Vart tredje år ger ICAO ut sin “Global Aviation Safety Plan” (ICAO Doc 10004) och den som nu gäller omfattar 2020-2022. I denna plan listas sex mål för en global utveckling av flygsäkerhet:

1. Kontinuerligt minskade operativa flygsäkerhetsrisker
2. Världens alla stater ska stärka sin (tillsynsmyndighetens) förmåga till översyn av flygsäkerhet
3. Världens alla stater ska implementera en effektiv SSP (State Safety Programme)
4. Världens alla stater ska öka regionalt samarbete för att förbättra flygsäkerhet
5. Användningen av industriella program ska öka
6. Tillse att lämplig infrastruktur finns på plats för att stödja säkra operationer

Hela dokumentet omfattar 144 sidor och specificerar dessa sex mål på olika sätt. Här beskrivs bl.a. de olika roller som ska samverka för att nå målen – ICAO, individuella stater, regioner och industrin. Här beskrivs också olika sätt att mäta måluppfyllnad. Den viktigaste indikatorn är antalet olyckor och används för att mäta på mål 1.

Enligt en studie av en professor Eastman i USA fortsätter flygsäkerheten att förbättras. Han redovisar siffror för antal dödsfall per passagerares ombordstigning. För de säkraste länderna (USA, EU, Kina, Japan, Kanada, Australien och Nya Zeeland) var risken under perioden 2008-2017 ett dödsfall för varje 33,1 miljoner passagerare som gick ombord på ett civilt kommersiellt flygplan. Globalt ser hans siffror ut så här:

Det ser ju onekligen imponerande ut även om skalan lurar ögat en del. Ett problem är att olyckorna är så få att variationerna år för år kan bli stora. År 2017 dog 12 medan det 2018 dog 473. Professor Eastman presenterar alltså siffror per 10-årsperiod för att ta bort sådana variationer ur bilden.

När olyckorna är få påverkar enskilda olyckor bilden mycket. Det gör att det blir allt svårare att se trender på annat än längre sikt och därmed svårt att tidigt kunna se och reagera om trenden skulle vända uppåt. Det betyder att vi kan se att den långsiktiga trenden varit positiv men frågan är vad vi faktiskt vet om nuläge och framtid. På Wikipedia finns nästa graf som beskriver minskningen av dödsfall från 1970 till 2019.

För att mäta övriga mål använder ICAO bl.a. resultatet av kontroller som görs hos de olika staternas tillsynsmyndigheter. Vid dessa kontroller ställer ICAO frågor (det finns ca 1000 s.k. ”protocol questions”) och man bedömer svaren som antingen godtagbara eller ej. Resultatet blir ett tal som i procent visar hur väl respektive stat implementerat ICAO standards. Världens drygt 190 ICAO-stater har här resultat som varierar från 4-98 %. Under många år har ICAO haft som mål att få världens alla stater att nå över 60 %.

På denna sida –länk – kan man gå in och se det globala genomsnittet och sedan välja en stat för att jämföra dess resultat med genomsnittet. ICAO kommer emellertid att ersätta denna redovisning med ett nytt index som ska beskriva statens förmåga i relation till hur omfattande flygverksamhet man har. Dessa index finns redan (redovisas i tre kategorier; operations, air navigation och support) men man kan inte se dem på den öppna delen av ICAO hemsida. Ett index på över ”1” visar att staten har tillräcklig kontroll med hänsyn till den trafik som finns medan ett tal under ”1” pekar på att statens kontroll är otillräcklig. I Europa ser det generellt bra ut och jag kan meddela att Sverige ligger över ”1” medan det är stor variation i t.ex delar av Afrika med många länder med index under ”1” även om t.ex. Namibia (där jag arbetade 2011-2015) har över ”1”, mest beroende på låg trafikvolym antar jag…

Ser man på ICAO så verkar man mest ty sig till att kontrollera staters förmåga att följa ICAO standards och ”räkna med” att det innebär bättre flygsäkerhet. Detta ”bevisas” av att då vi tittar bakåt ser vi att den långsiktiga trenden för flygsäkerhet är positiv, dvs mätetalen för misslyckad flygsäkerhet (olyckor) minskar – åtminstone har de gjort det långsiktigt.

Nästa avsnitt kommer att handla om ett nytt perspektiv – ”Safety-II” – som bland annat tar upp detta med hur vi mäter flygsäkerhet.

I de senaste avsnitten (länk och länl)har jag tagit upp begreppen ”tightly or loosely coupled” som är användbara för att beskriva hur olika delar av ett system påverkar varandra. Vissa delar kan vara beroende av hur andra delar fungerar medan andra delar verkar mer självständigt och oberoende. Under ett systems utveckling kan denna koppling variera. Delar som länge fungerar oberoende av varandra kan i ett senare scenario få ett starkt ömsesidigt beroende.

Till detta lade jag begreppet ”drifting”. Då ett väl designat system driftsätts visar det sig ofta att allt inte fungerar lika väl i verkligheten som det var tänkt. Det kan bero på att man inte förutsåg allt eller på att förutsättningarna ändrats. För att systemet ändå ska kunna utföra sin uppgift sker en anpassning som ofta är långsam och väldigt svår att upptäcka. En sådan drift kan göra att systemet efter en tid utsätts för ökade risker.

Ett enkelt exempel för att förstå drift är att man tänker sig att man varit borta från jobbet några veckor. När man kommer tillbaka får man läsa in sig på förändringar. I flygvärlden dokumenteras dessa noggrant, i nya föreskrifter, NOTAM m.m. Men ofta upptäcker man även andra förändringar som kan vara små och oftast betydelselösa. Man gör som man brukat göra men någon påpekar att ”nu gör vi på det här sättet istället”.

Ofta ses drift som något negativt. En uppgift för ett SMS är att följa upp verksamheten för att upptäcka drift och kunna kontrollera/förhindra den. Samtidigt möjliggör drift också positiv utveckling och innovation. Dessa små anpassningar för att få ”jobbet gjort” leder ju ibland till att man kommer på något som faktiskt ökar effektivitet och/eller säkerhet.

I boken ”Friendly Fire” beskrev Snook hur delar av ett system (jaktflygplan och helikoptrar) varit ”loosely coupled” och utsatt för drift oberoende av varandra. När omständigheter gjorde att dessa delar åter blev ”tightly coupled” hade driften gjort att de inte fungerade tillräckligt väl tillsammans och resultatet blev en tragisk händelse där jaktplan sköt ner egna helikoptrar.

Jag tror ändå att drift är ett mindre problem än det skulle kunna vara. I ett system med välutbildad och erfaren personal tror jag människor fungerar som ett slags ”loose coupling”, dvs även om det funnits en drift och två delsystem sedan kopplas ihop där drift gör att detta inte sker som tänkt så kommer människans förmåga att anpassa sig även att göra sig gällande här. Vi vill fortfarande lösa vår uppgift och på samma sätt som vi nästan alltid kan lösa detta (trots brister i procedurer eller resursbrist, motstridiga mål eller annat) så kommer vi också att se till att riskerna med drift och tät koppling inte leder till allvarliga incidenter eller olyckor.

Jag kan inte bevisa att jag har rätt och tyvärr saknar vi en hel del kunskap om hur ”vanligt arbete” ser ut. En orsak är att vi lägger nästan alla resurser på att förstå vad som hände då det inte fungerade och därför väldigt lite resurser på att förstå varför det nästan alltid fungerar.

Därmed är det dags att gå vidare och i nästa avsnitt ska vi titta lite på frågan om hur vi mäter och sätter mål för flygsäkerhet.

Flygsäkerhet 9: traditionell syn på drifting

Att system utsätts för drift är ingen ny tanke. Boken ”Friendly Fire” kom ut 2000 och Rasmussen (se förra avsnittet) presenterade sin modell 1997 samma år som Reason hade med nedanstående bild i sin bok ”Managing the Risks of Organizational Accidents”.

Reason ville visa att i en ideal värld sker utvecklingen så att balansen mellan ”Protection” (säkerhet) och ”Production” (ekonomi) bibehålls, symboliserad av mittlinjen. I praktiken blir pressen på ökad och effektiviserad produktion ofta så stor att säkerhetsmarginalerna tillåts minska tills en allvarligare incident eller olycka inträffar som motiverar ökat fokus på ”Protection”. På bilden syns en linje som inte är ideal utan med drift tills incidenter ger motiv till att införa åtgärder som återställer balansen men att om incidenterna uteblir kan driften leda till något värre.

Det är lätt att se likheten med Rasmussens modell från förra inlägget. Det är också tydligt att bilden vill varna för negativa effekter av drift. Nästa bild finns i ett otal varianter:

Denna kommer från en ICAO SMS-utbildning jag gick för några år sedan. Jag tolkar bilden som att ett system har en säker design då det driftsätts men att efter driftsättning sker en drift och systemets ”operational performance” blir något annat än den tänkta ”baseline performance”. Bilden visar också att om man inte upptäcker detta i god tid, genom processer i SMS, så kan driften leda till en olycka.

Det är inte ovanligt att se drift som en följd av ”complacency” (ung. självbelåtenhet) eller att t.o.m. likställa termerna. Med ”complacency” menas ofta en situation där man är så nöjd och trygg i sin förmåga att man slutar anstränga sig. Man ser tidigare goda resultat som en garanti för fortsatt framgång. Man kan uppfatta sig ha så goda marginaler att man kan börja tulla på dem och därmed frångå de väl utarbetade procedurer som gjorde att man uppnådde den ursprungliga goda förmågan och säkerheten.

Som grund ser man här systemet som väl designat och säkert. Driften är negativ och beror på brister i attityd hos dem som arbetar. Sättet att hantera detta är ett väl organiserat SMS som följer upp verksamheten för att korrigera tendenser till drift. Ett väl fungerande system för incidentrapportering av även mindre allvarliga incidenter är ett viktigt verktyg för att upptäcka drift. Detta kan ses som kännetecken hos det som vi ibland kallar ”Safety-I”, dvs. traditionellt flygsäkerhetsarbete.

Om ni läst mina tidigare inlägg om flygsäkerhet märker ni nog att jag inte helt delar denna syn. Det är riktigt att drift kan vara negativt och leda till problem men diskussionen om drift måste handla om mer och där menar jag att det traditionella sättet att se på drift inte räcker.

Ytterligare ett avsnitt i samma ämne blir det…

Återigen får jag be om ursäkt för ”svengelskan”. Drifting kan naturligtvis översättas med ”drift” och det kommer jag att göra i texten nedan men samtidigt är ”drifting” ett begrepp som är mer etablerat i sin engelska version.

Drifting bygger ju på det som jag varit inne på tidigare i min serie om flygsäkerhet. Vi måste anpassa vårt sätt att arbeta efter hur verkligheten ser ut och utifrån det vi vill åstadkomma. De beskrivningar vi har av arbetet är aldrig heltäckande. Dels är det inte möjligt att förutse allt som kan hända, dels finns det för många variabler. En tredje faktor är att världen förändras så att beskrivningar och regelverk tenderar att alltid ligga lite efter det som faktiskt sker. De brister som finns i beskrivningar och regelverk är en av förklaringarna till att vi måste anpassa vårt arbete och denna anpassning kan orsaka en drift där sättet vi utför arbetet långsamt förändras. Efter en tid kan saker ha förändrats på ett avgörande sätt – positivt genom innovationer eller negativt med ökade risker.

En av de som tog upp detta tidigt var dansken Jens Rasmussen. Han menade att arbetet generellt har en generell, långsam och nästan omärkbar drift mot osäkerhet. Detta illustrerades så här:

Rasmussen menade att det finns ett ekonomiskt tryck på att öka produktionen eller minska kostnaderna. En annan press kommer från en önskan att inte få alltför hög arbetsbelastning. Tillsammans skapar dessa en ”drift towards failure”. Det finns många exempel på hur organisationer med gott rykte om att vara säkra ändå råkar ut för olyckor, I efterhand har man då kunnat se en lång period av små förändringar – drift – mot den situation som till slut ledde till en olycka.

En beskrivning av drift finns i den fantastiska boken ”Friendly Fire” av Scott A. Snook. Den handlar om hur två amerikanska F-15 sköt ner två amerikanska Hawk-helikoptrar i norra Irak 1994. Snook ledde en omfattande utredning av denna tragiska händelse men fann ingen som kunde pekas ut som skyldig. Han förklarar istället hur systemet som fanns på plats i Irak var reglerat till viss överdrift, med en önskan att vara säker på att kontrollera alla risker till det yttersta. Systemet konstruerades som ett centraliserat system och var på många sätt ”tightly coupled” (se tidigare blogg-inlägg). När systemet driftsattes upptäckte man efter ett tag att allt inte fungerade som det var tänkt. Det fanns sådant som personalbrist, utrustning som saknades eller inte fungerade, brister i utbildning osv. Det fanns ändå ett jobb att sköta och metoder utvecklades och anpassades för att lösa uppgiften trots bristerna. Det innebar samtidigt en drift. Situationen utvecklades också så att delar av systemet inte längre var ”tightly coupled” vilket innebar att vissa delar kunde utsättas för drift utan att påverka andra delar.

Bland exemplen på detta var att F-15 normalt verkade på högre höjd. Man fokuserade på att kunna identifiera flygplan som fanns på de höjderna. Radioutrustning och kommunikation med AWACS var anpassad för att lösa uppgifter på hög höjd. Helikoptrar å sin sida opererade på låg höjd, med dålig radiotäckning, inget behov av samverkan med AWACS osv. Till slut kom då dagen då två ”loosely coupled” system blev ”tightly coupled”. Två F-15 skulle identifiera två misstänkta helikoptrar som saknade ”IFF” (”transponder”), felidentifiering orsakad av bland annat brister i utbildning och till slut nedskjutning där orsakerna var många men där ”drifting” av ”loosely coupled” system spelade en roll.

Drift innebär också att skillnaden mellan beskrivningen av våra system (work-as-imagined) och den verkliga funktionen hos våra system (work-as-done) ökar. Det är ofrånkomligt att det alltid kommer att finnas en skillnad men blir den för stor skapar det problem.

Skulle något sådant här kunna hända i våra organisationer? Det är säkert möjligt men det är också väldigt svårt att upptäcka. I synnerhet om man enbart tittar på regelverk och procedurer och missar att följa upp den anpassning och drift som hela tiden finns och sker. Fortsättning följer.

För de flesta ser arbetet inte likadant ut varje dag. Även på en väl organiserad och planerad arbetsplats är det omöjligt att förutse allt som kommer att hända. Ett resultat är att vi som arbetar måste anpassa oss och anpassa sättet vi utför vårt arbete på. Denna anpassning innebär att man kanske inte helt arbetar efter regelverket men oftast gör anpassningen att man lyckas utföra arbetet på ett tillfredsställande sätt – trots att det inte gick att följa regler och riktlinjer till punkt och pricka och trots att det kanske saknades resurser och trots att någon gjorde fel någonstans och trots att förhandsplaneringen inte var optimal och trots att arbetsledningen inte fungerade perfekt.

Här spricker modellerna vi tittade på tidigare. Heinrich sade ju att människan var problemet men här antyder jag ju att människan är lösningen. Kan det stämma? Och vad betyder det för vår tro på automation som lösningen på alla problem?

Även James Reason såg mänsklig variation som ett problem. Han skrev om att alla organisationer lider av spänningen mellan den naturliga variabiliteten hos människan å ena sidan och systemens behov av en hög grad av regularitet i arbetets utförande. Han menade att arbetsledningen måste se till att begränsa människans aktiviteter så att de är effektiva och produktiva, men också så att de är säkra. Detta kan åstadkommas genom urvalsmetoder vid rekrytering, genom utbildning, genom tekniska system och genom regelverk och riktlinjer.

Att människan är anpassningsbar är ju knappast någon nyhet. Däremot tror jag att vi tar det för givet och inte ser hur viktigt och värdefullt det är. Transportmedel som tåg och flyg anses ju extremt säkra. Vi ser nog detta som följden av internationell standard och rigorösa regelverk, av strikt myndighetskontroll, av teknisk utveckling osv. Däremot tror jag inte vi ser den roll som kompetenta medarbetare spelar när de gör ständig anpassning av sitt arbete. Våra system är välutvecklade men inte perfekta. Det finns brister i design av tekniska system. Vi har regelverk som inte täcker alla situationer. Vi har brister i utbildning och organisation. Men vi har också människor som genom att anpassa sitt arbete ser till att dessa brister inte leder till olyckor.

Problemet är att vi studerar detta så lite. Vi studerar olyckor och incidenter och ser att människor inte är robotar som agerar exakt likadant. Vi ser människans variabilitet som ett problem men missar dess värde.

I nästa avsnitt ska ta upp ett par begrepp som jag själv tycker är lite svåra…

Dekker och hans team hade alltså en lista med 10 faktorer som fanns med då patientvård misslyckades (en av 13 patienter, eller 7 %) – en lista som inkluderade olika exempel på mänskliga fel men också brister på arbetsplatsen. Då man sedan observerade lyckad patientvård (12 av 13 patienter eller 83 %) fick man en identisk lista – alla dessa faktorer var typiska även för framgångsrik vård! (Länk)
Denna överensstämmelse var dock inte allt man fann. Man fann också andra faktorer – faktorer som var vanligare i de 12 av 13 lyckade exemplen än i de 1 av 13 misslyckade.

Framgångsfaktorerna var:

• Olika åsikter inom ett team och möjligheten att anmäla avvikande åsikt. Att det finns olika professionella åsikter och att dessa tillåts.
• Ständig diskussion om risker och att inte ta framgång för givet. I komplexa system sker ständiga förändringar som kräver att man är beredd att anpassa även rutingöromål. Att ta hänsyn till detta vid t.ex. planering och briefing gör skillnad.
• Att värdera expertis. Små tecken på ökad risk missas lätt om man inte lyssnar till dem som faktiskt utför och kan arbetet.
• Möjlighet att säga stopp. Att alla tar ansvar för att göra sin röst hörd när man ser något som oroar.
• Små hierarkiska avstånd. Att människor från olika nivåer i en organisation kan mötas och diskutera.
• Att inte vänta på en inspektion innan problem åtgärdas. Säkerhet skapas av dem som arbetar i en process – inte av de som inspekterar och granskar. Att genomföra förändringar då behovet upptäcks är viktigt.
• Yrkesstolthet. Team som utför sitt arbete med stolthet gör ett bättre jobb.

Dekker poängterar att hans ”undersökning” i sjukhus-miljö inte gjordes vetenskapligt. Om man följer länken ovan kan man emellertid se att för de sju punkterna ovan finns ändå hänvisningar till litteraturen med stöd för deras giltighet. Dessa faktorer har identifierats även av andra. Jag kan här nämna att jag under mina Mastersstudier fick göra en forskningsuppgift. Den gjordes på ATCC Malmö och jag sökte faktorer som möjliggör ökning av kapacitet med minst bibehållen flygsäkerhet. En del av punkter ovan finns med även i slutsatserna från mitt arbete.

Nu ska vi däremot lämna Dekker och gå vidare i ämnet flygsäkerhet.

I förra avsnittet (länk) visade jag hur modeller för olyckor kan hjälpa oss att förstå hur risk ökar och olyckor händer. Men missar de något?

Jag går vidare med berättelsen av Sidney Dekker (länk). Myndigheten hade redan satt igång med ett paket åtgärder för att hantera de identifierade problemen. Resultatet? Enligt Dekker kom man inte vidare. Trots att man arbetat med åtgärder utifrån sin analys var resultatet fortfarande att en av 13 patienter som togs in skadades under den tid de fick vård.

Nu ställdes frågan som bryter mönstret. Vad hände med de andra tolv patienterna!? Man hade ju analyserat de ”en av 13” och tyckte sig ha en bra bild av problemen. Men visste man vilka faktorer som gjorde att de 12 av 13 var framgångsrika? Svaret var – nej! Man hade lagt alla resurser på att undersöka sina misstag och inga resurser på att analysera sina framgångar. Skälen var förståeliga – pressen från chefer, patienter och allmänhet bestod ju i krav på att hantera problemen.

Då erbjöd sig Dekker och hans team att göra jobbet åt dem. Högst ovetenskapligt började man följa sjukhusens aktiviteter för att skaffa sig en bild av vad som hände när saker fungerade, när patienter fick vård utan att fara illa. Efter några veckor kunde man sammanställa sina intryck. Man kunde göra en lista över faktorer typiska för lyckad sjukhusvård.

Bilden är bara illustration och har inget samband med berättelsen!

Jag redovisar de engelska termer Dekker använder och översätter dem till svenska, med egna tolkningar:
• Workarounds – åtgärder för att komma runt problem
• Shortcuts – genvägar, t.ex. hoppa över delar i en procedur
• Violations – brott mot regelverk
• Guidelines not followed – inte följa angivna riktlinjer för arbetet
• Errors and miscalculations – mänskliga fel och felberäkningar
• Unfindable people or medical instruments – brist på personal eller redskap
• Unreliable measurements – otillförlitliga mätningar
• User-unfriendly technologies – användar-ovänlig teknologi; dålig design
• Organizational frustrations – frustrerande organisation, byråkrati
• Supervisory shortcomings – brister i ledarskap och tillsyn

Gå gärna tillbaka till föregående blogginlägg och jämför… man hade funnit exakt samma faktorer i lyckad som i misslyckad patientvård! De här företeelserna är alltså allestädes närvarande. De är typiska för normalt arbete! Normalt arbete är lite stökigt, inte så välplanerat och fullt av anpassningar, irritationsmoment, uppoffringar och arbete som inte utförs precis så som det var tänkt.

Det här är alltså en berättelse av Sidney Dekker och den är inte baserad på vetenskapligt kontrollerad forskning. Ta den för vad det är. Ändå känner jag igen mig, så här är det att arbeta, åtminstone i en verksamhet som inte ser exakt likadan ut varje dag utan där man måste variera hur man utför arbetet. Förutsättningarna är inte optimala. Man måste anpassa sig om man jobbar på ett sjukhus, i ett flygplans cockpit eller på en flygtrafikledning. Förmodligen gäller det också många andra arbetsplatser.

Dekker har emellertid ytterligare en del i sin berättelse. Den är väldigt intressant och kommer i nästa del…