Archivos de etiqueta: Cultura de seguridad

¡Stop, stop, stop!

14 domingo Feb 2016

Posted by in Aviación

≈ 1 comentario

Etiquetas

, , ,

No hace mucho publiqué un artículo describiendo en qué consiste el control aéreo en el que incluía algunos ejemplos; pero como no hay nada más descriptivo que una situación real y no es raro que en este blog se cuelen casos de incidentes aéreos, vamos a ver uno que se produjo el verano pasado en el aeropuerto Midway de Chicago. Buena parte de la información la he sacado de la página Aviation Herald, puesto que aún no se ha publicado el informe del incidente, o bien yo no he sido capaz de encontrarlo.

Aquel día, 18 de junio de 2015, había dos aviones a punto de despegar desde pistas diferentes del aeropuerto. Uno de ellos era el Delta 1328 y otro el South West 3828. No se nos escapa que los indicativos suenan de forma parecida (los dos terminan en 28) y según Aviation Herald los pilotos de ambas aeronaves habían sido advertidos por control aéreo de la similitud para que estuvieran alerta. Los problemas comienzan cuando ambos aviones están ya en sus respectivas pistas de despegue y listos para comenzar a acelerar.

Veamos la situación en detalle. El Delta está en la pista 04R y el South West en la 31C. (Sobre la forma en que se da nombre a las pistas del aeródromo hay un artículo disponible pinchando aquí). Para mayor claridad, nada como ver el plano del aeropuerto. La posición y dirección de despegue del Delta 1328 vienen indicadas por la flecha roja, mientras que el South West 3828 está representado por la flecha azul. El punto de cruce de ambas pistas, aunque evidente de por sí, está marcado con la estrella de 5 puntas.

KMDW

El otro protagonista de nuestra historia es el controlador, que en este caso, al ocurrir los hechos en un aeropuerto, sí está en una torre de control y que autoriza a despegar al avión de South West Airlines. Para comprobar que las instrucciones llegan correctamente, los pilotos deben repetirlas antes de iniciar la acción correspondiente; de esta forma el controlador sabe que la instrucción ha llegado a destino y se va a ejecutar sin error, pero en este caso la respuesta no se recibe bien porque, aparentemente, hay dos aviones respondiendo a la vez. El controlador decide repetir la instrucción, pero de nuevo la respuesta no llega correctamente porque han respondido dos aviones.

Un momento después ocurría una de esas situaciones que constituyen la pesadilla de un controlador aéreo: los dos aviones inician la carrera de despegue a la vez, lanzándose hacia la intersección de ambas pistas. Aquí se acaban las sutilezas y empiezan las medidas drásticas. Es muy posible que el controlador se dirigiera en su comunicación sólo al Delta, pero la primera parte de la transmisión no salió al aire y sólo se oyó la segunda: «¡Stop, stop, stop!». La fraseología correcta, según la Organización de Aviación Civil Internacional, OACI, habría sido «Cancel Take Off» o bien «Stop immediately», pero como he dicho, no estaba la situación para detenerse en detalles de forma.

¿Qué puede hacer un piloto que acaba de iniciar la carrera de despegue y oye una comunicación tan tajante ordenando detenerse, aunque no esté seguro de si se dirige a él? Hacer un frenado de emergencia, por si acaso. Y eso fue lo que hicieron ambos pilotos. En realidad, según Aviation Herald, se interrumpió de golpe absolutamente todo el movimiento del aeropuerto, pero en estos casos vale más pasarse que no llegar.

Posiblemente la similitud de indicativos tuvo bastante que ver en el incidente, por mucho que los pilotos estuvieran avisados de antemano. Es un problema relativamente común, que ya en otro artículo puse como ejemplo ficticio, aunque en ese caso no situé la acción en una torre sino en un centro de control. Como no hay informe definitivo, no es posible saber el estado de las comunicaciones. Es muy fácil, a la vista de los hechos, cargar las tintas sobre el piloto de Delta, pero recordemos que un piloto no está solo en la cabina y si él cometió un error, también tuvo que cometerlo el copiloto. ¿Se recibió bien la comunicación, hubo alguna interferencia, funcionaron correctamente los equipos…? No lo sabemos y por eso es importante esperar al informe de los expertos y no sacar conclusiones precipitadas.

Naturalmente, los medios de comunicación recogieron los hechos y es fácil encontrar vídeos en Internet con fragmentos de programas de noticias en los que se describe la situación de una forma bastante dramática. Es cierto que hubo un incidente y es cierto que en este caso se llegó hasta la última barrera de seguridad, que es la capacidad de atención y observación de quien está a cargo, en este caso el controlador.

Sin embargo, una vez más comprobamos que para que haya un incidente se tienen que franquear varias capas de seguridad: al detectar que hay dos aviones de indicativo similar, se advirtió a las tripulaciones; el piloto equivocado tuvo que creer que la autorización de despegue era para él; al no estar seguro el controlador de que se hubiera recibido bien la orden repitió la autorización de despegue, que volvió a ser aceptada por dos aviones distintos y, por último, se emitió una orden tajante de detenerse.

La sensación que queda es la de que se ha evitado un accidente por poco. Pero lo normal es que alguna de las barreras previas funcione. Supongamos que tras hacer hincapié en la similitud de indicativos todo se hubiera desarrollado como ocurre habitualmente. En ese caso también se habría evitado un accidente, pero nadie lo sabría.

Es lo curioso de este tipo de trabajo: se supone que se cumple con la misión de evitar accidentes, pero si a mí me preguntaran cuántos he evitado no podría responder porque, sinceramente, no sé si he evitado alguno. Y la verdad es que, cuando me pongo en la situación del protagonista de nuestro ejemplo y pienso en lo que debió de pasar por su cabeza cuando vio a los dos aviones en carrera hacia un mismo punto, me alegro mucho de seguir con la duda.

 

 

Incursiones y frustradas

14 lunes Jul 2014

Posted by in Aviación, Cultura de seguridad

≈ Deja un comentario

Etiquetas

, , , , , , , , , ,

¡Válgame Dios, qué revuelo se organizó la semana pasada a cuenta de una aproximación frustrada en Barcelona! Podría entretenerme en copiar titulares de prensa a cual más exagerado, pero para eso ya está el blog Burradas aeronáuticas, que recoge algunos de los casos más llamativos. Mi favorito es éste, que habla de increíble maniobra, dice que pudo haber un catastrófico accidente y para remate añade que el piloto tuvo que improvisar una maniobra. Improvisar, como suena.

El caso es que el vídeo que dio origen a todo el asunto es excelente para ilustrar dos temas que son conocidos por todos los profesionales, pero no tanto por los profanos: las incursiones en pista y las maniobras de aproximación frustrada o «motor y al aire». Por si alguien no lo ha visto, es éste:

Resulta muy impactante, pero no debemos olvidar que la perspectiva nos puede jugar una mala pasada, especialmente sabiendo que el avión que está a punto de aterrizar es un B767, es decir un avión grande. Quizás si hubiese sido un A319 la impresión sería que está mucho más lejos y las imágenes no habrían dado lugar a tanta controversia. En cualquier caso basta con ver el vídeo para tener dos cosas claras: que hubo una frustrada y que casi con total seguridad el motivo fue una incursión en pista. Como una incursión en pista no deja de ser un incidente, hay ya una investigación en curso y será entonces cuando podremos saber qué ha ocurrido exactamente y por qué. Mientras tanto intentaré explicar qué son ambas situaciones para intentar aclarar lo que se ve en la grabación.

Aproximación frustrada

Imaginemos que vamos en coche por una ciudad y queremos girar a la derecha. Ponemos el intermitente, empezamos a mover el volante y de pronto vemos una señal de dirección prohibida que nos impide entrar en la calle por la que pretendíamos pasar. No ocurre nada, simplemente enderezamos el volante, quitamos el intermitente y seguimos recto hasta que tengamos mejor ocasión. Podríamos decir que hemos hecho un giro frustrado, y eso es precisamente lo que ocurre, salvando las distancias, cuando un avión está en su aproximación a una pista y, por el motivo que sea, interrumpe la maniobra. Decimos que frustra la aproximación, o que hace una frustrada o que hace motor al aire, son muchas formas de expresar lo mismo.

La gran diferencia entre el conductor y el piloto es que el conductor, normalmente no sabe exactamente qué hará a continuación. Buscará una forma de hacer el giro que quería, pero no sabe dónde y cómo lo hará. El piloto sin embargo, no improvisa sino que sigue un procedimiento establecido de antemano y que podemos conocer fácilmente. Para verlo, tenemos que consultar la carta de aproximación ILS, que es la aproximación instrumental más común, a la pista 02 de Barcelona. Esta carta es fácil de encontrar, basta con ir a la Publicación de Información Aeronáutica (AIP) y buscar en la parte de aeródromos. Como el AIP es accesible al público en internet, sólo hay que bucear un poco en Google y aquí está lo que queremos. Sugiero hacer click en la imagen para poder agrandarla y verla con todo detalle.

LE_AD_2_LEBL_IAhora ya vemos con claridad cómo es la maniobra: tenemos tres puntos llamados IAFs (VIBIM, RUBOT y SLL) en los que el avión puede estar realizando esperas y desde los que se puede iniciar la aproximación. Al tramo final, el que tiene guía por el sistema llamado ILS, se llega a 2.000 pies de altitud y poco después se inicia un descenso con una pendiente de 3º hasta tocar la pista… o frustrar. En este caso, la misma carta indica el procedimiento de frustrada. Quien quiera verlo en detalle no tiene más que agrandar la imagen y leer debajo del mapa donde dice: «FRUSTRADA: subir en rumbo de pista hasta alcanzar 500 ft (…)». El resto del procedimiento nos dice que hay que virar a la derecha a una velocidad máxima de 185 nudos, y luego seguir el radial 054 del VOR (un tipo de radiofaro) llamado PRA hasta alcanzar los 3.000 pies de altitud y esperar instrucciones de control. Se añade el caso de que además haya un fallo de comunicaciones para que todo esté previsto.

Comprobamos así que no hay nada de improvisado. Simplemente, si el piloto considera que no se dan las condiciones para aterrizar seguirá ese procedimiento y se lo comunicará al controlador de la torre. También puede ocurrir que sea éste quien vea que no se debe llevar a cabo el aterrizaje y ordene al piloto ejecutar la frustrada. En cualquiera de los dos casos la maniobra se ejecuta conforme al procedimiento establecido. Los motivos por los que un avión puede irse al aire son muchos: si hay baja visibilidad, el piloto sigue la aproximación hasta una determinada altitud (llamada de decisión) y si, al llegar a ella no ve la pista, se va al aire, pero también puede irse por otras causas; por ejemplo si el avión se está acercando a la pista sin alcanzar una actitud adecuada (se habla de aproximación no estabilizada) puede irse al aire para hacer un segundo intento en lugar de arriesgarse a hacer una toma deficiente. Otro motivo posible, que es el que nos ocupa, es una incursión en pista.

Incursiones en pista

Según OACI, en su documento 4444 la incursión en pista se define como «Todo suceso en un aeródromo que suponga la presencia incorrecta de una aeronave, vehículo o persona en la zona protegida de una superficie designada para el aterrizaje o despegue de una aeronave». Se podrían añadir más casos, porque también puede entrar en la pista un animal, por ejemplo un perro, y eso sería motivo para que un avión se fuera al aire en lugar de seguir con la aproximación; sin embargo la definición no lo contempla.

A veces las incursiones en pista son peculiares y hay anécdotas muy curiosas. Me contaron que una vez en Barcelona consiguió colarse en el recinto del aeropuerto, no se sabe cómo, un turista borracho que se alojaba en un cámping cercano y que extendió una toalla y se puso a tomar el sol justo donde por aquel entonces se cruzaban las dos pistas del aeropuerto. En cierta ocasión, una controladora me explicó como poco después de abrirse el servicio en cierto aeropuerto les tuvo que recordar a los bomberos, que aún no tenían experiencia, que antes de entrar en pista tenían que pedir permiso aunque no hubiera previstas salidas ni llegadas de aviones.

Pero más allá de las anécdotas, las incursiones en pista no son para tomarlas a broma. Pueden ser muy peligrosas si no hay buena visibilidad y, aunque no son comunes, su número se está incrementando, como vemos en esta gráfica obtenida de un documento de Eurocontrol, según la cual en 2012 había casi una incursión en pista por cada 100.000 vuelos. Datos del propio Eurocontrol aseguran que hay unos 26.000 vuelos al día en Europa lo que daría más o menos un incidente de este tipo cada 4 días.

runway incursionAlgunas estadísticas americanas eran más preocupantes y daban una media de una incursión en pista diaria. El fenómeno es lo bastante significativo como para que haya importantes programas para estudiar el problema y reducir su incidencia. Como siempre, es importante estudiar los incidentes que se produzcan, y por eso habrá una investigación sobre el de la semana pasada.

Volviendo a ese incidente, nos faltan demasiados datos como para tener una idea de qué pasó exactamente. El vídeo da una pista, pero nada más. Si volvemos a leer artículos anteriores de este blog como El factor humano o La cultura del error recordaremos el modelo SHEL y el de Reason y la cantidad de causas que hay tras un incidente. En este caso se me ocurren varias posibilidades como causas directas o indirectas:

  • Posible error del piloto, entrando en pista sin estar autorizado.
  • Posible error del controlador, no calculando correctamente los tiempos y autorizando a entrar en pista a un avión con otro en corta final.
  • Posible malentendido en el que uno no autoriza y el otro cree que sí.
  • Posible fallo de coordinación entre controlador de rodadura y de local (uno lleva el rodaje y otro se ocupa de los movimientos que afectan a la pista).
  • Posible fallo de coordinación entre los pilotos del avión.
  • Posibles problemas en el equipo de radio que hagan más difícil la comunicación.
  • Posibles obras, cortes de calles de rodaje, cambios de configuración, etc. que hagan más difícil la maniobra y requieran mucha atención.
  • Posible desconocimiento del aeropuerto por parte de la tripulación, que haga más fácil un despiste.
  • Posible momento del relevo en la torre, que es bien conocido como típico momento en el que puede aparecer un incidente.

Todo esto y más puede haber ocurrido. No sabemos casi nada. Puede, incluso, que el controlador tuviera en cuenta a ambos aviones y estuviera convencido de que había tiempo suficiente para el cruce de pista y que el piloto  del avión que se acercaba, sin embargo, no se sintiera seguro en esa situación. En ese caso y puestos a buscar titulares ¿diríamos que el controlador, osado, pecó de exceso de confianza o que el piloto, timorato, se excedió en su prudencia?. Yo no me atrevería a decir nada hasta tener más datos, aunque creo que está claro que la actuación del piloto que decide frustrar es siempre correcta porque él es responsable de la seguridad de su avión y debe tomar la decisión de hacer motor y al aire si alberga cualquier duda. Precisamente por eso se publican los procedimientos de frustrada.

Las conclusiones de todo esto son tres: que una incursión en pista es un incidente que debe ser investigado, que es prematuro adelantar causas mientras no se publique un informe sobre los hechos y que una frustrada es un procedimiento que no tiene nada de improvisado. Y aunque en un titular quede muy épico decir que se evitó una catástrofe in extremis gracias a la genialidad de un piloto, yo, francamente, me siento mucho más seguro cuando vuelo sabiendo que hasta para los casos imprevistos hay un procedimiento preparado y que el piloto no necesita echar mano de su imaginación sino de lo que ya está establecido. La seguridad no se basa en creer que el día que surja un incidente habrá una persona extraordinariamente hábil a los mandos que sabrá cómo improvisar, sino en asegurar que esa persona es alguien perfectamente normal que ha recibido la formación y el entrenamiento adecuados para seguir unos procedimientos racionales.

 

 

 

La cultura del error

26 jueves Sep 2013

Posted by in Cultura de seguridad

≈ 3 comentarios

Etiquetas

, , , , ,

No tenía previsto volver sobre el tema de la cultura de seguridad, al menos tan pronto, pero esta noticia según la cual Fomento quiere poner cámaras en los trenes para vigilar la conducta de los maquinistas a raíz del desgraciado accidente de Santiago me ha resultado tan chocante que no puedo evitar regresar a este asunto.

Habíamos visto ya en artículos anteriores que el diseño de sistemas debe hacer imposible, al menos en teoría, la existencia de un componente cuyo fallo por sí solo acarree la caída del sistema completo (lo conté aquí) y también vimos por encima (en un artículo que se puede leer aquí) los modelos SHEL y de Reason y el concepto de Cultura Justa. Vimos que, según el modelo de Reason, un accidente se explica por uno o más fallos activos que se unen a varios fallos latentes que han debilitado previamente el sistema. Estos fallos latentes, achacables a la organización, deben corregirse para evitar las consecuencias de un fallo activo, imposible de evitar por completo.

Recordemos que comenté que al alcanzar la aviación la madurez técnica empiezan a achacarse los accidentes sistemáticamente al fallo humano. Al no existir un fallo mecánico evidente, los investigadores buscan acciones u omisiones del personal que opera el sistema. Se llega así hasta el descubrimiento de fallos activos, pero no se avanza hasta llegar a los fallos latentes. La consecuencia es una cultura que tiende a achacar culpas y asignar castigos.

El problema es que este enfoque consigue identificar qué ha ocurrido, quién ha actuado o dejado de actuar de una manera determinada y cuándo ha sucedido cada hecho. Y sin embargo queda sin saberse el cómo y el por qué ha ocurrido el accidente. Al no profundizar la investigación hasta identificar los fallos latentes, las condiciones que hicieron posible el accidente siguen presentes a la espera de un nuevo fallo activo similar que haga posible la repetición. El modelo de Reason y la Cultura Justa surgen para llenar este hueco.

Vamos a insertar un ejemplo, pero esta vez no lo inventaré yo, sino que se lo tomaré prestado nada menos que a OACI, la Organización de Aviación Civil Internacional, que naturalmente conoce perfectamente todos los conceptos esbozados y se refiere a ellos en  su documento 9859 (Safety Management Manual o Manual de Gestión de la Seguridad). El ejemplo supone la existencia de una ventana en cuyo alféizar colocamos una maceta. Existe la posibilidad de que al asomarse alguien a la ventana empuje accidentalmente la maceta, provocando su caída con consecuencias más o menos graves dependiendo del piso en el que estemos situados y de que alguien esté o no pasando por debajo de la ventana justo en el momento de la caída. (Nota: el ejemplo está tomado de la segunda edición, publicada en 2009, del documento 9859, edición que estaba en vigor en el momento de escribir el artículo. Las ediciones posteriores, empezando por la tercera, de 2013, eliminaron este ejemplo).

Un enfoque tradicional investigaría el accidente partiendo de la responsabilidad de la persona que se asomó descuidadamente a la ventana y resolvería el problema con una multa y, a lo sumo, un recordatorio a los ocupantes del edificio de la necesidad de ser cuidadosos al asomarse, o simplemente prohibiendo tal acción. Sin embargo un enfoque atento a los factores de organización podría dar las siguientes recomendaciones:

  • Colocar un tope al final del alféizar para detener la maceta en caso de que se la empuje accidentalmente.
  • Colocar una red bajo la ventana para detener la maceta en su caída.
  • Colocar un toldo a la altura del primer piso para detener la maceta en su caída.
  • Ampliar el ancho del alféizar.
  • Desviar el paso de peatones bajo las ventanas, construyendo por ejemplo un jardincito justo debajo de ellas.
  • En un caso extremo, tapiar las ventanas.

Con cualquiera de estas medidas se tiene en cuenta el hecho de que el ser humano tiende a cometer errores, sólo que así conseguimos que no sean irreparables. Aunque ahora alguien, en un descuido, empuje la maceta, las consecuencias ya no serán catastróficas. Al suprimir errores latentes, el error activo pierde su capacidad de desencadenar el accidente.

Lo curioso del documento 9859 de OACI, al que aludí antes, es que cuando habla del modelo según el cual el problema de la maceta llevaría a multas y recordatorios de la necesidad de tener cuidado, se refiere al “enfoque tradicional” al que menciona siempre en pasado, nunca en presente, puesto que lo considera como algo ya superado. Esto es natural, ya que permanecer anclado en una mentalidad que se centra en el llamado “error humano”, sin profundizar más allá deja sin resolver el problema de fondo: cómo crear las condiciones para que el accidente no se produzca.

El recuerdo de este documento y de este ejemplo tan sencillo es lo que me hizo pensar en escribir este artículo cuando leí la noticia que mencioné al inicio. El responsabilizar exclusivamente a una persona de un accidente y pretender que la solución es que no se cometan errores instaurando una cultura punitiva y un sistema policial es algo que debería estar ya superado. Por eso escribo este artículo y por eso escribí los dos anteriores: porque, a pesar del escaso número de lectores de este blog, es preciso esforzarse en divulgar esta cultura de seguridad con el fin de que algo tan importante como los servicios de transporte público no basen sus sistemas de seguridad en una cultura que los principales expertos en la materian consideran que quedó obsoleta hace cuarenta años.