Wie ein Flugzeugabsturz die IT-Analyse verbessern kann

Am Abend des 16. August 1987 startete der Flug 255 von Northwest Airlines vom Flughafen Detroit. Er stürzte eine Minute später ab und 156 Menschen starben bei dem Absturz. Der scheinbar offensichtliche Fehler der Piloten führte zu Forschungen mit Beteiligung der NASA, Änderungen im Flugzeugdesign und Flugverfahren. Diese Geschichte bezieht sich auch auf das Qualitätsmanagement, das Projektmanagement und das Thema Schuld und Bestrafung nicht nur für Sammler des verletzten Sojus MS-10, sondern auch für Menschen, die bei Ihrer Arbeit Fehler gemacht haben.


Foto vom Unfallort aus dem Bureau of Aviation Incident Archives

Katastrophe

Der Abend des 16. August 1987 in Detroit gefiel dem Wetter nicht. Ein Gewitter näherte sich und die Besatzung von Northwest Airlines Flug 255 hatte es eilig, den Flug fortzusetzen - Detroit war der dritte der fünf Flughäfen auf der Strecke, und die Verspätung betrug bereits eine halbe Stunde. Nach dem Gesetz der Gemeinheit änderte sich die Windrichtung, und die Fluglotsen leiteten das Flugzeug auf eine andere Spur um. Es war das kürzeste auf dem gesamten Flughafen, daher musste der Copilot die Masse des Flugzeugs und seine Laufleistung während des Starts nachzählen, um sicherzustellen, dass es möglich war, von dort abzuheben. Das Problem kommt nicht allein - am Abend, im Regen, verlor sich die Besatzung auf den Rollwegen, und als das Flugzeug schließlich auf die Landebahn fuhr, betrug die Flugplanverzögerung bereits 45 Minuten.

Der Start fand um 20.44 Uhr statt, und sofort wurde klar, dass etwas völlig schief gelaufen war - eine Warnung vor der Gefahr des Abwürgens ertönte im Cockpit, das Flugzeug wollte nicht an Höhe gewinnen und kippte hin und her. Nach ein paar Sekunden krachte er auf einem Parkplatz gegen einen Lichtmast, verlor einen Teil des Flügels und fiel, bereits unkontrollierbar, auf eine Autobahn, rutschte entlang dieser zur Überführung und stürzte dort ein, wo sie vollständig zusammenbrach. Beide Piloten, vier Flugbegleiter, 149 Passagiere und zwei Personen in einem zerquetschten Auto wurden bei dem Absturz getötet. Fünf weitere Personen am Boden wurden verletzt. Die einzige Überlebende war die vierjährige Cecilia Chin, die bei einer Katastrophe ihren Vater, ihre Mutter und ihren älteren Bruder verlor.


Flugmuster, Quelle

Untersuchung

Materielle Beweise und die Daten der "Black Boxes" zeigten eine erstaunliche Sache - eine erfahrene und professionelle Crew machte einen völlig "kindischen" Fehler - vergaß, die Klappen freizugeben!


Start der MD-80-Familie ähnlich dem abgestürzten Foto von Wikimedia Commons


Vergrößertes Foto, Flügelmechanisierung ist deutlich sichtbar

Ein kleines Bildungsprogramm. Lamellen und Klappen sind spezielle Oberflächen, die sich vorne und hinten am Flügel auslenken und / oder erstrecken, um bei niedriger Geschwindigkeit zusätzlichen Auftrieb zu erzielen. Wird zum Starten und Landen verwendet.

Die Untersuchung ergab, dass nicht nur die Klappen vergessen wurden, sondern eine ganze Flugkarte (Checkliste) mit mehreren Punkten, die im Taxi durchgeführt werden mussten. Während des Starts hatte die Besatzung sogar einen Hinweis darauf, dass sie etwas verpasst hatte - der Bordcomputer befand sich nicht im Flugmodus und die Traktionskontrolle ließ sich nicht einschalten. Aber eine Person, besonders unter Stress- und Eilebedingungen, kann nichts bemerken oder vergessen - die Besatzung ignorierte die Aufforderung und unterbrach den Start nicht.

Im Gegenteil, es gibt nicht weniger Fragen. Für den Fall, dass die Besatzung vergaß, das Flugzeug für den Start vorzubereiten, wurde ein spezielles System geschaffen, das signalisieren sollte, dass sich die Klappen und Lamellen nicht in der Startposition befanden. Aber aus irgendeinem Grund schwieg sie. Außerdem musste das Signal über die Gefahr des Abwürgens aus Gründen der Zuverlässigkeit von zwei Lautsprechern kommen und kam nur von einem. Eine offizielle Untersuchung ergab, dass aus einem unbekannten Grund der P-40-Schalter geöffnet wurde, der sich hinter dem linken Sitz befindet. Dieser Schalter versorgte gleichzeitig eine Warnung vor einer unzerbrechlichen Konfiguration und einen der Lautsprecher des Überziehwarnsystems. Das Bedienfeld mit diesem Schalter wurde bei dem Absturz schwer beschädigt, und es konnte nicht festgestellt werden, ob der Schalter defekt war oder manuell ausgeschaltet wurde. Eine Geschichte ist jedoch ein sehr wichtiger indirekter Beweis.


Schalttafel links von der MD-80-Kabine, Quelle

Im Rahmen der Untersuchung bat ein Ermittler des National Transportation Safety Council (NTSB), John Clark, den Piloten des gleichen Typs mit einem abgestürzten MD-80, verschiedene Warnungen anzuzeigen. Der Pilot reproduzierte auch die korrekte Warnung vor dem Abwürgen von zwei Lautsprechern und eine Anzeige der nicht freigegebenen Klappen. Um das monophone Signal zu demonstrieren, das während eines schicksalhaften Fluges ertönte, musste einer der Kanäle getrennt werden. Und der Pilot sagte: „Natürlich habe ich das nie getan, aber einige sagen, dass sie die Warnung vor den unveröffentlichten Klappen ausdrücklich ausschalten, weil sie im Taxi oft fälschlicherweise funktioniert und sehr ärgerlich ist.“ Danach griff ich, ohne hinzusehen, nach dem Schalter Der P-40 hinter ihm und mit einer deutlich vertrauten Bewegung schaltete ihn aus. Und auf der Schalttafel um den P-40 war mehr Schmutz, als würde er ständig ein- und ausgeschaltet ...

Die scheinbar offensichtliche Schlussfolgerung „Pilotenfehler“ verdeckte also tatsächlich zwei große Probleme:

1. Mit den Kontrollkarten stimmt etwas nicht, da sie nicht mehr ausgeführt werden können.
2. Wenn wir die Fehlalarme des Warnsystems für nicht freigegebene Klappen entfernen, werden die Piloten versucht sein, es auszuschalten.

Ich werde es speziell noch einmal wiederholen - erfahrene Profis machen auch Fehler. Versuche, die Situation durch repressive Maßnahmen zu korrigieren, würden die Untersuchung bekämpfen, nicht die Ursache - die Besatzung von Flug 255 war nicht unverantwortlich und wollte natürlich nicht sterben und unschuldige Menschen ins Grab bringen. Der Schiffskommandant arbeitete 31 Jahre lang für diese Fluggesellschaft, der Copilot hatte einen Flug von mehreren tausend Stunden, beide waren laut Kollegen gute Piloten, aber das half überhaupt nicht.

Leider konnten sie nicht schnell Lösungen finden - nächstes Jahr stürzte aus demselben Grund (sie vergaßen, die Klappen freizugeben) ein Flugzeug eines anderen Modells ab, eine Boeing 727, in Dallas. Von den 108 Personen an Bord starben 14. Dort gab es jedoch mehr Besatzungsfehler - die Piloten verstießen eindeutig gegen die Regel des "sterilen" Cockpits und sprachen mit einer Stewardess, die vor dem Start hereingekommen war. Bei der Aufnahme des Diktiergeräts sagt der Copilot jedoch, dass die Klappen im richtigen Winkel freigegeben werden, obwohl dies nicht der Fall ist.

Das Problem der Kontrollkarten wurde bei der NASA behandelt. Infolgedessen wurden Verbesserungsvorschläge angezeigt, beginnend mit der Länge der Checklisten und endend mit der Schriftart, in der sie gedruckt wurden. Darüber hinaus wurden Computer Ende der 80er Jahre aktiv in die Luftfahrt eingeführt, und Checklistener begannen, elektronische Geräte zu erstellen. Der Computer merkt sich nicht nur, wo Sie angehalten haben, wenn Sie abgelenkt waren, sondern überprüft auch, ob Sie das getan haben, was Sie als erledigt markiert haben. Leider gibt es noch etwas zu verbessern - die An-148-Katastrophe im Februar dieses Jahres ereignete sich, weil Piloten einen der Checklistenpunkte verschoben und vergessen hatten, ihn später auszuführen (aus Gründen der Fairness sollte beachtet werden, dass die Konstrukteure des Flugzeugs ebenfalls gescheitert sind - dieser Punkt kann nicht sein Es wurde im Voraus in einer entspannten Atmosphäre gemacht).

Fehlalarme wurden nicht nur auf dem MD-80, sondern auch auf anderen Maschinen entfernt - sie änderten die Anforderungen an das Gesamtsystem, sodass Flüge sicherer wurden.

Und wo ist IT?

Die Geschichte von Flug 255 enthält meiner Meinung nach Schlussfolgerungen, die wir zu Hause in der IT anwenden können.

• Die Organisation sollte offen für Veränderungen sein - wenn jemand sieht, dass etwas nicht stimmt, ist es am besten, wenn er die Möglichkeit hat, darüber zu sprechen und gehört zu werden, nicht bestraft zu werden.
• Bei der Analyse des Geschehens sollte sich der Fakap bemühen, die wahren Gründe zu finden, und sich nicht auf die Suche nach den Schuldigen einlassen. Das Beheben von Problemen ist wichtiger als die Bestrafung.

Eine Methode zur Umsetzung dieser Prinzipien heißt Autopsie ohne Schuld. Die Option, die in dem Unternehmen verwendet wird, in dem ich arbeite, heißt SWOB ohne Lösung, SWOB. Lassen Sie mich kurz seine Prinzipien zitieren:

Ziele:

• Der Vorfall wird von Mitarbeitern untersucht, die damit in Verbindung stehen, mit dem alleinigen Zweck festzustellen, dass es möglich ist, ihre Fehler zu verbessern und / oder daraus zu lernen (derjenige, der nichts tut, irrt sich nicht).
• Zeichnen Sie Schlussfolgerungen für andere Teams auf, damit diese neue Dinge lernen und / oder Ideen anbieten können.

Wichtig:

• Die Verbesserung von Prozessen geht alle an.
• Jeder wird gehört.
• Die Behörden sind offen für Neues.

Versprechen:

• Haben Sie keine Angst, tief zu graben und auch unangenehme Gründe auszusprechen. Niemand wird jemals für die Teilnahme an einem SWOB oder etwas, das in einem SWOB entdeckt wurde, bestraft.
• Unerträglich nur Respektlosigkeit füreinander.

Organisatorische Highlights:

• Wählen Sie einen unabhängigen Moderator, der sich Notizen macht und die Diskussion moderiert. Moderatoren wählen eine Person, die respektiert wird, daher ist es eine Ehre zu sein. Führung kann jedoch nicht als Vermittler gewählt werden.
• Es ist am besten, einen SWOB mit nicht ganz direkt nach dem Fakap durchzuführen, um sich zu beruhigen, aber auch nicht zu spät, damit die Leute nicht vergessen, was passiert ist. Ideal für eine Woche nach dem Problem.
• Dokumentationsformat: zuerst eine Beschreibung der Veranstaltung, dann Ideen zur Verbesserung der Prozesse.

Fazit

Wenn die Piloten den Konstrukteuren mitteilen könnten, dass die Fehlalarme des Warnsystems für nicht freigegebene Klappen sehr im Weg sind, könnte es auf Flug 255 keine Katastrophe geben. Über die MS-10 Union sind noch keine genauen Nachrichten darüber eingegangen, wie der Sensor gebogen wurde. Bei der Einführung von SWOB-Analoga sind jedoch die folgenden Szenarien durchaus möglich:

• Die Picker haben den Sensor versehentlich verbogen, aber da sie wussten, dass sie nicht für ihre Übergabe bestraft werden würden, berichteten sie, dass der Sensor ersetzt wurde und es keinen Unfall gab.
• Die Pflücker verstanden keine Operation, da sie wussten, dass sie nicht bestraft werden würden, berichteten dies, sie wurden unterrichtet, es gab keinen Unfall.
• Die Sammler fanden es unpraktisch zu arbeiten, wissend, dass sie nicht bestraft werden würden, sprachen darüber, Prozesse änderten sich, es gab keinen Unfall.

Es gibt keine Silberkugel, aber SWOB-Ideen können jedem von Ihnen helfen. Viel Glück bei der Verbesserung der Prozesse!