Fluglotse Sascha Herzog

„Ich fälle meine Entscheide mit der Gewissheit, dass dieser Flieger seinen Flug sicher zurücklegen kann“

Mit 56 gehen die meisten Lotsen in den Ruhestand, bei kleineren Flugplätzen und bei Militärflugplätzen mit 59 Jahren, bei Ihnen ist das schon in elf Jahren. Weshalb dieses frühe Pensionierungsalter?

Wenn ein Dreissigjähriger mit mir arbeitet, merke ich, dass er eine höhere Leistungsfähigkeit hat als ich. Vielleicht hat er aber weniger Erfahrung. Mit der Erfahrungskomponente gleicht sich das Ganze dann wieder aus. Irgendwann aber reicht die geistige Leistungsfähigkeit nicht mehr aus, um diesen Job zu machen.

Und dann fängt die Fehleranfälligkeit an?

Genau, und das ist der Moment, in dem ich als Fluglotse merken muss, dass ich einen Gang zurückschalten muss.

Lässt das System Skyguide denn dies auch zu?

Ja, hier werden wir unterstützt. Wenn wir merken, dass wir, unter welchen Umständen auch immer (eigene Leistungsfähigkeit oder systemische Probleme), nicht mehr mithalten können, wird unterstützt, dass wir dann die Kapazität reduzieren, also weniger Verkehr auf uns nehmen oder weniger offensiv arbeiten können. Es liegt auch in der Eigenverantwortung der Lotsen, am Morgen zu entscheiden, ob sie für einen Arbeitseinsatz fit genug sind oder nicht – und, falls dies nicht der Fall sein sollte, sich abzumelden.

Ist es allgemein die Policy bei skyguide, mögliche Fehlerquellen schon im Keim zu ersticken?

Ja, aber wir sind uns alle bewusst, dass es eine fehlerlose Kultur, ein fehlerloses Arbeiten nicht gibt. Wo gehobelt wird, da fallen Späne. Es ist bei uns auch erlaubt, Fehler zu machen. Es gibt verschiedene Sicherheits-Netze, die helfen sollen, die Fehler zu verhindern. Primär sollte es so sein, dass der Mensch den Fehler schon gar nicht macht. Passieren aber Fehler, wird analysiert, warum es zu diesem Fehler gekommen ist. Wir gehen aber immer davon aus, dass unsere Mitarbeitenden nach bestem Wissen und Gewissen arbeiten. Das ist die Grundlage bei uns für die Fehlersuche.

Von aussen gesehen ist der absolute Fehler, der bei skyguide passieren kann, dass zwei Flieger ineinander krachen, so wie es etwa bei Überlingen geschehen ist. Unterscheiden Sie bei skyguide denn noch andere Kategorien von Fehlern?

Wir unterscheiden nicht nach Fehlerkategorien, sondern nach Vorfällen und Unfällen. Schwere Vorfälle (beispielsweise das Risiko einer Kollision), dann so genannte wichtige Vorfälle („major“), hier hätte die Sicherheit von Flugzeug oder Passagieren gefährdet sein können, dann noch die signifikanten Vorfälle, wo unsere Sicherheitsvorgaben unterschritten wurden (Beispiel Sicherheitsabstände) und Vorfälle schliesslich, die keinen Effekt auf die Sicherheit gehabt haben. Egal, wie immer ein Vorfall klassifiziert wird: Untersucht wird er in jedem Fall auch intern, weil wir selbst aus einem Vorfall, der keinen Effekt gehabt hat, lernen und so vielleicht später mal einen schweren Vorfall oder gar einen Unfall verhindern können.

Das sind alles Kategorien im System, darin aber spielt der einzelne Fluglotse auch eine Rolle. Welche Art von Fehler wären denn typisch für jede von Ihnen erwähnte Kategorie von Vorfällen oder Unfällen?

Fehler können z.B. die Überlastung eines Systems sein und dass man dies nicht bemerkt hat. Also dass man das Gefühl hat „ich kann das“, sich überschätzt, immer noch meint, man habe es im Griff. Da kann es geschehen, dass jemand etwas vergisst und dann passiert der Fehler. Policy bei uns ist, lieber mal „nein“ zu sagen, dafür hat man etwas wirklich im Griff.

Ich habe vorhin im Turm gesehen, dass Jede und Jeder an seinem Platz ist und in seinem Bereich arbeitet und dafür verantwortlich ist. Gibt es denn auch so etwas wie ein „über den Tellerrand hinausschauen“, d.h. dem Kollegen oder der Kollegin zu sagen, wenn einem in dessen Bereich ein Fehler auffallen würde?

Generell haben wir eine offene Feedback-Kultur. Wir werden angehalten, es der Person zu kommunizieren, wenn wir bei der Arbeit im Turm einen Fehler von jemand anderem beobachten. Bei den Luftstrassenkontrollen in Zürich und Genf arbeiten wir so oder so jeweils zu zweit, also nach dem Vier-Augen-Prinzip. Das heisst, zwei ausgebildete Fluglotsen arbeiten miteinander und fällen gemeinsam die Entscheidungen.

In der Aviatik gilt generell die „just-culture“, auch bei skyguide, was ist darunter zu verstehen?

Wenn ein Fehler passiert ist, geht man davon aus, dass der Lotse grundsätzlich nach bestem Wissen und Gewissen gearbeitet hat und der Fehler nicht aus vorsätzlicher Fahrlässigkeit entstand. Es wird also nicht mit dem Finger auf diejenige Person gezeigt, die den Fehler gemacht hat, sondern man untersucht, wie es zum Fehler gekommen ist, um diesen in Zukunft zu vermeiden. Wir wollen auch, dass diese Fehler gemeldet werden (so genannte „reporting culture“); wir sind sogar verpflichtet dazu. Wir müssen einen Rapport ausfüllen, können aber auch davon ausgehen, dass es nicht unmittelbare Konsequenzen für uns hat, beispielsweise, dass ich den Job verlieren könnte. Vielmehr wird angeschaut, weshalb dieser Mitarbeiter den Fehler gemacht hat. Wir nennen dies die „non-blaming-culture“.

Vielleicht zeigt sich dann beispielsweise, dass jemand irgendwo ein mangelndes Training erhalten hat, und es deshalb zum Fehler gekommen ist. Dann wird diese Person in diesem Bereich nachgeschult.

Verschiedene Gremien untersuchen jeden Vorfall und damit auch den Fehler, der dazu geführt hat. Dort zeigt sich, ob der Fehler im System steckt oder ob es doch ein „human factor“ gewesen ist. Die Grundproblematik ist, dass der Mensch das schwächste Glied ist, nicht nur in der Aviatik.

Wie kann sich ein Laie dieses nun schon viel zitierte System vorstellen? Besteht das aus Prozessen oder Checklisten, wo ist dieses Wissen verankert?

Grundsätzlich arbeitet der Lotse anhand der internationalen und nationalen Vorgaben. Die sind in den ATMMs („Air Traffic Management Manual“) verankert. Da gibt es das Schweizerische, das so etwas wie unsere Bibel ist. Darin steht, wie und nach welchen Regeln wir arbeiten müssen. Dann gibt es auch lokale Manuals. Sie zeigen auf, wie man an den verschiedenen Dienststellen von skyguide arbeitet. Bei jeder Dienststelle gibt es andere geografische Gegebenheiten, andere Systeme, einen anderen Verkehrsmix, usw. An dieses Regelwerk muss ich mich als Lotse halten. Punkt.

Wo liegt die Hoheit in der Aviatik, beim Lotsen, beim Piloten oder bei den Computern?

Der Pilot ist verantwortlich für sein Flugzeug, und wenn er das Gefühl hat, dass sein Flieger gefährdet wird, kann er den Entscheid des Lotsen in Frage stellen. Das heisst, er hat das Recht, eine Alternative zu verlangen.

Es gibt Systeme, Regelwerke und Policies, die Fehler verhindern sollen. Kann es denn auch sein, dass ohne, dass es einen Vorfall geben muss, das System generell überprüft wird?

Auch hier gibt es verschiedene Werkzeuge. Ich als Lotse sehe beispielsweise irgendwo ein Problem, damit gehe ich zu meinem Vorgesetzten. Wenn er sagt, dass er meine Meinung nicht teilt, habe ich die Möglichkeit, einen so genannten „safety improvement report“ zu schreiben, dieser geht dann direkt ins Management und wird dort mit höchster Priorität behandelt.

Ist die Urangst eines Fluglotsen, dass es zum Absturz oder zu einer Kollision kommt?

Nein, wenn es so wäre, dass ich bei meiner Arbeit diese Angst hätte, könnte ich persönlich keine Entscheide mehr fällen. Wir sind dafür verantwortlich, dass die Flugzeuge nicht ineinander hineinfliegen und dass sie auch am Boden nicht miteinander kollidieren. Dafür sind wir da, das ist unsere Ausbildung und unsere Berufung. Aber ich kann diese Arbeit nicht machen, wenn ich in jedem Augenblick daran denken würde, was alles passieren könnte. Ich fälle meine Entscheide mit der Gewissheit, dass dieser Flieger seinen Flug sicher zurücklegen kann, anders geht das nicht. Und zudem habe ich gelernt und geübt, auf meine Entscheidungen zu vertrauen.

Bei einem Vorfall ausserhalb der Routine haben Sie aber auch nicht die Zeit, Manual X hervorzuholen und nachzuschauen, was beim Sonderfall Y alles zu tun ist. Was tun Sie dann?

Auch das üben wir. Und zwar so, dass wir lernen, wie wir selber bei aussergewöhnlichen Situationen reagieren. Kommt dazu, dass wir gerade für diese ungewohnten, ausserhalb der Routine liegenden Situationen, Checklisten haben – und nur für diese Situationen. Weil dann das ganze System überzulaufen beginnt und die Checkliste dabei hilft, dir als Lotse zu zeigen, was du tun kannst, wenn ein Flugzeug beispielsweise einen stotternden Motor oder eine Vereisung hat. Weil wir ja keine Piloten sind oder nur eine beschränkte Ausbildung als Piloten haben, erhalten wir in diesen Checklisten auch Tipps, wie wir in diesen Ausnahmesituationen die Piloten unterstützen können. Wir wissen ja nicht genau, wie es im Cockpit aussieht, wie es da tönt, wie solche Ausnahmensituationen im Cockpit erlebt werden. Wir haben zwar in unserer Ausbildung 20 Flugstunden hinter uns und gehen auch regelmässig auf dem „jumpseat“ im Cockpit mit, um genau das zu erleben, aber da sind wir ja in aller Regel nicht während Notsituationen dabei.

Ab wann wird die Routine verlassen und es entwickelt sich zu einem aussergewöhnlichen Fall?

Diese Grenze ist fliessend, jeder Fluglotse entscheidet das für sich. Anhand des Regelwerks, aufgrund der Vorgaben. Es kann durchaus auch sein, dass der Pilot etwas nicht als aussergewöhnlichen Fall taxiert, der Fluglotse für sich hingegen schon. Da ergeben sich manchmal Diskussionen, weil wir Lotsen beispielsweise Alarmierungen hochfahren und der Pilot dies nicht nachvollziehen kann. Oft kann man gar nicht richtig erklären, anhand welcher Zeichen wir Lotsen einen Fall als aussergewöhnlich beurteilen, das hat häufig mit Erfahrung und dem siebten Sinn zu tun, einem Gefühl, einer Ahnung. Im Zweifelsfall gehen wir immer auf die sichere Seite und fragen häufiger nach oder lassen öfter unsere Anweisungen quittieren.

Gibt es auch während des „courant normal“ irgendwelche Überprüfungen?

Es gibt zwei verschiedene Arten von Überprüfungen. Zum einen die Checks, anhand welcher die Lizenz erneuert wird. Dazu wird jeder Lotse periodisch von einem so genannten Assessor, ebenfalls ein Fluglotse, überprüft, während er am Arbeiten ist. Dieser schaut, ob das, was der Lotse unter normalen Bedingungen macht, richtig ist. Zum anderen bauen wir derzeit bei skyguide eine interne Qualitätskontrolle auf. Dieses Team besteht ebenfalls aus Lotsen, diese überprüfen die ganzen Anlagen, Abläufe und Systeme.

Ganz heikel ist der so genannte Drift zu Fehlern.

Darunter verstehen wir etwas, dass sich zwar als Usanz einschleicht, aber nicht hundertprozentig den Vorgaben entspricht. Etwas, das man in einem Team oder an einem Ort jahrelang so macht, weil es schon immer so gemacht wurde. Mit unserer Qualitätskontrolle werden wir auch solche eventuellen Drifts aufspüren können. Teams, in welchen sich solche Drifts eingeschlichen haben, merken dies ja  nicht, weil sie selber Bestandteil des Systems sind.

Interview: Flavien Allenspach