HUFAG Nieuwsbrief Nr.8

HUFAG Nieuwsbrief 9
Inhoud
1 Van de voorzitter
2 Datalink
5 Datalink in Maastricht
UAC
6 Verkeersleiders en
vliegers en hun rol in
veiligheidsanalyses
HUFAG
Human Factors Advisory Group
Stichting HUFAG
Postbus 75654
1118 ZS Schiphol
Fax: 050 309 46 75
t.a.v. Dhr. A. Droog
Internet: www.hufag.nl
E-mail: info@hufag.nl
Van de voorzitter
In deze om verschillende redenen vertraagde
HUFAG Nieuwsbrief vraag ik
uw aandacht voor twee onderwerpen.
Het eerste is data link. Data link is een
alternatief voor het klassieke radioverkeer
tussen vliegtuigbemanningen en
‘de grond’. In het eerste artikel hierover
beschrijft Bert Ruitenberg wat data link
precies is, welke toepassingen voor de
luchtvaart belangrijk zijn en welke
human factor aspecten er aan data link
toepassingen zitten. Vervolgens laat Kris
Vermeiren ons in het tweede artikel zien
wat data link voor de verkeersleider in
de praktijk betekent.
Het tweede onderwerp betreft de rol die
Herfst 2004
luchtverkeersleiders en verkeersvliegers
kunnen spelen in de veiligheidsanalyse
van luchtverkeersoperaties. Het
ontdekken en inschatten van de risicoís
van een bepaalde, nog in het ontwerpstadium
verkerende, luchtvaartoperatie
en het bedenken van mogelijke verdedigingen
tegen die risicoís is een complexe
zaak die goede inschattingen vereist.
Het blijkt dat mensen die de praktijk
van de operatie door en door kennen
daar een belangrijke en gewaardeerde
bijdrage aan kunnen leveren. Het artikel
van de hand van Hans de Jong, Sybert
Stroeve en Henk Blom geeft ons inzicht
hoe dit in zijn werk gaat.
Datalink Bert Ruitenberg, Gilde van Luchtverkeersleiders
Data link is het verzenden van gegevens via een verbinding tussen twee of meer punten.
De betekenis die in de dagelijkse praktijk aan het begrip data link wordt toegekend,
behelst doorgaans het draadloos verzenden van gegevens tussen twee punten. In ons
gewone leven komen we verschillende voorbeelden van data link gebruik tegen die al
zo zijn ingeburgerd dat veel mensen waarschijnlijk zich niet eens realiseren dat het om
data link technologieÎn gaat. Het meest voor de hand liggende voorbeeld is de mobiele
telefoon (zowel spraak als SMS), maar ook de tekstberichtcommunicatie systemen van
taxicentrales en dergelijke gebruiken een data link. Hierbij worden voor de data link
verschillende golflengten en technische protocollen gebruikt; de telefoon en het communicatiesysteem
zijn de toepassingen.
Welke data link toepassingen zijn
belangrijk voor de luchtvaart?
ACARS
Het Aircraft Communications and
Reporting System (ACARS) is ontwikkeld
als alternatief voor de HF (High
Frequency) of VHF (Very High
Frequency) spraak-verbindingen die
luchtvaartmaatschappijen gebruiken om
contact te houden met hun vliegtuigen
op de route. ACARS stelt een maatschappij
in staat om een tekstbericht
aan een bemanning te sturen, die dat
dan op een papiertje (maat: flinke kassarol)
krijgt uitgeprint in de cockpit. Ook
kunnen bemanningen via ACARS een
bericht naar de maatschappij sturen, bijvoorbeeld
een verzoek om een rolstoel
voor een passagier bij de gate, of informatie
over technische problemen met
het vliegtuig. De integriteit van ACARS
is per definitie niet hoog, wat betekent
dat een letter of cijfer door de verzender
ingetikt niet altijd hetzelfde is als wat
door de ontvanger wordt gelezen.
Omdat de berichten die via ACARS wor-

den verzonden in principe niet safetycritical
zijn, is de lage integriteit ervan
acceptabel.
CPDLC
Controller - Pilot Data Link Communications
(CPDLC) wordt door velen
gezien als dÈ oplossing voor de overbelasting
van VHF spraak-frequenties.
Bovendien kan door het gebruik van
CPDLC een aantal nadelen van HF-communicatie
vermeden worden. CPDLC is
niet bedoeld als vervanger van spraakcommunicatie
maar als een aanvullende
mogelijkheid.
(Pre-)Departure Clearance is een variant
van CPDLC die op vliegvelden gebruikt
kan worden. Hierdoor worden vliegers
in staat gesteld om al in de preflightfase
per data link hun klaring voor de te
volgen vertrekroute op te vragen. (De
VHF frequentie waarop dit traditioneel
per R/T gebeurt, is vaak overbelast op
tijden waarop er veel vluchten willen
vertrekken. Met (P)DC kan deze overbelasting
worden vermeden).
ADS
Automatic Dependent Surveillance
(ADS) is een systeem waarbij de navigatiegegevens
uit een vliegtuig worden
gebruikt om op een beeldscherm op de
grond de positie van het vliegtuig af te
beelden. Hierdoor kan een radar-achtig
beeld van het luchtverkeer in een
bepaald gebied worden verkregen.
Er bestaan van ADS twee varianten: de
eerste is die waarbij de uitgezonden
ADS informatie slechts door één
(grond)station ontvangen kan worden;
de tweede is er een waarbij de ADS
informatie als ‘broadcast’ wordt uitgezonden
en door elk geschikt station kan
worden ontvangen. Deze laatste variant
staat bekend als ADS-B (broadcast); ter
onderscheid wordt de eerste versie
tegenwoordig ook wel aangeduid met
ADS-C (contract, naar de benaming
voor het opzetten van de verbinding tussen
de twee stations).
Met ADS-B wordt het mogelijk om ook
in de cockpit een display te presenteren
waarop gegevens zoals positie, hoogte,
snelheid en route van andere vliegtuigen
te zien zijn (CDTI - Cockpit Display of
Traffic Information). Dit kan op termijn
mogelijkheden bieden om de vereiste
separatie tussen vliegtuigen door de
vliegers te laten regelen in plaats van
door de verkeersleiding. Hiervoor worden
zogeheten Airborne Separation
Assistance Systems (ASAS) ontwikkeld.
Voordat het zover is, dienen er echter nog
vele juridische en praktische aspecten te
worden onderzocht.
DFIS
Tot de categorie Digital Flight Information
Service (DFIS) behoren D-ATIS
en D-VOLMET. Met behulp van Digital
ATIS en/of Digital VOLMET kunnen vliegers
te allen tijde een actueel weerbericht
van een gewenste locatie op een
beeldscherm gepresenteerd krijgen, of
dit uitprinten. Zij hoeven daarvoor geen
spraak-uitzending meer uit te luisteren.
Deze twee toepassingen zullen waarschijnlijk
als eerste op grote schaal worden
ingevoerd.
Tot de mogelijke DFIS toepassingen
behoren verder o.a. NOTAM service,
Runway Visual Range (RVR) service en
windshear report service.
Welke data link technologieën zijn er?
Voor toepassingen in de luchtvaart zijn
de volgende vier data link technologieën
beschikbaar:
VHF of HF analoog
Deze systemen worden gebruikt voor
ACARS berichten. Er vliegen bijvoorbeeld
momenteel zo’n 300 vliegtuigen
rond die zijn uitgerust met HF data link
en die samen maandelijks meer dan
400.000 berichten verzenden. Het
ACARS netwerk is door Boeing en
Airbus ook gebruikt voor de eerste
(experimentele) generatie vliegtuigen
die CPDLC en ADS berichten kunnen
ontvangen en versturen. Deze generatie
avionics heet respectievelijk FANS/1 en
FANS/A. Het grote nadeel van FANS/1
en FANS/A apparatuur is dat het niet
voldoet aan de standaards die ICAO
heeft opgesteld voor het Aeronautical
Telecommunication Network (ATN).
VHF Digital Link (Mode 1 t/m 4)
Deze VDL Modes voldoen elk wél aan de
ICAO ATN standaards, maar het is nog
steeds onduidelijk welke van de vier er
zal of zullen komen. Hier volgt een overzicht
van de verschillen:
• VDL Mode 1: digitale versie van het
ACARS netwerk; wordt vrijwel zeker
niet ontwikkeld.
• VDL Mode 2: geschikt voor data; sneller
en nauwkeuriger dan ACARS.
• VDL Mode 3: geschikt voor data en
gedigitaliseerd spraakverkeer. Kan
alleen worden gebruikt voor verbindingen
tussen twee stations.
• VDL Mode 4: geschikt voor data in
‘broadcast’ versie (d.w.z. te ontvangen
door elk daarvoor geschikt station).
Met VDL Mode 4 is ADS-B mogelijk.
VDL Mode 2 en Mode 4 lijken op dit
moment de belangrijkste kandidaten
voor verdere toekomstige ontwikkelingen.
SSR Mode S Extended Squitter
Dit is een tamelijk complexe techniek
waarbij gebruikt wordt gemaakt van het
Mode S transpondersignaal dat door
moderne vliegtuigen wordt uitgezonden.
In de vrije ruimte van dit signaal
kunnen data worden meegezonden in
‘broadcast’, vergelijkbaar met VDL Mode 4.
De 11e ICAO Air Navigation Conference
(september 2003) heeft Mode S ES aangewezen
als de technologische standaard
voor ADS-B.
Deze keuze van de Air Navigation
Conference is deels ingegeven door de
wens van de luchtvaartmaatschappijen
om niet te hoeven investeren in nieuwe
boordapparatuur. De International
Federation of Air Traffic Controllers’
Associations (IFATCA) heeft als bezwaar
tegen deze keuze aangevoerd dat het
gebruik van de Mode S transponder
voor zowel ADS-B als TCAS (het antibotsingsysteem
in vliegtuigen) de onafhankelijke
werking van TCAS kan aantasten.
Universal Access Transceiver (UAT)
De techniek achter de UAT is nog complexer
dan bij Mode S ES, en speelt zich
ook af in een ander deel van het
frequentiespectrum. De UAT is qua
mogelijkheden vergelijkbaar met (en
dus een concurrent van) VDL Mode 4 en
Mode S ES. Het is een in Amerika ontwikkeld
alternatief dat voorlopig alleen
binnen Amerika experimenteel wordt
toegepast.
Op de HUFAG website is een uitgebreider
artikel te vinden over de voor- en nadelen
van deze technologieën. (‘Age of
Consent’, door Kim O’Neill, gepubliceerd
in Air Traffic Technology
International 2004)
Hoe ziet de CPDLC interface er uit in de
cockpit?
Er zijn grote verschillen tussen de systemen
die de vliegtuigfabrikanten hebben
ontwikkeld voor het gebruik van CPDLC.
Hieronder volgt een korte beschrijving
van de CPDLC interfaces van de Boeing
747-400, de Boeing 777 en de Airbus 340.
2 HUFAG | Nieuwsbrief

Boeing 747-400
In de Boeing 747-400 moest de CPDLC
functionaliteit worden toegevoegd aan
een bestaand instrumentarium in een al
tamelijk volle cockpit. Er is daarom
gekozen voor het integreren van CPDLC
in de Multifunction Control-Display Unit
(MCDU), ofwel het bedieningspaneel
voor de Flight Management Computer.
Beide vliegers hebben een MCDU tot
hun beschikking op het horizontale
paneel tussen de stoelen. Het MCDU
beeldscherm is monochroom en vrij
klein (zie figuur). Bovendien worden er
twee verschillende formaten gebruikt
voor zowel tekst als cijfers.
Figuur 1
Bij het operationele gebruik van CPDLC
dat al enige jaren plaatsvindt boven de
Stille Oceaan (Pacific) zijn er een paar
incidenten geweest doordat B747-400
vliegers alleen het in het grote formaat
afgebeelde deel van de tekst lazen en
uitvoerden, en niet het kleiner afgebeelde
deel zagen waar een bepaalde voorwaarde
stond genoemd waaraan moest
worden voldaan alvorens de instructie
uitgevoerd mocht worden. Naar aanleiding
van deze incidenten heeft Boeing
een modificatie in de beeldschermen
uitgevoerd: alle tekst en cijfers worden
nu in één formaat gepresenteerd (zie
figuren, figuur 2 de oorspronkelijke versie,
figuur 3 de gemodificeerde versie).
Boeing 777
Omdat bij het ontwerpen van de Boeing
777 er al rekening kon worden gehouden
met het gebruik van CPDLC, is er
een totaal andere oplossing toegepast
dan bij de B747. De CPDLC functionaliteit
is een onderdeel van het Multi-
Functional Display (MFD), waarvan er in
totaal drie beschikbaar zijn: één recht
vóór elke vlieger en één tussen hen in.
De MFD schermen zijn grote kleurenschermen
met uitgebreide menukeuzes,
o.a. voor CPDLC.
De figuur 4 toont het menu voor CPDLC
Figuur 2
Figuur 3
richting verkeersleiding (ATC). Op figuur
5 is een bericht te zien waarin een klaring
voor het volgen van een routesegment
wordt gegeven en waarin tevens een
instructie wordt gegeven om op een
bepaalde positie naar een hoger flightlevel
(FL350) te klimmen en te melden
wanneer dit flightlevel is bereikt.
Figuur 4
Figuur 5
Airbus 340
Ook voor de CPDLC interface in de cockpit
van de Airbus 340 konden tijdens de
ontwerpfase van het vliegtuig al keuzes
worden gemaakt. Men is uitgekomen op
een kleurendisplay dat alleen wordt
gebruikt voor CPDLC berichten, waarvan
beide vliegers er één tot hun
beschikking hebben in het vertikale deel
van het instrumentenpaneel. Naast het
gebruik van kleur wordt er ook gebruik
gemaakt van ‘inverted’ tekstblokken om
bepaalde acties duidelijker te laten
opvallen (zie figuur 6).
Figuur 6
Waar worden data link toepassingen in
de luchtvaart gebruikt?
Data link toepassingen lenen zich per
definitie het best voor gebruik in gebieden
waar de conventionele infrastructuur
(VHF spraakcommunicatie, radar,
navigatiebakens) ontbreekt of slecht
functioneert. De eerste toepassingen
worden dan ook al sinds een aantal
jaren op betrekkelijk grote schaal
gebruikt boven de Stille Oceaan en in
Azië. Maar ook dichter bij huis worden
data link toepassingen in de luchtvaart
gebruikt. Op de vliegvelden Brussel en
Charles de Gaulle wordt op bescheiden
schaal gewerkt met pre-departure clearance,
en het Eurocontrol verkeersleidingscentrum
in Maastricht gebruikt
CPDLC om bepaalde informatie uit te
wisselen met daartoe geschikte vliegtuigen
(zie artikel in deze nieuwsbrief).
Data Link Human Factors Issues
Hieronder volgen een aantal aandachtspunten
op Human Factor gebied die
gerelateerd zijn aan het gebruik van
data link toepassingen. De lijst is niet
volledig en er worden geen oplossingen
aangedragen. Het is slechts bedoeld om
de lezer inzicht te geven in misschien
onbekende problematiek, en mogelijk
ook hierover aan het denken te zetten.
• Omdat er verschillende data link technologieën
worden ontwikkeld, ontstaat
er een potentieel compatibiliteitsprobleem
waardoor vliegtuigen niet
Nr. 9 | Herfst 2004 3

overal hun data link mogelijkheden
kunnen benutten, of waardoor in een
bepaald gebied niet alle vliegtuigen in
staat zijn data link toepassingen te
gebruiken. Daarnaast zijn er verschillende
aanbieders van de data link netwerken
(bijv. SITA, AIRINC). Als een
vliegtuig geen klant is van het netwerk
dat beschikbaar is, worden berichten
soms met vertraging verzonden.
• De nu al operationele FANS 1/A systemen
van respectievelijk Boeing en
Airbus maken gebruik van het ACARS
netwerk, dat hier echter niet oorspronkelijk
voor ontworpen was. Vooral de
lage integriteit en de trage verbindingssnelheid
van dit netwerk kunnen
onverwachte problemen opleveren
voor CPDLC toepassingen.
• De verschillen in de CPDLC interfaces
in de cockpits maken het voor de verkeersleiding
belangrijk om te weten
hoe een bericht aan de bemanning zal
worden gepresenteerd. Met name zullen
verkeersleiders voorzichtigheid
moeten betrachten bij het zenden van
lange of complexe berichten aan
Boeing 747-400 bemanningen.
• Ten behoeve van CPDLC zijn er standaard
‘message sets’ ontwikkeld, vergelijkbaar
met de standaard fraseologie
die in de radiotelefonie wordt
gebruikt. Aan de standaard message
sets is in de systemen in de vliegtuigen
een aantal (semi-)automatische
acties gekoppeld, zoals bijvoorbeeld
het laden van de ontvangen instructies
in de Flight Management Computer.
De FMC genereert dan op zijn beurt
weer automatische antwoord- of
bevestigingsberichten die de bemanning
kan versturen. Niet elk grondstation
heeft echter de volledige set in zijn
systeem geïmplementeerd, net als niet
elke luchtvaartmaatschappij dat heeft
gedaan. Om in die gevallen waarin de
standaard set niet voorziet toch via
Datalink of CPDLC, wat voor Controller
Pilot DataLink Communication staat, is
ontwikkeld om een alternatief te bieden
voor de klassieke radiotelefonie tussen de
verkeersleider en de piloot. In plaats van
een spraakbericht wordt een elektronisch
bericht de ether in gestuurd.
CPDLC te kunnen communiceren is er
een ‘free text’ optie, welke vooral door
onervaren gebruikers veelvuldig
wordt benut. De berichten die als ‘free
text’ worden verzonden, kunnen echter
niet in de FMC worden geladen of
automatisch (uit de standaard set)
worden beantwoord. Hierdoor zijn al
een aantal vervelende misverstanden
tussen verkeersleiding en vliegers ontstaan.
• In de benaming van het ADS systeem
staat de letter ‘D’ voor ‘Dependent’,
oftewel Afhankelijk. Hiermee wordt
aangegeven dat ADS voor de bepaling
van de te presenteren positie van een
vliegtuig afhankelijk is van het navigatiesysteem
van dat vliegtuig. Radar is
in vergelijking met ADS onafhankelijk,
want er worden eigen signalen
gebruikt om de vliegtuigpositie te
bepalen. Als er dus een fout zit in het
navigatiesysteem van een vliegtuig,
kan dit leiden tot de volgende situaties:
1) het vliegtuigsymbool wordt op
het display op de verwachte positie
gepresenteerd, maar in het echt
bevindt het vliegtuig zich ergens
anders; of 2) het vliegtuigsymbool
wordt op het display op een onverwachte
positie gepresenteerd, terwijl
het vliegtuig zich in het echt wÈl op de
juiste plaats bevindt. In beide gevallen
kan dit tot ernstige problemen leiden
v.w.b. de separatie met andere vliegtuigen.
• Om ADS berichten van het vliegtuig
naar de grond te zenden, dient een
zogenaamd ‘contract’ te worden overeengekomen
tussen de twee stations.
In zo’n contract (dat in feite een technisch
protocol is) wordt o.a. geregeld
hoe vaak of bij welke bijzondere parameters
(hoogte, positie) er een bericht
zal worden verzonden. De term
‘contract’ heeft niet toevallig ook een
zakelijke klank, want voor elk verzon-
Datalink in Maastricht UAC
Wat biedt datalink aan de verkeersleiding?
De initiële motivatie voor de ontwikkeling
van datalink is het vrijmaken van
tijd op de radiofrequentie. Wanneer het
druk is in een ATC-sector, is het gebruik
van radiocommunicatie inderdaad vaak
een bottleneck. De controller heeft ver-
den bericht dient een bescheiden
bedrag te worden betaald aan de data
link service provider. Voor een vlucht
in Oceanic Airspace wordt de updatefrequentie
doorgaans op 15 minuten
gezet, waardoor toch al gauw enkele
tientallen dollars naar de provider
mogen worden overgemaakt. In de
testfase was dit voor de meeste maatschappijen
geen probleem, maar
zodra er structureel gebruik gemaakt
gaat worden van ADS en er mogelijk
kortere update-frequenties noodzakelijk
worden, kan dit wel eens anders
worden. Er is reeds een discussie
gaande over wie de kosten voor ADS
moet betalen: de luchtvaartmaatschappijen
of de verkeersleidingsinstanties.
(Ter vergelijking: de updatefrequentie
voor radarbeelden is in de
grootte van 4-10 seconden). ■
Documentatie en Informatie
Manual of Air Traffic Services Data Link
Applications. ICAO Doc. 9694. ICAO,
Montreal, Canada (1999)
Human Factors Guidelines for Air
Traffic Management Systems. ICAO
Doc. 9758. ICAO, Montreal, Canada
(2000)
‘Age of Consent’. Artikel geschreven
door Kim O'Neill (Advanced Aviation
Technology Ltd, UK) in Air Traffic
Technology International 2004.
In dit artikel worden de voor- en nadelen
van de verschillende data link technologieën
uitgebreid behandeld. Het
artikel is in PDF formaat te vinden op
de HUFAG website.
Eurocontrol data link website:
www.eurocontrol.int/link2000/
Kris Vermeiren (België), Luchtverkeersleider Eurocontrol Upper Area Control Centre Maastricht.
schillende acties gepland, maar nu moet
alles ook nog eens gezegd worden.
Algemeen wordt zelfs een radiogebruik
van 40% (in tijd) aangenomen als de
grens naar overload. Als de radiofrequentie
voor meer dan deze hoeveelheid
tijd gebruikt wordt, is het te druk.
4 HUFAG | Nieuwsbrief

Het is echter niet de bedoeling dat datalink
in de toekomst spraakinstructies
geheel zou gaan vervangen. Het werken
met de stem heeft ook zijn voordelen.
De communicatie is heel direct, en er
wordt heel wat context meegegeven.
Die kan bestaan uit een verklarend
woordje, of door de toon waarop het
bericht gesproken wordt. En op een
instructie met de stem wordt onmiddellijk
door de piloot gereageerd met een
herhaling van de instructie.
Als men de huidige radiocommunicatie
met het bellen met een mobieltje zou
vergelijken, dan is een datalink bericht
duidelijk het equivalent van een SMSbericht.
Deze beide dingen hebben een
verschillend gebruik. Als ik met iemand
een afspraak voor morgenavond wil
maken, is het gebruik van een SMSbericht
heel geschikt. Wanneer ik echter
aan iemand wil vragen of ik nu kan
langs komen, dan kan ik die persoon
beter bellen.
Zo ook in de verkeersleiding. Instructies
die tijd-kritisch zijn (separatie van twee
vliegtuigen) moeten over de radio
gebeuren. Niet tijd-kritische instructies
kunnen via datalink gestuurd worden.
Voorbeelden hiervan zijn het vragen om
de code van de transponder te veranderen,
een vliegtuig naar de volgende sector
oversturen, etc. En hier kan tijd gewonnen
worden. Vooral voor de radar controller,
diegene die in radioverbinding
met de piloten is. Want hij kan deze
taken nu delegeren naar de planning
controller, die voor de komst van datalink
geen enkele verbinding met de
vliegtuigen had. Ook voor lange repetitieve
instructies zal datalink winst betekenen.
Een voorbeeld uit het luchtruim
van Maastricht UAC. Alle inbounds
Frankfurt die uit het noorden komen, en
dat zijn er nogal wat, krijgen de volgende
instructie: ‘Descend to flight level twothree-zero
to be level six-zero miles
north of Gedern’. Eén druk op de knop
voor de standaard klaring voor vluchten
naar Frankfurt neemt veel minder tijd in
beslag, en is bovendien niet zo vervelend
voor de controller die anders zoveel
keer per uur hetzelfde liedje moet zingen.
Het gebruik van datalink zorgt ook voor
meer veiligheid. In het geval van een
geblokkeerde radiofrequentie kan men
via datalink toch nog de nodige instructies
doorsturen. Later zal het ook mogelijk
zijn de route van een vliegtuig zoals
men die bij de verkeersleiding kent te
vergelijken met de route die in het Flight
Management System van het vliegtuig
zit. De verkeersleider wordt dan verwittigd
van eventuele inconsistenties tussen
beide vluchtplannen.
Nu we toch vluchtplan-informatie aan
het uitwisselen zijn, kunnen we dat ook
gebruiken voor het uitbreiden van service
verlening. Piloten kunnen hun gewenste
vluchtprofiel doorsturen naar de grond,
waar de planning verfijnd kan worden
rekening houdend met de voorkeur van
de gebruiker.
Niet te vergeten zijn de voordelen die
het downlinken van vluchtparameters
met zich meebrengt. Momenteel zien
controllers hoogtemeter-informatie op
het scherm door middel van klassieke
secundaire radarinformatie. Bijkomende
beschikbaarheid van koers- en snelheidsgegevens
uit de cockpit op het
radarscherm zou heel wat gevraag vermijden,
dus een directe controle en een
duidelijke tijdswinst opleveren.
Hoe zit dat nu in Maastricht?
Maastricht heeft heel wat ervaring met
datalink, want het UAC werd al sinds
1995 gebruikt voor de voorlopige proeven
(PETAL), waarbij een hele waaier
van datalink berichten beschikbaar was.
Sinds 18 juni 2003 is Maastricht ook officieel
datalink operationeel. De set
instructies is initieel kleiner dan bij de
PETAL proeven.
Welke boodschappen worden vandaag
uitgewisseld? Dit zijn de volgende
berichten, geïnitieerd op de grond:
• Check microphone, gebruikt in het
geval van een geblokkeerde frequentie.
• Change SSR code
• Squawk ident
• Change frequency
• Direct flight to a point
Aircrew beantwoord de gegeven
instructies ook via datalink, en kan ook
zelf directe routes aanvragen.
Geen van de bovenstaande instructies
behoeven een readback. Binnenkort
(her)introduceert Maastricht de positionele
klaringen: heading en level changes.
Ofschoon het zeker de bedoeling is dat
ook die uiteindelijk volledig via datalink
afgehandeld kunnen worden, wordt er
eerst toch een readback over de radio
van de gelinkte klaring gevraagd.
De acceptatie bij de verkeersleiders
wordt niet als vanzelfsprekend aangenomen.
Zeer recent nog werd een
enquête gehouden over het herintroduceren
van de heading en level instructies.
Tot nu toe heeft 40% van de verkeersleiders
geantwoord, wat een hoge
respons is. Daarvan verklaarde 92% dat
ze datalink gebruiken als dit beschikbaar
is met een vlucht. 86% van die positieve
antwoorders (of 79% van de gehele respons)
vermeldde ook blij te zijn met de
uitbreiding van de set instructies tot
heading en level klaringen.
Ook het gebruiksgemak wordt nog verbeterd.
Op het moment kan men zien of
een vliegtuig uitgerust is met datalink
en of het bij Maastricht ingelogd is via
het positiesymbool op de radar.
Datalink instructies zelf gebeuren via
een datalink window. Dat window op
het radarscherm is wel duidelijk en
overzichtelijk, maar het is wenselijk alle
instructies via het radar-label te kunnen
doen. Aan deze verbetering wordt
momenteel gewerkt.
Tot slot wordt ook het Flight Data
Processing System vervangen door een
geavanceerd FDPS dat in November
2007 operationeel zal zijn. Dit nieuwe
FDPS voorziet in meer ingewikkelde
datalink toepassingen zoals het uplinken
van route informatie, het vergelijken
van vliegplanversies op de grond en
in het vliegtuig, het downlinken van
gewenste vluchtprofielen etc. ■
Kris Vermeiren (België) is luchtverkeersleider
bij het Eurocontrol Upper Area
Control Centre in Maastricht. Hij behaalde
het licentiaatsdiploma psychologie
(drs. in NL; MSc. voor Engelsen) in '86
aan de Rijksuniversiteit Gent. In '88
kwam hij in dienst bij Maastricht UAC. In
1998 werd hij aangesteld als Expert
Human Factors in het CRDS in Budapest.
Na een aantal jaren keerde hij terug naar
MUAC, nu in de functie van Expert
Systems Planning and Implementation.
Dit is een afdeling van de Operations
Division, waarbinnen hij zich vooral op
de HMI concentreert en waar hij dus nog
steeds met HF issues te maken heeft.
Nr. 9 | Herfst 2004 5

Verkeersleiders en vliegers en hun rol in veiligheidsanalyses
Hans de Jong, Sybert Stroeve en Henk Blom, Nationaal Lucht- en Ruimtevaartlaboratorium
Voor effectieve ontwikkeling van complexe
luchtverkeersoperaties worden
veiligheidsanalyses steeds belangrijker.
Vanwege de cruciale rol die verkeersleiders
en vliegers spelen in de veiligheid
van zulke operaties, vormen zij een
essentieel onderwerp van zulke analyses.
Daarnaast leveren verkeersleiders
en vliegers onmisbare kennis bij de uitvoering
van de analyses. In dit artikel
worden de verschillende rollen van verkeersleiders
en vliegers in veiligheidsanalyses
besproken aan de hand van de
analyse van een kruisingsoperatie langs
de Zwanenburgbaan (18C/36C) op
luchthaven Schiphol.
Operatieontwikkeling
In deze kruisingsoperatie wordt op de
Zwanenburgbaan gestart of geland, terwijl
er ook taxiënd verkeer, onderweg
van of naar de Polderbaan (18R/36L),
langs moet. Vanwege de grote afstand
tussen de Polderbaan en het centrum
van Schiphol hebben Luchtverkeersleiding
Nederland (LVNL) en Luchthaven
Schiphol bij de operatie- en infrastructuurontwikkeling
in eerste instantie
gekeken naar kruisingen over de
Zwanenburgbaan, zodat lange taxitijden
zo veel mogelijk beperkt zouden kunnen
worden. Uit de veiligheidsanalyse voor
deze operatie kwamen potentieel
gevaarlijke situaties (hazards) naar
boven, die tot dan toe geen rol hadden
gespeeld bij de ontwikkeling van de
operatie. De identificatie van deze
hazards werd dan ook als zeer waardevol
beschouwd door de operatieontwikkelaars.
Mede naar aanleiding van deze
bevindingen is de kruisingsoperatie
daarna door de LVNL verder ontwikkeld.
In de huidige kruisingsoperatie vindt
het taxiën van en naar de Polderbaan
plaats via een zuidelijke taxibaan (figuur
1). Dit taxiën kan niet onafhankelijk
gebeuren wanneer verkeer vanuit het
zuiden op de Zwanenburgbaan landt, of
naar het zuiden start. De verkeersleider
voor de Zwanenburgbaan is verantwoordelijk
voor het veilig laten kruisen
en geeft daarvoor toestemming aan het
kruisende vliegtuig met een instructie
aan de vliegers, in combinatie met het
uitschakelen van een rode stopbar.
Figuur 1: Zwanenburgbaan (18C/36C)
met taxibaanstructuur, juni 2003
Stappen in de veiligheidsanalyse
In opdracht van LVNL heeft het NLR de
veiligheidsanalyse voor de voorgestelde
operatie uitgevoerd. Een dergelijke
analyse vindt plaats in een aantal stappen.
Binnen een groot aantal van deze
stappen wordt menselijk handelen
beschreven of geëvalueerd. De veiligheidsanalyse
voor de kruisingsoperatie
langs de Zwanenburgbaan omvatte de
volgende stappen.
• Afbakening. Welke soorten risico worden
wel en welke worden niet geëvalueerd?
• Operatiebeschrijving. Beschrijving in
voldoende detail van de voorgestelde
operatie (onder andere context, menselijke
rollen en verantwoordelijkheden,
procedures, technische systemen).
• Hazardidentificatie. Identificatie van
potentieel gevaarlijke situaties
(hazards) en hun rol in verschillende
scenarioís in de operatie.
• Conflictscenario’s. De hazards worden
gerelateerd aan conflictsoorten en
geordend met betrekking tot tijd, en
oorzaak en gevolg. De resulterende
hazardstructuren heten conflictscenario’s.
Hieraan gerelateerd wordt een risico
opgedeeld in subrisico’s, zodat efficiënte
en overzichtelijke evaluatie van het
risico mogelijk wordt.
• Argumentatiegebaseerde evaluatie.
De veiligheidsrisico’s worden geëvalueerd
op basis van een eenvoudig
rekenmodel. In dit model wordt vooral
gebruik gemaakt van interviews met
operationele experts en waar mogelijk
van statistische gegevens uit bijvoorbeeld
incidenten-databases.
• Simulatiegebaseerde evaluatie.
Potentieel veiligheidskritieke risico’s die
moeilijk met voldoende zekerheid te
evalueren zijn middels een argumentatiegebaseerde
aanpak, worden geëvalueerd
op basis van Monte Carlo simulaties
met een model van de operatie.
• Beoordeling van aannames.
Beoordeling van het effect op het risico
in de operatie van het verschil tussen
aannames gemaakt in het model
en de werkelijkheid. Hierbij worden
zowel afwijking en onzekerheid van het
risico in kaart gebracht, onder meer
middels een gevoeligheidsanalyse.
• Risicocriteria. Het risico van de operatie
en de onzekerheid hierin worden
bepaald en de voornaamste risicofactoren
worden geïdentificeerd. LVNL
vergelijkt de behaalde resultaten met
risicocriteria en beslist mede op basis
hiervan over invoeren of verder ontwikkelen
van de operatie.
Identificatie van hazards
Een voorwaarde voor een goede veiligheidsanalyse
is dat zo veel mogelijk
hazards worden geïdentificeerd.
Immers, hazards die niet worden geïdentificeerd
kunnen leiden tot een te
optimistisch beeld van de veiligheid.
Het meest bekend is de functionele aanpak
van hazardidentificatie. Met deze
6 HUFAG | Nieuwsbrief

aanpak wordt getracht alle mogelijkheden
van falen en de gevolgen daarvan
te bepalen voor iedere functie die een
rol speelt bij de operatie, inclusief de
operatortaken. Helaas kunnen met
behulp van deze aanpak niet alle aan de
operator(s) gerelateerde hazards worden
geïdentificeerd. Een belangrijke
reden hiervoor is, dat de handelingen
van een vlieger of een luchtverkeersleider
afhankelijk zijn van hun (subjectieve)
situational awareness. Vanuit het
(beperkte) perspectief van een verkeersleider
of vlieger kan een bepaalde handeling
logisch zijn, terwijl er vanuit een
totaal perspectief gezien sprake is van
een foutieve of nagelaten handeling.
Dergelijke handelingen worden vaak
aangeduid als ‘errors of commission’
(Ref. 1). Een voorbeeld in de kruisingsoperatie:
vanwege de ingewikkelde taxistructuur
denkt de vlieger ver van de
landingsbaan aan het taxiën te zijn, terwijl
hij in werkelijkheid de baankruising
oprijdt.
Een andere bekende techniek van hazardidentificatie
is de HAZOP (HAZard and
OPerability)-methode. Deze methode
houdt in, dat er in een sessie met operationele
experts hazzards worden geïdentificeerd
en geanalyseerd. Tevens
bedenken de experts tijdens de sessie
potentiële oplossingen en maatregelen
(Ref. 2). Het voordeel van HAZOP ten
opzichte van de systems engineering
aanpak is, dat ook niet-functionele
hazards boven water worden gebracht.
Bij de toepassing van HAZOP moet er
voor worden gewaakt, dat de analyseen
oplossingsactiviteiten het hazardidentificatieproces
niet verstoren, wat als
gevolg zou kunnen hebben dat bepaalde
hazards niet worden geïdentificeerd.
Men moet er ook op bedacht zijn dat
mogelijke oplossingen nieuwe hazards
met zich mee kunnen brengen.
Met de ervaring van een groot aantal
veiligheidsanalyses voor LVNL en op
basis van kennis uit andere veiligheidskritieke
industrieën, heeft het NLR een
eigen manier van hazardidentificatie
voor luchtverkeersoperaties ontwikkeld:
door middel van een pure brainstormsessie
met verkeersleiders en vliegers
(Ref 3). Tijdens zo’n sessie wordt er niet
geanalyseerd en ook niet aan oplossingen
gedacht. EUROCONTROL erkent
inmiddels ook de waarde van deze pure
brainstormmethodiek, waardoor Versie
2.0 van EUROCONTROL’s Safety
Assessment Methodology (SAM) naast
de functionele aanpak ook de pure
brainstormaanpak van het NLR zal
bevatten (Ref. 3).
Expertkennis in argumentatiegebaseerde
veiligheidsanalyse
De geïdentificeerde hazards worden
gegroepeerd tot conflictscenario’s en er
wordt bepaald in welke situaties deze
scenario’s gevolgen voor de veiligheid
kunnen hebben. Deze aanpak maakt ook
analyse van hazards gerelateerd aan
‘errors of commission’ mogelijk.
Operationele experts spelen opnieuw
een cruciale rol in de veiligheidsanalyse
bij het beantwoorden van vragen als:
• Hoe vaak komt een gegeven potentieel
gevaarlijke situatie voor? (In de kruisingsoperatie
bijvoorbeeld runwayincursions
of take-offs zonder klaring); en
• Hoe waarschijnlijk is het dat zo’n situatie
uitmondt in een incident? (Hoe groot is
bijvoorbeeld de kans dat een verkeersleider
een dreigende runway incursion
opmerkt en weet tegen te houden?).
Dergelijke vragen zijn lastig. Immers:
• Het gaat over een operatie waar nog
geen ervaring mee is;
• Een operatie bestaat uit veel elementen
die met elkaar in wisselwerking
staan, zodat de uitkomst van de operatie
als geheel moeilijk te voorspellen
valt; en
• Gevaarlijke situaties komen zelden
voor zodat er weinig ervaring mee is.
Operationele experts kunnen daarom
meestal geen precieze getallen geven.
Ze geven inschattingen aan de hand van
hoe vaak ze iets in hun loopbaan hebben
meegemaakt (vliegers) of hun ervaring
met het tijdig opmerken en corrigeren
van conflicten (verkeersleiders).
Verschillende experts zullen verschillende
inschattingen geven. De vraag is hoe je
antwoorden van verschillende experts
het best kunt combineren; de ene expert
zal waarschijnlijk betere schattingen
leveren dan de andere, en sommige
experts zullen misschien te optimistisch
zijn en anderen juist niet.
In recent onderzoek (Ref. 4) wordt een
aanpak gegeven voor het gebruik van
expert-oordelen. Centraal in die aanpak
is het ‘ijken’ van de operationele experts
met vragen waarop het antwoord
bekend is, bijvoorbeeld uit statistieken.
Op deze manier kan rekening worden
gehouden met experts die systematisch
te hoog of te laag schatten en kan aan
experts die doorgaans redelijk in de
buurt zitten een groter gewicht worden
toegekend dan aan experts die soms
veel te hoog of veel te laag schatten.
Deze aanpak levert betere schattingen
met onderbouwde onzekerheidsmarges.
Simulatiegebaseerde veiligheidsanalyse
Zoals hierboven al werd opgemerkt
bestaat een operatie uit veel elementen
die met elkaar in wisselwerking staan. In
zulke gevallen wordt gebruik gemaakt
van een wiskundig model van de luchtverkeersoperatie
en worden risico’s met
simulaties geëvalueerd. Dit wiskundige
model representeert een groot aantal
aspecten van de operatie, waaronder
vliegtuigbewegingen, technische systemen,
relevante procedures, alsmede
activiteiten van vliegers en luchtverkeersleiders.
Hierbij worden zowel
nominale als niet-nominale situaties
weergegeven, waarbij voor de laatstgenoemde
categorie gebruik gemaakt
wordt van kennis uit de hazardbrainstorm.
Het wiskundige model is dynamisch
en stochastisch, dat wil zeggen,
het beschrijft de ontwikkeling van de
operatie in de tijd en incorporeert allerlei
toevallige variaties middels kansprocessen.
Beschouw als voorbeeld de analyse van
de kans op een botsing tussen een
vliegtuig dat vertrekt van een startbaan
terwijl er een taxiënd vliegtuig naar de
baan beweegt (bijvoorbeeld als gevolg
van het inslaan van een verkeerde taxibaan).
In het model voor deze analyse
voert de torenverkeersleider een aantal
taken uit. Als gevolg hiervan kan hij
binnen een bepaalde tijd het conflict
detecteren. In dat geval zal hij veelal de
betreffende vliegers instrueren na een
tijd die onder andere afhangt van de
communicatiesystemen. In reactie op
een dergelijke instructie zullen de vliegers
trachten een mogelijk ongeluk te
voorkomen, bijvoorbeeld door te remmen.
In aanvulling op conflictdetectie
via de verkeersleider observeren de
vliegers ook zelf de verkeersituatie en
kunnen ze aldus het conflict herkennen
en hierop reageren. Deze processen van
de luchtverkeersleiders en vliegers worden
parallel uitgevoerd en hangen af
van de actuele verkeerssituatie en de
toestand van relevante technische
systemen in het model. De Monte Carlo
simulaties op basis van dit model geven
aldus informatie over de botsingskans.
Simulatie van activiteiten van vliegers
en luchtverkeersleiders
De activiteiten van een vlieger of lucht-
Nr. 9 | Herfst 2004 7

verkeersleider die passen bij een
bepaald verkeersbeeld in de simulaties
zijn gebaseerd op een analyse van de
taken van de operator, een clustering
van taken voor het model, en een identificatie
van prioriteiten en mogelijkheden
tot gelijktijdig afwerken van taakclusters
(Ref. 5). Voorbeelden van taakclusters
voor een luchtverkeersleider zijn:
• Monitoring: observatie van de verkeerssituatie;
• Communication: communicatie van
een klaring; en
• Co-ordination: coördinatie met andere
luchtverkeersleiders.
In het model worden aspecten weergegeven
als: condities om een activiteit te
beginnen, duur van activiteiten, de
effecten ervan, en de afhankelijkheid
van werkdruk en verkeerssituatie.
Bij de simulatiegebaseerde veiligheidsanalyse
wordt dit probleem aangepakt
door representatie in de simulaties van
gewaarwording van de verkeerssituatie
en hieraan gerelateerde technische
systemen, operators en hun interactie.
Deze gewaarwording omvat waarneming
en interpretatie van de huidige en toekomstige
verkeerssituatie en hieraan
gerelateerde aspecten. Als gevolg van
de interactie tussen de diverse operators
en technische systemen in de simulaties,
via processen zoals observatie en communicatie,
kunnen er inconsistenties
ontstaan tussen de verkeersbeelden van
de operators en technische systemen.
Deze inconsistenties zijn typische voorbeelden
van veroorzakers van errors of
commission, aangezien elke operator
en elk technisch systeem handelt volgens
zijn eigen verkeersbeeld.
Expertkennis in simulatiegebaseerde
veiligheidsanalyse
Een model is een vereenvoudigde weergave
van de werkelijkheid. Tijdens de
modelontwikkeling zijn aannames
geformuleerd. Onderdeel van de veiligheidsanalyse
is een beoordeling van de
onzekerheid en mogelijke afwijkingen in
het werkelijke risico als gevolg van deze
aannames.
Bij een eerste analyse van het mogelijk
effect van de aannames voor het risico
in de kruisingsoperatie, bleek dat een
groot deel van de aannames die een
meer dan verwaarloosbaar effect zouden
kunnen hebben, gerelateerd is aan taakafhandeling,
conflictherkenning en conflictreactie
van vliegers en verkeersleiders.
Bij de beoordeling van de aannames
is gebruik gemaakt van gestructu-
reerde interviews met vliegers en torenverkeersleiders.
De vragen behandelden
bijvoorbeeld de duur van afhandeling
van taken, reactietijden, de grootte
van gezichtshoeken en de effecten van
botsingvoorkomende acties. Op basis
van de antwoorden van de operationele
experts, statistische gegevens en additionele
Monte Carlo simulaties is een
evaluatie gegeven van het verwachte
ongevalrisico en de onzekerheid hierin.
Terugkoppeling naar de operatieontwikkeling
Is de uitkomst van een veiligheidsanalyse
dat er niet-verwaarloosbare risico’s aan
de operatie verbonden zijn dan hebben
de ontwikkelaars van de operatie
behoefte aan aanknopingspunten voor
het veiliger maken van de operatie. De
ervaring heeft geleerd dat ook voor het
effectief mitigeren van veiligheidskritieke
punten de inbreng van verkeersleiders
en vliegers onontbeerlijk is.
Conclusie
In dit artikel is een systematische aanpak
beschreven voor het uitvoeren van
veiligheidsanalyses voor luchtverkeersoperaties.
Daarbij is met name uitgelegd
dat verkeersleiders en vliegers per
stap in de veiligheidsanalyse een duidelijk
te onderscheiden rol hebben.
• Identificatie van niet-functionele
hazards;
• Inbreng van expertkennis bij argumentatiegebaseerde
aanpak;
• Inbreng van expertkennis t.b.v. het
simulatiemodel;
• Beoordeling van simulatiemodelaannames;
en
• Identificatie van potentiële hazardmitigerende
maatregelen. ■
Referenties
1. Sträter O, Dang V, Kaufer B, Daniels A
(2004). On the way to assess errors of
commission. Reliability Engineering
and System Safety 83:129-138
2. Kirwan B, Ainsworth LK (1992). A
guide to task analysis, edited by B.
Kirwan and L.K. Ainsworth, Taylor and
Francis, 1992
3. De Jong HH (2004). Guidelines for the
identification of hazards; How to
make unimaginable hazards imaginable?
NLR Contract report voor EURO-
CONTROL, NLR-CR-2004-094, March
2004
4. Cooke RM, Goossens LJH (2000).
Procedure guide for structured expert
judgement. Project report for EUR-
Colofon
De HUFAG Nieuwsbrief wordt uitgegeven
door de Stichting Human
Factors Advisory Group en verschijnt
in een oplage van 750 exemplaren.
De HUFAG Nieuwsbrief wordt gratis
toegezonden aan belangstellenden.
Alle informatie uit deze uitgave
mag worden overgenomen mits
volledig en met bronvermelding.
Aan dit nummer werkten mee:
Bert Ruitenberg, Kris Vermeiren,
Hans de Jong, Sybert Stroeve en
Henk Blom.
Eindredactie: André Droog
Meningen en opvattingen in gesigneerde
artikelen van niet HUFAGleden
worden niet noodzakelijk
gedeeld door de Stichting HUFAG.
Het bestuur van de Stichting
HUFAG bestaat uit:
Jurgen van Avermaete (voorzitter),
Hans Sypkens (vice-voorzitter),
André Droog (secretaris),
Lilian Biber-Klever (penningmeester),
Robert van Gelder, Hans Huisman,
Simone Oudakker, Wouter Kunz,
Rommert Soetendal en Klaas Zwart.
ATOM, European Commission EUR
18820 EN
5. Daams J, Blom HAP, Nijhuis HB
(2000). Modelling Human Reliability
in Air Traffic Management. Proc. of
Fifth Probabilistic Safety Assessment
and Management Conference, Osaka,
Japan, Nov 27 - Dec 1, 2000: 1193-1198
6. Blom HAP, Stroeve SH, Everdij MHC,
Van der Park MNJ (2003). Human cognition
performance model to evaluate
safe spacing in air traffic. Human
Factors and Aerospace Safety 3(1): 59-
82
7. Stroeve SH, Blom HAP, Van der Park
MNJ (2003). Multi-agent situation
awareness error evolution in accident
risk modelling. Proc. 5th USA/Europe
ATM R&D Seminar, Budapest,
Hungary, 23-27 June 2003
8. Everdij MHC and Blom HAP (2002),
Bias and uncertainty in accident risk
assessment, Report TR-2002-137, NLR,
A’dam, 2002
8 HUFAG | Nieuwsbrief