TFHS Portal and Blog

Jag tänkte kortfattat beskriva hur man kan använda Reasons Swiss Cheese model som ett verktyg i en haveriutredning. Kort bakgrund är att modellen visar hur en olycka orsakas av olika samverkande faktorer på olika plan i en organisation:

• Organisational & System Factors
• Contextual Conditions
• Human Involvement
• Absent or Failed Barriers

Efter att först ha gjort en beskrivning av de faktiska omständigheterna, gärna med en tidslinje över olika händelser i samband med olyckan börjar man tillämpa modellen.

1. Det första man tittar på är ”Human Involvement”. Enligt modellen är detta fel/misstag eller regelbrott av en eller flera människor i den ”skarpa änden”, dvs piloter, flygledare, tekniker eller liknande. Enligt modellen är detta det som utlöste olyckan. Vi söker alltså fel eller regelbrott som hände omedelbart före och som aktivt bidrog till olyckan.

2. Nästa steg är ”Contextual Conditions”. Detta är latenta (inneboende, vilande) förhållanden som existerade innan och under olyckan. De utgör förutsättningar för olyckan men anses inte vara orsaker. De har haft en direkt påverkan på de mänskliga faktorer som togs upp i föregående stycke. Det kan vara många saker; arbetsmiljö, väder, trötthet, utbildning, bemanning, utrustning osv. Vi söker alltså förhållanden som hjälper oss att förstå varför fel eller regelbrott gjordes.

3. Steget därefter är ”Organisational Factors”. Dessa är faktorer som skapat eller tillät de förhållanden som beskrevs i stycket ovanför. Det kan vara beslut utbildning, schemaläggning av personal, kommunikation och information i organisationen, motstridiga mål eller uppgifter osv. Vi söker alltså egenskaper i organisationen som fanns innan olyckan och som gav upphov till och tillät de förhållanden som förklarar de begångna felen/regelbrotten.

4. Sista steget är att granska ”Absent or Failed Barriers” som skulle ha kunnat förhindrat olyckan. Barriärer kan vara rent handfasta i form av ett staket, de kan vara tekniska i form av varningar/larm men är ofta procedurer som om de följs korrekt avser förhindra olyckor. Vi söker alltså de system eller procedurer som skapats för att förhindra den här typen av olyckor men som inte fungerade i den aktuella olyckan.

Som synes är det ett strukturerat sätt att arbeta som leder till att man belyser många olika aspekter. Under arbetet kommer man att hitta många problemområden där man kan göra rekommendationer som om de genomförs kan förhindra en liknande olycka i framtiden.

Om man tittar på den tragiska olyckan i Linate (Milano) 2001 med hjälp av denna modell skulle några resultat kunna vara:

1. ”Human Involvement” – Besättningen i Cessnan flög i dåligt väder utan rätt kvalifikationer. Samma besättning använde fel taxibana och körde ut på banan utan tydlig klarering. Flygledaren missade att förstå Cessnans läge baserat på dess positionsrapport och flygledaren missade att upptäcka ett fel i Cessna-besättningens tillbakaläsning av taxi-klareringen.

2. ”Contextual Conditions” – Ekonomisk press på Cessnapiloterna att genomföra flygningen. Tät dimma. Väntplatser på bansystemet som inte var kända av ATS pga. brister i officiell dokumentation. Brist på skyltar och märkningar på den platta som Cessnan stod på. Hög arbetsbelastning på flygledaren beroende på trafikmängd, dålig sikt och användande av olika språk på radion. Användande av icke-standard-fraseologi vanligt förekommande hos flygledarna.

3. ”Organisational Factors” – Dåligt beskrivna taxiprocedurer. Flygplatsen levde inte upp till ICAO Annex 24 när det gäller markeringar på manöverområdet. Publicerade dokument inaktuella och med fel. Markradarsystemet hade inte installerats trots sex år sedan inköp. Procedurer som tillät höga trafikvolymer även då sikten var kraftigt reducerad. Som bakomliggande systemfaktor fanns även brist på ett väl-integrerat SMS på flygplatsen.

4. ”Absent or Failed Barriers” – Markradarsystem ej i drift. Saknade ljus-system för att varna för rullbana. Inga procedurer för LVO (Low Visibility Operations).
Vid en utredning av det här slaget är det ganska vanligt att man hittar problemområden som redan pekats på i tidigare utredningar men inte adresserats tillräckligt. Jag har träffat utredare som därför blivit lätt luttrade. Om och om igen utreder man olyckor som kunnat förhindras om man lyckats ta till sig lärdomar från tidigare olyckor. Under min utbildning i Barcelona nyligen tittade vi t.ex. på olyckor i samband med flygdagar där vår kursledare pekade på en sorglig rad av liknande bakomliggande faktorer som återkommer om och om igen.

Jag uppfattar denna modell och metodik som mycket användbar och den bygger på stor erfarenhet. Invändningar finns naturligtvis också. En är jakten på ”fel” där många menar att olyckor kan hända utan att direkta fel begås. En annan är att de olika orsakerna till en olycka oftast inte är så snyggt linjerade som modellen verkar förutsätta.

Under kursen jag gick i Barcelona (länk) utgick många diskussioner från James Reason och hans Swiss Chesse modell. Modellen diskuteras i ett Eurocontrol-dokument från 2006 (länk) och min text nedan bygger på detta dokument.

Reason var professor på universitetet i Manchester då han 1990 presenterade sin nu berömda modell som senare fock namnet the Swiss Cheese model. Bakgrunden var bl.a. en rad olyckor som inträffat åren innan, som t.ex. Challenger, Three Mile Island och Tjernobyl och som visade att stora olyckor inte beror på enkelt förklarade orsaker.

Modellen avser förklara hur olyckor kan uppstå som ett samspel mellan ”unsafe acts” (de utlösande fel och misstag som slutligt orsakar en olycka) och dess bakomliggande orsaker som ofta finns latenta i organisationen och kan handla om sådant som ledarskap, bemanning, utbildning osv. ”The Swiss Cheese Model” fick en oerhörd spridning och sättet att använda den passerade nog vad Reason själv tänkt sig. Steven Shorrock (nu på Eurocontrol) skrev t.ex. 2005 att ”ironiskt nog verkar det som om den ende som kritiserar användningen av Reasons Swiss Cheese modell är Reason själv”.

2004, två år efter Üeberlingen-olyckan, samlades en workshop hos Eurocontrol i Frankrike för att utvärdera rapporten av BFU. Såväl Reason som Hollnagel deltog och Reason själv ifrågasatte sin modell i ett anförande; ”Üeberlingen: Is Swiss cheese past its sell-by date?”

En kritik mot Reasons modell är att den överdriver organisatoriska faktorer. Det går att hitta saker som hänt flera år tidigare som kan anses ha spelat en roll. Å andra sidan var Uëberlingen en olycka som nästan helt saknade direkta fel eller misstag utan olyckan orsakades just av en rad bakomliggande faktorer.

Då modellen presenterades 1990 hade den fem olika nivåer/skivor:
• top level decision makers (beslutsfattare)
• line management (arbetsledning, utbildning, underhåll etc)
• preconditions (förhållanden som arbetsmiljö, utrustning, personalens utbildningsnivå etc)
• productive activities (aktiva handlingar I anslutning till händelsen)
• defences (system/barriärer som borde förhindrat utgången men som fallerat)

Enligt Eurocontrol-dokumentet var det troligen Rob Lee som gjorde om de fem nivåerna till ostskivor med hål i och gav dem namnet ”Swiss Cheese”. Rob var en av de två lärarna på min kurs i Barcelona!

Styrkan i modellen och säkert anledningen till dess stora spridning är dess enkelhet och tydlighet. Den gör det enkelt att se och förstå hur hela organisationen har del i att skapa flygsäkerhet och också att hela organisationen har möjlighet att hota denna flygsäkerhet.

Det har genom åren framförts olika typer av kritik mot Swiss Cheese model:

En del av kritiken mot modellen har handlat om ”hålen”. Vad representerar de? Hur uppstår de och hur förändras de? Vad gör att de linjeras för att orsaka en olycka?

Andra kritiserar modellen för att den tvingar en haveri- eller incidentutredare för långt från själva olyckan. Man menar att Reason genom sin modell har tagit det aktiva felet och reducerat det till bara ett symptom på ett dåligt system. Man menar att oftast räcker det slutliga, aktiva felet som förklaring på olyckan. Reason skulle alltså lägga för stort fokus på organisationen och för lite på människan i den ”skarpa änden”. Det finns en syn att man måste acceptera att ibland är det så enkelt som att en människa gör ett misstag och då fyller det inte en funktion att söka fel i organisationen. Man riskerar att i sin iver att skapa en ”no blame culture” istället bara gå från ”blame the pilot” till ”blame the management”.

En annan form av kritik är att modellen ger en bild av mycket linjära sammanhang där det finns tydliga samband mellan händelser på olika nivåer. Detta kan t.ex. medföra att en haveriutredning byggd på Reasons modell ofta börjar med att leta efter det ”mänskliga felet” för att därefter se vilka förhållanden och bakomliggande faktorer som bidragit. Verkligheten kan vara betydligt mer komplex än så.

Slutligen finns kritik mot att Reason-modellen bygger på att en olycka beror på fel i organisationen – antingen i den skarpa eller trubbiga ändan. Det finns exempel på olyckor där alla delar av organisationen fungerat på ett normalt sätt – där olyckan inte berott på fel utan snarare på samspel av ”normala variationer” i olika nivåer av organisationen.
Min egen slutsats är att Reasons modell i likhet med andra modeller inte är fullkomlig. Den har naturligtvis sina brister men den har också utvecklats genom åren och kommer förmodligen att fortsätta utvecklas. Min största invändning mot modellen är nog att den så tydligt fokuserar på fel.

Som jag ser det har modellen två stora fördelar; dels är den enkel och tydlig och förklarar hur hela organisationen är delaktig i det som händer i den skarpa ändan, dels är det en mycket beprövad modell som under många år varit en viktig del i en positiv utveckling av flygsäkerhet. Jag har svårt att se att man kan förkasta ”the Swiss Cheese Model”. Det är nog bättre att försöka utveckla den eller komplettera den.

Så är det dags att få igång bloggen igen, med (nästan) dagliga uppdateringar om flygindustrin, med fokus på flygbolagsdelen av den. Vi inleder “säsongen” med sommarens stora “nästanhändelse” i San Francisco, då en Air Canada A320 nästan landade på flera flygplan på en taxibana. Redan tidigare i sommar rapporterades det på bloggen om denna händelse (länk ), då i samband med den annars otroligt positiva globala flygsäkerhetsstatistiken för det första halvåret. På länken finns också ett videoklipp av händelsen.

För att få en påminnelse om hur nära denna incident var en olycka se bilden ovan. AINonline rapporterar nu om (länk nedan) att den amerikanska luftfartsmyndigheten FAA har skickat ut en “Safety Alert” baserad på denna händelse, i vilken vikten av monitorering och CRM betonas. Jag har pratat med piloter som påpekat att vignbelysning på flygplan uppställda på en taxibana kan få en taxibana att se ut som en landningsbana. Att flygplan startar eller landar på taxibanor är inte något som är mycket ovanligt, om än att på en stor flygplats som San Francisco är det sällsynt. Den kommande utredningen kan kanske ge oss mer information om hur situationen kunde uppstå, men det är också möjligt att vi inte kommer att kunna förstå det fullt ens med utredningen. Att försöka förstå vad Air Canada piloterna såg och hur de tolkade det som de såg, samt hur de tänkte kring detta, kan visa sig omöjligt. Tills vidare måste vi försöka lära att även med banbelysning och andra hjälpmedel så är det fullt möjligt att ta fel på landningsbana och taxibana.

För ytterligare en bild av situationen, se bilden ovan. Detta är en händelse som visar hur lite som kan skilja mellan en incident och en katastrofal olycka, i detta fall en som kunde ha blivit den allra värsta genom tiderna. Det är oerhört viktigt att fortsätta att prata om dessa händelser för att påminna oss om att den säkerhet vi har uppnått trots alla skyddsbarriärer ändå är bräcklig. Det är lätt att glömma en sådan här incident eftersom “inget hände”, men det är att föredra att lära av incidenter snarare än av olyckor. Så läs, fundera och tänk på vad som skulle kunnat göras annorlunda för att undvika en situation som denna – och prata sedan med andra om detta. Det på detta vis vi kan fortsätta att upprätthålla flygsäkerheten av idag och förhoppningsvis med tiden bli ännu bättre.

Länk till artikel:
SFO Landing Incident Prompts Focus on Pilot Monitoring, CRM