Leren van ongevallen

maandag 19 augustus 2019
timer 8 min

Iedereen die zich met vraagstukken rondom veiligheid bezig houdt, heeft beroepshalve belangstelling voor ongevallen in het verkeerssysteem. Van een analyse van de oorzaken, en vooral: achterliggende oorzaken, valt iets te leren. Dit geldt b.v. voor het tragische ongeval met de Stint, evenals voor de Boeing 737 MAX8. In beide gevallen zijn, naast de directe technische achtergronden, achterliggende oorzaken te zoeken in de politieke en maatschappelijke context.

De Stint
Het ongeval vond plaats op 20 september 2018 in Oss: 4 kinderen gedood, 1 kind en bestuurster zwaar gewond. Een korte samenvatting van de oorzaak: ‘een op hol geslagen voertuig’.

Oorzaken

De primaire oorzaken van het ongeval zijn technisch van aard, maar dat de Stint op de weg is toegelaten en daardoor dit ongeval heeft kunnen plaatsvinden, is het gevolg van de politieke besluitvorming. Het besluit tot toelating past in de politieke context, waarin het ‘innovatieve product’ hogelijk werd gewaardeerd en kritische kanttekeningen van RDW (Dienst Wegverkeer) en SWOV (Stichting Wetenschappelijk Onderzoek Verkeersveiligheid) geen doorslag gaven.

Het product

De Stint verscheen aan het firmament als een Nederlandse innovatie. Het product biedt uitkomst aan kinderdagverblijven door de combinatie van capaciteit (10 kinderen), eenvoud van ontwerp en het feit dat er geen rijbewijs voor nodig is geacht.

Toelatingsproces

In het toelatingsproces zijn enkele, zij het achteraf gezien minder relevante, kritische kanttekeningen gemaakt. RDW adviseerde negatief vanwege de breedte: 110,5 cm waar 75 cm als maximum geldt voor een dergelijk voertuig (‘bijzondere bromfiets’). De SWOV maakte kanttekeningen bij de toegestane leeftijd van de bestuurder: 16 jaar voor een bromfiets zonder enige eis aan een rijopleiding.

Technische tekortkomingen

Pas na het ongeval komen technische beperkingen en zelfs tekortkomingen aan het licht. De nu voorgestelde technische verbeteringen betreffen zeer principiële zaken: alle vier wielen voorzien van remmen, betere snelheidsregeling, aanwezigheidsdetectie bestuurder (een soort ‘dodeman’). Geen van deze zaken is destijds door RDW of SWOV genoemd.

Toelatingsvoorwaarden

Naast technische aanpassingen worden ook de gebruiksregels aangescherpt: het aantal te vervoeren kinderen wordt beperkt tot 8, in samenhang met het vereiste rijbewijs B, dat gebaseerd is op dit maximale aantal passagiers. Hiermee wordt ook de leeftijdseis van de bestuurder naar 18 jaar verhoogd en een rijopleiding, zij het niet toegesneden op de Stint, geldt als voorwaarde.

Politiek

De toelating van de Stint op de weg vond plaats in 2011, conform het toelatingsbeleid dat in 2007-2008 is geformuleerd rondom de Segway, ook een innovatief product dat niet binnen bestaande kaders viel in te passen. Bij het Ministerie, bij de regering in het algemeen, was er een dringende wens tot innovatie. In dat plaatje paste de Stint uitstekend, ook nog eens een Nederlands product.

In dit kader is opmerkelijk, dat een bromfiets en een Segway slechts door één persoon en – in het geval van de bromfiets – maximaal één passagier wordt gebruikt. De ‘bijzondere bromfiets’ Stint is in feite een middel van (openbaar) vervoer en daarmee wel een héél bijzondere bromfiets. Dit wezenlijke verschil is bij de toelating (‘conform… Segway’) genegeerd.

Mijn conclusie is daarom dat het politieke klimaat waarin de wens tot innovatie zeer dominant aanwezig was, het mogelijk heeft gemaakt dat de Stint destijds zonder een kritische technisch-inhoudelijke beoordeling, is toegelaten.

De grote vraag is of wij op politiek niveau hiervan lering trekken.

Boeing 737 MAX8

Twee maal is een vliegtuig van dit type neergestort: op 29 oktober 2018 in de Javazee, met 189 doden tot gevolg en op 10 maart 2019 bij Addis Abeba met 157 doden. De officiële onderzoeken naar de oorzaken van beide ongevallen zijn nog niet afgerond, maar er tekenen zich een aantal zaken af, o.a. door ‘lekken’ naar de lokale pers, zoals The Seattle Times.

Oorzaken

Voor beide ongevallen zijn er aanwijzingen dat het systeem MCAS (Manoeuvring Characteristics Augmentation System) in combinatie met een falende sensor van de invalshoek (Angle of Attack) aan de basis liggen van deze tragische ongevallen.

Het product

Waar Boeing eerst plannen had om met een totaal nieuw ontwerp (“Boeing Y1”) op de markt te komen, voelt het bedrijf zich door de concurrentie van de Airbus A320neo gedwongen tot een andere – snellere – ontwikkeling: een verbeterde uitgave van de 737 met als belangrijke eis dat het toestel 737 MAX qua bediening zo veel mogelijk op deze 737 moet lijken, maar wel zuiniger in brandstofverbruik moet zijn.

Als gevolg van het aangepaste ontwerp (motoren verder naar voren) is de kans op zogeheten overtrek groter en het nieuwe, bovengenoemde MCAS moet dat automatisch corrigeren.

Technische tekortkomingen

Na gaan er in het ontwerpproces een aantal zaken mis.
Een beknopt overzicht:

  • Het belang van het MCAS wordt onderschat, waardoor het falen van dit systeem niet als ‘catastrofaal’ wordt aangemerkt. Als gevolg daarvan, meent men te kunnen volstaan met het inlezen van slechts één sensor voor de invalshoek. Allicht is ‘falen’ primair beschouwt vanuit de invalshoek dat het zijn functie niet adequaat vervulde, i.p.v. méér dan nodig.
  • Het MCAS blijkt in de praktijk een sterkere compensatie op te leveren, dan tevoren ingeschat.
  • Kennelijk wordt over het hoofd gezien (zo krijg ik althans de indruk) dat het MCAS als automatisch systeem niet een eenmalige correctie doorvoert, maar bij een blijvend geconstateerd risico van overtrek, ook blijft compenseren. Als dit inderdaad het geval is, is hier een fundamentele denkfout gemaakt.
  • Tenslotte blijkt een indicatielampje dat meldt als één van de sensoren van de invalshoek faalt, in de meeste toestellen niet op te lichten, als dit het geval is.

De gevolgen zijn inmiddels duidelijk en catastrofaal:

  • Een falende sensor die blijvend een overtrek indiceert, leidt tot een MCAS dat op basis van dit onjuiste signaal blijft proberen deze overtrek te compenseren en vervolgens het vliegtuig botweg naar beneden stuurt.
  • Piloten zijn niet gewaarschuwd dat de sensor niet werkt, bij gebrek aan een oplichtende indicatie.

Toelatingsproces

In de beschrijvingen van het toelatingsproces komt naar voren dat Boeing zelf de veiligheidsanalyses heeft verzorgd. De FAA (Federal Aviation Administration) voerde een toetsing op het dossier uit en heeft – ook logisch voor een compleet vliegtuig – geen diepgaande eigen analyses gedaan. Op zich is hier niks op aan te merken, maar de veiligheidsanalisten hebben inadequaat werk geleverd:

  • Het mogelijk falen van het MCAS is onjuist geclassificeerd.
  • Het functioneren van het MCAS (steeds opnieuw corrigeren) is onvoldoende begrepen.
  • De noodzaak van de indicatie van een falende sensor, is verkeerd ingeschat.

Het is uiteraard denkbaar dat de betrokkenen als excuus aanvoeren dat de tijdsdruk hoog was. Wat dan niet alleen geldt voor de ontwikkelaars bij Boeing, maar ook voor de FAA voor de toelating. Dat brengt ons dan bij de maatschappelijke context.

Maatschappelijke context

Zoals hiervoor aangegeven, zag Boeing zich door de concurrentie van Airbus gedwongen tot een andere ontwikkeling met een kortere doorlooptijd. Waar de concurrentie met twee grote spelers in aantal klein is, speelt deze wel een grote rol, zeker in een context van VS versus EU. Deze druk heeft het management van Boeing ook opgelegd aan de ontwikkelaars. Dit levert een gedeeltelijke verklaring op voor de tekortschietende veiligheidsanalyses. Zeker verklaart deze druk het niet goed reageren door dit management op signalen uit de eigen organisatie, dat er iets mis was. Dit geldt dan niet alleen voor Boeing, maar ook voor de FAA.

De concurrentiedruk leidde er ook toe, dat Boeing de 737 MAX qua bediening presenteerde als gelijk aan de bekende 737, waardoor de klanten flink konden besparen op opleidingskosten. Bovendien zat MCAS als geautomatiseerd systeem, zodanig ingebouwd, dat men meende de piloten daar niets over te hoeven vertellen. Zij konden dus ook niet weten dat dit systeem zich zou kunnen gaan misdragen en: hoe dan te handelen.

Het meest ernstig is wel het gegeven dat pas na het tweede ongeval, Boeing ook nog eens schoorvoetend, is gaan erkennen dat er iets mis was met het eigen ontwerp. Als je stelt dat ‘waar gehakt wordt, spaanders vallen’ dan is het eerste ongeval wellicht nog te begrijpen, maar dat een tweede keer – met grote waarschijnlijkheid – hetzelfde systeem op een catastrofale wijze kon falen, is diep treurig. Dat had gewoonweg niet mogen gebeuren.

Uniek?

Gelukkig zijn de hier beschreven ongevallen uniek. Maar: zij vormen wel de trieste signalen, dat er soms zaken mis kunnen gaan. In mijn ervaring zijn noch de technische oorzaken, noch de achterliggende politieke, maatschappelijke oorzaken uniek. Deze zijn op een vergelijkbare wijze aanwezig in OV-projecten. Daarom is het van groot belang hier lering uit te trekken.

Leerpunten

Uit het voorgaande leid ik een aantal leerpunten af.

Innovatie is van groot belang, maar eisen betreffende veiligheid die aan voertuigen worden gesteld, mogen niet voor innovatie-belangen wijken.

Tijdsdruk op projecten is begrijpelijk. Maar ook hier geldt: veiligheid mag hier niet voor wijken: deskundige mensen moeten de tijd krijgen om hier zorgvuldig mee om te kunnen gaan.

Het algemene beeld dat ik krijg, is dat de vakdeskundigheid ondergesneeuwd raakt onder managementdruk en / of politieke druk.

Dit vraagt om een vakwereld die zich duidelijk profileert en z’n rug recht houdt. En om een maatschappelijke, politieke context die dit accepteert en respecteert.

Dan moeten wij wel gezamenlijk bereid zijn om de hier gepresenteerde achterliggende oorzaken onder ogen te zien.

 
Auteur: Lieuwe Zigterman

Reactie plaatsen

Beperkte HTML

  • Toegelaten HTML-tags: <a href hreflang> <em> <strong> <cite> <blockquote cite> <code> <ul type> <ol start type> <li> <dl> <dt> <dd> <h2 id> <h3 id> <h4 id> <h5 id> <h6 id>
  • Regels en alinea's worden automatisch gesplitst.
  • Web- en e-mailadressen worden automatisch naar links omgezet.
  • Lazy-loading is enabled for both <img> and <iframe> tags. If you want certain elements skip lazy-loading, add no-b-lazy class name.
mail_outline

Aanmelden voor de nieuwsbrief