¿Máxima seguridad o máxima flexibilidad? A vueltas con los procedimientos

Mi amiga Gema Aparicio me recuerda que desde hace unas semanas no escribo mis impresiones sobre lo ocurrido en el accidente de Spanair en Barajas y es que, desgraciadamente, el árbol plantado por los interesados en las consecuencias de esta catástrofe impiden ver el bosque de lo ocurrido. 

De lo que ya es conocido por todos (incluido el procesamiento de los técnicos de mantenimiento de la aeronave) sólo querría insistir en algo que ocurre con frecuencia en el ámbito del alto riesgo: o bien se solicita a los operadores del

 sistema que cumplan a rajatabla un procedimiento (lo que no dejaría de ser una forma de boicot, de huelga de celo) o bien que "apliquen inteligentemente" el procedimiento (lo que significa que hay que "rellenar" implícitos, saber cuándo el procedimiento no es apropiado, cuándo puede resulta incluso improcedente... ). 

Cualquier profesional que conozca estos mundos hiperprocedimentados -en los que se susurra que los procedimientos se deben seguir excepto cuando no se deben seguir- ha debido enfrentarse a los dos extremos de esta lógica infernal: si se quiere ser ultra-seguro hay que ser ultra-rígido o, dicho de otro modo, la flexibilidad que requieren los sistemas de producción para ser razonablemente eficientes no es compatible con la máxima seguridad. No quiero decir con esto que para producir haya que generar inseguridad, digo que la seguridad sin fisuras, al igual que la producción sin fisuras (el famoso "cero defectos") no es eficiente. Perdonen la boutade, pero es como si, ante un paciente que moquea por un resfriado persistente, el médico de cabecera prescribiera la necesidad de un scanner del hígado y se lo realizara en ese mismo momento (ruego a los médicos que lean esto

 que me disculpen, pero imagino que un resfriado no curado puede ser una consecuencia de un sistema inmunológico debilitado que, a su vez podrías deberse a una patología mucho más severa). Los técnicos de mantenimiento de aeronaves operan con estrategias de diagnóstico acordes con el contexto, con el historial de averías, con normas recientes de licenciatarios o fabricantes, en definitiva, buscan una seguridad eficiente que permita volar con seguridad sin que ello suponga que las aeronaves no pueden despegar al mínimo fallo de sus elementos no críticos (porque pueden ser indicadores de fallo de los que sí lo son, lo que puede ser muy fácil de diagnosticar a posteriori).

La actividad humana es un espectáculo de inteligencia práctica, un permanente intento por hacer compatible un objetivo de rentabilidad personal (o empresarial) con el mínimo riesgo. Otra cosa bien distinta es que la gestión imponga criterios de rentabilidad a costa de la seguridad, pero eso es harina de otro costal. Para los que piensen que seguir el procedimiento a pies juntillas garantiza la seguridad,  les recuerdo una de las más conspicuas y a la vez enigmáticas observaciones de la comisión que estudió el accidente de la central nuclear de Three Miles Island: "el próximo accidente será por causa del cumplimiento de los procedimientos"...

Accidentes, documentación técnica y procedimientos

Son ya innumerables los datos disponibles sobre las posibles causas del accidente del que hablaba en el anterior post y del que incluso han aparecido unas escalofriantes imágenes.


Nuestra experiencia profesional nos ha dado la oportunidad de comprobar las terribles dificultades a las que tiene que hacer frente una comisión técnica de análisis de una catástrofe: el procedimiento judicial, los importantísimos intereses económicos que están en juego -de empresas, aseguradoras-, la avidez mediática, etc... En este contexto es muy difícil establecer un protocolo de análisis como el que presenta Sidney Dekker en The Field Guide to Understanding Human Error, excelente libro que publicará en latemporada 2009-2010 la editorial Modus Laborandi.
Más allá de estas consideraciones, las informaciones comienzan a ser reveladoras. Al parecer -y si ahorramos ciertos acrónimos y tecnicismos a quien lea este comentario-, el sistema de advertencia que indicaría una inadecuada configuración del avión para el despegue no funcionó. Lo que resulta más interesante desde el punto de vista de la ergonomía y de la accidentología no es el hecho de que falle una alarma crítica, sino:

1. La falta de concordancia entre el estado de accionamiento de estos dispositivos en el cockpit (en este caso Flaps y Slats) y el estado real de los mismos. La falta de concordancia (paneles/pantallas/cockpit - "realidad") en la configuración de elementos críticos del sistema es una de las mayores fuentes de error conocidas: en la industria se sabe mucho sobre indicadores de apertura o cierre de válvulas que pueden no corresponderse con la realidad, particularmente desde Three Miles Island.
   
2. La aparente falta de redundancia de un elemento de alarma tan determinante; puede que no sea eficiente duplicar el sistema de advertencia, pero sí las barreras para que un dispositivo inicie su puesta en marcha en una configuración inadecuada si ello puede conllevar consecuencias fatales.
   
3. Por último, el sistema documental de chequeo y comprobación del sistema al inicio de la operación crítica de despegue. Resulta llamativo que, sabido este posible fallo del sistema de advertencia, no fuera documentado.
   

En un mundo hiperprocedimentado y regulado como el del transporte aeronaútico nos resulta sorprendente que -conocida la posibilidad de este fallo por otros accidentes-, sólo se prescribiera una comprobación del sistema de advertencia al inicio de la jornada y no cada vez que se inicia el procedimiento de preparación para el despegue. Un fallo de este nivel de gravedad obliga, necesariamente, a una reflexión en profundidad: los procedimientos en fases críticas de puesta y marcha y parada (o de despegue y aterrizaje) son una de las barreras en profundidad fundamentales y si esta barrera cae, los operadores humanos -pilotos y técnicos de mantenimiento que han puesto toda su confianza en el procedimiento del fabricante y en sus sistemas técnicos de alarma-, por muy cualificados que estén, necesariamente son víctimas del propio sistema de seguridad que supuestamente se diseñó para protegerles y proteger a los pasajeros.
En Ergotec conocemos muy bien la problemática de la preparación, puesta a punto y actualización de la documentación procedimental, tan bien descrita por Jacques Leplat en "Les documents prescripteurs", artículo presentado en la revista electrónica Activités. Desgraciadamente, las catástrofes que tienen una causa raíz en la documentación técnica con cada vez más frecuentes.

Procedimientos y ergonomía

Los procedimientos son uno de los soportes estructurales de la actividad de trabajo, lo que los ergónomos denominamos la "tarea prescrita". No es éste el lugar para abordar los límites de los distintos tipos de prescripciones, ni su relación con la verdadera actividad de los seres humanos en situación de trabajo, la "tarea real", aunque es necesario recordar que en la relación entre lo prescrito y lo real se juegan no pocas partidas teóricas y metodológica en ciencias humanas y sociales del trabajo.
Hablaré aquí del papel del ergónomo ante el procedimiento:desde tiempo inmemorial, el procedimiento ha sido "tolerado" por éste y colocado por debajo de los soportes informales (notas, esquemas, cuadernos, "chuletas") utilizados por los operadores experimentados: se venía a decir que los soportes técnicos para la operación (manuales, procedimientos) eran elementos de control -y de castigo en ciertos casos-, que describían un ideal de funcionamiento imposible de alcanzar, ilusorio en muchos casos (como bien refleja la "huelga de celo", la expresión de esta imposible ilusión que conlleva el colapso del sistema).
Sin embargo, mi experiencia en los últimos años demuestra que un procedimiento puede ser extremadamente útil y tranquilizador para la operación y los operadores: puede ser un soporte para la adquisición de conocimiento, una guía para ciertas operaciones críticas, aportar elementos de coordinación de actividades entre miembros del equipo, ser una ayuda para el aprendizaje ante nuevas herramientas o tecnologías. Desgraciadamente los procedimientos, incluso los mejores, no son utilizables: no están adaptados a las verdaderas condiciones en las que deben ser utilizados: ¿cómo intervenir urgentemente en una instalación a la intemperie, de noche y con lluvia con un voluminoso manual mal traducido del inglés en Arial de 10 puntos? En otros casos no están actualizados o son incomprensibles: no es frecuente que quien redacta un procedimiento tenga la capacidad para estructurar de forma pedagógica, simplificar, sintetizar, que sea capaz de integrar en su preparación formal y de contenido las condiciones en las que se utilizará su procedimiento.

Procedimiento desarrollado para Repsol YPF por Ergotec

Desarrollar un procedimiento es en sí un proyecto complejo, bien descrito por Jacques Leplat en muchos de sus trabajos. Quiero terminar con algunas preguntas que debe formularse el redactor de un procedimiento, lógicamente también el ergónomo: ¿qué longitud debe tener?, ¿cómo se presentará y estructurará la información? ¿quién, cómo y dónde lo utilizará? ¿qué nivel de obligatoriedad tendrá cada componente? ¿qué mecanismos de revisión y validación tendrá el procedimiento? ¿cómo se accederá al procedimiento y en qué condiciones se aplicará? Y sobre todo, ¿cómo asegurar que los operadores confíen en el procedimiento? Son preguntas claves que no se suelen formular ni tan siquiera cuando de la calidad de un procedimiento depende la vida de la personas y la seguridad de una instalación industrial.

Ergonomía en la Estación Orbital MIR

En recuerdo de Thierry Pasdeloup, que nos dejó un día de abril de 2007.

"Los astronautas rusos son como fontaneros, lo arreglan todo, no son como los americanos", decia Thierry cuando estaba desarrollando los protocolos de entrenamiento de los cosmonautas y los procedimientos para operar el equipamiento científico embarcado en la Soyuz con rumbo a la MIR.
Thierry Pasdeloup fue el responsable del desarrollo de los microprocedimientos franco-rusos que se utilizaron en los experimentos científicos de las misiones ANTARES y Altaïr del CNES, junto con la agencia rusa NPO-Energia.
Su aportación a la historia de la ergonomía es importantísima: fue capaz de "entender" las condiciones de trabajo extremadamente rigurosas de los astronautas durante una misión y aplicar este conocimiento a aspectos claves de la actividad del astronauta. La fiabilidad, la seguridad y en definitiva el "éxito" de la misión dependían de la capacidad de los astronautas para llevar a cabo experiencias científicas en las que debían aplicar procedimientos para los cuales habían sido entrenados de forma intensiva. Sin embargo muchas de los experimentos fracasaban (con unas terribles consecuencias económicas) por la dificultad para aplicar estos complicados protocolos cientifícos -elaborados por los mismos científicos- en condiciones de falta de sueño, estrés, trastornos fisiológicos... y falta de gravedad. Thierry me mostraba con orgullo cómo habia sido capaz de transformar ("operacionalizar") los procedimientos para realizar experimentos de electroforesis en microgravedad -de decenas de páginas- en un esquema plastificado bilingüe que resultaba cómodo, fiable y útil para los astronautas; o la experiencia ILLUSIONS, que estudiaba los mecanismos nerviosos que permiten la adaptación de las funciones sensorimotrices en microgravedad:


Fue un excelente compañero y amigo, un gran profesional con el que tuve el placer de trabajar y de beber el vodka (polaco) que nos traían las tripulaciones rusas cuando venían a Toulouse. Brindábamos por la vieja MIR y nos comíamos el caviar con cucharas de sopa y rebanadas de pan de centeno.
En la portada de uno de los ejemplares del excelente resumen de su trabajo, publicado en la revista Performances Humaines & Techniques -un monográfico titulado "Los vuelos espaciales habitados"-, puedo leer su dedicatoria: "Pour Jesus, mon ibérique preféré". Le echo mucho de menos.