Системная авария - System accident

А системная авария (или же обычная авария) представляет собой «непредвиденное взаимодействие множественных отказов» в сложная система.[1] Эта сложность может быть связана либо с технологиями, либо с человеческими организациями, а часто и тем и другим. Системную аварию можно легко увидеть задним числом, но чрезвычайно сложно предвидеть, потому что существует слишком много путей действий, чтобы серьезно рассматривать их все. Чарльз Перроу впервые разработал эти идеи в середине 1980-х годов.[1] Уильям Ланжевише в конце 1990-х писали: «Контроль и эксплуатация некоторых из самых рискованных технологий требует от организаций настолько сложных, что практически гарантировано возникновение серьезных сбоев».[2]

Сами системы безопасности иногда представляют собой дополнительную сложность, которая приводит к этому типу аварий.[3]

Как только предприятие преодолевает определенный рубеж, имея множество сотрудников, специализацию, системы резервного копирования, двойную проверку, подробные руководства и формальную коммуникацию, сотрудники могут слишком легко прибегать к протоколам, привычкам и «быть правыми». Скорее, как попытка посмотреть сложный фильм на незнакомом языке, повествование о происходящем может быть потеряно. А поскольку несчастные случаи в реальном мире почти всегда имеют несколько причин, другие явления, такие как групповое мышление также может происходить одновременно. В частности, это признак дисфункциональной организации - просто обвинять последнего, кто чего-то коснулся.

В 2012 году Чарльз Перроу писал: «Обычная авария [системная авария] - это когда все очень стараются перестраховаться, но неожиданное взаимодействие двух или более сбоев (из-за интерактивной сложности) вызывает каскад сбоев (из-за тесной связи) . "Чарльз Перроу использует термин обычная авария чтобы подчеркнуть, что при нынешнем уровне технологий такие аварии весьма вероятны в течение нескольких лет или десятилетий.[4]

Джеймс Т. Ризон расширил этот подход с человеческая надежность[5] и Модель швейцарского сыра, теперь широко распространены в авиационная безопасность и здравоохранение.

Есть аспект животного, пожирающего свой собственный хвост, в том смысле, что больше формальности и усилий, чтобы сделать это правильно, на самом деле может ухудшить ситуацию.[6] Например, чем больше организационная роль вовлечена в приспособление к изменяющимся условиям, тем больше сотрудников, вероятно, будут задерживать сообщение о таких изменениях, «проблемах» и неожиданных условиях.

Эти несчастные случаи часто напоминают Устройства Руба Голдберга в том, что небольшие ошибки суждения, недостатки технологии и незначительный ущерб объединяются, чтобы сформировать возникающий катастрофа.

Уильям Ланжевише пишет о «целой воображаемой реальности, которая включает в себя неработающие цепочки команд, невыучиваемые программы обучения, нечитаемые руководства и фикцию правил, проверок и контроля».[6]

Противоположная идея - идея организация высокой надежности.[7]

Скотт Саган

Скотт Саган имеет множество публикаций, в которых обсуждается надежность сложных систем, особенно в отношении ядерного оружия. Пределы безопасности (1993) представили обширный обзор близких звонков во время Холодная война это могло случайно привести к ядерной войне.[8]

Возможные системные аварии

Аполлон-13 космический полет, 1970

Дальнейшая информация: Аполлон-13

Наблюдательный совет Аполлона-13:


"[Введение] ... Было обнаружено, что авария не была результатом случайной неисправности в статистическом смысле, а скорее в результате необычного сочетания ошибок в сочетании с несколько несовершенным и неумолимым дизайном [Курсив добавлен]. . .

"грамм. Изучая эти процедуры перед полетом, представители NASA, ER и Beech не признали возможность повреждения из-за перегрева. Многие из этих официальных лиц не знали о длительной работе обогревателя. В любом случае можно было ожидать, что соответствующие термостатические переключатели защитят резервуар ".[9]

Три Майл Айленд, 1979

Дальнейшая информация: Авария на Три-Майл-Айленд

Чарльз Перроу:

«Это напоминало другие аварии на атомных станциях и в других сложных и сильно взаимозависимых системах оператор-машина с высоким риском; ни одна из аварий не была вызвана некомпетентностью руководства или оператора или плохим государственным регулированием, хотя эти характеристики существовали и следовало ожидать. Я утверждал, что авария была нормальным явлением, потому что в сложных системах обязательно должно быть несколько неисправностей, которых нельзя избежать путем планирования и которые операторы не могут сразу понять ».[10]

ValuJet (AirTran) 592, Эверглейдс, 1996 г.

Дальнейшая информация: ValuJet, рейс 592

Уильям Ланжевише:

Он указывает, что в «огромном руководстве по техническому обслуживанию MD-80 ... Прилежно изучая свои варианты, механик мог найти путь к другой части руководства и узнать, что ... [генераторы кислорода] необходимо утилизировать». в соответствии с местными нормативными требованиями и с использованием разрешенных процедур ».[6]

То есть большинство описанных процедур безопасности в определенном смысле «правильны», но не являются ни полезными, ни информативными.

Брайан Стимпсон:

Шаг 2. Картонные коробки без опознавательных знаков, неделями хранившиеся на стеллаже для запчастей, были доставлены в отдел доставки и получения SabreTech и оставлены на полу в помещении, принадлежащем ValuJet.

Шаг 3. Continental Airlines, потенциальный клиент SabreTech, планировала инспекцию предприятия, поэтому клерку SabreTech по транспортировке было поручено очистить рабочее место. Он решил отправить генераторы кислорода в штаб-квартиру ValuJet в Атланте и назвал коробки «частями самолета». Он уже отправлял материалы ValuJet в Атланту без официального разрешения. Кроме того, он неправильно понял зеленые метки, обозначающие «неработоспособный» или «неработающий», и сделал вывод, что генераторы были пусты.

Шаг 4. Клерк доставил груз для переднего грузового отсека из пяти ящиков плюс две большие основные шины и меньшее носовое колесо. Он проинструктировал своего коллегу подготовить отгрузочный талон с указанием «канистры с кислородом пустые». Сотрудник написал «Канистры Окси», а затем «Пустой» в кавычках. Шины также были перечислены.

Шаг 5. Через день или два ящики были доставлены агенту по рампе ValuJet для приема на рейс 592. Транспортный билет с указанием шин и кислородных баллонов должен был привлечь его внимание, но этого не произошло. Затем канистры были загружены в соответствии с федеральными правилами, поскольку ValuJet не был зарегистрирован для перевозки опасных материалов. Вполне возможно, что в представлении агента по эстакаде возможность того, что рабочие SabreTech отправят ему опасный груз, была немыслима.[11][12]

Финансовое учреждение 2008 г. на грани краха

В монографии 2014 года экономист Алан Блиндер заявил, что из-за сложных финансовых инструментов потенциальным инвесторам сложно судить о разумности цены. В разделе под названием «Урок № 6: чрезмерная сложность не только препятствует конкуренции, это опасно», он далее заявил: «Но большая опасность может исходить от непрозрачности. Когда инвесторы не понимают рисков, связанных с ценными бумагами, которые они покупают (примеры: мезонинный транш CDO-квадрат ; а CDS на синтетический CDO, ...), могут быть сделаны большие ошибки - особенно если рейтинговые агентства говорят вам, что они на три четверти, то есть достаточно безопасны для бабушки. Поэтому, когда наступает крах, убытки могут быть намного больше, чем могли вообразить инвесторы. Рынки могут иссякнуть, поскольку никто не знает, сколько на самом деле стоят эти ценные бумаги. Может начаться паника. Таким образом, сложность как таковой является источником риска ".[13]

Затопление MV Sewol

Возможные будущие применения концепции

Пятикратное повышение безопасности самолетов с 1980-х годов, но летные системы иногда самостоятельно переключаются на неожиданные «режимы».

В статье, озаглавленной «Человеческий фактор», Уильям Ланжевише рассказывает о крахе 2009 г. Рейс 447 авиакомпании Air France над Средней Атлантикой. Он отмечает, что с 1980-х годов, когда начался переход к автоматизированным системам кабины экипажа, безопасность повысилась в пять раз. Лангвише пишет: «В уединении кабины пилотов и вне поля зрения общественности пилоты были отведены к рутинным ролям системных менеджеров». Он цитирует инженера Эрла Винера, который берет юмористическое заявление, приписываемое герцогине Виндзорской, о том, что нельзя быть слишком богатым или слишком худым, и добавляет: «или слишком осторожно относиться к тому, что вы вкладываете в цифровую систему управления полетом». Винер говорит, что автоматизация обычно снижает нагрузку, когда она легкая, и увеличивает ее, когда она тяжелая.

Инженер Boeing Дельмар Фадден сказал, что после того, как к системам управления полетами добавлены мощности, их удаление становится невозможно из-за требований сертификации. Но если он не используется, может в некотором смысле скрываться в глубинах невидимого.[14]

Ланжевише цитирует инженера-технолога Надин Сартер кто пишет о «сюрпризах автоматизации», часто связанных с системными режимами, которые пилот не полностью понимает или которые система переключается сама по себе. Фактически, один из наиболее частых вопросов, которые сегодня задают в кабине экипажа: «Что он сейчас делает?» В ответ на это Ланжевише снова указывает на пятикратное повышение безопасности и пишет: «Никто не может рационально защищать возвращение к гламуру прошлого».[14]

Более здоровое взаимодействие теории и практики, при котором правила безопасности иногда меняются?

Из статьи Нэнси Левесон «Новая модель аварии для разработки более безопасных систем» в Наука о безопасности, Апрель 2004 г .:
«Однако инструкции и письменные процедуры почти никогда не соблюдаются в точности, поскольку операторы стремятся стать более эффективными и продуктивными и справляться с нехваткой времени ... даже в таких жестких условиях и условиях высокого риска, как атомные электростанции, изменение инструкций обнаруживается неоднократно, и нарушение правил представляется вполне рациональным, учитывая фактическую рабочую нагрузку и временные ограничения, при которых операторы должны выполнять свою работу. В этих ситуациях существует основной конфликт между ошибкой, рассматриваемой как отклонение от нормативная процедура и ошибка как отклонение от рационального и обычно используемого эффективная процедура (Расмуссен и Пейтерсен, 1994) ".[15]

Смотрите также

Рекомендации

Примечания

  1. ^ а б Перроу, Чарльз (1984 и 1999). Обычные несчастные случаи: жизнь с технологиями высокого риска, с новым послесловием и постскриптумом по проблеме 2000 года, Basic Books, 1984, Princeton University Press, 1999, стр. 70.
  2. ^ «Пилотам вроде меня труднее принять мышление Чарльза Перроу. Перроу непреднамеренно пришел к своей теории о обычных авариях после изучения ошибок крупных организаций. Его точка зрения не в том, что одни технологии более рискованны, чем другие, что очевидно, а в том, что управление и эксплуатация некоторых из самых рискованных технологий требует от организаций настолько сложных, что практически гарантировано возникновение серьезных сбоев [Курсив добавлен]. Эти сбои иногда будут сочетаться непредсказуемым образом, и если они вызовут дальнейшие сбои в операционной среде тесно взаимосвязанных процессов, сбои выйдут из-под контроля, аннулируя все вмешательства ». Уроки Валуйета 592, Атлантический океан, William Langewiesche, март 1998 г., в разделе «Нормальный несчастный случай», который занимает около двух третей всей статьи.
  3. ^ Крушение ValuJet 592: последствия для здравоохранения, Дж. Дэниел Бекхэм, январь 1999 г. Файл DOC -> http://www.beckhamco.com/41articlescategory/054_crashofvalujet592.doc Г-н Бекхэм управляет консалтинговой компанией в области здравоохранения, и эта статья размещена на сайте компании. Он пишет: «Аварии как в Чернобыле, так и в Три-Майл-Айленде были вызваны отказавшими системами безопасности».
  4. ^ ПРИБЫТИЕ К КАТАСТРОФЕ: КОНЦЕНТРАЦИЯ, СЛОЖНОСТЬ И МУФТА, Чарльз Перроу, Обзор Монреаля, Декабрь 2012 г.
  5. ^ Причина, Джеймс (1990-10-26). Человеческая ошибка. Издательство Кембриджского университета. ISBN  0-521-31419-4.
  6. ^ а б c Ланжевише, Уильям (март 1998 г.). Уроки Валуйета 592, Атлантический океан. См. Особенно последние три абзаца этой длинной статьи: «. . . Понимание почему может удержать нас от того, чтобы сделать систему еще более сложной, а значит, и, возможно, более опасной ».
  7. ^ Стать организацией высокой надежности, Критический уход, М. Кристиансон, К. Сатклифф и др. al, 8 декабря 2011 г. Противоположная концепция. Это концепция, которая не согласуется с концепцией системной аварии.
  8. ^ Саган, Скотт Д. (1993). Пределы безопасности: организации, аварии и ядерное оружие. Princeton U. Pr. ISBN  0-691-02101-5.
  9. ^ ОТЧЕТ ОТЧЕТНОЙ СОВЕТЫ APOLLO 13 («Отчет Cortright»), Председатель Эдгар М. Кортрайт, ГЛАВА 5, ВЫВОДЫ, ОПРЕДЕЛЕНИЯ И РЕКОМЕНДАЦИИ.
  10. ^ Перроу, К. (1982), Резюме Перроу к его главе, озаглавленной «Президентская комиссия и обычная авария», в Sils, D., Wolf, C. and Shelanski, V. (Eds), Авария на Три-Майл-Айленд: человеческое измерение, Боулдер, Колорадо, США: Westview Press, 1982, стр. 173–184.
  11. ^ Стимпсон, Брайан (октябрь 1998 г.). Безошибочное управление сложными и опасными технологическими системами: неправильные уроки ValuJet 592, Манитоба профессиональный инженер. В этой статье приводятся контрпримеры сложных организаций, имеющих хорошие показатели безопасности, таких как американские авианосцы класса Nimitz и атомная станция Diablo Canyon в Калифорнии.
  12. ^ Смотрите также Обычные несчастные случаи: жизнь с технологиями высокого риска, Чарльз Перроу, переработанное издание 1999 г., стр. 383 и 592.
  13. ^ Чему мы научились из финансового кризиса, Великой рецессии и жалкого восстановления? (PDF-файл), Алан С. Блиндер, Принстонский университет, Центр исследований экономической политики Грисуолда, Рабочий доклад № 243, ноябрь 2014 г.
  14. ^ а б Человеческий фактор, Ярмарка Тщеславия, Уильям Ланжевише, 17 сентября 2014 г. «... пилотов отводили к обычным ролям системных менеджеров ... С 1980-х годов, когда началась смена, показатели безопасности улучшились в пять раз, до нынешнего одного несчастного случая со смертельным исходом для каждые пять миллионов отправлений. Никто не может рационально выступать за возвращение к гламуру прошлого ».
  15. ^ Новая модель аварии для разработки более безопасных систем, Нэнси Левесон, Наука о безопасности, Vol. 42, No. 4, April 2004. Статья основана на исследовании, частично поддержанном Национальным научным фондом и НАСА. «... На самом деле, обычный способ для рабочих оказать давление на руководство, не объявив забастовку, - это« работать, чтобы руководить », что может привести к снижению производительности и даже к хаосу».

дальнейшее чтение