Эксплуатационные ошибки

1.7.1 Наблюдавшийся в последние два десятилетия рост авиационной отрасли был бы невозможен без внедрения передовой техники, обеспечившей удовлетворение повышенного спроса на услуги в этой области. В производственно емких отраслях, таких как современная авиация, техника играет главнейшую роль в удовлетворении спроса на предоставление соответствующих услуг. В анализах безопасности полетов этот фундаментальный вопрос часто игнорируется. Внедрение техники не преследует в качестве своей главной цели повышение безопасности полетов; внедрение техники прежде всего нацелено на удовлетворение повышенного спроса на предоставление соответствующих услуг, обеспечивая вместе с тем существующий уровень безопасности полетов.

1.7.2 Таким образом, техника внедряется в грандиозных масштабах для удовлетворения потребностей производства. Одним из результатов такого массового внедрения техники с целью удовлетворения повышенного спроса является то, что интерфейс "субъект – объект" модели SHEL игнорируется или не всегда принимается во внимание в должной степени. Как следствие, техника, которая еще достаточно не доработана, может быть внедрена преждевременно, что приведет к неожиданным отказам.

1.7.3 Несмотря на то, что внедрение недостаточно доработанной техники является неизбежным следствием удовлетворения нужд любой отрасли массового производства, нельзя игнорировать ее связь с управлением безопасностью полетов. Людям на переднем крае, таким как эксплуатационный персонал, приходится ежедневно взаимодействовать с техникой при выполнении своих производственных задач по предоставлению соответствующих услуг. Если на этапе проектирования техники не уделять должного внимания интерфейсу "объект – субъект" и игнорировать эксплуатационные последствия взаимодействия человека и машины, результат очевиден – эксплуатационные ошибки.

1.7.4 Концепция эксплуатационных ошибок, как формирующееся свойство систем человек/машина, представляет руководство безопасностью полетов в совершенно другом свете, если его сравнить с традиционной, основанной на психологии концепции эксплуатационных ошибок. Согласно основанной на психологии концепции источник ошибки "пребывает" в человеке и является следствием конкретных психосоциальных механизмов, которые изучаются и разъясняются различными направлениями научно-исследовательских работ и прикладной психологии.

1.7.5 Попытка предвосхитить и эффективно уменьшить эксплуатационные ошибки согласно основанной на психологии концепции является чрезвычайно сложной, если не невозможной задачей. Процесс отбора может отсеять индивидуумов, не обладающих исходными свойствами, требуемыми для данной работы, а на поведение может оказывать влияние обучение и регулирование. Тем не менее со строго эксплуатационной точки зрения недостаток данной концепции очевиден: невозможно систематическим образом предвидеть проявление типичных человеческих слабостей, таких как рассеянность, усталость или забывчивость, и то, как они могут взаимодействовать с компонентами и особенностями эксплуатационного контекста в конкретных эксплуатационных условиях. Основанная на индивидууме стратегия уменьшения отрицательных последствий считается "мягкой" стратегией, поскольку ошибки в действиях человека проявятся в самый неожиданный момент, не обязательно в напряженных ситуациях, и высвободят свой разрушающий потенциал.

1.7.6 Концепция эксплуатационных ошибок как формирующееся свойство систем человек/машина изымает источник эксплуатационной ошибки из человека и помещает его прямо в физически реальный мир – в интерфейс L/H. Нестыковка этого интерфейса является источником эксплуатационной ошибки. Являясь частью физически реального мира, источник эксплуатационной ошибки таким образом становится видимым и может быть выражен оперативными терминами (выключатель частично закрыт тумблером, что затрудняет увидеть его правильное положение при работе в ночное время) по сравнению с научными терминами (перцептивные ограничения). Таким образом, можно предвидеть источник эксплуатационной ошибки и уменьшить его отрицательные последствия посредством оперативного вмешательства. Управление безопасностью полетов не в состоянии многого добиться в части перцептивных ограничений человека, однако с помощью управления безопасностью полетов можно использовать целый набор средств для нейтрализации последствий конструкций с частично скрытым выключателем.

1.7.7 Традиционно в авиации при рассмотрении безопасности полетов эксплуатационные ошибки обязательно считаются способствующим фактором в большинстве авиационных событий. Такая точка зрения, основанная на рассмотренном выше психологическом подходе, преподносит эксплуатационные ошибки как форму поведения, которой охотно следует эксплуатационный персонал, как будто бы эксплуатационный персонал стоит перед вполне определенным выбором – совершать эксплуатационную ошибку или нет, – и он охотно выбирает первый вариант. Более того, считается, что эксплуатационная ошибка характеризует не отвечающие стандартам действия, недостатки в личных качествах, отсутствие профессионализма, дисциплины и аналогичные атрибуты, которые появились в результате складывавшегося годами недопонимания действий человека. Хотя эти атрибуты весьма удобны и подходящи для обвинения людей, они не способствуют пониманию и объяснению эксплуатационных ошибок.

1.7.8 Следуя альтернативному подходу в отношении рассмотренных эксплуатационных ошибок, при котором эксплуатационные ошибки рассматриваются как формирующееся свойство систем человек/машина, и помещая источник ошибок в нестыковку интерфейса L/H, становится очевидным, что даже наиболее компетентный персонал может совершать эксплуатационные ошибки. В этом случае эксплуатационные ошибки считаются обычным компонентом любой системы, в которой взаимодействуют люди и техника, и не рассматриваются как некий тип аберрантного поведения. Скорее ошибки можно воспринимать как естественный побочный продукт взаимодействия человек-машина в ходе эксплуатационной деятельности по предоставлению услуг любой производственной системой. Эксплуатационные ошибки считаются обычным компонентом любой системы, в которой взаимодействуют человек и техника, а для контролирования эксплуатационных ошибок вводятся эксплуатационные меры обеспечения безопасности.

1.7.9 Учитывая неизбежность нестыковок в интерфейсах модели SHEL в авиационных операциях, масштаб эксплуатационных ошибок в авиации огромен. Непременным условием управления безопасностью полетов является понимание того, как эти нестыковки могут повлиять на среднего человека на работе. Только после этого могут быть приняты эффективные меры для контролирования воздействия эксплуатационных ошибок на безопасность полетов.

2.7.10 Широко распространено ошибочное мнение о необходимости установления линейной взаимосвязи между эксплуатационными ошибками и непосредственным воздействием, и масштабом их последствий. Это ошибочное

мнение рассматривается в пп. 1.6.10 и 1.6.11 в плане эксплуатационных ошибок и масштаба их последствий. В ходе этого рассмотрения утверждается, что между эксплуатационными ошибками и масштабом их потенциальных последствий отсутствует симметрия. Далее утверждается, что масштаб последствий эксплуатационных ошибок является функцией эксплуатационного контекста, в котором имеют место ошибки, а не последствием самих ошибок. Ниже этот вопрос дополнительно рассматривается в плане эксплуатационных ошибок и непосредственного воздействия их последствий.

1.7.11 Статистикой установлено, что ежедневно в авиации совершаются миллионы ошибок, прежде чем имеет место серьезный сбой в обеспечении безопасности полетов (рис. 1-10). Не принимая в расчет незначительные годовые колебания, отраслевая статистика за последние 10 лет постоянно исходит из предположения, что частота авиационных происшествий составляет менее одной катастрофы на миллион вылетов. Другими словами, при осуществлении авиакомпаниями по всему миру коммерческих операций один раз в миллион производственных циклов совершается эксплуатационная ошибка, которая создает разрушительный потенциал такой силы, который может преодолеть защитные средства системы и генерировать крупный сбой в обеспечении безопасности полетов. Тем не менее нестыковки в интерфейсах модели SHEL генерируют в ходе обычных авиационных операций десятки тысяч эксплуатационных ошибок ежедневно. Однако эти эксплуатационные ошибки улавливаются встроенными средствами защиты авиационной системы и их разрушающий потенциал уменьшается, тем самым предотвращая негативные последствия. Другими словами, ежедневно осуществляется контролирование эксплуатационных ошибок за счет эффективного функционирования защитных средств авиационной системы.

Рис. 1-10. Эксплуатационные ошибки и безопасность полетов. Нелинейная взаимосвязь

1.7.12 Для объяснения асимметрии между эксплуатационными ошибками и непосредственным воздействием их последствий предлагается простой эксплуатационный сценарий (рис. 1-11А). После запуска двигателей летный экипаж забывает в ходе проверки порядка действий после запуска двигателей установить закрылки в положение взлета, как это указано в стандартных эксплуатационных правилах. Таким образом, совершена эксплуатационная ошибка, но прямых последствий этого нет. Эксплуатационная ошибка преодолела первый уровень защиты (СЭП, проверка экипажем очередности действий после запуска двигателя), но ее разрушительный потенциал еще пассивен. Прямых последствий нет; эксплуатационная ошибка просто присутствует в системе в латентном состоянии.

1.7.13 Летный экипаж выполняет операции по контрольной карте после запуска двигателей, но не замечает неправильного положения закрылков, и воздушное судно начинает руление для взлета. Таким образом, утрачена вторая возможность устранить последствие эксплуатационной ошибки, которая продолжает присутствовать в системе, но пока не приносит вреда. Тем не менее, система теперь находится в состоянии отклонения от нормы или в нежелательном состоянии (т. е. воздушное судно осуществляет руление для взлета с неправильным положением закрылков). Летный экипаж выполняет проверку операций перед рулением и проверку операций перед взлетом. В обоих случаях неправильное положение закрылков остается незамеченным. Утрачены другие возможности устранить последствия эксплуатационной ошибки. Эксплуатационная ошибка все еще не приводит к последствиям, однако статус отклонения или нежелательного состояния системы усиливается.

1.7.14 Летный экипаж начинает разбег при взлете и срабатывает аварийная сигнализация, предупреждающая о взлетной конфигурации. Летный экипаж не понимает причину срабатывания сигнализации и продолжает разбег при взлете. Эксплуатационная ошибка все еще не приводит к каким-либо последствиям, однако нежелательное состояние системы теперь значительно усугубляется. Самолет отрывается от земли с закрылками в неправильной конфигурации. Теперь система переходит в состояние ухудшения, однако экипаж все еще может устранить нежелательное состояние. Воздушное судно не может продолжать полет из-за неправильного положения закрылков и падает. Только теперь, после преодоления значительного числа встроенных средств защиты системы, эксплуатационная ошибка полностью развивает свой разрушающий потенциал и приводит к последствиям. В системе происходит катастрофический сбой.

Рис. 1-11А. Расследование крупных сбоев. Один раз на миллион полётов.

1.7.15 Заметьте относительно длительный период времени между совершением экипажем эксплуатационной ошибки и материализацией ее неотвратимого разрушающего потенциала. Заметьте также наличие ряда возможностей устранить последствия эксплуатационной погрешности с помощью встроенных в систему средств защиты. Этот период времени представляет собой время, которым располагает система для контролирования последствий эксплуатационных ошибок, и он соразмерен с глубиной эшелонирования и эффективностью средств защиты системы. Это тот период времени, в течение которого управление безопасностью полетов функционирует с довольно значительным потенциалом для успешного разрешения проблемы.

1.7.16 Чем больше в системе заложено встроенных средств защиты и уровней сдерживания и чем эффективнее они работают, тем больше существует возможностей контролировать последствия эксплуатационных ошибок. Обратное также верно.

1.7.17 С точки зрения данного рассмотрения очевиден один вывод: рассмотренный в п.п. 1.7.12–1.7.14 сценарий будет (неизбежно) тем сценарием, который будет выявлен в ходе большинства расследований авиационных происшествий, – неуправляемые эксплуатационные ошибки, которые приводят к катастрофическим сбоям системы. Это ценная информация об отказах в работе человека и системы; информация, которая показывает, что отказало, что не сработало, какие средства защиты должным образом не функционировали. Хотя такая информация в своей основе и является ценной, ее недостаточно для того, чтобы полностью осознать происхождение сбоев в обеспечении безопасности полетов, и ее следует дополнять информацией из альтернативных источников.

1.7.18 Рассмотрим модифицированный вариант сценария, изложенного в пп. 1.7.12–1.7.14 (рис. 1-11В). Заметьте наличие по крайне мере четырех явных отдельных случаев, в которых могли бы сработать системы защиты для сдерживания разрушительного потенциала первоначальной эксплуатационной погрешности (не установлены закрылки в положение взлета при проверке летным экипажем операций после запуска двигателей):

а) контрольная карта после запуска;

b) контрольная карта при рулении;

с) контрольная карта перед взлетом;

d) сигнализация, предупреждающая о взлетной конфигурации.

1.7.20 Выдвигаемый здесь аргумент сводится к тому, что сценарии, при которых эксплуатационные ошибки приводят к катастрофическим сбоям, случаются редко, а сценарии, при которых эксплуатационные ошибки приводят к нежелательному состоянию системы (отклонение/ухудшение) случаются часто. В этих сценариях выявляется информация о том, что вначале не сработало, но в основном о том, что сработало впоследствии, включая средства защиты, которые функционировали как положено. Этот тот тип сведений, которые получены из источников информации о безопасности полетов, являющимися альтернативными и дополнительными источниками по отношению к расследованию авиационных происшествий. На основе информации, полученной в ходе расследования авиационного происшествия, безусловно, будут определены эти четыре случая, в которых средства защиты должны были сработать, однако, по всей вероятности, может быть только указано, почему это не произошло.

1.7.21 Рассматриваемые дополнительные источники информации определят случаи, в которых средства защиты должны были бы сработать, и установят, почему и как они сработали. Эти источники отражают успешные решения и, таким образом, путем объединения информации из источников расследования авиационных происшествий с информацией из этих альтернативных источников можно получить более полную картину конкретных проблем обеспечения безопасности полетов. Более того, поскольку сценарии, подобно описанному выше, случаются часто, эти альтернативные источники информации о безопасности полетов, если их задействовать, могут предоставить значительный объем постоянной информации в дополнение к информации более спорадического характера, получаемой в результате авиационных происшествий, тем самым позволяя получить более полное представление о потенциальных причинах сбоев в обеспечении безопасности полетов. Из этого второго сценария

можно сделать вывод, что дело обеспечения отказоустойчивости в сфере безопасности полетов заключается не в безошибочной эксплуатационной деятельности, а скорее в эффективном управлении эксплуатационными ошибками.