“Security”: Risteilijäonnettomuus 8.2.2012, Osa 2

Koen ongelmaksi matkustajien tilannetietoisuuden merkityksen vähättelyn. Matkalle lähteminen nostaa riskiä joutua onnettomuuteen, ja syysmyrskyssä riski on jonkin verran suurempi kuin kauniilla kesäkelillä. Matkustajille on annettava rehellisesti tietoa risteilytuotteen ominaisuuksista. Koska valveutuneita ratkaisuja ei voi tehdä puutteellisen tiedon varassa, ehdotan turvallisuuteen liittyvän informaation avoimuuden merkittävää lisäämistä.Avoimuuden voisi aloittaa historiasta. 2005 oli M/S Amorellan autokannella tulipalo, jonka laivan miehistö ansiokkaasti taltutti. Jostain syystä aiheesta ei aikanaan annettu yhtään pörssitiedotetta tai edes lehdistötiedotetta. Tilanne laivalla oli ohi noin 22.59 Suomen aikaa, jolloin matkustajat pääsivät takaisin sisätiloihin. Seuraavana aamuna kello 09.00 antoi Viking Line pörssitiedotteen, jossa kerrottiin polttoaineiden hintojen nousseen. Tulipalo kuitenkin oli, se sammutettiin ja siitä, niin kuin tämän tapaisista tilanteista yleensä, opittiin jotain. Tässäkin tapauksessa tutkintalautakunta antoi viisi turvallisuussuositusta, jotka varmasti ovat herättäneet keskustelua alan toimijoissa. Jotta puhe turvallisuudesta olisi uskottavaa, tulisi historian olla näkyvillä, isompien ja pienempien virheiden olla esillä, ja ennen kaikkea tulisi näyttää mitä on opittu ja miten se näkyy arjessa. Tasapuolisuuden nimissä on sanottava, ettei Tallinkin sivuilta löydy Siljan historiasta tätä vuoden 1995 ohjailukyvyn menetystä eikä Tallinkin historiasta tätä vuoden 1995 Kustaanmiekan väylän levennysyritystä. Hauska maininta kaljarallista sentään on luettavissa.Yritin nopeasti löytää sivuilta www.costacruise.com viittauksia turvallisuuteen. Eipä juuri pompannut esille. Ainoa löytämäni viittaus turvallisuuteen mainitaan työturvallisuuden yhteydessä. Haku www.finnair.com tai www.lufthansa.com sivuilta ei antanut yhtään enempää tietoa. Hieman paremmin tietoa löytyy esimerkiksi Viking Linen sivuilta. Sivu löytyi kohtuullisen helposti hakemalla kotisivun hakukentästä sanalla ”turvallisuus”. Tallink Siljanvastaava sivu oli hiukan vaikeammin löydettävissä ja sisällöltään suppeampi. Ainakin itselläni laajempi esitys loi kuvan luotettavammasta asioiden hoidosta.

Tilanne turvallisuutta koskevan tiedon osalta on hieman hämmästyttävä, sillä ainakin lentoyhtiöiden tapauksessa turvallisuustyötä tehdään uupumatta. Vaikea uskoa etteikö sama pätisi risteilyvarustamoon. Asiakkaan ei kuitenkaan ole kummassakaan tapauksessa mahdollista tilannetta tarkistaa. Pelkäävätkö yhtiöt asiakkaiden katoavan, en tiedä. Näin voi hyvin käydäkin, jos asia kerrotaan tyylin ”meidän palvelumme epäonnistuessa voit päästä hengestäsi”. Rahalla kuitenkin saa pitkälle mietityn esityksen, jolla turhien pelkojen lietsomista voi välttää. Toisaalta melko varmasti parhaat turvallisuusasiantuntijat myös risteilyjen ja ilmailun osalta löytyvät yhtiön ulkopuolelta. Avaamalla turvallisuusajattelua merkittävästi julkiseen verkkoon on mahdollista valjastaa ilmaiseksi esimerkiksi alan tutkijoita kommentoimaan puutteita. Tuppisuisella linjalla tähän ei ole mahdollisuutta.

Varustamotoiminnassa, varsinkin matkustajaliikenteessä, on turvallisuuden oltava ykkössijalla. Tämän tulisi näkyä organisaatiossa yrityksen ylintä johtoa myöten. Hallituksessa tulisi olla henkilö, jonka vastuualueeseen turvallisuus on julkisesti määritelty. Tällä henkilöllä tulisi myös olla sellainen osoitettavissa oleva osaaminen, joka mahdollistaa olemassa olevien käytäntöjen haastamisen. Vastaavasti turvallisuusorganisaatio ja järjestelyt tulisi avata matkustajien näkyville kaikilla tasoilla. Otetaan esimerkkinä konkreettinen tilanne, jossa tulipalon vuoksi matkustajat päätetään evakuoida. Pitäisikö diskossa joraavien lähteä hakemaan hytistä lämpimiä vaatteita? Vaikkapa tunnin odottelu ulkona reippaassa pakkasessa ja kovassa tuulessa heikentää toimintakykyä merkittävästi, vaikeuttaen mahdollista laivan jättämistä. Tätä lienee mietitty, mutta mistä sen tietää? Ei mistään, koska missään ei ole matkustajille kerrottu miten tilanne on ajateltu hoidettavan.

Laivojen sijaintia voi tarkastella esimerkiksi täältä ja jäätilannetta vastaavasti täältä, sääennusteen taas löytää täältä. Paljon matkan sujuvuuteen, mukavuuteen ja turvallisuuteen liittyvää ulkoista informaatiota on siis jo tarjolla. Jos tähän lisättäisiin varustamon puolesta laivan suorituskykyyn ja turvallisuustilanteeseen liittyvää tietoa, kuten autokannella olevat vaaralliset aineet (määrät luokittain), väylän kapeikot, navigointi-informaatiota kuten tutkakuva ja esimerkiksi palohälytysjärjestelmän tiedot, olisi matkustajalla jo lähes sama aineisto käytettävissään kuin miehistöllä. Jos vielä lisätään kaikkia matkustajia normaalissakin tilanteessa kiinnostavaa tietoa kuten buffetin aukeamisaika ja mahdollisuus varata sinne paikat, niin kasassa onkin ainekset kännykkäsovellukselle, jonka jokainen älypuhelimen omistaja haluaisi ennen matkalle lähtöä ottaa käyttöön.

Kaikkia eivät nämä yksityiskohtaiset tiedot tietysti kiinnosta, mutta niiden varaan on mahdollista luoda mittari, jolla kerrottaisiin mikä todellinen turvallisuustilanne on. Nykytilanteessa  ongelmana on käytetty hyvin karkea määrittely, jossa joko pidetään hauskaa tai ollaan isossa pulassa. Moderni teknologia ja valistuneet asiakkaat mahdollistaisivat paljon hienojakoisemman kommunikaation.

Sovelluksen käyttö edellyttäisi tietysti useimmissa aluksen tiloissa toimivaa kännykkäyhteensopivaa langatonta verkkoa. Kun tuo verkko olisi olemassa, voitaisiin sovellusta käyttää myös vaarallisissa poikkeustilanteissa tiedon jakamiseen matkustajille. Onnettomuustutkintakeskuksen raportissa Isabella 2001 on tullut esiin monella kielillä annettaviin kuulutuksiin liittyvä ongelma: kun kuulutus on annettu suomeksi, alkavat sen ymmärtäneet hälistä, vaikeuttaen muilla kielillä annetun informaation kuulemista. Tällaisessa tilanteessa luettavassa muodossa oleva informaatio, jota voi jälkeenkin päin tarkastella, on arvokasta. Joillekin voi myös olla helpompi ymmärtää kirjoitettua tekstiä kuin paineen alla työskentelevän kuuluttajan lukemaa.

Jakaisin lähes kaiken laivan järjestelmissä olevan tiedon sekä laivan sisälle että sen ulkopuolelle sellaisessa standardoidussa muodossa, joka mahdollistaa kolmansille osapuolille sen käytön ja esimerkiksi viranomaisille reaaliaikaisen tilannekuvan luomisen. Pitkähköjen etäisyyksien ja vaikeiden olosuhteiden vuoksi ulkopuolisen avun saaminen voi viedä tunteja. Etupainotteinen valmiuden nostaminen ja reagoiminen voi siis merkittävästi muuttaa lopputulosta. Sellaista kulttuuria, jossa ongelmat on pystyttävä hoitamaan laivan omilla voimavaroilla on muutettava. On  varauduttava mahdollisuuksien mukaan toimimaan itsenäisesti, mutta poikkeavan tilanteen syntyessä heti ja automaattisesti varaudutaan avun tarpeeseen tiedottamalla vähäisistäkin ongelmista.

Jossain kohtaa turvallisuuden parantaminen törmää kasvaviin kustannuksiin. Haluaisin kuitenkin nähdä analyysejä joissa näitä rajoja aktiivisesti haastetaan. Arvioidaan koko laivan kattavan WLAN-verkon kustannus-hyöty suhdetta  ja tehdään päätös tämän perusteella. Kaikilta osin hintoja ei tarvitse näyttää jos ne voivat vaikuttaa kilpailuasetelmaan, mutta tässäkin on mietittävä mikä on oikeasti salassapidettävää.

Toimiva turvallisuuskulttuuri edellyttää virheiden mahdollisuuden hyväksymistä ja niistä oppimista. Turvallisuuskulttuurin laadusta ei kuitenkaan voida varmistua ellei riittävä määrä siihen liittyvää tietoa ole avoimesti saatavissa.

“Security”: Risteilijäonnettomuus 13.1.2012, Osa 1

Risteilijäonnettomuudesta 13.1.2012, Osa 1

Costa Concordian onnettomuutta käsittelevä keskustelu on nähdäkseni osin väärillä raiteilla. Yleisöä luonnollisesti kiinnostaa kuinka moni menehtyi ja miten selviytyneet kokivat tilanteen. Metsään on menty siinä, miten onnettomuutta on käsitelty turvallisuusnäkökulmasta. Kapteenin rooli onnettomuuden syntyyn on ollut suurennuslasin alla, vaikka se edustaa vain osaa onnettomuuden syntyyn todennäköisesti vaikuttaneista tapahtumista. Esitän kaksi kysymystä, joihin myöhemmissä kirjoituksissa etsimme vastauksia: onko järkevää suunnitella turvallisuusjärjestelmää jossa yhden kohdan pettäminen voi aiheuttaa katastrofin, ja voisiko tilannetiedon avoimuutta merkittävästi lisäämällä saada aikaan aivan uudenlaisia turvallisuusratkaisuja?

Ketju onnettomuuteen

Inhimillisiä tekijöitä ei voi eikä tule tarkastella teknologiasta tai organisaatiosta erillisenä. Ainoastaan kokonaisuutena hyvin toimiva järjestelmä on turvallinen. Tästä näkökulmasta keskustelun pyöriminen kapteenin tekemisten ympärillä on jonkin verran hämmästyttävää. Jos rakentaisimme valtavan hissin johon mahtuu kerralla tuhat ihmistä, laittaisimmeko hissikorin roikkumaan yhden vaijerin varaan? Vaijerin, jota ei ole koskaan kokeiltu täydellä kuormalla? Keskustelu onnettomuudesta kapteenin virheestä johtuvana on kuitenkin tätä tasoa. Suuren ihmisjoukon turvallisuuteen vaikuttavaa järjestelmää pidä suunnitella niin, että yhden osan pettäminen johtaa onnettomuuteen.
Joidenkin raporttien mukaan laiva oli poikennut suunnitellulta reitiltä. Esimerkiksi liikenteen ja sään vuoksi miehistöllä on oltava lopullinen valta siihen mitä reittiä kuljetaan, kuten myös siihen mihin satamaan seuraavaksi ollaan matkalla. Inhimillisistä syistä johtuen miehistö tai sen yksittäiset jäsenet eivät voi tehdä päätöksiä umpiossa. Siksi osana turvallisuusjärjestelmää tulee olla teknisiä ja organisaatiojärjestelyjä jotka:
  1. Estävät virheen tekemisen
  2. Estävät virheen etenemisen
  3. Vähentävät virheen vaikutuksia

1. Virheiden estäminen

Laivaliikenteen perustraditio näyttää olevan, että kapteenilla on käytännössä haastamaton valta. Löytyisikö tähän ratkaisuja, jotka mahdollistaisivat kapteenin päätösten tarkkailun ja kyseenalaistamisen ilman, että kapteenin roolia lopullisena päättäjän tarvitsisi silti kokonaan romuttaa? Tämän onnettomuuden tapauksessa esimerkkinä voisi olla järjestely, jossa poikkeaminen etukäteen suunnitellusta reitistä on hyväksytettävä joko muilla miehistön jäsenillä tai maissa olevalla instanssilla. Viimeinen päätösvalta voisi säilyä kapteenilla; tärkeää on kuitenkin mahdollisuus kyseenalaistaa kapteenin päätökset rutiininomaisesti. Ilmailupuolella käytetään termiä Crew Resource Management (CRM), joka kuvastaa sitä miten ilma-aluksen miehistö toimii yhdessä lennon turvallisuuden takaamiseksi. Muun muassa Lennon KAL 801 onnettomuustutkintaraportissa (johtopäätökset, kohta 13) mainitaan osasyynä onnettomuuteen miehistön kyvyttömyys haastaa kapteeni.

Tilanne vaikuttaa samalta Costa Concordian onnettomuudessa. Ellei miehistön yhteistyö ole jatkuvaa, voi olla vaikea haastaa päätöksentekijöitä silloin kun tarve haasteelle on suurin.

2. Virheen etenemisen pysäyttäminen

Onnettomuutta voi ajatella ketjuna tapahtumia, jotka seuraavat toisiaan. Mikäli kuljetaan pitkin ketjua, päädytään katastrofiin. Jokaisessa kohdassa ketjua on kuitenkin mahdollista valita toimintatapa, joka estää onnettomuuden tai ainakin pienentää sen seurauksia. Tässä onnettomuudessa voidaan ajatella tuon ketjun lenkkejä olevan esimerkiksi päätös kulkea rannan tuntumasta, kyvyttömyys kyseenalaistaa reitin valinta, virheellinen arvio vesialueen kulkukelpoisuudesta sekä evakuointipäätöksen mahdollinen viivästyminen. Toisenlainen toiminta missä tahansa ketjun lenkeistä olisi muuttanut lopputulosta.

Vallan keskittäminen kapteenille yhdistettynä puutteelliseen tai kokonaan puuttuvaan CRM:ään johtaa käytännössä siihen, että kapteeni on turvallisuusjärjestelmässä kohta jonka pettäminen voi yksinään johtaa onnettomuuteen. Korjaavaksi toimeksi voitaisiin tietysti ehdottaa kapteenia, joka ei ota turhia riskejä. Systeemitasolla virhe on kuitenkin siinä, ettei kapteenilla ole ollut vastavoimaa joka rajoittaisi riskinottoa. Toisin sanoen kapteenin virheellisen valinnan, eli riskinoton seurausta, ei tässä toimintamallissa voitu pysäyttää vaan se johti onnettomuuteen. Olisiko tilanne muuttunut, jos laivoilla olisi käytössä selkeämpi CRM-järjestelmä?

Tässä vaiheessa ei ole selvää, aloitettiinko evakuointi oikea-aikaisesti. Täyden tilannekuvan puuttuminen joka tapauksessa hankaloittaa päätöksen tekemistä. Teknisesti on mahdollista rakentaa esimerkiksi järjestelmä joka pitää komentosillalla reaaliaikaisesti yllä tietoisuutta siitä, onko vesilinjan alla oleva runko ehjä ja vuodon tapauksessa kertoo sekä vuodon sijainnin että karkean pinta-alan. Näistä tiedoista olisi mahdollista luoda automaattisesti ennuste jonka perusteella päätää toimista.

Mikäli ongelma ei ole hoidettavissa sisäisesti aluksella, on tärkeää hälyttää apua aikaisessa vaiheessa. Koska varsinkaan alkuvaiheessa ei ole välttämättä selvää onko ongelma hoidettavissa sisäisesti, olisi järkevää että tieto ongelmista kulkisi mahdollisimman varhaisessa vaiheessa myös ulkopuolelle, esimerkiksi samaan tyyliin kuin lentokoneiden ACARS-järjestelmissä. Useista ongelmista, kuten esimerkiksi merkittävästä vuodosta, ohjauskyvyn menettämisestä, ennakoimattomasta reitiltä poistumisesta tai tulipalosta tulisi syntyä automaattinen julkinen hälytys myös aluksen ulkopuolelle. Tämä antaisi ulkopuolisille mahdollisuuden valmistautua pelastustoimintaan. Tällainen avoin hälytysjärjestelmä saattaisi luoda omia uusia ongelmiaan, esimerkiksi jos virhehälytyksiä tulee liikaa. Automaattiset ja avoimet hälytykset parantaisivat kuitenkin avuntarjoajien tilannetietoisuutta ja siten nopeuttaisivat avun saamista.

3. Virheiden vaikutusten vähentäminen

Koska tämän tyyppisillä aluksilla on runsaasti matkustajia ja matkustajien toimintakyky vaihtelee suuresti, on tärkeää tiedottaa turvallisuustilanteen muutoksista niin pian kuin mahdollista. Ajatus ihmisten pitämisestä epätietoisina paniikin välttämiseksi tai mahdollisten turhien pelkotilojen estämiseksi on useimmissa tapauksissa väärä. Virheellisen tiedon antaminen on vaarallista; on silti vaikea nähdä miten tiedon puuttuminen kokonaan olisi yhtään vähemmän vaarallista.

Lisäaika antaa matkustajille ja tilanteesta vapaalle miehistölle aikaa valmistautua ja järjestäytyä. Lyhyelläkin koulutuksella voidaan nostaa merkittävästi ihmisten osaamista. Tästä ehkä paras esimerkki on lentokoneessa varauloskäynnin kohdalla istuvalle annettava 30 sekunnin pikakoulutus oven avaamisesta. Laivoilla kyllä on muodolliset ohjeet hätätilanteisiin, mutta harva (jos kukaan) lukee niitä ajoissa. Voisiko tässä ajatella aivan uudenlaisia toimintamalleja, samaan tyyliin kuin lentokoneessa? Voisiko tietyille matkustajille antaa valmiiksi rooleja, jotka heidän olisi mahdollista hätätilanteen sattuessa täyttää?

Erillinen ja mielenkiintoinen kysymys on, miksi matkustajilla ei voisi olla esimerkiksi mobiililaitteiden ja langattoman verkon kautta samaa tilanneinformaatiota kuin miehistöllä. Tämä voisi hyvin toteutettuna olla todella merkittävä uusi parannus turvallisuuteen.

Syyttäjä tutkinnanjohtajana

Lehdistön mukaan syyttäjä on aloittanut Italiassa turman tutkinnan päivien sisällä onnettomuudesta. Tämä lienee paikallisen lain mukainen käytäntö, mutta toimivan lopputuloksen kannalta hyvinkin kyseenalainen. Muutamista kapteenin lausumaksi väitetyistä kommenteista, “Kompastuin ja putosin pelastusveneeseen”, voi epäillä todellisten tapahtumien peittelyn jo alkaneen. Tämä on luonnollista silloin, kun virheistä seuraa rikosoikeudellinen vastuu.

Olisi kuitenkin mietittävä tarkkaan mikä on onnettomuuden sattuessa yleisön etu. Onko se virheitä tehneiden saattaminen vastuuseen, olivat virheet tahallisia tai tahattomia, vai onko tarkoituksena parantaa turvallisuutta? Nämä eivät toki ole toisistaan täysin riippumattomia – rangaistuksen pelko kannustaa noudattamaan turvallisuuden parantamiseksi luotuja sääntöjä. On kuitenkin selvää, että onnettomuden jälkiselvittelyssä ei päästä parhaaseen tulokseen, jos monet päätöksentekoon osalliset pelkäävät puhua avoimesti. Onko olemassa mallia, joka auttaisi pääsemään tässä tilanteessa täydelliseen avoimuuteen?

Suomen onnettomuustutkintakeskuksen sivuilta löytyvästä turvallisuustutkintalaista löytyvät 39 § ja 40 § rajoittavat tutkinnassa syntyvän tiedon päätymistä muille viranomaisille. Toisaalla Ison Britannian vastaavan viranomaisen sivuilla mainitaan, ettei tutkinnan tarkoituksena ole syyllisten etsiminen tai vastuun jakaminen. Tätä tulisi julkisessa keskustelussa korostaa. Lynkkausmieliala ja skandaalihakuisuus ei johda avoimuuteen, päinvastoin huonontaa sitä. Turvallisuus on viime kädessä koko systeemin ominaisuus. Yksilön virhe saattaa hyvinkin olla tekijä, joka viimeistelee katastrofin. Olennaisempaa olisi kuitenkin kysyä, miksi turvallisuusjärjestelmä ei kyennyt havaitsemaan ja neutraloimaan tälläista virhettä? Vielä tärkeämpää on kysyä, mahdollistaisiko nykyteknologia ja tiedon avoimuus aivan uudenlaisia turvajärjestelyitä, joissa tällaisia yhden pisteen epäonnistumisia ja ketjuuntumisia ei pääsisi syntymään?

Translate »