Dos modelos de la ciencia de la seguridad aparecen en la capacitación en gestión de emergencias, en los informes posteriores a la acción (after-action reports) y en las diapositivas de conferencias más que cualquier otro. Uno es el modelo del queso suizo (Swiss cheese model) de James Reason y el otro es la teoría del accidente normal (normal accident theory) de Charles Perrow. Ambos se describen mal de manera habitual: el modelo del queso suizo se enseña como una cadena de eventos, y a Perrow se le cita como si hubiera dicho que los accidentes son inevitables en todo sistema. Esta guía repasa de dónde salió cada modelo y qué predice en realidad cada uno. Lee ambos a la luz del desastre de Piper Alpha de 1988, expone las críticas serias a cada uno y muestra cómo usarlos en una agencia en funcionamiento.

James Reason y el libro de 1990: fallas activas y condiciones latentes

James Reason pasó la mayor parte de su carrera como profesor de psicología en la Universidad de Manchester. Buena parte de su investigación anterior a finales de la década de 1980 trató sobre el error humano corriente, es decir, los deslices y lapsus que las personas cometen en tareas conocidas. Su libro de 1990, Human Error, publicado por Cambridge University Press, reunió ese trabajo. Separó los deslices y lapsus, en los que la intención era correcta pero la ejecución falló, de los errores de juicio (mistakes), en los que el plan mismo era equivocado. Esa taxonomía sigue en uso. Con todo, la parte del libro que llegó con el tiempo a los gestores de emergencias fue su material posterior sobre cómo se combinan los errores dentro de las grandes organizaciones hasta producir desastres, que se apoyaba en los grandes accidentes de la década de 1980, entre ellos Chernóbil y la pérdida del Challenger.

La distinción central es la que separa las fallas activas (active failures) de las condiciones latentes (latent conditions). Las fallas activas son los actos inseguros de las personas en contacto directo con el sistema, como el operador que abre la válvula equivocada o el piloto que lee mal un instrumento, y sus efectos tienden a notarse rápido. Las condiciones latentes las crean personas alejadas del evento tanto en distancia como en tiempo, entre ellas diseñadores, gerentes, redactores de procedimientos, instructores y reguladores, y esas condiciones pueden permanecer en un sistema durante años sin causar daño. Los primeros escritos de Reason las llamaban errores latentes o fallas latentes, pero más tarde prefirió el término condiciones latentes, porque una decisión de diseño o una asignación presupuestaria no es necesariamente un error en el momento en que alguien la toma. Las comparó con los patógenos residentes en el cuerpo, que no hacen daño hasta que se combinan con algún otro detonante.

Reason desarrolló más el aspecto organizacional en Managing the Risks of Organizational Accidents, de 1997. Lo llevó a los clínicos en un artículo de 2000 en el BMJ titulado Human error: models and management. Ese artículo contrasta lo que él llamó el enfoque de la persona, que busca al individuo culpable y trata el error como descuido o falta de atención, con el enfoque de sistemas, que da por hecho que las personas se equivocarán y pregunta por qué las defensas no detectaron el error. La gestión de la seguridad en la aviación y la seguridad del paciente adoptaron ampliamente el enfoque de sistemas. La gestión de emergencias lo absorbió sobre todo de segunda mano, a través de esos dos campos, lo que explica en parte por qué el modelo llega con tanta frecuencia a una agencia como una diapositiva sin fuente alguna.

La imagen del queso suizo: huecos que se mueven y la lectura errónea de la cadena de eventos

El diagrama conocido muestra un peligro en un extremo, una pérdida en el otro y una pila de lonjas de queso entre ambos. Cada lonja es una defensa, como una salvaguarda de ingeniería, una alarma, un procedimiento, una verificación del supervisor o una norma de capacitación. Lo ideal sería que cada lonja fuera sólida, pero en la práctica cada una tiene huecos. Las fallas activas abren algunos y las condiciones latentes abren otros. Reason subrayó que los huecos no son fijos, porque se abren, se cierran y cambian de posición a medida que cambian las condiciones. Un accidente ocurre cuando los huecos de todas las capas se alinean en el mismo momento, de modo que lo que Reason llamó una trayectoria de oportunidad de accidente atraviesa todo hasta llegar a una pérdida. La imagen del queso en sí apareció después del libro de 1990. Reason le reconoció al ingeniero John Wreathall una contribución a los primeros diagramas en capas, y Justin Larouzee y Jean-Christophe Le Coze rastrearon cómo evolucionó la imagen en una historia de 2020 publicada en la revista Safety Science.

El modelo hace varias predicciones prácticas. La mayor parte del tiempo las defensas resisten porque los huecos rara vez se alinean, y por eso un sistema puede funcionar durante años con debilidades latentes graves y sin ninguna pérdida. Cuando sí ocurre un accidente, los investigadores suelen encontrar varias debilidades, y la mayoría habrá existido antes del día del evento. Como las condiciones latentes están presentes de antemano, en principio se pueden encontrar y cerrar antes de que se alineen, y ese es el principal argumento del modelo a favor del trabajo proactivo de seguridad. De ello se sigue que sancionar a la persona que cometió la última falla activa deja todos los huecos latentes en su lugar para la siguiente trayectoria.

La lectura errónea más común convierte el modelo en una cadena de eventos, en la que una falla causa la siguiente hasta que se rompe el último eslabón. Esa imagen de cadena es anterior a Reason. El libro de Herbert Heinrich de 1931, Industrial Accident Prevention, usaba fichas de dominó que caen y derriban la siguiente, y la idea del dominó sigue injertándose en las lonjas de Reason. En el modelo de Reason, los huecos de lonjas distintas por lo general no se causan unos a otros. Una bomba contra incendios dejada en control manual no provoca una brecha en un sistema de permisos. Ambas condiciones pueden existir de forma independiente durante meses hasta que algún evento requiere que las dos funcionen a la vez. Lo que importa es la coincidencia en el tiempo de condiciones que distintas personas crearon por separado, a menudo con años de diferencia.

La diferencia cambia la manera de conducir una investigación. Un modelo de cadena invita al investigador a partir de la pérdida y retroceder un eslabón a la vez, y el recorrido tiende a detenerse en el primer acto humano que parece un error. Un modelo de condiciones latentes le pide al investigador que enumere todas las defensas que debieron detener el peligro, sin importar el orden, y que explique por qué cada una tenía un hueco en ese momento. El segundo método encuentra huecos que el primero pasa por alto, incluidas debilidades que no intervinieron en la secuencia de eventos pero que habrían detenido el accidente si alguien las hubiera cerrado.

Charles Perrow y Three Mile Island: de dónde salió la teoría del accidente normal

Charles Perrow fue un sociólogo de las organizaciones y pasó la mayor parte de su carrera posterior en Yale. No se propuso estudiar accidentes. Según su propio relato en Normal Accidents, su interés comenzó cuando le pidieron contribuir con un análisis relacionado con la comisión presidencial que investigó el accidente de Three Mile Island de marzo de 1979. Buena parte del debate público inicial sobre ese accidente giró en torno al error del operador. Perrow leyó el material técnico y concluyó que culpar a los operadores pasaba por alto lo que tenía de distintivo el evento. El artículo aparte del sitio sobre Three Mile Island trata los avisos al público y el mito sobre la salud, y esta sección se ocupa solo de lo que Perrow tomó de la secuencia en la planta.

En esa secuencia, Perrow vio varias fallas que por separado eran modestas. Interactuaron de maneras para las que nadie había diseñado, y nadie en la sala de control podía ver con claridad lo que ocurría. Una válvula de alivio operada por piloto quedó atascada en posición abierta, y su indicador mostraba que se había enviado la señal de cierre, sin mostrar si la válvula se había cerrado de verdad. Una vía auxiliar de agua de alimentación tenía válvulas cerradas cuando debían estar abiertas. Los operadores leían instrumentos que daban información ambigua o engañosa sobre un sistema cuyas partes estaban conectadas de maneras que no podían observar directamente. Los eventos avanzaban más rápido de lo que ellos podían formarse una imagen exacta. Perrow sostuvo que la etiqueta error del operador no explicaba nada útil, porque las decisiones de los operadores tenían sentido dado lo que podían ver.

Amplió el argumento en Normal Accidents: Living with High-Risk Technologies, publicado por Basic Books en 1984. El libro abarca la energía nuclear, las plantas petroquímicas, la aviación y el control de tránsito aéreo, el transporte marítimo, las represas y las minas, los vuelos espaciales y las armas nucleares. Clasifica esos sistemas según dos propiedades que Perrow consideraba determinantes de que un sistema fuera propenso a cierto tipo de accidente. Princeton University Press publicó en 1999 una edición revisada con un epílogo en el que él respondía a los críticos y ampliaba el argumento. Volvió al tema en The Next Catastrophe, de 2007, que proponía reducir la concentración de materiales peligrosos, de energía y de población como forma de reducir la vulnerabilidad.

Complejidad interactiva y acoplamiento estrecho: lo que Perrow predijo en realidad

La primera propiedad es la complejidad interactiva (interactive complexity). En un sistema lineal, los componentes interactúan en secuencias esperadas y visibles, de modo que cuando algo falla el efecto es predecible y el operador puede verlo. En un sistema interactivamente complejo, los componentes cumplen más de una función y están físicamente cerca de componentes no relacionados. Comparten conexiones comunes, como una sola fuente de energía o un solo circuito de enfriamiento, y los operadores los vigilan de manera indirecta mediante instrumentos en lugar de observarlos. Las fallas en un sistema así pueden interactuar en secuencias que nadie planificó, y las personas que lo operan quizá no logren entender esas secuencias de inmediato, aun siendo hábiles y estando alertas.

La segunda propiedad es el acoplamiento (coupling). Un sistema estrechamente acoplado (tightly coupled) tiene procesos dependientes del tiempo que no pueden esperar, secuencias que deben darse en un orden fijo y poco margen en suministros o equipos. Hay esencialmente una sola manera de alcanzar el objetivo, así que una perturbación en una parte se propaga rápido a las demás. Un sistema débilmente acoplado tolera el retraso y permite la sustitución y la improvisación, lo que da a las personas tiempo para notar y corregir los problemas antes de que se propaguen. Perrow puso estas dos propiedades en ejes y ubicó los sistemas en cuatro cuadrantes. Las plantas de energía nuclear, los sistemas de armas nucleares y las misiones espaciales quedaron en la esquina alta en ambos ejes. La mayor parte de la manufactura quedó en la esquina opuesta, lineal y débilmente acoplada. Las universidades, que él describió como complejas pero débilmente acopladas, quedaron en otra.

La predicción se aplica a la esquina alta en ambos ejes. En esos sistemas, sostuvo Perrow, las interacciones imprevistas de fallas múltiples ocurrirán tarde o temprano por bien que se opere el sistema. Los diseñadores no pueden prever todas las combinaciones, y el acoplamiento estrecho priva a los operadores del tiempo para entender una secuencia desconocida antes de que escale. Llamó a estos eventos accidentes de sistema o accidentes normales y los separó de los accidentes por falla de componente, en los que una pieza falla de una manera esperada. Escribió con claridad que los accidentes de sistema son raros y que la mayoría de los accidentes, incluso en las industrias de alto riesgo, son fallas de componente. La palabra normal alude al carácter del sistema, es decir, a que tales accidentes son una propiedad inherente de los sistemas construidos de ese modo, y no afirma nada sobre la frecuencia con que ocurren.

Dos predicciones adicionales importan para los gestores de emergencias. La primera es un dilema organizacional. La complejidad interactiva exige autoridad descentralizada, porque la persona más cercana a una falla desconocida tiene que improvisar. El acoplamiento estrecho exige control centralizado y procedimiento rígido, porque no hay tiempo para verificar la improvisación de nadie. Un sistema alto en ambas propiedades exige estructuras contradictorias, y Perrow no veía una manera confiable de organizarse en torno a esa contradicción. La segunda predicción es que añadir dispositivos de seguridad y redundancia a un sistema así puede sumar complejidad propia, con nuevas interacciones y nuevas vías de falla, de modo que una medida pensada para reducir el riesgo puede aumentarlo.

Piper Alpha 1988 leído con ambos modelos

Piper Alpha era una plataforma de producción de petróleo y gas en el Mar del Norte, operada por Occidental Petroleum, a unas 120 millas al noreste de Aberdeen. En la noche del 6 de julio de 1988, una secuencia de explosiones e incendios la destruyó. Murieron ciento sesenta y siete hombres, y esa cifra, que no está en disputa, incluye a dos tripulantes de una lancha rápida de rescate de un buque de apoyo. No tuve ninguna participación en nada de esto, y lo que sigue proviene del registro publicado, principalmente del informe de la investigación pública presidida por Lord Cullen, publicado en 1990, y de relatos basados en ese informe.

La investigación determinó que ese mismo día se había retirado para mantenimiento una válvula de seguridad de presión de una de las dos bombas de inyección de condensado, y que en su lugar se había colocado una brida ciega. El trabajo no estaba terminado cuando concluyó el turno de día. Esa tarde se disparó la otra bomba de condensado, y sin una bomba en funcionamiento habría habido que reducir la producción. El turno de noche se preparó para arrancar la bomba a la que se le había retirado la válvula, porque ni el sistema de permisos de trabajo (permit-to-work) ni el relevo de turno les habían informado de que faltaba la válvula. Cuando la bomba arrancó, el condensado se fugó por la brida y se incendió. La explosión rompió muros cortafuego que habían sido diseñados para resistir el fuego pero no la onda expansiva. Los incendios posteriores se alimentaron en parte del petróleo y el gas que llegaban por tubería desde otras plataformas, entre ellas Tartan y Claymore, que siguieron produciendo durante un tiempo después de que Piper ardiera. La ruptura del tubo ascendente de gas procedente de Tartan produjo un incendio enorme. La sala de control quedó inutilizada desde el principio, y con ella gran parte de la capacidad de la plataforma para coordinar una evacuación. La investigación también determinó que las bombas diésel contra incendios estaban en control manual, una práctica ligada a las operaciones de buceo, por lo que no arrancaron de forma automática. Muchos de los hombres que se reunieron en el bloque de alojamiento a esperar instrucciones murieron allí.

Leída con el modelo de Reason, la decisión del turno de noche de reiniciar la bomba fue la falla activa, y quienes la tomaron actuaban de manera razonable con la información que tenían delante. Las condiciones latentes son lo que hace útil el caso para la enseñanza. La investigación describe varias. Un sistema de permisos y un relevo de turno no lograron transmitir información crítica a través de un cambio de turno. La práctica rutinaria había desactivado el arranque automático de las bombas contra incendios. Los muros cortafuego se habían construido para un peligro y no para otro. Los arreglos de emergencia dependían de una sala de control que la primera explosión destruyó. Las plataformas adyacentes carecían de la información, o de la autoridad clara, para dejar de enviar hidrocarburos con rapidez. Ninguna de estas debilidades causó las demás, y cada una existía de forma independiente antes del 6 de julio, que es exactamente el patrón de huecos alineados que describe el modelo.

Leído con Perrow, Piper muestra el acoplamiento en una forma que los gestores de emergencias reconocerán. La producción, la compresión de gas y el alojamiento compartían una sola estructura en estrecha proximidad, y la red de tuberías ataba Piper a otras plataformas, de modo que un incendio en una se alimentaba del combustible que llegaba desde las otras. Si Piper califica como accidente normal en el sentido estricto de Perrow es una pregunta aparte. Yo sostendría que en su mayor parte no, porque una gestión ordinaria habría podido conocer y corregir casi todos los huecos que encontró la investigación. Ese desacuerdo muestra cómo difieren los dos modelos en la práctica. El de Reason dirige la atención a condiciones latentes prevenibles, mientras que el de Perrow la dirige a propiedades del diseño del sistema que la gestión por sí sola no puede eliminar. La investigación llevó a un régimen de casos de seguridad (safety case) para las instalaciones marítimas en el Reino Unido y al traspaso de la regulación de seguridad costa afuera al Health and Safety Executive.

Críticas al modelo del queso suizo: lineal, poco especificado y propenso al sesgo retrospectivo

La crítica más conocida viene de Erik Hollnagel, quien clasifica los modelos de accidente según el tipo de causalidad que suponen. En su esquema, los dominós de Heinrich son un modelo lineal simple. El queso de Reason es un modelo lineal complejo o epidemiológico, más sofisticado porque incluye condiciones latentes pero construido todavía sobre una trayectoria que atraviesa capas. Hollnagel sostiene que en los sistemas sociotécnicos complejos los accidentes pueden surgir cuando la variabilidad normal del desempeño cotidiano se combina de maneras inesperadas, sin que ninguna capa se rompa en el sentido habitual, y su Método de Análisis de Resonancia Funcional (Functional Resonance Analysis Method) se basa en esa idea. Nancy Leveson, del MIT, planteó un argumento relacionado en Engineering a Safer World en 2011. Ella trata la seguridad como un problema de control en el que los accidentes surgen de un control inadecuado de las interacciones, y desarrolló el modelo STAMP como alternativa al pensamiento por barreras en capas.

Una segunda crítica es que el modelo está poco especificado. No dice qué es un hueco ni cómo encontrarlo antes de un accidente. Tampoco ofrece manera de distinguir un hueco que importa de uno que no, de modo que los investigadores llenan las lonjas con las categorías que ya prefieren. En 2006 Reason, Hollnagel y Jean Paries escribieron una nota para el Eurocontrol Experimental Centre que revisaba el modelo. Tal como yo la leo, la nota trata el modelo como una heurística para explicar accidentes organizacionales y no como un relato detallado de cómo se desarrollan, y quien la cite debería leer la nota original. Algunos esquemas formales han intentado aportar el detalle que falta. El más conocido es el Sistema de Análisis y Clasificación de Factores Humanos (Human Factors Analysis and Classification System), que Scott Shappell y Douglas Wiegmann desarrollaron para la aviación naval de Estados Unidos y que convirtió las capas de Reason en una clasificación de tipos de falla.

Una tercera crítica se refiere a la independencia y al sesgo retrospectivo, pues la imagen sugiere capas separadas con huecos separados, aunque una sola decisión presupuestaria o una sola escasez de personal pueden abrir huecos en varias capas a la vez, lo que hace a las defensas menos independientes de lo que sugiere el dibujo. Sidney Dekker ha escrito extensamente sobre el sesgo retrospectivo (hindsight bias) en la investigación de accidentes, que es la tendencia a ver, después de los hechos, un camino claro que era invisible para las personas involucradas en ese momento. Los huecos que parecen evidentes una vez que alguien los ha alineado en un diagrama son especialmente vulnerables a ese sesgo. La revisión de 2020 de Larouzee y Le Coze es un contrapeso útil. Sostiene que muchas críticas apuntan a una versión simplificada del modelo y no a lo que Reason escribió en realidad, y que el valor del modelo como vocabulario compartido entre industrias es real aun donde su poder analítico es limitado.

Críticas a la teoría del accidente normal: la investigación sobre alta confiabilidad, Sagan y Hopkins

El principal desafío a Perrow vino de investigadores de la Universidad de California en Berkeley, entre ellos Todd La Porte, Karlene Roberts y Gene Rochlin. Estudiaron organizaciones que operaban de forma compleja y estrechamente acoplada con muy pocos accidentes, entre ellas las cubiertas de vuelo de portaaviones y el control de tránsito aéreo. Su investigación sobre organizaciones de alta confiabilidad (high reliability organizations) sostuvo que esas organizaciones logran la seguridad mediante rasgos que Perrow había descartado. Entre ellos están la capacitación continua y la redundancia de personas además de la de equipos. También figuran la disposición a dejar que la autoridad de decisión pase a quien tenga la experiencia pertinente durante un evento de rápida evolución, y una preocupación constante por la posibilidad de falla. Karl Weick y Kathleen Sutcliffe llevaron después el enfoque al público general en su libro Managing the Unexpected.

The Limits of Safety, de Scott Sagan, publicado por Princeton University Press en 1993, puso a prueba una escuela contra la otra. Usó el registro del mando y control de las armas nucleares de Estados Unidos durante la Guerra Fría, incluidos incidentes durante la crisis de los misiles de Cuba. Sagan concluyó que la evidencia encajaba mejor con la teoría del accidente normal. Documentó más situaciones de peligro inminente de las que sugería el registro oficial de seguridad, junto con casos en los que salvaguardas redundantes crearon nuevos riesgos. Los investigadores de alta confiabilidad han discutido partes de su lectura, y el debate entre las dos escuelas nunca se ha resuelto formalmente. Me parece más útil leerlas como descripciones de partes distintas del mismo problema que escoger un ganador, ya que una explica por qué algunos sistemas siguen fallando y la otra explica cómo algunas organizaciones mantienen baja la tasa de fallas de todos modos.

El sociólogo australiano Andrew Hopkins abordó a Perrow desde otra dirección. Su artículo de 1999 en Safety Science, The limits of normal accident theory, sostenía que muy pocos accidentes graves encajan en la definición de Perrow y que la teoría distrae de las fallas de gestión detrás de la mayoría de ellos. Hopkins aplicó esa visión en Lessons from Longford, su libro sobre la explosión de 1998 en la planta de gas de Esso en Longford, Victoria. La explosión mató a dos trabajadores y cortó buena parte del suministro de gas del estado durante bastante más de una semana. La alteración del proceso en Longford involucró fallas que interactuaban y que podían describirse en los términos de Perrow. Hopkins argumentó, sin embargo, que el peligro del frío extremo en los equipos de la planta era conocible y que los operadores no habían sido capacitados para reconocerlo, lo que hacía de Longford una falla organizacional prevenible. Otros críticos han señalado que la complejidad y el acoplamiento son difíciles de medir, por lo que la ubicación de los sistemas en los cuadrantes de Perrow descansa en el juicio, y que la teoría ofrece poco que los operadores de primera línea puedan aplicar.

Ambos modelos en una agencia en funcionamiento: revisiones, sistemas de radio y el centro de comunicaciones

El uso más directo del modelo de Reason está en las revisiones posteriores a la acción y de incidentes evitados por poco (near-miss). Una revisión construida sobre él enumera todas las defensas que debieron detener el problema, como el procedimiento, la norma de capacitación, la verificación del supervisor, la alarma o el equipo de respaldo. Por cada defensa pregunta si había un hueco ese día y si ese hueco ya existía antes de que empezara el día. A cada hueco se le asigna entonces un responsable y una fecha para cerrarlo. Un hallazgo de error humano o de incumplimiento de procedimiento es el punto donde empieza ese análisis y no donde termina, porque la siguiente pregunta es por qué no se siguió el procedimiento, y la respuesta suele estar en la carga de trabajo, la capacitación, el diseño o la dotación de personal. Una revisión cuyas acciones correctivas son todas recapacitación o asesoría para las personas de turno casi con seguridad se ha detenido en las fallas activas.

El modelo de Perrow resulta más útil donde los sistemas están estrechamente acoplados. En las comunicaciones de emergencia, los sistemas que más se acercan son los de infraestructura compartida. Un sistema de radio troncalizado en el que muchos sitios dependen de un solo núcleo y de una red de transporte (backhaul) compartida tiene las propiedades que él describió, ya que una falla en un componente común puede afectar a todos los sitios a la vez, más rápido de lo que un técnico puede diagnosticarla. Los diseñadores aflojan ese acoplamiento de forma deliberada con modos como la troncalización de sitio (site trunking) y el modo de respaldo (failsoft), que permiten que cada sitio siga funcionando de manera degradada tras perder el núcleo. Esos modos solo ayudan si los usuarios saben lo que harán sus radios en ellos. Los controladores redundantes con conmutación automática por falla (failover) reducen un riesgo pero añaden complejidad del tipo exacto contra el que advirtió Perrow, porque la lógica de conmutación tiene modos de falla propios y rara vez se ejercita. Cuando reviso un diseño, la primera pregunta que hago sobre la conmutación automática es cuándo se probó por última vez en condiciones realistas y quién guarda el registro de esa prueba.

La misma lente se aplica a un centro de comunicaciones. El despacho asistido por computador (computer-aided dispatch, CAD), las consolas de radio, las alertas, los sistemas telefónicos y la cartografía se integran cada vez más, lo que eleva la complejidad interactiva, y una sala de despacho durante un incidente mayor tiene muy poco margen de tiempo. Las tarjetas de despacho en papel, un procedimiento manual de alertas, una lista impresa de asignaciones de unidades y un respaldo conocido en la consola reducen el acoplamiento en el sentido de Perrow. Le dan a la sala una forma de seguir trabajando a menor velocidad mientras se restablecen los sistemas automatizados. Un Centro de Operaciones de Emergencia (Emergency Operations Center, EOC), en cambio, suele estar débilmente acoplado, con horas y no segundos entre decisiones. Sus fallas son por eso más a menudo del tipo latente y prevenible que describe Reason, como una lista de contactos que nadie ha probado o un plan que nadie ha leído.

Qué hacer en su agencia

• Pídale a la persona que dirige las revisiones posteriores a la acción que saque los últimos tres informes terminados y marque cada hallazgo que señale como causa el error humano, el incumplimiento de procedimiento o un individuo. Esa persona debe llevar luego a la próxima reunión de personal programada un informe revisado que enumere las condiciones latentes detrás de un hallazgo de ese tipo.
• Pídale al administrador del sistema de radio que redacte una lista de una página con los componentes cuya falla afectaría a más de un sitio, como el núcleo, los enlaces de transporte (backhaul) y la fuente de sincronización. La lista debe incluir una descripción sencilla de lo que hacen las radios de campo en troncalización de sitio o en modo de respaldo (failsoft), y debe llegar al oficial de capacitación antes de que termine el mes.
• Pídale al administrador del sistema de radio que solicite al proveedor del sistema o al contratista de mantenimiento la fecha y el resultado por escrito de la última prueba de conmutación por falla del controlador. Si no existe registro, el administrador debe programar una prueba en la próxima ventana de mantenimiento planificada.
• Pídale al supervisor del centro de comunicaciones que realice este mes en cada turno un simulacro de treinta minutos en el que los despachadores atiendan una carga simulada de llamadas con tarjetas de despacho en papel y con el CAD considerado fuera de servicio. El supervisor debe registrar cuánto tardó el despacho de las primeras llamadas.
• Pídale al coordinador de gestión de emergencias que añada un párrafo al anexo de comunicaciones del plan de operaciones de emergencia existente. El párrafo debe nombrar el respaldo manual para cada vía automatizada de alertas, quién lo ejecuta y dónde se guarda la lista impresa de contactos.
• Pídale al oficial de capacitación que revise todas las presentaciones de la biblioteca de la agencia que usan el diagrama del queso suizo, corrija las que lo presentan como una cadena de eventos y agregue esa corrección a las notas del instructor.
• Pídale al oficial de seguridad que agregue al formulario existente de reporte de incidentes evitados por poco una pregunta sobre si la condición que permitió el incidente ya existía antes de ese día.

Puntos clave

• El modelo del queso suizo de James Reason surgió de su libro de 1990 Human Error, y separa las fallas activas de las personas de primera línea de las condiciones latentes creadas antes por diseñadores, gerentes, instructores y reguladores.
• El modelo describe huecos en capas de defensa separadas que coinciden en alinearse en un momento dado, lo cual es una idea distinta de una cadena de eventos en la que cada falla causa la siguiente.
• La teoría del accidente normal de Charles Perrow salió de su análisis de Three Mile Island, y él la expuso en su libro de 1984 Normal Accidents.
• La predicción de Perrow se aplica solo a los sistemas que son a la vez interactivamente complejos y estrechamente acoplados, y él describió la mayoría de los accidentes como fallas de componente prevenibles, por lo que citarlo para afirmar que los accidentes son inevitables en todas partes tergiversa la teoría.
• Piper Alpha en 1988, que mató a 167 hombres, ilustra tanto condiciones latentes alineadas como el acoplamiento entre plataformas conectadas, según consta en el informe de la investigación de Cullen de 1990.
• Hollnagel, Leveson y Dekker critican el modelo del queso suizo por demasiado lineal y demasiado poco especificado para guiar el análisis, mientras que Larouzee y Le Coze sostienen que muchos críticos atacan una versión simplificada de él.
• Los investigadores de alta confiabilidad, Scott Sagan y Andrew Hopkins desafiaron la teoría del accidente normal desde direcciones distintas, y el debate entre ellos no se ha resuelto.
• Ningún modelo es un método de investigación, así que una agencia debe usarlos para plantear preguntas y apoyarse en un proceso real de revisión posterior a la acción para responderlas.