Методика Расследование происшествия
Сведения о методике
2 УТВЕРЖДЕНА И ВВЕДЕНА В ДЕЙСТВИЕ Приказом от 01.01.2001г.
Настоящая методика определяет порядок осуществления внутреннего расследования происшествия.
1 Область применения. 3
2 Общие положения. 3
3 Внутреннее расследование происшествия. 3
3.1 Осмотр места происшествия. 3
3.2 Опрос пострадавших, свидетелей и участников происшествия. 4
3.3 Анализ документов, имеющих отношение к происшествию.. 5
3.4 Описание обстоятельств происшествия. 5
3.5 Построение временной шкалы.. 5
3.6 Определение ключевых причин происшествия. 6
3.7 Разработка корректирующих мер. 7
1 Область применения
1.1 Настоящая методика является составной частью стандарта Организации СК‑16.01.10 «Происшествия. Оперативное сообщение, расследование, учет и периодическая отчётность» (далее – СК-16.01.10).
1.2 Настоящая методика устанавливает требования к использованию следующих шаблонов документов:
Временная шкала происшествия
Блок построения событий
Журнал учёта микротравм
Анализ причинно-следственных связей происшествий
2.1 Целью внутреннего расследования происшествий является предотвращение повторения подобного происшествия в будущем путем выявления и исправления недостатков в системе управления промышленной безопасностью, охраной труда, охраной окружающей среды в Обществе. Расследование должно показать, какие положения, правила, процедуры необходимо пересмотреть или изменить, какие методы управления безопасностью необходимо улучшить, какие опасные условия устранить или исправить.
2.2 Внутреннее расследование происшествий не заменяет расследование аварий и несчастных случаев, которые проводятся уполномоченными государственными органами в соответствии с действующим законодательством.
2.3 Для квалифицированного и эффективного расследования происшествий должны соблюдаться следующие основные принципы:
— своевременность и оперативность расследования;
— компетентность и правомочность лиц, проводящих расследование;
— полнота, последовательность и объективность расследования;
— повсеместное распространение извлеченных уроков и улучшений в системе управления безопасностью как наиболее эффективный способ предотвращения подобных происшествий в будущем.
3 Внутреннее расследование происшествия
3.1 Осмотр места происшествия
3.1.1 Тщательный осмотр места происшествия должен быть проведен своевременно.
3.1.2 При осмотре места происшествия необходимо выяснить:
— в каком состоянии находились рабочие места, оборудование, транспортные средства на момент происшествия;
— какие средства индивидуальной защиты находились на рабочем месте, какими из них пользовался пострадавший;
— какие материалы, инструменты, приспособления применялись пострадавшим, чем была нанесена травма;
— имелись ли оградительные устройства, предохранительные приспособления.
3.1.3 В случае если при осмотре места происшествия не удается установить достоверные обстоятельства и возможные причины, приведшие к возникновению происшествия, необходимо провести осмотр цехов, участков, объектов с аналогичными условиями труда, технического состояние аналогичного оборудования.
3.1.4 При осмотре места происшествия необходимо составить его схему (рисунок, чертёж), произвести фотосъёмку.
3.2 Опрос пострадавших, свидетелей и участников происшествия
3.2.1 После осмотра места происшествия необходимо провести сбор письменных объяснений пострадавших, свидетелей, участников происшествия путем их опроса.
3.2.2 Перед началом беседы опрашиваемым необходимо правильно разъяснить цели и задач расследования. В процессе беседы рекомендуется учитывать состояния здоровья и самочувствия пострадавшего, создавать положительный интерес и отношение опрашиваемых лиц к обстоятельствам расследуемого происшествия, обеспечить спокойную рабочую обстановку, тактично и вежливо относиться не только к пострадавшему, очевидцам и участникам происшествия, но и к руководителям работ.
3.2.3 Круг задаваемых вопросов должен быть ограничен фактами, относящимися к происшествию, и не должен вдаваться в причины, приведшие к его возникновению.
3.2.4 Рекомендуется задавать вопрос за вопросом, выяснить максимальное количество фактов, дойти до того уровня, когда станут понятными основные факторы, способствующие происшествию.
3.2.5 Начинать опрос необходимо с общих вопросов, которые позволят человеку в целом дать информацию по всем аспектам случившегося. Затем необходимо переходить к специальным и конкретным вопросам, чтобы сузить тему и услышать больше подробностей. Только после этого следует переходить к закрытым вопросам, на которые могут быть даны короткие ответы «Да» или «Нет».
3.2.6 Тому, кто проводит опрос, необходимо внимательно слушать собеседника, не перебивая и фиксировать нужную информацию на бумаге.
3.2.7 Для получения лучших результатов опроса рекомендуется демонстрировать правильность понимания сказанного путем повторения вслух ключевых моментов. Тем самым вы демонстрируете, что вы слушаете собеседника и поняли, что было сказано, и можете подкорректировать детали.
3.2.8 В случае опроса лица, который получил травму, необходимо выражать сочувствие пострадавшему.
3.2.9 Опрос будет успешным, если он не превратился в допрос. Для этого необходимо избегать следующих моментов: заранее иметь предвзятое мнение; проявлять нетерпение, обвинять и не предоставлять достаточно времени для опроса, задача состоит в получении максимально объективной информации, которая позволит понять действия работников и развитие опасной ситуации.
3.2.10 После проведения собеседования с пострадавшим работником необходимо опросить всех свидетелей происшествия. Может оказаться, что свидетель является единственным человеком, который может прояснить обстоятельства происшествия. Если это возможно, свидетелей следует опрашивать по отдельности с тем, чтобы показания одного свидетеля не повлияли на показания другого свидетеля.
3.2.11 Результаты опроса пострадавших, очевидцев, участников происшествия необходимо оформлять в виде письменных объяснений или протоколов опроса. Эти объяснения не следует перегружать ненужными подробностями и деталями, не имеющими непосредственного отношения к обстоятельствам происшествия.
3.2.12 Необходимо провести сбор письменных объяснений непосредственных руководителей работ и других ответственных лиц путём их опроса.
3.2.13 Опрос непосредственных руководителей работ и других ответственных лиц, кроме выяснения обстоятельств происшествия, следует вести для установления объективных причин происшествия.
3.2.14 При субъективной заинтересованности отдельных должностных лиц имеется вероятность искажения достоверности объяснений с целью уменьшения личной ответственности в происшествии, сокрытия причин происшествия, необоснованности обвинения пострадавшего, поэтому каждому ответственному лицу должны задаваться конкретные вопросы по их обязанностям.
3.3 Анализ документов, имеющих отношение к происшествию
3.3.1 В ходе расследования необходимо тщательно изучить имеющие отношение к происшествию документы, которые условно можно разделить на три группы:
— документы, фиксирующие фактическое состояние объектов, организации работы;
— документы, определяющие корпоративные требования.
3.3.2 К первой группе документов относится техническая, технологическая и организационная документация (паспорта на оборудование, инструкции по эксплуатации оборудования, инструкции по охране труда, технические условия, схемы, чертежи, описание технологического процесса, операционные карты, план расстановки оборудования и т. д.). А также приказы, указания и распоряжения по Обществу, стандарты предприятия и технологические регламенты, правила и нормы безопасности, ГОСТы, РД, предписания органов государственного надзора.
3.3.3 Ко второй группе относятся разрешения (наряды-допуски) на проведения работ, вахтовый журнал, квалификационные удостоверения работников, журнал регистрации инструктажей на рабочем месте, протоколы аттестационных комиссий, акты об испытаниях, освидетельствованиях оборудования, заключения экспертизы промышленной безопасности, акты проверки технического состояния машин, механизмов, данные о пострадавших.
3.3.4 К третьей группе документов относятся Политики Компании, Стандарты, процедуры, инструкции, приказы, указания и распоряжения по Компании, результаты аудиторской деятельности, отчеты по выполнению запланированных мероприятий.
3.3.5 Конкретный перечень документов, подлежащих изучению, зависит от специфики производства, характера травмы и других особенностей происшествия.
3.3.6 При необходимости, комиссией может быть принято решение о проведении специальной экспертизы, технических расчетов, лабораторных исследований и испытаний.
3.4 Описание обстоятельств происшествия
3.4.1 После поведения осмотра места происшествия, опроса и изучения документальных и вещественных доказательств необходимо объективно и полно изложить обстоятельства происшествия.
3.4.2 Тщательное описание обстоятельств создает правильные предпосылки для выяснения действительных причин происшествия и позволяет в дальнейшем проводить всесторонний анализ. При изложении обстоятельств должны быть отражены все основные установленные факты происшествия.
3.4.3 Предположения, домыслы, догадки и сомнительные утверждения не допустимы.
3.5 Построение временной шкалы
3.5.1 После описания обстоятельств необходимо построить временную шкалу происшествия в соответствии с шаблоном Ш-16.01.10-05.
3.5.2 Временная шкала происшествия представляет собой горизонтальную ось времени, которая может быть нанесена на презентационной доске, либо на столе, на которой в хронологическом порядке распределяются блоки построения событий и условий.
3.5.3 Блок построения – это отражение в установленном формате (Ш-16.01.10-06) событий или условий, фактов или предположений, имеющих отношение к расследуемому происшествию. Уровень детализации установленных фактов, событий, условий может быть различным.
3.5.4 Блоки построения событий представляют собой описание действий или явлений, которые составляют цепочку последовательной деятельности, предшествующей происшествию. Блоки построения условий обычно представляются в виде описательной информации рабочих условий, условий окружающей среды.
3.5.5 Хорошо составленный блок построения содержит конкретную информацию, время событий, указывает место, где произошло событие, называет источник доказательств.
3.5.6 После распределения по временной шкале всех установленных событий и условий методом исключения определяются те отрицательные события и нежелательные условия, которые непосредственно могли повлиять на ход событий, отсутствие которых могло бы предотвратить происшествие или уменьшить его серьезность. Данные события или условия определяются как критические факторы происшествия.
3.5.7 Преимущества временной шкалы происшествия заключаются в том, что обеспечивается упорядочение доказательств, расследование происшествия имеет направленный характер, проводится проверка последовательности и достоверности фактов, определяются критические факторы происшествия, упрощается подготовка отчета по расследованию происшествий.
3.5.8 При включении временной шкалы в отчетные материалы рекомендуется изобразить ее в табличной форме.
3.6 Определение ключевых причин происшествия
3.6.1 Определение ключевых причин происшествия – является целью расследования внутренней комиссии, поскольку только при условии правильного определения причин можно быть уверенным в эффективности предусмотренных корректирующих действий для предотвращения подобного происшествия в будущем.
3.6.2 Если комиссия установит, что одним из составляющих факторов происшествия были опасные действия со стороны работника, в этом случае следует постараться выяснить, почему работник совершил эти опасные действия.
3.6.3 Если было установлено наличие опасного условия, его источник должен быть выявлен и устранен.
3.6.4 Рекомендации по предотвращению подобных происшествий составляются исходя из выявленных причин.
3.6.5 После определения критических факторов происшествия необходимо установить непосредственные причины. Для этого можно использовать таблицу «Анализ причинно-следственных связей происшествий» (М-16.01.10-02). Для облегчения процесса можно воспользоваться соответствующим разделом ИУС «Азимут».
3.6.6 В зависимости от типа происшествия, последовательно анализируются все категории непосредственных причин, отнесенных как к нестандартным действиям, так и к нестандартным условиям. Возможно, установленные критические факторы являются непосредственными причинами происшествия.
3.6.7 После определения непосредственных причин происшествия устанавливается их взаимосвязь с основными причинами. Семнадцать категорий основных причин относятся как к персональным, так и к производственным факторам работы, и охватывают практически весь спектр производственной деятельности. Причин может быть несколько. Каждая причина должна быть подкреплена доказательствами.
3.6.8 После определения основных причин происшествия устанавливается их взаимосвязь с системными причинами. Двадцать две категории системных причин позволяют определить недостатки в системе управления.
3.6.9 В случае, если невозможно применить формулировки, указанные в таблице, используется пункт «другое». Но при этом необходимо четко прописать, что явилось причиной происшествия.
3.6.10 Таблица «Анализ причинно-следственных связей происшествий» является общим инструментом для расследования происшествий.
3.6.11 Использование таблицы позволяет применить системный метод анализа причин происшествия и определения соответствующих корректирующих мер, применить последовательное, организованное обоснование соответствующих утверждений, графически укрепить принцип многообразия причин, использовать справочную информацию для оценки качества расследования, выполнить анализ тенденций.
3.6.13 Установленные причины необходимо внести в соответствующий раздел ИУС «Азимут». В дальнейшем эта информация, расположенная в электронном виде, поможет делать анализ причин происшествий за различный период времени.
3.7 Разработка корректирующих мер
3.7.1 Как только будут установлены причины происшествия, необходимо сразу разработать корректирующие меры с целью предотвращения повторения подобных происшествий. Эти рекомендации могут относиться к конкретному виду работ или конкретной ситуации, ко всему производственному участку или Обществу.
3.7.2 Корректирующие меры должны четко определять планируемые действия, определять их приоритетность, устанавливать практические, реальные и достижимые цели, устранять или уменьшать риск, определять конечный результат.
3.7.3 При разработке корректирующих мер необходимо учитывать вероятность воздействия источника опасности, тяжесть последствий от воздействия источника опасности, частоту воздействия источника опасности, затраты для Общества.
Методы расследования происшествий и аварий в линейных и нелинейных системах
Скачать PDF | Загрузок: 51 | Цитирований: 1
Цитировать:
Кузнецова Е.А. Методы расследования происшествий и аварий в линейных и нелинейных системах // Экономика, предпринимательство и право. – 2020. – Том 10. – № 12. – С. 3149-3176. – doi: 10.18334/epp.10.12.111379.
Эта статья проиндексирована РИНЦ, см. https://elibrary.ru/item.asp?id=44668158
Цитирований: 1 по состоянию на 06.04.2021
Аннотация:
Актуальность исследования обусловлена реализуемыми в последние несколько лет реформами в области охраны труда, направленными на переход от жесткого соблюдения нормативных требований к оценке рисков каждым работодателем с учетом особенностей его конкретного производства. Эта реформа должна будет в недалеком будущем затронуть вопросы надежности собираемых статистических сведений в области производственного травматизма, а также выявления корневых причин несчастных случаев с целью предотвращения их повторения. В статье проводится обзор зарубежных публикаций, посвященных расследованию причин несчастных случаев и происшествий, методам расследования и их классификации. Сделан вывод о необходимости использования различных методов расследования в зависимости от типа происшествия и сложности производственных процессов. Статья будет интересна государственным инспекторам труда, исследователям, занимающимся вопросами охраны труда, а также практикам, руководителям предприятий и служб охраны труда.
Ключевые слова: производственный травматизм, расследование несчастного случая, происшествие, метод расследования происшествий
JEL-классификация: A12, J28, J81, M11
Анализ публикаций отечественных авторов дал несколько неожиданный результат. При поисковом запросе в научной электронной библиотеке e-library, сформулированном как «производственный травматизм», статьи авторов относятся либо к статистике, показателям травматизма со стандартной констатацией их динамики и перечислением причин из классификатора 2005 года [2, 7, 5] (Loginova, 2018; Gyseinov, Bershadskiy, 2018), либо рассматривают юридические нюансы расследования несчастного случая и его классификации как связанного с производством [3] (Aporevich, 2018). Поисковый запрос «несчастные случаи на производстве» показывает статьи, рассматривающие вопрос с точки зрения страхования и возмещения вреда пострадавшим [8, 4] (Samsonov, 2019; Gerasimov, 2019). То есть к рассмотрению несчастных случаев на производстве подходят с позиции юристов, математиков и страховщиков. И в качестве основной причины определяют в подавляющем большинстве случаев нарушение, допущенное работником. Также следует отметить тот факт, что все это по большей части статьи студентов, а не серьезных исследователей.
Однако во все усложняющемся мире можно ли найти одну причинно-следственную связь? Метод установления причинно-следственной связи зародился в эпоху, когда изменения производства были строго контролируемыми, нечастыми и в значительной степени скоординированными. И подходы к расследованию происшествий разрабатывались именно для простых, достаточно предсказуемых линейных систем. С усложнением производства, с повышением неопределенности процессов уловить причинно-следственную связь между конечным нежелательным событием и приведшими к нему причинами (явным и косвенным) становится все сложнее.
Более того, как уже отмечалось автором данной статьи [6] (Kuznetsova, 2020), необходимо упомянуть утверждение голландского социолога Эрика Холлнагеля о том, что расследование происшествия можно охарактеризовать как процесс, соответствующий принципу «Вы найдете то, что ищете» (What You Look For Is What You Will Find, WYLFIWYF).
В зарубежной научной литературе используется несколько терминов: модель причинно-следственных связей [41] (Li et al., 2017), [25] (Grant et al., 2018), модель анализа аварий [26] (Haghighattalab et al., 2019), модель расследования происшествий [47] (Pasman et al., 2018) и модель прогнозирования происшествий [37] (La Torre et al., 2019).
В соответствии с логической последовательностью происшествий модели причинно-следственных связей можно разделить на линейные и нелинейные. Линейные модели причинно-следственной связи обычно исследуют причины различных этапов происшествия (например, прямые причины, косвенные причины, коренные причины) и формируют цепочку в соответствии с логической последовательностью, чтобы человек мог четко видеть различные причины происшествий и отношения между ними. Нелинейные модели причинно-следственных связей, как правило, ориентированы на анализ одного или нескольких факторов аварии и не позволяют логически определить причину аварии на разных этапах.
Данная статья представляет обзор методов расследования происшествий, классифицированных в зависимости от моделей причинно-следственных связей, линейных и нелинейных. Нелинейные модели причинно-следственных связей далее подразделяются на модели статистические, энергетические и системные модели происшествий. Такая классификация позволяет получить более четкое представление о причине происшествия и удобна для применения в управлении безопасностью.
Линейные (мультилинейные) модели анализа происшествий
Модель домино Хейнриха
Хейнрих – известный ученый в области науки о безопасности. Он привел свою всемирно известную модель причины происшествий в книге «Предотвращение несчастных случаев на производстве» [28] (Heinrich, 1931), которая впоследствии была названа теорией домино, как показано на рисунке 1.
Рисунок 1. Теория домино
Хейнрих считал, что небезопасные действия человека являются причиной происшествия или небезопасного механического и физического состояния оборудования. Теория домино гласит, что если удалить среднюю костяшку домино из последовательности, то причинения ущерба не произойдет.
Значение этой теории заключается в: 1) связывании причин и последствий происшествия, формировании цепочки причин происшествия и предоставлении людям возможности выбрать путь его предотвращения; 2) выявлении двух прямых причин происшествий; 3) предоставлении способа частичного предотвращения происшествия за счет устранения небезопасных действий и состояний.
Модель причин происшествий Берда
Американские ученые Берд и Жермен усовершенствовали теорию домино и предложили рассматривать предотвращение происшествий с точки зрения «контроля ущерба» [13–15] (Bird, 1974; Bird, Loftus, 1976; Bird, Germain, 1985).
Теория также включает пять категорий, которые в основном расширяют понятие первых двух костяшек теории домино. Основные дополнения заключаются в следующем:
1. Основные причины. Берд и Жермен делят причину на две категории: личностные факторы, факторы работы/системы, которые отличаются от «вины человека» теории домино. В этой модели личностные факторы могут включать в себя недостаток знаний и навыков в области безопасности, неправильные поведенческие мотивы, а также физические и психологические дефекты. Факторы работы/системы являются главным образом управленческими причинами, включающими несовершенные рабочие процедуры, проблемы с оборудованием и опасные факторы рабочей среды на рабочем месте.
2. Радикальные причины. Берд и Жермен считают, что основной причиной происшествия является «отсутствие контроля», то есть недостатки управления. Из-за отсутствия управления сотрудники могут не получить достаточного обучения или знаний, что является основной причиной «отсутствия контроля».
Предложенная ими новая модель причинно-следственных связей показана на рисунке 2.
Рисунок 2. Модель причин ущерба
Модель «швейцарского сыра» (SCM)
Она может считаться самой широко известной моделью причин происшествий в мире. Самая ранняя версия SCM состояла из четырех «кусочков сыра»: организационные факторы, ошибки контроля, предпосылки небезопасных условий и небезопасные действия. Автор модели, Д. Ризон, полагал, что происшествия вызваны не отдельными факторами, а комбинацией системных дефектов. Когда все уровни дефектов встречаются вместе (луч пронизывает сыр насквозь), система теряет свою защитную функцию и происходит авария [54–56] (Reason, 1990, 1997, 2008).
SCM представляет собой «эпидемиологическую» модель в том смысле, что она показывает прямые и корневые причины распространения «болезни» [47] (Pasman, 2018).
Существует три версии SCM (рис. 3).
В первой версии больше внимания уделяется причинно-временному упорядочению слабых мест в целом, что дает возможность подумать о том, как происходят несчастные случаи [29] (Hollnagel, 2004). Причина делится на пять частей: лица, принимающие решения на высшем уровне; линейное руководство; предварительные условия; производственная деятельность; защита (рис. 3-I).
Рисунок 3. Три версии модели «швейцарского сыра»
Вторая версия (рис. 3-II) была разработана в середине 1990-х годов. В ней уменьшено количество «кусочков сыра» до трех (организация, рабочее место, человек), но увеличено количество защитных слоев с одного до трех. Цель – вывить больше особенностей влияния на каждом уровне.
Причины также делятся на ошибки и нарушения и соответствующие им провоцирующие факторы. В этой версии SCM происшествие рассматривается как следствие ряда недостатков. Это означает, что происшествия как негативные события должны иметь причины, которые также были негативными событиями.
Третий вариант модели (рис. 3-III) появился в разделе «Управление рисками организационных происшествий» [55, 56] (Reason, 1997; Reason et al., 2006). Любая модель причин происшествий должна иметь три основных элемента: опасности, средства защиты и потери. Каждый уровень не имеет строгой маркировки. Они включают в себя множество барьеров, средств защиты и контроля, которыми может обладать любая система. Важным дополнением было объяснение того, как возникают дыры, пробелы или слабости.
Модель выявления, предвидения и предотвращения опасностей (SHIPP)
Группа исследователей из Канады в 2011 году проанализировала основные модели причин происшествий, такие как теория домино Хейнриха, модель Берда, модель «швейцарского сыра», STAMP и модель Этвуда [53] (Rathnayaka et al., 2011). Они пришли к выводу о том, что большинство моделей описывают процесс происшествия с точки зрения человеческих, организационных и управленческих ошибок, а не причин технологического характера. Кроме того, эти модели направлены не на анализ причин крупных происшествий и аварий, а концепции событий, предшествующих происшествию. Следовательно, эти модели носят описательный, а не прогностический характер. Они разработали модель происшествий нефтегазовой добычи на море, которую назвали SHIPP.
SHIPP использует подход последовательного моделирования, применяя пять различных барьеров безопасности для описания происшествия в сочетании с двумя общими барьерами безопасности: барьер человеческого фактора (HFB) и барьер управления и организации (M&OB). Кроме того, в SHIPP последние два барьера (барьеры предотвращения ущерба) были заменены единым барьером, названным барьером контроля повреждений и управления аварийными ситуациями (DC&EMB). Кроме того, был предусмотрен новый барьер, названный барьером предотвращения дисперсии (DPB), помещенный между барьерами выпуска и предотвращения воспламенения. Схематически барьеры, предусмотренные моделью SHIPP, показаны на рисунке 4.
Рисунок 4. Барьеры SHIPP
SHIPP используется в 4 этапа: 1) описание системы; 2) идентификация и анализ опасностей; 3) моделирование и прогнозирование происшествий; 4) обновление, принятие решений и реализация стратегий предотвращения происшествий. Схематическое изображение модели показано на рисунке 5.
Рисунок 5. Модель SHIPP
Шаг 1: описание системы: определение системы и ее границ, взаимодействующих подсистем.
Шаг 2: идентификация опасностей и их анализ. Для определения опасностей могут использоваться следующие методы: анализ «что, если»; статистика аварий и отказов; контрольный список безопасности (SCL); исследование опасности и работоспособности (HAZOP); предварительный анализ опасностей (PHA), FMEA, ETA и FTA [1].
Шаг 3: моделирование и прогнозирование происшествия. Каждый барьер может рассматриваться как подсистема и может быть проанализирован методом FTA (дерево отказов). Когда мы знаем вероятность отказа каждого ключевого события, мы можем рассчитать вероятность отказа каждого барьера и, таким образом, определить вероятность происшествия.
Шаг 4: обновление, принятие решений и реализация стратегий предотвращения происшествия. В дополнение к качественному анализу также может использоваться количественный анализ. Авторы модели рекомендуют использовать байесовские сети [2], чтобы минимизировать неопределенность и, таким образом, повысить точность квантования.
Модели, основанные на статистических данных
Причинно-следственная модель, основанная на статистике (пирамида происшествий)
В дополнение к теории несчастных случаев по принципу домино важным вкладом Хейнриха было создание теории пирамиды происшествий.
Будучи по профессии страховщиком, он проанализировал материалы 550 000 происшествий. Среди них было 1666 смертей и серьезных травм, 48 334 легких травм, а остальные происшествия были без последствий. Таким образом, соотношение составило 1:29:300. Это говорит нам о том, что из 300 происшествий одно закончилось гибелью [27] (Heinrich , 1928).
Модель пирамиды происшествий, представленная на рисунке 6, говорит нам о том, что: 1) возникновение аварии является результатом накопления скрытых опасностей; 2) лучшие технологии и совершенные правила не могут заменить ответственность человека в практической деятельности.
Рисунок 6. Пирамида происшествий Хейнриха
Хотя пропорция на всех четырех уровнях может различаться в зависимости от вида деятельности, модель пирамиды происшествий раскрывает очень важный принцип: снижение количества происшествий без последствий, образующих основание пирамиды, обязательно предотвратит происшествия серьезные.
Однако не совсем правильно полагать, что снижение частоты происшествий вызовет снижение степени их тяжести. Незначительные происшествия, особенно на опасных производственных объектах, обычно вызваны небезопасными действиями. Тогда как крупные аварии, как правило, вызваны непредвиденным сочетанием обстоятельств, которые не контролировались из-за неадекватного принятия решений, давления руководства на производительность в ущерб безопасности, отсутствием или сбоями во взаимодействии между различными элементами сложных систем [44] (Marshall et al., 2018).
Модели Tripod beta и Tripod delta (штатив)
В конце 1980-х и начале 1990-х годов компания Shell Oil поручила Лейденскому и Манчестерскому университетам, а также Университету Виктории изучить роль поведенческих факторов человека в авариях. На основе анализа была разработана модель Tripod бета [16] (Dien et al., 2012). Изначально модель была направлена на выявление потенциальных причин до того, как произошло происшествие. В дальнейшем Tripod бета стал методом анализа и расследования происшествий. Сегодня Фонд Stitching Tripod превратил его в программный продукт для анализа и предотвращения происшествий [3]. На рисунке 7 показан процесс применения Tripod бета для анализа происшествий.
Рисунок 7. Метод Tripod бета
Источник: Tripod Beta: Guidance on using Tripod Beta in the investigation and analysis of incidents, accidents and business losses. Stichting Tripod Foundation. [Электронный ресурс]. URL: https://publishing.energyinst.org/tripod/beta (дата обращения: 28.10.2020).
Tripod бета особенно подходит для анализа и расследования крупных аварий.
В 2018 году появилась версия Tripod дельта. Согласно этой версии, воздействующую среду на рабочем месте можно определить через 11 основных факторов риска: дизайн; аппаратное обеспечение; управление техническим обслуживанием; обслуживание; ошибка при соблюдении условий; процедуры; обучение; общение; несовместимые цели; организация; защита [66] (Zuijderduijn, Nikoomaram, 2013).
Эти основные факторы риска помогают предвидеть факторы, которые могут привести к «небезопасным действиям» – небезопасному поведению при планировании работы или ее выполнении. Небезопасные действия часто являются непосредственными причинами происшествий.
Tripod дельта состоит из базы данных в 1500 вопросов, при этом компаниям предлагается ответить на случайно выбранные 275. Каждый вопрос касается наступления небезопасного действия, и при изучении ответов можно определить, какие факторы риска являются основными.
Модель «галстука-бабочки» впервые была озвучена в Университете Квинсленд в Австралии на лекциях, посвященных анализу опасностей в химической промышленности. Впоследствии Shell Group применила этот метод для анализа взрывов на платформе Alpha Drilling [35, 36] (Jacinto, 2000; Jacinto, Silva, 2010). На рисунке 8 показана последовательность применения модели при анализе рисков и управлении рисками.
Рисунок 8. Применение модели «галстук-бабочка» при анализе рисков и управлении рисками
Системные модели анализа причин происшествий
Американский ученый Гордон в 1949 году представил эпидемиологическую теорию причин происшествий [24] (Gordon, 1949). Согласно этой теории, происшествия аналогичны эпидемиям, связанным с персоналом, объектами и условиями окружающей среды, и имеют своеобразную систему распространения, часто сосредоточенную в определенное время и в определенных местах. Гордон выступал за изучение характеристик участников происшествий (в том числе их возраста, пола, физиологического и психологического состояний), характеристик окружения (таких как географические особенности, социальные условия, климат и т. д.) и характеристики средств коммуникации. Термин «окружение» определяется как энергия, которая способствует происшествию, то есть источник случайного повреждения, такого как механическая энергия, тепловая энергия, электрическая энергия или лучистая энергия [49] (Qin, 2005).
Теория эпидемиологии переходит от поиска единственной причины несчастного случая и простых причинно-следственных связей к системному рассмотрению происшествия, изучению отношений между причинными факторами.
Социотехническая модель и модель AcciMap
Модель социотехнической системы (STS) берет свое начало в 1950-х годах, когда социопсихолог Трист и Институт человеческих отношений Тавистока изучали влияние командной работы и механизированного массового производства на стресс работников в угледобывающем комплексе как системе [64] (Trist, Bamforth, 1951). Модель рассматривает производственные процессы организации (коллективной работы), состоящие из иерархических уровней управления, где технические средства применяются во всех процессах принятия решений, коммуникациях и других формах взаимодействия [47] (Pasman et al., 2018). Расмуссен признал важность организационных и социальных факторов в процессе управления безопасностью и предложил модель карты аварий (AcciMap). Он был первым, кто рассмотрел концепцию социотехнических систем в контексте промышленных процессов и риска крупных аварий. Основываясь на концепции социотехнических систем, Расмуссен разработал AcciMap как метод анализа происшествий, который представляет собой шестислойную структуру, состоящую из правительства, регулирующих органов и ассоциаций, компании, руководства, персонала и работы [51, 52, 63] (Rasmussen, 1997; Rasmussen, Svedung, 2002; Svedung, Rasmussen, 2002).
Рисунок 9. Модель AcciMap
Расмуссен утверждал, что крупные аварии должны рассматриваться как сложный процесс, охватывающий всю социотехническую систему, состоящую из иерархии уровней правительства / регулирующих органов, отраслевых ассоциаций, корпораций, руководства компании, персонала и технической базы, соединенной двусторонними линиями связи [47] (Pasman et al., 2018). Как показано на рисунке 9, каждый уровень AcciMap параллелен каждому уровню социотехнической системы. Каждый уровень показывает причину происшествия. Сегодня AcciMap широко используется при анализе происшествий [65, 22] (Wang et al., 2018; Goncalves et al., 2019).
Модель когнитивной надежности и анализа отказов (CREAM)
В середине прошлого века развитие технологий достигло состояния, мало влияющего на контроль системных рисков. К середине 80-х годов стало очевидным, что действия человека представляют собой основной источник уязвимости целостности интерактивных систем как сложных, так и простых, в какой бы области они ни использовались. Чтобы решить эту проблему, при проектировании систем стали учитывать человеческий фактор для обеспечения того, чтобы требования к характеристикам человека не превышали его естественных возможностей [29–31] (Hollnagel, 1993; Hollnagel, 1995; Hollnagel, 1998). Появился термин «анализ надежности человека» (HRA). В 1970-х и 1980-х годах насчитывалось примерно 35–40 четко различимых методов оценки HRA. Как правило, эти методы называются методами HRA первого поколения. В соответствии с выводами методов HRA первого поколения Э. Холлнагель в 1998 году предложил CREAM, которую назвали методом оценки HRA второго поколения.
Модель, которая используется в качестве основы для CREAM, является развитием простой модели познания (SMoC), называемой моделью контекстного управления (COCOM). На рисунке 10 показана модель COCOM, предложенная Холлнагелем.
Рисунок 10. Модель контекстного управления (COCOM)
CREAM подразделяет человеческие ошибки на 3 категории и 12 факторов, как показано на рисунке 11.
Рисунок 11. Модели человеческих ошибок в модели CREAM
CREAM использует метод ретроспективного анализа для поиска причины происшествия. Цель ретроспективного анализа состоит в том, чтобы построить путь вероятных взаимосвязей между антецедентом и последствием, идя в обратном направлении от наблюдаемого эффекта, используя отношения, определенные схемой классификации. Возможные виды ошибок, используемые в CREAM, показаны на рисунке 12.
Рисунок 12. Определение моделей ошибок
Результатом анализа является то, что каждая ветвь получает цепочку отношений «следствие – антецедент». Последней причиной цепочки является возможная первичная причина ошибки человека.
Как один из репрезентативных методов второго поколения HRA CREAM имеет большие преимущества в прогнозировании, поэтому он широко используется.. Однако нельзя отрицать, что использование CREAM является чрезмерно громоздким.
Системно-теоретическая модель и процессы происшествий (STAMP)
По мнению Нэнси Левесон, профессора аэронавтики, астронавтики и инженерных систем Массачусетского института технологий, безопасность можно рассматривать как проблему управления, которое, в свою очередь, является структурой, встроенной в адаптивную социотехническую систему. Профессор Левесон [38, 39] (Leveson, 2004, 2011) развила применение концепции социотехнических систем и предложила модель STAMP. В STAMP сложные системы рассматриваются как взаимосвязанные компоненты, которые поддерживаются в состоянии динамического равновесия за счет обратной связи, обмена информацией и контроля [40] (Leveson , 2015).
Основными понятиями в STAMP являются ограничения, контуры управления и модели процессов, а также уровни управления.
1. Центральная роль ограничений в безопасности системы. Левесон считает, что происшествия являются результатом отсутствия соответствующих ограничений на взаимодействие элементов и систем между собой. Следовательно, система должна иметь необходимые ограничения в процессе проектирования, и эти ограничения должны быть принудительными во время работы системы.
2. Контуры управления и модели процессов. В теории систем система поддерживается в динамическом равновесии благодаря обратной связи, предоставляемой через информирование на разных уровнях управления. Левесон считает, что эффективный контроллер как элемент системы должен соответствовать четырем условиям: 1) контроллер должен иметь цель и задачи (например, поддерживать заданное значение); 2) контроллер должен иметь возможность влиять на состояние системы; 3) контроллер должен быть частью системы; 4) контроллер должен быть в состоянии определить состояние системы. На рисунке 13 показан типичный контур управления и задействованная модель процесса.
Рисунок 13. Контур управления и задействованная модель процесса
3. Социотехнические уровни контроля. Подобно социотехническим системам в STAMP система также имеет иерархическую структуру. Модель имеет две основные иерархические структуры управления: одну для разработки системы (слева) и другую для работы системы (справа) с взаимодействиями между ними. Информация передается между уровнями структуры управления. Нисходящий канал предоставляет информацию об ограничении для следующего уровня, а восходящий канал дает обратную связь по эффективности ограничений.
Профессор Левесон также изучила причину отказа системы управления, то есть причину происшествия. Основными причинами, которые она выделила, являются следующие:
1. Неадекватное ограничение безопасности. Это включает в себя три основные причины: неадекватные алгоритмы управления; несовместимые модели процессов; неадекватная координация между контроллерами и лицами, принимающими решения.
2. Неадекватное выполнение контрольных действий.
3. Неадекватная или отсутствующая обратная связь [30] (Leveson , 2004).
Можно сказать, что модель STAMP даже более популярна в области контроля безопасности, чем AcciMap [22] (Goncalves et al., 2019), и также широко применяется [11, 42, 23, 45, 46, 62] (Allison et al., 2017; Li et al., 2019; Gong, Li, 2018; Meng et al., 2018; Osiris et al., 2018; Stanton et al., 2019).
Интегрированная процедура для анализа причин инцидентов (IPICA)
Анализ корневых причин (RCA) является хорошо известным методом определения причин происшествий [2, Приложение В.12]. Поиск корневой причины происшествия также является процессом его системного анализа. RCA – пошаговый метод для выявления реальной причины проблемы и ее устранения, а не только реагирования на ее симптомы.
Определение главной причины подводит к следующему этапу: оценке лучшего метода устранения основной причины для улучшения текущего состояния. Это процесс, известный как корректирующее и/или предупреждающее действие.
Чешский исследователь Ферженчик в течение ряда лет проводил исследования по оптимизации метода RCA и предложил модель IPICA (интегрированная процедура для анализа причин инцидентов), которая включает инструменты, разработанные на основе метода STAMP, в структуру RCA [18–20] (Ferjencik, 2011, 2012, 2014). IPICA помогает проанализировать причины возникновения происшествия, связанные с системами управления безопасностью и культурой безопасности.
Модель IPICA выглядит следующим образом:
1. Предположения о структуре исследуемого процесса: 1) исследование процесса; 2) внедрение процесса; 3) организация процесса; 4) правила безопасности; 5) влияние социальных факторов.
2. Пределы для определения причин: 1) уровни причин происшествия; 2) определение процесса и управления процессом; 3) техника определения корневой причины; 4) область определения корневой причины. Как показано на рисунке 18, IPICA делит причину инцидента на четыре уровня следующим образом.
Первый уровень: сбои оборудования, человеческие ошибки (человеческий фактор) и недостатки в процедурах. Они известны как причинные факторы, прямые причины или непосредственные причины. Они представляют собой недостатки реализации процесса, поэтому называются причинами реализации.
Второй уровень: несоответствия в элементах управления безопасностью. Они представляют собой недостатки организации процесса как правилами системы управления безопасностью, так и отношением (культурой безопасности) персонала и линейного руководства.
Третий уровень: отношение руководства, которое является потенциальной причиной.
Четвертый уровень: социальные причины. Это недостатки отношения высшего руководства к безопасности, обусловленные внешней социальной средой.
Метод функционально-резонансного анализа (FRAM)
Голландский ученый Эрик Холлнагель в 1998 предложил модель CREAM, которую многие считают одной из наиболее удачных моделей оценки надежности человека. Тем не менее Холлнагель продолжил работу в данном направлении и в 2012 году предложил метод функционально-резонансного анализа (FRAM) [33] (Hollnagel, 2012). Принципы, на которых строится FRAM, заключаются в следующем: 1) эквивалентность неудач и успехов; 2) приблизительные корректировки; 3) возникновение; 4) вызванный им резонанс.
FRAM является функционально-ориентированным и состоит из следующих этапов [33, 59, 19] (Hollnagel, 2012; Smith et al., 2017; Abdo et al., 2018).
Шаг 1: определение и описание функций по элементам:
1. Вход (I): то, что функция обрабатывает или преобразует, или то, что запускает функцию.
2. Выход (O): то, что является результатом функции, изменением сущности или состояния.
3. Предварительные условия (P): условия, которые должны существовать прежде, чем функция может быть выполнена.
4. Ресурсы (R): то, что нужно для реализации функции (условие выполнения) или потребляется для получения результата.
5. Время (T): временные ограничения, влияющие на функцию (относительно времени начала, времени окончания или продолжительности).
6. Контроль (C): как функция контролируется.
Базовый блок FRAM показан на рисунке 14.
Рисунок 14. Описание функции
Шаг 2: определение изменчивости: охарактеризовать изменчивость функций, составляющих модель FRAM. Этот шаг должен учитывать как потенциальную изменчивость, относящуюся к модели, так и ожидаемую фактическую изменчивость, относящуюся к конкретизации модели.
Шаг 3: агрегация изменчивости. Необходимо знать, как изменчивость различных функций может сочетаться и к каким приводить результатам. Другими словами, необходимо знать, может ли возникнуть функциональный резонанс. Это достигается с помощью идеи функциональной восходящей-нисходящей связи.
Шаг 4: использование результатов анализа. На этом этапе предлагаются способы управления возможными случаями неконтролируемой изменчивости производительности или возможными условиями функционального резонанса, которые были обнаружены на предыдущих этапах.
FRAM можно использовать для анализа аварий [48] (Patriarca et al., 2017), [41] (Li et al., 2019), оценки рисков [58] (Ross et al., 2018), здоровья [50] (Raben et al., 2018) и системного моделирования [62] (Studic et al., 2017).
Для более удобного применения было разработано программное обеспечение поддержки FRAM, которое можно бесплатно загрузить с веб-сайта визуализатора модели FRAM [4].
Начиная с 1919 года, то есть с момента оформления первого метода расследования происшествий, прошло 100 лет. Из приведенного обзора видно, что методы расследования и анализа происшествий изменялись вслед за развитием технологий, а также под воздействием возрастающей неопределенности технологических систем и процессов. Обзор будет продолжен и расширен за счет методов, основанных на оценке влияния на происшествия человеческого фактора, а также за счет систематизации столетней истории моделей и методов расследования происшествий для достижения главной цели: выявления и устранения основной (или основных) причин происшествий для предотвращения их повторения.
[1]Все эти методы подробно описаны в [60].
[2]Данный метод описан в [60, Приложениe В.26].