Wat de luchtvaart ons leert over een fout antwoord.

Wij werken waar een fout antwoord gevolgen heeft, en de wereld van luchtvaart en ruimtevaart is het vakgebied dat daar het langst over nadenkt. Deze notitie legt vast wat wij lazen, wat het onderbouwt en wat niet. Niets in deze bronnen gaat over AI-⁠systemen; de vertaling naar Inora aan het eind is van ons.

Checklists hebben een methode

Normale checklists in de cockpit worden op een van twee manieren afgewerkt, die uit verschillende werkfilosofieën komen. Bij een do-list leest de bemanning een punt en voert het uit. Bij challenge-response doet de bemanning eerst het werk en controleert daarna elk punt op de lijst. Asaf Degani en Earl Wiener zetten de twee uiteen in een NASA-⁠rapport, Human Factors of Flight-Deck Checklists: The Normal Checklist, in mei 1990. Voor ons is het punt dat een checklist een methode met een ontwerp is, geen geheugensteun.

Meldingen die de melder niet kunnen schaden

NASA beheert het Aviation Safety Reporting System sinds 1976. De ontwerpers bouwden het op vier principes: vrijwillig, vertrouwelijk, zonder straf en onafhankelijk, en meldingen worden gedepersonaliseerd (NASA CALLBACK 555). Wat een melder beschermt, is beperkt en voorwaardelijk, geen algemene immuniteit: een Amerikaanse regel, 14 CFR 91.25, beperkt hoe de FAA meldingen bij handhaving mag gebruiken, en een advisory circular stelt voorwaarden aan een vrijstelling. ‘Zonder straf’ is in de luchtvaart een juridisch uitgewerkte afspraak die een onafhankelijke partij uitvoert, geen cultuuruitspraak. Wij vonden geen geverifieerde meting van schade die ASRS heeft voorkomen.

Gewoon werk waarnemen

De Line Operations Safety Audit neemt gewone vluchten waar onder voorwaarden zonder risico voor de bemanning: waarnemers noteren geen namen, vluchtnummers of datums. Zij rust op het Threat and Error Management-model, dat stelt dat bedreigingen en fouten bij normaal bedrijf horen en beheerst moeten worden (ICAO Doc 9803, 2002). Hetzelfde document noemt zijn grenzen: depersonalisering geeft “a level of protection”, geen immuniteit, en sommige maatschappijen voelen zich niet prettig bij no-jeopardy.

Falen als iets van de organisatie

In James Reasons beeld van ongevallen zit het grootste deel van de kwetsbaarheden in de organisatie, lang voor de gebeurtenis. Zijn mede-auteurs zijn duidelijk over wat het kaasmodel is: een heuristiek en een communicatiemiddel dat “illustrates how an accident could happen, but not how it must happen” (EUROCONTROL, 2006). Diane Vaughans naam voor hoe een organisatie een afwijking als normaal gaat zien, is normalisering van afwijkingen; zie haar The Challenger Launch Decision (University of Chicago Press, 1996) en deel 1, hoofdstuk 6 van het rapport van de Rogers Commission.

Leren gaat ook niet vanzelf. In maart 2012 stelde de Inspector General van NASA vast dat, hoewel de regels van NASA het eisten, slechts 16 van de 28 projectmanagers het Lessons Learned Information System gebruikten en slechts 12 eraan bijdroegen (IG-12-012). Dat beschrijft de jaren 2005 tot 2011; een latere controle vonden wij niet.

Wat in de verpleging is geprobeerd

De ene overdracht naar de verpleging die wij konden verifiëren, leverde geen effect op. In de PERMIS-studie droegen verpleegkundigen tijdens medicatierondes een hesje met “Do not interrupt, I am preparing medication”, op 29 ziekenhuisafdelingen. De toedieningsfouten verschilden niet: 7,09 tegen 6,23 procent, p = 0,192 (Berdot e.a., BMC Nursing, 2021). Een gebundelde ‘niet storen’-interventie verminderde onderbrekingen maar niet de fouten in het geheel (Westbrook e.a., BMJ Quality & Safety, 2017). Het is één interventie, in Franse ziekenhuizen, en in geen enkele setting van langdurige zorg. Wij vonden geen gecontroleerd bewijs dat checklists, gestructureerde overdracht of vertrouwelijke meldingen schade verminderen in de langdurige zorg, en juist die setting telt voor ons.

Wat wij overnemen, en wat wij niet beweren

Onze bewering is een ontwerpdiscipline, geen uitkomst. Wij lenen vier regels en houden onszelf eraan: protocollen hebben een versie en een eigenaar, zodat een bron te herleiden is; een vraag die de bronnen niet kunnen beantwoorden, gaat naar wie over het onderwerp gaat, zonder de naam van de vrager, zodat melden veilig is; wat het werk leert, komt als nieuwe versie van het protocol terug en niet als notitie die niemand leest; en de professional beslist. Dit zijn regels waarnaar wij ontwerpen. Wij beweren niet dat luchtvaartresultaten daaruit volgen.