A Choquet–Sugeno Framework for Non-Additive Variability Quantification in FRAM: An Aviation Safety Application

Stel je voor dat je probeert te begrijpen waarom een complexe machine, zoals een gigantisch ruimteschip of een druk vliegveld, soms neerstort. Lange tijd keken veiligheidsexperts naar deze machines als een rij dominosteentjes. Ze dachten: "Als één steentje valt (er wordt een fout gemaakt), kan het de volgende omverwerpen, en uiteindelijk valt de hele rij." Dit wordt een "additieve" visie genoemd: je telt alle kleine foutjes bij elkaar op om het totale gevaar te vinden. Maar in de echte wereld is het rommeliger. Soms tellen twee kleine fouten niet alleen op; ze vermenigvuldigen elkaar. Het is als het mengen van bakpoeder en azijn: afzonderlijk zijn ze onschadelijk, maar samen creëren ze een enorme schuimexplosie. Dit wordt "niet-additief" of "resonant" risico genoemd.

De paper waar we naar kijken komt uit het vakgebied van Resilience Engineering (veerkrachtig ontwerpen), dat bestudeert hoe complexe systemen (zoals de luchtvaart) omgaan met verrassingen. Het gebruikt een instrument genaamd FRAM (Functional Resonance Analysis Method), dat in kaart brengt wat al die verschillende taken van een systeem zijn en hoe ze met elkaar communiceren. Het grote probleem met FRAM is altijd geweest dat het heel goed is in het tekenen van plaatjes van hoe dingen zouden kunnen misgaan, maar verschrikkelijk is in het geven van een getal aan hoe erg het zou zijn. Het is als het hebben van een kaart van een storm, maar geen manier om de windsnelheid te meten. Deze paper probeert dit op te lossen door een speciale wiskunde te introduceren genaamd de Choquet-integraal en Sugeno-maten. Denk aan deze als een superintelligente rekenmachine die niet alleen getallen optelt, maar begrijpt dat sommige fouten andere fouten veel erger maken, terwijl andere fouten elkaar juist kunnen opheffen. De auteurs willen weten: kunnen we eindelijk een precies getal geven aan deze "explosieve" mix van fouten om vliegtuigen veiliger te houden?

Het Grote Idee van de Paper: De "Explosie"-rekenmachine

De auteurs, João Guilherme Fowler en Moacyr Machado Cardoso Júnior, hebben een nieuw kader gebouwd dat de FRAM-kaart mengt met deze speciale wiskunde. Ze noemen het de Choquet–Sugeno Framework. In plaats van alleen te zeggen: "Fout A plus Fout B is een slechte dag," vraagt hun nieuwe methode: "Hoeveel versterken Fout A en Fout B elkaar?"

Om dit te testen, bouwden ze een digitaal model van een zeer specifieke, risicovolle taak op een luchthaven: het vrijmaken van een landingsbaan voor een voertuig dat de baan moet oversteken terwijl een vliegtuig landt of opstijgt. Dit is een gevaarlijke dans waarbij een grondvoertuig en een vliegende machine elkaar niet mogen tegenkomen. Ze gebruikten hun nieuwe wiskunde om drie echte luchtvaartrampen te analyseren die in de afgelopen 40 jaar plaatsvonden:

1. Aeroflot Vlucht 3352 (1984): Een vliegtuig botste in Rusland op onderhoudsvoertuigen op de landingsbaan.
2. LATAM Airlines Peru Vlucht 2213 (2022): Een vliegtuig botste tijdens het opstijgen in Lima tegen een brandweerwagen.
3. Jazz Aviation Vlucht 646 (2026): Een vliegtuig botste in New York (LaGuardia) tijdens het landen tegen een brandweerwagen.

Wat Ze Vonden: Het Verborgen Gevaar van "Teamwerk"

Het meest opwindende wat deze paper heeft gevonden, is dat traditionele wiskunde een enorm deel van het gevaar mist.

Toen de auteurs het risico berekenden met de ouderwetse "additieve" wiskunde (het simpelweg optellen van de fouten), kregen ze een bepaald getal. Maar toen ze hun nieuwe Choquet–Sugeno wiskunde gebruikten, schoot de risicoscore aanzienlijk omhoog. Ze ontdekten dat de "teamwork" tussen fouten — waarbij twee functies tegelijkertijd falen en elkaar erger maken — verantwoord is voor 10,9% tot 16,5% van het totale risico.

Dit is een groot ding. Het betekent dat als je alleen naar individuele fouten kijkt, je bijna één zesde van het werkelijke gevaar niet ziet. De paper stelt dat dit "onzichtbare risico" de reden is waarom sommige ongelukken gebeuren, zelfs wanneer niemand een catastrofale individuele fout heeft gemaakt. Het is de combinatie van kleine fouten die de ramp veroorzaakt.

De Ster van de Show: Het Brein van de Verkeersleider

In hun model identificeerden ze één specifieke taak als de belangrijkste "hub" van het hele systeem: ATC Situational Awareness (F1). Dit is in essentie het vermogen van de luchtverkeersleider om precies te weten waar elk vliegtuig en elk voertuig zich op elk moment bevindt.

Met behulp van een wiskundig hulpmiddel genaamd de Shapley-waarde (die meet hoeveel elk onderdeel bijdraagt aan het geheel), ontdekten ze dat deze ene functie verantwoordelijk is voor 36,7% van het totale risico. Dat is meer dan het dubbele van de bijdrage van de volgende belangrijkste taak!

• De Les: Als de verkeerleider het "grote plaatje" verliest (miss misschien door vermoeidheid, afleiding of een slechte radioverbinding), wordt het hele systeem extreem kwetsbaar. De paper suggereert dat het verbeteren van dit specifieke gebied — het scherp houden van de aandacht van de verkeerleider en het helder houden van de informatie — de meest effectieve manier is om deze crashes te voorkomen.

De "Barrières" Die Niet Werkten

Het model keek ook naar veiligheidssystemen, zoals RIMCAS (een radarsysteem dat verkeersleiders waarschuwt als er een voertuig op de landingsbaan staat). Bij de crash in 1984 bestond dit systeem nog niet. Bij de crashes in 2022 en 2026 bestond het wel, maar was het "gedegradeerd" (het werkte niet perfect, bijvoorbeeld omdat de voertuigen niet over de juiste transponders beschikten).

De wiskunde liet zien dat wanneer de situatieve bewustwording van de verkeerleider (F1) en het oversteken van het voertuig (F5) beide faalden, het veiligheidssysteem (F8) werd overspoeld. Het is als het hebben van één brandblusser in een kamer waar tegelijkertijd tien branden zijn uitgebroken. De paper vond dat de veiligheidsbarrières slechts een fractie van het risico konden compenseren, omdat de "teamwork" van de fouten zo sterk was. De auteurs suggereren dat het simpelweg upgraden van de technologie (zoals voertuigen betere transponders geven) de beste manier is om dit te oplossen, maar alleen als de situatieve bewustwording van de verkeerleider ook beschermd wordt.

De "Downstream" Valstrik

Een andere verrassende bevinding ging over Communicatie en Readback (F7). In veel veiligheidsmodellen denkt men dat als een piloot of bestuurder een bericht herhaalt, dit fungeert als een vangnet om fouten op te vangen. Maar dit model laat zien dat communicatie in dit specifieke systeem slechts een boodschapper is, geen bewaker.

Als de verkeerleider (F4) een fout maakt en een verkeerde toestemming geeft, dan geeft de persoon die het bericht herhaalt (F7) die verkeerde toestemming simpelweg door. Ze kunnen de fout niet herstellen, omdat ze alleen herhalen wat hen is verteld. De paper betoogt dat we geen geld moeten verspillen aan het perfectioneren van de "boodschapper" als de "baas" (de beslissing over de toestemming) kapot is.

Het Eindoordeel

De auteurs zijn zeer duidelijk: hun methode is een simulatie gebaseerd op deskundige meningen en historische data, en geen toverstaf die alle veiligheidsproblemen oplost. Ze zijn echter ervan overtuigd dat hun wiskunde solide is. Ze hebben bewezen dat niet-additieve interacties (de explosieve mix van fouten) echt en meetbaar zijn.

Door dit nieuwe kader te gebruiken, kunnen veiligheidsmanagers stoppen met gissen en precies gaan zien waar de "resonantie" plaatsvindt. Ze kunnen zien dat LATAM Vlucht 2213 het gevaarlijkste geval was (met een risicoscore van 0,710), omdat elk enkel onderdeel van het systeem tegelijkertijd een probleem had, wat de grootste mogelijke explosie van risico creëerde. In contrast hiermee was de crash in 1984 diep maar smal; slechts een paar onderdelen faalden, waardoor de totale "resonantie" lager was.

Kortom, deze paper geeft ons een nieuwe lens om naar veiligheid te kijken. Het vertelt ons dat in complexe systemen 1 + 1 niet gelijk is aan 2; soms is het gelijk aan 10. En als we de lucht veilig willen houden, moeten we stoppen met het tellen van de dominosteentjes en beginnen met het meten van de explosies.