Under kursen jag gick i Barcelona (länk) utgick många diskussioner från James Reason och hans Swiss Chesse modell. Modellen diskuteras i ett Eurocontrol-dokument från 2006 (länk) och min text nedan bygger på detta dokument.

Reason var professor på universitetet i Manchester då han 1990 presenterade sin nu berömda modell som senare fock namnet the Swiss Cheese model. Bakgrunden var bl.a. en rad olyckor som inträffat åren innan, som t.ex. Challenger, Three Mile Island och Tjernobyl och som visade att stora olyckor inte beror på enkelt förklarade orsaker.

Modellen avser förklara hur olyckor kan uppstå som ett samspel mellan ”unsafe acts” (de utlösande fel och misstag som slutligt orsakar en olycka) och dess bakomliggande orsaker som ofta finns latenta i organisationen och kan handla om sådant som ledarskap, bemanning, utbildning osv. ”The Swiss Cheese Model” fick en oerhörd spridning och sättet att använda den passerade nog vad Reason själv tänkt sig. Steven Shorrock (nu på Eurocontrol) skrev t.ex. 2005 att ”ironiskt nog verkar det som om den ende som kritiserar användningen av Reasons Swiss Cheese modell är Reason själv”.

2004, två år efter Üeberlingen-olyckan, samlades en workshop hos Eurocontrol i Frankrike för att utvärdera rapporten av BFU. Såväl Reason som Hollnagel deltog och Reason själv ifrågasatte sin modell i ett anförande; ”Üeberlingen: Is Swiss cheese past its sell-by date?”

En kritik mot Reasons modell är att den överdriver organisatoriska faktorer. Det går att hitta saker som hänt flera år tidigare som kan anses ha spelat en roll. Å andra sidan var Uëberlingen en olycka som nästan helt saknade direkta fel eller misstag utan olyckan orsakades just av en rad bakomliggande faktorer.

Då modellen presenterades 1990 hade den fem olika nivåer/skivor:
• top level decision makers (beslutsfattare)
• line management (arbetsledning, utbildning, underhåll etc)
• preconditions (förhållanden som arbetsmiljö, utrustning, personalens utbildningsnivå etc)
• productive activities (aktiva handlingar I anslutning till händelsen)
• defences (system/barriärer som borde förhindrat utgången men som fallerat)

Enligt Eurocontrol-dokumentet var det troligen Rob Lee som gjorde om de fem nivåerna till ostskivor med hål i och gav dem namnet ”Swiss Cheese”. Rob var en av de två lärarna på min kurs i Barcelona!

Styrkan i modellen och säkert anledningen till dess stora spridning är dess enkelhet och tydlighet. Den gör det enkelt att se och förstå hur hela organisationen har del i att skapa flygsäkerhet och också att hela organisationen har möjlighet att hota denna flygsäkerhet.

Det har genom åren framförts olika typer av kritik mot Swiss Cheese model:

En del av kritiken mot modellen har handlat om ”hålen”. Vad representerar de? Hur uppstår de och hur förändras de? Vad gör att de linjeras för att orsaka en olycka?

Andra kritiserar modellen för att den tvingar en haveri- eller incidentutredare för långt från själva olyckan. Man menar att Reason genom sin modell har tagit det aktiva felet och reducerat det till bara ett symptom på ett dåligt system. Man menar att oftast räcker det slutliga, aktiva felet som förklaring på olyckan. Reason skulle alltså lägga för stort fokus på organisationen och för lite på människan i den ”skarpa änden”. Det finns en syn att man måste acceptera att ibland är det så enkelt som att en människa gör ett misstag och då fyller det inte en funktion att söka fel i organisationen. Man riskerar att i sin iver att skapa en ”no blame culture” istället bara gå från ”blame the pilot” till ”blame the management”.

En annan form av kritik är att modellen ger en bild av mycket linjära sammanhang där det finns tydliga samband mellan händelser på olika nivåer. Detta kan t.ex. medföra att en haveriutredning byggd på Reasons modell ofta börjar med att leta efter det ”mänskliga felet” för att därefter se vilka förhållanden och bakomliggande faktorer som bidragit. Verkligheten kan vara betydligt mer komplex än så.

Slutligen finns kritik mot att Reason-modellen bygger på att en olycka beror på fel i organisationen – antingen i den skarpa eller trubbiga ändan. Det finns exempel på olyckor där alla delar av organisationen fungerat på ett normalt sätt – där olyckan inte berott på fel utan snarare på samspel av ”normala variationer” i olika nivåer av organisationen.
Min egen slutsats är att Reasons modell i likhet med andra modeller inte är fullkomlig. Den har naturligtvis sina brister men den har också utvecklats genom åren och kommer förmodligen att fortsätta utvecklas. Min största invändning mot modellen är nog att den så tydligt fokuserar på fel.

Som jag ser det har modellen två stora fördelar; dels är den enkel och tydlig och förklarar hur hela organisationen är delaktig i det som händer i den skarpa ändan, dels är det en mycket beprövad modell som under många år varit en viktig del i en positiv utveckling av flygsäkerhet. Jag har svårt att se att man kan förkasta ”the Swiss Cheese Model”. Det är nog bättre att försöka utveckla den eller komplettera den.

Så är det dags att få igång bloggen igen, med (nästan) dagliga uppdateringar om flygindustrin, med fokus på flygbolagsdelen av den. Vi inleder “säsongen” med sommarens stora “nästanhändelse” i San Francisco, då en Air Canada A320 nästan landade på flera flygplan på en taxibana. Redan tidigare i sommar rapporterades det på bloggen om denna händelse (länk ), då i samband med den annars otroligt positiva globala flygsäkerhetsstatistiken för det första halvåret. På länken finns också ett videoklipp av händelsen.

För att få en påminnelse om hur nära denna incident var en olycka se bilden ovan. AINonline rapporterar nu om (länk nedan) att den amerikanska luftfartsmyndigheten FAA har skickat ut en “Safety Alert” baserad på denna händelse, i vilken vikten av monitorering och CRM betonas. Jag har pratat med piloter som påpekat att vignbelysning på flygplan uppställda på en taxibana kan få en taxibana att se ut som en landningsbana. Att flygplan startar eller landar på taxibanor är inte något som är mycket ovanligt, om än att på en stor flygplats som San Francisco är det sällsynt. Den kommande utredningen kan kanske ge oss mer information om hur situationen kunde uppstå, men det är också möjligt att vi inte kommer att kunna förstå det fullt ens med utredningen. Att försöka förstå vad Air Canada piloterna såg och hur de tolkade det som de såg, samt hur de tänkte kring detta, kan visa sig omöjligt. Tills vidare måste vi försöka lära att även med banbelysning och andra hjälpmedel så är det fullt möjligt att ta fel på landningsbana och taxibana.

För ytterligare en bild av situationen, se bilden ovan. Detta är en händelse som visar hur lite som kan skilja mellan en incident och en katastrofal olycka, i detta fall en som kunde ha blivit den allra värsta genom tiderna. Det är oerhört viktigt att fortsätta att prata om dessa händelser för att påminna oss om att den säkerhet vi har uppnått trots alla skyddsbarriärer ändå är bräcklig. Det är lätt att glömma en sådan här incident eftersom “inget hände”, men det är att föredra att lära av incidenter snarare än av olyckor. Så läs, fundera och tänk på vad som skulle kunnat göras annorlunda för att undvika en situation som denna – och prata sedan med andra om detta. Det på detta vis vi kan fortsätta att upprätthålla flygsäkerheten av idag och förhoppningsvis med tiden bli ännu bättre.

Länk till artikel:
SFO Landing Incident Prompts Focus on Pilot Monitoring, CRM