Leksjonene til ValuJet 592

Som en rekonstruksjon av denne forferdelige krasjen antyder, i komplekse systemer kan noen ulykker være 'normale' - og forsøk på å forhindre dem alle kan til og med gjøre operasjoner farligere

PÅ en tåkete mai-ettermiddag i 1996 fikk en nødsvakt i det sørlige Florida en telefon fra en mann på en mobiltelefon. Den som ringte sa: 'Ja. Jeg fisker på Everglades Holiday Park, og et stort jetfly har nettopp styrtet her ute. Stor. Som et passasjerfly på størrelse.

Senderen sa: 'Vent litt. Everglades Park?



'Everglades Holiday Park, langs kanalen L-sekstisju. Du må få helikopterne dine i luften. Jeg er en pilot. Jeg har en GPS. Jeg skal gi deg koordinater.

«Ok, sir. Hva slags fly sa du? Er det et stort fly?

'Et stort fly som ligner på et syv-tjuesju eller et umm ... jeg kan ikke tenke på det.'

Dette bortfallet var uviktig. Den som ringte var en født ulykkesobservatør – en dataingeniør og en privatpilot med stolthet over sin tekniske kompetanse og en lidenskap for detaljer. Han het Walton Little. Da han først så flyet, falt det bratt til høyre og fløy lavt, rett over sumpen. Senere leverte han en offisiell rapport, der han uttalte:

Det var ingen røyk, ingen merkelig motorstøy, ingen rusk i luften, ingen dinglende materialer eller kontrolloverflater, ingen tilsynelatende deformasjon av flyrammen, og ingen områder som så ut til å mangle paneler eller overflater... Sollyset skinte på fly, og noen overflater var mer reflekterende og noen mindre reflekterende. Jeg så en forskjell i refleksjon av vingehuden i området der jeg kunne forvente at rulleroene var, som om de ikke var nøytrale. Spesielt virket den nedre (utenbords) delen av høyre vingen mindre reflekterende som om kroken ble bøyd oppover.

Fiskere i nærheten dukket ned i båten sin for å få dekning – men ikke Walton Little, som sto på dekk hans, vendt 'omtrent 115 grader', og så flyet treffe vannet. Sjokkbølgen gikk gjennom kroppen hans.

Jeg var vantro på at krasjet hadde skjedd. Jeg sto der et øyeblikk for å tenke på at det virkelig skjedde. Jeg tenkte allerede at jeg trengte å få mobiltelefonen min ut av oppbevaringsrommet og ringe 911, men jeg ville forsikre meg om hva jeg gjorde fordi det er i strid med loven å ringe falske til 911.

Han ringte innen et minutt. Etter å ha fortalt ekspeditøren om krasjet og lest av bredde- og lengdegraden hans, sa han: 'Jeg er i en bassbåt på kanalen. Jeg trodde det var et fly fra et flyshow eller noe, og...

Ekspeditøren avbrøt. 'Hva gjorde du ... Så du flammer og sånt komme opp, sir?'

«Jeg hørte støtet, og jeg så skitt og gjørme fly i luften. Flyet var sidelengs før det gikk ut av syne mitt i horisonten omtrent en kilometer fra meg.'

«Ja, sir. Greit. Du sa at det så ut som en syv-tjuesju som gikk ned?

«Øh, det er den typen fly. Den har to motorer bak. Det er større enn et executive jetfly, som en Learjet.'

'Ja, sir.'

«Det er mye større enn det. Jeg vil ikke fortelle deg at det er en syv-tjuesju, men det er den typen fly. Ingen motorer på vingen, to motorer bak. Jeg ser ingen røyk, men jeg så en enorm sky av gjørme og skitt gå inn i himmelen da den traff.'

'Ok, sir.'

'Den var hvit med blå kant.'

'Hvit med blå kant, sir?'

'Det vil ikke være i ett stykke.'

Walton Little hadde rett. Flyet var en tomotors DC-9 malt fargene til ValuJet, et aggressivt ungt lavprisflyselskap basert i Atlanta. Da den traff Everglades, var den vendt vertikalt til høyre og pekte nesten rett ned. Flyet sank ikke på mystisk vis ned i sumpen, som rapporter senere antydet, men knuste da det traff overflaten med den rasende kraften fra et raskt dykk.

Da Walton Little kjente sjokkbølgen, var alle ombord døde – to piloter, tre flyvertinner og 105 passasjerer. Restene deres lå i et grunt, vannholdig krater fylt med flytende gjørme og gress. Alt som markerte overflaten var en brukket motor, noen få døde fisker, litt flydrivstoff og en spredning av personlige papirer, klær og forvridde aluminiumsbiter – tragedie. I løpet av de første dagene bekymret noen tjenestemenn seg høyt for ulykkens innvirkning på naturen, men sumpen var ikke så skjør som det, og gjenopptok raskt sitt vanlige liv. Familiene til de døde har vist seg å være mindre motstandsdyktige. De fleste vil føle giften for alltid.

For resten av oss burde ulykken imidlertid være ferdig. Den offisielle etterforskningen er over, en 'årsak' er funnet, medvirkende faktorer er erkjent, og Federal Aviation Administration har skrevet nye forskrifter. Redaksjonister har uttrykt sin forargelse, og enkeltpersoner har blitt holdt ansvarlige. Etter en lang suspensjon har ValuJet kommet tilbake til luften med en fornyet forpliktelse til sikkerhet. Også andre flyselskaper har lovet å være mer forsiktige. Og til og med FAA har gått gjennom en rengjøring. Så etter konvensjonelle standarder har reaksjonen på tragedien vært beundringsverdig. Og ja, vi vet uansett at å fly nesten alltid er trygt. Etter mange år som pilot har jeg en poetisk idé om hvorfor: fly er grunnleggende hjemme på himmelen. Sikkert min egen erfaring er det passasjerer trenger ikke å krype rundt utgangsradene, eller bære nødstilfeller, eller frykte dårlig vær, eller bekymre seg for en forestående kollaps i flyselskapets sikkerhet. Dette er ideer fremmet av luftfartsanalfabeter – altfor forsiktige mennesker som alltid kan finne et publikum, og som ville kvele oss i deres frykt for voldelig død. Publikum har fornuft i det lange løp til å ignorere dem. Ikke desto mindre fortsetter ValuJet-ulykken å reise bekymrende spørsmål – ikke lenger om hva som skjedde, men om hvorfor det skjedde, og hva som skal forhindre at noe lignende skjer i fremtiden. Ettersom disse spørsmålene leder inn i den kompliserte og menneskelige kjernen av flysikkerhet, blir de stadig vanskeligere å svare på.

Tenk for enkelhets skyld at det er tre typer flyulykker. De vanligste kan kalles 'prosedyremessige'. De er de gammeldagse ulykkene som skyldes enkeltstående åpenbare feil, som umiddelbart kan forstås i enkle termer, og som har enkle løsninger. For å unngå slike ulykker må piloter ikke fly inn i voldsomme tordenvær, eller ta av med is på vingene, eller gå ned for tidlig, eller la frykt eller kjedsomhet ta overhånd. Mekanikere, rampeagenter og flygeledere må følge like enkle regler. Som utøvere har vi sammen lært mange smertefulle leksjoner.

Den andre typen ulykke kan kalles 'konstruert'. Den består av de overraskende materialfeilene som burde vært forutsagt av designere eller oppdaget av testpiloter, men som ikke ble det. Slike feil trosser først forståelsen, men til slutt gir de etter for undersøkelser og resulterer i håndgripelige løsninger. En American Eagle ATR turboprop dykker ned i et frossent felt i Roselawn, Indiana, fordi avisingsstøvlene ikke beskyttet vingene mot underkjølt regn – og som et resultat blir nye støvler designet, og hele testprosessen gjennomgår. En USAir Boeing 737 krasjer nær Pittsburgh på grunn av en sjelden hard-over rorbevegelse - og som et resultat vil en redesignet rorkontrollmekanisme bli installert på hele flåten. En TWA Boeing 747 blåser i stykker utenfor New York fordi, uansett antennelseskilden, inneholdt den nesten tomme sentertanken en eksplosiv blanding av drivstoff og luft – og som et resultat kan eksplosive blandinger unngås i fremtiden. Slike tragiske feil virker altfor kjente, men faktisk er de sjeldne, og de vil vokse sjeldnere etter hvert som luftfartsteknikken forbedres. Man kan beklage de tapte livene og beklage den tregheten tjenestemennene reagerer med, men på sikt er det grunn til å være optimistisk. Wright-brødrene var produkter av opplysningstiden. Vår vitenskap vil seire.

ValuJet-ulykken er annerledes. Jeg vil hevde at den representerer den tredje og mest unnvikende typen katastrofe, en 'systemulykke', som kan ligge utenfor rekkevidden av konvensjonelle løsninger, og som en liten gruppe tenkere, inspirert av Yale-sosiologen Charles Perrow, har utforsket andre steder – for eksempel innen kraftproduksjon, kjemisk produksjon, atomvåpenkontroll og romfart. Perrow har laget det mer belastede begrepet 'normal ulykke' for slike katastrofer, fordi han mener at de er normale for vår tid. Poenget hans er at disse ulykkene er vitenskapens uekte barn, jævler født av forvirringen som ligger i de komplekse organisasjonene vi styrer våre farlige teknologier med. Perrow er ingen ekspert på kommersiell flyging, men tankegangen hans gjelder likevel. I dette tilfellet inkluderer organisasjonen ikke bare ValuJet, arketypen for flyselskaper i ny stil, men også entreprenørene som betjener den og myndighetene som, til tross for økonomisk deregulering, forventes å føre tilsyn med den. Sett under ett er flyselskapssystemet faktisk komplekst.

Husk at det også er konkurransedyktig, og at hvis det ene formålet er å tjene penger, er det andre å flytte publikum gjennom løse luften billig og i høy hastighet. Sikkerhet er aldri først, og det vil den aldri være, men av åpenbare grunner er det en nødvendig del av satsingen. Risiko er også en del, men på det daglige nivået av praktiske kompromisser og små beslutninger – byggesteinene i denne ambisiøse virksomheten – synet på risiko er vanligvis tilslørt. De involverte handler ikke bevisst sikkerhet for penger eller bekvemmelighet, men de tar uunngåelig mange dårlige små valg. De slipper unna med disse valgene fordi, som Perrow sier, Murphys lov er feil – hva kan gå galt går vanligvis Ikke sant. Men så en dag kommer noen av de dårlige små valgene sammen, og omstendighetene tar et fly ned. Hvem har da egentlig skylden?

Vi kan finne feil blant de direkte involverte - og det må vi sannsynligvis. Men hvis formålet vårt er å angripe røttene til en slik ulykke, kan vi finne dem så sammenvevd med systemet at de er umulige å trekke ut uten å velte hele strukturen. Når det gjelder ValuJet, gir studien av systemulykker oss muligheten for at vi er blitt avhengige av flyreise, at med mindre vi er villige til å avslutte vårt rimelige flyselskapssystem slik vi kjenner det, kan vi ikke stoppe det sporadiske offeret. Utover skyldspørsmålene, krever det at vi vurderer at våre løsninger, ved å øke kompleksiteten og uklarheten i flyvirksomheten, faktisk kan øke risikoen for ulykker. Systemulykkestenkning krever ikke at vi aksepterer vår skjebne uten kamp, ​​men den fungerer som en viktig advarsel.

'Røyk i cockpiten'

Skillet mellom prosedyre-, konstruerte og systemulykker er selvfølgelig ikke absolutt. De fleste ulykkene er litt av hvert. Og selv i de mest ekstreme tilfellene av systemsvikt må etterforskningen etter krasjet jobbe seg frem på konvensjonell måte, og identifisere de problemene som kan fikses, før de gjenværende spørsmålene begynner å tvinge fram en enda dypere undersøkelse. Det var absolutt måten med ValuJet Flight 592.

Den ble på vei fra Miami til Atlanta, fløyet av kaptein Candalyn Kubeck, trettifem år, og hennes andrepilot Richard Hazen, femtito. De representerte en ny type kommersiell pilot, erfaren ikke bare i cockpiten, men også i tøffe og uklare forhold i den deregulerte flyindustrien, der begge hadde hatt en rekke lavtlønnede flyjobber før de slo seg ned på ValuJet. Det ville ikke vært noe sjokk for dem at ValuJet-piloter ikke var fagorganiserte, eller at selskapet krevde at de skulle betale for egen opplæring. Med 9000 flytimer bak seg, mer enn 2000 av dem i en DC-9, tjente Kubeck det det frie markedet sa hun var verdt – rundt 43 000 dollar i året, pluss bonuser. Hazen, tidligere i luftforsvaret og med lignende erfaring, tjente litt mer enn halvparten så mye.

Piloter var ikke de eneste lavtlønnede ansatte ved ValuJet – flyvertinner, rampeagenter og mekanikere tjente mye mindre der enn de ville ha gjort hos et mer tradisjonelt flyselskap. Så mye arbeid ble brukt til midlertidig ansatte og uavhengige kontraktører at ValuJet noen ganger ble kalt et 'virtuelt flyselskap.' FAA-regulatorer hadde begynt å bekymre seg for at selskapet beveget seg for fort og ikke holdt tritt med papirene, men det var ingen bevis for at de involverte var utilstrekkelige. Mange av pilotene var flyktninger fra arbeidskrigene ved det gamle Eastern Airlines, og de var generelt like kompetente og erfarne som deres høyere betalte venner i United, American og Delta. ValuJet hjalp hele industrien med å forstå hvor langt kostnadskutt kunne presses. Flyreisene var billige og fulle, og beholdningen var sterk på Wall Street.

Men seks minutter utenfor Miami, mens han klatret nordvestover gjennom 11 000 fot, sendte Richard Hazen på radio: 'Ah, fem-nittito trenger en umiddelbar retur til Miami.' I pilotpratens bevisste ro var dette et sterkt språk. Klokken var trettien sekunder etter 14:10, og solen skinte. Noe hadde gått galt med flyet.

Radarkontrolløren ved Miami Departure svarte umiddelbart. Ved å bruke ValuJets radionavn 'Critter' (for selskapets tegneserielogo - et smilende fly), ga han flyklarering til å først svinge mot vest, vekk fra Miami og motstridende trafikkstrømmer, og begynne en nedstigning til flyplassen. 'Critter fem-nitti-to, ah roger, ta til venstre mot to-sju-null, gå ned og opprettholde syv tusen.'

Hazen sa: 'To-sju-null, syv tusen, fem-nittito.'

Kontrolløren var Jesse Fisher, trettiseks år, en syv år gammel veteran, som to ganger hadde håndtert den vellykkede returen av et fly som hadde mistet trykket i kabinen. Han hadde jobbet natten før, og reist hjem, matet katten sin og sov godt. Han følte seg våken og uthvilt. Han sa: 'Hva slags problem har du?'

Hazen sa: 'Ah, røyk i cockpiten. Røyk i hytta. Tonen hans var påtrengende.

Fisher holdt sin egen tone flat. Han sa: 'Roger.' Over skulderen ropte han: 'Jeg trenger en veileder her!'

Veilederen plugget inn ved siden av ham. På Fishers radarskjerm dukket Flight 592 opp som en liten oval og en tilhørende gruppe tall, inkludert en avlesning av høyden. Fisher la merke til at flyet ennå ikke hadde begynt å snu. Han ga pilotene en ny kurs, lenger til venstre, og ryddet dem ned til 5000 fot.

Ombord på flyet bekreftet Hazen den nye kursen, men mishørte høydetildelingen. Det gjorde ikke noe. Flight 592 brant, og situasjonen i cockpiten kom raskt ut av kontroll. Ett minutt inn i nødssituasjonen sporet pilotene fortsatt bort fra Miami, og hadde ikke begynt å returnere. Hazen sa: 'Critter fem-nittito, vi trenger den, ah, nærmeste flyplassen som er tilgjengelig.'

Sendingen var forvridd eller blokkert, eller Fisher ble distrahert av konkurrerende stemmer i radarrommet. Uansett grunn, hørte han ikke Hazens forespørsel. Da etterforskerne senere spurte ham om han i ettertid ville ha gjort noe annerledes, innrømmet han at han stadig stilte seg det samme spørsmålet. Selv uten å høre Hazens forespørsel, kan han ha foreslått en litt nærmere flyplass. Men gitt at flyets posisjon var bare tjuefem mil mot nordvest, virket Miami fortsatt som det beste valget, på grunn av nødutstyret der. I alle fall 'Miami' var forespørselen han hadde hørt, og han hadde til hensikt å levere det.

Til Hazen sa han: 'Critter fem-nittito, de kommer til å stå og stå for deg.' Han mente havarimannskapene i Miami. «Du kan planlegge Runway One-to. Når du kan, direkte til Dolphin nå.'

Hazen sa, '... trenger radarvektorer.' Sendingen hans ble forvirret av høye bakgrunnsstøy. Fisher syntes han hørtes 'rystende ut'.

Fisher svarte: 'Critter fem-nittito, ta til venstre mot en-fire-null.'

Hazen sa: 'En-fire-null.' Det var hans siste sammenhengende svar.

Flyet hadde først nå begynt å bevege seg gjennom en gradvis venstresving. Fisher så på målet på skjermen mens det fulgte kursendringene: svingen strammet seg til og sakket så ned igjen. Med hvert sveip av radarstrålen viste høydeavlesningene en gradvis nedstigning - 8.800, 8.500, 8.100. To minutter inn i krisen sa Fisher: 'Critter fem-nitti-to, hold svingen rundt, mot en-to-null.'

Flight 592 kan ha prøvd å svare - noen tastet inn en mikrofon uten å snakke.

Fisher sa: 'Critter fem-nittito, kontakt Miami Approach på - retting, nei, du bare beholder frekvensen min.'

To og et halvt minutt hadde gått. Klokken var 14:13. Flyet passerte gjennom 7500 fot da det plutselig strammet til venstresvingen og gikk inn i et bratt dykk. Fishers radar viste svingen og en høydeavlesning på XXX – kode for en så rask høydeendring at datamaskinen ikke kan følge med. Etterforskere regnet senere ut at flyet rullet til en seksti graders venstre bredd og duvet 6400 fot på trettito sekunder. Under det tapet av kontrollen sendte Fisher mekanisk, 'Critter fem-nittito, du kan, ah, sving til venstre, med kurs en-null-null, og bli med på Runway One-two-lokalisatoren i Miami.' Han sendte også radio, 'Critter fem-nittito, ned og vedlikehold tre tusen.'

Så skjedde det utrolige. Flyet rullet på vingene igjen og trakk seg kraftig ut av dykket. Det er høyst usannsynlig at flyet ville ha gjort dette på egen hånd. Det er mulig at autopiloten sparket inn, eller at en av pilotene, etter å ha blitt ufør av røyk eller beseiret av smeltende kontrollkabler, på en eller annen måte et øyeblikk gjenvunnet kontrollen. Fisher så radarmålet rette seg mot sørøst, og leste igjen ut en nesten jevn høyde – nå imidlertid bare tusen fot. Flyets hastighet var nesten 500 miles i timen.

Frekvensen sprakk med nok en uforståelig overføring. Sjokkert over erkjennelsen av at flyet ikke ville være i stand til å ta seg til Miami, sa Fisher: 'Critter fem-nittito, Opa-Locka flyplass er omtrent klokken tolv på femten miles.'

Walton Little, i bassbåten sin, oppdaget flyet da det rullet bratt til høyre. Radaren la også merke til den siste raske svingen mot sør, rett før den siste nesen. Ved neste sveip av radaren gikk flyets datablokk inn i 'kysten' på Fishers skjerm, noe som indikerer at kontakten var tapt. Veilederen markerte stedet elektronisk og iverksatte redningsprosedyrer.

Fisher fortsatte å jobbe med de andre flyene i sin sektor. Fem minutter etter sammenstøtet sendte en annen lavtlønnet pilot, denne for American Eagle, på radio: 'Ah, hvordan klarte Critter det?' Fisher svarte ikke.

Gjenopprettingsoperasjonen

DET var kjent fra starten av at brannen tok flyet ned. Den føderale etterforskningen begynte i løpet av timer, med ankomst den kvelden av et team fra National Transportation Safety Board fra Washington. Etterforskerne etablerte butikk på et flyplasshotell, som de begynte å referere til som 'kommandoposten'. Språket er viktig. Som vi vil se, viste lignende former for språklig stivhet, spesielt engineerspeak, seg til slutt å ha vært involvert i nedskytingen av Flight 592 – og dette er en faktor som NTSB-etterforskerne, på grunn av deres egen verbale klossethet, ikke helt har vært i stand til å gjenkjenne .

Det er imidlertid ikke rimelig å klandre dem for dette. NTSB er et teknisk byrå, bemannet av teknikere, som inntar en sentral posisjon i den oppstyltede luftfartens verden. Dens jobb er å undersøke viktige ulykker og utstede uforpliktende sikkerhetsanbefalinger – egentlig meninger – til industri og myndigheter. Fordi etterforskerne ikke har noen reguleringsmyndighet og må stole på overtalelse for å påvirke hendelser, kan det til tider være nødvendig for dem å bruke offisielt klingende språk. Selv blant motstanderne, som ofte føler at anbefalingene er upraktiske, har NTSB et rykte for teknisk kompetanse. NTSB er et stykke ingeniørarbeid som er gjort riktig. I en verden bygget på kompromisser, klarer den å spille den gammeldagse, entydige rollen som offentlighetens forsvarer.

Pressen spiller en vanskeligere rolle, selv om den er like viktig for allmennhetens sikkerhet. Den har et klassisk symbiotisk forhold til NTSB, og stoler på etterforskerne for informasjon mens de gir dem deres eneste effektive stemme. Likevel, i krisetiden rett etter en ulykke, eksisterer det en spenning mellom de to. Journalister jobber under press for å få ut historien og misliker etterforskernes forsiktighet og deres motvilje mot å spekulere anonymt. Etterforskerne jobber under press for å få historien riktig, på sin side misliker journalistenes uopphørlige krav i løpet av de vanskelige første dagene av en ulykkesundersøkelse – gjenoppretting av menneskelige levninger og flydeler. Da jeg kom til Miami, nitten timer etter at Flight 592 traff sumpen, hadde de to leirene inntatt sine vanlige posisjoner og gikk forsiktig forbi hverandre i hotellets lobby.

Tjue mil mot nordvest, dypt inne i Everglades, var utvinningsoperasjonen allerede i gang. NTSB hadde satt opp et oppsamlingsområde – en «forward ops base», kalte en tjenestemann det – ved siden av Tamiami Trail, en tofelts motorvei som krysser de vannrike gressområdene i det sørlige Florida. I løpet av to dager blomstret dette oppstillingsområdet til et kaotisk leir av begeistrede tjenestemenn – lokale, statlige og føderale – med teltene og luftkondisjonerte tilhengere, helikoptrene, bilene og blinkende lysene. Jeg sluttet å telle byråene. NTSB hadde høflig ekskludert de fleste av dem fra selve ulykkesstedet, som lå syv mil nordover, langs en smal levevei.

Pressen ble ekskludert selv fra sceneområdet, men ble utstyrt med to nyhetskonferanser om dagen, der etterforskerne varsomt delte ut informasjonsbiter. En NTSB-tjenestemann sa til meg: 'Vi må mate dem, ellers mister vi kontrollen.' Men reporterne var veloppdragne, og om noe litt oversiviliserte. I nærheten av sceneområdet slo de seg ned i sin egen lille by med TV-lastebiler, telt og plenstoler. Plasseringen ga dem gode Everglades-bakgrunner og bilder av alligatorer som svømmer forbi; seerpublikummet kunne ikke gjette at de sto så langt unna handlingen. De opptrådte utålmodige, men i sannhet var ikke dette et dårlig oppdrag; på sitt høydepunkt kunne den lille byen deres skryte av betalingstelefoner og pizzalevering.

Kanskje var det på grunn av min åpenbare mangel på tidsfrist at etterforskerne gjorde et unntak i mitt tilfelle. De skled meg inn i forsetet på et Florida Game and Fish-helikopter hvis pilot, i en broderlig gest, inviterte meg til å ta kontrollene for å løpe ut til ulykkesstedet. Fra oppstillingsplassen skummet vi nordover over de sumpede gresslettene, løst etter leveveien, før vi svingte bredt for å sirkle over nedslagssonen – en ny dam definert av en ring av snudd gjørme og omgitt av et større område med gress og vann og ulykker. rester. Søkere i hvite beskyttelsesdrakter vasset side om side gjennom møkka, og stablet biter av mennesker og fly inn i flatbunnede båter. Det var varmt og ubehagelig arbeid utført i et innesluttet lite helvete, et sted som en etterforsker senere beskrev for meg som stinkende av drivstoff, jord og råtnende kjøtt – den spesielle lukten av en flyulykke. Vi gikk ned på lemmen, omtrent 300 meter unna ulykkesstedet, hvor et amerikansk flagg og noen få telt og lastebiler utgjorde bergingsbasen.

Stemningen der var rolig og målrettet, uten tegn blant arbeiderne til det følelsesmessige traumet som tjenestemenn bekymret hadde forutsett siden operasjonen startet. Arbeiderne på pause satt i skyggen av et fortelt, nippet til kalde drikker og pratet. De var politimenn og brannmenn, ikke helter, men greie karer som var vant til å konfrontere døden. Uten at de visste hvem jeg var, snakket de ærlig til meg om de grufulle detaljene i arbeidet deres, og kom med ufine vitser, men de virket mer bekymret for dehydrering enn for å «ta jobben hjem» eller å miste søvn. Jeg slappet av i deres selskap, lettet over å ha unnsluppet en stund forventningen om sorg.

Det var selvfølgelig et dystert sted å være. Menneskelige levninger lå pakket i en nedkjølt lastebil for senere transport til likhuset. Et dekontamineringsmannskap vasket ned revne og vridde deler av flyet, ikke lengre enn flere fot. Etterforskere merket det mest lovende vraket, som umiddelbart skulle fraktes til en hangar på en avsidesliggende flyplass i Miami, hvor spesialister kunne studere det. Lenger nede på dalen kom jeg på et skittent fotografi av en ung kvinne med et småbyansikt og et hode med ertet hår. Et mannskap med hvite dresser ankom en luftbåt og klatret opp på vollen for å bli vasket ned. Et annet mannskap la i vei. En båtlast med gjørmete vrakgods ankom. Dagen etter kom familiene til de døde på busser, og la ned blomster og gråt. Deler av flyet fortsatte å bli dratt opp i nesten en måned til.

Det ble gjort mye ut av denne utvinningen, som – før offshore-hentingen av TWAs Flight 800 – kalte NTSB den mest utfordrende i sin historie. Det er sant at sumpen gjorde letingen sakte og vanskelig, og at volden ved sammenstøtet medførte at det krevdes et grundig arbeid for å rekonstruere det kritiske fremre lasterommet. Det er imidlertid også sant at den fysiske delen av etterforskningen tjente til å bekrefte hva en titt på en fraktbillett allerede hadde antydet – at ValuJet Flight 592 brant og krasjet ikke fordi flyet sviktet, men i stor grad fordi flyselskapet gjorde det.

For meg som pilot var det mest imponerende aspektet ved etterforskningen hastigheten den arbeidet med gjennom den falske jakten på en elektrisk brann – en forklaring støttet av mine egne erfaringer under flyging, og desto mer plausibel her fordi ValuJet DC- 9 var gammel og hadde opplevd en rekke elektriske feil tidligere samme dag, inkludert en utløst strømbryter som hadde motstått oppmerksomheten til en mekaniker i Atlanta, og deretter på mystisk vis fikset seg selv. Jeg ble også imponert over instinktene til reporterne, som på tross av all deres tekniske uvitenhet grep nyhetene om at Flight 592 hadde blitt lastet med en potensielt farlig last av kjemiske oksygengeneratorer – mer enn hundre små brannbomber som kunne ha forårsaket denne ulykken, og det gjorde det faktisk.

Flight 592 styrtet en lørdag ettermiddag. Søndag var gjenvinningsteamene i ferd med å trekke opp svidde og sotflekkede biter. På mandag tråkket en søker tilfeldigvis på flydataregistratoren, en av to påkrevde svarte bokser ment å hjelpe med ulykkesundersøkelser. NTSB tok med seg opptakeren til laboratoriet i Washington og fant ut at et stikk i flydataene seks minutter etter Flight 592s start så ut til å indikere en kortvarig økning i lufttrykket. Umiddelbart etterpå begynte opptakeren å svikte med jevne mellomrom, tilsynelatende på grunn av strømbrudd. Tirsdag kveld, på en pressekonferanse på hotellet, kunngjorde Robert Francis, nestlederen i NTSB og den øverste tjenestemannen på stedet, monotont: 'Det kunne ha vært en eksplosjon.' Et team for farlige stoffer vil bli med i etterforskningen. Undersøkelsen fokuserte på flyets fremre lasterom, som var plassert rett under og bak cockpiten, og var uutstyrt med branndeteksjons- og slokkesystemer. Rutinemessig papirarbeid indikerte at Miamis bakkemannskap hadde lastet lasterommet med hjemgående ValuJet-selskapsmateriale, et heksebrygg på tre dekk – minst to av dem montert – og fem pappesker med gamle oksygengeneratorer.

Inferno i luften

OXYGEN-generatorer er sikkerhetsinnretninger. De er små stålbeholdere montert i flytak og seterygger og koblet til de spinkle oksygenmaskene som dingler foran passasjerer når en kabin mister trykk. For å aktivere oksygenstrømmen trekker passasjeren en snor, som skyver en festepinne fra en fjærbelastet hammer, som faller på en liten eksplosiv ladning, som utløser en kjemisk reaksjon som frigjør oksygenet i natriumkloratkjernen. Denne reaksjonen produserer varme, som kan føre til at overflatetemperaturen til beholderen stiger til 500 ° Fahrenheit hvis beholderen er riktig montert i en ventilert brakett, og mye høyere hvis den er forseglet i en boks med andre beholdere, som i seg selv kan varme opp opp. Hvis det er en god drivstoffkilde i nærheten, for eksempel dekk og pappesker, vil tilstedeværelsen av rent oksygen føre til at beholderne brenner voldsomt. Var det en eksplosjon på Flight 592? Kanskje. Men uansett ble flyet blåst i bakken.

Det er ironisk at flyets eget nød-oksygensystem var annerledes – et sett med enkle oksygentanker, lik de som brukes på sykehus, som ikke avgir varme under bruk. Oksygengeneratorene i Flight 592s fremre lasterom kom fra tre MD-80, en mer moderne type tvillingjetfly, som ValuJet nylig hadde kjøpt og ble pusset opp i en hangar på andre siden av flyplassen i Miami. Som det var praksis for det meste av vedlikehold, hadde ValuJet ansatt et eksternt selskap for å gjøre jobben – i dette tilfellet et stort firma kalt SabreTech, eid av Sabreliner i St. Louis, og lisensiert av FAA til å utføre det ofte kritiske arbeidet. SabreTech leide på sin side inn kontraktsmekanikere fra andre selskaper etter behov. Det viste seg senere at tre fjerdedeler av personene på prosjektet var nettopp slike midlertidige outsidere. Sårbarheten til amerikanske lønnsarbeidere kunne anes i deres vitnesbyrd etter ulykken. De bebodde en verden av sjefsmenn og plutselige fyringer, med få beskyttelser eller garantier for fremtiden. Da ValuJet-fristen nærmet seg, jobbet de på skift, dag og natt, og noen ganger også gjennom helgen. Det var deres bidrag til vår billige flyreise.

Vi vil aldri kjenne alle som har skyld i denne historien. ValuJet ga ordre om å erstatte oksygengeneratorer på MD-80-ene, hvorav de fleste hadde nådd slutten av deres lisensierte levetid. Den ga SabreTech eksplisitte fjerningsprosedyrer og generelle advarsler om farene ved brann. I løpet av flere uker hentet SabreTech-arbeidere ut generatorene og tapet eller kuttet av snorene deres før de stablet de fleste av dem i fem pappesker som tilfeldigvis lå rundt hangaren. Tilsynelatende trodde de at sikring av snorene ville forhindre at generatorene ble avfyrt utilsiktet. Det de ikke gjorde var å plassere de nødvendige plastbeskyttelseshettene over tennene – en forholdsregel som er skrevet på den andre linjen i ValuJets skriftlige arbeidsordre. Problemet for SabreTech var at ingen hadde slike caps, eller brydde seg mye om å finne dem. Til slutt ble hettene glemt eller ignorert. På slutten av jobben, i hastverket med å fullføre partier med papirarbeid på alle tre MD-80-ene, 'pisket' to mekanikere rutinemessig problemet ved å kvittere seg på sikkerhetsdeksellinjen så vel som på de andre, og bekreftet at arbeidet var gjort. SabreTech-inspektører og veiledere kvitterte også for arbeidet, tilsynelatende uten å tenke mye over det.

Tidspunktet er ikke klart. I flere uker sto de fem boksene på et delestativ ved siden av flyene. Til slutt dro mekanikere dem over til SabreTechs frakt- og mottaksavdeling, hvor de satt på gulvet i området som er utpekt for ValuJet-eiendom. Noen dager før ulykken ba en SabreTech-sjef rederiet om å rydde opp i området og få alle boksene fra gulvet som forberedelse til en kommende inspeksjon av Continental Airlines, en potensiell kunde. Eskene var umerket, og lederen brydde seg ikke om hva som var i dem.

Redningsekspeditøren gjorde deretter som shippingfunksjonærene gjør, og forberedte seg på å sende oksygengeneratorene hjem til ValuJet-hovedkvarteret i Atlanta. Han omfordelte dem likt mellom de fem boksene, la dunkene horisontalt ende mot ende, og pakket bobleplast oppå. Etter å ha forseglet eskene påførte han adresseetiketter og ValuJet-selskapsmateriell, og skrev 'flydeler.' Som en del av lasten inkluderte han to store hoveddekk og et mindre dekk - hvorav minst to var montert på hjul. Dagen etter ba han en medarbeider, mottakeren, om å lage en fraktbillett og skrive «oksygenbeholdere – tomme» på den. Den mottakende kontoristen skrev «Oxy Canisters» og satte deretter «Empty» mellom anførselstegn, som om han ikke trodde det. Han listet også opp dekkene.

Lasten sto i ytterligere en dag eller to, til 11. mai, da SabreTech-sjåføren hadde tid til å levere boksene over flyplassen til Flight 592. Der aksepterte ValuJet-rampeagenten materialet, selv om føderale forskrifter forbød det, selv om generatorene var tomme, siden beholdere som har blitt sluppet inneholder en giftig rest, og ValuJet var ikke lisensiert til å frakte slike offisielt utpekte farlige materialer. Han diskuterte lastens vekt med andrepiloten, Richard Hazen, som også burde ha visst bedre. Sammen bestemte de seg for å plassere lasten i det forreste lasterommet, der ValuJet-arbeidere la et av de store hoveddekkene flatt, plasserte nesedekket i midten av det og stablet de fem boksene oppå det rundt ytterkanten, i en løs ring. De lente det andre hoveddekket mot et skott. Det var en ustabil ordning. Ingen vet nøyaktig hva som skjedde da, men det virker sannsynlig at den første oksygengeneratoren antente under lasting eller under taksing eller ved start, da flyet klatret mot himmelen.

To uker senere og halvveis i gjenopprettingen av de svidde og knuste delene fant en arbeider til slutt flyets stemmeopptaker i cockpiten, den andre svarte boksen som etterforskerne søkte. Den hadde tatt opp normale lyder og samtaler frem til det øyeblikket – seks minutter etter start – da flydataopptakeren indikerte en puls med høyt trykk. Pulsen kan ha vært et av dekkene som eksploderte. I cockpiten hørtes det ut som en kvitring og et samtidig pip på høyttaleranlegget. Kapteinen, Candalyn Kubeck, spurte: 'Hva var det?'

Hazen sa: 'Jeg vet ikke.'

De skannet flyets instrumenter og fant plutselige indikasjoner på elektrisk feil. Det var ikke årsaken, men et symptom på infernoet i lasterommet – ledningene og de elektriske panelene smeltet og brant sannsynligvis sammen med andre, mer avgjørende deler av flyet – men pilotenes første tanke var at flyet bare var opp til sine kretsbrytende triks igjen. Opptaket her er forvansket. Kubeck ser ut til å ha spurt: 'I ferd med å miste en buss?' Så, mer tydelig, sa hun: 'Vi har et elektrisk problem.'

Hazen sa: 'Ja. Den batteriladeren starter. Oooh, vi må ...'

'Vi mister alt,' sa Kubeck. 'Vi trenger, vi må tilbake til Miami.'

Tjue sekunder hadde gått siden den merkelige kvitringen i cockpiten. En total elektrisk feil, selv om den var alvorlig, var ikke en livstruende nødsituasjon under disse solfylte forholdene. Men plutselig lød det usammenhengende rop fra passasjerkabinen, og kvinner og menn som skrek «Brann!» Ropingen fortsatte i tretten sekunder og avtok deretter.

Kubeck sa: «Til Miami», og Hazen ringte til Jesse Fisher, flygelederen. Da Fisher spurte: 'Hva slags problem har du?' Kubeck svarte, utenfor radioen, 'Brann', og Hazen sendte sin presserende 'Smoke in the cockpit'. Røyk i hytta.

Etterforskere antar nå at røyken var svart og tykk, og kanskje giftig. Opptakeren fanget opp lyden av cockpitdøren som åpnet seg, og stemmen til flyvertinnen som sa: 'Ok, vi trenger oksygen. Vi kan ikke få oksygen tilbake dit. Mente hun at flyets kabinmasker ikke hadde falt, eller at de hadde falt, men ikke virket? Hvis røyken var giftig, hadde maskene kanskje ikke hjulpet mye, siden de ved design blander kabinluft inn i oksygenstrømmen. Pilotene var utstyrt med bedre masker av isolerende type og med vernebriller, men hadde kanskje ikke tid til å ta dem på. Bare ett minutt hadde gått siden den første merkelige kvitringen. Nå fanget stemmeopptakeren opp lyden av fornyet rop fra hytta. I cockpiten sa flyvertinnen: 'Helt i brann.'

Opptaket var til liten nytte for NTSBs tekniske etterforskning, men fordi det viste at passasjerene hadde dødd i smerte, ga det følelsesmessig vekt til en politisk reaksjon som allerede spredte seg utover detaljene i ulykken og som hadde begynt å kalle hele flyindustrien er i tvil. Publikum, så det ut til, ikke ville bli beroliget denne gangen av standard forsikringer og oppdagelsen av en eller to skyldige. Pressen og NTSB hadde lagt sin motsetning på stedet til side og hadde gått sammen i en naturlig koalisjon med kongressen. Avhøret var ikke motivert av en umiddelbar frykt for utrygge himmelstrøk (til tross for advarslene fra Mary Schiavo, en føderal varsler som hevdet spesiell innsikt), men snarere av en mer nyansert mistanke om at konkurranse på åpen himmel hadde gått for langt, og at FAA, byrået som er siktet for å beskytte den flygende offentligheten, hadde falt i hendene på industriinnsidere.

Jakten på skylden

FAAs administrator var den gang en tidligere flyselskapssjef ved navn David Hinson – den typen flittig og selvsikker leder som gjør det bra i lukkede kretser av likesinnede menn. Nå måtte han imidlertid henvende seg til et mangfoldig og skeptisk publikum. Dagen etter ValuJet-ulykken hadde han fløyet til Miami og kom med den utrolige påstanden om at ValuJet var et trygt flyselskap – når det for 110 mennesker som lå døde i en myr i nærheten, tydeligvis ikke var det. Han sa også: 'Jeg ville fly på den,' som om han trodde at han måtte berolige en nasjon av barn. Det var en fornærmende forestilling, og den ble tatt som bevis på FAAs isolasjon og på dets svik mot publikums tillit.

Etter en god natts søvn kan Hinson ha prøvd å reparere skaden. I stedet dukket han opp to dager senere på en senathøring i Washington og hørtes ut som en prøysser som ikke angret: «Vi har en veldig profesjonell, svært dedikert, organisert og effektiv inspektørarbeidsstyrke som gjør jobben sin dag ut og dag inn. Og når vi sier at et flyselskap er trygt å fly, er det trygt å fly. Det er ingen gråsone.

Kollegene hans må ha krøpet seg. Luftfartssikkerhet er ikke annet enn en gråsone, og reguleringen av den er en indirekte prosess med forhandling og manøvrering. Vurder størrelsen på flyselskapet, himmelens omfang og ensomheten til et fly under flyvning. FAA kan påvirke sikkerheten ved å etablere standarder og håndheve dem gjennom inspeksjoner og papirarbeid, men den kan ikke kaste bryterne eller vri skiftenøkler, eller i dette tilfellet overvåke avhending av gamle oksygengeneratorer. Sikkerheten er til syvende og sist i hendene på operatørene, mekanikerne og pilotene og deres ledere, fordi det innebærer en snøstorm av små dommer. Hinson kan ha innrømmet denne virkeligheten for den amerikanske offentligheten, som absolutt er i stand til å forstå slike finesser, men i stedet valgte han, uforklarlig, å knytte FAAs rykte til ValuJet. Dette satte byrået i en umulig posisjon. Enten for inkompetanse eller for vennskap, vil FAA nå uunngåelig få skylden.

I løpet av få dager kom det ut at visse inspektører ved FAA hadde vært bekymret for ValuJet en stund og hadde beskrevet bekymringene sine i rapportene sine. Deres konsensus var at flyselskapet ekspanderte for raskt (fra to til femtito fly i løpet av dens to og et halvt år lange levetid) og at det verken hadde prosedyrene eller folkene på plass for å opprettholde sikkerhetsstandarder. FAA prøvde å holde tritt, men på grunn av sine andre forpliktelser – inkludert å motvirke trusselen om terrorisme – kunne den bare tildele tre inspektører til flyselskapet. På ulykkestidspunktet hadde de gjennomført 1.471 rutinekontroller av operasjonen og foretatt ytterligere to elleve dager lange inspeksjoner, i 1994 og 1995. Dette kontrollnivået var omtrent normalt. Men tidlig i 1996 hadde bekymringen vokst innen FAA om det uforholdsmessige antallet overtredelser begått av ValuJet og rekken av små smell-ups det hadde hatt. Byrået begynte å bevege seg mer aggressivt. En flyvedlikeholdsgruppe fant så alvorlige problemer i både FAAs overvåking og flyselskapets operasjoner at den skrev en intern rapport som anbefalte at ValuJet ble 'resertifisert' umiddelbart - noe som betyr at det jordes og startes på nytt. Rapporten ble tilsynelatende sendt til Washington, hvor den av årsaker som forblir uforklarlige lå begravet til etter ulykken. I mellomtiden, den 22. februar 1996, lanserte hovedkvarteret en 120-dagers 'spesiell vektlegging'-inspeksjon, en foreløpig rapport som ble utstedt etter den første uken. Dette antydet en lang rekke problemer. Inspeksjonen med spesiell vekt pågikk da Flight 592 gikk ned 11. mai.

Etter hvert som denne rapporten av offisiell bekymring dukket opp, endret spørsmålet seg fra hvorfor Hinson hadde insistert på å kalle ValuJet 'trygt' etter ulykken til hvorfor han ikke hadde stengt flyselskapet før ulykken. Fanget av sine egne forenklede formuleringer kunne han ikke gi noe overbevisende svar. Pressen og kongressen var skarpt kritiske. FAA lanserte en uttømmende tretti-dagers gjennomgang av ValuJet, kanskje den mest konsentrerte flyselskapsinspeksjonen i historien, og utpekte seksti inspektører til å utføre på en måned tilsvarende fire års arbeid. Lewis Jordan, en grunnlegger og presidenten for ValuJet, klaget over at Hinson faktisk drev en heksejakt som ingen flyselskap kunne motstå. Jordan hadde skamløst forsøkt å skyve skylden for dødsfallene over på sin egen entreprenør, SabreTech, og han fikk lite sympati nå. Ingen ble overrasket da ValuJet ble satt på bakken på ubestemt tid fem uker etter ulykken.

Her var nå et bevis på at FAA tidligere hadde forsømt sine plikter. Byråets sjefsregulator, Anthony Broderick, var den første som mistet jobben. Broderick var en ekspert teknokrat, mislikt av sikkerhetskorsfarere på grunn av sin konservative tilnærming til å innføre og anvende forskrifter, og respektert av luftfartsinsidere av samme grunn. Hinson lot ham ta fallet: Broderick var en mann med integritet og ville ta ansvar for FAAs dårlige prestasjoner. Men hvis Hinson trodde at han selv kunne slippe unna med dette offeret, tok han feil. Brodericks flyselskapsvenner sluttet seg nå til kritikerne i avsky. Hinson kunngjorde sin kommende avgang.

På en måte fungerte systemet. Tragedien hadde noen positive konsekvenser - først og fremst fordi NTSB gjorde en enda bedre jobb enn vanlig, ikke bare å finne kilden og historien til brannen, men også anerkjenne noen av dens større implikasjoner. Med en tidsriktig serie med presseinnmatinger og offentlige høringer holdt ulykkesteamet liv i de vanskelige organisatoriske spørsmålene og klarte å strekke sjelesorgen gjennom slutten av året og utover. Ved å rokke ved FAA, minnet teamet byrået om mandatet til å føre tilsyn med sikkerheten til flyselskapene – kanskje tilskynde FAA til en fornyet forpliktelse til inspeksjoner og en resolusjon om å holde flyselskapene ansvarlige for deres handlinger og for ytelsen til butikker utenfor.

For flyselskapene fungerte etterforskningen som en nødvendig påminnelse om mulige konsekvenser av kostnadskutt og selvtilfredshet. Blant flyselskapsledere som er smarte nok til å legge merke til, kan det også ha fungert som en advarsel om publikums økende mistillit til deres motiver og om utbredt sinne mot hele industrien – sinne som kan ha like mye å gjøre med måten passasjerer håndteres på som med deres. frykt for å dø. Uansett hvordan man vil lese det, markerte ValuJet-uroen grensene for publikums toleranse. Flyselskapene ble kuet, og de underkastet seg ivrig forbudet mot oksygengeneratorer som last på passasjerfly. De skyndte seg deretter foran FAA med et løfte på 400 millioner dollar (ennå ikke oppfylt) om å installere branndetektorer og brannslukningsapparater i alle lasterom. Ønsket om å finne skjulte farer møter de praktiske vanskelighetene med å inspisere last. Likevel kan man stole på bakkemannskaper en stund for å se hva de laster inn i fly og hva de tar ut og kaster.

Og de skyldige selskapene? De tapte penger og ble saksøkt, selvfølgelig. Etter å ha sparket de to mekanikerne som feilaktig hadde signert arbeidsordrene, prøvde SabreTech å sette huset i stand. Ikke desto mindre flyktet kundene og kom ikke tilbake. Miami-operasjonen krympet fra 650 til 135 ansatte, og ble i januar i fjor tvunget til å stenge dørene. Like etterpå, som et resultat av en to måneder lang FAA-undersøkelse, ble SabreTechs nye Orlando-anlegg også tvunget til å stenge. ValuJet overlevde grunnstøtingen, og under intens FAA-gransking kom han tilbake til himmelen senere i 1996, med en redusert og standardisert flåte av DC-9; det endret til slutt navn til AirTran. En stund var det trolig det sikreste flyselskapet i landet. Hva forklarer da følelsen, spesielt for denne saken, av at så lite i virkeligheten er oppnådd?

En 'normal ulykke'

PILOTER er sikkerhetsutøvere, gjennomsyret av en kan-gjøre-holdning til å overleve og trygge på sine egne ferdigheter. Vi har en tendens til å tro at menneskeskapte ulykker må ligge innenfor menneskelig kontroll. Denne ideen har til en viss grad blitt oppmuntret av arbeidet til en gruppe Berkeley-professorer – særlig statsviteren Todd La Porte – som studerer 'høypålitelige organisasjoner', noe som betyr de som har gode resultater med å håndtere tilsynelatende farlige teknologier: hangarskip, lufttrafikksentraler, enkelte kraftselskaper. De tror at organisasjoner kan lære av tidligere feil og kan skreddersy seg for å nå nye mål, og at hvis de riktige, om enn vanskelige, grepene tas, kan mange ulykker unngås.

Charles Perrows tankegang er vanskeligere for piloter som meg å akseptere. Perrow kom utilsiktet til sin teori om normale ulykker etter å ha studert feilene til store organisasjoner. Poenget hans er ikke at noen teknologier er mer risikofylte enn andre, noe som er åpenbart, men at kontrollen og driften av noen av de mest risikofylte teknologiene krever organisasjoner så komplekse at det er praktisk talt garantert alvorlige feil. Disse feilene vil av og til kombineres på uforutsigbare måter, og hvis de induserer ytterligere feil i et driftsmiljø med tett beslektede prosesser, vil feilene snurre ut av kontroll og beseire alle inngrep. De resulterende ulykkene er uunngåelige, hevder Perrow, fordi de kommer fra selve satsingen. Du kan ikke eliminere den ene uten å drepe den andre.

Perrows banebrytende bok Normale ulykker: Å leve med høyrisikoteknologier (1984) er et uvanlig verk - en samling av historiefortelling og formaninger, som denne nye måten å tenke på har reist seg ut av. Hans sentrale enhet er et organisasjonskart for å plotte sannsynligheten for alvorlige systemulykker. Han legger ikke til numeriske verdier til diagrammet, men bruker et sett med generelle risikoindikatorer. I én kvadrant står prosessene – som for de fleste produksjonsprosesser – som er enkle, langsomme, lineære og synlige, og der operatørene opplever feil som isolerte og kontrollerbare hendelser. I det motsatte står de ugjennomsiktige og sammenfiltrede prosessene preget av en kombinasjon av det Perrow kaller 'interaktiv kompleksitet' og 'tett kobling.' Med 'interaktiv kompleksitet' mener han ikke bare at det er mange elementer involvert, men at disse elementene er knyttet sammen på flere og ofte uforutsigbare måter. Feilen i en del – enten den er materiell, psykologisk eller organisatorisk – kan falle sammen med feilen til en helt annen del, og denne uforutsigbare kombinasjonen vil føre til at andre deler svikter, og så videre. Hvis systemet er stort, er de mulige kombinasjonene av feil praktisk talt uendelige. Slike oppklaringer ser ut til å ha en egen intelligens: de avslører skjulte forbindelser, nøytraliserer redundanser, omgår 'brannmurer' og utnytter tilfeldige omstendigheter som ingen ingeniør kunne ha planlagt. Når operativsystemet i seg selv er raskt og lite fleksibelt (som en kjemisk prosess, en automatisert respons på missilangrep eller et jetfly under flukt), kan kaskadefeilene akselerere ut av kontroll, forvirre de menneskelige operatørene og nekte dem en sjanse til å juryere -rig en bedring. Den mangelen på slakk er Perrows tette kobling. Da kan den eneste forskjellen mellom en ufarlig ulykke og en menneskelig tragedie være et spørsmål, som i kjemiske anlegg, om hvilken vei vinden blåser.

Jeg kom over denne tanken ved en tilfeldighet, et år før ValuJet-krasjen, da jeg plukket opp et eksemplar av Scott D. Sagans bok Sikkerhetsgrensene: Organisasjoner, ulykker og atomvåpen (1993). Sagan, en statsviter fra Stanford som er en generasjon yngre enn Perrow, er den mest overbevisende av Perrows tolker, og med Sikkerhetens grenser han har styrket tenkningen om systemulykker, og fokusert den tydeligere enn Perrow var i stand til. Sikkerhetens grenser starter med å sette teorier med høy pålitelighet og normale ulykker i opposisjon, og tester dem deretter mot en møysommelig undersøkt og tidligere hemmelig historie med feil innenfor amerikanske atomvåpenprogrammer. Testen er en gjennomsiktig kunstgrep, men den tjener til å definere de to teoriene. Sagans åpenbare skjevhet reduserer ikke arbeidet hans.

Strategiske atomvåpen utgjør et spesielt vanskelig problem for systemulykkestenkning, av to grunner: For det første har det aldri vært en utilsiktet atomdetonasjon, enn si en utilsiktet atomkrig; og for det andre, hvis en reell mulighet for en slik apokalyptisk fiasko eksisterer, truer det selve logikken til kjernefysisk avskrekking – forventningen om rasjonell oppførsel som vi fortsetter å basere våre arsenaler på. Nok en gang fører jakten på systemulykker til ubehagelige mål. Sagan er ikke en mann som tar til orde for nedrustning, og han avstår fra å gjøre det i boken sin, og observerer realistisk at atomvåpen er kommet for å bli. Ikke desto mindre, når han har definert 'ulykker' som mindre enn atomeksplosjoner (som falske advarsler, nær oppskytinger og andre uventede sammenbrudd i dette ultimate 'høypålitelighets'-systemet), oppdager Sagan et mønster av ulykker, hvorav noen bare var inneholdt tilfeldigvis. Leseren blir neppe overrasket når Sagan konkluderer med at slike ulykker er uunngåelige.

Boken interesserte meg ikke på grunn av ulykkene i seg selv, men på grunn av deres mønster, som virket merkelig kjent. Selv om mønsteret representerte muligheter som jeg som pilot kategorisk hadde avvist, krevde dette nye perspektivet meg til å møte den uforutsigbare siden av min egen opplevelse med himmelen. Jeg måtte innrømme at noen av vennene mine hadde dødd på gale og uheldige måter, at noen flyreiser hadde gått ukontrollert galt, og at kanskje ikke engang pilotene hadde skylden. Dessuten måtte jeg innrømme at uansett hvor nøye jeg sjekket mine egne fly, og hvor forsiktig jeg fløy dem, kunne det samme skje med meg.

Det er der vi står nå som et samfunn med ValuJet Flight 592, og det kan forklare vårt vedvarende ubehag med ulykken. ValuJet-dekselet representerer en nesten perfekt systemulykke. Det oppsto fra en prosess som passer de fleste av Perrows tekniske krav til uforutsigbarhet og interaktiv kompleksitet og noen av kravene til tett kobling. Enda viktigere, den passer til de mest grunnleggende definisjonene av en ulykke forårsaket av selve funksjonen til systemet eller industrien der den skjedde. Flight 592 brant på grunn av lasten av oksygengeneratorer, ja, men mer fundamentalt på grunn av et virvar av forvirring som vil ta en helt annen form neste gang. Det er frustrerende å bekjempe noe slikt, og urett er vanskelig å tildele.

ValuJets late som virkelighet

TA for eksempel saken om de to SabreTech-mekanikerne som hjalp til med å fjerne oksygenbeholderne fra ValuJet MD-80s, ignorerte de skriftlige arbeidsordrene om å installere sikkerhetshetter, stablet de farlige beholderne på feil måte i pappesker og avsluttet med falsk signering av på jobben. De vil sannsynligvis lide resten av livet for sin uaktsomhet, slik de kanskje burde. Men her er hva som virkelig skjedde: Nesten 600 mennesker registrerte tid på å jobbe på de tre ValuJet-flyene i SabreTechs Miami-hangar, og av dem logget syttito 910 timer over flere uker for å erstatte oksygengeneratorer, i de fleste tilfeller fordi de hadde 'utløpt' - nådd slutten av deres godkjente liv. I henhold til ValuJet arbeidskort nr. 0069, som ble levert til etterforskerne, var det andre trinnet i den syv-trinns fjerningsprosessen Hvis generatoren ikke er brukt opp, monter frakthetten på tennstiften.

Dette krevde en gjeng hardt pressede mekanikere for å trekke et verbalt skille mellom kanister som var 'utløpt', betyr de fleste av de de fjernet, og beholdere som var ikke «utbrukt», som betyr mange av de samme, lastet og klar til å skyte, som de ble forventet å sette ikke-eksisterende hetter på. Også involvert var dunker som var utløpt og oppbrukt, og andre som ikke var utløpt, men som var oppbrukt. Og så var det selvfølgelig settet med nye erstatningsbeholdere, som var både ubrukte og uutløpte. Hvis dette virker forvirrende, ikke kast bort tiden din på å prøve å finne ut av det – SabreTech-mekanikken gjorde det ikke, og det burde heller ikke vært forventet at de skulle det. NTSB antydet at et problem ved SabreTechs anlegg i Miami kan ha vært tilstedeværelsen av spansktalende immigranter på arbeidsstyrken, men ganske åpenbart lå språkproblemet på den andre siden – med ValuJet og de engelsktalende ingeniørene, bokstavelig talende, som skrev bestillingene og tekniske manualene som om de skrev til seg selv. Det virkelige problemet var med andre ord engineerspeak.

Før ulykken handlet bekymringen ikke om gamle deler, men om nye – sikker oppussing av MD-80-ene i tide til å overholde ValuJet-fristen. Mekanikerne fjernet raskt oksygenbeholderne fra brakettene og koblet grønne tagger til de fleste av dem. De grønne merkelappene betydde 'reparerbare', noe disse beholderne ikke var. Det er ikke klart hvor mange av de syttito arbeiderne som var klar over at disse beholderne ikke kunne brukes igjen, siden utskifting av oksygengeneratorer er en sjelden operasjon, selv om av personene som ble avhørt etter ulykken hevdet de fleste å ha kjent i det minste hvorfor beholderne måtte fjernes. Men også her er det bevis på forvirring. Etter ulykken ble to merkede beholdere funnet fortsatt liggende i SabreTech-hangaren. På en av merkelappene, under 'Årsak til fjerning', hadde noen skrevet 'utdatert'. På den andre taggen hadde noen skrevet, 'generatorer har blitt utløpt utløst.'

Ja, en mekaniker kan ha funnet veien forbi ValuJet-arbeidskortet og inn i den enorme MD-80 vedlikeholdsmanualen, til kapittel 35-22-01, innenfor hvilken linje 'h' ville ha instruert ham om å 'lagre eller kaste oksygengeneratoren .' Ved flittig å forfølge alternativene sine, kunne mekanikeren ha funnet veien til en annen del av manualen og lært at 'alle brukbare og ubrukbare (ubrukte) oksygengeneratorer (beholdere) skal lagres i et område som sikrer at hver enhet ikke er utsatt for høye temperaturer eller mulig skade.' Ved å tenke på implikasjonene av parentesene kunne han ha trukket ut at de 'ubrukte' beholderne også var 'ubrukbare' beholdere, og at fordi han ikke hadde noen frakthette, burde han kanskje ta slike beholdere til et trygt område og 'initiere' dem, iht. prosedyrene beskrevet i avsnitt 2.D. Å starte en oksygengenerator er selvfølgelig å fyre den av, og utløse den kjemiske reaksjonen som produserer oksygen og etterlater en mildt giftig rest inne i beholderen, som deretter klassifiseres som farlig avfall. Seksjon 2.D inneholder formaningen 'En brukt oksygengenerator (beholder) inneholder både bariumoksid- og asbestfibre og må avhendes i samsvar med lokale forskrifter og ved hjelp av autoriserte prosedyrer.' Ikke rart mekanikerne stakk de gamle generatorene i esker.

Veilederne og inspektørene sviktet her, selv om de etter ulykken viste seg å være flinke til å ta bort ansvaret. De burde i det minste ha levert de nødvendige sikkerhetshettene og verifisert at de ble brukt. Hvis de hadde gjort det – til tross for alle de andre feilene som ble gjort – ville ikke Flight 592 ha brent. Også av større grunner er deres fiasko en vesentlig del av denne historien. Den representerer ikke profittakernes grådighet, men snarere noe mer lumsk – den typen kollektive lempelser av tekniske standarder som sosiologen Diane Vaughan fra Boston College har kalt «normaliseringen av avvik», og som hun mener eksisterte ved NASA i årene før. til 1986-eksplosjonen av romfergen Utfordrer. De lekkende O-ringene som forårsaket den katastrofale innblåsningen av rakettdrivstoff var en velkjent designsvakhet, og hadde vært gjenstand for bekymrede notater og konferanser frem til kvelden før oppskytingen. Vaughans bok Challenger-lanseringsbeslutningen (1996) er en 575-siders øvelse i systemulykkestenkning. Etter en lang fordyping i NASAs tekniske kultur, konkluderer Vaughan med at bekymringene for O-ringen ble lagt til side delvis fordi byrået hadde sluppet unna med å lansere O-ringene før. Som Perrow har hevdet, det som kan gå galt går vanligvis riktig – og da trekker folk feil konklusjoner. På en generell måte er dette det som skjedde hos SabreTech. Noen mekanikere hevder nå å ha uttrykt sine bekymringer om sikkerhetshettene, men hvis de gjorde det, ble de ikke hørt. Operasjonen hadde blitt vant til å ta snarveier.

Men la oss være ærlige – mekanikere som er for forsiktige vil aldri få jobben gjort. Flyselskapssystemet slik det ser ut i dag krever at folk, på flukt eller på bakken, inngår kompromisser, tar valg og noen ganger til og med gambling. SabreTech-mannskapene gikk på avveie – men ikke langt på avveie – ved å tillate seg selv å ikke bekymre seg for kasserte deler. En brannfare? Sikker. Mekanikerne teipet av snorene og kan ha skjøvet beholderne litt lenger bort fra flyene de jobbet med. Dunkene hadde ingen advarsler om varme på seg og ingen av standardskiltene for farlige stoffer. Det hadde nok uansett ikke spilt noen rolle, for arbeidsområdet var overfylt med plakater og offisielt utpekte farlige materialer, og folk hadde lært å ikke ta dem for alvorlig. Av nysgjerrighet skjøt noen av mekanikerne av noen dunker og lyttet til oksygenet som kom ut – det gikk hhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhh Ingen ser ut til å ha vurdert muligheten for at kanistrene kan bli sendt ved et uhell. Mekanikerne bar til slutt de fem pappeskene over til fraktavdelingen, men bare fordi det var der ValuJet-eiendommen ble lagret – en ordning som i seg selv var fornuftig.

Da ekspeditøren kom på jobb neste morgen, fant han eskene uten forklaring på gulvet i ValuJet-området. Eskene så uskyldig ut, og han lot dem være i fred til han fikk beskjed om å rydde opp. Å sende dem til Atlanta virket som den beste måten å gjøre det på. Han hadde sendt av 'selskapsmateriell' før uten ValuJets spesifikke godkjenning, og han hadde ikke hørt noen klager. Han visste at han hadde å gjøre med oksygenbeholdere, men forsto tilsynelatende ikke forskjellen mellom oksygenlagringstanker og generatorer designet for å fyre av. Da han klargjorde boksene for frakt, la han merke til de grønne 'reparerbare' etikettene som feilaktig ble plassert på beholderne av mekanikerne, og misforsto dem for å bety 'ubrukbare' eller 'ute av drift', som han varierende sa etter ulykken. Han trakk også den uforutsigbare konklusjonen at beholderne derfor var tomme. Han ba mottakeren fylle ut en fraktbillett. Den mottakende kontoristen gjorde som han ble bedt om, listet opp dekkene og beholderne, og satte anførselstegn rundt ordet 'Tom'. Senere, da han ble spurt hvorfor, svarte han: 'Ingen grunn. Jeg setter alltid som, når jeg setter sjekken, setter jeg 'Carlos' i anførselstegn. Ingen grunn til at jeg sa det. Grunnen var at det var hans vane. På fraktbilletten satte han også '5 bokser' mellom anførselstegn.

Men en dag eller så senere, forbi Flight 592, brydde ValuJet-rampeagenten som signerte for lasten seg ikke om slike finesser. ValuJet var ikke autorisert til å frakte farlig last av noe slag, og det virker åpenbart nå at en fraktbillett med dekk på hjulenheter og oksygenbeholdere (uansett om de var tomme eller ikke) burde ha vekket rampeagentens mistanker. Ingen ville ha klaget om han hadde åpnet eskene, eller summarisk avvist lasset. Det var ingen papirarbeid knyttet til farlige materialer, men han hadde blitt formelt opplært i å gjenkjenne umerkede farer. Hans driftshåndbok for ValuJet-stasjoner advarte spesifikt: 'Last kan bli deklarert under en generell beskrivelse som kan ha farer som ikke er åpenbare, at avsenderen kanskje ikke er klar over dette. Du må være bevisst på at disse gjenstandene har forårsaket alvorlige hendelser, og faktisk satt sikkerheten til flyet og personell som er involvert.' Det sa også,

Ditt ansvar for å gjenkjenne farlige materialer er avhengig av din evne til å: 1. Være på vakt! 2. Ta deg tid til å stille spørsmål! 3. Se etter etiketter! ... Rampeagenter bør være på vakt når de håndterer bagasje eller bokser. Enhver gjenstand som kan anses som farlig, bør gjøres oppmerksom på din veileder eller pilot, og bringes til umiddelbar oppmerksomhet til Flight Control og, om nødvendig, FAA. HUSK: SIKKERHETEN FOR PASSASJER OG MEDANSATTE AVHENGER AV DEG!

Det er mulig at rampeagenten ble lullet av firmaets materialetiketter. Ville SabreTech-arbeiderne sende farlig last uten å gi ham beskjed? Samtalen hans med andrepiloten, Richard Hazen, om vekten av lasten kan også ha sluppet ham. Hazen hadde også blitt formelt opplært til å oppdage farlige materialer, og han ville ha forstått bedre enn rampeagenten den farlige naturen til oksygenbeholdere, men han sa ingenting. Det var et rutineøyeblikk i en rutinedag. Morgenens irriterende elektriske problemer var kanskje løst. Mannskapet forberedte rolig og rasjonelt flyet for neste flytur, en prosedyre som alltid hadde fungert for dem før. Som et resultat foldet passasjerenes siste forsvarslinje. De var uheldige, og systemet drepte dem.

Gi opp på en null ulykkesfremtid

HVA skal vi mene om denne virvaren av omstendigheter og feil? En mistanke er at årsakene kan ligge i markedskreftene til en deregulert flyindustri, og at for å forhindre at slike katastrofer inntreffer i fremtiden, må vi kanskje vurdere muligheten for omregulering – en tilbakevending til det gamle systemet med begrenset konkurranse, fagforeningers arbeidsstyrker, høyere lønn og dyre billetter. Det er oppfordringer nå for nettopp det. Forbedringen i sikkerhet ville komme fra å bremse ting, og la noen få salvede flyselskaper ha fritid til å oppdage feilene deres og handle ut fra dem. Effektene på samfunnet ville imidlertid være kostbare og antiegalitære – en tilbakevending til et innsnevret system som mange færre mennesker hadde råd til å bruke. Dessuten vil tekniske trender argumentere mot det. Til tross for det åpenbare kaoset i virksomheten og den tilsynelatende hyppigheten av flyulykker, har flyreiser blitt tryggere under deregulering. Reduksjoner i «prosessulykker» og «konstruerte» ulykker har mer enn kompensert for enhver økning i systemulykker – som uansett må ha skjedd tidligere også.

Den andre måten å regulere flyindustrien på er ikke økonomisk, men operasjonell – detaljert statlig tilsyn med alle de tekniske aspektene ved flyreise. Dette er en tilnærming vi har tatt siden fødselen av flyselskapene, på 1920-tallet, og det er det vi forventer av FAA i dag. Strengt anvendte standarder er desto viktigere i et fritt marked, der ukontrollert konkurranse til slutt vil kreve at flyselskapene kutte kostnader til det punktet at de opererer usikkert, inntil ulykker tvang dem ut av virksomheten én etter én. Et selskap bør ikke overbelaste sine fly eller fly dem med utslitte deler, men det kan heller ikke konkurrere effektivt mot andre selskaper som gjør det. Fra dag til dag kan ledere i flyselskapene mislikes over at myndighetene trenger inn, men i sine mer reflekterte øyeblikk må de også innse at de trenger denne reguleringen for å overleve. Vennskapet som har vokst opp mellom de to sidene – mellom regulatorene og de regulerte – er et uttrykk for dette faktum, som ingen mengde selvreformer ved FAA kan endre. Da David Hinson fra FAA etter ValuJet-krasjen reagerte på anklager om vennskap ved å gå til kongressen og ydmykt be om at byråets 'dobbelte mandat' ble eliminert, slik at det ikke lenger ville være lovpålagt å promotere flyselskapene, og Kongressen (som gjorde som han ba om) var engasjert i en spesielt hul form for politisk teater.

FAAs kritikere hadde virkelige poeng å komme med. Byrået var blitt for bekymret for reaksjonene til sine allierte i flyindustrien, og det måtte prøve hardere å håndheve eksisterende regelverk. Kanskje det til og med var nødvendig å skrive noen nye forskrifter. Som NASA før Utfordrer ulykken, trengte FAA å lytte til meningene og bekymringene til sine egne ansatte på lavere nivå. Men det er grenser for alt dette også. Da en reporter på en pressekonferanse etter ulykken i Miami spurte Robert Francis fra NTSB: 'Bør ikke regjeringen beskytte oss mot denne typen ting?' det beste svaret ville vært 'Det kan ikke, og vil aldri.'

Sannheten hjelper, for i vår frustrasjon over slike systemulykker kan vi bli fristet til å finne opp løsninger som, ved å øke systemets uklarhet og kompleksitet, kan forverre nettopp de egenskapene som førte til ulykkene i utgangspunktet. Dette argumentet for et teoretisk poeng av forsvinnende sikkerhet er en sentral del av Perrows tenkning, og det ser ut til å bli bekreftet i praksis. I sin utforskning av det nordamerikanske tidlige varslingssystemet fant Sagan at feilene i sikkerhetsinnretninger og backupsystemer ga de farligste falske indikasjonene på missilangrep - den typen som kunne ha utløst en reaksjon. Stråleulykkene ved Tsjernobyl og Three Mile Island ble begge forårsaket av feil i sikkerhetssystemene. Husk også at ValuJet oksygengeneratorer var sikkerhetsinnretninger, at de var reservesystemer, og at de ble fjernet fra MD-80-årene på grunn av forskrifter som begrenser deres levetid. Dette er ikke et argument mot slike enheter, men en påminnelse om at utdyping har en pris.

Menneskelige reaksjoner øker problemet. Administratorer kan tenke opp imponerende kommando- og kontrollkjeder og pålegge komplekse dobbeltsjekker og prosedyrer på et operativsystem, og de kan laste strukturen med redundanser, men på mottakersiden kommer det et punkt – i personvernet til en hangar eller en cockpit – utover hvilket folk gjør opprør. Disse opprørene er nå vanlige i hele flyselskapet – og faktisk i hele samfunnet. De resulterer i uforutsigbare og vilkårlige handlinger, desto mer fordi de på den moderne, usikre arbeidsplassen forblir svarte. Det eneste som alltid blir gjort er de nødvendige papirene.

Papirarbeid er en nødvendig og uunngåelig del av systemet, men det introduserer også farer. Problemet er ikke bare byrden det legger på praktiske operasjoner, men også bedraget det avler. De to uheldige mekanikerne som meldte seg på de ikke-eksisterende sikkerhetshettene, var tilfeldigvis de tregeste til å slippe unna når veilederne trengte signaturer. De andre mekanikerne ville nesten helt sikkert også ha signert, det samme gjorde inspektørene. Deres gode gammeldagse blyantpisking er kanskje den mest utbredte formen for Vaughans «normalisering av avvik». Forfalskningen de begikk var en del av et større bedrag – skapelsen av en hel late som virkelighet som inkluderer ugjennomførbare kommandokjeder, ulærelige treningsprogrammer, uleselige manualer og fiksjonen om forskrifter, kontroller og kontroller. Slike late realiteter strekker seg selv inn i de mest selvbevisste progressive store organisasjonene, med deres forsøk på å formalisere uformelle, å deregulere arbeidsplassen, å dele fortjeneste og ansvar, å respektere individets integritet og initiativ. Systemene fungerer i prinsippet, og vanligvis i praksis også, men de to kan ha lite med hverandre å gjøre. Papirarbeid flyter fritt fra bakken og skjuler de grumsete arbeidsplassene der systemulykker oppstår i det virkelige livs forvirring.

Det ville være feil å konkludere med at vi skulle slutte oss til alarmistene i deres undergangsprofetier. Å fly vil forbli trygt, og av konvensjonelle årsaker, inkludert den beundringsverdige reaksjonen vi har sett på ValuJet-krasjen. Men det skal også være klart at det er strukturelle begrensninger for flysikkerhet, og at enhver drøm om en fremtid uten ulykker sannsynligvis er omtrent like realistisk som det gamle ValuJet-løftet om å sette sikkerhet først. Hvis det er sant, bør vi venne oss til det. Konvensjonelle ulykker – de jeg kaller prosedyremessige eller konstruerte – vil underordne seg løsningene våre, men ettersom flytrafikken fortsetter å utvide seg, kan vi forvente at lunefulle systemulykker blomstrer. Å forstå hvorfor kan hindre oss i å gjøre systemet enda mer komplekst, og derfor kanskje også farligere.