De Luchtverkeersbegeleiding (LVB) heeft het Amsterdam Advanced Air Traffic Control systeem, in gebruik genomen. Met dit zeer geavanceerde systeem is in het vliegverkeer boven Nederland een volledige chaos te voorkomen. Het AAA-systeem is behoorlijk kritisch. Uitval kan leiden tot uren vertraging voor passagiers op Schiphol en vele andere vliegvelden in de wereld.
Sereen is de rust in de enorme zaal waar de tweehonderd luchtverkeersleiders van de Luchtverkeersbegeleiding (LVB) hun werk doen. Gloednieuwe consoles met 28-inch schermen tonen naar believen met één druk op de knop het luchtruim boven Schiphol, Nederland of het hele continentale plat. Inclusief aanwezige vliegtuigen, wel te verstaan. Negen jaar geleden besloot de LVB dat het tijd werd voor een nieuw systeem, vlak voor de zomer was het zover. Hoe Hollandse Signaal een mega-order misliep, en de Amerikanen met de eer gingen strijken.
Luchtverkeersleiders zorgen voor een ordelijk verloop van het luchtverkeer boven Nederland. Geen geringe taak, als je je realiseert dat er per jaar 440.000 vliegbewegingen boven ons land en het continentaal plat plaatsvinden. De grootste aandacht krijgt natuurlijk Schiphol, dat als vierde luchthaven van Europa per jaar 362.000 vluchten verwerkt. Daarvoor is de LVB 24 uur per dag, zeven dagen per week in touw. Vanuit de grote zaal in het hagelnieuwe gebouw van de LVB bepalen de luchtverkeersleiders de koers en de snelheid van de vliegtuigen die hoog boven hun hoofd passeren. Ook het moment van opstijgen en landen ligt in hun handen. Of, beter gezegd, in die van de computer. Want die berekent constant of de ingegeven koersplannen geen gevaar opleveren voor andere vliegtuigen. Het systeem moet daarvoor zeer snel kunnen rekenen en de ingevoerde gegevens van tientallen verkeersleiders beoordelen. Een supersnelle reactietijd is een basisvoorwaarde. De luchtverkeersleiders hebben drie gebieden tot hun beschikking om vliegtuigen tijdelijk in ‘op te hangen’: boven de Noordzee, boven Flevoland en boven Zeeland. Het inbound-planningssysteem op de LVB-computers houdt bij wanneer het aanbod zo groot is dat deze wachtkamers gebruikt moeten worden.
De computers van de LVB verwerken veel informatie die van buitenaf komt. Elke piloot die het voornemen heeft een vlucht uit te voeren, moet daarvoor een vluchtplan indienen. Zijn gegevens worden via het Europese Flight Plan Processing System in Brussel bezorgd bij de instanties die daarbij belang hebben. De LVB krijgt zo haar informatie over vliegtuigen die zij in het Nederlandse luchtruim kan verwachten. De gegevens zitten ‘slapend’ in het systeem tot het moment dat het vliegtuig binnen het bereik van de radar komt. Dan is een klik op de radarindicatie van het toestel voldoende om een ‘labeltje’ te laten verschijnen met gegevens als de naam van het toestel, vlieghoogte en -snelheid en de bestemming. Omdat niets zeker is in deze wereld, hebben de luchtverkeersleiders ook nog de beschikking over een back-up in de vorm van prints van de gegevens die in het schermlabel staan. De prints zijn bevestigd op plastic strips, en daarmee zijn meteen de klikkende geluiden verklaard die af en toe opklinken tussen de beeldschermen. Alsof een kind zijn Lego-blokken ordent: de strips worden allemaal onder elkaar gelegd op de schuin-aflopende consoles, die voorzien zijn van metalen glijders waar de strips makkelijk overheen schuiven. Klik klik klik: en weer zijn er een paar toestellen geland.
Soldeerpest
Naast de vluchtplannen is voor de LVB ook de weersinformatie van groot belang. Niet alleen om de vlucht zo comfortabel mogelijk te maken (je kunt beter om een regenbui heen vliegen dan er door heen) maar ook om zo te bepalen hoe snel het vliegtuig kan landen. "Bij mooi weer hanteren we meestal een landingsinterval van 1,8 minuten", aldus luchtverkeersleider Bob Bevelander. "Bij zware mist kan dat oplopen tot vier minuten."
De centrale in Brussel kan, als de omstandigheden daar aanleiding toe geven, piloten op andere vliegvelden die Schiphol als bestemming hebben, gelasten later te vertrekken. Zo worden filevorming en onnodige vliegbewegingen voorkomen. ‘Brussel’ moet nogal eens ingrijpen, want Schiphol is een echte ‘pieken-luchthaven’, in de woorden van project-manager Wim Aardoom. Op een aantal momenten van de dag is het aanbod heel groot, groter dan de luchthaven aan kan. Dat geldt zeker bij slechte weersomstandigheden. Op andere momenten wordt niet de volledige capaciteit gebruikt.
Een gigantische informatiestroom dus, waarbij het van het grootste belang is dat nieuwe gegevens snel op alle consoles beschikbaar zijn. Als luchtverkeersleider A een koers opgeeft voor een vliegtuig, moet het niet zo zijn dat collega B drie seconden later dezelfde koers in kan geven.
Juist op dat gebied presteerde het kort voor de zomer vervangen computersysteem van de Luchtverkeersbegeleiding niet optimaal. Sarp (Signal Automated Radar Processing System, een product van Nederlandse bodem), ging vanwege de toenemende verkeersdrukte op Schiphol steeds trager werken. Soms moesten de verkeersleiders enige seconden wachten op een terugmelding van het systeem. Aardoom: "Qua functionaliteit werkte het nog goed, maar het was technisch verouderd. Sarp werd in 1981 ingevoerd. De hardware bestond uit 64- en 128 K-machines, in Assembler geprogrammeerd. Het design van de machines dateerde uit het einde van de jaren zestig. Een aantal machines stamde daadwerkelijk uit die tijd".
Bevelander: "Bij de technische dienst hadden ze het over de soldeerpest als het over die machines ging." Aardoom: "Op het laatst hebben we flink reserve-onderdelen ingekocht toen die machines niet meer gemaakt werden. En we hadden nog een simulator die we in het uiterste geval hadden kunnen kannibaliseren als het mis ging. Maar het was op het randje van de technische mogelijkheden."
Wanneer bedacht wordt dat het luchtverkeer op Schiphol in de periode 1992-1997 met 56,3 procent gegroeid is, wordt helemaal duidelijk waarom een nieuw systeem noodzakelijk was.
Vruchtbaar
In 1989 kwam de LVB dus al tot de conclusie dat er een nieuw systeem moest komen. Negen jaar en 160 miljoen gulden verder is het zover. Waarom duurde het zo lang? Aardoom: "In 1989 zijn we begonnen met de specificaties. Midden 1990 ging de offerteprocedure van start. Begin 1991 waren de reacties van drie leveranciers binnen. In november viel het besluit om in zee te gaan met Raytheon."
Hollandse Signaal, de leverancier van het tot dan toe gebruikte Sarp, deed via moederbedrijf Thomson CSE ook mee in de tenderprocedure. De LVB koos echter voor Raytheon, een Amerikaans bedrijf. Voor politiek Den Haag was dat wel even slikken. Het duurde daarom nog zo’n zeven maanden, tot half 1992, voor de LVB verder mocht met Raytheon. "Politici zeggen wel dat ze niet nationalistisch zijn, maar als het erop aan komt, zijn ze het wel", heeft Aardoom gemerkt. Op 1 januari 1993 begon Raytheon aan de klus. Er volgden vijf jaren van intensieve samenwerking. "Een Air Traffic Control-systeem is uitermate complex", aldus Aardoom. "Vooraf een complete specificatie opstellen is onmogelijk. Er zijn tientallen details die bepalen of iets operationeel aanvaardbaar is. De performance speelt een enorme rol. Als de techniek beperkingen stelt aan je eisen, moet je in voortdurend overleg met de leverancier om te kijken wat wel mogelijk is. Het is dan ook erg belangrijk om de operationele gebruiker erbij te betrekken."
Met andere woorden: de LVB zorgde ervoor dat verkeersleiders en systeemmensen samen aan het project werkten. Er werd anderhalf jaar uitgetrokken om in dat driehoeksoverleg te bepalen hoe het nieuwe systeem er nu uit moest komen te zien. Die aanpak was vruchtbaar, en Aardoom kan het bewijzen. "De specificaties die we opstelden voor de offerte-procedure bestond uit een stapel papier van tien centimeter hoog, de uiteindelijke spec was een meter hoog." Een onverdeeld genoegen was dat nu ook weer niet. Aardoom: "Die negentig centimeter verschil was dus vatbaar voor allerlei misverstanden en discussie." Midden 1994 begon Raytheon aan de productie van het systeem. Twee jaar later kon de LVB de eerste overnamekeuring doen. Begin 1997 volgde de site-acceptance test: vanaf dat moment kon de LVB over het complete systeem beschikken. Er volgde nog een periode van evaluatie en testen. "Dat kost gewoon kalendertijd", is Aardooms ervaring. "Negentig procent testen is geen kunst, het gaat om die laatste tien procent." Een jaar later, op 1 juni 1998, nam het systeem de plaats in van Sarp-II.
Verweggistan
"Een systeem leveren voor een luchthaven in Verweggistan waar weinig of geen automatisering aanwezig is, hoeft natuurlijk niet zoveel tijd te kosten", merkt Bevelander op. "Maar hier moest een bestaand systeem vervangen worden, dat functioneel geavanceerd was. De eisen zijn hoog, want in Nederland hebben we altijd voorop gelopen met de automatisering van de luchtverkeersbeveiliging. De gebruikers zijn verwend met een goede ondersteuning. We hebben vorig najaar nog een aantal andere systemen voor luchtverkeersbegeleiding bekeken. Toen we terug waren zeiden we allemaal tegen elkaar: Sarp, het systeem dat we gaan vervangen is oud, maar het is qua functionaliteit nog steeds top of the bill."
Omdat de Nederlanders van wanten wisten, was het voor gigant Raytheon wel even wennen dat die jongens uit dat kikkerlandje zoveel eisen stelden aan hun systeem. Het Amsterdam Advanced Air Traffic Control-systeem (AAA-systeem) van Raytheon werd daardoor uiteindelijk een soort Sarp-II+, melden Aardoom en Bevelander niet zonder trots. Het voordeel daarvan was dat de overgang soepeler verliep, omdat de luchtverkeersleiders bekende procedures tegenkwamen in het nieuwe systeem.
De enige vertraging van betekenis die het project in die negen jaar opliep, ontstond in de periode van het opstellen van de specificaties. Daarna kwamen er, ook qua begrote kosten, geen verrassingen meer. Het is allemaal te danken aan de nauwe samenwerking tussen de werkvloer en de technische afdeling, meent Bevelander. Aardoom: "Door de middelgrote omvang van de LVB als organisatie zitten systeemingenieurs en operationele gebruikers bij wijze van spreken op dezelfde gang. Er waren veel persoonlijke, goede contacten." Er is nog een aantal verklarende factoren op te noemen. De LVB heeft veel software-ontwikkelingswerk altijd zelf in de hand gehouden. Daardoor was er genoeg know-how om goed mee te denken met de leverancier. Bovendien bestond het begeleidingsteam van het begin tot het eind grotendeels uit hetzelfde dertigtal mensen. Dat voorkwam het vertragende effect van nieuwe mensen die opeens iets heel anders willen dan hun voorganger.
Aardoom is verder erg te spreken over de kostendiscipline van de projectmedewerkers. De LVB is een non-for-profit organisatie, die haar inkomsten krijgt uit een opslag op de vliegtuigtickets. Dat ontslaat de organisatie niet van de plicht de kosten zo laag mogelijk te houden. "De gebruikers waren zich ervan bewust dat ze bepaalde beperkingen moesten accepteren omdat de kosten anders te hoog werden."
Standaard ontbreekt
Waar Aardoom zich over verbaasd heeft, was de geringe kennis bij de leverancier van de operationele werking van hun systeem. Vergoelijkend: "Dat geldt niet alleen voor deze leverancier hoor. Het geldt eigenlijk voor allemaal: men heeft ontzettend weinig kennis van het daadwerkelijke gebruik van het systeem. Je moet het ze elke keer weer vertellen. En het gaat overal ook weer net iets anders natuurlijk."
Bevelander: "Standaardisatie van vooral de mens-machine interface is in de wereld van de automatische verkeerscontrole een achtergebleven gebied. Het zal ook niet meevallen daar verandering in te brengen."
Alles is relatief, zelfs het bezit van een supergeolied luchtverkeersbegeleidingssysteem van 160 miljoen gulden. Aardoom en Bevelander erkennen dat vanwege de noodzakelijke intensieve gegevensuitwisseling met andere luchthavens, de zwakste schakel de kracht van de ketting bepaalt.
Bevelander: "Er is wel gesuggereerd dat we het geld beter aan Griekenland hadden kunnen geven. Ze lopen daar zwaar achter op het gebied van luchtverkeersbeveiliging. Dat had voor de totale luchtvaart in Europa misschien wel meer betekend dan wat er nu bij ons gebeurd is. Maar ja, die keus hadden we niet."
Auke Schouwstra, freelance medewerker
Zwarte dag
Als de LVB op 1 juni overgaat op haar nieuwe luchtverkeersbegeleidingssysteem is er, ondanks een verzoek daartoe van veel luchtverkeersleiders, geen schaduw-periode ingelast. Het risico dat er door de vele benodigde schakelingen iets mis zal gaan, wordt te groot geacht. Natuurlijk zijn er uitgebreide systeemtesten uitgevoerd en hebben er kortdurende schaduwoperaties plaatsgevonden. Ondanks de uitvoerige training hebben de verkeersleiders tijd nodig om te wennen aan de nieuwe omgeving. Om veiligheidsredenen werkt de LVB in de eerste weken het vliegverkeer wat langzamer af dan gebruikelijk. De starts en landingen worden wat meer uitgesmeerd over de dag. Dat heeft (aangekondigde) vertragingen tot gevolg.
Maar daarmee is het leed nog niet geleden. Het oude systeem wordt tot half juni nog overeind gehouden voor noodgevallen. Te kort, blijkt achteraf. Want op zaterdag 11 juli, een drukke dag vanwege het begin van de zomervakantie, gaat het flink mis met het nieuwe AAA-systeem. Het is ergens tussen elf uur en half twaalf ’s morgens.
11.15 uur – Een assistent-verkeersleider maakt een tikfout wanneer hij handmatig data invoert, en hij geeft daardoor een ‘onmogelijke’ waarde in. Doordat in de software geen protocol is opgenomen om zo’n waarde niet te accepteren, verdwijnen de ingevoerde gegevens in het systeem. Een ontwerpfout, ontdekt de LVB later. Met enorme gevolgen.
11.30 uur – De technische supervisor krijgt verschillende error-meldingen door. In tegenstelling tot wat de kranten later berichtten, gaan de schermen niet op zwart. De backup-voorziening zorgt ervoor dat de verkeersleiders hun radarbeeld behouden, zodat de veiligheid niet in gevaar komt. Maar het systeem reageert niet meer op bepaalde berichten. De supervisor gaat op onderzoek uit. De verkeersleiders kunnen hun werk nog wel doen, maar gegevens uit het buitenland worden niet meer door het systeem opgepikt. Ook handmatige invoer lukt niet meer.
12.15 uur – De supervisor grijpt naar de noodoplossing van een ‘warme herstart’ om het systeem weer aan de praat te krijgen. Op die manier blijven de data in het systeem bewaard. Juist daardoor is de actie vruchteloos. Uit veiligheidsoverwegingen wordt het aantal starts en landingen op Schiphol beperkt.
12.30 uur – Een koude start blijkt de enige mogelijkheid om iets te doen aan de storing. Het hele systeem moet opnieuw opgebouwd worden. Om half twee draait alles weer redelijk. Maar diverse intercontinentale vluchten lopen tot tweeëneenhalf uur vertraging op, Europese reizigers moeten maximaal zes uur wachten. De KLM ziet zich genoodzaakt een kleine duizend mensen onder te brengen in hotels.
Goed voor 20 jaar
De LVB heeft in de afgelopen negen jaar niet alleen haar computersysteem vervangen. Bij de vernieuwing is een verhuizing van het centrum van Schiphol naar Schiphol-Oost (vlakbij de oude verkeerstoren) inbegrepen. Daarmee verkeerde de dienst in de luxe situatie dat het nieuwe systeem in alle rust in een nieuw gebouw opgebouwd kon worden, terwijl op Schiphol-centrum het oude systeem gewoon bleef doordraaien.
Het nieuwe gebouw omvat een enorme zaal waar een uitgekiend lichtplan elke ongewenste reflectie in de hoge-resolutie-schermen voorkomt. Het nieuwe systeem kan twintig jaar mee. De capaciteit is enorm toegenomen. Waar Sarp driehonderd vliegplannen tegelijk kon verwerken, kan het nieuwe Amsterdam Advanced Air Traffic Control-systeem (Triple A) er duizend aan. De klassieke opbouw van een grote rekeneenheid met een reservesysteem (master-slave) is verlaten. De negentig operationele werkposities (waarvan dertig in een simulatie-omgeving) worden gevoed door 110 computers, verbonden door een dubbel lan. Nieuwe gegevens kunnen in 800 milliseconden via het netwerk gecheckt worden, meestal wordt een snelheid van 500 milliseconden gehaald voor het verwerken van een invoer.
Naast een nieuw luchtverkeersbegeleidingssysteem is ook de verwerking van radargegevens aangepast. Nieuwe software maakt het mogelijk verschillende radarbronnen te combineren, wat het omgevingsbeeld sterk verbetert. Daarnaast zijn communicatie, bewaking en data-uitwisseling op de schop genomen. Met het totale vernieuwingsprogramma is voor de LVB een bedrag van 700 miljoen gulden in tien jaar gemoeid.
