Das ERCS umfasst folgende zwei Stufen:

STUFE 1: Ermittlung der Werte der zwei Variablen „Schwere” und „Wahrscheinlichkeit” .

STUFE 2: Bewertung des Sicherheitsrisikos in der ERCS-Matrix anhand der Werte, die für die zwei Variablen ermittelt wurden.

STUFE 1: ERMITTLUNG DER WERTE DER VARIABLEN:

1.

Schwere der potenziellen Unfallfolge

1.1.

Ermittlung

Die Ermittlung der Schwere der potenziellen Unfallfolge erfolgt in folgenden zwei Schritten:

a)

Bestimmung der wahrscheinlichsten Unfallart, in die das zu bewertende Ereignis eskalieren könnte (sogenannter Hauptrisikobereich);

b)

Bestimmung der Größenordnung der potenziellen Opferzahl aufgrund der Größe des Luftfahrzeugs und der Nähe zu bewohnten Gebieten oder Hochrisikogebieten.

Die Hauptrisikobereiche sind:

a.

Zusammenstoß in der Luft: ein Zusammenstoß zwischen zwei Luftfahrzeugen oder zwischen Luftfahrzeugen und anderen Objekten in der Luft (ausgenommen Vögel und Wildtiere);

b.

gestörter Flugzustand des Luftfahrzeugs: ein unerwünschter Zustand des Luftfahrzeugs, der durch unbeabsichtigte Abweichungen von den normalerweise während des Flugbetriebs auftretenden Parametern gekennzeichnet ist, was letztlich zu einer unkontrollierten Bodenberührung führen könnte;

c.

Zusammenstoß auf der Piste: ein Zusammenstoß zwischen einem Luftfahrzeug und einem anderen Objekt (anderes Luftfahrzeug, Fahrzeuge usw.) oder einer Person, der sich auf der Piste eines Flugplatzes oder in einem anderen vorab ausgewiesenen Landebereich ereignet. Ausgenommen sind Zusammenstöße mit Vögeln oder Wildtieren;

d.

Abkommen von der Piste: ein Ereignis, bei dem ein Luftfahrzeug die Piste oder die Bewegungsfläche eines Flugplatzes oder die Landefläche eines anderen vorab ausgewiesenen Landebereichs verlässt, ohne vom Boden abzuheben. Dazu zählen auch vertikale Landungen von Drehflüglern oder VTOL-Luftfahrzeugen, Ballonen oder Luftschiffen mit schwerem Aufprall;

e.

Brand-/Rauchentwicklung, Druckbelüftung: ein Ereignis, bei dem Brand-, Rauch-, Gas- oder Druckverhältnisse auftreten, die zu einer Gefahr für das menschliche Leben werden können. Dazu zählen Brand-, Rauch- oder Gasereignisse, die einen Teil des Luftfahrzeugs während des Fluges oder am Boden betreffen und nicht auf mechanische Einwirkung oder böswillige Handlungen zurückzuführen sind;

f.

Beschädigung am Boden: Schäden an Luftfahrzeugen, die durch den Betrieb eines Luftfahrzeugs am Boden außerhalb der Piste oder eines vorab ausgewiesenen Landebereichs entstehen, sowie Schäden während der Instandhaltung;

g.

Zusammenstoß mit Hindernissen während des Flugs: Zusammenstoß eines fliegenden Luftfahrzeugs mit vom Boden aufragenden Hindernissen. Hindernisse sind u. a. hohe Gebäude, Bäume, Stromleitungen, Telefonkabel und Antennen sowie befestigte Objekte;

h.

Bodenberührung: ein Ereignis, bei dem ein fliegendes Luftfahrzeug den Boden berührt ohne Hinweise darauf, dass die Flugbesatzung nicht in der Lage war, das Luftfahrzeug zu kontrollieren. Dazu zählen auch Fälle, in denen die Flugbesatzung durch optische Täuschungen oder schlechte Sicht beeinträchtigt wird;

i.

sonstige Verletzungen: ein Ereignis, bei dem tödliche oder nicht tödliche Verletzungen verursacht wurden und das keinem anderen der Hauptrisikobereiche zugeordnet werden kann;

j.

Sicherheit: unrechtmäßige Eingriffe in die Zivilluftfahrt. Dazu zählen alle Störungen und Verstöße im Zusammenhang mit der Überwachung und dem Schutz, der Zugangskontrolle, der Durchleuchtung und der Durchführung von Sicherheitskontrollen sowie alle sonstigen Handlungen, durch die Luftfahrzeuge und Vermögenswerte auf böswillige oder mutwillige Weise zerstört werden sollen und die eine Gefährdung der Zivilluftfahrt und ihrer Einrichtungen oder einen unrechtmäßigen Eingriff in diese darstellen. Dies umfasst sowohl für die physische Sicherheit als auch die Cybersicherheit relevante Vorfälle.

Die potenzielle Opferzahl wird wie folgt eingestuft:

a)

mehr als 100 potenzielle Todesopfer, wenn das zu bewertende Ereignis mindestens eines von Folgendem betrifft:

—

ein zertifiziertes großes Luftfahrzeug mit möglicherweise mehr als 100 Passagieren an Bord;

—

ein Frachtluftfahrzeug gleichwertiger Größe;

—

ein Luftfahrzeug gleich welchen Typs in einem dicht besiedelten Gebiet, einem Hochrisikogebiet oder beidem;

—

jede Situation unter Beteiligung eines Luftfahrzeugs gleich welchen Typs, bei der mehr als 100 Personen tödlich verletzt werden könnten;

b)

zwischen 20 und 100 potenzielle Todesopfer, wenn das zu bewertende Ereignis mindestens eines von Folgendem betrifft:

—

ein zertifiziertes mittleres Luftfahrzeug mit möglicherweise 20 bis 100 Passagieren an Bord oder ein Frachtluftfahrzeug gleichwertiger Größe;

—

jede Situation, bei der 20 bis 100 Personen tödlich verletzt werden könnten;

c)

zwischen 2 und 19 potenzielle Todesopfer, wenn das zu bewertende Ereignis mindestens eines von Folgendem betrifft:

—

ein zertifiziertes kleines Luftfahrzeug mit möglicherweise bis zu 19 Passagieren an Bord;

—

ein Frachtluftfahrzeug gleichwertiger Größe;

—

jede Situation, bei der 2 bis 19 Personen tödlich verletzt werden könnten;

d)

1 potenzielles Todesopfer, wenn das zu bewertende Ereignis mindestens eines von Folgendem betrifft:

—

ein nicht zertifiziertes Luftfahrzeug, d. h. ein Luftfahrzeug, das nicht den Zertifizierungsanforderungen der Agentur der Europäischen Union für Flugsicherheit unterliegt;

—

jede Situation, bei der eine Person tödlich verletzt werden könnte;

e)

0 potenzielle Todesopfer, wenn bei dem zu bewertenden Ereignis Personen verletzt, aber nicht getötet werden, unabhängig von der Anzahl leichter und schwerer Verletzungen.

1.2

Bestimmung

Die Schwere des Unfalls wird durch einen der folgenden Schweregrade ausgedrückt:

—

„A” : ein Unfall ist unwahrscheinlich;

—

„E” : ein Unfall mit leichten und schweren (nicht lebensverändernden) Verletzungen oder geringfügigen Schäden am Luftfahrzeug;

—

„I” : ein Unfall mit einem Todesopfer, einer lebensverändernden Verletzung oder erheblichen Schäden am Luftfahrzeug;

—

„M” : ein schwerer Unfall mit einer begrenzten Anzahl von Todesopfern, lebensverändernden Verletzungen oder der Zerstörung des Luftfahrzeugs;

—

„S” : ein signifikanter Unfall, bei dem Personen getötet oder verletzt werden können;

—

X: ein extremer katastrophaler Unfall, bei dem eine große Anzahl von Personen zu Tode kommen kann.

Der Schweregrad ergibt sich aus der Kombination des Hautrisikobereichs und der potenziellen Opferzahl gemäß folgender Tabelle:

HAUPTRISIKOBEREICH	KATEGORIE	SCHWEREGRAD
Zusammenstoß in der Luft	Mehr als 100 potenzielle Todesopfer	X
	Zwischen 20 und 100 potenzielle Todesopfer	S
	Zwischen 2 und 19 potenzielle Todesopfer	M
	1 potenzielles Todesopfer	I
Gestörter Flugzustand des Luftfahrzeugs	Mehr als 100 potenzielle Todesopfer	X
	Zwischen 20 und 100 potenzielle Todesopfer	S
	Zwischen 2 und 19 potenzielle Todesopfer	M
	1 potenzielles Todesopfer	I
Zusammenstoß auf der Piste	Mehr als 100 potenzielle Todesopfer	X
	Zwischen 20 und 100 potenzielle Todesopfer	S
	Zwischen 2 und 19 potenzielle Todesopfer	M
	1 potenzielles Todesopfer	I
	0 potenzielle Todesopfer	E
Abkommen von der Piste	Zwischen 20 und 100 potenzielle Todesopfer	S
	Zwischen 2 und 19 potenzielle Todesopfer	M
	1 potenzielles Todesopfer	I
	0 potenzielle Todesopfer	E
Brand-/Rauchentwicklung, Druckbelüftung	Mehr als 100 potenzielle Todesopfer	X
	Zwischen 20 und 100 potenzielle Todesopfer	S
	Zwischen 2 und 19 potenzielle Todesopfer	M
	1 potenzielles Todesopfer	I
Beschädigung am Boden	Zwischen 2 und 19 potenzielle Todesopfer	M
	1 potenzielles Todesopfer	I
	0 potenzielle Todesopfer	E
Zusammenstoß mit Hindernissen während des Flugs	Mehr als 100 potenzielle Todesopfer	X
	Zwischen 20 und 100 potenzielle Todesopfer	S
	Zwischen 2 und 19 potenzielle Todesopfer	M
	1 potenzielles Todesopfer	I
Bodenberührung	Mehr als 100 potenzielle Todesopfer	X
	Zwischen 20 und 100 potenzielle Todesopfer	S
	Zwischen 2 und 19 potenzielle Todesopfer	M
	1 potenzielles Todesopfer	I
Sonstige Verletzungen	Zwischen 20 und 100 potenzielle Todesopfer	S
	Zwischen 2 und 19 potenzielle Todesopfer	M
	1 potenzielles Todesopfer	I
	0 potenzielle Todesopfer	E
Sicherheit	Mehr als 100 potenzielle Todesopfer	X
	Zwischen 20 und 100 potenzielle Todesopfer	S
	Zwischen 2 und 19 potenzielle Todesopfer	M
	1 potenzielles Todesopfer	I
	0 potenzielle Todesopfer	E

2.

Wahrscheinlichkeit der potenziellen Unfallfolge

Die Wahrscheinlichkeit des Eintretens der ungünstigsten Unfallfolge wird anhand des in Abschnitt 2.1 definierten Modells sogenannter Sicherheitsbarrieren ( „ERCS-Barrierenmodell” ) ermittelt.

2.1.

ERCS-Barrierenmodell

Das ERCS-Barrierenmodell dient der Bewertung der Wirksamkeit (d. h. Anzahl und Stärke) der in der Tabelle in Abschnitt 2.1.1 festgelegten Barrieren im Sicherheitssystem, die nach dem tatsächlichen Ereignis noch verblieben sind und das Eintreten der ungünstigsten Unfallfolge abgewendet haben. Letztendlich soll mit dem ERCS-Barrierenmodell bestimmt werden, mit welcher Wahrscheinlichkeit das zu bewertende Ereignis zu dem Unfall geführt hätte.

2.1.1

Barrieren

Das ERCS-Barrierenmodell umfasst 8 Barrieren, die in logischer Reihenfolge angeordnet sind und entsprechend der folgenden Tabelle gewichtet werden:

Nummer der Barriere	Barriere	Gewichtung der Barriere
1	„Konstruktion des Luftfahrzeugs, der Ausrüstung und der Infrastruktur” (Aircraft, equipment and infrastructure design) umfasst Instandhaltung und Korrektur, Betriebsunterstützung und Vermeidung von Problemen im Zusammenhang mit technischen Faktoren, die zu einem Unfall führen könnten.	5
2	„Taktische Planung” (Tactical planning) umfasst die organisatorische und individuelle Planung vor dem Flug oder andere betriebliche Tätigkeiten zur Unterstützung der Reduzierung von Unfallursachen und -faktoren.	2
3	„Vorschriften, Verfahren, Prozesse” (Regulations, procedures, processes) umfasst wirksame, verständliche und verfügbare Vorschriften, Verfahren und Prozesse, die befolgt werden (ausgenommen die Anwendung von Verfahren für das Zurückführen in einen sicheren Flugzustand (Recovery Barriers)).	3
4	„Lageerfassung und Maßnahmen” (Situational awareness and action) umfasst die Wachsamkeit des Menschen gegenüber betrieblichen Risiken, damit Betriebsgefahren erkannt und wirksame Unfallverhütungsmaßnahmen bestimmt werden können.	2
5	„Warnsysteme und Maßnahmen” (Warning systems operation and action), die einen Unfall verhindern könnten und die ihren Zweck erfüllen, funktions- und einsatzfähig sind und angewandt werden.	3
6	„Verspätetes Zurückführen in einen sicheren Flugzustand nach einer potenziellen Unfallsituation” (Late recovery from a potential accident situation)	1
7	„Absicherungen” (Protections): nach einem Vorfall mindern immaterielle Barrieren oder Vorkehrungen das Folgenausmaß oder verhindern eine Eskalation des Ereignisses.	1
8	„Niedrigschwelliges Ereignis” (low energy occurence) wird ebenso gewichtet wie „Absicherungen” , allerdings nur soweit es niedrigschwellige Hauptrisikobereiche betrifft (Beschädigung am Boden, Abkommen von der Piste, Verletzungen). „Nicht zutreffend” (not applicable) für alle übrigen Hauptrisikobereiche.	1

2.1.2.

Wirksamkeit der Barrieren

Die Wirksamkeit der einzelnen Barrieren wird wie folgt eingestuft:

—

„Stopped” ( „abgewendet” ): wenn durch die Barriere der Unfall abgewendet wurde;

—

„Remaining Known” ( „verblieben” ): wenn bekannt ist, dass die Barriere zwischen dem zu bewertenden Ereignis und der potenziellen Unfallfolge noch besteht;

—

„Remaining Assumed” ( „mutmaßlich verblieben” ): wenn anzunehmen ist, dass die Barriere zwischen dem zu bewertenden Ereignis und der potenziellen Unfallfolge noch besteht;

—

Failed Known ( „versagt” ): wenn bekannt ist, dass die Barriere versagt hat;

—

„Failed Assumed” ( „mutmaßlich versagt” ): wenn anzunehmen ist, dass die Barriere versagt hat, auch wenn keine oder nur unzureichende Informationen vorliegen, um dies festzustellen;

—

„Not Applicable” ( „nicht zutreffend” ): wenn die Barriere keine Bedeutung für das zu bewertende Ereignis hat.

2.1.3

Bewertung der Barrieren

Die Barrieren sind in zwei Schritten zu bewerten: Schritt 1: Die Feststellung, welche der in der Tabelle in Abschnitt 2.1.1 festgelegten Barrieren (1-8) ein Eskalieren des Ereignisses in die potenzielle Unfallfolge verhindert hat (sogenannte „Stopping Barrier” ). Schritt 2: Die Feststellung der Wirksamkeit der noch verbliebenen Barrieren gemäß Abschnitt 2.1.2. Die verbliebenen Barrieren sind diejenigen aus der Tabelle in Abschnitt 2.1.1, die zwischen der „Stopping Barrier” und der potenziellen Unfallfolge noch vorhanden sind. Diejenigen Barrieren aus der Tabelle in Abschnitt 2.1.1, die sich vor der „Stopping Barrier” befinden, haben keine Bedeutung für die Verhinderung des Unfalls und werden deshalb weder als „Stopped” noch „Remaining” eingestuft.

2.2.

Berechnung

Die Wahrscheinlichkeit der potenziellen Unfallfolge ist der sich aus folgenden Schritten ergebende Zahlenwert: Schritt 1: Die Summe der Gewichtungen (1 bis 5) aller Barrieren gemäß der Tabelle in Abschnitt 2.1.1, die entweder mit „Stopped” , „Remaining known” oder „Remaining assumed” bewertet wurden. Die mit „Failed” und „Not Applicable” bewerteten Barrieren zählen nicht für das Endergebnis, da diese Barrieren den Unfall nicht hätten verhindern können. Die einzelnen Gewichtungen werden summiert und ergeben einen Zahlenwert zwischen 0 und 18. Schritt 2: Der Summe der Gewichtungen wird eine Barrierenpunktzahl zwischen 0 und 9 gemäß nachstehender Tabelle zugeordnet, die das gesamte Spektrum der noch verbliebenen, starken und schwachen Barrieren abdeckt.

Summe der Gewichtungen	Entsprechende Barrierenpunktzahl
0 Keine Barrieren mehr vorhanden. Ungünstigste Unfallfolge eingetreten.	0
1-2	1
3-4	2
5-6	3
7-8	4
9-10	5
11-12	6
13-14	7
15-16	8
17-18	9

STUFE 2: BEWERTUNG DES SICHERHEITSRISIKOS IN DER ERCS-MATRIX

Der Sicherheitsrisikowert ist zweistellig, wobei an erster Stelle der Buchstabe steht, der sich aus der Berechnung des Schweregrads (A bis X) des Ereignisses ergibt, und an zweiter Stelle der Zahlenwert aus der Berechnung der entsprechenden Punktzahl des Ereignisses (0 bis 9). Der Sicherheitsrisikowert wird in die ERCS-Matrix eingetragen. Jeder Sicherheitsrisikowert besitzt auch ein entsprechendes numerisches Äquivalent, das Aggregations- und Analysezwecken dient und im Abschnitt Numerisches Äquivalent erläutert wird. Die ERCS-Matrix gibt den Sicherheitsrisikowert und die entsprechenden mit dem Ereignis verbundenen Zahlenwerte folgendermaßen wieder: Um die Dringlichkeit der infolge des Ereignisses empfohlenen Maßnahmen besser einschätzen zu können, könnten zusätzlich zum Sicherheitsrisikowert in der ERCS-Matrix folgende drei Farben verwendet werden:

Farbe	ERCS-Wert	Bedeutung
ROT	X0, X1, X2, S0, S1, S2, M0, M1, I0	Hohes Risiko. Ereignisse mit dem höchsten Risiko.
GELB	X3, X4, S3, S4, M2, M3, I1, I2, E0, E1	Erhöhtes Risiko. Ereignisse mit mittlerem Risiko.
GRÜN	X5 bis X9, S5 bis S9, M4 bis M9, I3 bis I9, E2 bis E9	Ereignisse mit geringem Risiko

Der grüne Bereich der Matrix enthält die niedrigeren Risikowerte. Sie liefern Daten zur gründlichen Analyse sicherheitsrelevanter Ereignisse, die entweder einzeln oder zusammen mit anderen Vorfällen die Risikowerte solcher Ereignisse erhöhen könnten. Numerisches Äquivalent Jedem ERCS-Wert wird ein entsprechender Zahlenwert des Risikograds zugeordnet, um die Aggregation und numerische Analyse von mehreren Ereignissen, denen ein ERCS-Wert zugeordnet wurde, zu erleichtern:

ERCS-Wert	X9	X8	X7	X6	X5	X4	X3	X2	X1	X0
Entsprechender Zahlenwert	0,001	0,01	0,1	1	10	100	1000	10000	100000	1000000
ERCS-Wert	S9	S8	S7	S6	S5	S4	S3	S2	S1	S0
Entsprechender Zahlenwert	0,0005	0,005	0,05	0,5	5	50	500	5000	50000	500000
ERCS-Wert	M9	M8	M7	M6	M5	M4	M3	M2	M1	M0
Entsprechender Zahlenwert	0,0001	0,001	0,01	0,1	1	10	100	1000	10000	100000
ERCS-Wert	I9	I8	I7	I6	I5	I4	I3	I2	I1	I0
Entsprechender Zahlenwert	0,00001	0,0001	0,001	0,01	0,1	1	10	100	1000	10000
ERCS-Wert	E9	E8	E7	E6	E5	E4	E3	E2	E1	E0
Entsprechender Zahlenwert	0,000001	0,00001	0,0001	0,001	0,01	0,1	1	10	100	1000

Der entsprechende Zahlenwert in Spalte 10 und in Zeile A der Matrix ist 0.