Archivos de etiqueta: Modelo SHELL

Incursiones y frustradas

14 Lunes Jul 2014

Posted by in Aviación, Cultura de seguridad

≈ Deja un comentario

Etiquetas

, , , , , , , , , ,

¡Válgame Dios, qué revuelo se organizó la semana pasada a cuenta de una aproximación frustrada en Barcelona! Podría entretenerme en copiar titulares de prensa a cual más exagerado, pero para eso ya está el blog Burradas aeronáuticas, que recoge algunos de los casos más llamativos. Mi favorito es éste, que habla de increíble maniobra, dice que pudo haber un catastrófico accidente y para remate añade que el piloto tuvo que improvisar una maniobra. Improvisar, como suena.

El caso es que el vídeo que dio origen a todo el asunto es excelente para ilustrar dos temas que son conocidos por todos los profesionales, pero no tanto por los profanos: las incursiones en pista y las maniobras de aproximación frustrada o “motor y al aire”. Por si alguien no lo ha visto, es éste:

Resulta muy impactante, pero no debemos olvidar que la perspectiva nos puede jugar una mala pasada, especialmente sabiendo que el avión que está a punto de aterrizar es un B767, es decir un avión grande. Quizás si hubiese sido un A319 la impresión sería que está mucho más lejos y las imágenes no habrían dado lugar a tanta controversia. En cualquier caso basta con ver el vídeo para tener dos cosas claras: que hubo una frustrada y que casi con total seguridad el motivo fue una incursión en pista. Como una incursión en pista no deja de ser un incidente, hay ya una investigación en curso y será entonces cuando podremos saber qué ha ocurrido exactamente y por qué. Mientras tanto intentaré explicar qué son ambas situaciones para intentar aclarar lo que se ve en la grabación.

Aproximación frustrada

Imaginemos que vamos en coche por una ciudad y queremos girar a la derecha. Ponemos el intermitente, empezamos a mover el volante y de pronto vemos una señal de dirección prohibida que nos impide entrar en la calle por la que pretendíamos pasar. No ocurre nada, simplemente enderezamos el volante, quitamos el intermitente y seguimos recto hasta que tengamos mejor ocasión. Podríamos decir que hemos hecho un giro frustrado, y eso es precisamente lo que ocurre, salvando las distancias, cuando un avión está en su aproximación a una pista y, por el motivo que sea, interrumpe la maniobra. Decimos que frustra la aproximación, o que hace una frustrada o que hace motor al aire, son muchas formas de expresar lo mismo.

La gran diferencia entre el conductor y el piloto es que el conductor, normalmente no sabe exactamente qué hará a continuación. Buscará una forma de hacer el giro que quería, pero no sabe dónde y cómo lo hará. El piloto sin embargo, no improvisa sino que sigue un procedimiento establecido de antemano y que podemos conocer fácilmente. Para verlo, tenemos que consultar la carta de aproximación ILS, que es la aproximación instrumental más común, a la pista 02 de Barcelona. Esta carta es fácil de encontrar, basta con ir a la Publicación de Información Aeronáutica (AIP) y buscar en la parte de aeródromos. Como el AIP es accesible al público en internet, sólo hay que bucear un poco en Google y aquí está lo que queremos. Sugiero hacer click en la imagen para poder agrandarla y verla con todo detalle.

LE_AD_2_LEBL_IAhora ya vemos con claridad cómo es la maniobra: tenemos tres puntos llamados IAFs (VIBIM, RUBOT y SLL) en los que el avión puede estar realizando esperas y desde los que se puede iniciar la aproximación. Al tramo final, el que tiene guía por el sistema llamado ILS, se llega a 2.000 pies de altitud y poco después se inicia un descenso con una pendiente de 3º hasta tocar la pista… o frustrar. En este caso, la misma carta indica el procedimiento de frustrada. Quien quiera verlo en detalle no tiene más que agrandar la imagen y leer debajo del mapa donde dice: “FRUSTRADA: subir en rumbo de pista hasta alcanzar 500 ft (…)”. El resto del procedimiento nos dice que hay que virar a la derecha a una velocidad máxima de 185 nudos, y luego seguir el radial 054 del VOR (un tipo de radiofaro) llamado PRA hasta alcanzar los 3.000 pies de altitud y esperar instrucciones de control. Se añade el caso de que además haya un fallo de comunicaciones para que todo esté previsto.

Comprobamos así que no hay nada de improvisado. Simplemente, si el piloto considera que no se dan las condiciones para aterrizar seguirá ese procedimiento y se lo comunicará al controlador de la torre. También puede ocurrir que sea éste quien vea que no se debe llevar a cabo el aterrizaje y ordene al piloto ejecutar la frustrada. En cualquiera de los dos casos la maniobra se ejecuta conforme al procedimiento establecido. Los motivos por los que un avión puede irse al aire son muchos: si hay baja visibilidad, el piloto sigue la aproximación hasta una determinada altitud (llamada de decisión) y si, al llegar a ella no ve la pista, se va al aire, pero también puede irse por otras causas; por ejemplo si el avión se está acercando a la pista sin alcanzar una actitud adecuada (se habla de aproximación no estabilizada) puede irse al aire para hacer un segundo intento en lugar de arriesgarse a hacer una toma deficiente. Otro motivo posible, que es el que nos ocupa, es una incursión en pista.

Incursiones en pista

Según OACI, en su documento 4444 la incursión en pista se define como “Todo suceso en un aeródromo que suponga la presencia incorrecta de una aeronave, vehículo o persona en la zona protegida de una superficie designada para el aterrizaje o despegue de una aeronave”. Se podrían añadir más casos, porque también puede entrar en la pista un animal, por ejemplo un perro, y eso sería motivo para que un avión se fuera al aire en lugar de seguir con la aproximación; sin embargo la definición no lo contempla.

A veces las incursiones en pista son peculiares y hay anécdotas muy curiosas. Me contaron que una vez en Barcelona consiguió colarse en el recinto del aeropuerto, no se sabe cómo, un turista borracho que se alojaba en un cámping cercano y que extendió una toalla y se puso a tomar el sol justo donde por aquel entonces se cruzaban las dos pistas del aeropuerto. En cierta ocasión, una controladora me explicó como poco después de abrirse el servicio en cierto aeropuerto les tuvo que recordar a los bomberos, que aún no tenían experiencia, que antes de entrar en pista tenían que pedir permiso aunque no hubiera previstas salidas ni llegadas de aviones.

Pero más allá de las anécdotas, las incursiones en pista no son para tomarlas a broma. Pueden ser muy peligrosas si no hay buena visibilidad y, aunque no son comunes, su número se está incrementando, como vemos en esta gráfica obtenida de un documento de Eurocontrol, según la cual en 2012 había casi una incursión en pista por cada 100.000 vuelos. Datos del propio Eurocontrol aseguran que hay unos 26.000 vuelos al día en Europa lo que daría más o menos un incidente de este tipo cada 4 días.

runway incursionAlgunas estadísticas americanas eran más preocupantes y daban una media de una incursión en pista diaria. El fenómeno es lo bastante significativo como para que haya importantes programas para estudiar el problema y reducir su incidencia. Como siempre, es importante estudiar los incidentes que se produzcan, y por eso habrá una investigación sobre el de la semana pasada.

Volviendo a ese incidente, nos faltan demasiados datos como para tener una idea de qué pasó exactamente. El vídeo da una pista, pero nada más. Si volvemos a leer artículos anteriores de este blog como El factor humano o La cultura del error recordaremos el modelo SHEL y el de Reason y la cantidad de causas que hay tras un incidente. En este caso se me ocurren varias posibilidades como causas directas o indirectas:

  • Posible error del piloto, entrando en pista sin estar autorizado.
  • Posible error del controlador, no calculando correctamente los tiempos y autorizando a entrar en pista a un avión con otro en corta final.
  • Posible malentendido en el que uno no autoriza y el otro cree que sí.
  • Posible fallo de coordinación entre controlador de rodadura y de local (uno lleva el rodaje y otro se ocupa de los movimientos que afectan a la pista).
  • Posible fallo de coordinación entre los pilotos del avión.
  • Posibles problemas en el equipo de radio que hagan más difícil la comunicación.
  • Posibles obras, cortes de calles de rodaje, cambios de configuración, etc. que hagan más difícil la maniobra y requieran mucha atención.
  • Posible desconocimiento del aeropuerto por parte de la tripulación, que haga más fácil un despiste.
  • Posible momento del relevo en la torre, que es bien conocido como típico momento en el que puede aparecer un incidente.

Todo esto y más puede haber ocurrido. No sabemos casi nada. Puede, incluso, que el controlador tuviera en cuenta a ambos aviones y estuviera convencido de que había tiempo suficiente para el cruce de pista y que el piloto  del avión que se acercaba, sin embargo, no se sintiera seguro en esa situación. En ese caso y puestos a buscar titulares ¿diríamos que el controlador, osado, pecó de exceso de confianza o que el piloto, timorato, se excedió en su prudencia?. Yo no me atrevería a decir nada hasta tener más datos, aunque creo que está claro que la actuación del piloto que decide frustrar es siempre correcta porque él es responsable de la seguridad de su avión y debe tomar la decisión de hacer motor y al aire si alberga cualquier duda. Precisamente por eso se publican los procedimientos de frustrada.

Las conclusiones de todo esto son tres: que una incursión en pista es un incidente que debe ser investigado, que es prematuro adelantar causas mientras no se publique un informe sobre los hechos y que una frustrada es un procedimiento que no tiene nada de improvisado. Y aunque en un titular quede muy épico decir que se evitó una catástrofe in extremis gracias a la genialidad de un piloto, yo, francamente, me siento mucho más seguro cuando vuelo sabiendo que hasta para los casos imprevistos hay un procedimiento preparado y que el piloto no necesita echar mano de su imaginación sino de lo que ya está establecido. La seguridad no se basa en creer que el día que surja un incidente habrá una persona extraordinariamente hábil a los mandos que sabrá cómo improvisar, sino en asegurar que esa persona es alguien perfectamente normal que ha recibido la formación y el entrenamiento adecuados para seguir unos procedimientos racionales.

 

 

 

La cultura del error

26 Jueves Sep 2013

Posted by in Cultura de seguridad

≈ 3 comentarios

Etiquetas

, , , , ,

No tenía previsto volver sobre el tema de la cultura de seguridad, al menos tan pronto, pero esta noticia según la cual Fomento quiere poner cámaras en los trenes para vigilar la conducta de los maquinistas a raíz del desgraciado accidente de Santiago me ha resultado tan chocante que no puedo evitar regresar a este asunto.

Habíamos visto ya en artículos anteriores que el diseño de sistemas debe hacer imposible, al menos en teoría, la existencia de un componente cuyo fallo por sí solo acarree la caída del sistema completo (lo conté aquí) y también vimos por encima (en un artículo que se puede leer aquí) los modelos SHEL y de Reason y el concepto de Cultura Justa. Vimos que, según el modelo de Reason, un accidente se explica por uno o más fallos activos que se unen a varios fallos latentes que han debilitado previamente el sistema. Estos fallos latentes, achacables a la organización, deben corregirse para evitar las consecuencias de un fallo activo, imposible de evitar por completo.

Recordemos que comenté que al alcanzar la aviación la madurez técnica empiezan a achacarse los accidentes sistemáticamente al fallo humano. Al no existir un fallo mecánico evidente, los investigadores buscan acciones u omisiones del personal que opera el sistema. Se llega así hasta el descubrimiento de fallos activos, pero no se avanza hasta llegar a los fallos latentes. La consecuencia es una cultura que tiende a achacar culpas y asignar castigos.

El problema es que este enfoque consigue identificar qué ha ocurrido, quién ha actuado o dejado de actuar de una manera determinada y cuándo ha sucedido cada hecho. Y sin embargo queda sin saberse el cómo y el por qué ha ocurrido el accidente. Al no profundizar la investigación hasta identificar los fallos latentes, las condiciones que hicieron posible el accidente siguen presentes a la espera de un nuevo fallo activo similar que haga posible la repetición. El modelo de Reason y la Cultura Justa surgen para llenar este hueco.

Vamos a insertar un ejemplo, pero esta vez no lo inventaré yo, sino que se lo tomaré prestado nada menos que a OACI, la Organización de Aviación Civil Internacional, que naturalmente conoce perfectamente todos los conceptos esbozados y se refiere a ellos en  su documento 9859 (Safety Management Manual o Manual de Gestión de la Seguridad). El ejemplo supone la existencia de una ventana en cuyo alféizar colocamos una maceta. Existe la posibilidad de que al asomarse alguien a la ventana empuje accidentalmente la maceta, provocando su caída con consecuencias más o menos graves dependiendo del piso en el que estemos situados y de que alguien esté o no pasando por debajo de la ventana justo en el momento de la caída. (Nota: el ejemplo está tomado de la segunda edición, publicada en 2009, del documento 9859, edición que estaba en vigor en el momento de escribir el artículo. Las ediciones posteriores, empezando por la tercera, de 2013, eliminaron este ejemplo).

Un enfoque tradicional investigaría el accidente partiendo de la responsabilidad de la persona que se asomó descuidadamente a la ventana y resolvería el problema con una multa y, a lo sumo, un recordatorio a los ocupantes del edificio de la necesidad de ser cuidadosos al asomarse, o simplemente prohibiendo tal acción. Sin embargo un enfoque atento a los factores de organización podría dar las siguientes recomendaciones:

  • Colocar un tope al final del alféizar para detener la maceta en caso de que se la empuje accidentalmente.
  • Colocar una red bajo la ventana para detener la maceta en su caída.
  • Colocar un toldo a la altura del primer piso para detener la maceta en su caída.
  • Ampliar el ancho del alféizar.
  • Desviar el paso de peatones bajo las ventanas, construyendo por ejemplo un jardincito justo debajo de ellas.
  • En un caso extremo, tapiar las ventanas.

Con cualquiera de estas medidas se tiene en cuenta el hecho de que el ser humano tiende a cometer errores, sólo que así conseguimos que no sean irreparables. Aunque ahora alguien, en un descuido, empuje la maceta, las consecuencias ya no serán catastróficas. Al suprimir errores latentes, el error activo pierde su capacidad de desencadenar el accidente.

Lo curioso del documento 9859 de OACI, al que aludí antes, es que cuando habla del modelo según el cual el problema de la maceta llevaría a multas y recordatorios de la necesidad de tener cuidado, se refiere al “enfoque tradicional” al que menciona siempre en pasado, nunca en presente, puesto que lo considera como algo ya superado. Esto es natural, ya que permanecer anclado en una mentalidad que se centra en el llamado “error humano”, sin profundizar más allá deja sin resolver el problema de fondo: cómo crear las condiciones para que el accidente no se produzca.

El recuerdo de este documento y de este ejemplo tan sencillo es lo que me hizo pensar en escribir este artículo cuando leí la noticia que mencioné al inicio. El responsabilizar exclusivamente a una persona de un accidente y pretender que la solución es que no se cometan errores instaurando una cultura punitiva y un sistema policial es algo que debería estar ya superado. Por eso escribo este artículo y por eso escribí los dos anteriores: porque, a pesar del escaso número de lectores de este blog, es preciso esforzarse en divulgar esta cultura de seguridad con el fin de que algo tan importante como los servicios de transporte público no basen sus sistemas de seguridad en una cultura que los principales expertos en la materian consideran que quedó obsoleta hace cuarenta años.

El factor humano

11 Domingo Ago 2013

Posted by in Aviación, Cultura de seguridad, Técnica

≈ 5 comentarios

Etiquetas

, , , , , , ,

Al final de mi anterior artículo prometí escribir algo sobre modelos de seguridad y el concepto de Cultura Justa. Como lo prometido es deuda, en esta ocasión repasaremos la evolución de la idea de seguridad ante los accidentes en el mundo de la aviación. Gran parte de lo tratado en este nuevo artículo será fácilmente extrapolable a otros ámbitos en los que tengamos un sistema que haya que proteger contra accidentes potencialmente catastróficos.

Consideremos en primer lugar los inicios de la aviación. Era un campo totalmente nuevo y, por tanto, experimental. Los accidentes eran frecuentes por cualquier causa: motores poco fiables, escasa resistencia de los materiales, desconocimiento de fenómenos que hoy consideramos elementales, etc. Volar era tan arriesgado que los primeros aviadores eran considerados héroes. La única forma de prevenir accidentes era investigar los que ya habían ocurrido e intentar corregir los errores. Gradualmente se fueron consiguiendo mejores materiales, motores más fiables, aparecieron nuevos y mejores equipos, mejoró el conocimiento de la meteorología… y volar se fue convirtiendo en una actividad menos arriesgada.

Al terminar la Segunda Guerra Mundial el progreso técnico era tal que podemos considerar que la aviación estaba alcanzando su madurez. Hacia 1950 se puede hablar de una industria segura y enormemente regulada en todos sus aspectos. Se desarrolla la idea de que el cumplimiento de la infinidad de normas existentes garantiza la seguridad, mientras que desviarse de ellas lleva al desastre. Ya no es fácil encontrar fallos técnicos evidentes y los accidentes se achacan al fallo humano asociado al incumplimiento de la normativa. Se desarrolla así una cultura centrada en las ideas de culpa y castigo mientras se pasa de la era del fallo técnico a la del fallo humano.

Es una cultura tranquilizadora puesto que el error humano es una explicación simple y basta con recomendar mayores precauciones para recuperar la sensación de seguridad. Pero la aviación es cada vez más complicada, y conforme pasa el tiempo más aún: ya no hay sólo unos pocos aviones, sino que hay todo un entramado de aeronaves, sistemas de comunicaciones, de navegación, de vigilancia, control aéreo, control de afluencia… es un sistema complejo en el que hay una parte, el ser humano, de la que se espera que supla las carencias de todos los demás componentes mientras se le achacan todos los errores. Es a partir de los años 70 cuando se desarrolla un modelo en el que se trata de sistematizar todos los componentes. Se trata del modelo SHEL, a veces conocido como SHELL. Tiene 4 componentes:

  • S: Software. Es la parte inmaterial formada por procedimientos, documentación, reglas, etc. Digamos que es el conocimiento.
  • H: Hardware. Es la parte material pura y dura. La máquina.
  • E: Environment. Es el ambiente entendido como condiciones de luz, ruido, condiciones sociales, económicas, etc.
  • L: Liveware. Es el ser humano responsable de operar el sistema.

Lo novedoso es que más que diseccionar los componentes del sistema en su conjunto se presta atención a las relaciones entre componentes poniendo al ser humano (L) en el centro y analizando su interacción con el resto de las partes (S, H, E). Como además los seres humanos interaccionan entre sí se añade una segunda L al modelo. Gráficamente:

Fundam10Imagen tomada de Atlasaviation.com. Click para visitar la página original.

En los años 90 se empieza a abandonar el modelo del fallo humano y se empieza a considerar el fallo organizacional. El principal responsable es James Reason y su célebre modelo de múltiples capas de seguridad. Lo novedoso es que no busca fallos puntuales, que por sí solos no explican el accidente, sino que afirma que cada capa tiene sus propios fallos latentes, consecuencia de decisiones tomadas en los niveles más altos de la organización. Los fallos activos son consecuencia de errores o de desviaciones de las normas y se producen habitualmente sin que den lugar a mayores problemas. Sin embargo si estos fallos activos se alinean con otros fallos latentes puede ocurrir que el accidente consiga abrirse paso por todas las capas de seguridad que protegen el sistema. El operador del sistema (la L del modelo SHEL) hereda esas condiciones en forma de diseños erróneos, averías en los equipos, objetivos de productividad y seguridad contrapuestos, etc.

x9656s01Imagen tomada del blog An Eye in the Sky. Click para visitarlo.

La consecuencia es que el error es algo natural en el sistema y no puede ser eliminado por completo. Se trata de intentar crear las condiciones para neutralizarlo. Dado que los errores normalmente se producen sin dar lugar al accidente es posible detectarlos con antelación, puesto que lo normal es que el error que resultó ser catastrófico haya tenido lugar en cientos de ocasiones sin que se le pusiera remedio y sólo a posteriori se reconoce su importancia con la manida frase “se veía venir”. Para detectar los fallos a tiempo se desarrollan sistemas de notificación de incidentes, pero para que sean eficaces es preciso que quienes hacen funcionar el sistema reconozcan sus propios errores y eso, en una cultura de culpa y castigo, es imposible puesto que quien comete una equivocación prefiere ocultarla a incriminarse.

Por eso se está intentado implantar el concepto de Just Culture, que se traduce como Cultura Justa o Cultura de Equidad y que consiste en que el operador del sistema no pueda ser sancionado por acciones, omisiones o decisiones tomadas conforme a su experiencia y formación, sin que sean tolerables los actos negligentes o intencionadamente destructivos. En otras palabras: se reconoce el derecho al error honesto.

Pongamos un ejemplo imaginario, pero que podría ser perfectamente real. Tenemos dos vuelos de una misma aerolínea, a los que llamaremos Gelves7665 y Gelves7265. El primero está sobrevolando Zaragoza con destino Madrid y el segundo tiene destino Bilbao y está a la altura de Huesca. Ambos vuelan a 35.000 pies de altitud, no son conflicto entre ellos y están en contacto con el mismo controlador. Éste observa que el descenso del Gelves7665 es problemático porque hay varios aviones en ruta hacia Barcelona que se interponen a distintos niveles: 34.000, 32.000 y 30.000 pies. Por su parte el Gelves7265 sólo tiene un obstáculo, que es un avión en rumbo opuesto a 32.000 pies.

Nuestro controlador decide que el Gelves7265 aún no necesita iniciar el descenso. Está bastante lejos de Bilbao y tiene tiempo de esperar hasta haberse cruzado con el avión que le pasará por debajo. Sin embargo el Gelves7665 debería empezar a bajar cuanto antes para que tenga tiempo de descender lo suficiente como para pasar por debajo de los otros tres aviones, ya que de no hacerlo así el avión llegará muy alto a las cercanías de Madrid. Es un problema sencillo y sólo falta dar las órdenes correspondientes. El procedimiento es que el controlador da la orden y el piloto responde repitiéndola, para que así el controlador compruebe que se ha recibido correctamente. En principio se ordenará el descenso a 25.000 pies. El diálogo sería:

-Controlador: Gelves siete seis seis cinco, descienda a nivel de vuelo 2-5-0.

-Piloto: Descendemos a nivel de vuelo 2-5-0, Gelves siete dos seis cinco.

Y ya tenemos el error: ha respondido el piloto equivocado. Si el controlador no se da cuenta y no lo corrige inmediatamente tendremos al avión que va a Bilbao descendiendo directamente hacia el avión que viene de frente, mientras que el avión que va a Madrid seguirá volando a la misma altitud que llevaba. Nuestro controlador, que quiere estar seguro de que el Gelves7665 desciende cuanto antes, observa el radar concentrándose en el avión que le interesa y por eso, mientras se pregunta por qué el piloto no empieza a bajar ya y empieza a pensar en repetir la orden, no se da cuenta de que en otro punto de la pantalla se está gestando un incidente grave o algo peor.

Veamos posibles puntos de conflicto según el modelo SHELL, analizando unas interacciones imaginarias, pero verosímiles:

  • L-H: Los altavoces de la posición de control no funcionan demasiado bien y eso contribuye a la confusión de indicativos similares.
  • L-S: Hay un equipo de reserva que se oye mejor, pero al controlador no le ha llegado la información de que ya está disponible.
  • L-E: En la sala de control hay ruido porque han entrado de visita los alumnos de un colegio. Además el controlador está preocupado porque su hijo pequeño está enfermo y como además el niño no ha dejado de llorar en toda la noche, tenemos el efecto de fatiga por no haber dormido bien.
  • L-L: El controlador que debe hacer el papel de ayudante tuvo hace unos días un altercado con nuestro protagonista y por eso le molesta formar equipo con él y está más ocupado rumiando su disgusto que prestando atención a la situación, que por otra parte, no parecía difícil de resolver.

Desde el punto de vista de Reason tenemos varios fallos latentes (indicativos de llamada similares, un equipo que no funciona correctamente, error en la transmisión de información referente al equipo de reserva) unidos a fallos activos (error del piloto que creyó que la transmisión de la orden era para él, error del controlador que no detectó el fallo anterior). Los fallos activos son difíciles de evitar, pero los fallos latentes pueden corregirse: se podría haber corregido el problema del altavoz, se puede mejorar la distribución de información interna de la empresa y se puede informar a la compañía aérea de que mantienen dos indicativos de llamada parecidos en rutas cercanas y pueden dar lugar a confusión. En referencia al último punto existe un programa de Eurocontrol para detectar y corregir este tipo de situaciones; si alguien quiere información sobre él puede visitar esta página.

¿Dónde entra aquí la Cultura Justa de la que hablábamos antes? En un entorno en el que esté implantada todos los implicados harán un informe del incidente para intentar que se tomen las medidas adecuadas, pero en un entorno punitivo posiblemente ocultarán el incidente: el controlador para que no le sancionen por no detectar la respuesta incorrecta, el piloto que se confundió para que no le amonesten por creer que le llamaban a él y el piloto al que estaba destinada la orden para que nadie le eche en cara el no haberse dado cuenta de que le llamaban a él y respondía otro. En un ambiente así, si el incidente llega a conocerse los protagonistas se intentarán echar la culpa unos a otros. Si no llega a conocerse, los aviones de indicativos similares seguirán volando y los fallos latentes seguirán agazapados, al acecho, esperando el momento en que aparezca un fallo activo que se una a ellos y les permita abrir paso al accidente, que atravesará con limpieza todas las capas de seguridad del sistema.

Nota: Para no alargar el artículo he renunciado a poner un ejemplo real, pero creo que puede ser muy instructivo releer mi artículo sobre el terrible accidente de Überlingen considerando los fallos desde el punto de vista del modelo SHEL y del modelo de Reason.