ERRORES HUMANOS LATENTES:       LA ESTRATEGIA DIRECTIVA Y         S U CAWSALIDAD EN LOS           ACCIDENTES GRAVES       ...
ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDADEl análisis detallado de algunos accidentes re-      d e ...
ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALlDADseño y control de los sistemas de alto riesgo.      quina...
ERRORES HUMANOS LATEN7ES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADPero los cambios más profundos llegaron con          Por...
ERRORES HUMANOS LA7TNTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDADAsí. el diseiio d e una planta nuclear moderna.          ...
ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAIJSALIllAflefectos latentes d e los errores humanos pue-      cia...
ERRORES HUMANOS LATENTES L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADtrucciones escritas que han aprendido de me-          I  ...
ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADmica tales experiencias educativas pueden te-       fuer...
ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDAD5. ANALISIS DE CASOS DE                             le I...
ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADaumentó aún más la temperatura y la presión             ...
ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALlDADcaba PERROW     (1984). los accidentes como el       uno ...
ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECIYVA Y SU CAUSALIBAD5.5. Zeebrugge                                         c...
ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDAI)contraba inmersa en lo que su Presidente y           de ...
ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADnes deliberadas pero no dolosas. todavía po-         8. ...
ERRORES HUMANOS LATENTES: L A ESTRATEGIA LIIRECTIVA Y SU CAUSALIDADparadores locales nos permite sentar una serie         ...
ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDADtores de interés: los designios del sistema que       y d...
ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDADthe Formal Investigation). En la estación de      aumenta...
ERRORES HUMANOS LATENTES: LA ESTRA7EGIA DIRECTIVA Y SU CAUSALIDAD10. EPILOGO: LO QUE NOS                               d e...
ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADmas que el reactor PWR presentó en Three                ...
Upcoming SlideShare
Loading in …5
×

Errores humano latentes

1,604 views

Published on

0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total views
1,604
On SlideShare
0
From Embeds
0
Number of Embeds
2
Actions
Shares
0
Downloads
23
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Errores humano latentes

  1. 1. ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y S U CAWSALIDAD EN LOS ACCIDENTES GRAVES Cztedra <le Psicología Uiiiversidad <le M.rrirhiiitcrEl preserite artículo es la A la hora de considerar la contribución huma-traduccion d e la comunicación na a la causalidad de los accidentes catastrófi-presentada por el autor en el cos en los sistemas tecnológicos. cabe distinguirSeminario sobre Riesgo y dos tipos de errores: los activos. cuyos efectosSociedad, organizado por la se evidencian prácticamente de inmediato: yAsociación d e Ginebra y los latentes. cuyas consecuericias adversas p u e ~celebrado en Londres (Iriglaterra) den permanecer ocultas durante cierto tiempo.en enero del presente afio. manifestándose únicamente al combinarse con otros factores para agredir las defensas del s i s ~La teciiiíicacidii d e procesos tema (cfr. RASMUSSENy PEDERSEN. 1984).Encomp1e;os produce el efecto d e general. los errores activos se asocian con laseparar dichos procesos del serhumano. Cada vez es más I Idifícil un control directo Los errores latentes entrañan lasobre los sistemas o procesos mayor amenaza para la seguridad detecrio/óyicos. Un alto porceritaje un sistema complejo.de accidentes graves se producepor faiios humanos ~iateritesz.esdecir. por acciones no directas actividad de operadores de <<primera línea desobre la iristalación o sistema explotación de un sistema)>:pilotos. oficialesíallido. El autor plantea una de buques. controladores aéreos. etc. Por elreflexión sobre esta importante contrario, los errores latentes subyacen normal-paradoja. preserite eii rnuchos mente a actividades disociadas (tanto espacialaccidentes qiic, por su como temporalmente) de la labor directa deimportancia. han sido actualidad control: ingenieros de diseño. operarios y téc-~iiiii~~li~l nicos, personal de mantenimiento y directivos. G I 11
  2. 2. ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDADEl análisis detallado de algunos accidentes re- d e seguridad. el término <<factoreshumanos>>cientemente acaecidos ( y reflejados posterior- abarca un espectro de individuos y actividadesmente en este artículo) evidencia significativa- mucho más amplio que el conjunto de perso-mente el hecho de que los errores latentes en- nas en <<primera Iínea de explotación>> un detrañan la mayor amenaza para la seguridad de sistema. De hecho. uno de los temas centralesun sistema complejo. Hasta ahora, los iinálisis de este artículo es que cuanto más alejadosde fiabilidad y las investigaciones sobre acci- están los individuos de estas actividades de pri-dentes tendía11 a centrar su atención en los mera Iínea (e. incidentalmente. de los riesgoserrores de los operadores y en los fallos de directos), mayor es su peligro potencial paralos equipos. Si bien e s cierto que los opera- el sistemadores pueden (y suelen) cometer errores al in-tentar recuperar situaciones no toleradas por Existen también intentos típicamente <<reactivos>> por minimizar errores: se pretende en estos ca-un cierto cisterna. también es cierto que la ma- sos eliminar la recurrencia de determinados fa-yoría de las causas que subyacen a la emer- llos activos identificados a posteriori por los in-gencia se encontraban ya en el sistema mucho vestigadores de accidentes. De manera similar.antes de que estos errores activos fuesen co- si bien es conveniente aprender lo máximo po-metidos. sible acerca de los accidentes ocurridos en elEl papel de los operadores. más que el d e pasado, tambiGn debe considerarse que talesprincipales causantes de un accidente, es el de sucesos suelen ser provocados por una con-heredar las taras del sistema causadas por la junción singular d e diversos factores necesarios.baja calidad del diseiio, defectos de instalación. pero por sí solos insuficientes. Si se tiene enescasa competencia de los técnicos de mante- cuenta la improbabilidad de que tal combina-nimiento y arbitrariedad en las decisiones de ción de causas vuelva a repetirse. los esfuerzosla dirección. Los operadores son -en reali- por evitar que se produzcan dichos errores ac-dad- el condimento final a un guiso que Ile- tivos apenas influirán en la seguridad total delvaba largo tiempo ya cocinándose. sistema. En el peor de los casos, la inutilidad del esfuerzo es equiparable a la de encontrarExiste una creencia cada vez más firme, entre el mejor método de asegurar la puerta de unlos investigadores del tema (cfr. BAISTONE. establo cuyo caballo ya se ha escapado.1987: RASMUSSEN.1988). de que los inten-tos por descubrir y neutralizar estos errores la- En este artículo se considera la contribucióntentes incrementarían la seguridad del sistema de los errores latentes al fallo catastrófico depor encima de las cotas alcanzabies mediante una serie de sistemas complejos. Puesto queesfuerzos individuales por minimizar los erro- la noción de error latente está íntimamente li-res activos. Hasta la fecha. el trabajo de los gada a la idiosincrasia de la tecnología contem-especialistas en factores humanos se ha dirigi- poránea. comenzaré por describir brevementedo fundamentalmente a la mejora del punto algunas de las modificaciones más significati-de encuentro entre el sistema y el operador vas introducidas durante las últimas décadas en(la interfaz hombre-sistema. es decir, la sala de el control de los sistemas de alto riesgo.la torre de control o la cabina de los pilotos)Sin negar la trascendencia de estas investiga-ciones. es preciso recordar que se restringena una pequeña parte del problema de la se- 1. DESARROLLOSguridad total. al estar enfocadas a reducir el TECNOLOGICOS.error activo)>(que apenas representa la puntadel iceberg d e la causalidad). La experiencia Los últimos 30 ó 40 años han sido testigos dede los pasados años enseña que. en materia una auténtica revolución tecnológica en el di-
  3. 3. ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALlDADseño y control de los sistemas de alto riesgo. quinas de creciente complejidad que intervie-A su vez, esta revolución ha desatado cambios nen entre el humano y la tarea física.radicales (y todavía poco comprendidos) en las Al principio. los operadores empleaban méto-tareas destinadas a los humanos. dos directos de actuación y captación: veíain y tocaban lo que producían o controlaban. Des-1.1. Los sistemas están cada vez pués llegaron los dispositivos de actuación y más automatizados control remotos. que se introdujeron cuando el proceso resultaba demasido peligroso o de-Uno de los adelantos más significativos de los masiado sensible para ser tratado directamente.últimos años ha sido la separación física entre cuando resultaba necesario superar la potencialos operadores (las personas situadas en el in- del músculo humano. o cuando los sentidosterfaz hombre-sistema) y los procesos sobre los del operador resultaban incapaces d e detectarque ejercen su control. Se han introducido má- ciertos cambios físicos significativos OPERADOR HUMANO NIVEL 1 lNDlCADORES CONTROLES NIVEL 2 S t G t E M JNFORMATICO DE WTERACCkON CON EL HUMANO (SIH) NIVEL 3 CON LA TAREA (SIT) NIVEL 4 t - I TAREA l Elementos básicos del control de supervisión MOR AY, 1986)
  4. 4. ERRORES HUMANOS LATEN7ES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADPero los cambios más profundos llegaron con Por tanto. hemos pasado de un estadio en elel advenimiento d e la potencia informática a que el individuo era el actor principal, y el or-bajo precio. Ahora. el operador puede ser se- denador su esclavo, a otro en el que los pape-parado del proceso al menos por dos barreras les se han invertido. Durante la mayor parteinformáticas: en el nivel inferior. uno o varios del tiempo, la tarea del operador se reduce aordenadores controlan los diversos aspectos de- supervisar el correcto funcionamiento del siste-tallados de la operación (SIT); por otra parte. ma. y a que éste funcione dentro de los Iími-interviniendo entre los operadores y los orde- tes normales. La cognición humana. con sus fortalezas y debilidades, se muestra poco ade- cuada para este tipo de actividad.1 I Hemos pasado de un estadio en el que el individuo era el actor 1.2. Los sistemas son cada vez más principal, y el ordenador su esclavo, complejos y peligrosos a otro en el que los papeles s e han invertido. Una de las consecuencias d e la creciente infor- matización antes descrita ha sido que los siste- mas de alto riesgo (tales como plantas nuclea- res o de procesos químicos) han aumentadonadores de interacción con la tarea se sitúa la en tamaño y complejidad. Esto significa queiriterfaz hombre-sistema. con otro ordenador cada vez mayores cantidades de materiales(SIH) que g e n e r a l m e n t e - apenas permite potencialmente peligrosos se concentran enuri nivel de interacción muy limitado entre los centros de trabajo únicos bajo el control cen-humanos y el proceso (que se convierte así en tralizado de un elenco cada día menor de ope-remoto) radores. Un fallo catastrófico de estos sistemas supone una seria amenaza n o sólo para el per-Esta situación se denomina <<control super- de sonal de la planta. sino también para el públi-visi6rin. que defiiii6 SHERIDAN (1984) como co pedáneo (en plantas nucleares y de arma- . . . procesos de inicialización. monitorización mento. este riesgo se extiende más allá dely ajuste en sistemas que. por lo demás. están área circundante)coiitrolados automáticamente)>Tal sistema de control iia devengado un pro-fundo cdmbio en la relación hombre-sistema.Como explica MORAY (1986): 1.3. Los sistemas poseen mayores defensas contra los fallos<<Existe cierto sentido en decir que el a c - un Debido a las cada vez más catastróficas conse-tor principal es m á s el ordenador que el in- cuencias derivadas de un posible fallo. y gra-dividuo. La mayor parte del tiempo, el orde- cias a la disponibilidad cada vez mayor denador decide cómo se debe ejercer el control hardware <<inteligente,>. diseñadores se han losy qué se debe informar o preguntar al opera- concentrado en incluir dispositivos automáticosdor. Este puede tomar el control o aceptar de seguridad (DAS) suficientes para protegerlo que el ordenador le propone pero, normal- el sistema contra cualquiera <<escenario)> cono-mente, a pesar d e que es el individuo quien cido de fallo. «Cuanto m á s complicada esdefine la tarea que h a de realizar el ordena- una planta o mayor la interacción de susdor, es este último el que ejerce el control. elementos, mayor atención se presta a dis-El ordenador se convierte así en el corazón minuir la eventualidad de los fallos ...D (PE~del sistema,,. RROW. 1984, pág. 43)
  5. 5. ERRORES HUMANOS LA7TNTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDADAsí. el diseiio d e una planta nuclear moderna. sitari saber. y a la vez se ven inundados d epor ejemplo. se basa e n la filosofía de edefen- iriformación p o s i b l e m e n t e innecesaria- q u esa exhaustiva.: para q u e ocurra uria catástrofe. n o saben interpretar. En sistemas menos sofis-durante la secuencia del accidente debe pro- ticados. siempre cabía un recurso: el operadorducirse una combinación d e eventos aparente- o el responsable salían y comprobaban la situa-mente improbables (cfr. RASMIJSSEN y PFIIFR~ ción por sí mismos. examiriaban la calidad delSEN. 1 9 8 4 ) . En primer lugar. los dispositivos producto. revisaban la válvula q u e goteaba oautomáticos d e seguridad tendrían q u e ser in- recurríari a alguien con verdadera experienciacapaces d e restablecer el estado d e seguridad eri el asunto. Sin embargo. estas soluciones yadel sistema; además, los métodos d e confina- rio son factibles en las modernas plantas quí-miento d e materiales tóxicos tendrían que ser niicas o nucleares. donde s e desarrolla un pro-iriútiles. Sin embargo. tales desastres todavía ceso al que uno n o puede acercarse y queocurren. Una d e las razones más obvias reside aperias se comprende parcialmente. dentro d eeii la susceptibilidad de estos sistemas d e segu- iiri abstruso laberinto d e tuberías. recintos d eridad a los errores humanos y e i i especial- contención reforzados y bunkers d e cemento.a los latentes. Nos enfrentamos por tanto a Existe otro factor que contribuye decisivamen-uiia paradoja: estos sistemas especializados. es- te a la opacidad del sistema: sus propias defen-pecíficamente diseñados para hacer q u e la sas. RASMUSSEN (1988) ha denominado esteplanta sea segura. son también sus peores fenómeno ala falacia d e la defensa exhaustiva».puntos débiles. .Otro aspecto importante inherente a la filo- sofía d e defensa exhaustiva es que -con1.4. Los sistemas son cada vez frecuencia- el sistema no responde activa- más opacos mente ante fallos aislados. Como consecuen-Uiia de las consecuencias d e los mericiona- cia, muchos de los errores y fallos cometi-dos avaiices tecnológicos e s q u e estos sistemas dos por el personal y por los técnicos d ecomplejos y exhaustivameiite defendidos pier- mantenimiento no se revelan directamenteden su traiisparencia ante las personas que los mediante una respuesta funcional del siste-dirigen. mantienen y operan. Esta opacidad m a . La fiabilidad de la actuación humanatiene dos aspectos: iio saber lo que está pa- puede ser muy elevada -incluso en entor-sand«. y n« entender cómo puede reacciona: nos muy dinámicos- si las eventuales equi-el sistema. vocaciones y los posibles fallos conllevan efectos inmediatamente evidentes y puedenC o m o hemos visto. la automatización ha susci- ser corregidos. La supervivencia al conducirtado uii cambio fundamental e n el papel q u e por las calles d e París en horas punta de-las personas desempeñan en el árnbito d e c i e r ~ pende de este hecho..taq tocriologías d e alto riesgo. En lugar d e c o r i ~iaciar dirwtamente con el proceso. las perso- .Compárese lo expuesto con el funcionamien-rias han sido <qxomocionadasx < < . . a tareas to de un sistema cuyo diseño s e atiene alde supervisión de alto nivel y a tareas de principio de defensa exhaustiva. En este ca-planificación y mantenimiento a largo pla- so, deben coincidir diversos sucesos indepen-z o (RASMUSSEN. 9 8 7 ) . Eri cualquier caso. 1 dientes para que el sistema responda conestos individuos quedan apartados del proce- cambios apreciables en su conducta. Al vio-s o : la interfaz informática filtra la información larse algunas condiciones iniciales de segu-que reciben. Como h a quedado demostrado ridad del sistema durante la explotación delen numerosos accidentes. con frecuencia los mismo no se producirá -probablemente-operadores rio pueden encontrar lo que nece- una respuesta funcional inmediata, y los
  6. 6. ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAIJSALIllAflefectos latentes d e los errores humanos pue- cia efectiva durante prolongados intervalos deden, por tanto, permanecer ocultos en el sis- tiempo. por lo que resultan tremendamentetema. Cuando s e permite l a permanencia d e inadecuados para llevar a cabo las tareas com-tales errores durante un prolongado lapso plementarias de supervisión de incidencias ytemporal, aumenta drásticamente la proba- anomalías. Para ayudarles. los diseñadores de-bilidad d e que acaezca l a multiplicidad d e ben prever la generación automática de seña-fallos necesarios para provocar un accidente. les de alarma. pero ¿quién toma las decisionesEl análisis d e los grandes accidentes mues- cuando dichas alarmas fallan o han sido des-tra que la seguridad básica del sistema tien- conectadas?d e a erosionarse debido a los errores laten-tes. Por tanto, cabría inferir que la seguri- Otra de las tareas de un operador consiste endad de un sistema s e mejora m á s al reducir asumir el control manual cuando falle el siste-la duración o permanencia d e los errores la- ma automático de control. El control manualtentes, que al reducir su frecuencia básica. exige plena capacitación, y todo operador de- (RASMUSSEN, 1988. págs. 3-41 bería ejercitar continuamente su pericia para mantenerla en óptimas condiciones. Sin em- bargo. un sistema automático q u rara vez ~ f a l l a niega a los operadores la oportunidad2. LAS IRONlAS DE LA de practicar sus habilidades básicas de control. AUTOMATIZACION Una de las consecuencias d e la automatiza- ción. por tanto. es que los operadores pierden su capacidad de acometer las complementa-La Dra. LISANNF BAINBRI»(;E(1987) del Uni- rias tareas de supervisión (que son precisa-versity College London ha resumido muchas mente las que justifican la existencia de dichosde las dificultades que subyacen a la relación operadores). Además, el control se suele asu-hombre-máquina en una instalación tecnológi- mir ante situaciones anómalas, que son las quecamente avanzada. S e trata de lo que ella de- exigen en el operador la máxima habilidad.nomina elas ironías de la automatización>2. DUNCAN (1987) sostiene esta misma opinión:Con cierta frecuencia. los ingenieros de diseño ~ C u a n t om á s fiable e s una planta. menosde un sistema tienden a conceder poca fiabili oportunidades tiene el operador para practi-dad o eficiencia ai operador. y procuran s u car una intervención directa, y m á s difícilesplantarlo mediante dispositivos automatizados. Serán las restantes tareas q u e realmente re-Esta actitud entraña dos ironías: oor un lado. quieren su intervención».los errores de los diseñadores, tal como se Estas ironías salpican también al tema de iadiscute posteriormente en este artículo. contri- formación de los operadores. Conscientes debuyen significativamente al acontecer d e inci- la tensión nerviosa y de las dificultades a lasdencias y accidentes; por otro lado. el mismodiseñador que desea eliminar la intzrvención que se enfrenta un operador ante una emer- gencia. los diseñadores y directivos no han es-humana, necesita sin embargo recurrir a la fi- catimado esfuerzos en intentar encontrar proce-gura del operador c... para que realice las dimientos predefinidos para cualquier actuacióntareas que el diseñador e s incapaz d e auto- del operador. Dichos procedimientos suelen ba-matizar. (BAINBRIDGE. 1987. pág. 272) sarse en intrincadas estructuras arborescentesEn una planta automatizada se necesitan o p e o en sofisticados algoritmos que teóricamenteradores para supervisar el correcto funciona- permite11 discernir una situación entre un con-miento del sistema. Pero es de sobra conocido junto de posibles fallos. Con ello se revela otraque los operadores i n c l u s o estando altamen ironía más de la automatización: se enseña ate motivados- no pueden ejercer una vigilan los operadores a cumplir a rajatable unas ins-
  7. 7. ERRORES HUMANOS LATENTES L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADtrucciones escritas que han aprendido de me- I Imoria. y luego se les scolocam en un sistema La evidencia muestra que la actividadpara que aporten su inteligencia interactiva y de control llega a ser tan extraña -ycapacidad de improvisación. .Quizás la ironía el sistema tan complejo- que, en unfinal es que los sistemas altamente automa- significativo número de ocasiones,tizados, que raramente necesitan de inter- los operadores actúanvención manual, son los que pueden preci- incorrectamente.sar la mayor inversión en formación de los I 1operadores,, (BAINBRIDGE, 1987) sistemas complejos?. para solucionar las emer- gencias: jcómo actuarán realmente a la hora3. EL «CIRCULO VICIOSO» DEL de resolver los problemas?. según patrones r u ~ CONTROL DE SUPERVISION tinarios basados en interacciones previas con HUMANO uri entorrio específico; jcuál es la experiericid que adquieren en una sala de control?. super^ visar y realizar pequetias prácticas ocasioiialesComo ya se ha indicado. la razón básica para e n la planta mientras ésta funciona dentro deincluir operadores e n los sistemas controlados sus límites de seguridad. Por lo tanto ¿,se pue-principalmente por ordenadores inteligentes es de pretender que operen adecuadamente cuati-la capacidad humana para resolver emergen- d o deban reasumir la verdadera actividad decias ano previstas en el diseno>>. resumen, En control? La evidencia muestra que esta activi~los operadores están ahí porque los diseñado- dad se llega a hacer tan extratia y el sis-res no pueden prever todas las posibles situa- tema tan complejo--- que, en un significativociones de fallo y . por tanto, no son capaces número de ocasiones. los operadores actúande incluir dispositivos automáticos de seguri- incorrectamentedad para cada contingencia. Uria posible solución consistiría en que el ope-Además de un cierto efecto estético, los hu- rador dedicara gran parte de su turno a for-manos aportan a los sistemas de alto riesgo su marse c o n supuestos prácticos de emergeri-exclusiva habilidad para solucionar sinteracti- cias pasadas- en el diagnóstico y recupera^vamente>>los problemas que se plantean en ción del sistema. Y esto nos lleva a la seaundasituaciones nuevas. Irónicamente. y sin menos- parte del círculo vicioso: la naturaleza de lospreciar a los astronautas del Apolo 13 ni a sistemas modernos. con su gran complejidadotros solucionadore res^^ patos. esta exclusiva ha- y escasa transparencia. tiende a reservarnosbilidad es más bien teórica (al menos. en las inopinadas y desagradables sorpresas. Comocondiciones que prevalecen normalmente en demuestra claramente la multitud de casos es^las situaciones de emergencia). Efectivamente. tudiados, los accidentes suelen comenzar deel ser humano b a j o situaciones de tensión- una manera convencional. pero raramente evo-tiende a utilizar patrones prefijados de conduc- lucionan según patrones previsibles; cada in-ta. olvidando sopesar y razonar cuidadosamen- cidente es un evento radicalmente nuevo yte las cosas. En definitiva. el operador tiende s a l v o en un sentido muy genérico- la e x p e ~a recurrir a soluciones <<enlatadas>> -si que riencia pasada sirve de muy poco. En estasbien cristalizan las experiencias pasadas- no condiciones. los errores son prácticamente i n e ~resuelven las verdaderas necesidades de la si- vitables. Mientras que aprender de los propiostuación presente errores resulta altamente beneficioso en las in-Se nos revela así la primera parte del círculo dulgentes condiciones de la vida cotidiana. envicioso: ¿por qué ponemos operadores en los la sala de control de una planta nuclear o quí-
  8. 8. ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADmica tales experiencias educativas pueden te- fueron clasificadas según su origen: los resulta-ner consecuencias fatales. dos se resumen en el siguiente gráfico.La cuestión es que el control de supervisión A su vez. la actuación humana se clasificó enhumano no es algo concebido pensando en nuevas categorías: deficiencias en la documen-los humanos. sino uno de los subproductos de tación o en los procedimientos. 4 3 % : falta dela revolución de los microchips. De hecho, si conocimientos o de formación. 1 8 % ; incorrec-un grupo de etólogos se reuniera con la per- ta ejecución de los procedimientos. 16%: defi-versa intención d e diseñar una actividad com- ciencias en la planificación o e n la programa-pletamente inadecuada a las características de ción. 10% inadecuada comunicación. 6 % ; de^la cognición humana. es casi seguro que se apro- fectos de supervisión. 3 % ; problemas en lasximarían bastante a la actividad que se supone políticas de la organización, 2 % : otros, 2%deben realizar los operadores de plantas quí- De los anteriores datos cabe extraer dos im-micas y nucleares. portantes conclusiones: 1. Al menos del 92% de las causas determi- nantes se pueden atribuir a factores huma-4. ALGUNOS DATOS nos. CUANTITATIVOS SOBRE LOS 2. Sólo un mínimo porcentaje se puede acha- FALLOS LATENTES car directamente al personal de primera Ií- nea (por incorrecta ejecución de los proce-El Institute of Nuclear Power Operations. con dimientos). La mayoría tienen sus orígenessede en Atlanta (EE. LIU.). llevó a cabo re- en actividades relacionadas con el mante-cientemente un detallado análisis de causalidad nimierito. o en decisiones incorrectas torna^en 180 informes sobre eventos significativos ([N- das dentro de las esferas organizativas y di-PO. 1984). El análisis reveló 387 causas. que rectivas (fallos latentes) de las causas determinantes IEE. UU.. 1983!84).
  9. 9. ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDAD5. ANALISIS DE CASOS DE le Island. en el río Susquehanna. unos 16 km ERRORES LATENTES al sur de Harrisburg. El bloqueo se debió a la actuación de un equipo de mantenimiento que intentaba renovar la resina que se emplea paraEsta sección pretende ilustrar la naturaleza y tratar el agua de la planta. Por uiia junta de-variedad de los errores latentes. S e analizan fectuosa en el sistema de clarificación del va-a tal efecto seis importantes accidentes: Three por condensado, se produjo una fuga de aguaMile Island. Bhopal. Challenyer. Chernobyl. -el equivalente a una t a z a que entró e n elZeebrugge y Kings Cross. Estos sucesos n o circuito de aire de los instrumentos rieumáticcshan sido elegidos por lo ostensible de los fallos de la planta. La hurnedad interrumpió la pre-latentes que concurríaii: otros desastres como sión de aire aplicada a las válvulas de las b o r n ~el de Flixborough, Seveso. Aberfan. Summer- bas de abastecimiento de agua: éstas <<creye-land. Tenerife. el estadio Heysel. o los incen- ron. que algo fallaba (lo que no era realmentedios de Bradford y Piper Alfa. habrían tam- cierto en este subsistema concreto). y se par+bién corroborado la importancia de estos fallos ron automáticamente: con ello se interrumpiólatentes. la entrada de agua al generador de vapor. yLos criterios aplicados en la selección fueron se bloqueó la turbina. Sin embargo. este dis-los siguientes: positivo automático no fue suficiente para pre- servar la seguridad de la planta: sin las bom-a) todos los sucesos son relativamente recien- bas. el calor del sistema primario de refrigera- tes. por lo que su naturaleza general resul- cióri (de alta radiactividad. por estar situado tará familiar al lector no especializado; alrededor del núcleo) no se podía transferir alb) todos ellos están bien documentados y, de agua fría del sistema secundario (no radiac- hecho. muchos d e estos casos han sido so- tivo) metidos a investigaciones gubernamentales de alto nivel; y En ese momento se activaron automáticamen- te las bombas de emergencia. cuya funciónc) abarcan un amplio espectro de sistemas consiste en extraer el agua de uii tanque es^ complejos de alto riesgo. pecial y circularla por el sistema secundario.Debe destacarse que no se atribuirá especial compensando así el agua que se evapora porimportancia a las cantidades relativas d e erro- el calor producido. Sin embargo. las c o n d u c ~res latentes y activos, ya que. habida cuenta ciones para estas bombas de emergencia esta^de su relativa proximidad temporal, aquéllos bari bloqueadas: dos días antes, durante unaserán siempre más numerosos que los últimos. actividad rutiiiaria de mantenimiento, algúnMi intención consiste más bien en ilustrar las operario se había dejado cerradas las corres^insidiosas y -con frecuencia- imprevisibles pondientes válvulas.formas en que tales fallos se combinan para Al n o extraerse el calor del sistema prima^romper las defensas del sistema en un momen- rio. la temperatura y la presión en el núcleoto crítico. aumentaron rápidamente. Con ello se activó otro dispositivo automático de seguridad: la li-5.1. Three Miie Island beración d e las barras de control. Estas barras. de grafito con un 80% de plata, se dejan caerA las 04:00 del 28 de marzo de 1979, una en el núcleo del reactor para absorber Los neu-de las turbinas se detuvo automáticamente (se trones y detener así la reacción de fisión nu-bloqueó) en la unidad n.O 2 de los dos reac- clear. Sin embargo. incluso tras extinguirse latores de agua a presión (PWR) que la compa- reacción en cadena. los materiales del núcleoñía Metropolitan Edison operaba en Three Mi- t o d a v í a radiactivos- producen calor: &te
  10. 10. ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADaumentó aún más la temperatura y la presión taba una considerable reducción en su ca-en el núcleo. En el diseño se había previsto pacidad de filtradoque esta presión fuese liberada automáticamen- b) Areas relativamente críticas de la planta es-te por una válvula pilotada (PORV) que u n a taban abiertas al público. El día anterior alvez a b i e r t a deja escapar ei agua del núcleo accidente 750 personas habían accedido alhacia un enorme tanque presurizador. y de ahí edificio auxiliar.a un sumidero situado bajo el recinto. Se su-pone que la PORV se abriría, bajaría la pre- c) Cuando se cambiaban los turnos, no sesióri, y a continuación se cerraría automática- aplicaba ningún mecanismo para realizarmente: pero en esta ocasión. cuando apenas una comprobación sistemática del estado dehabían transcurrido 1 3 segundos desde el ini- la planta. Además. se asignaban trabajos alcio de la emergencia. la PORV se negó a ce- personal de mantenimiento al principio derrarse. Esta válvula abierta equivale a un agu- sus turnos respectivos. pero no se efectua-jero por el que el agua radiactiva del sistema ba una comprobación posterior de sus pro-primarios. sometida a gran presión. se estaba gresos en el trabajo.vertiendo al recinto. y de ahí hacia los sótanos d) Una revisión retrospectiva de los informesde la planta. de eventos reveló la existencia de omisio-E 1 la emergencia. que duró algo más de 16 1 nes reiteradas, inadecuaciones en el análi-horas. se fugaron a ia atmósfera pequeñas can- sis de fallos y falta de acciones correctoras.tidades de material radiactivo. Aún no habién- e) Las tuberías y válvulas carecían de proce-dose asociado directamente a la pérdida de dimientos adecuados de identificación (así,vidas humanas. el coste para las compañías ocho horas después del inicio del acciden-explotadoras y las aseguradoras se situó en tor- te; los operarios emplearon más de diezno a los mil millones de dólares. Además, fue minutos tratando infructuosamente de loca-un auténtico jarro d e agua fría para la energía lizar e n una zona de alta radiación- tresnuclear en Estados Unidos. y sus repercusio- válvulas de disminución d e temperatura)nes en la preocupación pública por la seguri-dad de las plantas nucleares todavía se dejan ¿,Era inusual este estado del TMI-2? ¿Se trata-sentir eri la actualidad. ba simplemente de la .manzana podrida del barril nuclear? (PFRKOW, 1984). La eviden-En las irivestigaciones post-accidente se descu- cia sugiere lo contrario. Algunos años antes,brió una amplia diversidad de torpezas geren- MOKRIS ENGELKEN y (1973) habían examina-ciales y un amplio número de dudosos pro- do ocho accidentes con fuga de refrigerantecedimientos operativos. La inspección de la (LOCA). Dichos accidentes habían sucedido.TMl-1 (la otra unidad del centro) reveló la per- en seis diferentes reactores de agua hirviendo.tinaz falta de mantenimiento. Por ejemplo, s... a lo largo de un período de dos años (cuandode las válvulas colgaban estalactitas d e bo- sólo existían 29 plantas en explotación). Cen-ro de más de 30 c m , y en el suelo (del re- traron su atención en la búsqueda de coinci-cinto de contención de la TMI-1) s e habían dencias de fallos múltiples. En cada accidenteformado estalagmitas. (KEMENY. 1979). Otros concurrían entre dos y cuatros tipos diferentesdescubrimientos de similares características f u e de fallos: en la mitad de ellos se habían pro-ron. ducido violaciones de los procedimientos ope- rativo~.pero siempre junto con otros dos aa) Los filtros de iodo se utilizaban continua- cinco fallos. Además. los fallos no se circuns- mente (en vez de reservarse para filtrar el cribían al personal de la planta: en 20 plantas aire en el caso de contaminación radiac- se encontraron válvulas deficientes siiniinistra- tiva). Por ello. el día del accidente. presen- das por diez fabricantes diferentes. Como indi-
  11. 11. ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALlDADcaba PERROW (1984). los accidentes como el uno d e los impulsores del cohete: por la fisuradel TM1-2 nacen de la concatenación de estos salió proyectado el combustible inflamado. quesucesos relativamente triviales en sistemas nada causó la explosión de la lanzadera y la muer-triviales. La generación de electricidad a partir te de sus siete tripulantes-. Después de iiue-de energía nuclear e s una actividad d e gran ve años de proyecto, la pieza en cuestión teníacontenido técnico. pero resultaría ingenuo su- una larga tradición de fallos e imperfecciones:poner que tal actividad está dirigida y opera- mantenerla en el diseño del Challenger fue unda por una raza especial de superhombres: no claro ejemplo de incompetencia. <(ceguera.sz-son peores que los que emplean las demás in- lectiva. contraposición de objetilos y <<pensardustrias. pero tampoco son mucho mejores. con los pies>>. principales protagonistas fue- Los ron el contratista de cohetes d e combustible sólido (Morton Thiokol) y todos los escalafo-5.2. Bhopal iies directivos de la NASA.En la noche del 2 al 3 de diciembre de 1984.una fuga de qas . - - proveniente de una pequeña . . 5.4. Chernobylplanta de fabricación de pesticidas, propiedad A las 01:24 del sábado 26 de abril de 1986de una subsidiaria d e Uriion Carbide Corpora- estalló la cúpula de cemento (más de 1.000tion. devastó la ciudad de Bhopal en la Indiacentral. Fue el peor desastre industrial de to- torieladas) que sellaba el reactor Chernobyl-4.dos los tiempos: murieron al menos 2.500 per- En las dos explosiones que se produjeron. los .sonas. y hubo más d e 200.000 heridos. El ac- tragmentos tundidos del núcleo del reactor se dispersaron por los alrededores. proyectáridosecidente de Bhopal. quizá más que cualquier a la atmósfera los productos d e la fisión nu-otro de similar naturaleza. evidenció los riesgos clear: era el peor accidente de la andadura c o ~que entraña la fabricación d e productos quími- mercial de la energía nuclear. Hasta ahora secos altamente tóxicos (en este caso. metil iso-cianato-MIC): estos riesgos, hasta entonces. no ha cobrado más de 30 vidas, 1.000 km2 en las inmediaciones de la planta ucraniana hanse habían tenido en cuenta. . . quedado contaminados. v ha aumentado conEl escape se produjo cuando una cierta canti- siderablemente el riesgo de muertes por cáncerdad de agua penetró en un tanque de almace- en una extensa sona de Escandinavia y Euro-namiento del MIC. Para saber cómo llegó el pa Occidental. Fue un desastre causado ente-agua hasta el tanque sería preciso desentrañar ramente por el hombre. Incluso al tiempo deuna intrincada historia de desidias en el mante- escribir estas líneas (diciembre de 1988). toda-nimiento, errores de los operarios. laberinticos vía se restringe la venta d e ovejas de los con-diseños de las conducciones de bypass. fallo taminados pastos del noroeste de Inglaterra.de los sistemas de seguridad. incompetencia La industria nuclear occidental se apresuró agerencial. sequia, economía agrícola, nefastas afirmar enérgicamente que <<eso aquí no habríadecisiones gubernamentales y una cierta dosis pasado>>. analistas soviéticos señalaron co- Losde la mendacidad más absoluta. mo principal causa las infracciones y errores humanos. mientras que sus colegas occidenta-5.3. Challenger les -y especialmente Lord MAKSHALL. jefeReducida a términos meramente físicos. la cau- del CEGB- prefirieron cuclpar al pobre dise-sa del desastre de la lanzadera espacial Cha- ño del reactor RBMK y a la escasa <<culturallenger en la mañana del 2 8 de enero de 1986 soviética en materia de seguridad. t o d a v í aresulta brutalmente simple: poco después del resonaban los ecos de esta última afirmacióndespegue se partió una pieza de goma (el tris- cuando acontecieron los desastres de Zeebrug-temente famoso * O - r i n p , junta en anillo) de ge y Kings Cross.
  12. 12. ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECIYVA Y SU CAUSALIBAD5.5. Zeebrugge completa, desde el Consejo d e Administra- ción hasta los jefes de departamento, sonA las 1 8 : 0 5 del 6 d e marLo d e 1987. el traris- culpables d e lo que puede considerarse unabordador ~ H e r a l d of Free Enterprise>>d e la responsabilidad compartida ante el fallo deT«wnserid Thoreseii zarpaba del puerto inte- la gestión. Desde lo m á s alto hasta los nive-rior de Zeebrugge con destino a Dover: sus les inferiores, los miembros de la organiza-compuertas d e proa estaban abiertas. Al pasar ción adolecían d e una acusada desidia ...frenle al malecón exterior aumentó su veloci- El fallo por parte de la Dirección en Tierra,dad. y el agua penetró por la proa inundando que no emitió instrucciones claras y preci-la cubierta inferior de coches (cubierta G ) . Ha- sas, contribuyó asimismo al desastre. (Re-cia las 18:27. el Herald volcó con inusitada port of the Formal Investigation. 1987. págrdpidez (eii rnerms d e dos minutos) y acabó 141tumbado y ericallado. con su banda d e estriborsobre las aguas. En este accidente perdieronla vida rnás d e 151)pasajeros y 38 miembros 5.6. Kings Crossd e la tripulación. otras muchas personas resul- A las 19:25 del 18 d e noviembre d e 1987. eltaron heridas. El estudio del caso número 5 cigarrillo d e algún descuidado fumador pren-recoge la secuencia de acontecimientos y una dió fuego a la altamente inflamable borra quebreve relaci0ri d e los fallos Iaterites. se iiabía dejado acumular e n las correderas d eEn la tendencia general d e los investigadores una escalera mecánica. Veinte minutos másdi. accidentes q u e suelen concentrar sus es- tarde. las llamas inundaban el vestíbulo de ta-tudios en los errores activos-. la irivestigacióii quillas donde se acumulaban las personas eva-di. este desastre llevada a cabo por Mr. JUSTI~ cuadas por las escaleras d e las líneas VictoriaCt. S H E E N(lC187)ha supuesto una interesante y Picadilly. A pesar d e q u e los empleados d ecxcepcióii. Merece citarse coi1 cierta extensión la estación y los pertinentes servicios d e emer-lo que escribió acerca d e la responsabilidad ge- gericia cometieron algunos errores activos, larericial eii esta catástrofe: principal causa de este desastre se encontraba presente en el sistema mucho antes d e q u e el.A primera vista, los errores que desencade- fuego se iniciase.naron el desastre fueron los antes menciona- En la investigación posterior (FFNNELL, 1988).dos: errores d e omisión por parte de miem- el Inspector culpó tajantemente a la direcciónbros d e la tripulación, y la inutilidad del Ca- d e la London Regional Transport y a su com-pitán KIRKa la hora de dar órdenes claras pañía operativa, la London Underground. Tresy hacerlas cumplir. Pero una investigación citas bastarán para perfilar su valoración:amplia de las circunstancias del desastreconduce inexorablemente a la conclusión de .El Presidente de la London Regional Trans-que los fallos subyacentes o cardinales re- port, Sir KEITH BRIGHT,me comentó quecaen en las m á s altas esferas de la Compa- los aspectos financieros eran supervisadosñía. Los directivos se habían desentendido meticulosamente, pero no así los temas ded e su responsabilidad en la seguridad de ex- seguridad ... En mi opinión, equivocaba suplotación de sus barcos. Ignorando sus autén- verdadera reponsabilidad. (FFNNFI.I.. 1988.ticas obligaciones, no se plantearon la cues- pág. 1 7 ) .tión fundamental: ¿qué órdenes deberían dic-tarse para la seguridad d e nuestros barcos? .Resulta evidente, por lo que h e podido es-Da la impresión de que existen serias lagu- cuchar, que la London Underground estabanas en la disposición del Herald para la tra- intentando denodadamente reorieiitar su de-vesia Dover/Zeebrugge. La cúpula directiva safortunada política tradicional, y que se en-
  13. 13. ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDAI)contraba inmersa en lo que su Presidente y de las posibles conductas aberrantes. En efec-Director General, el Dr. RIDLEY,describió to. se requeriría un nivel superior de análisiscomo un cambio d e cultura y estilo. Sin que partiera de la base d e que. en la mayo-embargo, y a pesar de este cambio, la di- ría de los casos. los individuos no planificanrección seguía considerando que un incen- y ejecutan sus acciones d e manera aislada. si-dio sería siempre algo inevitable en el metro no dentro de un contexto social regulado Así.m á s antiguo y extenso del mundo. En mi si bien los errores pueden ser definidos en re-opinión, tal enfoque estaba profundamente lación con el proceso cognitivo del propio indi-descaminado* ( o p cit. pág. 17) viduo. las infracciones deberían ser concebidas dentro de un entorno social en el que la con-*He dedicado un capítulo a la gestión d e la ducta se regula mediante procedimientos o p e ~seguridad porque la principal lección que he- rativos. códigos. reglamentos. etc. A efectosmos de aprender d e esta tragedia e s la polí- de nuestro estudio. definimos <<infringir>comotica correcta que s e debe adoptar en a r a s apartarse deliberadamente de aquellas prácti-d e la seguridad,, (op. cit. pág. 18) cas que los diseñadores. gestores y entidades reguladoras estimen necesarias para mantener la seguridad en la explotación de un sistema6. ERRORES Y potencialmente peligroso>> TERGIVERSACIONES: LAS LECCIONES DE CHERNOBYL Y ZEEBRUGGE 7 . CLASIFICACION PRELIMINAR DE LAS INFRACCIONESUna conclusión importante que debe extraersede los desastres d e Chernobyl y Zeebrugge esque el término <<error>> abarca la diversidad no 7.1. Categorías delimitadorascompleta de factores humanos en los acciden- Las infracciones pueden obedecer a múltiplestes catastróficos. Al conformar un marco de motivos. Para identificar los extremos de estatrabajo adecuado para el análisis de conductas gama de posibilidades podríamos considerar laaberrantes (lit. <<desviadas camino>>), ne- del es intencionalidad de cada infracción. Como pri-cesario distinguir entre errores e infracciones. mer paso. nos preguntamos si existía intenciónCon frecuencia. unos y otras pueden presen- previa: si la respuesta es negativa. la podemostarse y de hecho se p r e s e n t a n en la mis- incluir dentro de la categoría de <<infraccionesma secuencia d e acciones, pero también pue- erróneas o no intencionadas>>. p o r el con^ siden darse d e manera independiente: una per- t r a r i o ha sido deliberada. necesitaremos sa-sona puede cometer un error sin por ello in- ber si existía o no intención de dañar el siste-fringir nada, y una infracción no implica la co- ma. e incluso elevaríamos las infracciones do-misión de un error. losas a la categoría de sabotaje. Puesto que laLos errores pueden entrañar dos tipos de edes- primera categoría se sitúa dentro de la a h o r a bien d e f i n i d a zona de error. mientras que laviaciónn: la divergencia involuntaria entre la ac- última se sale del ámbito d e la mayoría de lastuación y la intención (lapsus y deslices). y el situaciones de accidente, las infracciones de ma-desvío de las acciones planificadas con respec- yor interSs serán aquellas situadas entre ambasto a trayectorias satisfactorias hacia los objeti- categorías. es decir. las que presentan un cier-vos planteados (equivocaciones). Sin embar- to grado de intencionalidad sin evidenciar ungo. esta clasificación de los errores. al restrin-girse al proceso de información que desarrolla claro propósito de dañar el sistema.el individuo. apenas ofrece una visión parcial Dentro de esta amplia nebulosa de infraccio-
  14. 14. ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADnes deliberadas pero no dolosas. todavía po- 8. LOS «AGENTES PATOGENOSdríamos distinguir dos amplias subcategorías: Y LA CAUSALIDAD DE LOSlas rutinarias y las excepcionales. Las primeras ACCIDENTESse relacionan con los hábitos del individuo, yforman parte de su repertorio de conductas ad-quiridas; las últimas son infracciones excepcio- El estudio de los casos aquí esbozados demues-nales que se fraguan ante un conjunto de cir- tra que los grandes desastres n o suelen estarcunstancias particulares. La circulación rodada causados por un solo factor -ya sea éste me-en las grandes urbes nos proporciona abundantes cánico o humano-. sino por la concatenaciónejemplos claros de infracciones rutinarias; la imprevista. y normalmente imprevisible. de di-conducta de los operarios y operadores de Cher- versos eventos diferentes. todos ellos necesa-nobyl en los 20 minutos que precedieron a las rios pero no suficientes por sí mismos.explosiones son el perfecto ejemplo de infrac- Todos los sistemas construidos por el hom-ciones extraordinarias. bre contienen agentes potencialmente dañinos. equiparables a los agentes patógenos e n el cuerpo humano. En todo momento, cada sis-7.2. Infracciones rutinarias tema complejo entraña un cierto número d eA la hora de conformar las infracciones habi- fallos latentes cuyos efectos no se manifiestantuales cabe destacar dos factores: inmediatamente. Sin embargo. tales fallos la- tentes pueden propiciar actuaciones de los ope-al La tendencia natural en el hombre a seguir rarios eri contra de la seguridad del sistema el método del mínimo esfuerzo. y -everitualmente- debilitar los mecanismosb) La relativa indiferencia del entorno (que ra- de defensa del mismo. En su mayoría. estos ra V O L penaliza las infracciones. y pocas ve- fallos latentes son tolerados. detectados y co- ces recompensa la observancia de las nor- rregidos. o bien son controlados por medidas mas) de protección. A veces. sin embargo, un con- junto de circunstancias externas (que aquí de-La experiencia demuestra que si la manera nominaremos disparadores locales) se coali-más rápida y cómoda de realizar una tarea im- ya con estos agentes patógenos para amenazarplica transgredir un procedimiento de seguridad d e forma sutil y aparentemente imposible-aparentemente trivial y rara vez sancionado. las defensas del sistema. concitando su catas-dicho procedimiento acabará por ser infringido trófica destrucciónrutinariamente por los operarios del sistema Estos agentes patógenos incluyen las conse- cuencias de las decisiones incorrectamente to-7.3. Infracciones excepcionales madas por los gerentes. diseñadores. directi- vos. supervisores: también se incluyen aquí losLas infraccioi-iesexcepcionales no están tan cla- errores latentes de mantenimiento y las infrac~ramente especificadas. ya que son el producto ciones rutinarias. Dentro de los disparadoresde una amplia gama de condiciones de con- locales se incluyen los fallos de componentes,torno Sin embargo. tanto el desastre de Cher- estados atípicos del sistema. condiciones am-nobyl como el de Zeebrugge sugieren la im- bientales. errores activos del operador e infrac-portancia de lo que podría denominarse <<el ciones excepcionales.doble ciego sistémico)> d a s imposiciones con- otradictorias del sistema.: tareas particulares o 8.1. Algunos principios generalescircunstancias operativas que conducen inexo-rablemente a la infracción de las reglas. por Esta formulación de la causalidad de los acci-loable que sea la intención de los operarios. dentes en términos de agentes patógenos y dis-
  15. 15. ERRORES HUMANOS LATENTES: L A ESTRATEGIA LIIRECTIVA Y SU CAUSALIDADparadores locales nos permite sentar una serie talidad. Como consecuencia. las medidas pre-d e principios generales. vetitivas deberían centrarse en evaluar y redu- cir los agentes patógenos; éstos. al menos. son. 8.1.1.La probabilidad de un accidente c a - potencialmente detectables por aquéllos que co-tastrófico e s función del número d e agentes nocen el sistema en su conjunto y que tienenpatógenos presentes en ese momento en el adecuado acceso al mismo. Lo anterior plan-sistema. Cuanto mayor es el número de agen- tea importantes cuestiones: ¿,qué agentes pató-tes patógenos dentro de un sistema. mayor genos estamos buscando? ¿,Son algunos indi~probabilidad habrá d e que encuentren un con- cadores más significativos que otros a la horajunto de circunstancias d i s p a r a d o r e s sufi- de determinar el estado del sistema? 2,Cúal escientes para desencadenar un accidente la mejor mariera de analizar prospectivamerite la <<salud)> un sistema? Estas cuestiones e x i ~ de 8.1.2. En igualdad d e condiciones, cuanto gen c l a r a m e n t e su propia y urgente inves-m á s complejo, interactivo, imbricado y opa- tigación exhaustiva.co sea un sistema. mayor será el númerode agentes patógenos. Sin embargo. a pe- 8.2. Implicaciones prácticassar de que los sistemas más simples suelen sermenos interactivos. menos centralizados y más Nuestro análisis sobre la causalidad de los a c ~transparentes. tambitn tienden a ser conside- cidentes implica todavía dos consecuencias adi-rablemente menos evolucionados en términos cionales. En primer lugar. si los métodos ac-d e seguridad o defensas internas. Por ello. un tuales de evaluación de riesgos (basados en ár-número relativamente reducido de agentes pa- boles de fallos y eventos) no son capaces detógeno~ puede llegar a causar mayores daños proporcionar estimadores válidos de los erro-en los sistemas más simples. que en los más res activos de los operarios. tampoco serári ca-avanzados paces de descubrir los fallos latentes que pu- dieran llegar a combinarse con los disparado-8.1.3. El número d e agentes patógenos ge- res locales para desencadenar uii accidente.nerados por un cierto individuo será función En segundo lugar. si se acepta que las actua-directa de s u nivel en la jerarquia d e la to- ciones socavadoras de la seguridad de un sis-m a d e decisiones. Cuanto más alto es el ni- tema tienen su verdadero origeii en las deci-vel de una persona dentro del organigrama de siones errórieas de la dirección. entonces re-una organización. mayor es su oportunidad pa- sulta evidente que los problemas residuales dera engendrar agentes patógenos La excepción seguridad inherentes a las tecnologías de altoobvia a esta regla la constituyen los operarios riesgo no son atribuibles a puros <<cambios dede mantenimiento. cuyo trabajo entraña el ac- ingeniería)>.La investigación básica necesariaceso a una amplia gama de componentes del para mejorar la protección frente a accidentessistema, y cuyos errores e infracciones son sus- desencadenados por una combinación de even-ceptibles de trastornar la operatividad de sub- tos. requiere por tanto una colaboración mássistemas de vital importancia, y particularmente estrecha entre los tecnócratas y las ciencias h u ~el funcionamiento d e los dispositivos de segu- manísticasridad8.1.4. A pesar de q u e algunos disparadores 9. DECISIONES INCORRECTAS Ylocales pueden y deberían ser anticipados y ACTUACIONES PELIGROSASprevistos por los diseñadores, directivos yoperadores de un sistema determinado, e s El estudio de los casos aquí descritos permitevirtualmente imposible predecirlos en su to- hacer una identificación preliminar de otros fac-
  16. 16. ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDADtores de interés: los designios del sistema que y de asegurar la supervivencia empresarial: larigen la tra~nsformaciónde los defectos de di- dirección prefirió ahorrar dinero en vez de vi-seño y los errores gerenciales. en actos que das. S e desconocen las causas por las que laatentan contra la seguridad (errores e infrac- dirección de Chernobyl autorizó la realizaciónciones). A continuación consideramos nueve de una prueba que había sido rechazada p o rde estos factores: motivos de seguridad- en otras plantas RMBK; sin embargo, puede ser que alguien quisiese9.1. Defectos en los equipos apuntarse algunas medallas, pues se sabe que este tipo de reactores planteaba un problemaEn los seis accidentes estudiados se aprecia el técnico desde hacía tiempo i r ó n i c a m e n t e , unefecto de decisiones incorrectas en materia de problema cuya solución habría mejorado la se-ubicación. diseno e instalación de los sistemas. guridad del sistema-. En cuanto al Challen-En el caso de Three Mile Island. el incorrec- ger. si bien ciertos criterios económicos influ-to diseño de la sala de control y la inadecua- yeron en las decisiones gerenciales de Thiokol.ción de las interfaces del sistema propiciaron es posible que la conveniencia política de ex-los errores activos de los operadores. El acci- plotar y mantener el éxito d e la lanzadera in-dente de Bhopal - y por ende sus terribles dujera a los directivos d e la NASA a menos-consecuencias- se puede atribuir directamen- preciar y finalmente ignorar- las reiteradaste a fallos en los equipos. El desastre del Cha- advertencias de la junta en anillo. La direcciónllenger radica en las largamente arraigadas de- de la London Underground estaba plenamen-ficiericias de la junta en anillo (deficiencias que te inmersa en una amplia reconversión finan-la NASA y la Morton Thiokol c o r i su desi- ciera: esta reorganización se hizo a costa dedia- no subsanaron). Las explosiones de Cher- la seguridad de los pasajeros, de la cual nin-nobyl fueron causadas por una compleja inte- gún departamento era responsable. En tal cli-racción entre fallos activos y defectos inheren- ma. era inevitable que los mandos intermediostes al diseño, en el que se había obviado la contemplaran la reducción d e costes como ob-importancia de un coeficiente positivo en vacío jetivo primordial. y que las imprescindibles me-durante la operación a baja energía del reactor joras en la seguridad de los pasajeros fueranRBMK. Un factor decisivo en la tragedia del percibidas como algo completamente secun-Herald fue la filosofía de su diseño que s i dario.bien permite el transporte de un gran númerode vehículos y pasajeros- coadyuvó a que 9.3. Defensas inadecuadas ovolcara tan rápidamente. coartando así una inexistenteseventual evacuación d e emergencia. En KingsCross. la empresa debería haber reemplazado Este tipo de deficiencias resultó especialmentelas escaleras mecánicas: esta negligencia jugó evidente en los desastres de Zeebrugge y Bho-un papel fundamental en la tragedia resultante. pal. En el primero de ellos. no habría resulta- do excesivamente caro implantar algún medio9.2. Incompatibilidad entre los de evitar que el barco zarpara con las com- objetivos del sistema y la puertas abiertas. La dirección respoiidió con el seguridad siguiente argumento a las repetidas solicitudes d e instalación d e indicadores en el puente d eEl estudio de los casos revela que. en la con- mando: c..d e nosotros no depende. En re-secución de algunos objetivos del sistema. pue- sumen, si las compuertas n o quedan correc-de llegar a comprometer seriamente su seguri- tamente cerradas, la persona responsable dedad. En el caso de Union Carbide y Townsend hacerlo debería ser amonestada,, lmemorán-Thoresen. se trataba de aquilatar los beneficios dum de un directivo. citado en el Report of
  17. 17. ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDADthe Formal Investigation). En la estación de aumentara el número de servicios diarios; bajoKings Cross n o había planes de evacuación. este clima de presión, en rnás de una ocasiónun extintor d e incendios se hallaba encerrado los barcos de la Townsend lhoresen habíandetrás de unas mamparas, y prácticamente na- abandonado el puerto con las compuertas dedie sabía dónde estaban los equipos auxilia- proa a popa abiertas.res contra incendios. Además. algunas vías deescape estaban cortadas u obstaculizadas conpuertas trancadas y barreras metálicas. 9.8. Fallos organizativos9.4. Procedimientos operativos Estos fallos estuvieron presentes en los seis a c ~ inadecuados cidentes, pero constituyerori un factor proba- blemente decisivo en el caso de Kings Cross.En los seis accidentes cabe destacar la trágica Tres divisiones de la London Underground dis-influencia de las deficiencias en los procedi- ponían de personal especializado eri materiasmientos: desde el inadecuado procedimiento de seguridad, pero ninguna persona o depar-de relevo en los cambios de turno en el TMI- tamento asumía la responsabilidad gerieral. La2 , hasta el tristemente famoso <<informe negati- larga tradición de seguridad en los ferrocarrilesvo>> la cubierta del Herald. en parecía descartar la siniestralidad en el metro. En palabras del Inspector. la dirección de la London Underground adolecía de una .auto-9.5. Desidia en el mantenimiento suficiencia obtusa y peligrosa>, (op. cit. pág.La inadecuada gestión de las actividades de 31).mantenimiento desempeiió un papel especial-mente significativo en los accidentes de Bho-pal. TMI-2 y Kings Cross. 9.9. Fallos de comunicación A pesar de que los seis accidentes evidencia^9.6. Formación inadecuada ban este tipo de deficiencias. los fallos de co- municación fueron especialmente relevanles enLds serias deficiencias en los conocimientos y Chernobyl y en Kings Cross. En este últimometodologías de los operadores contribuyeron caso. las vías de comunicación eritre los dis-significativaniente a los accidentes de TMI-2, tintos especialistas no estaban nada claras y,Bhopal y Chernobil. La ausencia de formación además. apenas se utilizaron. Las salas de con^adecuada -para casos de incendio y emer- trol del metro de Londres carecían de siste~gencias- del personal de la estación de Kings mas adecuados de telefonía y sefialización; es-Cross se cobró vidas adicionales. to ocasionó imperdonables retrasos en la c o ~ municación de las instrucciones de la policía para evitar que otros trenes pararan eri la es-9.7. Condiciones propiciadoras de tación. Además. los coches carecían de mega- errores e infracciones fonía. y el circuito cerrado de televisión de la estación no se utilizó para dirigir la evacuaciónEstas condiciones quedaron especialmente pa- de los pasajeros. Por último. si bien la Londontentes en Chernobyl y en el Herald. En el pri- Underground había ido recopilando y distribu-mer caso, se pidió a los operarios que realiza- yendo los informes de incendios anteriores eriran una labor para la que no estaban cualifi- el metro, tales datos nunca llegaron a las altascados y para la que. además. tenían que in- esferas de la organización. y ni siquiera la Ins-fringir las normas de seguridad. En Zeebrugge, pección de Ferrocarriles solicitó dicha informa-la dirección había presionado para que se ción.
  18. 18. ERRORES HUMANOS LATENTES: LA ESTRA7EGIA DIRECTIVA Y SU CAUSALIDAD10. EPILOGO: LO QUE NOS d e seguridad perdieron completamente su re- ENSEÑAN LOS ACCIDENTES levancia.. PASADOS ¿Podría ésto pasar en el Reino Unido? La revi- sión de Lord MARSHALL la siguiente: s... esNo resulta fácil aprender las lecciones que nos la enorme importancia d e preservar la segu-enseñan los accidentes catastróficos. especial- ridad está tan profundamente enraizada enmente si tales lecciones son consideradas co- la cultura de la industria nuclear, que estomo minadoras d e la y a de por sí- escasa no ~ o d r á pasar en el Reino Unido..confianza de la opinión pública en la seguridad El tkrmino <<sorpresa fundamental)>fue acuña-de las tecnologías operadas por poderosos gru- do por el israelita ZVRILANIR (LANIR. 1987)pos de influencia. Las reacciones instituciona- en relación con la guerra del Yom Kippur: sinles. tanto ante sus propios desastres como an- embargo. resulta particularmente apto tantote los de los demás. ponen de manifiesto dos para el accidente del TM1-2 como para el dedefectos universales de la condición humana: Chernobyl. Una sorpresa fundamental es lael error de la atribución fundamental, y el que revela una profunda discrepancia entreerror de la sorpresa fundamental. la realidad y la propia percepción del mundo; tales situaciones exigen una reorientación com-El error de la atribución fundamental ha sido pleta del enfoque adoptado. Las sorpresas si-extensarnerite estudiado por la psicología so- tuacionales. por otra parte, son sucesos locali-cial (cfr. F I S Ky~TAYLOK. 1984). y se refierea la yerieralizada tendencia de atribuir los re^ zados en los que basta con solucionar proble-sultados riegativos a las carencias personales mas específicos.de los individuos (factores disposicionales), en LANIK equipara la diferencia entre ambas sor-vez de achacarlos a factores situacionales que presas a la que existe entre <<sorpresa>, <<es-yestán más allá del control del individuo. Tal t u p o r ~ e ilustra su comparación con una anéc- .tendencia se evidencia en las respuestas al ac- dota de WEBSTER. lexicólogo. Un día. al re- elciderite de Chernobyl. tanto eri la de los r u ~ gresar a casa. WEBSTER descubrió a su mujersos como en la de los ingleses. Así. el informe en brazos del mayordomo. <<Me has sorpren-ruso sobre Cherriobyl (USSK State Committee dido~ dijo ella. <<me has dejado estupefacto^.ori ihe Utilization of Atomic Eriergy. 1986) respondió el. La señora WEl3STFR experimen-coiicluyó que: <<La causa principal del acci- tó una sorpresa situacional. pero la del señordente residía en una combinación extrema- WEBSTER fue una fundamental.damente improbable de infracciones de las El individuo tiende a comportarse ante las sor-instrucciones y procedimientos operativos*. presas fundamentalmente como lo haría ante Lord MAKS~IALL. Presidente del Central Electri- simples sorpresas situacionales. Por ello, elcity Gerierating Board (CEGB) del Reino Uni- error de la sorpresa fundamental < L . . supone do. prolongó el informe que la Atomic Energy desestimar toda significación fundamental, Authority (1987) preparó sobre Chernobyl: sus limitándose a aprender lecciones situaciona- palabras inculpan sin ambages: .Para nosotros les a partir de aspecto superficiales>> (LANIR, los occidentales, la secuencia de errores de 1987). Y &te es precisamente el error que el los operadores del reactor resulta incompren- estamento nuclear británico ha cometido con sible. Quizá obedeciera a una suprema arro- respecto a los accidentes de Chernobyl y Three gancia, quizá a una completa ignorancia. Mile Island Más plausiblemente. podemos especular que los oneradores. como resultado del hábito, En la investigación pública del Sizewell B ( L A Y ~ habían transgredido tranquilamente tantas FIELD. 1986). los miembros del CEGB procu- reglas durante tanto tiempo, que las normas raron aislar a la futura estación de los proble-
  19. 19. ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDADmas que el reactor PWR presentó en Three anteriormente trabajara en la Corporación Wes-Mile Island el 28 de marzo de 1979. Identifica tinghouse (WOODS. 1987). Sus conclusionesron los aspectos más destacados del accidente generales pueden igualmente aplicarse a losdel TMI-2 (la planta de vapor. atascos en las accidentes de Chernobyl. Bhopal, Challenger.válvulas d e escape, deficiencias en el diseño Zeebrugge y Kings Cross.de la sala de control, inadecuada formación de <El accidente d e TMI fue algo m á s que unalos operarios, etc.) y afirmaron que estos y inesperada cadena d e fallos, algo m á s queotros aspectos serían radicalmente mejorados una situación prevista pero resulta inadecua-en el reactor PWR de Sizewell B. En su infor- damente, y algo más que una situación cuyame. s i r FRANK LAYFIELI) apunta una visión previsión devino inadecuada. El accidente d emás amplia: .algunos aspectos del accidente TMI fue una sorpresa fundamental que reve-del TMI nos advierten de factores que son ló una incompatibilidad básica entre la rea-d e general importancia*, pero acaba conclu- lidad y la opinión que la industria nuclearyendo que no resultan aplicables en el Reino s e había formado sobre ella misma. AntesUnido debido a las diferencias organizativas. del accidente d e TMI la industria podía con-Esta naiural preocupación por distanciar las siderar, y consideraba, que la energía nu-instalaciones británicas de las catástrofes de los clear era un sistema puramente técnico enpaíses extranjeros se puso aún más de mani- el que todos los problemas se enmarcabanfiesto en el análisis de la UKAEA sobre el de- dentro de algún á r e a técnica y en el que lassastre de Chernobyl (GITTUS, 1987): «En con- soluciones a tales problemas dimanaban declusión, el accidente d e Chernobyl se debe las diversas disciplinas d e la ingeniería. Elexclusivamente al diseño del reactor RBMK accidente d e TMI evidenció claramente loy. por tanto, hay poco que el Reino Unido falaz de ese punto d e vista, ya que los fallospueda aprender d e él. S u principal conse- residían en el sistema socio-tecnológico, ycuencia h a sido la d e reforzar y reiterar la no en factores técnicos ni humanos».importancia y validez d e los estándares bri- En cualquier tecnología. y para cualquier paístánicos actuales». que la aproveche. el mensaje de este artículoPor lo tanto. ¿,cuáles son las lecciones que he- es muy claro: nadie posee el monopolio demos de aprender de los desastres de TMI y defectos en el diseño, decisiones gerenciales ina-Chernobyl? En el caso de Three Mile Island, decuadas y desidias en el mantenimiento. Yestas lecciones han sido destacadas c r e o que son estos fallos humanos latentes los que en-muy a c e r t a d a m e n t e por DAVID WOODS, en trañan el principal riesgo residual para los mo-la actualidad en la Ohio University. aunque dernos sistemas complejos. REFERENCIAS 1 B ~ I ~ K I ? C ) C .;: F"Ttie i o r i e s o1 automatiori. L , deiernirie critica rnariageiiieiit arid orgaiiza Fri .J Rasni~isseri, K tioria failures ttiat niay e a d to catnstroptiic 2 Ouri(:an 6 .J Keplat ~ e d s . )"New T~.ciirr>loijy . sysicm failur<. The Worid B a n k , Wasbiirig~ arid Humari Error". Wilcy, Loridcs, 1987 tori DC, 1987 3. B A T S ~ ( ) YR . "Workshop to develop a r n i i l t i ~ F 4 D I ~ N C A NK . : "Füut diagriosic for advariccd , scctornl!rti~iltidiscipliiiaryresearch prograiri l o cnr~inuns installatioris" Eri J. Rasrriusseri K .

×