Modos degradados y la “cultura de afrontamiento” en las operaciones militares
En muchas operaciones militares, la seguridad de las armas se ve comprometida por los “modos degradados de operación”. Estas son situaciones en las que el personal debe encontrar “soluciones alternativas” para los muchos fallos rutinarios que complican la vida militar. En la mayoría de los casos, estas adaptaciones ad hoc no amenazan la seguridad. Sin embargo, si estos fallos no se abordan, pueden erosionar gradualmente las barreras y otras medidas defensivas que previenen la ocurrencia de bajas. Este documento analiza un accidente reciente que llevó a la muerte de dos miembros de la Marina Real del Reino Unido a bordo de un submarino que participaba en entrenamientos bajo hielo y evaluaciones tácticas con el ejército de EE.UU. Mostramos que los modos degradados de operación no solo contribuyeron a la causa de este accidente, sino que también complicaron la respuesta a la emergencia. La idea clave de este estudio es reducir la tolerancia a los fallos operativos rutinarios en muchas operaciones militares para que el personal sea más propenso a rectificar problemas en lugar de recurrir a “soluciones alternativas” que ponen en peligro la seguridad.
Introducción
Muchos subsistemas críticos para la seguridad tienen un tiempo medio hasta el fallo que es menor que la vida operativa prevista de las aplicaciones que soportan. En tales circunstancias, diseñadores y operadores deben trabajar juntos para asegurar que los intervalos de mantenimiento estén programados de manera que los componentes críticos sean reparados o reemplazados antes de que fallen. Sin embargo, cuanto más cortos sean los intervalos de mantenimiento, mayores serán los costos. Existe un incentivo para retrasar la intervención tanto como sea posible sin poner en peligro la seguridad. Una vez que un subsistema ha fallado, las mismas presiones financieras pueden persuadir a los gerentes para encontrar “soluciones alternativas” o parches ad hoc que permitan continuar las operaciones. En otras palabras, los operadores aprenden a mantener la funcionalidad del sistema bajo “modos degradados de operación” (Ref. 1, 2, 3).
En los sistemas militares, estas presiones son considerablemente más complejas. Por ejemplo, las restricciones operativas pueden impedir que el personal reemplace componentes fallidos que deben ser entregados a lo largo de cadenas de suministro extendidas. Esto es un problema particular en operaciones navales en regiones remotas donde puede no ser posible obtener piezas de repuesto durante semanas o meses. La presión para mantener la funcionalidad frente a fallos de subsistemas también puede verse exacerbada por los requisitos operativos en el campo. El riesgo de trabajar sin sistemas de misiles tierra-aire podría, por lo tanto, justificar la operación continua de una aplicación a pesar de que pueda haber fallos bien conocidos con esa plataforma (Ref. 4). En parte como consecuencia, muchas organizaciones militares dependen de la formación y la doctrina para ayudar al personal a encontrar formas de trabajar alrededor de defectos de diseño que no fueron adecuadamente abordados durante la adquisición de sistemas complejos (Ref. 5).
Resumen del Caso de Estudio: Este documento utiliza un caso de estudio reciente para ilustrar el impacto de los modos degradados en las operaciones militares. En particular, se centra en un incidente fatal que involucró al buque de Su Majestad (HMS) Tireless mientras el submarino estaba desplegado (Ref. 6). Dos miembros de la tripulación murieron y otros resultaron heridos. El incidente ocurrió mientras Tireless participaba en un ejercicio de entrenamiento bajo hielo y evaluación táctica cerca de la Estación de Hielo del Laboratorio de Física Aplicada de EE. UU. en el norte de Alaska. En el momento del accidente, el submarino seguía los Procedimientos Operativos Estándar (SOPs) utilizando Generadores de Oxígeno Autónomos (SCOGs) para mantener el nivel de oxígeno en el buque. Los SCOGs contienen una mezcla de clorato de sodio y polvo de hierro o de clorato de potasio y litio. Cuando se encienden, la mezcla se carboniza a unos 600 °C para producir cloruro de sodio, óxido de hierro y oxígeno. Dadas las temperaturas involucradas, los SCOGs deben estar aislados para mantener la temperatura de reacción y proteger el equipo circundante.
El Tireless estaba utilizando estos dispositivos porque el suministro principal de oxígeno dependía de electrolizadores de baja presión que podían fallar si se formaba hielo en la tubería de descarga de hidrógeno. Los dos miembros de la tripulación que murieron en el incidente estaban calificados para operar estos SCOGs, habiendo realizado procedimientos de mantenimiento en muchas ocasiones. Eran responsables de entrenar a otros miembros de la tripulación en su operación. A las 19:56, aproximadamente una hora antes del cambio de guardia, se escuchó un fuerte estruendo en todo el submarino (Ref. 6). El extremo delantero del buque se llenó de humo. Esto desencadenó una alarma de incendio. La alarma de inundación también se activó porque la explosión fue suficiente para presionar el botón de alarma de inundación manual en el Compartimento de Escape Adelante (FEC). Desde este punto, tomó 44 minutos para que el personal pudiera volver a entrar al FEC donde habían estado trabajando las dos víctimas. Las puertas de la escotilla que conducían desde el espacio de literas delantero al FEC fueron cerradas con fuerza, causando que se doblaran y se atascaran en su lugar. Se iniciaron varios incendios pequeños, probablemente de charcos de clorato de sodio y limaduras de hierro que se dispersaron cuando el SCOG explotó. Un incidente mucho más grave podría haber ocurrido si otros miembros de la tripulación no hubieran tomado medidas rápidas para extinguir estos incendios.
Causas Inmediatas del Accidente a Bordo del HMS Tireless
Se propusieron varias teorías para describir los mecanismos causales que podrían haber llevado al accidente en el HMS Tireless. Una sugerencia fue que el cartucho explosivo, que se utiliza para iniciar la reacción del SCOG, podría haber roto el recipiente. Sin embargo, las pruebas mostraron que la explosión generada por estos dispositivos era insuficiente para causar tal fallo. La contaminación por agua también fue descartada. La entrada de agua podría haber causado un accidente potencial a través de la sobrepresurización por la formación de vapor a medida que continuaba la reacción del SCOG. Sin embargo, la Junta concluyó que esto no podría resultar en la fractura explosiva que se vio en el accidente del Tireless. Los conductos de ventilación bloqueados también podrían haber llevado a la ruptura del recipiente por un aumento de la presión interna. Sin embargo, esto tampoco habría tenido la fuerza observada en el Compartimento de Escape Adelante. El daño físico al bloque de clorato de sodio y los defectos de fabricación, incluyendo una concentración aumentada de limaduras de hierro, no habrían aumentado la energía almacenada en los SCOGs hasta el punto en que el daño sería consistente con el que se presenció en el Tireless. Se concluyó que la única causa ‘plausible’ fue la contaminación del bloque de clorato de sodio por un líquido orgánico. En particular, la contaminación por aceite podría haber ocurrido mientras se almacenaba en un submarino. Desafortunadamente, no fue posible ser más preciso sobre la fuente de tal problema; “debido a los patrones de gestión logística de… SCOGs, el SCOG que explotó pudo haber sido embarcado y desembarcado de muchos submarinos diferentes antes de su uso en el Tireless” (Ref. 6). Los factores contribuyentes incluyeron posibles grietas en el bloque de clorato de sodio y ‘limitaciones’ impuestas por la ubicación del soporte del SCOG. Estos problemas físicos fueron, en parte, el resultado de deficiencias en la ‘adquisición, fabricación, transporte, almacenamiento, estiba y gestión logística de los SCOGS’ (Ref. 6). Los factores contribuyentes incluyeron posibles grietas en el bloque de clorato de sodio y ‘limitaciones’ impuestas por la ubicación del soporte del SCOG. Estos problemas físicos fueron, en parte, el resultado de deficiencias en la ‘adquisición, fabricación, transporte, almacenamiento, estiba y gestión logística de los SCOGS’ (Ref. 6). Por lo tanto, este incidente proporciona muchas lecciones que se pueden aprender sobre los contextos en los cuales los modos degradados de operación pueden erosionar gradualmente la seguridad de las operaciones militares.
Adquisición de SCOG, Modos Degradados y Evaluación de Riesgos
A finales de los años 80, el Ministerio de Defensa del Reino Unido formó el programa de Mejora Secundaria de Submarinos para aumentar los 3.5 días de oxígeno de emergencia que podían proporcionar las velas de oxígeno existentes. Se reconoció que algunos escenarios de rescate podrían requerir hasta 7 días de oxígeno. En consecuencia, se presentó al MOD un diseño revisado para un Contenedor de Oxígeno Autónomo que producía aproximadamente un 30% más de oxígeno que las velas. Sin embargo, la prueba de evaluación condujo a dos incidentes en los que un prototipo de SCOGs se incendió y otro se rompió por un aumento de la presión interna. A mediados de los años 90, se presentó un diseño revisado y este pasó con éxito el programa de pruebas asociado. Esto fue diseñado bajo los requisitos de la Publicación de Servicio Conjunto 430, una norma que describe la Gestión de Seguridad de Buques para el Ministerio de Defensa del Reino Unido. Por lo tanto, se desarrolló un caso de seguridad a partir de una serie de reuniones de revisión de peligros y talleres. La posterior Junta de Investigación describe cómo el caso de seguridad evaluó la contaminación de un SCOG como "no creíble debido al diseño ('no creíble' se describe como 'extremadamente improbable que ocurra durante la vida operativa de la unidad')" (Ref. 6). No consideró la posibilidad de contaminación durante el transporte, manejo y almacenamiento. Sin embargo, la documentación producida después del Caso de Seguridad advirtió explícitamente al personal sobre los peligros potenciales de la contaminación, incluyendo el documento operativo BR1326 Manual de Purificación de Aire de Submarinos y en la Documentación de Mantenimiento Planificado. El caso de seguridad no consideró las posibles consecuencias en caso de que un SCOG explotara durante la operación. Se realizaron consultas durante la adquisición sobre si los materiales de estos dispositivos podrían constituir un 'almacén explosivo' a bordo de un submarino. Sin embargo, el Grupo de Seguridad de Ordnance de Defensa rechazó esto argumentando que la vela de oxígeno Mk V, que reemplazó, no estaba clasificada como explosivo.
Los Generadores de Oxígeno Autónomos se introdujeron en los submarinos del Reino Unido en 2003. Dispositivos similares han sido suministrados a las fuerzas navales de Australia, Francia y Estados Unidos.
Incidentes Previos con SCOG y Tolerancia a Modos Degradados de Operación
Existe una larga historia de incidentes que involucran dispositivos similares a los involucrados en este accidente. En la década de 1980, la Marina de EE. UU. sufrió dos 'incendios en hornos de velas de oxígeno' acompañados de explosiones que se atribuyeron a la contaminación por hidrocarburos de los dispositivos. La Estación Espacial Mir también sufrió daños significativos por la contaminación de un generador de oxígeno; parte de un guante de látex quedó dentro del dispositivo durante la fabricación. Sin embargo, los modos degradados de operación a menudo se caracterizan por la disposición a mantener niveles de servicio a pesar de que los miembros de la tripulación son conscientes de los problemas continuos con los sistemas que operan. La Junta Naval de Investigación encontró evidencia de una serie de incidentes previos que involucraban a los Generadores de Oxígeno Autónomos en el Tireless incluso durante el despliegue en el que ocurrió el accidente. Estos incluyeron un incendio durante el cual una llama continua de 4 pulgadas salió de los puertos de salida poco antes de que el dispositivo se encendiera con éxito. La tripulación volcó el SCOG en un balde de agua hasta que se extinguió. 7 de los contenedores fallaron al dispararse y posteriormente fueron reencendidos. Otro dispositivo continuó 'retumbando' en su soporte después de ser encendido.
Un examen de los sistemas de informes S2022 de la Marina encontró varios incidentes en los que los SCOGs no se encendieron; las recomendaciones se centraron en reducir la vida útil de los cartuchos que se utilizaban para desencadenar la reacción química. Los sistemas de informes también proporcionaron información sobre incidentes más graves. Estos incluyeron incendios en el HMS Superb (enero de 2006) y dos incidentes en el HMS Trafalgar (octubre de 2004). El primer incendio en el Trafalgar fue especialmente grave porque el contenedor se deformó tanto que no pudo ser retirado de su soporte. Esto dificultó los intentos de extinguir las llamas. En el segundo incidente durante octubre de 2004, materiales fundidos comenzaron a gotear a través de agujeros en otro de los contenedores SCOG a bordo del Trafalgar. Estos incidentes son significativos porque muestran que los miembros de la tripulación continúan confiando sus vidas a dispositivos que ya han fallado. También ilustra cómo múltiples incidentes pueden derivarse de problemas que parecen ser comunes en un lote de contenedores. El fabricante identificó fallas en sus procesos de producción y retiró 294 SCOGs de cuatro diferentes tandas de producción. Todos estos contenedores se encontraron a bordo del Trafalgar. 11 ya habían sido utilizados. Se ordenó al submarino que desembarcara todos estos SCOGs sospechosos al regresar al Reino Unido para que pudieran ser retirados del servicio.
Después del incidente en el Tireless, se hicieron intentos para asegurar que los SCOGs de estos lotes defectuosos hubieran sido destruidos. Se encontraron 103 almacenados en la base naval de Devonport, 49 todavía estaban en el Trafalgar, 1 estaba en el HMS Vanguard, 2 permanecían en el HMS Tubulent, 1 fue encontrado en un almacén de residuos peligrosos y 48 quedaron sin contabilizar. La investigación también escuchó que alrededor de 1,000 contenedores habían sido previamente enviados de vuelta a la Tienda de Residuos Peligrosos por ser no aptos para su propósito. Sin embargo, en noviembre de 2006, la mayoría había sido devuelta a la cadena de suministro. Esto había tomado unos 6 meses antes del incidente en el Tireless. La decisión de marcar estos SCOGs como utilizables se hizo después de una inspección visual. Se suponía que estos contenedores tenían una vida útil de 10 años a bordo de un submarino y la mayoría no tenía más de 5 años; "estos eventos sirven para demostrar que la gestión logística de los SCOGs ha sido deficiente. Es posible, pero no se puede probar, que un número de los SCOGs no utilizables retirados después de los incidentes del Trafalgar estuvieran entre los 550... recibidos por el Tireless el 5 de febrero de 2007 antes de zarpar para el ICEX" (Ref. 6).
También había evidencia de que varios incidentes previos con SCOG no habían sido reportados. Esto es significativo porque uno de los problemas críticos para combatir los 'modos degradados' de operación es que los operadores pueden no entender los riesgos que representan los fallos del equipo. Pueden estar tan acostumbrados a usar 'soluciones alternativas' y otras formas de estrategia de afrontamiento que no presentan informes de incidentes. Como consecuencia, los niveles superiores de mando pueden tener poca idea de los problemas que ocurren durante el servicio operativo; "precisamente por qué el personal de submarinos está subreportando es un asunto de conjetura, pero es la opinión de la Junta que el sistema de informes S2022 tiene sus deficiencias" (Ref. 6). El desencanto y la falta de informes son característicos de los sistemas de monitoreo de eventos adversos cuando el personal recibe poca retroalimentación o sufre largas demoras antes de que se aborden sus preocupaciones.
La Logística y Gestión de los SCOG en Modos Degradados de Operación
Los submarinos típicamente llevan SCOGs para dos propósitos diferentes. Se almacenan ya sea para escape o para 'uso inmediato'. Los dispositivos de escape se guardan en armarios sellados construidos para este fin en los compartimentos de escape de los buques. Normalmente no se sacan excepto para una inspección independiente realizada cada año como parte de la auditoría de escape del submarino. Después del accidente, una inspección de estos SCOGs de emergencia en el Tireless mostró que estaban intactos y no habían sido dañados. En consecuencia, la atención comenzó a centrarse en la gestión de los dispositivos de 'uso inmediato'. Estos se guardaban en el almacén del ingeniero y en un almacén naval delantero que había sido equipado con sistemas de rociado fijos apropiados. Los SCOGs de 'uso inmediato' estaban destinados a situaciones operativas como ejercicios bajo hielo. No se almacenaban en contenedores construidos para este fin. En contraste, el embalaje de cartón a menudo se retiraba antes de que fueran estibados. Tras el incidente, se determinó que el Tireless llevaba más de 700 de estos dispositivos de 'uso inmediato'. Se inspeccionó una muestra de 258, de los cuales 59 (23%) habían sido quemados mientras que el resto no había sido utilizado. 147 (57%) habían sufrido algún tipo de daño físico, 42 (21%) no estaban completamente sellados, 71 (28%) mostraban signos de corrosión, 27 (11%) habían sufrido 'contaminación grave' con aceite o grasa (Ref. 6). La junta concluyó que el Tireless y un número de otros submarinos habrían estado usando SCOGs de 'uso inmediato' en una condición similar, lo que representa un riesgo considerable para la continuidad de las operaciones.
Las secciones iniciales de este documento argumentaron que el personal militar continúa explotando soluciones ad hoc que les permiten mantener las operaciones frente a fallos continuos del sistema. En el caso de los Contenedores de Oxígeno Autónomos, estas estrategias de afrontamiento pueden explicarse parcialmente por la falta de advertencias de seguridad en muchos de los dispositivos. Se utilizaron técnicas de serigrafía para marcar los SCOGs. Muchas de las advertencias se habían borrado por el contacto con otras superficies o con contaminantes, incluyendo el agua. Estos problemas se hicieron conocidos al grupo de Supervivencia y Habitabilidad del Ambiente Marino de las Fuerzas Marinas del Reino Unido (MESH IPT) y se buscaron remedios para abordar el problema en los contenedores restantes. La investigación subsiguiente rastreó la entrega de SCOGs de vuelta a la cadena de suministro. Se encontró que los Almacenes Navales en Devonport proporcionaban una instalación ampliamente adecuada para albergar los dispositivos después de que habían sido entregados por el fabricante. Luego, estos fueron entregados a demanda a los submarinos de la flotilla que los necesitaban. Sin embargo, 'su clasificación como mercancías peligrosas parece tener poco o ningún impacto en cómo se transportan hacia y desde los submarinos' (Ref. 6). La investigación subsiguiente encontró que los contenedores para el Tireless habían permanecido sin cubrir en un muelle desde el 5 hasta el 19 de febrero antes de ser embarcados en el submarino. Mientras que aquellos para el HMS Vanguard habían permanecido sin cubrir en Devonport por casi dos años antes de ser investigados por Oficiales de Explosivos y Salud & Seguridad.
Una técnica importante para reducir o mitigar los peligros creados por modos degradados de operación es proporcionar al personal oportunidades explícitas para expresar preocupaciones sobre problemas con los sistemas que deben operar. Sin embargo, la única oportunidad para rechazar los SCOGs era cuando se recibían después de la entrega al submarino. No se encontró evidencia de que esto ocurriera en toda la Marina ni de que el personal estuviera capacitado para identificar si un contenedor era utilizable. La orientación disponible era ambigua porque no establecía explícitamente los criterios para la aceptación/rechazo de los dispositivos; "a lo largo de la investigación..., la Junta ha formado la opinión de que la complacencia se había instalado desde la introducción del SCOG en 2003 y el personal era menos cauteloso de lo que había sido con la anterior vela de oxígeno Mk V. A pesar de la presencia de advertencias sobre el riesgo explosivo presentado por la contaminación con material orgánico, no había una experiencia o comprensión real dentro del MOD de cuán violentamente podría reaccionar una vela de clorato de sodio contaminada" (Ref. 6).
Modos Degradados de Operación, Confianza y Rediseño
Las secciones anteriores han descrito cómo los SCOGs solo se usaban como una forma secundaria de generación de oxígeno. Era bien sabido antes de la misión que el sistema primario no funcionaría a profundidades menores de 150 metros porque la descarga de hidrógeno del electrolizador se congelaría, causando que el sistema se desconectara. Esta preocupación fue documentada en un Aviso de Publicación de la Flota (FPN 27) y explica en parte por qué el Tireless había cargado SCOGs adicionales antes de partir para operaciones bajo hielo. En otras palabras, la tripulación y los oficiales, así como muchos otros en la estructura de gestión de la Marina, entendían que su sistema electrolizador estaría operando en un modo degradado durante largos períodos de la misión. Por lo tanto, la Junta cuestionó si no se podrían haber realizado modificaciones para extender el rango operativo de los sistemas primarios de oxígeno. Esto, a su vez, habría reducido la dependencia de estos contenedores y habría liberado espacio adicional para mejorar el cuidado del pequeño número de SCOGs de 'uso inmediato'.
La Junta de Investigación argumentó que la tecnología de clorato de sodio sigue proporcionando protección adecuada para la tripulación siempre que se realice una evaluación para que "se aplique una mitigación de riesgos adecuada para prevenir la contaminación orgánica líquida en cualquier sistema futuro". Si esto se hace, entonces la junta argumenta que sería muy poco probable que se repitiera un incidente como el del Tireless (Ref. 6). Concluyen que estas tecnologías siguen siendo una fuente secundaria aceptable de producción de oxígeno para las operaciones de submarinos; dado que los peligros asociados no son mayores que los presentados por otros equipos en el submarino. Sin embargo, esta forma de razonamiento parece notablemente similar a los argumentos que se usaron a favor de mantener la misma clasificación explosiva para los SCOGs y las Velas de Oxígeno Mk V. Los SCOGs no eran más peligrosos que las velas. Sin embargo, como hemos visto, exhibieron modos de fallo diferentes y más explosivos durante este accidente. Se pueden plantear más advertencias sobre la continua dependencia de la tecnología de clorato de sodio en misiones similares a la ICEX. Las secciones anteriores han descrito las limitaciones de los electrolizadores de baja presión. Por lo tanto, se podría argumentar que la tecnología de clorato de sodio se convierte en el sistema primario cuando los electrolizadores entran en modos degradados de operación.
El informe de investigación continúa señalando que muchos submarinistas se han vuelto sospechosos de los SCOGs y que ahora no están dispuestos a encenderlos. Después de este incidente, se tomaron medidas para eliminar todo el diseño existente y reemplazarlo con un dispositivo revisado. La Junta también señaló que será necesario "emprender una campaña completa de relaciones públicas internas, posiblemente incluyendo un cambio de nombre, antes de que se considere una reintroducción al servicio". Estas son observaciones significativas; revelan las consecuencias que surgen cuando los miembros de la tripulación comprenden los peligros potenciales de los modos degradados de operación. Es lamentable que estos peligros a menudo no se comprendan completamente hasta que los accidentes han puesto en peligro la vida de muchas personas.
Modos Degradados y Dimensiones de Afrontamiento
Como se mencionó en secciones anteriores, a menudo hay una cultura de 'arreglárselas' dentro de muchas organizaciones militares. Se alienta a los equipos a usar su iniciativa para encontrar 'estrategias de afrontamiento' que respondan de manera flexible a fallos de sistemas imprevistos. El argumento clave en este documento es que se debe alentar a los individuos a expresar preocupaciones donde tales fallos crean riesgos innecesarios que pueden poner en peligro finalmente las operaciones exitosas. Las secciones anteriores se han centrado en problemas en el manejo y adquisición de Generadores de Oxígeno Autónomos. Sin embargo, estos problemas no pueden verse de forma aislada. Esta cultura de afrontamiento se extiende a través de múltiples plataformas y sistemas. Por ejemplo, la investigación sobre la explosión y los incendios posteriores en el Tireless encontró varios otros ejemplos de aplicaciones donde la tripulación trabajó arduamente para superar defectos de diseño.
Sistemas de Respiración de Emergencia Inadecuados: Se tuvieron que desplegar una serie de estrategias de afrontamiento por parte de la tripulación inmediatamente después del incidente. En particular, 25 miembros del personal se vieron obligados a ponerse aparatos de respiración en el Espacio de Literas Delantero a medida que se llenaba de humo y la visibilidad se reducía a menos de medio metro. Podrían haber optado por usar Dispositivos de Respiración de Escape de Emergencia autónomos. Estos estaban disponibles y estaban específicamente diseñados para permitir la escapada de un compartimento lleno de humo. Sin embargo, la investigación formal señala que estos dispositivos eran relativamente complicados y que los miembros de la tripulación tenían "falta de confianza en ellos y una preferencia inmediata por buscar el Sistema de Respiración de Emergencia (EBS)". Este era un suministro atado que imponía más restricciones en los movimientos de la tripulación alrededor de las boquillas donde podían acceder a las máscaras. Estas observaciones sobre los Dispositivos de Respiración de Escape de Emergencia demuestran que hay límites en las estrategias de afrontamiento que los equipos emplearán: los dispositivos pueden ser tan complicados de operar que, en lugar de encontrar formas de simplificar su uso, los individuos buscarán alternativas como las máscaras EBS.
Las máscaras del Sistema de Respiración de Emergencia se almacenaban en armarios y estos tenían que vaciarse antes de que pudieran distribuirse. No solo había máscaras insuficientes para toda la tripulación en el espacio de literas. Tampoco había suficientes acoplamientos PCL (Pneumatic Components Limited) para que pudieran conectar su aparato de respiración al Sistema de Respiración de Emergencia. Cuando se cierra el acceso al Compartimento de Escape Delantero, solo hay acceso a 18 acoplamientos PCL para los 35 miembros de la tripulación que se encuentran en el espacio de literas delantero más allá del Mamparo 29. Como consecuencia, algunos de la tripulación se vieron obligados a usar un 'sistema de compañeros' mientras compartían sus máscaras. Otros decidieron arrastrarse fuera del compartimento por debajo del humo.
Fue afortunado que los oficiales del submarino decidieran no cerrar el Mamparo 29; de lo contrario, podría haber habido más fatalidades entre aquellos que se vieron obligados a lidiar con un número insuficiente de máscaras y acoplamientos.
Este incidente también reveló problemas adicionales con los acoplamientos del Sistema de Respiración de Emergencia. Estas preocupaciones son importantes porque ilustran cómo los modos degradados de operación solo pueden identificarse para algunos sistemas durante situaciones extremas en las que las tripulaciones están menos preparadas para idear estrategias de afrontamiento. Había dos diseños diferentes para los acoplamientos PCL. Una versión más moderna requería ambas manos para conectar o desconectar la máscara del usuario. Sin embargo, el diseño más antiguo solo requería una mano para hacer la conexión. Estas diferencias quedaron particularmente expuestas cuando el personal se movía rápidamente de una posición a otra en el buque. En muchas situaciones, los individuos que llevaban equipos críticos tenían que dejarlos para desconectar la manguera, moverse a su nueva ubicación, dejar el equipo y luego reconectar antes de recoger el equipo nuevamente para poder operarlo. Es difícil subestimar la carga de trabajo adicional que esto creó en condiciones de espacio reducido y baja visibilidad, especialmente cuando los miembros de la tripulación habían acumulado experiencia en la operación 'fugaz' con una sola mano de los dispositivos de acoplamiento más antiguos.
Las interacciones entre los Modos Degradados y la Capacitación: La dificultad para conectar y reconectar al Sistema de Respiración de Emergencia se vio agravada por la falta de capacitación adecuada. La detonación del SCOG creó una situación en la que el humo se acumuló rápidamente en varias áreas del submarino. La investigación subsiguiente señala que "ni el paquete de entrenamiento previo al despliegue ni los ejercicios generales de entrenamiento de seguridad contemplan un escenario en el que un gran volumen de la atmósfera del submarino esté fuera de las especificaciones desde el principio" (Ref. 6). Esto creó una discrepancia entre las condiciones a las que tuvo que responder la tripulación y su entrenamiento previo; en otras palabras, el ambiente después del incidente en sí creó un 'modo degradado' de operación que forzó una gama de estrategias de afrontamiento que no se habían considerado en la capacitación. Por ejemplo, las acciones estándar de las estaciones de emergencia se centraron en vestirse y almacenar el equipo suelto. Estas acciones eran inapropiadas, si no imposibles, sin obtener primero y luego conectar sus máscaras del Sistema de Respiración de Emergencia.
Equipamiento de Emergencia Improvisado para Entrada/Salida: Otras evidencias de modos degradados de operación se pueden ver en los intentos de la tripulación por abrir las puertas de escotilla al Compartimento de Escape Delantero (FEC). Estas se deformaron por la fuerza de la explosión inicial. Era crítico abrir estas puertas ya que los miembros de la tripulación sobrevivientes en el FEC luchaban por apagar los incendios que habían sido iniciados por el material que había sido impulsado desde el SCOG roto. Sin embargo, los miembros del equipo de control de daños tuvieron dificultades para localizar el equipo apropiado que podría usarse para ganar acceso; "para abrir las puertas de escotilla al FEC utilizando varias piezas de equipo como herramientas improvisadas" (Ref. 6). Había barras de palanca y sierras para metales insuficientes para acelerar la salida del compartimento. Una razón para esto es que los escenarios de control de daños utilizados en la capacitación para las tripulaciones de submarinos no hacían un uso tan extensivo de estas herramientas como lo hacían en la flotilla de superficie. Los equipos de rescate se vieron obligados a retirar una escalera para poder acceder a las puertas de escotilla deformadas. Los miembros de la tripulación lograron pararse sobre tambores y mirar dentro del FEC donde finalmente pudieron evaluar la magnitud de las lesiones de sus colegas y también transmitir información sobre el daño creado por el SCOG. Unos 44 minutos después de la explosión inicial, la tripulación logró forzar una de las escotillas en la dirección opuesta a la que normalmente se habría abierto y luego la arrancaron de sus bisagras. La escalera fue reemplazada y los equipos finalmente pudieron entrar al FEC.
Problemas con el Equipo de Lucha contra Incendios: Los esfuerzos de lucha contra incendios también se vieron obstaculizados por problemas con el equipo. Una Unidad de Lucha contra Incendios Autónoma (SFU 90) se desplegó inadvertidamente después de que los incendios se extinguieran en el FEC. La tripulación luchó para desviar el chorro a lo largo del 2-Deck y luego lo dirigió al baño de Calificaciones Junior. Mientras los individuos trabajaban para detener la unidad, la boquilla se desprendió de la manguera permitiendo que el agua fluyera libremente. Aunque esto puede parecer un problema menor, es importante reiterar que la tripulación estaba trabajando en condiciones de espacio reducido con aparatos de respiración sin muchos de los sistemas de comunicación habituales y con visibilidad reducida. El fallo de la boquilla también fue importante para la investigación subsiguiente porque ya había sido modificada tras un fallo similar durante un incendio en el HMCS Chicotimi en 2004 (Ref. 6). Afortunadamente, varios miembros de la tripulación del Tireless trabajaron juntos para improvisar una solución y pusieron un doblez en la manguera que cortó el flujo mientras sus colegas aislaron el suministro en otra cubierta. Una vez hecho esto, la unidad fue llevada al comedor de calificaciones superiores para que la boquilla faltante pudiera ser reparada en caso de que la unidad fuera requerida nuevamente.
Fallos de Comunicación: Los sistemas de comunicación son esenciales para coordinar cualquier respuesta efectiva a eventos adversos, como los que afectaron al Tireless. El fallo de estas aplicaciones crea dos tipos diferentes de problemas. En primer lugar, los miembros de la tripulación deben encontrar soluciones improvisadas para restablecer el contacto con sus compañeros de equipo. En segundo lugar, la falta de canales de comunicación eficientes también retrasa o frustra los intentos de coordinar una respuesta flexible a otros fallos de sistemas. Ambos problemas son evidentes después del incidente del SCOG. Inmediatamente después de la explosión, uno de los miembros de la tripulación que estaba atrapado en el Compartimento de Escape Delantero (FEC) escuchó el teléfono junto a la Torre de Escape Delantera sonando pero el auricular faltaba.
Luego intentó usar el auricular en el área de la cantina en el otro extremo del FEC, pero este estaba roto. En tal circunstancia, sufriendo desorientación después de la explosión, herido y aún intentando combatir los incendios, no pudo encontrar una solución alternativa adecuada para comunicarse con otras áreas del buque. Eventualmente, se dio cuenta de que alguien lo llamaba desde el otro lado de la escotilla deformada.
El daño causado por la explosión también ilustra otras formas en que los eventos adversos crean modos degradados de comunicación. Un problema fue que la sala de guardia se llenó de humo y los oficiales clave (DCHQ2) tuvieron que trasladarse a la Sala de Conmutadores. Esto creó problemas para otros miembros de la tripulación que intentaron transmitir información a ellos. Algún tiempo después, se hizo un anuncio utilizando el tubo de transmisión principal de que podían ser contactados en la extensión telefónica 234 para que se pudiera establecer una línea directa entre los equipos de lucha contra incendios y sus coordinadores. Mientras tanto, los miembros de la tripulación no pudieron informar al personal superior sobre los problemas que enfrentaban al abrir las escotillas al FEC porque el radio VHF APL Cromwell no funcionaba. La Junta de Investigación más tarde concluyó que el incidente demostró que estos dispositivos no eran aptos para su propósito. En este caso, sin embargo, pudieron identificar una solución alternativa.
La adaptabilidad y la improvisación son habilidades cruciales en situaciones de emergencia, como lo demuestra la respuesta de la tripulación del submarino a la serie de fallos de los sistemas. A pesar de los desafíos presentados por el equipo defectuoso y las comunicaciones comprometidas, la tripulación demostró una notable resiliencia y presencia de ánimo para encontrar soluciones alternativas en condiciones extremas.
El uso del sistema telefónico SR Mess DC Net como alternativa al sistema inalámbrico inoperante es un ejemplo de cómo, en momentos críticos, la tripulación debe confiar en su ingenio para mantener las líneas de comunicación abiertas. Sin embargo, este tipo de soluciones improvisadas, aunque necesarias, pueden aumentar los riesgos para la seguridad del personal. La dependencia de la transmisión de información de boca en boca, especialmente en situaciones de alto estrés y con visibilidad reducida, puede llevar a malentendidos y retrasos que tienen el potencial de agravar aún más la situación.
La experiencia subraya la importancia de una capacitación exhaustiva que prepare al personal para una variedad de escenarios de fallos de sistemas, así como la necesidad de un equipo de emergencia bien mantenido y fácil de usar. Además, resalta la necesidad de revisar y mejorar continuamente los protocolos de seguridad y los sistemas de comunicación para garantizar que sean robustos y confiables en todas las circunstancias.
En última instancia, estos incidentes sirven como recordatorios valiosos de que, aunque la tecnología y los sistemas pueden fallar, la capacidad humana para adaptarse y superar obstáculos es una línea de defensa vital en la gestión de emergencias.
Cuestiones de Entrenamiento: Las secciones anteriores han asociado los modos degradados de operación con el fallo de subsistemas y de componentes particulares. Sin embargo, los miembros de la tripulación en operaciones militares a menudo se ven obligados a encontrar 'soluciones alternativas' para las averías y la ambigüedad en la doctrina y la cadena de mando. Por ejemplo, la Flota produjo una Directiva de Entrenamiento para el entrenamiento Bajo Hielo. Esta hizo extensas referencias a una directiva de entrenamiento de capacidades que aún no había sido publicada. Por lo tanto, los oficiales superiores tuvieron que inferir elementos de los escenarios de Entrenamiento Pre-Despliegue. La Flota también desarrolló documentación de Orientación de Mando para operaciones Bajo Hielo. Esto llegó demasiado tarde para que el Oficial de Bandera para el Entrenamiento en el Mar lo usara para ayudar a la tripulación del Tireless a prepararse para su operación. El Equipo Integrado de Proyecto de Apoyo a Submarinos había revisado materiales previos utilizados para prepararse para misiones en hielo. También habían evaluado la orientación previa sobre el impacto ambiental. Sin embargo, no hubo una revisión de seguridad coordinada ni una evaluación de riesgos antes del despliegue Bajo Hielo. En consecuencia, fue difícil para los oficiales superiores determinar si la tripulación del Tireless tenía suficiente entrenamiento para la gama de peligros a los que podrían enfrentarse. Un problema particular aquí es la necesidad de mantener la experiencia bajo hielo en una tripulación, dado que puede haber intervalos significativos entre estas misiones. Otros problemas estuvieron asociados con la reducción del entrenamiento pre-despliegue de un máximo de 5 días a 3 para que el Tireless pudiera regresar a HMNB Clyde para reparaciones. En este caso, no solo los fallos de sistema forzaron cambios en los procedimientos operativos a bordo del submarino. También obligó al Oficial de Bandera para el Entrenamiento en el Mar a improvisar y encontrar 'soluciones alternativas' para completar el entrenamiento Pre-Despliegue necesario en un período de tiempo más corto.
Conclusiones y trabajos futuros
En muchas operaciones militares, la seguridad de las armas se ve comprometida por "modos de operación degradados". Se trata de situaciones en las que el personal se ve obligado a encontrar estrategias de adaptación que le ayuden a hacer frente a los múltiples fallos que complican la vida militar. En la mayoría de los casos, estas adaptaciones ad hoc no ponen en peligro la seguridad. Sin embargo, si estos fallos no se abordan, pueden erosionar gradualmente las barreras y otras medidas defensivas que impiden que se produzcan bajas. Hemos ilustrado estos argumentos refiriéndonos a un reciente accidente que provocó la muerte de dos miembros de la Royal Navy británica a bordo de un submarino. En el momento del incidente participaban en un entrenamiento bajo el hielo. La misión formaba parte de evaluaciones tácticas más amplias con el ejército estadounidense. Los modos de operación degradados no contribuyeron a la causa de este accidente. Parece probable que los problemas de manipulación y almacenamiento del bote de oxígeno autónomo provocaran una "contaminación orgánica líquida significativa del bloque de clorato sódico SCOG debido a la entrada inadvertida de aceite en el interior del bote SCOG" (Ref. 6). Estas prácticas de manipulación surgieron como medio para hacer frente a la necesidad de almacenar un gran número de dispositivos SCOG para "uso inmediato" cuando el suministro de oxígeno primario dependía de electrolizadores de baja presión que podían activarse si se formaba hielo en las tuberías de descarga de hidrógeno. En otras palabras, el incidente se debió a un fallo en los dispositivos que servían para hacer frente a los problemas del sistema primario en operaciones bajo hielo.
Los modos de funcionamiento degradados no sólo contribuyeron a la causa de este accidente, sino que también complicaron la respuesta a la emergencia. Los tripulantes se vieron obligados a encontrar numerosas formas de hacer frente a los fallos de diseño de sus sistemas de respiración. Los dispositivos de respiración de escape de emergencia eran tan complicados y difíciles de usar que los equipos prefirieron utilizar el sistema de respiración de emergencia aunque no hubiera suficientes máscaras. Los equipos también tuvieron que hacer frente a numerosos fallos, como la pérdida del VHF del Cromwell y la dificultad de oír el sistema de tuberías por encima del ruido de fondo en las zonas críticas del buque. Otros problemas se derivaron del fallo de los equipos de extinción de incendios y salvamento, sobre todo cuando la boquilla del sistema SFU-90 se rompió de forma similar a otros fallos anteriores. En todos estos casos, los miembros de la tripulación se vieron obligados a adoptar soluciones ad hoc. El suministro limitado de máscaras del Sistema de Respiración de Emergencia persuadió a algunos miembros de la tripulación a arrastrarse bajo el humo mientras otros compartían sus dispositivos. El fallo de los sistemas de comunicación obligó a los equipos a confiar en el boca a boca que se transmitía a lo largo de las cadenas desde los centros de mando hasta la FEC. El fallo de la boquilla del SFU-90 sólo se subsanó cuando los miembros del equipo doblaron la manguera para evitar que el agua causara más daños.
Como hemos visto, muchas de estas "estrategias de supervivencia" tuvieron que improvisarse en condiciones de hacinamiento, con altos niveles de ruido, bajos niveles de visibilidad e importantes cantidades de humo. Sin embargo, se puede argumentar que ninguna tripulación estará nunca preparada para incidentes de esta naturaleza. Sin embargo, está claro que se pueden tomar medidas significativas para aprender las lecciones que nos ha proporcionado el incidente del Tireless. En primer lugar, muchas de las limitaciones del equipo mencionadas anteriormente eran bien conocidas. Sin embargo, no siempre se facilitó información a quienes más la necesitaban, por ejemplo sobre los procedimientos correctos de manipulación de los dispositivos SCOG. En segundo lugar, hubo deficiencias significativas en la formación previa al despliegue que dejaron a la tripulación sin preparación para muchos aspectos de este incidente. Estos ejercicios se habían interrumpido debido a fallos en los sistemas, lo que obligó al submarino a regresar a HMNB Clyde. Una idea clave de este estudio es que debemos reducir nuestra tolerancia a los fallos operativos rutinarios en muchas operaciones militares, de modo que sea más probable que el personal rectifique los problemas en lugar de aceptar las "soluciones provisionales" que, en última instancia, ponen en peligro la seguridad. Esto se aplica tanto a los problemas introducidos en la adquisición de sistemas militares como a los fallos de diseño, los errores de manejo e incluso la planificación de la formación previa al despliegue.
1. C.W. Johnson and C. Shea, The Contribution of Degraded Modes to Accidents in the US, UK and Australian Rail Industries. In A.G. Boyer and N.J. Gauthier (eds.), Proceedings of the 25th International Systems Safety Conference, Baltimore, USA, International Systems Safety Society, Unionville, VA, USA, 626-636, 0-97213857-9, 2007.
2. C.W. Johnson and C. Shea, The Contribution of Degraded Modes of Operation as a Cause of Incidents and Accidents in Air Traffic Management. In A.G. Boyer and N.J. Gauthier (eds.), Proceedings of the 25th International Systems Safety Conference, Baltimore, USA, International Systems Safety Society, Unionville, VA, USA, 616-626, 0-9721385-7-9, 2007.
3. C.W. Johnson and C. Shea, A Comparison of the Role of Degraded Modes of Operation in the Causes of Accidents and Rail and Air Traffic Management. In 2nd IET Systems Safety Conference", The IET, Savoy Place, London, UK, ISBN 978-0-86341-863-1, 89-94, 2007.
4. United States General Accounting Office, Report to the Chairman, Subcommittee on Investigations and Oversight, Committee on Science, Space, and Technology, House of Representatives, Patriot Missile Defense: Software Problem Led to System Failure at Dhahran, Saudi Arabia, Februart 1992. Available on http://archive.gao.gov/t2pbat6/145960.pdf, Last accessed 11th June 2009.
5. C.W. Johnson, Act in Haste, Repent at Leisure: An Overview of Operational Incidents Involving UAVs in Afghanistan (2003-2005). In P. Casely and C.W. Johnson (eds), Third IET Systems Safety Conference, NEC, Birmingham, UK, 2008, IET Conference Publications, Savoy Place, London, 2008.
6. Board of Inquiry, Report of the Board of Inquiry into the Circumstances Surrounding the Deaths of LOM(WSM) Paul David McCann and OM(WSM)2 Anthony Huntrod on HMS Tireless on 20/21 March 2007. http://www.mod.uk/NR/rdonlyres/08A7D08E-E092-4159-94C3-9A26E182A01B/0/boi_hmstireless.pdf, Last accessed 11th June 2009.
Biography
Chris.W. Johnson, DPhil, MA, MSc, FBCS, Ceng, CITP, Dept of Computing Science, Univ. of Glasgow, Glasgow, G12 8RZ, Scotland, UK. Telephone +44(141)3306053, Fax +44(141)3304913, Johnson@dcs.gla.ac.uk, http://www.dcs.gla.ac.uk/~johnson
Chris Johnson es catedrático de Informática en la Universidad de Glasgow (Escocia). Dirige un pequeño grupo de investigación dedicado a mejorar la notificación y el análisis de incidentes y accidentes en ámbitos críticos para la seguridad, como la sanidad, el ejército, la aviación y el ferrocarril.
- [message]
- Fuente:
- Chris.W. Johnson. (2009). Degraded Modes and the ‘Culture of Coping’ in Military Operations. Department of Computing Science, University of Glasgow, Scotland. https://www.dcs.gla.ac.uk/~johnson/papers/JWSSC2009/Degraded_Modes.pdf
COMMENTARIOS