que tendremos que someterlo a vigilancia: por ejemplo obligando a guardar en cada vuelo un registro de determinados parámetros, para su análisis posterior. Si el motor es tan poco fiable que el fallo entra en lo remoto, probable o frecuente el color rojo deja claro que su instalación es inaceptable por motivos de seguridad.

En la tabla hay una casilla peculiar, porque no es roja ni amarilla, sino una mezcla: se trata de un suceso extremadamente improbable cuya presencia implicaría un posible accidente. Esa casilla se debe tratar como amarilla, pero debe ser considerada como roja en el caso de fallos de punto único. Es decir, un sistema así es admisible con supervisión, pero no si el fallo en ese punto único provoca el accidente. Volvamos al ejemplo del motor para entenderlo mejor.

Supongamos el motor más fiable del mercado. Tal y como hemos visto su fallo daría lugar a una situación muy peligrosa, pero no necesariamente a un accidente, así que se puede utilizar sin problemas. ¿Y si el avión fuera monomotor? En ese caso tenemos que su fallo, por muy improbable que fuera, sí echaría abajo nuestro sistema (el avión). Por lo tanto consideraríamos esa casilla como roja.

Sin embargo si en lugar de un motor estuviéramos considerando instalar un TCAS (sistema anticolisión) sería cierto que su fallo puede dar lugar a un accidente, pero para ello tendrían que darse previamente otros muchos errores, puesto que el sistema sólo funciona como último recurso. La casilla en este caso sería amarilla. (Para más detalles sobre cómo funciona el TCAS recomiendo una ojeada al artículo que mencioné al principio sobre el accidente de Überlingen).

La consecuencia de esa casilla está clara: no es admisible un sistema en el que el fallo de un único componente lleve a un resultado fatal. Y eso incluye cualquier componente del sistema, también el ser humano. Porque las probabilidades de fallo del ser humano son bastante indeterminadas, pero existen: una persona puede distraerse, cometer un error, sufrir un infarto, tener una perforación de estómago, ingerir un alimento en mal estado… cualquiera de estos incidentes puede incapacitar al componente humano del sistema y por eso hay que prever su fallo y buscar la forma de compensarlo.

Volvamos ahora al origen de este artículo. Ahora sabemos que un sistema bien diseñado y gestionado no puede depender en ningún momento de uno solo de sus componentes. Por eso es tan necesaria una investigación, exhaustiva e independiente, antes de juzgar, ya que la socorrida explicación del error humano significaría a lo sumo que un componente del sistema, el humano, ha fallado ¿pero qué pasó con el resto de componentes? ¿O es que quien diseñó el sistema confiaba en que había un componente de fiabilidad infinita que jamás iba a fallar? ¿O lo diseñó correctamente, pero el sistema se había degradado previamente al fallo humano? Y en ese caso ¿por qué se dejó que el sistema siguiera funcionando como si no hubiera pasado nada?

Como vemos hay muchas preguntas que pueden implicar no sólo a la parte operativa del sistema sino también a su diseño y gestión. Demasiadas cuestiones para responder en unas pocas horas y sin un análisis detallado. En cualquier caso se echa de menos el concepto de Cultura Justa (o Cultura de Equidad), según el cual el error no debe criminalizarse, sin que esto signifique que la negligencia quede impune. Pero los modelos de seguridad y el concepto de Cultura Justa merecen un artículo aparte que prometo escribir en breve.