Cuidadín con quién vuelas

Casi todos estamos acostumbrados a llegar con el coche a una gasolinera y llenar el depósito y así hasta la próxima que se vuelva a quedar vacío.

Con los aviones esa práctica no vale. El combustible pesa, en algunos vuelos muy largos, lo mismo que el conjunto del avión más tripulación y pasaje y los equipajes correspondientes  supuesto que el avión vaya lleno y puedo asegurar que esto no es ninguna broma. Naturalmente, como el avión pesa más cuando va lleno también consume más y, para evitarlo, la receta obvia es cargar el combustible que se vaya a necesitar pero, dentro de esa regla general, los hay más precavidos, menos precavidos y hay tentativas de suicidio.

Una muy conocida compañía low-cost ha estado manteniendo la práctica de comunicar al control que sus aviones estaban escasos de combustible para, de esa forma, conseguir “colarse” en el turno de aterrizaje y la pasada semana hubo alguien que les paró los pies en Barajas. La forma fue muy sencilla: Exigir que declarasen emergencia por falta de combustible o esperasen su turno como todos.

Dadas las prácticas restrictivas de esa compañía en cuanto a la carga de combustible, no se podían permitir el lujo de seguir esperando el turno de aterrizaje pero no querían declarar emergencia porque eso implica una investigación. En consecuencia, desviaron el vuelo al aeropuerto alternativo. Hace muy pocos días, otra compañía low-cost entró en emergencia -esta vez sí- por falta de combustible en un aeropuerto español y, ante el hartazgo de estas prácticas, hay incluso quien se está dedicando a obstaculizar forzando a los aviones de la compañía más restrictiva a abortar aterrizajes en el último momento con la sana intención de forzar la emergencia y la investigación para acabar con esas prácticas.

La compañía ha sido ya denunciada por este motivo por sus pilotos y aún no hay resultados de la denuncia y, lo peor, el pasajero no tiene ni idea de con quién se está jugando los garbanzos.

Por motivos obvios, prefiero no citar nombres propios pero a cualquiera que busque por Internet con estos datos le será muy, muy fácil identificar de qué compañías hablamos.

Tamaño y riesgo sistémico en los mercados

La siempre recomendable newsletter Wharton-Universia acaba de publicar un artículo sobre las organizaciones que, sobre el papel, son demasiado grandes para caer o para permitir que caigan:

http://www.wharton.universia.net/index.cfm?fa=viewArticle&id=1795&language=spanish

Llueve sobre mojado. El último número de la Harvard-Deusto publicaba otro excelente artículo, reproducido de la Sloan Management Review del MIT,  recomendando cambiar el lenguaje que se utiliza en los negocios porque la contabilidad actual no es capaz de capturar el riesgo sistémico.

Lo malo de todo ello es que no es nuevo pero dice poco y malo de nuestra capacidad real de aprendizaje y sólo ante una crisis de dimensiones descomunales nos acordamos de que existe un riesgo sistémico que, simplemente, había sido ignorado. Autores como Ulrich Beck con “La sociedad del riesgo global” se anticiparon varios años a la crisis actual, otros como Peter Senge lo hicieron aún más aunque de forma acaso más superficial y así podríamos ir retrocediendo en el tiempo hasta los Forrester, Luhmann, Bertalanffy y muchos otros.

Mecanismos como las titulizaciones consiguieron hacer mucho más eficientes los movimientos de dinero pero, al hacerlo así, alguien se olvidó de un principio básico: El fallo en una organización eficiente utiliza para multiplicar sus efectos los mismos canales que esa misma organización utiliza para su funcionamiento normal. En otras palabras, a más eficiente la organización más eficiente el fallo y mayor es su posible impacto. Por ejemplo ¿podría esperarse una expansión importante de un virus si no existiera Internet?

El riesgo sistémico nos aguarda escondido en multitud de lugares. La historia nos habla incluso de guerras evitadas o iniciadas por incidentes menores que entraron en una espiral de autorrefuerzo y no fueron más que una humilde cerilla en un polvorín. Intentar detectar todas las cerillas es inútil y costoso pero hacerlo con los polvorines y no cerrar los ojos al riesgo que éstos encierran es suicida.

En el ámbito de la aviación, Michael O’Leary, gran jefe de Ryanair, afirmaba que un riesgo real para su compañía es la eventualidad de que una compañía low-cost importante tenga un accidente grave. Cualquier accidente deja al descubierto prácticas inadecuadas y regulaciones insuficientes o erróneas pudiendo afectar gravemente a los implicados. Algunos de ellos, al ejercer al mismo tiempo como juez y parte, intentan ponerse a salvo aunque, afortunadamente, en la sociedad de la información global les resulta cada vez más difícil.

En ese mismo ámbito, un único modelo de avión cuyo diseño demostró tener demasiados agujeros de seguridad, el DC-10, fue suficiente para provocar la bancarrota de McDonnell Douglas, el que era el segundo gran fabricante norteamericano. El avión fue rechazado y la empresa se quedó sin la posibilidad de competir en el mercado de los aviones grandes. Sin duda, Boeing tiene a esta compañía entre sus más cariñosos recuerdos ya que, al hacerse cargo de la compañía y sus productos, le ha tocado asumir fallos de diseño y actuaciones que no eran propios.

¿Por qué se cayeron las torres gemelas si estaban diseñadas para soportar el impacto de un avión? Puesto que el Empire State ya sufrió el choque de un avión, esa eventualidad no era algo del ámbito de la ciencia-ficción sino una posibilidad real y, por tanto, se diseñaron atendiendo a ella y, sin embargo, se cayeron. ¿Por qué? Porque, desde el momento de la construcción de las torres los aviones habían crecido mucho y, además, estaban preparadas para resistir el impacto pero no el fuego de unas cuantas decenas de miles de litros de combustible. Una vez que la temperatura hizo que colapsase un piso, los que estaban debajo podían aguantar el peso añadido de uno más pero no de todos los que estaban encima repitiendose ese proceso piso a piso.

¿Por qué se caen espléndidas estructuras diseñadas con magníficos programas de CAD? Porque los programas pueden reproducir las cargas sobre las estructuras pero es mucho más difícil reproducir cómo deben ser las uniones entre los distintos componentes; no falla la viga sino su unión con otras. Una vez que una ha fallado, las contiguas comienzan a soportar un peso mayor del que están preparadas para aguantar y colapsan repitiéndose el proceso por toda la estructura.

Los organismos reguladores a menudo no disponen de la posibilidad de contrastar si existe o no riesgo sistémico ya que éste se puede encontrar escondido en muchos lugares, tanto si hablamos de productos puramente ingenieriles diseñados mediante programas cuyos resultados el ingeniero no puede contrastar por sus propios medios como de sistemas financieros o cualquier otra cosa.  Hace algún tiempo me llevé una sorpresa al enterarme de que algo parecido ocurría también en un ámbito aparentemente más trivial como es el de la meteorología:

A medida que se han ido aumentando las estaciones de observación, ha crecido la dificultad para procesar todos los datos recibidos y más aún para procesarlos en un tiempo que hiciera que la información resultante fuera de interés y no que estuviéramos dando como primicia la previsión meteorológica esperable hace una semana. Los meteorólogos (o metereólogos según numerosos periódicos y televisiones) reciben los resultados de un procesamiento sin que tengan posibilidad alguna de contrastarlo con sus propias observaciones. No es de extrañar, por tanto, que los informes meteorológicos en televisión hayan mejorado notablemente en lo que se refiere a la presencia del presentador. Puesto que un meteorólogo auténtico no serviría de nada ¿por qué no utilizar un presentador que pasado mañana pueda estar en el área de deportes y dejar que la presencia sea el criterio principal? Si a alguien le parece exagerada esta reflexión, acuérdese de Minerva Piquero, que comenzó precisamente dando el informe meteorológico.

Algunos hablan de codicia, otros de espíritus animales y otros de punto ciego del refuerzo inmediato pero, sea cual sea la etiqueta que le apliquemos, no es sostenible un modelo en el que, de la forma más inesperada, pueden producirse explosiones de un tamaño descomunal y que tienen impacto en todo el mundo. Cuando se habla de economía sostenible y de evitar estos riesgos, todos podemos estar de acuerdo pero ¿cómo? ¿no estamos en la vieja historia de “quién le pone el cascabel al gato”?

Hacer lo mismo pero dando una “estética verde” no deja de ser una estupidez más procedente del ámbito “políticamente correcto”. Intentar dar poderes extraordinarios a unos reguladores que, simplemente, no comprenden qué está pasando y, en caso de comprenderlo, se encuentran en la situación del meteorólogo y no pueden alcanzar conclusiones a tiempo tampoco sirve de gran cosa. Si se quiere evitar el riesgo sistémico y buscar una sostenibilidad real, no queda más remedio que ir a los principios mismos de funcionamiento del sistema y la forma en qué este consigue eficiencia.

En El mundo feliz de Huxley cualquier juego nuevo, para ser admitido, tenía que ser más complicado y requerir más medios que otro previamente existente. En el mundo real tenemos también una regla que debería ser seguida y es la regla de Rassmussen: “El operador ha de ser capaz de correr cognitivamente el programa que está ejecutando el sistema”. En sistemas críticos, esta regla no debería ser saltada jamás y en sistemas menos críticos debería ser susceptible de sustitución por la comprobación cruzada: Un sistema complejo no debería ser aceptado si otro sistema de diseño completamente independiente no es capaz de replicar sus resultados.

La receta no es nueva. Es aplicada en aviación como una forma de garantizar que, en el caso de un fallo de software producido en varios sistemas idénticos, la redundancia resultase ser absolutamente inútil. Sin embargo, ese modelo que puede ser suficiente en muchos ámbitos no debería serlo en aviación, precisamente por tratarse de un sistema crítico.

Volvamos a la meteorología: Es dudoso que 1.000 estaciones de observación sean capaces de generar una previsión meteorológica el doble de precisa que 500 ya que en éste, como en cualquier otro ámbito, se produce el fenómeno del coste creciente de la mejora marginal. ¿Es posible que el meteorólogo pueda generar una previsión menos precisa procesando los resultados de muchas menos estaciones de observación? Para ello, tendría que tener claro cuáles son las que le permiten generar ese pronóstico y, con ello, validar unos resultados producidos a un nivel de detalle que le resulta inalcanzable.

Un mundo sostenible pasa necesariamente por eliminar el riesgo sistémico y, como ya anticipaba Beck, no está en absoluto eliminado. Puede hacerse pero ¿se hará o nos quedaremos esperando a la siguiente gran crisis que puedan provocar las finanzas internacionales, la incompetencia de los gobiernos, la contaminación, la falta de combustibles para cubrir las necesidades energéticas, la falta de alimentos o de agua potable, una pandemia, el terrorismo nuclear…? Son muchas las situaciones explosivas que nos rodean y, en lugar de eliminarlas con el grado de dureza o suavidad que proceda en cada caso, todavía nos seguimos empeñando en requisar las cerillas.

La seguridad aérea y su misión: Impedir que entre el c….. del niño que dice que el emperador está desnudo

Hace ya bastantes años, me tocó coprotagonizar un incidente absolutamente chusco: Los ultraligeros no se podían matricular normalmente y había que recurrir a un subterfugio llamado “construcción amateur”, según el cual se suponía que era el propio piloto el que construía el avión. A mí me puede gustar volar pero tengo el suficiente instinto de conservación para no subirme a un avión construido por mí de modo que, en aquellos tiempos heroicos del ultraligero, compré uno construido a un fabricante y comencé a pasar por todas las etapas en que, teóricamente, lo estaba construyendo aunque en realidad estaba ya volando con él hacía tiempo.

Llegó el gran día en que el inspector iba a verlo para su matriculación provisional. El aparato estaba en un campo de vuelo y, cuando llegué con el inspector, intenté inútilmente localizar al guarda para que supiera quién era el personaje que me acompañaba y tuviera cuidado con lo que decía. El guarda apareció justo cuando el inspector estaba revisando el aparato que, supuestamente, no había volado nunca aunque el cuentahoras decía que ya lo había hecho durante 22 horas y preguntó: “¿Qué? ¿Vas a volar hoy?”. El inspector prefirió no oir aunque, en un momento, tocó algo en el fuselaje y preguntó qué era y se me escapó un “ni idea”. Tampoco quiso oirlo y comentó “Ah, es la toma estática; si la HAN puesto ahí, por algo será”.

Más tarde, de regreso a Madrid me diría, como el que no quiere la cosa, que para ellos es mejor un aparato construido por un profesional porque, si no es así, no se pueden fiar y tienen que mirar hasta el ultimísimo detalle. Todo ridículo pero si le hubiera dicho “Mira, tú y yo sabemos que no lo he construido yo”, cosa que habría respondido totalmente a la realidad, le habría colocado en un compromiso y, por lo tanto, era mejor continuar con un sainete que ambos sabíamos que lo era.

Cuando nos vamos a la aviación más seria, nos encontramos situaciones muy similares. Hay cosas que todo el mundo sabe pero que no se deben decir porque, en el momento en que se digan, se elimina un recurso básico para el mantenimiento de la ficción que es la pretensión de ignorancia.

Los que vamos por libre en este terreno podemos decir cosas que un fabricante, un regulador o un operador no pueden decir. Tendríamos que ser muy estúpidos para pensar que sabemos más que ellos o que somos más listos o…lo que sea. Cuando ponemos el dedo en el ojo de una práctica, el público general o la prensa se puede asombrar porque “nadie se haya dado cuenta de eso” pero quienes no se pueden asombrar son aquéllos que se ven sometidos a una especie de omertá donde sería difícil asignar a alguien el papel de villano. Cada uno, desde su posición, se ha visto sujeto a un conjunto de presiones que le ha llevado a no querer oir hablar de la “desnudez del emperador”.

Comencemos por los operadores: Todo el mundo quiere volar barato y, además, están convencidos desde hace mucho tiempo de que volar es seguro. En consecuencia, cuanto más barato se pueda volar, mejor. El acceso de una masa de público cada vez más grande al transporte aéreo lleva a buscar recetas de eficiencia y, además, a buscarlas en todos los lugares imaginables. Se necesitan aviones que consuman poco combustible, que sean baratos de mantener, que no requieran demasiada formación específica de las tripulaciones que los van a volar o de los mecánicos que los van a mantener y así podríamos seguir.

Sigamos con los fabricantes: El fabricante está unido al operador por una correa de transmisión; el fabricante que es capaz de darle al operador eso que requiere y que necesita imperiosamente es el que gana.

Continuemos con los reguladores: El regulador, para no impedir el desarrollo de un mercado de gran importancia en cualquier país, procura no enfrentarse abiertamente a fabricantes y operadores. No entremos ya en conocidas connivencias de reguladores norteamericanos con fabricantes norteamericanos o en idéntica situación en los términos en que se produce en Europa. Para oponerse a una medida, el regulador tiene que dar argumentos bastante sólidos y, una vez que ha habido una aceptación inicial, la vuelta atrás se hace muy difícil.

Algunos ejemplos:

¿Alguien en su sano juicio, so pretexto de que hay una fuerte carencia de pilotos en algunos lugares del mundo, metería en una cabina de un avión a alguien que jamás ha volado solo? Cualquiera podría pensar que esa eventualidad se puede producir en cualquier momento por incapacitación o incluso fallecimiento del otro piloto y, puestos así, mejor que esa situación se produzca de forma planificada que no en forma de evento imprevisto tal vez mientras se transporta a 300 pasajeros. Pues bien, sí hay alguien que piensa que esto es razonable: Los reguladores.

¿Alguien en su sano juicio pensaría que es razonable que alguien pueda volar alternativamente aviones que, aunque compartan sistemas, tengan unos tamaños y unas características totalmente distintas? Ya hay experiencia de errores graves producidos en la introducción de datos al confundir el tipo de avión que estaban volando con el que, tal vez, habían volado el día anterior. De nuevo la respuesta es afirmativa. Uno de los grandes fabricantes ofreció esta solución, los reguladores la aceptaron, los operadores aplaudieron con las orejas y el otro gran fabricante siguió el ejemplo del primero.

¿Alguien en su sano juicio pensaría que es razonable fabricar aviones de transporte de pasajeros inestables so pretexto de que los sistemas de a bordo nunca van a permitir que el avión entre en una situación irrecuperable a pesar de que tal situación es factible gracias al diseño inicial? De nuevo, la respuesta es afirmativa y lamentablemente nos quedaremos sin saber con certeza si en el caso del Air France 447 éste no ha sido el factor principal causante del accidente.

Nadie quiere ver que el emperador está desnudo y el pasajero sólo tiene noticias de las ricas vestiduras del emperador a través de personajes que entran y salen del lugar donde éste exhibe su desnudez, lugar al que jamás se ha dado acceso al pasajero que sigue confiando en que el emperador tiene un magnífico traje. No lo tiene y, además, nadie quiere oir que no lo tiene porque eso elimina la coartada por excelencia: La ignorancia.

La onda verde llega a los aeropuertos o los inventos de Bacterio

Veamos: Está bien que se intente contaminar lo menos posible e incluso estaría muy bien que algunas prácticas, como volar más bajo para reducir el tiempo de vuelo a costa de mayor consumo de combustible,  pudieran estar severamente penalizadas. Sin embargo, alguien ha descubierto que los aviones con los motores parados planean, es decir, no caen a plomo y, a partir de ese conocimiento, ha descubierto una forma de reducir el nivel de ruido en las proximidades de los grandes aeropuertos: El sistema es sencillo; basta con que la aproximación final se haga al ralentí o en idle para utilizar la jerigonza al efecto para reducir notablemente el nivel de ruido y, de paso, consumir menos combustible en la aproximación.

Quien ha pensado en esta portentosa solución, sin duda, ha observado el aparente absurdo de que, al mismo tiempo que se están sacando elementos que introducen resistencia al avance, los motores van bastante revolucionados y, con lógica de taxista viejo, ha pensado que cuando hay un semáforo rojo a lo lejos es mejor sacar la marcha y utilizar el freno que reducir y consumir más combustible.

Empecemos por un recordatorio y retrocedamos a marzo de 1977 (Los Rodeos): El piloto del avión que estaba en mitad de la pista vio 9 segundos antes del impacto al otro que se aproximaba y que finalmente le embestiría. A partir de aquí, se podría pensar que el accidente se podía haber evitado. Si un coche medianamente potente pasa en ese tiempo de 0 a 100 kms./h. un avión, que es mucho más potente ¿no va a conseguirlo? Respuesta: No.

Una turbina que está girando a ralentí o muy cerca, como ocurre cuando se va haciendo un rodaje lento en un aeropuerto, puede tardar cerca de diez segundos en dar potencia efectiva. De hecho, cuando se han hecho competiciones de aviones contra coches o motos potentes  http://www.youtube.com/watch?v=gNY_4yeXSUk&feature=related puede comprobarse fácilmente que, al principio, el vehículo rodante tiene ventaja y eso contando con que, con toda probabilidad, en el momento de iniciar la carrera el avión tiene el motor a altas revoluciones y se mantiene detenido con los frenos.

En un avión de pistón, es decir, uno que utilice el mismo tipo de tecnología que un coche o una moto, el tiempo de respuesta del motor es idéntico y, aunque haya alguna diferencia debida al sistema de transmisión de uno y otro vehículo, la solución propuesta podría ser válida porque, en caso de tener que abortar el aterrizaje en el último momento, el motor tiene capacidad de respuesta para hacerlo. En un reactor, no.

La eventualidad de que en el último momento el avión se tenga que ir otra vez al aire, cosa que sin ser muy habitual cualquier viajero frecuente habrá sufrido en alguna ocasión, hace que durante la aproximación sea necesario mantener una capacidad de respuesta y que, por tanto, no se pueda hacer esa aproximación final con los motores girando al ralentí aunque ello penalice en consumo y en ruido.

Si alguien tiene ocasión de viajar en cabina durante el aterrizaje en un aeropuerto congestionado, podrá ver un espectáculo poco tranquilizador y es el hecho de que el avión precedente está “ahí mismo” y, por supuesto, llevamos otro detrás a la misma distancia aunque no lo veamos directamente sino en la pantalla del radar. Un retraso de pocos segundos en salir de la pista de un avión obliga al siguiente a irse de nuevo al aire.

Hay, no obstante, una opción: Que nuestros aeropuertos con más tráfico, con más de 100 operaciones por hora, se resignen a tener un tercio de ese tráfico de forma que la distancia entre aviones crezca y, de esta forma, cuando alguien está viendo la pista en lontananza sabe que no va a haber fuerza humana que le impida aterrizar y, aún así, se pueden dar situaciones como ésta:

http://www.youtube.com/watch?v=DZv4fb5slcA

Mientras eso no sea así, la propuesta puede quedar muy interesante sobre el papel pero el día que se decidan a ponerla en práctica espero que me avisen para no volver a subir a un avión. Los accidentes son, además, muy contaminantes.

Mira bien con quién vuelas

La bitácora digital Avweb acaba de publicar este artículo, reproduciéndolo a su vez de un periódico indio:

Drunk Pilots Escape Discipline

An Indian newspaper, the Mail Today, is quoting an unnamed retired airline pilot as saying that senior airline pilots commonly turn up for work drunk and almost never get disciplined because they are too “precious.” The newspaper points out that there is no law against flying drunk in India, although pilots suspected of drinking are prevented from getting into the cockpit. An Air India flight from Mumbai to New York was delayed Monday when one of the four pilots checked in tipsy. A replacement was found, and the flight took off 45 minutes late. The unnamed source told the newspaper the pilot will will probably be back in the left seat as soon as he sobers up.

He said there is such an acute shortage of senior pilots that airlines look the other way when they get into trouble. “If you are a junior pilot with not much experience, you may be in slight trouble. However, if you are a commander, then the airline concerned mostly ignores it,” the retired pilot told Mail Today. He said that if the airline did fire the pilot, he’d be immediately hired by another carrier.

Cuando se autorizó la licencia MPL, ésa que los más malvados llaman “licencia de medio piloto”, hubo y hay todavía bastante ruido porque, al menos en teoría, es perfectamente posible que alguien entre a la cabina de un avión de pasajeros sin haber volado jamás en solitario. Muchos creen/creemos que el vuelo en solitario no es una especie de rito iniciático sino que aporta algo y es la confianza de verse uno sólo en una situación donde, si lo hace mal, no tiene a nadie que sepa más que le vaya a corregir. El peor escenario, que sin duda en algún momento se producirá, es aquél en que el primer vuelo en solitario de un MPL se produce en un avión cargado de pasajeros y con un comandante incapacitado o muerto.

Pues bien, la justificación que se utilizó para el MPL era el hecho de que en algunas partes del mundo hay una gran escasez de pilotos. Ahora nos enteramos de que la escasez es tal que en algunos sitios les permiten volar borrachos.

Lecciones del vuelo AF-447 (publicado en Mach82)

Es mucho lo que no sabemos y es difícil decir, por tanto, qué lecciones se van a extraer del accidente de Air France. Sin embargo, es posible que sí sea interesante plantearse de qué calado se quiere que sean las lecciones que se extraigan.

En algo más de 100 años de historia de la aviación sólo se conservan dos piezas de investigación reconocidas como magistrales: El caso Air Ontario 1363 y el accidente del monte Erebus. Tales piezas tienen un punto común: No haberse conformado con las causas visibles y haber llevado su análisis mucho más allá del nivel con el que habrían cubierto el expediente.

La investigación de Los Rodeos fue, en su momento, muy buena también pero la diferencia existente entre la gran calidad de la reconstrucción de los hechos y la trivialidad de las conclusiones la aleja de la galería de piezas maestras. Lo mismo podría decirse, por el alcance estrictamente técnico que tuvo en su momento, del análisis de las explosiones de los Comet y el diseño experimental que permitió determinar cuál era el fallo.

Hay otros casos donde parece que no se profundizó lo suficiente. Por ejemplo ¿habría sucedido el accidente del Swissair 111 si el vuelo lo hubiera realizado un DC-10 en lugar de un MD-11? Un mero repaso del reparto de cargas de trabajo entre dos o tres tripulantes sugiere que no. Si puede considerarse razonable esta posibilidad ¿no tendríamos que extraer conclusiones sobre efectos secundarios de la evolución tecnológica? ¿Se habría producido el caso AeroPeru 603 con un avión más antiguo y que no hubiera provocado la visión de túnel de los pilotos con el rudder-ratio? ¿Y el American Airlines 965 con las ayudas a la navegación?

El análisis del accidente de Air France, si se confirman las hipótesis actualmente dominantes, podría realizarse de dos maneras distintas:

• Un fallo menor de diseño en presencia de unas circunstancias externas excepcionales desencadena la secuencia de acontecimientos que conduce al accidente. Corríjase el fallo de diseño e indemnícese a los afectados.
• Un fallo menor de diseño desencadena un conjunto de actuaciones automáticas por parte del avión que provocan un efecto de bola de nieve dificultando o impidiendo la acción de los pilotos. Hay un fallo sistémico que corregir y las conclusiones pueden llegar muy, muy lejos.

Los fallos sistémicos dan cierto vértigo porque implican el cuestionamiento de reglas y prácticas que ya han sido aceptadas por el mercado y por los reguladores y, ante ese vértigo, es muy usual la actitud de abstenerse y limitarse a las evidencias más inmediatas.

Por añadidura, son fallos que no tienen un responsable claro y fácil de identificar sino que cada uno, desde el fabricante a los operadores pasando por el regulador, tratan de “hacer las cosas lo mejor posible” pero ni siquiera tienen la posibilidad de, en lugar de “hacer las cosas lo mejor posible” hacer “las mejores cosas posibles” porque, quien lo haga, pierde la batalla del mercado.

Incluso si se confirma la hipótesis del fallo de diseño, no sería justo acusar a Airbus ni a ningún otro fabricante de aventurerismo ni, menos aún, de irresponsabilidad. Los fabricantes están empeñados en una partida contra la ineficiencia porque eficiencia significa reducción de costes de operación y ésta, reducción de precios por parte de unos operadores enzarzados en una feroz competencia y que, en sus políticas de composición y renovación de flotas, tienen en cuenta ese hecho. Como el pasajero está convencido de que la aviación es segura per se, quien no entre en la batalla de la eficiencia pierde y the winner takes it all.

La posibilidad de que un evento menor pueda inducir una espiral o un efecto bola de nieve no es algo que aparezca ahora como consecuencia de un accidente. Tampoco lo es la denuncia del riesgo asociado a un modelo de evolución tecnológica que, en la guerra por la eficiencia, va eliminando soluciones alternativas. Me encuentro hace tiempo entre los que han denunciado esa evolución pero no soy el primero ni mucho menos el más relevante.

Charles Perrow, en su libro Normal Accidents, previno contra lo que llamaba tightly-coupled organizations precisamente por el riesgo asociado a una búsqueda de la eficiencia en todos los terrenos. Jens Rasmussen estableció, como frontera para el mantenimiento de la seguridad, su regla de que el operador ha de ser capaz de correr cognitivamente el programa que está ejecutando la máquina y, muy recientemente, James Reason en The Human Contribution señalaba una serie de casos en que, habiéndose producido un fallo global, sólo las personas habían conseguido salvar la situación.

Por desgracia, a James Reason se le olvidó que, para que eso sea posible, es necesario que se cumpla la condición establecida por Rasmussen, es decir, que se conozca en profundidad el sistema o, en este caso, el avión que se está operando. El hecho es justamente el contrario y se conoce como paradoja de la automatización: Cuanto más complejo es un avión menor formación parece precisarse para volarlo y es precisamente la reducción de costes en ese capítulo el principal incentivo para la automatización.

Frente a la línea de pensamiento que viene avisando repetidamente del riesgo de la búsqueda sin límite de la eficiencia, tenemos la línea de las actuaciones por parte de fabricantes y operadores, explícitamente aceptada por los reguladores e implícitamente, por falta de pruebas, por los pasajeros:

Posiblemente, prescindir del radio tenga buenas razones económicas pero casos como el Avianca 052 o la necesidad percibida por la OACI con una urgencia suficiente como para exigir unos mínimos de inglés nos dicen que algo se ha perdido con esa figura.

Posiblemente, prescindir del mecánico de vuelo esté justificado económicamente pero en casos como el Swissair 111 se les ha echado de menos y en Los Rodeos una posición más asertiva del mecánico podria haber evitado el accidente.

Posiblemente, el cross-crew rating tenga plena justificación económica pero los numerosos hechos acreditados de transferencia negativa por la cual se han producido comportamientos ajustados a un avión que no era el que se estaba volando en ese momento no se habrían producido.

Posiblemente, los vuelos de largo alcance con dos motores estén justificados pero es difícil acumular información suficiente para conseguir validez estadística sobre cuál es la fiabilidad real de un solo motor cuando, en solitario y con empuje asimétrico, tiene que hacer volar a un avión.

Posiblemente, la reducción de los tiempos de formacion de pilotos tenga una justificación económica pero el aumento de la complejidad tecnológica y etiquetas como el need-to-know y nice-to-know nos hacen pensar si no nos encontraremos de cuando en cuando con el If-I-had-know.

No podemos ni debemos ignorar que, a pesar de todo esto, los indicadores de seguridad aérea han mejorado pero quedarnos sólo con esa parte significaría caer en la complacencia y, lo que es peor, extraer un mensaje incorrecto.

El hecho es que el número relativo de accidentes ha disminuido pero no podemos ni debemos ignorar que la tipología de los accidentes parece distinta y eso requiere un análisis específico.

La etiqueta conciencia situacional se aplicaba en el pasado casi sistemáticamente a fallos de navegación y “situación” era casi sinónimo de situación espacial. En la actualidad, la misma etiqueta denota una realidad mucho más amplia que llega, en ocasiones, a aplicarse a situaciones de confusión absoluta, no necesariamente referida a dónde se está sino a cómo se está, es decir, a cuál era el modo en que estaba funcionando el avión en el momento del siniestro. Se ha mejorado porque se hacen mejor cosas que ya se sabían hacer pero, al mismo tiempo, las nuevas situaciones anómalas pueden resultar más difíciles de manejar que antes y de ahí la emergencia de un nuevo tipo de accidentes.

Insisto en que no tendría sentido acusar a los fabricantes ya que éstos juegan su partida en un tablero en el que no controlan todas las piezas. Basta con observar a los dos grandes para comprobar cómo se han imitado en lo que se consideraba la solución más eficiente:

La solución del Airbus A-310 prescindiendo del mecánico fue seguida por los Boeing-757 y 767, que gozan de unas cabinas extraordinariamente amplias por haber sido pensadas para albergar a un mecánico del que se prescindió en el diseño final.

Cuando Boeing introdujo los bimotores en vuelos de largo alcance, la sinceridad de las tímidas protestas de Airbus quedó demostrada por la aparición del A-330 y del próximo 350.

Cuando Airbus introdujo la tecnología FBW en el 320, la idea de Boeing sobre un mayor conservadurismo tecnológico quedaría igualmente en evidencia con la aparición del 777 y con su próximo 787.

La línea seguida está clara: La eficiencia es la ganadora y, con ella, la automatización, la complejidad y la reducción de los requerimientos de formación llegando a extremos como el MPL.

Hace años, cuando empezaron a aparecer en el mercado aviones muy automatizados, un viejo piloto dijo algo que alcanzó bastante notoriedad: Estoy dispuesto a volar un avión tan automatizado como quieran. La única condición es que el avión tenga un botón rojo que, al apretarlo, lo convierta instantáneamente en un DC-9.

Parece un homenaje al sentido común y, sin embargo, tener esa posibilidad -que es, expresado en términos coloquiales, el cumplimiento de la regla de Rasmussen- exige el cumplimiento de dos condiciones:

• El piloto tiene que ser capaz de volar a mano un DC-9.
• El avión, una vez desactivado todo el software, tiene que tener un diseño que le permita ser volado a mano sin graves problemas de estabilidad o de carencias de información básica.

¿Se cumplen estas dos condiciones en los aviones más modernos y con las prácticas de entrenamiento actuales?

Sería deseable que un caso como el Air France 447 no se quedase en la mera sustitución de un componente que, en situaciones excepcionales, tiene un comportamiento inadecuado.

Sería deseable que se aprovechase para hacer un overhaul del sistema de transporte aéreo, incluyendo el papel de un pasajero al que se ha reducido a una especie de Matrix y a quien se le ha mostrado la aviación como una actividad sin riesgo en lugar de una actividad con un riesgo controlado en formas sobre las que debería tener algo que decir.

La línea actual de crecimiento de automatización y complejidad y disminución de la formación no es buena pero ningún actor individual, sea fabricante, operador o regulador, puede pararla porque quien decida oponerse perderá posiciones en el mercado.

Algunos habíamos avisado y habíamos escrito ya que los fallos en las organizaciones y en las máquinas eficientes son también eficientes porque aprovechan para producir sus efectos los mismos canales que el funcionamiento normal. Ahora aparece el caso Air France donde, si se confirman las hipótesis, no será la primera vez que se produce este fenómeno aunque posiblemente sí la más grave.

Todos los implicados -uno solo no puede- tienen en su mano una decisión grave: Cambiar una piececita defectuosa de un avión y esperar a que cualquier otra piececita, bajo las circunstancias adecuadas y no previstas, eche otro avión abajo o plantearse el conjunto del sistema.

La dinámica de la eficiencia puede ser tan diabólicamente perversa como lo fue la carrera nuclear o, a una escala menor, lo son situaciones españolas tan conocidas como el PER o el crecimiento descontrolado de funcionarios. Quien decida por su cuenta arreglar la situación, pierde. La pieza defectuosa puede ser hoy de Airbus y mañana puede serlo de Boeing pero el problema no es ni Airbus ni Boeing sino una carrera demencial que alguien -todos- tiene que parar.

La regla de Rasmussen sigue siendo válida. Aplicada a la aviación, significa que el piloto tiene que saber en todo momento qué está haciendo el avión, cómo lo está haciendo y por qué y, si llega el caso, tiene que estar capacitado y sin impedimentos para tomar un control completo del avión. Para que eso sea posible, no bastan “conocimientos de usuario”.

Tenemos que aprender a diferenciar entre la disminución de la complejidad auténtica y la falsa. Son muchos los enamorados de las pantallas por la cantidad de información que puede llegar a darse en ellas e incluso Boeing señalaba cómo en el 747-400 se habían reducido en dos tercios el número de controles e indicadores respecto a las versiones más antiguas. Ésta es la simplificación falsa y me gustaría concluir la idea con un ejemplo: ¿Qué es más difícil de manejar, una radio con treinta botones u otra que tenga uno sólo con multitud de modos disponibles para realizar las mismas o más funciones que la primera? Obviamente la segunda.

Se ha avanzado mucho por una senda con efectos secundarios importantes. Desandar lo andado es prácticamente imposible pero puede cambiarse el rumbo y ese cambio necesita de la colaboración de todos, incluido el pasajero.

Air France 447 ¿Tan difícil fue encontrar las “cajas negras”?

Lo último que nos dijeron es que el avión no se deshizo en el aire sino que cayó entero y sobre la panza al agua.

Si el avión se hubiera deshecho en el aire, probablemente el radio en que habrían salido despedido los restos habría hecho imposible localizar las “cajas negras”, especialmente si el terreno bajo el agua es montañoso pero ¿no cambia el panorama si el avión cae entero? Entiéndase que ésta no es una pregunta retórica sino la mera expresión de perplejidad ante un hecho que, tal vez, pueda explicarse perfectamente aunque no se me alcanza.

Si el avión cae entero, en el punto donde impactó cabe pensar que los elementos más pesados, entre los cuales se encuentran los FDR o “cajas negras”, van a descender hacia el fondo en vertical. Cuando comenzaron a aparecer restos ¿no se puede determinar con bastante precisión donde se produjo el impacto conociendo la dirección e intensidad de las corrientes esos días?  Más aún, algunos elementos muy pesados pueden tener piezas móviles metálicas que incluso hoy se sigan moviendo simplemente debido al movimiento del agua. ¿No son posibles de detectar los sonidos de piezas metálicas que puedan chocar entre sí con un sonar?

El punto donde cayó el avión tiene que ser, en este momento, una inmensa chatarrería subacuática y dentro de esa chatarrería se encuentran los FDRs. ¿Es indetectable una chatarrería de ese calibre? Probablemente tengamos que dar por definitivamente perdidos los FDRs ya que, si transcurre mucho tiempo, no sólo habrán dejado de emitir -cosa que ya tienen que haber hecho- sino que perderán estanqueidad y se convertirán en completamente inútiles pero insisto en el punto inicial: Si el avión impactó entero y se deshizo haciendo que las piezas más pesadas se hundieran inmediatamente en el lugar del impacto ¿no es posible detectar una chatarrería de ese calibre?

Investigación de accidentes aéreos: Mitos y realidades detrás del AF-447 y otros.

Las tendencias actuales en aviación comercial parecen decir que se ha avanzado tanto en capacidad investigadora que ya es necesario recurrir a eventos de baja intensidad, es decir, a incidentes menores porque es ahí donde se encuentra el potencial de mejora.

Los hechos, sin embargo, parecen desmentir este mensaje tan optimista:

• Tenemos muy reciente el accidente del Air France 447 donde la imposibilidad de encontrar las llamadas cajas negras hace que nunca vayamos a saber con completa certeza qué es lo que ocurrió y, por tanto, aparece un fleco que parecía resuelto en el apartado de trazabilidad, vital para el conocimiento real de los hechos previos al accidente.
• Además, estas últimas semanas parece que alguien ha adelantado el reloj. En 1997, Boeing pronosticó que, si se mantenían los niveles de siniestralidad de ese momento, con los aumentos de tráfico previstos entonces en el año 2015 era esperable un accidente grave en algún lugar del mundo cada semana. No estamos todavía en 2015 pero parece que sí estamos en el accidente grave semanal, al menos en estas últimas semanas.

Está muy bien el intento de aprender de eventos de baja intensidad, tarea nunca fácil porque puede fallar por el lado de la motivación hacia el reporte de aquéllos que prefieren no comunicar eventos menores pero tendríamos también que preguntarnos si las investigaciones de accidentes llegan hasta el punto que deberían llegar o no.

Hay pocas piezas reconocidas como obras maestras de la investigación, tan pocas que sobran varios dedos de una mano, es decir…dos:

http://en.wikipedia.org/wiki/Air_Ontario_Flight_1363

http://en.wikipedia.org/wiki/Air_New_Zealand_Flight_901

Ambos casos tienen un punto en común y es el hecho de que los investigadores no se conformaron con lo que parecía más evidente y se atrevieron a tocar algunas vacas sagradas, haciendo que el impacto de su investigación fuera mucho mayor de lo inicialmente previsto.

No es, por desgracia, la actuación más habitual. Son muchos los procesos de investigación en que hay auténtica maestría en la reconstrucción de los eventos previos al accidente y casos como el reciente Air France 447 representan, afortunadamente, una excepción pero el problema real no está en la reconstrucción de los hechos sino en el grado de aceptación del entorno.

Los procesos de investigación parecen haber tomado prestado del ámbito del Derecho el concepto de jerarquía normativa y poner en duda normas aceptadas por autoridades nacionales o internacionales no es visto como un componente de la independencia de criterio sino, simplemente, como una manifestación de indisciplina.

Las investigaciones avanzan sin más problemas que los estrictamente técnicos mientras se muevan en el terreno de qué fue lo que pasó. Cuando se encuentra que hay un fallo claramente atribuible a la operación o al mantenimiento, tampoco existen grandes problemas y todo el mundo tiene la sensación de estar haciendo un buen trabajo de clarificación y, con ello, de contribuir a evitar que algo parecido vuelva a ocurrir.

Sin embargo, cuando se intenta ir más allá de la causa eficiente y se buscan causas raices, es fácil encontrar que esas posibles causas raíces cuenten con un sello que dice que tienen la bendición de la autoridad competente para poner tal sello. Entonces es cuando surgen los problemas.

El investigador se encuentra ante una decisión poco agradable, salvo que la haya tomado de antemano y haya escogido la opción más cómoda:

• Puede optarse por entender que las normas definidas por autoridades superiores definen el terreno de juego y, por tanto, limitar su trabajo a la causa eficiente de máximo nivel que vaya a ser capaz de encontrar dentro de ese terreno definido a priori.
• Puede también optarse por no respetar la delimitación del terreno de juego en los términos en que ésta se realiza y, al hacerlo así, asumir no sólo las dificultades del proceso investigador sino las posibles consecuencias negativas para su propia actividad profesional.

Es cierto que los modelos sistémicos dan cierto vértigo y que, como ya avisaba Yela hace mucho tiempo, todo tiene que ver con todo pero no del todo. La investigación de accidentes, como casi cualquier otra cosa, tiene que pararse en algún momento y no puede dedicarse a buscar relaciones cada vez más abstractas y más peregrinas llegando a la ceremonia de la confusión absoluta. Sin embargo, eso no puede servir para justificar la posición contraria y sumamente cómoda, es decir, aceptar la delimitación del terreno de la investigación a priori y no entrar en los asuntos que hayan sido aceptados por una autoridad que se supone superior -digo que “se supone” porque, en teoría, los procesos de investigación son independientes- y que puedan causar más impacto del esperado.

Un ejemplo: Hace tiempo, después de asistir a un entrenamiento de tripulaciones en simulador, tuve el dudoso honor de estrellar el avión. Tras unas maniobras poco problemáticas con el simulador, intenté hacer algo más violento y, en plena trepada, con la velocidad cercana a la pérdida le di una patada a uno de los pedales provocando con ello una configuración de barrena. El avión, en lugar de entrar en una barrena normal, entró en una barrena plana (con el morro alto) de la que no hubo forma humana de sacarlo simplemente porque no existe tal modo.

Después de que el instructor me dijese que ésta era la reacción normal y que obedecía al hecho de que el centro de gravedad del avión iba muy atrasado pero que esto no podía ocurrir debido a las protecciones que suministraban los sistemas del avión, tuve ocasión de hablar con otro piloto del mismo avión y me comentó que, ante las seguridades de un instructor en el sentido de que los sistemas del avión jamás permitirían que se produjese una situación como la que había provocado en el simulador y los niveles de protección, etc, etc…él le hizo un supuesto al instructor de la siguiente forma: “Supongamos que una turbulencia extrema me coloca el avión boca abajo. Esos sistemas que protegen al avión e impiden que salga de su posición normal ¿me van a permitir volver a colocarlo en esa posición normal o me lo van a impedir?” Al parecer, la respuesta fue una grosería sin relación alguna con la pregunta.

Las últimas noticas del caso AF-447 decían que el avión había llegado al agua entero, cayendo en vertical y sobre la panza. ¿Podría haberse dado un supuesto similar al que indicaba el piloto y que hubiera colocado al avión, como me ocurrió en el simulador, en una posición de barrena plana irrecuperable? La caída en vertical y sobre la panza sugiere precisamente eso pero no hay suficiente información, al menos pública, para poder aceptar o descartar dicha posibilidad.

Supongamos, a título de hipótesis, que fuera así. En tal caso, estaríamos hablando de muchos modelos de aviones que compartirían un elemento de diseño, estructura inestable cuya estabilidad queda garantizada por los sistemas a bordo del avión, que el accidente habría mostrado que era peligroso y, por ello, que era más razonable volver a estructuras estables y que, en caso de pérdida o barrena, cayeran por el morro en lugar de caer apuntando al cielo. ¿Tendrían que ponerles planchas de plomo en la parte delantera a todos los aviones con estructuras no estables que hoy transportan pasajeros disminuyendo su carga útil y alterando su comportamiento?

Todo lo anterior es una mera hipótesis que utiliza el caso AF-447 como una mera excusa para ilustrar un punto: Las investigaciones se tropiezan con un auténtico muro cuando tocan lo intocable, es decir, aquello que había sido previamente aceptado por quien tiene el poder para hacerlo y, si el investigador confunde la disciplina con la sumisión, se quedará en muchos casos a medio camino y no llegará en sus conclusiones más allá del punto en que sus mayores se empiezan a remover en la silla.

Air France 447: Novedades inquietantes

Es posible que, a la vista de las últimas conclusiones, haya quien esté rogando que se acabe la batería de los registros de datos de vuelo para estar seguros de que nunca sabremos con certeza qué es lo que pasó.

Si es cierto que el avión cayó en vertical pero sobre la panza, eso tiene un nombre en aviación y es el de barrena plana.

La barrena plana es una situación de la que es imposible salir porque, a diferencia de la barrena normal en que el avión cae dando vueltas con el morro por delante, en la barrena plana el avión cae en una posición de morro alto y es eso lo que hace imposible la recuperación. Cuando el avión, en una pérdida o en una barrena, cae con el morro por delante, es posible recuperar velocidad en la posición normal de vuelo y, tras un susto si ha sido algo inesperado, recuperar la situación de vuelo normal. Si el avión cae con el morro arriba, lo hace como una hoja al caerse de un árbol y no es posible su recuperación.

Por diseño, normalmente los aviones están construidos de forma que su distribución de pesos coloque el centro de gravedad en un punto que, en caso de pérdida o barrena, el avión caiga por delante haciendo posible la recuperación. Hay, sin embargo, excepciones que pueden llevar a la mortal de necesidad barrena plana:

• Distribución incorrecta de la carga haciendo que el centro de gravedad del avión quede muy atrás.
• Diseño: En aviación militar, los cazas tienen el centro de gravedad muy atrasado porque eso facilita su maniobrabilidad. En aviación civil, esto no era frecuente hasta que se empezó a utilizar el sistema fly-by-wire y se comprobó que se podían obtener algunas ventajas en maniobrabilidad y consumo de un centro de gravedad más atrasado. El propio sistema fly-by-wire sería el que garantizaría por software que una estructura intrínsecamente inestable se comportase como si fuese estable.

Si se comprueba que realmente eso es lo que ha ocurrido con el avión de Air France, esto podría hacer cuestionar todo el modelo vigente en cuanto a diseño de aviones se refiere. No sería un cambio menor en el software sino volver a un punto del que tal vez jamás se debió salir: La exigencia de que los aviones sean estables por diseño estructural y no que esa estabilidad venga garantizada con unas limitaciones que habrían quedado en evidencia con este caso gracias al software del avión.

En aviación militar, la solución es válida porque, en primer lugar, maniobrabilidad significa seguridad ya que puede implicar la capacidad para eludir un impacto y, adicionalmente, los pilotos de cazas llevan asientos eyectores. En aviación civil, soluciones tan forzadas como ésta para conseguir ventajas en eficiencia operativa siempre han sido cuestionables y tal vez este caso invite a que se cuestionen de una vez por todas.

Air France 447 .vs. AeroPeru 603

Es muy poco lo que se sabe aunque la insistencia en las indicaciones falsas de velocidad pone los pelos de punta porque recuerda al caso AeroPeru 603 http://factorhumano.wordpress.com/2007/04/23/resumen-wikipedia-de-aeroperu-603/ y su final en el océano Pacífico cuando creían estar a 3.000 metros del suelo.

El AeroPeru 603 era un Boeing 757, avión bastante moderno pero, a pesar de ello, con un grado de integración y de sofisticación tecnológica muy inferior al de un Airbus 330.

Una de las cosas más tristes del AeroPeru 603 es que el accidente podía haberse evitado si los pilotos hubieran sido capaces de diagnosticar correctamente el problema. En lugar de esto, pensaron que era un problema de los sistemas de información del avión y se dejaron guiar por el control de tierra. Lamentablemente, el control de tierra les guiaba con la misma información incorrecta que les estaba transmitiendo el propio avión.

¿Estamos en una repetición? La integración de sistemas y el grado de automatismo de un 330 son muy superiores. ¿Pueden los ordenadores del avión haber reaccionado automáticamente a una información incorrecta? ¿Pueden, incluso, haber impedido la acción correctora por parte del piloto, en caso de que éste fuera consciente de qué estaba pasando?

Son hipótesis que están abiertas y que hacen recordar la lógica de un viejo y prudente piloto que afirmaba estar dispuesto a volar cualquier avión con cualquier grado de automatización imaginable con una única condición: Que tuviera un botón rojo enorme que le permitiera, instantáneamente, convertir ese avión en uno mucho más antiguo susceptible de ser volado completamente a mano.

¿Disponen los Airbus modernos de ese “botón rojo”? Lo que llaman mando directo sigue funcionando a través de un sistema eléctrico puesto que no hay vinculación mecánica ni hidráulica de los mandos de vuelo con las superficies aerodinámicas que éstos controlan. ¿Hasta donde han llegado los fallos eléctricos previos al accidente? Algunos datos interesantes:

http://avherald.com/h?article=41a81ef1/0004&opt=0

http://www.elconfidencialdigital.com/Articulo.aspx?IdObjeto=21038

A medida que los sistemas se perfeccionan y se hacen más eficientes, se llega a lo que Charles Perrow definía como sistemas rígidamente acoplados en los que un fallo puede provocar un efecto de bola de nieve. Una forma alternativa de ver esto es recordar que, en los sistemas eficientes, los fallos son también eficientes porque utilizan para producir sus efectos los mismos canales que utiliza el sistema en funcionamiento normal.

Cuando, hace ahora dos años, publiqué un libro en que ponía de manifiesto los riesgos asociados a este tipo de evolución, la editorial colocó un subtítulo que parece mostrarse especialmente oportuno:

Consequences of a Technology-led Approach.

Creo que es justo el reconocimiento de que hay poco aventurerismo en la construcción aeronáutica. No hace todavía un mes de la última vez que he tenido que saltar el charco e hice el vuelo plácidamente dormido en un 340. Si tengo que repetir el hecho, lo haré y probablemente dedicaré las horas del vuelo de regreso a la misma actividad sea cual sea el avión que toque.

Dicho esto, también es cierto que todos -fabricantes y operadores- se ven pillados en una dinámica de búsqueda desesperada de mejoras de eficiencia porque le han enseñado al viajero -grave error- que la aviación es muy segura y que sólo se tiene que ocupar del precio. El viajero ha aprendido la lección y ahora toca enseñarle otra: La aviación no es una actividad sin riesgo sino que es una actividad de riesgo controlado y hará bien en enterarse de quién y cómo controla los riesgos y quiénes lo hacen mejor que otros.

A lo mejor no era mala idea sacar el sistema de estrellas para valorar la seguridad de operadores y de aviones igual que se hace con los automóviles. La alternativa, pedirle al pasajero que confíe ciegamente, no es buena y puede producir efectos indeseables en una búsqueda de eficiencia que, dado el funcionamiento actual de la aviación,  no es más que una mera lucha por la supervivencia.