Errores humano latentes

ERRORES HUMANOS LATENTES:
LA ESTRATEGIA DIRECTIVA Y
S U CAWSALIDAD EN LOS
ACCIDENTES GRAVES

Cztedra <le Psicología Uiiiversidad <le M.rrirhiiitcr

El preserite artículo es la A la hora de considerar la contribución huma-
traduccion d e la comunicación na a la causalidad de los accidentes catastrófi-
presentada por el autor en el cos en los sistemas tecnológicos. cabe distinguir
Seminario sobre Riesgo y dos tipos de errores: los activos. cuyos efectos
Sociedad, organizado por la se evidencian prácticamente de inmediato: y
Asociación d e Ginebra y los latentes. cuyas consecuericias adversas p u e ~
celebrado en Londres (Iriglaterra) den permanecer ocultas durante cierto tiempo.
en enero del presente afio. manifestándose únicamente al combinarse con
otros factores para agredir las defensas del s i s ~
La teciiiíicacidii d e procesos
tema (cfr. RASMUSSENy PEDERSEN. 1984).En
comp1e;os produce el efecto d e general. los errores activos se asocian con la
separar dichos procesos del ser
humano. Cada vez es más I I
difícil un control directo Los errores latentes entrañan la
sobre los sistemas o procesos mayor amenaza para la seguridad de
tecrio/óyicos. Un alto porceritaje un sistema complejo.
de accidentes graves se produce
por faiios humanos ~iateritesz.es
decir. por acciones no directas actividad de operadores de <<primera línea de
sobre la iristalación o sistema explotación de un sistema)>:pilotos. oficiales
íallido. El autor plantea una de buques. controladores aéreos. etc. Por el
reflexión sobre esta importante contrario, los errores latentes subyacen normal-
paradoja. preserite eii rnuchos mente a actividades disociadas (tanto espacial
accidentes qiic, por su como temporalmente) de la labor directa de
importancia. han sido actualidad control: ingenieros de diseño. operarios y téc-
~iiiii~~li~l nicos, personal de mantenimiento y directivos.

G I 11

ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDAD

El análisis detallado de algunos accidentes re- d e seguridad. el término <<factoreshumanos>>
cientemente acaecidos ( y reflejados posterior- abarca un espectro de individuos y actividades
mente en este artículo) evidencia significativa- mucho más amplio que el conjunto de perso-
mente el hecho de que los errores latentes en- nas en <<primera Iínea de explotación>> un
de
trañan la mayor amenaza para la seguridad de sistema. De hecho. uno de los temas centrales
un sistema complejo. Hasta ahora, los iinálisis de este artículo es que cuanto más alejados
de fiabilidad y las investigaciones sobre acci- están los individuos de estas actividades de pri-
dentes tendía11 a centrar su atención en los mera Iínea (e. incidentalmente. de los riesgos
errores de los operadores y en los fallos de directos), mayor es su peligro potencial para
los equipos. Si bien e s cierto que los opera- el sistema
dores pueden (y suelen) cometer errores al in-
tentar recuperar situaciones no toleradas por Existen también intentos típicamente <<reactivos>>
por minimizar errores: se pretende en estos ca-
un cierto cisterna. también es cierto que la ma-
sos eliminar la recurrencia de determinados fa-
yoría de las causas que subyacen a la emer-
llos activos identificados a posteriori por los in-
gencia se encontraban ya en el sistema mucho
vestigadores de accidentes. De manera similar.
antes de que estos errores activos fuesen co-
si bien es conveniente aprender lo máximo po-
metidos.
sible acerca de los accidentes ocurridos en el
El papel de los operadores. más que el d e pasado, tambiGn debe considerarse que tales
principales causantes de un accidente, es el de sucesos suelen ser provocados por una con-
heredar las taras del sistema causadas por la junción singular d e diversos factores necesarios.
baja calidad del diseiio, defectos de instalación. pero por sí solos insuficientes. Si se tiene en
escasa competencia de los técnicos de mante- cuenta la improbabilidad de que tal combina-
nimiento y arbitrariedad en las decisiones de ción de causas vuelva a repetirse. los esfuerzos
la dirección. Los operadores son -en reali- por evitar que se produzcan dichos errores ac-
dad- el condimento final a un guiso que Ile- tivos apenas influirán en la seguridad total del
vaba largo tiempo ya cocinándose. sistema. En el peor de los casos, la inutilidad
del esfuerzo es equiparable a la de encontrar
Existe una creencia cada vez más firme, entre el mejor método de asegurar la puerta de un
los investigadores del tema (cfr. BAI'STONE. establo cuyo caballo ya se ha escapado.
1987: RASMUSSEN.1988). de que los inten-
tos por descubrir y neutralizar estos errores la- En este artículo se considera la contribución
tentes incrementarían la seguridad del sistema de los errores latentes al fallo catastrófico de
por encima de las cotas alcanzabies mediante una serie de sistemas complejos. Puesto que
esfuerzos individuales por minimizar los erro- la noción de error latente está íntimamente li-
res activos. Hasta la fecha. el trabajo de los gada a la idiosincrasia de la tecnología contem-
especialistas en factores humanos se ha dirigi- poránea. comenzaré por describir brevemente
do fundamentalmente a la mejora del punto algunas de las modificaciones más significati-
de encuentro entre el sistema y el operador vas introducidas durante las últimas décadas en
(la interfaz hombre-sistema. es decir, la sala de el control de los sistemas de alto riesgo.
la torre de control o la cabina de los pilotos)
Sin negar la trascendencia de estas investiga-
ciones. es preciso recordar que se restringen
a una pequeña parte del problema de la se-
1. DESARROLLOS
guridad total. al estar enfocadas a reducir el
TECNOLOGICOS
.error activo)>(que apenas representa la punta
del iceberg d e la causalidad). La experiencia Los últimos 30 ó 40 años han sido testigos de
de los pasados años enseña que. en materia una auténtica revolución tecnológica en el di-

ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALlDAD

seño y control de los sistemas de alto riesgo. quinas de creciente complejidad que intervie-
A su vez, esta revolución ha desatado cambios nen entre el humano y la tarea física.
radicales (y todavía poco comprendidos) en las
Al principio. los operadores empleaban méto-
tareas destinadas a los humanos.
dos directos de actuación y captación: veíain y
tocaban lo que producían o controlaban. Des-
1.1. Los sistemas están cada vez pués llegaron los dispositivos de actuación y
más automatizados control remotos. que se introdujeron cuando
el proceso resultaba demasido peligroso o de-
Uno de los adelantos más significativos de los masiado sensible para ser tratado directamente.
últimos años ha sido la separación física entre cuando resultaba necesario superar la potencia
los operadores (las personas situadas en el in- del músculo humano. o cuando los sentidos
terfaz hombre-sistema) y los procesos sobre los del operador resultaban incapaces d e detectar
que ejercen su control. Se han introducido má- ciertos cambios físicos significativos

OPERADOR HUMANO

NIVEL 1 lNDlCADORES CONTROLES

NIVEL 2
S t G t E M JNFORMATICO DE WTERACCkON
CON EL HUMANO (SIH)

NIVEL 3
CON LA TAREA (SIT)
NIVEL 4

t -

I TAREA l

Elementos básicos del control de supervisión MOR AY, 1986)

ERRORES HUMANOS LATEN7ES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDAD

Pero los cambios más profundos llegaron con Por tanto. hemos pasado de un estadio en el
el advenimiento d e la potencia informática a que el individuo era el actor principal, y el or-
bajo precio. Ahora. el operador puede ser se- denador su esclavo, a otro en el que los pape-
parado del proceso al menos por dos barreras les se han invertido. Durante la mayor parte
informáticas: en el nivel inferior. uno o varios del tiempo, la tarea del operador se reduce a
ordenadores controlan los diversos aspectos de- supervisar el correcto funcionamiento del siste-
tallados de la operación (SIT); por otra parte. ma. y a que éste funcione dentro de los Iími-
interviniendo entre los operadores y los orde- tes normales. La cognición humana. con sus
fortalezas y debilidades, se muestra poco ade-
cuada para este tipo de actividad.
1 I
Hemos pasado de un estadio en el
que el individuo era el actor 1.2. Los sistemas son cada vez más
principal, y el ordenador su esclavo, complejos y peligrosos
a otro en el que los papeles s e han
invertido. Una de las consecuencias d e la creciente infor-
matización antes descrita ha sido que los siste-
mas de alto riesgo (tales como plantas nuclea-
res o de procesos químicos) han aumentado
nadores de interacción con la tarea se sitúa la en tamaño y complejidad. Esto significa que
iriterfaz hombre-sistema. con otro ordenador cada vez mayores cantidades de materiales
(SIH) que g e n e r a l m e n t e - apenas permite potencialmente peligrosos se concentran en
uri nivel de interacción muy limitado entre los centros de trabajo únicos bajo el control cen-
humanos y el proceso (que se convierte así en tralizado de un elenco cada día menor de ope-
remoto) radores. Un fallo catastrófico de estos sistemas
supone una seria amenaza n o sólo para el per-
Esta situación se denomina <<control super-
de
sonal de la planta. sino también para el públi-
visi6rin. que defiiii6 SHERIDAN (1984) como
co pedáneo (en plantas nucleares y de arma-
. . . procesos de inicialización. monitorización
mento. este riesgo se extiende más allá del
y ajuste en sistemas que. por lo demás. están
área circundante)
coiitrolados automáticamente)>
Tal sistema de control iia devengado un pro-
fundo cdmbio en la relación hombre-sistema.
Como explica MORAY (1986):
1.3. Los sistemas poseen mayores
defensas contra los fallos
<<Existe cierto sentido en decir que el a c -
un Debido a las cada vez más catastróficas conse-
tor principal es m á s el ordenador que el in- cuencias derivadas de un posible fallo. y gra-
dividuo. La mayor parte del tiempo, el orde- cias a la disponibilidad cada vez mayor de
nador decide cómo se debe ejercer el control hardware <<inteligente,>. diseñadores se han
los
y qué se debe informar o preguntar al opera- concentrado en incluir dispositivos automáticos
dor. Este puede tomar el control o aceptar de seguridad (DAS) suficientes para proteger
lo que el ordenador le propone pero, normal- el sistema contra cualquiera <<escenario)>
cono-
mente, a pesar d e que es el individuo quien cido de fallo. «Cuanto m á s complicada es
define la tarea que h a de realizar el ordena- una planta o mayor la interacción de sus
dor, es este último el que ejerce el control. elementos, mayor atención se presta a dis-
El ordenador se convierte así en el corazón minuir la eventualidad de los fallos ...D (PE~
del sistema,,. RROW. 1984, pág. 43)

ERRORES HUMANOS LA7TNTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDAD

Así. el diseiio d e una planta nuclear moderna. sitari saber. y a la vez se ven inundados d e
por ejemplo. se basa e n la filosofía de edefen- iriformación p o s i b l e m e n t e innecesaria- q u e
sa exhaustiva.: para q u e ocurra uria catástrofe. n o saben interpretar. En sistemas menos sofis-
durante la secuencia del accidente debe pro- ticados. siempre cabía un recurso: el operador
ducirse una combinación d e eventos aparente- o el responsable salían y comprobaban la situa-
mente improbables (cfr. RASMIJSSEN y PFIIFR~ ción por sí mismos. examiriaban la calidad del
SEN. 1 9 8 4 ) . En primer lugar. los dispositivos producto. revisaban la válvula q u e goteaba o
automáticos d e seguridad tendrían q u e ser in- recurríari a alguien con verdadera experiencia
capaces d e restablecer el estado d e seguridad eri el asunto. Sin embargo. estas soluciones ya
del sistema; además, los métodos d e confina- rio son factibles en las modernas plantas quí-
miento d e materiales tóxicos tendrían que ser niicas o nucleares. donde s e desarrolla un pro-
iriútiles. Sin embargo. tales desastres todavía ceso al que uno n o puede acercarse y que
ocurren. Una d e las razones más obvias reside aperias se comprende parcialmente. dentro d e
eii la susceptibilidad de estos sistemas d e segu- iiri abstruso laberinto d e tuberías. recintos d e
ridad a los errores humanos y e i i especial- contención reforzados y bunkers d e cemento.
a los latentes. Nos enfrentamos por tanto a
Existe otro factor que contribuye decisivamen-
uiia paradoja: estos sistemas especializados. es-
te a la opacidad del sistema: sus propias defen-
pecíficamente diseñados para hacer q u e la
sas. RASMUSSEN (1988) ha denominado este
planta sea segura. son también sus peores
fenómeno ala falacia d e la defensa exhaustiva».
puntos débiles.
.Otro aspecto importante inherente a la filo-
sofía d e 'defensa exhaustiva' es que -con
1.4. Los sistemas son cada vez frecuencia- el sistema no responde activa-
más opacos mente ante fallos aislados. Como consecuen-
Uiia de las consecuencias d e los mericiona- cia, muchos de los errores y fallos cometi-
dos avaiices tecnológicos e s q u e estos sistemas dos por el personal y por los técnicos d e
complejos y exhaustivameiite defendidos pier- mantenimiento no se revelan directamente
den su traiisparencia ante las personas que los mediante una respuesta funcional del siste-
dirigen. mantienen y operan. Esta opacidad m a . La fiabilidad de la actuación humana
tiene dos aspectos: iio saber lo que está pa- puede ser muy elevada -incluso en entor-
sand«. y n« entender cómo puede reacciona: nos muy dinámicos- si las eventuales equi-
el sistema. vocaciones y los posibles fallos conllevan
efectos inmediatamente evidentes y pueden
C o m o hemos visto. la automatización ha susci- ser corregidos. La supervivencia al conducir
tado uii cambio fundamental e n el papel q u e por las calles d e París en horas punta de-
las personas desempeñan en el árnbito d e c i e r ~ pende de este hecho..
taq tocriologías d e alto riesgo. En lugar d e c o r i ~
iaciar dirwtamente con el proceso. las perso- .Compárese lo expuesto con el funcionamien-
rias han sido <qxomocionadasx < < . . a tareas to de un sistema cuyo diseño s e atiene al
de supervisión de alto nivel y a tareas de principio de 'defensa exhaustiva'. En este ca-
planificación y mantenimiento a largo pla- so, deben coincidir diversos sucesos indepen-
z o (RASMUSSEN. 9 8 7 ) . Eri cualquier caso.
1 dientes para que el sistema responda con
estos individuos quedan apartados del proce- cambios apreciables en su conducta. Al vio-
s o : la interfaz informática filtra la información larse algunas condiciones iniciales de segu-
que reciben. Como h a quedado demostrado ridad del sistema durante la explotación del
en numerosos accidentes. con frecuencia los mismo no se producirá -probablemente-
operadores rio pueden encontrar lo que nece- una respuesta funcional inmediata, y los

ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAIJSALIllAfl

efectos latentes d e los errores humanos pue- cia efectiva durante prolongados intervalos de
den, por tanto, permanecer ocultos en el sis- tiempo. por lo que resultan tremendamente
tema. Cuando s e permite l a permanencia d e inadecuados para llevar a cabo las tareas com-
tales errores durante un prolongado lapso plementarias de supervisión de incidencias y
temporal, aumenta drásticamente la proba- anomalías. Para ayudarles. los diseñadores de-
bilidad d e que acaezca l a multiplicidad d e ben prever la generación automática de seña-
fallos necesarios para provocar un accidente. les de alarma. pero ¿quién toma las decisiones
El análisis d e los grandes accidentes mues- cuando dichas alarmas fallan o han sido des-
tra que la seguridad básica del sistema tien- conectadas?
d e a erosionarse debido a los errores laten-
tes. Por tanto, cabría inferir que la seguri- Otra de las tareas de un operador consiste en
dad de un sistema s e mejora m á s al reducir asumir el control manual cuando falle el siste-
la duración o permanencia d e los errores la- ma automático de control. El control manual
tentes, que al reducir su frecuencia básica. exige plena capacitación, y todo operador de-
(RASMUSSEN, 1988. págs. 3-41 bería ejercitar continuamente su pericia para
mantenerla en óptimas condiciones. Sin em-
bargo. un sistema automático q u rara vez
~
f a l l a niega a los operadores la oportunidad
2. LAS IRONlAS DE LA de practicar sus habilidades básicas de control.
AUTOMATIZACION Una de las consecuencias d e la automatiza-
ción. por tanto. es que los operadores pierden
su capacidad de acometer las complementa-
La Dra. LISANNF BAINBRI»(;E(1987) del Uni- rias tareas de supervisión (que son precisa-
versity College London ha resumido muchas mente las que justifican la existencia de dichos
de las dificultades que subyacen a la relación operadores). Además, el control se suele asu-
hombre-máquina en una instalación tecnológi- mir ante situaciones anómalas, que son las que
camente avanzada. S e trata de lo que ella de- exigen en el operador la máxima habilidad.
nomina elas ironías de la automatización>2. DUNCAN (1987) sostiene esta misma opinión:
Con cierta frecuencia. los ingenieros de diseño ~ C u a n t om á s fiable e s una planta. menos
de un sistema tienden a conceder poca fiabili oportunidades tiene el operador para practi-
dad o eficiencia ai operador. y procuran s u car una intervención directa, y m á s difíciles
plantarlo mediante dispositivos automatizados. Serán las restantes tareas q u e realmente re-
Esta actitud entraña dos ironías: oor un lado. quieren su intervención».
los errores de los diseñadores, tal como se
Estas ironías salpican también al tema de ia
discute posteriormente en este artículo. contri-
formación de los operadores. Conscientes de
buyen significativamente al acontecer d e inci-
la tensión nerviosa y de las dificultades a las
dencias y accidentes; por otro lado. el mismo
diseñador que desea eliminar la intzrvención que se enfrenta un operador ante una emer-
gencia. los diseñadores y directivos no han es-
humana, necesita sin embargo recurrir a la fi-
catimado esfuerzos en intentar encontrar proce-
gura del operador c... para que realice las
dimientos predefinidos para cualquier actuación
tareas que el diseñador e s incapaz d e auto-
del operador. Dichos procedimientos suelen ba-
matizar. (BAINBRIDGE. 1987. pág. 272)
sarse en intrincadas estructuras arborescentes
En una planta automatizada se necesitan o p e o en sofisticados algoritmos que teóricamente
radores para supervisar el correcto funciona- permite11 discernir una situación entre un con-
miento del sistema. Pero es de sobra conocido junto de posibles fallos. Con ello se revela otra
que los operadores i n c l u s o estando altamen ironía más de la automatización: se enseña a
te motivados- no pueden ejercer una vigilan los operadores a cumplir a rajatable unas ins-

ERRORES HUMANOS LATENTES L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDAD

trucciones escritas que han aprendido de me- I I
moria. y luego se les scolocam en un sistema La evidencia muestra que la actividad
para que aporten su inteligencia interactiva y de control llega a ser tan extraña -y
capacidad de improvisación. .Quizás la ironía el sistema tan complejo- que, en un
final es que los sistemas altamente automa- significativo número de ocasiones,
tizados, que raramente necesitan de inter- los operadores actúan
vención manual, son los que pueden preci- incorrectamente.
sar la mayor inversión en formación de los
I 1
operadores,, (BAINBRIDGE, 1987)
sistemas complejos?. para solucionar las emer-
gencias: jcómo actuarán realmente a la hora
3. EL «CIRCULO VICIOSO» DEL de resolver los problemas'?. según patrones r u ~
CONTROL DE SUPERVISION tinarios basados en interacciones previas con
HUMANO uri entorrio específico; jcuál es la experiericid
que adquieren en una sala de control?. super^
visar y realizar pequetias prácticas ocasioiiales
Como ya se ha indicado. la razón básica para e n la planta mientras ésta funciona dentro de
incluir operadores e n los sistemas controlados sus límites de seguridad. Por lo tanto ¿,se pue-
principalmente por ordenadores inteligentes es de pretender que operen adecuadamente cuati-
la capacidad humana para resolver emergen- d o deban reasumir la verdadera actividad de
cias ano previstas en el diseno>>. resumen,
En control'? La evidencia muestra que esta activi~
los operadores están ahí porque los diseñado- dad se llega a hacer tan extratia y el sis-
res no pueden prever todas las posibles situa- tema tan complejo--- que, en un significativo
ciones de fallo y . por tanto, no son capaces número de ocasiones. los operadores actúan
de incluir dispositivos automáticos de seguri- incorrectamente
dad para cada contingencia.
Uria posible solución consistiría en que el ope-
Además de un cierto efecto estético, los hu- rador dedicara gran parte de su turno a for-
manos aportan a los sistemas de alto riesgo su marse c o n supuestos prácticos de emergeri-
exclusiva habilidad para solucionar sinteracti- cias pasadas- en el diagnóstico y recupera^
vamente>>los problemas que se plantean en ción del sistema. Y esto nos lleva a la seaunda
situaciones nuevas. Irónicamente. y sin menos- parte del círculo vicioso: la naturaleza de los
preciar a los astronautas del Apolo 13 ni a
sistemas modernos. con su gran complejidad
otros solucionadore res^^ patos. esta exclusiva ha- y escasa transparencia. tiende a reservarnos
bilidad es más bien teórica (al menos. en las inopinadas y desagradables sorpresas. Como
condiciones que prevalecen normalmente en demuestra claramente la multitud de casos es^
las situaciones de emergencia). Efectivamente. tudiados, los accidentes suelen comenzar de
el ser humano b a j o situaciones de tensión- una manera convencional. pero raramente evo-
tiende a utilizar patrones prefijados de conduc- lucionan según patrones previsibles; cada in-
ta. olvidando sopesar y razonar cuidadosamen-
cidente es un evento radicalmente nuevo y
te las cosas. En definitiva. el operador tiende
s a l v o en un sentido muy genérico- la e x p e ~
a recurrir a soluciones <<enlatadas>> -si que riencia pasada sirve de muy poco. En estas
bien cristalizan las experiencias pasadas- no condiciones. los errores son prácticamente i n e ~
resuelven las verdaderas necesidades de la si- vitables. Mientras que aprender de los propios
tuación presente errores resulta altamente beneficioso en las in-
Se nos revela así la primera parte del círculo dulgentes condiciones de la vida cotidiana. en
vicioso: ¿por qué ponemos operadores en los la sala de control de una planta nuclear o quí-

ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIRECTIVA Y SU CAUSALIDAD

mica tales experiencias educativas pueden te- fueron clasificadas según su origen: los resulta-
ner consecuencias fatales. dos se resumen en el siguiente gráfico.
La cuestión es que el control de supervisión A su vez. la actuación humana se clasificó en
humano no es algo concebido pensando en nuevas categorías: deficiencias en la documen-
los humanos. sino uno de los subproductos de tación o en los procedimientos. 4 3 % : falta de
la revolución de los microchips. De hecho, si conocimientos o de formación. 1 8 % ; incorrec-
un grupo de etólogos se reuniera con la per- ta ejecución de los procedimientos. 16%: defi-
versa intención d e diseñar una actividad com- ciencias en la planificación o e n la programa-
pletamente inadecuada a las características de ción. 10% inadecuada comunicación. 6 % ; de^
la cognición humana. es casi seguro que se apro- fectos de supervisión. 3 % ; problemas en las
ximarían bastante a la actividad que se supone políticas de la organización, 2 % : otros, 2%
deben realizar los operadores de plantas quí-
De los anteriores datos cabe extraer dos im-
micas y nucleares.
portantes conclusiones:
1. Al menos del 92% de las causas determi-
nantes se pueden atribuir a factores huma-
4. ALGUNOS DATOS nos.
CUANTITATIVOS SOBRE LOS 2. Sólo un mínimo porcentaje se puede acha-
FALLOS LATENTES car directamente al personal de primera Ií-
nea (por incorrecta ejecución de los proce-
El Institute of Nuclear Power Operations. con dimientos). La mayoría tienen sus orígenes
sede en Atlanta (EE. LIU.). llevó a cabo re- en actividades relacionadas con el mante-
cientemente un detallado análisis de causalidad nimierito. o en decisiones incorrectas torna^
en 180 informes sobre eventos significativos ([N- das dentro de las esferas organizativas y di-
PO. 1984). El análisis reveló 387 causas. que rectivas (fallos latentes)

de las causas determinantes
IEE. UU.. 1983!84).


5. ANALISIS DE CASOS DE le Island. en el río Susquehanna. unos 16 km
ERRORES LATENTES al sur de Harrisburg. El bloqueo se debió a la
actuación de un equipo de mantenimiento que
intentaba renovar la resina que se emplea para
Esta sección pretende ilustrar la naturaleza y
tratar el agua de la planta. Por uiia junta de-
variedad de los errores latentes. S e analizan
fectuosa en el sistema de clarificación del va-
a tal efecto seis importantes accidentes: Three
por condensado, se produjo una fuga de agua
Mile Island. Bhopal. Challenyer. Chernobyl.
-el equivalente a una t a z a que entró e n el
Zeebrugge y King's Cross. Estos sucesos n o
circuito de aire de los instrumentos rieumáticcs
han sido elegidos por lo ostensible de los fallos
de la planta. La hurnedad interrumpió la pre-
latentes que concurríaii: otros desastres como
sión de aire aplicada a las válvulas de las b o r n ~
el de Flixborough, Seveso. Aberfan. Summer-
bas de abastecimiento de agua: éstas <<creye-
land. Tenerife. el estadio Heysel. o los incen-
ron. que algo fallaba (lo que no era realmente
dios de Bradford y Piper Alfa. habrían tam-
cierto en este subsistema concreto). y se par+
bién corroborado la importancia de estos fallos
ron automáticamente: con ello se interrumpió
latentes.
la entrada de agua al generador de vapor. y
Los criterios aplicados en la selección fueron se bloqueó la turbina. Sin embargo. este dis-
los siguientes: positivo automático no fue suficiente para pre-
servar la seguridad de la planta: sin las bom-
a) todos los sucesos son relativamente recien-
bas. el calor del sistema primario de refrigera-
tes. por lo que su naturaleza general resul-
cióri (de alta radiactividad. por estar situado
tará familiar al lector no especializado;
alrededor del núcleo) no se podía transferir al
b) todos ellos están bien documentados y, de agua fría del sistema secundario (no radiac-
hecho. muchos d e estos casos han sido so- tivo)
metidos a investigaciones gubernamentales
de alto nivel; y En ese momento se activaron automáticamen-
te las bombas de emergencia. cuya función
c) abarcan un amplio espectro de sistemas
consiste en extraer el agua de uii tanque es^
complejos de alto riesgo.
pecial y circularla por el sistema secundario.
Debe destacarse que no se atribuirá especial compensando así el agua que se evapora por
importancia a las cantidades relativas d e erro- el calor producido. Sin embargo. las c o n d u c ~
res latentes y activos, ya que. habida cuenta ciones para estas bombas de emergencia esta^
de su relativa proximidad temporal, aquéllos bari bloqueadas: dos días antes, durante una
serán siempre más numerosos que los últimos. actividad rutiiiaria de mantenimiento, algún
Mi intención consiste más bien en ilustrar las operario se había dejado cerradas las corres^
insidiosas y -con frecuencia- imprevisibles pondientes válvulas.
formas en que tales fallos se combinan para
Al n o extraerse el calor del sistema prima^
romper las defensas del sistema en un momen-
rio. la temperatura y la presión en el núcleo
to crítico.
aumentaron rápidamente. Con ello se activó
otro dispositivo automático de seguridad: la li-
5.1. Three Miie Island beración d e las barras de control. Estas barras.
de grafito con un 80% de plata, se dejan caer
A las 04:00 del 28 de marzo de 1979, una en el núcleo del reactor para absorber Los neu-
de las turbinas se detuvo automáticamente (se trones y detener así la reacción de fisión nu-
bloqueó) en la unidad n.O 2 de los dos reac- clear. Sin embargo. incluso tras extinguirse la
tores de agua a presión (PWR) que la compa- reacción en cadena. los materiales del núcleo
ñía Metropolitan Edison operaba en Three Mi- t o d a v í a radiactivos- producen calor: &te


aumentó aún más la temperatura y la presión taba una considerable reducción en su ca-
en el núcleo. En el diseño se había previsto pacidad de filtrado
que esta presión fuese liberada automáticamen-
b) Areas relativamente críticas de la planta es-
te por una válvula pilotada (PORV) que u n a
taban abiertas al público. El día anterior al
vez a b i e r t a deja escapar ei agua del núcleo
accidente 750 personas habían accedido al
hacia un enorme tanque presurizador. y de ahí
edificio auxiliar.
a un sumidero situado bajo el recinto. Se su-
pone que la PORV se abriría, bajaría la pre- c) Cuando se cambiaban los turnos, no se
sióri, y a continuación se cerraría automática- aplicaba ningún mecanismo para realizar
mente: pero en esta ocasión. cuando apenas una comprobación sistemática del estado de
habían transcurrido 1 3 segundos desde el ini- la planta. Además. se asignaban trabajos al
cio de la emergencia. la PORV se negó a ce- personal de mantenimiento al principio de
rrarse. Esta válvula abierta equivale a un agu- sus turnos respectivos. pero no se efectua-
jero por el que el agua radiactiva del sistema ba una comprobación posterior de sus pro-
primarios. sometida a gran presión. se estaba gresos en el trabajo.
vertiendo al recinto. y de ahí hacia los sótanos d) Una revisión retrospectiva de los informes
de la planta. de eventos reveló la existencia de omisio-
E 1 la emergencia. que duró algo más de 16
1 nes reiteradas, inadecuaciones en el análi-
horas. se fugaron a ia atmósfera pequeñas can- sis de fallos y falta de acciones correctoras.
tidades de material radiactivo. Aún no habién- e) Las tuberías y válvulas carecían de proce-
dose asociado directamente a la pérdida de dimientos adecuados de identificación (así,
vidas humanas. el coste para las compañías ocho horas después del inicio del acciden-
explotadoras y las aseguradoras se situó en tor- te; los operarios emplearon más de diez
no a los mil millones de dólares. Además, fue minutos tratando infructuosamente de loca-
un auténtico jarro d e agua fría para la energía lizar e n una zona de alta radiación- tres
nuclear en Estados Unidos. y sus repercusio- válvulas de disminución d e temperatura)
nes en la preocupación pública por la seguri-
dad de las plantas nucleares todavía se dejan ¿,Era inusual este estado del TMI-2? ¿Se trata-
sentir eri la actualidad. ba simplemente de la .manzana podrida del
barril nuclear? (PFRKOW, 1984). La eviden-
En las irivestigaciones post-accidente se descu- cia sugiere lo contrario. Algunos años antes,
brió una amplia diversidad de torpezas geren- MOKRIS ENGELKEN
y (1973) habían examina-
ciales y un amplio número de dudosos pro- do ocho accidentes con fuga de refrigerante
cedimientos operativos. La inspección de la (LOCA). Dichos accidentes habían sucedido.
TMl-1 (la otra unidad del centro) reveló la per- en seis diferentes reactores de agua hirviendo.
tinaz falta de mantenimiento. Por ejemplo, s... a lo largo de un período de dos años (cuando
de las válvulas colgaban estalactitas d e bo- sólo existían 29 plantas en explotación). Cen-
ro de más de 30 c m , y en el suelo (del re- traron su atención en la búsqueda de coinci-
cinto de contención de la TMI-1) s e habían dencias de fallos múltiples. En cada accidente
formado estalagmitas. (KEMENY. 1979). Otros concurrían entre dos y cuatros tipos diferentes
descubrimientos de similares características f u e de fallos: en la mitad de ellos se habían pro-
ron. ducido violaciones de los procedimientos ope-
rativo~.pero siempre junto con otros dos a
a) Los filtros de iodo se utilizaban continua- cinco fallos. Además. los fallos no se circuns-
mente (en vez de reservarse para filtrar el cribían al personal de la planta: en 20 plantas
aire en el caso de contaminación radiac- se encontraron válvulas deficientes siiniinistra-
tiva). Por ello. el día del accidente. presen- das por diez fabricantes diferentes. Como indi-

ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALlDAD

caba PERROW (1984). los accidentes como el uno d e los impulsores del cohete: por la fisura
del TM1-2 nacen de la concatenación de estos salió proyectado el combustible inflamado. que
sucesos relativamente triviales en sistemas nada causó la explosión de la lanzadera y la muer-
triviales. La generación de electricidad a partir te de sus siete tripulantes-. Después de iiue-
de energía nuclear e s una actividad d e gran ve años de proyecto, la pieza en cuestión tenía
contenido técnico. pero resultaría ingenuo su- una larga tradición de fallos e imperfecciones:
poner que tal actividad está dirigida y opera- mantenerla en el diseño del Challenger fue un
da por una raza especial de superhombres: no claro ejemplo de incompetencia. <(ceguera.sz-
son peores que los que emplean las demás in- lectiva. contraposición de objetilos y <<pensar
dustrias. pero tampoco son mucho mejores. con los pies>>. principales protagonistas fue-
Los
ron el contratista de cohetes d e combustible
sólido (Morton Thiokol) y todos los escalafo-
5.2. Bhopal
iies directivos de la NASA.
En la noche del 2 al 3 de diciembre de 1984.
una fuga de qas .
- - proveniente de una pequeña
. .
5.4. Chernobyl
planta de fabricación de pesticidas, propiedad
A las 01:24 del sábado 26 de abril de 1986
de una subsidiaria d e Uriion Carbide Corpora-
estalló la cúpula de cemento (más de 1.000
tion. devastó la ciudad de Bhopal en la India
central. Fue el peor desastre industrial de to- torieladas) que sellaba el reactor Chernobyl-4.
dos los tiempos: murieron al menos 2.500 per- En las dos explosiones que se produjeron. los
.
sonas. y hubo más d e 200.000 heridos. El ac- tragmentos tundidos del núcleo del reactor se
dispersaron por los alrededores. proyectáridose
cidente de Bhopal. quizá más que cualquier
a la atmósfera los productos d e la fisión nu-
otro de similar naturaleza. evidenció los riesgos
clear: era el peor accidente de la andadura c o ~
que entraña la fabricación d e productos quími-
mercial de la energía nuclear. Hasta ahora se
cos altamente tóxicos (en este caso. metil iso-
cianato-MIC): estos riesgos, hasta entonces. no ha cobrado más de 30 vidas, 1.000 km2 en
las inmediaciones de la planta ucraniana han
se habían tenido en cuenta. . .
quedado contaminados. v ha aumentado con
El escape se produjo cuando una cierta canti- siderablemente el riesgo de muertes por cáncer
dad de agua penetró en un tanque de almace- en una extensa sona de Escandinavia y Euro-
namiento del MIC. Para saber cómo llegó el pa Occidental. Fue un desastre causado ente-
agua hasta el tanque sería preciso desentrañar ramente por el hombre. Incluso al tiempo de
una intrincada historia de desidias en el mante- escribir estas líneas (diciembre de 1988). toda-
nimiento, errores de los operarios. laberinticos vía se restringe la venta d e ovejas de los con-
diseños de las conducciones de bypass. fallo taminados pastos del noroeste de Inglaterra.
de los sistemas de seguridad. incompetencia
La industria nuclear occidental se apresuró a
gerencial. sequia, economía agrícola, nefastas
afirmar enérgicamente que <<eso aquí no habría
decisiones gubernamentales y una cierta dosis
pasado>>. analistas soviéticos señalaron co-
Los
de la mendacidad más absoluta.
mo principal causa las infracciones y errores
humanos. mientras que sus colegas occidenta-
5.3. Challenger les -y especialmente Lord MAKSHALL. jefe
Reducida a términos meramente físicos. la cau- del CEGB- prefirieron cuclpar al pobre dise-
sa del desastre de la lanzadera espacial Cha- ño del reactor RBMK y a la escasa <<cultura
llenger en la mañana del 2 8 de enero de 1986 soviética en materia de seguridad. t o d a v í a
resulta brutalmente simple: poco después del resonaban los ecos de esta última afirmación
despegue se partió una pieza de goma (el tris- cuando acontecieron los desastres de Zeebrug-
temente famoso * O - r i n p , junta en anillo) de ge y King's Cross.

ERRORES HUMANOS LATENTES: L A ESTRATEGIA DIREC'IYVA Y SU CAUSALIBAD

5.5. Zeebrugge completa, desde el Consejo d e Administra-
ción hasta los jefes de departamento, son
A las 1 8 : 0 5 del 6 d e marLo d e 1987. el traris- culpables d e lo que puede considerarse una
bordador ~ H e r a l d of Free Enterprise>>d e la responsabilidad compartida ante el fallo de
T«wnserid Thoreseii zarpaba del puerto inte- la gestión. Desde lo m á s alto hasta los nive-
rior de Zeebrugge con destino a Dover: sus les inferiores, los miembros de la organiza-
compuertas d e proa estaban abiertas. Al pasar ción adolecían d e una acusada desidia ...
frenle al malecón exterior aumentó su veloci- El fallo por parte de la Dirección en Tierra,
dad. y el agua penetró por la proa inundando que no emitió instrucciones claras y preci-
la cubierta inferior de coches (cubierta G ) . Ha- sas, contribuyó asimismo al desastre. (Re-
cia las 18:27. el Herald volcó con inusitada port of the Formal Investigation. 1987. pág
rdpidez (eii rnerms d e dos minutos) y acabó 141
tumbado y ericallado. con su banda d e estribor
sobre las aguas. En este accidente perdieron
la vida rnás d e 151)pasajeros y 38 miembros 5.6. King's Cross
d e la tripulación. otras muchas personas resul- A las 19:25 del 18 d e noviembre d e 1987. el
taron heridas. El estudio del caso número 5 cigarrillo d e algún descuidado fumador pren-
recoge la secuencia de acontecimientos y una
dió fuego a la altamente inflamable borra que
breve relaci0ri d e los fallos Iaterites.
se iiabía dejado acumular e n las correderas d e
En la tendencia general d e los investigadores una escalera mecánica. Veinte minutos más
di. accidentes q u e suelen concentrar sus es- tarde. las llamas inundaban el vestíbulo de ta-
tudios en los errores activos-. la irivestigacióii quillas donde se acumulaban las personas eva-
di. este desastre llevada a cabo por Mr. JUSTI~ cuadas por las escaleras d e las líneas Victoria
Ct. S H E E N(lC187)ha supuesto una interesante y Picadilly. A pesar d e q u e los empleados d e
cxcepcióii. Merece citarse coi1 cierta extensión la estación y los pertinentes servicios d e emer-
lo que escribió acerca d e la responsabilidad ge- gericia cometieron algunos errores activos, la
rericial eii esta catástrofe: principal causa de este desastre se encontraba
presente en el sistema mucho antes d e q u e el
.A primera vista, los errores que desencade- fuego se iniciase.
naron el desastre fueron los antes menciona-
En la investigación posterior (FFNNELL, 1988).
dos: errores d e omisión por parte de miem-
el Inspector culpó tajantemente a la dirección
bros d e la tripulación, y la inutilidad del Ca-
d e la London Regional Transport y a su com-
pitán KIRKa la hora de dar órdenes claras
pañía operativa, la London Underground. Tres
y hacerlas cumplir. Pero una investigación
citas bastarán para perfilar su valoración:
amplia de las circunstancias del desastre
conduce inexorablemente a la conclusión de .El Presidente de la London Regional Trans-
que los fallos subyacentes o cardinales report, Sir KEITH BRIGHT,me comentó que
caen en las m á s altas esferas de la Compa- los aspectos financieros eran supervisados
ñía. Los directivos se habían desentendido meticulosamente, pero no así los temas de
d e su responsabilidad en la seguridad de ex- seguridad ... En mi opinión, equivocaba su
plotación de sus barcos. Ignorando sus autén- verdadera reponsabilidad. (FFNNFI.I.. 1988.
ticas obligaciones, no se plantearon la cues- pág. 1 7 ) .
tión fundamental: ¿qué órdenes deberían dic-
tarse para la seguridad d e nuestros barcos? .Resulta evidente, por lo que h e podido es-
Da la impresión de que existen serias lagu- cuchar, que la London Underground estaba
nas en la disposición del Herald para la tra- intentando denodadamente reorieiitar su de-
vesia Dover/Zeebrugge. La cúpula directiva safortunada política tradicional, y que se en-

ERRORES HUMANOS LATENTES: LA ESTRATEGIA DIRECTIVA Y SU CAUSALIDAI)

contraba inmersa en lo que su Presidente y de las posibles conductas aberrantes. En efec-
Director General, el Dr. RIDLEY,describió to. se requeriría un nivel superior de análisis
como 'un cambio d e cultura y estilo'. Sin que partiera de la base d e que. en la mayo-
embargo, y a pesar de este cambio, la di- ría de los casos. los individuos no planifican
rección seguía considerando que un incen- y ejecutan sus acciones d e manera aislada. si-
dio sería siempre algo inevitable en el metro no dentro de un contexto social regulado Así.
m á s antiguo y extenso del mundo. En mi si bien los errores pueden ser definidos en re-
opinión, tal enfoque estaba profundamente lación con el proceso cognitivo del propio indi-
descaminado* ( o p cit. pág. 17) viduo. las infracciones deberían ser concebidas
dentro de un entorno social en el que la con-
*He dedicado un capítulo a la gestión d e la
ducta se regula mediante procedimientos o p e ~
seguridad porque la principal lección que he-
rativos. códigos. reglamentos. etc. A efectos
mos de aprender d e esta tragedia e s la polí-
de nuestro estudio. definimos <<infringir>como
tica correcta que s e debe adoptar en a r a s
apartarse deliberadamente de aquellas prácti-
d e la seguridad,, (op. cit. pág. 18)
cas que los diseñadores. gestores y entidades
reguladoras estimen necesarias para mantener
la seguridad en la explotación de un sistema
6. ERRORES Y potencialmente peligroso>>
TERGIVERSACIONES: LAS
LECCIONES DE CHERNOBYL
Y ZEEBRUGGE 7 . CLASIFICACION PRELIMINAR
DE LAS INFRACCIONES
Una conclusión importante que debe extraerse
de los desastres d e Chernobyl y Zeebrugge es
que el término <<error>> abarca la diversidad
no 7.1. Categorías delimitadoras
completa de factores humanos en los acciden-
Las infracciones pueden obedecer a múltiples
tes catastróficos. Al conformar un marco de
motivos. Para identificar los extremos de esta
trabajo adecuado para el análisis de conductas
gama de posibilidades podríamos considerar la
aberrantes (lit. <<desviadas camino>>), ne-
del es
intencionalidad de cada infracción. Como pri-
cesario distinguir entre errores e infracciones.
mer paso. nos preguntamos si existía intención
Con frecuencia. unos y otras pueden presen- previa: si la respuesta es negativa. la podemos
tarse y de hecho se p r e s e n t a n en la mis- incluir dentro de la categoría de <<infracciones
ma secuencia d e acciones, pero también pue- erróneas o no intencionadas>>. p o r el con^
si
den darse d e manera independiente: una per- t r a r i o ha sido deliberada. necesitaremos sa-
sona puede cometer un error sin por ello in- ber si existía o no intención de dañar el siste-
fringir nada, y una infracción no implica la co- ma. e incluso elevaríamos las infracciones do-
misión de un error. losas a la categoría de sabotaje. Puesto que la
Los errores pueden entrañar dos tipos de edes- primera categoría se sitúa dentro de la a h o r a
bien d e f i n i d a zona de error. mientras que la
viaciónn: la divergencia involuntaria entre la ac-
última se sale del ámbito d e la mayoría de las
tuación y la intención (lapsus y deslices). y el
situaciones de accidente, las infracciones de ma-
desvío de las acciones planificadas con respec-
yor interSs serán aquellas situadas entre ambas
to a trayectorias satisfactorias hacia los objeti-
categorías. es decir. las que presentan un cier-
vos planteados (equivocaciones). Sin embar-
to grado de intencionalidad sin evidenciar un
go. esta clasificación de los errores. al restrin-
girse al proceso de información que desarrolla claro propósito de dañar el sistema.
el individuo. apenas ofrece una visión parcial Dentro de esta amplia nebulosa de infraccio-


nes deliberadas pero no dolosas. todavía po- 8. LOS «AGENTES PATOGENOS
dríamos distinguir dos amplias subcategorías: Y LA CAUSALIDAD DE LOS
las rutinarias y las excepcionales. Las primeras ACCIDENTES
se relacionan con los hábitos del individuo, y
forman parte de su repertorio de conductas ad-
quiridas; las últimas son infracciones excepcio- El estudio de los casos aquí esbozados demues-
nales que se fraguan ante un conjunto de cir- tra que los grandes desastres n o suelen estar
cunstancias particulares. La circulación rodada causados por un solo factor -ya sea éste me-
en las grandes urbes nos proporciona abundantes cánico o humano-. sino por la concatenación
ejemplos claros de infracciones rutinarias; la imprevista. y normalmente imprevisible. de di-
conducta de los operarios y operadores de Cher- versos eventos diferentes. todos ellos necesa-
nobyl en los 20 minutos que precedieron a las rios pero no suficientes por sí mismos.
explosiones son el perfecto ejemplo de infrac- Todos los sistemas construidos por el hom-
ciones extraordinarias. bre contienen agentes potencialmente dañinos.
equiparables a los agentes patógenos e n el
cuerpo humano. En todo momento, cada sis-
7.2. Infracciones rutinarias tema complejo entraña un cierto número d e
A la hora de conformar las infracciones habi- fallos latentes cuyos efectos no se manifiestan
tuales cabe destacar dos factores: inmediatamente. Sin embargo. tales fallos la-
tentes pueden propiciar actuaciones de los ope-
al La tendencia natural en el hombre a seguir rarios eri contra de la seguridad del sistema
el método del mínimo esfuerzo. y -everitualmente- debilitar los mecanismos
b) La relativa indiferencia del entorno (que ra- de defensa del mismo. En su mayoría. estos
ra V O L penaliza las infracciones. y pocas ve- fallos latentes son tolerados. detectados y co-
ces recompensa la observancia de las nor- rregidos. o bien son controlados por medidas
mas) de protección. A veces. sin embargo, un con-
junto de circunstancias externas (que aquí de-
La experiencia demuestra que si la manera
nominaremos disparadores locales) se coali-
más rápida y cómoda de realizar una tarea im- ya con estos agentes patógenos para amenazar
plica transgredir un procedimiento de seguridad d e forma sutil y aparentemente imposible-
aparentemente trivial y rara vez sancionado. las defensas del sistema. concitando su catas-
dicho procedimiento acabará por ser infringido trófica destrucción
rutinariamente por los operarios del sistema
Estos agentes patógenos incluyen las conse-
cuencias de las decisiones incorrectamente to-
7.3. Infracciones excepcionales madas por los gerentes. diseñadores. directi-
vos. supervisores: también se incluyen aquí los
Las infraccioi-iesexcepcionales no están tan cla- errores latentes de mantenimiento y las infrac~
ramente especificadas. ya que son el producto ciones rutinarias. Dentro de los disparadores
de una amplia gama de condiciones de con- locales se incluyen los fallos de componentes,
torno Sin embargo. tanto el desastre de Cher- estados atípicos del sistema. condiciones am-
nobyl como el de Zeebrugge sugieren la im- bientales. errores activos del operador e infrac-
portancia de lo que podría denominarse <<el ciones excepcionales.
doble ciego sistémico)> d a s imposiciones con-
o
tradictorias del sistema.: tareas particulares o 8.1. Algunos principios generales
circunstancias operativas que conducen inexo-
rablemente a la infracción de las reglas. por Esta formulación de la causalidad de los acci-
loable que sea la intención de los operarios. dentes en términos de agentes patógenos y dis-

ERRORES HUMANOS LATENTES: L A ESTRATEGIA LIIRECTIVA Y SU CAUSALIDAD

paradores locales nos permite sentar una serie talidad. Como consecuencia. las medidas pre-
d e principios generales. vetitivas deberían centrarse en evaluar y redu-
cir los agentes patógenos; éstos. al menos. son
. 8.1.1.La probabilidad de un accidente c a - potencialmente detectables por aquéllos que co-
tastrófico e s función del número d e agentes nocen el sistema en su conjunto y que tienen
patógenos presentes en ese momento en el adecuado acceso al mismo. Lo anterior plan-
sistema. Cuanto mayor es el número de agen- tea importantes cuestiones: ¿,qué agentes pató-
tes patógenos dentro de un sistema. mayor genos estamos buscando? ¿,Son algunos indi~
probabilidad habrá d e que encuentren un con- cadores más significativos que otros a la hora
junto de circunstancias d i s p a r a d o r e s sufi- de determinar el estado del sistema? 2,Cúal es
cientes para desencadenar un accidente la mejor mariera de analizar prospectivamerite
la <<salud)> un sistema? Estas cuestiones e x i ~
de
8.1.2. En igualdad d e condiciones, cuanto gen c l a r a m e n t e su propia y urgente inves-
m á s complejo, interactivo, imbricado y opa- tigación exhaustiva.
co sea un sistema. mayor será el número
de agentes patógenos. Sin embargo. a pe- 8.2. Implicaciones prácticas
sar de que los sistemas más simples suelen ser
menos interactivos. menos centralizados y más Nuestro análisis sobre la causalidad de los a c ~
transparentes. tambitn tienden a ser conside- cidentes implica todavía dos consecuencias adi-
rablemente menos evolucionados en términos cionales. En primer lugar. si los métodos ac-
d e seguridad o defensas internas. Por ello. un tuales de evaluación de riesgos (basados en ár-
número relativamente reducido de agentes pa- boles de fallos y eventos) no son capaces de
tógeno~ puede llegar a causar mayores daños proporcionar estimadores válidos de los erro-
en los sistemas más simples. que en los más res activos de los operarios. tampoco serári ca-
avanzados paces de descubrir los fallos latentes que pu-
dieran llegar a combinarse con los disparado-
8.1.3. El número d e agentes patógenos ge- res locales para desencadenar uii accidente.
nerados por un cierto individuo será función
En segundo lugar. si se acepta que las actua-
directa de s u nivel en la jerarquia d e la to-
ciones socavadoras de la seguridad de un' sis-
m a d e decisiones. Cuanto más alto es el ni-
tema tienen su verdadero origeii en las deci-
vel de una persona dentro del organigrama de
siones errórieas de la dirección. entonces re-
una organización. mayor es su oportunidad pa-
sulta evidente que los problemas residuales de
ra engendrar agentes patógenos La excepción seguridad inherentes a las tecnologías de alto
obvia a esta regla la constituyen los operarios
riesgo no son atribuibles a puros <<cambios de
de mantenimiento. cuyo trabajo entraña el ac- ingeniería)>.La investigación básica necesaria
ceso a una amplia gama de componentes del para mejorar la protección frente a accidentes
sistema, y cuyos errores e infracciones son sus- desencadenados por una combinación de even-
ceptibles de trastornar la operatividad de sub- tos. requiere por tanto una colaboración más
sistemas de vital importancia, y particularmente estrecha entre los tecnócratas y las ciencias h u ~
el funcionamiento d e los dispositivos de segu-
manísticas
ridad

8.1.4. A pesar de q u e algunos disparadores 9. DECISIONES INCORRECTAS Y
locales pueden y deberían ser anticipados y ACTUACIONES PELIGROSAS
previstos por los diseñadores, directivos y
operadores de un sistema determinado, e s El estudio de los casos aquí descritos permite
virtualmente imposible predecirlos en su to- hacer una identificación preliminar de otros fac-


tores de interés: los designios del sistema que y de asegurar la supervivencia empresarial: la
rigen la tra~nsformaciónde los defectos de di- dirección prefirió ahorrar dinero en vez de vi-
seño y los errores gerenciales. en actos que das. S e desconocen las causas por las que la
atentan contra la seguridad (errores e infrac- dirección de Chernobyl autorizó la realización
ciones). A continuación consideramos nueve de una prueba que había sido rechazada p o r
de estos factores: motivos de seguridad- en otras plantas RMBK;
sin embargo, puede ser que alguien quisiese
9.1. Defectos en los equipos apuntarse algunas medallas, pues se sabe que
este tipo de reactores planteaba un problema
En los seis accidentes estudiados se aprecia el técnico desde hacía tiempo i r ó n i c a m e n t e , un
efecto de decisiones incorrectas en materia de problema cuya solución habría mejorado la se-
ubicación. diseno e instalación de los sistemas. guridad del sistema-. En cuanto al Challen-
En el caso de Three Mile Island. el incorrec- ger. si bien ciertos criterios económicos influ-
to diseño de la sala de control y la inadecua- yeron en las decisiones gerenciales de Thiokol.
ción de las interfaces del sistema propiciaron es posible que la conveniencia política de ex-
los errores activos de los operadores. El acci- plotar y mantener el éxito d e la lanzadera in-
dente de Bhopal - y por ende sus terribles dujera a los directivos d e la NASA a menos-
consecuencias- se puede atribuir directamen- preciar y finalmente ignorar- las reiteradas
te a fallos en los equipos. El desastre del Cha- advertencias de la junta en anillo. La dirección
llenger radica en las largamente arraigadas de- de la London Underground estaba plenamen-
ficiericias de la junta en anillo (deficiencias que te inmersa en una amplia reconversión finan-
la NASA y la Morton Thiokol c o r i su desi- ciera: esta reorganización se hizo a costa de
dia- no subsanaron). Las explosiones de Cher- la seguridad de los pasajeros, de la cual nin-
nobyl fueron causadas por una compleja inte- gún departamento era responsable. En tal cli-
racción entre fallos activos y defectos inheren- ma. era inevitable que los mandos intermedios
tes al diseño, en el que se había obviado la contemplaran la reducción d e costes como ob-
importancia de un coeficiente positivo en vacío jetivo primordial. y que las imprescindibles me-
durante la operación a baja energía del reactor joras en la seguridad de los pasajeros fueran
RBMK. Un factor decisivo en la tragedia del percibidas como algo completamente secun-
Herald fue la filosofía de su diseño que s i dario.
bien permite el transporte de un gran número
de vehículos y pasajeros- coadyuvó a que 9.3. Defensas inadecuadas o
volcara tan rápidamente. coartando así una
inexistentes
eventual evacuación d e emergencia. En King's
Cross. la empresa debería haber reemplazado Este tipo de deficiencias resultó especialmente
las escaleras mecánicas: esta negligencia jugó evidente en los desastres de Zeebrugge y Bho-
un papel fundamental en la tragedia resultante. pal. En el primero de ellos. no habría resulta-
do excesivamente caro implantar algún medio
9.2. Incompatibilidad entre los de evitar que el barco zarpara con las com-
objetivos del sistema y la puertas abiertas. La dirección respoiidió con el
seguridad siguiente argumento a las repetidas solicitudes
d e instalación d e indicadores en el puente d e
El estudio de los casos revela que. en la con- mando: c..d e nosotros no depende. En re-
secución de algunos objetivos del sistema. pue- sumen, si las compuertas n o quedan correc-
de llegar a comprometer seriamente su seguri- tamente cerradas, la persona responsable de
dad. En el caso de Union Carbide y Townsend hacerlo debería ser amonestada,, lmemorán-
Thoresen. se trataba de aquilatar los beneficios dum de un directivo. citado en el Report of


the Formal Investigation). En la estación de aumentara el número de servicios diarios; bajo
King's Cross n o había planes de evacuación. este clima de presión, en rnás de una ocasión
un extintor d e incendios se hallaba encerrado los barcos de la Townsend lhoresen habían
detrás de unas mamparas, y prácticamente na- abandonado el puerto con las compuertas de
die sabía dónde estaban los equipos auxilia- proa a popa abiertas.
res contra incendios. Además. algunas vías de
escape estaban cortadas u obstaculizadas con
puertas trancadas y barreras metálicas. 9.8. Fallos organizativos
9.4. Procedimientos operativos Estos fallos estuvieron presentes en los seis a c ~
inadecuados cidentes, pero constituyerori un factor proba-
blemente decisivo en el caso de King's Cross.
En los seis accidentes cabe destacar la trágica Tres divisiones de la London Underground dis-
influencia de las deficiencias en los procedi- ponían de personal especializado eri materias
mientos: desde el inadecuado procedimiento de seguridad, pero ninguna persona o depar-
de relevo en los cambios de turno en el TMI- tamento asumía la responsabilidad gerieral. La
2 , hasta el tristemente famoso <<informe
negati- larga tradición de seguridad en los ferrocarriles
vo>> la cubierta del Herald.
en parecía descartar la siniestralidad en el metro.
En palabras del Inspector. la dirección de la
London Underground adolecía de una .auto-
9.5. Desidia en el mantenimiento
suficiencia obtusa y peligrosa>, (op. cit. pág.
La inadecuada gestión de las actividades de 31).
mantenimiento desempeiió un papel especial-
mente significativo en los accidentes de Bho-
pal. TMI-2 y King's Cross.
9.9. Fallos de comunicación
A pesar de que los seis accidentes evidencia^
9.6. Formación inadecuada ban este tipo de deficiencias. los fallos de co-
municación fueron especialmente relevanles en
Lds serias deficiencias en los conocimientos y Chernobyl y en King's Cross. En este último
metodologías de los operadores contribuyeron caso. las vías de comunicación eritre los dis-
significativaniente a los accidentes de TMI-2, tintos especialistas no estaban nada claras y,
Bhopal y Chernobil. La ausencia de formación además. apenas se utilizaron. Las salas de con^
adecuada -para casos de incendio y emer- trol del metro de Londres carecían de siste~
gencias- del personal de la estación de King's mas adecuados de telefonía y sefialización; es-
Cross se cobró vidas adicionales. to ocasionó imperdonables retrasos en la c o ~
municación de las instrucciones de la policía
para evitar que otros trenes pararan eri la es-
9.7. Condiciones propiciadoras de tación. Además. los coches carecían de mega-
errores e infracciones fonía. y el circuito cerrado de televisión de la
estación no se utilizó para dirigir la evacuación
Estas condiciones quedaron especialmente pa- de los pasajeros. Por último. si bien la London
tentes en Chernobyl y en el Herald. En el pri- Underground había ido recopilando y distribu-
mer caso, se pidió a los operarios que realiza- yendo los informes de incendios anteriores eri
ran una labor para la que no estaban cualifi- el metro, tales datos nunca llegaron a las altas
cados y para la que. además. tenían que in- esferas de la organización. y ni siquiera la Ins-
fringir las normas de seguridad. En Zeebrugge, pección de Ferrocarriles solicitó dicha informa-
la dirección había presionado para que se ción.

ERRORES HUMANOS LATENTES: LA ESTRA7EGIA DIRECTIVA Y SU CAUSALIDAD

10. EPILOGO: LO QUE NOS d e seguridad perdieron completamente su re-
ENSEÑAN LOS ACCIDENTES levancia..
PASADOS ¿Podría ésto pasar en el Reino Unido? La revi-
sión de Lord MARSHALL la siguiente: s...
es
No resulta fácil aprender las lecciones que nos la enorme importancia d e preservar la segu-
enseñan los accidentes catastróficos. especial- ridad está tan profundamente enraizada en
mente si tales lecciones son consideradas cola cultura de la industria nuclear, que esto
mo minadoras d e la y a de por sí- escasa no ~ o d r á
pasar en el Reino Unido..
confianza de la opinión pública en la seguridad El tkrmino <<sorpresa fundamental)>fue acuña-
de las tecnologías operadas por poderosos gru- do por el israelita ZVRILANIR (LANIR. 1987)
pos de influencia. Las reacciones instituciona- en relación con la guerra del Yom Kippur: sin
les. tanto ante sus propios desastres como an- embargo. resulta particularmente apto tanto
te los de los demás. ponen de manifiesto dos para el accidente del TM1-2 como para el de
defectos universales de la condición humana: Chernobyl. Una sorpresa fundamental es la
el error de la atribución fundamental, y el que revela una profunda discrepancia entre
error de la sorpresa fundamental. la realidad y la propia percepción del mundo;
tales situaciones exigen una reorientación com-
El error de la atribución fundamental ha sido
pleta del enfoque adoptado. Las sorpresas si-
extensarnerite estudiado por la psicología so-
tuacionales. por otra parte, son sucesos locali-
cial (cfr. F I S Ky~TAYLOK. 1984). y se refiere
a la yerieralizada tendencia de atribuir los re^
zados en los que basta con solucionar proble-
sultados riegativos a las carencias personales mas específicos.
de los individuos (factores disposicionales), en LANIK equipara la diferencia entre ambas sor-
vez de achacarlos a factores situacionales que presas a la que existe entre <<sorpresa>, <<es-y
están más allá del control del individuo. Tal t u p o r ~ e ilustra su comparación con una anéc-
.
tendencia se evidencia en las respuestas al ac- dota de WEBSTER. lexicólogo. Un día. al re-
el
ciderite de Chernobyl. tanto eri la de los r u ~ gresar a casa. WEBSTER descubrió a su mujer
sos como en la de los ingleses. Así. el informe en brazos del mayordomo. <<Me has sorpren-
ruso sobre Cherriobyl (USSK State Committee dido~ dijo ella. <<me has dejado estupefacto^.
ori ihe Utilization of Atomic Eriergy. 1986) respondió el. La señora WEl3STFR experimen-
coiicluyó que: <<La causa principal del acci- tó una sorpresa situacional. pero la del señor
dente residía en una combinación extrema- WEBSTER fue una fundamental.
damente improbable de infracciones de las
El individuo tiende a comportarse ante las sor-
instrucciones y procedimientos operativos*.
presas fundamentalmente como lo haría ante
Lord MAKS~IALL. Presidente del Central Electri-
simples sorpresas situacionales. Por ello, el
city Gerierating Board (CEGB) del Reino Uni-
error de la sorpresa fundamental < L . . supone
do. prolongó el informe que la Atomic Energy
desestimar toda significación fundamental,
Authority (1987) preparó sobre Chernobyl: sus
limitándose a aprender lecciones situaciona-
palabras inculpan sin ambages: .Para nosotros les a partir de aspecto superficiales>> (LANIR,
los occidentales, la secuencia de errores de
1987). Y &te es precisamente el error que el
los operadores del reactor resulta incompren-
estamento nuclear británico ha cometido con
sible. Quizá obedeciera a una suprema arro-
respecto a los accidentes de Chernobyl y Three
gancia, quizá a una completa ignorancia.
Mile Island
Más plausiblemente. podemos especular que
los oneradores. como resultado del hábito, En la investigación pública del Sizewell B ( L A Y ~
habían transgredido tranquilamente tantas FIELD. 1986). los miembros del CEGB procu-
reglas durante tanto tiempo, que las normas raron aislar a la futura estación de los proble-


mas que el reactor PWR presentó en Three anteriormente trabajara en la Corporación Wes-
Mile Island el 28 de marzo de 1979. Identifica tinghouse (WOODS. 1987). Sus conclusiones
ron los aspectos más destacados del accidente generales pueden igualmente aplicarse a los
del TMI-2 (la planta de vapor. atascos en las accidentes de Chernobyl. Bhopal, Challenger.
válvulas d e escape, deficiencias en el diseño Zeebrugge y King's Cross.
de la sala de control, inadecuada formación de <El accidente d e TMI fue algo m á s que una
los operarios, etc.) y afirmaron que estos y inesperada cadena d e fallos, algo m á s que
otros aspectos serían radicalmente mejorados una situación prevista pero resulta inadecua-
en el reactor PWR de Sizewell B. En su infor- damente, y algo más que una situación cuya
me. s i r FRANK LAYFIELI) apunta una visión previsión devino inadecuada. El accidente d e
más amplia: .algunos aspectos del accidente
TMI fue una sorpresa fundamental que reve-
del TMI nos advierten de factores que son
ló una incompatibilidad básica entre la rea-
d e general importancia*, pero acaba conclu-
lidad y la opinión que la industria nuclear
yendo que no resultan aplicables en el Reino
s e había formado sobre ella misma. Antes
Unido debido a las diferencias organizativas.
del accidente d e TMI la industria podía con-
Esta naiural preocupación por distanciar las siderar, y consideraba, que la energía nu-
instalaciones británicas de las catástrofes de los clear era un sistema puramente técnico en
países extranjeros se puso aún más de mani- el que todos los problemas se enmarcaban
fiesto en el análisis de la UKAEA sobre el de- dentro de algún á r e a técnica y en el que las
sastre de Chernobyl (GITTUS, 1987): «En con- soluciones a tales problemas dimanaban de
clusión, el accidente d e Chernobyl se debe las diversas disciplinas d e la ingeniería. El
exclusivamente al diseño del reactor RBMK accidente d e TMI evidenció claramente lo
y. por tanto, hay poco que el Reino Unido falaz de ese punto d e vista, ya que los fallos
pueda aprender d e él. S u principal conse- residían en el sistema socio-tecnológico, y
cuencia h a sido la d e reforzar y reiterar la no en factores técnicos ni humanos».
importancia y validez d e los estándares bri-
En cualquier tecnología. y para cualquier país
tánicos actuales».
que la aproveche. el mensaje de este artículo
Por lo tanto. ¿,cuáles son las lecciones que he- es muy claro: nadie posee el monopolio de
mos de aprender de los desastres de TMI y defectos en el diseño, decisiones gerenciales ina-
Chernobyl? En el caso de Three Mile Island, decuadas y desidias en el mantenimiento. Y
estas lecciones han sido destacadas c r e o que son estos fallos humanos latentes los que en-
muy a c e r t a d a m e n t e por DAVID WOODS, en trañan el principal riesgo residual para los mo-
la actualidad en la Ohio University. aunque dernos sistemas complejos.

REFERENCIAS

1 B ~ I ~ K I ? C ) C .;: F"Ttie i o r i e s o1 automatiori'.
L , deiernirie critica rnariageiiieiit arid orgaiiza
Fri .J Rasni~isseri, K tioria failures ttiat niay e a d to catnstroptiic
2 Ouri(:an 6 .J Keplat ~ e d s . )"New T~.ciirr>loijy
. sysicm failur<. The Worid B a n k , Wasbiirig~
arid Humari Error". Wilcy, Loridcs, 1987 tori DC, 1987
3. B A T S ~ ( ) YR . "Workshop to develop a r n i i l t i ~
F 4 D I ~ N C A NK . : "Füut diagriosic for advariccd
,
scctornl!rti~iltidiscipliiiaryresearch prograiri l o cnr~inuns installatioris" Eri J. Rasrriusseri K .

Errores humano latentes

Recomendados

Recomendados

Mais conteúdo relacionado

Semelhante a Errores humano latentes

Semelhante a Errores humano latentes (20)

Errores humano latentes