El queso suizo y los accidentes

Suiza es muy conocida en el mundo entero entre otras cosas por los relojes y por su delicioso queso. Suiza tienen muchos quesos diferentes (aunque en Asturias tenemos más). 

Uno de los que más me gustan es el de Gruyere, que debe su nombre precisamente al hermoso pueblecito medieval que se encuentra en el cantón francófono de Friburgo.  Situada en el centro de los prealpes friburgueses, esta región es atravesada por el corto pero increíblemente bello río Sarine, afluente del Aar (y este a su vez del Rin). 

La región da su nombre además al lago de la Gruyère. El pueblo es uno de esos sitios que merece la pena visitar, porque entre otras cosas puedes ver in situ cómo elaboran el queso. El problema si no te gusta el queso es que huele todo el pueblo que tira pa'trás!

Una pequeña digresión: si os acercáis al pueblo, merece la pena ir a tomar algo al "Giger Bar" porque es increíble. Este Bar recrea las líneas biomecánicas y los interiores de la nave de la película Alien. Todo un espectáculo gracias al genio del artista suizo H. R. Giger. El bar está situado en el museo HR Giger, en el Château St. Germain. Tomarte un café allí puede ser una experiencia perturbadora...
Más info de este artista: http://www.hrgigermuseum.com/

Pero volvamos con el queso. El famoso queso suizo siempre se representa con agujeritos. Precisamente este tipo de queso ha dado nombre a un conocido modelo de causalidad de accidentes.

El modelo del queso suizo es muy utilizado en el análisis y gestión de riesgos. Es muy conocido en aviación, pero también se aplica en otros campos, como la ingeniería y la asistencia sanitaria. El modelo vienen a comparar los sistemas humanos con varias lonchas de queso apiladas, por esta razón también se le conoce como método acumulativo o efecto acumulativo. De esta manera, un accidente sería el resultado de una combinación de factores, algunos manifiestos y algunos latentes, que coinciden de forma conjunta en espacio y tiempo.

Originalmente la idea proviene de James T. Reason, un profesor de psicología que desarrolló esta idea en la Universidad de Manchester. El profesor Reason trabajó más de 25 años intentando desmenuzar los pormenores del error humano. La propuesta ha sido muy conocida durante años y hoy en día es ya un clásico que se aplica en muchas áreas de gestión donde la acumulación de errores puede dar lugar a un accidente.

El modelo suele funcionar bien en el mundo de la aviación precisamente porque los accidentes e incidentes en este mundillo suelen ser una combinación de muchos factores. Esto también es cierto en cualquier otro campo donde intervienen muchas etapas que son esenciales para llegar a un resultado. Por  lo general, cuantas más etapas, más probabilidad de que en  alguna se produzca un fallo.

Diferencia entre Accidentes e incidentes

Un accidente de aviación es un incidente que ocurre con cualquier aeronave, ya sea en tierra o en vuelo. Un incidente de aviación es definido como un suceso en el que, distinto de un accidente, está asociada la operación de una aeronave que afecta o podría afectar a la seguridad de las operaciones.

Cuando una aeronave sufre un daño tan severo que se declara como siniestro total (cuando la reparación no es económicamente viable), o en el caso de que sea completamente destruida y se ha dado de baja en los registros, se denomina "pérdida en accidente del casco" (hull loss accident).

Significa que el evento se registra como accidente a pesar de que no existan víctimas fatales o heridos graves, como sucedería por ejemplo en un aterrizaje forzoso que resulte en un daño irreparable.

De acuerdo a la International Civil Aviation Organization, ICAO, está definido como:

Una ocurrencia asociada con la operación de una aeronave que tiene lugar durante el tiempo que cualquier persona aborda la aeronave con la intención de volar hasta que todas las personas de la misma hayan desembarcado, en la que:

1.- una persona recibe lesiones severas o letales como resultado de:

• estar en la aeronave
• contacto directo con cualquier parte de la aeronave, incluyendo partes que la misma haya podido desprender, o
• exposición directa a una ráfaga de motor jet,excepto cuando las lesiones se deban a causas naturales, auto infligidas o infligidas por otras personas, o cuando los lesionados son polizones escondidos en zonas a las que normalmente no tienen acceso los pasajeros o la tripulación, o:

2.- la aeronave presenta daños o fallas estructurales en las que:

• la tensión estructural, desempeño o características de vuelo de la aeronave se ven afectadas y comprometidas de forma adversa, y
• que normalmente requerirían una gran reparación o reemplazo del componente afectado,excepto por falla o daño de motor. Cuando el daño está restringido al motor, sus recubrimientos (carenas/capó) o accesorios: o por daño restringido a hélices, puntas de planos, antenas, ruedas, frenos, superficies de carenado (fairings), abolladuras o perforaciones en el recubrimiento de la aeronave, o:

3.- la aeronave se ha perdido o se encuentra completamente inaccesible.

El primer accidente fatal ocurrió en el Wright Modelo A en Fort Myer, Virginia, el 17 de septiembre de 1908, resultando en heridas del piloto, Orville Wright, y la muerte del pasajero, el teniente del Ejército Thomas Etholen Selfridge.

...y el triste récord de tener el mayor número de fallecidos de toda la historia de la aviación civil lo ostenta el accidente de Los Rodeos. 

¿Por qué ocurren los accidentes/incidentes?

En el modelo de queso suizo las rebanadas son las áreas potencialmente peligrosas del sistema. Un agujero es un fallo dentro de esta área. 

Se denominan dominios de fallo las áreas donde pueden ocurrir "los agujeros". Según los teóricos de este modelo (Orlandella y Reason) la mayoría de los accidentes se pueden remontar a uno o más de los cuatro dominios característicos de fallo. En el caso de la aviación estos podrían ser los que se representan en el diagrama superior. 

El modelo se puede aplicar de muchas maneras, por ejemplo, condiciones previas para actos inseguros incluyen personal de vuelo fatigado o prácticas de comunicación inadecuadas. Supervisión insegura abarca, por ejemplo, el vínculo de los pilotos sin experiencia en un vuelo nocturno en tiempo adverso conocido. Influencias organizacionales abarcan aspectos tales como la reducción de los gastos en formación de pilotos en tiempos de austeridad financiera. Etc, etc, etc.

Agujeros y cortes

En el modelo de queso suizo, las defensas de una organización contra el fallo se modelan como una serie de barreras, representadas como rebanadas de queso. Los agujeros en las rebanadas representan debilidades en partes individuales del sistema y varían continuamente en tamaño y posición a través de las cortes. El sistema produce fallos cuando un agujero en cada rebanada se alinea momentáneamente, lo que permite (en las palabras de Orlandella y Reason) "una trayectoria de oportunidad de accidente", de manera que un peligro pasa a través de los agujeros en todas las rebanadas, lo que conduce a un fallo.

Los fallos activos y latentes

El modelo del queso suizo incluye tanto fallos activos como latentes. Los fallos activos abarcan los actos inseguros que pueden estar directamente vinculados a un accidente, como por ejemplo (en el caso de los accidentes de aviación) errores del piloto. Los fallos latentes incluyen factores contributivos que pueden permanecer en estado latente durante días, semanas o meses hasta que contribuyen al accidente. Los fallos latentes abarcan los tres primeros dominios del modelo de Reason.

Un caso práctico

Existen peligros inherentes al vuelo, como por ejemplo turbulencias y tiempo meteorológico adverso.

Primera loncha. Se supone que los aviones están bien diseñados para soportar este tipo de situaciones. Un fallo en el diseño, si existe, sería el primer agujero. Nadie se da cuenta porque el fallo no se ha mostrado, es lo que se denomina un fallo latente. Quizás el avión no ha volado en condiciones extremas porque los pilotos las evitan.

La supervisión de la aeronave no detecta nada anormal en ninguna revisión (estamos en la segunda loncha del queso). Quizás se pase por alto revisar elementos susceptibles de sufrir daños o de dejar de funcionar en condiciones meteorológicas extremas, quizás no se encuentra reflejada esta acción de mantenimiento en ningún libro. Otro fallo latente del que nadie se da cuenta porque el avión no ha volado en esas condiciones.

El plan de entrenamiento de un moderno avión comercial que cuenta con protección de la envolvente de vuelo "nunca" va  a entrar en pérdida, por lo que este tipo de entrenamiento no se va a entrenar en condiciones de vuelo real (estamos en la tercera loncha).

Hoy llevamos retraso en el vuelo. El manual de operaciones dice que no debemos cruzar esa tormenta que vemos en el RADAR. Tiene mala pinta. Deberíamos de dar un rodeo. ¡Pero qué demonios! El avión aguanta y yo no quiero llegar hoy tarde como de costumbre... Los pasajeros que aguanten las turbulencias un rato y se acabó. Como vemos, la cuarta loncha es la desviación consciente de un procedimiento.

Las influencias del diseño, la organización y supervisión, las condiciones previas (falta de entrenamiento adecuado) y los actos específicos. Todos contribuyen a que se produzca el accidente. Estoy pensando en el accidente de Air France.

Por supuesto los modelos de errores como el que aquí se presenta de forma simplista son bastante más complicados en la realidad. Todo esto que aquí se comenta lleva parejo un gran "aparato" matemático muy complejo repleto de fórmulas y modelos estadísticos. Todavía recuerdo cuando tuve que estudiarlo (...y me quedó para septiembre).

Se suele decir aquello de que "es bueno aprender de los errores", pero en el vuelo lo más seguro es aprender de los errores ...de los demás.