Det samme sammenbrud. Igen og igen og igen.

Af Robert Strauss, aviationsafetymanager.com

"En ulykke der er overstået, er overstået. Det, der bekymrer mig, er det mønster, den afslører — fordi mønsteret ikke forsvinder af sig selv. Det kræver, at nogen ser det. Og handler på det." — Columbia Accident Investigation Board, 2003

Der er en sætning, der gentages med foruroligende regelmæssighed i efterskrifterne til de store luftfartskatastrofer. Den formuleres på engelsk, spansk, italiensk, dansk. Den formuleres af ingeniører og kommissionsmedlemmer, af uafhængige granskere og overlevende vidner. Og den lyder altid i sin kerne det samme:

Vi vidste det. Vi sagde det. Ingen lyttede.

Det er ikke en sætning om teknologi. Det er ikke en sætning om vejrforhold, materialesvigt eller piloteringsevner. Det er en sætning om organisationer — om de menneskelige og institutionelle mekanismer, der i en lang række af historiens mest undersøgte luftfartsulykker viste sig at være langt mere afgørende for udfaldet end den umiddelbare tekniske årsag.

Denne artikel handler om det mønster. Det mønster, der ligner sig selv på tværs af årtier, kontinenter og brancher. Det mønster, som vi — som hændelsesudredere i Københavns Lufthavn — genkendte slide for slide, mens vi arbejdede os igennem materialet om banelyssagen. Og det mønster, som fire år efter stadig eksisterer — i uændret form — i den institution, der formelt er sat til at forhindre det.

Begrebet der forklarer det hele: Normaliseringen af afvigelsen

I 1996 udgav den amerikanske sociolog Diane Vaughan et 575 sider langt videnskabeligt studie af Challengerkatastrofen. Det var ikke primært en teknisk analyse. Det var en sociologisk undersøgelse af, hvordan NASA som organisation var nået frem til den beslutning at affyre rumfærgen den 28. januar 1986, på trods af at ingeniørerne fra Thiokol, der havde konstrueret de kritiske O-ringe i boosterraketten, eksplicit og insisterende advarede mod et opskydsningsforsøg i kulde.

Vaughans konklusion var ikke, at NASA var fuld af inkompetente mennesker. Den var tværtimod, at NASA var fuld af kompetente, dedikerede, intelligente mennesker — og at det alligevel skete. Fordi det er muligt for en hel organisation at lære sig at acceptere det, der i starten var en afvigelse fra normen, som en ny norm. Fordi risici, der ikke øjeblikkeligt materialiserer sig i katastrofer, gradvist opfattes som acceptable. Fordi den kumulative virkning af mange små tilpasninger til det farlige kan gøre det farlige usynligt.

Hun kaldte det normalization of deviance. Normaliseringen af afvigelsen.

Det begreb er siden blevet kernen i international luftfartssikkerhedsforskning og i ICAO's og EASA's Human Factors-metodologi. Det er et begreb, der i dag er standard i enhver seriøs uddannelse inden for flyvesikkerhed. Og det er et begreb, der med præcision beskriver, hvad vi dokumenterede i Københavns Lufthavn — og hvad vi dokumenterede, at Trafikstyrelsen aldrig forstod, da de vurderede sagen.

Fageksperterne der ikke måtte tale

I alle de store katastrofesager er der én figur, der med eftertidens øjne fremtræder tragisk: eksperten, der vidste det, sagde det — og ikke blev hørt. Ikke fordi vedkommende var forkert. Men fordi organisationens hierarki, kultur og interesser på det givne tidspunkt prioriterede budskabets inconvenience over dets sandhedsværdi.

Det er ikke et spørgsmål om ondskab. Det er et spørgsmål om, hvad der sker, når en organisations interne logik — kommercielt pres, tidspres, hierarkisk respekt, konsensuskultur — systematisk marginaliserer den stemme, der siger, at noget er galt.

Det er det mest foruroligende element i Columbia-rapporten. Ikke at ulykken skete — men at de samme organisatoriske årsager, der var kortlagt i 1986 efter Challenger, eksisterede i fuld uformindsket styrke i 2003. En organisation kan gennemgå undersøgelse, reformprogrammer og ledelsesudskiftning — og alligevel bevare sin dysfunktionelle kernekultur intakt. Fordi kulturen ikke sidder i procedurerne. Den sidder i de implicitte regler for, hvad man siger, til hvem, og hvornår.

Boeing 737 MAX: Når regulatoren holder hånden over virksomheden

Den 29. oktober 2018 styrtede Lion Air flight 610 ned i Javasøen 13 minutter efter start. 189 mennesker omkom. Fem måneder senere, den 10. marts 2019, styrtede Ethiopian Airlines flight 302 ned seks minutter efter start. 157 mennesker omkom. Begge fly var Boeing 737 MAX. Begge styrt skyldtes det samme: et automatisk stabiliseringssystem kaldet MCAS, der aktiverede baseret på input fra en enkelt sensor — og som piloterne ikke var tilstrækkeligt uddannet til at håndtere, fordi Boeing og FAA i fællesskab havde besluttet, at uddannelseskravet ville gøre flytypen kommercielt uattraktivt.

Det, der siden kom frem i undersøgelserne af Boeing 737 MAX-sagerne, er en af de mest detaljerede anatomier af institutionel moralsk degeneration, der nogensinde er offentliggjort om en luftfartsvirksomhed. Interne mails fra Boeings ingeniører dokumenterede en kultur, der minder om alt, vi har set i de foregående sager — og tilføjer en dimension, der er direkte relevant for den danske sag: den kompromitterede regulator.

"Denne flyvemaskine er designet af klovne, som igen er overvåget af aber." — Intern Boeing-mail, offentliggjort under kongresshøring, 2020

Det er en provokerende formulering. Men den er ikke udtryk for generel utilfredshed. Den er udtryk for en konkret og dokumenteret frustration hos Boeings egne ingeniører over, at et system med kendte fejl var på vej til certificering under et pres, der ikke handlede om sikkerhed, men om tid og penge.

Det, der gør Boeing 737 MAX-sagen særlig relevant i denne sammenhæng, er ikke primært Boeings adfærd — problematisk som den er. Det er FAA's adfærd. Den amerikanske luftfartsmyndighed havde i årevis gradvist overdraget centrale elementer af sin certificeringsopgave til Boeing selv, under et program kaldet ODA — Organization Designation Authorization. I praksis betød det, at Boeing i vid udstrækning certificerede sine egne fly. At FAA's tilsyn var reduceret til at validere Boeings egne konklusioner. At den organisation, der skulle holde producenten ansvarlig, var strukturelt afhængig af producentens samarbejde for overhovedet at kunne udføre sit arbejde.

Det er regulatory capture i sin reneste form: tilsynsmyndigheden er ikke længere en uafhængig part. Den er en partner. Og partnerskabet er blevet institutionaliseret over så lang tid, at ingen i systemet længere kan se, at noget er galt.

Den fælles front: Når regulatoren og den regulerede deler interesser

Der er et begreb i reguleringsteorien, der beskriver det, der sker, når en tilsynsmyndighed mister sin uafhængighed af den organisation, den er sat til at overvåge. Det hedder regulatory capture. Det er et begreb, der som regel anvendes om gradvise processer — år og årtier, hvori den institutionelle grænse mellem regulator og reguleret udviskes langsomt, som et kystlinje under erosion.

I den danske sag er denne proces dokumenteret — ikke som teori, men som konkret, beskrevet adfærd.

Trafikstyrelsen er en statslig tilsynsmyndighed. Dens formål er at sikre, at Københavns Lufthavn overholder gældende lovgivning. Dens legitimitet afhænger fuldstændigt af, at den er uafhængig — at den stiller de kritiske spørgsmål, efterprøver de fremsatte påstande, og om nødvendigt tager afstand fra den parts fremstilling, der har et kommercielt incitament til at fortælle en bestemt historie.

Trafikstyrelsen og Københavns Lufthavn burde ikke have noget til fælles. Den ene er statens forlængede arm. Den anden er en kommerciel virksomhed, hvis interesser i en sikkerhedssag næsten per definition divergerer fra myndighedens. De er ikke partnere. De er modparter i et regulatorisk system, der kun fungerer, når denne spænding holdes intakt.

Og alligevel er de fælles i en modstand mod vores afsløringer.

En myndighed og en privat virksomhed, der er fælles om at modstå en sikkerhedsmæssig undersøgelse af den samme virksomheds adfærd — det er ikke en administrativ uregelmæssighed. Det er ophøret af regulatorisk funktion.

Den dokumenterede adfærd er specifik. Trafikstyrelsen interviewede aldrig hændelsesudrederne — de eneste, der havde en kontrainterpretation af Task Force-mødet og ledelsens dispositioner. Trafikstyrelsen roste en rapport og valgte at stole på den parts udlægning af rapporten, som rapporten kritiserede. Trafikstyrelsen accepterede, at en fortrolig sikkerhedsundersøgelse blev delt med et eksternt PR-bureau — og konkluderede, at dette var i orden. Trafikstyrelsen besvarede Politikens direkte spørgsmål med en formulering, der aktivt skjulte det EASA-brev, der ville have givet det korrekte svar.

Hvert enkelt af disse valg kan måske forklares isoleret. Tilsammen tegner de et billede af en tilsynsmyndighed, der systematisk prioriterede at dække over et problem frem for at kortlægge det.

Anatomien af et sammenbrud: De syv faser

Når man sammenstiller de sager, der er analyseret i denne artikel, tegner der sig syv faser i et mønster, der er bemærkelsesværdigt stabilt på tværs af tid, geografi og industri:

Hvorfor ingenting ændrer sig: Kulturens immunsystem

Den mest foruroligende indsigt fra Columbia Accident Investigation Board er ikke, at Challenger skete. Det er, at Columbia skete bagefter — med identiske organisatoriske årsager. Rapporten brugte begrebet organisationens immunsystem til at beskrive det fænomen, der gør institutionel kultur så modstandsdygtig over for forandring: den evne, en organisation har til at absorbere kritik, reformprogrammer og ledelsesudskiftninger — og på den anden side udskyde dem i en form, der ligner forandring, men i realiteten bevarer de dysfunktionelle kernestrukturer intakt.

Det er mekanismen bag det spørgsmål, der i den danske sag trænger sig på med stadig større kraft: Hvorfor er ingenting ændret i de fire år, der er gået siden banelyssagen?

EASA udstedte i december 2021 tretten alvorlige fund mod det danske luftfartstilsyn. Ti af dem i den højeste sikkerhedskritiske klasse. Trafikstyrelsens eneste fuldt kvalificerede ADR-inspektør er stadig den samme person — med samme baggrund og samme ansvarsomfang over 142 lufthavne i kongeriget. Intet tyder på, at der er sket grundlæggende ændringer i den tilsynskultur, der producerede sagen. Og den person i lufthavnens ledelse, der bar det formelle Accountable Manager-ansvar i den periode, sagen dækker, har siden fundet en videreførelse — ikke en konsekvens.

Det sker ikke, fordi nogen aktivt ønsker det. Det sker, fordi kulturens immunsystem er stærkere end de formelle reaktioner. Fordi det er lettere at formulere en handlingsplan end at implementere den. Fordi organisationer, der er under pres, tilfredsstiller regulatorer med dokumentation frem for med reel forandring. Og fordi den regulator, der skulle verificere forandringen, ikke har kapacitet, kompetence eller — som det fremgår af denne sag — den nødvendige uafhængighed til at skelne det ene fra det andet.

I Columbia-rapporten hedder det: "Vi er bekymrede for, at NASA vil fejlfortolke denne rapport som et krav om yderligere procedurer og checklister. Det er ikke det, vi anbefaler. Kulturen kan ikke repareres med procedurer. Den kræver lederskab." Rapporten blev skrevet i 2003. I 2024 var NASA igen genstand for sikkerhedskritik med identiske kulturelle karakteristika. Procedurerne ændrede sig. Kulturen gjorde ikke.

Det, der gør den danske sag endnu mere alvorlig

I alle de sager, der er analyseret i denne artikel, kom der til sidst en uafhængig undersøgelse. Challenger og Columbia fik presidentialt nedsatte undersøgelseskommissioner, hvis rapporter er offentligt tilgængelige og fortsat citeres globalt. Linate-sagen endte i en strafferetlig retssag, der tydeliggjorde ansvaret. Boeing 737 MAX endte i en kongreshøring, en kriminalundersøgelse og en bøde på 2,5 milliarder dollars.

I den danske sag eksisterer ingen tilsvarende instans. Havarikommissionen kan ikke gribe ind, fordi der ikke er sket en ulykke. EASA's rapport er klassificeret. Den parlamentariske behandling er baseret på de oplysninger, myndighed og lufthavn vælger at fremlægge. Og den eneste selvstændige vurdering — hændelsesudredningen — holdes fortrolig af den samme organisation, den kritiserer.

Det er strukturelt set den mest farlige situation. Ikke fordi Danmark er særlig korrupt. Men fordi det system, der i alle de andre sager til sidst fremtvang en reel granskning, her ikke eksisterer. Den mekanisme, der i Challenger-sagen hedder en præsidentiel kommission, i Columbia-sagen en uafhængig undersøgelsesbestyrelse, og i Boeing-sagen en kongreshøring — den mekanisme er i den danske sag... ingenting. Det eneste, der i øjeblikket eksisterer, er denne artikelserie og de dokumenter, der understøtter den.

Det er utilstrækkeligt. Og det er velkendt — ikke fra den danske sag, men fra sagerne, der gik forud.

"En ulykke skaber en undersøgelse. En undersøgelse skaber viden. Viden skaber forandring. Men hvad skaber forandring, inden ulykken sker?" Det er det spørgsmål, enhver tilsynsmyndighed burde stille sig selv dagligt. Det er det spørgsmål, Trafikstyrelsen ikke har stillet — og ikke er blevet stillet.

Det der adskiller en myndighed fra dens modpart — og hvad der sker, når linjen udviskes

En tilsynsmyndighed og en kommerciel operatør er ikke samarbejdspartnere. De er modparter i et system, der er designet til at producere sikkerhed netop gennem den spænding, der opstår, når den ene part systematisk og uafhængigt stiller den anden til ansvar. Det er ikke et fjendtligt forhold. Det er et funktionelt forhold. Og det ophører med at fungere præcis i det øjeblik, de to parters interesser begynder at konvergere.

I Boeing-sagen hed det regulatory capture. I Linate-sagen hed det manglende uafhængig tilsynskultur. I Challenger- og Columbia-sagerne hed det organisationens immunsystem mod ekstern kritik.

I den danske sag har vi valgt at kalde det præcis, hvad det er: en myndighed og en privat virksomhed, der er fælles i en modstand mod afsløringer — begge med stærke interesser i at opretholde en fortælling, der skader befolkningens adgang til den fulde sandhed om sikkerheden i Danmarks største lufthavn.

Det er ikke normal regulatorisk friktion. Det er ikke administrativ ineffektivitet. Det er det samme sammenbrud, der er dokumenteret i de internationale sager — blot endnu ikke afsluttet med en ulykke, der tvinger systemet til selvransagelse.

Historien fra Challenger til Columbia til Linate til 737 MAX er ikke primært en historie om flyvesikkerhed. Det er en historie om, hvad der sker med institutioner, der holder hånden over sig selv — og hvad det koster de mennesker, der betaler prisen for det.

Den lektion er ikke dansk. Men konsekvenserne — hvis ingen handler — vil være det.