No es la primera vez que en este blog se habla de los problemas de seguridad. Quien rebusque artículos anteriores encontrará una crítica al abuso de las explicaciones basadas en el “error humano”, un resumen del modelo SHELL y del modelo de Reason, un ejemplo de matriz de gestión de riesgos, etc. Un día puede que me anime a contar algo sobre Safety II, que es un concepto que aún se está abriendo paso, pero de momento me voy a conformar con volver al problema del “error humano”.

Es una especie de manía personal. La expresión “error humano” aparece constantemente como explicación de todo tipo de hechos indeseados, especialmente cuando se trata de accidentes. La última vez que la encontré fue a raíz de la reciente falsa alerta por ataque de misiles en Hawaii. Las noticias mencionan el error de un funcionario y la posibilidad de que se tomen medidas disciplinarias. ¡Cómo no! Es la típica respuesta que no resuelve absolutamente nada pero que sirve para tranquilizar a… a no sé quién, la verdad. ¿Alguien se cree que quien activó la alerta lo hizo para pasar el rato? Y si fue un error ¿alguien se cree que dentro de un año no podrá cometerlo otra persona sólo porque a su predecesor lo suspendieron de empleo y sueldo por algo que ya nadie recuerda?

Siempre es igual: a las pocas horas del suceso se acabó la investigación. Se acude al error humano y a partir de ahí todas las pesquisas se centran en consolidar ese punto de vista. Es como si cada vez que un equipo de fútbol encajara un gol, le echásemos la culpa al portero:

-¡Pero si la defensa le dejó solo frente a tres delanteros!

-Ya, pero su responsabilidad es parar balones, ser la última línea de defensa. No paró el gol, ergo es culpable. No sirve. Que lo echen y pongan a otro en su lugar.

En realidad el error humano no debería ser el fin de la investigación, sino su principio. ¿Por qué existe ese error? ¿Cómo es que el sistema se viene abajo por el fallo de un único componente? ¿No habría otra manera de hacer las cosas que hiciera más difícil cometer esa equivocación? Deben de ser preguntas muy difíciles de responder, ya que hace más de 70 años que un señor llamado Paul Fitts se las planteó por primera vez.

El señor Fitts era un psicólogo al que se considera un pionero en el estudio de los factores humanos. En 1947 Fitts tenía el grado de Teniente Coronel en las fuerzas aéreas de Estados Unidos. Puesto que no todos los aviones perdidos durante la Segunda Guerra Mundial habían sido derribados, Fitts estaba examinando 460 casos de accidentes atribuidos a errores humanos en un intento de averiguar el porqué de la pérdida de tantos aparatos. Así fue como encontró que, en muchos casos, el accidente era en realidad el mismo: tras aterrizar, el piloto subía por error el tren de aterrizaje con el avión en tierra. En principio, un caso claro de error humano. Pero Fitts no se paró ahí y se preguntó por qué el mismo error se producía tan a menudo.

Antes de seguir, creo que será mejor explicar qué son los flaps y para eso ayuda bastante la siguiente imagen, obtenida de la web de la NASA. Los flaps son esas superficies articuladas que se despliegan hacia abajo durante el despegue y la aproximación.

El motivo es que el avión necesita velocidad para mantenerse en el aire, pero cuando despegamos queremos hacerlo cuanto antes y cuando aterrizamos queremos ir despacio para no tomar tierra a toda velocidad. Pero si frenamos demasiado corremos el riesgo de que el avión no pueda mantenerse en el aire y por eso usamos los flaps: al desplegarlos, la curvatura del ala se hace mayor y permite aguantar en el aire a velocidades inferiores. Un efecto adicional es que la resistencia aerodinámica aumenta y por eso los flaps se mantienen plegados en condiciones normales. Sólo se usan cuando hace falta volar a velocidad reducida, es decir en el despegue y en el aterrizaje.

En aviones muy grandes los flaps son de tipo Fowler, que se extienden hacia atrás antes de curvarse, aumentando así la superficie del ala para mejorar el efecto, pero en 1947 solían ser del tipo simple: una superficie sujeta por bisagras para poder girar y listos. El problema que detectó Fitts era que el piloto aterrizaba y, una vez que el avión estaba en tierra rodando hacia su aparcamiento, decidía replegar los flaps, que ya no le hacían falta. En ese momento, si el piloto accionaba por error la palanca del tren de aterrizaje, plegándolo, se producía un accidente: el avión se quedaba sin apoyo y se iba a tierra, dañando las hélices, la panza, a los ocupantes y creando un serio problema de autoestima en el piloto.

Fitts no vio en este tipo de accidente un problema de incompetencia sino de ergonomía. Cada avión tenía diferentes tipos de mandos con diferentes posiciones de las palancas, por lo que era fácil equivocarse al pasar de un tipo a otro. Además, era normal que la palanca de flaps y la del tren de aterrizaje estuvieran cerca una de otra y fueran idénticas. Un diseño que parecía hecho para provocar confusión. La solución era obvia: cambiar la forma de las palancas. En la actualidad, en todos los aviones, el aspecto de estos mandos es más o menos así: A la izquierda tenemos la palanca del tren de aterrizaje, cuya empuñadura recuerda a una rueda, y la derecha vemos la palanca de los flaps, parecida a una sección de ala. Es fácil recordar cuál es cuál, ¿verdad? Desde que se adoptó esta solución tan sencilla, los accidentes por confusión entre estos dos mandos han pasado a ser muy infrecuentes.

Recordemos que el estudio de Fitts había partido de accidentes de los que se había determinado que la causa era el error humano. Considerando lo que acabamos de leer, ¿seguiríamos hablando de error humano o preferiríamos pensar en un fallo de diseño? El hallazgo de Mr. Fitts fue tomar el error humano como punto de partida de la investigación y no como una conclusión tras la que ya no había nada que investigar. Conseguir que sea así sistemáticamente en toda investigación de seguridad sigue siendo, 70 años después, sorprendentemente complicado. Pensemos en ello cada vez que leamos en la prensa “los indicios apuntan a un error humano”.

Hace unos días, el 22 de noviembre, la aerolínea taiwanesa Transasia anunciaba el cese de operaciones. Teniendo en cuenta que la mayoría de lectores de este blog son  españoles o hispanoamericanos (sólo he recibido 3 visitas de Taiwan este año) es de suponer que muchos de los que leen esto acaban de enterarse, no ya del cierre de Transasia, sino de la propia existencia de la compañía. ¿Transasia? ¿A alguien le suena? ¿No?

¿Y esta captura de vídeo obtenida de Wikipedia? ¿Le suena a alguien?

Muy probablemente sí, porque el vídeo corrió como la pólvora por internet, cuando varios vehículos provistos de cámara grabaron el accidente de un vuelo de Transasia que se estrelló al poco de despegar el 4 de febrero de 2015. Quien tenga curiosidad puede encontrar el vídeo fácilmente. Pero no es de este accidente del que voy a tratar sino de otro anterior, aunque del mismo modelo de avión y de la misma compañía.

Tuve conocimiento del caso cuando se publicó un artículo sobre el tema en la revista profesional The Controller. El accidente ocurrió el 23 de julio de 2014 cuando el avión que aparece en la siguiente fotografía trataba de aterrizar con mal tiempo en el aeropuerto de Magong, situado en el archipiélago de los Pescadores, al oeste de Formosa.

Imagen tomada de Wikipedia

A la vista está que se trata de un turbohélice (si alguien está interesado en detalles sobre tipos de motores puede leer este artículo que escribí hace algún tiempo). Es, concretamente, un ATR 72 que transportaba aquel día a 54 pasajeros junto a 2 pilotos y 2 tripulantes de cabina. Era un mal día para volar, puesto que el tifón Matmo estaba a 260 Km. de Magong, con la consiguiente lluvia intensa y poca visibilidad.

El aeropuerto de Magong tiene un ILS en servicio para la pista 02, pero la pista 20 no tiene sistema de ayuda de precisión y hay que conformarse con realizar una aproximación VOR. Para los no iniciados, diré que la pista 02 y la 20 son la misma franja de asfalto según se mire en un sentido o en otro (escribí sobre ello aquí). El ILS es un sistema de ayuda al aterrizaje que marca una trayectoria exacta a seguir hasta llegar al umbral de pista, de manera que el piloto mirando sus instrumentos sabe si está a derecha o izquierda, por encima o por debajo de la trayectoria ideal (lo describí en este artículo). En cuanto al VOR es una ayuda a la navegación que también describí en otra parte de este blog (aquí) y a partir de la cual se puede trazar una trayectoria también, sólo que menos precisa y sin guiado vertical, es decir, que no indica si se está alto o bajo y hay que basarse únicamente en el altímetro.

Si la pista 02 (orientada aproximadamente hacia el norte) tiene ILS y la 20 (hacia el sur) carece de él, es porque normalmente se aterriza en sentido norte. En el día de los hechos los pilotos tenían un dilema: la mala visibilidad hacía recomendable aterrizar por la pista 02 utilizando el ILS, pero en ese caso habrían tenido un viento de cola de 12 nudos con rachas de 16. Mientras daban vueltas en un circuito de espera llegaron a solicitar entrar con viento de cola, pero 11 minutos después de esa solicitud la visibilidad mejoró y pidieron aterrizar en la pista 20.

A partir de aquí el informe descubre una serie de irregularidades. Los pilotos no hicieron el repaso obligado del procedimiento de aproximación (approach briefing) ni leyeron la lista de comprobación (checklist) previa a la maniobra. Son dos descuidos llamativos, seguidos por una forma alarmante de realizar el procedimiento.

En la aproximación VOR para ese aeropuerto existe una altitud mínima de descenso (la MDA) de 330 pies, es decir unos 100 metros. El avión no debe en ningún caso descender por debajo de ese valor a no ser que el piloto tenga el aeropuerto a la vista del que hay que saber que el umbral de la pista 20 está a una altitud de 46 pies (14 metros). Sin embargo el piloto al mando seleccionó un valor de 300 pies, y más adelante de 200 pies. Es una conducta peligrosa, y no sólo por su parte: el copiloto debería haber cuestionado la maniobra, pero no lo hizo. Cuando el avión estaba a 219 pies (unos 65 metros), el piloto desconectó el piloto automático. Es el comportamiento propio de quien está viendo la pista y se dispone a aterrizar y sin embargo los pilotos apenas veían algo: en ese momento llovía a razón de 1,8 mm por minuto y la visibilidad había caído a unos 500 metros.

Que los pilotos no veían aún el aeropuerto se sabe con certeza, porque estaban por debajo de 200 pies cuando el piloto preguntó a su segundo “¿ves la pista?”. Para entonces el avión estaba sobrepasando el punto de aproximación frustrada y el viento había comenzado a desviarlo, aunque los pilotos, demasiado ocupados escudriñando el exterior, no lo habían percibido. Así que tenemos un avión que ya no se dirige directamente hacia la pista, que vuela muy por debajo de la altitud mínima de seguridad y que ha sobrepasado el punto en el que se debería haber abortado la maniobra. Aún volaron durante 13 segundos antes de que decidieran acelerar los motores para frustrar el aterrizaje. Estaban a sólo 72 pies de altura (22 metros) y era ya demasiado tarde. Apenas 2 segundos después de tomar la decisión de iniciar la frustrada el avión golpeaba los árboles y acababa cayendo en una zona de viviendas.

Murieron los 4 tripulantes y 44 de los pasajeros. Otros 9 sufrieron heridas más o menos graves y uno salió con heridas leves. Además hubo 5 heridos leves entre las personas que estaban en la zona donde cayó el aparato. Entre los daños materiales, aparte de la destrucción de la aeronave, se cuenta la de 9 viviendas.

Con lo que sabemos hasta ahora resulta fácil cargar las tintas sobre los pilotos, que prosiguieron con la aproximación mucho más allá de lo que era razonable (y de lo que marca la norma), pero si recordamos artículos anteriores  de este blog, como por ejemplo el titulado El factor humano, sabemos que las cosas nunca son tan sencillas. Los pilotos incumplieron varias veces los procedimientos, pero ¿por qué?

Al buscar la respuesta se encuentran problemas realmente profundos. En las grabaciones se oyen bostezos y el comandante menciona estar muy cansado. Hay estudios que demuestran que los efectos de la fatiga son similares a los del alcohol, pero mientras es inadmisible que un piloto se siente a los mandos tras tomarse unas copas, crea menos alarma que esté cayéndose de sueño. Sin embargo, en ambos casos aumentan las posibilidades de que el piloto desdeñe los procedimientos y no esté lo suficientemente alerta como para corregir errores.

Otro problema es el exceso de confianza. Durante la investigación, algunos pilotos entrevistados mencionaron la gran habilidad del comandante, que era capaz de aterrizar donde otros se iban al aire. ¿Habría aterrizado más de una vez bajando por debajo de los mínimos? El profano puede considerar que un piloto que entra en un aeropuerto en unas condiciones en las que todos los demás frustran, lo hace porque es más hábil, pero el profesional debe reconocer que eso es un indicio de conducta temeraria. Y sin embargo los compañeros del comandante implicado no parecían considerarlo así.

Esa actitud podría reflejar problemas en la cultura de seguridad de la compañía. En la página 108 del informe hay una tabla con los incumplimientos ocurridos durante el vuelo. Yo he señalado cuatro, pero la tabla contiene trece. Y el documento va más allá al asegurar que la compañía toleraba y consideraba normales prácticas de riesgo como el incumplimiento de procedimientos operacionales. La mejor muestra se produjo durante la propia investigación, durante la cual se observaron 3 sesiones de entrenamiento en simulador y 24 vuelos reales.

Los hallazgos fueron significativos: listas de comprobación que no se leían sino que se repasaban de memoria o se omitían directamente, incumplimientos en el simulador que los instructores no corregían, etc. Hay una que me resulta llamativa: en los aeropuertos suele haber sistemas visuales que ayudan al piloto a asegurarse de que está descendiendo correctamente. Está muy difundido el PAPI, que consiste en 4 luces que se ven blancas o rojas dependiendo de si se está por encima o por debajo de la trayectoria ideal. Si se sigue ésta, se ven 2 luces blancas y 2 rojas. Pues bien, los investigadores notifican casos en que las 4 luces eran rojas (avión muy bajo) sin que los pilotos hicieran el menor comentario.

También se menciona que la flota de aviones ATR, del tipo que tuvo el accidente, se había incrementado pero no así el número de tripulaciones. De esto se deduce que la carga de trabajo estaba aumentando, con los consiguientes problemas de fatiga y presión para cumplir con los objetivos. Y nada va más en contra de la seguridad que las prisas y la presión, puesto que los procedimientos de seguridad ralentizan la operación: es mucho más rápido repasar de memoria que todo está en orden que leer una lista, y más rápido aún es no hacer la comprobación. Como este tipo de comportamiento rara vez lleva a un incidente inmediato, se crea la impresión de que se ha ganado en eficiencia.

Se podría pensar que nada en la compañía funcionaba bien, pero no es así. El mantenimiento de las aeronaves por ejemplo era correcto, luego no se estaba en una dinámica de ahorrar costes de cualquier manera sino que simplemente se estaba operando con una forma de afrontar el trabajo que no comprendía todas las implicaciones de los, a menudo fastidiosos, procedimientos operativos. El informe menciona explícitamente la existencia de una pobre cultura de seguridad.

Había mucho que corregir, pero no hubo tiempo. Apenas 7 meses después ocurría el accidente que grabaron tantos vehículos y del que hemos visto un fotograma al principio de este artículo. En este caso hubo un fallo de motor en el despegue al que la tripulación respondió erróneamente desconectando el motor que sí funcionaba. El informe de la investigación insistió en los problemas de falta de cumplimiento de los procedimientos.

Ignoro cuál fue la reacción en Taiwan al hacerse público este segundo informe, pero si a las pérdidas directas ocasionadas por los accidentes le sumamos el daño a la imagen de la empresa no nos extrañará demasiado el cierre de la misma. El New York Times, por ejemplo, menciona directamente los accidentes en el titular de la noticia del cese de operaciones, mientras otros medios como Bloomberg hacen hincapié en las pérdidas económicas de la compañía, pero sin olvidar los dos siniestros en el cuerpo de la noticia.

Entre los profesionales de la aviación hay un dicho: “si te parece que la seguridad es cara, prueba con los accidentes”. Este caso parece hecho para demostrar cómo una cultura de seguridad débil puede llevarse por delante una aerolínea que tenía 65 años de historia. Ojalá fuera la última que lo hace por estas causas.