Der er i enhver alvorlig sikkerhedssag et punkt, hvor to fortællinger støder frontalt mod hinanden. Det er det punkt, der afgør alt det efterfølgende: de interne magtkampe, de offentlige forklaringer, Trafikstyrelsens konklusioner, pressens dækning, de parlamentariske samrådssvar. Det punkt er det øjeblik, hvor to parter ser det samme fysiske problem — og ser det fundamentalt forskelligt.
I banelyssagen i Københavns Lufthavn er dette punkt identificerbart med millimeterpræcision. Det opstod i en weekend i september 2019, da en tekniker fra lufthavnens driftsafdeling fik besked om at stramme boltene på de banelysarmaturer, der gentagne gange havde løsrevet sig fra banebelægningen og kastet metalfragmenter ud på aktive start- og landingsbaner.
Den tekniker udførte opgaven. Ledelsen noterede: problemet er håndteret. Risikoen er under kontrol. Og det er fra dette øjeblik — denne konkrete, fysiske, dokumenterede handling — at de to versioner af virkeligheden divergerer.
Uenigheden handler ikke om fortolkning. Den handler om, hvem der forstår, hvad der teknisk set er galt — og hvem der kun ser symptomerne.
Det der skete i weekenden — og det der skete bagefter
Kronologien er vigtig for at forstå, hvad der teknisk og processuelle stod på spil.
I løbet af 2018 og ind i 2019 registrerede Københavns Lufthavn gentagne FOD-hændelser — Foreign Object Debris — på banearealerne. Metalfragmenter fra lufthavnens egne banebelysningsarmaturer løsrev sig og havnede på aktive start- og landingsbaner. Hændelserne blev indberettet. Ingen af de indledende tiltag løste problemet. Det fortsatte i 15 måneder.
I en weekend i september 2019 eskalerede situationen. Det var nu uomtvisteligt, at situationen krævede handling. Lufthavnens driftsorganisation reagerede med den løsning, der teknisk set lå for hånden: man sendte en medarbejder ud for at stramme boltene på de armaturer, der var løsnede. Tanken var forståelig i sin enkelhed — hvis en bolt er løs, stram den. Det er intuitiv vedligeholdelsestænkning.
Det var på baggrund af denne handling — og den efterfølgende Task Force-aftale om at efterspænde de mest kritiske armaturer — at lufthavnens ledelse gik ind til mødet den 16. september 2019 med det synspunkt, at risikoen nu var håndteret. Boltene var strammet. Protokollerne var fulgt. En plan var på plads. Risikoen var ikke længere i kategori A.
Det var det synspunkt, hændelsesudrederne afviste. Ikke som en vurderingsforskel. Som en faktuel ingeniørteknisk fejltagelse.
Rodårsagen: Hvad boltene faktisk fortalte
For at forstå, hvorfor efterspænding af bolte ikke var løsningen — og i realiteten kan have forøget risikoen — er det nødvendigt at forstå, hvad hændelsesudredningen identificerede som den faktiske årsag til, at armaturerne løsnede sig i første omgang.
Svaret er ikke, at boltene var for løse. Svaret er det modsatte: boltene var i årevis blevet systematisk overspændt — strammet med en kraft, der langt oversteg de tolerancer, konstruktionen var dimensioneret til. Og dette var sket af medarbejdere uden specialiseret uddannelse i de pågældende armaturer, uden kendskab til de korrekte momentværdier, og uden systematisk kvalitetskontrol af udførelsen.
Effekten af gentagen overspænding på et boltforbindelses-system er veldokumenteret i materialevidenskaben og i industriel vedligeholdelsesteknik. En bolt, der igennem mange år gentagne gange er strammed ud over sit elastiske deformationsområde, gennemgår en gradvis nedbrydning af sin strukturelle integritet. Boltens gevind eroderes. Flangerne i monteringsbeslaget mikro-revner. De forudspændte fjederkræfter, der normalt holder systemet stabilt, forsvinder. Materialet pulveriseres fra indersiden — uden at det nødvendigvis er synligt udefra.
Resultatet er et system, der tilsyneladende ser intakt ud — og som endda kan strammes yderligere — men som i realiteten er strukturelt kompromitteret på et niveau, der ikke kan genoprettes ved simpel efterspænding. Tværtimod: en bolt, der allerede er på sammenbruddets rand, kan under ny spænding knække eller uddrage sit gevind fuldstændigt. Efterspænding er i en sådanne situation ikke en sikkerhedsforanstaltning. Det er en potentiel trigger for det sammenbrud, man forsøger at forhindre.
To verdensopfattelser — og hvad der adskiller dem
For at gøre den fundamentale forskel i perspektiv tydelig er det værd at stille de to synspunkter direkte op mod hinanden — ikke som et udtryk for god vilje over for begge sider, men fordi kontrasten i sig selv er den bedste illustration af, hvad der gik galt:
Den afgørende pointe er denne: ledelsens opfattelse er ikke udtryk for ond vilje. Den er udtryk for manglende kompetencer og teknisk forståelse af, hvad der faktisk var galt. Det er ikke en anklage. Det er en præcis beskrivelse af en situation, der i luftfartssikkerhedens terminologi betegnes som en fejl i rodårsagsanalysen — en situation, hvor man behandler symptomerne og tror, at man har behandlet årsagen.
I ICAO's og EASA's Human Factors-metodologi er dette mønster veldokumenteret under begrebet first-story fix versus second-story fix. Den første fortælling om et sikkerhedsproblem er altid enkel: noget gik løs, vi strammede det. Den anden fortælling — den, der kræver systematisk undersøgelse — er, at noget gik løs, fordi systemet er strukturelt kompromitteret af en praksis, der har stået ukorrigeret i årevis. Den første fortælling er nem at handle på. Den anden kræver, at man anerkender et systemisk problem — og det er ubehageligt.
Ingen uddannelse. Intet system. Intet tilsyn.
Den tredje dimension af dette tekniske spørgsmål er den, der i sin konsekvens rækker langt ud over det konkrete armatur: hvem udførte vedligeholdelsen af banebelysningsarmaturerne i Københavns Lufthavn i de år, der gik forud for hændelserne?
Svaret er: teknisk personale, der ikke var uddannet specifikt i de pågældende armaturer, ikke kendte de korrekte momentspecifikationer, og som arbejdede uden et systematisk kvalitetssikringssystem, der ville have opdaget det gradvise mønster af overspænding og materialeudmattelse.
Det er ikke en tilfældig konklusion. Det er en konklusion, der følger direkte af det dokumenterede fund: at boltene var overspændte. Korrekt udført vedligehold efter producentens specifikationer ville have produceret bolte, der var strammet til det korrekte moment. Det, hændelsesudredningen fandt, var bolte, der bar tegn på systematisk og gentagen overspænding — over år, ikke måneder.
Det stiller et spørgsmål, der endnu ikke er besvaret offentligt: Hvad siger lufthavnens egne vedligeholdelses- og træningsregistre? Er der dokumentation for, at det tekniske personale, der arbejdede med banebelysningsarmaturerne, var certificeret og uddannet til opgaven? Er der vedligeholdelseslogbøger, der dokumenterer, med hvilke momentværdier arbejdet er udført? Og hvad siger disse logbøger om de år, der gik forud for 2018?
Hvorfor dette ikke kan afgøres i en Task Force på to timer
Det er vigtigt at forstå, hvorfor dette tekniske spørgsmål ikke kunne — og ikke kan — afgøres i et møde, hvis formål ifølge lufthavnens egne dokumenter var at "sikre vished for at flyvepladsen stadig kan opereres sikkert".
For at besvare spørgsmålet om, hvad der var rodårsagen til, at armaturerne løsnede sig, kræves der en systematisk teknisk undersøgelse: materialeteknisk analyse af de defekte armaturer og bolte, gennemgang af vedligeholdelseshistorik og træningsdokumentation, identifikation af de specifikke momentværdier, der er anvendt, og en sammenligning med producentens specifikationer. Det er ikke en opgave, der løses i en Task Force bestående af driftschefer, brandmestre og Safety Managers — dygtige og dedikerede fagfolk de end må være — i løbet af et møde. Det er en opgave for tekniske specialister med adgang til det fulde dokumentationsgrundlag.
Denne analyse blev aldrig foretaget. Og det er præcis dette fravær — fraværet af en egentlig rodårsagsanalyse — der adskiller ledelsens tilgang fra hændelsesudredningens. Ledelsen behandlede det, de kunne se: løse bolte. Hændelsesudrederne stillede spørgsmålet: hvorfor var boltene løse? Det er det spørgsmål, der driver den systematiske undersøgelse. Og det er det spørgsmål, der aldrig fik et fyldestgørende svar inden lufthavnen genoptog normal drift.
En rodårsagsanalyse er ikke valgfri i et Safety Management System. Den er grundlaget for enhver korrekt risikovurdering. Uden den ved man ikke, hvad man styrer. Man tror det bare.
Hvad bevises med brevet fra Task Force-deltagerne
Det mest afgørende dokument i denne sammenhæng er ikke hændelsesudredernes analyse. Det er den kommunikation, som Task Force-mødets egne deltagere — de, der efterfølgende er taget til indtægt for at have godtgjort, at risikoen var reduceret — selv efterlod skriftligt til hinanden i dagene efter mødet.
Af disse dokumenter fremgår det med al tydelighed:
"Ingen havde kunnet give garanti for, at lysarmaturer ikke ville kunne gå løs inden for de kommende døgn, og at risikoen fortsat ville være meget høj i en ikke nærmere fastsat periode."
Dette er ikke hændelsesudredernes formulering. Det er mødedeltagernes egne ord — skrevet til hinanden i intern korrespondance, i dagene efter det møde, der officielt afsluttede kategori A-risikoen. Det er den stærkeste tænkelige dokumentation for, at Task Force-løsningen aldrig var en løsning. Det var et ønske om, at problemet var løst — og en accept af driften trods viden om, at det ikke var det.
For at sætte det teknisk: et møde kan ikke forandre en bolts strukturelle tilstand. En beslutning om at anse risikoen for reduceret forandrer ikke de metallurgiske fakta i forbindelseselementerne. Og de mennesker, der var til stede i rummet den 16. september 2019, vidste det. De skrev det ned.
Trafikstyrelsens fejl: At acceptere en diagnose uden at verificere den
Det er i lyset af dette tekniske grundlag, at Trafikstyrelsens håndtering af sagen fremtræder som særlig problematisk.
Trafikstyrelsen modtog CPH's fremstilling: der var opstået FOD-hændelser, en task force havde vurderet risikoen, boltene var strammet, en 31-punktshandleplan var iværksat, og risikoen var ikke længere i kategori A. Trafikstyrelsen accepterede denne fremstilling som grundlag for sin konklusion.
Trafikstyrelsen interviewede aldrig hændelsesudrederne. Trafikstyrelsen bad aldrig om den tekniske dokumentation for rodårsagsanalysen — fordi ingen egentlig rodårsagsanalyse var foretaget. Trafikstyrelsen stillede ikke spørgsmålet, der burde have stået øverst på enhver tilsynsmyndigheds liste: på hvilket grundlag konkluderede lufthavnen, at efterspænding af bolte reducerede risikoen, når ingen undersøgelse af, hvad der forårsagede løsningen i første omgang, var gennemført?
Den tilsynsansvarlige inspektør — en person med baggrund i statskundskab, ikke i luftfartens ingeniørvidenskab eller operationelle praksis — var ikke udstyret til at stille dette spørgsmål. Det er ikke en personlig kritik. Det er en strukturel iagttagelse: tilsynsfunktionen kræver den faglige baggrund, der gør det muligt at genkende forskellen på en symptombehandling og en rodårsagsanalyse. Uden den baggrund er tilsynet reduceret til at godkende den dokumentation, operatøren præsenterer.
Det er, hvad der skete.
Planen der ikke engang blev fulgt
Der er endnu et lag i denne sag, der er nødvendigt at fremhæve: selv den plan, som Task Force-mødet vedtog — efterspænding af de mest kritiske armaturer — blev ikke overholdt.
To dage efter mødet konstaterede Safety Manager selv, at foranstaltningerne ikke var udført som aftalt. Det er dokumenteret. Og det betyder, at lufthavnen befandt sig i en situation, der var tre gange problematisk på én gang: rodårsagsanalysen var ikke foretaget. Løsningen var teknisk fejlbehæftet. Og løsningen var ikke engang implementeret.
Alligevel opererede lufthavnen videre. Alligevel accepterede Trafikstyrelsen fremstillingen om, at risikoen var under kontrol. Og alligevel er ingen af disse tre kendsgerninger nogensinde blevet behandlet offentligt som det, de er: dokumentation for, at lufthavnens certifieringsbetingelser ikke var opfyldt i den periode, 80.000 daglige passagerer brugte den.
Hvorfor dette er sagens epistemiske kerne
Det tekniske spørgsmål om boltenes tilstand er ikke en detalje i en større sag. Det er sagens epistemiske kerne — det punkt, hvorfra alt andet forgrener sig.
Hvis ledelsens diagnose er korrekt — hvis boltene blot var løse og efterspænding var den korrekte løsning — er der grundlag for at hævde, at risikoen var reduceret, og at beslutningen om fortsat drift var forsvarlig. Den fortælling er konsekvent og kohærent. Den er forkert, men den er intern logisk.
Hvis hændelsesudredningens analyse er korrekt — hvis boltene var strukturelt defekte af systematisk overspænding, og efterspænding var kontraproduktivt — er der ikke grundlag for noget som helst af det, der fulgte. Ikke for Task Force-konklusionen. Ikke for Trafikstyrelsens godkendelse af fremstillingen. Ikke for pressemeddelelansen fra december 2021, der indirekte præsenterede EASA's compliance-gennemgang som en sikkerhedsgodkendelse. Og slet ikke for den fortælling, der i fire år er blevet gentaget til Folketing, presse og offentlighed: at problemet var håndteret korrekt.
To fortællinger. To verdensopfattelser. Kun én af dem er teknisk mulig.
Og den eneste måde at afgøre det på er at foretage den analyse, der aldrig blev foretaget i september 2019: en systematisk, uafhængig, dokumenteret teknisk undersøgelse af rodårsagen til, at banelysarmaturerne i Københavns Lufthavn løsnede sig i 15 måneder — og hvad det faktisk krævede at rette det.
Det er det spørgsmål, fire år med samråd, pressemeddelelser og klassificerede EU-rapporter ikke har besvaret. Det er det spørgsmål, der fortsat venter.
Tekniske referencer og metodologi
Hændelsesudredning AIR 191220-010 — Løse Armaturer EKCH (Københavns Lufthavne A/S, 2019, fortrolig). EU-forordning 139/2014, ADR.OR.D.017: Krav om systematisk rodårsagsanalyse i Safety Management Systems. ICAO Doc 9859 — Safety Management Manual, 4th ed. (2018), kapitel om reaktiv sikkerhedsanalyse og rodårsagsmetodik. EASA AMC/GM til ADR.OR.D — vejledning om SMS-implementering i lufthavne. Materialemekanisk grundlag: Se faglig litteratur om bolt-fatigue, hydrogen embrittlement og preload relaxation under cyclisk belastning. ASM International: Fatigue and Fracture, Volume 19, ASM Handbook (1996). Vedligeholdelsesteknik og torque specifications: Producentdokumentation for det pågældende armaturtype er endnu ikke offentliggjort og er et oplagt emne for aktindsigt.\n\nRobert Strauss er uddannet i sikkerhedsledelse i luftfartsorganisationer (City University London) og har 15 års erfaring med flyvesikkerhed i Naviair og Københavns Lufthavn. Han er ledende hændelsesudreder og primær forfatter på hændelsesudredning AIR 191220-010. Kontakt og øvrige artikler i serien: www.aviationsafetymanager.com