Organisatorisch houvast voor veilige integratie van UAS en ...
Transcript of Organisatorisch houvast voor veilige integratie van UAS en ...
-
NEDERLANDSE DEFENSIE ACADEMIE
Organisatorisch houvast
voor veilige integratie
van UAS en bemande
luchtvaart
Afstudeerscriptie Militaire
Bedrijfswetenschappen
Auteur: Luitenant ter Zee der derde klasse R. van Klinken [306009] [89.08.19.098]
Begeleiders: Majoor G.C.H. Bakx, MSc. [NLDA] en Kapitein M.D. de Pee, bc. [MLA]
Scriptievoorzitter: Mr. Dr. Ir. L.M.M. Royakkers [NLDA/TUE]
Scriptieverdediging: dinsdag 12 maart 2013, Faculteit Militaire Wetenschappen, Breda
-
1
-
2
Managementsamenvatting
Aanleiding
Defensie is voornemens onbemande vliegtuigen (Medium Altitude Long Endurance
Unmanned Aircraft Systems, MALE UAS) aan te schaffen die op een zelfde hoogte
opereren als de reeds bestaande, bemande luchtvaart (Hillen, 2011). Voor wat betreft de inzet
bestaan twee mogelijkheden: veilig integreren met de bemande luchtvaart of segregeren
waardoor er berhaupt geen interactie plaats vindt. De International Civil Aviation
Organization (ICAO) schrijft voor dat totdat UAS een gelijkwaardig niveau van veiligheid als
de huidige luchtvaart bereiken en aan de Air Traffic Control-eisen kunnen voldoen, segregatie
plaats zal vinden. In het rapport komen echter een viertal redenen naar voren waarom
segregeren onwenselijk is. Binnen het Ministerie van Defensie is de Militaire Luchtvaart
Autoriteit (MLA) onder andere belast met het uitgeven van regelgeving ten behoeve van een
veilige inzet van militaire luchtvaartuigen. Daarom valt het oplossen van de integratie-
problematiek mede onder de hoede van de MLA.
Doelstelling
Het doel van het onderzoek is een bijdrage te leveren aan het veilig organiseren van de
integratie van het MALE UAS met de bemande luchtvaart door het ontwerpen van een
raamwerk dat de MLA houvast kan bieden bij het in goede en veilige banen leiden van een
eventuele integratie van het MALE UAS met de bemande luchtvaart.
Aanbevelingen voor de MLA
De aanbevelingen hier genoemd zijn gebaseerd op de interviews die gedaan zijn in het kader
van dit onderzoek. Het model dat ik heb aangedragen geeft aan dat het veilig organiseren van
complexe socio-technische systemen (zoals het luchtruim) juist een iteratief karakter moet
hebben. Onderstaande aanbevelingen zijn dan ook niet onbeperkt houdbaar, maar volgen uit
een momentopname.
1. Op politiek, interdepartementaal en/of (inter)nationaal niveau dient een visie
uitgesproken te worden over hoe we in het West-Europese luchtruim om gaan met
(MALE ) UAS en luchtruimintegratie. Hoe kan dit het best vertaald worden naar
Nederland en de Nederlandse Defensieorganisatie?
2. Richt een krijgsmacht-brede Defensie-projectgroep op. Deze projectgroep dient
minstens te bestaan uit afvaardiging van ALL, ALO, ALC, verwervers en
-
3
behoeftestellende OPCOs. De regie binnen deze projectgroep ligt bij het OPCO dat
het meest gebaat is bij het gebruik van UAS.
3. De Defensie-projectgroep dient de volgende drie vragen met interne consensus te
beantwoorden:
a. Wat is het beoogde gebruik van (militaire) (MALE ) UAS en het luchtruim
met het oog op de Luchtruimvisie (2012) en bestaande en zich ontwikkelende
SES-initiatieven?
b. Welk niveau en welke manier van luchtruimintegratie zijn hier minimaal voor
benodigd?
c. Welke interdepartementale en (inter)nationale UAS-fora zijn van belang ten
aanzien van wet- en regelgeving?
4. Gebruik de richtlijnen, aanvullingen en voorbeelden zoals die aangegeven zijn in de
rechterkolom van het model (tabel 2) om invulling te geven aan het balanceren tussen
centrale en decentrale aansturing, informatie-uitwisseling, local rationality en heedful
interrelating.
Motivatie
Het onderzoek betoogt dat door de eigenschappen van het systeem luchtruim het luchtruim
als een complex socio-technisch systeem beschouwd kan worden. Na het bestuderen van
holistische en moderne veiligheids- en managementtheorien zijn een viertal principes
gedentificeerd die het veilig organiseren van dergelijke complexe socio-technische systemen
mogelijk zouden moeten maken. Deze principes zijn het balanceren tussen centrale en
decentrale aansturing, het uitwisselen van informatie, het in kaart brengen van en rekening
houden met verschillende local rationalities en het gebruik van een proces genaamd heedful
interrelating. Door interviews en een Delphi-panel met UAS-experts van de MLA zijn deze
principes vertaald naar de praktijk van het luchtruimintegratievraagstuk en de rol van de MLA
hierin. Op basis van deze resultaten is een model opgesteld. De bevindingen zijn voorgelegd
aan een aantal in het vooronderzoek gedentificeerde en van belang zijnde stakeholders
binnen dit vraagstuk. Op basis hiervan is het eerder opgestelde model aangepast.
-
4
Summary
The Dutch Minister of Defense has the intention to procure Medium Altitude Long Endurance
Unmanned Aircraft Systems (MALE UAS). Those MALE UAS conduct their operations
on the same flight level as the already existing, manned aviation (Hillen, 2011b). In terms of
deployment, there are two options: safe integration with manned aviation or segregation;
which means there will not be any form of interaction between manned and unmanned
aviation at all. The International Civil Aviation Organization (ICAO) dictates that in order to
safely integrate with manned aviation, UAS should reach at least an equivalent level of safety
as manned aviation and should be able to comply with existing Air Traffic Management
(ATM). The research however shows that there are four reasons why segregation is not
desirable. The Military Aviation Authority (MAA) is on behalf of the Minister of Defense
charged with publishing regulations for the safe deployment of military aviation. Because of
this, the MAA is charged with solving the previous mentioned integration problems.
To contribute to a possible solution of the integration problems the following research
question has been formulated to guide the research:
How could a framework based on modern safety- and organizational sciences that
could help the MAA in the process of safely integrating MALE UAS with manned
aviation, look like?
First, a deskresearch has been carried out. This deskresearch analyzed important theories from
the modern safety- and organizational sciences. This analysis produced four principles that are
important within the context of safely organizing. It turned out that, in order to safely organize
organizations like the airspace, it is important to reach and maintain the right balance
between centralized and decentralized control, to exchange the right information throughout
the whole system, to map out the local rationality of the stakeholders and, when possible, act
in accordance with this local rationality and to maintain a process of heedful interrelating
between the stakeholders. Continuous, iterative and combined use of those four principles
should enable the safe organization of certain complex socio-technical systems.
Secondly, the results of the deskresearch were empirically tested. Three rounds of data
collection helped to translate the theoretical principles to the case of airspace integration.
-
5
During the first round, MAA-employees were asked how they would translate the four
principles to the case. The synthesis of these first interviews was propounded to all the
surveyed MAA-employees in a panel using the Delphi method. The results of the Delphi
panel were propounded to employees of four important stakeholders in the airspace
integration process in order to make crucial adjustments. The combined results of these three
rounds of data collection have produced a model (table 2) that can contribute to the safe
organization of airspace integration of MALE UAS with manned aviation.
The first conclusion of the research refers to the model (table 2). The model consists of the
four principles and the momentary and exemplary interpretations and translations of those
principles to the case of airspace integration. The second conclusion refers to the theoretical
and scientific value of the resulting model. The deskresearch and the operationalization of the
four basic principles have resulted in a more general model that can help to safely organize
certain complex socio-technical systems. This is displayed in the left and middlemost column
of the model (table 2). The third and last conclusion of this research reads that qualified
authorities need to decide whether the resulting model needs further fine-tuning or that the
resulting model should be implemented and executed. Implementation and execution of the
model should take place in a learning and adapting process.
The recommendations that result from the research are subdivided into three categories. The
first category of recommendations refers to further fine-tuning of the model. The second
category involves recommendations on how to implement and execute the developed model.
The last category of recommendations refers to the scientific community involved with
research on complex socio-technical systems.
-
6
Samenvatting
Defensie is voornemens onbemande vliegtuigen (Medium Altitude Long Endurance
Unmanned Aircraft Systems, MALE UAS) aan te schaffen die op een zelfde hoogte
opereren als de reeds bestaande, bemande luchtvaart (Hillen, 2011b). Voor wat betreft de
inzet bestaan twee mogelijkheden: veilig integreren met de bemande luchtvaart of segregeren
waardoor er berhaupt geen interactie plaats vindt. De International Civil Aviation
Organization (ICAO) schrijft voor dat totdat UAS een gelijkwaardig niveau van veiligheid als
de huidige luchtvaart bereiken en aan de Air Traffic Control-eisen kunnen voldoen, segregatie
plaats zal vinden. In het rapport komen echter een viertal redenen naar voren waarom
segregeren onwenselijk is. Binnen het Ministerie van Defensie is de Militaire Luchtvaart
Autoriteit (MLA) onder andere belast met het uitgeven van regelgeving ten behoeve van een
veilige inzet van militaire luchtvaartuigen. Daarom valt het oplossen van de integratie-
problematiek mede onder de hoede van de MLA.
Om een bijdrage te leveren aan het oplossen van de hierboven geschetste problematiek, staat
de volgende hoofdvraag centraal in dit onderzoek:
Hoe zou een op moderne veiligheidstheorien en organisatiekunde gebaseerd
raamwerk, dat de MLA in haar rol van borger van de veiligheid op weg naar veilige
luchtruimintegratie van het MALE UAS kan helpen, er uit kunnen zien?
Om deze hoofdvraag te beantwoorden zijn eerst belangrijke veiligheidstheorien en theorien
uit de organisatiekunde middels een bureauonderzoek geanalyseerd. Uit deze analyse blijkt
dat voor het veilig organiseren van organisaties zoals het luchtruim het van belang is dat er
een juiste balans tussen centrale en decentrale aansturing bestaat, dat er een goede informatie-
uitwisseling tussen de actoren plaats vindt, dat de local rationality van de verschillende
actoren in kaart wordt gebracht en dat hier rekening mee gehouden wordt en dat de actoren
behoedzaam met elkaar interacteren. Het continue, iteratieve en gecombineerde gebruik van
deze principes zou veilig organiseren van bepaalde complexe socio-technische systemen
mogelijk maken.
Het empirische deel van het onderzoek is uitgevoerd in drie dataverzamelingsronden. Tijdens
de eerste dataverzamelingsronde is aan medewerkers van de MLA gevraagd hoe zij de vier
-
7
theoretisch gevonden principes vertaald zien naar de praktijk van luchtruimintegratie. Tijdens
de tweede dataverzamelingsronde is, om meer consensus te bereiken, de synthese van de
eerste interviews voorgelegd aan dezelfde MLA-medewerkers in een Delphi-panel. De
uitkomst hiervan is tijdens de derde dataverzamelingsronde voorgelegd aan een aantal externe
stakeholders van de MLA. Hun opmerkingen en kritieken zijn, voor zover relevant, verwerkt.
Op basis van deze drie dataverzamelingsronden is een model (tabel 2) opgesteld dat bij kan
dragen aan het veilig organiseren van luchtruimintegratie.
De eerste conclusie van het onderzoek heeft betrekking op het model (tabel 2). Het model
bevat vier basisprincipes die vervolgens in een momentopname als een voorbeeld zijn
uitgewerkt in een aantal richtlijnen en te beantwoorden vragen. De tweede conclusie van dit
onderzoek is dat er met het bureauonderzoek, het hieruit voortvloeiende theoretische kader en
het operationaliseren van de principes door middel van de casestudy een meer theoretische
bodem is gelegd voor hoe complexe socio-technische systemen die gekarakteriseerd worden
door bepaalde kenmerken veilig georganiseerd kunnen worden. Dit is weergegeven in de
linkse en middelste kolom van het model (tabel 2). De derde en laatste conclusie van dit
onderzoek luidt dat er door bevoegd gezag een keuze gemaakt moet worden tussen het verder
finetunen van het ontwikkelde model (tabel 2) of het al adaptief en lerend implementeren en
uitvoeren van het model.
De aanbevelingen die volgen uit dit onderzoek vallen uiteen in drie categorien, namelijk
aanbevelingen voor het finetunen van het ontwikkelde model, aanbevelingen voor het
implementeren en uitvoeren van het ontwikkelde model en aanbevelingen voor de
wetenschappelijke gemeenschap die zich bezig houdt met onderzoek naar het veilig
organiseren van complexe socio-technische systemen.
-
8
Inhoudsopgave
Managementsamenvatting .......................................................................................................... 2
Summary .................................................................................................................................... 4
Samenvatting .............................................................................................................................. 6
Afkortingenlijst ........................................................................................................................ 10
Hoofdstuk 1 Inleiding ............................................................................................................ 12
1.1 Aanleiding ...................................................................................................................... 12
1.2 Probleemstelling ............................................................................................................. 12
1.3 Relevantie ....................................................................................................................... 16
1.4 Doelstelling .................................................................................................................... 17
1.5 Onderzoeksmodel ........................................................................................................... 18
1.6 Langgerekte formulering van het onderzoeksmodel ...................................................... 19
1.7 Vraagstelling .................................................................................................................. 19
1.8 Leeswijzer ...................................................................................................................... 20
Hoofdstuk 2 Theoretisch kader ............................................................................................. 21
2.1 Socio-technische systemen en complexiteit ................................................................... 21
2.2 Klassieke versus moderne benadering van veiligheid .................................................... 23
2.3 Structuurtheorien .......................................................................................................... 25
2.4 Procestheorien .............................................................................................................. 32
2.5 Overige theorien en concepten ..................................................................................... 39
2.6 Theoretische synthese..................................................................................................... 44
Hoofdstuk 3 Onderzoeksmethoden ....................................................................................... 49
3.1 Onderzoeksstrategie ....................................................................................................... 49
3.2 Dataverzameling en data-analyse ................................................................................... 50
3.3 Kwaliteitsaspecten .......................................................................................................... 51
Hoofdstuk 4 Resultaten ......................................................................................................... 53
4.1 Resultaten interviews en Delphi-panel MLA ................................................................. 53
4.2 Een model op basis van de theorie en input van de MLA .............................................. 63
4.3 Oordeel, kritieken en aanvullingen van externe stakeholders ........................................ 68
4.4 Een model voor organisatorisch houvast........................................................................ 75
Hoofdstuk 5 Reflectie, conclusies en aanbevelingen ............................................................ 81
5.1 Reflectie ......................................................................................................................... 81
5.2 Conclusies ...................................................................................................................... 84
5.3 Aanbevelingen ................................................................................................................ 85
Referenties ................................................................................................................................ 87
Bijlage 1 Topic-list interviews MLA medewerkers .............................................................. 92
Bijlage 2 Uitwerking en codering interviews MLA medewerkers........................................ 93
-
9
Bijlage 3 Tabellen per topic interviews MLA ..................................................................... 104
Bijlage 4 Uitwerking discussievragen panel MLA-medewerkers ....................................... 108
Bijlage 5 Handreikingen voor veilige integratie vanuit het MLA-panel............................. 113
Bijlage 6 Oordeel, kritieken en aanvulling van externe stakeholders ................................. 114
Bijlage 7 Tabel oordeel, kritieken en aanvulling van externe stakeholders ........................ 129
-
10
Afkortingenlijst
ALC Afdeling Luchtvaarttechniek en Certificering (MLA)
ALL Afdeling Luchthavens en Luchtruim (MLA)
ALO Afdeling Luchtoperaties (MLA)
AMO/ISR Afdeling Missie Ondersteuning/Intelligence, Surveillance &
Reconnaissance (CLSK)
ATC Air Traffic Control
ATM Air Traffic Management
B-VLOS Beyond Visual Line of Sight
CDS Commandant der Strijdkrachten
CLSK Commando Luchtstrijdkrachten
DGB Directoraat-Generaal Bereikbaarheid
DMO Defensie Materieel Organisatie
ELOS Equivalent Level of Safety
HRO High Reliability Organization
HRT High Reliability Theory
I&M Ministerie van Infrastructuur en Milieu
ICAO International Civil Aviation Organization
IFR Instrument Flight Rules
ILenT Inspectie Leefomgeving en Transport
IPRO Integratieproject (NLDA)
MAA Military Aviation Authority
MALE UAS Medium Altitude Long Endurance Unmanned Aircraft System(s)
MLA Militaire Luchtvaart Autoriteit
NAT Normal Accidents Theory
NLDA Nederlandse Defensie Academie
OPCO Operationeel Commando
RI&E Risico Inventarisaties & Evaluaties
SES Single European Sky
SSP State Safety Programme
TUE Technische Universiteit Eindhoven
UAS Unmanned Aircraft System(s)
VFR Visual Flight Rules
-
11
VLOS Visual Line of Sight
-
12
Hoofdstuk 1 Inleiding
1.1 Aanleiding
Met een beleidsbrief (Hillen, 2011a) heeft de Minister van Defensie aangegeven te willen
intensiveren op een aantal gebieden. En van die gebieden betreft de verwerving van een
MALE UAS (Medium Altitude Long Endurance Unmanned Aircraft System). Het project
omvat vier vliegtuigen met sensoren, grondelementen voor de bediening en de apparatuur
voor dataverwerking (Hillen, 2011a, p. 40). De keuze is juist op een dergelijk systeem
gevallen omdat dit systeem primair uitgerust is voor optreden op het militair-operationele
niveau, maar ook zeer geschikt is voor inzet op het tactische en militair-strategische niveau.
Dit sluit aan bij de Nederlandse (inter)nationale ambities, daarnaast drukt de aanschaf van een
meer allround systeem minder zwaar op het budget (Hillen, 2011b). De vluchthoogte van het
platform beslaat een bandbreedte tussen de 10.000 en 30.000 voet (ca. 3 10km). Deze
bandbreedte wordt ook veel gebruikt door andere luchtruimgebruikers, zowel militair als
civiel. Er zijn twee opties ten aanzien van het samenspel tussen het nieuwe MALE UAS en
de bestaande, bemande luchtvaart: veilig integreren met de bemande luchtvaart, of segregeren
waardoor er berhaupt geen interactie plaats vindt.
1.2 Probleemstelling
De internationale consensus is dat de integratie van onbemande luchtvaartuigen met de
bemande luchtvaart geen negatieve invloed mag hebben op het huidige veiligheidsniveau van
de (bemande) luchtvaart en dat er sprake moet zijn van een naadloze inpassing in het huidige
Air Traffic Management (ATM) (ICAO, 2010). In dit kader wordt vaak gesproken over het
verkrijgen van een equivalent level of safety (ELOS). Wat een dergelijk gelijkwaardig
veiligheidsniveau precies inhoudt, wordt nergens eenduidig gedefinieerd. De ICAO
(International Civil Aviation Organization) legt de verantwoordelijkheid voor het beslissen
wat een ELOS inhoudt bij haar lidstaten. Lidstaten dienen dit op te nemen in een State Safety
Programme (SSP) (ICAO, 2011). De ICAO hanteert zelf de volgende richtlijn voor een
ELOS:
UAS operations must be as safe as manned aircraft insofar as they must not
present a hazard to persons or property on the ground or in the air that is any
greater than that attributable to the operation of manned aircraft of equivalent
-
13
class or category. In general, UAS should be operated in accordance with the
rules governing the flight of manned aircraft and meet equipment requirements
applicable to the class of airspace within which they intend to operate. UAS must
be able to comply with ATC [Air Traffic Control, RvK] instruction
(ICAO, 2011, p. 35).
Uit de ICAO-omschrijving blijkt dat de ICAO belang hecht aan de voorwaarde that they
[UAS, RvK] meet the same safety standards as equivalent classes of aircraft (Armstrong,
2010, p. 8). Het vaststellen van safety standards geschiedt vaak door het berekenen van
faalkansen. Dit is een vrij mathematische methode waarbij berekend wordt hoe groot de kans
is op een ongeval, en waar de acceptabele grens ligt. Amalberti (2001) plaatst de
commercile, gereguleerde luchtvaart (waar het MALE UAS mee gaat interacteren bij
integratie) in de categorie van ultra-safe systems (p. 111). De acceptabele kans op falen voor
deze systemen ligt al jaren vast rond de 510-7
. Dit betekent dat n disastrous accident (p.
110) per 50.000.000 gebeurtenissen acceptabel wordt geacht.
Dit lijkt een objectieve grens. Het MALE UAS hoeft slechts te voldoen aan deze eis en er
zal sprake zijn van een ELOS. Maar wat is een disastrous accident? Als er mensenlevens
verloren gaan? Als een vliegtuig neerstort? Als het schadebedrag een bepaalde grens
overschrijdt? Hoe houdbaar zijn deze bestaande definities als er een nieuw (onbemand!)
systeem wordt gentroduceerd, en er zich onvoorziene interacties voor gaan doen? En indien
de veiligheid afgemeten wordt aan het aantal disastrous accidents wat doet de organisatie dan
met bijna-ongevallen, incidenten en situaties waarin het bijna fout gaat? Worden deze
gerapporteerd? Dit is onder andere afhankelijk van de cultuur in de organisatie en heeft grote
invloed op het handelen van de mensen en de veiligheid in de organisatie (Vaughan, 1996).
De veiligheid van dergelijke ultra-safe systems volgt dus eerder uit een organisatorische
(politieke) compromis dan uit een wetenschappelijke onderbouwing (Amalberti, 2001).
Wellicht dat de ICAO daarom heeft gekozen voor een gelijkwaardig (equivalent) niveau van
veiligheid in plaats van een gelijk (equal) niveau van veiligheid.
De door de ICAO gehanteerde definitie kent dus nogal wat interpretatiemogelijkheden. UAS
kunnen misschien nooit voldoen aan deze definitie, juist omdat de term zo ambigu is. Het
ambigue taalgebruik (huidige veiligheidsniveau en naadloze inpassing) laat hiaten en
limieten in het huidige mathematisch georinteerde denken over luchtvaartveiligheid zien.
-
14
Binnen deze denkwijze wordt het falen van een systeem verklaard door het falen van
onderdelen van dit systeem (vandaar het bepalen van de grens van de 510-7
op basis van
faalkansen van systeemcomponenten). Moderne veiligheidsliteratuur neemt afstand van dit
mechanistische, reductionistische gedachtegoed en heeft aangetoond dat er binnen complexe
systemen vaak geen duidelijk input-output relatie bestaat (bijv. Perrow, 1984). De alinea
hierboven laat zien dat het mechanistische denken geen oplossing biedt bij het nadenken over
het bereiken van een ELOS. Daarom is het van belang dit vanuit de moderne
veiligheidsliteratuur te benaderen.
Ook op nationaal niveau vindt de internationale ICAO-eis invulling. De nieuwe
Luchtruimvisie (2012) onderschrijft de ICAO-eis van een ELOS impliciet: Totdat een
oplossing is gevonden voor de luchtruimintegratie ten aanzien van de UAS, opereren deze
systemen afgezonderd(DGB & MLA, 2012, p. 25). Andere, relevante gevolgen van het
invoeren van de nieuwe Luchtruimvisie laten zich pakkend samenvattend in het volgende
citaat uit de beleidsbrief opgesteld bij het in werking treden van de nieuwe visie:
Het onderscheid tussen het civiele en het militaire deel van het luchtruim vervalt
hiermee. Deze opzet vraagt van luchtruimgebruikers dat ze niet meer luchtruim
claimen dan strikt noodzakelijk is voor het uitvoeren van hun activiteiten. Tevens
vergt dit een zorgvuldige en tijdige planning van de activiteiten. Defensie beschikt
niet langer over de mogelijkheid delen van het luchtruim vast aan te wijzen voor
exclusief militair gebruik. Daar staat tegenover dat de militaire oefenbehoefte
uitgangspunt blijft in het planningsproces om te komen tot allocatie van
luchtruim (Atsma & Hillen, 2012, p. 3).
Als gevolg van de eisen van de ICAO en de vertaling hiervan naar de Nederlandse
Luchtruimvisie ontstaat een paradox. De ICAO-eis resulteert op nationaal niveau in segregatie
totdat een ELOS bereikt is, maar segregatie lijdt juist tot een vermindering van de missie-
effectiviteit en een vermindering van de flexibiliteit van het luchtruim. Dit terwijl met de
nieuwe Luchtruimvisie (2012) juist geprobeerd wordt flexibeler om te gaan met het luchtruim.
Allerhande actoren met belang bij een flexibel luchtruim zullen een langdurige afbreuk aan de
beoogde flexibiliteit op de lange termijn niet accepteren. Deze paradox vormt een onderdeel
van het luchtruimintegratievraagstuk waarmee Defensie met het aanschaffen van het MALE
UAS wordt geconfronteerd.
-
15
Bij het louter gesegregeerd inzetten van het MALE UAS zullen hier telkens gebieden voor
moeten worden gereserveerd. Dit zal ten koste gaan van de totale missie-effectiviteit van
Defensie. Enerzijds komt dit doordat met het UAS hierdoor meer planmatig (en dus minder
flexibel) zal moeten worden geoefend/opgetreden. De gebieden moeten tenslotte, behoudens
inzet in extremis, worden gereserveerd. Anderzijds zal het betreffende deel van het toch al
beperkte Nederlandse luchtruim gesloten zijn voor de inzet van overig militair verkeer.
Een volgend argument waarom integratie op de lange termijn noodzakelijk is, heeft te maken
met het trainen, opwerken en gereed stellen voor operationele inzet. Door een scheiding
tussen bemande en onbemande luchtvaart is (oefenen met) integratie met bemande militaire
luchtvaart ook niet mogelijk. Dit kan ten koste gaan van de operationele effectiviteit van het
luchtwapen in zijn geheel. Afbreuk aan effectieve inzet is zeer ongewenst, aangezien
effectieve inzet n van de zeven essentile operationele functionaliteiten is (Defensiestaf,
2005). In inzetgebieden wordt het noodzakelijk geacht gentegreerd (joint en/of combined) op
te kunnen treden, of in ieder geval niet volledig gentegreerd maar wel gebruik makend van
hetzelfde operatiegebied te kunnen opereren. Een voorbeeld hiervan is de mogelijkheid
binnen een korte tijdspanne gebruik te kunnen maken van een gemeenschappelijke airstrip.
Indien integratie nodig is in uitzendgebieden, moet dit wel getraind kunnen worden.
Mogelijkheden tot verkenning van gecombineerde inzet (militair bemand en militair
onbemand) worden door segregatie ontnomen.
Ten slotte zal segregatie ten koste gaan van het commercieel gebruik van het luchtruim (en
daarmee ten koste van de economische positie van Nederland). Uiteindelijk zou segregatie
hierdoor zelfs kunnen leiden tot minder goodwill van de bevolking jegens Defensie. Dit is
onwenselijk in een tijd waarin Defensie op allerlei manieren probeert meer maatschappelijk
draagvlak te creren.
Puur gesegregeerde inzet is voor Defensie op de lange termijn dus onacceptabel. Binnen het
Ministerie van Defensie is de Militaire Luchtvaart Autoriteit (MLA) onder andere belast met
het uitgeven van regelgeving ten behoeve van een veilige inzet van militaire luchtvaartuigen.
Hierbij valt te denken aan het opstellen van luchtvaarteisen, beleid, aanwijzingen en het geven
van adviezen aan militaire luchtruimgebruikers (Overheid, 2012). Vanuit deze rol is de MLA
de borger van de veiligheid van de militaire luchtvaart. Bij het oplossen van het
luchtruimintegratievraagstuk vervult de MLA dan ook een spilfunctie. Idealiter is de MLA de
-
16
controller van het vraagstuk en zal binnen het Ministerie van Defensie het voortouw moeten
nemen bij het oplossen van dit vraagstuk.
De kern van het probleem is dat integratie van het MALE UAS noodzakelijk is of zal
worden. Bij deze integratie moet er sprake zijn van een ELOS, maar de MLA (als borger van
de veiligheid van de militaire luchtvaart) weet niet welk pad hiervoor bewandeld dient te
worden. De oorzaak hiervan ligt voor een groot deel in het feit dat de MLA geen ervaring
heeft met integratie van onbemande luchtvaart met bemande luchtvaart. Ook internationaal is
er op dit gebied weinig ervaring; de ontwikkeling van het integratieproces bevindt zich ook
internationaal nog in de kinderschoenen.
1.3 Relevantie
De Minister van Defensie heeft met een beleidsbrief (Hillen, 2011a) de behoefte uitgesproken
om gemeenschapsgeld te investeren in het MALE UAS. Om effectieve en efficinte inzet
van dit systeem te waarborgen en daarbij het gebruik van het luchtruim door de bemande
militaire en civiele luchtvaart niet te hinderen is integratie noodzakelijk. De eis is dat dit
veilig gebeurt. De MLA is op zoek naar inzichten die bij kunnen dragen aan het oplossen van
dit vraagstuk. Het integratieproces heeft nog nooit eerder heeft plaatsgevonden en met de
aanschaf van UAS is gemeenschapsgeld gemoeid. Daarnaast is veiligheid een groot
maatschappelijk belang. Daarom is het voor de MLA als cordinator van belang dat hier
onderzoek naar gedaan wordt. Voor Defensie is dit onderzoek van belang omdat segregatie
ten koste kan gaan van de missie-effectiviteit en trainen, opwerken en gereed stellen voor
operationele inzet in het geding kunnen komen.
Voor de bestaande wetenschappelijke literatuur en veiligheidstheorien is het relevant een
raamwerk te ontwikkelen dat bij draagt aan veilige integratie. Theoretische concepten vinden
op deze manier toepassing in een praktijksituatie. Zo wordt tijdens het voor ogen staande
onderzoek een model ontwikkeld dat kan helpen bij het veilig organiseren van
luchtruimintegratie. De theoretische basis van dit model is wellicht te generaliseren en
extrapoleren naar andere contexten die door dezelfde kenmerken gekarakteriseerd worden als
de context waarin UAS gaan opereren.
-
17
1.4 Doelstelling
Om een bijdrage te leveren aan de oplossing van de hierboven geschetste relevante
problematiek is een doelstelling van dit onderzoek geformuleerd. Deze luidt als volgt:
Het doel van het onderzoek is een bijdrage te leveren aan het veilig organiseren van de
integratie van het MALE UAS met de bemande luchtvaart door het ontwerpen van
een raamwerk dat de MLA houvast kan bieden bij het in goede en veilige banen leiden
van een eventuele integratie van het MALE UAS met de bemande luchtvaart.
Het bedoelde raamwerk zal bestaan uit een aantal (model)vragen die de MLA (zich) kan
stellen tijdens het integratieproces. Deze vragen zullen gebaseerd zijn op moderne, relevante
veiligheidstheorien en daarbij nauw aansluitende organisatietheorien. Met het
beantwoorden van deze vragen kan de MLA de algehele positie ten aanzien van een veilige
integratie bepalen en helpt het model de MLA te bepalen of het proces zich nog binnen een
veilige bandbreedte bevindt. Met behulp van het model weet de MLA, als controller van het
proces, waar ze nog aandacht op dient te richten alvorens verder te gaan met het proces.
-
18
1.5 Onderzoeksmodel
In onderstaande figuur is het onderzoeksmodel opgenomen (figuur 1).
(a) (b) (c)
Figuur 1: Onderzoeksmodel.
-
19
1.6 Langgerekte formulering van het onderzoeksmodel
(a)Vooronderzoek en het bestuderen van relevante, moderne veiligheidsliteratuur en daarbij
nauw aansluitende organisatietheorien leveren
(b)ontwerp- en procesprincipes ten aanzien van veiligheid en veilig organiseren op. Deze
ontwerp- en procesprincipes worden geconfronteerd met de rol van de MLA in het
luchtruimintegratievraagstuk.
(c)Uit deze confrontatie volgt een raamwerk voor de MLA. Dit raamwerk zal bestaan uit een
model wat de MLA kan helpen de juiste vragen te stellen bij het proces van veilige
luchtruimintegratie van het MALE UAS.
1.7 Vraagstelling
Om aan bovenstaande doelstelling te voldoen moeten de juiste onderzoeksvragen gesteld
worden. Deze vallen uiteen in centrale vragen en deelvragen. Het beantwoorden van de
deelvragen draagt bij aan het beantwoorden van de centrale vragen. Het beantwoorden van de
centrale vragen draagt weer bij aan het beantwoorden van de hoofdvraag. Met het
beantwoorden van de hoofdvraag wordt een bijdrage geleverd aan veilige integratie van UAS
met de bemande luchtvaart zoals deze bedoeld is in de doelstelling. Bij het opstellen van de
vragen is gebruik gemaakt van de methode van het splitsen van het onderzoeksmodel
(Verschuren & Doorewaard, 2007).
Hoofdvraag:
Hoe zou een op moderne veiligheidstheorien en organisatiekunde gebaseerd
raamwerk, dat de MLA in haar rol van borger van de veiligheid op weg naar veilige
luchtruimintegratie van het MALE UAS kan helpen, er uit kunnen zien?
Centrale vraag I:
Welke ontwerp- en procesprincipes uit de moderne veiligheidstheorien en
organisatiekunde zijn van belang ten aanzien van veiligheid en veilig organiseren?
Deelvragen:
1. Wat maakt een theorie tot een moderne veiligheidstheorie en waarom zijn ze van
belang?
-
20
2. Welke moderne veiligheidstheorien en -concepten en organisatiekundige theorien
en concepten zijn van belang ten aanzien van veiligheid?
3. Wat zeggen deze theorien of theoretische concepten over veilig organiseren?
Centrale vraag II:
Welke ontwerp- en procesprincipes afkomstig uit de moderne veiligheidstheorien en
organisatiekunde zijn van belang en bruikbaar voor de rol van de MLA als borger van
de veiligheid in het luchtruimintegratievraagstuk?
Deelvragen:
1. Wat is de rol van de MLA in het luchtruimintegratievraagstuk?
2. Hoe kunnen de theoretische ontwerp- en procesprincipes volgens de MLA het beste
vertaald worden naar de rol van de MLA in het luchtruimintegratievraagstuk?
3. Welke ontwerp- en procesprincipes uit de moderne veiligheidstheorien en
organisatiekunde worden door andere stakeholders in het
luchtruimintegratievraagstuk van belang en bruikbaar geacht?
1.8 Leeswijzer
In het volgende hoofdstuk wordt het theoretisch kader uiteengezet. Dit is, zoals reeds vermeld
in de probleemstelling, gebaseerd op moderne veiligheidstheorien en concepten en
theorien en concepten uit de organisatiekunde. In het derde hoofdstuk volgt de
onderzoeksmethode. Dit hoofdstuk gaat in op hoe het empirische deel van dit onderzoek is
ingericht. Vervolgens volgt een beschrijving van de resultaten uit de praktijk. In het vijfde en
laatste hoofdstuk volgen de reflectie, conclusies en aanbevelingen. Met dit laatste hoofdstuk
wordt gereflecteerd op het onderzoek en de bijdrage geleverd zoals deze bedoeld is in de
doelstelling in de vorm van een drietal conclusies en aantal aanbevelingen.
-
21
Hoofdstuk 2 Theoretisch kader
Uit de probleemstelling is gebleken dat integratie van het MALE UAS met de bestaande
luchtvaart noodzakelijk is. Zo kan segregatie er toe leiden dat de doelstelling van de nieuwe
Luchtruimvisie (2012) niet behaald zal worden, gaat segregatie ten koste van de missie-
effectiviteit van Defensie, kan segregatie ten koste gaan van de effectieve inzet van Defensie
en kan segregatie afbreuk doen aan het commercieel gebruik van het Nederlandse luchtruim
en aan het maatschappelijk draagvlak voor Defensie.
Daarnaast is gebleken dat aan de integratie van onbemande luchtvaart met de bemande
luchtvaart ambigue eisen zijn gesteld. De ICAO (2010) stelt dat er sprake van een ELOS moet
zijn. Het woord equivalent in deze afkorting zorgt juist voor deze ambiguteit. Dit komt
omdat nergens precies duidelijk wordt gemaakt wat bedoeld wordt met een dergelijk
equivalent level of safety, wat het lastig maakt om te bewijzen dat UAS aan deze schijnbare
eis voldoen, vooral ook door beperkingen in en limieten van het klassieke, mathematische
denken over (luchtvaart). Zo blijkt de mythische grens van 510-7
voor een disastrous
accident niet objectief te bepalen. Bovendien is met deze mathematische benadering niet
duidelijk welke lessen geleerd worden in situaties waarin ongevallen nog net afgewenteld
worden (Amalberti, 2001). Vaughan (1996) laat bijvoorbeeld zien dat er met het verloop der
tijd sleet kan ontstaan op de veiligheidscultuur binnen een organisatie. Hierdoor kunnen
ongevallen alsnog onzichtbaar de organisatie binnen sluipen. Daarnaast kan de vraag gesteld
worden hoe houdbaar huidige definities zoals die van een ELOS zijn wanneer een nieuw
subsysteem (UAS) aan het systeem (het luchtruim, het gebruik hiervan en de wisselwerking
tussen de gebruikers) wordt toegevoegd en het systeem als zodanig wijzigt. In dit onderzoek
is daarom gekozen voor een meer moderne benadering van veiligheid.
2.1 Socio-technische systemen en complexiteit
Veel van de moderne veiligheidstheorien zijn gebaseerd op inzichten uit de systeemtheorie.
Systeemdenken kent een lange geschiedenis die terug te voeren is tot Aristoteles. In zijn
Metafysica gaat hij al in op wat tegenwoordig gezien kan worden als systeemdenken (Ropohl,
1999). Hierin wordt een geheel (een systeem) niet alleen gekarakteriseerd door de
onderdelen van dit geheel, maar vooral ook door de relaties tussen deze onderdelen. Lamberts
(1782) voegt hier aan toe dat dergelijke systemen niet per se alleen uit natuurlijke elementen
-
22
(zoals het zonnestelsel) dienen te bestaan. Andere voorbeelden van systemen die hij noemt
zijn samenlevingen, organisaties, gebouwen en machines.
Een bepaald type systeem dat in het kader van UAS-integratie van belang is, is het zogeheten
socio-technische systeem. Een socio-technisch systeem is te definiren als het geheel van de
mensen (socio), de techniek (technisch) en de wisselwerking of interface tussen de onderdelen
binnen dit geheel. Juist deze gecombineerde (holistische) benadering van socio-technische
systemen is volgens Ropohl (1999) van belang omdat technische ingenieurs niet voldoende
inzicht hebben in de sociale aspecten van hun ontwerpen en sociologen niet voldoende inzicht
zouden hebben in de invloed van technologie op het functioneren van het systeem. Door
sociologie en technologie binnen een systeem holistisch te benaderen, zo is de idee, verruimt
de blik op het systeem, verkrijgt men meer inzicht in het totale functioneren van dit systeem
en kan dit functioneren beter beoordeeld en aangepast worden (Ropohl, 1999). Dit is voor het
UAS-integratievraagstuk van belang omdat het hier gaat om een systeem van mensen,
vertegenwoordigd in allerlei groepen stakeholders (Van Klinken, Stultiens & Van Tilburg,
2012) en techniek (het MALE UAS, maar ook reeds bestaande luchtvaartplatformen) die
allen met elkaar interacteren en daarmee de kaders van het vraagstuk bepalen en blijven
bepalen.
Een treffend voorbeeld van hoe een dergelijk complex aan verbanden interacteert geeft Sagan
(1993) in zijn boek The limits of safety. Tijdens de Koude Oorlog onderhielden de Verenigde
Staten een early warning system ten behoeve van het tijdig detecteren van een aanval met
intercontinentale raketten door de Sovjet-Unie. Omdat de verbindingen tussen radarstations in
het noorden van Amerika en het hoofdkwartier in Colorado Springs niet altijd betrouwbaar
waren, werd er voor gekozen B-52 bommenwerpers in de nabijheid van de radarstations te
laten patrouilleren. Hiermee werd een nieuwe zekerheid ingebouwd. Het recept voor succes
werd verbeterd, omdat de kans op detectie van een aanval groter werd. Deze maatregel leidde
aan de andere kant echter ook tot nieuwe faalkansen, of een uitbreiding van het recept voor
falen. Dit volgt uit een what if scenario waarin een B-52 neer zou storten en er tegelijkertijd
geen radiocontact tussen een station en het hoofdkwartier zou zijn. Hierdoor bestond de
aanmerkelijke kans dat er aangenomen werd dat dit door een aanval vanuit de Sovjet-Unie
plaats zou hebben gevonden, met alle mogelijk escalerende effecten van dien (Sagan, 1993).
Dit voorbeeld geeft aan dat een kritieke succesfactor geen discreet of binair gegeven is en
ondermijnt hiermee de gedachte van lineaire relaties in complexe socio-technische systemen.
-
23
Juist door de complexiteit die kenmerkend is voor socio-technische systemen is gebleken dat
in dergelijke systemen het recept voor succes nagenoeg gelijk is aan het recept voor falen
(Woods, Dekker, Cook, Johannesen & Sarter, 2010). Dit komt omdat er tussen
systeemonderdelen interacties optreden die voor de operators in het systeem niet zichtbaar en
inzichtelijk zijn. Hierdoor is een duidelijke oorzaak-gevolg relatie van successen en
(on)veiligheid niet te bepalen. Dit is een van de redenen waarom de moderne benadering van
veiligheid vragen stelt bij het klassieke denken. Het klassieke denken gaat tenslotte uit van
lineaire verbanden binnen organisaties welke een duidelijke oorzaak-gevolg relatie impliceren
tussen verschillende onderdelen van bijvoorbeeld een organisatie. Dit maakt de klassieke
benadering van veiligheid ontoereikend in deze omdat een socio-technisch systeem is
opgebouwd, zoals hierboven beargumenteerd, uit verscheidene met elkaar interacterende
sociale en technische elementen en onderdelen. Een klassieke benadering biedt derhalve geen
inzicht in complexe verbanden die onveiligheid kunnen veroorzaken. In het volgende deel
wordt beredeneerd waarom binnen socio-technische systemen een meer moderne benadering
van veiligheid meer gepast is.
Een systeem kan als complex worden beschouwd wanneer de manier waarop onderdelen
binnen dit systeem met elkaar interacteren niet inzichtelijk is. Dit staat tegenover systemen
die gekenmerkt worden door lineaire relaties waarbij wel duidelijk is hoe systeemonderdelen
met elkaar interacteren (Perrow, 1984). Een voorbeeld van een systeem dat gekenmerkt wordt
door lineaire relaties is een assemblagelijn. Binnen een assemblagelijn is namelijk volkomen
inzichtelijk hoe de verschillende onderdelen van de lijn elkaar benvloeden en welke
productievolgorde van belang is. Socio-technische systemen zijn per definitie complex omdat
tussen de sociale subsystemen, de technische subsystemen en de interface components must
interact in more than linear, sequential ways, and therefore may interact in unexpected ways
(Perrow, 1984, p. 83). Verder onderzoek dat heeft voortgeborduurd op deze stelling heeft
uitgewezen dat dit inderdaad zo is (bijv. Snook, 2000; Bakx & Nyce, 2012). Vanwege deze
complexiteit is een moderne veiligheidsbenadering meer gepast, omdat een dergelijke
benadering complexe verbanden probeert inzichtelijk te maken.
2.2 Klassieke versus moderne benadering van veiligheid
Woods et al. (2010) stellen dat de klassieke en moderne benadering op drie globale punten
cruciaal van elkaar verschillen. Het klassieke denken ziet een menselijke fout vaak als een
oorzaak van systeemongevallen. Een moderne veiligheidsbenadering nodigt daarentegen uit
-
24
dieper in de organisatie te kijken en te onderzoeken welke systeemeigenschappen en
interacties tot een ongeval hebben geleid of tot een ongeval zouden kunnen leiden, daar waar
een klassieke benadering stopt bij het opsporen van een menselijke fout en dit als de oorzaak
van het ongeval aanmerkt (Woods et al., 2010). Met andere woorden, binnen de moderne
veiligheidsbenadering wordt een menselijk fout gezien als een effect van reeds aanwezige
kwetsbaarheden in een socio-technisch systeem.
Op de tweede plaats kent een moderne veiligheidsbenadering de premisse dat zeggen wat
operators hadden moeten doen geen bevredigend antwoord geeft op de vraag waarom en hoe
een ongeval heeft kunnen plaatsvinden. In het moderne veiligheidsdenken gaat het er om in
kaart te brengen waarom het vertoonde gedrag van de operator voor hem of haar op dat
moment zinvol is geweest. In het kader hiervan wordt de term local rationality (Woods et
al., 2010, p. 125) vaak gebezigd. Hiermee wordt het lokale referentiekader van de operator
bedoeld, de 'bril' die hij op dat moment op heeft en waardoor hij de wereld om zich heen
interpreteert en beoordeelt. Er zijn nu eenmaal grenzen aan de hoeveelheid en
verscheidenheid aan data die een operator ontvangt, en er zijn grenzen aan het vermogen van
de operator om deze data in context te brengen (Woods et al., 2010).
Het laatste globale punt waarop de klassieke en moderne benadering van veiligheid cruciaal
van elkaar verschillen heeft te maken met de aanwezigheid van respectievelijk stabiliteit en
dynamiek binnen het te beschouwen systeem. Zo stellen Woods et al. (2010, p. 7) dat only by
constantly seeking out its vulnerabilities organizations [can] enhance safety. Hints voor
veilige beheersing liggen in het doorlopen van een continu en iteratief proces omdat de
situatie telkens wijzigt, al is het alleen maar door het eigen ingrijpen in het kader van het
beheersen. Dit onderstreept de dynamiek die inherent is aan socio-technische systemen. Deze
dynamiek staat tegenover de klassieke gedachte die een stabiel, perfect ontworpen systeem
veronderstelt. Als er fouten optreden ligt dit in de klassieke visie aan de feilbare operators;
het systeem is immers stabiel. Volgens dit denken moeten fout handelende operators dan ook
nog beter getraind of uit het systeem verwijderd worden en vervangen worden door nieuwe
operators. Hiermee kan volgens de klassieke benadering terug worden gegaan naar het punt
van stabiliteit van het systeem die het eerder had. Dit botst met de hierboven geconstateerde
realiteit van de dynamiek die inherent lijkt te zijn aan socio-technische systemen. Juist de
mensen in de organisatie zorgen ervoor dat de productie in het complexe systeem, afgestemd
op de dynamiek in de omgeving en binnen in het systeem, veilig plaats vindt. (On)veiligheid,
-
25
met andere woorden, is een dynamisch begrip (Amalberti, 2001) en is niet iets wat een
systeem heeft, maar wat een systeem doet (Dekker, Hollnagel, Woods & Cook, 2008).
De keuze voor de benadering van het luchtruimintegratievraagstuk op basis van moderne
veiligheidsliteratuur ligt voor de hand, omdat het moderne veiligheidsdenken beter aansluit bij
de eigenschappen van complexe socio-technische systemen. In de rest van dit hoofdstuk volgt
een analyse van theorien die aansluiten bij de context waarin UAS gaan opereren (complexe
socio-technische systemen). Om binnen de veelheid aan literatuur en stromingen binnen dit
gedachtegoed toch enigszins structuur aan te brengen, is een onderverdeling aangebracht
tussen structuurtheorien, procestheorien en theorien die zich niet per se onder n van deze
noemers laten brengen. Ik heb gekozen voor deze onderverdeling op basis van het concept
practical drift van Snook (2000, p. 182). Practical drift is the slow, steady uncoupling of
local practice from written procedure (p. 194). Met andere woorden, volgens Snook (2000)
is het van belang te onderkennen dat er een bepaald verschil optreedt tussen hoe
werkzaamheden en processen in de praktijk worden uitgevoerd en hoe ze voorgeschreven
staan. Het concept practical drift baseert Snook (2000) op zijn onderzoek naar een
luchtvaartongeval. Dit ongeval vond plaats door afstemmingsproblemen tussen verschillende
organisaties die tezamen opereerden in n complex socio-technisch systeem (Snook, 2000).
Juist daarom acht ik dit concept van belang en toepasbaar op het luchtruimintegratievraagstuk.
Het mechanisme practical drift en daarmee het ontstaan van ongevallen wordt door Snook
(2000) verklaard door variabelen in de organisatie die met de structuur van en processen in de
organisatie te maken hebben. Daarom kies ik er voor om binnen dit theoretische kader ook
deze onderverdeling te maken. Om het luchtruimintegratievraagstuk zo holistisch mogelijk te
benaderen maak ik gebruik van een derde categorie. Hieronder valt een tweetal andere
theoretische concepten die niet onder structuur- of procestheorien te scharen zijn.
2.3 Structuurtheorien
Normal Accident Theory
Perrow (1984) betoogt in zijn boek Normal Accidents: living with high risk technologies dat
er in de huidige wereld (socio-technische) systemen zijn die hoe dan ook onderhevig zijn aan
het ontstaan van ongevallen. Perrow (1984) onderscheidt incidenten van ongevallen in die zin
dat ongevallen van impact zijn op het systeem als geheel. Bij een ongeval komt volgens
Perrow, met andere woorden, de continuteit van de output van het systeem als geheel in het
-
26
geding. Perrow onderscheidt in systemen parts, units, subsystems en system (1984, p.
65), waarbij parts het laagste systeemniveau betreffen en het niveau system het gehele
systeem. Of een systeem gedoemd is ongevallen te produceren is volgens Perrow (1984)
afhankelijk van twee structuurvariabelen, namelijk interactions en coupling (p. 62).
De interacties binnen het systeem hebben volgens Perrow (1984) betrekking op de manier
waarop de verschillende systeemonderdelen met elkaar interacteren. Hij onderkent hierin twee
uitersten, namelijk lineaire interacties en complexe interacties. Lineaire interacties zijn
interacties die in een verwachte en bekende volgorde plaatsvinden, en die, zelfs wanneer een
ongeplande interactie plaats vindt, voor de operators zichtbaar zijn. Een voorbeeld van een
systeem waarin lineaire interacties optreden is een systeem dat producten aan de lopende band
produceert, zoals een autofabriek, omdat de volgorde waarin de handelingen elkaar opvolgen
inzichtelijk is. Complexe interacties zijn interacties die in onbekende, ongeplande en/of
onverwachte volgorde plaatsvinden. Deze interacties zijn ook niet direct inzichtelijk voor
operators. Een voorbeeld van een systeem dat gekenmerkt wordt door complexe interacties is
een kerncentrale. Binnen dit systeem wordt door de operators nooit volledig bevat hoe de
verschillende systeemonderdelen op elkaar ingrijpen (Perrow, 1984).
De tweede structuurvariabele die bepaalt of een systeem gedoemd is ongevallen te
produceren betreft de koppeling tussen de verschillende systeemdelen. Perrow (1984, p. 89)
maakt hierin een onderscheid tussen tight en loose koppeling. De mate van koppeling
wordt bepaald door de mate van wederzijdse afhankelijkheid tussen verschillende onderdelen
van een socio-technisch systeem (Weick, 1976; Perrow, 1984; Snook, 2000). Strak
gekoppelde systemen worden gekenmerkt door wederzijds afhankelijke processen. Een
voorbeeld hiervan is een halffabricaat in een chemische fabriek. Mede door het ontwerp van
strak gekoppelde systemen is het slechts mogelijk om volgens n vaste manier het systeem te
door lopen. Strak gekoppelde systemen hebben zeer weinig speling; de hoeveelheden die
benodigd zijn voor het productieproces zijn zeer precies vastgesteld en elke afwijking hiervan
brengt consequenties met zich mee (Perrow, 1984). Los gekoppelde systemen zijn systemen
waarbij veel ruimte en minder afhankelijkheid bestaat tussen de verschillende subsystemen. In
een los gekoppeld systeem zijn vertragingen in het primaire proces mogelijk, zijn variaties in
(productie)volgorde mogelijk, zijn variaties in (productie)methode mogelijk en hebben
verspillingen weinig invloed op het functioneren van het hele systeem (Perrow, 1984, p. 93-
94). Een voorbeeld hiervan is een school. Hierin kan een les in het rooster gemakkelijk
-
27
worden verplaatst naar een ander tijdstip, dag of lokaal zonder dat er moet worden ingeleverd
op de kwaliteit van het eindproduct (Perrow, 1984).
Figuur 2: Koppeling- en interactie-matrix (Perrow, 1984, p. 97).
Aan de hand van deze twee structuureigenschappen is een matrix met vier kwadranten op te
stellen (figuur 2). Perrow (1984) beargumenteert op basis van empirisch bewijs (diverse
ongevalsanalyses) dat de systemen in kwadrant twee (figuur 2) gedoemd zijn tot ongevallen
en komt op basis daar van tot de conclusie dat ongevallen in systemen die gekenmerkt worden
door complexe interacties en strakke koppeling normaal zijn. Met andere woorden,
ongevallen vloeien in deze systemen voort uit de eigenschappen die inherent zijn aan deze
systemen: because of the nature of the system itself; they are system accidents, and are
inevitable, or normal for these systems (Perrow, 1984, p. 330). Daarom wordt deze theorie
de Normal Accidents Theory (NAT) genoemd.
Hoe kan het dan zo zijn dat juist systemen die gekenmerkt worden door strakke koppelingen
en complexe interacties onderhevig zijn aan het ontstaan van systeemongevallen? Volgens
Perrow (1984) komt dit door de tegenstrijdige eisen die aan het management van dergelijke
systemen worden gesteld. Wanneer een systeem wordt gekenmerkt door complexe interacties
zou beslissingsbevoegdheid tot een laag niveau gedecentraliseerd moeten zijn. Dit omdat de
operators op het laagste niveau dan het beste om kunnen gaan met lokale variatie. Een
systeem dat gekenmerkt wordt door strakke koppelingen zou volgens Perrow (1984) echter
-
28
juist centraal aangestuurd moeten worden. Dit omdat alleen op het hoogste, centrale niveau
een goede regie van de aan elkaar gerelateerde systeemonderdelen plaats kan vinden.
Systemen gekenmerkt door strakke koppeling enerzijds en complexe interacties anderzijds
moeten dus, volgens de theorie, tegelijkertijd centraal en decentraal aangestuurd worden. Dit
is volgens Perrow (1984) een onoplosbare paradox die in het ergste geval resulteert in normal
accidents.
Wat opvalt, is dat Perrow (1984) naast de eerder genoemde voorbeelden van een productielijn
en een kerncentrale, ook de systemen aircraft en airways (p. 123) noemt. Dit is van belang
voor het luchtruimintegratievraagstuk. Perrow (1984) betoogt hierbij dat door
organisatorische en technologische ontwikkelingen, zoals uitbreiding van ATC en
internationale regelgeving en verbeterde radar- en navigatietechnologie, de complexiteit en
strakke koppeling in het luchtruim zijn afgenomen. Daarom plaatst hij airways rond het
midden van de matrix (figuur 2). Met het toevoegen van een nieuw subsysteem (UAS) aan het
luchtruimsysteem kan worden betoogd dat de interacties binnen het systeem wederom minder
verwacht, gepland en bekend worden. Er worden immers extra actoren aan het luchtruim
toegevoegd. Hierdoor kan theoretisch worden beargumenteerd dat het systeem van airways
zich naar het tweede kwadrant (figuur 2) kan gaan verplaatsen, waarmee de kans op het
ontstaan van een normal accident wordt vergroot.
Hoe nu om te gaan met de mogelijkheid dat met de integratie van het MALE UAS met de
bemande luchtvaart het luchtruimsysteem ook een high-risk system (Perrow, 1984, p. 342)
wordt? Perrow (1984) stelt voor om het catastrofaal potentieel van dergelijke systemen te
analyseren en af te wegen welke alternatieve methodes bruikbaar en rendabel zijn. Het lijkt er
op dat in Perrows matrix (figuur 2) met de positie in de matrix systemen eigenschappen
worden toegedicht die als gegeven moeten worden beschouwd. Dit geeft de NAT een
bepaalde mate van determinisme. Dit terwijl de structuur van het systeem weliswaar wel n
en ander over het systeem zegt, maar het ook zeker van belang is een systeem meer
procesmatig te benaderen. Inzichten uit de High Reliability Theory (HRT) (Sagan, 1993, p.
13) kunnen hier mogelijk uitkomst bieden. Voorstanders van de HRT betogen dat het veilig
opereren van complexe socio-technische systemen mogelijk is. De HRT richt zich hierbij
vooral op de processen in het systeem. Voordat wordt ingegaan op de procestheorien, wordt
eerst nog een andere structuurtheorie besproken.
-
29
Organisatieflexibiliteit
De tweede structuurtheorie wordt ontleend aan de bedrijfskunde. Volberda (1996) gaat in op
de vitaliteit van organisaties in hyper-competitieve omgevingen. Traditioneel gezien
ontwikkelden organisaties bepaalde kerncompetenties die moeilijk te evenaren waren en die
volledig besloten lagen binnen de organisatie. Hierdoor ontstonden lange, stabiele periodes
van competitie. Tegenwoordig worden concurrentie en competitie gekenmerkt door korte,
hevige vlagen, afgewisseld door regelmatige onderbrekingen (DAveni, 1994). Dit vindt
plaats in omgevingen die Volberda (1996, p. 359) hypercompetitive noemt. In deze
dynamische en competitieve omgevingen moeten organisaties over capaciteiten beschikken
die het mogelijk maken zich snel en flexibel aan te passen aan veranderende omstandigheden.
Leonard-Barton (1992) benadrukt dat kerncompetenties die voorheen tot succes leidden juist
tot rigiditeit kunnen leiden wanneer ze worden toegepast in deze hyper-competitieve
omgevingen. Dit komt omdat kerncompetenties ontleend worden aan diepgewortelde
vaardigheden, leiderschapsstijlen en technologien. Dergelijke organisaties zijn volgens
Leonard-Barton (1992) meer rigide en kunnen hun structuur minder snel aanpassen.
Waarom zijn dergelijke constateringen van belang voor het integratievraagstuk? Het
luchtruim, zeker met de nieuwe Luchtruimvisie (2012) en de mogelijke interactie van UAS
met de bemande luchtvaart, is te beschouwen als een hyper-competitieve omgeving. Meerdere
actoren proberen gebruik te maken van een heterogeen luchtruim en door dit gebruik hun
belangen na te streven. Deze actoren streven mogelijk verschillende en conflicterende doelen
na, waarbij zelfs de doelen van een actor intern met elkaar kunnen conflicteren.
Om in hyper-competitieve omgevingen mee te komen, moeten organisaties, zoals
aangegeven, flexibel zijn. Te weinig flexibiliteit zorgt er voor dat kerncompetenties leiden tot
rigiditeit en dat de organisatie vastroest. Te veel flexibiliteit kan er echter toe leiden dat de
organisatie geen houvast kan vinden in de turbulente, hyper-competitieve omgeving. Dit is
wat Volberda (1996, p. 360) the Paradox of Duality noemt (figuur 3).
-
30
Figuur 3: Paradox of Duality (Volberda, 1996, p. 361).
De paradox of duality is de uitkomst van de interactie tussen twee organisatievariabelen,
namelijk managerial task en organization design task (Volberda, 1996, p. 361). De
management-variabele heeft betrekking op de mate waarin managers kunnen reageren op
veranderingen in de hyper-competitieve omgeving. Deze variabele wordt benvloed door de
variteit aan middelen die managers ter beschikking staan om flexibel op te treden en door de
snelheid waarmee deze middelen aangewend worden. De ontwerp-variabele heeft betrekking
op de ontworpen structuur en controle van de organisatie.
De juiste mix van managerial task en organization design task bepaalt volgens Volberda
(1996) de flexibiliteit van de organisatie als geheel. Dit is een holistische benadering die
Volberda deelt met de moderne veiligheidstheorien. Omdat binnen het systeem gentegreerd
luchtruim nieuwe technologien en producten (UAS) worden gentroduceerd en toegepast en
omdat met de nieuwe Luchtruimvisie (2012) de oude strategie van statische segregatie
verlaten wordt, dient volgens Volberda (1996) dit systeem, of deze organisatie, te beschikken
over een afdoende mate van strategische flexibiliteit. Volberda (1996) betoogt namelijk dat
wanneer het ontmantelen van een oude strategie en het toepassen van nieuwe producten
samenvallen, er sprake moet zijn van strategische flexibiliteit om op de juiste manier om te
gaan met de paradox of duality. Omdat het luchtruim als n socio-technisch systeem
beschouwd kan worden, kan dit socio-technische systeem, die ook de integratie van UAS voor
-
31
haar rekening neemt, in analytische zin ook als n organisatie beschouwd worden. Daarom is
hier sprake van interne strategische flexibiliteit waarbij een grote variteit aan middelen en
een snelle implementatie van deze middelen deze interne strategische flexibiliteit mogelijk
moeten maken (Volberda, 1996).
De organisatievorm die volgens Volberda (1996, p. 368) het beste aansluit bij strategische
flexibiliteit is de flexible form. Deze flexibele organisaties worden gekenmerkt door een
hoge mate van beheersbaarheid. Dergelijke organisaties zijn namelijk erg behoedzaam voor
signalen uit de omgeving, waardoor ze zich snel aan kunnen passen. Flexibele organisaties
beschikken dan ook over non-routine technologie, een organische structuur en een
innovatieve cultuur (Volberda, 1996, p. 367). Het gebruik van non-routine technologie houdt
in dat er niet constant gebruik gemaakt wordt van dezelfde technologie of van hetzelfde
productieproces. Als voorbeeld van organische structuren noemt Volberda (1996) het ontstaan
van self-organizing teams. Dit type structuren is sterk gedecentraliseerd en kent geen strakke
hirarchie. Een innovatieve cultuur tenslotte, is een cultuur die verschillend geuit kan worden.
Dit houdt in dat er geen sprake is van n duidelijke organisatiecultuur met een eenduidige
strekking. Daarnaast is er binnen innovatieve culturen sprake van delegerend leiderschap om
informatie-uitwisseling te stimuleren (Volberda, 1996). De ultieme flexible form wordt
volgens de theorie gekenmerkt door (a)weinig officile regels, (b)weinig socialisatie in de
organisatie en (c)door een hoge tolerantie voor ambiguteit in de externe omgeving (Volberda,
1996). Of dit ook geldt binnen de context van het luchtruimintegratievraagstuk valt nog te
bezien.
De theorie van Volberda (1996) maakt inzichtelijk hoe organisaties ideaaltypisch zouden
moeten acteren in hyper-competitieve omgevingen. De inzichten uit deze holistische
benadering leiden er toe dat niet alleen de MLA over een afdoende mate van strategische
flexibiliteit moet beschikken, maar dat dit ook geldt voor overige subsystemen binnen het
luchtruimintegratievraagstuk. De flexible form blijkt volgens deze theorie de beste
organisatievorm te zijn en stelt een aantal ontwerpprincipes op die daarbij van belang zijn.
Deze ontwerpprincipes kunnen wellicht helpen bij het inrichten van het complexe socio-
technische systeem van het luchtruim. Zoals reeds bij de behandeling van de NAT is
aangegeven, maar ook door het adaptieve vermogen van de flexible form, is het echter ook
van belang procestheorien mee te nemen in dit theoretisch kader.
-
32
2.4 Procestheorien
High Reliability Theory
Organisaties die zich volgens de principes van de HRT organiseren worden High Reliability
Organizations (HROs) (Weick, Sutcliffe & Obstfeld, 1999, p. 31) genoemd. HROs worden
gedefinieerd als complexe socio-technische systemen die continu onder druk moeten
presteren maar desondanks minder ongevallen produceren dan men zou mogen verwachten
(Weick & Sutcliffe, 2007). De cognitieve infrastructuur van een systeem bepaalt op welke
manier de processen van de organisatie verweven zijn binnen de cognitieve capaciteiten van
het systeem (Weick et al., 1999). Juist de cognitieve infrastructuur die de HRT voorschrijft
zou er voor zorgen dat een organisatie adaptief kan leren en betrouwbaar kan produceren
(waarmee in deze theorie veilig wordt bedoeld) (Weick et al., 1999). De HRT is daarmee van
belang voor het veilig organiseren van UAS-luchtruimintegratie. Bovendien is een groot deel
van de HRT gebaseerd op analyses van het opereren van aircraft carriers en van het gebruik
van het luchtruim op en rond deze schepen. Ook door dit nauwe raakvlak met de praktijk van
UAS acht ik de HRT relevant, van belang en toepasbaar.
Het eerder beschreven vermogen tot adaptief leren en daarmee betrouwbaar produceren komt
volgens Weick en Sutcliffe (2007) doordat HROs hun opereren primair baseren op vijf
principes, namelijk gericht op verstoringen, weerzin tot simplificaties, gevoeligheid voor
operaties, toewijding aan veerkracht en eerbied voor expertise. De eerste drie principes
worden gebruikt om te anticiperen op verstoringen in het systeem. Daarom worden deze drie
principes anticipatie-principes genoemd. Het vierde en vijfde principe hebben betrekking op
het inperken van de gevolgen wanneer er zich eenmaal een verstoring heeft voorgedaan. Deze
vijf vormen gezamenlijk de cognitieve infrastructuur van het systeem welke het volgens de
HRT mogelijk maakt om opmerkzaam te organiseren (Weick & Sutcliffe, 2007).
Het eerste principe stelt dat een organisatie te allen tijde gericht dient te zijn op
verstoringen. De operators in een systeem moeten zogezegd actief op zoek gaan naar
weeffoutjes in het systeem. Deze houding is niet vanzelfsprekend. Mensen zijn immers
veelal gevoelig voor hints die hun vermoedens bevestigen (het systeem opereert veilig), in
plaats van deze te ontkrachten. Door continu gevoelig te zijn voor verstoringen in het
systeem, waken operators er voor deze verstoringen, hoe klein ook, te accepteren. Hiermee
wordt het systeem in beginsel meer betrouwbaar (Weick & Sutcliffe, 2007). Groepsdruk en
-
33
denken kunnen hier zowel negatief als positief aan bijdragen. Zo kunnen in een groep de
meningen van kritische personen door groepsdruk geneutraliseerd worden. Dit kan er toe
leiden dat de organisatie als geheel minder gericht is op verstoringen. Tegelijkertijd kan het
werken in een groep er voor zorgen dat de tunnelvisie van een enkel individu wordt
afgezwakt (De Bruine, Noordhoek & Tjon Tam Pau, 2010).
Als tweede stellen Weick en Sutcliffe (2007) dat een HRO een bepaalde weerzin tot
simplificaties zou moeten hebben. Dit leidt uitdrukkelijk tot een paradox: het gebruik van
simplificaties zorgt ervoor dat er stereotypering en uitvlakking van details plaats vindt. Het
eerste principe liet zien dat juist gevoeligheid voor kleine verstoringen (detailveranderingen)
van belang zijn. Tegelijkertijd zorgen simplificaties, zoals het categoriseren van
bedrijfsprocessen, er ook voor dat we de wereld om ons heen als geheel beter kunnen
begrijpen. Een mogelijke oplossing hiervoor zien Weick en Sutcliffe (2007) in het gebruik
van teams bestaande uit mensen met uiteenlopende expertises. Hierdoor kunnen zaken als
labels en categorien gebruikt blijven worden zonder (kritieke) details uit te vlakken.
Het derde principe dat HROs gebruiken om tot hun kenmerkende mate van veiligheid te
komen behelst het continu behouden van gevoeligheid voor operaties. Gevoeligheid voor
operaties is about seeing what we are actually doing regardless of what we were supposed to
do based on intentions, designs, and plans (Weick & Sutcliffe, 2007, p. 59). Door gevoelig te
blijven voor de finesses van operaties en de uitkomsten daarvan ontstaat weerzin tot
simplificeren en blijven operators in het complexe socio-technische systeem gericht op
verstoringen.
Als vierde principe noemen Weick en Sutcliffe (2007) toewijding aan veerkracht.
Veerkracht treedt op wanneer een systeem door kan gaan met produceren ondanks het
optreden van verstoringen in n of een aantal systeemonderdelen, of hier snel van weet te
herstellen. Veerkracht is hiermee een beheersingsmechanisme van het systeem omdat in
zekere zin met de mate van veerkracht de bandbreedte van veilig opereren wordt bepaald
(Weick & Sutcliffe, 2007). De HRT noemt drie componenten van veerkracht, namelijk
absorptie, herstel en lerend vermogen. Uit eerdere absorptie- en herstelprocessen worden
lessen getrokken over de veerkracht en de marges van het systeem en daarmee over de
beheersbaarheid en dus het in control zijn van de organisatie (Weick & Sutcliffe, 2007).
-
34
Het vijfde en laatste principe dat Weick en Sutcliffe (2007) aandragen stelt dat het van belang
is dat in complexe socio-technische systemen een functionele eerbied voor expertise
aanwezig is. Onder normale omstandigheden zal veelal de geldende hirarchie heersen, vaak
gekoppeld aan een bepaalde mate van beslissingsbevoegdheid. Juist tijdens het optreden van
een verstoring, zo wordt beweerd in de HRT, beschikken de hirarchisch hogere lagen van
een organisatie niet over het juiste inzicht in het opereren van het systeem. Juist de mensen op
de werkvloer en zij die de verstoring als eerste opmerken, zo redeneert de HRT verder,
kunnen de gevolgen van deze verstoring het beste inperken. Expertise is echter zelden
vertegenwoordigd in n enkel individu. Daarom is het volgens de HRT van belang om
kennis te bundelen en die heedful (Weick & Roberts, 1993, p. 361), oftewel constructief-
kritisch naar elkaar, met elkaar te laten interacteren. Expertise kenmerkt zich tenslotte door
een verzameling van gerelateerde kennis, ervaringen, theoretische kennis en vaardigheden.
Weick en Roberts (1993, p. 361) pleiten dan ook bij de inzet van expertise voor iets dat zij
heedful interrelating noemen: een collectief gedachtegoed en een interactiepatroon waarbij
een behoedzame, voorzichtige interactie plaats vindt tussen de informatie verwerkende
onderdelen van het systeem. Hierdoor ontstaat elke keer op een bepaalde plaats een unieke
situationele expertise (Weick & Roberts, 1993). Eerbied voor deze expertise is precies waar
Weick en Sutcliffe (2007) op doelen met het laatste principe.
Het gebruik van deze vijf principes leidt volgens aanhangers van de HRT tot een bepaalde
mate van mindfulness of opmerkzaamheid die de betrouwbaarheid (en daarmee de veiligheid)
verhoogt (figuur 4). Opmerkzaam organiseren vindt plaats om ambiguteit weg te nemen
(Kramer, 2004) en to narrow the range of possibilities, to reduce the number of might
occurs (Weick, 1979, p. 6). Het toepassen van deze vijf principes alleen biedt echter geen
roadmap to safety. Wanneer er geen ongevallen plaats vinden, hoe kan een HRO dan hard
maken dat dit juist komt door het toepassen van de vijf principes? Als een HRO toch te maken
krijgt met een ongeval zullen aanhangers van de HRT stellen dat de organisatie niet mindful
genoeg was, en dat de vijf principes niet op de juiste manier werden toegepast. Aanhangers of
tegenstanders van de HRT kunnen de uitkomsten van een socio-technisch systeem dus
rationaliseren (Shrivastava, Sonpar & Pazzaglia, 2009) en raken hierdoor verstrikt in een
cirkelredenatie. Daarnaast kan het continu op dezelfde wijze toepassen van de vijf principes
leiden tot rigiditeit, uit de theorie van organisatieflexibiliteit kwam al naar voren dat dit
onwenselijk is om de benodigde strategische flexibiliteit te bereiken (Volberda, 1996).
-
35
Figuur 4: De vijf principes leiden tot opmerkzaam organiseren en tot betrouwbaarheid
(thehealthcarelearningorganization.blogspot.nl, 2012).
Een ander centraal begrip in de HRT is sensemaking (Weick, 1995, p. 4). Letterlijk vertaald
is dit het betekenis verlenen aan iets, in dit geval aan de stimuli die worden waargenomen
tijdens opmerkzaam organiseren. Het verlenen van betekenis aan stimuli tijdens opmerkzaam
organiseren is van belang omdat dit bijdraagt aan het volgen van de vijf principes. Zo is een
organisatie beter in staat gevoelig te zijn voor operaties indien er op juiste wijze betekenis
verleend kan worden aan stimuli die iets zeggen over deze operaties. Het sensemaking-proces
is volgens de HRT dan ook de ruggengraat van de cognitieve infrastructuur van een systeem,
die moet leiden tot opmerkzaam organiseren. Het is een actief proces, waarbij continu
interactie tussen de wereld en het geheugen van de waarnemer plaats vindt.
Het sensemaking-proces vindt plaats om hypotheses over de werkelijkheid te onttrekken aan
de werkelijkheid. Dit gebeurt op basis van ambigue en onzekere informatie over die
werkelijkheid (figuur 5). Centraal in het model staat de eerder uitgelegde constructief-
kritische houding ten opzichte van waarnemingen.
Figuur 5: Sensemaking (Kramer, 2004, p. 82)
Het proces van sensemaking treedt in werking bij een verandering in de omgeving, in dit
geval het socio-technische systeem. In de enactment-fase vindt een bepaalde handeling plaats.
De waarnemer verricht een handeling die informatie oplevert omtrent de verandering die
zojuist heeft plaatsgevonden. Tijdens de selectiefase structureert de waarnemer de zojuist
waargenomen verandering. Op basis van de selectie stelt hij de hypotheses op over wat er
-
36
gaande is in de wereld om hem heen. Deze hypotheses worden opgeslagen in het geheugen
(retention). Deze herinneringen kunnen een positieve (+) invloed hebben op volgende
handelings- en selectiefases, bijvoorbeeld omdat een soortgelijke verandering eerder is
meegemaakt. Ze kunnen echter ook een negatieve (-) invloed hebben, omdat er door zeer op
elkaar lijkende veranderingen simplificaties op kunnen treden (zie ook het tweede principe
van de HRT) (Weick, 1979).
Inzicht in de beperkingen en mogelijkheden van dit proces (eerdere gevormde en opgeslagen
hypotheses kunnen voor- en nadelen hebben omdat ze door de retention-fase het handelen en
selecteren kunnen benvloeden, constructief-kritische houding staat centraal) zorgen ervoor
dat organisaties de vijf principes van de HRT op een meer juiste manier toe kunnen passen.
Hiermee worden opmerkzaamheid en betrouwbaarheid in de processen tijdens het opereren
van het systeem bereikt. Ook voor de MLA is dit van belang. Door gebruik te maken van de
principes en de onderliggende cognitieve infrastructuur die de HRT biedt, kan de MLA
immers het vermogen ontwikkelen onverwachte gebeurtenissen te ontdekken en te managen.
Dit leidt tot meer betrouwbare en maatschappelijk wenselijke uitkomsten van het integreren
van UAS.
Resilience Engineering
De tweede en laatste procestheorie die deel uitmaakt van dit theoretisch kader is het nog vrij
nieuwe concept Resilience Engineering (Dekker et al, 2008, p. 4). Net als bij de HRT gaat
het hierbij om het omgaan met en het managen van het onverwachte. Resilience Engineering
richt zich daarbij vooral op het door de HRT voorgeschreven principe van toewijding aan
veerkracht. Omdat veerkracht een bepaalde dynamiek impliceert schaar ik ook dit
theoretisch concept onder de procestheorien.
Ook Resilience Engineering neemt afstand van de klassieke veiligheidsopvattingen.
Resilience Engineering ziet fouten namelijk niet als het falen of niet functioneren van een of
meerdere systeemonderdelen, maar als gevolg van het noodzakelijk aanpassen van het
systeem aan een complexe realiteit (Dekker et al., 2008). Resilience Engineering is het
structureel inbouwen van veerkrachtige capaciteit (zie het vierde principe van de HRT) in
systemen (Woods, 2006). De nadruk ligt hierbij steeds meer op het opvangen van
veranderingen die buiten de origineel ontworpen prestatieparameters van het systeem liggen
(Woods, 2006).
-
37
Ik acht het concept Resilience Engineering van belang voor dit onderzoek omdat het concept
zich richt op opvangen van verstoringen buiten de ontwerpprincipes van systemen. Deze
verstoringen vereisen een snelle verandering in processen, strategien en
cordinatiemechanismen (Woods, 2006). Deze strekking sluit aan bij de vereisten die
voortvloeien uit het onbekende en iteratieve karakter van de luchtruimintegratie (Van Klinken
et al., 2012) en bij de adaptieve structuur voorgeschreven door Volberda (1996) en kan
mogelijk bijdragen aan een deel van de oplossing van het luchtruimintegratievraagstuk.
De mate van veerkracht kan op een aantal manieren uitgedrukt worden, zoals de beschikbare
buffercapaciteit binnen de performance envelope (Woods, 2006, p.22) , de balans tussen
organisatorische flexibiliteit en rigiditeit (zie ook de structuurtheorie over
organisatieflexibiliteit), de huidige plaats binnen de grenswaarden of de tolerantie voor het
bereiken van grenswaarden (Woods, 2006; Dekker et al., 2008).
Ieder systeem heeft een zogenaamde performance envelope. Deze geeft de grenzen aan voor
het veilig opereren van het systeem. Woods (2006) betoogt dat een systeem veerkrachtig kan
worden door nauwkeurig de grenswaarden hiervan te monitoren en deze grenswaarden waar
mogelijk aan te passen wanneer blijkt dat het systeem zich buiten de performance envelope
dreigt te begeven. Hiervoor is het volgens Woods (2006) noodzakelijk dat inzichtelijk wordt
gemaakt hoe het systeem de eigen veiligheid creert en wat de huidige positie van het systeem
binnen de performance envelope is. Deze positie zegt volgens de aanhangers van het
resilience-concept iets over de mate van veerkracht, en daarmee over de veiligheid, van het
systeem. Het kritisch bekijken van beslissingsprocessen op alle niveaus van het systeem kan
hier aan bijdragen, omdat die de bewegingen binnen de performance envelope induceren. Tot
zover het behouden van een veerkrachtig systeem.
Het ontwikkelen van indicatoren van resilience kan bijdragen aan het ontwerpen van een
veerkrachtig systeem. Tegelijkertijd is het nodig dat factoren die de veerkracht van de
organisatie ondermijnen gedentificeerd worden. Woods (2006) geeft hierbij het belang aan
van het onderkennen van de eerder genoemde conflicterende doelen. In het geval van UAS-
integratie valt hierbij te denken aan de commercile belangen van luchtvaartmaatschappijen
en operationele behoeftes van Defensie. Veerkrachtige systemen onderscheiden zich van niet-
veerkrachtige systemen doordat deze systemen de trade-offs van de verschillende
-
38
conflicterende doelen steeds inzichtelijk maken. Hieruit blijkt telkens weer dat de
positionering in de performance envelope van belang is voor de keuze van de interventie.
Een andere factor die het ontwerpen van veerkracht in een systeem kan benvloeden is de
cultuur binnen het systeem. Woods (2006) en Dekker et al. (2008) betogen dat een cultuur
waarin schuld en verantwoordelijkheid een belangrijke rol spelen het juist balanceren tussen
conflicterende doelen kan belemmeren. Dit komt volgens Woods (2006) doordat bij het
nastreven van een dergelijke cultuur een operator persoonlijk betrokken (bijvoorbeeld
financieel of juridisch) kan worden bij het balanceren tussen conflicterende doelen.
Het toepassen van de inzichten uit Resilience Engineering zal ultiem tot de volgende drie
organisatie-eigenschappen leiden (Dekker et al., 2008):
1. Veerkrachtige organisaties zijn in staat in organisatorische risicos in kaart te brengen
en de positie in de performance envelope te bepalen.
2. Veerkrachtige organisaties beschikken over voldoende middelen en een dusdanige
autoriteit dat bij het optreden van conflicterende doelen er niet op veiligheid
ingeleverd zal worden.
3. Veerkrachtige organisaties beschikken over middelen om te investeren in het
verbeteren van de positie binnen de performance envelope.
Een veerkrachtig systeem is hiermee in staat om het eigen functioneren voor, tijdens en na
veranderingen en verstoringen en met de blik op komende stresssituaties te behouden (Dekker
et al., 2008).
Het is voor de MLA van belang om de veerkracht in het luchtruimintegratievraagstuk
structureel te bewaken. Als borger van de veiligheid is de MLA namens de Minister van
Defensie verantwoordelijk voor de veiligheid van de militaire luchtvaart. Door interacties met
de bestaande, bemande luchtvaart en de betrokkenheid van veel stakeholders neemt het belang
van deze veerkracht voor de gehele maatschappij alleen maar toe, omdat door deze interacties
de kans ontstaat dat het systeem ongemerkt de grenswaarden van de performance envelope
bereikt.
-
39
2.5 Overige theorien en concepten
Organizational Learning
Levit en March (1988) definiren een lerende organisatie als een organisatie die lessen uit de
geschiedenis van de organisatie om weet te zetten in routines die het gedrag voor toekomstig
handelen kunnen reguleren. Dit proces wordt organizational learning (p. 320) genoemd.
Deze definitie is gebaseerd op een drietal observaties (Levit & March, 1988):
1. Gedrag in organisaties is gebaseerd op routines. Dit betekent dat een afweging tussen
gedragspatronen gemaakt wordt op basis van gepastheid of legitimiteit van een
handeling in plaats van op situationele logica.
2. Routines in organisaties zijn gebaseerd op eerdere ervaringen. Routines zijn hiermee
meer gebaseerd op interpretaties van het verleden dan op anticipaties op de toekomst.
3. Organisaties zijn gericht op het behalen van hun doelen.
Er zijn een aantal redenen waarom ik inzichten uit deze theorie van belang acht. Deze
inzichten kunnen richting geven aan het lerend vermogen van een organisatie. Allereerst
moeten volgens een meer moderne veiligheidsbenadering organisaties continu op zoek gaan
naar hun eigen zwakheden en kwetsbaarheden om een bepaald veiligheidsniveau te behalen
(Woods et al., 2010). Deze zoektocht impliceert een bepaalde ontwikkeling. Om de
resultaten van deze zoektocht te interneren, moet de organisatie zich deze resultaten eigen
maken. Dit is een lerend proces.
Ten tweede bleek uit de theorie van organisatieflexibiliteit dat de flexible form de beste
organisatiestructuur is om te opereren in omgevingen zoals het complexe socio-technische
systeem luchtruim. En van de eigenschappen van de flexible form is dat deze zich snel aan
kan passen aan een veranderende omgeving. Ook hiervoor dient de organisatie over lerend
vermogen te beschikken.
Ten slotte impliceren ook de beschreven procestheorien een bepaalde mate van dynamisch
aanpassingsvermogen. De HRT laat zien dat organiseren juist plaats v