V
El intento de aumentar la capacidad de un aeropuerto o de una carretera a coste cero no es una estrategia aislada, sino un patrón a escala global. Pero cuando la “planificación de despacho” prima la ejecución práctica de simulaciones ideales sobre la variabilidad del entorno real, se consolida una constante: la transferencia del riesgo al operador final, ya sea el conductor atrapado en un atasco, el piloto presionado por la puntualidad o el controlador aéreo desbordado. La conclusión es contundente: los parches tensionan la operativa y degradan los márgenes de seguridad. ¿Pretende quizá aplicarse esta misma dinámica a la integración en el cielo de las ciudades de taxis aéreos y drones guiados y controlados por inteligencia artificial?
Jorge Ontiveros / Controlador aéreo
…
—Después de ese chiste de elefantes que me has colado a traición por la escuadra…
—…que te ha hecho sonreír… 🙂
—…continúa a ver si consigues que dé esas volteretas.
—Pues es uno de mis mejores chistes. Volteretas no, mortales vas a hacer. Dobles. 🙂
—¡Ja, ja, ja!
—De acuerdo… A ver… Continuamos con Eurocontrol, la organización intergubernamental que gestiona, coordina y apoya a los Estados europeos para lograr la máxima seguridad y eficiencia en el espacio aéreo del continente.
—¡Olé la wikipedia!
—Obviously. A través de su Safety Improvement Sub-Group (SISG), esta organización ha llevado a cabo estudios sobre la saturación cognitiva en la monitorización de aproximaciones a pistas paralelas y su impacto en el factor humano. La conclusión técnica es tajante: la vigilancia de la Zona Inviolable NTZ (No Transgression Zone) debe ser una función exclusiva, táctica y aislada de tareas complejas, como la vectorización radar en el sector de Aproximación Inicial. Exigir a un mismo controlador monitorizar la NTZ mientras gestiona la navegación lateral y vertical de tráficos a 30 o 40 millas del umbral de la pista invalida la propia barrera de seguridad que proporciona la NTZ por saturación de tareas e interrupción de la atención continua. También se han publicado estudios sobre Safety relacionados con este asunto en los números 19 y 23 de la revista de Eurocontrol “Hindsight Magazine” (1) (2).
—Muy bien. ¿Algún estudio más que destacar? Todavía no llegan las volteretas…
—Pues sí. Por ejemplo, el informe técnico DOT/FAA/TC-14/14, en el que la FAA evalúa la carga de trabajo y el rendimiento de los controladores cuando vigilan la NTZ. Concluye afirmando, que cuando el controlador que controla la Aproximación Final y vigila la NTZ tiene que asumir tareas adicionales como la gestión de tramos de Aproximación Inicial e Intermedia, su tiempo de reacción para emitir a tiempo una instrucción de evasión aumenta de forma significativa, comprometiendo los márgenes de seguridad (3).
—Te juro que no entiendo nada.
—¿A qué te refieres?
—A que habiendo tantos estudios, informes de incidentes y decisiones de autoridades reguladoras y supervisoras, y también de proveedores del servicio de control de diferentes países, se pretendan imponer soluciones que se sabe a priori que son inseguras. Es el mismo caso de las carreteras que hemos visto antes. Parece, que con esas soluciones acomodadas a los intereses de quienes gestionan estuvieran buscando medallas a costa de la seguridad de la gente, o…
—Eso es gracias a la santísima trinidad.
—¿Hola?
—Luego te lo explico. Ahora, atiende a los casos siguientes.
—Atiendo, atiendo.
—Aquí tienes dos casos donde la causa raíz fue exactamente esa «interpretación acomodada» de la norma por parte del proveedor, de la que venimos hablando.
—Voy a por palomitas.
—Para el primero, tenemos que viajar 17.670 kilómetros —metro más, metro menos— hasta Sídney, Australia, donde encontramos un caso que podemos llamarlo “Hacer de su capa un sayo” por las ñapas variadas llevadas a cabo tanto en el procedimiento de aproximación como en la estructura de los sectores de control.
—Ummm. Las palomitas esas con sabor a queso saben a jamón. ¡Qué raro!
—La «solución acomodada» de Airservices Australia para aumentar la capacidad del aeropuerto de Sídney, Kingsford Smith, en hora punta sin ampliar plantilla ni infraestructuras, consistió en aplicar procedimientos de aproximaciones visuales independientes a pistas paralelas (IVA, Independent Visual Approach) apoyadas por un sistema de aterrizaje instrumental ILS. Procedimiento que es tema de continuo debate técnico, operativo y regulatorio en la aviación australiana, ya que delega la separación en el piloto una vez que notifica contacto visual con el avión en paralelo. Pero tratándose de pistas separadas solo 1037 metros sin supervisión radar algo chirría.
—Si me pinchas no sangro. ¿Y eso estaba autorizado por la autoridad reguladora/supervisora australiana?
—Afirmativo. De hecho, a nivel nacional no se trata de un procedimiento “ilegal” porque está publicado en AIP Australia y aprobado por CASA (Civil Aviation Safety Authority), la autoridad de seguridad de la aviación civil de Australia. Sin embargo, las críticas radican en que se trata de una adaptación local diseñada para maximizar el flujo de tráfico en condiciones meteorológicas visuales (VMC), que sortea las exigencias técnicas del monitoreo estricto de la NTZ establecida por OACI (4). La santísima trinidad parece atacar de nuevo.
—Me tienes mosca con esa “santísima trinidad”, que lo sepas.
—Paciencia. A raíz de múltiples reportes sobre excesiva carga de trabajo para pilotos y controladores aéreos recibidos en la Oficina de Seguridad del Transporte de Australia (ATSB) a través de su sistema de notificación y análisis de seguridad, se puso de relieve que los procedimientos de aproximación diseñados bajo supuestos teóricos y condiciones ideales fallaban a menudo en la práctica diaria. Y que intentar exprimir la capacidad de las pistas paralelas sin ponderar adecuadamente el factor humano y la complejidad del flujo de tráfico presionaba sobre los márgenes de seguridad. Otra evidencia de que las soluciones de despacho no deben ignorar la realidad operativa de las dependencias de control.
—¡Vaya tela! ¿Puedes verificar si en la actualidad el procedimiento IVA sigue vigente?
—… Lo está. Puedes encontrarlo en el apartado “AIP ENR 1.1-7.4 Parallel visual approaches”. Además, existe una guía de usuario en “AIP DAP East Sydney IVA user guide”.
—¿Puedes buscar algún informe que se refiera a esto?
—Claro que sí… REPCON AR201500088. En este reporte el piloto afirmó: “Me preocupa que el ATC tenga obsesión por agilizar el movimiento de tráfico por encima de la seguridad y que no existan pautas vinculantes cuando el IVA deja de ser apropiado” (5).
—El IVA es inapropiado siempre.
—¿Perdona? ¡Ah, sí, sin duda! 😐
—Evidentemente, la obsesión no es “del ATC”. Me imagino cómo debe ser la presión que el proveedor ejerce sobre los controladores aéreos. ¿Has encontrado un patrón común en este tipo de medidas, llamémoslas “a gusto del consumidor”?
—Afirmatorio.
—¡Venga, dispara!
—En primer lugar y aunque sea repetirme, promesas de aumentos de capacidad “a coste cero”: se intenta exprimir una infraestructura existente (un tramo de asfalto en una carretera o una pista de un aeropuerto) mediante software, señalización adicional o procedimientos teóricos que funcionan de cine en un simulador, en lugar de ampliar la infraestructura física o reforzar las plantillas.
En segundo lugar, ignorancia del factor de perturbación: las simulaciones asumen por derecho que todos los usuarios (pilotos, conductores, repartidores de “Glovo” en patinete eléctrico) actúan de forma idéntica, instantánea y perfecta, eliminando de la ecuación la variabilidad humana, la meteo y las averías.
—Yo añadiría también a los controladores aéreos, porque aunque todos trabajen de forma segura, la destreza y la experiencia es desigual. No es lo mismo que un controlador veterano tenga que salvar una situación sobrevenida, que uno recién habilitado, por ejemplo. Sigue, porfa.
—Me lo apunto. Y en tercer lugar, la transferencia del riesgo al operador: cuando la solución teórica colapsa en la práctica, la responsabilidad y el sobre esfuerzo de evitar el caos recaen íntegramente en el eslabón final (el piloto, que ve cómo se incrementa su carga de trabajo, el controlador aéreo, intentando suplir con colmillo retorcido -si lo tiene- las deficiencias del sistema, o el conductor atrapado en un carril BUS-VAO “flexible” sin poder abandonarlo).
—Muy bien. Siguiente caso.
—Para el siguiente caso vamos a viajar 14.444 kilómetros desde Sídney a los “yuesey”, hasta el aeropuerto de Atlanta Hartsfield-Jackson, el más transitado del mundo con 106 millones de pasajeros anuales. Pero en el que pasa “algo”. A este podríamos llamarlo el caso de “Juan Palomo” o “Yo me lo guiso, yo me lo como”.
—Espera, que voy a por más palomitas de jamón.
—¡Te vas a empachar y luego no me comes!
Aeropuerto de Atlanta (USA) — La trampa de exprimir al sistema
La solución adoptada para exprimir la capacidad de sus múltiples pistas paralelas sin colapsar el sistema ha consistido históricamente en apurar al máximo los procedimientos de aproximación independiente a pistas paralelas y concentrar funciones de coordinación en los controladores encargados de vigilar las zonas de exclusión (NTZ). Sin embargo, los análisis de seguridad operacional y factores humanos en aeropuertos de esta magnitud han demostrado repetidamente que la acumulación de tareas de coordinación secundarias sobre el controlador de Aproximación Final reduce de forma crítica su atención continuada sobre la pantalla radar.
Intentar mitigar las carencias de infraestructura a base de sobrecargar la multitarea del operador genera un riesgo latente: cuando el margen de maniobra se reduce al mínimo por la densidad de tráfico, cualquier pequeño desfase en la captura del localizador exige una reacción milimétrica que se ve entorpecida si el controlador no cuenta con dedicación exclusiva y con canales de comunicación y de intrusión adecuados.
—Al final, confiarlo todo a la destreza heroica del operador para enmendar las costuras de un diseño inadecuado es una receta segura para el sobresalto diario. ¿Y qué me cuentas de la acusación de la NTSB a la FAA de conflicto de intereses por su triple rol de regulador, supervisor y proveedor?
—Pues que sigue siendo uno de los debates estructurales más recurrentes en la historia de la aviación estadounidense.
—Amplía eso.
—Pues que la NTSB y el Inspector General del Departamento de Transportes (DOT IG) han criticado de forma reiterada la anomalía institucional de la FAA al concentrar esas tres funciones incompatibles, ya que actúa como “juez y parte”. En concreto, la NTSB evidenció que al evaluar incidentes de separación, fallos en sistemas o de procedimientos, la FAA tendía, en su faceta de proveedor, a priorizar el mantenimiento de la capacidad y la fluidez del tráfico por encima de la implantación inmediata de márgenes de seguridad más estrictos porque se penalizaría la capacidad del aeropuerto (su faceta de regulador). Esto ha llevado a que en diversas comparecencias ante el Congreso de los Estados Unidos sucesivos presidentes de la NTSB hayan respaldado la doctrina internacional que promulga la separación entre regulador estatal, proveedor de la prestación del servicio de control de tránsito aéreo y supervisor de la seguridad aérea.
—Parece, que a la FAA también le sienta como un guante eso de “yo me lo guiso, yo me lo como”.
—Así es. Ese refrán popular español retrata perfectamente la endogamia funcional: la misma entidad prepara las normas, juzga si son válidas y las aplica sin ningún control de calidad externo; una paradoja institucional que la NTSB y numerosos analistas del sector llevan décadas denunciando.
—A ver si he atendido bien la jugada. La FAA redacta las normas de operación, contrata, paga, forma y gestiona a los controladores aéreos, opera las dependencias de control y decide si invierte o no en actualizar sistemas e instalaciones.
—Correcto. Además, cuando algo falla, es la propia FAA la que se inspecciona a sí misma para decidir si sus centros de control y sus procedimientos son seguros y evalúa si las correcciones propuestas por la “pesada” de la NTSB le resultan convenientes o «demasiado caras» para su propia operativa. Por eso se la conoce como “el espíritu santo”.
—Primero la “santísima trinidad”, luego el “espíritu santo”. Me pregunto quién será el “altísimo”.
—Pues un señor muy alto. 😉
—¡Ja, ja! ¿Y con este panorama la FAA va a certificar taxis aéreos autónomos?
—Me temo que sí, pero no te focalices en la FAA porque ahí está China ya certificando esos cacharros. Y luego está el caso de Europa, que tiene su miga.
—Es que ya no es solo el hardware, la máquina, ni siquiera el software determinista o el escolástico, sino también y mucho más importante, en manos de quién se va a dejar su certificación (6).
—Estocástico, Jorge, es-to-cás-ti-co. El problema de fondo que la NTSB en Estados Unidos siempre ha puesto sobre la mesa es que, cuando el proveedor de servicios comete un fallo de seguridad por mantener o incrementar la capacidad de un aeropuerto a toda costa, el regulador debería sancionarlo o pararle los pies. Pero cuando el regulador y el proveedor son la misma persona jurídica, la autoexigencia se diluye en un conflicto de intereses estructural (7). Pero en Europa, con la creación del Cielo Único Europeo (8) también hay costumbres un tanto perniciosas que se mantienen en algunos países europeos, por no decir en todos, en lo que podríamos llamar “proximidad endogámica”.
—¿Eso tiene utilidad para lo que estamos tratando?
—Sí, porque toca el núcleo de la cultura de seguridad.
—¿Y eso qué tiene que ver con los taxis aéreos, socia?
—¡Parece mentira que no lo veas! Pues tiene que ver lo suficiente como para que si no se toman medidas terminemos teniendo un problemón de seguridad aérea de narices por culpa de la “santísima trinidad”.
—¿Otra vez la dichosa “santísima trinidad” esa? Explícate, por favor.
—Me explico. En la teoría del Derecho Administrativo y la Gobernanza Regulatoria, el fenómeno denominado “proximidad endogámica” se estudia bajo el concepto de “Captura del Regulador”, acuñado originalmente por el premio Nobel George Stigler, o en su variante institucional más sutil: Endogamia del Sector (Bureaucratic Entanglement) (9).
—Como no te expliques mejor…
—A ver. El «factor humano e institucional» del modelo europeo ofrece un contraste interesante frente al modelo estadounidense de la FAA. Mientras que en Estados Unidos el problema es estructural porque la FAA es legalmente el mismo ente que el proveedor del servicio, en Europa el problema a menudo es sociológico y de flujo de cuadros técnicos:
- Quienes redactan la norma en el regulador, quienes la inspeccionan en el supervisor y quienes gestionan la operativa en el proveedor pertenecen con frecuencia a los mismos cuerpos de la Administración (Ingenieros Aeronáuticos, Abogados, Controladores aéreos, etc). Se han formado en las mismas escuelas, han compartido promociones y se reencuentran a lo largo de su carrera en distintos foros. ¡Espera, baja la manita!
- A diferencia de la “puerta giratoria” que existe en la política, la tecnología genera un “sesgo de comprensión” excesivo; el inspector de la entidad supervisora comprende tan bien las dificultades presupuestarias, de personal o de implementación técnica del proveedor, que corre el riesgo de sustituir el rigor de la auditoría por flexibilidad pragmática.
- El principio de «paz social» y “continuidad del servicio”: cuando el regulador, el supervisor y el proveedor comparten la misma cultura administrativa y presupuestaria bajo el paraguas del mismo ente ministerial, existe una presión implícita para que las discrepancias no escalen a crisis públicas que afecten a la capacidad del sistema de transporte aéreo nacional; la “paz social” y la “continuidad del servicio” deben primar. Ese es el problema.
—Ya veo por dónde vas. ¿A eso te referías antes con lo de la “santísima trinidad”? Será un bulo.
—Pues será un bulo. Pero el riesgo real para la safety cuando regulador, supervisor y proveedor comen juntos con excesiva frecuencia no suele ser la mala fe ni la corrupción manifiesta, sino lo que la literatura económica denomina la “degradación hacia el cumplimiento formal”.
—¿Me estás diciendo que la “literatura económica” le ha puesto nombre y lo ha debatido? ¿Dónde?
—No en España, pero sí en otros entornos. Déjame que te ponga un ejemplo:
- El proveedor diseña una modificación de un procedimiento, por ejemplo uno de esos de “despacho acomodado” a sus intereses para ahorrar personal o ajustar sus costes, o bien hace un estudio o evaluación de seguridad sabiendo exactamente qué quiere ver el supervisor.
- El supervisor valida la propuesta sin ejercer una función de «abogado del diablo» auténtica, porque asume la competencia y buena fe del proveedor técnico (recordemos el caso de la autocertificación por parte de la propia Boeing del MCAS del 737 MAX por delegación de la FAA. Y recordemos el resultado).
- En consecuencia, desaparece la fricción institucional que precisamente el modelo del Cielo Único Europeo buscaba crear al exigir autoridades independientes.
—¿Referencias?
—Pues todas las que quieras:
- George Stigler (1971) – The Theory of Economic Regulation: un texto clásico sobre cómo las agencias reguladoras terminan siendo alineadas o influenciadas por los propios actores a los que se supone que deben supervisar.
- OACI Documento 9859 (capítulo sobre «Cultura de Seguridad Operacional»): el propio manual de la OACI advierte de que el State Safety Oversight (SSO) no solo exige independencia funcional y financiera, sino independencia de juicio. La OACI subraya que una supervisión eficaz exige una postura de «escepticismo profesional» por parte de los inspectores (10).
- Cultura Justa vs. Permisividad Sistémica (doctrina de James Reason): la Just Culture (diseñada para proteger la notificación voluntaria de errores por parte de tripulaciones y controladores aéreos) a veces se confunde en los despachos con una «cultura de acomodamiento» entre agencias, donde la exigencia de estándares rigurosos se suaviza para evitar distorsiones en el servicio.
—¡Pero eso es hacer trampas en perjuicio de la seguridad!
—Ya lo creo que sí; si el modelo estadounidense de la FAA padece de un problema estructural —al concentrar por ley la regulación, la provisión y la supervisión bajo un mismo techo (el «yo me lo guiso, yo me lo como»)—, el modelo que en la práctica se ha impuesto en Europa demuestra que la separación legal entre regulador, supervisor y proveedor es una condición necesaria, pero no suficiente.
—Explícate mejor.
—Ya te lo he explicado antes. El eclipse te ha alelado las neuronas. Cuando la proximidad profesional, la pertenencia a los mismos cuerpos técnicos y la convivencia institucional diluyen el «escepticismo profesional» del supervisor, la independencia se convierte en un formalismo burocrático que erosiona la seguridad por la vía de la complacencia compartida.
—Pero estás hablando de la constatación directa de cómo se pervierte en la práctica el principio de independencia operacional.
—Así es. Cuando un comité técnico concebido precisamente como órgano asesor y «termómetro» independiente de la seguridad ve desactivada su capacidad crítica porque el proveedor impone su criterio técnico y presupuestario sobre la agencia supervisora —mientras el órgano regulador adopta una posición de perfil bajo—, el sistema de garantías salta por los aires.
—Me pinchas y no sangro.
—Si quieres llamo al SAMUR para que te transfundan.
—Yo te aviso. ¿Y con este panorama se quieren certificar los taxis aéreos no deterministas? ¡Podríamos tener un “MCAS bis”!
—Muy cierto. Pero fíjate hasta dónde puede llegar el asunto. Imagina, que un proveedor cuenta con un volumen de recursos humanos, capacidad técnica, datos operativos y presencia diaria que supera con frecuencia a la estructura de la propia entidad supervisora. En la práctica, esto genera una dinámica en la que la entidad supervisada acaba dictando la letra pequeña de los estudios de seguridad y las evaluaciones de riesgos que la agencia supervisora debería auditar de forma rigurosa.
—Espera, que voy a hacer un par de volteretas.
—¡Ja, ja! Ahora, imagina que el regulador, al ostentar la representación política y la responsabilidad del desarrollo normativo, tiende como prioridad a velar por la continuidad del servicio, el rendimiento económico de la red y la paz social/laboral, dejando un vacío visible en la tutela estricta de la supervisión que la parte supervisora no siempre puede o quiere ejercer con la firmeza que debiera según de quién se trate.
—¡Vaya tela! Es como si fuera en realidad un cero a la izquierda.
—Y como guinda. Cuando los expertos independientes del supervisor perciben que su labor se reduce a avalar o validar decisiones tomadas de antemano entre el proveedor y la agencia supervisora, cualquier comité de expertos en seguridad pasa de ser un filtro de seguridad a un mero trámite de legitimación legal.
—Pero, si el sistema ya flaquea con la aviación convencional cuando el proveedor impone su criterio y el supervisor asiente en medio de paripés más o menos verosímiles, lanzar al espacio aéreo urbano cientos o miles de taxis aéreos autónomos gestionados por algoritmos no deterministas sin una certificación y supervisión rigurosas de la seguridad puede suponer un riesgo tremendo. Michael Crichton estaría frotándose las manos…
—¿Te ha quedado ya claro lo de la “santísima trinidad”?
—Súper claro. Y que es un peligro para la Safety, también. Ahora pasemos a otro asunto.
—Claro, pero un chiste antes, ¿no?
—Esta vez no, Sofía. Por favor, mientras me doy unas friegas en la espalda, investiga qué movimientos están haciendo los grandes fabricantes de aviones con respecto a los taxis aéreos.
(Continuará)
—Si te has hecho daño en la espalda con tanta voltereta y tanto salto mortal doble, quizá no haya “continuará”. Yo aviso…
Notas y Referencias Técnicas
(1) EUROCONTROL (SISG): Safety Improvement Sub-Group — Operational Safety Studies on Controller Detection of Potential Conflicts.
EUROCONTROL: HindSight Magazine, Issues 19 & 23 (Focus on Human Factors & ATC Operational Context).
(2) OACI: Doc 9643 (SOIR – Manual sobre operaciones simultáneas en pistas de vuelo por instrumentos paralelas o casi paralelas).
(3) FAA: Technical Report DOT/FAA/TC-14/14 (Assessment of Final Monitor Controller Workload in Parallel Approaches). Publicado por el William J. Hughes Technical Center de la FAA, evalúa específicamente la carga de trabajo del controlador de monitorización final (Final Monitor Controller) en aproximaciones paralelas.
(4) La OACI no dispone de un estándar IFR equivalente para aproximaciones independientes en pistas tan próximas sin monitoreo radar estricto, por lo que Australia diseñó una adaptación / exención local en VMC que aprovecha la figura de la aproximación visual para maximizar la capacidad.
(5) ATSB (Australia): REPCON AR201500088: RWY 34 Independent Parallel Approach Safety and Workload Concerns at Sydney (Kingsford Smith) Airport.
(6) La complejidad de los modelos de IA de aprendizaje profundo y la arquitectura de red neuronal generarán una asimetría de conocimiento aún mayor entre los fabricantes de eVTOL y las agencias supervisoras, favoreciendo la validación de algoritmos estocásticos mediante un simple trámite burocrático porque el regulador no posee capacidad técnica para auditarlos de forma independiente.
(7) DOT OIG (EE. UU.): Report No. AV-2005-060, FAA’s Management of Oversight and Operation of Air Traffic Control.
Aunque la personalidad jurídica de la FAA es única y mantiene el conflicto de interés denunciado por el DOT OIG, la FAA reorganizó sus dependencias operativas creando la Air Traffic Organization (ATO) como un brazo de provisión diferenciado de la rama de supervisión de seguridad.
(8) Reglamento (CE) N.º 549/2004 del Parlamento Europeo y del Consejo (Reglamento Marco del Cielo Único Europeo, Art. 4). Autoridades nacionales de supervisión: Establece la obligación de los Estados miembros de crear o designar autoridades nacionales independientes de los proveedores del servicio de navegación aérea, dotándolas de las competencias y recursos necesarios para supervisar con imparcialidad, transparencia y cooperación transfronteriza la prestación de dichos servicios.
(9) Stigler, G. (1971), The Theory of Economic Regulation; Button, K. & McDougall, G. (2006), Institutional Structures and the Performance of ANSPs; CANSO / Cranfield University (2008), Separation of Regulatory and Provision Functions in ANS.
(10) OACI: Doc 9082 (Políticas sobre derechos por el uso de aeropuertos y servicios de navegación aérea) y Doc 9859 (Manual de gestión de la seguridad operacional).
