Jag har tidigare i bloggen tagit upp de fyra myter som Erik Hollnagel menar utgör grunden för vårt nuvarande safety-arbete – det Hollnagel benämner Safety-I. Senast försökte jag bygga vidare med en längre beskrivning av de tankar som ligger bakom Safety-I. Jag avslutade där med att peka på att det finns de som menar att arbetet inom ramarna för Safety-I nu nått vägs ände. Hollnagel menar just detta – det finns behov av ett paradigmskifte, ett nytt tankesätt att bygga vårt flygsäkerhetsarbete på.

Jag pekade på bilden av ”symaskinen” som Johan Bergström använde som symbol för Safety-I och för att hitta en bild som symbol för Safety-II vänder jag mig till samma källa. I den föreläsning jag lyssnade på (länk använde sig Johan av en bild på ett natursceneri. Det är också en strålande symbol!

Bilden av våra system som perfekta maskiner är enligt Safety-II felaktig. Bilden av att det enda problemet med våra system skulle vara att människor gör avsteg är också felaktig. Därmed blir också bilden av människans roll i systemet felaktig.

Om jag går till mitt eget arbete som är flygtrafikledning så styrs och beskrivs detta i en ”operations manual” (som i praktiken kan bestå av flera böcker/manualer) som är uppbyggd enligt kraven i nationella regelverk. Dessa regelverk styrs i sin tur av europeiska regelverk som bl.a. styrs av standards i ICAO Annex och PANS. För ett flygbolag ser det i princip likadant ut. Dessa standards och regelverk skulle alltså vara grunden för ”den perfekta maskinen”.

Safety-II pekar på det orimliga i att en manual kan vara tillräcklig för att på ett fullständigt sätt beskriva arbetet i en komplex organisation som t.ex. ett flygbolag eller flygtrafikledning. Verksamheten är alltför komplex för att det ska vara möjligt att beskriva procedurer och regler för alla tänkbara scenarier. Som flygledare minns jag redan från tidiga år uttrycket ”lots of space but no separation” som en beskrivning av en situation där man hade ett problem som inte gick att lösa med beskrivna procedurer. Baserat på tolkning av de procedurer som fanns samt kunskap och erfarenhet kunde man oftast lösa situationen på ett sätt som var tillräckligt säkert men där man inte kunde peka på en paragraf i manualen.

Dessutom finns fler faktorer att ta hänsyn till än bara manualen vilket gäller såväl flygledaren som piloten. Lättast att tänka på är väl ekonomi – de flesta företag och organisationer är ekonomiskt pressade att öka sin effektivitet och sänka sina kostnader. Det påverkar naturligtvis arbetet men finns inte beskrivet i manualen. Till det kommer en mängd andra faktorer – synpunkter från arbetskamrater och fackförening, en önskan att ta miljömässiga hänsyn, en vilja att göra kunden nöjd (vilket ju för flygledaren är att tillgodose pilotens behov) osv. En del av dessa påverkansfaktorer kommer inifrån företaget och andra utifrån men det är sällan särskilt tydligt hur dessa faktorer, som ofta är motstridiga, ska hanteras eller prioriteras.

Där Safety-I ofta ser människan som problemet – den som inte agerar enligt regelverket – ser Safety-II istället människan som lösningen på problemet. För att kunna göra rimliga avvägningar mellan ofta motstridiga påverkansfaktorer och för att hitta säkra och effektiva lösningar på problem som inte finns tydligt beskrivna i manualer är människan en ovärderlig resurs och den som får arbetet att fungera. Just i synen på människans roll finns den största skillnaden mellan Safety-I och Safety-II – som jag ser det.

Tror ni på det här? Under sin föreläsning visade Johan Bergström en liten film från en konsert: länk. Titta gärna på den för precis så fungerar det – människan kan anpassa sig och hitta sätt som ger utmärkta resultat trots avsaknad av noter/manualer. Flygledare och piloter gör det varje dag.

Tragedin kring Germanwings krävde ett svar inte bara från Germanwings och dess ägare Lufthansa, utan från hela flygindustrin. Det svaret i korthet att psykologiska tester för piloter redan genomförs, att allt ska undersökas och åtgärder vidtas samt att någon från kabinpersonalen ska komma fram och sitta i cockpit när en av piloterna är utanför densamma. Detta svar var redan från början vagt, svagt och irrelevant, vilket nära bevisats än mer när nu Lufthansa och dess dotterbolag drar tillbaka åtgärden att ha kabinpersonal i cockpit när en pilot är utanför den.

Jag har tidigare pratat om en av de främsta experterna inom området, Professor Robert Bor, som jag haft förmånen att träffa samt bidra med ett kapitel till hans senaste bom om just piloters mentala hälsa (länk). Professor Bor har varit mycket öppen och i allt väsentligt har vi kommit fram till samma bedömningar, om än att han har valt att erbjuda korta kurser för de som vill lära sig mer om mental hälsa. Det samma gäller de nära kontakter jag har haft med kanadensiska Dr Trang Dao, psykiatriker och aktiv inom flygindustrin.

För det första, att hänvisa till psykologiska tester som i första hand är avsedda för uttagning var inte bara vagt, utan direkt oärligt om än att jag förstår att under stor press så tar man till vad man har för att besvara svåra frågor. Det finns flera flygbolag som använder MMPI i syfte att identifiera psykopatologi, men det är ett kritiserat och omstritt test. Enligt experter, ovan nämnda och andra, finns det helt enkelt inget “pappersbaserat” test som kan upptäcka eller kartlägga sådana åkommor (möjligtvis kan de indikera dem, i bästa fall).

För det andra, det har inte kommit speciellt många konkreta åtgärder som följd av arbete efter den tragiska händelsen. EASA har bjudit, haft möten och arbetat med olika organisationer för flygpsykologer, flygläkare o.s.v. men allt för sällan hat det funnits psykiatrisk expertis på plats. Många andra har sett sin chans att flytta fram positioner, skapa mer konsultarbete o.s.v. och har försökt understryka och tyvärr överdriva riskerna med mental ohälsa bland piloter. Det är sant att liknande händelser hade inträffat innan Germanwings, men de har varit mycket sällsynta och att försöka förebygga dessa skulle kräva åtgärder av en sådan omfattning att det hade kostat enorma summor, inneburit allvarliga intrång på piloters privatliv och ändå inte alls kunnat garantera att detta resulterat i ökad säkerhet.

Slutligen då till det som nu har hänt – regeln som många flygbolag införde efter Germanwings om att inte lämna en pilot ensam när den andre är utanför cockpit har tagits bort. Det är inte längre nödvändigt för någon i kabinbesättningen att komma och sätta sig i cockpit medan en pilot går på toaletten, hämtar kaffe eller bara sträcker på benen. Denna regel var ifrågasatt inom industrin från början, men inte speciellt högt eller mycket eftersom ingen vågade säga emot allt för högt efter den tragedi som inträffat. Den kom med förvirring, ofta var kabinpersonalen osäkra på bad deras roll var och hur eller när de skulle ingripa, mest på grund av bristande information och träning för detta.

Det var från början ett spel för galleriet. Det klargjordes aldrig i vilket avseende detta ökade säkerheten. Om någon bestämt sig för att genomföra något så drastiskt som vad som hände i fallet med Germanwings behövs bara en enkel våldshandling mot någon annan i cockpit för att sedan uppnå den som planerats eller önskats. I vilket avseende det blev säkrare att ta in någon från kabinpersonalen, som lika väl skulle kunna ha samma problem och samma tankar var en annan fråga (och kabinpersonal är långt mindre testade och intervjuade genom sin karriär än piloter, så man kan argumentera att detta innebar en ökad risk). Tanken kunde vara att bara att ha en annan människa i närheten skulle minska risken att någon skulle göra något, men detta är ganska spekulativt och skulle bara vara relevant för otroligt sällsynta situationer.

Detta handlade mindre om flygsäkerhet, piloters mentala hälsa och annat som det utgav sig för att handla om och långt mer om mediehantering, behovet av att göra något efter en olycka och behovet av symbolhandlingar i dagens medieklimat och samhälle. Paralellen kan dras till att ta nagelsaxar från folk (eller en äldre kvinnas virknålen) för säkerhet innan en flygning och sedan dela ut knivar av metall i Business class för att kunn äta sin köttbit. Det handLar om symboler och ritualer för säkerhet snarare än eftertanke, analys och åtgärder som införs och utvärderas. Det är det som oroar mig med efterspelet till Germanwings.

Länkar till artiklar:
Germany scraps ‘two-person’ cockpit rule
German airlines drop safety rule prompted by Germanwings crash

I tidigare inlägg här på TFHS-bloggen har jag skrivit om de fyra myter som Erik Hollnagel menar att vi bygger vår traditionella och etablerade syn flygsäkerhet på. Du hittar inläggen här:

1. Myten om ”Causality Credo” hittar du här: Myter om säkerhet – Ny högintressant serie av Anders Ellerstrand – Del 1

2. Myten om ”The Pyramid of Problems” hittar du här: Myter om säkerhet – Ny högintressant serie av Anders Ellerstrand – Del 2

3. Myten om ”The 90 Per Cent Solution – Human Error”” hittar du här: Myter om säkerhet – Ny högintressant serie av Anders Ellerstrand – Del 3

4. Myten om ”Root Causes – The Definitive Answer” hittar du här: Myter om säkerhet – Ny högintressant serie av Anders Ellerstrand – Del 4

Utifrån dessa myter växer en bild fram. Jag lyssnade förra året på en föreläsning av Johan Bergström (vars hemsida du hittar här – länk) och han illustrerade då Safety-I med en bild av en symaskin. Presentationen jag såg hittar du här – länk.

Bilden av en maskin är strålande. Vi vet ju att teknik ständigt utvecklas och driftsäkerheten förbättras. Min nuvarande bil har jag kört i 12 000 mil vilket nog betyder att motorn varit igång i cirka 2000 timmar utan något som helst problem. Moderna flygplansmotorer är nästan felfria och vi förväntar oss en fortsatt utveckling mot ännu bättre driftsäkerhet. Vi strävar mot perfektion och tror att det åtminstone i teorin är möjligt. Att överföra tänkandet till en organisation eller till samhället kan tyckas vara ett kort steg.

Bilden ovan bygger på siffror från Transportstyrelsen och visar antalet döda i Svensk vägtrafik under 50 år; 1965-2015. Trenden är imponerande och ser ju ut att närma sig noll och mycket riktigt beslutade Sveriges Riksdag 1997 att nollvisionen skall gälla för trafiksäkerhetsarbetet i Sverige. Bakom detta måste ligga en tro på att det går att skapa det perfekta, fullständigt säkra, systemet och att vi sakta men säkert närmar oss detta. Bättre bilar, bättre vägar, bättre körutbildning, bättre bestämmelser o.s.v. leder oss mot visionen.

Det enda som egentligen hindrar oss från att redan vara vid målet är kanske ”den mänskliga faktorn”? Tänk om vi kunde få människor att sluta bryta mot bestämmelserna – hastighetsbegränsningar, alkoholintag, nonchalera vägskyltar, göra vansinnesomkörningar osv. Exemplet från vägtrafiken går naturligtvis att föra över direkt till flygtrafik där vi ju har en liknande trend men kommit än längre.

Ett problem med denna syn är att såväl inom vägsäkerhet som inom flygsäkerhet så sätter vi ett mått på säkerhet genom att mäta frånvaron av säkerhet. Vi räknar dödsfall, olyckor och allvarliga incidenter och utgår ifrån att om dessa blir färre så innebär det ökad säkerhet.

Ett annat problem är att vår främsta källa till kunskap om säkerhet också kommer från frånvaron av säkerhet. Vi undersöker olyckor och incidenter och försöker lära av dem. Vi söker orsakerna till frånvaron av säkerhet och utfärdar rekommendationer och nya bestämmelser för att ta bort dessa orsaker eller åtminstone reducera dess negativa effekter. Det vi ofta söker är det ställe i kedjan där avsteget skedde. Någonstans gjorde någon ett avsteg från vårt perfekta system och orsakade en olycka eller incident.

Ett annat problem med detta synsätt blir då att det material vi har för att lära och utveckla – frånvaron av säkerhet – blir allt mindre. Kanske är detta orsaken till att det finns de som anser att vi närmar oss vägs ände. Man ser tecken på att den positiva trenden planar ut inom de ”ultrasäkra” systemen (t.ex. flyg i västvärlden) och att vi inte längre kan förvänta oss en fortsatt positiv trend.

Om vi nu behöver ett nytt sätt att tänka – hur ser det ut? I nästa inlägg tänker jag börja beskriva ”Safety-II”.

Vissa flygbolag återkommer regelbundet när man läser nyheter från flygindustrin runt om i världen, tyvärr ibland av fel anledningar. I detta fall handlar det om Lion Air i Indonesien, ett flygbolag och land med växande flygverksamhet men också med en hel del flygsäkerhetsproblem. Flightglobal rapporterar (länk nedan) om en händelse där en B737 på en inflygning med åskmoln och försvårande väder hamnade i problem i februari 2016 (bild ovan).

Det var styrmannen som flög på approachen och kaptenen märkte att han hade det besvärligt och hjälpte till. Samtidigt gick sikten ner, en GPWS varning utlöstes och under 100 fots höjd kommenterade styrmannen “Fly left”. Inget kommando för att ta över hade kommit från kaptenen. Man landade långt in på banan, över den hastighet man skulle ha haft, kunde inte använda thrust reversers (eftersom thrust levers inte var i idle) och var sen med spoilern och att bromsa. Följaktligen blev det en runway excursion som i utredningen kommenterades så här: “”The combination of prolonged touchdown, delay in spoiler deployment, thrust levers not at idle position, and late of brake application likely affected the landing distance required”. Det kan tilläggas att några minuter efter landningen kommenterade kaptenen att han skulle ha gjort en go-around (inspelat på CVR).

Detta var inte första gängen Lion Air hamnar utanför en bana efter problem på en inflygning. En annan B737 hamnade utanför landningsbanan i februari 2011 (bild nedan och länk) med medvind på en våt bana, vilket var en upprepning av en liknande händelse dagen innan (!). Fortsätter man läsa på om Lion Air och overruns eller andra problem vid landning så hittar men tyvärr fler händelser, inklusive en där man kolliderrade med kossor – länk).

Det mest kända fallet är nog ändå Lion Air 904, som i april 2013 landade kort och hamnade i vattnet utanför Balis internationella flygplats (bild nedan och länk). Under inflygningen kommenterade styrmannen två gånger att han inte kunde se landningsbanan men initiativet till go-around komm alldeles för sent och efter förlorad Situational Awareness och bristande samarbete i cockpit.

Nu har den Indonesiska luftfartsmyndigheten tröttnat och enligt dagstidningen Straitstimes i Singapore (länk nedan) har man varnat Lion Air att skärpa till säkerheten, i detta fall efter en situation på marken med en bränsleläcka och en med en oljeläcka. Med tanke på allt detta och ett tidigare mycket intressant inlägg om flygsäkerhet och ärlighet från Indonesien (länk) så tror jag inte att detta är det sista inlägget om Lion Air och Indonesien.

Lank till artiklar:
Poor crew co-ordination, bad approach caused Lion 737 excursion

Jakarta warns Lion Air to shape up or face sanctions

SAFETY-I : DEN FJÄRDE MYTEN

I de tidigare avsnitten (del 1, del 2 och del 3) har jag tagit upp myterna ”Causality Credo” (tron på orsakssamband), ”The Pyramid of Problems” (tron att det finns ett systematiskt samband mellan incidenter av olika allvarlighetsklass) samt ”The 90 Per Cent Solution – Human Error” (om tron att mänskliga fel ligger bakom 90 % av alla olyckor. Dessa kommer från en förteckning som Erik Hollnagel gjort om fyra myter inom Safety-I, vår traditionella och etablerade syn på flygsäkerhet. Nu har vi kommit till den fjärde myten som är ”Root Causes – The Definitive Answer”.

Denna myt är på sätt och vis en följd av den första – tron på orsakssamband. I dagens SMS finns tankarna på ”the organisational accident” som bygger på insikten att även om det ofta (90 % eller hur?) är en människa som begår det slutliga felet (som leder till en incident eller olycka) så finns även bakomliggande orsaker. Människan arbetar i ett sammanhang. Det illustreras ibland med SHEL(L) modellen:

I mitten finns människan (Liveware) men arbetar i en situation med andra människor (L), med utrustning (Hardware), styrd av instruktioner (Software) och allt finns i en miljö (Environment). Allt detta kan ju påverka och ha del i det slutliga, aktiva felet. Bristfällig utbildning t.ex., bullrig miljö, otydliga procedurer eller förhållandet till arbetskamrater.

Det finns alltså en insikt om att man vid t.ex. en incidentutredning inte kan nöja sig med att hitta det aktiva felet – man söker bakomliggande orsaker och myten består i att man tror att man kan nå den slutliga, grundläggande orsaken – the root cause. Har man hittat den kan man sluta leta. Dansken Jens Rasmussen påpekade dock att det aldrig finns en yttersta gräns. Man kan alltid gå ett steg till. Jag har i ett tidigare inlägg berört boken ”Friendly Fire” av S A Snook som visar att det är möjligt att visa att Sovjetunionens fall var en bakomliggande orsak till att två amerikanska helikoptrar sköts ner över norra Irak av två amerikanska jaktflygplan.

Jag tycker Hollnagel visar rätt övertygande att tron på att det alltid går att finna den grundläggande orsaken till en olycka eller incident är en myt. Den förklaras av att vi har en stark önskan att förstå vad som hänt. Vi vill veta, avsluta, göra rätt åtgärder och gå vidare. Hollnagel pekar dock på att risken är att vi gör just detta – slutar när vi funnit den ”grundläggande orsaken”. Därmed missar vi de möjligheter som ligger i att utforska alternativa förklaringar. Vår önskan att kunna presentera en otvetydig orsak paras dessutom med användandet av den tredje myten och vi anser oss klara då vi funnit ”den mänskliga faktorn”.

Jag har nu gått igenom de fyra huvudsakliga myter som Hollnagel pekar på och som han anser styr vår traditionella och etablerade syn på flygsäkerhet. Han nämner dock även andra myter så det finns all anledning att läsa mer i hans bok!

Det finns dock mer att diskutera så jag återkommer nog…

SAFETY-I : DEN TREDJE MYTEN

I de tidigare avsnitten har jag tagit upp myterna ”Causality Credo” (tron på orsakssamband – länk) och ”The Pyramid of Problems” (tron att det finns ett systematiskt samband mellan incidenter av olika allvarlighetsklass – länk). Dessa kommer från en förteckning som Erik Hollnagel gjort om fyra myter inom Safety-I, vår traditionella och etablerade syn på flygsäkerhet. Nu har vi kommit till den tredje myten som är ”The 90 Per Cent Solution – Human Error”.

Den här är verkligen en myt och den är inte lätt att ta kål på. Långt innan jag började intressera mig för flyg och flygsäkerhet ”visste” jag att den mänskliga faktorn låg bakom nästan alla olyckor. I förra avsnittet nämnde jag Heinrich och nu är det dags igen. I sin bok ”Industrial Accident Prevention” från 1931 utgår han ifrån en undersökning inom industrin. Han fann 50 000 olyckor med kropps-skada och 500 000 olyckor utan skada. Orsakerna bakom dessa olyckor var 10 % tekniska riskkällor och 90 % mänskliga fel. Eftersom vi ”vet” att det är så här så undrar man ju varför Hollnagel menar att det är en myt?

Hollnagel tar ett friskt grepp på detta när han påpekar att i många säkra system (t.ex. flyg) misslyckas man idag en gång på 10 000 eller ännu mer sällan. Myten säger att mänskliga fel är orsaken till 90 % av det där misslyckandet per 10 000. Frågan blir ju då vad som är orsaken till att det går bra 9 999 gånger? Det rimliga svaret måste ju vara människan – åtminstone i 90 % av fallen – eller? Och vad gäller för de andra 10 %? Om Heinrich hade rätt så låg tekniska fel bakom de resterande 10 % av olyckorna – gäller det även att vi kan tacka tekniken för 10 % av gångerna de går bra?

Hollnagel pekar också på att vi alla gör fel och misstag – från ett enkelt stavfel till större fel. Problemet med begreppet ”mänskliga fel” är bl.a. att det omfattar alla typer av fel. Är ”mänskliga faktorn” ett fel och beror verkligen 90 % av alla olyckor på ett enda, återkommande fel? Än allvarligare är att det är vanligt att då man söker en orsak till ett negativt resultat så stannar man ofta då man funnit ”den mänskliga faktorn”. Det man missar då är att ”den mänskliga faktorn” inte är en orsak utan en effekt.

Hollnagel berör egentligen en annan myt här. Myten att våra system skulle vara perfekt konstruerade och att inga negativa resultat skulle uppstå om bara människor hela tiden gjorde rätt. Med den synen är det kanske naturligt att vid en incidentutredning stannar då man funnit det mänskliga misstaget.

I sin bok ”Safety Differently” tar Sidney Dekker upp detta. Jag minns inte detaljerna men det är ett flygplan som efter landning åker av banan. Orsaken är att piloterna missat att göra en åtgärd från checklistan före landning. Dekker visar dock att den ”mänskliga faktorn” inte var en orsak utan en effekt av ett tekniskt fel på flygplanet som gjorde att det inte gick att följa checklistan utan piloterna var tvungna att göra åtgärderna i en annan ordning med effekten att man missade en åtgärd.

Jag avslutar mitt inlägg här och hoppas att ämnet fortsätter att diskuteras i kommentarsfältet nedan!

SAFETY-I : DEN ANDRA MYTEN

I förra avsnittet tog jag upp myten om ”Causality Credo” (tron på orsakssamband) som kommer från en förteckning som Erik Hollnagel gjort om fyra myter inom Safety-I, vår traditionella och etablerade syn på flygsäkerhet. Nu har vi kommit till den andra myten som är ”The Pyramid of Problems”.

Det här är en riktig klassiker inom flygsäkerhet och går ofta under namnet ”Heinrich´s Triangle”. Heinrich (1886-1922) var en verklig pionjär inom safety och hans tankar har präglat mycket av det vi ser idag. Hollnagel pekar på att sättet Heinrich ursprungligen presenterade sin triangel på har förvanskats genom åren men jag tänkte hoppa över det och direkt gå till en vanlig presentation idag.

Triangeln eller pyramiden vill åskådliggöra att för varje dödlig olycka finns 10 allvarliga incidenter, 30 incidenter, 600 nära missar och 300 000 osäkra situationer. (Det finns flera varianter på det här.) Historiskt gick vi från att utreda bara olyckor till att utreda även incidenter/tillbud för att på så sätt identifiera orsaker som nästan ledde till en olycka. Inom SMS används detta som ett sätt att t.ex. motivera frivillig incidentrapportering. Ett obligatoriskt rapporteringssystem omfattar normalt bara relativt allvarliga incidenter. Kan vi med kompletterande frivillig incidentrapportering komma längre ner i pyramiden hoppas vi skapa ett större avstånd till en olycka.

Hollnagel har en omfattande argumentation kring varför han anser att vi missuppfattat Heinrich. Han menar bl.a. att det är en myt att tro att samma orsaker ligger bakom alla nivåer i pyramiden. Hans slutsats är i princip att även om vi t.ex. lyckas ta bort orsakerna till de 600 nära missarna så är vi inte säkra på att vi förhindrat den dödliga olyckan. Hollnagel menar att det saknas en systematisk relation mellan de olika kategorierna. Det går därför inte att dra några säkra slutsatser om vad resultatet blir av att reducera en kategori. Han menar också att detta att illustrera med en pyramid lurar oss att se samband som inte finns. Presentera siffrorna som ett cirkel-diagram istället och vår tolkning blir annorlunda. De olika kategoriernas synbara samband försvinner då.

Återigen känner jag ett motstånd. Är det verkligen en myt? Om jag tar upp mobiltelefonen när jag kör bil och vinglar till – är det inte en händelse långt ner i pyramiden? Och jag kan nog vingla till många fler gånger utan en olycka men förr eller senare… Så har jag tolkat pyramiden och jag har själv använt den som en tydlig pedagogisk bild – om vi direkt tar till oss lärdomar av små misstag kanske vi kan undvika de stora. Det var också ungefär så Heinrich ursprungligen använde sin modell – i en industrimiljö hittade han en och samma orsak i 330 fall. De ledde till 1 allvarlig skada, 29 lättare skador och 300 incidenter utan skada. Heinrich påpekade att ingen kunde säga var i serien om 330 fall den allvarliga skadan skulle ske – den kunde komma först eller sist eller var som helst däremellan.

Jag ser fram emot era kommentarer!