Warum Sie nie einen Flugzeugabsturz erlebt haben
(asteriskmag.com)- Die Flugsicherheit hat sich weiterentwickelt, indem nach Unfällen nicht eine einzelne Person bestraft wurde, sondern die Bedingungen beseitigt wurden, die denselben Fehler ermöglichten – und der Zusammenstoß von USAir 1493 in LAX im Jahr 1991 zeigt, warum
- USAir 1493 kollidierte bei der Landung auf der Piste 24L in LAX mit SkyWest 5569, das auf die Starterlaubnis wartete; am Ende starben 35 Menschen
- Die Fluglotsin Robin Lee Wascher erteilte die Landefreigabe, obwohl sie vergessen hatte, dass SkyWest 5569 noch auf der Piste stand; das NTSB wertete dies jedoch nicht als individuelles Versagen, sondern als Systemproblem aus ausgefallenem Bodenradar, verdeckter Sicht, Informationswegen und der nächtlichen Praxis, Flugzeuge auf der Piste warten zu lassen
- Seit Annex 13 des Chicago Convention steht bei der Untersuchung von Flugunfällen die Verhütung künftiger Unfälle im Mittelpunkt; um die tatsächlichen Ursachen zu finden, müssen Beteiligte ohne Angst vor Bestrafung aussagen können
- Just Culture und fehlerfreie Postmortems sorgen dafür, dass Fehler nicht verborgen werden, und führten zu realen Sicherheitsverbesserungen – etwa dazu, dass es nach dem Unfall in LAX in den USA keine tödlichen Kollisionen auf Start- und Landebahnen an Tower-Flughäfen mehr gab
Die Frage, die der Unfall von LAX 1991 aufwarf
- Am 1. Februar 1991 landete USAir flight 1493 nach einem gewöhnlichen Flug von Columbus, Ohio, zum Los Angeles International Airport auf der Piste 24L
- Das Wetter war klar, die Boeing 737 hatte keinen mechanischen Defekt, und auch beim Anflug gab es keine besonderen Probleme
- Unmittelbar nach der Landung prallte die 737 von hinten auf die kleine Pendlermaschine SkyWest flight 5569, die auf der Piste stand
- SkyWest 5569 war eine 19-sitzige Fairchild Metroliner mit zwei Turboprop-Triebwerken auf dem Weg nach Palmdale
- Beide Flugzeuge verließen zusammen die Piste und prallten mit Autobahngeschwindigkeit in eine stillgelegte Flughafenfeuerwache
- Die Zahl der Todesopfer lag am Ende bei 35
- Alle 12 Insassen der Pendlermaschine sowie der USAir-Kapitän Colin Shaw starben sofort
- In der Kabine von USAir breiteten sich Rauch und Feuer aus, und einige Passagiere konnten nicht entkommen
- Zwei schwer verbrannte Passagiere starben später im Krankenhaus
Robin Waschers Fehler und die Folgen
- Robin Lee Wascher, damals local controller im Tower von LAX, wurde nach dem Unfall gemäß Standardverfahren vom Dienst abgezogen
- Wascher hatte SkyWest 5569 angewiesen, „taxi into position and hold“, bemerkte dann aber, dass sie sich nicht erinnern konnte, eine Starterlaubnis erteilt zu haben
- Später kehrte sie in den Tower zurück und sagte ihrem Vorgesetzten, sie glaube, dass das von USAir gerammte Flugzeug SkyWest 5569 sei
- Sie wurde in keiner Weise bestraft
- Kollegen brachten sie in ein Hotel, um sie vor der Presse abzuschirmen
- Einige Monate später schilderte sie bei einer NTSB-Anhörung den Ablauf, an den sie sich erinnerte
- Es gab eine Möglichkeit, in den Tower zurückzukehren, aber sie lehnte ab
- Niemand wurde strafrechtlich angeklagt
- In der Luftfahrt gilt es als sicherheitsfördernder, solche ehrlichen Fehler nicht zu bestrafen, sondern ihre Ursachen zu untersuchen
Das schuldlose Prinzip bei Flugunfalluntersuchungen
- Unmittelbar nach Katastrophen ist die Reaktion verbreitet, eine bestimmte Person verantwortlich machen zu wollen, doch nicht jeder Unfall hat einen böswilligen Akteur oder offensichtliche Fahrlässigkeit
- Die Luftfahrt hat schon vor langer Zeit eine Praxis formalisiert, die einem blameless postmortem nahekommt
- Beim Zusammenstoß zweier Passagierflugzeuge über dem Grand Canyon im Jahr 1956 kam das Bureau of Aviation Safety des damaligen Civil Aeronautics Board zu dem Schluss, dass die beiden Besatzungen einander wahrscheinlich zu spät gesehen hatten und niemand konkret schuld war
- Die eigentliche Ursache lag darin, dass es kein aktives Mittel zur Verhinderung von Zusammenstößen in der Luft gab
- 1951 standardisierten Luftfahrtexperten weltweit mit Annex 13 des Chicago Convention on International Civil Aviation die Vorgehensweise bei Flugunfalluntersuchungen
- Der Kern von Annex 13 ist, dass das Hauptziel der Untersuchung von Flugunfällen die Verhütung künftiger Unfälle ist
- Prävention wird damit höher gewichtet als die juristische Zuweisung von Verantwortung
- Eine polizeiliche Untersuchung, die verstorbene Piloten verantwortlich macht, senkt die Wahrscheinlichkeit künftiger Unfälle nicht
- Auch das NTSB betrachtet die Untersuchung von Unfällen und Vorfällen nicht als Verfahren zur Feststellung von Rechten oder Pflichten und folgt dem Grundsatz, kein Verschulden und keine Schuldzuweisung vorzunehmen
Die in LAX sichtbaren Systemprobleme
- Das NTSB betrachtete nicht nur den Moment, in dem Wascher zwei Flugzeuge für dieselbe Piste freigab, sondern untersuchte, warum ein solcher Fehler überhaupt möglich war
- In LAX gab es ein Bodenradar, das Flugzeugpositionen auf dem Flughafenvorfeld identifizieren konnte, doch weil es sich um maßgefertigte Ausrüstung handelte, waren Ersatzteile schwer zu beschaffen und das System häufig außer Betrieb
- Am Unfalltag funktionierte der Bodenradarbildschirm an Waschers Arbeitsplatz nicht
- Intersection 45, an der sich SkyWest 5569 befand, war vom Tower aus wegen der Beleuchtung eines neu errichteten Terminals schwer einsehbar
- Nachdem sie USAir die Landefreigabe erteilt hatte, bemerkte Wascher ihren Fehler nicht, weil sie nach Informationen zu einem anderen Flugzeug suchte
- Diese Informationen hätten von einem anderen Lotsen übermittelt werden müssen, wurden aber nicht weitergegeben
- Aufgrund der Informationshierarchie der Einrichtung fiel es ausgerechnet Wascher zu, die fehlenden Informationen zu klären, obwohl sie die sicherheitskritischere Aufgabe hatte
- Flugzeuge nachts oder bei geringer Sicht auf der Piste warten zu lassen, war riskant, damals aber legal und gängige Praxis
- Es gab zwar Warnsysteme für Kollisionen in der Luft, doch Kollisionen im Bodenverkehr konnten Lotsen nicht gemeldet werden
- Nach dem Verfahren von SkyWest wurden die meisten Flugzeuglichter erst nach erteilter Starterlaubnis eingeschaltet
- SkyWest 5569 hatte keine Starterlaubnis erhalten, daher waren die meisten Lichter ausgeschaltet
- Für die Piloten von USAir war die Maschine dadurch praktisch nicht zu erkennen
Wie die Beseitigung von Ursachen statt Bestrafung Verbesserungen brachte
- Waschers Fehler war nur einer von mehreren Faktoren und ähnelte weniger einem Erdbeben, das eine massive Struktur zum Einsturz bringt, als einem kleinen Stoß, der ein Kartenhaus umwirft
- Die Untersuchung des Unfalls von LAX führte zu konkreten Sicherheitsverbesserungen
- An mehr Flughäfen wurde zuverlässigeres Bodenradar eingeführt
- Es entstanden automatische Warntechnologien für Bodenkollisionen
- Das Wartenlassen von Flugzeugen auf der Piste bei geringer Sicht wurde in den gesamten USA verboten
- Wäre die Untersuchung bei der Frage „Wer war schuld?“ stehen geblieben, wären diese Verbesserungen nicht erreicht worden
- Just Culture ist eine Organisationskultur, die zur Erreichung hoher Betriebssicherheit die Grundursachen menschlicher Fehler untersucht
- Wichtiger als die Frage, wer einen Fehler gemacht hat, ist die Frage, warum er entstanden ist
- Wenn Beschäftigte Vergeltung fürchten, verbergen sie Fehler, und die Organisation erkennt ihre Schwachstellen nicht
- Auch bei Fehlern mit Todesopfern gilt der Grundsatz, dass eine Person, die in guter Absicht handelte und dabei einen Fehler machte, nicht allein wegen der Schwere des Ergebnisses anders bestraft werden sollte
Rechtliche Strukturen, die wahrheitsgemäße Aussagen ermöglichen
- Das NTSB hat keine Befugnisse zur Strafverfolgung, und seine Untersuchungsergebnisse können nicht als Beleg für rechtliche Verantwortung verwendet werden
- Diese Garantien schaffen die Voraussetzung dafür, dass Piloten und Fluglotsen in Unfalluntersuchungen wahrheitsgemäß aussagen
- Wäre Wascher strafrechtlich angeklagt worden, hätte ihr Anwalt eine Verteidigungsstrategie aufbauen müssen, und die Untersuchung wäre von Anfang an getrübt gewesen
- Der Vorfall des Air Canada Boeing 767 „Gimli Glider“ im Jahr 1983 zeigt, wie die Drohung mit Bestrafung eine Untersuchung verzerren kann
- Das Flugzeug ging der Treibstoff aus und es landete auf einem Dragstrip in Manitoba
- Der Kapitän startete ohne funktionierende Treibstoffanzeige, was den Lufttüchtigkeitsanforderungen widersprach, nach denen mindestens eine Treibstoffanzeige funktionieren musste
- Die damalige kanadische Untersuchung wurde von einer richterlich geleiteten Untersuchungskommission durchgeführt, die die Befugnis hatte, strafrechtliche Anklagen gegen Beteiligte zu empfehlen
- Der Kapitän sagte, Maintenance Central habe den Flug in diesem Zustand freigegeben, doch andere Beteiligte vor Ort bestritten dies
- Maintenance Central war ohnehin nicht befugt, eine solche Freigabe zu erteilen
- Durch die Bedrohung mit Strafe entstand die Möglichkeit, dass der Kapitän den tatsächlichen Grund nicht ehrlich nannte; warum er ohne Treibstoffanzeige startete, konnte daher nicht abschließend geklärt werden
Sicherheitsbilanz und Fazit
- Den USA wird zugeschrieben, durch Root Cause Analysis auf Basis von Transparenz, Gerechtigkeit und der Verpflichtung zur Wahrheit die sicherste Luftfahrtindustrie der Welt aufgebaut zu haben
- In den 33 Jahren nach dem Unfall von LAX gab es an US-Flughäfen mit Tower keine weitere tödliche Kollision auf Start- und Landebahnen
- Weltweit sind Flugunfälle trotz jährlich zunehmenden Luftverkehrs auf ein nahezu verschwindendes Niveau zurückgegangen
- 1972 kam weltweit etwa 1 von 200.000 Flugpassagieren nicht lebend am Ziel an
- 2022 lag dieser Wert bei 1 von 17 Millionen
- In den USA hat keine Linienfluggesellschaft seit 15 Jahren einen tödlichen Absturz verursacht
- Die Ursache des Unfalls von Los Angeles war nicht einfach, dass Robin Wascher ein Flugzeug vergaß, sondern ein gnadenloses System, in dem Sicherheit davon abhing, dass ein einzelner Mensch sich unmenschlich konstant verhält
1 Kommentare
Hacker-News-Kommentare
Eines der wichtigsten Gesetze zur Verbesserung der Arbeitssicherheit im Vereinigten Königreich war der Health and Safety at Work Act 1974. Er verpflichtete Organisationen, ihrer Sorgfaltspflicht für das Wohlergehen ihrer Beschäftigten nachzukommen.
Einer der Grundsätze dabei ist, Beinaheunfälle ernst zu nehmen. In einer Schulung, die ich vor Jahren besucht habe, sagte ein Arbeitsschutzingenieur, Beinaheunfälle seien wie ein „Geschenk des Himmels“: Niemand wurde verletzt, aber sie zeigen genau, was wie hätte schiefgehen können, und geben der Organisation damit die Chance, Verfahren zu verbessern.
Wenn es zu einem echten Arbeitsunfall kommt, setzt der Health and Safety Executive das Gesetz gegenüber großen Organisationen durch und kann insbesondere bei vermeidbaren Unfällen, bei denen es zuvor Hinweise auf Beinaheunfälle gab, enorme Geldbußen verhängen.
Ein Unfall ist die Kombination daraus, dass sich ein System in einem gefährlichen Zustand befindet und ungünstige Umgebungsbedingungen dieses Risiko in einen tatsächlichen Unfall verwandeln.
Ein Beinaheunfall liegt vor, wenn das System zwar in einem gefährlichen Zustand war, die Umgebungsbedingungen aber glücklicherweise günstig waren, sodass es nicht zum Unfall kam. Die Umgebungsbedingungen kann man nicht kontrollieren; man kann nur verhindern, dass das System in einen gefährlichen Zustand gerät.
Deshalb liefert schon ein Beinaheunfall genug Informationen für eine ordentliche Nachanalyse; die Umgebungsbedingungen sind im Grunde zweitrangig.
Beinaheunfälle sind wirklich wie ein Geschenk des Himmels. Ich war einmal an der Nachuntersuchung eines Beinaheunfalls beteiligt, der mit nur geringfügig anderen Umständen so ausgesehen hätte: https://en.wikipedia.org/wiki/NOAA-19#Damage_during_manufact...
Nach dieser Logik sollte man auch den jüngsten Vorfall mit der Boeing 737 als Geschenk des Himmels betrachten. Ich denke tatsächlich, dass das eine gute Sichtweise ist, aber noch ist unklar, ob dieses Geschenk vergeudet wird.
Wenn man sich die ständigen Datenlecks ansieht, frage ich mich, ob man nicht ein ähnliches Gesetz schaffen könnte, das Unternehmen für die sichere Verarbeitung personenbezogener Daten verantwortlich macht.
Ich war eine Zeit lang ganz von den YouTube-Videos des US Chemical Safety Board gefesselt; sie erklären sehr detailliert die Ereignisse, die zu Industrieunfällen führen.
Das wiederkehrende Muster ist, dass es irgendein Warnsignal oder einen Beinaheunfall gab, der von den Verantwortlichen ignoriert wurde, weil kein großer Schaden entstanden war, und dass das System Tage oder Monate später auf völlig vorhersehbare Weise versagte und eine Katastrophe auslöste.
Ein gutes Beispiel ist das tödliche Phosgengas-Leck in einer DuPont-Chemiefabrik1.
Dieser Artikel stammt von Kyra Dempsey, also Admiral Cloudberg, die auf Medium eine lange Reihe tiefgehender Untersuchungen zu Flugunfällen veröffentlicht hat: https://admiralcloudberg.medium.com/
Der Medium-Artikel zur Kollision auf der Start- und Landebahn von LAX ist hier: https://admiralcloudberg.medium.com/cleared-to-collide-the-c...
Darin stehen auch zusätzliche Details, die den Kernpunkt des Asterisk-Artikels vermutlich verwässert hätten. Zum Beispiel, dass die Fluglotsin, die den fatalen Fehler beging, nach der Entlassung von 11.345 Fluglotsen durch Ronald Reagan im Jahr 1981 und deren Wiederbeschäftigungsverbot eingestellt worden war: https://en.wikipedia.org/wiki/Professional_Air_Traffic_Contr...
Um 1986/87 dürfte der Lotsenberuf bereits wieder ordentlich mit ausgebildetem Personal besetzt gewesen sein; es ist schwer, hier einen Zusammenhang zu sehen. PATCO in eine Diskussion über den Unfall von 1991 einzubringen, drückt nur eine politische Agenda durch und trägt nichts zur Diskussion bei.
Wenn man die Suche eingrenzen will, sind insbesondere solche mit „possible pilot deviation“ oder „number to call“ besonders interessant und lebendig. Ich bin weder Pilot noch Flugzeugbeobachter und interessiere mich auch nicht besonders für Flugzeuge, aber nachdem ich ein paarmal in dieses Rabbit Hole geraten bin, fand ich es ziemlich unterhaltsam.
Ich dachte sogar, es wäre schön, wenn es im Bordunterhaltungssystem die Option „Piloten-/Tower-Funk mithören“ gäbe.
Ich frage mich, wie sie so gut über Flugunfälle schreiben konnte, obwohl sie offenbar keinen Luftfahrthintergrund hat.
Guter Text. Die Sicherheitskultur der kommerziellen Luftfahrt und ihr Engagement, Grundursachen zu untersuchen und zu beheben, sprechen mich sehr an.
Könnten wir denselben Maßstab nicht auch auf Autounfälle anwenden? Dieselben menschlichen Fehler und dieselbe schlechte Infrastruktur wiederholen sich immer wieder, und mit mehr SUVs und abgelenktem Fahren wird das Problem noch schlimmer.
Eine Community, die vor den subtilen Schäden der Autokultur warnt, ist https://www.reddit.com/r/fuckcars/. Wenn FuckCars zu radikal wirkt, sind auch moderatere Urbanismus-Kanäle sehenswert: https://www.youtube.com/@OhTheUrbanity/videos , https://www.youtube.com/@NotJustBikes/videos , https://www.youtube.com/@CityNerd/videos
Die kognitive Dissonanz rund um dieses Problem ist erstaunlich.
Wir sind bereit, die gesamte 737-MAX-Flotte stillzulegen, weil ein paar Menschen erschreckenderweise den offenen Himmel erlebt haben, während auf US-Straßen jedes Jahr 44.000 Menschen sterben und die Zahl steigt, und dennoch kümmert es kaum jemanden.
In den meisten Altersgruppen sind Autotote die häufigste Todesursache. In den USA liegt die lebenslange Wahrscheinlichkeit, bei einem Autounfall zu sterben, bei 1 zu 107. Selbst einfache, vernünftige Maßnahmen, um diese verrückten Zahlen zu senken, werden als tyrannischer Eingriff in die Freiheit empfunden. Zum Beispiel die aktuelle Maßnahme in Kalifornien zur Einführung von Geschwindigkeitsbegrenzern.
Die Autoindustrie, die Autokultur und das autozentrierte Denken in den USA und in vielen Teilen der Welt sind völlig außer Kontrolle geraten.
https://en.m.wikipedia.org/wiki/Motor_vehicle_fatality_rate_...
Ich habe erfahren, dass die Zahl der Verkehrstoten bis 2019 zurückging und sich danach umkehrte und verschlechterte.
Was ist in den letzten fünf Jahren passiert? Die Sicherheitsfunktionen der Autos selbst werden besser, etwa durch Notbremsassistenten. Alkohol könnte ein Faktor sein, aber warum ausgerechnet in den letzten fünf Jahren? Autos sind schon seit einer Weile größer geworden, und Homeoffice dürfte die Pendelzeiten verringert haben. Andere Länder scheinen rückläufige Zahlen zu haben.
Der Unterschied zwischen Autos und Flugzeugen fühlt sich ungefähr so an:
Flugzeuge: gelegentlich Pilotenfehler, häufig mechanische oder Wartungsprobleme. Nur selten, weil der Pilot rücksichtslos fliegt.
Autos: gelegentlich Fahrerfehler oder Unerfahrenheit, gelegentlich mechanische oder Wartungsprobleme, fast immer, weil der Fahrer miserabel fährt.
Auf r/fuckcars gibt es Mitglieder, die bei Fahrzeugen, die sie für „zu groß“ halten, die Reifenluft ablassen oder die Reifen aufschlitzen. Unterstützt du auch solche Methoden?
Seit notjustbikes größer geworden ist, hat er die Bescheidenheit abgelegt, predigt den ohnehin Überzeugten und hat angefangen, alle, die nicht zustimmen, als rassistische Idioten zu bezeichnen.
Früher konnte man seine Videos auch Leuten empfehlen, die noch überzeugt werden mussten, ohne sie vorher anzusehen; heute ist das schwierig. Als ich das in die Kommentare schrieb, antwortete er persönlich und beleidigte mich als jemanden, der seinen Kanal gerade erst entdeckt habe und die Wahrheit nicht ertragen könne.
„Um gleich zur Sache zu kommen: Wascher wurde in keiner Weise bestraft.“
Autoren, die Leser nicht zwingen, bis ganz ans Ende zu lesen, nur um den Ausgang der Geschichte zu erfahren, verdienen Anerkennung.
Vermutlich lautet die Antwort eine Kultur/ein Verfahren ohne Schuldzuweisungen, das den Informationsfluss aufrechterhält und Verbesserungen ermöglicht. Allerdings funktioniert „keine Schuldzuweisung“ in Unternehmen nicht.
Das erinnert mich an den Vorfall bei GitLab, bei dem jemand versehentlich mehrere Repositories unwiederbringlich gelöscht hat.
GitLab ist mit diesem Vorfall und der gesamten öffentlichen Bloßstellung hervorragend umgegangen. Sie gaben nicht der Einzelperson die Schuld, sondern sich selbst dafür, keine angemessenen Notfallvorkehrungen gehabt zu haben. Es lohnt sich, das nachzulesen.
Vor ungefähr zehn Jahren gab es in meinem Team etwas Ähnliches. Ein Engineer löschte die Produktionsdatenbank, und zum Glück konnten wir sie wiederherstellen.
Die Post-Mortem-Analyse konzentrierte sich auf die Frage: „Warum zum Teufel haben wir zugelassen, dass so etwas möglich ist?“ Soweit ich mich erinnere, blieb die Person danach noch weitere acht Jahre im Unternehmen, und wir behoben das Systemproblem.
Nachdem ich über Post-Mortems ohne Schuldzuweisungen im Gesundheitswesen gelesen hatte, sagte ich meinem Team immer: Wenn Ärzte nach dem Tod eines Menschen ein Post-Mortem ohne Schuldzuweisungen durchführen können, dann können wir das auch.
Mir fällt auch ein Reddit-Thread0 ein, in dem jemand versehentlich die in den Onboarding-Dokumenten stehenden Zugangsdaten mit Schreibrechten verwendete und die Produktionsdatenbank zerstörte. Auch die betroffene Person aus dem GitLab-Vorfall beteiligte sich an der Diskussion.
Verwandtes Material: CAST-Analyse http://sunnyday.mit.edu/CAST-Handbook.pdf
Das ist ein Ansatz, der darauf abzielt, möglichst viel über alle Faktoren zu lernen, die zu einem Unfall beigetragen haben. Er umfasst mehrere Ansätze, darunter Analysen ohne Schuldzuweisungen, und betrachtet die einzelnen Faktoren nicht so, als hätten sie jeweils nur eine einzige „Ursache“, sondern als unterschiedliche Faktoren, die ein Netzwerk von Wechselwirkungen bilden.
Um den Titel ein wenig aufzugreifen: Einen Flugzeugabsturz wirst du wohl nicht erlebt haben. Wenn doch, könntest du diesen Text nicht lesen. :)
Wer neugierig genug geworden ist, um bis in diesen Kommentarbereich zu gelangen, sollte sich Zeit nehmen, das CAST-Handbuch zu lesen.
Es hat nicht nur meine Sicht auf Unfälle verändert, sondern auch darauf, wie ich Organisationen und die Welt betrachte. Es sollte Pflichtlektüre für jede Person in verantwortlicher Position sein.
Seit Langem wollte ich eine Rezension oder Zusammenfassung für meinen Blog schreiben, aber der nützliche Inhalt ist so dicht, dass er sich nur schwer weiter komprimieren lässt. Deshalb habe ich es noch nicht veröffentlicht; bitte seht über die rohen Stellen hinweg. Als ich zuletzt aufgegeben habe, sah der Entwurf so aus: https://two-wrongs.com/root-cause-analysis-youre-doing-it-wr...
In der Schweiz gibt es einen beeindruckenden Politiker, der eine Lawine (1993) und einen Flugzeugabsturz1 (2001) überlebt hat.
[1]https://en.wikipedia.org/wiki/Crossair_Flight_3597
https://en.wikipedia.org/wiki/Jacqueline_Badran
In einer kontrafaktischen Welt, in der Fluggesellschaften schlechter darin wären, Abstürze zu verhindern, wäre die Überlebensrate bei Abstürzen vermutlich ebenfalls niedriger
Fälle, in denen Flugzeuge am Boden bei sehr niedriger Geschwindigkeit zusammenstoßen, könnten die Statistik zwar verzerren, aber man weiß schon, was mit „Flugzeugabsturz“ gemeint ist
Tatsächlich sind etwa 90 % der Flugzeugabstürze überlebbar, und Menschen lesen sogar über ihren eigenen Unfall
Meintest du, dass man zwangsläufig stirbt, wenn man einen Flugzeugabsturz erlebt? Das ist eindeutig nicht wahr
Es gibt Fälle, in denen selbst nach einem Aufprall, der stark genug war, um eine Explosion auszulösen, Überlebende gefunden wurden
Eine gut durchgeführte Root-Cause-Analyse ist wirklich befriedigend. Um zur „richtigen Antwort“ zu kommen, ist eine Kultur ohne Schuldzuweisungen absolut entscheidend
Wenn in verschiedenen Teams eines Unternehmens große Störungen oder Störungen mit großer Auswirkung besprochen werden, ist der ideale Moment der, in dem die Beteiligten sich in die zentralen Zustände und die Abfolge der Ereignisse vertiefen, die die Störung verursacht haben. Der Fokus liegt auf Handlungen und Ergebnissen – den Handlungen im Zentrum der Störung, den umgebenden Handlungen und sogar den Handlungen, bei denen vorher niemand irgendetwas wusste
Um dieses Niveau zu erreichen, braucht es sehr viel Vertrauen in sich selbst, in die Kollegen und in die Organisation
Wenn man das ein paarmal richtig durchläuft, wird ein einfacher Grundsatz sichtbar: Wenn ein Mechanismus auf menschliche Perfektion angewiesen ist, wird er letztlich scheitern. Die nächste Diskussion lautet dann fast immer: „Was tun wir jetzt?“ Brauchen wir eine Vorrichtung, die menschliche Unvollkommenheit abfängt? Passen die Implementierungskosten zum Wert dessen, was geschützt werden soll? Können wir in dieser Situation menschliche Unvollkommenheit akzeptieren?
Organisationen, die Diskussionen auf diesem Niveau führen können, haben bei der Umsetzung einen klaren Vorteil
Gut geschriebener Text. Mir gefiel besonders, dass er gut zeigt, dass langfristiges Denken mächtiger ist als kurzfristiges Denken. Außerdem zeigt er eine Organisation, die Hoffnung nicht als Strategie nutzt
Den Fokus auf „keine Schuldzuweisungen“ halte ich für falsch. Was bessere Ergebnisse schafft, ist eine Kultur der Verantwortung, und die beginnt bei Führungskräften, die sich einbringen und Verantwortung übernehmen. Schuldzuweisung ist in vieler Hinsicht das Gegenteil von Verantwortung, aber man kann auch eine Kultur ohne Schuldzuweisungen haben, ohne eine Kultur der Verantwortung zu haben. Eine Kultur der Schuldzuweisung ist immer eine Kultur der Verantwortungslosigkeit
Keine Schuldzuweisungen waren das Ergebnis davon, dass Führung aktiv die Verantwortung für das Problem gewählt hat. Sie sagten: „Die Verantwortung für diese Tragödie liegt nicht bei einer Einzelperson, sondern bei unserer Organisation“, und: „Nicht der Fluglotse hat sie verursacht, sondern wir, durch institutionelle Vernachlässigung“
Der Grund, warum Boeing weiterhin Probleme hat, ist, dass die Boeing-Führung keine Verantwortung übernommen hat. Boeing-Führungskräfte haben nicht gesagt: „Ich habe ein System aus Anreizen und Strafen geschaffen, das unsichere Flugzeuge hervorbringt“, und deshalb treten weiterhin Sicherheitsprobleme auf
Das Paradox der Führung besteht darin, dass „Führungskräfte für das Verhalten der Organisation verantwortlich sind, dieses Verhalten aber aus den einzelnen Entscheidungen derjenigen entsteht, die ihnen folgen“
Wenn der Fluglotse den Fehler nicht bewusst gemacht hat, ist das ein offensichtliches Problem, das die Führung lösen muss. Führung ist dafür verantwortlich, Veränderung herbeizuführen, und Schuldzuweisung hätte diese Veränderung verhindert
Admiral Rickover brachte eine solche Kultur der Verantwortung zur nuklearen Marine, und diese Organisation hat eine ziemlich gute Sicherheitsbilanz. Dieser Text ähnelt stark dem, was ich über die ingenieurtechnische Tradition der US Navy gelesen habe. Hier sind ein paar kurze Texte, die sich gut als Einstieg zu Admiral Rickover eignen:
https://www.ans.org/news/article-1592/caught-in-the-leadersh... https://govleaders.org/rickover.htm
Falls der Autor Admiral Rickover und seine Philosophie noch nicht gelesen hat, bin ich sicher, dass er Freude daran hätte
Wer diesen Text mochte, wird auch Extreme Ownership interessant finden. Es ist ein viel, viel, viel besseres Buch, als Cover und Untertitel vermuten lassen, und es ist auf alle Rollen im Silicon Valley anwendbar
Rickover ist insgesamt eine interessante Persönlichkeit, über die man lesen sollte. Von seinen „Regeln“ gibt es mehrere Versionen; eine Sammlung findet sich hier:
https://www.linkedin.com/posts/kelly-robinson-phd-92842b6_ri...
Eine weitere Sammlung füge ich unten an
Zwei Punkte möchte ich hervorheben. Er schuf nicht nur eine Organisation mit sehr hohem Sicherheitsbewusstsein, sondern auch eine erstaunlich technisch innovative Organisation, die trotz erheblichem Widerstand innerhalb der US Navy entstand
Man muss sich nur vorstellen, dass es nicht nur darum ging, einen kleinen Kernreaktor zu bauen, wie es ihn noch nie gegeben hatte, sondern einen Reaktor, der in ein U-Boot passte. Das war kein einfaches technisches Ziel. Und er versuchte, das trotz des Widerstands der höchsten Ebenen der Organisation zu erreichen, der er sein Leben gewidmet hatte – bis hin zu Versuchen, ihn vollständig loszuwerden
Er war kein perfekter Mensch, aber seine Leistungen waren beträchtlich. Besonders wenn man im Maschinenbau arbeitet, lohnt es sich, mehr über ihn zu lesen
Zweite Rickover-Regeln:
Rule 1: Qualitätsstandards müssen im Laufe der Zeit steigen und weit über dem liegen, was ein Mindeststandard verlangt
Rule 2: Menschen, die komplexe Systeme betreiben, müssen sehr kompetent sein
Rule 3: Vorgesetzte müssen schlechte Nachrichten annehmen und Probleme auf eine ausreichend hohe Ebene eskalieren, damit sie gelöst werden können
Rule 4: Man muss die Gefahren und Risiken der eigenen Arbeit in gesunder Weise respektieren
Rule 5: Training muss kontinuierlich und streng sein
Rule 6: Alle Funktionen von Reparatur, Qualitätskontrolle und technischer Unterstützung müssen ineinandergreifen
Rule 7: Die Organisation und ihre Mitglieder müssen fähig und bereit sein, aus Fehlern der Vergangenheit zu lernen
Erst diesen Monat gab es in der Schweiz einen Prozess, in dem ein Fluglotse angeklagt und verurteilt wurde, weil er einem Militärflugzeug eine falsche Anweisung gegeben haben soll, wodurch es gegen eine Felswand prallte
Wegen der vielfältigen Implikationen von Schuldspruch oder Freispruch war das ziemlich interessant zu verfolgen, und es gab auch viel Medienberichterstattung
https://www.swissinfo.ch/eng/swiss-military-jet-crash--publi...
https://www.swissinfo.ch/eng/air-traffic-controller-blamed-f...
Das war kein Zivilgericht, sondern ein Militärgericht. Auch wenn zivile und militärische Fluglotsen alle beim selben Unternehmen Skyguide arbeiten, können die Verfahren in solchen Fällen unterschiedlich sein.
Das klingt leicht gesagt, aber wenn man um 3 Uhr morgens während der Bereitschaft wegen eines von jemand anderem verursachten Chaos geweckt wird, ist „keine Schuldzuweisung“ nicht unbedingt meine erste Reaktion.
Trotzdem ist es eindeutig der beste Weg, zur Wurzel des Problems vorzudringen, alle Beteiligten Lösungen einbringen zu lassen und die Runbooks kontinuierlich zu verbessern. Natürlich ist das reaktiv, aber vorab definierte Richtlinien können Dinge nicht so kreativ kaputtmachen wie Production Traffic.
Man nimmt jemandem einen seltsamen oder zufälligen Ausfall nicht persönlich übel, aber die zentrale Frage lautet: „Warum ist das passiert?“
Trotzdem bleibst du für immer der verdammte Mensch, der an Weihnachten den Datenbankausfall verursacht hat. Vielleicht hattest du keine Wahl, aber beschimpft wirst du trotzdem.
Wir alle haben solche Narben.
Und dann fragt man wieder: Warum haben wir alle solche Narben? Sind die Systeme, mit denen wir arbeiten, vielleicht nicht gut genug? Lokale Wut kann ein Signal sein, das auf systematischere Probleme hinweist. Am Ende landet man wieder beim Denken in Postmortems ohne Schuldzuweisung.