Из Википедии, бесплатной энциклопедии
Перейти к навигации Перейти к поиску

Система авария (или нормальная авария ) является «непредвиденным взаимодействием нескольких неудач» в сложной системе . [1] Эта сложность может быть связана либо с технологиями, либо с человеческими организациями, а часто и тем и другим. Системную аварию можно легко увидеть задним числом, но чрезвычайно сложно предвидеть, потому что существует слишком много путей действий, чтобы серьезно рассматривать их все. Чарльз Перроу впервые разработал эти идеи в середине 1980-х годов. [1] Уильям Ланжевише в конце 1990-х писал: «Контроль и эксплуатация некоторых из самых рискованных технологий требует от организаций настолько сложных, что практически гарантировано возникновение серьезных сбоев». [2]

Сами системы безопасности иногда представляют собой дополнительную сложность, которая приводит к этому типу аварий. [3]

Как только предприятие преодолевает определенный рубеж, имея множество сотрудников, специализацию, системы резервного копирования, двойную проверку, подробные руководства и формальную коммуникацию, сотрудники могут слишком легко прибегнуть к протоколу, привычкам и «быть правым». Скорее, как попытка посмотреть сложный фильм на незнакомом языке, нить повествования о происходящем может быть потеряна. А поскольку несчастные случаи в реальном мире почти всегда имеют несколько причин, другие явления, такие как групповое мышление, также могут происходить одновременно. В частности, это признак дисфункциональной организации - просто обвинять последнего человека, который чего-то коснулся.

В 2012 году Чарльз Перроу писал: «Обычная авария [системная авария] - это когда все очень стараются перестраховаться, но неожиданное взаимодействие двух или более сбоев (из-за интерактивной сложности) вызывает каскад сбоев (из-за тесной связи) . " Чарльз Перроу использует термин « обычная авария», чтобы подчеркнуть, что с учетом нынешнего уровня технологий такие аварии весьма вероятны в течение нескольких лет или десятилетий. [4]

Джеймс Т. Ризон расширил этот подход, дополнив его надежностью человека [5] и моделью швейцарского сыра , которая сейчас широко используется в сфере авиационной безопасности и здравоохранения.

Есть аспект животного, пожирающего свой собственный хвост, в том, что больше формальности и усилий, чтобы сделать это правильно, на самом деле может ухудшить ситуацию. [6] Например, чем больше организационная роль вовлечена в приспособление к изменяющимся условиям, тем больше сотрудников, вероятно, будут задерживать сообщение о таких изменениях, «проблемах» и неожиданных условиях.

Эти аварии часто напоминают устройства Руба Голдберга тем, что небольшие ошибки в суждениях, недостатки технологии и незначительные повреждения в совокупности образуют внезапную катастрофу.

Уильям Ланжевише пишет о «целой воображаемой реальности, которая включает в себя неработающие цепочки команд, невыучиваемые программы обучения, нечитаемые руководства и фикцию правил, проверок и средств контроля». [6]

Противоположная идея - организация высокой надежности . [7]

Скотт Саган [ править ]

У Скотта Сагана есть множество публикаций, в которых обсуждается надежность сложных систем, особенно в отношении ядерного оружия. В «Пределах безопасности» (1993) был дан обширный обзор критических обращений во время « холодной войны», которые могли случайно привести к ядерной войне. [8]

Возможные системные аварии [ править ]

Космический полет Аполлона-13 , 1970 г. [ править ]

Дополнительная информация: Аполлон-13.

Наблюдательный совет Аполлона-13:


«[Введение] ... Было обнаружено, что авария не была результатом случайной неисправности в статистическом смысле, а скорее возникла в результате необычной комбинации ошибок в сочетании с несколько несовершенной и неумолимой конструкцией [выделение добавлено]. .

" Г. При рассмотрении этих процедур перед полетом, сотрудники НАСА, ER, и бук не признают возможность повреждения из - за перегрева. Многие из этих должностных лиц не были осведомлены о длительной работы нагревателя. В любом случае, адекватные термостатические переключатели можно было ожидать, что он защитит танк ». [9]

Три-Майл-Айленд , 1979 г. [ править ]

Дополнительная информация: авария на Три-Майл-Айленд.

Чарльз Перроу:

«Это напоминало другие аварии на атомных станциях и в других сложных и сильно взаимозависимых системах оператор-машина с высоким риском; ни одна из аварий не была вызвана некомпетентностью руководства или оператора или плохим государственным регулированием, хотя эти характеристики существовали и следовало ожидать. Я утверждал, что авария была нормальным явлением, потому что в сложных системах обязательно должно быть несколько неисправностей, которых нельзя избежать путем планирования и которые операторы не могут сразу понять ». [10]

ValuJet (AirTran) 592 , Эверглейдс, 1996 г. [ править ]

Дополнительная информация: ValuJet Flight 592

Уильям Ланжевише:

Он указывает, что в «огромном руководстве по техническому обслуживанию MD-80 ... Усердно исследуя свои возможности, механик мог найти путь к другой части руководства и узнать, что ... [генераторы кислорода] необходимо утилизировать». в соответствии с местными нормативными требованиями и с использованием разрешенных процедур ». [6]

То есть большинство описанных процедур безопасности в определенном смысле «правильны», но не являются ни полезными, ни информативными.

Брайан Стимпсон:

Шаг 2. Картонные коробки без опознавательных знаков, неделями хранившиеся на стеллаже для запчастей, были доставлены в отдел доставки и получения SabreTech и оставлены на полу в зоне, отведенной для собственности ValuJet.

Шаг 3. Компания Continental Airlines, потенциальный клиент SabreTech, планировала инспекцию предприятия, поэтому клерку по транспортировке SabreTech было поручено привести в порядок рабочее место. Он решил отправить генераторы кислорода в штаб-квартиру ValuJet в Атланте и назвал коробки «частями самолета». Раньше он отправлял материалы ValuJet в Атланту без официального разрешения. Более того, он неправильно понял зеленые метки, обозначающие «неработоспособный» или «неработающий», и пришел к выводу, что генераторы были пустыми.

Шаг 4. Судовой служащий собрал нагрузку для переднего грузового отсека из пяти ящиков плюс две большие основные шины и меньшая носовая шина. Он проинструктировал своего коллегу подготовить отгрузочный талон с указанием «канистры с кислородом - пустые». Сотрудник написал: «Канистры Oxy», а затем «Пустой» в кавычках. Также были указаны шины.

Шаг 5. Через день или два коробки были доставлены агенту по рампе ValuJet для приема на рейс 592. Транспортный билет с указанием шин и баллонов с кислородом должен был привлечь его внимание, но этого не произошло. Затем канистры были загружены в соответствии с федеральными правилами, поскольку ValuJet не был зарегистрирован для перевозки опасных материалов. Вполне возможно, что в представлении агента по эстакаде возможность того, что рабочие SabreTech отправят ему опасный груз, была немыслима. [11] [12]

Финансовое учреждение 2008 г. на грани краха [ править ]

В монографии 2014 года экономист Алан Блиндер заявил, что из-за сложных финансовых инструментов потенциальным инвесторам сложно судить о разумности цены. В разделе, озаглавленном «Урок № 6: Чрезмерная сложность не только препятствует конкуренции, это опасно», - далее он заявил: «Но большая опасность может исходить от непрозрачности. Когда инвесторы не понимают рисков, связанных с ценными бумагами, они покупка (примеры: мезонинный транш CDO-Squared  ; CDS на синтетический CDO, ...), могут быть сделаны большие ошибки - особенно если рейтинговые агентства говорят вам, что они на три четверти, то есть достаточно безопасны для бабушки. Поэтому, когда наступает крах, убытки могут быть намного больше, чем могли вообразить инвесторы. Рынки могут иссякнуть, поскольку никто не знает, сколько на самом деле стоят эти ценные бумаги. Может начаться паника. Таким образом, сложность сама по себе является источником риска » [13].

Гибель MV Sewol [ править ]

Возможные будущие применения концепции [ править ]

Пятикратное повышение безопасности самолетов с 1980-х годов, но летные системы иногда самостоятельно переключаются в неожиданные «режимы» [ править ]

В статье, озаглавленной «Человеческий фактор», Уильям Ланжевише рассказывает о катастрофе рейса 447 авиакомпании Air France в 2009 году над Средней Атлантикой. Он отмечает, что с 1980-х годов, когда начался переход к автоматизированным системам кабины, безопасность повысилась в пять раз. Лангвише пишет: «В уединении кабины пилотов и вне поля зрения общественности пилотам отводится повседневная роль системных менеджеров». Он цитирует инженера Эрла Винера, который берет юмористическое заявление, приписываемое герцогине Виндзорской, о том, что нельзя быть слишком богатым или слишком худым, и добавляет: «или слишком осторожно относиться к тому, что вы вкладываете в цифровую систему управления полетом». Винер говорит, что эффект автоматизации обычно заключается в уменьшении рабочей нагрузки, когда она легкая, и ее увеличении, когда она тяжелая.

Инженер Boeing Дельмар Фадден сказал, что после добавления мощностей к системам управления полетами их удаление становится невозможно из-за требований сертификации. Но если не использовать, может в некотором смысле скрыться в глубинах невидимого. [14]

Ланжевише цитирует инженера-технолога Надин Сартер, который пишет о «сюрпризах автоматизации», часто связанных с режимами системы, которые пилот не полностью понимает или которые система переключается сама по себе. Фактически, один из наиболее частых вопросов, которые сегодня задают в кабине экипажа: «Что он сейчас делает?» В ответ на это Ланжевише снова указывает на пятикратное повышение безопасности и пишет: «Никто не может рационально отстаивать возвращение к гламуру прошлого». [14]

Более здоровое взаимодействие между теорией и практикой, при котором правила безопасности иногда меняются? [ редактировать ]

Из статьи Нэнси Левесон «Новая модель аварии для разработки более безопасных систем» в « Науке о безопасности» , апрель 2004 г .:
«Однако инструкции и письменные процедуры почти никогда не соблюдаются в точности, поскольку операторы стремятся стать более эффективными и продуктивными и решать нехватка времени ... даже в таких жестких условиях и условиях повышенного риска, как атомные электростанции, неоднократно обнаруживаются модификации инструкций, и нарушение правил представляется вполне рациональным, учитывая фактическую рабочую нагрузку и временные ограничения, в которых эксплуатируются операторы. должны выполнять свою работу. В этих ситуациях существует основной конфликт между ошибкой, рассматриваемой как отклонение от нормативной процедуры, и ошибкой, рассматриваемой как отклонение от рационального и обычно используемогоэффективная процедура (Расмуссен и Пейтерсен, 1994). " [15]

См. Также [ править ]

  • Непреднамеренные последствия

Ссылки [ править ]

Заметки

  1. ^ a b Перроу, Чарльз (1984 и 1999). Обычные несчастные случаи: жизнь с технологиями высокого риска, с новым послесловием и постскриптумом по проблеме 2000 года , Basic Books, 1984, Princeton University Press, 1999, стр. 70.
  2. ^ "Пилотам вроде меня труднее принять мышление Чарльза Перроу. Перроу непреднамеренно пришел к своей теории о обычных авариях после изучения ошибок крупных организаций. Его точка зрения не в том, что одни технологии более рискованны, чем другие, что очевидно, а в том, что для управления и эксплуатации некоторых из наиболее рискованных технологий организации должны быть настолько сложными, что серьезные сбои практически гарантированно произойдут [выделение добавлено]. Эти сбои иногда будут сочетаться непредсказуемым образом, и если они приведут к дальнейшим сбоям в операционной среде тесно взаимосвязанных процессов , неудачи выйдут из-под контроля, аннулируя все вмешательства ". —Из «Уроки Валюджета 592» , «Атлантика»., William Langewiesche, март 1998 г., в разделе "Обычная авария", который занимает около двух третей всей статьи.
  3. ↑ Авария ValuJet 592: последствия для здравоохранения , Дж. Дэниел Бекхэм, январь 1999 г. Файл DOC -> http://www.beckhamco.com/41articlescategory/054_crashofvalujet592.doc Г-н Бекхэм управляет консалтинговой компанией в области здравоохранения, и эта статья размещена на веб-сайте компании. Он пишет: «Аварии как в Чернобыле, так и в Три-Майл-Айленде были вызваны отказом систем безопасности».
  4. ^ НАЧАЛО КАТАСТРОФЫ : КОНЦЕНТРАЦИИ, СЛОЖНОСТЬ И СОЕДИНЕНИЕ , Чарльз Перроу, The Montréal Review , декабрь 2012 г.
  5. ^ Причина, Джеймс (1990-10-26). Человеческая ошибка . Издательство Кембриджского университета . ISBN 0-521-31419-4.
  6. ^ a b c Ланжевише, Уильям (март 1998 г.). Уроки Валуйета 592 , Атлантика . См. Особенно последние три абзаца этой длинной статьи: «. . . Понимание того, почему может удержать нас от того, чтобы сделать систему еще более сложной, а значит, и, возможно, более опасной ».
  7. ^ Становясь организацией высокой надежности , Critical Care , M. Christianson, K. Sutcliffe, et. al, 8 декабря 2011 г. Противоположная концепция. Это концепция, которая не согласуется с концепцией системной аварии.
  8. ^ Саган, Скотт Д. (1993). Пределы безопасности: организации, аварии и ядерное оружие . Princeton U. Pr. ISBN 0-691-02101-5.
  9. ^ ОТЧЕТ ОБ ОБЗОРНОЙ СОВЕТЕ APOLLO 13 («Отчет Кортрайта») , председатель Эдгар М. Кортрайт, ГЛАВА 5, ВЫВОДЫ, ОПРЕДЕЛЕНИЯ И РЕКОМЕНДАЦИИ.
  10. ^ Perrow, C. (1982), Perrow тезисы его главы под названием «Комиссия президента и нормальные Аварии,» в Силз, Д., Вольф, С. и Shelanski, В. (ред), аварии на Three Mile Island: Человеческие измерения , Боулдер, Колорадо, США: Westview Press, 1982, стр.173–184.
  11. ^ Stimpson, Брайан (октябрь 1998). Безошибочная работа с очень сложными и опасными технологическими системами: неправильные уроки ValuJet 592 , профессионального инженера из Манитобы . В этой статье приводятся контрпримеры сложных организаций, имеющих хорошие показатели безопасности, таких как американские авианосцы класса Nimitz и атомная станция Diablo Canyon в Калифорнии.
  12. ↑ См. Также « Обычные несчастные случаи: жизнь с технологиями высокого риска» , Чарльз Перроу, пересмотренное издание 1999 г., страницы 383 и 592.
  13. ^ Что мы узнали из финансового кризиса, Великой рецессии и жалкого восстановления? (PDF-файл), Алан С. Блиндер, Принстонский университет, Центр исследований экономической политики Грисуолда, Рабочий доклад № 243, ноябрь 2014 г.
  14. ^ a b Человеческий фактор , Vanity Fair , Уильям Ланжевише, 17 сентября 2014 г. «... пилотам отведены обычные роли системных менеджеров ... С 1980-х годов, когда началась смена, показатели безопасности улучшились. в пять раз, по сравнению с нынешним - одна авария со смертельным исходом на каждые пять миллионов вылетов. Никто не может рационально выступать за возвращение к гламуру прошлого ».
  15. ^ Новая модель аварии для разработки более безопасных систем , Нэнси Левесон, Наука о безопасности , Vol. 42, No. 4, April 2004. Статья основана на исследовании, частично поддержанном Национальным научным фондом и НАСА. «... На самом деле, обычный способ для рабочих оказать давление на руководство, не объявив забастовку, - это« работать, чтобы руководить », что может привести к падению производительности и даже к хаосу».

дальнейшее чтение

  • Купер, Алан (2004-03-05). Заключенные управляют убежищем: почему продукты высоких технологий сводят нас с ума и как восстановить здравомыслие . Индианаполис: Образование Сэма - Пирсона . ISBN 0-672-31649-8.
  • Гросс, Майкл Джозеф (29 мая 2015 г.). Жизнь и смерть в Cirque du Soleil , в этой статье Vanity Fair говорится: «... Системная авария - это авария, при которой в каскаде должно произойти множество ошибок. Измените любой элемент каскада, и авария может не произойти, но каждый элемент разделяет вину ... "
  • Хельмрайх, Роберт Л. (1994). «Анатомия системной аварии: крушение Avianca Flight 052». Международный журнал авиационной психологии . 4 (3): 265–284. DOI : 10,1207 / s15327108ijap0403_4 . PMID  11539174 .
  • Хопкинс, Эндрю (июнь 2001 г.). "Был ли Три-Майл-Айленд нормальным происшествием?" (PDF) . Журнал непредвиденных обстоятельств и антикризисного управления . 9 (2): 65–72. DOI : 10.1111 / 1468-5973.00155 . Архивировано из оригинального (PDF) 29 августа 2007 года . Проверено 6 марта 2008 .
  • За пределами инженерии: новый взгляд на технологии , Тодд Ла Проте, Карлин Робертс и Джин Рочлин, Oxford University Press, 1997. В этой книге приводятся контрпримеры сложных систем с хорошими показателями безопасности.
  • Пиджон, Ник (22 сентября 2011 г.). «Ретроспективно: нормальные случайности», Природа .
  • Перроу, Чарльз (29 мая 2000 г.). «Организационно-вызванные катастрофы» (PDF) . Институт изучения общества и окружающей среды. Университетская корпорация атмосферных исследований . Проверено 6 февраля 2009 года . Цитировать журнал требует |journal=( помощь )CS1 maint: обескураженный параметр ( ссылка )
  • Руш, Уэйд Эдмунд. КАТАСТРОФА И КОНТРОЛЬ: КАК ТЕХНОЛОГИЧЕСКИЕ БЕДСТВИЯ УЛУЧШАЮТ ДЕМОКРАТИЮ, докторская диссертация, Массачусетский технологический институт, 1994, стр. 15. ». . Сегодняшняя книга «Нормальные аварии» является важным чтением для руководителей промышленных предприятий, социологов организаций, историков технологий и заинтересованных непрофессионалов, поскольку она показывает, что в этом столетии инженеры использовали основную стратегию, чтобы держать опасные технологии под контролем - многоуровневую «отказоустойчивую» систему. «устройства резервного копирования» - часто добавляют опасный уровень непредсказуемости системе в целом. . '
  • «Испытание показывает, что кислородные баллончики вызывают сильный огонь» . CNN.com . 1996-11-19 . Проверено 6 марта 2008 . CS1 maint: обескураженный параметр ( ссылка )
  • Уоллес, Брендан (2009-03-05). Помимо человеческой ошибки . Флорида: CRC Press. ISBN 978-0-8493-2718-6.