Эта статья для тех, у кого недостаточно времени для скрупулезного изучения документов ИКАО, касающихся реагирующего подхода к управлению безопасностью полетов, но кто хотел бы иметь определенное представление о заложенных в них идеях.

Документы ИКАО (Приложение 19 "Управление безопасностью полетов" и Док. 9859 "Руководство по управлению безопасностью полетов") гласят, что точное и своевременное представление информации об инцидентах и авиационных происшествиях (АП) является одним из основополагающих направлений деятельности в сфере управления безопасностью полетов (БП).

Концептуальные же рамки для государственной программы по Безопасности полетов (ГосПБП) в качестве одного из элементов ГосПБП требуют наличия в государстве системы расследования АП и инцидентов. Концептуальные рамки для Системы управления безопасностью полетов (СУБП) поставщиков обслуживания в качестве одного из элементов СУБП требует наличия у поставщика обслуживания механизмов выявления источников опасности, связанных с авиационными продуктами или услугами, которые он предоставляет. Выявление источников опасности при этом должно основываться на сочетании реагирующих, проактивных и прогностических методах сбора данных о безопасности полетов.

Источниками информации для реагирующего подхода к управлению безопасностью полетов являются отчеты по результатам расследования АП и инцидентов, возлагаемые ИКАО на государство, которое должно обеспечить процесс независимого расследования. Единственной целью расследования должно являться предотвращение АП и инцидентов, а не определение ответственности за них. Такие расследования поддерживают систему управления БП в стране. Государство должно поддерживать независимость организации, занимающейся расследованием АП и инцидентов, от других государственных авиационных организаций. Организация, занимающаяся расследованиями, должна быть функционально независима от любой другой организации, интересы которой могут конфликтовать с задачами расследования. Обоснование независимости этой функции от функций других организаций объясняется тем, что причина АП может быть связана с нормативными факторами. Независимость повышает эффективность организации, занимающейся расследованием, и позволяет избегать явных или возможных конфликтов интересов. Организация, которая проводит расследование, не должна одновременно заниматься сертификацией различных видов авиационной деятельности. К сожалению, в России этот принцип не соблюдается, что стало уже общим местом в выступлениях на эту тему представителей авиационной общественности. Почему-то Правительство РФ полностью игнорирует как требования ИКАО и российского законодательства, так и мнение авиационной общественности.

Объективные отчеты по результатам расследования являются очень важным источником данных для реагирующего подхода к выявлению опасностей для безопасности полетов. В развитых системах управления БП государств и/или поставщиков обслуживания предусматриваются также уведомления об имевших место событиях с незначительными последствиями. Это позволяет создать на основе реагирующего подхода в СУБП необходимый механизм мониторинга для своевременного прогнозирования всех возможных вариантов развития происшествий с серьезными последствиями. Тенденция динамики событий с незначительными последствиями неминуемо становится предвестником происшествий с последствиями серьезного характера.

При авиационном происшествии или серьезном инциденте проводится расследование с целью выявления возможных отказов в авиационной системе и их причин, а также выработки контрмер для предотвращения подобных происшествий в будущем. В СУБП процесс расследования негативных событий играет четко определенную роль, наступающую после того, как со своей задачей не справились средства защиты, предусмотренные системой. Негативное событие - это сбой, выпадающая точка в работе СУБП. Расследования негативных событий способствуют постоянному совершенствованию авиационной системы, предоставляя сведения об основных причинах авиационных происшествий/инцидентов и уроках, усвоенных из анализа событий. Это позволяет определять необходимые улучшения авиационной системы. Расследования на государственном уровне ограничиваются АП и серьезными инцидентами, но в рамках СУБП поставщиков обслуживания должны также расследоваться события с незначительными последствиями.

Помимо заключений о причинах негативных событий в ходе современных расследований необходимо выявлять также опасные факторы и угрозы. Всестороннее расследование включает выявление фактов и установление различий между конечными последствиями, небезопасными действиями и опасными факторами или угрозами, способствовавшими негативному событию. Оно должно концентрироваться на всех факторах систематического, скрытого или организационного характера, присутствующих в рамках всей авиационной системы. В СУБП должна осуществляться интеграция между процессом расследования негативного события и процессом выявления и представления данных об опасных факторах на уровне организации. Отчеты по результатам расследования должны содержать задокументированные опасные факторы или угрозы, требующие отдельного изучения в рамках процесса выявления опасных факторов и уменьшения рисков, связанных с ними.

К сожалению, отдельные отчеты по результатам расследований ограничиваются только содержащимися в них "заключениями" и "рекомендуемыми мерами" исключительно на основе непосредственных и прямых причин происшествий. Таким образом, любые вторичные или косвенные опасные факторы и угрозы игнорируются. При выявлении опасных факторов необходимо рассматривать все возможные опасные факторы, которые существуют в сфере авиационной деятельности поставщика обслуживания, включая взаимодействие с другими системами, как внутри, так и вне организации. После того, как будут выявлены опасные факторы, необходимо определить, как они повлияли на конкретные события или результаты происшествия.

При выявлении причинности происшествий ИКАО в "Руководстве по управлению безопасностью полетов" основывается на разработанной профессором Джеймсом Ризоном модели "швейцарского сыра", наглядно показывающей, что АП предполагают последовательные нарушения многоуровневой системы защиты. Они вызываются рядом содействующих факторов, таких, как отказы оборудования или ошибки при эксплуатации. Модель "швейцарского сыра" исходит из того, что такие сложные системы, как авиация, имеют чрезвычайно хорошую защиту из нескольких уровней, внутренние единичные отказы редко имеют серьезные последствия в авиационной системе. Нарушение в системе защиты безопасности представляет собой замедленное последствие решений, принимаемых на высших уровнях системы, не проявляющихся до тех пор, пока их воздействие не будет инициировано конкретным стечением эксплуатационных обстоятельств. При таких конкретных обстоятельствах ошибки человека или активные отказы на эксплуатационном уровне действуют как пусковые механизмы скрытых условий, способствующих нарушению присущих системе средств обеспечения безопасности полетов.

В модели Ризона все происшествия включают сочетание активных и скрытых условий. При определении причин АП необходимо различать активные отказы, являющиеся следствием действия или бездействия, которые оказывают прямое негативное воздействие. Активные отказы, ассоциируются с исполнителями (пилотами, диспетчерами УВД, авиационными инженерами-механиками и т. д.). Фактически это прямая видимая цепочка событий, приводящая к авиационному событию. Но обычно это верхушка айсберга, а главные причины происшествия связаны со скрытыми условиями. Они существовали в авиационной системе задолго до наступления негативного события и могут не проявлять себя в течение длительного времени. Первоначально они не воспринимаются как опасные, но это становится очевидным после того, как нарушены средства защиты системы. Такие условия обычно создают люди, которые весьма далеки во времени и пространстве от самого события. Кроме того, их причиной могут также стать плохое оборудование или процедуры, конфликтные цели организации, недостатки в организационных системах и неправильные решения руководства. ИКАО вводит понятие происшествия по организационным причинам и требует выявления и уменьшения последствий скрытых условий на общесистемной основе, а не путем локальных мер по сведению к минимуму активных отказов со стороны отдельных лиц. В авиационной системе должны быть заложены различные средства защиты от отклонений в действиях или решениях человека на всех уровнях системы. Модель Ризона позволяет понять, что в течение всего периода до наступления АП скрытые условия присутствовали в авиационной системе и были приведены в действие местными факторами. Поэтому основная задача расследования состоит не в выявлении стрелочника, на которого можно "повесить всех собак" и дальше с чувством выполненного долга спокойно почивать на лаврах до следующего АП, а в выявлении организационных причин, заложенных в авиатранспортной системе, которые позволили реализоваться данному негативному событию. Документы ИКАО акцентируют внимание расследователей именно на организационных причинах.

В модели Ризона основополагающими организационными процессами в части обеспечения БП являются распределение ресурсов и обмен информацией. Другим направлением, вытекающим из организационных процессов, являются условия на рабочем месте, непосредственно влияющие на эффективность деятельности людей в авиационной отрасли.

Неоптимальные условия на рабочем месте порождают активные отказы со стороны эксплуатационного персонала, которые можно рассматривать либо как ошибки, либо как нарушения. Различие между ними заключается в мотивации. Лицо, следующее правилам и процедурам, но которое не может выполнить поставленной перед ним задачи, совершает ошибку. Лицо, которое намеренно не следует правилам и процедурам совершает нарушение.

С точки зрения происшествия по организационным причинам расследование авиационных событий должно быть направлено на анализ организационных процессов, чтобы выявлять скрытые условия и давать рекомендации по усилению средств защиты.

Необходимо в процессе расследования четко разграничивать ошибки персонала и нарушения. Ошибка - непреднамеренный поступок, нарушение же является умышленным действием или бездействием с целью отхода от установленных процедур, протоколов, норм и практики. Необходимо понимать, что люди всегда будут совершать ошибки независимо от уровня использованной технологии, уровня подготовки или наличия правил, процедур и регламентов. В этой связи расследование должно установить, какие средства защиты не сработали для устранения возможности ошибки и уменьшения последствий ошибки. Ошибки можно разделить на промахи, упущения и просчеты. Промахи - это действия, которые не осуществляются, как запланировано, а упущения происходят из-за плохой памяти. Например, если пилот взялся за рукоятку управления закрылками вместо рукоятки выпуска шасси - это промах. Если он забыл какую-то позицию в контрольной карте пилота - это упущение. Просчеты - это недостатки в планировании действий. Даже если бы исполнение плана было корректным, запланированного результата все равно не удалось бы достичь.

В процессе расследования необходимо выявить факторы, способствовавшие возникновению ошибки. На работу персонала оказывают влияние организационные, нормативно-правовые и экологические факторы. Выявление факторов риска для БП при расследовании должно основываться на рассмотрении политики организации, процедур и регламентов обмена информацией, распределения ресурсов и бюджетных ограничениях. Нарушением же является "намеренное неисполнение обязанностей или бездействие, результат которых - отход от норм, установленных процедур, протоколов и практики". Несоблюдение не обязательно является результатом нарушения, поскольку отход от нормативных требований и правил эксплуатации ВС может происходить и вследствие ошибки. Нарушения являются намеренными действиями, но не обязательно носят злонамеренный характер. Персонал может сознательно отходить от норм, убежденный в том, что нарушение облегчит выполнение ими задачи без серьезных негативных последствий. Такие нарушения имеет место, когда организация стремится выполнить возросшие требования к объему услуг, игнорируя или механически распространяя имеющиеся средства защиты на новый объем. Все эти моменты при расследовании авиационных событий должны быть обязательно выявлены и классифицированы, так как влекут за собой различные рекомендации по предотвращению негативных авиационных событий в будущем.

Новые подходы к расследованию негативных событий связаны с изменением характера аварий в конце прошлого и начале нынешнего века в связи с быстрыми темпами технологических инноваций. Цифровые технологии создали тихую революцию в большинстве "инженерных" областей. Многие из подходов по предотвращению аварий часто не эффективны в связи с использованием цифровых систем и программного обеспечения. В сложных технических системах возникают нелинейные перекрестные связи. Это приводит к тому, что причина и следствие уже не связаны прямым или очевидным образом. Повышение сложности систем делает проблематичным для конструкторов рассмотреть все возможные состояния системы, а эксплуатантам управлять всеми нормальными и аварийными ситуациями. Неадекватные взаимодействия между человеком и машиной становятся все более важными факторами аварий. Многие АП и инциденты, которые были списаны на ошибки летного экипажа, могут более точно быть определены, как результат недостатков технической и социальной среды, в которой он работал.

Старые подходы к расследованию негативных событий непригодны сегодня для сложных социотехнических систем. Необходимо понимать, что безопасность и надежность - это разные свойства. Система может быть надежной, но небезопасной, или безопасной, но ненадежной. В сложных системах аварии часто возникают в результате взаимодействия между компонентами, хотя все они могут удовлетворять индивидуальным требованиям к ним с точки зрения их безотказности. В современных высокотехнологичных системах взаимодействия между компонентами не всегда могут быть полностью спланированы, поняты, предсказаны, а ошибки проектирования - полностью устранены тщательным тестированием. Системные конструкторские ошибки теперь чаще вызывают аварии, даже когда все компоненты функционируют надежно. Иногда причины негативных событий связаны с небезопасным взаимодействием между компонентами системы. Высокая надежность компонентов не предотвращает негативных событий, связанных с их взаимодействием. Безопасность и надежность иногда конфликтуют. Повышение надежности может снизить безопасность, а повышение безопасности - снизить надежность. Это же относится и к социальным системам.

Децентрализованное принятие решений в организации может привести к значительному количеству аварий в сложных социотехнических системах. Каждое местное решение может быть "правильным" в ограниченном контексте, но способно привести к катастрофе, когда независимые решения и организационное поведение, взаимодействуют так, что не выполняют своих функций. Необходимо четко понимать, что безопасность - это свойство всей системы в целом, а не свойство компонента, и должна управляться на системном уровне, а не на уровне компонентов. Важно иметь в виду, что выбор отдельного события для включения в цепь событий зависит от желания расследователя посмотреть, как далеко назад простирается последовательность разъясняющих событий. Выбор первопричины является произвольным, и предыдущие события всегда можно добавить. Обратная цепочка может остановиться, потому что причинно-следственная линия исчезает из-за недостатка информации.

В дополнение к основной причине некоторые события могут быть определены в качестве прямых причин, а другие как сопутствующие. Это зависит только от выбора первопричины. Объяснением, почему действия операторов часто отождествляются с причиной аварии, является трудность в продолжение обратного прослеживания назад "через" человека. Иногда "первопричиной" всех бед выбирается человек, так как это является политически приемлемым. Но определение ошибки оператора или диверсии в качестве ключевой причины аварии игнорирует большинство возможностей для профилактики подобных случаев в будущем. Важные события или объяснения могут быть исключены или не рассмотрены, потому что они поднимают вопросы, которые компрометируют какую-либо важную организацию, ее подрядчиков или политически неприемлемы. К сожалению, при расследовании конкретных негативных ситуаций часто велик соблазн выхватить какое-либо отдельное звено авиационной системы и обвинить во всех смертных грехах. Это лишь возможность отчитаться перед начальством о том, что виновные найдены и примерно наказаны, но мало что дает для предотвращения подобных негативных ситуаций в будущем.

Если же рассмотрены все косвенные и системные факторы, то становится ясно, что задействованный работник был, в действительности, лишь незначительным и неактуальным игроком в негативном происшествии. Наоборот, деградация запаса безопасности, произошедшая со временем, не связана с каким-либо единственным решением или действием, а была просто цепью организационных решений, приведшей к медленно развивавшейся ситуации, когда любая незначительная ошибка может стать причиной крупного негативного события. Об этом всегда необходимо помнить, проводя расследования....