Plutarch, griechischer Schriftsteller und Philosoph, „Von der Geschwätzigkeit“ „Wer sich selbst zum Reden anbietet und das Wort an sich reißt, mißfällt, selbst wenn er recht hat; begeht er aber gar einen Fehler, so wird er Schadenfreude und Hohn ernten.“

Das letzte Glied – Menschliches Versagen und Risikomanagement Jaroslav Blaha Dipl. Inform. (Univ.), Dipl. WirtschaftsInform. (Univ.) Chief Software Architect, NATO mail@jaroblaha.com Heutzutage sind die Menschen völlig von der Technik abhängig. Was wenn Technik sich gegen uns wendet? 1912 - Titanic Zepellin “Hindenburg” in Lakehurst (“Titanic der Lüfte”) Paddington Zugunglück 28-Mar-1979 : Harrisburg 26-Apr-1986 : Tschernobyl 06-Jul-1988 : Piper Alpha (+165) 17-Jul-1996 : TWA 800, JFK (+230), 42s Absturzdauer 03-Jun-1998 : Eschede 24-Mar-1999 : Montblanc Tunnel 25-Jul-2000 : Concorde (+109) Birgen Air (+189) Aus Hochmut mit voller Kraft in die Katastrophe. Beherrschen der Natur? 21-Apr-2002

IATA Sicherheitsreport 1993 11.433 Düsenverkehrsflugzeuge 16.140.000 Streckenabschnitte (Legs) 25.360.000 Flugstunden 22 Totalverluste (1 : 1.155.000 h) Ca. 18-Mar-2002: Absturz BW-Rettungshubschrauber; Pilot 1,5% Alkohol, Bordmechaniker 1.2% IATA = International Air Transport Association Nur Totalverluste von Flugzeugen westlicher Bauart mit einem MTOW > 20 T. Maschine muß sich unter operational control befunden haben (i.e. keine Terrorismus- oder Test-Unfälle). Ursache HUM 59% ENV 41% TEC 14% UNK 27%

H4: 0,0% Incapacitation Psychische oder physische Beeinträchtigung “Eine Ursache ist ein Glied der Kausalkette, dessen Fehlen den Unfall verhindert hätte.” H1: 37,1% Active Failure (Aware) Nichtbefolgen von Standards, Procedures, Gesetzen; Fehlende Disziplin; Faulheit; … H2: 24,8% Passive Failure (Unaware) Langeweile, Vergeßlichkeit, Ablenkung, Mißverständnisse, Überlastung, … H3: 38,1% Proficiency Failure Fehlende Erfahrung, Training, Kompetenz; Fehleinschätzung; Fliegerische (Un)Fähigkeit H4: 0,0% Incapacitation Psychische oder physische Beeinträchtigung Das schwächste Glied?

H1 : Chernobyl “Lenin” B4 01:22:15 Stellv. Chefingenieur Diatlov als seine Ingenieure ab-brechen wollen: “Noch 1, 2 Minuten und alles ist vorbei. Etwas beweglicher meine Herren.” 26-Apr-1986 Experiment: Laufdauer der Turbine zum Betrieb der Kühlwasserpumpen mit Restwärme des Reaktors nach Ausfall Dazu: Alle vier Sicherheits-systeme abgeschaltet 01:23:40 Stillstand, Hitzestau 01:23.46 GAU 500.000 Menschen kontamin. 400.000 Menschen evakuiert 8.500 Arbeiter tot in 1991 26. April 1986 - Im ukrainischen "Lenin"-Atomkraftwerk Tschernobyl wird ein Experiment gestartet: Es soll geprüft werden, wie lange die Turbine mit der Restwärme des abgeschalteten Reaktors weiterläuft. Der Reaktor wird zuerst zur Leistungsspitze gebracht und soll dann heruntergefahren werden. Damit der Probelauf des Reaktors nicht unterbrochen wird, werden die Sicherheitssysteme mit Absicht außer Funktion gesetzt. 26. April 1986, 1 Uhr, 23 Minuten, 40 Sekunden - Es kommt zum Turbinenstillstand. Der Kühlwasserzufluss ist eingeschränkt, die automatische Abschaltung unterbrochen. Es entwickelt sich ein Hitzestau. Innerhalb von Sekunden steigt die Leistung des Meilers um ein Vielfaches an. 6 Sekunden nach der Notabschaltung ereignet sich der größte anzunehmende Unfall (GAU). Der Block 4 des Atomkraftwerkes Tschernobyl explodiert. Die 256 Arbeiter der Nachtschicht dürfen das Kraftwerk nicht verlassen. Sicherheitssysteme Notkühlsystem Stromregulatoren Automatisches Abschaltsystem Stillstand = 6-7% Power Durch Hitzestau Spike auf 50% in Sekunden Weitere Fehler: - Nur ein viertel der Kontrollstäbe war richtig eingeführt (nicht genug da, nicht tief genug). - Zuviel Kühlmittel eingefüllt. Kalium Jodatum

H2 : Lauda Air 004 Triebwerkscomputer (EEC): 61 “Reverser Fault” Warnungen Mehrere Reparaturen, Austäusche Boeing: Nutzlos, falsch, unzusam-menhängend 500 Stunden Regel  Σ 1.800 Stunden fehlerhaft 26-Mai-1991 Boeing 767 “Mozart” Bangkok-Wien über Thailand 23:22 “REV ISLN” warn. “No action reqd.” 23:31 FL310, Reverser Disintegration in 2000m Teile auf 19km verstreut 213+10 Tote Simulator: B767 Chef-Testpilot, Zeitfenster 4-6s zum recovern “Human Factor” ist nicht gleich “Pilot Error” Der Mensch löst viel mehr Probleme zufriedenstellend, als daß er Unfälle verursacht. Die Vorfälle, bei denen es dem Menschen gelingt, frühzeitig oder auch noch im letzten Moment die verhängnisvolle Fehlerkette zu durchtrennen, würden bei einer Vollautomation der Abläufe unweigerlich zum Unfall führen. The pilot is the most complex, capable and flexible component of the air transport system, and as such is best suited to determine the optional use of resources in any given situation. 15:01 nach dem Start in Bangkok, 10:44 nach dem ersten Flackern des Reverser Isolation Valve indicators : Reverser links fährt. It was apparent, from examination of the "Trouble Shooting" documents and interviews with Lauda maintenance personnel, that they were following the procedures in the Boeing Fault Isolation Manual (FIM) to resolve recurring REV RNG FAIL and REV CR-CHK fault messages in the left engine PIMU. However, their efforts were unsuccessful in that the procedure never led to identifying an anomaly. When several attempts at the entire procedure were unsuccessful, Lauda personnel felt the need to continue troubleshooting efforts. They removed/interchanged DCVs, HIVs, and PIMUs however they did not seek assistance from Boeing or Boeing's Vienna based field service representative. Boeing considers these removals and interchanges as not related to PIMU fault messages, ineffective in resolving the cause of the messages, and not per FIM direction. Lauda maintenance records also indicate replacement and re-rigging of thrust reverser actuators. There was no further procedure or other guidance available in the Boeing FIM, and Lauda maintenance personnel made the decision to physically inspect the entire thrust reverser wiring harness on the engine and in the pylon. Wire continuity checks between the EEC and the Linear Variable Differential Transducers (LVDTs) for troubleshooting "RNG FAIL" messages are part of the FIM procedure if resistance values of the LVDTs are within limits. However, checking other thrust reverser wiring because of "RNG FAIL" messages is, according to Boeing, "inappropriate" since "RNG FAIL" PIMU messages are independent of the operation and indication circuits of the thrust reverser. The Boeing Dispatch Deviation Guide allows dispatch for up to 500 hours with an EEC maintenance message annunicated. If the message is cleared following a corrective action and does not reoccur on the next flight, when if it does reoccur, a new 500 hour interval begins. Therefore, Lauda was not remiss in continuing to dispatch the airplane and trouble shoot the problem between flights. No specific Lauda maintenance action was identified that caused uncommanded thrust reverser actuation on the accident airplane.

H3 : Challenger (STS 51-L) 28-Jan-1986 25. Shuttle Flug 7. Startversuch Filmanalyse: 9 Lecks (0,678 – 2,5 s) 1. Flamme (58,788 s) Tankbruch (64,660 s) Explosion (73,137 s) V = Mach 1.92 H = 46.000 ft

Antoine de Sainte-Exupéry “The machine does not isolate man from the great problems of nature but plunges him more deeply into them.” Antoine de Sainte-Exupéry Außentemperatur ca. -1C, O-Ring Temperatur ca. -7C

Wettervorhersage Tag vorher war ca. -5C. Ingenieure des Herstellers Morton Thikol befürchteten, O-Ringe würden nicht halten. Schicken No-Launch Empfehlung mit 13 slides an NASA; die einzige in 12 Jahren. NASA zeigte sich erschrocken, und empfahl M.T. dies noch einmal zu überdenken. M.T. tat dies und änderte die Meinung, basierend auf der Aussage, daß die “Beweise” der Ingenieure nicht stichhaltig wären. Die Geschichte der O-Ring Ausfälle sei nicht nachweislich mit Kälte korrelierbar. Nach mehrstündiger Diskussion über Telefon wurde nach Mitternacht beschlossen zu starten. Wesentliche Ursache: Unfähigkeit der Ingenieure das Versagen von O-Ringen nachweislich mit Kälte in Verbindung zu bringen. 13 Slides gemalt, an NASA gefaxt und in 2 TelCons stundenlang besprochen. SRM = Solid Rocket Motor 53F = ca. 12C

“Awful consequences result when heroic engineers are ignored by villainous administrators.” E.R. Tufte

Risiko = Eintritts-Wahrscheinlichkeit * Schadenshöhe “Wenn die den Luftverkehr nutzende Öffent-lichkeit wüßte, daß Vorschriften, die ihre Sicherheit betreffen, von einer Kosten-/Nutzen-analyse abhängen, gäbe es eine Revolution”  Risikomanagement Schaden : Leben, Kosten, Zeitverlust Risiko Management – FMECA (Failure Modes, Effects & Criticality Analysis) Risiko = Eintritts-Wahrscheinlichkeit * Schadenshöhe

“Wenn es billiger ist, Menschen zu töten, dann töten wir sie eben!” Peter DeFazio US-Kongreßabgeordneter, System-Kritiker, 1994 1. Identifikation Brainstorming, Anonyme Meldung, … 2. Analyse Daten, Erfahrungen, Zusammenhänge, … 3. Bewertung 4. Priorisierung 5. Aktion Akzeptieren, Lösen, Redundanz, Alternativen, … SH H M Wahrscheinlichkeit N SN Us Aufsichtsbehörde: Implizit: 1 Mensch = 1.2 Mio $ (36 Mio $ auf ein Flugzeug mit 30 Sitzen) Warschauer Abkommen: 26.750 DM Max! Semaphor 1 2 3 4 5 Tech Preis Zeit 1 2 3 4 5 Schaden

Ein praktisches Beispiel

a. Wald ist ziemlich groß, schonmal verirrt Identifikation a. Verirren b. Wolf c. Kein Cabrio Analyse a. Wald ist ziemlich groß, schonmal verirrt b. Kann schneller laufen, Zähne!, aber doof c. Noch zwei Jahre Zeit, Oma ist gütig H M N 1 2 3 Bewertung Aktion Gelbkäppchen Jogging-Training Pfefferspray Brotkrumen GPS Blindenhund Fleurop Eh’ kein Führerschein Priorisierung Wolf Verirren Kein Cabrio

“Der Teufel im Detail spottet jeder Proportion.” In 1983, Yankees outfielder Dave Winfield killed a seagull in Toronto with a warmup throw. Police charged him with animal cruelty, although the charge was later dropped. Szenarien sind alle theoretisch – Wer kann alles vorher bedenken? 26-März-2001 Tucson, Az Az. Diamondbacks - S.F. Giants Randy Johnson

Anstatt schlauer Sprüche Chance zu sterben an … Herzinfarkt 1 : 388 Motorfahrzeugunfall 1 : 6.585 Hausbrand 1 : 83.025 Fallende Objekte 1 : 373.787 Eisenbahnunfall 1 : 524.753 Flugzeugabsturz 1 : 659.779 Fleischfressende Bakterien 1 : 1.252.488 Blitz 1 : 3.106.880 Giftige Schlangen, Spinnen 1 : 54.049.600 Anthrax 1 : 55.052.999 USA, 2001

Literaturverzeichnis Beveren, Tim van Runter kommen sie immer – Die verschwiegenen Risiken des Flugverkehrs Van Gool Rotkäppchen Hammond, John S. Smart Choices Krantz, Gene Failure is not an option MacPherson, Malcolm Blackbox – Die authentischen Tonband-aufzeichnungen von Flugzeug-katastrophen … Neumann. Peter G. Computer Related Risks Petroski, Henry To Engineer is Human – The Role of Failure in Successful Design Tufte, Edward R. Visual Explanations