Sergio Aparicio Moreno, Teniente Coronel en excedencia y piloto de helicóptero, Sp.- El 16 de agosto de 2005, un helicóptero AS532 Cougar de las Fuerzas Armadas españolas se accidentó cerca de Herat, Afganistán. Fallecieron sus 17 ocupantes.
Veintiún años después, aquel accidente continúa ofreciendo enseñanzas que trascienden las circunstancias concretas en las que se produjo. Una de ellas tiene que ver con un principio fundamental de la gestión de la seguridad operacional: una medida de mitigación no puede considerarse adecuada únicamente porque reduzca el riesgo para el que fue diseñada. También debemos analizar qué nuevos riesgos introduce.
Cuando reducir un riesgo aumenta otro
Las tripulaciones desplegadas en Afganistán operaban en un escenario en el que debía contemplarse la amenaza de ataques desde tierra. Entre las medidas utilizadas para reducir la exposición de los helicópteros estaba el vuelo a elevada velocidad y muy baja altura, adaptándose al terreno.
La lógica operacional es comprensible: dificultar la adquisición y el ataque de la aeronave desde tierra. Pero aquella barrera tenía un coste…
Volar rápido y muy cerca del terreno disminuye los márgenes disponibles ante turbulencias, descendencias, obstáculos, errores de percepción o cualquier desviación de la trayectoria. El riesgo asociado a una amenaza exterior disminuye mientras aumenta la exposición a otros peligros propios de la operación aérea.
El informe del accidente no pudo determinar una causa concreta del impacto. Sí identificó, entre los factores que pudieron contribuir al mismo, el perfil de vuelo con maniobras de adaptación al terreno, las condiciones meteorológicas y orográficas y una posible maniobra agresiva a muy poca altura.
No se trata de reinterpretar retrospectivamente aquel accidente ni de simplificar sus causas. Se trata de observar algo mucho más interesante desde el punto de vista del Safety: las medidas que adoptamos para controlar un riesgo modifican el sistema y, con ello, pueden modificar también otros riesgos.
Esta idea sigue teniendo plena vigencia.
Tiempo entre vuelos y descanso efectivo
Sin pretender entrar en una operación que no es mi ámbito de especialización, estos días he conocido situaciones planteadas en relación con la lucha contra incendios que merecen, al menos, una reflexión desde la perspectiva de la seguridad operacional.
Entre dos vuelos existen numerosas tareas necesarias para preparar con seguridad la siguiente operación: documentación operacional, planificación, cálculos de peso y centrado, performance, comprobaciones y actualización de la información necesaria para el siguiente vuelo.
Todas ellas persiguen un objetivo legítimo: aumentar la conciencia situacional de la tripulación y reducir la posibilidad de cometer errores. Son, por tanto, barreras de seguridad. Pero esas tareas necesitan tiempo.
Y a ellas pueden añadirse otras circunstancias propias de una operación intensa. Por ejemplo, las esperas para repostar cuando varios medios aéreos coinciden simultáneamente en un mismo punto de carga de combustible.
El helicóptero puede llevar veinte minutos en tierra, pero eso no significa necesariamente que su tripulación lleve veinte minutos descansando.
Puede haber empleado parte de ese tiempo cumplimentando documentación, realizando cálculos y comprobaciones, coordinando la siguiente salida o esperando y atendiendo al repostaje.
Tiempo disponible no es necesariamente tiempo de descanso.
La presión que no aparece en ningún procedimiento
Añadamos además el contexto operacional: Hay un incendio activo. Otros medios están trabajando. Personal en tierra coordina la extinción. Cada minuto cuenta y existe una necesidad evidente de que los medios aéreos regresen a la operación.
Ni siquiera es necesario que alguien diga expresamente al piloto: «tienes que salir ya». La presión puede ser implícita.
Si dentro de un intervalo destinado a proporcionar recuperación deben completarse simultáneamente tareas operacionales imprescindibles, aparece un conflicto entre dos objetivos de seguridad.
Por un lado: «Debes completar correctamente todo lo necesario antes de volver a volar». Por otro: «Debes disponer de un período mínimo de recuperación entre vuelos».
Si ambas cosas no caben materialmente en el tiempo disponible, la variable más fácil de comprimir puede terminar siendo precisamente la menos visible: el descanso efectivo.
La documentación queda cumplimentada. Los cálculos están realizados. El combustible está cargado. Las comprobaciones quedan completadas.
Pero ¿cuánto tiempo ha descansado realmente la tripulación?
Tecnología para reducir carga de trabajo
Aquí la tecnología puede desempeñar un papel importante.
La implantación de Electronic Flight Bags (EFB) y la digitalización de determinados procesos permiten reducir tiempos de cumplimentación, evitar duplicidades, reutilizar información ya disponible y automatizar parte de cálculos y comprobaciones que tradicionalmente requerían mayor intervención manual.
Un EFB bien integrado no debería entenderse simplemente como la sustitución del papel por una pantalla.
Su verdadero valor desde el punto de vista de Safety aparece cuando consigue reducir carga de trabajo sin degradar la calidad de la información ni las barreras que esa documentación proporciona.
Si un cálculo de masa y centrado puede alimentarse de datos previamente introducidos, si determinada información operacional puede actualizarse automáticamente o si evitamos introducir varias veces el mismo dato en diferentes documentos, estamos manteniendo la barrera mientras reducimos su coste en tiempo y carga cognitiva. Ese tiempo recuperado tiene valor operacional. Y, en determinadas circunstancias, puede tener también valor como barrera frente a la fatiga.
No se trata de eliminar barreras
Sería un error concluir que debemos reducir controles, eliminar cálculos o cumplimentar menos documentación. La planificación, el -weight and balance- la performance y los procedimientos existen porque controlan riesgos reales.
La cuestión es otra. Cuando incorporamos una barrera al sistema deberíamos preguntarnos no solo: «¿Qué riesgo reduce?», sino también: «¿Qué carga de trabajo introduce y sobre qué otras barreras está actuando?»
Esta segunda pregunta obliga a contemplar el sistema completo.
Quizá la solución sea un EFB mejor integrado. Quizá simplificar determinados procesos cuando las variables operacionales no hayan cambiado. Quizá disponer de apoyo adicional en tierra. Quizá mejorar la organización del repostaje cuando coinciden varios medios. O quizá debamos establecer con mayor claridad qué consideramos realmente tiempo de descanso.
Las soluciones concretas corresponden a quienes conocen profundamente cada operación. Pero el principio es aplicable a todas ellas.
Del cumplimiento al riesgo real
Aquí aparece una de las diferencias entre una cultura basada exclusivamente en compliance y una verdadera cultura de Safety.
Podemos comprobar individualmente cada requisito y concluir que todos se cumplen. Sin embargo, la seguridad operacional exige observar también qué sucede cuando esos requisitos interactúan en el mundo real.
Un SMS maduro debería ser capaz de detectar esas contradicciones antes de que aparezca un incidente. Porque una mitigación también constituye un cambio en el sistema. Y todo cambio puede introducir nuevos peligros.
Veintiún años después de aquel 16 de agosto de 2005, recordar a los 17 militares españoles fallecidos también puede servir para mantener viva una de las preguntas más importantes que podemos hacernos en seguridad operacional: Cuando reducimos un riesgo, ¿qué otros riesgos estamos creando o aumentando?
