Как диагностировать влияние человеческого фактора на технические отказы

Большинство серьёзных аварий и отказов техники в литературе по надёжности связывают с человеческим фактором — по разным оценкам, доля таких событий достигает 60–80%. Но сама эта цифра мало что даёт инженеру или руководителю: важно не сколько отказов «виноват человек», а каким именно образом действия людей превратили техническую неисправность или штатную нештатную ситуацию в отказ. Диагностика влияния человеческого фактора — это отдельная аналитическая задача, и у неё есть свои методы, признаки и типичные ловушки.

Главный ориентир, с которого стоит начать: человеческий фактор редко бывает единственной причиной отказа. Обычно ошибка человека — это последнее звено цепочки, в которую входят организационные условия, состояние оборудования, качество инструкций и давление времени. Поэтому корректная диагностика отвечает не на вопрос «кто виноват», а на вопрос «почему система допустила, что эта ошибка привела к отказу».

Что понимать под человеческим фактором в технических отказах

Под человеческим фактором в контексте надёжности понимают любое действие или бездействие персонала, которое внесло вклад в возникновение, развитие или тяжесть отказа. Это не только грубые ошибки оператора у пульта. Спектр значительно шире:

• ошибки выполнения — нажат не тот переключатель, перепутаны клеммы, пропущен шаг процедуры;
• ошибки планирования и решений — неверно оценена ситуация, выбран неподходящий режим, проигнорированы признаки неисправности;
• нарушения — сознательное отклонение от регламента, чаще всего из-за того, что регламент неудобен, устарел или его выполнение физически невозможно в отведённое время;
• ошибки обслуживания и ремонта — неполная сборка, оставленный инструмент, неверный момент затяжки, пропущенная регулировка;
• организационные решения — недостаточное обучение, укомплектованность, неудачный интерфейс оборудования, отсутствие резервирования критических операций.

Различие между этими категориями принципиально, потому что у них разные механизмы и разные меры защиты. Ошибка выполнения лечится эргономикой и защитой от непреднамеренного действия, нарушение — пересмотром регламента, организационная причина — изменением системы управления. Если свести всё к «человеку надо внимательнее быть», диагностика не даст результата.

Признаки того, что в отказе есть вклад человека

Не каждый отказ требует развёрнутого анализа человеческого фактора. Есть наблюдаемые признаки, которые указывают на вероятный человеческий вклад и оправдывают углублённое расследование:

• отказ возник сразу после вмешательства в оборудование: ремонта, настройки, замены узла, обновления ПО;
• оборудование работало штатно длительное время, а отказ произошёл при нестандартной операции — пуске, останове, переходе на резерв, работе на пониженной нагрузке;
• защиты и блокировки сработали, но были отключены, заблокированы или обойдены вручную;
• в журналах и записях видны пропущенные шаги процедуры или операции, выполненные в неверной последовательности;
• аналогичные отказы уже случались на том же или однотипном оборудовании, и рекомендации по их результатам не были выполнены;
• сотрудник, участвовавший в событии, работал сверхурочно, в ночную смену или впервые выполнял эту операцию;
• персонал сообщает о «странном поведении» оборудования, которое до отказа списывали на ошибки наблюдения.

Последний признак особенно ценен: расхождения между тем, что показывают приборы, и тем, что видит оператор, часто указывают на неисправность датчика или интерфейса — то есть на ситуацию, в которой ошибка человека становится почти неизбежной.

Методы диагностики: от простого к глубокому

Анализ хронологии события

Первый и обязательный шаг — восстановление точной последовательности событий: когда и что происходило, какие сигналы и alarm-сообщения фиксировались, кто и какие действия выполнял. Источники — журналы систем управления, видеозаписи, записи переговоров, сменные журналы, показания приборов с архивированием. Хронология позволяет отделить причину от следствия: без неё анализ быстро превращается в обмен мнениями.

Практическая проверка качества хронологии: если в ней есть разрывы больше нескольких минут вокруг ключевых событий, или разные источники противоречат друг другу без объяснения, выводы делать рано.

Метод «пяти почему»

Простой инструмент для коротких цепочек причин. Каждому установленному факту задают вопрос «почему это произошло» и повторяют, пока не дойдут до управляемой причины. Метод хорош своей скоростью, но у него есть известная слабость: результат сильно зависит от того, с какого «почему» начали и кто отвечает. Чтобы снизить субъективность, цепочку стоит вести параллельно по нескольким линиям: оборудование, процедура, человек, организация.

Дерево причин и барьерный анализ

Для серьёзных событий применяют более формальные методы. Анализ дерева причин (аналог метода дерева отказов, применённый «назад» от события) требует, чтобы каждая ветка подтверждалась фактами, а не предположениями. Барьерный анализ отвечает на вопрос: какие защитные барьеры — технические, процедурные, организационные — должны были предотвратить отказ или снизить его последствия, почему каждый барьер не сработал и был ли он вообще предусмотрен.

Барьерный анализ особенно полезен тем, что переводит разговор из плоскости «виновен оператор» в плоскость «почему система не имела защиты от такого действия». Отключённая блокировка — это не только действие конкретного сотрудника, но и вопрос: почему её отключение было возможно без контроля и регистрации.

Классификация ошибок по механизму

На этапе, когда человеческий вклад установлен, полезно определить тип ошибки. В инженерной практике часто используют упрощённую трёхуровневую схему:

• промах (slip) — человек намеревался сделать правильно, но действие выполнилось неверно: промахнулся по клавише, перепутал похожие вентили;
• упущение (lapse) — шаг забыт из-за нагрузки на память: пропущена проверка после прерывания задачи;
• ошибка правила или знания (mistake) — человек действовал так, как считал правильным, но правило было неверным или знаний не хватило.

Различие определяет контрмеры. Промахи и упущения снижаются эргономикой, маркировкой, чек-листами и защитой от непреднамеренных действий — переобучение здесь почти бесполезно. Ошибки правил и знаний требуют обучения, тренировок и улучшения процедур.

Анализ условий выполнения работы

Отдельный блок диагностики — проверка, в каких условиях человек действовал. Типовые факторы, которые систематически повышают вероятность ошибок:

• дефицит времени и давление со стороны руководства или графика;
• работа в конце смены, ночью, сверхурочно;
• неоднозначные или устаревшие инструкции, расхождение документации с фактической конфигурацией оборудования;
• плохая различимость органов управления: похожие надписи, неудобное расположение, отсутствие обратной связи о результате действия;
• высокий уровень шума, плохая освещённость, стеснённый доступ;
• перегруженность интерфейса сигналами: оператор физически не успевает обработать все предупреждения;
• редко выполняемая операция, для которой нет тренировочной практики.

Если два-три таких фактора присутствовали одновременно, вероятность ошибки возрастает кратно, и искать «невнимательного сотрудника» — заведомо неверное направление.

Пошаговый порядок диагностики

Универсального регламента не существует, но устойчивая последовательность выглядит так:

1. Зафиксировать состояние. До изменений сохранить показания, журналы, положение органов управления, следы на оборудовании. Любое «попутное» вмешательство уничтожает доказательства.
2. Собрать факты. Хронология, записи систем, опросы участников. Опросы проводить раздельно и в формате «что вы видели и делали», а не «почему так вышло» — второй вопрос провоцирует защитные объяснения.
3. Отделить факты от версий. Составить два списка. Версии, не подтверждённые данными, помечать как гипотезы.
4. Проверить техническую версию. Убедиться, что отказ не объясняется целиком неисправностью оборудования, износом или внешним воздействием. Пренебрежение этим шагом — самая частая причина ложных обвинений персонала.
5. Построить причинные цепочки. По каждой линии: оборудование, действия людей, процедуры, организация. Использовать «пять почему» или дерево причин.
6. Классифицировать человеческий вклад. Тип ошибки, условия выполнения, состояние защитных барьеров.
7. Сформулировать корректирующие меры. Для каждой причины — конкретное действие, ответственного и срок. Мера «провести инструктаж» без изменения условий почти никогда не работает.
8. Проверить полноту. Задать контрольный вопрос: если бы этот сотрудник действовал идеально, отказ всё равно произошёл бы? Если да — анализ не закончен.

Типичные ошибки расследования

Диагностика человеческого фактора чаще всего проваливается не из-за нехватки методов, а из-за системных ошибок в самом подходе:

• Остановка на исполнителе. Расследование завершается выводом «оператор нарушил инструкцию», и корректирующая мера сводится к дисциплинарному взысканию. Через полгода событие повторяется с другим сотрудником — потому что условие, делавшее нарушение вероятным, не изменилось.
• Подгонка под ожидаемый вывод. Когда до начала анализа известно, «кто виноват», факты отбираются под эту версию. Защита — фиксация фактов до опросов и привлечение к анализу людей, не связанных с событием.
• Игнорирование организационного уровня. Не анализируется, почему персонал вынужден нарушать регламент: возможно, процедура физически невыполнима в отведённое время или документация не соответствует реальной схеме.
• Смешение фактов и мнений. В отчёт попадают формулировки «по-видимому», «скорее всего» без указания источника данных. Каждое утверждение в выводах должно опираться на конкретный факт или явно помечаться как гипотеза.
• Отсутствие проверки мер. Корректирующие действия приняты, но никто не проверил, выполнены ли они и снизили ли риск. Без обратной связи система анализа деградирует в формальность.

Как отличить ошибку человека от скрытой неисправности

Одна из самых сложных диагностических задач — разделить вклад человека и вклад техники. Полезные проверочные вопросы:

• Воспроизводится ли отказ при повторении той же последовательности действий другим сотрудником? Воспроизводимость указывает на процедуру или оборудование, а не на конкретного человека.
• Было ли действие физически выполнимо так, как требует инструкция? Проверяется на месте, а не по документации.
• Давала ли система человеку достаточно информации, чтобы понять ситуацию? Если индикация была неполной или противоречивой, «ошибка решения» часто является следствием плохого интерфейса.
• Существовали ли технические предпосылки отказа, независимые от действий людей: износ, коррозия, дрейф параметров, дефект комплектующих?
• Изменялось ли поведение оборудования до вмешательства человека? Если да, человеческий вклад скорее всего вторичен.

Условный пример: насосный агрегат вышел из строя через два дня после ремонта. Первая версия — ошибка сборки. Но разборка показывает разрушение подшипника с характерными следами усталости, накопленными за месяцы работы, а не за два дня. Здесь человеческий фактор присутствует в другом звене: возможно, диагностика перед ремонтом не выявила состояние подшипника, либо был пропущен контроль вибрации. Вывод «неправильно собрали» был бы ошибочным и не привёл бы к реальному снижению риска.

Сравнение подходов к анализу

Подход	Когда применять	Сильные стороны	Ограничения
Хронология + «пять почему»	Небольшие события, короткие цепочки причин	Быстро, не требует подготовки команды	Субъективность, легко остановиться на исполнителе
Дерево причин	Серьёзные отказы, аварийные события	Требует фактического подтверждения каждой ветки	Трудоёмко, нужна компетентная команда
Барьерный анализ	События, где защиты не сработали или были обойдены	Смещает фокус с человека на систему защиты	Не даёт полной картины без анализа причин отказа барьеров
Классификация ошибок	После установления человеческого вклада	Позволяет подобрать адекватные контрмеры	Требует понимания механизмов ошибок, без подготовки даёт поверхностный результат

На практике методы комбинируют: хронология и «пять почему» как первый проход, затем барьерный анализ и классификация ошибок для событий с подтверждённым человеческим вкладом.

Что делать с результатами диагностики

Анализ имеет ценность только если приводит к изменениям, снижающим вероятность повторения. Эффективность мер убывает в следующем порядке: от наиболее устойчивых к наименее устойчивым:

• устранение возможности ошибки конструктивно — защита от непреднамеренного действия, блокировки, несовместимые разъёмы, взаимные блокировки режимов;
• снижение зависимости от памяти и внимания — чек-листы, принудительные последовательности, контрольные точки с подтверждением;
• улучшение информации — понятная индикация, различимая маркировка, актуальная документация, соответствующая фактической конфигурации;
• организационные изменения — реалистичные регламенты, планирование времени на нестандартные операции, обучение и тренировки на редких сценариях;
• напоминания и инструктажи — самая слабая мера, дающая кратковременный эффект.

Если итоговый список мер состоит только из инструктажей и «усилить контроль», это признак того, что диагностика остановилась на поверхности.

Практические рекомендации

• Внедрите правило «сначала факты, потом версии»: журналы и состояние оборудования фиксируются до опросов и до любых вмешательств.
• Проводите опросы участников в восстановительном, а не обвинительном формате — качество информации о событии напрямую зависит от ощущения безопасности у сотрудника.
• Для каждого расследования включайте в команду минимум одного человека, не связанного с подразделением, где произошло событие.
• Ведите базу событий и периодически ищите повторяющиеся паттерны: одинаковые типы ошибок на разном оборудовании указывают на системную причину.
• Проверяйте выполнение корректирующих мер через согласованный срок и фиксируйте, изменилось ли что-то в наблюдаемых показателях: число отклонений, срабатываний защит, замечаний при аудитах.
• Отдельно анализируйте «почти-события» — ситуации, когда ошибка произошла, но отказ не случился благодаря удаче или последнему барьеру. Они дают ту же информацию, что и реальные отказы, но дешевле.

Следующий практический шаг, если вы выстраиваете такую диагностику с нуля: выберите один недавний отказ с предполагаемым человеческим вкладом и проведите по нему полный разбор по описанной последовательности — от хронологии до проверки мер. Один сквозной пример даст команде больше, чем формальное утверждение методики.

Частые вопросы

Можно ли доверять статистике «80% отказов из-за человека»?

Такие оценки сильно зависят от методики подсчёта и отрасли. Часто к человеческому фактору относят и случаи, когда ошибка стала возможной из-за плохого дизайна оборудования или невыполнимого регламента. Полезнее относиться к цифре как к индикатору масштаба проблемы, а не как к точному измерению вины персонала.

Наказывать ли сотрудника по результатам анализа?

Дисциплинарные меры уместны только для сознательных и опасных нарушений. Если наказание следует за непреднамеренную ошибку, персонал начинает скрывать инциденты и «почти-события», и система теряет основной источник информации о рисках. Международная практика управления безопасностью исходит из принципа справедливой культуры: наказуемо умышленное нарушение, непреднамеренная ошибка — повод менять систему.

Как убедиться, что анализ не подгоняется под нужный вывод?

Фиксируйте факты до опросов, привлекайте внешних по отношению к подразделению участников, требуйте фактического подтверждения для каждого звена причинной цепочки и применяйте контрольный вопрос: «произошёл бы отказ при безошибочных действиях персонала?».

Нужна ли специальная методология для мелких отказов?

Полноценное расследование для каждого мелкого события избыточно. Разумная практика — короткий разбор по хронологии и «пяти почему» с обязательной фиксацией в базе данных, а углублённые методы — для повторяющихся событий, серьёзных последствий и срабатывания последних барьеров защиты.

Материал носит информационный характер и описывает общие подходы к анализу технических отказов. Конкретные выводы по событию зависят от отрасли, оборудования и обстоятельств; при существенных последствиях расследование следует поручать компетентным специалистам с учётом применимых нормативных требований.