Методы расследования происшествий и аварий в линейных и нелинейных системах

Введение

Анализ публикаций отечественных авторов дал несколько неожиданный результат. При поисковом запросе в научной электронной библиотеке e-library, сформулированном как «производственный травматизм», статьи авторов относятся либо к статистике, показателям травматизма со стандартной констатацией их динамики и перечислением причин из классификатора 2005 года [2, 7, 5] (Loginova, 2018; Gyseinov, Bershadskiy, 2018), либо рассматривают юридические нюансы расследования несчастного случая и его классификации как связанного с производством [3] (Aporevich, 2018). Поисковый запрос «несчастные случаи на производстве» показывает статьи, рассматривающие вопрос с точки зрения страхования и возмещения вреда пострадавшим [8, 4] (Samsonov, 2019; Gerasimov, 2019). То есть к рассмотрению несчастных случаев на производстве подходят с позиции юристов, математиков и страховщиков. И в качестве основной причины определяют в подавляющем большинстве случаев нарушение, допущенное работником. Также следует отметить тот факт, что все это по большей части статьи студентов, а не серьезных исследователей.

Однако во все усложняющемся мире можно ли найти одну причинно-следственную связь? Метод установления причинно-следственной связи зародился в эпоху, когда изменения производства были строго контролируемыми, нечастыми и в значительной степени скоординированными. И подходы к расследованию происшествий разрабатывались именно для простых, достаточно предсказуемых линейных систем. С усложнением производства, с повышением неопределенности процессов уловить причинно-следственную связь между конечным нежелательным событием и приведшими к нему причинами (явным и косвенным) становится все сложнее.

Более того, как уже отмечалось автором данной статьи [6] (Kuznetsova, 2020), необходимо упомянуть утверждение голландского социолога Эрика Холлнагеля о том, что расследование происшествия можно охарактеризовать как процесс, соответствующий принципу «Вы найдете то, что ищете» (What You Look For Is What You Will Find, WYLFIWYF).

В зарубежной научной литературе используется несколько терминов: модель причинно-следственных связей [41] (Li et al., 2017), [25] (Grant et al., 2018), модель анализа аварий [26] (Haghighattalab et al., 2019), модель расследования происшествий [47] (Pasman et al., 2018) и модель прогнозирования происшествий [37] (La Torre et al., 2019).

В соответствии с логической последовательностью происшествий модели причинно-следственных связей можно разделить на линейные и нелинейные. Линейные модели причинно-следственной связи обычно исследуют причины различных этапов происшествия (например, прямые причины, косвенные причины, коренные причины) и формируют цепочку в соответствии с логической последовательностью, чтобы человек мог четко видеть различные причины происшествий и отношения между ними. Нелинейные модели причинно-следственных связей, как правило, ориентированы на анализ одного или нескольких факторов аварии и не позволяют логически определить причину аварии на разных этапах.

Данная статья представляет обзор методов расследования происшествий, классифицированных в зависимости от моделей причинно-следственных связей, линейных и нелинейных. Нелинейные модели причинно-следственных связей далее подразделяются на модели статистические, энергетические и системные модели происшествий. Такая классификация позволяет получить более четкое представление о причине происшествия и удобна для применения в управлении безопасностью.

Линейные (мультилинейные) модели анализа происшествий

Модель домино Хейнриха

Хейнрих – известный ученый в области науки о безопасности. Он привел свою всемирно известную модель причины происшествий в книге «Предотвращение несчастных случаев на производстве» [28] (Heinrich, 1931), которая впоследствии была названа теорией домино, как показано на рисунке 1.

Рисунок 1. Теория домино

Источник: [28] (Heinrich, 1931).

Хейнрих считал, что небезопасные действия человека являются причиной происшествия или небезопасного механического и физического состояния оборудования. Теория домино гласит, что если удалить среднюю костяшку домино из последовательности, то причинения ущерба не произойдет.

Значение этой теории заключается в: 1) связывании причин и последствий происшествия, формировании цепочки причин происшествия и предоставлении людям возможности выбрать путь его предотвращения; 2) выявлении двух прямых причин происшествий; 3) предоставлении способа частичного предотвращения происшествия за счет устранения небезопасных действий и состояний.

Модель причин происшествий Берда

Американские ученые Берд и Жермен усовершенствовали теорию домино и предложили рассматривать предотвращение происшествий с точки зрения «контроля ущерба» [13–15] (Bird, 1974; Bird, Loftus, 1976; Bird, Germain, 1985).

Теория также включает пять категорий, которые в основном расширяют понятие первых двух костяшек теории домино. Основные дополнения заключаются в следующем:

1. Основные причины. Берд и Жермен делят причину на две категории: личностные факторы, факторы работы/системы, которые отличаются от «вины человека» теории домино. В этой модели личностные факторы могут включать в себя недостаток знаний и навыков в области безопасности, неправильные поведенческие мотивы, а также физические и психологические дефекты. Факторы работы/системы являются главным образом управленческими причинами, включающими несовершенные рабочие процедуры, проблемы с оборудованием и опасные факторы рабочей среды на рабочем месте.

2. Радикальные причины. Берд и Жермен считают, что основной причиной происшествия является «отсутствие контроля», то есть недостатки управления. Из-за отсутствия управления сотрудники могут не получить достаточного обучения или знаний, что является основной причиной «отсутствия контроля».

Предложенная ими новая модель причинно-следственных связей показана на рисунке 2.

Рисунок 2. Модель причин ущерба

Источник: [21] (Fu et al., 2020).

Модель «швейцарского сыра» (SCM)

Она может считаться самой широко известной моделью причин происшествий в мире. Самая ранняя версия SCM состояла из четырех «кусочков сыра»: организационные факторы, ошибки контроля, предпосылки небезопасных условий и небезопасные действия. Автор модели, Д. Ризон, полагал, что происшествия вызваны не отдельными факторами, а комбинацией системных дефектов. Когда все уровни дефектов встречаются вместе (луч пронизывает сыр насквозь), система теряет свою защитную функцию и происходит авария [54–56] (Reason, 1990, 1997, 2008).

SCM представляет собой «эпидемиологическую» модель в том смысле, что она показывает прямые и корневые причины распространения «болезни» [47] (Pasman, 2018).

Существует три версии SCM (рис. 3).

В первой версии больше внимания уделяется причинно-временному упорядочению слабых мест в целом, что дает возможность подумать о том, как происходят несчастные случаи [29] (Hollnagel, 2004). Причина делится на пять частей: лица, принимающие решения на высшем уровне; линейное руководство; предварительные условия; производственная деятельность; защита (рис. 3-I).

Рисунок 3. Три версии модели «швейцарского сыра»

Источник: [21] (Fu et al., 2020).

Вторая версия (рис. 3-II) была разработана в середине 1990-х годов. В ней уменьшено количество «кусочков сыра» до трех (организация, рабочее место, человек), но увеличено количество защитных слоев с одного до трех. Цель – вывить больше особенностей влияния на каждом уровне.

Причины также делятся на ошибки и нарушения и соответствующие им провоцирующие факторы. В этой версии SCM происшествие рассматривается как следствие ряда недостатков. Это означает, что происшествия как негативные события должны иметь причины, которые также были негативными событиями.

Третий вариант модели (рис. 3-III) появился в разделе «Управление рисками организационных происшествий» [55, 56] (Reason, 1997; Reason et al., 2006). Любая модель причин происшествий должна иметь три основных элемента: опасности, средства защиты и потери. Каждый уровень не имеет строгой маркировки. Они включают в себя множество барьеров, средств защиты и контроля, которыми может обладать любая система. Важным дополнением было объяснение того, как возникают дыры, пробелы или слабости.

Модель выявления, предвидения и предотвращения опасностей (SHIPP)

Группа исследователей из Канады в 2011 году проанализировала основные модели причин происшествий, такие как теория домино Хейнриха, модель Берда, модель «швейцарского сыра», STAMP и модель Этвуда [53] (Rathnayaka et al., 2011). Они пришли к выводу о том, что большинство моделей описывают процесс происшествия с точки зрения человеческих, организационных и управленческих ошибок, а не причин технологического характера. Кроме того, эти модели направлены не на анализ причин крупных происшествий и аварий, а концепции событий, предшествующих происшествию. Следовательно, эти модели носят описательный, а не прогностический характер. Они разработали модель происшествий нефтегазовой добычи на море, которую назвали SHIPP.

SHIPP использует подход последовательного моделирования, применяя пять различных барьеров безопасности для описания происшествия в сочетании с двумя общими барьерами безопасности: барьер человеческого фактора (HFB) и барьер управления и организации (M&OB). Кроме того, в SHIPP последние два барьера (барьеры предотвращения ущерба) были заменены единым барьером, названным барьером контроля повреждений и управления аварийными ситуациями (DC&EMB). Кроме того, был предусмотрен новый барьер, названный барьером предотвращения дисперсии (DPB), помещенный между барьерами выпуска и предотвращения воспламенения. Схематически барьеры, предусмотренные моделью SHIPP, показаны на рисунке 4.

Рисунок 4. Барьеры SHIPP

Источник: [53] (Rathnayaka et al., 2011).

SHIPP используется в 4 этапа: 1) описание системы; 2) идентификация и анализ опасностей; 3) моделирование и прогнозирование происшествий; 4) обновление, принятие решений и реализация стратегий предотвращения происшествий. Схематическое изображение модели показано на рисунке 5.

Рисунок 5. Модель SHIPP

Источник: [53] (Rathnayaka et al., 2011).

Шаг 1: описание системы: определение системы и ее границ, взаимодействующих подсистем.

Шаг 2: идентификация опасностей и их анализ. Для определения опасностей могут использоваться следующие методы: анализ «что, если»; статистика аварий и отказов; контрольный список безопасности (SCL); исследование опасности и работоспособности (HAZOP); предварительный анализ опасностей (PHA), FMEA, ETA и FTA [1].

Шаг 3: моделирование и прогнозирование происшествия. Каждый барьер может рассматриваться как подсистема и может быть проанализирован методом FTA (дерево отказов). Когда мы знаем вероятность отказа каждого ключевого события, мы можем рассчитать вероятность отказа каждого барьера и, таким образом, определить вероятность происшествия.

Шаг 4: обновление, принятие решений и реализация стратегий предотвращения происшествия. В дополнение к качественному анализу также может использоваться количественный анализ. Авторы модели рекомендуют использовать байесовские сети [2], чтобы минимизировать неопределенность и, таким образом, повысить точность квантования.

Модели, основанные на статистических данных

Причинно-следственная модель, основанная на статистике (пирамида происшествий)

В дополнение к теории несчастных случаев по принципу домино важным вкладом Хейнриха было создание теории пирамиды происшествий.

Будучи по профессии страховщиком, он проанализировал материалы 550 000 происшествий. Среди них было 1666 смертей и серьезных травм, 48 334 легких травм, а остальные происшествия были без последствий. Таким образом, соотношение составило 1:29:300. Это говорит нам о том, что из 300 происшествий одно закончилось гибелью [27] (Heinrich , 1928).

Модель пирамиды происшествий, представленная на рисунке 6, говорит нам о том, что: 1) возникновение аварии является результатом накопления скрытых опасностей; 2) лучшие технологии и совершенные правила не могут заменить ответственность человека в практической деятельности.

Рисунок 6. Пирамида происшествий Хейнриха

Источник: [21] (Fu et al., 2020)

Хотя пропорция на всех четырех уровнях может различаться в зависимости от вида деятельности, модель пирамиды происшествий раскрывает очень важный принцип: снижение количества происшествий без последствий, образующих основание пирамиды, обязательно предотвратит происшествия серьезные.

Однако не совсем правильно полагать, что снижение частоты происшествий вызовет снижение степени их тяжести. Незначительные происшествия, особенно на опасных производственных объектах, обычно вызваны небезопасными действиями. Тогда как крупные аварии, как правило, вызваны непредвиденным сочетанием обстоятельств, которые не контролировались из-за неадекватного принятия решений, давления руководства на производительность в ущерб безопасности, отсутствием или сбоями во взаимодействии между различными элементами сложных систем [44] (Marshall et al., 2018).

Модели Tripod beta и Tripod delta (штатив)

В конце 1980-х и начале 1990-х годов компания Shell Oil поручила Лейденскому и Манчестерскому университетам, а также Университету Виктории изучить роль поведенческих факторов человека в авариях. На основе анализа была разработана модель Tripod бета [16] (Dien et al., 2012). Изначально модель была направлена на выявление потенциальных причин до того, как произошло происшествие. В дальнейшем Tripod бета стал методом анализа и расследования происшествий. Сегодня Фонд Stitching Tripod превратил его в программный продукт для анализа и предотвращения происшествий [3]. На рисунке 7 показан процесс применения Tripod бета для анализа происшествий.

Рисунок 7. Метод Tripod бета

Источник: Tripod Beta: Guidance on using Tripod Beta in the investigation and analysis of incidents, accidents and business losses. Stichting Tripod Foundation. [Электронный ресурс]. URL: https://publishing.energyinst.org/tripod/beta (дата обращения: 28.10.2020).

Tripod бета особенно подходит для анализа и расследования крупных аварий.

В 2018 году появилась версия Tripod дельта. Согласно этой версии, воздействующую среду на рабочем месте можно определить через 11 основных факторов риска: дизайн; аппаратное обеспечение; управление техническим обслуживанием; обслуживание; ошибка при соблюдении условий; процедуры; обучение; общение; несовместимые цели; организация; защита [66] (Zuijderduijn, Nikoomaram, 2013).

Эти основные факторы риска помогают предвидеть факторы, которые могут привести к «небезопасным действиям» – небезопасному поведению при планировании работы или ее выполнении. Небезопасные действия часто являются непосредственными причинами происшествий.

Tripod дельта состоит из базы данных в 1500 вопросов, при этом компаниям предлагается ответить на случайно выбранные 275. Каждый вопрос касается наступления небезопасного действия, и при изучении ответов можно определить, какие факторы риска являются основными.

Метод «галстук-бабочка»

Модель «галстука-бабочки» впервые была озвучена в Университете Квинсленд в Австралии на лекциях, посвященных анализу опасностей в химической промышленности. Впоследствии Shell Group применила этот метод для анализа взрывов на платформе Alpha Drilling [35, 36] (Jacinto, 2000; Jacinto, Silva, 2010). На рисунке 8 показана последовательность применения модели при анализе рисков и управлении рисками.

Рисунок 8. Применение модели «галстук-бабочка» при анализе рисков и управлении рисками

Источник: [21] (Fu et al., 2020).

Системные модели анализа причин происшествий

Эпидемиологическая модель

Американский ученый Гордон в 1949 году представил эпидемиологическую теорию причин происшествий [24] (Gordon, 1949). Согласно этой теории, происшествия аналогичны эпидемиям, связанным с персоналом, объектами и условиями окружающей среды, и имеют своеобразную систему распространения, часто сосредоточенную в определенное время и в определенных местах. Гордон выступал за изучение характеристик участников происшествий (в том числе их возраста, пола, физиологического и психологического состояний), характеристик окружения (таких как географические особенности, социальные условия, климат и т. д.) и характеристики средств коммуникации. Термин «окружение» определяется как энергия, которая способствует происшествию, то есть источник случайного повреждения, такого как механическая энергия, тепловая энергия, электрическая энергия или лучистая энергия [49] (Qin, 2005).

Теория эпидемиологии переходит от поиска единственной причины несчастного случая и простых причинно-следственных связей к системному рассмотрению происшествия, изучению отношений между причинными факторами.

Социотехническая модель и модель AcciMap

Модель социотехнической системы (STS) берет свое начало в 1950-х годах, когда социопсихолог Трист и Институт человеческих отношений Тавистока изучали влияние командной работы и механизированного массового производства на стресс работников в угледобывающем комплексе как системе [64] (Trist, Bamforth, 1951). Модель рассматривает производственные процессы организации (коллективной работы), состоящие из иерархических уровней управления, где технические средства применяются во всех процессах принятия решений, коммуникациях и других формах взаимодействия [47] (Pasman et al., 2018). Расмуссен признал важность организационных и социальных факторов в процессе управления безопасностью и предложил модель карты аварий (AcciMap). Он был первым, кто рассмотрел концепцию социотехнических систем в контексте промышленных процессов и риска крупных аварий. Основываясь на концепции социотехнических систем, Расмуссен разработал AcciMap как метод анализа происшествий, который представляет собой шестислойную структуру, состоящую из правительства, регулирующих органов и ассоциаций, компании, руководства, персонала и работы [51, 52, 63] (Rasmussen, 1997; Rasmussen, Svedung, 2002; Svedung, Rasmussen, 2002).

Рисунок 9. Модель AcciMap

Источник: [45] (Rasmussen , 1997).

Расмуссен утверждал, что крупные аварии должны рассматриваться как сложный процесс, охватывающий всю социотехническую систему, состоящую из иерархии уровней правительства / регулирующих органов, отраслевых ассоциаций, корпораций, руководства компании, персонала и технической базы, соединенной двусторонними линиями связи [47] (Pasman et al., 2018). Как показано на рисунке 9, каждый уровень AcciMap параллелен каждому уровню социотехнической системы. Каждый уровень показывает причину происшествия. Сегодня AcciMap широко используется при анализе происшествий [65, 22] (Wang et al., 2018; Goncalves et al., 2019).

Модель когнитивной надежности и анализа отказов (CREAM)

В середине прошлого века развитие технологий достигло состояния, мало влияющего на контроль системных рисков. К середине 80-х годов стало очевидным, что действия человека представляют собой основной источник уязвимости целостности интерактивных систем как сложных, так и простых, в какой бы области они ни использовались. Чтобы решить эту проблему, при проектировании систем стали учитывать человеческий фактор для обеспечения того, чтобы требования к характеристикам человека не превышали его естественных возможностей [29–31] (Hollnagel, 1993; Hollnagel, 1995; Hollnagel, 1998). Появился термин «анализ надежности человека» (HRA). В 1970-х и 1980-х годах насчитывалось примерно 35–40 четко различимых методов оценки HRA. Как правило, эти методы называются методами HRA первого поколения. В соответствии с выводами методов HRA первого поколения Э. Холлнагель в 1998 году предложил CREAM, которую назвали методом оценки HRA второго поколения.

Модель, которая используется в качестве основы для CREAM, является развитием простой модели познания (SMoC), называемой моделью контекстного управления (COCOM). На рисунке 10 показана модель COCOM, предложенная Холлнагелем.

Рисунок 10. Модель контекстного управления (COCOM)

Источник: [31] (Hollnagel, 1998).

CREAM подразделяет человеческие ошибки на 3 категории и 12 факторов, как показано на рисунке 11.

Рисунок 11. Модели человеческих ошибок в модели CREAM

Источник: [31] (Hollnagel, 1998).

CREAM использует метод ретроспективного анализа для поиска причины происшествия. Цель ретроспективного анализа состоит в том, чтобы построить путь вероятных взаимосвязей между антецедентом и последствием, идя в обратном направлении от наблюдаемого эффекта, используя отношения, определенные схемой классификации. Возможные виды ошибок, используемые в CREAM, показаны на рисунке 12.

Рисунок 12. Определение моделей ошибок

Источник: [31] (Hollnagel, 1998).

Результатом анализа является то, что каждая ветвь получает цепочку отношений «следствие – антецедент». Последней причиной цепочки является возможная первичная причина ошибки человека.

Как один из репрезентативных методов второго поколения HRA CREAM имеет большие преимущества в прогнозировании, поэтому он широко используется.. Однако нельзя отрицать, что использование CREAM является чрезмерно громоздким.

Системно-теоретическая модель и процессы происшествий (STAMP)

По мнению Нэнси Левесон, профессора аэронавтики, астронавтики и инженерных систем Массачусетского института технологий, безопасность можно рассматривать как проблему управления, которое, в свою очередь, является структурой, встроенной в адаптивную социотехническую систему. Профессор Левесон [38, 39] (Leveson, 2004, 2011) развила применение концепции социотехнических систем и предложила модель STAMP. В STAMP сложные системы рассматриваются как взаимосвязанные компоненты, которые поддерживаются в состоянии динамического равновесия за счет обратной связи, обмена информацией и контроля [40] (Leveson , 2015).

Основными понятиями в STAMP являются ограничения, контуры управления и модели процессов, а также уровни управления.

1. Центральная роль ограничений в безопасности системы. Левесон считает, что происшествия являются результатом отсутствия соответствующих ограничений на взаимодействие элементов и систем между собой. Следовательно, система должна иметь необходимые ограничения в процессе проектирования, и эти ограничения должны быть принудительными во время работы системы.

2. Контуры управления и модели процессов. В теории систем система поддерживается в динамическом равновесии благодаря обратной связи, предоставляемой через информирование на разных уровнях управления. Левесон считает, что эффективный контроллер как элемент системы должен соответствовать четырем условиям: 1) контроллер должен иметь цель и задачи (например, поддерживать заданное значение); 2) контроллер должен иметь возможность влиять на состояние системы; 3) контроллер должен быть частью системы; 4) контроллер должен быть в состоянии определить состояние системы. На рисунке 13 показан типичный контур управления и задействованная модель процесса.

Рисунок 13. Контур управления и задействованная модель процесса

Источник: [38] (Leveson, 2004).

3. Социотехнические уровни контроля. Подобно социотехническим системам в STAMP система также имеет иерархическую структуру. Модель имеет две основные иерархические структуры управления: одну для разработки системы (слева) и другую для работы системы (справа) с взаимодействиями между ними. Информация передается между уровнями структуры управления. Нисходящий канал предоставляет информацию об ограничении для следующего уровня, а восходящий канал дает обратную связь по эффективности ограничений.

Профессор Левесон также изучила причину отказа системы управления, то есть причину происшествия. Основными причинами, которые она выделила, являются следующие:

1. Неадекватное ограничение безопасности. Это включает в себя три основные причины: неадекватные алгоритмы управления; несовместимые модели процессов; неадекватная координация между контроллерами и лицами, принимающими решения.

2. Неадекватное выполнение контрольных действий.

3. Неадекватная или отсутствующая обратная связь [30] (Leveson , 2004).

Можно сказать, что модель STAMP даже более популярна в области контроля безопасности, чем AcciMap [22] (Goncalves et al., 2019), и также широко применяется [11, 42, 23, 45, 46, 62] (Allison et al., 2017; Li et al., 2019; Gong, Li, 2018; Meng et al., 2018; Osiris et al., 2018; Stanton et al., 2019).

Интегрированная процедура для анализа причин инцидентов (IPICA)

Анализ корневых причин (RCA) является хорошо известным методом определения причин происшествий [2, Приложение В.12]. Поиск корневой причины происшествия также является процессом его системного анализа. RCA – пошаговый метод для выявления реальной причины проблемы и ее устранения, а не только реагирования на ее симптомы.

Определение главной причины подводит к следующему этапу: оценке лучшего метода устранения основной причины для улучшения текущего состояния. Это процесс, известный как корректирующее и/или предупреждающее действие.

Чешский исследователь Ферженчик в течение ряда лет проводил исследования по оптимизации метода RCA и предложил модель IPICA (интегрированная процедура для анализа причин инцидентов), которая включает инструменты, разработанные на основе метода STAMP, в структуру RCA [18–20] (Ferjencik, 2011, 2012, 2014). IPICA помогает проанализировать причины возникновения происшествия, связанные с системами управления безопасностью и культурой безопасности.

Модель IPICA выглядит следующим образом:

1. Предположения о структуре исследуемого процесса: 1) исследование процесса; 2) внедрение процесса; 3) организация процесса; 4) правила безопасности; 5) влияние социальных факторов.

2. Пределы для определения причин: 1) уровни причин происшествия; 2) определение процесса и управления процессом; 3) техника определения корневой причины; 4) область определения корневой причины. Как показано на рисунке 18, IPICA делит причину инцидента на четыре уровня следующим образом.

Первый уровень: сбои оборудования, человеческие ошибки (человеческий фактор) и недостатки в процедурах. Они известны как причинные факторы, прямые причины или непосредственные причины. Они представляют собой недостатки реализации процесса, поэтому называются причинами реализации.

Второй уровень: несоответствия в элементах управления безопасностью. Они представляют собой недостатки организации процесса как правилами системы управления безопасностью, так и отношением (культурой безопасности) персонала и линейного руководства.

Третий уровень: отношение руководства, которое является потенциальной причиной.

Четвертый уровень: социальные причины. Это недостатки отношения высшего руководства к безопасности, обусловленные внешней социальной средой.

Метод функционально-резонансного анализа (FRAM)

Голландский ученый Эрик Холлнагель в 1998 предложил модель CREAM, которую многие считают одной из наиболее удачных моделей оценки надежности человека. Тем не менее Холлнагель продолжил работу в данном направлении и в 2012 году предложил метод функционально-резонансного анализа (FRAM) [33] (Hollnagel, 2012). Принципы, на которых строится FRAM, заключаются в следующем: 1) эквивалентность неудач и успехов; 2) приблизительные корректировки; 3) возникновение; 4) вызванный им резонанс.

FRAM является функционально-ориентированным и состоит из следующих этапов [33, 59, 19] (Hollnagel, 2012; Smith et al., 2017; Abdo et al., 2018).

Шаг 1: определение и описание функций по элементам:

1. Вход (I): то, что функция обрабатывает или преобразует, или то, что запускает функцию.

2. Выход (O): то, что является результатом функции, изменением сущности или состояния.

3. Предварительные условия (P): условия, которые должны существовать прежде, чем функция может быть выполнена.

4. Ресурсы (R): то, что нужно для реализации функции (условие выполнения) или потребляется для получения результата.

5. Время (T): временные ограничения, влияющие на функцию (относительно времени начала, времени окончания или продолжительности).

6. Контроль (C): как функция контролируется.

Базовый блок FRAM показан на рисунке 14.

Рисунок 14. Описание функции

Источник: [33] (Hollnagel, 2012).

Шаг 2: определение изменчивости: охарактеризовать изменчивость функций, составляющих модель FRAM. Этот шаг должен учитывать как потенциальную изменчивость, относящуюся к модели, так и ожидаемую фактическую изменчивость, относящуюся к конкретизации модели.

Шаг 3: агрегация изменчивости. Необходимо знать, как изменчивость различных функций может сочетаться и к каким приводить результатам. Другими словами, необходимо знать, может ли возникнуть функциональный резонанс. Это достигается с помощью идеи функциональной восходящей-нисходящей связи.

Шаг 4: использование результатов анализа. На этом этапе предлагаются способы управления возможными случаями неконтролируемой изменчивости производительности или возможными условиями функционального резонанса, которые были обнаружены на предыдущих этапах.

FRAM можно использовать для анализа аварий [48] (Patriarca et al., 2017), [41] (Li et al., 2019), оценки рисков [58] (Ross et al., 2018), здоровья [50] (Raben et al., 2018) и системного моделирования [62] (Studic et al., 2017).

Для более удобного применения было разработано программное обеспечение поддержки FRAM, которое можно бесплатно загрузить с веб-сайта визуализатора модели FRAM [4].

Заключение

Начиная с 1919 года, то есть с момента оформления первого метода расследования происшествий, прошло 100 лет. Из приведенного обзора видно, что методы расследования и анализа происшествий изменялись вслед за развитием технологий, а также под воздействием возрастающей неопределенности технологических систем и процессов. Обзор будет продолжен и расширен за счет методов, основанных на оценке влияния на происшествия человеческого фактора, а также за счет систематизации столетней истории моделей и методов расследования происшествий для достижения главной цели: выявления и устранения основной (или основных) причин происшествий для предотвращения их повторения.

[1]Все эти методы подробно описаны в [60].

[2]Данный метод описан в [60, Приложениe В.26].

[3]Tripod Beta: Guidance on using Tripod Beta in the investigation and analysis of incidents, accidents and business losses. Stichting Tripod Foundation. [Электронный ресурс]. URL: https://publishing.energyinst.org/tripod/beta (дата обращения 28. 10. 2020).

^[4] FRAM – the FUNCTIONAL RESONANCE ANALYSIS METHOD for modelling non-trivial socio-technical systems [Электронный ресурс]. URL: (http://functionalresonance.com/index.html) (дата обращения 10.09.2020).