Sikkerhetsfaglig rammeverk og analyseprosess for systematiske undersøkelser

Transkript

1 SHT-METODEN Sikkerhetsfaglig rammeverk og analyseprosess for systematiske undersøkelser Statens havarikommisjon for transport Postboks 213, 2001 Lillestrøm Tlf: Faks:

2 Statens havarikommisjon for transport Lillestrøm, januar utgave ISBN

3 Statens havarikommisjon for transport Side 3 INNHOLDSFORTEGNELSE 1. INNLEDNING HELHETLIG ANALYSEPROSESS BESKRIVELSE AV TRINNENE I PROSESSEN Trinn 1. Klarlegge hendelsesforløp og omstendigheter Trinn 2. Identifisere lokale sikkerhetsproblemer Trinn 3. Barriereanalyse Trinn 4. Kartlegge risikofaktorer Trinn 5: Vurdere kausalitet og viktighet Trinn 6. Utrede systemiske sikkerhetsproblemer Trinn 7. Vurdere behov for sikkerhetstilrådinger REFERANSER DEFINISJONER... 21

4 Statens havarikommisjon for transport Side 4 1. INNLEDNING Dette dokumentet beskriver Statens havarikommisjon for transport (SHT) sitt sikkerhetsfaglige rammeverk og analyseprosess for systematiske undersøkelser. De enkelte avdelingene i SHT arbeider ut i fra ulike internasjonale og nasjonale forpliktelser, føringer og praksis 1. Disse ulikhetene skal det tas høyde for i SHTs styringssystem, i form av prosedyrer og arbeidsbeskrivelser tilpasset den enkelte avdeling. Det eksisterer imidlertid også viktige og allmenngyldige likheter på tvers av SHTs undersøkelser. Spesielt på et prinsipielt, overordnet nivå når det gjelder prosess, metodikk og systematikk i undersøkelsene. Dette handler om hvordan vi samler inn, organiserer, analyserer og tolker informasjon fra ulykker på en systematisk og etterprøvbar måte, samt hvordan vi forstår ulykker, hvorfor de skjer og hvordan sikkerheten kan forbedres for å forebygge nye ulykker 2. Dette rammeverket er uavhengig av hvilken avdeling som undersøker ulykken, hvem som er undersøkelsesleder eller hvem som deltar i undersøkelsesgruppen. Rammeverket beskriver en beste praksis for systematiske undersøkelser og gir grunnlag for en felles forståelse og referanseramme for SHTs medarbeidere. Det kan hjelpe avdelingene til å nå målet om å hevde seg blant de beste havarikommisjoner i Europa innenfor sine respektive transportsektorer. Det sikkerhetsfaglige og analytiske rammeverket skal danne grunnlag for at SHT, også i sin helhet, kan leve opp til samfunnets forventninger om en pålitelig og kompetent undersøkelsesmyndighet. Dokumentet inneholder flere referanser til sikkerhetsfaglig litteratur og ulike metoder og teorier relatert til ulykkesgransking. Rammeverket til den australske havarikommisjonen (ATSB, 2007 og ATSB, 2015) har vært en av hovedreferansene for SHT i utarbeidelsen av dette dokumentet. 2. HELHETLIG ANALYSEPROSESS SHTs rammeverk og analyseprosess for systematiske undersøkelser er forankret i regelverket som gjelder for SHTs undersøkelser og SHTs styringssystem. Innhentet faktainformasjon om ulykken må være grunnlag og driver for analyseprosessen i enhver undersøkelse. Kvaliteten og påliteligheten av den informasjonen som samles inn er avgjørende for analysens og konklusjonenes gyldighet. En ulykkesgransking kan inndeles i tre overlappende hovedfaser som vist i figur 1. Figuren illustrerer ikke en ren lineær granskingsprosess, men tre hovedfaser som det er mulig å bevege seg frem og tilbake i, basert på nye erfaringer eller funn (iterativ prosess). 1 Regelverk eller internasjonale føringer vil gå foran dette rammeverket dersom det skulle oppstå uoverensstemmelser. 2 Beskrivelsen i dette dokumentet gjelder også for undersøkelser av alvorlige hendelser.

5 Statens havarikommisjon for transport Side 5 Figur 1: Ulykkesgranskingens tre faser (tilpasset etter DOE, 1999). SHTs analyseprosess for systematiske undersøkelser konkretiserer den midterste fasen (i blått). Figur 2 på neste side illustrerer SHTs analyseprosess for systematiske undersøkelser (SHT-metoden). SHT-metoden konkretiserer fasen som er illustrert i blått i midten av figur 1. SHTs analyseprosess er inndelt i syv trinn. Det er viktig å merke seg at også analyseprosessen i seg selv er iterativ (illustrert ved sirkelen i figur 2). Det vil si at erfaringer eller funn på et trinn i analyseprosessen kan medføre at man går tilbake for å vurdere og eventuelt gjøre endringer på et tidligere analysetrinn. SHTs analyseprosess er forankret i vårt mandat som undersøkelsesmyndighet. Trinn 1-3 omhandler hva som skjedde, trinn 4-5 omhandler hvorfor ulykken skjedde og trinn 6-7 omhandler hvordan forhindre nye ulykker. Analyseprosessen skal prinsipielt gjelde for alle sikkerhetsundersøkelser som SHT gjennomfører. Prosessen tilpasses undersøkelsens dybde, dvs. graden i undersøkelsen av en faktor for å oppnå ønsket nivå av forståelse (vist med vertikal stiplet pil i figur 2), og omfang, dvs. mangfoldet av relevante faktorer som må undersøkes (vist med horisontal stiplet pil i figur 2). Prosessen benyttes fra undersøkelsens oppstart til undersøkelsen er ferdigstilt og mulige forbedringsområder er utredet. Undersøkelsen skal gjøres systematisk, og intensjonen i de enkelte trinnene i analyseprosessen skal vektlegges (dvs. beskrivelsen i tekstboksen etter et analysetrinn). Utviklingen av diagrammer som illustrert i figur 2 er kun et hjelpemiddel for analyseprosessen.

6 Statens havarikommisjon for transport Side 6 Figur 2: SHTs analyseprosess for systematiske undersøkelser (SHT-metoden).

7 Statens havarikommisjon for transport Side 7 3. BESKRIVELSE AV TRINNENE I PROSESSEN 3.1 Trinn 1. Klarlegge hendelsesforløp og omstendigheter En ulykke kan utspille seg raskt eller over noe tid. Ulykkestidspunktet kan defineres som tidspunktet for en irreversibel, fysisk hendelse. Et hendelsesforløp består av hendelser både før og etter et ulykkestidspunkt. Ulykkestidspunktet er markert med en stjerne i figur 3. Figur 3: Trinn 1. Klarlegge hendelsesforløp og omstendigheter. Hensikten med å klarlegge hendelsesforløp og omstendigheter er å kunne forstå og beskrive hva som skjedde, samt hva og hvem som var involvert på en slik måte at det påvirket hendelsene som ledet frem til ulykken med tilhørende skade og tap. I en tidlig fase vil det også være behov for å kartlegge og beskrive omstendighetene eller rammene rundt ulykken. Dette inkluderer informasjon om operativt personell, tilstand på materiell og utstyr, infrastruktur og værforhold etc. I tillegg bør det klarlegges hvordan en ideell transportprosess eller arbeidsoperasjon burde ha foregått. En sekvensiell tilnærming, hvor hendelsesforløpet beskrives langs en tidslinje, er anbefalt. Ofte kan det være tilstrekkelig å etablere en enkel tidslinje hvor de vesentligste handlinger og hendelser (raske tilstandsendringer) identifiseres og settes sammen i tidsmessig rekkefølge. Beskrivelsen av hendelsesforløpet starter fra et tidspunkt hvor den aktuelle transportprosessen er innenfor normal fungering. Beskrivelsen avsluttes når ulykkeshendelsene er kommet til ro, en eventuell redningsaksjon er avsluttet og skadde personer er evakuert. Det kan være nødvendig å foreta en usikkerhetsbetraktning av hendelsesforløpet og beskrive mulige alternative scenarioer. En av flere metoder for å systematisere hendelser over tid er STEP 3 -metoden (Hendrick og Benner, 1987). Metoden har vist seg å være spesielt nyttig i tilfeller der det er flere involverte aktører og der mange hendelser og handlinger skjer over tid. STEP vil være til 3 Sequential Timed Events Plotting

8 Statens havarikommisjon for transport Side 8 hjelp for å strukturere handlinger, hendelser og deres relasjoner, samt avdekke mangler, usikkerhet og ytterligere informasjonsbehov. Trinn 1. Hendelsesforløpet og omstendighetene for ulykken skal være godt nok klarlagt til å kunne forstå og beskrive hva som skjedde, hvor og når hendelsene inntraff og hvem som var involvert. Dette trinnet bør også ha klarlagt hvordan en ideell transportprosess eller arbeidsoperasjon var ment å skulle foregå. Usikkerhet og alternative forståelser av hendelsesforløpet skal her være vurdert. 3.2 Trinn 2. Identifisere lokale sikkerhetsproblemer Figur 4: Trinn 2. Identifisere lokale sikkerhetsproblemer. Markert med rød trekant i figuren. Hensikten med denne delen av analysen er å identifisere mulige sikkerhetsproblemer som var tilstede eller oppstod i hendelsesforløpet ved den aktuelle ulykken, dvs. vurdere hva som gikk galt i hendelsesforløpet. Lokale sikkerhetsproblemer kan identifiseres gjennom ulike hendelses- og konsekvensanalyser. Hendelsesanalysen er SHTs vurdering av hendelsene og handlingene som ledet frem til en irreversibel, fysisk hendelse. Konsekvensanalysen er vurdering av hendelsene og handlingene som hadde betydning for skade- og overlevelsesaspektene i ulykken. Lokale sikkerhetsproblemer i hendelsesforløpet kan finnes i en tilstand, i en hendelse eller i forbindelsen mellom hendelser på en tidslinje. For å identifisere lokale sikkerhetsproblemer kan man lete etter følgende: - Hvor hendelsesforløpet kunne vært endret eller avbrutt (barrieretilnærming, se også trinn 3). - Hvor hendelsesforløpet hadde tap av kontroll/svak kontroll (farekontrolltilnærming). - Hvor hendelsesforløpet avvek fra en sikker eller forventet funksjon (avvikstilnærming).

9 Statens havarikommisjon for transport Side 9 Lokale sikkerhetsproblemer kan illustreres med røde trekanter i et diagram med en sekvens av hendelser og handlinger på en tidslinje. Se figur 4. I dette trinnet er det viktig å ikke hoppe direkte over på beskrivelse av hva som kunne eller burde vært til stede og konkrete løsninger. Et sikkerhetsproblem bør formuleres åpent slik at det gir rom for at problemet kan ha oppstått eller vært tilstede som følge av ulike medvirkende faktorer og slik at problemet kan løses på ulike måter. De lokale sikkerhetsproblemene som er identifisert i hendelsesforløpet kan betraktes som mulige symptomer på bakenforliggende, systemiske sikkerhetsproblemer (se trinn 6). Basert på identifiserte lokale sikkerhetsproblemer i hendelsesforløpet formuleres og beskrives temaer for videre undersøkelse. For hvert sikkerhetsproblem kan det formuleres flere spørsmål som vil være vesentlig å søke og besvare gjennom en mer detaljert utredning. Trinn 2. De lokale sikkerhetsproblemene skal være identifisert på en slik måte i hendelsesforløpet at vi har en klar formening og beskrivelse av hva som gikk galt. Identifikasjon av lokale sikkerhetsproblemer skal videre danne grunnlag for en beslutning og avgrensning av hvilke temaer som skal undersøkes i nærmere detalj. Herunder hvilke data som skal samles inn, hvilke undersøkelsesmetoder som skal benyttes og hvilke ressurser det er behov for i den videre undersøkelsen. Denne delen kan også danne grunnlaget for en eventuell foreløpig rapport, status fra undersøkelsen eller varsel om sikkerhetskritiske forhold. 3.3 Trinn 3. Barriereanalyse Figur 5: Trinn 3. Barriereanalyse. I større systemer eller dersom hendelsesforløpet strekker seg over tid kan det være nyttig å foreta en spesifikk analyse av barrierer. I andre undersøkelser kommer barrierene så tydelige frem gjennom det klarlagte hendelsesforløpet med identifiserte sikkerhetsproblemer, at det ikke vil være nødvendig å foreta en barriereanalyse.

10 Statens havarikommisjon for transport Side 10 Følgende definisjon 4 av barriere benyttes her: Tekniske, operasjonelle eller organisatoriske tiltak som hver for seg eller i samspill, kunne forhindret eller stoppet det aktuelle hendelsesforløpet, eller begrenset konsekvensen av ulykken. I dette ligger at barrierer skal a) hindre avvik i å inntreffe, b) hindre ulykke: detektere og/eller varsle avvik, c) hindre skade: redusere konsekvenser (Alteren m.fl., 2005, s.12). Det er nyttig å skille barrierer, som har en begrenset betydning og unik hensikt rettet mot et spesifikt hendelsesforløp eller faremoment, fra mer generelle sikkerhetstiltak, som ikke er rettet mot et forhåndsdefinert scenario (for eksempel rapporteringssystemer, fadderordning for nyansatte og sikkerhetskultur). Barrierer vil prinsipielt ikke være nødvendig eller i funksjon ved normal drift. En ideell barriere mot ulykker er passiv, siden den ikke vil være avhengig av mer eller mindre forutsigbar daglig drift for å fungere. Slike barrierer må bygges inn i designfasen av systemer og utstyr (Kjellén, 2000). Barrierene kan illustreres med blå rektangler i et hendelsesforløp på en tidslinje på følgende måte (se figur 5): Barrierer som var etablert og som fungerte. Svakheter og svikt i eksisterende barrierer. Manglende barrierer som ikke var etablert på ulykkestidspunktet (både barrierer som skulle vært etablert eller som potensielt kunne vært etablert). Noen ganger kan det også være nyttig å kategorisere barrierene relatert til funksjon eller område, se for eksempel Alteren m.fl. (2005). Ved å benytte et barriereanalyseskjema, basert på for eksempel håndboken fra DOE (2012), kan man sikre en strukturert og etterprøvbar barriereanalyse. Trinn 3. Barriereanalysen skal sikre at det undersøkte systemets etablerte forsvarsverk kartlegges, samt at de barrierene som potensielt kunne vært på plass for å forhindre eller begrense skadene i det aktuelle hendelsesforløpet er identifisert. Videre kan barriereanalysen bidra til en vurdering og prioritering av områder for forbedring i trinn 6. 4 Lignende definisjoner brukes av Petroleumstilsynet (2013), Jernbanetilsynet (2013) og Rosness m.fl. (2004).

11 Statens havarikommisjon for transport Side Trinn 4. Kartlegge risikofaktorer Figur 6: Trinn 4. Kartlegge risikofaktorer Hensikt og omfang Hensikten med å kartlegge og utrede risikofaktorer er å: - Forklare og forstå hvordan og hvorfor de identifiserte lokale sikkerhetsproblemene var tilstede i hendelsesforløpet. - Forklare og forstå hvordan og hvorfor sikkerhetsmessige systemer og barrierer som kunne forhindret ulykken ikke fantes eller fungerte som de skulle. Trinn 4 og trinn 5 utgjør til sammen undersøkelsens årsaksanalyse. Formålet er å utrede sammenhenger mellom hendelsesforløpet og risikofaktorer på ulike nivåer i det sosiotekniske systemet 5. Dette er faktorer som ikke nødvendigvis har hatt en klar årsakvirkning-effekt, men som anses å øke risikoen for en ulykke (for eksempel tretthet/utmatting, press for å få jobben gjort, uklare arbeidsbeskrivelser, manglende tilsyn etc.). Resultater fra den sekvensielle delen av undersøkelsen (trinn 1-3) retter oppmerksomheten mot de utløsende mekanismene, avvik, feil og kontrollproblemer eller til opplagte følgefeil som har fremkommet. Utfordringen i trinn 4 ligger i å spørre hvordan systemsiden (organisasjoner og myndigheter) kunne akseptere, eller ikke hadde identifisert, at denne faren for ulykke var til stede uten å ha bygget inn tilstrekkelig toleranse for potensielle feil og avvik. Samtidig innebærer det også en søken etter å forstå hvorfor en avgjørelse eller en handling fremstod som fornuftig på et gitt tidspunkt (Dekker, 2006, s. 26). Det er viktig å være klar over at hvert videre nivå i analysen av risikofaktorer (utvidelse av dybden i undersøkelsen) krever mer av informasjonsinnhentingen og flere undersøkelsesressurser. Den økte kompleksiteten vil også øke utfordringene i analyse og rapportering. Det er derfor viktig å vurdere om det sikkerhetsmessige utbyttet forsvarer den økte ressursbruken ved å utvide undersøkelsen. I dette ligger også en forpliktelse til å 5 Se Rasmussen (1997) og det sosio-tekniske system involvert i risikoledelse.

12 Statens havarikommisjon for transport Side 12 foreta en begrunnet beslutning, enten denne innebærer en utvidelse av undersøkelsen eller ikke. En metode som kan være til hjelp i denne delen av undersøkelsen er en Why-because analyse (WBA), som beveger seg oppover fra det operative og tekniske nivået til det mer bakenforliggende nivået. Tankegangen er at man gjentakende stiller spørsmål om hvorfor og så søke etter forklaringer ( derfor ). En annen relevant tilnærming er gapanalyse. I en gapanalyse kartlegges og vurderes handlingene og omstendighetene i ulykken opp mot normal praksis (uformell), forventet praksis (formell: prosedyrer og regelverk) og sikker praksis (ideell). Dette betyr at gap eller mangler kan finnes i relasjon til tre ulike referanser. Underveis i utredningen av risikofaktorer kan det være formålstjenlig å utarbeide et influensdiagram eller årsakskart som samler alle faktorene som kan ha påvirket ulykken. Et slikt diagram kan være en støtte for å sortere og etablere oversikt over funn og faktorer, samt avklare relasjonene mellom disse. Det finnes flere typer diagrammer som kan benyttes, eksempelvis: levels-based approach (ATSB, 2015), AcciMap (Rasmussen, 1997) eller MTO-diagram (se Sklet, 2002) Dimensjoner i utredningen av risikofaktorer Utredning av menneskelige faktorer Hensikten er å utrede og forklare faktorer som kan ha påvirket menneskene som var involvert i hendelsesforløpet, samt hvordan og hvorfor de handlet (eller ikke handlet). Herunder situasjonsforståelse, tretthet, kunnskap/erfaring, helsetilstand, ergonomi, arbeidsplassfaktorer etc. Psykolog bør involveres i denne prosessen. Utredningen bør også si noe om hvordan andre i samme situasjon kunne handlet, dvs. sammenligne handlinger i hendelsesforløpet opp mot normal, forventet og ideell praksis Utredning av tekniske faktorer Dersom en teknisk feil eller mangel er avdekket i hendelsesforløpet vil det være behov for å utrede dette nærmere for å forstå hvordan eller hvorfor dette kunne oppstå. Videre utredninger kan være test av utstyr, simuleringer, analyse av datalogger, rekonstruksjoner og metallurgiske undersøkelser. Det kan være nødvendig med bistand fra tekniske eksperter i denne prosessen. For å forfølge sviktmekanismene til en konkret teknisk feil kan en feiltreanalyse (FTA) 6 benyttes. En teknisk feil kan være resultat av avvik i vedlikehold. Derfor er det nødvendig å innhente data om utført vedlikehold, vedlikeholdskrav og kvalitetssikring. Videre kan en teknisk feil eller mangel i noen tilfeller være et resultat av feil eller svakheter ved design. For å undersøke sikkerhetsaspekter ved en gitt design og de vurderinger og krav som ligger til grunn for denne vil det være nødvendig å innhente ytterligere informasjon og dokumentasjon. Dette kan være tegninger, tekniske rapporter 6 En FTA ble gjennomført i forbindelse med Rapport om luftfartsulykke 10. oktober 2006 på Stord lufthavn, Sørstokken (ENSO) med BAE , OY-CRG, operert av Atlantic Airways.

13 Statens havarikommisjon for transport Side 13 fra tester, risikoanalyser, pålitelighetsdata, designkriterier, sertifiseringskrav og godkjenninger Utredning av omgivelsesfaktorer/lokale forhold Det vil ofte være behov for å utrede i større detalj andre omstendigheter omkring ulykken, eksempelvis: meteorologi, sjø og vindforhold, lysforhold, blindsoner, trafikkbilde, mulige distraksjoner og støy. Det kan være nødvendig å få bistand fra tekniske eksperter i denne prosessen Utredning av skade- og overlevelsesaspekter En ulykkesundersøkelse må som regel utrede og forklare hvilke faktorer som har påvirket skadeomfanget til mennesker, materiell og miljø. Her kan det være behov for gjennomgang av obduksjonsrapporter og pasientjournaler, samt teknisk gjennomgang av materiell for å avdekke skademekanismer og energibaner. Det kan være hensiktsmessig å få bistand fra medisinske og/eller tekniske eksperter. Det vil være nødvendig å gjennomgå bruk av verneutstyr og hvilke krav som stilles til dette Utredning av organisasjons- og ledelsesfaktorer Organisasjons- og ledelsesfaktorer er omstendigheter som medvirker til andre usikre operative eller tekniske tilstander. De har negativ innvirkning på menneskelig prestasjonsevne eller organisasjonens evne til å proaktivt identifisere og håndtere usikre tilstander og farer. Ulike begreper blir brukt med hensyn på organisasjons- og ledelsesfaktorer i relasjon til sikkerhet, herunder; sikkerhets- og risikostyring, sikkerhetsledelse og sikkerhetskultur (se definisjonsliste). Basert på studier av organisasjoner hvor konsekvensene av feil kan være katastrofale (atomkraft, prosessindustri, hangarskip) har begrepene Resilience og High Reliability Organisations (HRO, høy-pålitelige organisasjoner) oppstått. Den type praksis og forpliktelse til sikkerhet som er funnet å kjennetegne HROer og generative organisasjoner kan benyttes som referanse for beste praksis (se Weick m.fl., 2001 og Reason, 1997). Ved å undersøke hvordan de lokale sikkerhetsproblemene som er identifisert i hendelsesforløpet var (eller ikke var) identifisert og håndtert av organisasjonen, kan man danne seg et bilde av hvordan organisasjonens sikkerhetsledelse fungerte og hvor effektiv organisasjonens risikostyring var. I en fullstendig utredning av organisasjons- og ledelsesfaktorer vil det være behov for å innhente bred og sammensatt informasjon gjennom dokumenter, rapporter, historikk, observasjoner og intervjuer. Se også Transportation Safety Board of Canada (TSB) Guide to Investigation for organizational and management factors (2014) Utredning av sikkerhetsmessige rammebetingelser En utredning av sikkerhetsmessige rammebetingelser kan bidra til å forklare og forstå hvordan og hvorfor det var svikt eller mangler på nivåene under. Sikkerhetsmessige rammebetingelser inkluderer myndigheter, regelverk, kontroll og tilsyn som skal tilrettelegge for tilstrekkelig sikkerhet, samt de overordnede beslutninger og prioriteringer

14 Statens havarikommisjon for transport Side 14 på systemnivå. Andre ytre omstendigheter og rammebetingelser, som økonomi og marked, kan også ha påvirket involverte organisasjoner og aktører. Som regel vil SHTs undersøkelser avgrenses på dette nivået. Ved juridiske problemstillinger som krever utredning av regelverk og eventuelle svakheter eller hull i dette, er det viktig å være klar over at det finnes en juridisk metode. Juridisk metode brukes for å komme frem til hva lovgiver har ment skal være gjeldende rett på området. Dette kan ikke alltid leses enkelt ut av lov- eller forskriftstekst. Den juridiske metoden handler om hvordan man finner frem til innholdet i rettsreglene gjennom relevans, tolkning og vekting. Jurist bør involveres i denne prosessen. Hvor det er tvil er det også viktig å ha en dialog med regelverksutvikler, herunder direktorat og tilsyn, for å få klarhet i hvordan de tolker regelverket på det aktuelle området Systemisk tilnærming Sirkelen i figur 2 representerer systemperspektivet, dvs. at sikkerhet er avhengig av tilpasning og samspill mellom flere ulike elementer på flere ulike nivåer i et sosio-teknisk system. Derfor vil det nesten alltid være utfordrende å modellere/forklare hvordan og hvorfor ulike faktorer og interaksjoner mellom disse kan ha bidratt til en ulykke. Dette er et viktig perspektiv for alle ulykker som SHT undersøker. For ulykker i komplekse systemer kan interaksjonene i hendelsesforløpet og mellom de ulike risikofaktorene være særlig uoversiktelige og vanskelige å beskrive. Denne kompleksiteten kan fremkomme i trinn 1 ved at hendelsesforløpet er vanskelig å klarlegge, og i trinn ved at lokale sikkerhetsproblemer, barrierer og risikofaktorer er vanskelige å identifisere. Basert på Hollnagel og Speziali (2008) vil en systemisk tilnærming være et egnet perspektiv for å undersøke ulykker i komplekse systemer 7. Hensikten med en systemisk tilnærming er å forstå hvordan uheldige hendelser kan være et resultat av uventede kombinasjoner av variasjoner i normal atferd (Hollnagel og Speziali, 2008), samt å finne måter å overvåke og kontrollere denne variabiliteten (Hollnagel, 2002). Den systemiske tilnærmingen er et supplement til, og ikke i stedet for, trinnene i SHTs analyseprosess. Trinn 4. Risikofaktorer er utredet slik at vi har fått kunnskap og innsikt i hvordan faktorer på ulike nivåer kan ha bidratt til og påvirket hendelsesforløpet og lokale sikkerhetsproblemer. Undersøkelsens bredde og dybde er vurdert opp mot læringseffekt, sikkerhetsmessig verdi og ressurs-/tidsbruk. Alle delundersøkelser er konkludert og koblet sammen slik at vi har fått et tilstrekkelig grunnlag for å etablere et helhetsbilde av ulykken og utarbeide et eventuelt influensdiagram/årsakskart. 7 En slik kompleksitet vil kunne ses innen kommersiell luftfart. Nye rammebetingelser som globalisering av økonomien, rask teknologisk utvikling, endringer i regelverk og nye organisasjonsformer kan bidra til økt kompleksitet også innen de andre transportgrenene.

15 Statens havarikommisjon for transport Side Trinn 5: Vurdere kausalitet og viktighet Hensikten med dette trinnet er å forklare og forstå i hvilken grad og på hvilken måte de identifiserte risikofaktorene har eksistert og påvirket hendelsesforløpet. Dvs. at her er det nødvendig med en form for betraktning av årsak-virkning (kausalitetsbetraktning). Dette må gjennomføres gjennom hele analyseprosessen, dvs. hver gang nye risikofaktorer identifiseres. Eksempelvis dersom alkoholpåvirkning er et funn i hvilken grad har det påvirket aktøren og dens handlinger i hendelsesforløpet? Eller dersom et steg i en prosedyre ikke er fulgt i hvilken grad har det påvirket det videre hendelsesforløpet? ATSB (2015) sin beskrivelse av analyseprosessen har et illustrerende flytskjema, vist i figur 7. Figur 7: Prosessen for å teste potensielle risikofaktorer med hensyn på eksistens, påvirkning og viktighet (ATSB, 2015, s. 145). En undersøkelse kan avdekke risikofaktorer som viser seg å ikke ha medvirket til den aktuelle ulykken. Dersom disse anses tilstrekkelig viktige for sikkerheten kan undersøkelsen behandle og diskutere disse, men det må fremkomme tydelig i rapporten at de ikke hadde påvirkning. The substitution test (Reason, 1997, s. 208) hvor man ser på hvilken effekt det ville hatt på hendelsesforløpet dersom en person hadde vært byttet ut med en annen er nyttig i denne delen av analysen. Testen kan også brukes for å se på effekten av å bytte ut en tilstand, gjenstand eller handling. Ofte vil det være nødvendig å innhente supplerende informasjonen som statistikk, publiserte veiledninger, litteratur og forskning, samt søke informasjon, kunnskap og underbygging av risikofaktorer i andre undersøkelser (nasjonalt og internasjonalt). Det kan også være nødvendig å innhente ekstern bistand innen det aktuelle fagområdet.

16 Statens havarikommisjon for transport Side 16 Trinn 5. Vurdering av kausalitet og viktighet skal sikre at det er transparent hvordan undersøkelsen og identifiserte risikofaktorer, er forankret i det konkrete hendelsesforløpet og bidra til undersøkelsens etterprøvbarhet. Alle risikofaktorer skal være utredet i slik detalj at vi har forstått og forklart i hvilken grad og på hvilken måte den identifiserte faktoren har eksistert og påvirket hendelsesforløpet. Faktorer som viser seg å ikke ha medvirket til den aktuelle ulykken er utredet med hensyn på hvor viktige de er for sikkerheten. 3.6 Trinn 6. Utrede systemiske sikkerhetsproblemer Figur 8: Trinn 6. Utrede systemiske sikkerhetsproblemer = områder for forbedring av sikkerheten. Markert med gule trekanter i figuren. De foregående trinnene i undersøkelsen skal ha etablert ulykkens helhetsbilde, dvs. hvordan hendelsesforløpet og konsekvensen med tap eller skade kan ha sluppet igjennom systemets forsvarsverk og barrierer, samt hvilke faktorer på ulike nivåer som medvirket til dette. I dette trinnet skal områder for forbedring av sikkerheten utredes slik at nye ulykker kan forebygges. Det er ønskelig at SHTs undersøkelser skal bidra til sikkerheten på et nivå som er gjennomgripende og som kan gi varige forbedringer av transportsystemer og arbeidsprosesser, dvs. dobbeltkretslæring 8 i henhold til Argyris (Hovden m.fl., 2004, s. 175). Dette trinnet handler derfor om å utrede systemiske sikkerhetsproblemer. Et systemisk sikkerhetsproblem er en risikofaktor som (se safety issue s. 26 i ATSB, 2015): - med rimelighet kan anses å ha potensial til å påvirke sikkerheten av fremtidige operasjoner, og - er en karakteristikk ved en organisasjon eller et system, i stedet for en karakteristikk av en bestemt person eller et operativt miljø på et bestemt tidspunkt. Systemiske sikkerhetsproblemer kan illustreres med gule trekanter i et årsakskart/diagram som viser bakenforliggende risikofaktorer. Se figur 8. 8 Enkeltkretslæring er av korrigerende karakter, dvs. at transportsystemet kun bringes tilbake i opprinnelig stand.

17 Statens havarikommisjon for transport Side 17 Systemiske sikkerhetsproblemer kan betegnes som undersøkelsens vesentligste funn av betydning for sikkerheten. Vanligvis henviser systemiske sikkerhetsproblemer til problemer ved risikostyring, barrierer eller andre organisasjons- og ledelsesfaktorer, samt svakheter ved rammebetingelser som påvirker hvor effektivt risikoen blir kontrollert. Det kan også være feil eller svakheter ved en spesifikk teknisk design. En systematisk gjentakende risikofaktor på operativt eller teknisk nivå vil også i noen tilfeller kunne betraktes som et systemisk sikkerhetsproblem. Med andre ord, et systemisk sikkerhetsproblem er en faktor som en organisasjon eller myndighet har noen grad av kontroll og ansvar for, og dersom den ikke blir håndtert, vil øke risikoen for fremtidige ulykker (ATSB, 2015, s. 26). Trinn 6. Utredning av hvordan sikkerheten bør forbedres gjennom identifikasjon av systemiske sikkerhetsproblemer. Et systemisk sikkerhetsproblem kan betegnes som undersøkelsens vesentligste funn av betydning for sikkerheten. Det er en risikofaktor (uavhengig om den medvirket til den aktuelle ulykken) som en organisasjon eller myndighet har noen grad av kontroll og ansvar for, og som kan øke risikoen for fremtidige ulykker. 3.7 Trinn 7. Vurdere behov for sikkerhetstilrådinger De identifiserte systemiske sikkerhetsproblemene peker på områder hvor sikkerheten bør forbedres. Følgende avgjør om det er nødvendig for SHT å fremme en sikkerhetstilråding for å håndtere et systemisk sikkerhetsproblem: a) Viktigheten og omfanget av det systemiske sikkerhetsproblemet (risikobetraktning). b) De eventuelle tiltak som allerede er iverksatt eller planlagt. Det er derfor viktig å innhente informasjon om gjennomførte og planlagte tiltak fra de involverte organisasjonene underveis i undersøkelsen 9. c) Gjennomførbarhet må vurderes, dvs. hva som antas mulig eller realistisk å gjennomføre for eier av det systemiske sikkerhetsproblemet. d) Effekten på sikkerheten av en eventuell forbedring. De sikkerhetstilrådinger som best kan forebygge nye ulykker er de som er forankret i bakenforliggende/systemiske faktorer. Sikkerhetstilrådinger som er forankret i lokale faktorer nærmere farekilden vil som regel ha smalere effekt. Den utløsende mekanismen er derfor ikke nødvendigvis et mål for tilrådingen, men alle sikkerhetsbarrierer og tiltak på veien mot en ulykke. SHT anbefaler å søke etter sikkerhetstilrådinger etter følgende strategi (se neste side): 9 Det kan i noen tilfeller være formålstjenlig at SHT fremmer en sikkerhetstilråding for å bidra til å realisere eventuelle planer (avhengig av den enkelte planprosess).

18 Statens havarikommisjon for transport Side Risikoeliminering Sikkerhetstilrådinger rettet mot å eliminere risikoen eller faren i sin helhet. Ofte vil ikke dette være realistisk eller ønskelig. Et eksempel kan være en sikkerhetstilråding rettet mot å fjerne et fartøy eller en maskin fra en operasjon. 2. Risikostyring og regelverk Risiko som ikke kan elimineres må kontrolleres. Eksempelvis sikkerhetstilrådinger rettet mot regelverk og sertifisering, samt sikkerhetsstyringssystemer som ivaretar den forebyggende sikkerheten på en planmessig, styrt og organisert måte. 3. Konsekvensreduserende tiltak og barrierer 4. Sannsynlighetsreduserende og preventive tiltak Denne form for sikkerhetstilråding aksepterer at faren er til stede, men har som formål å stanse forplantningen slik at konsekvensene elimineres, blir minimale og kan aksepteres. Eksempler er sikkerhetstilrådinger rettet mot fysiske barrierer i design eller sikkerhetsutstyr. Denne form for sikkerhetstilråding baserer seg på tiltak som reduserer sannsynligheten for at feilen eller den utløsende mekanismen oppstår. For eksempel en sikkerhetstilråding rettet mot opplæring/trening, informasjon og kunnskap. Den siste formen for sikkerhetstilråding får ikke høyere prioritet fordi det gir erfaringsmessig begrenset pålitelighet, spesielt dersom andre sikkerhetstiltak ikke er godt ivaretatt. Ofte velges denne typen risikokontroll i form av operasjonelle prosedyrer, overvåkning, varslingsinnretninger osv. foran prinsippet om å anvende konsekvensreduserende tiltak, fordi det er enklere ( bare skrive en ny prosedyre ) og mer attraktivt økonomisk for en organisasjon. En annen nyttig referanse for å søke etter effektive sikkerhetstilrådinger er Haddons 10 strategier som systematiserer og prioriterer kjente prinsipper for ulykkesforebygging, som beskrevet i Kjellén (2000). Følgende prioriteringsrekkefølge gjelder for valg av sikkerhetstiltak: Strategier relatert til energikilden: Strategier relatert til barrierer: Strategier relatert til det sårbare objektet: 1) forhindre oppbygging 2) omdanne egenskapene 3) begrense mengde 4) forhindre ukontrollert frigivelse 5) modifisere grad og fordeling 6) separere i tid eller rom 7) fysisk separasjon 8) motstandsdyktighet 9) begrense skade 10) stabilisere, reparere og rehabilitere

19 Statens havarikommisjon for transport Side 19 Disse strategiene for ulykkesforebygging har hatt en viktig påvirkning på europeisk regelverk og standardiseringsarbeid relatert til maskinsikkerhet og risikoanalyser (Kjellén, 2000). Et systemperspektiv (illustrert ved sirkelen i figur 2) innebærer at fjerning av en risikofaktor alene ikke nødvendigvis vil forhindre en lignende ulykke fra å skje igjen. Ulike virkemidler som påvirker flere områder eller hovedkomponenter (menneske, teknologi, miljø og styring) og samspillet mellom dem kan være nødvendig for å forebygge nye ulykker. Til sist, er det nødvendig å ta stilling til hvordan analysen, konklusjonene og eventuelle sikkerhetstilrådinger skal kommuniseres og formuleres i den endelige rapporten fra undersøkelsen. Trinn 7. En begrunnet beslutning er tatt om hvilke områder det er nødvendig å fremme sikkerhetstilrådinger. Behov for eventuelle sikkerhetstilrådinger er vurdert basert på alvorlighetsgraden av de identifiserte systemiske sikkerhetsproblemene, iverksatte tiltak, forbedringseffekt og gjennomførbarhet. De sikkerhetstilrådinger som best kan forebygge nye ulykker er de som er forankret i bakenforliggende/systemiske faktorer.

20 Statens havarikommisjon for transport Side 20 REFERANSER Alteren, B., Hokstad P., Moe D. og Sakshaug, K. (2005): Møte- og utforkjøringsulykker i et barriereperspektiv. SINTEF rapport STF50 A ATSB (2007): Analysis, Causality and Proof in Safety Investigations. ATSB Transport Safety Research Report. Aviation Research Discussion Paper AR ATSB (2015): Safety Investigation Guidelines Manual Analysis. Version 1.07, 21 July Dekker, S. (2006): The Field Guide to Understanding Human Error. Ashgate Pubilishing Limited. DOE (1999): DOE Workbook Conducting Accident Investigations. Revision 2 May 1, U.S. Department of Energy, Washington D.C DOE (2012): DOE Handbook Accident and Operational Safety Analysis Volume I: Accident Analysis Techniques. U.S. Department of Energy, Washington D.C Hendrick K. og Benner L. (1987): Investigating Accidents with STEP. Marcel Dekker, Inc., New York. Hollnagel, E. (2002): Understanding Accidents From Root Causes to Performance Variability. IEEE 7th Human Factors Meeting, Scottsdate Arizona Hollnagel, E. og Speziali, J. (2008): Study on Developments in Accident Investigation Methods: A Survey of the «State-of-the-Art». SKI Report 2008: 50. Hovden J., Sklet S. og Tinmannsvik R.K. (2004): I etterpåklokskapens klarsyn: Gransking og læring av ulykker. I Lydersen, S. (red.) og Albrechtsen, E., Hovden, J., Sklet, S. (medred.): Fra flis i fingeren til ragnarok. Tapir akademisk forlag, Trondheim, s Kjellén, U (2000): Prevention of accidents through experience feedback. Taylor & Francis. Petroleumstilsynet (2013): Prinsipper for barrierestyring i petroleumsvirksomheten. PTIL Rasmussen, J. (1997): Risk management in a dynamic society: a modelling problem. Safety Science Vol. 27, No 2/3, pp Reason, J. (1997): Managing the risks of organisational accidents. Ashgate Aldershot. Rosness R., Skjerve A.B.M., Alteren B., Berg Ø., Bye A., Hauge S., Seim L.Å., Sklet S., Tveiten C.K., Aase K. (2002): Feiltoleranse, barrierer og sårbarhet. SINTEF STF38 A Rosness R., Hauge S., Skjerve A.B.M. og Aase K. (2004): Ti tommeltotter og null ulykker? Om feiltoleranse og barrierer. I Tinmannsvik (red.): Robust arbeidspraksis. Hvorfor skjer det ikke flere ulykker på sokkelen? Tapir akademisk forlag, Trondheim, s Sklet, S. (2002): Methods for accident investigation. ROSS (NTNU) Statens jernbanetilsyn (2013): Veiledning om bruk av barrierer for jernbanevirksomheter. Transportation Safety Board of Canada (2014): Guide to Investigation for organizational and management factors - 2 nd Edition. Weick, K.E. og Sutcliffe, K.M. (2001): Managing the Unexpected. Assuring High Performance in an Age of Complexity. Jossey-Bass, San Francisco.

21 Statens havarikommisjon for transport Side 21 DEFINISJONER Barriere Fare Gapanalyse High Reliability Organisations (HRO) = høy-pålitelige organisasjoner Iterativ prosess Lokalt sikkerhetsproblem Medvirkende risikofaktor Resilience Risiko Risikofaktor Sekvensiell tilnærming Tekniske, operasjonelle eller organisatoriske tiltak som hver for seg eller i samspill, kunne forhindret eller stoppet det aktuelle hendelsesforløpet, eller begrenset konsekvensen av ulykken. Handling eller forhold som kan føre til en uønsket hendelse. Kartlegge og vurdere handlingene og omstendighetene i ulykken opp mot normal praksis (uformell), forventet praksis (formell) og sikker praksis (ideell). HRO karakteristikker (Weick m.fl., 2001): - Fokus på feil. - Motstand mot å forenkle. - Fokus på drift. - Satsing på resilience. - Respekt for ekspertise. Erfaringer eller funn på et trinn i prosessen kan medføre at man må gå tilbake og vurdere og eventuelt gjøre endringer på et tidligere trinn. Hva som gikk galt i hendelsesforløpet, dvs. hvor hendelsesforløpet kunne vært endret eller avbrutt, tap av/svak kontroll og avvik fra en sikker eller forventet funksjon. Faktor som ikke nødvendigvis har hatt en klar årsakvirkning-effekt, men som anses å kunne ha påvirket eller influert på ulykken. Begrep som beskriver organisasjonens robusthet og evne til å tilpasse seg endringer i sitt miljø. Uttrykk for kombinasjon av sannsynligheten for og konsekvensen av en uønsket hendelse. En hendelse eller tilstand som øker risikoen for en ulykke. Dersom faktoren oppstod i fremtiden ville den øke sannsynligheten for og/eller alvorlighetsgraden av ulykken. NB! En risikofaktor trenger ikke å ha medvirket til ulykken, men har potensial til å bidra til ulykker i fremtiden. Handlinger og hendelser i et hendelsesforløp beskrives suksessivt langs en tidslinje.

22 Statens havarikommisjon for transport Side 22 Sikkerhetskultur Sikkerhetsledelse Sikkerhets- og risikostyring STEP Systemisk sikkerhetsproblem Systemisk tilnærming Systemperspektiv Usikkerhet Omhandler hvordan en organisasjon ser og vurderer risiko, samt om normene som styrer hvordan menneskene i organisasjonen handler, samhandler og kommuniserer. Ledelsesfunksjoner for å ivareta sikkerheten. Inkluderer forhold som opplæring, sørge for ressurser i sikkerhetsarbeidet, innkjøp, motivasjon/incentiver mm. Beskriver metoder og verktøy brukt i sikkerhetsarbeidet. Til grunn for all sikkerhets- og risikostyring er systematiske vurderinger av sikkerhetsprestasjon i fortid (granskning, rapportering), nåtid (revisjoner, inspeksjoner) og fremtid (risikoanalyse). Sequential Timed Events Plotting. Diagram som organiserer aktører, hendelser og handlinger over tid. En risikofaktor som en organisasjon eller myndighet har noen grad av kontroll og ansvar for, og dersom den ikke blir håndtert, vil øke risikoen for fremtidige ulykker. Hensikten er å forstå hvordan uheldige hendelser kan være et resultat av uventede kombinasjoner av variasjoner i normal atferd, samt å finne måter å overvåke og kontrollere variabiliteten. Sikkerhet er avhengig av tilpasning og samspill mellom flere ulike elementer på flere ulike nivåer i et sosio-teknisk system. Grad av sikkerhet ved en påstand eller konklusjon. Denne kan variere fra 0 prosent (utelukkes) til 100 prosent (helt sikkert).