SOL Sicherheit durch Organisationales Lernen Ein Verfahren zur systematischen Analyse von Ereignissen

Transkript

1 Ein Verfahren zur systematischen Analyse von Ereignissen Rainer Miller 1. Lernen aus Betriebserfahrung und Ereignisanalyse Durch die ständige Verbesserung des technischen Sicherheitsstandards von Anlagen hat sich der relative Anteil des menschlichen Beitrags zu sicherheitsrelevanten Ereignissen in den letzten Jahrzehnten kontinuierlich erhöht. Dem Bereich der human factors kommt damit bei der Auslösung von sicherheitsrelevanten Ereignissen (Störungen, Störfälle, Unfälle etc.) eine immer größere Bedeutung zu. Lernen aus Betriebserfahrung ist immer noch eine der wichtigsten Methoden zur Verbesserung und Erhöhung der Sicherheit von technischen Anlagen. Dieses Lernen ist oft ein Lernen aus unvorhergesehenen Vorgängen, Störungen oder Störfällen ( Ereignissen ). Voraussetzung für das Lernen aus Betriebserfahrung ist eine systematische Analyse dieser Ereignisse, um Verbesserungsmaßnahmen zielorientiert umsetzen zu können. Ereignisanalyse ist eine Methodik, um ein Ereignis zu rekonstruieren und diejenigen Faktoren zu identifizieren, die zur Entstehung des Ereignisses beigetragen haben. Ergebnis der Analyse ist die sozial akzeptierte Rekonstruktion des Ereignisses. In diesem Verständnis ist das wesentliche Ziel der Analyse von Ereignissen das Organisationale Lernen, d.h. die Verbesserung der Fähigkeit einer Organisation (z. B. eines Kernkraftwerkes) die Sicherheit und Zuverlässigkeit stetig zu verbessern. Im Folgenden wird das Verfahren zur Ereignisanalyse SOL Sicherheit durch Organisationales Lernen in seinen theoretischen Grundlagen, seiner Vorgehensweise und Verbreitung vorgestellt. 2. Human factors und Organisationale Faktoren In den meisten Industrien mit hohem Gefährdungspotentials werden Ereignisanalysen routinemäßig durchgeführt. Die dabei verwendeten Verfahren sind vornehmlich pragmatisch orientiert und unterscheiden sich meist von Anlage zu Anlage, was die Vergleichbarkeit durchgeführter Analysen schwierig oder gar unmöglich macht. Weiterhin sind bekannte Verfahren für die Analyse von Ereignissen oft auf die Erfassung von Problemen an der Mensch-Maschine-Schnittstelle abgestimmt - eine systematische Erfassung von Bereichen, die über die Schnittstelle hinausgehen ist nicht vorgesehen [z. B. Eisgruber, 1997; Bishop & LaRhette, 1988]. Der Bereich der human factors im System Kernkraftwerk umfasst aber mehr als die Mensch-Maschine-Schnittstelle. Insbesondere organisationale Faktoren als Mitverursacher von Ereignissen treten zunehmend in den Fokus der Sicherheitswissenschaft [Reason, 1997] MTO Safety GmbH

2 Ein Verfahren zur systematischen Analyse von Ereignissen Seite 2 Es war deshalb die Forderung, ein Analyseverfahren zu entwickeln und industrieweit anzuwenden, das hinsichtlich folgender Gütekriterien optimiert ist: Organisationales Lernen als Zielsetzung des Verfahrens, Minimierung von Beurteilerverzerrungen, Erprobung und Validierung des Verfahrens, Ökonomie des Verfahrens, Ganzheitliche Betrachtung von Ereignissen. An der Forschungsstelle Systemsicherheit der Technischen Universität Berlin wurde 1992 damit begonnen, das Verfahren SOL Sicherheit durch Organisationales Lernen zur systematischen Analyse von Ereignissen zu entwickeln und zu erproben. [Becker et al., 199, Wilpert et al., 1997]. Das Verfahren wurde mit dem Ziel entwickelt, das organisationale Lernen effektiv zu unterstützen und die Berücksichtigung von human factors und organisationalen Faktoren in der Analyse von Ereignissen durch geschulte Anwender vor Ort zu ermöglichen. Die Weiterentwicklung von SOL und den kommerziellen Vertrieb übernahm seit 2000 die MTO Mensch-Technik-Organisation GmbH & Co. Consulting KG bzw. seit 2011 die MTO Safety GmbH, die von Mitgliedern der Forschungsstelle Systemsicherheit der Technischen Universität Berlin gegründet wurde. Die umfassendste theoretische Grundlage von SOL bildet der in den 1940ger Jahren entwickelte offene sozio-technische Systemansatz. Dieser postuliert, dass jede Organisation aus zwei Subsystemen besteht: einem technischen (die hardware) und einem sozialen Subsystem (die Rollenverteilung, Verfahrensweisen, Normen und Werte) [Emery & Trist, 199]. Offen bedeutet im Sinne der allgemeinen Systemtheorie, dass jedes System in lebendigem Austausch mit seiner Umwelt steht. Zum System werden alle Teile gerechnet, die einen Beitrag zum Systemziel (etwa Sicherheit, Produktivität) leisten. SOL baut also auf einer umfassenden theoretischen Grundlage auf, die sich in mehreren tausend Untersuchungen bewährt hat [van Eijnatten, 1990]. Ein wichtiger Einflussfaktor ist die Technik selbst, z.b. in Form der ergonomischen Gestaltung der Arbeitsmittel. Die Leistung des Menschen beim Umgang mit der Technik wird u.a. durch psychologische und physiologische Gesetzmäßigkeiten (z.b. Grenzen der Informationsverarbeitung) beeinflusst; diese werden in der Kategorie Individuum erfasst. Personen mit einer gemeinsamen Arbeitsaufgabe bilden eine Gruppe ; in dieser Kategorie werden gruppenspezifische Einflussfaktoren berücksichtigt, wie z.b. Gruppendruck und soziale Arbeitsbedingungen. Einflüsse von Managemententscheidungen sowie Regeln und vorhandene Strukturen (z.b. Hierarchie) sind in der Kategorie Organisation zusammengefasst. Die Kategorie Organi- Technik Individuum Gruppe Organisation Organisationsumwelt Um für die Analyse von Ereignissen eine detailliertere Betrachtungsweise zu ermöglichen, wurde das soziale Subsystem weiter ausdifferenziert. Dies ermöglicht, die relevanten Interaktionen detailgenauer untersuchen zu können, einschließlich organisationaler und extraorganisationaler Faktoren [Wilpert, 2000]. Aus psychologischer Sicht scheint folgende Unterteilung des sozialen Subsystems sinnvoll: Individuum, Gruppe, Organisation und Organisationsumwelt. Für das System Kernkraftwerk lassen sich also fünf Subsysteme identifizieren, die einen Beitrag zur Erreichung des Ziels "Sicherheit" leisten. Abbildung 1: Die human factors-einflussbereiche

3 Ein Verfahren zur systematischen Analyse von Ereignissen Seite 3 sationsumwelt umfasst alles, was außerhalb der Organisation einen Beitrag zu der Zielgröße "Sicherheit" leistet wie z.b. Fremdfirmen, die in der Anlage tätig sind, aber auch den Beitrag von Gutachtern und Aufsichtsbehörden. Konsequent werden human factors daher auch verstanden als Faktoren aus der Umwelt, der Organisation und der Arbeit wie auch menschliche oder individuelle Charakteristika, die einen sicherheits- und gesundheitsrelevanten Einfluss auf das Arbeitsverhalten haben. 3. Ereignisentstehung Nach gründlichen Überprüfungen verschiedener methodischer Ansätze zur Ereignisanalyse (ASSET, HPES, MORT, STEP, TOR siehe Fahlbruch & Wilpert, 1997] wurde entschieden, sich an den theoretischen Ansatz der Ereignisentstehung von Leplat [1982], Rasmussen [1991] und Reason [1990] anzulehnen. Das hier vertretene systemische Verständnis der Ereignisentstehung begreift Ereignisse als Ergebnis einer Kette von Einzelereignissen und des komplexen Zusammenwirkens vielfältiger Faktoren, die aus unterschiedlichen Systembereichen stammen können. In sicherheitskritischen Systemen die nach dem "defence-in-depth" Prinzip konstruiert sind, wird Sicherheit durch die Einrichtung von gestaffelten Sicherheitsbarrieren sichergestellt, wobei unter Barrieren alle Arten technischer, menschlicher und organisatorischer Sicherheitsvorkehrungen zu verstehen sind. Ereignisse entstehen dann nur durch das unvorhergesehene und zufällige Zusammenspiel von verschiedenen Schwachstellen in diesen Barrieren. In Abb. 2 ist die Ereignisentstehung in Anlehnung an Reason, 1990 anschaulich dargestellt. Indirekt beitragende Faktoren Barrieren Direkt beitragender Faktor Ereignis Nur das gleichzeitige Auftreten von Schwachstellen in mehreren Barrieren kann ein Ereignis ermöglichen. Diese Schwachstellen können zum einen mit dem Ereignis zeitlich und räumlich direkt in Verbindung gebracht werden, es sind somit "direkt beitragende Faktoren". Es gibt aber auch Schwachstellen, welche weit vom Ereignis entfernt sind. Abb. 2: Modell der Ereignisentstehung Diese "indirekt beitragenden Faktoren", die oft im Bereich der organisationalen Faktoren liegen, sind in einer Analyse eines Ereignisses nur schwer zu identifizieren. Dazu ein Beispiel: In der Anlage kommt es bei der Betätigung eines Ventils zum plötzlichen Versagen dieses Ventils. Dieser Ausfall einer technischen Komponente ist ein "direkt beitragender Faktor". Ein "indirekt beitragender Faktor" wäre beispielsweise der Umstand, dass Ventile dieser Bauart schon häufiger versagten - ohne dass dies zu Maßnahmen (z.b. Austausch, verbesserte Instandhaltung) geführt hätte. Die beschriebenen direkt und indirekt beitragenden Faktoren können sowohl aus den Bereichen Technik, Individuum, Gruppe, Organisation als auch Organisationsumwelt stammen.

4 Ein Verfahren zur systematischen Analyse von Ereignissen Seite 4 4. Ablauf einer Ereignisanalyse mit SOL Von der Forschungsstelle Systemsicherheit der Technischen Universität Berlin wurde das Verfahren zur Ereignisanalyse "SOL - Sicherheit durch Organisationales Lernen" entwickelt. SOL wird durch die MTO Mensch-Technik-Organisation weiterentwickelt und vermarktet. Ereignis Situationsbeschreibung Identifikation beitragender Faktoren Gewichtung von Faktoren Maßnahmen Dokumentation/Berichtssystem SOL ist so gestaltet, dass es für die Betriebspraktiker in der Anlage einfach anzuwenden ist, und die oben beschriebenen Verzerrungen und Probleme bei der Ereignisanalyse berücksichtigt werden.. Der Ablauf einer Ereignisanalyse mit SOL ist in fünf Arbeitsschritte gegliedert (siehe Abb. 3): Situationsbeschreibung, Identifikation beitragender Faktoren, Gewichtung von Faktoren, Festlegung von Maßnahmen und Berichtslegung, wobei hier nur auf die ersten beiden Schritte näher eingegangen werden soll. Abb. 3: Ablauf einer Ereignisanalyse Situationsbeschreibung Bei SOL werden im ersten Schritt der Analyse, der "Situationsbeschreibung", möglichst viele Informationen zum Ereignishergang gesammelt. In dieser Stufe der Analyse werden nur objektiv erfassbare Daten gesammelt - Fragen nach der Ursache einer Handlung werden an dieser Stelle nicht gestellt. Die gesammelten Informationen werden anschließend in Ereignisbausteine, d.h. einzelne Handlungen von Akteuren, die sowohl handelnde Personen als auch technische Komponenten sein können, zerlegt. Diese Ereignisbausteine werden nach Zeit und Akteuren geordnet. Es entsteht so eine grafische Darstellung der Ereignisbausteine entlang der Zeitachse. Der Anwender wird durch Verweise von direkten auf indirekte Faktoren durch die Analyse geführt, so dass ein vorzeitiger Abbruch weitgehend vermieden werden kann. Direkt beitragender Faktor E. Abweichung von Regeln "Gab es Personalhandlungen, bei denen von Regeln abgewichen wurde?" Beispiele sind: Regelwidriges Übernehmen von Arbeitsweisen aus anderen Situationen Arbeitsausführung, die von den vorgeschriebenen Regeln zumindest teilweise abweicht Unzulässiges Auslassen oder Zusammenfassen von Arbeitsschritten Nichteinhalten von Sicherheitsbestimmungen Das Umgehen von Kontrollprinzipien ("4-Augen-Prinzip")... Verweise Indirekt beitragender Faktor 8. Kontrolle "Wurde die Arbeitsausführung unzureichend kontrolliert?" Beispiele sind : Fehlendes "4-Augen-Prinzip" Fehlender Schutz gegen Verletzungen des "4-Augen-Prinzips" Fehlende Überprüfung der Arbeiten durch Vorgesetzte oder Mitarbeiter Unangemessene Aufsicht durch Vorgesetzten Fehlende Eigenkontrolle der Arbeitsergebnisse und Teilergebnisse Ausschließliche Kontrolle des Arbeitsergebnisses, geringe Bewertung der sicheren Ausführung... Abb. Identifikationshilfe

5 Ein Verfahren zur systematischen Analyse von Ereignissen Seite Die als relevant identifizierten beitragenden Faktoren werden den Ereignisbausteinen der Situationsbeschreibung zugeordnet. Das entstehende Zeit- Akteurs-Diagramm ermöglicht einen einfachen Überblick über das Ereignis und erleichtert die anschließende Dokumentation der Ergebnisse der Analyse. Akteure Akteur 1 Handlung A Akteur 3 Handlung B 2 1 Akteur 3 Handlung D 3 Akteur 2 Handlung C 4 4 Dir. Faktor B Akteur 1 Handlung E Dir. Faktor F Indir. Faktor 2 Akteur 2 Handlung F Indir. Faktor 18 Indir. Faktor 19 Zeit Abb. 7 Zeit-Akteur-Diagramm Identifikation beitragender Faktoren In der nächsten Stufe der Analyse, der "Identifikation beitragender Faktoren", werden die Ursachen des Ereignisses ermittelt. Die Identifikation beitragender Faktoren wird durch eine "Identifikationshilfe" unterstützt, einer Sammlung von 20 möglichen Problembereichen als direkt und indirekt beitragenden Faktoren, die durch zahlreiche Beispiele erläutert werden. Information Kommunikation Arbeitsbedingungen Arbeitsverhalten Abweichung von Regeln Technische Komponenten Arbeitsplanung Zuständigkeit Kontrolle Gruppeneinflüsse Regeln, Prozeduren und Arbeitsunterlagen Qualifikation Trainingsangebot Organisation und Management Erfahrungsrückfluss Sicherheitsprinzipien Qualitätssicherung und Qualitätsmanagement Instandhaltung Gutachter und Behörden Einwirkung von außen Beitragende Faktoren in SOL. Rahmenbedingungen Zur Minimierung von Problemen aus dem Bereich der Gesetzmäßigkeiten menschlichen Denkens (kognitive Probleme bei der Analyse siehe Fahlbruch, 2000), sollte eine SOL Analyse grundsätzlich in einem Team durchgeführt werden. Durch eine geeignete Zusammenstellung des Teams kann auch sichergestellt werden, dass unterschiedliches Fachwissen (technisches Wissen, human factors-expertise) in die Analyse einfließt. Um eine effektive und umfassende Analyse von Ereignissen sicherzustellen, ist eine eingehende Schulung im Verfahren SOL hilfreich und notwendig. MTO Safety hat für die Anwender von Ereignisanalyse-Verfahren ein Ausbildungsprogramm für Ereignisanalytiker entwickelt, welches

6 Ein Verfahren zur systematischen Analyse von Ereignissen Seite aus folgenden aufeinander aufbauenden Komponenten besteht: Grundlagenseminar human factors-verständnis, Aufbauseminar Ursachensuche, Ergänzungsseminar Interviewtechniken und Praxisworkshop Ereignisanalyse. Dieses Ausbildungsprogramm wird augenblicklich für die deutschen und schweizerischen Kernkraftwerke durchgeführt. Die umfassende Analyse von Ereignissen innerhalb einer Organisation ist von vielfältigen potentiellen Widerständen und Lernbarrieren bedroht [Miller, Wilpert & Fahlbruch, 1999]. Dies macht deutlich, daß ein eindeutiges und glaubhaftes Bekenntnis aller Beteiligten und Verantwortlichen bestehen muß, die Ereignisanalyse nicht zur Schuldigensuche einzusetzen, sondern ausschließlich zur Aufdeckung von Verbesserungsmöglichkeiten in der Anlage zu nutzen. Um organisationales Lernen zu gewährleisten ist ein Vertrauen aller Beteiligten notwendig, dass die Ergebnisse der Analyse nicht zu negativen Sanktionen führen [Wilpert et al., 1999].. Anwendung von SOL Das Verfahren SOL wurde umfangreichen Erprobungen im Labor und in der Praxis durch verschiedene Zielgruppen unterzogen. In einer Reihe von psychologischen Untersuchungen an der Technischen Universität Berlin konnte dabei nachgewiesen werden, dass SOL den Anwender effektiv bei der Durchführung einer Analyse unterstützt und dass typische Fehler bei der Durchführung von Ereignisanalysen durch SOL verhindert werden [Fahlbruch, 2000]. SOL ist seit 2001 das Standard-Verfahren für die Ereignisanalyse in den schweizerischen Kernkraftwerken. Seit dem Jahr 2003 ist SOL als Standard-Methode für die vertiefende Ereignisanalyse in den deutschen Kernkraftwerken festgelegt. Im Namen des VGB Powertech wurde folgende positive Einschätzung von SOL abgegeben: Die von Ihnen entwickelte SOL-Methodik wird seit 2003 in unseren Kernkraftwerken zur Analyse von komplexen Ereignissen eingesetzt. Durch die Anwendung der SOL-Methodik haben wir wertvolle Erkenntnisse gewonnen, die insbesondere zu Verbesserungen in organisatorischen und administrativen Bereichen geführt haben. Die SOL-Methodik hat sich damit in unseren Kernkraftwerken zu einem wichtigen Instrument der Optimierung betriebsinterner Prozesse entwickelt. [Pamme, 200] Bei einer Beurteilung von SOL durch die Anwender zeigte sich, dass die Experten einhellig der Meinung sind, dass SOL einfach handzuhaben ist [Miller, Wilpert & Fahlbrch, 1999]. Immer wieder die Systematik von SOL positiv hervorgehoben wurde. In einer detaillierten Bewertung durch die Sicherheitsabteilung eines großen pharmazeutischen Unternehmens [Wilpert et al, 1998] wurde das Verfahren als systematisch und gut geeignet für die Ereignisanalyse bezeichnet, Durch die Analyse im Team bei Beteiligung von Mitarbeitern wird der Erfahrungsaustausch zwischen den Mitarbeitern verbessert, was zu einer Überwindung der Betriebsblindheit bei der Analyse von Ereignissen führt und die sicherheitsgerichtete Aufmerksamkeit spürbar steigert. Kontakt MTO Safety GmbH Marburger Str Berlin Tel: ; info@mto-safety.de;

7 Ein Verfahren zur systematischen Analyse von Ereignissen Seite 7 Literatur Becker, G., Hoffmann, S., Wilpert, B., Miller, R., Fahlbruch, B., Fank, M., Freitag, M., Giesa. H.G. & Schleifer, L. (199). Analyse der Ursachen von "menschlichen Fehlverhalten" beim Betrieb von Kernkraftwerken (BMU ). Bonn: Bundesministerium für Umwelt, Naturschutz und Reaktorsicherheit.. Bishop, J., & LaRhette, R. (1988). Managing Human Performance - INPO's Human Performance Evaluation System. In Human-Error-Avoidance-Techniques Conferences Proceedings (SAE Publication No.P-204) (pp. 79-8). Warrendale, Pennsylvania: Society of Automotive Engineers. Eisgruber, H. (1997). The VGB Human Factors System, Human Factors-Maßnahmen der Kernkraftwerksbetreiber zur Optimierung der Mensch-Maschine-Schnittstelle. In Umweltbundesamt (Ed.), Workshop on Human Performance in Chemical Process Safety: Operating Safety in the Context of Accident Preventon, Preparedness and Response. Berlin: Umweltbundesamt. Emery, F.E., & Trist, E. L. (199). Socio Technical Systems. Management Sciences, Models and Techniques. Proceedings of the Sixth International Meeting of the Institute of Management Sciences. Paris: Pergamon Press. Fahlbruch, B. (2000). Vom Unfall zu den Ursachen. Empirische Bewertung von Analyseverfahren. Berlin: Mensch & Buch. Leplat, J. (1982). Accidents and incidents production: methods and analysis. Journal of Occupational Accidents, 4, Leplat, J. (1997). Event analysis and responsibility in complex systems. In A. Hale, B. Wileprt, M. Freitag (eds.), After the event. From Accident to organisational learning (pp.23-40). Pergamon. Miller, R., Wilpert, B. & Fahlbruch, B. (1999). Sicherheit durch Organisationales Lernen (SOL): Konzeption und Überprüfung eines Verfahrens zur Ereignisanalyse. In: K. Engel & B. Kociok (Eds.), Viertes Expertengespräch "Mensch-Maschine-Wechselwirkung in Kernkraftwerken" (BfS- KT-22/99) (pp. 9-10). Salzgitter: Bundesamt für Strahlenschutz. Pamme, RWE Power, Steuerung Kernkraftwerke; Brief an Prof. B.Wilpert, MTO vom 18. März 200. Rasmussen, J. (1991). Event analysis and the problem of causality. In J. Rasmussen, B. Brehmer, J. Leplat (eds.), Distributed decision making (pp. 2-29). Chichester: Wiley Reason, J. (1990). Human Error. Cambridge: Cambridge University Press. Reason, J. (1997). Managing the Risks of Organizational Accidents. Aldershot: Ashgate. Van Eijnatten, F. M. (1990). Classical socio-technical systems design: the sociotechnical design paradigm of organizations. Eindhoven University of Technology Wilpert, B. (2000). Organizational factors in nuclear safety. In S. Kondo & K. Furuta (eds.), PSAM Probabilistic safety assessment and management, Vol 2, , Tokyo: Universal Academy. Wilpert, B., Fahlbruch, B., Miller, R., Baggen, R. & Gans, A. (1999). Inter-organisational development in the German nuclear safety system. In J. Misumi, B. Wilpert & R. Miller (Eds.), Nuclear safety: A human factors perspective (pp ). London: Taylor & Francis. Wilpert, B., Fank, M., Fahlbruch, B., Freitag, M., Giesa, H.G., Miller, R. & Becker, G. (1994). Weiterentwicklung der Erfassung und Auswertung von meldepflichtigen Vorkommnissen und sonstigen registrierten Ereignissen beim Betrieb von Kernkraftwerken hinsichtlich menschlichen Fehlverhaltens (BMU ). Bonn: Bundesministerium für Umwelt und Reaktorsicherheit. Wilpert, B., Maimer, H., Miller, R., Fahlbruch, B., Baggen, R., Gans, A., Leiber, I., Szameitat, S. & Becker, G. (1997). Umsetzung und Erprobung von Vorschlägen zur Einbeziehung von Human Factors (HF) bei der Meldung und Ursachenanalyse in Kernkraftwerken (BMU ). Bonn: Bundesministerium für Umwelt, Naturschutz und Reaktorsicherheit. Wilpert, B., Miller, R. & Fahlbruch, B. (1997). SOL: Sicherheit durch Organisationales Lernen. Technische Überwachung, 38 (4), Wilpert, B., Miller, R., Geymüller, C., Uhlemann, F. & Ninov, E. (1998). Analyse von sicherheitsrelevanten Ereignissen in verfahrenstechnischen Anlagen (UBA Texte 79/98). Berlin: Umweltbundesamt.