A Choquet–Sugeno Framework for Non-Additive Variability Quantification in FRAM: An Aviation Safety Application

Stellen Sie sich vor, Sie versuchen zu verstehen, warum eine komplexe Maschine, wie ein riesiges Raumschiff oder ein belebter Flughafen, manchmal abstürzt. Lange Zeit betrachteten Sicherheitsexperten diese Maschinen wie eine Reihe von Dominosteinen. Sie dachten: „Wenn ein Dominostein fällt (ein Fehler passiert), könnte er den nächsten umstoßen, und schließlich fällt die ganze Reihe um.“ Dies wird als „additive“ Sichtweise bezeichnet: Man zählt einfach alle kleinen Fehler zusammen, um die gesamte Gefahr zu ermitteln. Aber in der realen Welt ist es chaotischer. Manchmal führen zwei kleine Fehler nicht nur zu einer Addition; sie multiplizieren sich. Es ist wie das Mischen von Backpulver und Essig: Getrennt sind sie harmlos, aber zusammen erzeugen sie eine riesige Schaumexplosion. Dies wird als „nicht-additive“ oder „resonante“ Gefahr bezeichnet.

Das Papier, das wir uns ansehen, stammt aus dem Bereich des Resilience Engineering (Resilienzforschung), das untersucht, wie komplexe Systeme (wie die Luftfahrt) mit Überraschungen umgehen. Es verwendet ein Werkzeug namens FRAM (Functional Resonance Analysis Method), das alle Aufgaben eines Systems kartiert und darstellt, wie diese miteinander kommunizieren. Das große Problem von FRAM war bisher, dass es zwar hervorragend darin ist, Bilder davon zu zeichnen, wie Dinge schiefgehen könnten, aber schrecklich darin ist, ein Maß dafür anzugeben, wie schlimm es wäre. Es ist wie eine Karte eines Sturms zu haben, aber keine Möglichkeit, die Windgeschwindigkeit zu messen. Dieses Papier versucht, dies zu beheben, indem es eine ausgeklügelte Mathematik namens Choquet-Integral und Sugeno-Maße einführt. Betrachten Sie dies als einen superintelligenten Taschenrechner, der nicht einfach nur Zahlen addiert, sondern versteht, dass manche Fehler andere Fehler massiv verstärken, während andere sich gegenseitig vielleicht sogar neutralisieren. Die Autoren wollen wissen: Können wir endlich eine präzise Zahl für dieses „explosive“ Durcheinander von Fehlern festlegen, um Flugzeuge sicherer zu machen?

Die große Idee des Papers: Der „Explosions“-Taschenrechner

Die Autoren, João Guilherme Fowler und Moacyr Machado Cardoso Júnior, haben ein neues Framework entwickelt, das die FRAM-Karte mit dieser speziellen Mathematik kombiniert. Sie nennen es das Choquet–Sugeno-Framework. Anstatt nur zu sagen: „Fehler A plus Fehler B ergibt einen schlechten Tag“, fragt ihre neue Methode: „Wie sehr verstärken sich Fehler A und Fehler B gegenseitig?“

Um dies zu testen, bauten sie ein digitales Modell einer sehr spezifischen, hochriskanten Aufgabe am Flughafen: das Freigeben einer Landebahn für ein Fahrzeug, während ein Flugzeug landet oder startet. Dies ist ein gefährlicher Tanz, bei dem ein Bodenfahrzeug und eine fliegende Maschine nicht aufeinandertreffen dürfen. Sie nutzten ihre neue Mathematik, um drei reale Luftfahrtkatastrophen aus den letzten 40 Jahren zu analysieren:

1. Aeroflot Flug 3352 (1984): Ein Flugzeug krachte in Russland auf Wartungsfahrzeuge auf der Landebahn.
2. LATAM Airlines Peru Flug 2213 (2022): Ein Flugzeug kollidierte beim Start in Lima mit einem Feuerwehrauto.
3. Jazz Aviation Flug 646 (2026): Ein Flugzeug kollidierte bei der Landung in New York (LaGuardia) mit einem Feuerwehrauto.

Was sie fanden: Die verborgene Gefahr des „Teamworks“

Das Spannendste, was dieses Paper fand, ist, dass die traditionelle Mathematik einen riesigen Teil der Gefahr übersieht.

Als die Autoren das Risiko mit der altmodischen „additiven“ Mathematik (dem bloßen Zusammenzählen der Fehler) berechneten, erhielten sie einen bestimmten Wert. Doch als sie ihr neues Choquet–Sugeno-Verfahren anwandten, sprang der Risikowert signifikant nach oben. Sie fanden heraus, dass das „Zusammenspiel“ zwischen Fehlern – also wenn zwei Funktionen gleichzeitig versagen und sich gegenseitig verstärken – 10,9 % bis 16,5 % des Gesamtrisikos ausmacht.

Das ist eine große Sache. Es bedeutet, dass man, wenn man nur auf einzelne Fehler blickt, fast ein Sechstel der tatsächlichen Gefahr übersieht. Das Papier argumentiert, dass dieses „unsichtbare Risiko“ der Grund dafür ist, warum manche Unfälle passieren, selbst wenn keine einzelne Person einen katastrophalen Fehler begangen hat. Es ist die Kombination kleiner Fehler, die die Katastrophe auslöst.

Der Star der Show: Das Gehirn des Controllers

In ihrem Modell identifizierten sie eine spezifische Aufgabe als den wichtigsten „Knotenpunkt“ des gesamten Systems: ATC Situational Awareness (F1) (Situationsbewusstsein der Flugsicherung). Dies ist im Wesentlichen die Fähigkeit des Fluglotsen, jederzeit genau zu wissen, wo sich jedes Flugzeug und jedes Fahrzeug befindet.

Unter Verwendung eines mathematischen Werkzeugs namens Shapley-Wert (das misst, wie viel jeder Teil zum Ganzen beiträgt), fanden sie heraus, dass diese eine Funktion für 36,7 % des Gesamtrisikos verantwortlich ist. Das ist mehr als das Doppelte des Beitrags der nächstwichtigeren Aufgabe!

• Die Lektion: Wenn der Controller das „Große Ganze“ aus den Augen verliert (vielleicht durch Müdigkeit, Ablenkung oder eine schlechte Funkverbindung), wird das gesamte System unglaublich fragil. Das Papier legt nahe, dass die Behebung genau dieses Bereichs – die Aufrechterhaltung der Aufmerksamkeit des Controllers und die Klarheit seiner Informationen – der effektivste Weg ist, um diese Abstürze zu verhindern.

Die „Barrieren“, die nicht funktionierten

Das Modell untersuchte auch Sicherheitssysteme, wie etwa RIMCAS (ein Radarsystem, das die Kontrolleure warnt, wenn sich ein Fahrzeug auf der Landebahn befindet). Beim Absturz 1984 existierte dieses System noch nicht. Bei den Unfällen 2022 und 2026 existierte es, war aber „degradiert“ (es funktionierte nicht perfekt, möglicherweise weil die Fahrzeuge nicht über die richtigen Transponder verfügten).

Die Mathematik zeigte, dass, wenn das Bewusstsein des Controllers (F1) und die Fahrzeugüberquerung (F5) gleichzeitig versagten, das Sicherheitssystem (F8) überfordert war. Es ist, als hätte man einen einzigen Feuerlöscher in einem Raum, in dem zehn Brände gleichzeitig ausgebrochen sind. Das Papier stellte fest, dass die Sicherheitsbarrieren nur einen winzigen Bruchteil des Risikos abfangen konnten, weil das „Zusammenspiel“ der Ausfälle so stark war. Die Autoren schlagen vor, dass die bloße Aufrüstung der Technologie (wie z. B. die Ausstattung von Fahrzeugen mit besseren Transpondern) der beste Weg zur Besserung ist, aber nur, wenn auch das Bewusstsein des Controllers geschützt wird.

Die „Downstream“-Falle

Ein weiterer überraschender Befund betraf die Kommunikation und Rückmeldung (F7). In vielen Sicherheitsmodellen geht man davon aus, dass es ein Sicherheitsnetz darstellt, wenn ein Pilot oder Fahrer eine Nachricht wiederholt. Aber das Modell dieses Papers zeigt, dass die Kommunikation in diesem spezifischen System lediglich ein Übermittler ist, kein Wächter.

Wenn der Controller (F4) einen Fehler macht und eine falsche Freigabe erteilt, gibt die Person, die diese Nachricht wiederholt (F7), diese falsche Freigabe einfach weiter. Sie können den Fehler nicht korrigieren, da sie lediglich das wiederholen, was ihnen gesagt wurde. Das Papier argumentt, dass man keine Ressourcen verschwenden sollte, um den „Übermittler“ perfekt zu machen, wenn der „Chef“ (die Entscheidung zur Freigabe) bereits fehlerhaft ist.

Das Urteil

Die Autoren sind sich sehr bewusst, dass ihre Methode eine Simulation auf Basis von Expertenmeinungen und historischen Daten ist und kein magischer Stab, der alle Sicherheitsprobleme löst. Dennoch sind sie zuversichtlich, dass ihre Mathematik solide ist. Sie haben bewiesen, dass nicht-additive Interaktionen (die explosive Mischung aus Fehlern) real und messbar sind.

Durch die Nutzung dieses neuen Frameworks können Sicherheitsmanager aufhören zu raten und statfangen, genau zu sehen, wo die „Resonanz“ auftritt. Sie können erkennen, dass der LATAM Flug 2213 der gefährlichste Fall war (mit einem Risikowert von 0,710), weil jeder einzelne Teil des Systems gleichzeitig ein Problem hatte, was die größte mögliche Explosion des Risikos erzeugte. Im Gegensatz dazu war der Absturz von 1984 tief, aber schmal; es versagten nur wenige Teile, wesole die gesamte „Resonanz“ niedriger war.

Kurz gesagt: Dieses Papier gibt uns eine neue Linse, um Sicherheit zu betrachten. Es sagt uns, dass in komplexen Systemen 1 + 1 nicht gleich 2 ist; manchmal ist es gleich 10. Und wenn wir die Lüfte sicher halten wollen, müssen wir aufhören, die Dominosteine zu zählen, und anfangen, die Explosionen zu messen.