BIJLAGE

Het gemeenschappelijk Europees risicoclassificatiesysteem

Het ERCS omvat de volgende twee stappen:

STAP 1: De waarden van de twee variabelen bepalen: ernst en waarschijnlijkheid.

STAP 2: Binnen de ERCS-matrix een veiligheidsrisico toekennen op basis van de waarden van de twee variabelen.

STAP 1: DE WAARDEN VAN DE TWEE VARIABELEN BEPALEN

1. Ernst van de potentiële gevolgen van een ongeval

1.1. Identificatie

De ernst van de potentiële gevolgen van ongevallen wordt bepaald aan de hand van de volgende twee stappen:

a) bepalen van het meest aannemelijke type ongeval dat het onderzochte voorval kan veroorzaken (de belangrijkste risicogebieden);

b) bepalen van de categorie van het potentiële verlies van mensenlevens op basis van de grootte van het vliegtuig en de nabijheid van bewoonde gebieden of hoogrisicogebieden.

Er wordt een onderscheid gemaakt tussen de volgende belangrijke risicogebieden:

a. botsing in de lucht: een botsing tussen twee luchtvaartuigen tijdens de vlucht, of tussen luchtvaartuigen en andere voorwerpen in de lucht (met uitzondering van vogels en wilde dieren);

b. upset van een luchtvaartuig: een ongewenste toestand van het luchtvaartuig, gekenmerkt door onbedoelde afwijkingen van de normale tijdens de vluchtuitvoering geldende parameters, waardoor het luchtvaartuig uiteindelijk ongecontroleerd in aanraking kan komen met de grond;

c. botsing op de start- of landingsbaan: een botsing tussen een luchtvaartuig en een ander voorwerp (andere luchtvaartuigen, voertuigen enz.) of personen die aanwezig zijn op een start- of landingsbaan van een luchtvaartterrein of een ander vooraf afgebakend landingsterrein. Botsingen met vogels of wilde dieren vallen hier niet onder;

d. baanoverschrijdingen: een voorval waarbij een luchtvaartuig de start- of landingsbaan of het bewegingsgebied van een luchtvaartterrein, landingsoppervlak of een ander vooraf afgebakend landingsterrein verlaat zonder op te stijgen. Hieronder vallen harde verticale landingen van hefschroefvliegtuigen of verticale start- en landingsvliegtuigen en ballonnen of luchtschepen;

e. vuur, rook en druk: een voorval waarbij sprake is van vuur, rook, dampen of drukomstandigheden die onverenigbaar kunnen worden met het menselijk leven. Daartoe behoren voorvallen waarbij, tijdens de vlucht of op de grond, in een willekeurig deel van een luchtvaartuig sprake is van vuur, rook of dampen, die niet het gevolg zijn van een botsing of kwaadwillige daad;

f. grondschade: schade aan luchtvaartuigen veroorzaakt door de exploitatie van luchtvaartuigen op een ander terrein dan een start- of landingsbaan of vooraf afgebakende landingszone, alsook schade tijdens het onderhoud;

g. botsing met een obstakel tijdens de vlucht: botsing tussen een luchtvaartuig in de lucht en uitstekende obstakels op het aardoppervlak, zoals hoge gebouwen, bomen, elektriciteitskabels, telegraafdraden en antennes, alsmede verankerde voorwerpen;

h. terreinbotsing: een voorval waarbij een luchtvaartuig tijdens de vlucht in aanraking komt met het terrein, zonder indicatie dat het cockpitpersoneel het luchtvaartuig niet onder controle had. Daartoe behoren gevallen waarin de cockpitbemanning geconfronteerd werd met een visuele illusie of slechte zichtbaarheid;

i. andere letsels: een voorval waarbij dodelijke of niet-dodelijke letsels worden veroorzaakt, die niet aan een ander belangrijk risicogebied kunnen worden toegeschreven;

j. beveiliging: wederrechtelijke daden tegen de burgerluchtvaart. Hieronder vallen alle incidenten en inbreuken op het gebied van surveillance en bescherming, toegangscontrole, screening, veiligheidscontroles en alle andere handelingen die tot doel hebben kwaadwillig of opzettelijk vernieling van luchtvaartuigen of eigendom te veroorzaken, waarbij de burgerluchtvaart en haar faciliteiten in gevaar worden gebracht of wederrechtelijk worden belemmerd. Daartoe behoren zowel fysieke als cyberbeveiligingsincidenten.

Potentiële verliezen van mensenlevens worden als volgt gecategoriseerd:

a) meer dan 100 potentiële dodelijke slachtoffers — het te beoordelen voorval betreft ten minste één van de volgende gevallen: — één groot gecertificeerd luchtvaartuig dat meer dan 100 passagiers aan boord kan hebben; — een vrachtvliegtuig van een vergelijkbare omvang; — één luchtvaartuig van om het even welk type in dichtbevolkt gebied en/of een hoogrisicogebied; — elke situatie met een willekeurig luchtvaartuig waarbij meer dan 100 doden zouden kunnen vallen;

b) tussen 20 en 100 potentiële dodelijke slachtoffers — het te beoordelen voorval betreft ten minste één van de volgende gevallen: — één middelgroot gecertificeerd vliegtuig met 20 tot 100 potentiële passagiers aan boord of een vrachtvliegtuig van een vergelijkbare omvang; — elke situatie waarbij 20 tot 100 dodelijke slachtoffers zouden kunnen vallen;

c) tussen 2 en 19 potentiële dodelijke slachtoffers door een voorval waarbij ten minste één van de volgende is betrokken: — één klein gecertificeerd luchtvaartuig met maximaal 19 potentiële passagiers aan boord; — een vrachtvliegtuig van een vergelijkbare omvang; — elke situatie waarbij 2 tot 19 dodelijke slachtoffers zouden kunnen vallen;

d) 1 potentieel dodelijk slachtoffer — het te beoordelen voorval betreft ten minste één van de volgende gevallen: — een niet-gecertificeerd luchtvaartuig dat niet is onderworpen aan de certificeringsvereisten van het Agentschap van de Europese Unie voor de veiligheid van de luchtvaart; — elke situatie waarbij één dodelijk slachtoffer zou kunnen vallen;

e) 0 potentiële dodelijke slachtoffers — het te beoordelen voorval veroorzaakt alleen lichamelijk letsel; niet het aantal lichte en ernstige verwondingen maar de afwezigheid van dodelijke slachtoffers is bepalend.

1.2. Bepaling

Op basis van de ernst van het ongeval wordt een van de volgende ernstscores toegekend:

— “A”: een ongeval is onwaarschijnlijk;

— “E”: een ongeval met licht- en zwaargewonden (niet-levensveranderend) of lichte schade aan het luchtvaartuig;

— “I”: een ongeval met één dodelijk slachtoffer, gewonde met levensveranderend letsel of aanzienlijke schade;

— “M”: een zwaar ongeval met een beperkt aantal dodelijke slachtoffers, levensveranderende letsels of de vernieling van het luchtvaartuig;

— “S”: een ernstig ongeval met potentiële doden en gewonden;

— “X”: een uitzonderlijk rampzalig ongeval met potentieel grote aantallen dodelijke slachtoffers.

De ernstscore wordt berekend door de belangrijkste risicogebieden en het potentiële verlies van mensenlevens te combineren overeenkomstig onderstaande tabel:

BELANGRIJKSTE RISICOGEBIEDEN CATEGORIE ERNSTSCORE Botsing in de lucht Meer dan 100 potentiële dodelijke slachtoffers X Tussen 20 en 100 potentiële dodelijke slachtoffers S Tussen 2 en 19 potentiële dodelijke slachtoffers M 1 potentieel dodelijk slachtoffer I Upset van het luchtvaartuig Meer dan 100 potentiële dodelijke slachtoffers X Tussen 20 en 100 potentiële dodelijke slachtoffers S Tussen 2 en 19 potentiële dodelijke slachtoffers M 1 potentieel dodelijk slachtoffer I Botsing op de start- of landingsbaan Meer dan 100 potentiële dodelijke slachtoffers X Tussen 20 en 100 potentiële dodelijke slachtoffers S Tussen 2 en 19 potentiële dodelijke slachtoffers M 1 potentieel dodelijk slachtoffer I 0 potentiële dodelijke slachtoffers E Baanoverschrijdingen Tussen 20 en 100 potentiële dodelijke slachtoffers S Tussen 2 en 19 potentiële dodelijke slachtoffers M 1 potentieel dodelijk slachtoffer I 0 potentiële dodelijke slachtoffers E Vuur, rook en druk Meer dan 100 potentiële dodelijke slachtoffers X Tussen 20 en 100 potentiële dodelijke slachtoffers S Tussen 2 en 19 potentiële dodelijke slachtoffers M 1 potentieel dodelijk slachtoffer I Grondschade Tussen 2 en 19 potentiële dodelijke slachtoffers M 1 potentieel dodelijk slachtoffer I 0 potentiële dodelijke slachtoffers E Botsing met een obstakel tijdens de vlucht Meer dan 100 potentiële dodelijke slachtoffers X Tussen 20 en 100 potentiële dodelijke slachtoffers S Tussen 2 en 19 potentiële dodelijke slachtoffers M 1 potentieel dodelijk slachtoffer I Terreinbotsing Meer dan 100 potentiële dodelijke slachtoffers X Tussen 20 en 100 potentiële dodelijke slachtoffers S Tussen 2 en 19 potentiële dodelijke slachtoffers M 1 potentieel dodelijk slachtoffer I Andere letsels Tussen 20 en 100 potentiële dodelijke slachtoffers S Tussen 2 en 19 potentiële dodelijke slachtoffers M 1 potentieel dodelijk slachtoffer I 0 potentiële dodelijke slachtoffers E Beveiliging Meer dan 100 potentiële dodelijke slachtoffers X Tussen 20 en 100 potentiële dodelijke slachtoffers S Tussen 2 en 19 potentiële dodelijke slachtoffers M 1 potentieel dodelijk slachtoffer I 0 potentiële dodelijke slachtoffers E

2. Waarschijnlijkheid van de potentiële gevolgen van een ongeval

De kans op de ergste aannemelijke gevolgen van een ongeval wordt bepaald aan de hand van het ERCS-barrièremodel als gedefinieerd in punt 2.1.

2.1. ERCS-barrièremodel

Het ERCS-barrièremodel heeft tot doel de effectiviteit (aantal en sterkte) te beoordelen van de in de tabel in punt 2.1.1 vastgestelde barrières binnen het veiligheidssysteem die zijn overgebleven tussen het feitelijke voorval en de ergste aannemelijke gevolgen van een ongeval. Uiteindelijk wordt via het ERCS-barrièremodel bepaald hoe dicht het onderzochte voorval het potentiële ongeval heeft benaderd.

2.1.1. Barrières

Het ERCS-barrièremodel bestaat uit acht barrières in een logische volgorde en gewogen volgens de onderstaande tabel:

Barrièrenummer Barrière Gewicht van de barrière 1 “Luchtvaartuig, uitrusting en infrastructuur”: onderhoud en reparatie, operationele ondersteuning, preventie van problemen in verband met technische factoren die tot een ongeluk kunnen leiden. 5 2 “Tactische planning”: organisatorische en individuele planning voorafgaand aan de vlucht of andere operationele activiteiten die de oorzaken en factoren die bijdragen aan ongevallen helpen verminderen. 2 3 “Regelingen, procedures, processen”: effectieve, begrijpelijke en beschikbare regelingen, procedures en processen die worden nageleefd (met uitzondering van het gebruik van procedures voor herstelbarrières). 3 4 “Situationeel bewustzijn en actie”: menselijke waakzaamheid voor operationele dreigingen, waardoor operationele gevaren worden gedetecteerd en doeltreffende maatregelen worden genomen om ongevallen te voorkomen. 2 5 “Gebruik van waarschuwingssystemen en maatregelen” die een ongeval kunnen voorkomen en geschikt zijn voor het beoogde doel, functioneren en operationeel zijn en die in acht worden genomen. 3 6 “Laattijdig herstel na een potentiële ongevalssituatie” 1 7 “Beveiliging”: wanneer een gebeurtenis heeft plaatsgevonden, worden de gevolgen verzacht of wordt erger voorkomen door immateriële barrières of vooruitziendheid. 1 8 “Voorvallen met lage energie-intensiteit”: dezelfde score als “beveiliging”, maar uitsluitend voor belangrijke risicogebieden met een lage energie-intensiteit (grondschade, baanoverschrijdingen, letsels). “Niet van toepassing” voor alle andere belangrijke risicogebieden. 1

2.1.2. Doeltreffendheid van de barrières

De effectiviteit van elke barrière wordt als volgt geclassificeerd:

— “Gestopt”: de barrière heeft het ongeval voorkomen;

— “Bevestigd intact”: het is bekend dat de barrière tussen het te beoordelen voorval en de potentiële gevolgen van het ongeval stand heeft gehouden;

— “Verondersteld intact”: er wordt aangenomen dat de barrière tussen het te beoordelen voorval en de potentiële gevolgen van een ongeval stand heeft gehouden;

— “Bekend falen”: het is bekend dat de barrière heeft gefaald;

— “Verondersteld falen”: er wordt aangenomen dat de barrière heeft gefaald, zelfs als er geen of onvoldoende informatie beschikbaar is om dit te bepalen;

— “Niet van toepassing”: de barrière is niet relevant voor het te beoordelen voorval.

2.1.3. Beoordeling van de barrière

De barrières worden in twee stappen beoordeeld:

Stap 1: Bepalen welke van de in de tabel in punt 2.1.1 (1-8) gedefinieerde barrières heeft voorkomen dat het voorval tot de potentiële gevolgen van het ongeval heeft geleid (de stopbarrière).

Stap 2: In overeenstemming met punt 2.1.2 de doeltreffendheid van de resterende barrières bepalen. De resterende barrières zijn de in de tabel in punt 2.1.1 genoemde barrières die tussen de stopbarrière en de potentiële gevolgen van een ongeval worden geplaatst. De in de tabel in punt 2.1.1 genoemde barrières die vóór de stopbarrière worden geplaatst, worden niet geacht te hebben bijgedragen tot het voorkomen van de gevolgen van het ongeval en worden bijgevolg niet aangemerkt als “gestopt” of “intact”.

2.2. Berekening

De waarschijnlijkheid van de potentiële gevolgen van een ongeval is de numerieke waarde die aan de hand van de volgende stappen wordt berekend:

Stap 1: Een som het gewicht (1 tot 5) van alle barrières zoals beschreven in de tabel in punt 2.1.1 van alle beoordeelde barrières die werden aangemerkt als “gestopt”, “bekend intact” of “verondersteld intact”. De barrières “falen” en “niet van toepassing” tellen niet mee voor de eindscore aangezien die barrières het ongeval niet hadden kunnen voorkomen. De resulterende som van het gewicht van de barrières is een numerieke waarde tussen 0 en 18.

Stap 2: De som van het gewicht van de barrières stemt overeen met een barrièrescore tussen 0 en 9 volgens de onderstaande tabel, die het volledige spectrum tussen sterke en zwakke resterende barrières bestrijkt.

Totale gewicht van de barrières Overeenkomstige barrièrescore 0 Er zijn geen barrières meer. De ergste aannemelijke gevolgen van een ongeval hebben zich voorgedaan. 0 1-2 1 3-4 2 5-6 3 7-8 4 9-10 5 11-12 6 13-14 7 15-16 8 17-18 9

STAP 2: TOEKENNEN VAN EEN VEILIGHEIDSRISICOSCORE IN DE ERCS-MATRIX

De veiligheidsrisicoscore is een 2-cijferige waarde: het eerste cijfer stemt overeen met de alfabetische waarde die wordt bepaald door de ernst van het voorval te berekenen (ernstscore A tot en met X); het tweede cijfer vertegenwoordigt de numerieke waarde die wordt verkregen door de overeenkomstige score van het voorval (0-9) te berekenen.

De veiligheidsrisicoscore wordt in de ERCS-matrix opgenomen.

Voor elke veiligheidsrisicoscore is er ook een numerieke equivalente score voor aggregatie- en analysedoeleinden, die hieronder wordt toegelicht onder de titel “Numerieke equivalente score”.

De ERCS-matrix weerspiegelt de veiligheidsrisicoscore en de overeenkomstige numerieke waarde van een voorval als volgt:

Naast de veiligheidsrisicoscore en om de urgentie van de aanbevolen actie naar aanleiding van een voorval gemakkelijker te kunnen bepalen, kunnen in de ERCS-matrix de volgende drie kleuren worden gebruikt:

Kleur ERCS-score Betekenis ROOD X0, X1, X2, S0, S1, S2, M0, M1, I0 Hoog risico, voorvallen met het hoogste risico GEEL X3, X4, S3, S4, M2, M3, I1, I2, E0, E1 Verhoogd risico, voorvallen met een matig risico GROEN X5 t.e.m. X9, S5 t.e.m. S9, M4 t.e.m. M9, I3 t.e.m. I9, E2 t.e.m. E9 Voorvallen met een laag risico

Het groene deel van de matrix bevat lagere risicowaarden. Zij verschaffen gegevens voor een diepgaande analyse van veiligheidsvoorvallen die, hetzij afzonderlijk, hetzij samen met andere gebeurtenissen, de risicowaarde van voorvallen kunnen doen stijgen.

Numerieke equivalente score

Aan elke ERCS-score wordt een overeenkomstige numerieke waarde van de omvang van het risico toegekend om de aggregatie en numerieke analyse van meerdere voorvallen met een ERCS-score te vergemakkelijken:

ERCS-score X9 X8 X7 X6 X5 X4 X3 X2 X1 X0 Overeenkomstige numerieke waarde 0,001 0,01 0,1 1 10 100 1000 10000 100000 1000000 ERCS-score S9 S8 S7 S6 S5 S4 S3 S2 S1 S0 Overeenkomstige numerieke waarde 0,0005 0,005 0,05 0,5 5 50 500 5000 50000 500000 ERCS-score M9 M8 M7 M6 M5 M4 M3 M2 M1 M0 Overeenkomstige numerieke waarde 0,0001 0,001 0,01 0,1 1 10 100 1000 10000 100000 ERCS-score I9 I8 I7 I6 I5 I4 I3 I2 I1 I0 Overeenkomstige numerieke waarde 0,00001 0,0001 0,001 0,01 0,1 1 10 100 1000 10000 ERCS-score E9 E8 E7 E6 E5 E4 E3 E2 E1 E0 Overeenkomstige numerieke waarde 0,000001 0,00001 0,0001 0,001 0,01 0,1 1 10 100 1000

Zowel kolom 10 als rij A in de matrix hebben de waarde 0 als overeenkomstige numerieke waarde.