Een ongeval is zelden een keten die knapt. Vaker is het een regeling die al langer niet meer deed wat ze moest — en die je met vervangen onderdelen niet repareert.
De reflex: welk onderdeel is bezweken? · De systeemblik: welke besturing schoot tekort?
Op een regenachtige avond gaat een deel van een middenspanningsnet plat. De storingsdienst rukt uit, een ploeg schakelt, een tweede ploeg neemt de reparatie over, en tegen de ochtend ligt de spanning er weer op. Bijna ging het mis: een sectie die op de schakelinstructie als spanningsloos stond, bleek dat maar half te zijn, en alleen doordat een monteur op zijn LMRA vertrouwde in plaats van op het papier, raakte niemand een kabel aan die er niet uit had mogen zien. Er komt een onderzoek. De conclusie past op een half A4: een verouderde nettekening, een schakelaar die niet doormeldde, en een monteur die een stap in de procedure had overgeslagen. Alle drie worden ze aangepakt. Tekening bijgewerkt, schakelaar vervangen, monteur bijgeschoold.
En toch knaagt er iets. Want als je goed kijkt, was elk van die drie onderdelen op zichzelf niet eens zo bijzonder. Verouderde tekeningen zijn er meer. Schakelaars die traag doormelden ook. En monteurs slaan stappen over omdat de procedure op dat punt vaker niet dan wel klopt. Het onderzoek heeft drie kapotte onderdelen gevonden en vervangen — maar de vraag waaróm het systeem toestond dat die drie tegelijk konden samenlopen zonder dat iemand het merkte, staat nergens. Dat is de kernspanning van deze kaart: zolang je ongevallen ziet als een keten van bezweken onderdelen, repareer je de onderdelen en laat je de besturing ongemoeid die het geheel had moeten tegenhouden.
De meeste onderzoeksmodellen die we intuïtief gebruiken, komen voort uit een idee dat bijna een eeuw oud is. In 1931 tekende Herbert Heinrich het ongeval als een rij dominostenen: een onveilige toestand doet een onveilige handeling ontstaan, die veroorzaakt het ongeval, dat veroorzaakt het letsel. Haal één steen weg en de rij valt niet meer om. Dat beeld zit zo diep in onze taal dat we het nauwelijks nog als keuze herkennen: we praten over de „oorzaak”, over de „directe aanleiding”, over de „grondoorzaak” alsof een ongeval een lijn is die je terug kunt lopen tot het ene punt waar het misging.
Nancy Leveson, hoogleraar aan het MIT, betoogt dat dat beeld voor moderne, softwarezware, sterk verknoopte systemen simpelweg niet meer klopt. Een net is geen rij dominostenen. Het is een systeem dat voortdurend in beweging wordt gehouden binnen een reeks veilige grenzen door talloze regelingen: schakelinstructies, vergrendelingen, werkvergunningen, LMRA’s, meldkamers, beveiligingsrelais, en de mensen die dat alles bedienen en op elkaar afstemmen. Veiligheid is in die visie niet de afwezigheid van kapotte onderdelen, maar het resultaat van besturing die het geheel binnen zijn grenzen houdt. Een ongeval is dan geen keten die knapt, maar een regeling die tekortschiet: ergens is een beperking die het systeem veilig moest houden, niet opgelegd, niet gehandhaafd of niet nageleefd.
Dat verschil is niet academisch. Als je gelooft dat het ongeval door drie kapotte onderdelen kwam, dan ben je klaar zodra je ze vervangen hebt. Als je gelooft dat de besturing tekortschoot, dan ga je andere vragen stellen. Waarom liep de informatie over de afwijkende tekening niet terug naar de schakelleider? Waarom kon de tweede ploeg beginnen zonder de waarneming van de eerste te kennen? Welke terugkoppeling had er moeten zijn en was er niet? Die vragen leiden zelden naar één schuldige en bijna altijd naar de manier waarop het werk geregeld is.
De luchtvaart maakte die omslag lang geleden. Toen na een reeks ongevallen bleek dat „pilotenfout” telkens als eindantwoord opdook, verschoof het onderzoek naar de vraag hoe cockpit, procedures, verkeersleiding en techniek samen een situatie konden laten ontstaan waarin een ervaren bemanning tot de verkeerde beslissing kwam. Niet omdat piloten geen fouten maken, maar omdat je een fout die het systeem structureel uitlokt niet oplost door de persoon te vervangen die hem deze keer maakte. De volgende persoon staat in dezelfde regelkring.
Waarom houdt het ketenbeeld dan zo hardnekkig stand? Omdat het geruststelt. Een kapot onderdeel kun je aanwijzen, vervangen en afvinken. Een tekortschietende besturing is diffuser, raakt aan hoe wij het werk zelf hebben ingericht, en wijst zelden terug naar iemand anders dan onszelf. De volgende inzichten laten zien wat er onder de motorkap van die keuze zit.
DE PSYCHOLOGIE
STAMP: het ongeval als besturingsprobleem. Nancy Leveson introduceerde in Engineering a Safer World (2011) het model STAMP — Systems-Theoretic Accident Model and Processes. Haar centrale stelling: ongevallen ontstaan niet doordat onderdelen falen, maar doordat de beperkingen die het systeem veilig moeten houden onvoldoende worden opgelegd of gehandhaafd. Ze modelleert een organisatie als een hiërarchie van regelkringen — van wetgever tot toezichthouder tot management tot uitvoerder — waarin elk niveau beperkingen oplegt aan het niveau eronder en er terugkoppeling van ontvangt. Veilig werken is dan een besturingsopgave, en een ongeval een teken dat ergens in die kringen een beperking ontbrak of een terugkoppeling niet aankwam. Je onderzoekt de regeling, niet alleen de schade.
DE PSYCHOLOGIE
Het procesmodel in het hoofd van de bediener. Leveson bouwt voort op de regeltechniek: elke regelaar — een monteur, een schakelleider, een beveiliging — stuurt op basis van een procesmodel, een intern beeld van de toestand van wat hij bestuurt. Sturen gaat mis zodra dat model uiteenloopt met de werkelijkheid: de monteur denkt dat de sectie spanningsloos is, de tekening zegt iets anders dan de kabel in de grond. De psychologische kern is dat mensen niet op de wereld reageren maar op hun model ervan, en dat het systeem verantwoordelijk is voor de terugkoppeling die dat model kloppend houdt. Ontbreekt die terugkoppeling, dan handelt zelfs een oplettende vakman correct volgens een beeld dat niet meer klopt.
DE PSYCHOLOGIE
Migratie naar de grens. Jens Rasmussen beschreef in 1997 in Risk management in a dynamic society waarom systemen langzaam onveiliger worden zonder dat iemand een verkeerde beslissing lijkt te nemen. Onder voortdurende druk van kosten en werklast schuift het gedrag van iedereen in kleine, lokaal verstandige stapjes op richting de grens van wat nog veilig is — tot die grens onopgemerkt wordt gepasseerd. Geen enkele stap is op zichzelf roekeloos; het is de optelsom, de drift, die het gevaar maakt. Rasmussen zag veiligheid daarom als het actief bewaken van die grens met terugkoppeling, niet als het naleven van een vaste set regels. Precies de besturing dus die Leveson centraal stelt.
Je hoeft geen regeltechnicus te worden om deze blik te gebruiken. Het begint bij de vraag die je stelt na een incident. Zolang die vraag luidt „wie deed wat verkeerd?”, komt er een schuldige uit en verandert er niets aan de kans dat het opnieuw gebeurt. Vervang hem door „welke beperking had dit moeten tegenhouden, en waarom deed die dat niet?” en je onderzoek loopt vanzelf naar de regeling toe. De afwijkende tekening is dan geen oorzaak maar een gemiste terugkoppeling: het systeem wist het niet omdat de weg waarlangs het dat had moeten horen, niet bestond of niet werkte.
Praktisch betekent dat: teken na een incident niet de tijdlijn van handelingen, maar de regelkring eromheen. Wie moest wat weten om veilig te kunnen sturen? Kreeg diegene die informatie op tijd, in bruikbare vorm? Welke beperking — een vergrendeling, een tweede paar ogen, een verplichte terugmelding — had de fout onschadelijk gemaakt óók als de monteur hem toch maakte? Een goede regeling gaat er namelijk van uit dat mensen fouten maken en vangt ze op; een slechte regeling gaat ervan uit dat mensen geen fouten maken en stort in zodra er één valt. Het verschil zit niet in de mensen maar in de beperkingen die je om hen heen hebt gebouwd.
De verschuiving zit niet in een nieuw formulier, maar in waar je naar kijkt als er iets misgaat.
In het buitenwerk van een netbeheerder is bijna alles een regelkring geworden. Een schakelhandeling is een gesprek tussen meldkamer, schakelleider en monteur, geregeld door instructies en vergrendelingen. Een werkvergunning is een beperking die je oplegt zodat twee ploegen elkaar niet in de weg werken. Een LMRA is een laatste terugkoppeling voordat je begint. Als je die als losse regeltjes ziet, mis je dat ze samen één besturingssysteem vormen dat het werk veilig houdt — en dat een ongeval bijna altijd betekent dat dat systeem ergens blind of doof was, niet dat er één slechte appel tussen zat.
Het gevaarlijke van het ketenmodel is dat het je een vals gevoel van afgerond geeft. Je hebt drie onderdelen vervangen, dus het is opgelost. Ondertussen staat de regeling die de samenloop toeliet er nog precies zo bij, klaar om de volgende drie onderdelen bij elkaar te laten komen. Organisaties die zwaar de fout in gaan, blijken achteraf zelden getroffen door één exotisch defect; ze bleken al lang te leunen op regelkringen die stil waren uitgehold, waarin niemand meer de terugkoppeling kreeg die hij nodig had om veilig te sturen.
Een ongeval is zelden het bewijs dat een onderdeel bezweek. Meestal is het het bewijs dat een regeling al langer niet meer deed waarvoor ze bedoeld was.
Na deze kaart onderzoek je een incident anders. Je weet dat „menselijke fout” en „kapot onderdeel” startpunten zijn, geen eindpunten, en dat de interessante vraag begint bij de besturing eromheen: welke beperking ontbrak, welke terugkoppeling kwam niet aan, welke drift was al gaande. Je hebt vier verschuivingen in handen om van schuld zoeken naar besturing lezen te gaan — en daarmee een manier om herhaling te voorkomen in plaats van alleen de schade van deze keer op te ruimen.
REFLECTIEVRAAG
Denk aan het laatste incidentonderzoek dat je zag. Eindigde het bij een onderdeel of een persoon die vervangen werd — of bij de regeling die de samenloop toeliet en er nu nog precies zo bij ligt?
De basis onder deze kaart, voor wie verder wil lezen:
Goede toegankelijke aanvullingen: het materiaal van het MIT-lab van Leveson (psas.scripts.mit.edu) over STAMP en STPA, en de Skybrary-artikelen over systeembenaderingen van veiligheid.