Uwzględnienie czynnika ludzkiego w analizie bezpieczeństwa procesu zarządzania zasobami ludzkimi

Andrzej Fellner (autor korespondencyjny) dyrektor Centrum Kształcenia Kadr Lotnictwa Cywilnego Europy Środkowo-Wschodniej Politechniki Śląskiej kierownik Katedry Technologii Lotniczych Politechniki Śląskiej andrzej.fellner@polsl.pl Mariusz Osowski kierownik Działu Kadr i Doskonalenia Zawodowego GTL S.A. Uwzględnienie czynnika ludzkiego w analizie bezpieczeństwa procesu zarządzania zasobami ludzkimi Streszczenie Opracowanie powstało w wyniku realizacji badań naukowych w ramach projektu FP7-GALILEO-2011-GSA-1 SHERPA Support ad-hoc to Eastern Region Pre-operational Actions in GNSS [1]. Podczas implementacji nowych technik i technologii satelitarnych pojawiła się konieczność wykonania safety case, a wraz z nią problem naukowy, w jaki sposób tego dokonać. Przyjęta hipoteza robocza została zweryfikowana teoretycznie i empirycznie, a osiągnięte wyniki badań umożliwiły stworzenie nowego modelu wykonywania analizy ryzyka związanego z implementacją technik i technologii satelitarnych dla potrzeb lotnictwa oraz opracowanie na tej podstawie safety case. Model ten został następnie przyjęty na forum międzynarodowym, podczas warsztatów roboczych w ramach projektu SHERPA (Eurocontrol i GSA). W niniejszym materiale zaprezentowano tylko wybrane zagadnienia dotyczące humans factors, niezbędne w systemie zarządzania bezpieczeństwem (SMS), gdyż stanowią one przedmiot permanentnych, certyfikowanych szkoleń w branży lotniczej. Opracowany model został również pozytywnie zweryfikowany empirycznie i włączony do szkolenia kadry Wojewódzkiego Inspektoratu Transportu Drogowego. Przeprowadzone badania naukowe oraz uzyskane wyniki uprawniają do stwierdzenia, że przy implementacji rozwiązań organizacyjnych, technicznych i prawnych należy sporządzać safety case, stosując prezentowany model. Konieczne jest również uwzględnianie szkoleń omawiających human factor w każdej sferze działalności człowieka jako niezbędnego elementu SMS, szczególnie w procesie zarządzania zasobami ludzkimi. Słowa kluczowe lotnictwo, human factors, analiza ryzyka, safety case, model Reasona, model SHELL Hawkinsa, SMS, SHERPA, zarządzanie bezpieczeństwem Wprowadzenie Rozwój naukowo-techniczny wynikający z poziomu wiedzy człowieka stanowi pewien system, w którym pojawiają się błędy i pomyłki oraz usterki techniczne, w efekcie czego występują incydenty i wypadki. Obserwowany w branży lotniczej postęp technologiczny jest możliwy dzięki prowadzonym równolegle kontrolom, analizom potencjalnych zagrożeń i możliwości ich kompensacji, które mają na celu zachowanie odpowiedniego poziomu bezpieczeństwa. Równocześnie nastąpił znaczny spadek zdarzeń oraz wypadków w lotnictwie [15] (ryc. 1). Przyczyniły się do tego stosowanie odpowiednich zaleceń w zakresie zarządzania bezpieczeństwem oraz zmiana podejścia do Ryc. 1. Wypadki lotnicze w latach 2010 2015. bezpieczeństwa: od standardowego (po niepożądanym wydarzeniu następowała reakcja w postaci określania środków i procedur mających zapobiegać ponownemu wystąpieniu tego wydarzenia) do proaktywnego PROBLEMY KRYMINALISTYKI 290(4) 2015 35

Kołowanie Start i początkowe wznoszenie Wznoszenie Trasa Zniżanie Holding, manewrowanie Podejście Lądowanie Inne 3,5% 23,4% 3,3% 15,7% 2,6% 13,0% 9,7% 24,1% 4,7% 2% 13% 60% 10% 11% 3% 1% Procentowe zestawienie czasu poszczególnych faz lotu Ryc. 2. Procentowe zestawienie wypadków lotniczych w zależności od fazy lotu. (jakakolwiek zmiana wymaga dokonania analizy ryzyka, określenia akceptowalnego poziomu bezpieczeństwa oraz przygotowania odpowiednich przedsięwzięć kompensujących ewentualne zagrożenia). Bezpieczeństwo to najważniejszy czynnik w działalności lotniczej, więc traktowane jest priorytetowo. Wyraża się to poprzez dążenie do całkowitej eliminacji niepożądanych zdarzeń. Jednak osiągnięcie stuprocentowego bezpieczeństwa nie jest możliwe, gdyż każde działanie podejmowane przez człowieka lub system przez niego stworzony obarczone jest ryzykiem. Toteż w lotnictwie zdefiniowano bezpieczeństwo jako permanentny proces identyfikacji zagrożenia i zarządzania ryzykiem w celu kompensacji zagrożenia lub osiągania jego akceptowalnego poziomu. Należy przy tym pamiętać, że bezpieczeństwo występuje w dwóch zasadniczych postaciach: safety i security. Pierwsze rozumiane jest jako bezpieczeństwo wynikające z analizy ryzyka (techniki, błędy popełniane przez człowieka), drugie odnosi się do bezpieczeństwa wynikającego z zagrożenia (kataklizmów, klęsk, terroryzmu). Zdarzenia i wypadki lotnicze wykazuje się również w zestawieniach procentowych w zależności od wykonywanego etapu lotu (ryc. 2). Zarządzanie to zestaw działań obejmujący: planowanie (wytyczanie celów i określanie, jak mają być zrealizowane), podejmowanie decyzji (wybór sposobu działania spośród dostępnych opcji), organizowanie (grupowanie działań i zasobów, tworzenie struktury), kierowanie ludźmi, kontrolowanie (obserwacja postępów i efektów działań w celu ulepszenia procesów). Zarządzanie polega na zastosowaniu wiedzy, doświadczeń, narzędzi, metod oraz technik. Podstawą procesu zarządzania instytucją są wzajemnie powiązane zasoby, które dzieli się na cztery zasadnicze rodzaje: ludzkie (umiejętności, wiedza, zdolności, predyspozycje, kadra, personel), pieniężne (kapitał finansowy), rzeczowe (infrastruktura) oraz informacyjne (niezbędne do podjęcia decyzji dane). Zasoby ludzkie (human factors) jako składowa procesu zarządzania stanowią ogół cech i właściwości umożliwiających funkcjonowanie w określonych warunkach i na stanowiskach w zespole realizującym wyznaczone przedsięwzięcia. Oznacza to, że do podstawowych elementów tego zasobu zalicza się: wiedzę, zdolności, umiejętności, zdrowie, postawy i wartości, a także motywację, a ich właścicielem jest każdy członek z tego zespołu teamu (w przyjętym w lotnictwie luźnym tłumaczeniu skrót TEAM to: Together, Everyone, Achieve, More, szkoda tylko, że zapominamy o tym na co dzień). W sprawnie działającym zespole musi wystąpić zarządzanie zasobami ludzkimi, które polega na podejmowaniu właściwych działań związanych z dysponowanym potencjałem w celu uzyskania pożądanych rezultatów. Ryc. 3. Powody wypadków lotniczych: błąd człowieka czerwona linia, błąd sprzętu żółta linia. Z przeprowadzonych analiz zdarzeń i wypadków lotniczych obejmujących okres od początku lotnictwa do chwili obecnej (ryc. 3) wynika, że początkowo główną przyczyną były błędy techniczne. Jednak z chwilą pojawienia się napędu odrzutowego i systemów pilotażowo-nawigacyjnych nastąpiło uwydatnienie kolejnej przyczyny zdarzeń oraz wypadków, wykazującej tendencję wzrostową błędnego działania człowieka. Należało podjąć działania prewencyjne przed możliwością wystąpienia zdarzenia poprzez kompensowanie wpływu czynników zagrożenia. Toteż przyjęto proaktywne podejście do bezpieczeństwa polegające na podejmowaniu możliwych przedsięwzięć minimalizujących błędne działanie człowieka lub techniki. W związku z tym wydzielono istotne czynniki 36 PROBLEMY KRYMINALISTYKI 290(4) 2015

organizacyjne, obejmujące: zarządzanie organizacją, procedury, szkolenia, politykę bezpieczeństwa organizacji. Następnie przyjęto na forum ICAO (Organizacja Międzynarodowego Lotnictwa Cywilnego) państwowe wymagania w zakresie zarządzania bezpieczeństwem, na które składają się: program bezpieczeństwa zintegrowany zbiór przepisów i czynności poprawiających bezpieczeństwo; system zarządzania bezpieczeństwem (Safety Management System, SMS) zorganizowane podejście do zarządzania bezpieczeństwem, obejmujące niezbędne struktury organizacyjne, zakresy odpowiedzialności, politykę i procedury [2]. Identyfikacja zagrożeń i ocena ryzyka ich skutków to podstawowe założenia SMS, toteż pierwsze zalecane metody i zasady postępowania w zakresie zarządzania bezpieczeństwem w lotnictwie cywilnym ustanowione zostały przez ICAO w 2001 r. Natomiast w 2012 r. ICAO podjęło decyzję o wprowadzeniu nowego załącznika Safety Management. Również Unia Europejska, doceniając wagę problemu, rozporządzeniem EU nr 965/2012 zobowiązała przewoźników lotniczych do wprowadzenia SMS. W tym roku zakończył się proces wprowadzania systemu zarządzania bezpieczeństwem w certyfikowanych, lotniczych organizacjach szkoleniowych. Uwzględniając powyższe uwarunkowania oraz fakt nieuchronnego wdrażania SMS w każdej sferze działalności człowieka, celowe jest uwzględnienie przez potencjalnych użytkowników sprawdzonych rozwiązań i zasygnalizowanych problemów, aby na tej podstawie dalej rozwijać zagadnienia związane z systemem zarządzania bezpieczeństwem, dostosowując go do charakteru, wielkości i złożoności instytucji czy organizacji. Zagadnienia czynnika ludzkiego w modelach przyczynowo-skutkowych Początkowo lotnictwo charakteryzowało się niskim poziomem technologicznym, brakiem odpowiedniej infrastruktury i ograniczonym nadzorem. Dlatego zgodnie z teorią systemów bezpieczeństwa zostały określone ambitne cele produkcji, jednak bez wdrażania niezbędnych środków i zasobów do ich realizacji. Wraz z rozwojem potencjału pojawiło się ryzyko częstych awarii, dlatego też początkowo lotnictwo charakteryzowało się wysoką częstotliwością wypadków. Wypadki były każdorazowo analizowane, a wyciągnięte wnioski i zalecenia stanowiły jedyny środek profilaktyczny, mający zapobiegać podobnym zdarzeniom w przyszłości. Jednak w tych czasach badania wypadków lotniczych nie mogły dostarczyć niezbędnych informacji dotyczących przyczyn, gdyż uniemożliwiał to ówczesny poziom rozwoju naukowo-technicznego. Dopiero pojawiająca się odpowiednia infrastruktura, zwiększający się nadzór prawny, wdrażanie nowych technik i technologii do badania wypadków lotniczych doprowadziły do stopniowego, ale stałego spadku wypadków. Zakłada się, że do lat 70. XX w. bezpieczeństwo determinowane było głównie czynnikami technicznymi, więc skupiono się na ich poprawie. Kolejne lata obejmowały wprowadzanie takich usprawnień jak: napęd odrzutowy, pokładowe radary pogodowe, systemy zarządzania lotem, nawigacja obszarowa i satelitarna czy systemy zarządzania przestrzenią powietrzną (zwiększenie przepustowości i elastyczności). Po okresie rozwoju technologicznego podczas analizowania i badania wypadków lotniczych okazało się, że liczba awarii technicznych jest znikoma, a do zdecydowanej większości wypadków doprowadził człowiek. Przeprowadzone badania i uzyskane wnioski zwróciły uwagę na to, że za nieprawidłowość działania oraz spadek bezpieczeństwa odpowiada wszechobecny błąd ludzki, określony jako human factor. Początkowo skupiano się na błędnych działaniach człowieka, ale potem zwrócono uwagę także na otaczającą rzeczywistość operacyjną, w ramach której te działania były podejmowane. Stąd też w literaturze specjalistycznej wyodrębniane są czynniki organizacyjne. Jednak ta rzeczywistość operacyjna pozostaje przecież wytworem człowieka, więc i ona powinna być zaliczona do human factors. Trudno jest jednoznacznie zdefiniować pojęcie czynników ludzkich, więc przyjęto za Arthurem S. Reberem, że: human factors to ogólny termin używany najczęściej jako nazwa specjalności zawodowej, która bada relacje człowiek maszyna. Skupia się ogólnie na problemach postrzegania i psychofizyki, podejmowaniu decyzji i innych aspektach przetwarzania informacji. Niekiedy jest używany w odniesieniu do takich czynników, jak: wyposażenie, środowisko fizyczne, zadania i osoby, które wykonują pracę [8]. Pojęcie czynnika ludzkiego pojawiło się w pierwszych latach XX w. w USA. Z przykrością trzeba stwierdzić, że czynnik ludzki do niedawna nie był w wystarczający sposób uwzględniany jako przyczyna katastrofy podczas badania wypadków lotniczych. Wraz z rozwojem procedur badania katastrof lotniczych zaczęto dostrzegać konieczność wypracowania ogólnego modelu badania czynnika ludzkiego, który byłby podstawą nowoczesnej metodologii badań wypadków w transporcie lotniczym. W tym celu stworzono narzędzie do skalowania udziału czynnika ludzkiego w wypadkach lotniczych (Human Factor Analysis and Classification System, HFACS). Narzędzie to stwarza możliwość wyciągania ogólniejszych wniosków, a przez to kreowania działań doraźnych oraz systemowych mających za zadanie zmniejszenie ryzyka związanego z obecnością czynnika ludzkiego. Uwzględniając powyższe, zasadne jest stwierdzenie, że wypadek stanowi zawsze wypadkową wystąpienia kilku powodujących go czynników i wynika z aktywnych i ukrytych uwarunkowań. Występujące PROBLEMY KRYMINALISTYKI 290(4) 2015 37

Ryc. 4. Model przyczynowości wypadków. awarie techniczne bardzo często pojawiają się w wyniku zaniedbań lub błędnych decyzji człowieka. Relacje czynników systemowych (w zakresie organizacji i zarządzania) doprowadzających w rezultacie do wypadku prezentuje ryc. 4. Pomimo funkcjonowania w systemie lotniczym elementów chroniących przed nieodpowiednimi działaniami oraz błędnymi decyzjami na wszystkich poziomach, wskazano w modelu, że nawet one mogą stanowić ukryte przesłanki prowadzące do wypadku. Niebezpieczeństwo rodzi się również na skutek popełnianych błędów i umyślnego nieprzestrzegania procedur oraz zasad, i choć ryzyko to zasadniczo dotyczy personelu operacyjnego, to może także przeniknąć przez różne elementy obronne systemu lotniczego, powodując wypadek. Ryc. 5. Przyczyny wypadków lotniczych. Z analiz wypadków lotniczych wynika, że tylko 15 proc. z nich jest spowodowanych przyczynami technicznymi, 5 proc. przez środowisko, a aż za 80 proc. odpowiada czynnik ludzki (ryc. 5). Z zestawionych danych wynika, że błędne działania i decyzje podejmowane są przez sprawne i odpowiednio wykwalifikowane jednostki. Tłumaczyć to można pośpiechem przy wprowadzaniu nowych technik i technologii, przy jednoczesnym pominięciu ludzi, którzy obsługują nowe urządzenia i systemy. Oczywiście źródło przyczyn wypadków tkwi również w słabym sprzęcie, niedoskonałych procedurach, nieodpowiednich szkoleniach czy instrukcjach operacyjnych. Zarządzanie bezpieczeństwem wymaga zrozumienia możliwości działania, ograniczeń i zachowania człowieka w kontekście operacyjnym. To tym bardziej istotne, jako że człowiek stanowi najbardziej elastyczny podmiot systemu lotniczego, a jednocześnie jest najbardziej narażony na negatywny wpływ czynników. Przyczyny powstawania błędów ludzkich to dość rozległa problematyka, dlatego każdy zaistniały błąd powinien stanowić punkt wyjścia do znalezienia odpowiednich metod, które zapobiegałyby powstawaniu tego błędu oraz kompensowałyby potencjalne zagrożenia. W związku z tym konieczne jest zrozumienie kontekstu środowiska operacyjnego, w którym ludzie popełniają błędy, oraz czynników i uwarunkowań wpływających na działanie człowieka w miejscu pracy. Obecnie w branży lotniczej bardzo popularne są dwa zasadnicze modele analizy środowiska operacyjnego: model SHELL Franka H. Hawkinsa oraz model sera szwajcarskiego Jamesa Reasona. W modelu SHELL Hawkinsa stanowisko pracy to zbiór stanowiący ścisłe, wzajemne powiązanie czynników i uwarunkowań, które w istotny sposób wpływają na działanie człowieka. To proste, ale wymowne narzędzie koncepcyjne, umożliwiające analizowanie składników i cech wielozadaniowego lotniczego systemu operacyjnego oraz ich możliwych interakcji z ludźmi. Opracowany przez Hawkinsa w 1975 r. model SHELL stanowił rozwinięcie modelu SHEL opracowanego przez Elwyna Edwardsa w 1972 r. Nazwa systemu to akronim pięciu jego zasadniczych elementów składowych i ich interakcji, przy czym uwzględniono też oddziaływanie wzajemne ludzi w tym systemie (ryc. 6): S (Software) oprogramowanie (procedury, szkolenia, wsparcie techniczne itp.); H (Hardware) sprzęt (maszyny i urządzenia); E (Environment) otoczenie (środowisko operacyjne systemu); L (Liveware) (w środku modelu) ludzie (osoby pracujące operacyjnie); L (Liveware) ludzie (osoby współpracujące z poprzednimi). 38 PROBLEMY KRYMINALISTYKI 290(4) 2015

Ryc. 6. Model SHELL Hawkinsa. W zaprezentowanym modelu SHELL zauważalne są nieregularne linie pomiędzy poszczególnymi polami, które świadczą o trudności ścisłego dopasowania ludzi do systemu, w którym pracują, gdyż ludzie, w przeciwieństwie do sprzętu, nie podlegają normalizacji. Natomiast zdawanie sobie sprawy ze skutków niedoskonałości występujących pomiędzy elementami systemu jest konieczne do skutecznej kompensacji ich negatywnego wpływu na centralny blok (operacyjne działanie człowieka). Oznacza to, że wystarczy starannie dopasować do człowieka pozostałe elementy systemu, aby uniknąć niepożądanych zagrożeń w systemie. W związku z tym można wyróżnić następujące obszary wzajemnego oddziaływania: L S (człowiek procedury/oprogramowanie) interakcja na tej linii wymaga oprogramowania przyjaznego dla użytkownika; L H (człowiek sprzęt) najczęściej analizowana interakcja ergonomiczna podczas uwzględniania czynnika ludzkiego; L E (człowiek środowisko operacyjne systemu) interakcja człowieka ze środowiskiem wewnętrznym (np. czynniki fizyczne, jak temperatura, oświetlenie, hałas, wibracje, jakość powietrza) i zewnętrznym (w lotnictwie np. widoczność, turbulencje, zakłócenia normalnego rytmu biologicznego). Dodatkowo w systemie lotniczym istnieją ograniczenia polityczne i ekonomiczne, wpływające na całe otoczenie korporacyjne (np. odpowiedniość fizycznych obiektów i infrastruktury pomocniczej, lokalna sytuacja finansowa, skuteczność obowiązujących przepisów). W środowisku operacyjnym systemu na jakość podejmowanych decyzji może mieć negatywny wpływ brak odpowiedniej infrastruktury oraz wywierana presja obejścia procedur; L L (człowiek człowiek) interakcja w zespole (np. współpraca w załodze lotniczej, kontrolerzy ruchu lotniczego, technicy odpowiedzialni za obsługę techniczną, pozostały personel operacyjny). Wzajemne oddziaływanie wiąże się z przywództwem, współpracą, pracą zespołową oraz wpływającymi na siebie osobowościami. Z uwagi na istotność tych interakcji opracowany został system zarządzania standardowymi błędami człowieka dla personelu latającego, czyli zarządzanie zasobami załogi Crew Resources Management (CRM) oraz wprowadzone zostały szkolenia w tym zakresie. Uzyskiwane w pracy operacyjnej rezultaty doprowadziły do rozszerzenia tych szkoleń o dalszych specjalistów w branży lotniczej: służby ruchu lotniczego zarządzanie zasobami zespołu (TRM) oraz obsługi technicznej statków powietrznych Ryc. 7. Model sera szwajcarskiego Reasona. PROBLEMY KRYMINALISTYKI 290(4) 2015 39

zarządzanie zasobami obsługi technicznej (MRM). W tym obszarze następują również oddziaływania pracowników i kadry kierowniczej, kultury i klimatu korporacyjnego, różnorodnych konfliktów, które mają niewątpliwy wpływ na działanie człowieka. Oprócz wymienionych wyżej obszarów na działanie człowieka wpływają zasadnicze czynniki: fizyczne zdolności do wykonywania wymaganych zadań (np. siła, wzrost, zasięg ramion, wzrok, słuch); fizjologiczne mogące negatywnie wpływać na fizyczne działanie danej osoby lub jej percepcję (np. dostępność tlenu, ogólny stan zdrowia i sprawność, choroby i schorzenia, palenie tytoniu, picie alkoholu i używanie narkotyków, stres, zmęczenie lub ciąża); psychologiczne gotowość człowieka do działania w przewidywanych sytuacjach (np. przeszkolenie, posiadana wiedza i doświadczenie, obciążenie pracą, sprawność psychologiczna, motywacja i ocena, podejście do ryzykownego zachowania, zaufanie, odporność na stres); psychospołeczne zewnętrzne czynniki w systemie społecznym człowieka, które wiążą się ze stanem emocjonalnym w środowisku pracy i poza nim (np. kłótnia z przełożonym, spory pomiędzy pracownikami i kadrą kierowniczą, osobiste problemy finansowe oraz inne problemy w domu, przypadki losowe śmierć, kalectwo członka rodziny). Natomiast model sera szwajcarskiego (ryc. 7), opracowany przez Jamesa Reasona, a wykorzystywany w Polsce m.in. przez Komisję Badania Wypadków Lotniczych [5], ma postać algorytmu, na który składają się elementy prowadzące do wypadku lotniczego. Model ten to wynik badań dotyczących roli człowieka w powstawaniu katastrof oraz wypadków lotniczych, a jego podstawę stanowi hipoteza, że katastrofa lotnicza następuje na skutek sumowania się różnorodnych nieprawidłowości o charakterze jawnym i ukrytym. Istotne znaczenie mają czynniki ukryte: ich nierozpoznanie na czas prowadzi do niebezpiecznego działania człowieka, a w konsekwencji do wypadku [6]. Zastosowanie modelu Reasona pozwala określić czynniki wpływające na niewłaściwe działanie personelu latającego (np. zły nadzór i zarządzanie firmą lotniczą, niebezpieczne działania załogi). Tym samym możliwe jest podjęcie działań profilaktycznych w postaci permanentnego modyfikowania systemów lotniczych i metod szkolenia czy odpowiedniego selekcjonowania kandydatów w zależności od zajmowanych stanowisk. Z modelu i teorii Reasona wynika, że w branży lotniczej każdy specjalista odpowiada za bezpieczeństwo w stopniu zależnym od zajmowanego stanowiska [5]. W każdym modelu przyczynowości wypadków zakłada się wystąpienie zwiastunów katastrofy, które bardzo często zauważane są dopiero po fakcie. Dlatego też identyfikacja takich niebezpiecznych, ukrytych uwarunkowań na wczesnym etapie jest szczególnie ważna. Wymaga ona przeprowadzenia obiektywnej, pogłębionej, racjonalnej analizy ryzyka niebezpiecznych, ukrytych uwarunkowań w lotnictwie, zwanej safety case. Model opracowywania safety case na podstawie projektu SHERPA SHERPA to akronim pochodzący od Support on Pre-operational Actions in GNSS i nazwa projektu w ramach 7 Programu Ramowego, Grant Agreement No 287246, pod patronatem European GNSS Agency. Zadaniem zespołów projektowych z różnych krajów, złożonych z przedstawicieli ANSP, CAA, wybranej linii lotniczej, wybranego lotniska, specjalistów z zakresu GNSS, projektowania procedur, ATCo itp., było wdrożenie krajowych procedur podejścia po lądowania RNAV GNSS w oparciu o system satelitarny EGNOS oraz opracowanie zasad współpracy pomiędzy poszczególnymi instytucjami krajowymi, które powinny być zaangażowane w realizację tego wdrożenia. Zanim do funkcjonującego systemu lotniczego nastąpi wprowadzenie nowego elementu organizacyjnego, prawnego lub technicznego, należy poddać go ocenie bezpieczeństwa, dokonać analizy ryzyka poprzez określenie prawdopodobieństwa wystąpienia niebezpiecznego zdarzenia oraz wynikających z niego konsekwencji. Jest to żmudny i pracochłonny proces, w którym należy wykazać akceptowalny poziom bezpieczeństwa oraz zadawalający sposób łagodzenia ryzyka. Dokonuje się tego w siedmiu kolejnych etapach: I. Przygotowanie opisu proponowanego systemu lub zmiany powinno zawierać: cel, zastosowanie, funkcje, granice oraz współdziałanie systemu z elementami zewnętrznymi, a także opis środowiska funkcjonowania systemu. W przypadku projektu SHERPA przedstawione zostało w scenariuszu lotnicze środowisko operacyjne, włącznie z poziomem dostarczanej służby kontroli ruchu lotniczego (ATS), urządzeniami łączności, nawigacji i dozorowania, naziemną infrastrukturą, przestrzenią powietrzną i opracowanymi procedurami w danym obszarze. Celem opisu operacyjnego było określenie koncepcji operacji (Concept of Operations, CONOPS) dla wybranego lotniska w porównaniu do standardu [3]. II. Identyfikacja zagrożeń powinna uwzględniać możliwe źródła niewydolności i zależnie od charakteru i wielkości rozpatrywanego systemu powinna obejmować: wyposażenie, np. w części ruchowej lotniska, sprzęt i oprogramowanie; warunki operacyjne, np. zima, noc, środowisko operacyjne np. warunki fizyczne, przestrzeń lotnicza i trasy lotu; czynnik ludzki, np. zmiana załogi, operatorzy urządzeń; obszary wzajemnego oddziaływania na linii człowiek sprzęt; 40 PROBLEMY KRYMINALISTYKI 290(4) 2015

procedury operacyjne, np. niewłaściwy podział zadań; procedury eksploatacyjne, procedury techniczne, np. nocna inspekcja wyposażenia elektrycznego części ruchowej lotniska; usługi świadczone przez podmioty zewnętrzne, np. firmy handlingowe, pojazdy służb ochrony. Rozpatrując ten punkt, należy uwzględnić wszelkie możliwe konfiguracje systemu, a osoby uczestniczące w procesie identyfikacji zagrożeń powinny zdawać sobie sprawę ze znaczenia czynników ukrytych. Konieczne jest określenie zagrożeń wynikających ze złej interpretacji nowych procedur przez pracowników oraz niewłaściwego korzystania przez pracowników z nowych możliwości systemu w sposób zamierzony bądź niezamierzony. Identyfikacja zagrożeń powinna być zainicjowana możliwie najwcześniej i przebiegać w formie sesji identyfikacyjnych na wymaganym poziomie uszczegółowienia, zależnym od złożoności rozpatrywanego systemu oraz etapu w cyklu stosowania systemu, na którym dokonywana jest ocena. Natomiast sesja identyfikacji zagrożeń to usystematyzowane podejście do identyfikacji zagrożeń, umożliwiające identyfikację wszystkich potencjalnych zagrożeń. W tym celu stosowane są następujące techniki: a. listy kontrolne zagrożeń opracowywane na podstawie analiz dostępnych danych z wypadków, zdarzeń lub działań podobnych systemów; potencjalnie niebezpieczne obszary będą poddane dalszej ocenie; b. sesje grupowe analiza w grupie z wykorzystaniem burzy mózgów, stosowana do weryfikacji listy kontrolnej zagrożeń, do szerszej analizy zagrożeń, do przeprowadzenia szczegółowej analizy scenariusza. Sesje identyfikacji zagrożeń wymagają obecności doświadczonego personelu szczebla operacyjnego i technicznego i przeważnie przeprowadzane są w formie ukierunkowanej dyskusji grupowej. Ocena zagrożeń powinna być zawarta w przedziale od najmniej do najbardziej prawdopodobnego przypadku zagrożenia oraz uwzględniać możliwość wystąpienia najgorszego możliwego przypadku. W ramach projektu SHERPA, implementując techniki satelitarne do podejść RNAV GNSS, wykonano na modelu operacyjnym podejść LPV w obszarze państw ECAC ostateczną analizę zagrożeń funkcjonalnych Functional Hazard Assessment (FHA) [4, 5]. Tym samym określono nominalne operacje dokonywane przed analizą przypadków. W tym celu dla każdego działania operacyjnego, wykonanego przez system, człowieka lub wspólnie, w kolejnych fazach lotu zidentyfikowano odpowiednie modele i tryby błędów oraz awarii. Następnie każdy tryb błędów oraz awarii został przeanalizowany pod względem: przykładowych przyczyn (aby sprawdzić ich zasadność, wiarygodność, prawdziwość), operacyjnych konsekwencji i ułatwień, zagrożeń, przybliżonych porównań ryzyk w operacjach podejścia według przyrządowego systemu lądowania (ILS) i przygotowanie zaleceń, które należy uwzględnić w zakresie środków zmniejszających te ryzyka. Szczegółowy opis metody identyfikacji zagrożeń zawarty został w dokumentacji projektowej. W odniesieniu do wytycznych SAM FHA, burza mózgów FHA skupiająca odpowiednich ekspertów operacyjnych i technicznych nie była możliwa ze względu na ograniczenia projektu oraz brak dostępnych w tej dziedzinie Tabela 1. Przykładowe wybrane zagrożenia z projektu SHERPA Zagrożenie Lotnisko podczas przechwytywania ścieżki podejścia końcowego (profil pionowy) Próba przechwycenia ścieżki podejścia końcowego z przewyższenia (profil pionowy) Nieutrzymywanie nakazanej ścieżki podejścia końcowego Zejście poniżej wysokości decyzji (DA) bez widzialności Niewykonanie poprawnego podejścia Opis Statki powietrzne wykonujące błędny lot do FAWP na wysokości niższej niż minimalna dla procedury podejścia. Sytuacja podobna jak w OH1 lub statek powietrzny ma zbyt dużą wysokość przed FAWP. W obu przypadkach załodze nie udaje się przechwycić standardowej ścieżki zniżania i zamiast uruchomienia procedury po nieudanym podejściu, załoga decyduje się przechwycić tę ścieżkę z naruszeniem standardowej procedury. Statek powietrzny nie znajduje się na właściwej ścieżce podejścia końcowego z powodu niewłaściwego oszacowania położenia, utrzymywania niewłaściwego kierunku lub nieprawidłowo wykonanych manewrów. Statek powietrzny zniża się poniżej wysokości decyzji (DA) przy braku widzialności, ponieważ załoga przyjęła błędne parametry podejścia lub uzyskała złe informacje dotyczące ciśnienia lotniskowego lub przyjęła błędną wysokość decyzji. Niezastosowanie się do oczekiwanego lub nakazanego profilu lotu podczas nieudanego podejścia. PROBLEMY KRYMINALISTYKI 290(4) 2015 41

ekspertów. W konsekwencji praca została zorganizowana w następujący sposób: w pierwszej iteracji tabele FHA zostały wypełnione przez eksperta ds. bezpieczeństwa ze wsparciem (pytania/odpowiedzi) dwóch ekspertów technicznych, następnie zorganizowanych zostało kilka sesji roboczych FHA: trzy półdniowe sesje z udziałem trzech ekspertów technicznych ds. płatowców, wśród których jeden ma solidne doświadczenie operacyjne; jedna półdniowa sesja z udziałem odpowiednich specjalistów z instytucji zapewniających służby żeglugi powietrznej Air Navigation Service Provider (ANSP): pięciu kontrolerów ruchu lotniczego Air Traffic Control Officer (ATCO) i jednego eksperta technicznego. Podczas tych sesji roboczych model operacyjny został po raz pierwszy przedstawiony ekspertom do walidacji, a ostateczna tabela FHA (tab. 1) została poddana przeglądowi przez uczestników RAFG i innych ekspertów operacyjnych i technicznych. Główne wyniki pośredniej wersji ostatecznej oceny FHA poddano walidacji przez ekspertów operacyjnych i technicznych przy okazji warsztatów nt. oceny bezpieczeństwa poświęconych głównie wstępnej ocenie bezpieczeństwa systemu (Preliminary System Safety Assessment, PSSA). III. Ocena powagi i konsekwencji wystąpienia zdarzenia następuje po zarejestrowaniu konsekwencji każdego zagrożenia zidentyfikowanego w poprzednim punkcie, ponieważ na tym etapie ustala się wagę każdej z konsekwencji. Istotne jest stwierdzenie, że dla zastosowań, przy których regularnie wykorzystywana jest analiza ryzyka, opracowane zostały schematy klasyfikacji ryzyka, np. Joint Aviation Authorities (JAA) Wspólne wymagania dla lotnictwa duże statki powietrzne (JAR-25). Opracowanie to uznawane jest przez władze lotnictwa cywilnego w wielu krajach jako akceptowalny punkt odniesienia dla wykazania zgodności z poszczególnymi krajowymi kodami zdolności do lotu. Opracowanie JAR-25.1309 oraz związane z nim materiały doradcze AMJ 25.1309 zawierają kryteria klasyfikacji ryzyka stosowane do określania akceptowalnych poziomów ryzyka, które uwzględniają historyczne wskaźniki wypadkowości oraz potrzebę odwrotnej proporcjonalności pomiędzy prawdopodobieństwem utraty danej funkcji i powagą zagrożenia dla statku powietrznego oraz osób znajdujących się na jego pokładzie. Chociaż kryteria określone w opracowaniu JAR-25 odnoszą Tabela 2. Zagrożenie dla bezpieczeństwa operacji statków powietrznych Katastrofalne Niebezpieczne Poważne Drobne Nieznaczące A B C D E Całkowita utrata statku powietrznego Znaczne obniżenie marginesu bezpieczeństwa, duże uszkodzenia sprzętu Istotne zmniejszenie marginesu bezpieczeństwa, poważny incydent Uciążliwość i ograniczenia operacyjne, dobry incydent Niewielki wpływ na bezpieczeństwo Tabela 3. Zagrożenie dla bezpieczeństwa ludzi Katastrofalne Niebezpieczne Poważne Drobne Nieznaczące A B C D E Utrata życia Poważne obrażenia ciała Zagrożenie poważnymi obrażeniami ciała Zmniejszenie zdolności pracowników do radzenia sobie z niesprzyjającymi warunkami w wyniku zwiększonego obciążenia pracą Dyskomfort pracy Tabela 4. Utrata korzyści finansowych Katastrofalne Niebezpieczne Poważne Drobne Nieznaczące A B C D E Katastrofalne uszkodzenia wartości > 1 mln dol. Niebezpieczne uszkodzenia wartości > 100 tys. dol. oraz < 1 mln dol. Poważne uszkodzenia wartości > 25 tys. dol. oraz < 100 tys. dol. Drobne uszkodzenia wartości > 5 tys. dol. oraz < 25 tys. dol. Nieznaczne uszkodzenia wartości < 5 tys. dol. 42 PROBLEMY KRYMINALISTYKI 290(4) 2015

Tabela 5. Wpływ na wizerunek portu lotniczego Katastrofalne Niebezpieczne Poważne Drobne Nieznaczące A B C D E Istotny wpływ na reputację na poziomie Wspólnoty Istotny wpływ na reputację na poziomie krajowym Istotny wpływ na reputację pośród portów lotniczych Średni wpływ na reputację pośród portów lotniczych Drobny lub średni wpływ na reputację portu Tabela 6. Oszacowanie prawdopodobieństwa wystąpienia niekorzystnych zdarzeń Poziom Określenie Częstotliwość w ujęciu statystycznym Częstotliwość w ujęciu opisownym 5 Częste 4 Sporadyczne 3 Niewielkie 2 Nieprawdopodobne Raz w miesiącu / > 10 na 1000 operacji Częściej niż raz w roku / 5 10 > na 1000 operacji Raz w roku / 1 5 > na 1000 operacji Raz na 5 lat / 0,1 1 > na 1000 operacji Może wystąpić kilka razy w czasie całego cyklu eksploatacji Może wystąpić raz w czasie całego okresu eksploatacji każdego systemu Mało prawdopodobne, że wystąpi w całym cyklu operacyjnym każdego systemu Mało prawdopodobne, że wystąpi w kilku systemach tego samego typu, ale jego wystąpienie należy uznać za możliwe 1 Skrajnie nieprawdopodobne Raz na 10 lat / < 0,1 na 1000 operacji Praktycznie nie powinno nigdy wystąpić w całym okresie działania się konkretnie do systemów statku powietrznego związanych ze zdatnością do lotu, można wykorzystać je jako wskazówki do opracowania podobnych schematów klasyfikacji w innych celach. Po zakończeniu dokonywania oceny powagi konsekwencji dla wszystkich zidentyfikowanych zagrożeń, wyniki takiej oceny wraz z racjonalnymi podstawami dla wybranej klasyfikacji powagi konsekwencji należy zapisać w rejestrze zagrożeń. W ramach projektu SHERPA, implementując techniki satelitarne do podejść RNAV GNSS, wykonano niezbędne klasyfikacje, określające poziom dotkliwości niekorzystnych zdarzeń, których przykłady prezentują tabele 2, 3, 4, 5. IV. Szacunkowa ocena prawdopodobieństwa wystąpienia zagrożenia następuje w wyniku ukierunkowanych dyskusji wykorzystujących standardowy schemat klasyfikacji jako punkt odniesienia. Opracowane dane zestawia się w tabeli. W ramach projektu SHERPA oszacowano prawdopodobieństwo wystąpienia niekorzystnych zdarzeń, określając poziom ich dotkliwości (tab. 6). Prawdopodobieństwo zostało zaprezentowane w kategoriach jakościowych, lecz w analizie zawarto także wartości liczbowe związane z każdą kategorią. W niektórych przypadkach dostępne mogą być dane umożliwiające budowę elementów systemu. Często dostępne są też obszerne dane na temat wskaźników awaryjności danego komponentu w przeszłości. Ocena prawdopodobieństwa wystąpienia zagrożeń związanych z błędami człowieka ogólnie wiązać się będzie z większym stopniem subiektywizmu (należy mieć na uwadze, że nawet w przypadku oceny sprzętu zawsze istnieje możliwość awarii wynikających z błędu człowieka, np. nieprawidłowe procedury obsługi technicznej). Po zakończeniu dokonywania oceny prawdopodobieństwa dla wszystkich zidentyfikowanych zagrożeń wyniki takiej oceny wraz z racjonalnymi podstawami należy zapisać w rejestrze zagrożeń. V. Ocena ryzyka odbywa się przy założeniu, że akceptowalność ryzyka zależy zarówno od prawdopodobieństwa wystąpienia, jak i powagi jego konsekwencji, a kryteria stosowane do oceny akceptowalności będą zawsze dwuwymiarowe. Akceptowalność opiera się zwykle na porównaniu z modelem powagi konsekwencji/prawdopodobieństwa wystąpienia. Również w ramach projektu SHERPA skorzystano z macierzy ryzyka, oznaczając prawdopodobieństwo i dotkliwość (ryc. 8). Przy ocenie ryzyka pojawia się strefa pomiędzy akceptowalnym i nieakceptowalnym ryzykiem, gdzie decyzja dotycząca akceptowalności nie jest jednoznaczna. Ryzyka takie tworzą trzecią kategorię, w której ryzyko może być tolerowane, jeżeli zostanie zredukowane do możliwie najniższego racjonalnego poziomu. Jeżeli ryzyko klasyfikowane jest jako ryzyko znajdujące się na możliwie najniższym racjonalnym poziomie, zawsze podejmowane będą próby jego złagodzenia, a środki łagodzenia ryzyka uznane jako wykonalne zostaną wdrożone. VI. Łagodzenie ryzyka jest podejmowane, jeżeli ryzyko nie spełnia zdefiniowanych wcześniej poziomów akceptowalności. Wtedy należy zastosować PROBLEMY KRYMINALISTYKI 290(4) 2015 43

Ryc. 8. Macierz ryzyka w wersji polskiej i w wersji oryginalnej projektu. odpowiednie procedury łagodzenia ryzyka. Identyfikacja odpowiednich środków łagodzenia ryzyka wymaga dobrego zrozumienia zagrożenia oraz czynników wpływających na jego występowanie, ponieważ skuteczny w redukcji ryzyka mechanizm dokona modyfikacji jednego lub więcej z tych czynników. Osiągnięcie pożądanego poziomu redukcji ryzyka może wymagać wprowadzenia więcej niż jednego środka łagodzenia ryzyka, a możliwe podejścia obejmują: weryfikację konstrukcji systemu, modyfikację procedur operacyjnych, zmianę liczby wyznaczonych pracowników, szkolenie personelu, który ma się zajmować zagrożeniem. W ramach projektu SHERPA zostały również opracowane odpowiednie procedury łagodzenia ryzyka (ryc. 9). VII. Opracowanie dokumentacji oceny bezpieczeństwa polega na udokumentowaniu wyników oceny bezpieczeństwa oraz argumentów i dowodów pokazujących, że ryzyko związane z wdrażaniem proponowanego systemu lub zmiany zostało wyeliminowane lub znajduje się pod odpowiednią kontrolą i zostało zredukowane do poziomu, który daje się tolerować. Oprócz opisu rezultatów przeprowadzonej oceny bezpieczeństwa dokumentacja powinna zawierać podsumowanie stosowanych metod, zidentyfikowanych zagrożeń oraz środków łagodzenia ryzyka niezbędnych do spełnienia kryteriów oceny ryzyka. Dokumentacja taka musi zawsze zawierać rejestr zagrożeń. Powinna zostać przygotowana w wystarczająco szczegółowy sposób, tak aby każdy, kto się z nią zapoznaje, mógł zobaczyć, jakie decyzje zostały podjęte oraz w jaki sposób uzasadniono fakt sklasyfikowania ryzyka jako akceptowalne lub dające się tolerować. Dokumentacja powinna także zawierać nazwiska personelu biorącego udział w procesie dokonywania oceny. Ryc. 9. Schematyczne zobrazowanie łagodzenia ryzyka. 44 PROBLEMY KRYMINALISTYKI 290(4) 2015

Wnioski W ostatnich latach wzrosło zrozumienie tego, w jaki sposób dochodzi do wypadków i incydentów lotniczych. W kontekście przyczyn błędów uwagę przeniesiono z czynników technicznych (lata 70.) na human factors, chociaż niektórzy starają się wydzielać osobną grupę czynników organizacyjną (choć ta jednak jest przecież realizowana również przez ludzi!). Człowiek odgrywa kluczową rolę w pracy personelu obsługowego i służb lotniskowych. Wykonuje wiele różnorodnych czynności, które są niezbędne dla bezpiecznego oraz efektywnego działania lotniska. Czasami jednak pracownik nie jest w stanie wykonać powierzonych mu zadań poprawnie lub w wyznaczonym przedziale czasowym. Takie działanie może doprowadzić do licznych niepożądanych skutków, takich jak uszkodzenie sprzętu lotniczego, uszkodzenie ciała ludzkiego, opóźnienia lotu lub uszkodzenie jakiegokolwiek sprzętu, który znajduje się na obszarze działania pracownika. Toteż human factor jest niezbędnym element każdego safety case. Doceniając wagę problematyki, prezes Urzędu Lotnictwa Cywilnego w zarządzeniu dotyczącym czynnika ludzkiego (H) nr 3 z dnia 22 lutego 2005 r. podał podział grup przyczynowych wypadków i incydentów lotniczych, odnoszących się do personelu latającego, ale również w obszarach technicznych, środowiskowych i organizacyjnych. Przykładowo czynnik H2 może być konsekwencją braków w szkoleniu (02) lub standardów, kontroli i audytów (03). Podobnie H5 może stanowić konsekwencję braków w zarządzaniu bezpieczeństwem (01) lub braku standardów, kontroli i audytów (03). Do tych grup przyczynowych zalicza się: H1 postępowanie umyślne, H2 braki kwalifikacji, H3 błędy operacyjne, H4 błędy w komunikowaniu, H5 błędy proceduralne, H6 niezdolność do wykonywania czynności z powodu fizycznej lub psychofizycznej niedyspozycji. 5. Jong H.: Guidelines for the Identification of Hazards How to make unimaginable hazards imaginable? NLR-CR-2004-094, EUROCON- TROL 2004. 6. Klich E.: Using the James Reason Theory in air Events Study, Journal of KONBiN, 2008, 4(7), s. 20. 7. Truszyński O., Biernacki M.: Skalowanie udziału czynnika ludzkiego w wypadkach lotniczych, Polski Przegląd Medycyny Lotniczej 2010, nr 1, tom 16, s. 28. 8. Kałużna E., Fellner A.: Metody uwzględnienia czynnika ludzkiego w zarządzaniu bezpieczeństwem systemu transportu lotniczego, Prace Naukowe Politechniki Warszawskiej 2014, 103. 9. Reber A.S., Reber E.: Słownik psychologii, Scholar, Warszawa 2000. 10. Makarowski R.: Ryzyko i stres w lotnictwie sportowym, Difin, Warszawa 2010, s. 190. 11. Biuro Archiwów Wypadków Lotniczych w Genewie. Źródła rycin i tabel Rycina 1: www.baaa-acro.com/result-histogramcrash-page Rycina 2: www.dynamicflight.com/avcfibook/ instruction_techniques Rycina 3: www.avhf.com Rycina 4: ICAO: Podręcznik zarządzania bezpieczeństwem, Doc 9859 AN /460, Montreal 2006, s. 10. Rycina 5: Truszyński O., Biernacki M.: Skalowanie udziału czynnika ludzkiego w wypadkach lotniczych, Polski Przegląd Medycyny Lotniczej 2010, nr 1, tom 16, s. 28. Ryciny 6 9: autorzy. Tabele 1 6: autorzy. Bibliografia 1. Fellner A.: Polish National Scenario Report, Doc. SHERPA-PANSA-NSR-D21EP, Issue 01-00, 2013, s. 79. 2. ICAO: Podręcznik zarządzania bezpieczeństwem, Doc 9859 AN /460, Montreal 2006, s. 10. 3. APV SBAS Approach Concept of Operations, CONOPS 1 28/01/2009. 4. EUROCONTROL: Safety Assessment Methodology Guidance Material on Planning and Conducting FHA Sessions, SAF.ET1.ST03.1000- MAN-01-01-03-A. PROBLEMY KRYMINALISTYKI 290(4) 2015 45