Det blev alltså hela 16 inlägg om flygsäkerhet här på bloggen. Här följer en guide/sammanfattning:

I avsnitt 1 försökte jag definiera flygsäkerhet. Oftast diskuteras istället frånvaron av säkerhet – olyckor och incidenter. Det är också detta vi mäter med tanken att frånvaro av olyckor är detsamma som att det är säkert. Av det följer att vi mest studerar olyckor. I avsnitt 2 togs ett par kända personligheter upp som starkt påverkat vår syn på hur olyckor uppkommer – Heinrich och Reason. Heinrich pekade på människan som ett problem, medan Reason pekade på att även om de ”osäkra handlingarna” görs av människor, måste vi studera hela systemet för att förstå hur omständigheterna skapas där vi gör misstag.

I avsnitt 3, 4 och 5 tog jag upp en berättelse av Sidney Dekker där han visar att de faktorer som finns med vid olyckor och incidenter också är närvarande då vi lyckas, vilket ju utgör den stora majoriteten. Det är inte så enkelt som att om man bara följer alla bestämmelser så blir resultatet bra. Istället är bestämmelserna sällan heltäckande, målen vi arbetar med ofta motsägelsefulla och resurserna för små. För att ändå lösa uppgiften anpassar vi oss, tar genvägar, gör avsteg från bestämmelser osv. Och nästan alltid är det detta som gör att vi lyckas, trots de brister som finns. Även avsnitt 6 handlade om vår förmåga att anpassa oss till situationens krav.

Avsnitten 7, 8, 9 och 10 började med att diskutera hur delar av system kan vara olika beroende av varandra. Vissa delar är ”tätt kopplade” och en förändring i en del påverkar omedelbart andra delar. Sedan diskuterades hur vår förmåga till anpassning också bidrar till förändringar i systemet och till att öka skillnaden mellan ”work-as-imagined” och ”work-as-done”. Om delar som är ”löst kopplade” förändras kan skillnaden bli så stor att ett senare behov av ”tät koppling” inte längre fungerar. Även här har människans förmåga till anpassning troligen en viktig roll.

Avsnitt 11 handlade om svårigheten att mäta flygsäkerhet. Vi kan se en positiv historisk utveckling men idag är olyckorna så få att det är svårt att veta om trenden fortsatt är positiv. ICAO fokuserar istället på att fortsätta arbetet med att få alla stater att implementera ICAO standards i så stor utsträckning som möjligt och litar på att flygsäkerheten på det viset ska fortsätta ges en positiv global utveckling.

Avsnitt 12, 13 och 14 försöker peka in i framtiden genom att visa på olika sätt att utveckla arbetet för förbättrad flygsäkerhet. Här finns korta beskrivningar av Safety-II och Resilience Engineering, där Erik Hollnagel är en framträdande person som utvecklat teorier och skrivit flera böcker. I avsnitt 14 diskuterades tankar av Amalberti som menar att i dagens mycket säkra system finns det ingen som vet vilka åtgärder som fungerar när det gäller att höja flygsäkerheten. Här lyfts också fram några idéer kring hur framtidens safety management måste förändras för att lyfta in Safety-II parallellt med Safety-I.

Slutligen ger avsnitten 15 och 16 ett par praktiska exempel på hur flygsäkerhetsarbete kan se ut, dels med en berättelse från Namibia, dels med ett intressant verktyg för proaktivt flygsäkerhetsarbete kallat PIRATe.
Stort tack till er som följt denna serie som nu avslutas. Självklart finns mycket kvar att diskutera och ämnet kommer att tas upp här på bloggen igen…

Vi använder rapportering av incidenter för att lära oss var vi behöver förbättra våra system för att därigenom undvika olyckor. Med dagens höga flygsäkerhet är det långt mellan olyckorna men också långt mellan allvarliga incidenter. Resultatet är att vi har få tillfällen att lära. Detta har Erik Hollnagel tagit upp i sina tankar om Safety-II där han menar att vi måste lära oss även av händelser som går bra för att förstå vad det är som får oss att lyckas, vilket vi ju nästan alltid gör.

Det finns en del problem förknippade med haveri- och incidentutredningar:

• De är reaktiva, dvs vi kan inte lära av olyckor/incidenter förrän efter de skett. Priset för lärdomen kan vara högt.

• Oftast beror negativa händelser på att olika händelser råkar samverka på ett slumpartat sätt. Det finns en risk att utredningen fokuserar på just denna unika samverkan istället för att lyfta fram större, återkommande problem.

• Efter en olycka eller allvarlig incident kan det finnas en stor press (från allmänhet, myndigheter, företagsledning osv.) på att snabbt presentera orsak och lösningar. Det kan leda till kostsamma utredningar vars syfte mer är att tillgodose krav utifrån än att hantera organisationens egna problem.

Det finns redan alternativa metoder för att lära om flygsäkerhet. Det görs revisioner och inspektioner, interna eller av utomstående. Det finns metoder som LOSA (för flygande besättningar) eller NOSS (för flygtrafikledning) där man observerar operationer för att notera områden som kan förbättras. Ett problem med flera av dessa metoder är att de fokuserar på brister hos operatörerna men missar de bakomliggande faktorerna.

Det finns emellertid en metod som dels är proaktiv, dels är systemisk. Den bygger på tankarna om den organisatoriska olyckan (”Swiss Cheese”) av James Reason och stämmer överens med incidentutredningsmetoder som t.ex. SOAM som utvecklats av Eurocontrol. Metoden kallas PIRATe (The Proactive Integrated Risk Assessment Technique) och togs fram för ganska många år sedan. Den har sedan dess använts i en rad olika verksamheter som flygbolag, flygvapen, flygunderhållsorganisationer, kärnkraftverk m.fl.

PIRATe bygger på tanken att det i organisationer redan finns kunskap om brister och risker men att denna kunskap är spridd på olika delar och hos olika personer. Om man kan samla personer med olika roller och kompetens i en organisation har man möjlighet att samla denna ”dolda kunskap” för att se hur olika problem, brister och risker skulle kunna samverka för att skapa problem och kunna orsaka en allvarlig incident eller en olycka. Här följer en kort beskrivning av hur metoden kan användas:

1. Samla en lämpligt sammansatt grupp ”experter” som har kunskap inom olika delar av det område som ska analyseras. Detta skulle kunna ske som en del av CRM eller TRM-utbildning.

2. Metoden bygger på modellen ”Swiss Cheese” och denna bör då gås igenom så att deltagarna förstår hur olika delar (kontext, miljö, organisation, arbetsledning osv.) kan påverka ett negativt utfall. Själv tror jag dock att metoden kan användas även med andra modeller som grund.

3. Beroende på hur stor gruppen är kan man eventuellt dela upp den i mindre grupper. Varje grupp har uppgiften att ”designa nästa olycka”, dvs att identifiera svagheter man känner till och som kan bidra till ett realistiskt scenario som leder till en olycka. Här har varje deltagare möjlighet att bidra med sin specifika kunskap om riskkällor, tillfällen då det är lätt att göra ett misstag eller situationer där det saknas skyddsbarriärer. Gruppen ska alltså så detaljerat som möjligt beskriva en fiktiv, men realistisk händelse som utvecklar sig till en olycka. I en väl fungerande organisation kanske inte uppgiften är så lätt – vi har ofta väl genomtänkta system med dubblerade funktioner just för att förhindra olyckor.

4. Den som organiserar arbetet kan med fördel förse gruppen/grupperna med data som hjälp. Det kan till exempel för ett flygbolag handla om statistik för ”unstabilised approaches”.

5. Slutligen kan gruppen genomföra en ”haveriutredning” för sitt scenario, där man följer gängse metodik för att analysera, hitta orsaker och föreslå åtgärder. Ett alternativ är naturligtvis att överlämna det beskrivna scenariot till organisationens avdelning för utredningar och låta dessa göra analysen på samma sätt som man gjort om det vore en verklig händelse.

Jag ser PIRATe som ett mycket lovande verktyg. Dess fördelar är dels att det arbetar proaktivt – det identifierar problem innan de hunnit orsaka verkliga problem – dels är det ett sätt att samla in fragmentarisk kunskap för att få en samlad översyn över hela systemets funktion. En tredje fördel är att de medarbetare som deltar får en möjlighet till fördjupad insyn i flygsäkerhet. Jag har provat på att använda metoden under en utbildning i Safety i Barcelona för några år sedan och tyckte mycket om den. Länk till PIRATe: Länk

Det kommer ytterligare ett inlägg i min serie om flygsäkerhet. Där ska jag försöka sammanfatta innehållet på ett kort och överskådligt sätt.

I en lång rad inlägg har jag försökt ge olika perspektiv på flygsäkerhet men det mesta har ändå varit teoretiska perspektiv kring principiella sätt att se på flygsäkerhet. Som motvikt tänkte jag här skriva om ett praktiskt sätt att arbeta med flygsäkerhet.

Jag hade tjänstledigt från LFV 2011-2015 och jobbade då för ICAO i Namibia. (Under åren där skrev jag en blogg som jag kommer att länka till.) Från början arbetade jag i ett team med fem andra svenska flygledare och vår uppgift var att hjälpa landet implementera den moderna utrustning för flygtrafikledning man köpt – bl.a. radar. Efter att uppdraget var slutfört var jag den ende svensk som stannade kvar och jag fick en ny tjänst som rådgivare åt den statliga ANS-utföraren.

Jag fick snart indikationer på att flygsäkerheten inte låg på en önskvärd nivå. Viljan att rapportera incidenter inom ATS var låg så jag kontaktade ett par av de lokala flygbolagen och fick ta del av deras incidentrapportering. Detta ledde sedan till att jag utredde de 53 incidenter som verkade allvarligast och som inträffat 2011-2014 (länk).

Utifrån det materialet skrev jag sedan en analys med förslag till åtgärder. Det handlade mycket om ”från-ovan-perspektivet”; brister hos tillsynsmyndigheten, brister i regelverket, brister i organisation och efterlevnad av bestämmelser (länk).

Av blogg-inlägget framgår att många incidenter inträffade i närheten av flygplatsen Eros, som ligger i huvudstaden Windhoek och har blandad trafik; inrikesflyg, skolflyg och privatflyg i olika storlekar. Trafikavvecklingen var tämligen ostrukturerad och det saknades bl.a. VA-karta över CTR liksom det saknades in- och utpasseringspunkter. Kanske gick det att åstadkomma konkreta förbättringar på kort sikt utan att invänta de mer strukturella förändringarna?

Vi startade upp ett lokalt projekt och tog fram ett förslag för att strukturera luftrummet kring flygplatsen. Vi använde en ATS radar-simulator för att genomföra en enkel simulering och vi provflög de olika rutterna i en Cessna 182 (länk).

Jag lämnade Namibia i mars 2015 och fick aldrig se resultatet av projektet. I december 2016 kom det emellertid en kommentar på min blogg. Rob Grant från Australien som jobbade i Namibia skrev:

“Better late than never: the entry exit points were introduced in 2015 – a great success! As I left Namibia in December 2016 two VFR routes were in operation: VFR Route 1 to the GFA and beyond and VFR Route 2 to the south over the ridge line. From a high incident rate in the unstructured airspace around Eros, to the now almost incident free Eros airspace is a joy to behold. The three members of the team, Mikki, Christine and Erik are to be congratulated for their determination and hard work; even more so when one considers some of the vitriol and selfishness displayed by a small number of pilots at Eros wanting to stay with the “old ways which were safer”. What utter nonsense when statistics prove otherwise.”

Det finns en risk att diskussioner kring flygsäkerhet blir alltför teoretiska. Ofta är det de enkla praktiska åtgärderna som ger resultat. Om det är något som går att hämta från detta enkla exempel så kan det vara att arbetet inte gick ut på att försöka hindra piloter och flygledare att göra fel. Istället var syftet att genom publicerade rapporteringspunkter och publicerade rutter hjälpa dem att göra ett bra jobb. Jag tror att här finns en liten nyans som kan göra skillnad. Flygsäkerhetsarbete ska se operatörer som en tillgång i flygsäkerhetsarbetet. De ska inte i första hand hindras från att göra fel – de ska få hjälp att göra rätt.

Nästa inlägg tar upp ett verktyg som lär vara använt på många håll. Jag har aldrig emellertid inte stött på det där jag arbetat men tycker det verkar mycket lovande.

Kommer arbetet med flygsäkerhet att förändras? För nästan 20 år sedan skrev R. Amalberti en artikel om paradoxen hos mycket säkra transportsystem, som flyg och tåg i delar av världen. I artikeln hävdar han bl.a. att system beter sig olika beroende på hur säkra de är:

Farliga system – med en risk för en allvarlig olycka är mer än en på 1000. Amalberti tar upp bergsklättring och bungee jumping. Han menar att dessa är oreglerade, oprofessionella och drivs av individer som söker spänning och risk.

Reglerade system – med en risk för en allvarlig olycka mellan en på 1000 och en på 100 000. Amalberti tar här upp bilkörning, kemiska industrier eller charter-flygning som verksamheter som ligger uppemot 1 på 100 000. Dessa system sköts av professionella och här har regler och procedurer en viktig funktion, men även rapporteringssystem och designförbättringar. En safety manager i ett sådant system kan se hur sådana metoder ger mätbara resultat inom något eller några år.

Ultra-säkra system – med en risk för en allvarlig olycka som är mindre än en på 100 000 eller t.o.m mindre än en på 1 000 000. Exemplen är flyg i linjefart, järnväg och kärnkraft. Här menar Amalberti att ingen vet vilka åtgärder som kan ge ytterligare effekt. Ändå fortsätter man med de som fungerat historisk – mer regler och procedurer, utbyggda rapporteringssystem och tron på teknik.

Amalberti tar bl.a. upp incidentrapportering. I mindre säkra system är det ofta samma orsaker som om och om igen orsakar olyckor. Därför finns mycket att vinna på att dessa blir rapporterade och kan hanteras. Amalberti menar att i ultra-säkra system händer istället olyckor utan tekniska problem eller allvarliga misstag. Istället ligger en osannolik kombination av faktorer bakom och ingen av dessa är tillräckliga för att ensamma orsaka en olycka. Det är alltså mycket svårt att hitta förbättringspotential. I dessa system går det dessutom så lång tid mellan olyckorna att det i princip är omöjligt att se något resultat då man inför åtgärder för att förbättra säkerheten. Resultatet är att vi inte kan få bevis för vad som fungerar.

Det här påminner om resonemanget som Dave Snowden för kring sin modell Cynefin, vilket tagits upp här på bloggen tidigare – http://lusa.one/2019/10/16/anders-ellerstrand-hanterar-du-organisationsproblem-pa-ratt-satt/. I komplexa system vet man inte i förväg vilket resultatet blir när man förändrar något.

Som ett svar på dessa tankar har Sidney Dekker och Robert de Boer utvecklat en egen metod. De föreslår att då man förändrar i välfungerande system ska man göra detta genom ”mikro-experiment”. Det kan innebära att man gör förändringen på bara en del av organisationen och noga följer upp effekterna med beredskap för att snabbt sluta om effekten blir negativ. Går det som förväntat kan man sedan skala upp efterhand. Ett intressant exempel är det försök som gjordes på varuhuskedjan Woolworths – http://lusa.one/2019/10/16/anders-ellerstrand-hanterar-du-organisationsproblem-pa-ratt-satt/. Detta exempel har väckt intresse och det finns fler stora företag som vill lära sig och implementera liknande förändringar.

Men är inte Safety-II framtiden då? Man kan ibland se en diskussion om att Safety-II skulle vara en motsats till Safety-I och att Safety-II skall ersätta Safety-I. Hollnagel, som introducerat begreppet Safety-II är dock tydlig med att det ska ses som ett komplement. Det finns dock konflikter mellan synsätten – Safety-I kan ses som att upprätthålla kontroll och begränsa variation medan Safety-II ser fördelar och möjligheter i variation och anpassning.

I en intressant artikel skriven av David Provan, David Woods, Sidney Dekker och Andrew Rae diskuteras hur Safety Management kan förändras för att just kombinera Safety I och Safety II. https://www.sciencedirect.com/science/article/pii/S0951832018309864

Som lösning på konflikten mellan kontroll och variation föreslår man något som de kallar ”guidad anpassningsförmåga”. Det grundar sig i att anpassning är oundviklig och man menar att anpassning varken ska förhindras eller uppmuntras. Istället är målet med Safety Management att guida och möjliggöra en variation och anpassning som är säker. Artikeln beskriver hur safety-personal borde arbeta annorlunda än idag för att kunna kombinera Safety-I och Safety-II.

Författarna menar att det aldrig är möjligt att fullständigt beskriva och reglera komplexa system. Därför kan man på ett sätt säga att vi ständigt arbetar i ”degraderade system”. Vi fortsätter att möta oväntade händelser, oförenliga krav och bristande resurser. Istället för att försöka begränsa människan till att följa planer och regler som ändå inte täcker allt eller fungerar i alla situationer behöver safety management ge stöd och underlätta en nödvändig förmåga till anpassning. Det här kräver att den som arbetar med safety-frågor måste finnas närmare verksamheten för att kunna studera hur arbetet faktiskt utförs och därmed kunna identifiera och åtgärda skillnader mellan ”work-as-imagined” och ”work-as-done”. Det blir därmed möjligt att se vilken typ av drift som kan vara negativ och måste stoppas och vilken typ av drift som är nödvändig och som behöver stöd.

Här passar tankar från ”resilience engineering” väl in. Genom att monitorera verksamheten kan man göra det möjligt att förutse situationer då t.ex. hög press och små resurser samspelar och ger minskade marginaler. Planering kan då möjliggöra t.ex. tillkallande av extra resurser. Det är också viktigt att ge personalen viss ”rörelsefrihet” eller mandat att fatta de beslut som krävas i stunden vilket kan innefatta sådant som att kunna begränsa eller avbryta viss verksamhet.

Det finns nya teorier kring flygsäkerhet. Det finns också idéer om hur man praktiskt kan använda teorierna för att åstadkomma förbättringar. Och vi börjar se exempel på organisationer som sätter det i verklig drift och som dessutom kan visa positiva resultat. Än så länge har jag dock inte sett att dessa nya tankar påverkat varken ICAO, EASA eller nationella flygsäkerhetsmyndigheter.

Min långa serie inlägg om flygsäkerhet närmar sig sitt slut men innan jag är färdig ska jag i två inlägg ge exempel på sätt att praktiskt arbeta med flygsäkerhet.