Дерево причин ошибок оператора при аварийной ситуации: как построить и использовать

Когда на производстве происходит авария, вопрос «почему оператор ошибся» почти всегда слишком упрощён. Ошибка — это конечное звено цепочки, в которую входят состояние оборудования, качество инструкций, обучение, нагрузка, освещение, организация смены и десятки других факторов. Дерево причин ошибок оператора — это инструмент, который позволяет разложить аварию на логическую структуру событий и условий и найти те точки, где вмешательство действительно предотвратит повторение. В этой статье разобрано, как такое дерево строится, какие методы для этого применяются, какие ошибки чаще всего допускают при анализе и как превратить результат в конкретные меры защиты.

Главный принцип, с которого стоит начать: дерево причин строится не для того, чтобы найти виновного, а для того, чтобы показать систему, в которой ошибка стала возможной. Как только анализ превращается в поиск персональной вины, сотрудники перестают сообщать о проблемах, а рекомендации сводятся к «быть внимательнее» — то есть к мерам, которые не работают.

Что такое дерево причин ошибок оператора

Дерево причин — это графическая модель, в которой нежелательное исходное событие (например, «оператор не остановил реактор при превышении давления») раскладывается на комбинации более простых событий и условий, каждое из которых могло привести или способствовало приведению к этому исходу. Логика соединения элементов задаётся логическими операторами: событие происходит, если произошло хотя бы одно из нижестоящих событий («ИЛИ»), либо если произошли все необходимые одновременно («И»). Такой подход пришёл из анализа надёжности техники, где он известен как метод дерева отказов, но применительно к человеческому фактору он требует учёта специфики поведения человека.

Ключевое отличие человеческого звена от технического: ошибка оператора почти никогда не бывает случайным сбоем исправного человека. Она обычно закономерна в конкретных условиях. Один и тот же человек в другой смене, с другим напарником, при другом интерфейсе панели или после другого выходного дня, скорее всего, действовал бы иначе. Поэтому дерево причин для оператора включает не только события, но и условия выполнения задачи: доступность информации, время на реакцию, понятность индикации, уровень подготовки, физическое и психологическое состояние.

Когда такой анализ нужен

Построение дерева причин оправдано не в каждой ситуации. Разумные поводы:

• расследование аварии или серьёзного инцидента, где действия персонала стали одним из ключевых факторов;
• проактивная оценка риска до ввода объекта в эксплуатацию или после существенного изменения технологии;
• повторяющиеся однотипные ошибки разных сотрудников — это признак системной проблемы, а не личных качеств;
• обоснование инвестиций в защиту: дерево наглядно показывает, какие барьеры отсутствовали или не сработали;
• пересмотр регламентов, тренировок и эргономики рабочего места по результатам расследования.

Если же речь идёт о мелком единичном отклонении без последствий, полноценное дерево может оказаться избыточным — достаточно короткого разбора по чек-листу.

Классификация ошибок оператора как основа дерева

Прежде чем рисовать ветви, нужно понять, какой именно тип ошибки произошёл, потому что у разных типов разные причины и разные защитные меры. На практике чаще всего используют адаптированные классификации, восходящие к работам Джеймса Ризона и модели SRK (навыковое — правиловое — знаниевое поведение).

Тип ошибки	Суть	Характерный пример	Что обычно помогает
Промах (slip)	Намерение правильное, исполнение сбойное	Нажал соседнюю кнопку на однотипной панели	Эргономика, физическое разнесение органов управления, подтверждение действий
Описка (lapse)	Пропущен шаг из-за сбоя памяти	Забыл вернуть задвижку в исходное положение после обслуживания	Чек-листы, блокировки, контрольные точки
Ошибка по правилу	Правильное намерение, неверное правило или его применение	Применил процедуру для другого режима работы	Ясность инструкций, разграничение режимов, обучение границам применимости
Ошибка по знанию	Ситуация незнакома, нет готового правила	Неверная диагностика нештатного сочетания сигналов	Тренажёрная подготовка, поддержка эксперта, симуляторы аварийных сценариев
Нарушение	Сознательное отступление от правила	Отключил блокировку, чтобы быстрее завершить операцию	Анализ причин нарушений: неудобство процедуры, давление сроков, культура безопасности

Эта таблица важна практически: промах лечится конструкцией панели, а нарушение — пересмотром самой процедуры и организационной культуры. Если перепутать тип ошибки, меры окажутся направлены не туда.

Методы, которые используются при построении

Единого обязательного стандарта нет, выбор зависит от отрасли, глубины анализа и доступных данных. Ниже перечислены подходы, которые применяются чаще всего.

• Дерево отказов (FTA) — классический логический метод: от вершины «ошибка привела к аварии» вниз через операторы «И» и «ИЛИ». Хорошо формализуется, позволяет считать вероятности, но требует осторожности с человеческими элементами.
• Дерево событий (ETA) — разворачивает сценарий вперёд во времени: от начального события через срабатывание или несрабатывание барьеров. Полезно, чтобы увидеть, на каких рубежах ещё можно было остановить развитие аварии.
• THERP — методика количественной оценки вероятности человеческой ошибки с использованием справочных таблиц и поправок на условия. Применима, когда нужны числа для сравнения вариантов, но исходные данные всегда следует проверять на соответствие вашей ситуации.
• CREAM — метод, ориентированный на контекст выполнения: анализируются общие условия работы (организация, обучение, эргономика, рабочая среда), которые определяют вероятность контроля или ошибки.
• ATHEANA — подход, который специально ищет «контексты ошибки»: сочетания условий, при которых ошибка становится вероятной и выглядит для оператора даже рациональной.
• Анализ барьеров — перечисление всех защитных слоёв (автоматика, процедуры, второй человек, сигнализация) и оценка того, почему каждый не сработал.

Для большинства производственных расследований разумная связка выглядит так: дерево событий для хронологии, дерево отказов для логики причин, элементы CREAM или ATHEANA для объяснения человеческого звена. Количественные оценки вероятностей имеет смысл добавлять только тогда, когда они реально влияют на решение — например, при обосновании приоритета мер.

Пошаговый порядок построения дерева

Ниже приведён порядок, который подходит и для расследования свершившейся аварии, и для проактивного анализа сценария. Шаги 1–3 выполняются до всякой графики: дерево, построенное без собранных фактов, отражает мнения участников, а не реальность.

1. Зафиксируйте вершину дерева. Сформулируйте исходное событие точно и наблюдаемо: не «халатность оператора», а «оператор за 4 минуты не выполнил действие X при условии Y». Расплывчатая вершина делает всё дальнейшее бессмысленным.
2. Соберите фактическую базу. Журналы и тренды АСУ ТП, записи видеонаблюдения, показания приборов, регламенты, результаты тренажёров, интервью с персоналом. Интервью проводите в формате «что вы видели и что делали», а не «кто виноват».
3. Восстановите хронологию. Постройте временную линию от первых отклонений до финала. Часто уже на этом этапе видно, что «ошибка оператора» была лишь завершающим аккордом длинной цепочки.
4. Определите тип ошибки. Используйте классификацию из раздела выше: промах, описка, ошибка по правилу или знанию, нарушение. От этого зависит структура нижних уровней дерева.
5. Разложите причины на уровни. Для каждого события спросите: что непосредственно к нему привело? Какие условия сделали это возможным? Продолжайте, пока не дойдёте до факторов, которыми можно управлять: оборудование, документация, обучение, организация, среда.
6. Задайте логические связи. Определите, где достаточно одного условия («ИЛИ»), а где требуется совпадение нескольких («И»). Оператор «И» особенно ценен: он показывает, сколько независимых барьеров должно отказать одновременно.
7. Проверьте полноту. Пройдите каждую ветвь и убедитесь, что она подтверждается фактами, а не предположениями. Неподтверждённые ветви помечайте как гипотезы.
8. Выделите минимальные сечения. Найдите минимальные наборы событий, каждый из которых достаточен для возникновения ошибки. Это и есть кандидаты на защитные меры.
9. Разработайте и оцените меры. Для каждого значимого сечения определите, каким барьером его закрыть, кто отвечает и как проверить эффективность.

Какие факторы включать в человеческое звено

Наибольшая ошибка при анализе — останавливаться на уровне «невнимательность». Условия, которые стоит рассматривать как потенциальные причины, можно сгруппировать так:

• Информационные: сигнал был неотчётливым, противоречил другим данным, появился слишком поздно; индикация перегружена; тревоги сыпались лавиной и маскировали главную.
• Процедурные: инструкция не соответствовала фактической конфигурации оборудования, была написана непонятно, требовала нереалистичной последовательности действий.
• Подготовительные: навык не отработан на тренажёре, обучение было формальным, сотрудник недавно переведён на участок.
• Организационные: нехватка времени, давление плана, неясное распределение ответственности, отсутствие дублёра на критических операциях.
• Средовые и физиологические: шум, освещение, температура, ночная смена, длительность рабочего периода, монотонность ожидания перед внезапным событием.
• Эргономические: однотипные органы управления рядом друг с другом, неудачное расположение индикаторов, необходимость удерживать информацию в памяти.

Полезный проверочный вопрос для каждой ветви: «смог бы опытный, мотивированный, отдохнувший специалист ошибиться так же в этих условиях?» Если да — причина лежит в условиях, а не в человеке.

Типичные ошибки при построении дерева

Даже формально правильное дерево может оказаться бесполезным, если допущены следующие просчёты.

• Остановка на первом уровне. Запись «оператор нажал не ту кнопку» без вопроса, почему кнопка оказалась рядом с похожей и почему не было запроса подтверждения, оставляет причину неустранённой.
• Подмена причин выводами о личности. Формулировки вроде «недостаточно ответственен» нельзя ни проверить, ни исправить. Заменяйте их наблюдаемыми фактами: «не прошёл отработку сценария X», «инструкция не содержала шага Y».
• Игнорирование организационного уровня. Если дерево заканчивается на цеховом уровне и не поднимается к планированию, бюджетам и культуре, самые действенные рычаги остаются вне поля зрения.
• Смешение фактов и гипотез. Все неподтверждённые элементы должны быть визуально выделены, иначе рекомендации будут опираться на догадки.
• Избыточная детализация. Дерево на сотни узлов, которое никто не способен прочитать целиком, хуже компактного варианта, охватывающего значимые ветви.
• Отсутствие связи с мерами. Дерево — не самоцель. Каждый значимый узел должен получить либо защитную меру, либо явное решение «принимаем риск с обоснованием».
• Однократное использование. Дерево, составленное после аварии и забытое в архиве, не защищает. Его стоит возвращать при изменениях технологии и при новых инцидентах.

От дерева к защитным мерам

Результат анализа превращается в пользу только через конкретные изменения. Приоритет обычно выстраивают по принципу иерархии средств управления: сначала устранение возможности ошибки конструктивно, затем автоматические барьеры, затем административные меры и лишь в конце — зависящие от внимания человека решения.

1. Устранение или замена источника. Если ошибка возможна из-за неоднозначной конфигурации, измените саму конфигурацию: разнесите органы управления, исключите опасный режим конструктивно.
2. Автоматизация и блокировки. Технические защиты, требующие осознанного обхода, надёжнее любых напоминаний. Обход должен фиксироваться и анализироваться.
3. Улучшение информации. Приоритизация тревог, понятная индикация состояния, отображение того, что важно для решения, а не всего подряд.
4. Процедуры и чек-листы. Короткие, актуальные, проверенные на практике документы вместо многотомников, которыми никто не пользуется в реальном времени.
5. Подготовка. Отработка именно тех сценариев, которые выявлены деревом, на тренажёрах и учениях, включая редкие и сложные сочетания.
6. Организационные меры. Резерв времени на операции, правило «четырёх глаз» для критических действий, нормализация сообщения об ошибках без наказания.

После внедрения мер важно проверить их работоспособность: изменилась ли частота однотипных отклонений, проходят ли персонал учебные сценарии, фиксируются ли обходы блокировок. Мера, которая существует только на бумаге, в дереве причин следующей аварии появится как несработавший барьер.

Условные примеры применения

Пример 1. Ошибка по правилу. Оператор котельной применил процедуру пуска, предназначенную для холодного состояния, к агрегату в горячем резерве. Дерево показало совпадение условий: обе процедуры начинались одинаковыми шагами, различие было спрятано в середине документа, а маркировка режима на щите не читалась из рабочего места. Меры: единая точка входа в процедуры с явным выбором режима, маркировка состояния оборудования прямо на панели, короткая памятка-разветвитель.

Пример 2. Описка при обслуживании. После ремонта слесарь не вернул арматуру в рабочее положение; следующий пуск прошёл с отклонением. Дерево выявило отсутствие формализованной процедуры возврата системы в эксплуатацию и отсутствие независимой проверки. Меры: чек-лист возврата с подписями исполнителя и контролёра, физическая маркировка положения арматуры до окончания работ.

Оба примера условны, но иллюстрируют общий результат: корректно построенное дерево почти всегда выводит на меры, которые дешевле и надёжнее, чем «дополнительный инструктаж».

Как оценить качество самого анализа

Готовое дерево полезно проверить по нескольким признакам:

• вершина сформулирована как наблюдаемое событие, а не как оценка человека;
• каждая ветвь опирается на факты либо явно помечена как гипотеза;
• анализ поднимается минимум до организационного уровня, а не заканчивается на исполнителе;
• выделены минимальные сечения и для каждого предложена мера или обоснованное принятие риска;
• персонал, участвовавший в событиях, ознакомлен с выводами и не видит в них карательной составляющей;
• у мер назначены ответственные, сроки и критерии проверки эффективности.

Что делать дальше

Если вы приступаете к такому анализу впервые, разумная последовательность такая: выберите один реальный инцидент или один критичный сценарий, соберите фактическую базу, восстановите хронологию, определите тип ошибки и постройте компактное дерево на 15–30 узлов. Не стремитесь сразу к количественным вероятностям — сначала добейтесь того, чтобы логика причин была подтверждена фактами и понятна участникам. Затем выделите два-три минимальных сечения с наибольшим потенциалом защиты и доведите меры до внедрения с назначенной проверкой результата. Полученный шаблон дальше можно тиражировать на другие участки и включить в регулярную практику анализа инцидентов.

Материал носит информационный характер и описывает общие подходы к анализу человеческого фактора. Конкретные требования к расследованию аварий, применяемые методики и нормативные документы зависят от отрасли, юрисдикции и внутренних стандартов организации; при работе с реальными происшествиями сверяйтесь с действующими регламентами и привлекайте квалифицированных специалистов по промышленной безопасности.