¿La colisión en la pista del Aeropuerto de LaGuardia evidencia que la Cultura de la seguridad ha entrado en una crisis más o menos cíclica? ¿O es que hemos pasado de aprender de los errores a preferir convivir con ellos porque los consideramos ya un daño colateral aceptable?
Jorge Ontiveros, Controlador aéreo
En julio de 2004, escribí un extenso artículo sobre el accidente de Linate —“Incursiones en pista”—, ocurrido en octubre de 2001, en el que traté de forma extensa la problemática y las soluciones tecnológicas y normativas que estaban siendo implantadas por instituciones como Eurocontrol. En el mes de julio de 2005, tres años después del accidente del Lago Constanza, escribí otro extenso artículo —“Crónica de un accidente anunciado”— en el que analizaba el Informe Oficial de la BFU, la Oficina federal alemana para la investigación de accidentes aéreos. Fue allí donde acuñé y definí el término Paradoja Überlingen.
Esta paradoja sostenía una tesis nada benévola para quienes entonces gestionaban la seguridad aérea: «Tiene que haber accidentes para que no haya accidentes». Era una forma de decir que, aunque el sistema fuera reactivo y perezoso, al menos era capaz de honrar el sacrificio de las víctimas convirtiéndolo en un motor de cambio en beneficio de la seguridad aérea mundial. Esperaba firmemente que el sacrificio de los pasajeros y tripulaciones a bordo de ambos aviones hubiera servido para que la OACI, la FAA y otras instituciones internacionales relacionadas con la seguridad de la aviación “espabilaran”. Craso error.
Hoy, más de dos décadas después de aquellos artículos, me veo obligado a visitar esa paradoja. Pero no para celebrarla, sino para certificar su defunción. Regreso a ella para anunciar que el sistema que gestiona la seguridad del transporte aéreo ha caído en un aparente estado de anestesia moral tan profundo que ya ni siquiera los accidentes todavía calientes sirven para evitar accidentes calcados.
El espejo de la desidia: de Linate a LaGuardia pasando por Lima
A finales de 2022, el mundo se sobrecogió ante las imágenes de un camión de bomberos colisionando contra un Airbus 320 de LATAM que se encontraba en plena carrera de despegue en la pista del aeropuerto Jorge Chávez de Lima (Perú). Y hace apenas dos semanas, se produjo una colisión casi calcada en la pista del aeropuerto neoyorquino de LaGuardia entre un camión de bomberos que la cruzaba y un CRJ-900 de Air Canada Express que acababa de aterrizar.
¿Cómo es posible que en una época en la que los aeropuertos cuentan con la tecnología más avanzada y con un sistema de gestión de la seguridad operacional (SMS) que, en apariencia, es el orgullo de las instituciones que gestionan la aviación internacional, se permita que un vehículo sin transpondedor circule por el área de maniobras de un aeropuerto a riesgo de que intercepte la trayectoria de un avión y colisione con él prácticamente replicando un accidente similar en otro aeropuerto? ¿No hemos aprendido nada?
Un pacto roto
Cuando escribí sobre Überlingen, concluí: «No sería justo decir que las víctimas han sido sacrificios inútiles porque gracias a ellas disfrutamos de mayor seguridad». Hoy, esas palabras me queman.
Si el sistema permite que se repliquen los mismos escenarios catastróficos; si las instituciones que dirigen la aviación —esas que gastan millones en marketing sobre «Cultura justa» y «cero accidentes»— no son capaces de implementar las lecciones que se extraen de accidentes e incidentes, entonces el pacto se ha roto. El sacrificio de las víctimas de Überlingen, de Linate y de Lima habrá sido inútil porque esas instituciones se limitan hoy a gestionar su propia crisis de imagen, a redactar informes técnicos que nadie con poder de decisión lee con verdadera voluntad de cambio, y a esperar a que las malas noticias pasen para volver a la complacencia de siempre.
Sí, la Paradoja Überlingen ha muerto porque el sistema ha perdido el interés por aprender. Ya no hay accidentes para que no haya accidentes. Ahora simplemente hay accidentes porque el sistema ha decidido que el coste de la prevención real es más alto que el coste de la indemnización ocasional.
La prioridad de la sangre y el espejismo tecnológico
En 1986, A.W. Brunetti, investigador de accidentes aéreos, acuñó el término «Ley de la prioridad de la sangre» para dejar constancia de que: “Algunas de las causas que terminan en accidentes con pérdida de vidas ya se habían reportado varias veces antes del siniestro, pero no se tomó ninguna acción. Naturalmente, en cuanto ocurría el accidente fatal se tomaban medidas más o menos eficaces”. Su tesis era tan cínica como real: en aviación, las soluciones solo se aplican cuando el coste en vidas humanas es tan alto que la presión social y política obliga a la industria a implementar cambios (la caja negra, el sistema anticolisión ACAS/TCAS o la alerta de conflicto del ATC, entre otras muchas mejoras que han hecho del avión el medio de transporte estadísticamente más seguro, son el producto de esa tesis).
Cuando escribí sobre la Paradoja Überlingen en 2005, pensé que el sacrificio de las 71 víctimas sobre el cielo alemán —y después el del controlador aéreo a manos de un familiar de las víctimas— había servido para que la gestión entendiera que no se puede jugar a la ruleta rusa con la ambigüedad normativa. Me equivocaba.
Hoy, la «Ley de la prioridad de la sangre» ha mutado en algo más perverso. Ya no se trata de que el sistema espere a que haya víctimas para actuar; lo que pasa es que el sistema ha aprendido a convivir con ellas como un efecto colateral aceptable, pero confiando en que la estadística no vuelva a golpear en el mismo sitio y deseando que el próximo le toque a otro. La estadística es terca, pero la desidia institucional lo es aún más.
La trampa de la Inteligencia Artificial
Hace unos meses analicé en este espacio de Aviación Digital el impacto que podría tener la Inteligencia Artificial en la aviación —“La gestión del cielo va a cambiar, pero ¿cómo? La IA responde”—. Y a la vista de lo que acaba de suceder en LaGuardia llego a una conclusión inquietante: si la IA se implanta, nada cambiará.
Observo alarmado que se está vendiendo la Automatización Avanzada como la panacea que resolverá la Paradoja Überlingen. Pero se está olvidando que lo que ocurrió en julio de 2002 fue precisamente un conflicto entre la máquina (TCAS) y el humano (ATC) debido a una normativa imprecisa y ambigua. Eso significa que si se integra la Inteligencia Artificial en los sistemas de control aéreo y en las cabinas de los aviones sin una reforma profunda de la Cultura de seguridad, se estará añadiendo una loncha más de complejidad al «queso suizo» ya sobrecargado de James Reason. Se estarán creando nuevas formas de generar víctimas porque no se habrá resuelto el problema de fondo: la responsabilidad.
Porque aunque a veces lo parezca, la IA no tiene conciencia. La IA no puede sentir el peso de la responsabilidad que sienten un controlador aéreo o un piloto en momentos complicados. Si se delega la gestión del cielo en algoritmos sin haber aprendido antes de las lecciones de Linate, Lima, LaGuardia o Überlingen, no se estará avanzando, sino camuflando la incapacidad del sistema para garantizar la seguridad de los usuarios. Por eso es buen momento para volver a llamar la atención sobre el hecho de que la tecnología debe servir para ayudar al humano, no para sustituir la vigilancia ética por una eficiencia fría que, cuando falle, todas las miradas apuntarán al operador humano. A nadie más.
¿Para qué sirven los informes?
En 2005 dije que el informe del accidente de Überlingen debería ser material de lectura obligada para quien desarrolle su actividad profesional en la aviación: pilotos, controladores aéreos y gestores. Pero me temo que, dos décadas después, la realidad es que los informes de accidentes terminan en estanterías cogiendo polvo, mientras los «expertos» de las instituciones responsables de la Safety se reúnen en simposios para hablar de «Safe Skies» y «Seamless ATM».
Eso es una falta de respeto absoluta hacia los que ya no están. Si el informe de Lima no ha provocado un cambio radical e inmediato en cada aeropuerto del planeta para asegurar que ni un solo vehículo más pise una pista activa sin un bloqueo tecnológico y normativo que la haga infranqueable, entonces esos informes son papel mojado porque, resulta evidente, no han sido leídos por las nuevas generaciones. Por eso los profesionales de uno y otro lado de “la frecuencia” terminamos siendo, sin percibirlo, cómplices involuntarios de ello al aceptar que la seguridad es algo que se gestiona desde los despachos en lugar de algo que se «garantiza».
El peso del «pesado» y la seguridad de papel
Hay un fenómeno invisible que explica porqué el sistema ha dejado de aprender: la estigmatización del profesional comprometido. En aviación hay sistemas de reporte de incidentes (SMS, ASRS, EVAIR, etc.) diseñados, en teoría, para alimentar la seguridad proactiva. Pero la realidad nos dice otra cosa.
Cuando un controlador aéreo o un piloto insiste en reportar una deficiencia persistente, una ambigüedad en las normas o en un procedimiento, o un riesgo detectado, el sistema activa un mecanismo psicológico de defensa. El gestor, ese que debe «garantizar» la seguridad pero que solo se limita a «gestionarla» como si fuera un inventario de almacén, termina etiquetando al informador: «Ya está el pesado de turno diciéndonos cómo tenemos que hacer nuestro trabajo».
Así que, por un lado, está una minoría de «pesados» que, por puro sentido del deber, no se cansan de señalar que el rey está desnudo. Y por otro, está una mayoría silenciosa que por temor a molestar o por simple desánimo al ver que sus informes terminan en el último cajón de la mesa de un burócrata, decide no informar o dejar de hacerlo. El resultado es un silencio estadístico que los gestores interpretan erróneamente como seguridad. “Si no hay informes, no hay problemas; si no hay problemas, entonces estamos gestionando bien”.
Esa forma de ver el asunto solo sirve para que la gestión se escude en la falacia de un silogismo tan cómodo como peligroso: “Si el sistema es seguro, no hay accidentes; como hoy no ha habido accidentes, el sistema es seguro”. Una trampa lógica que confunde la ausencia de sucesos de seguridad críticos con la presencia de seguridad. Esto lleva a que mientras el “responsable” contempla satisfecho su estadística vacía porque hoy no ha habido una incidencia grave, los agujeros del queso de Reason persisten en su macabro juego de alinearse… y a que mientras los profesionales de la frecuencia sigan siendo el último filtro de errores organizativos al evitar que se arañe la pintura de los aviones, el gestor revalidará su falacia.
Pero la cruda realidad seguirá siendo la que es: el sistema no es seguro por su diseño, sino por la vigilancia ética de quienes se niegan a que la estadística sustituya a la prevención. Ese silencio es solo el preludio del próximo problema. En Linate, en Überlingen y en Lima, había voces que avisaron. Había «pesados» que advirtieron de que los procedimientos eran peligrosos, que el queso de Reason tenía ya demasiados agujeros. No se les escuchó porque molestaban. Y entonces llegó LaGuardia.
Resulta desolador comprobar que esta deriva ya era previsible. En 1996, en un trabajo de investigación titulado “El control aéreo y la seguridad en vuelo”, recogí el siguiente texto de Richard Profit, que fuera Director de Seguridad de la CAA británica, extraído de su libro “Gestión sistemática de la seguridad en los servicios de tránsito aéreo”: “…los accidentes y la mayoría de los incidentes son indicadores fiables de la existencia de fallos en los escalones de gestión. Aunque cada individuo debe hacerse responsable de sus propias acciones, la seguridad no es un tema individual. Sólo los gestores disponen de la autoridad necesaria para corregir aquellas deficiencias que una investigación puede considerar que pudieran haber sido corregidas mucho antes de que ocurriera el accidente que las saca a la luz”. Y continuaba yo: «Al respecto, en el Manual de Prevención de Accidentes de la OACI (Documento 9422), en su punto 3.3.1, se dice: “La seguridad, y por consiguiente la prevención de accidentes en cualquier organización, incumbe en último término a la dirección, ya que sólo ella controla la asignación de recursos”.
En definitiva, seamos claros, tres décadas después de Richard Profit y cuatro décadas después de Brunetti, la gestión de la seguridad de las organizaciones tiende todavía a no estar preocupada por garantizar la Safety, sino por garantizar que, llegado el caso, exista un papel firmado que diga que «se cumplió con el procedimiento» o que «se impartió la formación recomendada”. Poco importa su calidad. Es el triunfo de la seguridad jurídica sobre la seguridad operativa. Un blindaje diseñado para proteger al gestor, pero que deja a la intemperie al operador. Y, por supuesto, al usuario.
Conclusión
Lo expuesto hasta aquí no es otra cosa que una excusa argumentada para hacer una llamada a la insurrección ética de los profesionales. No dejemos de ser «pesados«. Sigamos informando. Sigamos señalando las grietas del sistema. Que no nos hagan creer que somos saboteadores porque la realidad es que somos la última línea de defensa de un engranaje que a veces olvida su propósito. Ellos lo saben. Si nosotros callamos, si permitimos que se sientan cómodos en su seguridad de papel, el sistema dejará de aprender y se estará aceptando, por omisión, la próxima cita con el destino… de otros. Por eso, un sistema de gestión de la seguridad aérea que ya no protege no merece la confianza del usuario, ni el silencio de quienes han hecho del cielo su profesión.
