Люди, контекст и безопасность. Модель SHEL

1.6.1 Рабочие места в авиации являются комплексными эксплуатационными контекстами, состоящими из многих компонентов и многих признаков. Для достижения системой производственных задач их функции и характеристики включают сложную взаимосвязь между их многочисленными компонентами.

 

1.6.2 Для того чтобы понять вклад человека в безопасность и обеспечить необходимую эксплуатационную деятельность человека для достижения производственных задач системы, необходимо понять, как на эксплуатационную деятельность человека могут повлиять различные компоненты и особенности эксплуатационного контекста и взаимосвязь между компонентами, особенностями и людьми.

 

1.6.5 Таким образом, очевидно, что источником ценной информации, для того чтобы понять эффективность деятельности, обеспечить ее осуществление и совершенствование, является надлежащее изучение и анализ эксплуатационного контекста.

 

1.6.12 Простым, но визуально доходчивым концептуальным инструментом для анализа компонентов и особенностей эксплуатационных контекстов и их возможных взаимодействий с людьми является модель SHEL. Модель SHEL (иногда называется модель SHEL(L)) можно использовать для наглядного представления взаимосвязей между различными компонентами и особенностями авиационной системы. Основной акцент в данной модели делается на индивидуума и интерфейс человека с другими компонентами и особенностями авиационной системы. Название модели SHEL состоит из первых букв английских названий ее четырех компонентов:

   а) Software (S) – Процедуры (процедуры, обучение, средства обеспечения и т. д.);

   b) Hardware (H) – Объект (машины и оборудование);

   с) Environment (E) – Среда (эксплуатационные условия, в которых должны функционировать остальные

компоненты системы L-H-S);

   d) Liveware (L) – Субъект (люди на рабочих местах).

 

1.6.13 На рис. 1-9 изображена модель SHEL. Эта блок-схема призвана дать общее представление о взаимосвязи индивидуумов с компонентами и особенностями рабочего места.

 

1.6.14 Субъект. В центре модели SHEL помещаются люди, находящиеся на переднем крае деятельности. Хотя люди имеют удивительное свойство приспосабливаться, тем не менее их работоспособность подвержена значительным колебаниям. Людей нельзя стандартизировать в такой же степени, как оборудование, поэтому границы этого блока не столь просты и прямолинейны. Люди не взаимодействуют идеально с различными компонентами той среды, в которой они работают. Во избежание напряженности, которая может отрицательно повлиять на действия человека, необходимо осознать последствия нестыковок на границе интерфейса между различными блоками SHEL и центральным блоком "Субъект". Во избежание напряженности в системе другие компоненты системы должны быть тщательно подогнаны к людям.

 

1.6.15 Шероховатостям границ блока “субъект” способствует целый ряд различных факторов. Ниже перечислены наиболее важные факторы, влияющие на характеристики работоспособности индивидуума:

   а) Физические факторы. Они включают физические возможности человека выполнять требуемые задачи, например, физическая сила, рост, длина рук, зрение и слух.

 

                        

                                     Рис. 1-9. Модель SHEL

   b) Физиологические факторы. Они включают факторы, которые затрагивают внутренние физические процессы в человеке и могут оказать неблагоприятное влияние на его физические и когнитивные характеристики, например, наличие кислорода, общее состояние здоровья и физическое состояние, болезнь или заболевание, потребление табака, наркотиков или алкоголя, личное стрессовое состояние, усталость и беременность.

   c) Психологические факторы. Они включают факторы, влияющие на психологическую готовность человека справиться со всеми обстоятельствами, которые могут возникнуть, например, адекватность профессиональной подготовки, знаний и опыта, а также рабочей нагрузки.

   d) Психосоциальные факторы. Они включают все внешние факторы в социальной системе людей, оказывающие на них давление в рабочей и нерабочей обстановке, например, конфликт с начальником, трудовые споры с администрацией, смерть в семье, личные финансовые проблемы или другие домашние трения.

 

1.6.16 Модель SHEL особенно полезна для того, чтобы наглядно представить себе интерфейс между различными компонентами авиационной системы. Такой интерфейс включает:

    а) Субъект-объект (L-H). Когда речь идет о действиях человека, чаще всего рассматривается интерфейс между человеком и машиной. Он определяет способ интерфейса человека с физической производственной средой, например: конструкция кресел с учетом особенностей телосложения, дисплеи с учетом сенсорных характеристик и возможностей усвоения информации пользователем, а также органы управления с удобными для пользователя функционированием, кодированием и размещением. Однако для человека характерна естественная тенденция приспосабливаться к нестыковкам интерфейса “L-H”. Такая тенденция может скрыть серьезные недостатки, которые могут проявиться только после события.

   b) Субъект-процедуры (L-S). Интерфейс L-S представляет собой взаимосвязь человека с системами обеспечения, имеющимися на рабочем месте, например: нормативы, руководства, контрольные перечни, издания, стандартные эксплуатационные правила (СЭП) и программное обеспечение ЭВМ. Данный интерфейс включает такие “ориентированные на пользователя” аспекты, как актуальность, точность, форма представления, терминология, ясность и символика.

  с) Субъект-субъект (L-L). Интерфейс L-L представляет собой взаимосвязь человека с другими лицами на рабочем месте. Летные экипажи, диспетчеры УВД, инженеры по техническому обслуживанию воздушных судов и другой эксплуатационный персонал работают в коллективах, и поэтому взаимоотношения, складывающиеся в таком коллективе, накладывают свой отпечаток на их работоспособность. С появлением концепции оптимизации работы экипажа (ОРЭ) этому виду интерфейса стало уделяться значительное внимание. Подготовка по ОРЭ и ее распространение на обслуживание воздушного движения (ОВД) (оптимизация работы группы (ОРГ)) и техническое

обслуживание (оптимизация работы персонала технического обслуживания (ОРПТО)) нацелены на управление эксплуатационными ошибками. В сфере этого интерфейса находятся также взаимоотношения между сотрудниками и руководством, а также аспекты корпоративной культуры, корпоративного климата и производственных потребностей компании, все из которых могут существенно влиять на работоспособность человека.

   d) Субъект-среда (L-E). Данный вид интерфейса охватывает взаимосвязь между человеком и внутренней и внешней средой. Внутренняя производственная среда включает такие физические параметры, как температура, освещение, уровень шума, вибрация и качество воздуха. Внешняя среда включает такие аспекты, как видимость, турбулентность и рельеф местности. Условия работы авиации (круглосуточный режим 7 дней в неделю) связаны с нарушением нормальных биологических ритмов, таких как режим сна. Кроме того, авиационная система функционирует в условиях наличия большого числа политических и экономических ограничений, которые в свою очередь оказывают_влияние на общую обстановку в той или иной организации. Сюда можно отнести такие факторы, как адекватность физических средств и вспомогательной инфраструктуры, финансовое положение на местах и эффективность регулирования. В той же мере, как непосредственная производственная среда может создать напряженные ситуации, вынуждающие выбирать кратчайший путь, так и неадекватная вспомогательная инфраструктура может поставить под угрозу качество принимаемых решений.

 

1.6.17 Необходимо проявлять осторожность, чтобы эксплуатационные ошибки не “просочились через трещины” на границах интерфейсов. В большинстве случаев проблему “шероховатостей” этих интерфейсов можно устранить, например:

     a) проектировщик может обеспечить надежность работы данного оборудования в оговоренных эксплуатационных условиях;

   b) в процессе сертификации регламентирующий орган имеет возможность установить реальные условия, при которых это оборудование можно использовать;

   c) руководство организации может разработать стандартные эксплуатационные правила (СЭП) и обеспечить первоначальную подготовку и регулярную переподготовку по безопасному использованию данного оборудования;

   d) каждый оператор оборудования может изучить данное оборудование и обеспечить его надежное использование безопасным образом при любых необходимых условиях эксплуатации._

 

ОШИБКИ И НАРУШЕНИЯ

Эксплуатационные ошибки

1.7.1 Наблюдавшийся в последние два десятилетия рост авиационной отрасли был бы невозможен без внедрения передовой техники, обеспечившей удовлетворение повышенного спроса на услуги в этой области. В производственно емких отраслях, таких как современная авиация, техника играет главнейшую роль в удовлетворении спроса на предоставление соответствующих услуг. В анализах безопасности полетов этот фундаментальный вопрос часто игнорируется. Внедрение техники не преследует в качестве своей главной цели повышение безопасности полетов; внедрение техники прежде всего нацелено на удовлетворение повышенного спроса на предоставление соответствующих услуг, обеспечивая вместе с тем существующий уровень безопасности полетов.

 

1.7.2 Таким образом, техника внедряется в грандиозных масштабах для удовлетворения потребностей производства. Одним из результатов такого массового внедрения техники с целью удовлетворения повышенного спроса является то, что интерфейс "субъект – объект" модели SHEL игнорируется или не всегда принимается во внимание в должной степени. Как следствие, техника, которая еще достаточно не доработана, может быть внедрена преждевременно, что приведет к неожиданным отказам.

 

1.7.3 Несмотря на то, что внедрение недостаточно доработанной техники является неизбежным следствием удовлетворения нужд любой отрасли массового производства, нельзя игнорировать ее связь с управлением безопасностью полетов. Людям на переднем крае, таким как эксплуатационный персонал, приходится ежедневно взаимодействовать с техникой при выполнении своих производственных задач по предоставлению соответствующих услуг. Если на этапе проектирования техники не уделять должного внимания интерфейсу "объект – субъект" и игнорировать эксплуатационные последствия взаимодействия человека и машины, результат очевиден – эксплуатационные ошибки.

 

1.7.4 Концепция эксплуатационных ошибок, как формирующееся свойство систем человек/машина, представляет руководство безопасностью полетов в совершенно другом свете, если его сравнить с традиционной, основанной на психологии концепции эксплуатационных ошибок. Согласно основанной на психологии концепции источник ошибки "пребывает" в человеке и является следствием конкретных психосоциальных механизмов, которые изучаются и разъясняются различными направлениями научно-исследовательских работ и прикладной психологии.

 

1.7.5 Попытка предвосхитить и эффективно уменьшить эксплуатационные ошибки согласно основанной на психологии концепции является чрезвычайно сложной, если не невозможной задачей. Процесс отбора может отсеять индивидуумов, не обладающих исходными свойствами, требуемыми для данной работы, а на поведение может оказывать влияние обучение и регулирование. Тем не менее со строго эксплуатационной точки зрения недостаток данной концепции очевиден: невозможно систематическим образом предвидеть проявление типичных человеческих слабостей, таких как рассеянность, усталость или забывчивость, и то, как они могут взаимодействовать с компонентами и особенностями эксплуатационного контекста в конкретных эксплуатационных условиях. Основанная на индивидууме стратегия уменьшения отрицательных последствий считается "мягкой" стратегией, поскольку ошибки в действиях человека проявятся в самый неожиданный момент, не обязательно в напряженных ситуациях, и высвободят свой разрушающий потенциал.

 

1.7.6 Концепция эксплуатационных ошибок как формирующееся свойство систем человек/машина изымает источник эксплуатационной ошибки из человека и помещает его прямо в физически реальный мир – в интерфейс L/H. Нестыковка этого интерфейса является источником эксплуатационной ошибки. Являясь частью физически реального мира, источник эксплуатационной ошибки таким образом становится видимым и может быть выражен оперативными терминами (выключатель частично закрыт тумблером, что затрудняет увидеть его правильное положение при работе в ночное время) по сравнению с научными терминами (перцептивные ограничения). Таким образом, можно предвидеть источник эксплуатационной ошибки и уменьшить его отрицательные последствия посредством оперативного вмешательства. Управление безопасностью полетов не в состоянии многого добиться в части перцептивных ограничений человека, однако с помощью управления безопасностью полетов можно использовать целый набор средств для нейтрализации последствий конструкций с частично скрытым выключателем.

 

1.7.7 Традиционно в авиации при рассмотрении безопасности полетов эксплуатационные ошибки обязательно считаются способствующим фактором в большинстве авиационных событий. Такая точка зрения, основанная на рассмотренном выше психологическом подходе, преподносит эксплуатационные ошибки как форму поведения, которой охотно следует эксплуатационный персонал, как будто бы эксплуатационный персонал стоит перед вполне определенным выбором – совершать эксплуатационную ошибку или нет, – и он охотно выбирает первый вариант. Более того, считается, что эксплуатационная ошибка характеризует не отвечающие стандартам действия, недостатки в личных качествах, отсутствие профессионализма, дисциплины и аналогичные атрибуты, которые появились в результате складывавшегося годами недопонимания действий человека. Хотя эти атрибуты весьма удобны и подходящи для обвинения людей, они не способствуют пониманию и объяснению эксплуатационных ошибок.

 

1.7.8 Следуя альтернативному подходу в отношении рассмотренных эксплуатационных ошибок, при котором эксплуатационные ошибки рассматриваются как формирующееся свойство систем человек/машина, и помещая источник ошибок в нестыковку интерфейса L/H, становится очевидным, что даже наиболее компетентный персонал может совершать эксплуатационные ошибки. В этом случае эксплуатационные ошибки считаются обычным компонентом любой системы, в которой взаимодействуют люди и техника, и не рассматриваются как некий тип аберрантного поведения. Скорее ошибки можно воспринимать как естественный побочный продукт взаимодействия человек-машина в ходе эксплуатационной деятельности по предоставлению услуг любой производственной системой. Эксплуатационные ошибки считаются обычным компонентом любой системы, в которой взаимодействуют человек и техника, а для контролирования эксплуатационных ошибок вводятся эксплуатационные меры обеспечения безопасности.

 

1.7.9 Учитывая неизбежность нестыковок в интерфейсах модели SHEL в авиационных операциях, масштаб эксплуатационных ошибок в авиации огромен. Непременным условием управления безопасностью полетов является понимание того, как эти нестыковки могут повлиять на среднего человека на работе. Только после этого могут быть приняты эффективные меры для контролирования воздействия эксплуатационных ошибок на безопасность полетов.

 

2.7.10 Широко распространено ошибочное мнение о необходимости установления линейной взаимосвязи между эксплуатационными ошибками и непосредственным воздействием, и масштабом их последствий. Это ошибочное

мнение рассматривается в пп. 1.6.10 и 1.6.11 в плане эксплуатационных ошибок и масштаба их последствий. В ходе этого рассмотрения утверждается, что между эксплуатационными ошибками и масштабом их потенциальных последствий отсутствует симметрия. Далее утверждается, что масштаб последствий эксплуатационных ошибок является функцией эксплуатационного контекста, в котором имеют место ошибки, а не последствием самих ошибок. Ниже этот вопрос дополнительно рассматривается в плане эксплуатационных ошибок и непосредственного воздействия их последствий.

 

1.7.11 Статистикой установлено, что ежедневно в авиации совершаются миллионы ошибок, прежде чем имеет место серьезный сбой в обеспечении безопасности полетов (рис. 1-10). Не принимая в расчет незначительные годовые колебания, отраслевая статистика за последние 10 лет постоянно исходит из предположения, что частота авиационных происшествий составляет менее одной катастрофы на миллион вылетов. Другими словами, при осуществлении авиакомпаниями по всему миру коммерческих операций один раз в миллион производственных циклов совершается эксплуатационная ошибка, которая создает разрушительный потенциал такой силы, который может преодолеть защитные средства системы и генерировать крупный сбой в обеспечении безопасности полетов. Тем не менее нестыковки в интерфейсах модели SHEL генерируют в ходе обычных авиационных операций десятки тысяч эксплуатационных ошибок ежедневно. Однако эти эксплуатационные ошибки улавливаются встроенными средствами защиты авиационной системы и их разрушающий потенциал уменьшается, тем самым предотвращая негативные последствия. Другими словами, ежедневно осуществляется контролирование эксплуатационных ошибок за счет эффективного функционирования защитных средств авиационной системы.

 

           Рис. 1-10. Эксплуатационные ошибки и безопасность полетов. Нелинейная взаимосвязь

 

1.7.12 Для объяснения асимметрии между эксплуатационными ошибками и непосредственным воздействием их последствий предлагается простой эксплуатационный сценарий (рис. 1-11А). После запуска двигателей летный экипаж забывает в ходе проверки порядка действий после запуска двигателей установить закрылки в положение взлета, как это указано в стандартных эксплуатационных правилах. Таким образом, совершена эксплуатационная ошибка, но прямых последствий этого нет. Эксплуатационная ошибка преодолела первый уровень защиты (СЭП, проверка экипажем очередности действий после запуска двигателя), но ее разрушительный потенциал еще пассивен. Прямых последствий нет; эксплуатационная ошибка просто присутствует в системе в латентном состоянии.

 

1.7.13 Летный экипаж выполняет операции по контрольной карте после запуска двигателей, но не замечает неправильного положения закрылков, и воздушное судно начинает руление для взлета. Таким образом, утрачена вторая возможность устранить последствие эксплуатационной ошибки, которая продолжает присутствовать в системе, но пока не приносит вреда. Тем не менее, система теперь находится в состоянии отклонения от нормы или в нежелательном состоянии (т. е. воздушное судно осуществляет руление для взлета с неправильным положением закрылков). Летный экипаж выполняет проверку операций перед рулением и проверку операций перед взлетом. В обоих случаях неправильное положение закрылков остается незамеченным. Утрачены другие возможности устранить последствия эксплуатационной ошибки. Эксплуатационная ошибка все еще не приводит к последствиям, однако статус отклонения или нежелательного состояния системы усиливается.

 

1.7.14 Летный экипаж начинает разбег при взлете и срабатывает аварийная сигнализация, предупреждающая о взлетной конфигурации. Летный экипаж не понимает причину срабатывания сигнализации и продолжает разбег при взлете. Эксплуатационная ошибка все еще не приводит к каким-либо последствиям, однако нежелательное состояние системы теперь значительно усугубляется. Самолет отрывается от земли с закрылками в неправильной конфигурации. Теперь система переходит в состояние ухудшения, однако экипаж все еще может устранить нежелательное состояние. Воздушное судно не может продолжать полет из-за неправильного положения закрылков и падает. Только теперь, после преодоления значительного числа встроенных средств защиты системы, эксплуатационная ошибка полностью развивает свой разрушающий потенциал и приводит к последствиям. В системе происходит катастрофический сбой.

Рис. 1-11А. Расследование крупных сбоев. Один раз на миллион полётов.

	Рис. 1-11В. Управление безопасностью полётов. Почти при каждом полёте.

 

1.7.15 Заметьте относительно длительный период времени между совершением экипажем эксплуатационной ошибки и материализацией ее неотвратимого разрушающего потенциала. Заметьте также наличие ряда возможностей устранить последствия эксплуатационной погрешности с помощью встроенных в систему средств защиты. Этот период времени представляет собой время, которым располагает система для контролирования последствий эксплуатационных ошибок, и он соразмерен с глубиной эшелонирования и эффективностью средств защиты системы. Это тот период времени, в течение которого управление безопасностью полетов функционирует с довольно значительным потенциалом для успешного разрешения проблемы.

 

1.7.16 Чем больше в системе заложено встроенных средств защиты и уровней сдерживания и чем эффективнее они работают, тем больше существует возможностей контролировать последствия эксплуатационных ошибок. Обратное также верно.

 

1.7.17 С точки зрения данного рассмотрения очевиден один вывод: рассмотренный в п.п. 1.7.12–1.7.14 сценарий будет (неизбежно) тем сценарием, который будет выявлен в ходе большинства расследований авиационных происшествий, – неуправляемые эксплуатационные ошибки, которые приводят к катастрофическим сбоям системы. Это ценная информация об отказах в работе человека и системы; информация, которая показывает, что отказало, что не сработало, какие средства защиты должным образом не функционировали. Хотя такая информация в своей основе и является ценной, ее недостаточно для того, чтобы полностью осознать происхождение сбоев в обеспечении безопасности полетов, и ее следует дополнять информацией из альтернативных источников.

 

1.7.18 Рассмотрим модифицированный вариант сценария, изложенного в пп. 1.7.12–1.7.14 (рис. 1-11В). Заметьте наличие по крайне мере четырех явных отдельных случаев, в которых могли бы сработать системы защиты для сдерживания разрушительного потенциала первоначальной эксплуатационной погрешности (не установлены закрылки в положение взлета при проверке летным экипажем операций после запуска двигателей):

  а) контрольная карта после запуска;

  b) контрольная карта при рулении;

  с) контрольная карта перед взлетом;

  d) сигнализация, предупреждающая о взлетной конфигурации.

 

1.7.20 Выдвигаемый здесь аргумент сводится к тому, что сценарии, при которых эксплуатационные ошибки приводят к катастрофическим сбоям, случаются редко, а сценарии, при которых эксплуатационные ошибки приводят к нежелательному состоянию системы (отклонение/ухудшение) случаются часто. В этих сценариях выявляется информация о том, что вначале не сработало, но в основном о том, что сработало впоследствии, включая средства защиты, которые функционировали как положено. Этот тот тип сведений, которые получены из источников информации о безопасности полетов, являющимися альтернативными и дополнительными источниками по отношению к расследованию авиационных происшествий. На основе информации, полученной в ходе расследования авиационного происшествия, безусловно, будут определены эти четыре случая, в которых средства защиты должны были сработать, однако, по всей вероятности, может быть только указано, почему это не произошло.

 

1.7.21 Рассматриваемые дополнительные источники информации определят случаи, в которых средства защиты должны были бы сработать, и установят, почему и как они сработали. Эти источники отражают успешные решения и, таким образом, путем объединения информации из источников расследования авиационных происшествий с информацией из этих альтернативных источников можно получить более полную картину конкретных проблем обеспечения безопасности полетов. Более того, поскольку сценарии, подобно описанному выше, случаются часто, эти альтернативные источники информации о безопасности полетов, если их задействовать, могут предоставить значительный объем постоянной информации в дополнение к информации более спорадического характера, получаемой в результате авиационных происшествий, тем самым позволяя получить более полное представление о потенциальных причинах сбоев в обеспечении безопасности полетов. Из этого второго сценария

можно сделать вывод, что дело обеспечения отказоустойчивости в сфере безопасности полетов заключается не в безошибочной эксплуатационной деятельности, а скорее в эффективном управлении эксплуатационными ошибками.