5.2. Факторы, влияющие на безопасность системы

К факторам, влияющим на безопасность в рамках определенной системы, можно подходить с двух точек зрения: во-первых, рассмотреть те факторы, которые могут породить ситуации, создающие угрозу безопасности, и, во-вторых, проанализировать, каким образом понимание этих факторов можно использовать при проектировании систем в целях снижения вероятности возникновения событий, способных создать угрозу безопасности.

Поиск факторов, могущих поставить безопасность под угрозу, должен осуществляться на всех уровнях организации, отвечающих за эксплуатацию и за обеспечение вспомогательного обслуживания. Как указывалось в главе 4, безопасность начинается с верхних эшелонов руководства организации.

Активные недостатки и скрытые условия

Причинами активных недостатков обычно являются неисправности оборудования или ошибки, допущенные авиационным персоналом. Однако в скрытых условиях всегда присутствует человеческий элемент. Они могут быть следствием незамеченных конструктивных дефектов. Они могут быть связаны с нераспознанными последствиями официально утвержденных процедур. Был также отмечен ряд случаев, когда скрытые условия являлись непосредственным результатом решений, принимаемых управленческим аппаратом организации. Например, скрытые условия существуют в тех организациях, где корпоративная культура поощряет упрощенные методы, вместо того чтобы всегда следовать официально утвержденным правилам. Прямые последствия того или иного условия, связанного с упрощенными методами, проявят себя на эксплуатационном уровне при несоблюдении правильных процедур. Однако, если подобное поведение эксплуатационного персонала повсеместно считается приемлемым и администрация либо не осведомлена об этих фактах, либо не предпринимает никаких мер, то в данной системе существует скрытое условие на управленческом уровне.

Неисправности оборудования

Возможность отказов системы из-за неисправностей оборудования относится к области технической надежности. Степень вероятности отказа системы определяется путем анализа частоты отказов отдельных деталей оборудования. Причинами отказов этих деталей могут быть неисправности электрических, механических элементов или недостатки в программном обеспечении.

Для определения вероятности отказов в процессе нормальной эксплуатации, а также последствий длительной эксплуатационной недоступности какого-либо элемента для других частей системы необходимо провести анализ аспектов безопасности. Указанный анализ должен включать последствия недоступности какой-либо функции или утраты резервирования в результате вывода оборудования из эксплуатации для проведения технического обслуживания. Поэтому представляется важным, чтобы предмет анализа и область системы, подлежащая такому анализу, были достаточно широкими и охватывали все необходимые вспомогательные службы и виды деятельности. Как минимум, анализ аспектов безопасности должен учитывать элементы модели SHEL, изложенные в главе 4.

Методы оценки вероятности отказа всей системы в результате неисправностей оборудования и оценки таких параметров, как доступность и непрерывность обслуживания, хорошо проработаны и изложены в стандартных материалах по технической надежности и технике безопасности. В рамках данного пособия эти вопросы в дальнейшем обсуждаться не будут.

Ошибка человека

Ошибка имеет место в тех случаях, когда результат задачи, выполняемой человеком, не соответствует предполагаемому результату. Методы подхода человека-оператора к выполнению той или иной задачи зависят от характера самой задачи и от того, насколько с ней знаком оператор. В основе результатов работы человека могут лежать навыки, правила или знания. Ошибки могут быть следствием провалов памяти, промахов в выполнении предполагаемой задачи или результатом ошибок, допускаемых в здравом уме в процессе принятия решения. Следует также отличать честные или нормальные ошибки, совершенные при выполнении служебных функций, от преднамеренных нарушений предписанных правил или принятой безопасной практики. Как уже упоминалось в главе 4, для того, чтобы лучше понять, какие ошибки являются “приемлемыми”, в некоторых организациях используется концепция “справедливой культуры”.

Проектирование системы

Учитывая сложное взаимодействие в производственном процессе человеческого, материального факторов и окружающей среды, полное устранение риска является недостижимой целью. Даже в организациях с наилучшими программами подготовки и конструктивной культурой безопасности человек-оператор будет периодически допускать ошибки. В прекрасно спроектированном оборудовании с надлежащим техническим обслуживанием будут периодически происходить отказы. Поэтому проектировщики системы должны принимать во внимание неизбежность ошибок и отказов. Важно, чтобы система проектировалась и создавалась таким образом, чтобы в максимально возможной степени ошибки и отказы оборудования не приводили к происшествиям. Иными словами, система должна быть ”толерантной к ошибкам”.

Как правило, оборудование и программное обеспечение той или иной системы проектируются таким образом, чтобы гарантировать достижение установленных уровней доступности, непрерывности и целостности. Методы оценки характеристик системы применительно к этим параметрам хорошо проработаны. При необходимости в систему могут быть встроены элементы резервирования для обеспечения альтернатив в случае отказа одного или нескольких элементов системы.

Характеристики работоспособности человеческого элемента невозможно определить с такой же точностью, однако необходимо рассматривать возможность ошибки человека как неотъемлемую часть всей конструкции системы. Для выявления потенциальных слабых мест в процедурных аспектах системы требуется проведение соответствующего анализа с учетом нормальных недостатков в работоспособности человека. Такой анализ должен также учитывать тот факт, что у авиационных происшествий очень редко (если вообще бывают такие случаи) имеется одна единственная причина. Как уже отмечалось ранее, они обычно материализуются как часть последовательности событий в сложном ситуативном контексте; таким образом, при проведении указанного анализа необходимо рассматривать сочетание различных событий и обстоятельств, выявлять последовательности событий, которые могут в итоге нанести ущерб безопасности полетов.

Разработка безопасной и толерантной к ошибкам системы предполагает, что данная система должна:

- включать несколько уровней защиты, гарантирующих, насколько это возможно, от авиационного происшествия в случае единичного отказа или единичной ошибки;

- обеспечить распознавание единичного отказа или ошибки, а также предпринять меры по их исправлению до того, как последует цепь событий, вызывающих происшествие.

Необходимость в многослойной, а не просто одноуровневой защите обусловливается возможностью того, что сами средства защиты не всегда оказываются надежными. Такая концепция проектирования называется “эшелонированной системой защиты”.

Для того чтобы в хорошо спроектированной системе произошло происшествие во всех ее защитных барьерах в критическое время, когда средства защиты должны были бы обнаружить более раннюю ошибку или отказ, должна появиться брешь. На рис. 5.1 показано, каким образом происшествие должно преодолеть все уровни защиты.