Модель ризона в авиации кратко

Обновлено: 05.07.2024

Человеческий фактор является основной причиной в 80% аварий, катастроф в таких отраслях как нефтегазовая, горнодобывающая и авиации. Существует множество моделей для анализа подобных инцидентов и определения их причин, которые сфокусированы на человеческом факторе. В нашей обзоре мы рассмотрим Систему анализа и классификации человеческого фактора (HFACS), разработанную Скоттом Шаппеллом и Дугом Вигманном, которая первоначально использовалась только в ВВС США для исследования и анализа аспектов человеческого фактора в авиации, а затем стала применяться во множестве отраслей и организаций как в США, так и за рубежом.

· Предпосылки для небезопасных действий,

На каждом уровне системы определены причинные категории, которые идентифицируют возникающие активные и скрытые отказы.

Теоретически на каждом уровне произойдет по крайней мере один отказ (сбой), ведущий к неблагоприятному событию. Если в любое время, ведущее к неблагоприятному событию, одна из ошибок (неисправностей) будет исправлена, неблагоприятное событие будет предотвращено.

Уровень 1: Небезопасные действия

· Ошибки, связанные с навыками: ошибки, которые возникают при выполнении оператором рутинной, хорошо отработанной задачи, связанной с процедурой, обучением или умением, и приводят к небезопасной ситуации.

· Ошибки принятия решений: ошибки, которые возникают, когда поведение или действия операторов продолжаются по назначению, но выбранный план оказывается неадекватным для достижения желаемого конечного состояния и приводит к небезопасной ситуации,

· Ошибки восприятия: ошибки, которые возникают, когда сенсорное восприятие оператора снижается, и решение принимается на основе полученной ошибочной информации.

· Обычные нарушения: нарушения, которые являются обычным действием со стороны оператора и допускаются руководством организации.

· Исключительные нарушения: нарушения, не типичные для отдельных лиц и не оправдываемые руководством организации.

Уровень 2: Предварительные условия

Уровень предварительных условий разделен на три категории:

· Факторы окружающей среды;

Эти три категории далее делятся на подкатегории.

Факторы окружающей среды относятся к физическим и технологическим факторам, которые влияют на практику, условия и действия человека и приводят к человеческой ошибке или небезопасной ситуации.

Состояние операторов относится к неблагоприятному психическому состоянию, неблагоприятному физиологическому состоянию и факторам физических / психических ограничений, которые влияют на методы работы, условия или действия людей и приводят к человеческой ошибке или небезопасной ситуации.

Кадровые факторы относятся к факторам управления ресурсами экипажа и личной готовности, которые влияют на методы, условия или действия отдельных лиц и приводят к человеческой ошибке или небезопасной ситуации.

Факторы окружающей среды:

· Физическая среда: относится к факторам, которые включают как рабочие условия (например, погоду, местность), так и окружающую среду (например, тепло, вибрацию, освещение и т. д.).

· Технологическая среда: относится к факторам, которые включают в себя множество вопросов проектирования и автоматизации, включая дизайн оборудования и элементов управления, характеристики дисплея / интерфейса, макеты контрольных списков, факторы задач и автоматизацию.

Состояние операторов:

· Неблагоприятное психическое состояние: относится к факторам, которые включают те психические состояния, которые влияют на производительность (например, стресс, умственная усталость, мотивация).

· Неблагоприятное физиологическое состояние: относится к факторам, которые включают те медицинские или физиологические условия, которые влияют на работоспособность (например, медицинское заболевание, физическая усталость).

Кадровые факторы:

· Управление ресурсами при совместной выполнении задач: относится к факторам, которые включают в себя вопросы коммуникации, координации, планирования и совместной работы.

· Личная готовность: относится к деятельности вне службы, необходимой для оптимального выполнения работы, такой как соблюдение требований к отдыху, ограничения на употребление алкоголя и другие обязанности в свободное от работы время.

Проблемы менеджмента — это управленческие решения, которые могут в отдаленном будущем привести к катастрофе. Например, вследствие финансового кризиса авиакомпания сокращает траты на тренировку пилотов. Те учатся меньше часов, выходят на работу неподготовленными и не справляются с управлением самолетом. Можно сказать, что вина в таком случае лежит на самом пилоте, и отчасти это так — но первопричиной произошедшего была все же корпоративная политика. Без знаний о том, что послужило отправной точкой для происшествия, невозможно быть уверенным, что она не повторится в будущем. Именно поэтому так много авиакомпаний взяло на вооружение разработки Ризона.

Последний тип ошибки — это активные ошибки. Первые же три вида — это ошибки латентные, то есть косвенно ведущие к катастрофе. Как правило, модель швейцарского сыра используют на стадии проведения исследований именно для того, чтобы в первую очередь уберечься от последних. Либо для предотвращения катастрофы, либо для выяснения, как же она случилась и что нужно сделать, чтобы такого больше не было.

Другая область, в которой активно применяют теорию швейцарского сыра — проектирование систем пожарной безопасности. Основная концепция, применительно к этому бизнесу, заключается в добавлении максимального количества барьеров-ломтиков, в надежде, что в случае чего хотя бы один из них окажется недырявым.

Разумеется, неправильно ограничивать применимость модели только бизнесом. Собираясь в отпуск или планируя свидание на крыше лунной ночью, полезно вспомнить Ризона и задуматься о том, достаточно ли много сырных ломтиков отделяют вас от провала.

Швейцарская сырная модель причинности происшествий показывает, что, хотя между опасностями и несчастными случаями лежат многие уровни защиты, в каждом из них есть недостатки, которые, если их выровнять, могут позволить происшествию произойти.

Хотя модель швейцарского сыра пользуется уважением и считается полезным методом соотнесения концепций, она подвергалась критике за то, что используется слишком широко и без достаточного количества других моделей или поддержки. [2]

Содержание

Домены отказа

Reason выдвинул гипотезу о том, что большинство аварий можно связать с одной или несколькими из четырех областей отказа: влияние организации, надзор, предварительные условия и конкретные действия. [3] [4] Например, в авиации предварительные условия для небезопасных действий включают усталость экипажа или ненадлежащие способы связи. Небезопасный надзор включает, например, совместное использование неопытных пилотов в ночном полете в условиях известной неблагоприятной погоды. Организационные влияния включают в себя такие вещи, как сокращение расходов на обучение пилотов во времена жесткой экономии. [5] [6]

Отверстия и ломтики

Фрош [10] описал модель Reason в математических терминах как модель в теория перколяции, которую он анализирует как Решетка Бете.

Активные и скрытые сбои

Модель включает активные и скрытые отказы. Активные отказы включают небезопасные действия, которые могут быть напрямую связаны с авиационным происшествием, например (в случае авиационных происшествий): навигация ошибка. К скрытым сбоям относятся сопутствующие факторы, которые могут бездействовать в течение нескольких дней, недель или месяцев, пока не станут причиной аварии. Скрытые отказы охватывают первые три области отказа в модели Reason. [5]

На заре существования модели швейцарского сыра, с конца 1980 по 1992 год, были предприняты попытки объединить две теории: модель многоуровневой защиты Джеймса Ризона и модель Виллема Альберта Вагенаара. теория штатива причин аварии. Это привело к периоду, когда диаграмма Swiss Cheese была представлена срезами сырных этикеток в виде активных отказов, предварительных условий и скрытых отказов.

Эти попытки объединить две теории до сих пор вызывают путаницу. Более правильная версия комбинированных теорий показана с предварительным условием активных отказов (теперь называемых непосредственными причинами) и скрытым отказом (теперь называемыми первопричинами), показанными как причина, по которой каждый барьер (кусок сыра) имеет отверстие и кусочки сыр как преграды.

Приложения

Это одна из многих моделей, перечисленных со ссылками в Taylor et al (2004). [14]

Камун и Ничо [15] обнаружили, что модель швейцарского сыра является полезной теоретической моделью для объяснения многогранных (человеческих, организационных и технологических) аспектов утечки данных в сфере здравоохранения.

Смотрите также

Рекомендации

Источники

дальнейшее чтение

Эта статья для тех, у кого недостаточно времени для скрупулезного изучения документов ИКАО, касающихся реагирующего подхода к управлению безопасностью полетов, но кто хотел бы иметь определенное представление о заложенных в них идеях.

Документы ИКАО (Приложение 19 "Управление безопасностью полетов" и Док. 9859 "Руководство по управлению безопасностью полетов") гласят, что точное и своевременное представление информации об инцидентах и авиационных происшествиях (АП) является одним из основополагающих направлений деятельности в сфере управления безопасностью полетов (БП).

Концептуальные же рамки для государственной программы по Безопасности полетов (ГосПБП) в качестве одного из элементов ГосПБП требуют наличия в государстве системы расследования АП и инцидентов. Концептуальные рамки для Системы управления безопасностью полетов (СУБП) поставщиков обслуживания в качестве одного из элементов СУБП требует наличия у поставщика обслуживания механизмов выявления источников опасности, связанных с авиационными продуктами или услугами, которые он предоставляет. Выявление источников опасности при этом должно основываться на сочетании реагирующих, проактивных и прогностических методах сбора данных о безопасности полетов.

Источниками информации для реагирующего подхода к управлению безопасностью полетов являются отчеты по результатам расследования АП и инцидентов, возлагаемые ИКАО на государство, которое должно обеспечить процесс независимого расследования. Единственной целью расследования должно являться предотвращение АП и инцидентов, а не определение ответственности за них. Такие расследования поддерживают систему управления БП в стране. Государство должно поддерживать независимость организации, занимающейся расследованием АП и инцидентов, от других государственных авиационных организаций. Организация, занимающаяся расследованиями, должна быть функционально независима от любой другой организации, интересы которой могут конфликтовать с задачами расследования. Обоснование независимости этой функции от функций других организаций объясняется тем, что причина АП может быть связана с нормативными факторами. Независимость повышает эффективность организации, занимающейся расследованием, и позволяет избегать явных или возможных конфликтов интересов. Организация, которая проводит расследование, не должна одновременно заниматься сертификацией различных видов авиационной деятельности. К сожалению, в России этот принцип не соблюдается, что стало уже общим местом в выступлениях на эту тему представителей авиационной общественности. Почему-то Правительство РФ полностью игнорирует как требования ИКАО и российского законодательства, так и мнение авиационной общественности.

Объективные отчеты по результатам расследования являются очень важным источником данных для реагирующего подхода к выявлению опасностей для безопасности полетов. В развитых системах управления БП государств и/или поставщиков обслуживания предусматриваются также уведомления об имевших место событиях с незначительными последствиями. Это позволяет создать на основе реагирующего подхода в СУБП необходимый механизм мониторинга для своевременного прогнозирования всех возможных вариантов развития происшествий с серьезными последствиями. Тенденция динамики событий с незначительными последствиями неминуемо становится предвестником происшествий с последствиями серьезного характера.

При авиационном происшествии или серьезном инциденте проводится расследование с целью выявления возможных отказов в авиационной системе и их причин, а также выработки контрмер для предотвращения подобных происшествий в будущем. В СУБП процесс расследования негативных событий играет четко определенную роль, наступающую после того, как со своей задачей не справились средства защиты, предусмотренные системой. Негативное событие - это сбой, выпадающая точка в работе СУБП. Расследования негативных событий способствуют постоянному совершенствованию авиационной системы, предоставляя сведения об основных причинах авиационных происшествий/инцидентов и уроках, усвоенных из анализа событий. Это позволяет определять необходимые улучшения авиационной системы. Расследования на государственном уровне ограничиваются АП и серьезными инцидентами, но в рамках СУБП поставщиков обслуживания должны также расследоваться события с незначительными последствиями.

Помимо заключений о причинах негативных событий в ходе современных расследований необходимо выявлять также опасные факторы и угрозы. Всестороннее расследование включает выявление фактов и установление различий между конечными последствиями, небезопасными действиями и опасными факторами или угрозами, способствовавшими негативному событию. Оно должно концентрироваться на всех факторах систематического, скрытого или организационного характера, присутствующих в рамках всей авиационной системы. В СУБП должна осуществляться интеграция между процессом расследования негативного события и процессом выявления и представления данных об опасных факторах на уровне организации. Отчеты по результатам расследования должны содержать задокументированные опасные факторы или угрозы, требующие отдельного изучения в рамках процесса выявления опасных факторов и уменьшения рисков, связанных с ними.

К сожалению, отдельные отчеты по результатам расследований ограничиваются только содержащимися в них "заключениями" и "рекомендуемыми мерами" исключительно на основе непосредственных и прямых причин происшествий. Таким образом, любые вторичные или косвенные опасные факторы и угрозы игнорируются. При выявлении опасных факторов необходимо рассматривать все возможные опасные факторы, которые существуют в сфере авиационной деятельности поставщика обслуживания, включая взаимодействие с другими системами, как внутри, так и вне организации. После того, как будут выявлены опасные факторы, необходимо определить, как они повлияли на конкретные события или результаты происшествия.

При выявлении причинности происшествий ИКАО в "Руководстве по управлению безопасностью полетов" основывается на разработанной профессором Джеймсом Ризоном модели "швейцарского сыра", наглядно показывающей, что АП предполагают последовательные нарушения многоуровневой системы защиты. Они вызываются рядом содействующих факторов, таких, как отказы оборудования или ошибки при эксплуатации. Модель "швейцарского сыра" исходит из того, что такие сложные системы, как авиация, имеют чрезвычайно хорошую защиту из нескольких уровней, внутренние единичные отказы редко имеют серьезные последствия в авиационной системе. Нарушение в системе защиты безопасности представляет собой замедленное последствие решений, принимаемых на высших уровнях системы, не проявляющихся до тех пор, пока их воздействие не будет инициировано конкретным стечением эксплуатационных обстоятельств. При таких конкретных обстоятельствах ошибки человека или активные отказы на эксплуатационном уровне действуют как пусковые механизмы скрытых условий, способствующих нарушению присущих системе средств обеспечения безопасности полетов.

В модели Ризона все происшествия включают сочетание активных и скрытых условий. При определении причин АП необходимо различать активные отказы, являющиеся следствием действия или бездействия, которые оказывают прямое негативное воздействие. Активные отказы, ассоциируются с исполнителями (пилотами, диспетчерами УВД, авиационными инженерами-механиками и т. д.). Фактически это прямая видимая цепочка событий, приводящая к авиационному событию. Но обычно это верхушка айсберга, а главные причины происшествия связаны со скрытыми условиями. Они существовали в авиационной системе задолго до наступления негативного события и могут не проявлять себя в течение длительного времени. Первоначально они не воспринимаются как опасные, но это становится очевидным после того, как нарушены средства защиты системы. Такие условия обычно создают люди, которые весьма далеки во времени и пространстве от самого события. Кроме того, их причиной могут также стать плохое оборудование или процедуры, конфликтные цели организации, недостатки в организационных системах и неправильные решения руководства. ИКАО вводит понятие происшествия по организационным причинам и требует выявления и уменьшения последствий скрытых условий на общесистемной основе, а не путем локальных мер по сведению к минимуму активных отказов со стороны отдельных лиц. В авиационной системе должны быть заложены различные средства защиты от отклонений в действиях или решениях человека на всех уровнях системы. Модель Ризона позволяет понять, что в течение всего периода до наступления АП скрытые условия присутствовали в авиационной системе и были приведены в действие местными факторами. Поэтому основная задача расследования состоит не в выявлении стрелочника, на которого можно "повесить всех собак" и дальше с чувством выполненного долга спокойно почивать на лаврах до следующего АП, а в выявлении организационных причин, заложенных в авиатранспортной системе, которые позволили реализоваться данному негативному событию. Документы ИКАО акцентируют внимание расследователей именно на организационных причинах.

В модели Ризона основополагающими организационными процессами в части обеспечения БП являются распределение ресурсов и обмен информацией. Другим направлением, вытекающим из организационных процессов, являются условия на рабочем месте, непосредственно влияющие на эффективность деятельности людей в авиационной отрасли.

Неоптимальные условия на рабочем месте порождают активные отказы со стороны эксплуатационного персонала, которые можно рассматривать либо как ошибки, либо как нарушения. Различие между ними заключается в мотивации. Лицо, следующее правилам и процедурам, но которое не может выполнить поставленной перед ним задачи, совершает ошибку. Лицо, которое намеренно не следует правилам и процедурам совершает нарушение.

С точки зрения происшествия по организационным причинам расследование авиационных событий должно быть направлено на анализ организационных процессов, чтобы выявлять скрытые условия и давать рекомендации по усилению средств защиты.

Необходимо в процессе расследования четко разграничивать ошибки персонала и нарушения. Ошибка - непреднамеренный поступок, нарушение же является умышленным действием или бездействием с целью отхода от установленных процедур, протоколов, норм и практики. Необходимо понимать, что люди всегда будут совершать ошибки независимо от уровня использованной технологии, уровня подготовки или наличия правил, процедур и регламентов. В этой связи расследование должно установить, какие средства защиты не сработали для устранения возможности ошибки и уменьшения последствий ошибки. Ошибки можно разделить на промахи, упущения и просчеты. Промахи - это действия, которые не осуществляются, как запланировано, а упущения происходят из-за плохой памяти. Например, если пилот взялся за рукоятку управления закрылками вместо рукоятки выпуска шасси - это промах. Если он забыл какую-то позицию в контрольной карте пилота - это упущение. Просчеты - это недостатки в планировании действий. Даже если бы исполнение плана было корректным, запланированного результата все равно не удалось бы достичь.

В процессе расследования необходимо выявить факторы, способствовавшие возникновению ошибки. На работу персонала оказывают влияние организационные, нормативно-правовые и экологические факторы. Выявление факторов риска для БП при расследовании должно основываться на рассмотрении политики организации, процедур и регламентов обмена информацией, распределения ресурсов и бюджетных ограничениях. Нарушением же является "намеренное неисполнение обязанностей или бездействие, результат которых - отход от норм, установленных процедур, протоколов и практики". Несоблюдение не обязательно является результатом нарушения, поскольку отход от нормативных требований и правил эксплуатации ВС может происходить и вследствие ошибки. Нарушения являются намеренными действиями, но не обязательно носят злонамеренный характер. Персонал может сознательно отходить от норм, убежденный в том, что нарушение облегчит выполнение ими задачи без серьезных негативных последствий. Такие нарушения имеет место, когда организация стремится выполнить возросшие требования к объему услуг, игнорируя или механически распространяя имеющиеся средства защиты на новый объем. Все эти моменты при расследовании авиационных событий должны быть обязательно выявлены и классифицированы, так как влекут за собой различные рекомендации по предотвращению негативных авиационных событий в будущем.

Новые подходы к расследованию негативных событий связаны с изменением характера аварий в конце прошлого и начале нынешнего века в связи с быстрыми темпами технологических инноваций. Цифровые технологии создали тихую революцию в большинстве "инженерных" областей. Многие из подходов по предотвращению аварий часто не эффективны в связи с использованием цифровых систем и программного обеспечения. В сложных технических системах возникают нелинейные перекрестные связи. Это приводит к тому, что причина и следствие уже не связаны прямым или очевидным образом. Повышение сложности систем делает проблематичным для конструкторов рассмотреть все возможные состояния системы, а эксплуатантам управлять всеми нормальными и аварийными ситуациями. Неадекватные взаимодействия между человеком и машиной становятся все более важными факторами аварий. Многие АП и инциденты, которые были списаны на ошибки летного экипажа, могут более точно быть определены, как результат недостатков технической и социальной среды, в которой он работал.

Старые подходы к расследованию негативных событий непригодны сегодня для сложных социотехнических систем. Необходимо понимать, что безопасность и надежность - это разные свойства. Система может быть надежной, но небезопасной, или безопасной, но ненадежной. В сложных системах аварии часто возникают в результате взаимодействия между компонентами, хотя все они могут удовлетворять индивидуальным требованиям к ним с точки зрения их безотказности. В современных высокотехнологичных системах взаимодействия между компонентами не всегда могут быть полностью спланированы, поняты, предсказаны, а ошибки проектирования - полностью устранены тщательным тестированием. Системные конструкторские ошибки теперь чаще вызывают аварии, даже когда все компоненты функционируют надежно. Иногда причины негативных событий связаны с небезопасным взаимодействием между компонентами системы. Высокая надежность компонентов не предотвращает негативных событий, связанных с их взаимодействием. Безопасность и надежность иногда конфликтуют. Повышение надежности может снизить безопасность, а повышение безопасности - снизить надежность. Это же относится и к социальным системам.

Децентрализованное принятие решений в организации может привести к значительному количеству аварий в сложных социотехнических системах. Каждое местное решение может быть "правильным" в ограниченном контексте, но способно привести к катастрофе, когда независимые решения и организационное поведение, взаимодействуют так, что не выполняют своих функций. Необходимо четко понимать, что безопасность - это свойство всей системы в целом, а не свойство компонента, и должна управляться на системном уровне, а не на уровне компонентов. Важно иметь в виду, что выбор отдельного события для включения в цепь событий зависит от желания расследователя посмотреть, как далеко назад простирается последовательность разъясняющих событий. Выбор первопричины является произвольным, и предыдущие события всегда можно добавить. Обратная цепочка может остановиться, потому что причинно-следственная линия исчезает из-за недостатка информации.

В дополнение к основной причине некоторые события могут быть определены в качестве прямых причин, а другие как сопутствующие. Это зависит только от выбора первопричины. Объяснением, почему действия операторов часто отождествляются с причиной аварии, является трудность в продолжение обратного прослеживания назад "через" человека. Иногда "первопричиной" всех бед выбирается человек, так как это является политически приемлемым. Но определение ошибки оператора или диверсии в качестве ключевой причины аварии игнорирует большинство возможностей для профилактики подобных случаев в будущем. Важные события или объяснения могут быть исключены или не рассмотрены, потому что они поднимают вопросы, которые компрометируют какую-либо важную организацию, ее подрядчиков или политически неприемлемы. К сожалению, при расследовании конкретных негативных ситуаций часто велик соблазн выхватить какое-либо отдельное звено авиационной системы и обвинить во всех смертных грехах. Это лишь возможность отчитаться перед начальством о том, что виновные найдены и примерно наказаны, но мало что дает для предотвращения подобных негативных ситуаций в будущем.

Если же рассмотрены все косвенные и системные факторы, то становится ясно, что задействованный работник был, в действительности, лишь незначительным и неактуальным игроком в негативном происшествии. Наоборот, деградация запаса безопасности, произошедшая со временем, не связана с каким-либо единственным решением или действием, а была просто цепью организационных решений, приведшей к медленно развивавшейся ситуации, когда любая незначительная ошибка может стать причиной крупного негативного события. Об этом всегда необходимо помнить, проводя расследования.

Читайте также: