Samen met Emery Roe schreef Paul R. Schulman het boek Reliability and Risk. Daarin onderscheidt hij verschillende vormen van ‘interdependency’, die inzicht moeten geven in de complexe wereld van wederzijdse afhankelijkheden van cruciale infrastructuren en de risico's die hiermee samenhangen, volgens Schulman een 'blinde vlek' van politici, beleidsmakers en ontwerpers.
Facebook jaagt massa’s op de kast, IS voert oorlog op Twitter. We hadden kunnen voorzien dat continue verbondenheid van alles en iedereen risico's met zich meebrengt...
‘We zijn zo ongelofelijk verbonden met elkaar, op elke schaal, op elk niveau, op elke plek. Niets in de natuur dat zo intens verbonden is, kan overleven. We spreken dan over een onnatuurlijke vorm van wederzijdse afhankelijkheid.’
Dat klinkt nogal verontrustend…
‘We weten domweg niet wat de risico’s zijn van het internet, en het feit dat iedereen direct met iedereen kan communiceren, dat virussen systemen plat kunnen leggen. Dat geldt voor alle publieke infranetten. De wederzijdse afhankelijkheid wordt steeds groter. Maar we hebben geen analytisch model om de risico’s van die afhankelijkheden te bestuderen en juist in te schatten. Laat staat dat we het antwoord hebben op de vraag wie de verbonden risico’s managet.’
Uw boek Reliability and Risk geeft het antwoord?
‘Wij hebben geprobeerd de vinger achter de materie te krijgen. Na bestudering van vele netwerkrelaties kwamen we erachter dat er een aantal gradaties van afhankelijkheden bestaan. Dat begint met een eenvoudig, lineair verband. Een spanning op een elektrische netwerk drijft de pomp aan van een gemaal. Als de spanning wegvalt, valt het gemaal uit. Als dit verder geen invloed heeft op de elektriciteitsvoorziening, spreken we van lineaire connectiviteit.’
Wanneer wordt lineaire connectiviteit wederzijdse afhankelijkheid?
‘Als het gemaal uit het voorbeeld boven eveneens de watervoorziening regelt voor de koeling van de centrale. De output van het elektriciteitsnetwerk is de input van de koelvoorziening. Beide netwerken zijn afhankelijk van elkaar en vanaf dit moment is er sprake van wederzijdse afhankelijkheid en dus ook verbonden risico’s.’
‘Een veelvoorkomende vorm van wederzijdse afhankelijkheid is de ‘pooled interdependency’. Dit is een vorm van afhankelijkheid, , waarbij individuele netwerkcomponenten die niks met elkaar te maken hebben, toch een gezamenlijke afhankelijkheid kennen, omdat ze onder centrale coördinatie staan. Steeds vaker zien we echter dat er geen centrale aansturing is zoals in de ‘pooled’ situatie, maar alle losse onderdelen direct met elkaar communiceren. Dit is zoals het internet georganiseerd is. Het is een zeer intensieve vorm van wederzijdse afhankelijkheid en zelforganisatie en we kunnen inmiddels wel stellen dat het de informatievoorziening in onze maatschappij heeft veranderd, omdat de intermediair afwezig is. In de wereld van de dingen spreken we van het internet of things. Deze vorm van horizontale verbondenheid schept enorm veel mogelijkheden, ook voor de infrawereld, maar brengt tegelijkertijd enorme nog grotendeels onbegrepen risico’s met zich mee.’
Hoe complexer de afhankelijkheidsrelatie, hoe groter de risico’s?
‘Ja, en om het nog ingewikkelder te maken: een afhankelijkheidsrelatie kan onder bepaalde omstandigheden veranderen. Laat ik als voorbeeld een dijk nemen met daarop een weg. Er is sprake van een lineaire afhankelijkheidsrelatie, waarbij de weg afhankelijk is van de dijk. Met ander woorden: de dijk voorziet in een weg. Maar onder sommige omstandigheden kan het ook de ander kant op werken. Stel dat noodweer een gat in de dijk slaat en het gat moet snel gedicht worden. Dan leunt de dijk op de weg, waarover nieuw materiaal voor de dijk aangevoerd kan worden. De afhankelijkheid keert om. Een ander voorbeeld: Landen hebben hun eigen gezondheidsvoorziening. Stel dat er een epidemie de kop op steekt. Normaal probeer je die te bezweren in eigen land'.
'Maar om de boel onder controle te houden, gaan landen informatie uitwisselen, bijvoorbeeld over getroffen patiënten. De onafhankelijke gezondheidszorg is dan opeens onderdeel van een netwerk van gezondheidsstelsels. Doelstelling is om het risico op verspreiding tegen te gaan. Maar de betrouwbaarheid van het totaal is zo groot als de betrouwbaarheid van de meest onbetrouwbare partner in het netwerk. De les die we hieruit kunnen halen is dat netwerken zich moeten kunnen aanpassen in een gewijzigde verhouding, al naar gelang de situatie die zich voordoet. Echter, in de praktijk blijkt dat er vooral geredeneerd, gehandeld en ontworpen wordt vanuit en voor de ‘normale situatie’. Die situatie is er vaak een die uitgaat van het enkele netwerk. Maar voor het beheersen van risico’s moet je verder kijken.’
Hoeveel verschillende veranderingen van afhankelijkheidsverhoudingen onderscheidt u?
‘Ten eerste (1) gaan we uit van een normale situatie met lineaire of wederkerige verbanden. Maar problemen gerelateerd aan wederkerigheid ontstaan vaak in een storingssituatie (2), met stress voor het hele systeem tot gevolg. Vergelijk dit met een gat in de dijk. Afhankelijk van de mate van verdere uitval van systemen, kunnen de verhoudingen tussen de systemen gaan schuiven: de weg en de dijk verhouden zich opeens anders tot elkaar. In het ergste geval kan het hele systeem uitvallen. Vergelijk dit met een situatie van een dijkdoorbraak. Dit is een echte noodsituatie (3). Je zal het systeem vanaf de grond weer moeten opbouwen.'
'Op het moment dat het hersteld is, ben je nog niet gelijk terug bij de oorspronkelijke situatie met oorspronkelijke afhankelijkheden. Misschien heb je gehoord van de electriciteitscrisis die we in Californië hebben gehad. In het jaar 2000 en 2001 sneed een serie van blackouts zo’n 1,5 miljoen huishoudens in de San Francisco Bay-Delta soms dagen achtereen af van elektriciteit. Het probleem was dat er onvoldoende elektriciteit opgewekt kon worden om aan de vraag te voldoen, maar in theorie zou dat niet tot gevolg moeten hebben dat het hele systeem plat ligt. In werkelijkheid was het zo dat omdat één elektriciteitscentrale dienst weigerde, alle elektriciteitscentrales stilvielen. Het onderliggende netwerk dat in combinatie met alle aangesloten elektrciteitscentrales een “pooled” systeem vormde, was in dit geval de boosdoener'.
We moeten nu in nieuwe technologie investeren, in nieuwe apparatuur, we hebben een smart grid nodig
'Om na een blackout de stroomvoorziening op gang te brengen, moet het onderliggende netwerk eerst opgeknipt worden in verschillende onderdelen. In elk van die onderdelen kan dan weer de stroomvoorziening op gang gebracht worden en pas dan kan het gehele netwerk op elkaar worden aangesloten en is de gehele stroomvoorziening weer op gang gebracht. Deze situatie kun je beschouwen als een soort crisissituatie (4), waarbij informele verbanden de centrale coördinatie van een pooled systeem vervangen. Vergelijk het met de periode ná een dijkdoorbraak. Er moet snel materiaal ergens vandaan worden gehaald. Mensen die normaal niet met elkaar praten, praten opeens met elkaar. Geleidelijk aan ontstaat dan het nieuwe normaal (5), waarbij coördinatoren worden aangesteld om het herstelproces te overzien'.
'Het spannendste moment tijdens de elektriciteitscrisis in de San Francisco Bay-Delta was het aaneenkoppelen van de individuele netwerken tot het oude, vertrouwde pooled systeem. De oude situatie is hersteld, protocollen nemen weer de overhand en niemand kan meer zelf beslissen. Betrokkenen kijken met weemoed terug. “We can’t do it anymore like during the crisis”.’
U zegt dat bestuurders zich amper realiseren hoe wederzijdse afhankelijheid werkt. In Nederland voorziet NGinfra in kennisuitwisseling tussen netbeheerders en daarmee bewustwording. Bestaat zoiets in de Verenigde Staten?
‘In Californië hebben we een organisatie van publieke netbeheerders, de California Public Utilities Commission, die zich tot voor kort niet met het thema bezighield. Het gaat om input en output, dat is het wel. En er is een oorlogskas, voor noodgevallen. Maar het grootste verschil met de situatie in jullie land is misschien wel dat de beheerders van onze publieke netten private partijen zijn. Vanuit concurrentieoverwegingen zijn ze weinig transparant. De netwerkpartner van Homeland Security heeft gepoogd kwetsbaarheid als thema te agenderen. Maar de uitkomsten van onderzoek worden niet uitgewisseld.’
‘Alleen de mensen in de control rooms, realiseren zich wat de omvang van die wederzijdse afhankelijkheid is. Maar niemand managet de verbonden risico’s, ook de emergency mangement frameworks (een soort veiligheidsregio’s, red.) niet. Zij proberen vooral de schade te beperken, als het al te laat is.’
‘Tekenend was het voorbeeld van een training die we organiseerden voor een aantal netbeheerders. Een stroomnetwerk zou uitvallen en we vroegen deelnemers aan de oefening de losse units een voor een weer op te starten en uiteindelijk weer met elkaar te verbinden. Men ging er klakkeloos van uit dat geleund kon worden op het mobiele telefonie-netwerk. Maar ook dat was uitgeschakeld. Men is zich amper van de wederzijdse afhankelijkheden bewust.’
Wat moeten netbeheerders doen?
‘De mensen die beslissingen nemen zullen vaker hun oor te luisteren moeten leggen bij de mensen op de werkvloer, die vaak uit eigen ervaring weten hoe die wederzijdse afhankelijkheid werkt. Hetzelfde geldt voor de architecten van de netwerken, die ontworpen moeten worden op verschillende typen uitval. Men is zich onvoldoende bewust van hoe iets kapot kan, behalve die ingenieur die ik een keer sprak die eerlijk bekende: “Ik heb dingen gemaakt die zelfs de grootste idioot kan ontregelen.” We beschouwen betrouwbaarheid van onze netwerkinfrastructuur te veel als gegeven. Maar we moeten een herhaling van een echec als in 2000 en 2001 zien te voorkomen. Mensen waren woest! Vanwege de wederzijdse afhankelijkheden zijn risico’s nu alleen maar groter, en dat betekent meer risico op ontregeling en woede. We moeten nu in nieuwe technologie investeren, in nieuwe apparatuur, we hebben een smart grid nodig. We moeten, kortom, aan de toekomst denken.'
