Organisatorisch houvast voor veilige integratie van UAS en ...

NEDERLANDSE DEFENSIE ACADEMIE

Organisatorisch houvast

voor veilige integratie

van UAS en bemande

luchtvaart

Afstudeerscriptie Militaire

Bedrijfswetenschappen

Auteur: Luitenant ter Zee der derde klasse R. van Klinken [306009] [89.08.19.098]

Begeleiders: Majoor G.C.H. Bakx, MSc. [NLDA] en Kapitein M.D. de Pee, bc. [MLA]

Scriptievoorzitter: Mr. Dr. Ir. L.M.M. Royakkers [NLDA/TUE]

Scriptieverdediging: dinsdag 12 maart 2013, Faculteit Militaire Wetenschappen, Breda

2

Managementsamenvatting

Aanleiding

Defensie is voornemens onbemande vliegtuigen (Medium Altitude Long Endurance

Unmanned Aircraft Systems, MALE UAS) aan te schaffen die op een zelfde hoogte

opereren als de reeds bestaande, bemande luchtvaart (Hillen, 2011). Voor wat betreft de inzet

bestaan twee mogelijkheden: veilig integreren met de bemande luchtvaart of segregeren

waardoor er berhaupt geen interactie plaats vindt. De International Civil Aviation

Organization (ICAO) schrijft voor dat totdat UAS een gelijkwaardig niveau van veiligheid als

de huidige luchtvaart bereiken en aan de Air Traffic Control-eisen kunnen voldoen, segregatie

plaats zal vinden. In het rapport komen echter een viertal redenen naar voren waarom

segregeren onwenselijk is. Binnen het Ministerie van Defensie is de Militaire Luchtvaart

Autoriteit (MLA) onder andere belast met het uitgeven van regelgeving ten behoeve van een

veilige inzet van militaire luchtvaartuigen. Daarom valt het oplossen van de integratie-

problematiek mede onder de hoede van de MLA.

Doelstelling

Het doel van het onderzoek is een bijdrage te leveren aan het veilig organiseren van de

integratie van het MALE UAS met de bemande luchtvaart door het ontwerpen van een

raamwerk dat de MLA houvast kan bieden bij het in goede en veilige banen leiden van een

eventuele integratie van het MALE UAS met de bemande luchtvaart.

Aanbevelingen voor de MLA

De aanbevelingen hier genoemd zijn gebaseerd op de interviews die gedaan zijn in het kader

van dit onderzoek. Het model dat ik heb aangedragen geeft aan dat het veilig organiseren van

complexe socio-technische systemen (zoals het luchtruim) juist een iteratief karakter moet

hebben. Onderstaande aanbevelingen zijn dan ook niet onbeperkt houdbaar, maar volgen uit

een momentopname.

1. Op politiek, interdepartementaal en/of (inter)nationaal niveau dient een visie

uitgesproken te worden over hoe we in het West-Europese luchtruim om gaan met

(MALE ) UAS en luchtruimintegratie. Hoe kan dit het best vertaald worden naar

Nederland en de Nederlandse Defensieorganisatie?

2. Richt een krijgsmacht-brede Defensie-projectgroep op. Deze projectgroep dient

minstens te bestaan uit afvaardiging van ALL, ALO, ALC, verwervers en

3

behoeftestellende OPCOs. De regie binnen deze projectgroep ligt bij het OPCO dat

het meest gebaat is bij het gebruik van UAS.

3. De Defensie-projectgroep dient de volgende drie vragen met interne consensus te

beantwoorden:

a. Wat is het beoogde gebruik van (militaire) (MALE ) UAS en het luchtruim

met het oog op de Luchtruimvisie (2012) en bestaande en zich ontwikkelende

SES-initiatieven?

b. Welk niveau en welke manier van luchtruimintegratie zijn hier minimaal voor

benodigd?

c. Welke interdepartementale en (inter)nationale UAS-fora zijn van belang ten

aanzien van wet- en regelgeving?

4. Gebruik de richtlijnen, aanvullingen en voorbeelden zoals die aangegeven zijn in de

rechterkolom van het model (tabel 2) om invulling te geven aan het balanceren tussen

centrale en decentrale aansturing, informatie-uitwisseling, local rationality en heedful

interrelating.

Motivatie

Het onderzoek betoogt dat door de eigenschappen van het systeem luchtruim het luchtruim

als een complex socio-technisch systeem beschouwd kan worden. Na het bestuderen van

holistische en moderne veiligheids- en managementtheorien zijn een viertal principes

gedentificeerd die het veilig organiseren van dergelijke complexe socio-technische systemen

mogelijk zouden moeten maken. Deze principes zijn het balanceren tussen centrale en

decentrale aansturing, het uitwisselen van informatie, het in kaart brengen van en rekening

houden met verschillende local rationalities en het gebruik van een proces genaamd heedful

interrelating. Door interviews en een Delphi-panel met UAS-experts van de MLA zijn deze

principes vertaald naar de praktijk van het luchtruimintegratievraagstuk en de rol van de MLA

hierin. Op basis van deze resultaten is een model opgesteld. De bevindingen zijn voorgelegd

aan een aantal in het vooronderzoek gedentificeerde en van belang zijnde stakeholders

binnen dit vraagstuk. Op basis hiervan is het eerder opgestelde model aangepast.

4

Summary

The Dutch Minister of Defense has the intention to procure Medium Altitude Long Endurance

Unmanned Aircraft Systems (MALE UAS). Those MALE UAS conduct their operations

on the same flight level as the already existing, manned aviation (Hillen, 2011b). In terms of

deployment, there are two options: safe integration with manned aviation or segregation;

which means there will not be any form of interaction between manned and unmanned

aviation at all. The International Civil Aviation Organization (ICAO) dictates that in order to

safely integrate with manned aviation, UAS should reach at least an equivalent level of safety

as manned aviation and should be able to comply with existing Air Traffic Management

(ATM). The research however shows that there are four reasons why segregation is not

desirable. The Military Aviation Authority (MAA) is on behalf of the Minister of Defense

charged with publishing regulations for the safe deployment of military aviation. Because of

this, the MAA is charged with solving the previous mentioned integration problems.

To contribute to a possible solution of the integration problems the following research

question has been formulated to guide the research:

How could a framework based on modern safety- and organizational sciences that

could help the MAA in the process of safely integrating MALE UAS with manned

aviation, look like?

First, a deskresearch has been carried out. This deskresearch analyzed important theories from

the modern safety- and organizational sciences. This analysis produced four principles that are

important within the context of safely organizing. It turned out that, in order to safely organize

organizations like the airspace, it is important to reach and maintain the right balance

between centralized and decentralized control, to exchange the right information throughout

the whole system, to map out the local rationality of the stakeholders and, when possible, act

in accordance with this local rationality and to maintain a process of heedful interrelating

between the stakeholders. Continuous, iterative and combined use of those four principles

should enable the safe organization of certain complex socio-technical systems.

Secondly, the results of the deskresearch were empirically tested. Three rounds of data

collection helped to translate the theoretical principles to the case of airspace integration.

5

During the first round, MAA-employees were asked how they would translate the four

principles to the case. The synthesis of these first interviews was propounded to all the

surveyed MAA-employees in a panel using the Delphi method. The results of the Delphi

panel were propounded to employees of four important stakeholders in the airspace

integration process in order to make crucial adjustments. The combined results of these three

rounds of data collection have produced a model (table 2) that can contribute to the safe

organization of airspace integration of MALE UAS with manned aviation.

The first conclusion of the research refers to the model (table 2). The model consists of the

four principles and the momentary and exemplary interpretations and translations of those

principles to the case of airspace integration. The second conclusion refers to the theoretical

and scientific value of the resulting model. The deskresearch and the operationalization of the

four basic principles have resulted in a more general model that can help to safely organize

certain complex socio-technical systems. This is displayed in the left and middlemost column

of the model (table 2). The third and last conclusion of this research reads that qualified

authorities need to decide whether the resulting model needs further fine-tuning or that the

resulting model should be implemented and executed. Implementation and execution of the

model should take place in a learning and adapting process.

The recommendations that result from the research are subdivided into three categories. The

first category of recommendations refers to further fine-tuning of the model. The second

category involves recommendations on how to implement and execute the developed model.

The last category of recommendations refers to the scientific community involved with

research on complex socio-technical systems.

6

Samenvatting

Defensie is voornemens onbemande vliegtuigen (Medium Altitude Long Endurance

Unmanned Aircraft Systems, MALE UAS) aan te schaffen die op een zelfde hoogte

opereren als de reeds bestaande, bemande luchtvaart (Hillen, 2011b). Voor wat betreft de

inzet bestaan twee mogelijkheden: veilig integreren met de bemande luchtvaart of segregeren

waardoor er berhaupt geen interactie plaats vindt. De International Civil Aviation

Organization (ICAO) schrijft voor dat totdat UAS een gelijkwaardig niveau van veiligheid als

de huidige luchtvaart bereiken en aan de Air Traffic Control-eisen kunnen voldoen, segregatie

plaats zal vinden. In het rapport komen echter een viertal redenen naar voren waarom

segregeren onwenselijk is. Binnen het Ministerie van Defensie is de Militaire Luchtvaart

Autoriteit (MLA) onder andere belast met het uitgeven van regelgeving ten behoeve van een

veilige inzet van militaire luchtvaartuigen. Daarom valt het oplossen van de integratie-

problematiek mede onder de hoede van de MLA.

Om een bijdrage te leveren aan het oplossen van de hierboven geschetste problematiek, staat

de volgende hoofdvraag centraal in dit onderzoek:

Hoe zou een op moderne veiligheidstheorien en organisatiekunde gebaseerd

raamwerk, dat de MLA in haar rol van borger van de veiligheid op weg naar veilige

luchtruimintegratie van het MALE UAS kan helpen, er uit kunnen zien?

Om deze hoofdvraag te beantwoorden zijn eerst belangrijke veiligheidstheorien en theorien

uit de organisatiekunde middels een bureauonderzoek geanalyseerd. Uit deze analyse blijkt

dat voor het veilig organiseren van organisaties zoals het luchtruim het van belang is dat er

een juiste balans tussen centrale en decentrale aansturing bestaat, dat er een goede informatie-

uitwisseling tussen de actoren plaats vindt, dat de local rationality van de verschillende

actoren in kaart wordt gebracht en dat hier rekening mee gehouden wordt en dat de actoren

behoedzaam met elkaar interacteren. Het continue, iteratieve en gecombineerde gebruik van

deze principes zou veilig organiseren van bepaalde complexe socio-technische systemen

mogelijk maken.

Het empirische deel van het onderzoek is uitgevoerd in drie dataverzamelingsronden. Tijdens

de eerste dataverzamelingsronde is aan medewerkers van de MLA gevraagd hoe zij de vier

7

theoretisch gevonden principes vertaald zien naar de praktijk van luchtruimintegratie. Tijdens

de tweede dataverzamelingsronde is, om meer consensus te bereiken, de synthese van de

eerste interviews voorgelegd aan dezelfde MLA-medewerkers in een Delphi-panel. De

uitkomst hiervan is tijdens de derde dataverzamelingsronde voorgelegd aan een aantal externe

stakeholders van de MLA. Hun opmerkingen en kritieken zijn, voor zover relevant, verwerkt.

Op basis van deze drie dataverzamelingsronden is een model (tabel 2) opgesteld dat bij kan

dragen aan het veilig organiseren van luchtruimintegratie.

De eerste conclusie van het onderzoek heeft betrekking op het model (tabel 2). Het model

bevat vier basisprincipes die vervolgens in een momentopname als een voorbeeld zijn

uitgewerkt in een aantal richtlijnen en te beantwoorden vragen. De tweede conclusie van dit

onderzoek is dat er met het bureauonderzoek, het hieruit voortvloeiende theoretische kader en

het operationaliseren van de principes door middel van de casestudy een meer theoretische

bodem is gelegd voor hoe complexe socio-technische systemen die gekarakteriseerd worden

door bepaalde kenmerken veilig georganiseerd kunnen worden. Dit is weergegeven in de

linkse en middelste kolom van het model (tabel 2). De derde en laatste conclusie van dit

onderzoek luidt dat er door bevoegd gezag een keuze gemaakt moet worden tussen het verder

finetunen van het ontwikkelde model (tabel 2) of het al adaptief en lerend implementeren en

uitvoeren van het model.

De aanbevelingen die volgen uit dit onderzoek vallen uiteen in drie categorien, namelijk

aanbevelingen voor het finetunen van het ontwikkelde model, aanbevelingen voor het

implementeren en uitvoeren van het ontwikkelde model en aanbevelingen voor de

wetenschappelijke gemeenschap die zich bezig houdt met onderzoek naar het veilig

organiseren van complexe socio-technische systemen.

8

Inhoudsopgave

Managementsamenvatting .......................................................................................................... 2

Summary .................................................................................................................................... 4

Samenvatting .............................................................................................................................. 6

Afkortingenlijst ........................................................................................................................ 10

Hoofdstuk 1 Inleiding ............................................................................................................ 12

1.1 Aanleiding ...................................................................................................................... 12

1.2 Probleemstelling ............................................................................................................. 12

1.3 Relevantie ....................................................................................................................... 16

1.4 Doelstelling .................................................................................................................... 17

1.5 Onderzoeksmodel ........................................................................................................... 18

1.6 Langgerekte formulering van het onderzoeksmodel ...................................................... 19

1.7 Vraagstelling .................................................................................................................. 19

1.8 Leeswijzer ...................................................................................................................... 20

Hoofdstuk 2 Theoretisch kader ............................................................................................. 21

2.1 Socio-technische systemen en complexiteit ................................................................... 21

2.2 Klassieke versus moderne benadering van veiligheid .................................................... 23

2.3 Structuurtheorien .......................................................................................................... 25

2.4 Procestheorien .............................................................................................................. 32

2.5 Overige theorien en concepten ..................................................................................... 39

2.6 Theoretische synthese..................................................................................................... 44

Hoofdstuk 3 Onderzoeksmethoden ....................................................................................... 49

3.1 Onderzoeksstrategie ....................................................................................................... 49

3.2 Dataverzameling en data-analyse ................................................................................... 50

3.3 Kwaliteitsaspecten .......................................................................................................... 51

Hoofdstuk 4 Resultaten ......................................................................................................... 53

4.1 Resultaten interviews en Delphi-panel MLA ................................................................. 53

4.2 Een model op basis van de theorie en input van de MLA .............................................. 63

4.3 Oordeel, kritieken en aanvullingen van externe stakeholders ........................................ 68

4.4 Een model voor organisatorisch houvast........................................................................ 75

Hoofdstuk 5 Reflectie, conclusies en aanbevelingen ............................................................ 81

5.1 Reflectie ......................................................................................................................... 81

5.2 Conclusies ...................................................................................................................... 84

5.3 Aanbevelingen ................................................................................................................ 85

Referenties ................................................................................................................................ 87

Bijlage 1 Topic-list interviews MLA medewerkers .............................................................. 92

Bijlage 2 Uitwerking en codering interviews MLA medewerkers........................................ 93

9

Bijlage 3 Tabellen per topic interviews MLA ..................................................................... 104

Bijlage 4 Uitwerking discussievragen panel MLA-medewerkers ....................................... 108

Bijlage 5 Handreikingen voor veilige integratie vanuit het MLA-panel............................. 113

Bijlage 6 Oordeel, kritieken en aanvulling van externe stakeholders ................................. 114

Bijlage 7 Tabel oordeel, kritieken en aanvulling van externe stakeholders ........................ 129

10

Afkortingenlijst

ALC Afdeling Luchtvaarttechniek en Certificering (MLA)

ALL Afdeling Luchthavens en Luchtruim (MLA)

ALO Afdeling Luchtoperaties (MLA)

AMO/ISR Afdeling Missie Ondersteuning/Intelligence, Surveillance &

Reconnaissance (CLSK)

ATC Air Traffic Control

ATM Air Traffic Management

B-VLOS Beyond Visual Line of Sight

CDS Commandant der Strijdkrachten

CLSK Commando Luchtstrijdkrachten

DGB Directoraat-Generaal Bereikbaarheid

DMO Defensie Materieel Organisatie

ELOS Equivalent Level of Safety

HRO High Reliability Organization

HRT High Reliability Theory

I&M Ministerie van Infrastructuur en Milieu

ICAO International Civil Aviation Organization

IFR Instrument Flight Rules

ILenT Inspectie Leefomgeving en Transport

IPRO Integratieproject (NLDA)

MAA Military Aviation Authority

MALE UAS Medium Altitude Long Endurance Unmanned Aircraft System(s)

MLA Militaire Luchtvaart Autoriteit

NAT Normal Accidents Theory

NLDA Nederlandse Defensie Academie

OPCO Operationeel Commando

RI&E Risico Inventarisaties & Evaluaties

SES Single European Sky

SSP State Safety Programme

TUE Technische Universiteit Eindhoven

UAS Unmanned Aircraft System(s)

VFR Visual Flight Rules

11

VLOS Visual Line of Sight

12

Hoofdstuk 1 Inleiding

1.1 Aanleiding

Met een beleidsbrief (Hillen, 2011a) heeft de Minister van Defensie aangegeven te willen

intensiveren op een aantal gebieden. En van die gebieden betreft de verwerving van een

MALE UAS (Medium Altitude Long Endurance Unmanned Aircraft System). Het project

omvat vier vliegtuigen met sensoren, grondelementen voor de bediening en de apparatuur

voor dataverwerking (Hillen, 2011a, p. 40). De keuze is juist op een dergelijk systeem

gevallen omdat dit systeem primair uitgerust is voor optreden op het militair-operationele

niveau, maar ook zeer geschikt is voor inzet op het tactische en militair-strategische niveau.

Dit sluit aan bij de Nederlandse (inter)nationale ambities, daarnaast drukt de aanschaf van een

meer allround systeem minder zwaar op het budget (Hillen, 2011b). De vluchthoogte van het

platform beslaat een bandbreedte tussen de 10.000 en 30.000 voet (ca. 3 10km). Deze

bandbreedte wordt ook veel gebruikt door andere luchtruimgebruikers, zowel militair als

civiel. Er zijn twee opties ten aanzien van het samenspel tussen het nieuwe MALE UAS en

de bestaande, bemande luchtvaart: veilig integreren met de bemande luchtvaart, of segregeren

waardoor er berhaupt geen interactie plaats vindt.

1.2 Probleemstelling

De internationale consensus is dat de integratie van onbemande luchtvaartuigen met de

bemande luchtvaart geen negatieve invloed mag hebben op het huidige veiligheidsniveau van

de (bemande) luchtvaart en dat er sprake moet zijn van een naadloze inpassing in het huidige

Air Traffic Management (ATM) (ICAO, 2010). In dit kader wordt vaak gesproken over het

verkrijgen van een equivalent level of safety (ELOS). Wat een dergelijk gelijkwaardig

veiligheidsniveau precies inhoudt, wordt nergens eenduidig gedefinieerd. De ICAO

(International Civil Aviation Organization) legt de verantwoordelijkheid voor het beslissen

wat een ELOS inhoudt bij haar lidstaten. Lidstaten dienen dit op te nemen in een State Safety

Programme (SSP) (ICAO, 2011). De ICAO hanteert zelf de volgende richtlijn voor een

ELOS:

UAS operations must be as safe as manned aircraft insofar as they must not

present a hazard to persons or property on the ground or in the air that is any

greater than that attributable to the operation of manned aircraft of equivalent

13

class or category. In general, UAS should be operated in accordance with the

rules governing the flight of manned aircraft and meet equipment requirements

applicable to the class of airspace within which they intend to operate. UAS must

be able to comply with ATC [Air Traffic Control, RvK] instruction

(ICAO, 2011, p. 35).

Uit de ICAO-omschrijving blijkt dat de ICAO belang hecht aan de voorwaarde that they

[UAS, RvK] meet the same safety standards as equivalent classes of aircraft (Armstrong,

2010, p. 8). Het vaststellen van safety standards geschiedt vaak door het berekenen van

faalkansen. Dit is een vrij mathematische methode waarbij berekend wordt hoe groot de kans

is op een ongeval, en waar de acceptabele grens ligt. Amalberti (2001) plaatst de

commercile, gereguleerde luchtvaart (waar het MALE UAS mee gaat interacteren bij

integratie) in de categorie van ultra-safe systems (p. 111). De acceptabele kans op falen voor

deze systemen ligt al jaren vast rond de 510-7

. Dit betekent dat n disastrous accident (p.

110) per 50.000.000 gebeurtenissen acceptabel wordt geacht.

Dit lijkt een objectieve grens. Het MALE UAS hoeft slechts te voldoen aan deze eis en er

zal sprake zijn van een ELOS. Maar wat is een disastrous accident? Als er mensenlevens

verloren gaan? Als een vliegtuig neerstort? Als het schadebedrag een bepaalde grens

overschrijdt? Hoe houdbaar zijn deze bestaande definities als er een nieuw (onbemand!)

systeem wordt gentroduceerd, en er zich onvoorziene interacties voor gaan doen? En indien

de veiligheid afgemeten wordt aan het aantal disastrous accidents wat doet de organisatie dan

met bijna-ongevallen, incidenten en situaties waarin het bijna fout gaat? Worden deze

gerapporteerd? Dit is onder andere afhankelijk van de cultuur in de organisatie en heeft grote

invloed op het handelen van de mensen en de veiligheid in de organisatie (Vaughan, 1996).

De veiligheid van dergelijke ultra-safe systems volgt dus eerder uit een organisatorische

(politieke) compromis dan uit een wetenschappelijke onderbouwing (Amalberti, 2001).

Wellicht dat de ICAO daarom heeft gekozen voor een gelijkwaardig (equivalent) niveau van

veiligheid in plaats van een gelijk (equal) niveau van veiligheid.

De door de ICAO gehanteerde definitie kent dus nogal wat interpretatiemogelijkheden. UAS

kunnen misschien nooit voldoen aan deze definitie, juist omdat de term zo ambigu is. Het

ambigue taalgebruik (huidige veiligheidsniveau en naadloze inpassing) laat hiaten en

limieten in het huidige mathematisch georinteerde denken over luchtvaartveiligheid zien.

14

Binnen deze denkwijze wordt het falen van een systeem verklaard door het falen van

onderdelen van dit systeem (vandaar het bepalen van de grens van de 510-7

op basis van

faalkansen van systeemcomponenten). Moderne veiligheidsliteratuur neemt afstand van dit

mechanistische, reductionistische gedachtegoed en heeft aangetoond dat er binnen complexe

systemen vaak geen duidelijk input-output relatie bestaat (bijv. Perrow, 1984). De alinea

hierboven laat zien dat het mechanistische denken geen oplossing biedt bij het nadenken over

het bereiken van een ELOS. Daarom is het van belang dit vanuit de moderne

veiligheidsliteratuur te benaderen.

Ook op nationaal niveau vindt de internationale ICAO-eis invulling. De nieuwe

Luchtruimvisie (2012) onderschrijft de ICAO-eis van een ELOS impliciet: Totdat een

oplossing is gevonden voor de luchtruimintegratie ten aanzien van de UAS, opereren deze

systemen afgezonderd(DGB & MLA, 2012, p. 25). Andere, relevante gevolgen van het

invoeren van de nieuwe Luchtruimvisie laten zich pakkend samenvattend in het volgende

citaat uit de beleidsbrief opgesteld bij het in werking treden van de nieuwe visie:

Het onderscheid tussen het civiele en het militaire deel van het luchtruim vervalt

hiermee. Deze opzet vraagt van luchtruimgebruikers dat ze niet meer luchtruim

claimen dan strikt noodzakelijk is voor het uitvoeren van hun activiteiten. Tevens

vergt dit een zorgvuldige en tijdige planning van de activiteiten. Defensie beschikt

niet langer over de mogelijkheid delen van het luchtruim vast aan te wijzen voor

exclusief militair gebruik. Daar staat tegenover dat de militaire oefenbehoefte

uitgangspunt blijft in het planningsproces om te komen tot allocatie van

luchtruim (Atsma & Hillen, 2012, p. 3).

Als gevolg van de eisen van de ICAO en de vertaling hiervan naar de Nederlandse

Luchtruimvisie ontstaat een paradox. De ICAO-eis resulteert op nationaal niveau in segregatie

totdat een ELOS bereikt is, maar segregatie lijdt juist tot een vermindering van de missie-

effectiviteit en een vermindering van de flexibiliteit van het luchtruim. Dit terwijl met de

nieuwe Luchtruimvisie (2012) juist geprobeerd wordt flexibeler om te gaan met het luchtruim.

Allerhande actoren met belang bij een flexibel luchtruim zullen een langdurige afbreuk aan de

beoogde flexibiliteit op de lange termijn niet accepteren. Deze paradox vormt een onderdeel

van het luchtruimintegratievraagstuk waarmee Defensie met het aanschaffen van het MALE

UAS wordt geconfronteerd.

15

Bij het louter gesegregeerd inzetten van het MALE UAS zullen hier telkens gebieden voor

moeten worden gereserveerd. Dit zal ten koste gaan van de totale missie-effectiviteit van

Defensie. Enerzijds komt dit doordat met het UAS hierdoor meer planmatig (en dus minder

flexibel) zal moeten worden geoefend/opgetreden. De gebieden moeten tenslotte, behoudens

inzet in extremis, worden gereserveerd. Anderzijds zal het betreffende deel van het toch al

beperkte Nederlandse luchtruim gesloten zijn voor de inzet van overig militair verkeer.

Een volgend argument waarom integratie op de lange termijn noodzakelijk is, heeft te maken

met het trainen, opwerken en gereed stellen voor operationele inzet. Door een scheiding

tussen bemande en onbemande luchtvaart is (oefenen met) integratie met bemande militaire

luchtvaart ook niet mogelijk. Dit kan ten koste gaan van de operationele effectiviteit van het

luchtwapen in zijn geheel. Afbreuk aan effectieve inzet is zeer ongewenst, aangezien

effectieve inzet n van de zeven essentile operationele functionaliteiten is (Defensiestaf,

2005). In inzetgebieden wordt het noodzakelijk geacht gentegreerd (joint en/of combined) op

te kunnen treden, of in ieder geval niet volledig gentegreerd maar wel gebruik makend van

hetzelfde operatiegebied te kunnen opereren. Een voorbeeld hiervan is de mogelijkheid

binnen een korte tijdspanne gebruik te kunnen maken van een gemeenschappelijke airstrip.

Indien integratie nodig is in uitzendgebieden, moet dit wel getraind kunnen worden.

Mogelijkheden tot verkenning van gecombineerde inzet (militair bemand en militair

onbemand) worden door segregatie ontnomen.

Ten slotte zal segregatie ten koste gaan van het commercieel gebruik van het luchtruim (en

daarmee ten koste van de economische positie van Nederland). Uiteindelijk zou segregatie

hierdoor zelfs kunnen leiden tot minder goodwill van de bevolking jegens Defensie. Dit is

onwenselijk in een tijd waarin Defensie op allerlei manieren probeert meer maatschappelijk

draagvlak te creren.

Puur gesegregeerde inzet is voor Defensie op de lange termijn dus onacceptabel. Binnen het

Ministerie van Defensie is de Militaire Luchtvaart Autoriteit (MLA) onder andere belast met

het uitgeven van regelgeving ten behoeve van een veilige inzet van militaire luchtvaartuigen.

Hierbij valt te denken aan het opstellen van luchtvaarteisen, beleid, aanwijzingen en het geven

van adviezen aan militaire luchtruimgebruikers (Overheid, 2012). Vanuit deze rol is de MLA

de borger van de veiligheid van de militaire luchtvaart. Bij het oplossen van het

luchtruimintegratievraagstuk vervult de MLA dan ook een spilfunctie. Idealiter is de MLA de

16

controller van het vraagstuk en zal binnen het Ministerie van Defensie het voortouw moeten

nemen bij het oplossen van dit vraagstuk.

De kern van het probleem is dat integratie van het MALE UAS noodzakelijk is of zal

worden. Bij deze integratie moet er sprake zijn van een ELOS, maar de MLA (als borger van

de veiligheid van de militaire luchtvaart) weet niet welk pad hiervoor bewandeld dient te

worden. De oorzaak hiervan ligt voor een groot deel in het feit dat de MLA geen ervaring

heeft met integratie van onbemande luchtvaart met bemande luchtvaart. Ook internationaal is

er op dit gebied weinig ervaring; de ontwikkeling van het integratieproces bevindt zich ook

internationaal nog in de kinderschoenen.

1.3 Relevantie

De Minister van Defensie heeft met een beleidsbrief (Hillen, 2011a) de behoefte uitgesproken

om gemeenschapsgeld te investeren in het MALE UAS. Om effectieve en efficinte inzet

van dit systeem te waarborgen en daarbij het gebruik van het luchtruim door de bemande

militaire en civiele luchtvaart niet te hinderen is integratie noodzakelijk. De eis is dat dit

veilig gebeurt. De MLA is op zoek naar inzichten die bij kunnen dragen aan het oplossen van

dit vraagstuk. Het integratieproces heeft nog nooit eerder heeft plaatsgevonden en met de

aanschaf van UAS is gemeenschapsgeld gemoeid. Daarnaast is veiligheid een groot

maatschappelijk belang. Daarom is het voor de MLA als cordinator van belang dat hier

onderzoek naar gedaan wordt. Voor Defensie is dit onderzoek van belang omdat segregatie

ten koste kan gaan van de missie-effectiviteit en trainen, opwerken en gereed stellen voor

operationele inzet in het geding kunnen komen.

Voor de bestaande wetenschappelijke literatuur en veiligheidstheorien is het relevant een

raamwerk te ontwikkelen dat bij draagt aan veilige integratie. Theoretische concepten vinden

op deze manier toepassing in een praktijksituatie. Zo wordt tijdens het voor ogen staande

onderzoek een model ontwikkeld dat kan helpen bij het veilig organiseren van

luchtruimintegratie. De theoretische basis van dit model is wellicht te generaliseren en

extrapoleren naar andere contexten die door dezelfde kenmerken gekarakteriseerd worden als

de context waarin UAS gaan opereren.

17

1.4 Doelstelling

Om een bijdrage te leveren aan de oplossing van de hierboven geschetste relevante

problematiek is een doelstelling van dit onderzoek geformuleerd. Deze luidt als volgt:

Het doel van het onderzoek is een bijdrage te leveren aan het veilig organiseren van de

integratie van het MALE UAS met de bemande luchtvaart door het ontwerpen van

een raamwerk dat de MLA houvast kan bieden bij het in goede en veilige banen leiden

van een eventuele integratie van het MALE UAS met de bemande luchtvaart.

Het bedoelde raamwerk zal bestaan uit een aantal (model)vragen die de MLA (zich) kan

stellen tijdens het integratieproces. Deze vragen zullen gebaseerd zijn op moderne, relevante

veiligheidstheorien en daarbij nauw aansluitende organisatietheorien. Met het

beantwoorden van deze vragen kan de MLA de algehele positie ten aanzien van een veilige

integratie bepalen en helpt het model de MLA te bepalen of het proces zich nog binnen een

veilige bandbreedte bevindt. Met behulp van het model weet de MLA, als controller van het

proces, waar ze nog aandacht op dient te richten alvorens verder te gaan met het proces.

18

1.5 Onderzoeksmodel

In onderstaande figuur is het onderzoeksmodel opgenomen (figuur 1).

(a) (b) (c)

Figuur 1: Onderzoeksmodel.

19

1.6 Langgerekte formulering van het onderzoeksmodel

(a)Vooronderzoek en het bestuderen van relevante, moderne veiligheidsliteratuur en daarbij

nauw aansluitende organisatietheorien leveren

(b)ontwerpen procesprincipes ten aanzien van veiligheid en veilig organiseren op. Deze

ontwerpen procesprincipes worden geconfronteerd met de rol van de MLA in het

luchtruimintegratievraagstuk.

(c)Uit deze confrontatie volgt een raamwerk voor de MLA. Dit raamwerk zal bestaan uit een

model wat de MLA kan helpen de juiste vragen te stellen bij het proces van veilige

luchtruimintegratie van het MALE UAS.

1.7 Vraagstelling

Om aan bovenstaande doelstelling te voldoen moeten de juiste onderzoeksvragen gesteld

worden. Deze vallen uiteen in centrale vragen en deelvragen. Het beantwoorden van de

deelvragen draagt bij aan het beantwoorden van de centrale vragen. Het beantwoorden van de

centrale vragen draagt weer bij aan het beantwoorden van de hoofdvraag. Met het

beantwoorden van de hoofdvraag wordt een bijdrage geleverd aan veilige integratie van UAS

met de bemande luchtvaart zoals deze bedoeld is in de doelstelling. Bij het opstellen van de

vragen is gebruik gemaakt van de methode van het splitsen van het onderzoeksmodel

(Verschuren & Doorewaard, 2007).

Hoofdvraag:

Hoe zou een op moderne veiligheidstheorien en organisatiekunde gebaseerd

raamwerk, dat de MLA in haar rol van borger van de veiligheid op weg naar veilige

luchtruimintegratie van het MALE UAS kan helpen, er uit kunnen zien?

Centrale vraag I:

Welke ontwerpen procesprincipes uit de moderne veiligheidstheorien en

organisatiekunde zijn van belang ten aanzien van veiligheid en veilig organiseren?

Deelvragen:

1. Wat maakt een theorie tot een moderne veiligheidstheorie en waarom zijn ze van

belang?

20

2. Welke moderne veiligheidstheorien en -concepten en organisatiekundige theorien

en concepten zijn van belang ten aanzien van veiligheid?

3. Wat zeggen deze theorien of theoretische concepten over veilig organiseren?

Centrale vraag II:

Welke ontwerpen procesprincipes afkomstig uit de moderne veiligheidstheorien en

organisatiekunde zijn van belang en bruikbaar voor de rol van de MLA als borger van

de veiligheid in het luchtruimintegratievraagstuk?

Deelvragen:

1. Wat is de rol van de MLA in het luchtruimintegratievraagstuk?

2. Hoe kunnen de theoretische ontwerpen procesprincipes volgens de MLA het beste

vertaald worden naar de rol van de MLA in het luchtruimintegratievraagstuk?

3. Welke ontwerpen procesprincipes uit de moderne veiligheidstheorien en

organisatiekunde worden door andere stakeholders in het

luchtruimintegratievraagstuk van belang en bruikbaar geacht?

1.8 Leeswijzer

In het volgende hoofdstuk wordt het theoretisch kader uiteengezet. Dit is, zoals reeds vermeld

in de probleemstelling, gebaseerd op moderne veiligheidstheorien en concepten en

theorien en concepten uit de organisatiekunde. In het derde hoofdstuk volgt de

onderzoeksmethode. Dit hoofdstuk gaat in op hoe het empirische deel van dit onderzoek is

ingericht. Vervolgens volgt een beschrijving van de resultaten uit de praktijk. In het vijfde en

laatste hoofdstuk volgen de reflectie, conclusies en aanbevelingen. Met dit laatste hoofdstuk

wordt gereflecteerd op het onderzoek en de bijdrage geleverd zoals deze bedoeld is in de

doelstelling in de vorm van een drietal conclusies en aantal aanbevelingen.

21

Hoofdstuk 2 Theoretisch kader

Uit de probleemstelling is gebleken dat integratie van het MALE UAS met de bestaande

luchtvaart noodzakelijk is. Zo kan segregatie er toe leiden dat de doelstelling van de nieuwe

Luchtruimvisie (2012) niet behaald zal worden, gaat segregatie ten koste van de missie-

effectiviteit van Defensie, kan segregatie ten koste gaan van de effectieve inzet van Defensie

en kan segregatie afbreuk doen aan het commercieel gebruik van het Nederlandse luchtruim

en aan het maatschappelijk draagvlak voor Defensie.

Daarnaast is gebleken dat aan de integratie van onbemande luchtvaart met de bemande

luchtvaart ambigue eisen zijn gesteld. De ICAO (2010) stelt dat er sprake van een ELOS moet

zijn. Het woord equivalent in deze afkorting zorgt juist voor deze ambiguteit. Dit komt

omdat nergens precies duidelijk wordt gemaakt wat bedoeld wordt met een dergelijk

equivalent level of safety, wat het lastig maakt om te bewijzen dat UAS aan deze schijnbare

eis voldoen, vooral ook door beperkingen in en limieten van het klassieke, mathematische

denken over (luchtvaart). Zo blijkt de mythische grens van 510-7

voor een disastrous

accident niet objectief te bepalen. Bovendien is met deze mathematische benadering niet

duidelijk welke lessen geleerd worden in situaties waarin ongevallen nog net afgewenteld

worden (Amalberti, 2001). Vaughan (1996) laat bijvoorbeeld zien dat er met het verloop der

tijd sleet kan ontstaan op de veiligheidscultuur binnen een organisatie. Hierdoor kunnen

ongevallen alsnog onzichtbaar de organisatie binnen sluipen. Daarnaast kan de vraag gesteld

worden hoe houdbaar huidige definities zoals die van een ELOS zijn wanneer een nieuw

subsysteem (UAS) aan het systeem (het luchtruim, het gebruik hiervan en de wisselwerking

tussen de gebruikers) wordt toegevoegd en het systeem als zodanig wijzigt. In dit onderzoek

is daarom gekozen voor een meer moderne benadering van veiligheid.

2.1 Socio-technische systemen en complexiteit

Veel van de moderne veiligheidstheorien zijn gebaseerd op inzichten uit de systeemtheorie.

Systeemdenken kent een lange geschiedenis die terug te voeren is tot Aristoteles. In zijn

Metafysica gaat hij al in op wat tegenwoordig gezien kan worden als systeemdenken (Ropohl,

1999). Hierin wordt een geheel (een systeem) niet alleen gekarakteriseerd door de

onderdelen van dit geheel, maar vooral ook door de relaties tussen deze onderdelen. Lamberts

(1782) voegt hier aan toe dat dergelijke systemen niet per se alleen uit natuurlijke elementen

22

(zoals het zonnestelsel) dienen te bestaan. Andere voorbeelden van systemen die hij noemt

zijn samenlevingen, organisaties, gebouwen en machines.

Een bepaald type systeem dat in het kader van UAS-integratie van belang is, is het zogeheten

socio-technische systeem. Een socio-technisch systeem is te definiren als het geheel van de

mensen (socio), de techniek (technisch) en de wisselwerking of interface tussen de onderdelen

binnen dit geheel. Juist deze gecombineerde (holistische) benadering van socio-technische

systemen is volgens Ropohl (1999) van belang omdat technische ingenieurs niet voldoende

inzicht hebben in de sociale aspecten van hun ontwerpen en sociologen niet voldoende inzicht

zouden hebben in de invloed van technologie op het functioneren van het systeem. Door

sociologie en technologie binnen een systeem holistisch te benaderen, zo is de idee, verruimt

de blik op het systeem, verkrijgt men meer inzicht in het totale functioneren van dit systeem

en kan dit functioneren beter beoordeeld en aangepast worden (Ropohl, 1999). Dit is voor het

UAS-integratievraagstuk van belang omdat het hier gaat om een systeem van mensen,

vertegenwoordigd in allerlei groepen stakeholders (Van Klinken, Stultiens & Van Tilburg,

2012) en techniek (het MALE UAS, maar ook reeds bestaande luchtvaartplatformen) die

allen met elkaar interacteren en daarmee de kaders van het vraagstuk bepalen en blijven

bepalen.

Een treffend voorbeeld van hoe een dergelijk complex aan verbanden interacteert geeft Sagan

(1993) in zijn boek The limits of safety. Tijdens de Koude Oorlog onderhielden de Verenigde

Staten een early warning system ten behoeve van het tijdig detecteren van een aanval met

intercontinentale raketten door de Sovjet-Unie. Omdat de verbindingen tussen radarstations in

het noorden van Amerika en het hoofdkwartier in Colorado Springs niet altijd betrouwbaar

waren, werd er voor gekozen B-52 bommenwerpers in de nabijheid van de radarstations te

laten patrouilleren. Hiermee werd een nieuwe zekerheid ingebouwd. Het recept voor succes

werd verbeterd, omdat de kans op detectie van een aanval groter werd. Deze maatregel leidde

aan de andere kant echter ook tot nieuwe faalkansen, of een uitbreiding van het recept voor

falen. Dit volgt uit een what if scenario waarin een B-52 neer zou storten en er tegelijkertijd

geen radiocontact tussen een station en het hoofdkwartier zou zijn. Hierdoor bestond de

aanmerkelijke kans dat er aangenomen werd dat dit door een aanval vanuit de Sovjet-Unie

plaats zou hebben gevonden, met alle mogelijk escalerende effecten van dien (Sagan, 1993).

Dit voorbeeld geeft aan dat een kritieke succesfactor geen discreet of binair gegeven is en

ondermijnt hiermee de gedachte van lineaire relaties in complexe socio-technische systemen.

23

Juist door de complexiteit die kenmerkend is voor socio-technische systemen is gebleken dat

in dergelijke systemen het recept voor succes nagenoeg gelijk is aan het recept voor falen

(Woods, Dekker, Cook, Johannesen & Sarter, 2010). Dit komt omdat er tussen

systeemonderdelen interacties optreden die voor de operators in het systeem niet zichtbaar en

inzichtelijk zijn. Hierdoor is een duidelijke oorzaak-gevolg relatie van successen en

(on)veiligheid niet te bepalen. Dit is een van de redenen waarom de moderne benadering van

veiligheid vragen stelt bij het klassieke denken. Het klassieke denken gaat tenslotte uit van

lineaire verbanden binnen organisaties welke een duidelijke oorzaak-gevolg relatie impliceren

tussen verschillende onderdelen van bijvoorbeeld een organisatie. Dit maakt de klassieke

benadering van veiligheid ontoereikend in deze omdat een socio-technisch systeem is

opgebouwd, zoals hierboven beargumenteerd, uit verscheidene met elkaar interacterende

sociale en technische elementen en onderdelen. Een klassieke benadering biedt derhalve geen

inzicht in complexe verbanden die onveiligheid kunnen veroorzaken. In het volgende deel

wordt beredeneerd waarom binnen socio-technische systemen een meer moderne benadering

van veiligheid meer gepast is.

Een systeem kan als complex worden beschouwd wanneer de manier waarop onderdelen

binnen dit systeem met elkaar interacteren niet inzichtelijk is. Dit staat tegenover systemen

die gekenmerkt worden door lineaire relaties waarbij wel duidelijk is hoe systeemonderdelen

met elkaar interacteren (Perrow, 1984). Een voorbeeld van een systeem dat gekenmerkt wordt

door lineaire relaties is een assemblagelijn. Binnen een assemblagelijn is namelijk volkomen

inzichtelijk hoe de verschillende onderdelen van de lijn elkaar benvloeden en welke

productievolgorde van belang is. Socio-technische systemen zijn per definitie complex omdat

tussen de sociale subsystemen, de technische subsystemen en de interface components must

interact in more than linear, sequential ways, and therefore may interact in unexpected ways

(Perrow, 1984, p. 83). Verder onderzoek dat heeft voortgeborduurd op deze stelling heeft

uitgewezen dat dit inderdaad zo is (bijv. Snook, 2000; Bakx & Nyce, 2012). Vanwege deze

complexiteit is een moderne veiligheidsbenadering meer gepast, omdat een dergelijke

benadering complexe verbanden probeert inzichtelijk te maken.

2.2 Klassieke versus moderne benadering van veiligheid

Woods et al. (2010) stellen dat de klassieke en moderne benadering op drie globale punten

cruciaal van elkaar verschillen. Het klassieke denken ziet een menselijke fout vaak als een

oorzaak van systeemongevallen. Een moderne veiligheidsbenadering nodigt daarentegen uit

24

dieper in de organisatie te kijken en te onderzoeken welke systeemeigenschappen en

interacties tot een ongeval hebben geleid of tot een ongeval zouden kunnen leiden, daar waar

een klassieke benadering stopt bij het opsporen van een menselijke fout en dit als de oorzaak

van het ongeval aanmerkt (Woods et al., 2010). Met andere woorden, binnen de moderne

veiligheidsbenadering wordt een menselijk fout gezien als een effect van reeds aanwezige

kwetsbaarheden in een socio-technisch systeem.

Op de tweede plaats kent een moderne veiligheidsbenadering de premisse dat zeggen wat

operators hadden moeten doen geen bevredigend antwoord geeft op de vraag waarom en hoe

een ongeval heeft kunnen plaatsvinden. In het moderne veiligheidsdenken gaat het er om in

kaart te brengen waarom het vertoonde gedrag van de operator voor hem of haar op dat

moment zinvol is geweest. In het kader hiervan wordt de term local rationality (Woods et

al., 2010, p. 125) vaak gebezigd. Hiermee wordt het lokale referentiekader van de operator

bedoeld, de 'bril' die hij op dat moment op heeft en waardoor hij de wereld om zich heen

interpreteert en beoordeelt. Er zijn nu eenmaal grenzen aan de hoeveelheid en

verscheidenheid aan data die een operator ontvangt, en er zijn grenzen aan het vermogen van

de operator om deze data in context te brengen (Woods et al., 2010).

Het laatste globale punt waarop de klassieke en moderne benadering van veiligheid cruciaal

van elkaar verschillen heeft te maken met de aanwezigheid van respectievelijk stabiliteit en

dynamiek binnen het te beschouwen systeem. Zo stellen Woods et al. (2010, p. 7) dat only by

constantly seeking out its vulnerabilities organizations [can] enhance safety. Hints voor

veilige beheersing liggen in het doorlopen van een continu en iteratief proces omdat de

situatie telkens wijzigt, al is het alleen maar door het eigen ingrijpen in het kader van het

beheersen. Dit onderstreept de dynamiek die inherent is aan socio-technische systemen. Deze

dynamiek staat tegenover de klassieke gedachte die een stabiel, perfect ontworpen systeem

veronderstelt. Als er fouten optreden ligt dit in de klassieke visie aan de feilbare operators;

het systeem is immers stabiel. Volgens dit denken moeten fout handelende operators dan ook

nog beter getraind of uit het systeem verwijderd worden en vervangen worden door nieuwe

operators. Hiermee kan volgens de klassieke benadering terug worden gegaan naar het punt

van stabiliteit van het systeem die het eerder had. Dit botst met de hierboven geconstateerde

realiteit van de dynamiek die inherent lijkt te zijn aan socio-technische systemen. Juist de

mensen in de organisatie zorgen ervoor dat de productie in het complexe systeem, afgestemd

op de dynamiek in de omgeving en binnen in het systeem, veilig plaats vindt. (On)veiligheid,

25

met andere woorden, is een dynamisch begrip (Amalberti, 2001) en is niet iets wat een

systeem heeft, maar wat een systeem doet (Dekker, Hollnagel, Woods & Cook, 2008).

De keuze voor de benadering van het luchtruimintegratievraagstuk op basis van moderne

veiligheidsliteratuur ligt voor de hand, omdat het moderne veiligheidsdenken beter aansluit bij

de eigenschappen van complexe socio-technische systemen. In de rest van dit hoofdstuk volgt

een analyse van theorien die aansluiten bij de context waarin UAS gaan opereren (complexe

socio-technische systemen). Om binnen de veelheid aan literatuur en stromingen binnen dit

gedachtegoed toch enigszins structuur aan te brengen, is een onderverdeling aangebracht

tussen structuurtheorien, procestheorien en theorien die zich niet per se onder n van deze

noemers laten brengen. Ik heb gekozen voor deze onderverdeling op basis van het concept

practical drift van Snook (2000, p. 182). Practical drift is the slow, steady uncoupling of

local practice from written procedure (p. 194). Met andere woorden, volgens Snook (2000)

is het van belang te onderkennen dat er een bepaald verschil optreedt tussen hoe

werkzaamheden en processen in de praktijk worden uitgevoerd en hoe ze voorgeschreven

staan. Het concept practical drift baseert Snook (2000) op zijn onderzoek naar een

luchtvaartongeval. Dit ongeval vond plaats door afstemmingsproblemen tussen verschillende

organisaties die tezamen opereerden in n complex socio-technisch systeem (Snook, 2000).

Juist daarom acht ik dit concept van belang en toepasbaar op het luchtruimintegratievraagstuk.

Het mechanisme practical drift en daarmee het ontstaan van ongevallen wordt door Snook

(2000) verklaard door variabelen in de organisatie die met de structuur van en processen in de

organisatie te maken hebben. Daarom kies ik er voor om binnen dit theoretische kader ook

deze onderverdeling te maken. Om het luchtruimintegratievraagstuk zo holistisch mogelijk te

benaderen maak ik gebruik van een derde categorie. Hieronder valt een tweetal andere

theoretische concepten die niet onder structuur- of procestheorien te scharen zijn.

2.3 Structuurtheorien

Normal Accident Theory

Perrow (1984) betoogt in zijn boek Normal Accidents: living with high risk technologies dat

er in de huidige wereld (socio-technische) systemen zijn die hoe dan ook onderhevig zijn aan

het ontstaan van ongevallen. Perrow (1984) onderscheidt incidenten van ongevallen in die zin

dat ongevallen van impact zijn op het systeem als geheel. Bij een ongeval komt volgens

Perrow, met andere woorden, de continuteit van de output van het systeem als geheel in het

26

geding. Perrow onderscheidt in systemen parts, units, subsystems en system (1984, p.

65), waarbij parts het laagste systeemniveau betreffen en het niveau system het gehele

systeem. Of een systeem gedoemd is ongevallen te produceren is volgens Perrow (1984)

afhankelijk van twee structuurvariabelen, namelijk interactions en coupling (p. 62).

De interacties binnen het systeem hebben volgens Perrow (1984) betrekking op de manier

waarop de verschillende systeemonderdelen met elkaar interacteren. Hij onderkent hierin twee

uitersten, namelijk lineaire interacties en complexe interacties. Lineaire interacties zijn

interacties die in een verwachte en bekende volgorde plaatsvinden, en die, zelfs wanneer een

ongeplande interactie plaats vindt, voor de operators zichtbaar zijn. Een voorbeeld van een

systeem waarin lineaire interacties optreden is een systeem dat producten aan de lopende band

produceert, zoals een autofabriek, omdat de volgorde waarin de handelingen elkaar opvolgen

inzichtelijk is. Complexe interacties zijn interacties die in onbekende, ongeplande en/of

onverwachte volgorde plaatsvinden. Deze interacties zijn ook niet direct inzichtelijk voor

operators. Een voorbeeld van een systeem dat gekenmerkt wordt door complexe interacties is

een kerncentrale. Binnen dit systeem wordt door de operators nooit volledig bevat hoe de

verschillende systeemonderdelen op elkaar ingrijpen (Perrow, 1984).

De tweede structuurvariabele die bepaalt of een systeem gedoemd is ongevallen te

produceren betreft de koppeling tussen de verschillende systeemdelen. Perrow (1984, p. 89)

maakt hierin een onderscheid tussen tight en loose koppeling. De mate van koppeling

wordt bepaald door de mate van wederzijdse afhankelijkheid tussen verschillende onderdelen

van een socio-technisch systeem (Weick, 1976; Perrow, 1984; Snook, 2000). Strak

gekoppelde systemen worden gekenmerkt door wederzijds afhankelijke processen. Een

voorbeeld hiervan is een halffabricaat in een chemische fabriek. Mede door het ontwerp van

strak gekoppelde systemen is het slechts mogelijk om volgens n vaste manier het systeem te

door lopen. Strak gekoppelde systemen hebben zeer weinig speling; de hoeveelheden die

benodigd zijn voor het productieproces zijn zeer precies vastgesteld en elke afwijking hiervan

brengt consequenties met zich mee (Perrow, 1984). Los gekoppelde systemen zijn systemen

waarbij veel ruimte en minder afhankelijkheid bestaat tussen de verschillende subsystemen. In

een los gekoppeld systeem zijn vertragingen in het primaire proces mogelijk, zijn variaties in

(productie)volgorde mogelijk, zijn variaties in (productie)methode mogelijk en hebben

verspillingen weinig invloed op het functioneren van het hele systeem (Perrow, 1984, p. 93-

94). Een voorbeeld hiervan is een school. Hierin kan een les in het rooster gemakkelijk

27

worden verplaatst naar een ander tijdstip, dag of lokaal zonder dat er moet worden ingeleverd

op de kwaliteit van het eindproduct (Perrow, 1984).

Figuur 2: Koppeling- en interactie-matrix (Perrow, 1984, p. 97).

Aan de hand van deze twee structuureigenschappen is een matrix met vier kwadranten op te

stellen (figuur 2). Perrow (1984) beargumenteert op basis van empirisch bewijs (diverse

ongevalsanalyses) dat de systemen in kwadrant twee (figuur 2) gedoemd zijn tot ongevallen

en komt op basis daar van tot de conclusie dat ongevallen in systemen die gekenmerkt worden

door complexe interacties en strakke koppeling normaal zijn. Met andere woorden,

ongevallen vloeien in deze systemen voort uit de eigenschappen die inherent zijn aan deze

systemen: because of the nature of the system itself; they are system accidents, and are

inevitable, or normal for these systems (Perrow, 1984, p. 330). Daarom wordt deze theorie

de Normal Accidents Theory (NAT) genoemd.

Hoe kan het dan zo zijn dat juist systemen die gekenmerkt worden door strakke koppelingen

en complexe interacties onderhevig zijn aan het ontstaan van systeemongevallen? Volgens

Perrow (1984) komt dit door de tegenstrijdige eisen die aan het management van dergelijke

systemen worden gesteld. Wanneer een systeem wordt gekenmerkt door complexe interacties

zou beslissingsbevoegdheid tot een laag niveau gedecentraliseerd moeten zijn. Dit omdat de

operators op het laagste niveau dan het beste om kunnen gaan met lokale variatie. Een

systeem dat gekenmerkt wordt door strakke koppelingen zou volgens Perrow (1984) echter

28

juist centraal aangestuurd moeten worden. Dit omdat alleen op het hoogste, centrale niveau

een goede regie van de aan elkaar gerelateerde systeemonderdelen plaats kan vinden.

Systemen gekenmerkt door strakke koppeling enerzijds en complexe interacties anderzijds

moeten dus, volgens de theorie, tegelijkertijd centraal en decentraal aangestuurd worden. Dit

is volgens Perrow (1984) een onoplosbare paradox die in het ergste geval resulteert in normal

accidents.

Wat opvalt, is dat Perrow (1984) naast de eerder genoemde voorbeelden van een productielijn

en een kerncentrale, ook de systemen aircraft en airways (p. 123) noemt. Dit is van belang

voor het luchtruimintegratievraagstuk. Perrow (1984) betoogt hierbij dat door

organisatorische en technologische ontwikkelingen, zoals uitbreiding van ATC en

internationale regelgeving en verbeterde radar- en navigatietechnologie, de complexiteit en

strakke koppeling in het luchtruim zijn afgenomen. Daarom plaatst hij airways rond het

midden van de matrix (figuur 2). Met het toevoegen van een nieuw subsysteem (UAS) aan het

luchtruimsysteem kan worden betoogd dat de interacties binnen het systeem wederom minder

verwacht, gepland en bekend worden. Er worden immers extra actoren aan het luchtruim

toegevoegd. Hierdoor kan theoretisch worden beargumenteerd dat het systeem van airways

zich naar het tweede kwadrant (figuur 2) kan gaan verplaatsen, waarmee de kans op het

ontstaan van een normal accident wordt vergroot.

Hoe nu om te gaan met de mogelijkheid dat met de integratie van het MALE UAS met de

bemande luchtvaart het luchtruimsysteem ook een high-risk system (Perrow, 1984, p. 342)

wordt? Perrow (1984) stelt voor om het catastrofaal potentieel van dergelijke systemen te

analyseren en af te wegen welke alternatieve methodes bruikbaar en rendabel zijn. Het lijkt er

op dat in Perrows matrix (figuur 2) met de positie in de matrix systemen eigenschappen

worden toegedicht die als gegeven moeten worden beschouwd. Dit geeft de NAT een

bepaalde mate van determinisme. Dit terwijl de structuur van het systeem weliswaar wel n

en ander over het systeem zegt, maar het ook zeker van belang is een systeem meer

procesmatig te benaderen. Inzichten uit de High Reliability Theory (HRT) (Sagan, 1993, p.

13) kunnen hier mogelijk uitkomst bieden. Voorstanders van de HRT betogen dat het veilig

opereren van complexe socio-technische systemen mogelijk is. De HRT richt zich hierbij

vooral op de processen in het systeem. Voordat wordt ingegaan op de procestheorien, wordt

eerst nog een andere structuurtheorie besproken.

29

Organisatieflexibiliteit

De tweede structuurtheorie wordt ontleend aan de bedrijfskunde. Volberda (1996) gaat in op

de vitaliteit van organisaties in hyper-competitieve omgevingen. Traditioneel gezien

ontwikkelden organisaties bepaalde kerncompetenties die moeilijk te evenaren waren en die

volledig besloten lagen binnen de organisatie. Hierdoor ontstonden lange, stabiele periodes

van competitie. Tegenwoordig worden concurrentie en competitie gekenmerkt door korte,

hevige vlagen, afgewisseld door regelmatige onderbrekingen (DAveni, 1994). Dit vindt

plaats in omgevingen die Volberda (1996, p. 359) hypercompetitive noemt. In deze

dynamische en competitieve omgevingen moeten organisaties over capaciteiten beschikken

die het mogelijk maken zich snel en flexibel aan te passen aan veranderende omstandigheden.

Leonard-Barton (1992) benadrukt dat kerncompetenties die voorheen tot succes leidden juist

tot rigiditeit kunnen leiden wanneer ze worden toegepast in deze hyper-competitieve

omgevingen. Dit komt omdat kerncompetenties ontleend worden aan diepgewortelde

vaardigheden, leiderschapsstijlen en technologien. Dergelijke organisaties zijn volgens

Leonard-Barton (1992) meer rigide en kunnen hun structuur minder snel aanpassen.

Waarom zijn dergelijke constateringen van belang voor het integratievraagstuk? Het

luchtruim, zeker met de nieuwe Luchtruimvisie (2012) en de mogelijke interactie van UAS

met de bemande luchtvaart, is te beschouwen als een hyper-competitieve omgeving. Meerdere

actoren proberen gebruik te maken van een heterogeen luchtruim en door dit gebruik hun

belangen na te streven. Deze actoren streven mogelijk verschillende en conflicterende doelen

na, waarbij zelfs de doelen van een actor intern met elkaar kunnen conflicteren.

Om in hyper-competitieve omgevingen mee te komen, moeten organisaties, zoals

aangegeven, flexibel zijn. Te weinig flexibiliteit zorgt er voor dat kerncompetenties leiden tot

rigiditeit en dat de organisatie vastroest. Te veel flexibiliteit kan er echter toe leiden dat de

organisatie geen houvast kan vinden in de turbulente, hyper-competitieve omgeving. Dit is

wat Volberda (1996, p. 360) the Paradox of Duality noemt (figuur 3).

30

Figuur 3: Paradox of Duality (Volberda, 1996, p. 361).

De paradox of duality is de uitkomst van de interactie tussen twee organisatievariabelen,

namelijk managerial task en organization design task (Volberda, 1996, p. 361). De

management-variabele heeft betrekking op de mate waarin managers kunnen reageren op

veranderingen in de hyper-competitieve omgeving. Deze variabele wordt benvloed door de

variteit aan middelen die managers ter beschikking staan om flexibel op te treden en door de

snelheid waarmee deze middelen aangewend worden. De ontwerp-variabele heeft betrekking

op de ontworpen structuur en controle van de organisatie.

De juiste mix van managerial task en organization design task bepaalt volgens Volberda

(1996) de flexibiliteit van de organisatie als geheel. Dit is een holistische benadering die

Volberda deelt met de moderne veiligheidstheorien. Omdat binnen het systeem gentegreerd

luchtruim nieuwe technologien en producten (UAS) worden gentroduceerd en toegepast en

omdat met de nieuwe Luchtruimvisie (2012) de oude strategie van statische segregatie

verlaten wordt, dient volgens Volberda (1996) dit systeem, of deze organisatie, te beschikken

over een afdoende mate van strategische flexibiliteit. Volberda (1996) betoogt namelijk dat

wanneer het ontmantelen van een oude strategie en het toepassen van nieuwe producten

samenvallen, er sprake moet zijn van strategische flexibiliteit om op de juiste manier om te

gaan met de paradox of duality. Omdat het luchtruim als n socio-technisch systeem

beschouwd kan worden, kan dit socio-technische systeem, die ook de integratie van UAS voor

31

haar rekening neemt, in analytische zin ook als n organisatie beschouwd worden. Daarom is

hier sprake van interne strategische flexibiliteit waarbij een grote variteit aan middelen en

een snelle implementatie van deze middelen deze interne strategische flexibiliteit mogelijk

moeten maken (Volberda, 1996).

De organisatievorm die volgens Volberda (1996, p. 368) het beste aansluit bij strategische

flexibiliteit is de flexible form. Deze flexibele organisaties worden gekenmerkt door een

hoge mate van beheersbaarheid. Dergelijke organisaties zijn namelijk erg behoedzaam voor

signalen uit de omgeving, waardoor ze zich snel aan kunnen passen. Flexibele organisaties

beschikken dan ook over non-routine technologie, een organische structuur en een

innovatieve cultuur (Volberda, 1996, p. 367). Het gebruik van non-routine technologie houdt

in dat er niet constant gebruik gemaakt wordt van dezelfde technologie of van hetzelfde

productieproces. Als voorbeeld van organische structuren noemt Volberda (1996) het ontstaan

van self-organizing teams. Dit type structuren is sterk gedecentraliseerd en kent geen strakke

hirarchie. Een innovatieve cultuur tenslotte, is een cultuur die verschillend geuit kan worden.

Dit houdt in dat er geen sprake is van n duidelijke organisatiecultuur met een eenduidige

strekking. Daarnaast is er binnen innovatieve culturen sprake van delegerend leiderschap om

informatie-uitwisseling te stimuleren (Volberda, 1996). De ultieme flexible form wordt

volgens de theorie gekenmerkt door (a)weinig officile regels, (b)weinig socialisatie in de

organisatie en (c)door een hoge tolerantie voor ambiguteit in de externe omgeving (Volberda,

1996). Of dit ook geldt binnen de context van het luchtruimintegratievraagstuk valt nog te

bezien.

De theorie van Volberda (1996) maakt inzichtelijk hoe organisaties ideaaltypisch zouden

moeten acteren in hyper-competitieve omgevingen. De inzichten uit deze holistische

benadering leiden er toe dat niet alleen de MLA over een afdoende mate van strategische

flexibiliteit moet beschikken, maar dat dit ook geldt voor overige subsystemen binnen het

luchtruimintegratievraagstuk. De flexible form blijkt volgens deze theorie de beste

organisatievorm te zijn en stelt een aantal ontwerpprincipes op die daarbij van belang zijn.

Deze ontwerpprincipes kunnen wellicht helpen bij het inrichten van het complexe socio-

technische systeem van het luchtruim. Zoals reeds bij de behandeling van de NAT is

aangegeven, maar ook door het adaptieve vermogen van de flexible form, is het echter ook

van belang procestheorien mee te nemen in dit theoretisch kader.

32

2.4 Procestheorien

High Reliability Theory

Organisaties die zich volgens de principes van de HRT organiseren worden High Reliability

Organizations (HROs) (Weick, Sutcliffe & Obstfeld, 1999, p. 31) genoemd. HROs worden

gedefinieerd als complexe socio-technische systemen die continu onder druk moeten

presteren maar desondanks minder ongevallen produceren dan men zou mogen verwachten

(Weick & Sutcliffe, 2007). De cognitieve infrastructuur van een systeem bepaalt op welke

manier de processen van de organisatie verweven zijn binnen de cognitieve capaciteiten van

het systeem (Weick et al., 1999). Juist de cognitieve infrastructuur die de HRT voorschrijft

zou er voor zorgen dat een organisatie adaptief kan leren en betrouwbaar kan produceren

(waarmee in deze theorie veilig wordt bedoeld) (Weick et al., 1999). De HRT is daarmee van

belang voor het veilig organiseren van UAS-luchtruimintegratie. Bovendien is een groot deel

van de HRT gebaseerd op analyses van het opereren van aircraft carriers en van het gebruik

van het luchtruim op en rond deze schepen. Ook door dit nauwe raakvlak met de praktijk van

UAS acht ik de HRT relevant, van belang en toepasbaar.

Het eerder beschreven vermogen tot adaptief leren en daarmee betrouwbaar produceren komt

volgens Weick en Sutcliffe (2007) doordat HROs hun opereren primair baseren op vijf

principes, namelijk gericht op verstoringen, weerzin tot simplificaties, gevoeligheid voor

operaties, toewijding aan veerkracht en eerbied voor expertise. De eerste drie principes

worden gebruikt om te anticiperen op verstoringen in het systeem. Daarom worden deze drie

principes anticipatie-principes genoemd. Het vierde en vijfde principe hebben betrekking op

het inperken van de gevolgen wanneer er zich eenmaal een verstoring heeft voorgedaan. Deze

vijf vormen gezamenlijk de cognitieve infrastructuur van het systeem welke het volgens de

HRT mogelijk maakt om opmerkzaam te organiseren (Weick & Sutcliffe, 2007).

Het eerste principe stelt dat een organisatie te allen tijde gericht dient te zijn op

verstoringen. De operators in een systeem moeten zogezegd actief op zoek gaan naar

weeffoutjes in het systeem. Deze houding is niet vanzelfsprekend. Mensen zijn immers

veelal gevoelig voor hints die hun vermoedens bevestigen (het systeem opereert veilig), in

plaats van deze te ontkrachten. Door continu gevoelig te zijn voor verstoringen in het

systeem, waken operators er voor deze verstoringen, hoe klein ook, te accepteren. Hiermee

wordt het systeem in beginsel meer betrouwbaar (Weick & Sutcliffe, 2007). Groepsdruk en

33

denken kunnen hier zowel negatief als positief aan bijdragen. Zo kunnen in een groep de

meningen van kritische personen door groepsdruk geneutraliseerd worden. Dit kan er toe

leiden dat de organisatie als geheel minder gericht is op verstoringen. Tegelijkertijd kan het

werken in een groep er voor zorgen dat de tunnelvisie van een enkel individu wordt

afgezwakt (De Bruine, Noordhoek & Tjon Tam Pau, 2010).

Als tweede stellen Weick en Sutcliffe (2007) dat een HRO een bepaalde weerzin tot

simplificaties zou moeten hebben. Dit leidt uitdrukkelijk tot een paradox: het gebruik van

simplificaties zorgt ervoor dat er stereotypering en uitvlakking van details plaats vindt. Het

eerste principe liet zien dat juist gevoeligheid voor kleine verstoringen (detailveranderingen)

van belang zijn. Tegelijkertijd zorgen simplificaties, zoals het categoriseren van

bedrijfsprocessen, er ook voor dat we de wereld om ons heen als geheel beter kunnen

begrijpen. Een mogelijke oplossing hiervoor zien Weick en Sutcliffe (2007) in het gebruik

van teams bestaande uit mensen met uiteenlopende expertises. Hierdoor kunnen zaken als

labels en categorien gebruikt blijven worden zonder (kritieke) details uit te vlakken.

Het derde principe dat HROs gebruiken om tot hun kenmerkende mate van veiligheid te

komen behelst het continu behouden van gevoeligheid voor operaties. Gevoeligheid voor

operaties is about seeing what we are actually doing regardless of what we were supposed to

do based on intentions, designs, and plans (Weick & Sutcliffe, 2007, p. 59). Door gevoelig te

blijven voor de finesses van operaties en de uitkomsten daarvan ontstaat weerzin tot

simplificeren en blijven operators in het complexe socio-technische systeem gericht op

verstoringen.

Als vierde principe noemen Weick en Sutcliffe (2007) toewijding aan veerkracht.

Veerkracht treedt op wanneer een systeem door kan gaan met produceren ondanks het

optreden van verstoringen in n of een aantal systeemonderdelen, of hier snel van weet te

herstellen. Veerkracht is hiermee een beheersingsmechanisme van het systeem omdat in

zekere zin met de mate van veerkracht de bandbreedte van veilig opereren wordt bepaald

(Weick & Sutcliffe, 2007). De HRT noemt drie componenten van veerkracht, namelijk

absorptie, herstel en lerend vermogen. Uit eerdere absorptie- en herstelprocessen worden

lessen getrokken over de veerkracht en de marges van het systeem en daarmee over de

beheersbaarheid en dus het in control zijn van de organisatie (Weick & Sutcliffe, 2007).

34

Het vijfde en laatste principe dat Weick en Sutcliffe (2007) aandragen stelt dat het van belang

is dat in complexe socio-technische systemen een functionele eerbied voor expertise

aanwezig is. Onder normale omstandigheden zal veelal de geldende hirarchie heersen, vaak

gekoppeld aan een bepaalde mate van beslissingsbevoegdheid. Juist tijdens het optreden van

een verstoring, zo wordt beweerd in de HRT, beschikken de hirarchisch hogere lagen van

een organisatie niet over het juiste inzicht in het opereren van het systeem. Juist de mensen op

de werkvloer en zij die de verstoring als eerste opmerken, zo redeneert de HRT verder,

kunnen de gevolgen van deze verstoring het beste inperken. Expertise is echter zelden

vertegenwoordigd in n enkel individu. Daarom is het volgens de HRT van belang om

kennis te bundelen en die heedful (Weick & Roberts, 1993, p. 361), oftewel constructief-

kritisch naar elkaar, met elkaar te laten interacteren. Expertise kenmerkt zich tenslotte door

een verzameling van gerelateerde kennis, ervaringen, theoretische kennis en vaardigheden.

Weick en Roberts (1993, p. 361) pleiten dan ook bij de inzet van expertise voor iets dat zij

heedful interrelating noemen: een collectief gedachtegoed en een interactiepatroon waarbij

een behoedzame, voorzichtige interactie plaats vindt tussen de informatie verwerkende

onderdelen van het systeem. Hierdoor ontstaat elke keer op een bepaalde plaats een unieke

situationele expertise (Weick & Roberts, 1993). Eerbied voor deze expertise is precies waar

Weick en Sutcliffe (2007) op doelen met het laatste principe.

Het gebruik van deze vijf principes leidt volgens aanhangers van de HRT tot een bepaalde

mate van mindfulness of opmerkzaamheid die de betrouwbaarheid (en daarmee de veiligheid)

verhoogt (figuur 4). Opmerkzaam organiseren vindt plaats om ambiguteit weg te nemen

(Kramer, 2004) en to narrow the range of possibilities, to reduce the number of might

occurs (Weick, 1979, p. 6). Het toepassen van deze vijf principes alleen biedt echter geen

roadmap to safety. Wanneer er geen ongevallen plaats vinden, hoe kan een HRO dan hard

maken dat dit juist komt door het toepassen van de vijf principes? Als een HRO toch te maken

krijgt met een ongeval zullen aanhangers van de HRT stellen dat de organisatie niet mindful

genoeg was, en dat de vijf principes niet op de juiste manier werden toegepast. Aanhangers of

tegenstanders van de HRT kunnen de uitkomsten van een socio-technisch systeem dus

rationaliseren (Shrivastava, Sonpar & Pazzaglia, 2009) en raken hierdoor verstrikt in een

cirkelredenatie. Daarnaast kan het continu op dezelfde wijze toepassen van de vijf principes

leiden tot rigiditeit, uit de theorie van organisatieflexibiliteit kwam al naar voren dat dit

onwenselijk is om de benodigde strategische flexibiliteit te bereiken (Volberda, 1996).

35

Figuur 4: De vijf principes leiden tot opmerkzaam organiseren en tot betrouwbaarheid

(thehealthcarelearningorganization.blogspot.nl, 2012).

Een ander centraal begrip in de HRT is sensemaking (Weick, 1995, p. 4). Letterlijk vertaald

is dit het betekenis verlenen aan iets, in dit geval aan de stimuli die worden waargenomen

tijdens opmerkzaam organiseren. Het verlenen van betekenis aan stimuli tijdens opmerkzaam

organiseren is van belang omdat dit bijdraagt aan het volgen van de vijf principes. Zo is een

organisatie beter in staat gevoelig te zijn voor operaties indien er op juiste wijze betekenis

verleend kan worden aan stimuli die iets zeggen over deze operaties. Het sensemaking-proces

is volgens de HRT dan ook de ruggengraat van de cognitieve infrastructuur van een systeem,

die moet leiden tot opmerkzaam organiseren. Het is een actief proces, waarbij continu

interactie tussen de wereld en het geheugen van de waarnemer plaats vindt.

Het sensemaking-proces vindt plaats om hypotheses over de werkelijkheid te onttrekken aan

de werkelijkheid. Dit gebeurt op basis van ambigue en onzekere informatie over die

werkelijkheid (figuur 5). Centraal in het model staat de eerder uitgelegde constructief-

kritische houding ten opzichte van waarnemingen.

Figuur 5: Sensemaking (Kramer, 2004, p. 82)

Het proces van sensemaking treedt in werking bij een verandering in de omgeving, in dit

geval het socio-technische systeem. In de enactment-fase vindt een bepaalde handeling plaats.

De waarnemer verricht een handeling die informatie oplevert omtrent de verandering die

zojuist heeft plaatsgevonden. Tijdens de selectiefase structureert de waarnemer de zojuist

waargenomen verandering. Op basis van de selectie stelt hij de hypotheses op over wat er

36

gaande is in de wereld om hem heen. Deze hypotheses worden opgeslagen in het geheugen

(retention). Deze herinneringen kunnen een positieve (+) invloed hebben op volgende

handelings- en selectiefases, bijvoorbeeld omdat een soortgelijke verandering eerder is

meegemaakt. Ze kunnen echter ook een negatieve (-) invloed hebben, omdat er door zeer op

elkaar lijkende veranderingen simplificaties op kunnen treden (zie ook het tweede principe

van de HRT) (Weick, 1979).

Inzicht in de beperkingen en mogelijkheden van dit proces (eerdere gevormde en opgeslagen

hypotheses kunnen voor- en nadelen hebben omdat ze door de retention-fase het handelen en

selecteren kunnen benvloeden, constructief-kritische houding staat centraal) zorgen ervoor

dat organisaties de vijf principes van de HRT op een meer juiste manier toe kunnen passen.

Hiermee worden opmerkzaamheid en betrouwbaarheid in de processen tijdens het opereren

van het systeem bereikt. Ook voor de MLA is dit van belang. Door gebruik te maken van de

principes en de onderliggende cognitieve infrastructuur die de HRT biedt, kan de MLA

immers het vermogen ontwikkelen onverwachte gebeurtenissen te ontdekken en te managen.

Dit leidt tot meer betrouwbare en maatschappelijk wenselijke uitkomsten van het integreren

van UAS.

Resilience Engineering

De tweede en laatste procestheorie die deel uitmaakt van dit theoretisch kader is het nog vrij

nieuwe concept Resilience Engineering (Dekker et al, 2008, p. 4). Net als bij de HRT gaat

het hierbij om het omgaan met en het managen van het onverwachte. Resilience Engineering

richt zich daarbij vooral op het door de HRT voorgeschreven principe van toewijding aan

veerkracht. Omdat veerkracht een bepaalde dynamiek impliceert schaar ik ook dit

theoretisch concept onder de procestheorien.

Ook Resilience Engineering neemt afstand van de klassieke veiligheidsopvattingen.

Resilience Engineering ziet fouten namelijk niet als het falen of niet functioneren van een of

meerdere systeemonderdelen, maar als gevolg van het noodzakelijk aanpassen van het

systeem aan een complexe realiteit (Dekker et al., 2008). Resilience Engineering is het

structureel inbouwen van veerkrachtige capaciteit (zie het vierde principe van de HRT) in

systemen (Woods, 2006). De nadruk ligt hierbij steeds meer op het opvangen van

veranderingen die buiten de origineel ontworpen prestatieparameters van het systeem liggen

(Woods, 2006).

37

Ik acht het concept Resilience Engineering van belang voor dit onderzoek omdat het concept

zich richt op opvangen van verstoringen buiten de ontwerpprincipes van systemen. Deze

verstoringen vereisen een snelle verandering in processen, strategien en

cordinatiemechanismen (Woods, 2006). Deze strekking sluit aan bij de vereisten die

voortvloeien uit het onbekende en iteratieve karakter van de luchtruimintegratie (Van Klinken

et al., 2012) en bij de adaptieve structuur voorgeschreven door Volberda (1996) en kan

mogelijk bijdragen aan een deel van de oplossing van het luchtruimintegratievraagstuk.

De mate van veerkracht kan op een aantal manieren uitgedrukt worden, zoals de beschikbare

buffercapaciteit binnen de performance envelope (Woods, 2006, p.22) , de balans tussen

organisatorische flexibiliteit en rigiditeit (zie ook de structuurtheorie over

organisatieflexibiliteit), de huidige plaats binnen de grenswaarden of de tolerantie voor het

bereiken van grenswaarden (Woods, 2006; Dekker et al., 2008).

Ieder systeem heeft een zogenaamde performance envelope. Deze geeft de grenzen aan voor

het veilig opereren van het systeem. Woods (2006) betoogt dat een systeem veerkrachtig kan

worden door nauwkeurig de grenswaarden hiervan te monitoren en deze grenswaarden waar

mogelijk aan te passen wanneer blijkt dat het systeem zich buiten de performance envelope

dreigt te begeven. Hiervoor is het volgens Woods (2006) noodzakelijk dat inzichtelijk wordt

gemaakt hoe het systeem de eigen veiligheid creert en wat de huidige positie van het systeem

binnen de performance envelope is. Deze positie zegt volgens de aanhangers van het

resilience-concept iets over de mate van veerkracht, en daarmee over de veiligheid, van het

systeem. Het kritisch bekijken van beslissingsprocessen op alle niveaus van het systeem kan

hier aan bijdragen, omdat die de bewegingen binnen de performance envelope induceren. Tot

zover het behouden van een veerkrachtig systeem.

Het ontwikkelen van indicatoren van resilience kan bijdragen aan het ontwerpen van een

veerkrachtig systeem. Tegelijkertijd is het nodig dat factoren die de veerkracht van de

organisatie ondermijnen gedentificeerd worden. Woods (2006) geeft hierbij het belang aan

van het onderkennen van de eerder genoemde conflicterende doelen. In het geval van UAS-

integratie valt hierbij te denken aan de commercile belangen van luchtvaartmaatschappijen

en operationele behoeftes van Defensie. Veerkrachtige systemen onderscheiden zich van niet-

veerkrachtige systemen doordat deze systemen de trade-offs van de verschillende

38

conflicterende doelen steeds inzichtelijk maken. Hieruit blijkt telkens weer dat de

positionering in de performance envelope van belang is voor de keuze van de interventie.

Een andere factor die het ontwerpen van veerkracht in een systeem kan benvloeden is de

cultuur binnen het systeem. Woods (2006) en Dekker et al. (2008) betogen dat een cultuur

waarin schuld en verantwoordelijkheid een belangrijke rol spelen het juist balanceren tussen

conflicterende doelen kan belemmeren. Dit komt volgens Woods (2006) doordat bij het

nastreven van een dergelijke cultuur een operator persoonlijk betrokken (bijvoorbeeld

financieel of juridisch) kan worden bij het balanceren tussen conflicterende doelen.

Het toepassen van de inzichten uit Resilience Engineering zal ultiem tot de volgende drie

organisatie-eigenschappen leiden (Dekker et al., 2008):

1. Veerkrachtige organisaties zijn in staat in organisatorische risicos in kaart te brengen

en de positie in de performance envelope te bepalen.

2. Veerkrachtige organisaties beschikken over voldoende middelen en een dusdanige

autoriteit dat bij het optreden van conflicterende doelen er niet op veiligheid

ingeleverd zal worden.

3. Veerkrachtige organisaties beschikken over middelen om te investeren in het

verbeteren van de positie binnen de performance envelope.

Een veerkrachtig systeem is hiermee in staat om het eigen functioneren voor, tijdens en na

veranderingen en verstoringen en met de blik op komende stresssituaties te behouden (Dekker

et al., 2008).

Het is voor de MLA van belang om de veerkracht in het luchtruimintegratievraagstuk

structureel te bewaken. Als borger van de veiligheid is de MLA namens de Minister van

Defensie verantwoordelijk voor de veiligheid van de militaire luchtvaart. Door interacties met

de bestaande, bemande luchtvaart en de betrokkenheid van veel stakeholders neemt het belang

van deze veerkracht voor de gehele maatschappij alleen maar toe, omdat door deze interacties

de kans ontstaat dat het systeem ongemerkt de grenswaarden van de performance envelope

bereikt.

39

2.5 Overige theorien en concepten

Organizational Learning

Levit en March (1988) definiren een lerende organisatie als een organisatie die lessen uit de

geschiedenis van de organisatie om weet te zetten in routines die het gedrag voor toekomstig

handelen kunnen reguleren. Dit proces wordt organizational learning (p. 320) genoemd.

Deze definitie is gebaseerd op een drietal observaties (Levit & March, 1988):

1. Gedrag in organisaties is gebaseerd op routines. Dit betekent dat een afweging tussen

gedragspatronen gemaakt wordt op basis van gepastheid of legitimiteit van een

handeling in plaats van op situationele logica.

2. Routines in organisaties zijn gebaseerd op eerdere ervaringen. Routines zijn hiermee

meer gebaseerd op interpretaties van het verleden dan op anticipaties op de toekomst.

3. Organisaties zijn gericht op het behalen van hun doelen.

Er zijn een aantal redenen waarom ik inzichten uit deze theorie van belang acht. Deze

inzichten kunnen richting geven aan het lerend vermogen van een organisatie. Allereerst

moeten volgens een meer moderne veiligheidsbenadering organisaties continu op zoek gaan

naar hun eigen zwakheden en kwetsbaarheden om een bepaald veiligheidsniveau te behalen

(Woods et al., 2010). Deze zoektocht impliceert een bepaalde ontwikkeling. Om de

resultaten van deze zoektocht te interneren, moet de organisatie zich deze resultaten eigen

maken. Dit is een lerend proces.

Ten tweede bleek uit de theorie van organisatieflexibiliteit dat de flexible form de beste

organisatiestructuur is om te opereren in omgevingen zoals het complexe socio-technische

systeem luchtruim. En van de eigenschappen van de flexible form is dat deze zich snel aan

kan passen aan een veranderende omgeving. Ook hiervoor dient de organisatie over lerend

vermogen te beschikken.

Ten slotte impliceren ook de beschreven procestheorien een bepaalde mate van dynamisch

aanpassingsvermogen. De HRT laat zien dat organiseren juist plaats v

Organisatorisch houvast voor veilige integratie van UAS en ...

Documents

Transcript of Organisatorisch houvast voor veilige integratie van UAS en ...