Etiquetado: seguridad aérea

Chapecoense y 737 MAX: Pautas de accidentes previsibles

Article content

En breve llegará a las librerías un libro que vuelve sobre la tragedia del Chapecoense con una mirada profunda: Structural Failures in Aviation: Lessons Learned from the Chapecoense and 737MAX Aircraft Crashes. La obra coloca aquel desastre junto a los que ocurrieron poco después —los accidentes del Boeing 737 MAX— para trazar un patrón incómodo: cómo sistemas diseñados para evitar lo impensable pueden fallar de forma previsible.

El análisis del caso Chapecoense no nació de una curiosidad teórica. La idea surgió de Javier García Soruco, exdirector general de Aeronáutica Civil de Bolivia y colega en proyectos de la OACI. Su interés era casi inevitable: una tragedia que involucra a una aerolínea boliviana, en un sector que él supervisó desde el nivel regulatorio más alto, no permite mucha distancia emocional.

Mi reacción fue distinta. Al principio no veía qué podía aportar revisar el caso. Parecía la historia conocida: un piloto imprudente tomando decisiones desastrosas. Caso cerrado… o eso creía.

Ese supuesto se desmoronó enseguida. Al revisar publicaciones e investigaciones, incluido el informe oficial, emergió un patrón. Todos los análisis apuntaban en la misma dirección: Lamia y el comandante del vuelo. Algunos informes destacaban infracciones regulatorias sin vínculo causal con el accidente, como la ausencia de una certificación válida de inglés para sobrevolar Brasil. Los fallos señalados eran reales, sí, y aunque Lamia era un operador claramente indeseable, faltaba algo esencial: el papel de los supervisores.

El foco exclusivo en Lamia funcionaba como el truco de un mago: distracción. Se fija la atención en una mano para que nadie mire la otra. Y si ese era el caso, ¿de qué se nos estaba apartando?

Un medio boliviano, Univisión, rompió el patrón. Su investigación reveló que el vuelo siniestrado no era una excepción a las operaciones normales. Al menos ocho vuelos previos de Lamia habían despegado con combustible insuficiente para cumplir las reservas obligatorias. Este incumplimiento no era precisamente sutil: el avión simplemente no tenía autonomía para esas rutas manteniendo el mínimo requerido. Luego llegó otra sorpresa: varios de esos vuelos habían salido desde fuera de Bolivia. Con esto, la teoría de una colusión entre supervisores bolivianos y la aerolínea era, como mucho, una explicación sólo parcial. Las evidencias apuntaban, más bien, a fallos profundos de supervisión.

La narrativa dominante presentaba a Lamia como una aerolínea que nunca debió operar y que, de hecho, Venezuela había rechazado antes. Entonces, ¿quién aprobó su operación en Bolivia y por qué? ¿Y por qué la información revelada tras el accidente no estaba disponible antes?

Aquí empieza lo incómodo. ¿Había señales de colusión con el supervisor? Sí, aunque no eran lo bastante claras como para afirmarlo de manera categórica. En países más desarrollados, la reacción habitual es tomar distancia: “esas cosas pasan allá, no aquí”. Sin embargo, los dos accidentes del 737 MAX, ocurridos poco después del Chapecoense, cuentan otra historia distinta.

En el caso Chapecoense, nadie quiso mirar a los supervisores. En los del 737 MAX, la culpa se desplazó primero hacia la formación de los pilotos —otra vez, el truco del mago— mientras Boeing y la FAA ocultaban prácticas de supervisión diseñadas para proteger la posición competitiva del fabricante y la continuidad de un modelo envejecido. Cuando la verdad salió a la luz, ya no era posible actuar con contundencia: unos 400 aviones 737 MAX estaban en operación y más de 4.000 en cartera de pedidos. Dejarlos en tierra para siempre era irreal.

Conclusión: desestimar un caso por indicios de posible colusión no es una respuesta aceptable. Las víctimas merecen algo más. El accidente del Chapecoense no obedece a problemas acotados a ciertas regiones o a operadores marginales y el caso 737 MAX, implicando nada menos que a uno de los dos mayores fabricantes mundiales y al regulador de Estados Unidos, lo deja claro: Las prácticas de supervisión requieren un escrutinio mucho más profundo.

Tras el accidente del Chapecoense surgió información que nunca estuvo oculta, pero que, simplemente, nadie había visto. ¿Por qué? No puede asumirse por defecto negligencia o incompetencia. A veces hay demasiados lugares donde buscar y muy poca gente buscando. Aunque, dicho así, puede sonar como una excusa para la DGAC boliviana, plantea una pregunta de mayor calado: ¿podría repetirse algo similar en otro país con los sistemas de supervisión actuales? La respuesta es tan desagradable como simple: sí.

La misma pregunta se extiende al 737 MAX. Es probable que los reguladores hayan aprendido que la colusión entre un fabricante y una autoridad puede convertirse en un problema global a través de los acuerdos BASA, diseñados para reducir costes mediante validaciones mutuas. Quizá esa lección haya calado y nunca más vuelva a darse un caso similar. Quizás.

Sin embargo, hay motivos para el escepticismo: La conducta FAA/Boeing en el caso 737 MAX guarda similitudes inquietantes con un episodio más antiguo: el DC-10, su “puerta de la muerte” y el llamado “gentlemen’s agreement” entre FAA y McDonnell Douglas.

Podría también, aunque faltan datos para afirmarlo categóricamente, tener similitudes con lo ocurrido en el caso Spanair en Madrid (2008), uno de los pocos casos en que un accidente tiene un «hermano gemelo», prácticamente idéntico, ocurrido 21 años antes en Detroit y por los mismos motivos. En lugar de exigir un cambio de diseño, la FAA se conformó con una circular del fabricante dirigida a los operadores que, en aquel momento, estaban volando ese tipo de avión. 21 años después se produjo un accidente idéntico. Las lecciones no siempre se aprenden.

Tres factores explican buena parte de la vulnerabilidad en los sistemas actuales de supervisión:

Primero, la vigilancia episódica.
Cuando las inspecciones son periódicas o aleatorias —y no hay una recogida continua de información— un operador pequeño como Lamia, con un solo avión, puede pasar fácilmente inadvertido. Sin vuelos regulares, alertas típicas como retrasos crónicos o cancelaciones repetidas no llegan a aparecer.

Segundo, la ceguera ante la dimensión empresarial.
Muchas señales de que Lamia estaba en problemas no surgían de la operación, sino de sus finanzas: sueldos impagados, facturas de mantenimiento vencidas, pólizas de seguro caducadas. La OACI exige, y lo hace de una forma bastante enfática, evaluar la viabilidad financiera antes de otorgar un certificado de operador. Pero en la normativa boliviana (RAB) y regional (LAR) ese requisito quedó muy diluido. Resultado: una de las herramientas de alerta temprana más potentes permanece sin uso.

Este sistema de alerta no habría sido válido para un caso como Boeing donde las cifras pueden parecer sólidas, pero un análisis del negocio y de la presión comercial revelaría la existencia de incentivos para hacer casi cualquier cosa con tal de mantener un modelo envejecido en el mercado.

Tercero, la dependencia de “auditorías de papel”.
Los sistemas de supervisión siguen basándose demasiado en documentación y cumplimiento formal, en lugar de verificar la realidad operativa. Lamia tenía un manual SMS que, al parecer, nunca salió del cajón donde fue guardado tras redactarse. Esto permite que operadores y reguladores superen inspecciones mientras el papel y la operación real avanzan por caminos distintos.

Hay algunas señales positivas. La nueva guía de la OACI sobre “Safety Intelligence” propone abandonar la vigilancia episódica e integrar fuentes más amplias de información. Pero las reformas son tímidas y aún no dan a la dimensión empresarial el peso que merece, pese a que la propia OACI reconoce su importancia al fijar las reglas para otorgar un certificado de operador. Y mientras estos cambios no se incorporen a las regulaciones nacionales, su impacto seguirá siendo limitado.

Nueve años después, la lección del Chapecoense es clara: el accidente era evitable. Y lo más inquietante es que nada garantiza que una cadena similar de fallos no esté desarrollándose ahora mismo, en silencio, en algún lugar. Cambiar la forma en que supervisamos la aviación no es una preferencia administrativa. Es la única barrera entre el presente y la próxima tragedia que ya se está gestando en el sistema.

VIDEO JUST BEFORE THE TAKEOFF: https://www.facebook.com/share/v/1BqkGU79Dz/

ENTREVISTA (ESPAÑOL) CON AVIACION DIGITAL: https://www.linkedin.com/posts/activity-7400805061393739776-zKZu?utm_source=share&utm_medium=member_desktop&rcm=ACoAAAAu_IsBofuhVOhMu6L9rZJICjXcT8S2QHM

Air India 171: La relevancia de un segundo

Un solo segundo. Ese minúsculo lapso de tiempo se ha convertido en el punto central del informe preliminar sobre el accidente de Air India. La diferencia de un segundo entre el corte de combustible de ambos motores lleva a muchos a creer en un acto deliberado, ya que una falla técnica se esperaría que fuera simultánea. Por lo tanto, el informe preliminar sugiere firmemente —o al menos, busca sugerir— que esta diferencia en el apagado de los motores apunta a una intervención intencional.

La conversación entre los pilotos puede interpretarse de diversas maneras, dado que ambos sabían que la grabadora de voz de cabina (CVR) registraba todo y cualquier acción deliberada podía intentar ocultarse verbalmente. Sin embargo, un análisis más profundo de las particularidades operativas del Boeing 787 revela detalles que desafían la dirección del informe preliminar.

Según un artículo de Safety Matters, existen dos factores importantes a considerar:

  • Origen de los datos del FDR: El Registrador de Datos de Vuelo (FDR) no graba el movimiento físico de un interruptor, sino que registra la presencia o ausencia de corriente eléctrica en él. Esta distinción es crucial, ya que un «apagado» podría ocurrir sin que nadie toque el interruptor.
  • Limitaciones de la marca de tiempo: Los intervalos de tiempo del FDR hacen imposible establecer de manera definitiva una diferencia de un segundo. Solo puede confirmarse una diferencia en algún punto entre 0.01 y 0.99 segundos.

Estas dos condiciones nos llevan de vuelta al punto de partida. Varias publicaciones han informado con seguridad sobre un corte de combustible intencional por parte del piloto. Si bien esa posibilidad no puede descartarse, las limitaciones de los datos del FDR —tanto en su origen como en su marca de tiempo— indican con fuerza que una falla del sistema es igualmente plausible.

Evidentemente, hay muchos intereses en juego en esta investigación. Esperemos que, al final, la verdad prevalezca, sin importar a quién señale.

AIR INDIA 171: PIEZAS QUE NO ENCAJAN

AIR INDIA 171: PIEZAS QUE NO ENCAJAN

Tras el informe preliminar del accidente de Air India, parecería que todo apunta a error humano o suicidio. No es así y aún quedan muchas preguntas abiertas, incluida la pregunta sobre si realmente alguien tocó los interruptores de flujo de combustible.

Aunque el informe no identifica al piloto que preguntó al otro por qué había cortado el flujo de combustible, la mera operación hace pensar que quien hizo la pregunta fue quien estaba volando el avión y, por tanto, tenía toda su atención puesta al frente y en los instrumentos situados frente a él.

La posición de los interruptores de combustible hace difícil pensar que las cosas ocurrieran de otra manera. Esa misma posición y esa atención a lo que ocurre delante hace difícil que viera si el otro piloto estaba manipulando los interruptores de combustible y, por tanto, la pregunta podría obedecer tanto a la pérdida de potencia como a las alarmas indicándole que se había cortado el suministro de combustible.

Abundando más en esta hipótesis, se encuentra la respuesta del otro piloto indicando que no había cortado el flujo de combustible. ¿Quién lo tocó entonces?

Habría dos hipótesis principales a investigar:

  1. Suicidio: El piloto cortó el flujo de combustible –al igual que en su día lo hizo el piloto de EgyptAir 990- y respondió que no lo había hecho porque era consciente de que lo que dijera quedaba grabado.
  2. Fallo técnico -por mantenimiento o por diseño- por el cual, sin intervención del piloto, el avión cortó el flujo de combustible. Hay que recordar que el interruptor no se parece a un interruptor ordinario para encender o apagar una luz sino que, además de las medidas físicas de seguridad para evitar su accionamiento involuntario, forma parte de un complejo sistema electrónico que, hasta la fecha y que se sepa, no había fallado.

Parece, por tanto, un poco prematuro hablar de error humano o de suicidio y tratar de liberar a Boeing y General Electric de un asunto del que, a medida que avance la investigación, no puede excluirse que tengan que responder.

EASA, Inteligencia Artificial y el búho consultor

Un viejo chiste entre consultores dice más o menos así:

Una hormiga y un elefante se enamoran y deciden mantener relaciones sexuales pero hay un problema. Alguien les recomienda que acudan al búho consultor. Éste, después de estudiar el caso, les da la buena noticia de que tiene dos soluciones:

La primera es que el elefante se haga tan pequeño como la hormiga y la segunda es que la hormiga se haga tan grande como el elefante.

Después de la alegría inicial, la hormiga dice: ¿Cómo?

El búho contesta: Eso son detalles operativos; yo soy consultor estratégico.

EASA, involuntariamente, puede haberse colocado en la posición del búho consultor en lo que respecta al uso de la inteligencia artificial en aviación. Su más reciente concept paper es bueno; tiene apartados que pueden incluso considerarse brillantes pero, al igual que la pregunta de la hormiga al búho, hay muchos apartados en las que es necesario preguntar cómo.

EASA ha identificado muchos problemas como, por ejemplo, quién debe tener la autoridad final dependiendo del nivel de la implantación de la inteligencia artificial; ha detectado también el problema asociado a la fiabilidad de los datos utilizados para que la inteligencia artificial obtenga el aprendizaje adecuado, ha establecido unas reglas de transparencia; han señalado incluso el problema de que el usuario pueda ser manipulado por la inteligencia artificial y, en el mejor estilo de las redes sociales, pueda generar adicción o exceso de confianza. Impecable; incluso han preparado un extenso cuestionario pero una y otra vez aparece la pregunta: ¿Cómo?

Si se me permite simplificar, la respuesta genérica de EASA es asegurar que los datos de entrada son fiables, que el proceso de la inteligencia artificial es transparente y que la formación de los usuarios es la adecuada…es decir, el búho.

La fiabilidad de los datos de entrada queda encomendada a operadores humanos a los que, desde luego, se les pueden escapar detalles: Por ejemplo, cuando alguien detectó que Amazon estaba introduciendo sesgos raciales en su política de contratación debido al uso de la inteligencia artificial, costó tiempo darse cuenta de que los datos de entrenamiento suministraban modelos de éxito y que éstos eran hombres, de edad mediana y blancos. No fue algo que se apreciase inmediatamente y, desde luego, tampoco fue algo que se le pudiera haber preguntado a la inteligencia artificial misma; de hecho, privar al sistema de información sobre raza o sexo sólo condujo a que éste buscase otros indicadores como nombre, lugar de residencia o dónde se había estudiado. Entiéndase que el sistema no buscaba información sobre raza o sexo sino que comparaba el perfil de éxito con el perfil del candidato y el sesgo estaba precisamente en el perfil de éxito.

No siempre es fácil de detectar ni la inteligencia artificial nos va a explicar siempre en términos comprensibles por qué introduce determinado sesgo.

Otro problema es la autoridad; el concept paper establece una gradación muy clara y muy completa de la autoridad pero, en la vida real, esta gradación no es tan clara: ¿Qué ocurre cuando tenemos un auxiliar que, habitualmente, acierta pero, en una situación crítica, se equivoca? ¿Cuál es el grado de presión que tiene el operador que, teóricamente, tiene la autoridad?

Supongamos que el vuelo US1549 hubiera llevado una inteligencia artificial que le hubiera indicado a Sullenberger que podía llegar al aeropuerto…pero la última decisión era suya. ¿No habría tenido un elemento añadido de presión difícil de superar? No; no es tan fácil como se sugiere hacer una delimitación de la autoridad de cada una de las partes.

En cuanto a la solución de la formación, los problemas señalados sugieren que es difícil dotar al operador humano de una inteligencia artificial de una formación adecuada e, incluso, puede calificarse de recurso tan fácil como habitual: Alguien toma una decisión errónea, se atribuye a falta de formación, se incluye un epígrafe en la formación de pilotos, controladores, técnicos de mantenimiento…y a esperar la siguiente situación que, igualmente, será atribuida a falta de formación. ¿Vale la pena recordar que en un primer momento los accidentes del Boeing 737MAX fueron atribuidos a falta de formación de los pilotos?

En suma, el concept paper muestra que hay un esfuerzo importante detrás, que sus autores saben de qué hablan…y que les han puesto encima de la mesa un problema de muy difícil solución, si es que existe tal solución.

Finalizaremos con un pequeño recordatorio: Un riesgo catastrófico en aviación sólo se considera aceptable si su probabilidad es inferior a uno en mil millones. ¿Podemos garantizar que la inclusión de la inteligencia artificial, añadiéndole todas las garantías que sean factibles, lleva asociado un riesgo que está por debajo de ese nivel?

Sólo eso; creo que hay mucho que reflexionar. Enhorabuena a EASA por su paper -sin la menor ironía- pero quizás le han puesto encima de la mesa un problema insoluble.

INTELIGENCIA ARTIFICIAL: DISCURSOS QUE ENVEJECEN MAL Y USO EN AVIACIÓN Y OTROS ENTORNOS DE ALTO RIESGO

Hoy, son muchos los libros y artículos escritos sobre inteligencia artificial y, salvo unos pocos, tienen algo en común: El paso de unos pocos meses los convierte en obsoletos y lo que dicen no vale ya para la situación actual.

La inteligencia artificial se está moviendo a tal velocidad que es difícil decir algo que sea, a la vez, relevante y que resista el paso del tiempo. Incluso clásicos como la famosa “habitación china” utilizada por Searle como argumento contrario a Turing y su concepto de la inteligencia artificial no resisten el empuje de los Large Language Models que, a pesar de no conocer ningún idioma en el sentido humano del término conocer, pueden hacer aportaciones de gran interés.

Rodney Brooks, uno de los defensores de la inteligencia artificial en su primera versión hoy conocida como GOFAI (Good Old-Fashioned Artificial Intelligence) decía que los esencialistas contrarios a la inteligencia artificial siempre habían dibujado una línea que, supuestamente, la tecnología no iba a superar y la realidad ha demostrado como, una y otra vez, la línea ha sido superada. Brooks tenía razón pero, como a menudo sucede, no tenía toda la razón: Su afirmación apunta a la cortedad de miras de los esencialistas de lo humano pero no significa que tal línea no exista y, por ello, también muestra la cortedad de miras de los esencialistas de la tecnología, es decir, la suya propia.

Se ha dicho con frecuencia que cuando un cambio cuantitativo pasa de determinada magnitud se convierte en cualitativo y eso es exactamente lo que ocurre con la inteligencia artificial: La explosión tanto en capacidad de procesamiento como en cantidad de información disponible ha cambiado el paisaje. Suposiciones como que la tecnología de la información iba a dedicarse a tareas rutinarias mientras que las tareas de más alto nivel iban a quedar reservadas a humanos no tienen ya ningún sentido. Refugios en actividades intelectuales de alto nivel como el ajedrez o el Go dejaron de ser hace tiempo tales refugios y las máquinas pueden ejercer estas actividades con mucha más destreza que los humanos.

Gigerenzer mostraba como el procesamiento heurístico no era una versión “quick-and-dirty” de un procesamiento estrictamente racional, motivado por la escasez de capacidad de procesamiento. Ponía como ejemplo el comportamiento humano para alcanzar una pelota -manteniendo un ángulo constante con ella- frente al comportamiento que calculaba la trayectoria. Gigerenzer tenía razón pero…¿qué ocurre si un sistema tiene toda la información necesaria y toda la capacidad de procesamiento requerida para hacer el cálculo en el tiempo disponible? Sencillo: Que la forma más compleja se convertiría en viable. Éste es el tipo de hechos a los que, un día tras otro, nos enfrenta la inteligencia artificial.

Los esencialistas del factor humano lo tienen difícil para justificar la posición de supremacía de las personas en muchas actividades pero ¿significa esto que haya que dejarlo todo en manos de máquinas que han mostrado mucha más capacidad que nosotros en multitud de ámbitos?

Creo que no y confío en que lo que viene a continuación no envejezca con la misma rapidez que muchas de las cosas que se han dicho sobre la inteligencia artificial:

Una y otra vez, los que nos dedicamos a los factores humanos hemos mencionado un concepto muy específico: Significado. Una y otra vez, los esencialistas de la tecnología han rechazado este concepto por entender que era, simplemente, un resultado interno de la transformación de símbolos y que, además de irrelevante, era algo perfectamente alcanzable a un sistema de información.

La objeción, sin embargo, no es válida: El significado no es una abstracción interna sino un producto de la interacción del humano con su entorno. Un reconocido tecnólogo, Daniel Hillis, señalaba en “The Pattern on the Stone” que “Given the choice of lying in an airplane operated by an engineered computer program or one flown by a human pilot, I would pick the human pilot. And I would do so even though I don’t understand how the human pilot works. As with the sorting programs, I know that a pilot is descended from a long line of survivors”.

Curiosamente, la razón ofrecida por Hillis invitaría más a confiar en una inteligencia artificial que en un piloto humano: La velocidad de aprendizaje hace que el número de generaciones “supervivientes” de una inteligencia artificial pueda ser de billones en el curso de una sola vida humana. Hay razones para confiar más en un piloto humano pero no son ésas: Probablemente, el piloto humano quiere llegar a disfrutar de un feliz retiro, no quiere cometer ningún error que comprometa su status profesional y, en el corto plazo, tal vez le gustaría llegar a cenar a su casa esta noche…es decir, razones todas ellas derivadas de su relación con el entorno, no de una manipulación de símbolos.

¿Podría la inteligencia artificial alcanzar este punto o, sin hacerlo, alcanzar un punto funcionalmente equivalente? Responder a esa pregunta es muy aventurado y, sin embargo, es la pregunta fundamental ya que será la que defina, en muchas actividades, cuál debe ser el rol humano y cuál el de la inteligencia artificial:

Como se comentaba en el ejemplo utilizado por Gigerenzer, hay dos opciones: Una sencilla, utilizada por un humano que tiene sensores propios para percibir el entorno y utiliza un sistema de procesamiento simple y una complicada, basada en unos cálculos y en un volumen de datos que podrían llegar a ser accesibles en un plazo no muy largo.

¿Podría existir tal volumen de datos y un sistema de información tan rápido que fuera capaz de procesar cualquier situación imaginable? Si esto fuera posible, el resultado sería que una situación de incertidumbre -que requiere el uso del significado para gestionarla- había quedado reducida a una situación de complejidad, asumible por un sistema de información.

Siguiente pregunta: ¿Puede crearse una inteligencia artificial que no aprenda de datos de entrenamiento sino que tenga percepción directa de la realidad externa y, en un sentido muy similar al humano, vaya adquiriendo experiencia? No es imposible pero ¿cuál es el control sobre el proceso de aprendizaje? ¿cómo se sabe que obtiene el aprendizaje correcto?

En ambos casos, estamos volviendo al mismo punto: El significado no consiste en un juego de símbolos sino en una interacción del sujeto con el medio. ¿Llegará un momento en que una inteligencia artificial se vea a sí misma como “sujeto” y, por tanto, desarrolle el concepto real de significado?

De nuevo, en el supuesto de que esto fuera así ¿qué garantías hay de que los significados adquiridos fueran los correctos? ¿podríamos crear una especie de psicópata cibernético, que funciona bien en el ámbito racional pero manipula todos los recursos a su alcance para favorecer su propia posición?

No son preguntas fáciles y quien esto escribe no tiene una respuesta clara y que vaya a soportar el paso del tiempo para ellas. Lo que sí sabemos HOY  es que la barrera del significado, en contra de lo que muchos tecnólogos quieren creer, sigue estando ahí, que no es una abstracción vacía sino un producto de una interacción con el entorno, que precisamente por ello es difícilmente separable del concepto de conciencia y que es el motivo principal para que, en actividades de alto riesgo, se prefiera que el protagonismo lo adquiera un humano y la inteligencia artificial tenga un papel de soporte.

¿Un análisis alternativo para GermanWings 9525?

Una publicación de The Aviation Herald del pasado 14 de marzo ( https://avherald.com/h?article=483a5651/0164&opt=0 ) invita a reconsiderar las conclusiones del informe oficial que, de forma categórica, estableció que la destrucción del avión se debió a un suicidio por parte del segundo piloto.

El autor del artículo, Simon Hradecky, invita a reconsiderar esas conclusiones por encontrar hechos que no parecen encontrar un ajuste claro en ellas y presenta una alternativa a la acción intencionada.

Hradecky presenta su alternativa y, a lo largo del artículo, utiliza varias veces como argumento el cálculo de probabilidades. A pesar de ello, ése es precisamente el punto más débil de su análisis:

Según sus datos, el avión tenía dos fallos técnicos, uno referido al funcionamiento del código de la puerta de la cabina y otro referido al mantenimiento del nivel de vuelo produciéndose cambios espontáneos en el mismo. Continuando con su hipótesis, el piloto -parece que no está claro cuál- habría sufrido una incapacitación mientras estaba solo en la cabina, el fallo en el código de la puerta impidió abrir ésta y, en ese mismo momento, un fallo intermitente en el control automático del avión habría alterado el nivel de vuelo y provocado el accidente.

¿Cuáles son las probabilidades de que se presenten a la vez una incapacitación, encontrarse en solitario en la cabina y que un fallo intermitente también se presente en ese preciso momento? Difícil de calcular pero muy escasas.

El autor critica la prisa que tuvieron los investigadores por cerrar el caso y es posible que tenga razón pero, de nuevo, está incurriendo en lo mismo que critica y está ignorando algunos datos:

En primer lugar ¿puede darse por supuesto que alguien se encuentre incapacitado porque el CVR recoge un ritmo de 26 inspiraciones por minuto? ¿Hay que asumir que, si la hipótesis de suicidio establecida en el informe oficial es cierta, alguien está totalmente relajado en el momento de cometerlo o ese ritmo simplemente reflejaría una alteración del estado de ánimo?

Se afirma en el artículo que “The father stated that his son never suffered from a depression. His son went through a depressive episode in 2008/2009 but overcame it completely”. En primer lugar, las personas sujetas a episodios depresivos -entre las que puede encontrarse a personajes tan notables como Winston Churchill, que la denominaba el “perro negro”- saben muy bien que no cabe el “overcame it completely” sino que se trata de un problema recurrente y la persona que la padece, sin que haya un motivo exógeno, puede funcionar con toda normalidad salvo cuando este problema aparece.

Más aún, podemos coincidir en que la investigación oficial dejó cabos sueltos pero, en lo referido al estado mental, dice lo siguiente:

In December 2014, approximately five months after the last revalidation of his class 1 medical certificate, the co-pilot started to show symptoms that could be consistent with a psychotic depressive episode. He consulted several doctors, including a psychiatrist on at least two occasions, who prescribed anti-depressant medication. The co-pilot did not contact any Aero-Medical Examiners (AME) between the beginning of his decrease in medical fitness in December 2014 and the day of the accident. In February 2015, a private physician diagnosed a psychosomatic disorder and an anxiety disorder and referred the co-pilot to a psychotherapist and psychiatrist. On 10 March 2015, the same physician diagnosed a possible psychosis and recommended psychiatric hospital treatment. A psychiatrist prescribed anti-depressant and sleeping aid medication in February and March 2015. Neither of those health care providers informed any aviation authority, nor any other authority about the co-pilot’s mental state. Several sick leave certificates were issued by these physicians, but not all of them were forwarded to Germanwings.

¿Describe este párrafo a una persona que “overcame it completely”?

No pretendo con esto invalidar completamente el trabajo de Hradecky. Es fácil imaginar la situación de los familiares de Andreas Lubitz cuando vean que un informe oficial está dando por hecho que, en su suicidio, ha asesinado a 149 personas. Si hay alguna duda, ha de ser investigada.

La muy escasa probabilidad de que tres eventos infrecuentes -incapacitación, encontrarse sólo en cabina y presencia de fallo intermitente- coincidieran en el mismo momento y, además, en un avión que tenía averiado el sistema de acceso mediante código no anula por completo la hipótesis de Hradecky…pero, como mínimo, abre un serio interrogante sobre ella.

Lanzar una hipótesis de incapacitación sobre la existencia de 26 inspiraciones por minuto parece también aventurada. ¿Estaba hiperventilando? ¿Esto era prueba de incapacitación o se debía simplemente a que se trataba del momento de estar ejecutando una decisión de suicidio? La segunda opción puede ser una hipótesis con escaso fundamento pero la primera también lo es.

Por último, Hradecky ha ignorado datos aportados por ese informe oficial al que, quizás parcialmente con razón, critica: En primer lugar, no es frecuente que las personas que sufren crisis depresivas endógenas -no vinculadas a un hecho externo- sufran una sola a lo largo de su vida sino que suelen aparecer más de una vez. El “overcame it completely” es difícil de sostener pero, además, el informe oficial revela la existencia de tratamiento psiquiátrico sólo tres meses antes del accidente.

Un análisis encaminado a levantar hechos que un informe oficial pueda haber pasado por alto siempre es positivo. Quizás la obra maestra de ese género la escribió Joseph Conrad en su reanálisis del caso Titanic y, mucho más modestamente, quien esto escribe ha realizado y está realizando en la actualidad el reanálisis de casos graves. En este sentido, el esfuerzo de Hradecky es de agradecer pero, al mismo tiempo, no debe olvidarse que al reanálisis le es exigible el mismo rigor que se reclama del análisis inicial.

Navigating Safety: Necessary Compromises and Trade-Offs: Theory and Practice by René Amalberti

Amalberti explains very clearly safety related concepts and, whatever the reader agrees with 100% of contents or not, it is worth to be read and discussed. He goes against some sacred cows in the safety field and his book should be analyzed very carefully. Especially, these three points should deserve a special analysis:

• People learn by doing instead of observing. Asking for a full Situational Awareness before doing anything could drive to serious accidents while the operator tries to get a full Situational Awareness.

• There are different safety models. Many markets and companies try to imitate ultra-safe models like the ones coming from Aviation and Nuclear Energy when, actually, these models should not work in other activities more expert-based than procedure-based.

• Trying to train someone for every single exceptional situation is not the safest option. People can try to explore limits instead of remaining in the safe environment.

People learn by doing instead of observing. True, and perhaps that is one of the motives that people are so bad at monitoring while some automation designs still insist precisely on that. However, Amalberti reaches a conclusión related with Situational Awareness that, in my opinion, could be wrong: For Amalberti, we should not ask for a full Situational Awareness before trying a solution because we could get paralyzed under critical situations with serious time constraints. Explained like that, it’s true and that should be the phenomenon known as paralysis because of analysis but something is missing:

Situational Awareness cannot be understood as a condition to be met in critical situations but as a flowing process. In high risk environments, design should guarantee that flow at a level that, once the emergency appears, getting a full picture of the situation is easy. If we put together this single principle with the first one by Amalberti, that is, that people learn by doing instead of observing, we could reach different conclusions:

1. Top level automation should be used only under exceptional situations, using as default levels others where human operators should learn and develop Situational Awareness by doing instead of observing.

2. Information Technology used in critical systems should be under-optimized, that is, instead of using the most efficient design in terms of technology use, the alternative option should be using the most efficient design in terms of keeping Situational Awareness. Some new planes keep Intel processors that are out of the market many years ago –for instance, B777 using Intel 486- and nothing happens. Why then should we try to extract all the juice from every programming line building systems impossible to be understood by users?

Different safety models with an out-of-context imitation of ultra-safe systems as Aviation or Nuclear Plants. This is another excellent point but, again, something could be missing: Evolution. I have to confess on this point that my Ph.D. thesis was precisely trying to do what Amalberti rejects, that is, applying the Air Safety model to Business Management field. Some years later, Ashgate published it under the name Improving Air Safety through Organizational Learning but “forgetting” the chapter where learning from Air Safety was applied to Business Management.

The first thing to be said is that, in general terms, Amalberti is right. We cannot bring –unless if we want it to work- all the procedural weight of a field like Air Safety to many other fields like, for instance, Surgery, where the individual can be much more important than the operating rules. However, the issue that could be lost here is Organizational Evolution. Some fields have evolved through ultra-safe models and they did so because of their own constraints without anyone trying to imitate an external model. Different activities, while looking for efficiency improvement, evolved towards tightly coupled organizations as Charles Perrow called them and that produced an unintended effect: Errors in efficient organizations are also efficient because they spread their effects by using the same organizational channels that normal operation. Otherwise, how could we explain cases like Baring Brothers where an unfaithful employee was enough to take the whole Bank down?

Summarizing, it’s true that we should not make an out-of-context imitation of ultra-safe models but, at the same time, we should analyze if the field whose safety we are analyzing should evolve to an ultra-safe model because it already became a tightly coupled organization.

Trying to train someone for every single exceptional situation is not the safest option: Again, we can agree in general terms. For instance, we know that, as a part of their job, pilots practice in simulators events that are not expect to appear in their whole professional life. Perhaps, asking them to practice recovery from upside down positions or from spins should be an invitation to get closer to these situations since they should feel themselves able to recover. The “hero pilot” time is over long ago but…

We have known in the past of wrong risk-assessments where the supposedly low-probability event that should not require training since it should not happen…happened. A well-known example is United 232 where three supposedly independent hydraulic systems failed at the same time showing that they were not so independent as pretended. The pilot had practiced before in a flight simulator the skills that converted a full crash into a crash landing decreasing substantially the number of casualties. A similar case is the Hudson river landing where a double stop engine was supposed to happen only above 20.000 feet…and procedures developed for that scenario made the pilots lose a precious time when the full loss of power happened far lower than this height.

Even though, instead of focusing in different events showing a wrong risk assessment that could invite us to take with care the Amalberti idea -even when he clearly raises an important point there- is a different kind of problem that has already been under major accidents: Faulty sensors feeding wrong information to computers and occupants planes getting killed without the pilots getting the faintest idea about what was going on. “Stamping” this kind of events with a “lack of training” should be a way of telling us something that, at the same time, is true and useless and, by the way, it’s opposed to the Amalberti’s principle.
Daniel Dennett used a comparison that can be relevant here: The comparison between commands and information agencies: Commands are expected to react under unforeseen situations and that means redundancy in the resources and a very important cross training. By the other side, information agencies work under the principle of “need-to-know”. Should we consider as an accident that this same “need-to-know” idea has been used by some Aviation manufacturers in their rating courses? Should we really limit the training to the foreseen events or should we really recognize that some events are very hard to foresee and different approaches should be taken in design as well as in training?

Summarizing, this is an excellent book. Even if some of us could not agree with every single point, they deserve a discussion, especially when it’s clear that the points raised in the book come from a strong safety-related concept instead of politics or convenience inside regulators, operators or manufacturers.

I would not like finishing without a big Thank you to my friend Jesús Villena, editor of this book in Spanish under the name “Construir la seguridad: Compromisos individuales y colectivos para afrontar los grandes riesgos” because he made me know this book.

SPANAIR: Cuando el nacionalismo catalán quiso volverse transoceánico

Entre las muchas cosas tristes que tuvo el accidente del 20 de agosto de 2008 está que pudo decirse de él que, como del cerdo, todo se aprovechó por algunos.

Desde el primer momento empezaron a producirse filtraciones interesadas destinadas a echar Spanair a los pies de los caballos…o de un comprador amigo que la pudiese conseguir al precio más bajo posible.

Spanair estaba ya en venta antes del accidente pero no a cualquier precio. De hecho, había en marcha un ERE cuyos argumentos no habría suscrito ni un estudiante de primero de Empresariales pero venía con el aval de una de las grandes firmas de consultoría que, como Zapatero antes de las elecciones de 2008, llegó a afirmar que la crisis era imprevisible y en sólo seis meses se había presentado una situación de la que no había ni indicios.

Se llegó al extremo ridículo de presentar públicamente en junio unos resultados excelentes de Spanair correspondientes al año anterior sin hacer mención de que quince días después se iba a presentar un ERE por los resultados presentes.

El accidente, por tanto, fue utilizado por los que ya querían conseguir hacerse con la compañía como una ayuda para rebajar el precio. Creo que ya no desvelo ningún secreto inconveniente si digo que la disposición a negociar por parte de los representantes del nacionalismo catalán se hizo formal con ocasión del funeral por las víctimas el 11 de septiembre en la catedral de la Almudena, fecha y situación adecuadas donde las haya para hablar de negocios por parte de algunos.

Si el accidente no les hubiera puesto a Spanair en bandeja, habrían buscado otra -probablemente Air Europa- pero, en unos tiempos en que las aerolíneas de bandera están prácticamente desaparecidas el nacionalismo catalán quería su aerolínea de bandera. La expresión ni siquiera es mía sino de ellos.

Que las filtraciones de la investigación se produjeran desde un número de fax del Ministerio en los tiempos de Magdalena Álvarez dice bastante de quién estaba detrás del asunto y a quién querían ayudar para conseguir Spanair al precio más barato posible. Para ello, durante meses se estuvo echando porquería encima de una compañía que habría tenido posibilidades de salir adelante y, misteriosamente, dejaron de salir noticias una vez que se hizo público que los nacionalistas catalanes habían conseguido su objetivo. A partir de ahí, cambio de ciclo y silencio llegando al extremo de un informe final sobre el accidente en cuyos detalles no entraré pero que ha levantado bastantes ampollas, más por lo que no dice que por lo que dice.

En el extremo del provincianismo a que hemos llegado, una capital de provincia no puede considerarse tal si no tiene un aeropuerto y una universidad; algunas regiones también se consideran de segunda clase si no tienen embajadas en el exterior y un aeropuerto intercontinental.

No digo que Barcelona y el Prat no tengan dimensión suficiente para no tener un aeropuerto intercontinental sin necesidad de enlaces en Madrid pero ésa es una decisión que corresponde a las compañías que descubran que hay un hueco de mercado a aprovechar y no a políticos que juegan con dinero ajeno.

Spanair lo tenía difícil ya en 2008 pero, una vez que cayó en las garras de políticos que se olvidaron de que era una compañía aérea y que tenía que ser gestionada como un negocio lo tuvo imposible.

Cuando algunos han levantado la voz por la propuesta de que se pida responsabilidad penal a los políticos por acciones de corrupción o de despilfarro claro, quizás casos como el de Spanair podían invitarles a pensar si hay que dejarlos pasar y si el dinero de todos no merece un mayor respeto del que ha tenido por parte de los políticos.