-
NEDERLANDSE DEFENSIE ACADEMIE
Organisatorisch houvast
voor veilige integratie
van UAS en bemande
luchtvaart
Afstudeerscriptie Militaire
Bedrijfswetenschappen
Auteur: Luitenant ter Zee der derde klasse R. van Klinken
[306009] [89.08.19.098]
Begeleiders: Majoor G.C.H. Bakx, MSc. [NLDA] en Kapitein M.D. de
Pee, bc. [MLA]
Scriptievoorzitter: Mr. Dr. Ir. L.M.M. Royakkers [NLDA/TUE]
Scriptieverdediging: dinsdag 12 maart 2013, Faculteit Militaire
Wetenschappen, Breda
-
1
-
2
Managementsamenvatting
Aanleiding
Defensie is voornemens onbemande vliegtuigen (Medium Altitude
Long Endurance
Unmanned Aircraft Systems, MALE UAS) aan te schaffen die op een
zelfde hoogte
opereren als de reeds bestaande, bemande luchtvaart (Hillen,
2011). Voor wat betreft de inzet
bestaan twee mogelijkheden: veilig integreren met de bemande
luchtvaart of segregeren
waardoor er berhaupt geen interactie plaats vindt. De
International Civil Aviation
Organization (ICAO) schrijft voor dat totdat UAS een
gelijkwaardig niveau van veiligheid als
de huidige luchtvaart bereiken en aan de Air Traffic
Control-eisen kunnen voldoen, segregatie
plaats zal vinden. In het rapport komen echter een viertal
redenen naar voren waarom
segregeren onwenselijk is. Binnen het Ministerie van Defensie is
de Militaire Luchtvaart
Autoriteit (MLA) onder andere belast met het uitgeven van
regelgeving ten behoeve van een
veilige inzet van militaire luchtvaartuigen. Daarom valt het
oplossen van de integratie-
problematiek mede onder de hoede van de MLA.
Doelstelling
Het doel van het onderzoek is een bijdrage te leveren aan het
veilig organiseren van de
integratie van het MALE UAS met de bemande luchtvaart door het
ontwerpen van een
raamwerk dat de MLA houvast kan bieden bij het in goede en
veilige banen leiden van een
eventuele integratie van het MALE UAS met de bemande
luchtvaart.
Aanbevelingen voor de MLA
De aanbevelingen hier genoemd zijn gebaseerd op de interviews
die gedaan zijn in het kader
van dit onderzoek. Het model dat ik heb aangedragen geeft aan
dat het veilig organiseren van
complexe socio-technische systemen (zoals het luchtruim) juist
een iteratief karakter moet
hebben. Onderstaande aanbevelingen zijn dan ook niet onbeperkt
houdbaar, maar volgen uit
een momentopname.
1. Op politiek, interdepartementaal en/of (inter)nationaal
niveau dient een visie
uitgesproken te worden over hoe we in het West-Europese
luchtruim om gaan met
(MALE ) UAS en luchtruimintegratie. Hoe kan dit het best
vertaald worden naar
Nederland en de Nederlandse Defensieorganisatie?
2. Richt een krijgsmacht-brede Defensie-projectgroep op. Deze
projectgroep dient
minstens te bestaan uit afvaardiging van ALL, ALO, ALC,
verwervers en
-
3
behoeftestellende OPCOs. De regie binnen deze projectgroep ligt
bij het OPCO dat
het meest gebaat is bij het gebruik van UAS.
3. De Defensie-projectgroep dient de volgende drie vragen met
interne consensus te
beantwoorden:
a. Wat is het beoogde gebruik van (militaire) (MALE ) UAS en het
luchtruim
met het oog op de Luchtruimvisie (2012) en bestaande en zich
ontwikkelende
SES-initiatieven?
b. Welk niveau en welke manier van luchtruimintegratie zijn hier
minimaal voor
benodigd?
c. Welke interdepartementale en (inter)nationale UAS-fora zijn
van belang ten
aanzien van wet- en regelgeving?
4. Gebruik de richtlijnen, aanvullingen en voorbeelden zoals die
aangegeven zijn in de
rechterkolom van het model (tabel 2) om invulling te geven aan
het balanceren tussen
centrale en decentrale aansturing, informatie-uitwisseling,
local rationality en heedful
interrelating.
Motivatie
Het onderzoek betoogt dat door de eigenschappen van het systeem
luchtruim het luchtruim
als een complex socio-technisch systeem beschouwd kan worden. Na
het bestuderen van
holistische en moderne veiligheids- en managementtheorien zijn
een viertal principes
gedentificeerd die het veilig organiseren van dergelijke
complexe socio-technische systemen
mogelijk zouden moeten maken. Deze principes zijn het balanceren
tussen centrale en
decentrale aansturing, het uitwisselen van informatie, het in
kaart brengen van en rekening
houden met verschillende local rationalities en het gebruik van
een proces genaamd heedful
interrelating. Door interviews en een Delphi-panel met
UAS-experts van de MLA zijn deze
principes vertaald naar de praktijk van het
luchtruimintegratievraagstuk en de rol van de MLA
hierin. Op basis van deze resultaten is een model opgesteld. De
bevindingen zijn voorgelegd
aan een aantal in het vooronderzoek gedentificeerde en van
belang zijnde stakeholders
binnen dit vraagstuk. Op basis hiervan is het eerder opgestelde
model aangepast.
-
4
Summary
The Dutch Minister of Defense has the intention to procure
Medium Altitude Long Endurance
Unmanned Aircraft Systems (MALE UAS). Those MALE UAS conduct
their operations
on the same flight level as the already existing, manned
aviation (Hillen, 2011b). In terms of
deployment, there are two options: safe integration with manned
aviation or segregation;
which means there will not be any form of interaction between
manned and unmanned
aviation at all. The International Civil Aviation Organization
(ICAO) dictates that in order to
safely integrate with manned aviation, UAS should reach at least
an equivalent level of safety
as manned aviation and should be able to comply with existing
Air Traffic Management
(ATM). The research however shows that there are four reasons
why segregation is not
desirable. The Military Aviation Authority (MAA) is on behalf of
the Minister of Defense
charged with publishing regulations for the safe deployment of
military aviation. Because of
this, the MAA is charged with solving the previous mentioned
integration problems.
To contribute to a possible solution of the integration problems
the following research
question has been formulated to guide the research:
How could a framework based on modern safety- and organizational
sciences that
could help the MAA in the process of safely integrating MALE UAS
with manned
aviation, look like?
First, a deskresearch has been carried out. This deskresearch
analyzed important theories from
the modern safety- and organizational sciences. This analysis
produced four principles that are
important within the context of safely organizing. It turned out
that, in order to safely organize
organizations like the airspace, it is important to reach and
maintain the right balance
between centralized and decentralized control, to exchange the
right information throughout
the whole system, to map out the local rationality of the
stakeholders and, when possible, act
in accordance with this local rationality and to maintain a
process of heedful interrelating
between the stakeholders. Continuous, iterative and combined use
of those four principles
should enable the safe organization of certain complex
socio-technical systems.
Secondly, the results of the deskresearch were empirically
tested. Three rounds of data
collection helped to translate the theoretical principles to the
case of airspace integration.
-
5
During the first round, MAA-employees were asked how they would
translate the four
principles to the case. The synthesis of these first interviews
was propounded to all the
surveyed MAA-employees in a panel using the Delphi method. The
results of the Delphi
panel were propounded to employees of four important
stakeholders in the airspace
integration process in order to make crucial adjustments. The
combined results of these three
rounds of data collection have produced a model (table 2) that
can contribute to the safe
organization of airspace integration of MALE UAS with manned
aviation.
The first conclusion of the research refers to the model (table
2). The model consists of the
four principles and the momentary and exemplary interpretations
and translations of those
principles to the case of airspace integration. The second
conclusion refers to the theoretical
and scientific value of the resulting model. The deskresearch
and the operationalization of the
four basic principles have resulted in a more general model that
can help to safely organize
certain complex socio-technical systems. This is displayed in
the left and middlemost column
of the model (table 2). The third and last conclusion of this
research reads that qualified
authorities need to decide whether the resulting model needs
further fine-tuning or that the
resulting model should be implemented and executed.
Implementation and execution of the
model should take place in a learning and adapting process.
The recommendations that result from the research are subdivided
into three categories. The
first category of recommendations refers to further fine-tuning
of the model. The second
category involves recommendations on how to implement and
execute the developed model.
The last category of recommendations refers to the scientific
community involved with
research on complex socio-technical systems.
-
6
Samenvatting
Defensie is voornemens onbemande vliegtuigen (Medium Altitude
Long Endurance
Unmanned Aircraft Systems, MALE UAS) aan te schaffen die op een
zelfde hoogte
opereren als de reeds bestaande, bemande luchtvaart (Hillen,
2011b). Voor wat betreft de
inzet bestaan twee mogelijkheden: veilig integreren met de
bemande luchtvaart of segregeren
waardoor er berhaupt geen interactie plaats vindt. De
International Civil Aviation
Organization (ICAO) schrijft voor dat totdat UAS een
gelijkwaardig niveau van veiligheid als
de huidige luchtvaart bereiken en aan de Air Traffic
Control-eisen kunnen voldoen, segregatie
plaats zal vinden. In het rapport komen echter een viertal
redenen naar voren waarom
segregeren onwenselijk is. Binnen het Ministerie van Defensie is
de Militaire Luchtvaart
Autoriteit (MLA) onder andere belast met het uitgeven van
regelgeving ten behoeve van een
veilige inzet van militaire luchtvaartuigen. Daarom valt het
oplossen van de integratie-
problematiek mede onder de hoede van de MLA.
Om een bijdrage te leveren aan het oplossen van de hierboven
geschetste problematiek, staat
de volgende hoofdvraag centraal in dit onderzoek:
Hoe zou een op moderne veiligheidstheorien en organisatiekunde
gebaseerd
raamwerk, dat de MLA in haar rol van borger van de veiligheid op
weg naar veilige
luchtruimintegratie van het MALE UAS kan helpen, er uit kunnen
zien?
Om deze hoofdvraag te beantwoorden zijn eerst belangrijke
veiligheidstheorien en theorien
uit de organisatiekunde middels een bureauonderzoek
geanalyseerd. Uit deze analyse blijkt
dat voor het veilig organiseren van organisaties zoals het
luchtruim het van belang is dat er
een juiste balans tussen centrale en decentrale aansturing
bestaat, dat er een goede informatie-
uitwisseling tussen de actoren plaats vindt, dat de local
rationality van de verschillende
actoren in kaart wordt gebracht en dat hier rekening mee
gehouden wordt en dat de actoren
behoedzaam met elkaar interacteren. Het continue, iteratieve en
gecombineerde gebruik van
deze principes zou veilig organiseren van bepaalde complexe
socio-technische systemen
mogelijk maken.
Het empirische deel van het onderzoek is uitgevoerd in drie
dataverzamelingsronden. Tijdens
de eerste dataverzamelingsronde is aan medewerkers van de MLA
gevraagd hoe zij de vier
-
7
theoretisch gevonden principes vertaald zien naar de praktijk
van luchtruimintegratie. Tijdens
de tweede dataverzamelingsronde is, om meer consensus te
bereiken, de synthese van de
eerste interviews voorgelegd aan dezelfde MLA-medewerkers in een
Delphi-panel. De
uitkomst hiervan is tijdens de derde dataverzamelingsronde
voorgelegd aan een aantal externe
stakeholders van de MLA. Hun opmerkingen en kritieken zijn, voor
zover relevant, verwerkt.
Op basis van deze drie dataverzamelingsronden is een model
(tabel 2) opgesteld dat bij kan
dragen aan het veilig organiseren van luchtruimintegratie.
De eerste conclusie van het onderzoek heeft betrekking op het
model (tabel 2). Het model
bevat vier basisprincipes die vervolgens in een momentopname als
een voorbeeld zijn
uitgewerkt in een aantal richtlijnen en te beantwoorden vragen.
De tweede conclusie van dit
onderzoek is dat er met het bureauonderzoek, het hieruit
voortvloeiende theoretische kader en
het operationaliseren van de principes door middel van de
casestudy een meer theoretische
bodem is gelegd voor hoe complexe socio-technische systemen die
gekarakteriseerd worden
door bepaalde kenmerken veilig georganiseerd kunnen worden. Dit
is weergegeven in de
linkse en middelste kolom van het model (tabel 2). De derde en
laatste conclusie van dit
onderzoek luidt dat er door bevoegd gezag een keuze gemaakt moet
worden tussen het verder
finetunen van het ontwikkelde model (tabel 2) of het al adaptief
en lerend implementeren en
uitvoeren van het model.
De aanbevelingen die volgen uit dit onderzoek vallen uiteen in
drie categorien, namelijk
aanbevelingen voor het finetunen van het ontwikkelde model,
aanbevelingen voor het
implementeren en uitvoeren van het ontwikkelde model en
aanbevelingen voor de
wetenschappelijke gemeenschap die zich bezig houdt met onderzoek
naar het veilig
organiseren van complexe socio-technische systemen.
-
8
Inhoudsopgave
Managementsamenvatting
..........................................................................................................
2
Summary
....................................................................................................................................
4
Samenvatting
..............................................................................................................................
6
Afkortingenlijst
........................................................................................................................
10
Hoofdstuk 1 Inleiding
............................................................................................................
12
1.1 Aanleiding
......................................................................................................................
12
1.2 Probleemstelling
.............................................................................................................
12
1.3 Relevantie
.......................................................................................................................
16
1.4 Doelstelling
....................................................................................................................
17
1.5 Onderzoeksmodel
...........................................................................................................
18
1.6 Langgerekte formulering van het onderzoeksmodel
...................................................... 19
1.7 Vraagstelling
..................................................................................................................
19
1.8 Leeswijzer
......................................................................................................................
20
Hoofdstuk 2 Theoretisch kader
.............................................................................................
21
2.1 Socio-technische systemen en complexiteit
...................................................................
21
2.2 Klassieke versus moderne benadering van veiligheid
.................................................... 23
2.3 Structuurtheorien
..........................................................................................................
25
2.4 Procestheorien
..............................................................................................................
32
2.5 Overige theorien en concepten
.....................................................................................
39
2.6 Theoretische
synthese.....................................................................................................
44
Hoofdstuk 3 Onderzoeksmethoden
.......................................................................................
49
3.1 Onderzoeksstrategie
.......................................................................................................
49
3.2 Dataverzameling en data-analyse
...................................................................................
50
3.3 Kwaliteitsaspecten
..........................................................................................................
51
Hoofdstuk 4 Resultaten
.........................................................................................................
53
4.1 Resultaten interviews en Delphi-panel MLA
.................................................................
53
4.2 Een model op basis van de theorie en input van de MLA
.............................................. 63
4.3 Oordeel, kritieken en aanvullingen van externe stakeholders
........................................ 68
4.4 Een model voor organisatorisch
houvast........................................................................
75
Hoofdstuk 5 Reflectie, conclusies en aanbevelingen
............................................................ 81
5.1 Reflectie
.........................................................................................................................
81
5.2 Conclusies
......................................................................................................................
84
5.3 Aanbevelingen
................................................................................................................
85
Referenties
................................................................................................................................
87
Bijlage 1 Topic-list interviews MLA medewerkers
..............................................................
92
Bijlage 2 Uitwerking en codering interviews MLA
medewerkers........................................ 93
-
9
Bijlage 3 Tabellen per topic interviews MLA
.....................................................................
104
Bijlage 4 Uitwerking discussievragen panel MLA-medewerkers
....................................... 108
Bijlage 5 Handreikingen voor veilige integratie vanuit het
MLA-panel............................. 113
Bijlage 6 Oordeel, kritieken en aanvulling van externe
stakeholders ................................. 114
Bijlage 7 Tabel oordeel, kritieken en aanvulling van externe
stakeholders ........................ 129
-
10
Afkortingenlijst
ALC Afdeling Luchtvaarttechniek en Certificering (MLA)
ALL Afdeling Luchthavens en Luchtruim (MLA)
ALO Afdeling Luchtoperaties (MLA)
AMO/ISR Afdeling Missie Ondersteuning/Intelligence, Surveillance
&
Reconnaissance (CLSK)
ATC Air Traffic Control
ATM Air Traffic Management
B-VLOS Beyond Visual Line of Sight
CDS Commandant der Strijdkrachten
CLSK Commando Luchtstrijdkrachten
DGB Directoraat-Generaal Bereikbaarheid
DMO Defensie Materieel Organisatie
ELOS Equivalent Level of Safety
HRO High Reliability Organization
HRT High Reliability Theory
I&M Ministerie van Infrastructuur en Milieu
ICAO International Civil Aviation Organization
IFR Instrument Flight Rules
ILenT Inspectie Leefomgeving en Transport
IPRO Integratieproject (NLDA)
MAA Military Aviation Authority
MALE UAS Medium Altitude Long Endurance Unmanned Aircraft
System(s)
MLA Militaire Luchtvaart Autoriteit
NAT Normal Accidents Theory
NLDA Nederlandse Defensie Academie
OPCO Operationeel Commando
RI&E Risico Inventarisaties & Evaluaties
SES Single European Sky
SSP State Safety Programme
TUE Technische Universiteit Eindhoven
UAS Unmanned Aircraft System(s)
VFR Visual Flight Rules
-
11
VLOS Visual Line of Sight
-
12
Hoofdstuk 1 Inleiding
1.1 Aanleiding
Met een beleidsbrief (Hillen, 2011a) heeft de Minister van
Defensie aangegeven te willen
intensiveren op een aantal gebieden. En van die gebieden betreft
de verwerving van een
MALE UAS (Medium Altitude Long Endurance Unmanned Aircraft
System). Het project
omvat vier vliegtuigen met sensoren, grondelementen voor de
bediening en de apparatuur
voor dataverwerking (Hillen, 2011a, p. 40). De keuze is juist op
een dergelijk systeem
gevallen omdat dit systeem primair uitgerust is voor optreden op
het militair-operationele
niveau, maar ook zeer geschikt is voor inzet op het tactische en
militair-strategische niveau.
Dit sluit aan bij de Nederlandse (inter)nationale ambities,
daarnaast drukt de aanschaf van een
meer allround systeem minder zwaar op het budget (Hillen,
2011b). De vluchthoogte van het
platform beslaat een bandbreedte tussen de 10.000 en 30.000 voet
(ca. 3 10km). Deze
bandbreedte wordt ook veel gebruikt door andere
luchtruimgebruikers, zowel militair als
civiel. Er zijn twee opties ten aanzien van het samenspel tussen
het nieuwe MALE UAS en
de bestaande, bemande luchtvaart: veilig integreren met de
bemande luchtvaart, of segregeren
waardoor er berhaupt geen interactie plaats vindt.
1.2 Probleemstelling
De internationale consensus is dat de integratie van onbemande
luchtvaartuigen met de
bemande luchtvaart geen negatieve invloed mag hebben op het
huidige veiligheidsniveau van
de (bemande) luchtvaart en dat er sprake moet zijn van een
naadloze inpassing in het huidige
Air Traffic Management (ATM) (ICAO, 2010). In dit kader wordt
vaak gesproken over het
verkrijgen van een equivalent level of safety (ELOS). Wat een
dergelijk gelijkwaardig
veiligheidsniveau precies inhoudt, wordt nergens eenduidig
gedefinieerd. De ICAO
(International Civil Aviation Organization) legt de
verantwoordelijkheid voor het beslissen
wat een ELOS inhoudt bij haar lidstaten. Lidstaten dienen dit op
te nemen in een State Safety
Programme (SSP) (ICAO, 2011). De ICAO hanteert zelf de volgende
richtlijn voor een
ELOS:
UAS operations must be as safe as manned aircraft insofar as
they must not
present a hazard to persons or property on the ground or in the
air that is any
greater than that attributable to the operation of manned
aircraft of equivalent
-
13
class or category. In general, UAS should be operated in
accordance with the
rules governing the flight of manned aircraft and meet equipment
requirements
applicable to the class of airspace within which they intend to
operate. UAS must
be able to comply with ATC [Air Traffic Control, RvK]
instruction
(ICAO, 2011, p. 35).
Uit de ICAO-omschrijving blijkt dat de ICAO belang hecht aan de
voorwaarde that they
[UAS, RvK] meet the same safety standards as equivalent classes
of aircraft (Armstrong,
2010, p. 8). Het vaststellen van safety standards geschiedt vaak
door het berekenen van
faalkansen. Dit is een vrij mathematische methode waarbij
berekend wordt hoe groot de kans
is op een ongeval, en waar de acceptabele grens ligt. Amalberti
(2001) plaatst de
commercile, gereguleerde luchtvaart (waar het MALE UAS mee gaat
interacteren bij
integratie) in de categorie van ultra-safe systems (p. 111). De
acceptabele kans op falen voor
deze systemen ligt al jaren vast rond de 510-7
. Dit betekent dat n disastrous accident (p.
110) per 50.000.000 gebeurtenissen acceptabel wordt geacht.
Dit lijkt een objectieve grens. Het MALE UAS hoeft slechts te
voldoen aan deze eis en er
zal sprake zijn van een ELOS. Maar wat is een disastrous
accident? Als er mensenlevens
verloren gaan? Als een vliegtuig neerstort? Als het schadebedrag
een bepaalde grens
overschrijdt? Hoe houdbaar zijn deze bestaande definities als er
een nieuw (onbemand!)
systeem wordt gentroduceerd, en er zich onvoorziene interacties
voor gaan doen? En indien
de veiligheid afgemeten wordt aan het aantal disastrous
accidents wat doet de organisatie dan
met bijna-ongevallen, incidenten en situaties waarin het bijna
fout gaat? Worden deze
gerapporteerd? Dit is onder andere afhankelijk van de cultuur in
de organisatie en heeft grote
invloed op het handelen van de mensen en de veiligheid in de
organisatie (Vaughan, 1996).
De veiligheid van dergelijke ultra-safe systems volgt dus eerder
uit een organisatorische
(politieke) compromis dan uit een wetenschappelijke onderbouwing
(Amalberti, 2001).
Wellicht dat de ICAO daarom heeft gekozen voor een gelijkwaardig
(equivalent) niveau van
veiligheid in plaats van een gelijk (equal) niveau van
veiligheid.
De door de ICAO gehanteerde definitie kent dus nogal wat
interpretatiemogelijkheden. UAS
kunnen misschien nooit voldoen aan deze definitie, juist omdat
de term zo ambigu is. Het
ambigue taalgebruik (huidige veiligheidsniveau en naadloze
inpassing) laat hiaten en
limieten in het huidige mathematisch georinteerde denken over
luchtvaartveiligheid zien.
-
14
Binnen deze denkwijze wordt het falen van een systeem verklaard
door het falen van
onderdelen van dit systeem (vandaar het bepalen van de grens van
de 510-7
op basis van
faalkansen van systeemcomponenten). Moderne
veiligheidsliteratuur neemt afstand van dit
mechanistische, reductionistische gedachtegoed en heeft
aangetoond dat er binnen complexe
systemen vaak geen duidelijk input-output relatie bestaat (bijv.
Perrow, 1984). De alinea
hierboven laat zien dat het mechanistische denken geen oplossing
biedt bij het nadenken over
het bereiken van een ELOS. Daarom is het van belang dit vanuit
de moderne
veiligheidsliteratuur te benaderen.
Ook op nationaal niveau vindt de internationale ICAO-eis
invulling. De nieuwe
Luchtruimvisie (2012) onderschrijft de ICAO-eis van een ELOS
impliciet: Totdat een
oplossing is gevonden voor de luchtruimintegratie ten aanzien
van de UAS, opereren deze
systemen afgezonderd(DGB & MLA, 2012, p. 25). Andere,
relevante gevolgen van het
invoeren van de nieuwe Luchtruimvisie laten zich pakkend
samenvattend in het volgende
citaat uit de beleidsbrief opgesteld bij het in werking treden
van de nieuwe visie:
Het onderscheid tussen het civiele en het militaire deel van het
luchtruim vervalt
hiermee. Deze opzet vraagt van luchtruimgebruikers dat ze niet
meer luchtruim
claimen dan strikt noodzakelijk is voor het uitvoeren van hun
activiteiten. Tevens
vergt dit een zorgvuldige en tijdige planning van de
activiteiten. Defensie beschikt
niet langer over de mogelijkheid delen van het luchtruim vast
aan te wijzen voor
exclusief militair gebruik. Daar staat tegenover dat de
militaire oefenbehoefte
uitgangspunt blijft in het planningsproces om te komen tot
allocatie van
luchtruim (Atsma & Hillen, 2012, p. 3).
Als gevolg van de eisen van de ICAO en de vertaling hiervan naar
de Nederlandse
Luchtruimvisie ontstaat een paradox. De ICAO-eis resulteert op
nationaal niveau in segregatie
totdat een ELOS bereikt is, maar segregatie lijdt juist tot een
vermindering van de missie-
effectiviteit en een vermindering van de flexibiliteit van het
luchtruim. Dit terwijl met de
nieuwe Luchtruimvisie (2012) juist geprobeerd wordt flexibeler
om te gaan met het luchtruim.
Allerhande actoren met belang bij een flexibel luchtruim zullen
een langdurige afbreuk aan de
beoogde flexibiliteit op de lange termijn niet accepteren. Deze
paradox vormt een onderdeel
van het luchtruimintegratievraagstuk waarmee Defensie met het
aanschaffen van het MALE
UAS wordt geconfronteerd.
-
15
Bij het louter gesegregeerd inzetten van het MALE UAS zullen
hier telkens gebieden voor
moeten worden gereserveerd. Dit zal ten koste gaan van de totale
missie-effectiviteit van
Defensie. Enerzijds komt dit doordat met het UAS hierdoor meer
planmatig (en dus minder
flexibel) zal moeten worden geoefend/opgetreden. De gebieden
moeten tenslotte, behoudens
inzet in extremis, worden gereserveerd. Anderzijds zal het
betreffende deel van het toch al
beperkte Nederlandse luchtruim gesloten zijn voor de inzet van
overig militair verkeer.
Een volgend argument waarom integratie op de lange termijn
noodzakelijk is, heeft te maken
met het trainen, opwerken en gereed stellen voor operationele
inzet. Door een scheiding
tussen bemande en onbemande luchtvaart is (oefenen met)
integratie met bemande militaire
luchtvaart ook niet mogelijk. Dit kan ten koste gaan van de
operationele effectiviteit van het
luchtwapen in zijn geheel. Afbreuk aan effectieve inzet is zeer
ongewenst, aangezien
effectieve inzet n van de zeven essentile operationele
functionaliteiten is (Defensiestaf,
2005). In inzetgebieden wordt het noodzakelijk geacht
gentegreerd (joint en/of combined) op
te kunnen treden, of in ieder geval niet volledig gentegreerd
maar wel gebruik makend van
hetzelfde operatiegebied te kunnen opereren. Een voorbeeld
hiervan is de mogelijkheid
binnen een korte tijdspanne gebruik te kunnen maken van een
gemeenschappelijke airstrip.
Indien integratie nodig is in uitzendgebieden, moet dit wel
getraind kunnen worden.
Mogelijkheden tot verkenning van gecombineerde inzet (militair
bemand en militair
onbemand) worden door segregatie ontnomen.
Ten slotte zal segregatie ten koste gaan van het commercieel
gebruik van het luchtruim (en
daarmee ten koste van de economische positie van Nederland).
Uiteindelijk zou segregatie
hierdoor zelfs kunnen leiden tot minder goodwill van de
bevolking jegens Defensie. Dit is
onwenselijk in een tijd waarin Defensie op allerlei manieren
probeert meer maatschappelijk
draagvlak te creren.
Puur gesegregeerde inzet is voor Defensie op de lange termijn
dus onacceptabel. Binnen het
Ministerie van Defensie is de Militaire Luchtvaart Autoriteit
(MLA) onder andere belast met
het uitgeven van regelgeving ten behoeve van een veilige inzet
van militaire luchtvaartuigen.
Hierbij valt te denken aan het opstellen van luchtvaarteisen,
beleid, aanwijzingen en het geven
van adviezen aan militaire luchtruimgebruikers (Overheid, 2012).
Vanuit deze rol is de MLA
de borger van de veiligheid van de militaire luchtvaart. Bij het
oplossen van het
luchtruimintegratievraagstuk vervult de MLA dan ook een
spilfunctie. Idealiter is de MLA de
-
16
controller van het vraagstuk en zal binnen het Ministerie van
Defensie het voortouw moeten
nemen bij het oplossen van dit vraagstuk.
De kern van het probleem is dat integratie van het MALE UAS
noodzakelijk is of zal
worden. Bij deze integratie moet er sprake zijn van een ELOS,
maar de MLA (als borger van
de veiligheid van de militaire luchtvaart) weet niet welk pad
hiervoor bewandeld dient te
worden. De oorzaak hiervan ligt voor een groot deel in het feit
dat de MLA geen ervaring
heeft met integratie van onbemande luchtvaart met bemande
luchtvaart. Ook internationaal is
er op dit gebied weinig ervaring; de ontwikkeling van het
integratieproces bevindt zich ook
internationaal nog in de kinderschoenen.
1.3 Relevantie
De Minister van Defensie heeft met een beleidsbrief (Hillen,
2011a) de behoefte uitgesproken
om gemeenschapsgeld te investeren in het MALE UAS. Om effectieve
en efficinte inzet
van dit systeem te waarborgen en daarbij het gebruik van het
luchtruim door de bemande
militaire en civiele luchtvaart niet te hinderen is integratie
noodzakelijk. De eis is dat dit
veilig gebeurt. De MLA is op zoek naar inzichten die bij kunnen
dragen aan het oplossen van
dit vraagstuk. Het integratieproces heeft nog nooit eerder heeft
plaatsgevonden en met de
aanschaf van UAS is gemeenschapsgeld gemoeid. Daarnaast is
veiligheid een groot
maatschappelijk belang. Daarom is het voor de MLA als cordinator
van belang dat hier
onderzoek naar gedaan wordt. Voor Defensie is dit onderzoek van
belang omdat segregatie
ten koste kan gaan van de missie-effectiviteit en trainen,
opwerken en gereed stellen voor
operationele inzet in het geding kunnen komen.
Voor de bestaande wetenschappelijke literatuur en
veiligheidstheorien is het relevant een
raamwerk te ontwikkelen dat bij draagt aan veilige integratie.
Theoretische concepten vinden
op deze manier toepassing in een praktijksituatie. Zo wordt
tijdens het voor ogen staande
onderzoek een model ontwikkeld dat kan helpen bij het veilig
organiseren van
luchtruimintegratie. De theoretische basis van dit model is
wellicht te generaliseren en
extrapoleren naar andere contexten die door dezelfde kenmerken
gekarakteriseerd worden als
de context waarin UAS gaan opereren.
-
17
1.4 Doelstelling
Om een bijdrage te leveren aan de oplossing van de hierboven
geschetste relevante
problematiek is een doelstelling van dit onderzoek geformuleerd.
Deze luidt als volgt:
Het doel van het onderzoek is een bijdrage te leveren aan het
veilig organiseren van de
integratie van het MALE UAS met de bemande luchtvaart door het
ontwerpen van
een raamwerk dat de MLA houvast kan bieden bij het in goede en
veilige banen leiden
van een eventuele integratie van het MALE UAS met de bemande
luchtvaart.
Het bedoelde raamwerk zal bestaan uit een aantal (model)vragen
die de MLA (zich) kan
stellen tijdens het integratieproces. Deze vragen zullen
gebaseerd zijn op moderne, relevante
veiligheidstheorien en daarbij nauw aansluitende
organisatietheorien. Met het
beantwoorden van deze vragen kan de MLA de algehele positie ten
aanzien van een veilige
integratie bepalen en helpt het model de MLA te bepalen of het
proces zich nog binnen een
veilige bandbreedte bevindt. Met behulp van het model weet de
MLA, als controller van het
proces, waar ze nog aandacht op dient te richten alvorens verder
te gaan met het proces.
-
18
1.5 Onderzoeksmodel
In onderstaande figuur is het onderzoeksmodel opgenomen (figuur
1).
(a) (b) (c)
Figuur 1: Onderzoeksmodel.
-
19
1.6 Langgerekte formulering van het onderzoeksmodel
(a)Vooronderzoek en het bestuderen van relevante, moderne
veiligheidsliteratuur en daarbij
nauw aansluitende organisatietheorien leveren
(b)ontwerp- en procesprincipes ten aanzien van veiligheid en
veilig organiseren op. Deze
ontwerp- en procesprincipes worden geconfronteerd met de rol van
de MLA in het
luchtruimintegratievraagstuk.
(c)Uit deze confrontatie volgt een raamwerk voor de MLA. Dit
raamwerk zal bestaan uit een
model wat de MLA kan helpen de juiste vragen te stellen bij het
proces van veilige
luchtruimintegratie van het MALE UAS.
1.7 Vraagstelling
Om aan bovenstaande doelstelling te voldoen moeten de juiste
onderzoeksvragen gesteld
worden. Deze vallen uiteen in centrale vragen en deelvragen. Het
beantwoorden van de
deelvragen draagt bij aan het beantwoorden van de centrale
vragen. Het beantwoorden van de
centrale vragen draagt weer bij aan het beantwoorden van de
hoofdvraag. Met het
beantwoorden van de hoofdvraag wordt een bijdrage geleverd aan
veilige integratie van UAS
met de bemande luchtvaart zoals deze bedoeld is in de
doelstelling. Bij het opstellen van de
vragen is gebruik gemaakt van de methode van het splitsen van
het onderzoeksmodel
(Verschuren & Doorewaard, 2007).
Hoofdvraag:
Hoe zou een op moderne veiligheidstheorien en organisatiekunde
gebaseerd
raamwerk, dat de MLA in haar rol van borger van de veiligheid op
weg naar veilige
luchtruimintegratie van het MALE UAS kan helpen, er uit kunnen
zien?
Centrale vraag I:
Welke ontwerp- en procesprincipes uit de moderne
veiligheidstheorien en
organisatiekunde zijn van belang ten aanzien van veiligheid en
veilig organiseren?
Deelvragen:
1. Wat maakt een theorie tot een moderne veiligheidstheorie en
waarom zijn ze van
belang?
-
20
2. Welke moderne veiligheidstheorien en -concepten en
organisatiekundige theorien
en concepten zijn van belang ten aanzien van veiligheid?
3. Wat zeggen deze theorien of theoretische concepten over
veilig organiseren?
Centrale vraag II:
Welke ontwerp- en procesprincipes afkomstig uit de moderne
veiligheidstheorien en
organisatiekunde zijn van belang en bruikbaar voor de rol van de
MLA als borger van
de veiligheid in het luchtruimintegratievraagstuk?
Deelvragen:
1. Wat is de rol van de MLA in het
luchtruimintegratievraagstuk?
2. Hoe kunnen de theoretische ontwerp- en procesprincipes
volgens de MLA het beste
vertaald worden naar de rol van de MLA in het
luchtruimintegratievraagstuk?
3. Welke ontwerp- en procesprincipes uit de moderne
veiligheidstheorien en
organisatiekunde worden door andere stakeholders in het
luchtruimintegratievraagstuk van belang en bruikbaar geacht?
1.8 Leeswijzer
In het volgende hoofdstuk wordt het theoretisch kader
uiteengezet. Dit is, zoals reeds vermeld
in de probleemstelling, gebaseerd op moderne veiligheidstheorien
en concepten en
theorien en concepten uit de organisatiekunde. In het derde
hoofdstuk volgt de
onderzoeksmethode. Dit hoofdstuk gaat in op hoe het empirische
deel van dit onderzoek is
ingericht. Vervolgens volgt een beschrijving van de resultaten
uit de praktijk. In het vijfde en
laatste hoofdstuk volgen de reflectie, conclusies en
aanbevelingen. Met dit laatste hoofdstuk
wordt gereflecteerd op het onderzoek en de bijdrage geleverd
zoals deze bedoeld is in de
doelstelling in de vorm van een drietal conclusies en aantal
aanbevelingen.
-
21
Hoofdstuk 2 Theoretisch kader
Uit de probleemstelling is gebleken dat integratie van het MALE
UAS met de bestaande
luchtvaart noodzakelijk is. Zo kan segregatie er toe leiden dat
de doelstelling van de nieuwe
Luchtruimvisie (2012) niet behaald zal worden, gaat segregatie
ten koste van de missie-
effectiviteit van Defensie, kan segregatie ten koste gaan van de
effectieve inzet van Defensie
en kan segregatie afbreuk doen aan het commercieel gebruik van
het Nederlandse luchtruim
en aan het maatschappelijk draagvlak voor Defensie.
Daarnaast is gebleken dat aan de integratie van onbemande
luchtvaart met de bemande
luchtvaart ambigue eisen zijn gesteld. De ICAO (2010) stelt dat
er sprake van een ELOS moet
zijn. Het woord equivalent in deze afkorting zorgt juist voor
deze ambiguteit. Dit komt
omdat nergens precies duidelijk wordt gemaakt wat bedoeld wordt
met een dergelijk
equivalent level of safety, wat het lastig maakt om te bewijzen
dat UAS aan deze schijnbare
eis voldoen, vooral ook door beperkingen in en limieten van het
klassieke, mathematische
denken over (luchtvaart). Zo blijkt de mythische grens van
510-7
voor een disastrous
accident niet objectief te bepalen. Bovendien is met deze
mathematische benadering niet
duidelijk welke lessen geleerd worden in situaties waarin
ongevallen nog net afgewenteld
worden (Amalberti, 2001). Vaughan (1996) laat bijvoorbeeld zien
dat er met het verloop der
tijd sleet kan ontstaan op de veiligheidscultuur binnen een
organisatie. Hierdoor kunnen
ongevallen alsnog onzichtbaar de organisatie binnen sluipen.
Daarnaast kan de vraag gesteld
worden hoe houdbaar huidige definities zoals die van een ELOS
zijn wanneer een nieuw
subsysteem (UAS) aan het systeem (het luchtruim, het gebruik
hiervan en de wisselwerking
tussen de gebruikers) wordt toegevoegd en het systeem als
zodanig wijzigt. In dit onderzoek
is daarom gekozen voor een meer moderne benadering van
veiligheid.
2.1 Socio-technische systemen en complexiteit
Veel van de moderne veiligheidstheorien zijn gebaseerd op
inzichten uit de systeemtheorie.
Systeemdenken kent een lange geschiedenis die terug te voeren is
tot Aristoteles. In zijn
Metafysica gaat hij al in op wat tegenwoordig gezien kan worden
als systeemdenken (Ropohl,
1999). Hierin wordt een geheel (een systeem) niet alleen
gekarakteriseerd door de
onderdelen van dit geheel, maar vooral ook door de relaties
tussen deze onderdelen. Lamberts
(1782) voegt hier aan toe dat dergelijke systemen niet per se
alleen uit natuurlijke elementen
-
22
(zoals het zonnestelsel) dienen te bestaan. Andere voorbeelden
van systemen die hij noemt
zijn samenlevingen, organisaties, gebouwen en machines.
Een bepaald type systeem dat in het kader van UAS-integratie van
belang is, is het zogeheten
socio-technische systeem. Een socio-technisch systeem is te
definiren als het geheel van de
mensen (socio), de techniek (technisch) en de wisselwerking of
interface tussen de onderdelen
binnen dit geheel. Juist deze gecombineerde (holistische)
benadering van socio-technische
systemen is volgens Ropohl (1999) van belang omdat technische
ingenieurs niet voldoende
inzicht hebben in de sociale aspecten van hun ontwerpen en
sociologen niet voldoende inzicht
zouden hebben in de invloed van technologie op het functioneren
van het systeem. Door
sociologie en technologie binnen een systeem holistisch te
benaderen, zo is de idee, verruimt
de blik op het systeem, verkrijgt men meer inzicht in het totale
functioneren van dit systeem
en kan dit functioneren beter beoordeeld en aangepast worden
(Ropohl, 1999). Dit is voor het
UAS-integratievraagstuk van belang omdat het hier gaat om een
systeem van mensen,
vertegenwoordigd in allerlei groepen stakeholders (Van Klinken,
Stultiens & Van Tilburg,
2012) en techniek (het MALE UAS, maar ook reeds bestaande
luchtvaartplatformen) die
allen met elkaar interacteren en daarmee de kaders van het
vraagstuk bepalen en blijven
bepalen.
Een treffend voorbeeld van hoe een dergelijk complex aan
verbanden interacteert geeft Sagan
(1993) in zijn boek The limits of safety. Tijdens de Koude
Oorlog onderhielden de Verenigde
Staten een early warning system ten behoeve van het tijdig
detecteren van een aanval met
intercontinentale raketten door de Sovjet-Unie. Omdat de
verbindingen tussen radarstations in
het noorden van Amerika en het hoofdkwartier in Colorado Springs
niet altijd betrouwbaar
waren, werd er voor gekozen B-52 bommenwerpers in de nabijheid
van de radarstations te
laten patrouilleren. Hiermee werd een nieuwe zekerheid
ingebouwd. Het recept voor succes
werd verbeterd, omdat de kans op detectie van een aanval groter
werd. Deze maatregel leidde
aan de andere kant echter ook tot nieuwe faalkansen, of een
uitbreiding van het recept voor
falen. Dit volgt uit een what if scenario waarin een B-52 neer
zou storten en er tegelijkertijd
geen radiocontact tussen een station en het hoofdkwartier zou
zijn. Hierdoor bestond de
aanmerkelijke kans dat er aangenomen werd dat dit door een
aanval vanuit de Sovjet-Unie
plaats zou hebben gevonden, met alle mogelijk escalerende
effecten van dien (Sagan, 1993).
Dit voorbeeld geeft aan dat een kritieke succesfactor geen
discreet of binair gegeven is en
ondermijnt hiermee de gedachte van lineaire relaties in complexe
socio-technische systemen.
-
23
Juist door de complexiteit die kenmerkend is voor
socio-technische systemen is gebleken dat
in dergelijke systemen het recept voor succes nagenoeg gelijk is
aan het recept voor falen
(Woods, Dekker, Cook, Johannesen & Sarter, 2010). Dit komt
omdat er tussen
systeemonderdelen interacties optreden die voor de operators in
het systeem niet zichtbaar en
inzichtelijk zijn. Hierdoor is een duidelijke oorzaak-gevolg
relatie van successen en
(on)veiligheid niet te bepalen. Dit is een van de redenen waarom
de moderne benadering van
veiligheid vragen stelt bij het klassieke denken. Het klassieke
denken gaat tenslotte uit van
lineaire verbanden binnen organisaties welke een duidelijke
oorzaak-gevolg relatie impliceren
tussen verschillende onderdelen van bijvoorbeeld een
organisatie. Dit maakt de klassieke
benadering van veiligheid ontoereikend in deze omdat een
socio-technisch systeem is
opgebouwd, zoals hierboven beargumenteerd, uit verscheidene met
elkaar interacterende
sociale en technische elementen en onderdelen. Een klassieke
benadering biedt derhalve geen
inzicht in complexe verbanden die onveiligheid kunnen
veroorzaken. In het volgende deel
wordt beredeneerd waarom binnen socio-technische systemen een
meer moderne benadering
van veiligheid meer gepast is.
Een systeem kan als complex worden beschouwd wanneer de manier
waarop onderdelen
binnen dit systeem met elkaar interacteren niet inzichtelijk is.
Dit staat tegenover systemen
die gekenmerkt worden door lineaire relaties waarbij wel
duidelijk is hoe systeemonderdelen
met elkaar interacteren (Perrow, 1984). Een voorbeeld van een
systeem dat gekenmerkt wordt
door lineaire relaties is een assemblagelijn. Binnen een
assemblagelijn is namelijk volkomen
inzichtelijk hoe de verschillende onderdelen van de lijn elkaar
benvloeden en welke
productievolgorde van belang is. Socio-technische systemen zijn
per definitie complex omdat
tussen de sociale subsystemen, de technische subsystemen en de
interface components must
interact in more than linear, sequential ways, and therefore may
interact in unexpected ways
(Perrow, 1984, p. 83). Verder onderzoek dat heeft
voortgeborduurd op deze stelling heeft
uitgewezen dat dit inderdaad zo is (bijv. Snook, 2000; Bakx
& Nyce, 2012). Vanwege deze
complexiteit is een moderne veiligheidsbenadering meer gepast,
omdat een dergelijke
benadering complexe verbanden probeert inzichtelijk te
maken.
2.2 Klassieke versus moderne benadering van veiligheid
Woods et al. (2010) stellen dat de klassieke en moderne
benadering op drie globale punten
cruciaal van elkaar verschillen. Het klassieke denken ziet een
menselijke fout vaak als een
oorzaak van systeemongevallen. Een moderne veiligheidsbenadering
nodigt daarentegen uit
-
24
dieper in de organisatie te kijken en te onderzoeken welke
systeemeigenschappen en
interacties tot een ongeval hebben geleid of tot een ongeval
zouden kunnen leiden, daar waar
een klassieke benadering stopt bij het opsporen van een
menselijke fout en dit als de oorzaak
van het ongeval aanmerkt (Woods et al., 2010). Met andere
woorden, binnen de moderne
veiligheidsbenadering wordt een menselijk fout gezien als een
effect van reeds aanwezige
kwetsbaarheden in een socio-technisch systeem.
Op de tweede plaats kent een moderne veiligheidsbenadering de
premisse dat zeggen wat
operators hadden moeten doen geen bevredigend antwoord geeft op
de vraag waarom en hoe
een ongeval heeft kunnen plaatsvinden. In het moderne
veiligheidsdenken gaat het er om in
kaart te brengen waarom het vertoonde gedrag van de operator
voor hem of haar op dat
moment zinvol is geweest. In het kader hiervan wordt de term
local rationality (Woods et
al., 2010, p. 125) vaak gebezigd. Hiermee wordt het lokale
referentiekader van de operator
bedoeld, de 'bril' die hij op dat moment op heeft en waardoor
hij de wereld om zich heen
interpreteert en beoordeelt. Er zijn nu eenmaal grenzen aan de
hoeveelheid en
verscheidenheid aan data die een operator ontvangt, en er zijn
grenzen aan het vermogen van
de operator om deze data in context te brengen (Woods et al.,
2010).
Het laatste globale punt waarop de klassieke en moderne
benadering van veiligheid cruciaal
van elkaar verschillen heeft te maken met de aanwezigheid van
respectievelijk stabiliteit en
dynamiek binnen het te beschouwen systeem. Zo stellen Woods et
al. (2010, p. 7) dat only by
constantly seeking out its vulnerabilities organizations [can]
enhance safety. Hints voor
veilige beheersing liggen in het doorlopen van een continu en
iteratief proces omdat de
situatie telkens wijzigt, al is het alleen maar door het eigen
ingrijpen in het kader van het
beheersen. Dit onderstreept de dynamiek die inherent is aan
socio-technische systemen. Deze
dynamiek staat tegenover de klassieke gedachte die een stabiel,
perfect ontworpen systeem
veronderstelt. Als er fouten optreden ligt dit in de klassieke
visie aan de feilbare operators;
het systeem is immers stabiel. Volgens dit denken moeten fout
handelende operators dan ook
nog beter getraind of uit het systeem verwijderd worden en
vervangen worden door nieuwe
operators. Hiermee kan volgens de klassieke benadering terug
worden gegaan naar het punt
van stabiliteit van het systeem die het eerder had. Dit botst
met de hierboven geconstateerde
realiteit van de dynamiek die inherent lijkt te zijn aan
socio-technische systemen. Juist de
mensen in de organisatie zorgen ervoor dat de productie in het
complexe systeem, afgestemd
op de dynamiek in de omgeving en binnen in het systeem, veilig
plaats vindt. (On)veiligheid,
-
25
met andere woorden, is een dynamisch begrip (Amalberti, 2001) en
is niet iets wat een
systeem heeft, maar wat een systeem doet (Dekker, Hollnagel,
Woods & Cook, 2008).
De keuze voor de benadering van het luchtruimintegratievraagstuk
op basis van moderne
veiligheidsliteratuur ligt voor de hand, omdat het moderne
veiligheidsdenken beter aansluit bij
de eigenschappen van complexe socio-technische systemen. In de
rest van dit hoofdstuk volgt
een analyse van theorien die aansluiten bij de context waarin
UAS gaan opereren (complexe
socio-technische systemen). Om binnen de veelheid aan literatuur
en stromingen binnen dit
gedachtegoed toch enigszins structuur aan te brengen, is een
onderverdeling aangebracht
tussen structuurtheorien, procestheorien en theorien die zich
niet per se onder n van deze
noemers laten brengen. Ik heb gekozen voor deze onderverdeling
op basis van het concept
practical drift van Snook (2000, p. 182). Practical drift is the
slow, steady uncoupling of
local practice from written procedure (p. 194). Met andere
woorden, volgens Snook (2000)
is het van belang te onderkennen dat er een bepaald verschil
optreedt tussen hoe
werkzaamheden en processen in de praktijk worden uitgevoerd en
hoe ze voorgeschreven
staan. Het concept practical drift baseert Snook (2000) op zijn
onderzoek naar een
luchtvaartongeval. Dit ongeval vond plaats door
afstemmingsproblemen tussen verschillende
organisaties die tezamen opereerden in n complex socio-technisch
systeem (Snook, 2000).
Juist daarom acht ik dit concept van belang en toepasbaar op het
luchtruimintegratievraagstuk.
Het mechanisme practical drift en daarmee het ontstaan van
ongevallen wordt door Snook
(2000) verklaard door variabelen in de organisatie die met de
structuur van en processen in de
organisatie te maken hebben. Daarom kies ik er voor om binnen
dit theoretische kader ook
deze onderverdeling te maken. Om het
luchtruimintegratievraagstuk zo holistisch mogelijk te
benaderen maak ik gebruik van een derde categorie. Hieronder
valt een tweetal andere
theoretische concepten die niet onder structuur- of
procestheorien te scharen zijn.
2.3 Structuurtheorien
Normal Accident Theory
Perrow (1984) betoogt in zijn boek Normal Accidents: living with
high risk technologies dat
er in de huidige wereld (socio-technische) systemen zijn die hoe
dan ook onderhevig zijn aan
het ontstaan van ongevallen. Perrow (1984) onderscheidt
incidenten van ongevallen in die zin
dat ongevallen van impact zijn op het systeem als geheel. Bij
een ongeval komt volgens
Perrow, met andere woorden, de continuteit van de output van het
systeem als geheel in het
-
26
geding. Perrow onderscheidt in systemen parts, units, subsystems
en system (1984, p.
65), waarbij parts het laagste systeemniveau betreffen en het
niveau system het gehele
systeem. Of een systeem gedoemd is ongevallen te produceren is
volgens Perrow (1984)
afhankelijk van twee structuurvariabelen, namelijk interactions
en coupling (p. 62).
De interacties binnen het systeem hebben volgens Perrow (1984)
betrekking op de manier
waarop de verschillende systeemonderdelen met elkaar
interacteren. Hij onderkent hierin twee
uitersten, namelijk lineaire interacties en complexe
interacties. Lineaire interacties zijn
interacties die in een verwachte en bekende volgorde
plaatsvinden, en die, zelfs wanneer een
ongeplande interactie plaats vindt, voor de operators zichtbaar
zijn. Een voorbeeld van een
systeem waarin lineaire interacties optreden is een systeem dat
producten aan de lopende band
produceert, zoals een autofabriek, omdat de volgorde waarin de
handelingen elkaar opvolgen
inzichtelijk is. Complexe interacties zijn interacties die in
onbekende, ongeplande en/of
onverwachte volgorde plaatsvinden. Deze interacties zijn ook
niet direct inzichtelijk voor
operators. Een voorbeeld van een systeem dat gekenmerkt wordt
door complexe interacties is
een kerncentrale. Binnen dit systeem wordt door de operators
nooit volledig bevat hoe de
verschillende systeemonderdelen op elkaar ingrijpen (Perrow,
1984).
De tweede structuurvariabele die bepaalt of een systeem gedoemd
is ongevallen te
produceren betreft de koppeling tussen de verschillende
systeemdelen. Perrow (1984, p. 89)
maakt hierin een onderscheid tussen tight en loose koppeling. De
mate van koppeling
wordt bepaald door de mate van wederzijdse afhankelijkheid
tussen verschillende onderdelen
van een socio-technisch systeem (Weick, 1976; Perrow, 1984;
Snook, 2000). Strak
gekoppelde systemen worden gekenmerkt door wederzijds
afhankelijke processen. Een
voorbeeld hiervan is een halffabricaat in een chemische fabriek.
Mede door het ontwerp van
strak gekoppelde systemen is het slechts mogelijk om volgens n
vaste manier het systeem te
door lopen. Strak gekoppelde systemen hebben zeer weinig
speling; de hoeveelheden die
benodigd zijn voor het productieproces zijn zeer precies
vastgesteld en elke afwijking hiervan
brengt consequenties met zich mee (Perrow, 1984). Los gekoppelde
systemen zijn systemen
waarbij veel ruimte en minder afhankelijkheid bestaat tussen de
verschillende subsystemen. In
een los gekoppeld systeem zijn vertragingen in het primaire
proces mogelijk, zijn variaties in
(productie)volgorde mogelijk, zijn variaties in
(productie)methode mogelijk en hebben
verspillingen weinig invloed op het functioneren van het hele
systeem (Perrow, 1984, p. 93-
94). Een voorbeeld hiervan is een school. Hierin kan een les in
het rooster gemakkelijk
-
27
worden verplaatst naar een ander tijdstip, dag of lokaal zonder
dat er moet worden ingeleverd
op de kwaliteit van het eindproduct (Perrow, 1984).
Figuur 2: Koppeling- en interactie-matrix (Perrow, 1984, p.
97).
Aan de hand van deze twee structuureigenschappen is een matrix
met vier kwadranten op te
stellen (figuur 2). Perrow (1984) beargumenteert op basis van
empirisch bewijs (diverse
ongevalsanalyses) dat de systemen in kwadrant twee (figuur 2)
gedoemd zijn tot ongevallen
en komt op basis daar van tot de conclusie dat ongevallen in
systemen die gekenmerkt worden
door complexe interacties en strakke koppeling normaal zijn. Met
andere woorden,
ongevallen vloeien in deze systemen voort uit de eigenschappen
die inherent zijn aan deze
systemen: because of the nature of the system itself; they are
system accidents, and are
inevitable, or normal for these systems (Perrow, 1984, p. 330).
Daarom wordt deze theorie
de Normal Accidents Theory (NAT) genoemd.
Hoe kan het dan zo zijn dat juist systemen die gekenmerkt worden
door strakke koppelingen
en complexe interacties onderhevig zijn aan het ontstaan van
systeemongevallen? Volgens
Perrow (1984) komt dit door de tegenstrijdige eisen die aan het
management van dergelijke
systemen worden gesteld. Wanneer een systeem wordt gekenmerkt
door complexe interacties
zou beslissingsbevoegdheid tot een laag niveau gedecentraliseerd
moeten zijn. Dit omdat de
operators op het laagste niveau dan het beste om kunnen gaan met
lokale variatie. Een
systeem dat gekenmerkt wordt door strakke koppelingen zou
volgens Perrow (1984) echter
-
28
juist centraal aangestuurd moeten worden. Dit omdat alleen op
het hoogste, centrale niveau
een goede regie van de aan elkaar gerelateerde systeemonderdelen
plaats kan vinden.
Systemen gekenmerkt door strakke koppeling enerzijds en complexe
interacties anderzijds
moeten dus, volgens de theorie, tegelijkertijd centraal en
decentraal aangestuurd worden. Dit
is volgens Perrow (1984) een onoplosbare paradox die in het
ergste geval resulteert in normal
accidents.
Wat opvalt, is dat Perrow (1984) naast de eerder genoemde
voorbeelden van een productielijn
en een kerncentrale, ook de systemen aircraft en airways (p.
123) noemt. Dit is van belang
voor het luchtruimintegratievraagstuk. Perrow (1984) betoogt
hierbij dat door
organisatorische en technologische ontwikkelingen, zoals
uitbreiding van ATC en
internationale regelgeving en verbeterde radar- en
navigatietechnologie, de complexiteit en
strakke koppeling in het luchtruim zijn afgenomen. Daarom
plaatst hij airways rond het
midden van de matrix (figuur 2). Met het toevoegen van een nieuw
subsysteem (UAS) aan het
luchtruimsysteem kan worden betoogd dat de interacties binnen
het systeem wederom minder
verwacht, gepland en bekend worden. Er worden immers extra
actoren aan het luchtruim
toegevoegd. Hierdoor kan theoretisch worden beargumenteerd dat
het systeem van airways
zich naar het tweede kwadrant (figuur 2) kan gaan verplaatsen,
waarmee de kans op het
ontstaan van een normal accident wordt vergroot.
Hoe nu om te gaan met de mogelijkheid dat met de integratie van
het MALE UAS met de
bemande luchtvaart het luchtruimsysteem ook een high-risk system
(Perrow, 1984, p. 342)
wordt? Perrow (1984) stelt voor om het catastrofaal potentieel
van dergelijke systemen te
analyseren en af te wegen welke alternatieve methodes bruikbaar
en rendabel zijn. Het lijkt er
op dat in Perrows matrix (figuur 2) met de positie in de matrix
systemen eigenschappen
worden toegedicht die als gegeven moeten worden beschouwd. Dit
geeft de NAT een
bepaalde mate van determinisme. Dit terwijl de structuur van het
systeem weliswaar wel n
en ander over het systeem zegt, maar het ook zeker van belang is
een systeem meer
procesmatig te benaderen. Inzichten uit de High Reliability
Theory (HRT) (Sagan, 1993, p.
13) kunnen hier mogelijk uitkomst bieden. Voorstanders van de
HRT betogen dat het veilig
opereren van complexe socio-technische systemen mogelijk is. De
HRT richt zich hierbij
vooral op de processen in het systeem. Voordat wordt ingegaan op
de procestheorien, wordt
eerst nog een andere structuurtheorie besproken.
-
29
Organisatieflexibiliteit
De tweede structuurtheorie wordt ontleend aan de bedrijfskunde.
Volberda (1996) gaat in op
de vitaliteit van organisaties in hyper-competitieve omgevingen.
Traditioneel gezien
ontwikkelden organisaties bepaalde kerncompetenties die moeilijk
te evenaren waren en die
volledig besloten lagen binnen de organisatie. Hierdoor
ontstonden lange, stabiele periodes
van competitie. Tegenwoordig worden concurrentie en competitie
gekenmerkt door korte,
hevige vlagen, afgewisseld door regelmatige onderbrekingen
(DAveni, 1994). Dit vindt
plaats in omgevingen die Volberda (1996, p. 359)
hypercompetitive noemt. In deze
dynamische en competitieve omgevingen moeten organisaties over
capaciteiten beschikken
die het mogelijk maken zich snel en flexibel aan te passen aan
veranderende omstandigheden.
Leonard-Barton (1992) benadrukt dat kerncompetenties die
voorheen tot succes leidden juist
tot rigiditeit kunnen leiden wanneer ze worden toegepast in deze
hyper-competitieve
omgevingen. Dit komt omdat kerncompetenties ontleend worden aan
diepgewortelde
vaardigheden, leiderschapsstijlen en technologien. Dergelijke
organisaties zijn volgens
Leonard-Barton (1992) meer rigide en kunnen hun structuur minder
snel aanpassen.
Waarom zijn dergelijke constateringen van belang voor het
integratievraagstuk? Het
luchtruim, zeker met de nieuwe Luchtruimvisie (2012) en de
mogelijke interactie van UAS
met de bemande luchtvaart, is te beschouwen als een
hyper-competitieve omgeving. Meerdere
actoren proberen gebruik te maken van een heterogeen luchtruim
en door dit gebruik hun
belangen na te streven. Deze actoren streven mogelijk
verschillende en conflicterende doelen
na, waarbij zelfs de doelen van een actor intern met elkaar
kunnen conflicteren.
Om in hyper-competitieve omgevingen mee te komen, moeten
organisaties, zoals
aangegeven, flexibel zijn. Te weinig flexibiliteit zorgt er voor
dat kerncompetenties leiden tot
rigiditeit en dat de organisatie vastroest. Te veel
flexibiliteit kan er echter toe leiden dat de
organisatie geen houvast kan vinden in de turbulente,
hyper-competitieve omgeving. Dit is
wat Volberda (1996, p. 360) the Paradox of Duality noemt (figuur
3).
-
30
Figuur 3: Paradox of Duality (Volberda, 1996, p. 361).
De paradox of duality is de uitkomst van de interactie tussen
twee organisatievariabelen,
namelijk managerial task en organization design task (Volberda,
1996, p. 361). De
management-variabele heeft betrekking op de mate waarin managers
kunnen reageren op
veranderingen in de hyper-competitieve omgeving. Deze variabele
wordt benvloed door de
variteit aan middelen die managers ter beschikking staan om
flexibel op te treden en door de
snelheid waarmee deze middelen aangewend worden. De
ontwerp-variabele heeft betrekking
op de ontworpen structuur en controle van de organisatie.
De juiste mix van managerial task en organization design task
bepaalt volgens Volberda
(1996) de flexibiliteit van de organisatie als geheel. Dit is
een holistische benadering die
Volberda deelt met de moderne veiligheidstheorien. Omdat binnen
het systeem gentegreerd
luchtruim nieuwe technologien en producten (UAS) worden
gentroduceerd en toegepast en
omdat met de nieuwe Luchtruimvisie (2012) de oude strategie van
statische segregatie
verlaten wordt, dient volgens Volberda (1996) dit systeem, of
deze organisatie, te beschikken
over een afdoende mate van strategische flexibiliteit. Volberda
(1996) betoogt namelijk dat
wanneer het ontmantelen van een oude strategie en het toepassen
van nieuwe producten
samenvallen, er sprake moet zijn van strategische flexibiliteit
om op de juiste manier om te
gaan met de paradox of duality. Omdat het luchtruim als n
socio-technisch systeem
beschouwd kan worden, kan dit socio-technische systeem, die ook
de integratie van UAS voor
-
31
haar rekening neemt, in analytische zin ook als n organisatie
beschouwd worden. Daarom is
hier sprake van interne strategische flexibiliteit waarbij een
grote variteit aan middelen en
een snelle implementatie van deze middelen deze interne
strategische flexibiliteit mogelijk
moeten maken (Volberda, 1996).
De organisatievorm die volgens Volberda (1996, p. 368) het beste
aansluit bij strategische
flexibiliteit is de flexible form. Deze flexibele organisaties
worden gekenmerkt door een
hoge mate van beheersbaarheid. Dergelijke organisaties zijn
namelijk erg behoedzaam voor
signalen uit de omgeving, waardoor ze zich snel aan kunnen
passen. Flexibele organisaties
beschikken dan ook over non-routine technologie, een organische
structuur en een
innovatieve cultuur (Volberda, 1996, p. 367). Het gebruik van
non-routine technologie houdt
in dat er niet constant gebruik gemaakt wordt van dezelfde
technologie of van hetzelfde
productieproces. Als voorbeeld van organische structuren noemt
Volberda (1996) het ontstaan
van self-organizing teams. Dit type structuren is sterk
gedecentraliseerd en kent geen strakke
hirarchie. Een innovatieve cultuur tenslotte, is een cultuur die
verschillend geuit kan worden.
Dit houdt in dat er geen sprake is van n duidelijke
organisatiecultuur met een eenduidige
strekking. Daarnaast is er binnen innovatieve culturen sprake
van delegerend leiderschap om
informatie-uitwisseling te stimuleren (Volberda, 1996). De
ultieme flexible form wordt
volgens de theorie gekenmerkt door (a)weinig officile regels,
(b)weinig socialisatie in de
organisatie en (c)door een hoge tolerantie voor ambiguteit in de
externe omgeving (Volberda,
1996). Of dit ook geldt binnen de context van het
luchtruimintegratievraagstuk valt nog te
bezien.
De theorie van Volberda (1996) maakt inzichtelijk hoe
organisaties ideaaltypisch zouden
moeten acteren in hyper-competitieve omgevingen. De inzichten
uit deze holistische
benadering leiden er toe dat niet alleen de MLA over een
afdoende mate van strategische
flexibiliteit moet beschikken, maar dat dit ook geldt voor
overige subsystemen binnen het
luchtruimintegratievraagstuk. De flexible form blijkt volgens
deze theorie de beste
organisatievorm te zijn en stelt een aantal ontwerpprincipes op
die daarbij van belang zijn.
Deze ontwerpprincipes kunnen wellicht helpen bij het inrichten
van het complexe socio-
technische systeem van het luchtruim. Zoals reeds bij de
behandeling van de NAT is
aangegeven, maar ook door het adaptieve vermogen van de flexible
form, is het echter ook
van belang procestheorien mee te nemen in dit theoretisch
kader.
-
32
2.4 Procestheorien
High Reliability Theory
Organisaties die zich volgens de principes van de HRT
organiseren worden High Reliability
Organizations (HROs) (Weick, Sutcliffe & Obstfeld, 1999, p.
31) genoemd. HROs worden
gedefinieerd als complexe socio-technische systemen die continu
onder druk moeten
presteren maar desondanks minder ongevallen produceren dan men
zou mogen verwachten
(Weick & Sutcliffe, 2007). De cognitieve infrastructuur van
een systeem bepaalt op welke
manier de processen van de organisatie verweven zijn binnen de
cognitieve capaciteiten van
het systeem (Weick et al., 1999). Juist de cognitieve
infrastructuur die de HRT voorschrijft
zou er voor zorgen dat een organisatie adaptief kan leren en
betrouwbaar kan produceren
(waarmee in deze theorie veilig wordt bedoeld) (Weick et al.,
1999). De HRT is daarmee van
belang voor het veilig organiseren van UAS-luchtruimintegratie.
Bovendien is een groot deel
van de HRT gebaseerd op analyses van het opereren van aircraft
carriers en van het gebruik
van het luchtruim op en rond deze schepen. Ook door dit nauwe
raakvlak met de praktijk van
UAS acht ik de HRT relevant, van belang en toepasbaar.
Het eerder beschreven vermogen tot adaptief leren en daarmee
betrouwbaar produceren komt
volgens Weick en Sutcliffe (2007) doordat HROs hun opereren
primair baseren op vijf
principes, namelijk gericht op verstoringen, weerzin tot
simplificaties, gevoeligheid voor
operaties, toewijding aan veerkracht en eerbied voor expertise.
De eerste drie principes
worden gebruikt om te anticiperen op verstoringen in het
systeem. Daarom worden deze drie
principes anticipatie-principes genoemd. Het vierde en vijfde
principe hebben betrekking op
het inperken van de gevolgen wanneer er zich eenmaal een
verstoring heeft voorgedaan. Deze
vijf vormen gezamenlijk de cognitieve infrastructuur van het
systeem welke het volgens de
HRT mogelijk maakt om opmerkzaam te organiseren (Weick &
Sutcliffe, 2007).
Het eerste principe stelt dat een organisatie te allen tijde
gericht dient te zijn op
verstoringen. De operators in een systeem moeten zogezegd actief
op zoek gaan naar
weeffoutjes in het systeem. Deze houding is niet
vanzelfsprekend. Mensen zijn immers
veelal gevoelig voor hints die hun vermoedens bevestigen (het
systeem opereert veilig), in
plaats van deze te ontkrachten. Door continu gevoelig te zijn
voor verstoringen in het
systeem, waken operators er voor deze verstoringen, hoe klein
ook, te accepteren. Hiermee
wordt het systeem in beginsel meer betrouwbaar (Weick &
Sutcliffe, 2007). Groepsdruk en
-
33
denken kunnen hier zowel negatief als positief aan bijdragen. Zo
kunnen in een groep de
meningen van kritische personen door groepsdruk geneutraliseerd
worden. Dit kan er toe
leiden dat de organisatie als geheel minder gericht is op
verstoringen. Tegelijkertijd kan het
werken in een groep er voor zorgen dat de tunnelvisie van een
enkel individu wordt
afgezwakt (De Bruine, Noordhoek & Tjon Tam Pau, 2010).
Als tweede stellen Weick en Sutcliffe (2007) dat een HRO een
bepaalde weerzin tot
simplificaties zou moeten hebben. Dit leidt uitdrukkelijk tot
een paradox: het gebruik van
simplificaties zorgt ervoor dat er stereotypering en uitvlakking
van details plaats vindt. Het
eerste principe liet zien dat juist gevoeligheid voor kleine
verstoringen (detailveranderingen)
van belang zijn. Tegelijkertijd zorgen simplificaties, zoals het
categoriseren van
bedrijfsprocessen, er ook voor dat we de wereld om ons heen als
geheel beter kunnen
begrijpen. Een mogelijke oplossing hiervoor zien Weick en
Sutcliffe (2007) in het gebruik
van teams bestaande uit mensen met uiteenlopende expertises.
Hierdoor kunnen zaken als
labels en categorien gebruikt blijven worden zonder (kritieke)
details uit te vlakken.
Het derde principe dat HROs gebruiken om tot hun kenmerkende
mate van veiligheid te
komen behelst het continu behouden van gevoeligheid voor
operaties. Gevoeligheid voor
operaties is about seeing what we are actually doing regardless
of what we were supposed to
do based on intentions, designs, and plans (Weick &
Sutcliffe, 2007, p. 59). Door gevoelig te
blijven voor de finesses van operaties en de uitkomsten daarvan
ontstaat weerzin tot
simplificeren en blijven operators in het complexe
socio-technische systeem gericht op
verstoringen.
Als vierde principe noemen Weick en Sutcliffe (2007) toewijding
aan veerkracht.
Veerkracht treedt op wanneer een systeem door kan gaan met
produceren ondanks het
optreden van verstoringen in n of een aantal systeemonderdelen,
of hier snel van weet te
herstellen. Veerkracht is hiermee een beheersingsmechanisme van
het systeem omdat in
zekere zin met de mate van veerkracht de bandbreedte van veilig
opereren wordt bepaald
(Weick & Sutcliffe, 2007). De HRT noemt drie componenten van
veerkracht, namelijk
absorptie, herstel en lerend vermogen. Uit eerdere absorptie- en
herstelprocessen worden
lessen getrokken over de veerkracht en de marges van het systeem
en daarmee over de
beheersbaarheid en dus het in control zijn van de organisatie
(Weick & Sutcliffe, 2007).
-
34
Het vijfde en laatste principe dat Weick en Sutcliffe (2007)
aandragen stelt dat het van belang
is dat in complexe socio-technische systemen een functionele
eerbied voor expertise
aanwezig is. Onder normale omstandigheden zal veelal de geldende
hirarchie heersen, vaak
gekoppeld aan een bepaalde mate van beslissingsbevoegdheid.
Juist tijdens het optreden van
een verstoring, zo wordt beweerd in de HRT, beschikken de
hirarchisch hogere lagen van
een organisatie niet over het juiste inzicht in het opereren van
het systeem. Juist de mensen op
de werkvloer en zij die de verstoring als eerste opmerken, zo
redeneert de HRT verder,
kunnen de gevolgen van deze verstoring het beste inperken.
Expertise is echter zelden
vertegenwoordigd in n enkel individu. Daarom is het volgens de
HRT van belang om
kennis te bundelen en die heedful (Weick & Roberts, 1993, p.
361), oftewel constructief-
kritisch naar elkaar, met elkaar te laten interacteren.
Expertise kenmerkt zich tenslotte door
een verzameling van gerelateerde kennis, ervaringen,
theoretische kennis en vaardigheden.
Weick en Roberts (1993, p. 361) pleiten dan ook bij de inzet van
expertise voor iets dat zij
heedful interrelating noemen: een collectief gedachtegoed en een
interactiepatroon waarbij
een behoedzame, voorzichtige interactie plaats vindt tussen de
informatie verwerkende
onderdelen van het systeem. Hierdoor ontstaat elke keer op een
bepaalde plaats een unieke
situationele expertise (Weick & Roberts, 1993). Eerbied voor
deze expertise is precies waar
Weick en Sutcliffe (2007) op doelen met het laatste
principe.
Het gebruik van deze vijf principes leidt volgens aanhangers van
de HRT tot een bepaalde
mate van mindfulness of opmerkzaamheid die de betrouwbaarheid
(en daarmee de veiligheid)
verhoogt (figuur 4). Opmerkzaam organiseren vindt plaats om
ambiguteit weg te nemen
(Kramer, 2004) en to narrow the range of possibilities, to
reduce the number of might
occurs (Weick, 1979, p. 6). Het toepassen van deze vijf
principes alleen biedt echter geen
roadmap to safety. Wanneer er geen ongevallen plaats vinden, hoe
kan een HRO dan hard
maken dat dit juist komt door het toepassen van de vijf
principes? Als een HRO toch te maken
krijgt met een ongeval zullen aanhangers van de HRT stellen dat
de organisatie niet mindful
genoeg was, en dat de vijf principes niet op de juiste manier
werden toegepast. Aanhangers of
tegenstanders van de HRT kunnen de uitkomsten van een
socio-technisch systeem dus
rationaliseren (Shrivastava, Sonpar & Pazzaglia, 2009) en
raken hierdoor verstrikt in een
cirkelredenatie. Daarnaast kan het continu op dezelfde wijze
toepassen van de vijf principes
leiden tot rigiditeit, uit de theorie van
organisatieflexibiliteit kwam al naar voren dat dit
onwenselijk is om de benodigde strategische flexibiliteit te
bereiken (Volberda, 1996).
-
35
Figuur 4: De vijf principes leiden tot opmerkzaam organiseren en
tot betrouwbaarheid
(thehealthcarelearningorganization.blogspot.nl, 2012).
Een ander centraal begrip in de HRT is sensemaking (Weick, 1995,
p. 4). Letterlijk vertaald
is dit het betekenis verlenen aan iets, in dit geval aan de
stimuli die worden waargenomen
tijdens opmerkzaam organiseren. Het verlenen van betekenis aan
stimuli tijdens opmerkzaam
organiseren is van belang omdat dit bijdraagt aan het volgen van
de vijf principes. Zo is een
organisatie beter in staat gevoelig te zijn voor operaties
indien er op juiste wijze betekenis
verleend kan worden aan stimuli die iets zeggen over deze
operaties. Het sensemaking-proces
is volgens de HRT dan ook de ruggengraat van de cognitieve
infrastructuur van een systeem,
die moet leiden tot opmerkzaam organiseren. Het is een actief
proces, waarbij continu
interactie tussen de wereld en het geheugen van de waarnemer
plaats vindt.
Het sensemaking-proces vindt plaats om hypotheses over de
werkelijkheid te onttrekken aan
de werkelijkheid. Dit gebeurt op basis van ambigue en onzekere
informatie over die
werkelijkheid (figuur 5). Centraal in het model staat de eerder
uitgelegde constructief-
kritische houding ten opzichte van waarnemingen.
Figuur 5: Sensemaking (Kramer, 2004, p. 82)
Het proces van sensemaking treedt in werking bij een verandering
in de omgeving, in dit
geval het socio-technische systeem. In de enactment-fase vindt
een bepaalde handeling plaats.
De waarnemer verricht een handeling die informatie oplevert
omtrent de verandering die
zojuist heeft plaatsgevonden. Tijdens de selectiefase
structureert de waarnemer de zojuist
waargenomen verandering. Op basis van de selectie stelt hij de
hypotheses op over wat er
-
36
gaande is in de wereld om hem heen. Deze hypotheses worden
opgeslagen in het geheugen
(retention). Deze herinneringen kunnen een positieve (+) invloed
hebben op volgende
handelings- en selectiefases, bijvoorbeeld omdat een
soortgelijke verandering eerder is
meegemaakt. Ze kunnen echter ook een negatieve (-) invloed
hebben, omdat er door zeer op
elkaar lijkende veranderingen simplificaties op kunnen treden
(zie ook het tweede principe
van de HRT) (Weick, 1979).
Inzicht in de beperkingen en mogelijkheden van dit proces
(eerdere gevormde en opgeslagen
hypotheses kunnen voor- en nadelen hebben omdat ze door de
retention-fase het handelen en
selecteren kunnen benvloeden, constructief-kritische houding
staat centraal) zorgen ervoor
dat organisaties de vijf principes van de HRT op een meer juiste
manier toe kunnen passen.
Hiermee worden opmerkzaamheid en betrouwbaarheid in de processen
tijdens het opereren
van het systeem bereikt. Ook voor de MLA is dit van belang. Door
gebruik te maken van de
principes en de onderliggende cognitieve infrastructuur die de
HRT biedt, kan de MLA
immers het vermogen ontwikkelen onverwachte gebeurtenissen te
ontdekken en te managen.
Dit leidt tot meer betrouwbare en maatschappelijk wenselijke
uitkomsten van het integreren
van UAS.
Resilience Engineering
De tweede en laatste procestheorie die deel uitmaakt van dit
theoretisch kader is het nog vrij
nieuwe concept Resilience Engineering (Dekker et al, 2008, p.
4). Net als bij de HRT gaat
het hierbij om het omgaan met en het managen van het
onverwachte. Resilience Engineering
richt zich daarbij vooral op het door de HRT voorgeschreven
principe van toewijding aan
veerkracht. Omdat veerkracht een bepaalde dynamiek impliceert
schaar ik ook dit
theoretisch concept onder de procestheorien.
Ook Resilience Engineering neemt afstand van de klassieke
veiligheidsopvattingen.
Resilience Engineering ziet fouten namelijk niet als het falen
of niet functioneren van een of
meerdere systeemonderdelen, maar als gevolg van het noodzakelijk
aanpassen van het
systeem aan een complexe realiteit (Dekker et al., 2008).
Resilience Engineering is het
structureel inbouwen van veerkrachtige capaciteit (zie het
vierde principe van de HRT) in
systemen (Woods, 2006). De nadruk ligt hierbij steeds meer op
het opvangen van
veranderingen die buiten de origineel ontworpen
prestatieparameters van het systeem liggen
(Woods, 2006).
-
37
Ik acht het concept Resilience Engineering van belang voor dit
onderzoek omdat het concept
zich richt op opvangen van verstoringen buiten de
ontwerpprincipes van systemen. Deze
verstoringen vereisen een snelle verandering in processen,
strategien en
cordinatiemechanismen (Woods, 2006). Deze strekking sluit aan
bij de vereisten die
voortvloeien uit het onbekende en iteratieve karakter van de
luchtruimintegratie (Van Klinken
et al., 2012) en bij de adaptieve structuur voorgeschreven door
Volberda (1996) en kan
mogelijk bijdragen aan een deel van de oplossing van het
luchtruimintegratievraagstuk.
De mate van veerkracht kan op een aantal manieren uitgedrukt
worden, zoals de beschikbare
buffercapaciteit binnen de performance envelope (Woods, 2006,
p.22) , de balans tussen
organisatorische flexibiliteit en rigiditeit (zie ook de
structuurtheorie over
organisatieflexibiliteit), de huidige plaats binnen de
grenswaarden of de tolerantie voor het
bereiken van grenswaarden (Woods, 2006; Dekker et al.,
2008).
Ieder systeem heeft een zogenaamde performance envelope. Deze
geeft de grenzen aan voor
het veilig opereren van het systeem. Woods (2006) betoogt dat
een systeem veerkrachtig kan
worden door nauwkeurig de grenswaarden hiervan te monitoren en
deze grenswaarden waar
mogelijk aan te passen wanneer blijkt dat het systeem zich
buiten de performance envelope
dreigt te begeven. Hiervoor is het volgens Woods (2006)
noodzakelijk dat inzichtelijk wordt
gemaakt hoe het systeem de eigen veiligheid creert en wat de
huidige positie van het systeem
binnen de performance envelope is. Deze positie zegt volgens de
aanhangers van het
resilience-concept iets over de mate van veerkracht, en daarmee
over de veiligheid, van het
systeem. Het kritisch bekijken van beslissingsprocessen op alle
niveaus van het systeem kan
hier aan bijdragen, omdat die de bewegingen binnen de
performance envelope induceren. Tot
zover het behouden van een veerkrachtig systeem.
Het ontwikkelen van indicatoren van resilience kan bijdragen aan
het ontwerpen van een
veerkrachtig systeem. Tegelijkertijd is het nodig dat factoren
die de veerkracht van de
organisatie ondermijnen gedentificeerd worden. Woods (2006)
geeft hierbij het belang aan
van het onderkennen van de eerder genoemde conflicterende
doelen. In het geval van UAS-
integratie valt hierbij te denken aan de commercile belangen van
luchtvaartmaatschappijen
en operationele behoeftes van Defensie. Veerkrachtige systemen
onderscheiden zich van niet-
veerkrachtige systemen doordat deze systemen de trade-offs van
de verschillende
-
38
conflicterende doelen steeds inzichtelijk maken. Hieruit blijkt
telkens weer dat de
positionering in de performance envelope van belang is voor de
keuze van de interventie.
Een andere factor die het ontwerpen van veerkracht in een
systeem kan benvloeden is de
cultuur binnen het systeem. Woods (2006) en Dekker et al. (2008)
betogen dat een cultuur
waarin schuld en verantwoordelijkheid een belangrijke rol spelen
het juist balanceren tussen
conflicterende doelen kan belemmeren. Dit komt volgens Woods
(2006) doordat bij het
nastreven van een dergelijke cultuur een operator persoonlijk
betrokken (bijvoorbeeld
financieel of juridisch) kan worden bij het balanceren tussen
conflicterende doelen.
Het toepassen van de inzichten uit Resilience Engineering zal
ultiem tot de volgende drie
organisatie-eigenschappen leiden (Dekker et al., 2008):
1. Veerkrachtige organisaties zijn in staat in organisatorische
risicos in kaart te brengen
en de positie in de performance envelope te bepalen.
2. Veerkrachtige organisaties beschikken over voldoende middelen
en een dusdanige
autoriteit dat bij het optreden van conflicterende doelen er
niet op veiligheid
ingeleverd zal worden.
3. Veerkrachtige organisaties beschikken over middelen om te
investeren in het
verbeteren van de positie binnen de performance envelope.
Een veerkrachtig systeem is hiermee in staat om het eigen
functioneren voor, tijdens en na
veranderingen en verstoringen en met de blik op komende
stresssituaties te behouden (Dekker
et al., 2008).
Het is voor de MLA van belang om de veerkracht in het
luchtruimintegratievraagstuk
structureel te bewaken. Als borger van de veiligheid is de MLA
namens de Minister van
Defensie verantwoordelijk voor de veiligheid van de militaire
luchtvaart. Door interacties met
de bestaande, bemande luchtvaart en de betrokkenheid van veel
stakeholders neemt het belang
van deze veerkracht voor de gehele maatschappij alleen maar toe,
omdat door deze interacties
de kans ontstaat dat het systeem ongemerkt de grenswaarden van
de performance envelope
bereikt.
-
39
2.5 Overige theorien en concepten
Organizational Learning
Levit en March (1988) definiren een lerende organisatie als een
organisatie die lessen uit de
geschiedenis van de organisatie om weet te zetten in routines
die het gedrag voor toekomstig
handelen kunnen reguleren. Dit proces wordt organizational
learning (p. 320) genoemd.
Deze definitie is gebaseerd op een drietal observaties (Levit
& March, 1988):
1. Gedrag in organisaties is gebaseerd op routines. Dit betekent
dat een afweging tussen
gedragspatronen gemaakt wordt op basis van gepastheid of
legitimiteit van een
handeling in plaats van op situationele logica.
2. Routines in organisaties zijn gebaseerd op eerdere
ervaringen. Routines zijn hiermee
meer gebaseerd op interpretaties van het verleden dan op
anticipaties op de toekomst.
3. Organisaties zijn gericht op het behalen van hun doelen.
Er zijn een aantal redenen waarom ik inzichten uit deze theorie
van belang acht. Deze
inzichten kunnen richting geven aan het lerend vermogen van een
organisatie. Allereerst
moeten volgens een meer moderne veiligheidsbenadering
organisaties continu op zoek gaan
naar hun eigen zwakheden en kwetsbaarheden om een bepaald
veiligheidsniveau te behalen
(Woods et al., 2010). Deze zoektocht impliceert een bepaalde
ontwikkeling. Om de
resultaten van deze zoektocht te interneren, moet de organisatie
zich deze resultaten eigen
maken. Dit is een lerend proces.
Ten tweede bleek uit de theorie van organisatieflexibiliteit dat
de flexible form de beste
organisatiestructuur is om te opereren in omgevingen zoals het
complexe socio-technische
systeem luchtruim. En van de eigenschappen van de flexible form
is dat deze zich snel aan
kan passen aan een veranderende omgeving. Ook hiervoor dient de
organisatie over lerend
vermogen te beschikken.
Ten slotte impliceren ook de beschreven procestheorien een
bepaalde mate van dynamisch
aanpassingsvermogen. De HRT laat zien dat organiseren juist
plaats v