HUFAG Nieuwsbrief. Inhoud. Van de voorzitter. Datalink Bert Ruitenberg, Gilde van Luchtverkeersleiders. Herfst Van de voorzitter.

Transcriptie

1 HUFAG Nieuwsbrief 9 Herfst 2004 Inhoud 1 Van de voorzitter 2 Datalink 5 Datalink in Maastricht UAC 6 Verkeersleiders en vliegers en hun rol in veiligheidsanalyses Van de voorzitter In deze om verschillende redenen vertraagde HUFAG Nieuwsbrief vraag ik uw aandacht voor twee onderwerpen. Het eerste is data link. Data link is een alternatief voor het klassieke radioverkeer tussen vliegtuigbemanningen en de grond. In het eerste artikel hierover beschrijft Bert Ruitenberg wat data link precies is, welke toepassingen voor de luchtvaart belangrijk zijn en welke human factor aspecten er aan data link toepassingen zitten. Vervolgens laat Kris Vermeiren ons in het tweede artikel zien wat data link voor de verkeersleider in de praktijk betekent. Het tweede onderwerp betreft de rol die luchtverkeersleiders en verkeersvliegers kunnen spelen in de veiligheidsanalyse van luchtverkeersoperaties. Het ontdekken en inschatten van de risicoís van een bepaalde, nog in het ontwerpstadium verkerende, luchtvaartoperatie en het bedenken van mogelijke verdedigingen tegen die risicoís is een complexe zaak die goede inschattingen vereist. Het blijkt dat mensen die de praktijk van de operatie door en door kennen daar een belangrijke en gewaardeerde bijdrage aan kunnen leveren. Het artikel van de hand van Hans de Jong, Sybert Stroeve en Henk Blom geeft ons inzicht hoe dit in zijn werk gaat. Datalink Bert Ruitenberg, Gilde van Luchtverkeersleiders HUFAG Human Factors Advisory Group Stichting HUFAG Postbus ZS Schiphol Fax: t.a.v. Dhr. A. Droog Internet: info@hufag.nl Data link is het verzenden van gegevens via een verbinding tussen twee of meer punten. De betekenis die in de dagelijkse praktijk aan het begrip data link wordt toegekend, behelst doorgaans het draadloos verzenden van gegevens tussen twee punten. In ons gewone leven komen we verschillende voorbeelden van data link gebruik tegen die al zo zijn ingeburgerd dat veel mensen waarschijnlijk zich niet eens realiseren dat het om data link technologieîn gaat. Het meest voor de hand liggende voorbeeld is de mobiele telefoon (zowel spraak als SMS), maar ook de tekstberichtcommunicatie systemen van taxicentrales en dergelijke gebruiken een data link. Hierbij worden voor de data link verschillende golflengten en technische protocollen gebruikt; de telefoon en het communicatiesysteem zijn de toepassingen. Welke data link toepassingen zijn belangrijk voor de luchtvaart? ACARS dan op een papiertje (maat: flinke kassarol) krijgt uitgeprint in de cockpit. Ook kunnen bemanningen via ACARS een Het Aircraft Communications and bericht naar de maatschappij sturen, bijvoorbeeld Reporting System (ACARS) is ontwikkeld als alternatief voor de HF (High een verzoek om een rolstoel voor een passagier bij de gate, of informatie Frequency) of VHF (Very High over technische problemen met Frequency) spraak-verbindingen die luchtvaartmaatschappijen gebruiken om contact te houden met hun vliegtuigen op de route. ACARS stelt een maatschappij in staat om een tekstbericht aan een bemanning te sturen, die dat het vliegtuig. De integriteit van ACARS is per definitie niet hoog, wat betekent dat een letter of cijfer door de verzender ingetikt niet altijd hetzelfde is als wat door de ontvanger wordt gelezen. Omdat de berichten die via ACARS wor-

2 den verzonden in principe niet safetycritical zijn, is de lage integriteit ervan acceptabel. Voordat het zover is, dienen er echter nog vele juridische en praktische aspecten te worden onderzocht. broadcast versie (d.w.z. te ontvangen door elk daarvoor geschikt station). Met VDL Mode 4 is ADS-B mogelijk. CPDLC Controller - Pilot Data Link Communications (CPDLC) wordt door velen gezien als dè oplossing voor de overbelasting van VHF spraak-frequenties. Bovendien kan door het gebruik van CPDLC een aantal nadelen van HF-communicatie vermeden worden. CPDLC is niet bedoeld als vervanger van spraakcommunicatie maar als een aanvullende mogelijkheid. (Pre-)Departure Clearance is een variant van CPDLC die op vliegvelden gebruikt kan worden. Hierdoor worden vliegers in staat gesteld om al in de preflightfase per data link hun klaring voor de te volgen vertrekroute op te vragen. (De VHF frequentie waarop dit traditioneel per R/T gebeurt, is vaak overbelast op tijden waarop er veel vluchten willen vertrekken. Met (P)DC kan deze overbelasting worden vermeden). ADS Automatic Dependent Surveillance (ADS) is een systeem waarbij de navigatiegegevens uit een vliegtuig worden gebruikt om op een beeldscherm op de grond de positie van het vliegtuig af te beelden. Hierdoor kan een radar-achtig beeld van het luchtverkeer in een bepaald gebied worden verkregen. Er bestaan van ADS twee varianten: de eerste is die waarbij de uitgezonden ADS informatie slechts door één (grond)station ontvangen kan worden; de tweede is er een waarbij de ADS informatie als broadcast wordt uitgezonden en door elk geschikt station kan worden ontvangen. Deze laatste variant staat bekend als ADS-B (broadcast); ter onderscheid wordt de eerste versie tegenwoordig ook wel aangeduid met ADS-C (contract, naar de benaming voor het opzetten van de verbinding tussen de twee stations). Met ADS-B wordt het mogelijk om ook in de cockpit een display te presenteren waarop gegevens zoals positie, hoogte, snelheid en route van andere vliegtuigen te zien zijn (CDTI - Cockpit Display of Traffic Information). Dit kan op termijn mogelijkheden bieden om de vereiste separatie tussen vliegtuigen door de vliegers te laten regelen in plaats van door de verkeersleiding. Hiervoor worden zogeheten Airborne Separation Assistance Systems (ASAS) ontwikkeld. DFIS Tot de categorie Digital Flight Information Service (DFIS) behoren D-ATIS en D-VOLMET. Met behulp van Digital ATIS en/of Digital VOLMET kunnen vliegers te allen tijde een actueel weerbericht van een gewenste locatie op een beeldscherm gepresenteerd krijgen, of dit uitprinten. Zij hoeven daarvoor geen spraak-uitzending meer uit te luisteren. Deze twee toepassingen zullen waarschijnlijk als eerste op grote schaal worden ingevoerd. Tot de mogelijke DFIS toepassingen behoren verder o.a. NOTAM service, Runway Visual Range (RVR) service en windshear report service. Welke data link technologieën zijn er? Voor toepassingen in de luchtvaart zijn de volgende vier data link technologieën beschikbaar: VHF of HF analoog Deze systemen worden gebruikt voor ACARS berichten. Er vliegen bijvoorbeeld momenteel zo n 300 vliegtuigen rond die zijn uitgerust met HF data link en die samen maandelijks meer dan berichten verzenden. Het ACARS netwerk is door Boeing en Airbus ook gebruikt voor de eerste (experimentele) generatie vliegtuigen die CPDLC en ADS berichten kunnen ontvangen en versturen. Deze generatie avionics heet respectievelijk FANS/1 en FANS/A. Het grote nadeel van FANS/1 en FANS/A apparatuur is dat het niet voldoet aan de standaards die ICAO heeft opgesteld voor het Aeronautical Telecommunication Network (ATN). VHF Digital Link (Mode 1 t/m 4) Deze VDL Modes voldoen elk wél aan de ICAO ATN standaards, maar het is nog steeds onduidelijk welke van de vier er zal of zullen komen. Hier volgt een overzicht van de verschillen: VDL Mode 1: digitale versie van het ACARS netwerk; wordt vrijwel zeker niet ontwikkeld. VDL Mode 2: geschikt voor data; sneller en nauwkeuriger dan ACARS. VDL Mode 3: geschikt voor data en gedigitaliseerd spraakverkeer. Kan alleen worden gebruikt voor verbindingen tussen twee stations. VDL Mode 4: geschikt voor data in VDL Mode 2 en Mode 4 lijken op dit moment de belangrijkste kandidaten voor verdere toekomstige ontwikkelingen. SSR Mode S Extended Squitter Dit is een tamelijk complexe techniek waarbij gebruikt wordt gemaakt van het Mode S transpondersignaal dat door moderne vliegtuigen wordt uitgezonden. In de vrije ruimte van dit signaal kunnen data worden meegezonden in broadcast, vergelijkbaar met VDL Mode 4. De 11e ICAO Air Navigation Conference (september 2003) heeft Mode S ES aangewezen als de technologische standaard voor ADS-B. Deze keuze van de Air Navigation Conference is deels ingegeven door de wens van de luchtvaartmaatschappijen om niet te hoeven investeren in nieuwe boordapparatuur. De International Federation of Air Traffic Controllers Associations (IFATCA) heeft als bezwaar tegen deze keuze aangevoerd dat het gebruik van de Mode S transponder voor zowel ADS-B als TCAS (het antibotsingsysteem in vliegtuigen) de onafhankelijke werking van TCAS kan aantasten. Universal Access Transceiver (UAT) De techniek achter de UAT is nog complexer dan bij Mode S ES, en speelt zich ook af in een ander deel van het frequentiespectrum. De UAT is qua mogelijkheden vergelijkbaar met (en dus een concurrent van) VDL Mode 4 en Mode S ES. Het is een in Amerika ontwikkeld alternatief dat voorlopig alleen binnen Amerika experimenteel wordt toegepast. Op de HUFAG website is een uitgebreider artikel te vinden over de voor- en nadelen van deze technologieën. ( Age of Consent, door Kim O Neill, gepubliceerd in Air Traffic Technology International 2004) Hoe ziet de CPDLC interface er uit in de cockpit? Er zijn grote verschillen tussen de systemen die de vliegtuigfabrikanten hebben ontwikkeld voor het gebruik van CPDLC. Hieronder volgt een korte beschrijving van de CPDLC interfaces van de Boeing , de Boeing 777 en de Airbus HUFAG Nieuwsbrief

3 Boeing In de Boeing moest de CPDLC functionaliteit worden toegevoegd aan een bestaand instrumentarium in een al tamelijk volle cockpit. Er is daarom gekozen voor het integreren van CPDLC in de Multifunction Control-Display Unit (MCDU), ofwel het bedieningspaneel voor de Flight Management Computer. Beide vliegers hebben een MCDU tot hun beschikking op het horizontale paneel tussen de stoelen. Het MCDU beeldscherm is monochroom en vrij klein (zie figuur). Bovendien worden er twee verschillende formaten gebruikt voor zowel tekst als cijfers. Figuur 2 Airbus 340 Ook voor de CPDLC interface in de cockpit van de Airbus 340 konden tijdens de ontwerpfase van het vliegtuig al keuzes worden gemaakt. Men is uitgekomen op een kleurendisplay dat alleen wordt gebruikt voor CPDLC berichten, waarvan beide vliegers er één tot hun beschikking hebben in het vertikale deel van het instrumentenpaneel. Naast het gebruik van kleur wordt er ook gebruik gemaakt van inverted tekstblokken om bepaalde acties duidelijker te laten opvallen (zie figuur 6). Figuur 1 Bij het operationele gebruik van CPDLC dat al enige jaren plaatsvindt boven de Stille Oceaan (Pacific) zijn er een paar incidenten geweest doordat B vliegers alleen het in het grote formaat afgebeelde deel van de tekst lazen en uitvoerden, en niet het kleiner afgebeelde deel zagen waar een bepaalde voorwaarde stond genoemd waaraan moest worden voldaan alvorens de instructie uitgevoerd mocht worden. Naar aanleiding van deze incidenten heeft Boeing een modificatie in de beeldschermen uitgevoerd: alle tekst en cijfers worden nu in één formaat gepresenteerd (zie figuren, figuur 2 de oorspronkelijke versie, figuur 3 de gemodificeerde versie). Boeing 777 Omdat bij het ontwerpen van de Boeing 777 er al rekening kon worden gehouden met het gebruik van CPDLC, is er een totaal andere oplossing toegepast dan bij de B747. De CPDLC functionaliteit is een onderdeel van het Multi- Functional Display (MFD), waarvan er in totaal drie beschikbaar zijn: één recht vóór elke vlieger en één tussen hen in. De MFD schermen zijn grote kleurenschermen met uitgebreide menukeuzes, o.a. voor CPDLC. De figuur 4 toont het menu voor CPDLC Figuur 3 richting verkeersleiding (ATC). Op figuur 5 is een bericht te zien waarin een klaring voor het volgen van een routesegment wordt gegeven en waarin tevens een instructie wordt gegeven om op een bepaalde positie naar een hoger flightlevel (FL350) te klimmen en te melden wanneer dit flightlevel is bereikt. Figuur 4 Figuur 5 Figuur 6 Waar worden data link toepassingen in de luchtvaart gebruikt? Data link toepassingen lenen zich per definitie het best voor gebruik in gebieden waar de conventionele infrastructuur (VHF spraakcommunicatie, radar, navigatiebakens) ontbreekt of slecht functioneert. De eerste toepassingen worden dan ook al sinds een aantal jaren op betrekkelijk grote schaal gebruikt boven de Stille Oceaan en in Azië. Maar ook dichter bij huis worden data link toepassingen in de luchtvaart gebruikt. Op de vliegvelden Brussel en Charles de Gaulle wordt op bescheiden schaal gewerkt met pre-departure clearance, en het Eurocontrol verkeersleidingscentrum in Maastricht gebruikt CPDLC om bepaalde informatie uit te wisselen met daartoe geschikte vliegtuigen (zie artikel in deze nieuwsbrief). Data Link Human Factors Issues Hieronder volgen een aantal aandachtspunten op Human Factor gebied die gerelateerd zijn aan het gebruik van data link toepassingen. De lijst is niet volledig en er worden geen oplossingen aangedragen. Het is slechts bedoeld om de lezer inzicht te geven in misschien onbekende problematiek, en mogelijk ook hierover aan het denken te zetten. Omdat er verschillende data link technologieën worden ontwikkeld, ontstaat er een potentieel compatibiliteitsprobleem waardoor vliegtuigen niet Nr. 9 Herfst

4 overal hun data link mogelijkheden kunnen benutten, of waardoor in een bepaald gebied niet alle vliegtuigen in staat zijn data link toepassingen te gebruiken. Daarnaast zijn er verschillende aanbieders van de data link netwerken (bijv. SITA, AIRINC). Als een vliegtuig geen klant is van het netwerk dat beschikbaar is, worden berichten soms met vertraging verzonden. De nu al operationele FANS 1/A systemen van respectievelijk Boeing en Airbus maken gebruik van het ACARS netwerk, dat hier echter niet oorspronkelijk voor ontworpen was. Vooral de lage integriteit en de trage verbindingssnelheid van dit netwerk kunnen onverwachte problemen opleveren voor CPDLC toepassingen. De verschillen in de CPDLC interfaces in de cockpits maken het voor de verkeersleiding belangrijk om te weten hoe een bericht aan de bemanning zal worden gepresenteerd. Met name zullen verkeersleiders voorzichtigheid moeten betrachten bij het zenden van lange of complexe berichten aan Boeing bemanningen. Ten behoeve van CPDLC zijn er standaard message sets ontwikkeld, vergelijkbaar met de standaard fraseologie die in de radiotelefonie wordt gebruikt. Aan de standaard message sets is in de systemen in de vliegtuigen een aantal (semi-)automatische acties gekoppeld, zoals bijvoorbeeld het laden van de ontvangen instructies in de Flight Management Computer. De FMC genereert dan op zijn beurt weer automatische antwoord- of bevestigingsberichten die de bemanning kan versturen. Niet elk grondstation heeft echter de volledige set in zijn systeem geïmplementeerd, net als niet elke luchtvaartmaatschappij dat heeft gedaan. Om in die gevallen waarin de standaard set niet voorziet toch via CPDLC te kunnen communiceren is er een free text optie, welke vooral door onervaren gebruikers veelvuldig wordt benut. De berichten die als free text worden verzonden, kunnen echter niet in de FMC worden geladen of automatisch (uit de standaard set) worden beantwoord. Hierdoor zijn al een aantal vervelende misverstanden tussen verkeersleiding en vliegers ontstaan. In de benaming van het ADS systeem staat de letter D voor Dependent, oftewel Afhankelijk. Hiermee wordt aangegeven dat ADS voor de bepaling van de te presenteren positie van een vliegtuig afhankelijk is van het navigatiesysteem van dat vliegtuig. Radar is in vergelijking met ADS onafhankelijk, want er worden eigen signalen gebruikt om de vliegtuigpositie te bepalen. Als er dus een fout zit in het navigatiesysteem van een vliegtuig, kan dit leiden tot de volgende situaties: 1) het vliegtuigsymbool wordt op het display op de verwachte positie gepresenteerd, maar in het echt bevindt het vliegtuig zich ergens anders; of 2) het vliegtuigsymbool wordt op het display op een onverwachte positie gepresenteerd, terwijl het vliegtuig zich in het echt wèl op de juiste plaats bevindt. In beide gevallen kan dit tot ernstige problemen leiden v.w.b. de separatie met andere vliegtuigen. Om ADS berichten van het vliegtuig naar de grond te zenden, dient een zogenaamd contract te worden overeengekomen tussen de twee stations. In zo n contract (dat in feite een technisch protocol is) wordt o.a. geregeld hoe vaak of bij welke bijzondere parameters (hoogte, positie) er een bericht zal worden verzonden. De term contract heeft niet toevallig ook een zakelijke klank, want voor elk verzonden bericht dient een bescheiden bedrag te worden betaald aan de data link service provider. Voor een vlucht in Oceanic Airspace wordt de updatefrequentie doorgaans op 15 minuten gezet, waardoor toch al gauw enkele tientallen dollars naar de provider mogen worden overgemaakt. In de testfase was dit voor de meeste maatschappijen geen probleem, maar zodra er structureel gebruik gemaakt gaat worden van ADS en er mogelijk kortere update-frequenties noodzakelijk worden, kan dit wel eens anders worden. Er is reeds een discussie gaande over wie de kosten voor ADS moet betalen: de luchtvaartmaatschappijen of de verkeersleidingsinstanties. (Ter vergelijking: de updatefrequentie voor radarbeelden is in de grootte van 4-10 seconden). Documentatie en Informatie Manual of Air Traffic Services Data Link Applications. ICAO Doc ICAO, Montreal, Canada (1999) Human Factors Guidelines for Air Traffic Management Systems. ICAO Doc ICAO, Montreal, Canada (2000) Age of Consent. Artikel geschreven door Kim O'Neill (Advanced Aviation Technology Ltd, UK) in Air Traffic Technology International In dit artikel worden de voor- en nadelen van de verschillende data link technologieën uitgebreid behandeld. Het artikel is in PDF formaat te vinden op de HUFAG website. Eurocontrol data link website: Datalink in Maastricht UAC Kris Vermeiren (België), Luchtverkeersleider Eurocontrol Upper Area Control Centre Maastricht. Datalink of CPDLC, wat voor Controller Pilot DataLink Communication staat, is ontwikkeld om een alternatief te bieden voor de klassieke radiotelefonie tussen de verkeersleider en de piloot. In plaats van een spraakbericht wordt een elektronisch bericht de ether in gestuurd. Wat biedt datalink aan de verkeersleiding? De initiële motivatie voor de ontwikkeling van datalink is het vrijmaken van tijd op de radiofrequentie. Wanneer het druk is in een ATC-sector, is het gebruik van radiocommunicatie inderdaad vaak een bottleneck. De controller heeft verschillende acties gepland, maar nu moet alles ook nog eens gezegd worden. Algemeen wordt zelfs een radiogebruik van 40% (in tijd) aangenomen als de grens naar overload. Als de radiofrequentie voor meer dan deze hoeveelheid tijd gebruikt wordt, is het te druk. 4 HUFAG Nieuwsbrief

5 Het is echter niet de bedoeling dat datalink in de toekomst spraakinstructies geheel zou gaan vervangen. Het werken met de stem heeft ook zijn voordelen. De communicatie is heel direct, en er wordt heel wat context meegegeven. Die kan bestaan uit een verklarend woordje, of door de toon waarop het bericht gesproken wordt. En op een instructie met de stem wordt onmiddellijk door de piloot gereageerd met een herhaling van de instructie. Als men de huidige radiocommunicatie met het bellen met een mobieltje zou vergelijken, dan is een datalink bericht duidelijk het equivalent van een SMSbericht. Deze beide dingen hebben een verschillend gebruik. Als ik met iemand een afspraak voor morgenavond wil maken, is het gebruik van een SMSbericht heel geschikt. Wanneer ik echter aan iemand wil vragen of ik nu kan langs komen, dan kan ik die persoon beter bellen. Zo ook in de verkeersleiding. Instructies die tijd-kritisch zijn (separatie van twee vliegtuigen) moeten over de radio gebeuren. Niet tijd-kritische instructies kunnen via datalink gestuurd worden. Voorbeelden hiervan zijn het vragen om de code van de transponder te veranderen, een vliegtuig naar de volgende sector oversturen, etc. En hier kan tijd gewonnen worden. Vooral voor de radar controller, diegene die in radioverbinding met de piloten is. Want hij kan deze taken nu delegeren naar de planning controller, die voor de komst van datalink geen enkele verbinding met de vliegtuigen had. Ook voor lange repetitieve instructies zal datalink winst betekenen. Een voorbeeld uit het luchtruim van Maastricht UAC. Alle inbounds Frankfurt die uit het noorden komen, en dat zijn er nogal wat, krijgen de volgende instructie: Descend to flight level twothree-zero to be level six-zero miles north of Gedern. Eén druk op de knop voor de standaard klaring voor vluchten naar Frankfurt neemt veel minder tijd in beslag, en is bovendien niet zo vervelend voor de controller die anders zoveel keer per uur hetzelfde liedje moet zingen. Het gebruik van datalink zorgt ook voor meer veiligheid. In het geval van een geblokkeerde radiofrequentie kan men via datalink toch nog de nodige instructies doorsturen. Later zal het ook mogelijk zijn de route van een vliegtuig zoals men die bij de verkeersleiding kent te vergelijken met de route die in het Flight Management System van het vliegtuig zit. De verkeersleider wordt dan verwittigd van eventuele inconsistenties tussen beide vluchtplannen. Nu we toch vluchtplan-informatie aan het uitwisselen zijn, kunnen we dat ook gebruiken voor het uitbreiden van service verlening. Piloten kunnen hun gewenste vluchtprofiel doorsturen naar de grond, waar de planning verfijnd kan worden rekening houdend met de voorkeur van de gebruiker. Niet te vergeten zijn de voordelen die het downlinken van vluchtparameters met zich meebrengt. Momenteel zien controllers hoogtemeter-informatie op het scherm door middel van klassieke secundaire radarinformatie. Bijkomende beschikbaarheid van koers- en snelheidsgegevens uit de cockpit op het radarscherm zou heel wat gevraag vermijden, dus een directe controle en een duidelijke tijdswinst opleveren. Hoe zit dat nu in Maastricht? Maastricht heeft heel wat ervaring met datalink, want het UAC werd al sinds 1995 gebruikt voor de voorlopige proeven (PETAL), waarbij een hele waaier van datalink berichten beschikbaar was. Sinds 18 juni 2003 is Maastricht ook officieel datalink operationeel. De set instructies is initieel kleiner dan bij de PETAL proeven. Welke boodschappen worden vandaag uitgewisseld? Dit zijn de volgende berichten, geïnitieerd op de grond: Check microphone, gebruikt in het geval van een geblokkeerde frequentie. Change SSR code Squawk ident Change frequency Direct flight to a point Aircrew beantwoord de gegeven instructies ook via datalink, en kan ook zelf directe routes aanvragen. Geen van de bovenstaande instructies behoeven een readback. Binnenkort (her)introduceert Maastricht de positionele klaringen: heading en level changes. Ofschoon het zeker de bedoeling is dat ook die uiteindelijk volledig via datalink afgehandeld kunnen worden, wordt er eerst toch een readback over de radio van de gelinkte klaring gevraagd. De acceptatie bij de verkeersleiders wordt niet als vanzelfsprekend aangenomen. Zeer recent nog werd een enquête gehouden over het herintroduceren van de heading en level instructies. Tot nu toe heeft 40% van de verkeersleiders geantwoord, wat een hoge respons is. Daarvan verklaarde 92% dat ze datalink gebruiken als dit beschikbaar is met een vlucht. 86% van die positieve antwoorders (of 79% van de gehele respons) vermeldde ook blij te zijn met de uitbreiding van de set instructies tot heading en level klaringen. Ook het gebruiksgemak wordt nog verbeterd. Op het moment kan men zien of een vliegtuig uitgerust is met datalink en of het bij Maastricht ingelogd is via het positiesymbool op de radar. Datalink instructies zelf gebeuren via een datalink window. Dat window op het radarscherm is wel duidelijk en overzichtelijk, maar het is wenselijk alle instructies via het radar-label te kunnen doen. Aan deze verbetering wordt momenteel gewerkt. Tot slot wordt ook het Flight Data Processing System vervangen door een geavanceerd FDPS dat in November 2007 operationeel zal zijn. Dit nieuwe FDPS voorziet in meer ingewikkelde datalink toepassingen zoals het uplinken van route informatie, het vergelijken van vliegplanversies op de grond en in het vliegtuig, het downlinken van gewenste vluchtprofielen etc. Kris Vermeiren (België) is luchtverkeersleider bij het Eurocontrol Upper Area Control Centre in Maastricht. Hij behaalde het licentiaatsdiploma psychologie (drs. in NL; MSc. voor Engelsen) in '86 aan de Rijksuniversiteit Gent. In '88 kwam hij in dienst bij Maastricht UAC. In 1998 werd hij aangesteld als Expert Human Factors in het CRDS in Budapest. Na een aantal jaren keerde hij terug naar MUAC, nu in de functie van Expert Systems Planning and Implementation. Dit is een afdeling van de Operations Division, waarbinnen hij zich vooral op de HMI concentreert en waar hij dus nog steeds met HF issues te maken heeft. Nr. 9 Herfst

6 Verkeersleiders en vliegers en hun rol in veiligheidsanalyses Hans de Jong, Sybert Stroeve en Henk Blom, Nationaal Lucht- en Ruimtevaartlaboratorium Voor effectieve ontwikkeling van complexe luchtverkeersoperaties worden veiligheidsanalyses steeds belangrijker. Vanwege de cruciale rol die verkeersleiders en vliegers spelen in de veiligheid van zulke operaties, vormen zij een essentieel onderwerp van zulke analyses. Daarnaast leveren verkeersleiders en vliegers onmisbare kennis bij de uitvoering van de analyses. In dit artikel worden de verschillende rollen van verkeersleiders en vliegers in veiligheidsanalyses besproken aan de hand van de analyse van een kruisingsoperatie langs de Zwanenburgbaan (18C/36C) op luchthaven Schiphol. Operatieontwikkeling In deze kruisingsoperatie wordt op de Zwanenburgbaan gestart of geland, terwijl er ook taxiënd verkeer, onderweg van of naar de Polderbaan (18R/36L), langs moet. Vanwege de grote afstand tussen de Polderbaan en het centrum van Schiphol hebben Luchtverkeersleiding Nederland (LVNL) en Luchthaven Schiphol bij de operatie- en infrastructuurontwikkeling in eerste instantie gekeken naar kruisingen over de Zwanenburgbaan, zodat lange taxitijden zo veel mogelijk beperkt zouden kunnen worden. Uit de veiligheidsanalyse voor deze operatie kwamen potentieel gevaarlijke situaties (hazards) naar boven, die tot dan toe geen rol hadden gespeeld bij de ontwikkeling van de operatie. De identificatie van deze hazards werd dan ook als zeer waardevol beschouwd door de operatieontwikkelaars. Mede naar aanleiding van deze bevindingen is de kruisingsoperatie daarna door de LVNL verder ontwikkeld. In de huidige kruisingsoperatie vindt het taxiën van en naar de Polderbaan plaats via een zuidelijke taxibaan (figuur 1). Dit taxiën kan niet onafhankelijk gebeuren wanneer verkeer vanuit het zuiden op de Zwanenburgbaan landt, of naar het zuiden start. De verkeersleider voor de Zwanenburgbaan is verantwoordelijk voor het veilig laten kruisen en geeft daarvoor toestemming aan het kruisende vliegtuig met een instructie aan de vliegers, in combinatie met het uitschakelen van een rode stopbar. Figuur 1: Zwanenburgbaan (18C/36C) met taxibaanstructuur, juni 2003 Stappen in de veiligheidsanalyse In opdracht van LVNL heeft het NLR de veiligheidsanalyse voor de voorgestelde operatie uitgevoerd. Een dergelijke analyse vindt plaats in een aantal stappen. Binnen een groot aantal van deze stappen wordt menselijk handelen beschreven of geëvalueerd. De veiligheidsanalyse voor de kruisingsoperatie langs de Zwanenburgbaan omvatte de volgende stappen. Afbakening. Welke soorten risico worden wel en welke worden niet geëvalueerd? Operatiebeschrijving. Beschrijving in voldoende detail van de voorgestelde operatie (onder andere context, menselijke rollen en verantwoordelijkheden, procedures, technische systemen). Hazardidentificatie. Identificatie van potentieel gevaarlijke situaties (hazards) en hun rol in verschillende scenarioís in de operatie. Conflictscenario s. De hazards worden gerelateerd aan conflictsoorten en geordend met betrekking tot tijd, en oorzaak en gevolg. De resulterende hazardstructuren heten conflictscenario s. Hieraan gerelateerd wordt een risico opgedeeld in subrisico s, zodat efficiënte en overzichtelijke evaluatie van het risico mogelijk wordt. Argumentatiegebaseerde evaluatie. De veiligheidsrisico s worden geëvalueerd op basis van een eenvoudig rekenmodel. In dit model wordt vooral gebruik gemaakt van interviews met operationele experts en waar mogelijk van statistische gegevens uit bijvoorbeeld incidenten-databases. Simulatiegebaseerde evaluatie. Potentieel veiligheidskritieke risico s die moeilijk met voldoende zekerheid te evalueren zijn middels een argumentatiegebaseerde aanpak, worden geëvalueerd op basis van Monte Carlo simulaties met een model van de operatie. Beoordeling van aannames. Beoordeling van het effect op het risico in de operatie van het verschil tussen aannames gemaakt in het model en de werkelijkheid. Hierbij worden zowel afwijking en onzekerheid van het risico in kaart gebracht, onder meer middels een gevoeligheidsanalyse. Risicocriteria. Het risico van de operatie en de onzekerheid hierin worden bepaald en de voornaamste risicofactoren worden geïdentificeerd. LVNL vergelijkt de behaalde resultaten met risicocriteria en beslist mede op basis hiervan over invoeren of verder ontwikkelen van de operatie. Identificatie van hazards Een voorwaarde voor een goede veiligheidsanalyse is dat zo veel mogelijk hazards worden geïdentificeerd. Immers, hazards die niet worden geïdentificeerd kunnen leiden tot een te optimistisch beeld van de veiligheid. Het meest bekend is de functionele aanpak van hazardidentificatie. Met deze 6 HUFAG Nieuwsbrief

7 aanpak wordt getracht alle mogelijkheden van falen en de gevolgen daarvan te bepalen voor iedere functie die een rol speelt bij de operatie, inclusief de operatortaken. Helaas kunnen met behulp van deze aanpak niet alle aan de operator(s) gerelateerde hazards worden geïdentificeerd. Een belangrijke reden hiervoor is, dat de handelingen van een vlieger of een luchtverkeersleider afhankelijk zijn van hun (subjectieve) situational awareness. Vanuit het (beperkte) perspectief van een verkeersleider of vlieger kan een bepaalde handeling logisch zijn, terwijl er vanuit een totaal perspectief gezien sprake is van een foutieve of nagelaten handeling. Dergelijke handelingen worden vaak aangeduid als errors of commission (Ref. 1). Een voorbeeld in de kruisingsoperatie: vanwege de ingewikkelde taxistructuur denkt de vlieger ver van de landingsbaan aan het taxiën te zijn, terwijl hij in werkelijkheid de baankruising oprijdt. Een andere bekende techniek van hazardidentificatie is de HAZOP (HAZard and OPerability)-methode. Deze methode houdt in, dat er in een sessie met operationele experts hazzards worden geïdentificeerd en geanalyseerd. Tevens bedenken de experts tijdens de sessie potentiële oplossingen en maatregelen (Ref. 2). Het voordeel van HAZOP ten opzichte van de systems engineering aanpak is, dat ook niet-functionele hazards boven water worden gebracht. Bij de toepassing van HAZOP moet er voor worden gewaakt, dat de analyseen oplossingsactiviteiten het hazardidentificatieproces niet verstoren, wat als gevolg zou kunnen hebben dat bepaalde hazards niet worden geïdentificeerd. Men moet er ook op bedacht zijn dat mogelijke oplossingen nieuwe hazards met zich mee kunnen brengen. Met de ervaring van een groot aantal veiligheidsanalyses voor LVNL en op basis van kennis uit andere veiligheidskritieke industrieën, heeft het NLR een eigen manier van hazardidentificatie voor luchtverkeersoperaties ontwikkeld: door middel van een pure brainstormsessie met verkeersleiders en vliegers (Ref 3). Tijdens zo n sessie wordt er niet geanalyseerd en ook niet aan oplossingen gedacht. EUROCONTROL erkent inmiddels ook de waarde van deze pure brainstormmethodiek, waardoor Versie 2.0 van EUROCONTROL s Safety Assessment Methodology (SAM) naast de functionele aanpak ook de pure brainstormaanpak van het NLR zal bevatten (Ref. 3). Expertkennis in argumentatiegebaseerde veiligheidsanalyse De geïdentificeerde hazards worden gegroepeerd tot conflictscenario s en er wordt bepaald in welke situaties deze scenario s gevolgen voor de veiligheid kunnen hebben. Deze aanpak maakt ook analyse van hazards gerelateerd aan errors of commission mogelijk. Operationele experts spelen opnieuw een cruciale rol in de veiligheidsanalyse bij het beantwoorden van vragen als: Hoe vaak komt een gegeven potentieel gevaarlijke situatie voor? (In de kruisingsoperatie bijvoorbeeld runwayincursions of take-offs zonder klaring); en Hoe waarschijnlijk is het dat zo n situatie uitmondt in een incident? (Hoe groot is bijvoorbeeld de kans dat een verkeersleider een dreigende runway incursion opmerkt en weet tegen te houden?). Dergelijke vragen zijn lastig. Immers: Het gaat over een operatie waar nog geen ervaring mee is; Een operatie bestaat uit veel elementen die met elkaar in wisselwerking staan, zodat de uitkomst van de operatie als geheel moeilijk te voorspellen valt; en Gevaarlijke situaties komen zelden voor zodat er weinig ervaring mee is. Operationele experts kunnen daarom meestal geen precieze getallen geven. Ze geven inschattingen aan de hand van hoe vaak ze iets in hun loopbaan hebben meegemaakt (vliegers) of hun ervaring met het tijdig opmerken en corrigeren van conflicten (verkeersleiders). Verschillende experts zullen verschillende inschattingen geven. De vraag is hoe je antwoorden van verschillende experts het best kunt combineren; de ene expert zal waarschijnlijk betere schattingen leveren dan de andere, en sommige experts zullen misschien te optimistisch zijn en anderen juist niet. In recent onderzoek (Ref. 4) wordt een aanpak gegeven voor het gebruik van expert-oordelen. Centraal in die aanpak is het ijken van de operationele experts met vragen waarop het antwoord bekend is, bijvoorbeeld uit statistieken. Op deze manier kan rekening worden gehouden met experts die systematisch te hoog of te laag schatten en kan aan experts die doorgaans redelijk in de buurt zitten een groter gewicht worden toegekend dan aan experts die soms veel te hoog of veel te laag schatten. Deze aanpak levert betere schattingen met onderbouwde onzekerheidsmarges. Simulatiegebaseerde veiligheidsanalyse Zoals hierboven al werd opgemerkt bestaat een operatie uit veel elementen die met elkaar in wisselwerking staan. In zulke gevallen wordt gebruik gemaakt van een wiskundig model van de luchtverkeersoperatie en worden risico s met simulaties geëvalueerd. Dit wiskundige model representeert een groot aantal aspecten van de operatie, waaronder vliegtuigbewegingen, technische systemen, relevante procedures, alsmede activiteiten van vliegers en luchtverkeersleiders. Hierbij worden zowel nominale als niet-nominale situaties weergegeven, waarbij voor de laatstgenoemde categorie gebruik gemaakt wordt van kennis uit de hazardbrainstorm. Het wiskundige model is dynamisch en stochastisch, dat wil zeggen, het beschrijft de ontwikkeling van de operatie in de tijd en incorporeert allerlei toevallige variaties middels kansprocessen. Beschouw als voorbeeld de analyse van de kans op een botsing tussen een vliegtuig dat vertrekt van een startbaan terwijl er een taxiënd vliegtuig naar de baan beweegt (bijvoorbeeld als gevolg van het inslaan van een verkeerde taxibaan). In het model voor deze analyse voert de torenverkeersleider een aantal taken uit. Als gevolg hiervan kan hij binnen een bepaalde tijd het conflict detecteren. In dat geval zal hij veelal de betreffende vliegers instrueren na een tijd die onder andere afhangt van de communicatiesystemen. In reactie op een dergelijke instructie zullen de vliegers trachten een mogelijk ongeluk te voorkomen, bijvoorbeeld door te remmen. In aanvulling op conflictdetectie via de verkeersleider observeren de vliegers ook zelf de verkeersituatie en kunnen ze aldus het conflict herkennen en hierop reageren. Deze processen van de luchtverkeersleiders en vliegers worden parallel uitgevoerd en hangen af van de actuele verkeerssituatie en de toestand van relevante technische systemen in het model. De Monte Carlo simulaties op basis van dit model geven aldus informatie over de botsingskans. Simulatie van activiteiten van vliegers en luchtverkeersleiders De activiteiten van een vlieger of lucht- Nr. 9 Herfst

8 verkeersleider die passen bij een bepaald verkeersbeeld in de simulaties zijn gebaseerd op een analyse van de taken van de operator, een clustering van taken voor het model, en een identificatie van prioriteiten en mogelijkheden tot gelijktijdig afwerken van taakclusters (Ref. 5). Voorbeelden van taakclusters voor een luchtverkeersleider zijn: Monitoring: observatie van de verkeerssituatie; Communication: communicatie van een klaring; en Co-ordination: coördinatie met andere luchtverkeersleiders. In het model worden aspecten weergegeven als: condities om een activiteit te beginnen, duur van activiteiten, de effecten ervan, en de afhankelijkheid van werkdruk en verkeerssituatie. Bij de simulatiegebaseerde veiligheidsanalyse wordt dit probleem aangepakt door representatie in de simulaties van gewaarwording van de verkeerssituatie en hieraan gerelateerde technische systemen, operators en hun interactie. Deze gewaarwording omvat waarneming en interpretatie van de huidige en toekomstige verkeerssituatie en hieraan gerelateerde aspecten. Als gevolg van de interactie tussen de diverse operators en technische systemen in de simulaties, via processen zoals observatie en communicatie, kunnen er inconsistenties ontstaan tussen de verkeersbeelden van de operators en technische systemen. Deze inconsistenties zijn typische voorbeelden van veroorzakers van errors of commission, aangezien elke operator en elk technisch systeem handelt volgens zijn eigen verkeersbeeld. Expertkennis in simulatiegebaseerde veiligheidsanalyse Een model is een vereenvoudigde weergave van de werkelijkheid. Tijdens de modelontwikkeling zijn aannames geformuleerd. Onderdeel van de veiligheidsanalyse is een beoordeling van de onzekerheid en mogelijke afwijkingen in het werkelijke risico als gevolg van deze aannames. Bij een eerste analyse van het mogelijk effect van de aannames voor het risico in de kruisingsoperatie, bleek dat een groot deel van de aannames die een meer dan verwaarloosbaar effect zouden kunnen hebben, gerelateerd is aan taakafhandeling, conflictherkenning en conflictreactie van vliegers en verkeersleiders. Bij de beoordeling van de aannames is gebruik gemaakt van gestructureerde interviews met vliegers en torenverkeersleiders. De vragen behandelden bijvoorbeeld de duur van afhandeling van taken, reactietijden, de grootte van gezichtshoeken en de effecten van botsingvoorkomende acties. Op basis van de antwoorden van de operationele experts, statistische gegevens en additionele Monte Carlo simulaties is een evaluatie gegeven van het verwachte ongevalrisico en de onzekerheid hierin. Terugkoppeling naar de operatieontwikkeling Is de uitkomst van een veiligheidsanalyse dat er niet-verwaarloosbare risico s aan de operatie verbonden zijn dan hebben de ontwikkelaars van de operatie behoefte aan aanknopingspunten voor het veiliger maken van de operatie. De ervaring heeft geleerd dat ook voor het effectief mitigeren van veiligheidskritieke punten de inbreng van verkeersleiders en vliegers onontbeerlijk is. Conclusie In dit artikel is een systematische aanpak beschreven voor het uitvoeren van veiligheidsanalyses voor luchtverkeersoperaties. Daarbij is met name uitgelegd dat verkeersleiders en vliegers per stap in de veiligheidsanalyse een duidelijk te onderscheiden rol hebben. Identificatie van niet-functionele hazards; Inbreng van expertkennis bij argumentatiegebaseerde aanpak; Inbreng van expertkennis t.b.v. het simulatiemodel; Beoordeling van simulatiemodelaannames; en Identificatie van potentiële hazardmitigerende maatregelen. Referenties 1. Sträter O, Dang V, Kaufer B, Daniels A (2004). On the way to assess errors of commission. Reliability Engineering and System Safety 83: Kirwan B, Ainsworth LK (1992). A guide to task analysis, edited by B. Kirwan and L.K. Ainsworth, Taylor and Francis, De Jong HH (2004). Guidelines for the identification of hazards; How to make unimaginable hazards imaginable? NLR Contract report voor EURO- CONTROL, NLR-CR , March Cooke RM, Goossens LJH (2000). Procedure guide for structured expert judgement. Project report for EUR- Colofon De HUFAG Nieuwsbrief wordt uitgegeven door de Stichting Human Factors Advisory Group en verschijnt in een oplage van 750 exemplaren. De HUFAG Nieuwsbrief wordt gratis toegezonden aan belangstellenden. Alle informatie uit deze uitgave mag worden overgenomen mits volledig en met bronvermelding. Aan dit nummer werkten mee: Bert Ruitenberg, Kris Vermeiren, Hans de Jong, Sybert Stroeve en Henk Blom. Eindredactie: André Droog Meningen en opvattingen in gesigneerde artikelen van niet HUFAGleden worden niet noodzakelijk gedeeld door de Stichting HUFAG. Het bestuur van de Stichting HUFAG bestaat uit: Jurgen van Avermaete (voorzitter), Hans Sypkens (vice-voorzitter), André Droog (secretaris), Lilian Biber-Klever (penningmeester), Robert van Gelder, Hans Huisman, Simone Oudakker, Wouter Kunz, Rommert Soetendal en Klaas Zwart. ATOM, European Commission EUR EN 5. Daams J, Blom HAP, Nijhuis HB (2000). Modelling Human Reliability in Air Traffic Management. Proc. of Fifth Probabilistic Safety Assessment and Management Conference, Osaka, Japan, Nov 27 - Dec 1, 2000: Blom HAP, Stroeve SH, Everdij MHC, Van der Park MNJ (2003). Human cognition performance model to evaluate safe spacing in air traffic. Human Factors and Aerospace Safety 3(1): Stroeve SH, Blom HAP, Van der Park MNJ (2003). Multi-agent situation awareness error evolution in accident risk modelling. Proc. 5th USA/Europe ATM R&D Seminar, Budapest, Hungary, June Everdij MHC and Blom HAP (2002), Bias and uncertainty in accident risk assessment, Report TR , NLR, A dam, HUFAG Nieuwsbrief