Управление безопасностью полетами

Размещено на http://www.allbest.ru/

КУРСОВАЯ РАБОТА

УПРАВЛЕНИЕ БЕЗОПАСНОСТЬЮ ПОЛЕТАМИ

Оглавление

Глава 1. Актуальность

1.1 Цель и содержание

1.2 Концепция безопасности полетов

1.3 Эволюция теории обеспечения безопасности полетов

1.4 Причинность происшествий. Модель Ризона

1.5 Происшествие по организационным причинам

1.6 Люди, контекст и безопасность. Модель SHEL

1.7 Ошибки и нарушения

1.8 Организационная культура

Глава 2. Введение в концепцию управления безопасностью полетов

2.1 Связанный с безопасностью полетов стереотип

2.2 Управленческая дилемма

2.3 Необходимость в управлении безопасностью полетов

2.4 Стратегия управления безопасностью полетов

2.5 Настоятельная необходимость в изменениях

2.6 Управление безопасностью полетов восемь структурных элементов

2.7 Четыре задачи, входящие в обязанности по управлению

Глава 3. Введение в концепцию систем управления безопасностью полетов (СУБП)

3.1 Вводные концепции

3.2 Особенности СУБП

3.3 Описание системы

3.4 Анализ пробелов

Глава 4. Планирование СУБП

4.1 Компоненты и элементы СУБП

4.2 Обязательства и ответственность руководства

4.3 Ответственность за безопасность полетов

4.4 Назначение ведущих сотрудников, ответственных за безопасность полетов

4.5 Координация планирования мероприятий на случай аварийной обстановки

4.6 Документация СУБП

4.7 План реализации СУБП

Глава 5. Функционирование СУБП

5.1 Управление факторами риска для безопасности полетов общие положения

5.2 Выявление факторов опасности

5.3 Оценка и уменьшение факторов риска

5.4 Обеспечение безопасности полетов. общие положения

5.5 Мониторинг и измерение показателей эффективности обеспечения безопасности полетов

5.6 Защита источников информации о безопасности полетов

5.7 Контролирование осуществления изменений

5.8 Постоянное совершенствование СУБП

5.9 Взаимосвязь между управлением факторами риска для безопасности полетов (УРБП) и обеспечением безопасности полетов (ОБП)

5.10 Популяризация безопасности полетов. подготовка и обучение

5.11 Популяризация безопасности полетов. обмен информацией о безопасности полетов

Заключение

Литература

Глава 1. Актуальность

1.1 Цель и содержание

В настоящей главе рассматриваются сильные и слабые стороны давно сложившихся подходов к безопасности полетов и предлагаются новые видение и концепции, лежащие в основе современного подхода к безопасности полетов.

Настоящая глава включает следующие темы:

a) Концепция безопасности полетов;

b) Эволюция теории обеспечения безопасности полетов;

c) Причинность происшествий. Модель Ризона;

d) Происшествие по организационным причинам;

e) Люди, эксплуатационный контекст и безопасность. Модель SHEL;

f) Ошибки и нарушения;

g) Организационная культура;

h) Расследование в области безопасности полетов.

1.2 Концепция безопасности полетов

В зависимости от предполагаемого аспекта концепция безопасности полетов может иметь различные интерпретации, например:

a) нулевой уровень авиационных происшествий или серьезных инцидентов - широко бытующее среди пассажиров мнение;

b) отсутствие факторов опасности, т. е. таких факторов, которые причиняют или могут причинить ущерб;

c) отношение сотрудников авиационных организаций к небезопасным действиям или условиям;

d) избежание ошибок;

e) соблюдение нормативных положений.

Независимо от интерпретации в их основе лежит одна общая посылка - возможность абсолютного контроля. Нулевой уровень происшествий, отсутствие факторов риска и т. д. подразумевают, что можно (посредством введенной системы или мер) поставить под контроль в авиационном эксплуатационном контексте все переменные параметры, которые могут привести к негативным или причиняющим ущерб последствиям. Однако, хотя исключение авиационных происшествий и/или серьезных инцидентов и достижение абсолютного контроля являются несомненно весьма желательными задачами, в открытом и динамичном эксплуатационном контексте они недостижимы. Факторы опасности являются неотъемлемыми компонентами авиационного эксплуатационного контекста. В авиации будут иметь место отказы и эксплуатационные ошибки, несмотря на самые эффективные и тщательно разработанные меры, применяемые для их предотвращения. Никакая деятельность человека или созданная им система не гарантирована от полного отсутствия факторов опасности и эксплуатационных ошибок.

Поэтому безопасность - это концепция, которая должна включать относительные, а не абсолютные понятия, в силу чего в безопасной по своему существу системе следует допускать наличие факторов риска для безопасности полетов, возникающих как следствие факторов опасности в эксплуатационном контексте. Основным вопросом все еще является контроль, однако контроль относительный, а не абсолютный. До тех пор пока факторы риска для безопасности полетов и эксплуатационные ошибки находятся под контролем в разумных пределах, такая открытая и динамичная система, как система коммерческой гражданской авиации, считается безопасной. Другими словами, факторы риска для безопасности полетов и эксплуатационные ошибки, находящиеся под контролем в разумных пределах, допустимы в безопасной по своему существу системе.

Безопасность все в большей степени рассматривается как результат управления некоторыми организационными процессами, имеющими своей целью держать под контролем факторы риска для безопасности полетов, возникающие как следствие факторов опасности в эксплуатационном контексте. Таким образом, для целей настоящего руководства под безопасностью понимается следующее:

Безопасность. Состояние, при котором возможность причинения ущерба лицам или имуществу снижена до приемлемого уровня и поддерживается на этом или более низком уровне посредством постоянного процесса выявления факторов опасности и управления факторами риска для безопасности полетов.

1.3 Эволюция теории обеспечения безопасности полетов

На раннем этапе своего развития коммерческая авиация представляла собой деятельность без должного нормативного регулирования, которая характеризовалась следующими признаками: несовершенными техническими средствами, отсутствием надлежащей инфраструктуры, ограниченным контролем, недостаточным пониманием факторов опасности, присущих авиационной деятельности, и производственными потребностями, несоразмерными со средствами и ресурсами, фактически имеющимися в наличии для удовлетворения таких потребностей.

Теории системной безопасности присуще утверждение о том, что в производственных системах, в которых устанавливаются амбициозные производственные цели без развертывания необходимых средств и ресурсов для их реализации, создаются потенциальные условия для частых сбоев. Поэтому вряд ли вызывает удивление тот факт, что ранние этапы развития коммерческой авиации характеризовались высокой частотой авиационных происшествий и что первоочередной задачей обеспечения безопасности полетов в то время являлось предотвращение авиационных происшествий, а основным средством этого являлось расследование авиационных происшествий. В те ранние годы расследование авиационных происшествий, проведение которого затруднялось отсутствием совершенных технических средств, являлось грандиозной задачей.

Благодаря техническим усовершенствованиям (чему во многом способствовало расследование авиационных происшествий), а также вследствие последующего развития соответствующей инфраструктуры, стало наблюдаться постепенное, но устойчивое снижение частоты авиационных происшествий, а также рост тенденций к регулированию. К 1950-м годам авиация стала (в плане авиационных происшествий) одной из самых безопасных, но также и одной из самых зарегулированных отраслей.

В результате этого появилась все еще широко распространенная точка зрения о том, что безопасность полетов можно гарантировать, если следовать установленным правилам, а отклонение от этих правил обязательно приведет к сбоям в обеспечении безопасности полетов. Не отрицая огромное значение соблюдения нормативных положений, все в большей степени признается, что это не может быть абсолютным средством обеспечения безопасности полетов, в особенности по мере усложнения авиационных операций. Для такой открытой и динамичной эксплуатационной системы как авиация инструктивный материал по всем возможным эксплуатационным сценариям просто невозможно предусмотреть.

Движущей силой процессов являются убеждения. Поэтому из-за убеждения в том, что ключом к решению проблемы безопасности полетов является соблюдение нормативных положений, рамки начального процесса обеспечения безопасности полетов были расширены для включения соблюдения нормативных положений и осуществления контроля. В этом новом процессе обеспечения безопасности полетов основное внимание уделялось последствиям (т. е. крупным авиационным происшествиям и/или инцидентам), а для определения причины делался упор на расследование авиационных происшествий, включая вероятность отказов техники. Если отказов техники выявлено не было, внимание переключалось на возможность нарушения правил эксплуатационным персоналом.

В ходе расследования авиационного происшествия будет отслеживаться в обратном порядке вся цепочка событий для выявления момента или моментов, когда лица, непосредственно причастные к сбою в обеспечении безопасности полетов, не сделали того, что они должны были сделать, сделали то, что они не должны были делать, или произошло и то, и другое. В отсутствие отказов техники расследование будет сконцентрировано на выявлении опасных действий со стороны эксплуатационного персонала, т. е. действия и/или бездействие, которые могли быть непосредственно связаны с расследуемым событием. После выявления и увязки (задним числом) таких действий/бездействия со сбоем в обеспечении безопасности полетов, неизбежным следствием было установление вины различной степени тяжести и в различном обличье, после чего будет отмерено наказание за невыполнение "безопасных действий".

Типичным результатом такого подхода была выдача рекомендаций относительно обеспечения безопасности полетов, направленных почти исключительно на конкретную, непосредственную проблему безопасности полетов, которая, как было установлено, явилась причиной сбоя в обеспечении безопасности полетов. Опасным условиям уделялось мало внимания, которые в расследуемом событии хотя и присутствовали, но не имели "причинной" связи, даже если они были потенциально опасными для авиационной деятельности при различных обстоятельствах.

Хотя такой подход был весьма эффективен в деле выявления "что" случилось, "кто" сделал это и "когда" это случилось, он был значительно менее эффективен в установлении того, "почему" и "как" это случилось (рис. 1-1). Хотя в какой-то момент было важно понять "что", "кто" и "когда", для того чтобы полностью понять происхождение сбоев в обеспечении безопасности полетов, возрастала необходимость в понимании "почему" и "как". В последние годы были достигнуты значительные успехи в достижении такого понимания. Оглядываясь назад, совершенно ясно, что за последние 50 лет теория обеспечения безопасности полетов претерпела значительную эволюцию.

Рис. 1-1. Традиционный подход. Предотвращение авиационных происшествий.

Ранние годы авиации - годы до и сразу после Второй мировой войны до 1970-х годов - можно охарактеризовать как "техническую эру", когда проблемы безопасности полетов большей частью относились на счет технических факторов. Авиация становилась отраслью массовых перевозок, однако технические средства, обеспечивающие ее операции, были недостаточно совершенны, и повторяющимся фактором в сбоях обеспечения безопасности полетов был отказ техники. Меры по обеспечению безопасности полетов были вполне обоснованно сконцентрированы на расследовании и совершенствовании технических факторов.

1.3.10 Начало 1970-х годов стало свидетелем значительного технического прогресса, следствием которого стало введение в эксплуатацию реактивных двигателей, РЛС (бортовых и наземных), автопилотов, командных пилотажных приборов, усовершенствованных средств навигации и связи и аналогичных технических средств, повышающих технические характеристики как в воздухе, так и на земле. Это ознаменовало начало "эры человека", и акцент в обеспечении безопасности полетов переместился на деятельность человека и человеческие факторы, что обусловило появление оптимизации работы экипажа (ОРЭ), летной подготовки, ориентированной на полеты по авиалиниям (LOFT), антропоцентрической автоматизации и других воздействий, связанных с деятельностью человека. Период с середины 1970-х до середины 1990-х годов назвали "золотой эрой" человеческих факторов в авиации, подразумевая при этом огромные инвестиции авиационной отрасли для обуздания этой трудноуловимой и вездесущей ошибки человека. Тем не менее, несмотря на масштабные инвестиции ресурсов в меры по уменьшению ошибок, к середине 1990-х годов действия человека продолжали оставаться повторяющимся фактором в сбоях обеспечения авиационной безопасности (рис. 1-2).

Рис. 1-2. Эволюция теории обеспечения безопасности полетовиман

Оборотной стороной мер в области человеческого фактора, принимаемых в течение значительного периода "золотой эры", явилось то, что они имели тенденцию концентрироваться на индивидууме, обращая мало внимания на эксплуатационный контекст, в котором индивидуумы выполняли свои задачи. Только в начале 1990-х годов впервые было признано, что индивидуумы работают не в вакууме, а в определенных эксплуатационных условиях. Хотя в то время имелась литература о том, как особенности эксплуатационного контекста могут повлиять на деятельность человека и формировать развитие событий и их последствия, этот факт авиацией был признан только в 1990-х годах. Это ознаменовало начало "организационной эры", когда безопасность полетов стала рассматриваться в системном плане, охватывающим организационные, человеческие и технические факторы. Также в это время в авиации появилось понятие происшествия по организационным причинам.

1.4 Причинность происшествий. Модель Ризона

Признание концепции происшествия по организационным причинам в масштабе отрасли стало возможным благодаря простой, но графически емкой модели, разработанной профессором Джеймсом Ризоном, которая позволяет понять, каким образом авиация (или любая другая производственная система) функционирует, для того чтобы успешно или скатывается в сторону сбоя. Согласно этой модели, для того чтобы произошло авиационное происшествие, требуется воздействие одновременно ряда содействующих факторов, каждый из которых необходим, но сам по себе недостаточен для нарушения защиты системы. Поскольку такие комплексные системы, как авиация, имеют чрезвычайно хорошую защиту из нескольких уровней, внутренние, единичные отказы редко имеют серьезные последствия в авиационной системе. Отказы оборудования или эксплуатационные ошибки никогда не являются причиной нарушения защиты безопасности, а скорее служат пусковыми факторами. Нарушение защиты безопасности представляет собой замедленное последствие решений, принимаемых на самых высших уровнях системы, которые не проявляются до тех пор, пока их воздействие или разрушающий потенциал не будет инициирован конкретным стечением эксплуатационных обстоятельств. При таких конкретных обстоятельствах ошибки человека или активные отказы на эксплуатационном уровне действуют как пусковые механизмы скрытых условий, способствующих нарушению присущих системе средств защиты обеспечения безопасности полетов. В концепции, выдвигаемой моделью Ризона, все происшествия включают сочетание активных и скрытых условий.

Активные отказы - это действие или бездействие, включая ошибки и нарушения, которые оказывают прямое негативное воздействие. Они, как правило, считаются (задним числом) опасными действиями. Активные отказы, как правило, ассоциируются с непосредственными исполнителями (пилотами, диспетчерами УВД, авиационными инженерами-механиками и т. д.) и могут привести к аварийным последствиям. Они обладают потенциалом проникновения через средства защиты авиационной системы, предусмотренные организацией, регламентирующими органами и т. д. Активные отказы могут являться следствием обычных ошибок или они могут быть результатом отклонений от предписанных процедур и практики. В модели Ризона признается, что в любом эксплуатационном контексте присутствует много порождающих ошибки или нарушения условий, которые могут повлиять на индивидуальную или коллективную деятельность.

Активные отказы со стороны эксплуатационного персонала имеют место в эксплуатационном контексте, который включает скрытые условия. Скрытые условия представляют собой условия, присутствующие в системе задолго до проявления вредного воздействия, которые приводятся в действие местными пусковыми факторами. Последствия скрытых условий могут не проявляться в течение длительного времени. По отдельности такие скрытые условия обычно не считаются вредными, поскольку изначально они не рассматриваются как отказы.

Скрытые условия проявляются после нарушения средств защиты системы. Такие условия обычно создают люди, которые сами весьма далеки во времени и пространстве от этого события. Эксплуатационный персонал "переднего края" наследует скрытые условия в системе, например условия, создаваемые плохой конструкцией оборудования или постановкой задачи, конфликтными задачами (например, своевременное обслуживание по сравнению с обеспечением безопасности полетов), недостатками в организации (например, недостаточный внутренний обмен информацией) или управленческими решениями (например, перенос определенного вида работ по техническому обслуживанию). Лежащий в основе происшествия по организационным причинам подход направлен на выявление и уменьшение последствий этих скрытых условий на общесистемной основе, а не путем локальных мер по сведению к минимуму активных отказов со стороны отдельных лиц. Активные отказы - это всего лишь симптомы проблем с безопасностью полетов, а не их причины.

Даже в наиболее эффективно управляемых организациях большинство скрытых условий порождаются лицами, ответственными за принятие решений. Эти ответственные за принятие решений лица подвержены обычным человеческим предрассудкам и недостаткам, а также воздействию реальных ограничений, например, по времени, бюджету и политическим соображениям. Поскольку отрицательное воздействие управленческих решений не всегда можно предотвратить, следует принимать меры для их обнаружения и уменьшения их отрицательных последствий.

Решения линейного руководства могут привести к недостаточной подготовке, противоречиям в графиках работы или игнорированию техники безопасности на рабочем месте. Они могут привести к недостаточным знаниям и умениям или к использованию неправильных эксплуатационных правил. От того, насколько хорошо руководство или организация в целом выполняют свои функции, зависит появление порождающих ошибки или нарушения условий. Например, насколько эффективно руководство в плане постановки реальных производственных задач, распределения заданий и ресурсов, управления повседневными делами и обеспечения внутреннего и внешнего обмена информацией? Решения, принимаемые руководством компаний и регламентирующими органами, слишком часто являются следствием недостаточных располагаемых ресурсов. Однако экономия средств на повышении безопасности системы на начальном этапе может способствовать созданию предпосылок для происшествия по организационным причинам.

На рис. 1-3 модель Ризона изображена таким образом, чтобы можно было понять, какую роль в причинности авиационного происшествия играют организационные и управленческие факторы (т. е. системные факторы). В авиационной системе глубоко заложены различные средства защиты от отклонений в отрицательную сторону в действиях или решениях человека на всех уровнях системы (т. е. рабочее место непосредственных исполнителей, руководящие уровни и старшее руководство). Средства защиты представляют собой ресурсы, предоставляемые системой для защиты от факторов риска для безопасности, которые занятые производственной деятельностью организации генерируют и должны контролировать. На этой модели показано, что, хотя организационные факторы, включая управленческие решения, могут создать скрытые условия, которые могут привести к нарушениям средств защиты системы, они также способствуют повышению надежности защиты системы.

Рис. 1-3. Концепция причинности происшествия.

1.5 Происшествие по организационным причинам

Лежащее в основе модели Ризона понятие происшествия по организационным причинам можно лучше всего понять, применив модульный подход, состоящий из пяти структурных элементов (рис. 1-4).

Рис. 1-4. Происшествие по организационным причинам.

Верхний структурный элемент символизирует организационные процессы. Это такие виды деятельности, которые в любой организации в определенной степени непосредственно контролируются. Типичные примеры этому - выработка руководящих указаний, планирование, обмен информацией, распределение ресурсов, надзор и т. д. Несомненно, что двумя основополагающими организационными процессами в части обеспечения безопасности полетов являются распределение ресурсов и обмен информацией. Сбои или недостатки в этих организационных процессах порождают предпосылки к срывам по двум направлениям.

Одно направление - это путь скрытых условий. Примеры скрытых условий могут включать: недостатки в конструкции оборудования, недоработанные/неправильные стандартные эксплуатационные правила и упущения в подготовке персонала. В общем, скрытые условия можно подразделить на две большие группы. Одна группа - это недостаточно эффективное выявление факторов опасности и управление факторами риска для безопасности полетов, в результате чего факторы риска для безопасности полетов, связанные с факторами опасности, не берутся под контроль, а свободно блуждают в системе и в конечном счете приводятся в активное состояние эксплуатационными пусковыми факторами.

Вторая группа известна как нормализация отклонений - понятие, которое, говоря простыми словами, указывает на эксплуатационный контекст, в котором исключение становится правилом. В этом случае неадекватность выделенных ресурсов доходит до крайности. Как следствие нехватки ресурсов, эксплуатационному персоналу, который непосредственно отвечает за фактическое осуществление производственной деятельности, для успешного выполнения такой деятельности остается только "срезать углы", что приводит к постоянным нарушениям правил и процедур.

В скрытых условиях имеются все потенциальные возможности для нарушения средств защиты авиационной системы. Как правило, средства защиты в авиации могут быть подразделены на три большие категории: техника, подготовка персонала и нормативные положения. Средства защиты обычно являются последней "страховочной сеткой" для сдерживания скрытых условий, а также предотвращения последствий ошибок в действиях человека. Большинство методов (если не все) уменьшения факторов риска для безопасности полетов, связанных с факторами опасности, основаны на усилении существующих средств защиты или разработки новых средств.

Другим направлением, вытекающим из организационных процессов, является путь к условиям на рабочем месте. Условия на рабочем месте являются факторами, которые непосредственно влияют на эффективность деятельности людей в авиационной отрасли. Условия на рабочем месте во многом воспринимаются интуитивно в том плане, что весь эксплуатационный персонал так или иначе сталкивался с этими условиями, в которые входят: стабильность людских ресурсов, квалификация и опыт, моральное состояние, доверие к руководству и традиционные эргономические факторы, такие как освещение, отопление и кондиционирование.

Далеко не оптимальные условия на рабочем месте порождают активные отказы со стороны эксплуатационного персонала. Активные отказы можно рассматривать либо как ошибки, либо как нарушения. Различие между ошибками и нарушениями заключается в компоненте мотивации. Лицо, которое старается наилучшим образом выполнить задачу, следуя при этом правилам и процедурам, которым его научили в ходе Организационные процессы Условия подготовки, но которое не может выполнить поставленной перед ним задачи, совершает ошибку. Лицо, которое при выполнении задачи намеренно не следует правилам, процедурам или принципам полученной подготовки, совершает нарушение. Таким образом, основным различием между ошибкой и нарушением является намерение.

С точки зрения происшествия по организационным причинам, меры по обеспечению безопасности полетов должны быть направлены на контроль за организационными процессами, для того чтобы выявлять скрытые условия и таким образом усиливать средства защиты. Меры по обеспечению безопасности полетов также должны быть направлены на улучшение условий на рабочем месте для сдерживания активных недостатков, поскольку именно взаимная причинная связь всех этих факторов приводит к сбоям в сфере безопасности полетов (рис. 1-5).

1.6 Люди, контекст и безопасность. Модель SHEL

Рабочие места в авиации являются комплексными эксплуатационными контекстами, состоящими из многих компонентов и многих признаков. Для достижения системой производственных задач их функции и характеристики включают сложную взаимосвязь между их многочисленными компонентами.



Рис. 1-5. Концептуальное построение происшествия по организационным причинам.

Для того чтобы понять вклад человека в безопасность и обеспечить необходимую эксплуатационную деятельность человека для достижения производственных задач системы, необходимо понять, как на эксплуатационную деятельность человека могут повлиять различные компоненты и особенности эксплуатационного контекста и взаимосвязь между компонентами, особенностями и людьми.

Таким образом, очевидно, что источником ценной информации, для того чтобы понять эффективность деятельности, обеспечить ее осуществление и совершенствование, является надлежащее изучение и анализ эксплуатационного контекста.

Простым, но визуально доходчивым концептуальным инструментом для анализа компонентов и особенностей эксплуатационных контекстов и их возможных взаимодействий с людьми является модель SHEL. Модель SHEL (иногда называется модель SHEL(L)) можно использовать для наглядного представления взаимосвязей между различными компонентами и особенностями авиационной системы. Основной акцент в данной модели делается на индивидуума и интерфейс человека с другими компонентами и особенностями авиационной системы. Название модели SHEL состоит из первых букв английских названий ее четырех компонентов:

а) Software (S) - Процедуры (процедуры, обучение, средства обеспечения и т. д.);

b) Hardware (H) - Объект (машины и оборудование);

с) Environment (E) - Среда (эксплуатационные условия, в которых должны функционировать остальные

компоненты системы L-H-S);

d) Liveware (L) - Субъект (люди на рабочих местах).

На рис. 1-9 изображена модель SHEL. Эта блок-схема призвана дать общее представление о взаимосвязи индивидуумов с компонентами и особенностями рабочего места.

Субъект. В центре модели SHEL помещаются люди, находящиеся на переднем крае деятельности. Хотя люди имеют удивительное свойство приспосабливаться, тем не менее их работоспособность подвержена значительным колебаниям. Людей нельзя стандартизировать в такой же степени, как оборудование, поэтому границы этого блока не столь просты и прямолинейны. Люди не взаимодействуют идеально с различными компонентами той среды, в которой они работают. Во избежание напряженности, которая может отрицательно повлиять на действия человека, необходимо осознать последствия нестыковок на границе интерфейса между различными блоками SHEL и центральным блоком "Субъект". Во избежание напряженности в системе другие компоненты системы должны быть тщательно подогнаны к людям.

Шероховатостям границ блока “субъект” способствует целый ряд различных факторов. Ниже перечислены наиболее важные факторы, влияющие на характеристики работоспособности индивидуума:

а) Физические факторы. Они включают физические возможности человека выполнять требуемые задачи, например, физическая сила, рост, длина рук, зрение и слух.

Рис. 1-9. Модель SHEL

b) Физиологические факторы. Они включают факторы, которые затрагивают внутренние физические процессы в человеке и могут оказать неблагоприятное влияние на его физические и когнитивные характеристики, например, наличие кислорода, общее состояние здоровья и физическое состояние, болезнь или заболевание, потребление табака, наркотиков или алкоголя, личное стрессовое состояние, усталость и беременность.

c) Психологические факторы. Они включают факторы, влияющие на психологическую готовность человека справиться со всеми обстоятельствами, которые могут возникнуть, например, адекватность профессиональной подготовки, знаний и опыта, а также рабочей нагрузки.

d) Психосоциальные факторы. Они включают все внешние факторы в социальной системе людей, оказывающие на них давление в рабочей и нерабочей обстановке, например, конфликт с начальником, трудовые споры с администрацией, смерть в семье, личные финансовые проблемы или другие домашние трения.

Модель SHEL особенно полезна для того, чтобы наглядно представить себе интерфейс между различными компонентами авиационной системы. Такой интерфейс включает:

а) Субъект-объект (L-H). Когда речь идет о действиях человека, чаще всего рассматривается интерфейс между человеком и машиной. Он определяет способ интерфейса человека с физической производственной средой, например: конструкция кресел с учетом особенностей телосложения, дисплеи с учетом сенсорных характеристик и возможностей усвоения информации пользователем, а также органы управления с удобными для пользователя функционированием, кодированием и размещением. Однако для человека характерна естественная тенденция приспосабливаться к нестыковкам интерфейса “L-H”. Такая тенденция может скрыть серьезные недостатки, которые могут проявиться только после события.

b) Субъект-процедуры (L-S). Интерфейс L-S представляет собой взаимосвязь человека с системами обеспечения, имеющимися на рабочем месте, например: нормативы, руководства, контрольные перечни, издания, стандартные эксплуатационные правила (СЭП) и программное обеспечение ЭВМ. Данный интерфейс включает такие “ориентированные на пользователя” аспекты, как актуальность, точность, форма представления, терминология, ясность и символика.

с) Субъект-субъект (L-L). Интерфейс L-L представляет собой взаимосвязь человека с другими лицами на рабочем месте. Летные экипажи, диспетчеры УВД, инженеры по техническому обслуживанию воздушных судов и другой эксплуатационный персонал работают в коллективах, и поэтому взаимоотношения, складывающиеся в таком коллективе, накладывают свой отпечаток на их работоспособность. С появлением концепции оптимизации работы экипажа (ОРЭ) этому виду интерфейса стало уделяться значительное внимание. Подготовка по ОРЭ и ее распространение на обслуживание воздушного движения (ОВД) (оптимизация работы группы (ОРГ)) и техническое

обслуживание (оптимизация работы персонала технического обслуживания (ОРПТО)) нацелены на управление эксплуатационными ошибками. В сфере этого интерфейса находятся также взаимоотношения между сотрудниками и руководством, а также аспекты корпоративной культуры, корпоративного климата и производственных потребностей компании, все из которых могут существенно влиять на работоспособность человека.

d) Субъект-среда (L-E). Данный вид интерфейса охватывает взаимосвязь между человеком и внутренней и внешней средой. Внутренняя производственная среда включает такие физические параметры, как температура, освещение, уровень шума, вибрация и качество воздуха. Внешняя среда включает такие аспекты, как видимость, турбулентность и рельеф местности. Условия работы авиации (круглосуточный режим 7 дней в неделю) связаны с нарушением нормальных биологических ритмов, таких как режим сна. Кроме того, авиационная система функционирует в условиях наличия большого числа политических и экономических ограничений, которые в свою очередь оказывают_влияние на общую обстановку в той или иной организации. Сюда можно отнести такие факторы, как адекватность физических средств и вспомогательной инфраструктуры, финансовое положение на местах и эффективность регулирования. В той же мере, как непосредственная производственная среда может создать напряженные ситуации, вынуждающие выбирать кратчайший путь, так и неадекватная вспомогательная инфраструктура может поставить под угрозу качество принимаемых решений.

Необходимо проявлять осторожность, чтобы эксплуатационные ошибки не “просочились через трещины” на границах интерфейсов. В большинстве случаев проблему “шероховатостей” этих интерфейсов можно устранить, например:

a) проектировщик может обеспечить надежность работы данного оборудования в оговоренных эксплуатационных условиях;

b) в процессе сертификации регламентирующий орган имеет возможность установить реальные условия, при которых это оборудование можно использовать;

c) руководство организации может разработать стандартные эксплуатационные правила (СЭП) и обеспечить первоначальную подготовку и регулярную переподготовку по безопасному использованию данного оборудования;

d) каждый оператор оборудования может изучить данное оборудование и обеспечить его надежное использование безопасным образом при любых необходимых условиях эксплуатации._

1.7 Ошибки и нарушения

Эксплуатационные ошибки

Наблюдавшийся в последние два десятилетия рост авиационной отрасли был бы невозможен без внедрения передовой техники, обеспечившей удовлетворение повышенного спроса на услуги в этой области. В производственно емких отраслях, таких как современная авиация, техника играет главнейшую роль в удовлетворении спроса на предоставление соответствующих услуг. В анализах безопасности полетов этот фундаментальный вопрос часто игнорируется. Внедрение техники не преследует в качестве своей главной цели повышение безопасности полетов; внедрение техники прежде всего нацелено на удовлетворение повышенного спроса на предоставление соответствующих услуг, обеспечивая вместе с тем существующий уровень безопасности полетов.

Таким образом, техника внедряется в грандиозных масштабах для удовлетворения потребностей производства. Одним из результатов такого массового внедрения техники с целью удовлетворения повышенного спроса является то, что интерфейс "субъект - объект" модели SHEL игнорируется или не всегда принимается во внимание в должной степени. Как следствие, техника, которая еще достаточно не доработана, может быть внедрена преждевременно, что приведет к неожиданным отказам.

Несмотря на то, что внедрение недостаточно доработанной техники является неизбежным следствием удовлетворения нужд любой отрасли массового производства, нельзя игнорировать ее связь с управлением безопасностью полетов. Людям на переднем крае, таким как эксплуатационный персонал, приходится ежедневно взаимодействовать с техникой при выполнении своих производственных задач по предоставлению соответствующих услуг. Если на этапе проектирования техники не уделять должного внимания интерфейсу "объект - субъект" и игнорировать эксплуатационные последствия взаимодействия человека и машины, результат очевиден - эксплуатационные ошибки.

Концепция эксплуатационных ошибок, как формирующееся свойство систем человек/машина, представляет руководство безопасностью полетов в совершенно другом свете, если его сравнить с традиционной, основанной на психологии концепции эксплуатационных ошибок. Согласно основанной на психологии концепции источник ошибки "пребывает" в человеке и является следствием конкретных психосоциальных механизмов, которые изучаются и разъясняются различными направлениями научно-исследовательских работ и прикладной психологии.

Попытка предвосхитить и эффективно уменьшить эксплуатационные ошибки согласно основанной на психологии концепции является чрезвычайно сложной, если не невозможной задачей. Процесс отбора может отсеять индивидуумов, не обладающих исходными свойствами, требуемыми для данной работы, а на поведение может оказывать влияние обучение и регулирование. Тем не менее со строго эксплуатационной точки зрения недостаток данной концепции очевиден: невозможно систематическим образом предвидеть проявление типичных человеческих слабостей, таких как рассеянность, усталость или забывчивость, и то, как они могут взаимодействовать с компонентами и особенностями эксплуатационного контекста в конкретных эксплуатационных условиях. Основанная на индивидууме стратегия уменьшения отрицательных последствий считается "мягкой" стратегией, поскольку ошибки в действиях человека проявятся в самый неожиданный момент, не обязательно в напряженных ситуациях, и высвободят свой разрушающий потенциал.

Концепция эксплуатационных ошибок как формирующееся свойство систем человек/машина изымает источник эксплуатационной ошибки из человека и помещает его прямо в физически реальный мир - в интерфейс L/H. Нестыковка этого интерфейса является источником эксплуатационной ошибки. Являясь частью физически реального мира, источник эксплуатационной ошибки таким образом становится видимым и может быть выражен оперативными терминами (выключатель частично закрыт тумблером, что затрудняет увидеть его правильное положение при работе в ночное время) по сравнению с научными терминами (перцептивные ограничения). Таким образом, можно предвидеть источник эксплуатационной ошибки и уменьшить его отрицательные последствия посредством оперативного вмешательства. Управление безопасностью полетов не в состоянии многого добиться в части перцептивных ограничений человека, однако с помощью управления безопасностью полетов можно использовать целый набор средств для нейтрализации последствий конструкций с частично скрытым выключателем.

Традиционно в авиации при рассмотрении безопасности полетов эксплуатационные ошибки обязательно считаются способствующим фактором в большинстве авиационных событий. Такая точка зрения, основанная на рассмотренном выше психологическом подходе, преподносит эксплуатационные ошибки как форму поведения, которой охотно следует эксплуатационный персонал, как будто бы эксплуатационный персонал стоит перед вполне определенным выбором - совершать эксплуатационную ошибку или нет, - и он охотно выбирает первый вариант. Более того, считается, что эксплуатационная ошибка характеризует не отвечающие стандартам действия, недостатки в личных качествах, отсутствие профессионализма, дисциплины и аналогичные атрибуты, которые появились в результате складывавшегося годами недопонимания действий человека. Хотя эти атрибуты весьма удобны и подходящи для обвинения людей, они не способствуют пониманию и объяснению эксплуатационных ошибок.

Следуя альтернативному подходу в отношении рассмотренных эксплуатационных ошибок, при котором эксплуатационные ошибки рассматриваются как формирующееся свойство систем человек/машина, и помещая источник ошибок в нестыковку интерфейса L/H, становится очевидным, что даже наиболее компетентный персонал может совершать эксплуатационные ошибки. В этом случае эксплуатационные ошибки считаются обычным компонентом любой системы, в которой взаимодействуют люди и техника, и не рассматриваются как некий тип аберрантного поведения. Скорее ошибки можно воспринимать как естественный побочный продукт взаимодействия человек-машина в ходе эксплуатационной деятельности по предоставлению услуг любой производственной системой. Эксплуатационные ошибки считаются обычным компонентом любой системы, в которой взаимодействуют человек и техника, а для контролирования эксплуатационных ошибок вводятся эксплуатационные меры обеспечения безопасности.

Учитывая неизбежность нестыковок в интерфейсах модели SHEL в авиационных операциях, масштаб эксплуатационных ошибок в авиации огромен. Непременным условием управления безопасностью полетов является понимание того, как эти нестыковки могут повлиять на среднего человека на работе. Только после этого могут быть приняты эффективные меры для контролирования воздействия эксплуатационных ошибок на безопасность полетов.

Широко распространено ошибочное мнение о необходимости установления линейной взаимосвязи между эксплуатационными ошибками и непосредственным воздействием, и масштабом их последствий. Это ошибочное мнение рассматривается в пп. 1.6.10 и 1.6.11 в плане эксплуатационных ошибок и масштаба их последствий. В ходе этого рассмотрения утверждается, что между эксплуатационными ошибками и масштабом их потенциальных последствий отсутствует симметрия. Далее утверждается, что масштаб последствий эксплуатационных ошибок является функцией эксплуатационного контекста, в котором имеют место ошибки, а не последствием самих ошибок. Ниже этот вопрос дополнительно рассматривается в плане эксплуатационных ошибок и непосредственного воздействия их последствий.

Статистикой установлено, что ежедневно в авиации совершаются миллионы ошибок, прежде чем имеет место серьезный сбой в обеспечении безопасности полетов (рис. 1-10).

Не принимая в расчет незначительные годовые колебания, отраслевая статистика за последние 10 лет постоянно исходит из предположения, что частота авиационных происшествий составляет менее одной катастрофы на миллион вылетов. Другими словами, при осуществлении авиакомпаниями по всему миру коммерческих операций один раз в миллион производственных циклов совершается эксплуатационная ошибка, которая создает разрушительный потенциал такой силы, который может преодолеть защитные средства системы и генерировать крупный сбой в обеспечении безопасности полетов. Тем не менее нестыковки в интерфейсах модели SHEL генерируют в ходе обычных авиационных операций десятки тысяч эксплуатационных ошибок ежедневно. Однако эти эксплуатационные ошибки улавливаются встроенными средствами защиты авиационной системы и их разрушающий потенциал уменьшается, тем самым предотвращая негативные последствия. Другими словами, ежедневно осуществляется контролирование эксплуатационных ошибок за счет эффективного функционирования защитных средств авиационной системы.

Для объяснения асимметрии между эксплуатационными ошибками и непосредственным воздействием их последствий предлагается простой эксплуатационный сценарий (рис. 1-11А). После запуска двигателей летный экипаж забывает в ходе проверки порядка действий после запуска двигателей установить закрылки в положение взлета, как это указано в стандартных эксплуатационных правилах. Таким образом, совершена эксплуатационная ошибка, но прямых последствий этого нет. Эксплуатационная ошибка преодолела первый уровень защиты (СЭП, проверка экипажем очередности действий после запуска двигателя), но ее разрушительный потенциал еще пассивен. Прямых последствий нет; эксплуатационная ошибка просто присутствует в системе в латентном состоянии.

Рис. 1-11А. Расследование крупных сбоев. Один раз на миллион полётов.

Летный экипаж выполняет операции по контрольной карте после запуска двигателей, но не замечает неправильного положения закрылков, и воздушное судно начинает руление для взлета. Таким образом, утрачена вторая возможность устранить последствие эксплуатационной ошибки, которая продолжает присутствовать в системе, но пока не приносит вреда. Тем не менее, система теперь находится в состоянии отклонения от нормы или в нежелательном состоянии (т. е. воздушное судно осуществляет руление для взлета с неправильным положением закрылков). Летный экипаж выполняет проверку операций перед рулением и проверку операций перед взлетом. В обоих случаях неправильное положение закрылков остается незамеченным. Утрачены другие возможности устранить последствия эксплуатационной ошибки. Эксплуатационная ошибка все еще не приводит к последствиям, однако статус отклонения или нежелательного состояния системы усиливается.

Летный экипаж начинает разбег при взлете и срабатывает аварийная сигнализация, предупреждающая о взлетной конфигурации. Летный экипаж не понимает причину срабатывания сигнализации и продолжает разбег при взлете. Эксплуатационная ошибка все еще не приводит к каким-либо последствиям, однако нежелательное состояние системы теперь значительно усугубляется. Самолет отрывается от земли с закрылками в неправильной конфигурации. Теперь система переходит в состояние ухудшения, однако экипаж все еще может устранить нежелательное состояние. Воздушное судно не может продолжать полет из-за неправильного положения закрылков и падает. Только теперь, после преодоления значительного числа встроенных средств защиты системы, эксплуатационная ошибка полностью развивает свой разрушающий потенциал и приводит к последствиям. В системе происходит катастрофический сбой.

Заметьте относительно длительный период времени между совершением экипажем эксплуатационной ошибки и материализацией ее неотвратимого разрушающего потенциала. Заметьте также наличие ряда возможностей устранить последствия эксплуатационной погрешности с помощью встроенных в систему средств защиты. Этот период времени представляет собой время, которым располагает система для контролирования последствий эксплуатационных ошибок, и он соразмерен с глубиной эшелонирования и эффективностью средств защиты системы. Это тот период времени, в течение которого управление безопасностью полетов функционирует с довольно значительным потенциалом для успешного разрешения проблемы.

Чем больше в системе заложено встроенных средств защиты и уровней сдерживания и чем эффективнее они работают, тем больше существует возможностей контролировать последствия эксплуатационных ошибок. Обратное также верно.

С точки зрения данного рассмотрения очевиден один вывод: рассмотренный в п.п. 1.7.12-1.7.14 сценарий будет (неизбежно) тем сценарием, который будет выявлен в ходе большинства расследований авиационных происшествий, - неуправляемые эксплуатационные ошибки, которые приводят к катастрофическим сбоям системы. Это ценная информация об отказах в работе человека и системы; информация, которая показывает, что отказало, что не сработало, какие средства защиты должным образом не функционировали. Хотя такая информация в своей основе и является ценной, ее недостаточно для того, чтобы полностью осознать происхождение сбоев в обеспечении безопасности полетов, и ее следует дополнять информацией из альтернативных источников.

Рассмотрим модифицированный вариант сценария, изложенного в пп. 1.7.12-1.7.14 (рис. 1-11В). Заметьте наличие по крайне мере четырех явных отдельных случаев, в которых могли бы сработать системы защиты для сдерживания разрушительного потенциала первоначальной эксплуатационной погрешности (не установлены закрылки в положение взлета при проверке летным экипажем операций после запуска двигателей):

а) контрольная карта после запуска;

b) контрольная карта при рулении;

с) контрольная карта перед взлетом;

d) сигнализация, предупреждающая о взлетной конфигурации.

Выдвигаемый здесь аргумент сводится к тому, что сценарии, при которых эксплуатационные ошибки приводят к катастрофическим сбоям, случаются редко, а сценарии, при которых эксплуатационные ошибки приводят к нежелательному состоянию системы (отклонение/ухудшение) случаются часто. В этих сценариях выявляется информация о том, что вначале не сработало, но в основном о том, что сработало впоследствии, включая средства защиты, которые функционировали как положено. Этот тот тип сведений, которые получены из источников информации о безопасности полетов, являющимися альтернативными и дополнительными источниками по отношению к расследованию авиационных происшествий. На основе информации, полученной в ходе расследования авиационного происшествия, безусловно, будут определены эти четыре случая, в которых средства защиты должны были сработать, однако, по всей вероятности, может быть только указано, почему это не произошло.

Рассматриваемые дополнительные источники информации определят случаи, в которых средства защиты должны были бы сработать, и установят, почему и как они сработали. Эти источники отражают успешные решения и, таким образом, путем объединения информации из источников расследования авиационных происшествий с информацией из этих альтернативных источников можно получить более полную картину конкретных проблем обеспечения безопасности полетов. Более того, поскольку сценарии, подобно описанному выше, случаются часто, эти альтернативные источники информации о безопасности полетов, если их задействовать, могут предоставить значительный объем постоянной информации в дополнение к информации более спорадического характера, получаемой в результате авиационных происшествий, тем самым позволяя получить более полное представление о потенциальных причинах сбоев в обеспечении безопасности полетов. Из этого второго сценария можно сделать вывод, что дело обеспечения отказоустойчивости в сфере безопасности полетов заключается не в безошибочной эксплуатационной деятельности, а скорее в эффективном управлении эксплуатационными ошибками.

Три стратегии контроля эксплуатационных ошибок

Три базовые стратегии контроля эксплуатационных ошибок основаны на трех базовых средствах защиты авиационной системы: техника, подготовка кадров и нормальные положения (включая процедуры).

Стратегия уменьшения применяется непосредственно в источнике эксплуатационной ошибки путем уменьшения или устранения факторов, способствующих возникновению эксплуатационной ошибки. К примерам стратегии уменьшения относятся: облегчение доступа к компонентам воздушного судна для технического обслуживания, улучшение освещения в зоне выполнения работ и уменьшение количества отвлекающих моментов в окружающей обстановке, т. е.:

а) ориентированная на человека конструкция;

b) эргономические факторы;

с) подготовка кадров.

Стратегия перехвата предполагает, что эксплуатационная ошибка уже совершена. Цель - "перехватить" эксплуатационную ошибку, прежде чем возникнут какие-либо негативные последствия данной эксплуатационной ошибки. Стратегия перехвата отличается от стратегии уменьшения в том, что она непосредственно не служит средством устранения данной ошибки, т. е.:

а) контрольные карты;

b) технологические карты выполнения работ;

с) ленты хода полета.

Стратегия толерантности - это способность системы реагировать на эксплуатационную ошибку без серьезных последствий. Примером мер, направленных на повышение толерантности системы к эксплуатационным ошибкам является установка на борту нескольких гидравлических или электрических систем для обеспечения избыточности или программа осмотра элементов конструкции, предоставляющая все возможности для обнаружения усталостной трещины, до того как она достигнет критических размеров, т. е.:

а) избыточность систем;

b) осмотры элементов конструкции.

Управление эксплуатационными ошибками не должно ограничиваться персоналом на "переднем крае", как изображено на модели SHEL действия персонала на переднем крае подвергаются влиянию организационных, нормативных и присутствующих в окружающей обстановке факторов.