فصل ۱۶. مدل‌های سیستمی تحلیل ایمنی و کاربرد آن‌ها در پایش

فهرست کلی فصل

16.1. مقدمه: چرا تحلیل ایمنی به مدل‌های سیستمی نیاز دارد؟

16.2. مبانی تفکر سیستمی در تحلیل ایمنی

16.3. محدودیت‌های مدل‌های خطی و زنجیره‌ای حادثه

16.4. مدل STAMP و روش STPA در تحلیل و پایش ایمنی

16.5. مدل FRAM و فهم تغییرپذیری عملکرد در کار واقعی

16.6. مدل AcciMap و تحلیل چندسطحی عوامل حادثه

16.7. مدل Bow-Tie و مدیریت موانع در پایش HSE

16.8. تحلیل موانع، شاخص‌های پیشرو و پایش کنترل‌های حیاتی

16.9. کاربرد مدل‌های سیستمی در طراحی نظام پایش عملکرد HSE

16.10. ملاحظات اجرایی در پیاده‌سازی مدل‌های سیستمی

16.11. جمع‌بندی تحلیلی فصل

منابع

.

16.1. مقدمه: چرا تحلیل ایمنی به مدل‌های سیستمی نیاز دارد؟

در سال‌های اخیر، در کلاس‌های دانشگاهی، کارگاه‌های صنعتی و جلسات تحلیل حوادث، بارها با یک پرسش بنیادین روبه‌رو شده‌ام: چرا سازمان‌هایی که رویه دارند، آموزش می‌دهند، ممیزی انجام می‌دهند و شاخص‌های HSE را گزارش می‌کنند، همچنان با حوادث جدی مواجه می‌شوند؟ پاسخ ساده‌ای برای این پرسش وجود ندارد. بخشی از پاسخ در پیچیدگی روزافزون سازمان‌ها، فناوری‌ها، زنجیره‌های تأمین، پیمانکاری، فشارهای اقتصادی، تغییرات سریع عملیاتی و تعاملات انسانی نهفته است. در چنین محیطی، حادثه معمولاً پیامد یک «علت منفرد» نیست؛ بلکه حاصل برهم‌کنش مجموعه‌ای از عوامل فنی، انسانی، سازمانی، مدیریتی و محیطی است.

مدل‌های سنتی تحلیل حادثه، مانند مدل‌های زنجیره‌ای، در دوره‌ای بسیار مفید بودند؛ زیرا توجه مدیران را از تقدیرگرایی و نسبت دادن حادثه به «بدشانسی» به سمت علل قابل شناسایی و قابل کنترل سوق دادند. اما مسئله این است که بسیاری از این مدل‌ها، حادثه را به‌صورت توالی ساده‌ای از رویدادها می‌بینند؛ گویی اگر حلقه‌ای از زنجیره شکسته می‌شد، حادثه رخ نمی‌داد. این نگاه برای برخی رخدادهای ساده همچنان کاربرد دارد، اما برای سیستم‌های پیچیده امروزی کفایت ندارد. در صنایع فرایندی، حمل‌ونقل، انرژی، ساخت‌وساز بزرگ‌مقیاس، سلامت، هوانوردی، معدن و پروژه‌های چندپیمانکاری، ایمنی حاصل تعاملات پویا و چندسطحی است، نه صرفاً نتیجه رعایت یا عدم رعایت یک دستورالعمل.

در این فصل، تمرکز ما بر مدل‌های سیستمی تحلیل ایمنی است؛ مدل‌هایی که می‌کوشند ایمنی را به‌عنوان ویژگی کل سیستم بفهمند، نه صرفاً پیامد رفتار فردی یا خرابی یک جزء. هدف من در این فصل آن نیست که تمام روش‌های تحلیل ریسک یا تحلیل حادثه را فهرست کنم. چنین کاری نه مفید است و نه برای کتابی درباره ارزیابی و پایش عملکرد HSE کفایت تحلیلی دارد. هدف اصلی این است که نشان دهیم مدل‌های سیستمی چگونه می‌توانند نگاه ما به پایش HSE را دگرگون کنند: از پایش پیامدها به پایش کنترل‌ها، از شمارش خطاها به فهم تعاملات، از تمرکز بر فرد به تحلیل ساختار تصمیم‌گیری، و از گزارش گذشته به تشخیص زودهنگام فرسایش ظرفیت‌های ایمنی.

مدل‌هایی مانند STAMP و STPA، FRAM، AcciMap و Bow-Tie هرکدام از زاویه‌ای متفاوت به سیستم نگاه می‌کنند. STAMP ایمنی را مسئله کنترل و بازخورد در یک سیستم اجتماعی-فنی می‌داند و STPA روشی برای شناسایی سناریوهای خطرناک ناشی از کنترل ناکافی ارائه می‌کند (Leveson, 2011, 2018). FRAM بر تغییرپذیری عملکردهای روزمره و نحوه تشدید یا تضعیف آن‌ها در سیستم تمرکز دارد (Hollnagel, 2012). AcciMap حادثه را در سطوح مختلف، از سیاست‌گذاری و مقررات تا مدیریت سازمان و فعالیت‌های خط مقدم، تحلیل می‌کند (Rasmussen, 1997; Svedung & Rasmussen, 2002). Bow-Tie نیز با وجود ریشه‌های ساده‌تر خود، اگر درست به کار رود، ابزاری قدرتمند برای پایش موانع و کنترل‌های حیاتی است (Center for Chemical Process Safety [CCPS], 2018; International Association of Oil & Gas Producers [IOGP], 2016).

اهمیت این فصل برای بحث پایش عملکرد HSE در همین نقطه است. اگر مدل تحلیل ایمنی ما خطی باشد، شاخص‌های پایش ما نیز معمولاً خطی و پیامدمحور خواهند شد؛ مانند نرخ حادثه، تعداد روزهای بدون حادثه یا تعداد خطاهای ثبت‌شده. اما اگر ایمنی را سیستمی ببینیم، باید شاخص‌هایی طراحی کنیم که وضعیت کنترل‌ها، کیفیت بازخورد، هماهنگی میان واحدها، تغییرات زمینه‌ای، فرسایش موانع، انحراف از فرض‌های طراحی و کیفیت تصمیم‌گیری را نیز نشان دهند. به زبان ساده، مدل ذهنی ما درباره حادثه، نوع شاخص‌هایی را تعیین می‌کند که برای HSE انتخاب می‌کنیم.

.

16.2. مبانی تفکر سیستمی در تحلیل ایمنی

تفکر سیستمی از این فرض آغاز می‌کند که رفتار یک سیستم را نمی‌توان فقط با شناخت اجزای منفرد آن توضیح داد. اجزا مهم‌اند، اما روابط میان اجزا، جریان اطلاعات، سازوکارهای بازخورد، اهداف متعارض، محدودیت‌های سازمانی و زمینه تصمیم‌گیری نیز به همان اندازه اهمیت دارند. در مدیریت ایمنی، این یعنی حادثه را نباید صرفاً به خرابی تجهیز، خطای اپراتور، نقص آموزش یا ضعف دستورالعمل فروکاست. این عوامل ممکن است در حادثه نقش داشته باشند، اما پرسش عمیق‌تر این است که چرا سیستم اجازه داد این عوامل شکل بگیرند، دیده نشوند، اصلاح نشوند یا با یکدیگر ترکیب شوند.

Rasmussen (1997) با طرح مدل مهاجرت به سوی مرزهای عملکرد ناایمن نشان داد که سازمان‌ها تحت فشارهای اقتصادی، زمانی و بهره‌وری، به‌تدریج به سمت مرزهای خطر حرکت می‌کنند. این حرکت معمولاً با تصمیم‌های کوچک، قابل دفاع و روزمره آغاز می‌شود؛ مثلاً به تعویق انداختن یک تعمیر، کاهش زمان آموزش پیمانکار، ساده‌سازی بیش از حد مجوز کار، یا نادیده گرفتن یک هشدار تکراری. هیچ‌کدام از این تصمیم‌ها به‌تنهایی فاجعه‌آمیز به نظر نمی‌رسند، اما در کنار یکدیگر می‌توانند فضای ایمن عملیات را محدود کنند.

در نگاه سیستمی، ایمنی یک خاصیت پدیدار شونده است. اصطلاح «پدیدار شونده» به این معناست که ایمنی فقط در سطح اجزا وجود ندارد، بلکه از تعامل میان اجزا به وجود می‌آید. برای مثال، یک پمپ ممکن است از نظر فنی سالم باشد، اپراتور آموزش دیده باشد، رویه عملیاتی نیز موجود باشد؛ اما اگر آلارم‌ها زیاد و نامرتب باشند، فشار تولید بالا باشد، تحویل شیفت ناقص انجام شود و اختیار توقف کار مبهم باشد، سیستم همچنان می‌تواند در وضعیت ناایمن قرار گیرد. بنابراین، تحلیل سیستمی به ما یادآوری می‌کند که سالم بودن اجزا الزاماً به معنای ایمن بودن کل سیستم نیست.

در همین چارچوب، Leveson (2011) معتقد است بسیاری از حوادث مدرن را بهتر است نه به‌عنوان زنجیره‌ای از خرابی‌ها، بلکه به‌عنوان نتیجه کنترل ناکافی محدودیت‌های ایمنی در سیستم‌های پیچیده درک کنیم. این نکته بسیار مهم است. در سیستم‌های پیشرفته، اجزا ممکن است طبق طراحی خود عمل کنند، اما تعامل میان آن‌ها به نتیجه‌ای ناایمن منجر شود. نمونه‌های شناخته‌شده‌ای در صنایع هوافضا، فرایندی و حمل‌ونقل نشان داده‌اند که حادثه الزاماً به معنای خرابی فنی کلاسیک نیست؛ گاهی تصمیم‌های درست در سطح محلی، در سطح کلان نتیجه خطرناک ایجاد می‌کنند.

تفکر سیستمی برای پایش HSE نیز پیامد روشن دارد. اگر حادثه حاصل تعاملات و کنترل‌های ناکافی است، پایش باید بتواند این تعاملات و کنترل‌ها را رصد کند. بنابراین، شاخص‌های HSE باید به پرسش‌هایی از این جنس پاسخ دهند:

• آیا اطلاعات ایمنی به‌موقع به تصمیم‌گیرندگان می‌رسد؟
• آیا کنترل‌های حیاتی همچنان معتبرند؟
• آیا تغییرات سازمانی اثر خود را بر ریسک نشان داده‌اند؟
• آیا میان اهداف تولید و ایمنی تعارض پنهان وجود دارد؟
• آیا بازخوردهای خط مقدم به سطح مدیریت منتقل می‌شود؟

این پرسش‌ها با شاخص‌های پیامدی صرف پاسخ داده نمی‌شوند.

.

16.3. محدودیت‌های مدل‌های خطی و زنجیره‌ای حادثه

مدل‌های خطی حادثه، از جمله مدل دومینو، نقش تاریخی مهمی در توسعه مدیریت ایمنی داشته‌اند. Heinrich (1931) با مدل دومینو کوشید نشان دهد که حادثه نتیجه توالی عواملی است که اگر یکی از آن‌ها حذف شود، از وقوع حادثه جلوگیری می‌شود. بعدها مدل‌هایی مانند Swiss Cheese نیز با تمرکز بر لایه‌های دفاعی و شکاف‌های پنهان در آن‌ها، نگاه عمیق‌تری به شکست‌های سازمانی ارائه کردند (Reason, 1997). این مدل‌ها همچنان برای آموزش مفاهیم اولیه ایمنی، تحلیل رخدادهای ساده و توضیح اهمیت موانع دفاعی ارزشمندند.

با این حال، محدودیت اصلی مدل‌های خطی آن است که حادثه را بیش از حد ترتیبی و قابل جداسازی نشان می‌دهند. در بسیاری از رخدادهای پیچیده، نمی‌توان یک مسیر واحد و ساده از علت به معلول ترسیم کرد. عوامل مختلف ممکن است هم‌زمان، غیرخطی و با تأخیر زمانی بر یکدیگر اثر بگذارند. برای مثال، در یک حادثه فرایندی، تصمیم‌های طراحی، برنامه نگهداشت، فشار تولید، کیفیت آموزش، وضعیت آلارم‌ها، فرهنگ گزارش‌دهی، تصمیم‌های پیمانکاری و شرایط محیطی ممکن است به‌گونه‌ای درهم‌تنیده شوند که تعیین «علت اصلی» به معنای ساده آن گمراه‌کننده باشد.

اصطلاح «علت ریشه‌ای» نیز در این زمینه باید با احتیاط به کار رود. در عمل، بسیاری از تحلیل‌های علت ریشه‌ای به‌جای رسیدن به ریشه‌های سیستمی، در سطح علل نزدیک به حادثه متوقف می‌شوند: خطای اپراتور، عدم رعایت رویه، نقص آموزش یا ضعف نظارت. این یافته‌ها ممکن است درست باشند، اما کافی نیستند. Dekker (2014) تأکید می‌کند که برچسب «خطای انسانی» اغلب پایان تحلیل است، در حالی که باید آغاز تحلیل باشد. پرسش اصلی این نیست که فرد چه اشتباهی کرد، بلکه این است که چرا در آن زمینه، آن اقدام برای او معنادار، ممکن یا حتی ضروری به نظر رسید.

محدودیت دیگر مدل‌های خطی، گرایش آن‌ها به بازسازی حادثه از نگاه پسینی است. وقتی پیامد رخ داده است، مسیر حادثه بسیار روشن‌تر از زمان وقوع به نظر می‌رسد. این پدیده که در روان‌شناسی شناختی با مفهوم سوگیری پس‌نگر شناخته می‌شود، باعث می‌شود تحلیلگران تصور کنند نشانه‌های حادثه پیشاپیش آشکار بوده‌اند (Woods et al., 2010). در حالی که در زمان واقعی، کارکنان و مدیران با اطلاعات ناقص، اهداف متعارض و عدم قطعیت تصمیم می‌گیرند.

این نقدها به معنای کنار گذاشتن کامل مدل‌های خطی نیست. در مدیریت HSE، ابزارهایی مانند تحلیل درخت خطا، تحلیل درخت رویداد، HAZOP و LOPA همچنان کاربرد فراوان دارند، به‌ویژه در طراحی و ارزیابی ریسک‌های فنی (CCPS, 2001, 2018). اما برای پایش عملکرد HSE در سیستم‌های پیچیده، باید این ابزارها را با مدل‌های سیستمی تکمیل کرد. به بیان دیگر، مسئله انتخاب میان مدل خطی و سیستمی نیست؛ مسئله این است که بدانیم هر مدل چه چیزی را خوب نشان می‌دهد و چه چیزی را پنهان می‌کند.

.

16.4. مدل STAMP و روش STPA در تحلیل و پایش ایمنی

16.4.1. مبانی مدل STAMP

مدل STAMP که توسط Nancy Leveson توسعه یافت، یکی از مهم‌ترین چارچوب‌های سیستمی در تحلیل ایمنی معاصر است. STAMP مخفف Systems-Theoretic Accident Model and Processes است و بر پایه نظریه سیستم‌ها و کنترل بنا شده است. در این مدل، ایمنی نه صرفاً نتیجه پیشگیری از خرابی اجزا، بلکه نتیجه اعمال و حفظ محدودیت‌های ایمنی در سراسر سیستم تلقی می‌شود (Leveson, 2011).

پس در STAMP، سیستم به‌صورت ساختار کنترل سلسله‌مراتبی دیده می‌شود. در این ساختار، سطوح مختلفی مانند قانون‌گذار، نهاد نظارتی، مدیریت ارشد، مدیریت میانی، مهندسان، سرپرستان، اپراتورها، تجهیزات، سامانه‌های خودکار و پیمانکاران با یکدیگر در ارتباط‌اند. هر سطح از طریق تصمیم‌ها، دستورها، استانداردها، رویه‌ها، اهداف و منابع بر سطح دیگر اثر می‌گذارد و از طریق گزارش‌ها، شاخص‌ها، بازخوردها و مشاهده‌ها اطلاعات دریافت می‌کند. حادثه زمانی رخ می‌دهد که این ساختار کنترل نتواند محدودیت‌های ایمنی لازم را اعمال کند.

مزیت STAMP برای HSE آن است که تحلیل را از سطح رویدادهای نزدیک به حادثه فراتر می‌برد و به طراحی ساختار کنترل، کیفیت بازخورد و کفایت محدودیت‌های ایمنی توجه می‌کند. برای نمونه، اگر حادثه‌ای در عملیات بالابری رخ دهد، تحلیل STAMP فقط نمی‌پرسد اپراتور جرثقیل چه کرد یا بار چرا سقوط کرد؛ بلکه می‌پرسد چه محدودیت‌هایی باید در سیستم اعمال می‌شد؟ چه کسی مسئول کنترل آن‌ها بود؟

• آیا اطلاعات لازم برای تصمیم‌گیری وجود داشت؟
• آیا فشار برنامه زمان‌بندی، کیفیت ارزیابی پیمانکار یا ضعف نظارت در ساختار کنترل نقش داشت؟
• آیا بازخوردهای قبلی درباره نزدیک‌حادثه‌ها به مدیریت رسیده بود؟

Leveson (2018) تأکید می‌کند که در سیستم‌های پیچیده، تمرکز صرف بر قابلیت اطمینان اجزا کافی نیست. سیستم می‌تواند از اجزای قابل اعتماد تشکیل شده باشد، اما به دلیل تعاملات نامناسب، بازخورد ناقص یا کنترل ناکافی، رفتار ناایمن ایجاد کند. این نکته برای پایش HSE بسیار مهم است؛ زیرا نشان می‌دهد شاخص‌هایی مانند خرابی تجهیز یا خطای فردی فقط بخشی از تصویر هستند. شاخص‌های سیستمی باید کیفیت کنترل و بازخورد را نیز نشان دهند.

16.4.2. کاربرد STPA در شناسایی سناریوهای پایش

STPA یا Systems-Theoretic Process Analysis روش تحلیلی مبتنی بر STAMP است که برای شناسایی سناریوهای خطرناک ناشی از کنترل ناکافی به کار می‌رود. این روش در حوزه‌های مختلف از جمله هوافضا، خودروهای خودران، انرژی، سلامت و فرایندهای صنعتی استفاده شده است (Leveson & Thomas, 2018; Sulaman et al., 2019). STPA به‌جای تمرکز بر خرابی اجزا، بر اقدامات کنترلی ناایمن تمرکز می‌کند.

در STPA معمولاً چند گام اصلی دنبال می‌شود. ابتدا هدف تحلیل، خسارت‌های ناخواسته و مخاطرات سطح سیستم تعریف می‌شود. سپس ساختار کنترل سیستم ترسیم می‌گردد. در مرحله بعد، اقدامات کنترلی ناایمن شناسایی می‌شوند؛ یعنی اقداماتی که اگر انجام شوند، انجام نشوند، دیر یا زود انجام شوند، یا مدت زیادی ادامه یابند، می‌توانند به وضعیت خطرناک منجر شوند. سپس سناریوهایی تحلیل می‌شود که توضیح می‌دهند چرا چنین اقدامات کنترلی ممکن است رخ دهند.

برای کاربرد در پایش HSE، ارزش STPA در این است که می‌تواند شاخص‌های پیشرو و سناریوهای پایش را از دل ساختار کنترل استخراج کند. برای مثال، در سیستم مجوز کار، اقدام کنترلی «صدور مجوز» ممکن است در شرایطی ناایمن باشد: اگر بدون بازدید محل صادر شود، اگر تداخل عملیات هم‌زمان بررسی نشود، اگر گازسنجی معتبر نباشد، اگر تغییر شرایط حین کار به مجوز بازتاب نیابد، یا اگر پیمانکار مفهوم محدودیت‌های مجوز را درست درک نکرده باشد. هر یک از این موارد می‌تواند به شاخص پایش تبدیل شود.

بنابراین، STPA به ما کمک می‌کند از شاخص‌های کلی مانند «تعداد مجوزهای صادرشده» عبور کنیم و به شاخص‌های معنادارتری برسیم؛ مانند درصد مجوزهایی که با بازدید مشترک صادر شده‌اند، کیفیت مستندسازی تغییر شرایط حین کار، تعداد موارد توقف کار به دلیل تغییر شرایط، میزان مشارکت سرپرست عملیات در صدور مجوز، یا فراوانی تعارض میان مجوزهای هم‌زمان. این شاخص‌ها به کیفیت کنترل نزدیک‌ترند و برای پایش HSE ارزش بیشتری دارند.

در تجربه‌های صنعتی، یکی از ضعف‌های رایج این است که سازمان‌ها ساختار کنترل رسمی دارند، اما بازخورد واقعی آن ناقص است. برای مثال، مدیریت تصور می‌کند نظام گزارش‌دهی نزدیک‌حادثه فعال است، اما کارکنان گزارش نمی‌دهند؛ یا تصور می‌کند رویه مدیریت تغییر اجرا می‌شود، اما تغییرات موقت و غیررسمی خارج از سیستم باقی می‌مانند. مدل STAMP دقیقاً در همین نقاط مفید است، زیرا نشان می‌دهد ایمنی به همان اندازه که به کنترل وابسته است، به بازخورد معتبر نیز وابسته است.

.

16.5. مدل FRAM و فهم تغییرپذیری عملکرد در کار واقعی

16.5.1. منطق مدل FRAM

مدل FRAM یا Functional Resonance Analysis Method توسط Erik Hollnagel توسعه یافت و یکی از رویکردهای مهم در تحلیل سیستم‌های پیچیده اجتماعی-فنی است. FRAM برخلاف مدل‌های خطی، حادثه را لزوماً نتیجه زنجیره‌ای از خرابی‌ها نمی‌داند، بلکه آن را پیامد ترکیب و تشدید تغییرپذیری عملکردهای عادی سیستم می‌بیند (Hollnagel, 2012). در این مدل، آنچه در کار روزمره رخ می‌دهد، هم منشأ موفقیت است و هم می‌تواند در شرایط خاص به شکست منجر شود.

در FRAM، عملکردهای سیستم با شش جنبه توصیف می‌شوند: ورودی، خروجی، پیش‌شرط، منابع، کنترل و زمان. هر عملکرد ممکن است در شرایط واقعی کمی متفاوت از حالت برنامه‌ریزی‌شده انجام شود. این تغییرپذیری معمولاً ضروری است؛ زیرا کارکنان برای انجام کار در محیط واقعی باید با کمبود اطلاعات، فشار زمانی، نقص منابع، تغییر شرایط و تعارض اهداف سازگار شوند. اگر این تغییرپذیری‌ها با یکدیگر هم‌زمان یا تقویت شوند، ممکن است پدیده‌ای ایجاد شود که Hollnagel آن را «تشدید کارکردی» می‌نامد.

برای مثال، در عملیات تعمیرات، عملکردهایی مانند برنامه‌ریزی کار، صدور مجوز، ایزولاسیون انرژی، آماده‌سازی ابزار، هماهنگی با عملیات، انجام کار و تحویل تجهیز به بهره‌برداری به یکدیگر وابسته‌اند. اگر برنامه‌ریزی فشرده باشد، قطعه دیر برسد، سرپرست درگیر چند کار هم‌زمان باشد، مجوز با عجله صادر شود و تحویل شیفت ناقص باشد، هر یک از این تغییرپذیری‌ها شاید به‌تنهایی قابل مدیریت باشد؛ اما ترکیب آن‌ها می‌تواند وضعیت پرریسکی ایجاد کند. FRAM به ما کمک می‌کند این ترکیب‌ها را ببینیم.

مزیت FRAM در پایش HSE آن است که نگاه ما را به «کار واقعی» نزدیک می‌کند. بسیاری از شاخص‌های رسمی HSE بر کار تصورشده تکیه دارند؛ یعنی آنچه در روش اجرایی، دستورالعمل و نمودار فرایند نوشته شده است. اما FRAM می‌پرسد کار واقعاً چگونه انجام می‌شود و چه تغییرپذیری‌هایی در عملکردها وجود دارد. این پرسش برای پایش بسیار حیاتی است، زیرا بخش مهمی از نشانه‌های ضعف سیستم در فاصله میان کار تصورشده و کار واقعی پنهان می‌شود.

16.5.2. تبدیل FRAM به ابزار پایش

برای استفاده از FRAM در پایش عملکرد HSE، ابتدا باید عملکردهای کلیدی یک فرایند یا فعالیت پرخطر شناسایی شوند. سپس وابستگی‌های میان عملکردها و منابع تغییرپذیری هر یک تحلیل شود. خروجی این تحلیل می‌تواند به طراحی شاخص‌های پایش کمک کند. تفاوت مهم اینجاست که شاخص‌ها فقط پیامد نهایی را نمی‌سنجند، بلکه شرایطی را پایش می‌کنند که تغییرپذیری عملکرد را افزایش یا کنترل می‌کنند.

برای نمونه، در فعالیت ورود به فضای بسته، عملکردهای مهم شامل شناسایی فضای بسته، ارزیابی خطر، گازسنجی، ایزولاسیون، صدور مجوز، آماده‌سازی نجات، ورود، پایش حین کار و خروج ایمن است. اگر بخواهیم با منطق FRAM پایش کنیم، فقط نمی‌پرسیم چند حادثه فضای بسته رخ داده است. پرسش‌های دقیق‌تر این است:

• آیا گازسنجی در زمان مناسب و توسط فرد صلاحیت‌دار انجام شده است؟
• آیا تیم نجات واقعاً آماده بوده یا فقط نام آن در فرم آمده است؟
• آیا تغییرات تهویه در طول کار پایش شده است؟
• آیا ارتباط میان فرد داخل فضا و مراقب بیرونی پایدار بوده است؟
• آیا فشار زمانی باعث کوتاه شدن مراحل آماده‌سازی شده است؟

FRAM همچنین برای تحلیل حوادثی مفید است که در آن‌ها «هیچ‌کس آشکارا خلاف دستورالعمل عمل نکرده»، اما سیستم به نتیجه ناایمن رسیده است. در چنین مواردی، جست‌وجوی خطای فردی معمولاً تحلیل را سطحی می‌کند. FRAM به ما نشان می‌دهد که چگونه تنظیمات محلی، سازگاری‌های کوچک و تغییرپذیری‌های عادی می‌توانند در شرایط خاص به حادثه منجر شوند. این نگاه با رویکردهای جدید ایمنی که در فصل‌های پیشین درباره آن‌ها بحث شد هم‌راستا است، اما در این فصل تمرکز ما بر کاربرد تحلیلی و پایشی آن است.

از منظر مدیریتی، FRAM می‌تواند به طراحی گفت‌وگوهای میدانی نیز کمک کند. مدیر یا کارشناس HSE به‌جای اینکه فقط بپرسد «آیا رویه رعایت شد؟»، می‌تواند بپرسد «برای انجام این کار به چه چیزهایی وابسته‌اید؟ کجا معمولاً مجبور به سازگاری می‌شوید؟ چه چیزی کار را دشوار می‌کند؟ اگر زمان کم باشد، کدام بخش‌ها آسیب‌پذیر می‌شوند؟» این پرسش‌ها، داده‌هایی تولید می‌کنند که در شاخص‌های کمی سنتی دیده نمی‌شوند، اما برای پایش تاب‌آوری و کنترل ریسک بسیار ارزشمندند.

.

16.6. مدل AcciMap و تحلیل چندسطحی عوامل حادثه

16.6.1. ساختار چندسطحی AcciMap

مدل AcciMap ریشه در کارهای Rasmussen و همکاران دارد و برای تحلیل حوادث در سیستم‌های پیچیده اجتماعی-فنی توسعه یافته است (Rasmussen, 1997; Svedung & Rasmussen, 2002). این مدل حادثه را در چند سطح تحلیل می‌کند: سیاست‌گذاری و قانون‌گذاری، نهادهای نظارتی، مدیریت شرکت، مدیریت عملیاتی، کارکنان، تجهیزات و محیط کار. ایده اصلی AcciMap این است که تصمیم‌ها و شرایط در سطوح بالاتر می‌توانند زمینه رفتار و رخدادها در سطح خط مقدم را شکل دهند.

در بسیاری از تحلیل‌های حادثه، تمرکز اصلی بر آخرین افرادی است که با سیستم تماس داشته‌اند؛ اپراتور، راننده، تکنسین، کارگر یا سرپرست شیفت. AcciMap این تمرکز محدود را به چالش می‌کشد و نشان می‌دهد که رفتار خط مقدم در خلأ رخ نمی‌دهد. برای مثال، اگر کارگری در ارتفاع بدون کنترل کافی کار می‌کند، باید پرسید چه فشار برنامه‌ای وجود داشته، پیمانکار چگونه انتخاب شده، نظارت چگونه طراحی شده، آموزش چگونه انجام شده، مقررات داخلی چه بوده، منابع کافی بوده یا نه، و مدیریت چه پیام‌هایی درباره تولید و ایمنی ارسال کرده است.

از نظر ساختاری، AcciMap معمولاً به‌صورت نقشه‌ای ترسیم می‌شود که عوامل مؤثر در سطوح مختلف را نشان می‌دهد و ارتباط میان آن‌ها را مشخص می‌کند. این نقشه به تحلیلگر کمک می‌کند از توضیحات تک‌علتی عبور کند و شبکه‌ای از عوامل مؤثر را ببیند. مطالعات متعدد نشان داده‌اند که AcciMap برای تحلیل حوادث حمل‌ونقل، سلامت، صنایع فرایندی، محیط زیست و ایمنی عمومی کاربرد دارد (Salmon et al., 2012; Waterson et al., 2017).

16.6.2. AcciMap در خدمت پایش چندسطحی HSE

اگر بخواهم کاربرد عملی AcciMap را برای مخاطب این کتاب روشن کنم، باید بگویم ارزش اصلی آن در «ترجمه حادثه به برنامه پایش» است. بسیاری از سازمان‌ها پس از یک حادثه یا نزدیک‌حادثه، گزارشی تهیه می‌کنند، چند اقدام اصلاحی می‌نویسند و پرونده را می‌بندند. اما مدل AcciMap به ما اجازه می‌دهد از این مرحله عبور کنیم و بپرسیم: کدام سطوح سیستم باید از این تحلیل وارد نظام پایش شوند؟

فرض کنیم در یک واحد صنعتی، حادثه‌ای در جریان تعمیرات اساسی رخ داده است. تحلیل سطحی ممکن است نتیجه بگیرد که «پیمانکار رویه را رعایت نکرده» یا «سرپرست در نظارت کوتاهی کرده است». اما اگر همان رخداد را با منطق AcciMap تحلیل کنیم، ممکن است به مجموعه‌ای از عوامل برسیم: فشار زمانی ناشی از موعد راه‌اندازی، کاهش بودجه آموزش پیش از توقف، تداخل مسئولیت‌های واحد عملیات و پیمانکار، ضعف در برنامه‌ریزی توالی کارها، ابهام در شاخص‌های عملکرد پیمانکار، و سیاست مدیریتی‌ای که زمان تحویل پروژه را بیش از کیفیت اجرای کنترل‌ها برجسته کرده است. این تحلیل، کیفیت پایش را دگرگون می‌کند.

در چنین وضعی، شاخص‌های پایش دیگر نباید فقط بر رفتار پیمانکار متمرکز باشند. لازم است در سطح مدیریت پروژه، شاخص‌هایی برای کیفیت برنامه‌ریزی توقف، میزان تغییرات دیرهنگام در دامنه کار، کفایت آموزش پیش از شروع، تعداد تداخل‌های حل‌نشده میان فعالیت‌ها، و نسبت سرپرستان به حجم کار تعریف شود. در سطح مدیریت ارشد، ممکن است شاخص‌هایی مانند تعارض میان اهداف زمان‌بندی و الزامات HSE، کیفیت بررسی ریسک در تصمیم‌های برنامه‌ریزی، یا روند کاهش منابع کنترلی اهمیت پیدا کند. به‌عبارت دیگر، AcciMap به ما کمک می‌کند پایش را از «پایین‌ترین سطح قابل مشاهده» به «کل زنجیره تصمیم‌گیری» گسترش دهیم.

یکی از مزایای روش‌شناختی AcciMap آن است که برای تحلیل رخدادهای کم‌تواتر ولی پرپیامد بسیار مناسب است. در این نوع رخدادها، معمولاً علت‌ها در زمان و سطح سازمانی پراکنده‌اند. تصمیمی که چند ماه قبل در بودجه یا زمان‌بندی گرفته شده، ممکن است چند هفته بعد در کیفیت نگهداشت اثر بگذارد و نهایتاً در یک روز خاص به رخداد منجر شود. اگر نظام پایش فقط بر داده‌های روزمره و نزدیک به عملیات متکی باشد، این ریشه‌های پنهان دیده نمی‌شوند. AcciMap به ما یادآوری می‌کند که بخشی از پایش HSE باید «پایش تصمیم‌های مدیریتی» باشد، نه فقط «پایش رفتارها و تجهیزات».

.

16.7. مدل Bow-Tie و مدیریت موانع در پایش HSE

16.7.1. منطق Bow-Tie و جایگاه آن در تحلیل ایمنی

مدل Bow-Tie از شناخته‌شده‌ترین ابزارهای تصویری در مدیریت ریسک و ایمنی است و به‌ویژه در صنایع نفت، گاز، پتروشیمی، معدن، حمل‌ونقل و پروژه‌های پرخطر رواج یافته است. این مدل به‌صورت ساده نشان می‌دهد که یک «رویداد مرکزی» چگونه از یک‌سو تحت تأثیر تهدیدها قرار دارد و از سوی دیگر می‌تواند به پیامدهای مختلف منجر شود. در دو طرف این رویداد، موانع پیشگیرانه و کاهشی قرار می‌گیرند که وظیفه آن‌ها یا جلوگیری از وقوع رویداد مرکزی است یا کاهش شدت پیامدها پس از وقوع آن (CCPS, 2018; IOGP, 2016).

سادگی ظاهری Bow-Tie نباید ما را فریب دهد. اگر این ابزار با دقت مفهومی کافی به کار رود، می‌تواند پلی میان تحلیل ریسک و پایش روزمره HSE ایجاد کند. مسئله اصلی این است که Bow-Tie صرفاً یک نمودار تزئینی برای گزارش‌ها نباشد. در بسیاری از سازمان‌ها، نقشه Bow-Tie تهیه می‌شود، اما ارتباط آن با بازرسی، ممیزی، شاخص‌های عملکرد و تصمیم‌گیری مدیریتی ضعیف می‌ماند. پس در چنین وضعی، مدل به یک محصول مستندی تبدیل می‌شود، نه ابزار مدیریت زنده ریسک.

در منطق Bow-Tie، هر مانع باید تعریف روشن، مالک مشخص، معیار عملکرد و شواهد اثربخشی داشته باشد. برای مثال، اگر در یک واحد فرایندی «سیستم ایمنی ابزار دقیق» به‌عنوان مانع پیشگیرانه تعریف شده است، باید روشن باشد این مانع دقیقاً در برابر کدام تهدید عمل می‌کند، چگونه کار می‌کند، چه شرایطی ممکن است اثربخشی آن را کاهش دهد، مالک آن کدام بخش است، و وضعیت سلامت آن چگونه پایش می‌شود. بدون این پیوندها، Bow-Tie به توصیف ایستا فروکاسته می‌شود.

از منظر تحلیلی، Bow-Tie مزیتی مهم دارد: توجه سازمان را از «سناریوی حادثه» به «وضعیت موانع» منتقل می‌کند. این انتقال برای پایش HSE حیاتی است. بسیاری از شاخص‌های سنتی، حادثه رخ‌داده را ثبت می‌کنند؛ اما Bow-Tie ما را وادار می‌کند پیش از وقوع حادثه بپرسیم آیا موانع هنوز سالم، در دسترس، معتبر و قابل اتکا هستند یا خیر. به این معنا، Bow-Tie به‌خوبی با منطق شاخص‌های پیشرو و پایش کنترل‌های حیاتی سازگار است.

16.7.2. Bow-Tie به‌عنوان پایه طراحی شاخص‌های کنترلی

برای استفاده از Bow-Tie در پایش عملکرد HSE، هر مانع باید به مجموعه‌ای از شواهد و شاخص‌ها ترجمه شود. این ترجمه باید متناسب با ماهیت مانع انجام گیرد. موانع فنی، رفتاری، رویه‌ای و سازمانی به یک شکل پایش نمی‌شوند. برای نمونه، یک شیر اطمینان را می‌توان با شاخص‌هایی مانند وضعیت آزمون، تأخیر در کالیبراسیون، تعداد نقص‌های شناسایی‌شده و نرخ بازگشت به سرویس پایش کرد. اما «کیفیت تحویل شیفت» یا «اثربخشی مجوز کار» که موانع سازمانی-عملیاتی‌اند، نیازمند شواهد متفاوتی هستند؛ مانند مشاهده میدانی، ممیزی کیفی، تحلیل نمونه‌ها و بازخورد کارکنان.

در اینجا، مفهوم «عوامل فرساینده مانع» یا degradation factors اهمیت پیدا می‌کند. بسیاری از موانع پیش از آنکه کاملاً از کار بیفتند، به‌تدریج فرسوده می‌شوند. برای مثال، رویه مجوز کار ممکن است روی کاغذ کامل باشد، اما در عمل به‌دلیل فشار زمانی، تکراری شدن کارها، عادی‌شدن میان‌برها یا ضعف هماهنگی، کارایی خود را از دست بدهد. یا یک سامانه هشدار ممکن است از نظر فنی فعال باشد، اما فراوانی آلارم‌ها باعث شود اپراتور به آن بی‌اعتماد شود. پایش HSE باید این فرسایش تدریجی را ببیند؛ دقیقاً همان چیزی که Bow-Tie در صورت استفاده درست می‌تواند آشکار کند.

در تجربه‌های موفق صنعتی، سازمان‌ها برای موانع حیاتی «استاندارد عملکرد مانع» تعریف می‌کنند و سپس بر اساس آن، یک داشبورد کنترلی می‌سازند. برای مثال، اگر مانع «تشخیص گازهای خطرناک پیش از صدور مجوز» باشد، صرف وجود دستگاه گازسنج کافی نیست. باید وضعیت کالیبراسیون، مهارت کاربر، زمان‌بندی نمونه‌برداری، تطابق نتایج با شرایط واقعی کار و پیگیری تغییرات حین فعالیت نیز پایش شود. در این منطق، شاخص‌ها نه فقط وجود مانع، بلکه «قابلیت اتکای عملیاتی آن» را نشان می‌دهند.

.

16.8. تحلیل موانع، شاخص‌های پیشرو و پایش کنترل‌های حیاتی

16.8.1. از تحلیل حادثه به پایش موانع

در سال‌های گذشته، یکی از مهم‌ترین تحولات در ادبیات مدیریت ایمنی، حرکت از شاخص‌های پیامدی به سمت شاخص‌های پیشرو بوده است. شاخص‌های پیامدی همچنان مفیدند، اما محدودیت آن‌ها روشن است: آن‌ها دیرهنگام‌اند. وقتی حادثه رخ داده یا آسیب ثبت شده است، بخش مهمی از فرصت پیشگیری از دست رفته است. به همین دلیل، نهادهای حرفه‌ای و شرکت‌های پیشرو بر پایش کنترل‌های حیاتی، موانع و ظرفیت‌های سیستم تأکید کرده‌اند (API, 2021; CCPS, 2018; Reiman & Pietikäinen, 2012).

تحلیل موانع، اگر با دقت انجام شود، می‌تواند نقطه اتصال میان مدل‌های سیستمی و نظام شاخص‌های HSE باشد. در این رویکرد، پرسش اصلی این نیست که «چند حادثه رخ داد؟» بلکه این است که «موانعی که باید از سناریوهای بحرانی جلوگیری کنند، در چه وضعیتی هستند؟» این تغییر پرسش ساده به نظر می‌رسد، اما در عمل پیامد مدیریتی عمیقی دارد. سازمانی که موانع را پایش می‌کند، ناگزیر باید به مالکیت کنترل‌ها، کیفیت نگهداشت، کفایت آموزش، سلامت رویه‌ها، اعتبار فرض‌های طراحی و قابلیت اجرای تصمیم‌ها توجه کند.

شاخص‌های پیشرو در این زمینه می‌توانند بسیار متنوع باشند، اما باید به‌گونه‌ای انتخاب شوند که واقعاً تصویری از وضعیت کنترل‌ها بدهند. برای مثال، در مدیریت کار در ارتفاع، صرف شمارش تعداد دوره‌های آموزشی برگزارشده شاخص پیشرو کافی نیست. شاخص‌های مهم‌تر ممکن است شامل کیفیت ارزیابی پیش از کار، کفایت نقاط مهار، وضعیت بازرسی تجهیزات حفاظت فردی، نظارت بر تغییر شرایط محیطی، نسبت فعالیت‌های مشاهده‌شده به کل فعالیت‌های پرخطر و کیفیت اصلاح ناهنجاری‌های تکراری باشد. به‌بیان دیگر، هرچه شاخص به عملکرد واقعی مانع نزدیک‌تر باشد، ارزش پایشی بیشتری دارد.

در برخی صنایع، مفهوم Critical Controls Management به‌طور گسترده توسعه یافته است و به‌ویژه در معدن، انرژی و فرایندهای پرخطر به کار می‌رود. در این رویکرد، تعداد محدودی از کنترل‌ها که برای جلوگیری از پیامدهای فاجعه‌بار حیاتی‌اند شناسایی و به‌صورت متمرکز پایش می‌شوند. این نگاه بسیار مهم است، زیرا از پراکندگی توجه جلوگیری می‌کند. همه کنترل‌ها اهمیت یکسان ندارند و همه شاخص‌ها ارزش برابر ندارند. نظام پایش مؤثر باید بتواند میان کنترل‌های عادی و کنترل‌های حیاتی تمایز بگذارد.

16.8.2. ویژگی‌های شاخص‌های مؤثر در مدل‌های سیستمی

اگر قرار باشد شاخص‌ها با منطق مدل‌های سیستمی سازگار باشند، باید چند ویژگی داشته باشند. نخست، باید به کیفیت عملکرد کنترل نزدیک باشند، نه صرفاً به وجود اسمی آن‌ها. دوم، باید بتوانند فرسایش تدریجی را آشکار کنند. سوم، باید فقط به سطح عملیات محدود نشوند و سطوح مدیریتی و سازمانی را نیز پوشش دهند. چهارم، باید قابلیت گفت‌وگو و یادگیری ایجاد کنند، نه اینکه صرفاً برای پر کردن داشبورد مدیریتی تولید شوند.

Reiman و Pietikäinen (2012) به‌درستی تأکید می‌کنند که شاخص‌های ایمنی سیستم باید «پتانسیل ایمنی سازمانی» را منعکس کنند؛ یعنی نشان دهند سازمان تا چه اندازه توانایی تولید و حفظ ایمنی را دارد. این تعبیر بسیار راهگشاست. برای نمونه، نرخ تکمیل اقدامات اصلاحی تنها زمانی معنادار است که کیفیت آن اقدامات، ریشه‌مندی آن‌ها و اثر واقعی‌شان بر کنترل ریسک نیز بررسی شود. یا درصد انجام بازرسی‌ها فقط در صورتی مفید است که بدانیم این بازرسی‌ها چه چیزی را دیده‌اند و چه تغییری ایجاد کرده‌اند.

شاخص‌های سیستمی همچنین باید زمینه‌مند باشند. شاخص خوب در یک پالایشگاه ممکن است در یک بیمارستان یا پروژه ساختمانی هیچ معنایی نداشته باشد. حتی در دو واحد مشابه، تفاوت در فناوری، سازمان کار، سطح برون‌سپاری و فرهنگ عملیاتی می‌تواند نوع شاخص‌های مؤثر را تغییر دهد. بنابراین، مدل‌های سیستمی به ما یاد می‌دهند که شاخص‌ها را نباید صرفاً از فهرست‌های آماده انتخاب کرد؛ بلکه باید آن‌ها را از سناریوهای ریسک، ساختار کنترل، عملکردهای حیاتی و وضعیت موانع استخراج کرد.

در عمل، ترکیب داده‌های کمی و کیفی در این نوع پایش ضروری است. برخی سازمان‌ها هنوز فقط به داده‌های قابل شمارش اعتماد دارند، زیرا آن‌ها را «عینی‌تر» می‌دانند. اما بسیاری از نشانه‌های ضعف سیستم، ماهیت کیفی دارند: افت کیفیت هماهنگی، عادی‌شدن انحراف، کاهش اعتماد به گزارش‌دهی، ابهام در نقش‌ها، یا فرسایش مرجعیت فنی. اگر این نشانه‌ها نادیده گرفته شوند، نظام پایش به‌رغم دقت عددی، از نظر فهم ایمنی فقیر خواهد بود.

.

16.9. کاربرد مدل‌های سیستمی در طراحی نظام پایش عملکرد HSE

16.9.1. از مدل تحلیلی به معماری پایش

در این بخش می‌خواهم یک نکته روشی را برجسته کنم: مدل‌های سیستمی فقط ابزار تحلیل حادثه نیستند؛ آن‌ها می‌توانند معماری پایش HSE را نیز شکل دهند. در بسیاری از سازمان‌ها، نظام پایش به‌طور تاریخی و انباشتی شکل گرفته است؛ یعنی هر حادثه، هر ممیزی یا هر الزام مقرراتی یک یا چند شاخص جدید به سیستم افزوده و در نهایت مجموعه‌ای از داده‌ها ایجاد شده که انسجام نظری چندانی ندارد. پیامد این وضعیت آن است که سازمان داده زیاد دارد، اما فهم راهبردی کم.

مدل‌های سیستمی می‌توانند این پراکندگی را سامان دهند. اگر از STAMP استفاده کنیم، پایش باید بر ساختار کنترل، کیفیت بازخورد، کفایت محدودیت‌های ایمنی و ناهماهنگی میان سطوح تصمیم‌گیری تمرکز کند. حالا اگر از FRAM الهام بگیریم، باید تغییرپذیری عملکردها، وابستگی میان آن‌ها و نقاطی را که کار واقعی از کار تصورشده فاصله می‌گیرد، رصد کنیم. پس اگر AcciMap مبنا قرار گیرد، نظام پایش باید چندسطحی طراحی شود و از سطح خط مقدم تا سیاست‌های مدیریتی را پوشش دهد. اگر Bow-Tie محور باشد، وضعیت موانع و عوامل فرساینده آن‌ها در مرکز توجه قرار می‌گیرد.

از این منظر، طراحی پایش HSE را می‌توان در چند گام دید. نخست، باید سناریوهای ریسک و عملکردهای حیاتی مشخص شوند. دوم، باید مدل تحلیلی مناسب یا ترکیبی از مدل‌ها انتخاب شود. سوم، باید از دل آن مدل، نقاط پایش و شواهد لازم استخراج گردد. چهارم، شاخص‌ها و ابزارهای مشاهده، ممیزی، تحلیل و گفت‌وگو طراحی شود. پنجم، این داده‌ها باید در چرخه تصمیم‌گیری مدیریتی قرار گیرند. اگر این گام آخر رخ ندهد، حتی بهترین مدل‌های تحلیلی نیز به بهبود عملی منجر نمی‌شوند.

نکته مهم این است که مدل‌های مختلف را می‌توان به‌صورت مکمل به کار برد. برای مثال، یک سازمان ممکن است برای سناریوهای پرخطر فرایندی از Bow-Tie و مدیریت موانع استفاده کند، برای تحلیل ساختار تصمیم‌گیری و تغییرات پیچیده از STAMP/STPA بهره ببرد، و برای فهم کار واقعی در عملیات نگهداشت یا فعالیت‌های پیمانکاری از FRAM استفاده کند. این ترکیب اگر آگاهانه و منسجم باشد، بسیار قدرتمندتر از اتکای انحصاری به یک ابزار خواهد بود.

16.9.2. نمونه کاربردی در یک سازمان صنعتی

برای روشن‌تر شدن بحث، فرض کنیم یک مجتمع پتروشیمی می‌خواهد نظام پایش HSE خود را بازطراحی کند. در رویکرد سنتی، ممکن است این سازمان عمدتاً بر نرخ TRIR، تعداد بازرسی‌ها، درصد آموزش تکمیل‌شده، تعداد مجوزهای صادرشده و آمار مانورها تکیه کند. این شاخص‌ها بی‌فایده نیستند، اما اگر به‌تنهایی استفاده شوند، تصویر ناقصی از وضعیت ایمنی ارائه می‌دهند.

در رویکرد سیستمی، سازمان ابتدا سناریوهای بحرانی خود را مشخص می‌کند؛ مثلاً نشت مواد سمی، آتش‌سوزی ناشی از کار گرم، شکست در ایزولاسیون انرژی، خطا در مدیریت تغییر، یا تداخل عملیات هم‌زمان در تعمیرات اساسی. سپس برای هر سناریو از Bow-Tie استفاده می‌کند تا کنترل‌های حیاتی و عوامل فرساینده آن‌ها را شناسایی کند. هم‌زمان، با منطق STAMP ساختار کنترل مربوط به مجوز کار، مدیریت تغییر و پاسخ اضطراری را تحلیل می‌کند تا ببیند چه نقاطی در فرماندهی، مسئولیت و بازخورد آسیب‌پذیرند. در فعالیت‌های منتخب، مانند ورود به فضای بسته یا تحویل شیفت، از FRAM برای فهم تغییرپذیری عملکرد بهره می‌گیرد.

خروجی این فرآیند می‌تواند به مجموعه‌ای از شاخص‌ها و شواهد منسجم منجر شود: وضعیت سلامت کنترل‌های حیاتی، کیفیت بازخورد نزدیک‌حادثه‌ها، میزان تغییرات موقت خارج از فرآیند رسمی، کیفیت هماهنگی عملیات و نگهداشت، روند آلارم‌های تکراری، وضعیت آموزش مبتنی بر سناریو، فشار بار کاری در شیفت‌های کلیدی، اثربخشی اقدامات اصلاحی، و کیفیت مرور ریسک در تصمیم‌های برنامه‌ریزی. چنین نظامی اگرچه از نظر طراحی دشوارتر از یک داشبورد ساده آماری است، اما از نظر مدیریتی بسیار پربارتر خواهد بود.

.

16.10. ملاحظات اجرایی در پیاده‌سازی مدل‌های سیستمی

16.10.1. چالش‌های رایج

پیاده‌سازی مدل‌های سیستمی در سازمان‌ها با چند چالش روبه‌روست. نخستین چالش، میل به ساده‌سازی بیش از حد است. بسیاری از سازمان‌ها علاقه دارند ابزارها را سریع، کم‌هزینه و با حداقل تغییر فرهنگی به کار گیرند. در نتیجه، مدل‌های سیستمی به قالب‌های تشریفاتی تبدیل می‌شوند. برای مثال، Bow-Tie به یک پوستر زیبا، STPA به چند جدول ناقص، یا FRAM به نقشه‌ای بدون پیوند با تصمیم‌گیری بدل می‌شود. این خطر واقعی است و باید از آن پرهیز کرد.

چالش دوم، نبود داده‌های مناسب یا اتکای بیش از حد به داده‌های کمی است. مدل‌های سیستمی برای اثربخشی نیازمند شواهد متنوع‌اند: داده‌های فنی، مشاهدات میدانی، گفت‌وگو با کارکنان، مرور تصمیم‌های مدیریتی، تحلیل روند و بازخوردهای کیفی. اگر سازمان فقط داده‌هایی را ببیند که به‌راحتی قابل استخراج از فرم‌ها و نرم‌افزارها هستند، بخش مهمی از واقعیت از دست می‌رود. به همین دلیل، توسعه ظرفیت تحلیلی کارشناسان HSE و مدیران عملیاتی اهمیت زیادی دارد.

چالش سوم، مرزبندی نادرست نقش HSE است. گاهی تصور می‌شود مدل‌های سیستمی موضوعی تخصصی و محدود به واحد HSE هستند. در حالی که بخش مهمی از عوامل سیستمی در حوزه‌های عملیات، نگهداشت، مهندسی، منابع انسانی، خرید، قراردادها و مدیریت ارشد شکل می‌گیرند. اگر این واحدها در تحلیل و پایش مشارکت نداشته باشند، مدل‌ها به نتیجه مؤثر نمی‌رسند. ایمنی سیستمی، ذاتاً فرابخشی است.

چالش چهارم، تبدیل‌نشدن تحلیل به تصمیم است. برخی سازمان‌ها تحلیل‌های بسیار خوبی انجام می‌دهند، اما خروجی آن‌ها وارد نظام برنامه‌ریزی، تخصیص منابع، طراحی تغییرات و ارزیابی مدیران نمی‌شود. در این حالت، شکاف میان «دانستن» و «عمل کردن» باقی می‌ماند. از دید من، این یکی از مهم‌ترین خطرها در استفاده از مدل‌های پیشرفته است: پیچیدگی تحلیلی بدون اثر عملی.

16.10.2. الزامات موفقیت

برای موفقیت در پیاده‌سازی مدل‌های سیستمی، چند پیش‌نیاز اهمیت دارد. نخست، باید هدف روشن باشد. سازمان نباید این مدل‌ها را صرفاً به‌دلیل مد روز بودن یا توصیه مشاوران به کار گیرد. باید بداند کدام مسئله را می‌خواهد بهتر بفهمد و چگونه قرار است از تحلیل برای پایش و تصمیم‌گیری استفاده کند.

دوم، لازم است از پروژه‌های کوچک ولی مهم شروع شود. تجربه نشان می‌دهد اجرای آزمایشی در یک سناریوی پرخطر، مانند مدیریت تغییر، فضای بسته، عملیات هم‌زمان یا تعمیرات اساسی، بسیار مؤثرتر از تلاش برای تعمیم فوری در کل سازمان است. این رویکرد امکان یادگیری، بومی‌سازی و اصلاح تدریجی را فراهم می‌کند.

سوم، آموزش و تسهیل‌گری اهمیت اساسی دارد. STAMP، FRAM یا AcciMap را نمی‌توان صرفاً با توزیع یک قالب یا دستورالعمل اجرا کرد. تیم‌های تحلیلی باید منطق هر مدل را بفهمند، بتوانند میان داده و تفسیر تمایز بگذارند، و از افتادن به دام توضیحات ساده‌انگارانه پرهیز کنند. در اینجا، نقش دانشگاه، آموزش حرفه‌ای و همکاری میان پژوهشگران و صنعت بسیار برجسته است.

چهارم، باید میان مدل‌های سیستمی و فرآیندهای موجود سازمان پیوند برقرار شود. اگر این مدل‌ها بیرون از نظام مدیریت، ممیزی، مدیریت تغییر، بررسی عملکرد و برنامه‌ریزی منابع قرار گیرند، به تدریج به فعالیتی حاشیه‌ای تبدیل می‌شوند. موفقیت زمانی حاصل می‌شود که خروجی تحلیل مستقیماً بر طراحی شاخص‌ها، اولویت‌بندی اقدامات، تخصیص منابع و گفت‌وگوهای مدیریتی اثر بگذارد.

.

16.11. جمع‌بندی تحلیلی فصل

16.11.1. بازاندیشی در فهم ایمنی

پیام اصلی این فصل آن است که نوع فهم ما از ایمنی، نوع پایش ما را تعیین می‌کند. اگر ایمنی را حاصل نبود خطا یا نبود حادثه بدانیم، طبیعی است که شاخص‌ها نیز عمدتاً پیامدی، فردمحور و پس‌نگر باشند. اما اگر ایمنی را خاصیت پدیدار شونده یک سیستم اجتماعی-فنی پیچیده بدانیم، آنگاه باید به ساختار کنترل، کیفیت بازخورد، تغییرپذیری عملکرد، سلامت موانع، چندسطحی بودن تصمیم‌ها و زمینه واقعی کار توجه کنیم.

مدل‌های STAMP، FRAM، AcciMap و Bow-Tie هرکدام به‌نحوی این بازاندیشی را تقویت می‌کنند. STAMP به ما می‌آموزد که حادثه می‌تواند نتیجه کنترل ناکافی باشد، نه صرفاً خرابی جزء یا تخلف فرد. FRAM نشان می‌دهد همان تغییرپذیری‌ای که کار را ممکن می‌کند، در شرایط خاص می‌تواند به ناکامی منجر شود. AcciMap ما را وادار می‌کند مسئولیت را در کل سطوح سیستم ببینیم، نه فقط در خط مقدم. Bow-Tie نیز با تمرکز بر موانع، مسیر تبدیل تحلیل به پایش عملیاتی را روشن‌تر می‌کند.

16.11.2. دلالت‌ها برای ارزیابی و پایش عملکرد HSE

برای حوزه ارزیابی و پایش عملکرد HSE، نتیجه روشن است: سازمان‌ها باید از اتکای انحصاری به شاخص‌های حادثه و انطباق عبور کنند و به پایش ظرفیت‌های ایمنی، کنترل‌های حیاتی و شرایط فرسایش سیستم روی آورند. این به معنای حذف شاخص‌های سنتی نیست، بلکه به معنای قرار دادن آن‌ها در چارچوبی وسیع‌تر و هوشمندتر است.

به‌نظر من، یکی از نشانه‌های بلوغ واقعی در HSE آن است که سازمان بتواند پیش از حادثه ببیند کجا سیستم در حال ضعیف شدن است. این دیدن، با گزارش‌های پرحجم اما کم‌معنا حاصل نمی‌شود؛ بلکه نیازمند مدل ذهنی درست، انتخاب هوشمندانه شاخص‌ها، گفت‌وگوی نزدیک با عملیات و آمادگی برای مواجهه با واقعیت‌های ناخوشایند سازمانی است. مدل‌های سیستمی دقیقاً در همین نقطه ارزش خود را نشان می‌دهند.

16.11.3. نتیجه‌گیری نهایی

اگر بخواهم نتیجه این فصل را در یک عبارت خلاصه کنم، می‌گویم: مدل‌های سیستمی تحلیل ایمنی، ابزار فهم بهتر حادثه نیستند فقط؛ آن‌ها ابزار طراحی بهتر پایش نیز هستند. سازمانی که با این مدل‌ها می‌اندیشد، دیگر صرفاً از گذشته گزارش نمی‌گیرد، بلکه تلاش می‌کند آینده را از خلال نشانه‌های امروز بخواند. این همان جهتی است که ارزیابی عملکرد HSE در سازمان‌های پیچیده باید به آن حرکت کند.

.

منابع

American Petroleum Institute. (2021). ANSI/API recommended practice 754: Process safety performance indicators for the refining and petrochemical industries (3rd ed.). API Publishing Services.

Center for Chemical Process Safety. (2001). Layer of protection analysis: Simplified process risk assessment. Wiley

Center for Chemical Process Safety. (2018). Guidelines for process safety metrics. Wiley

Dekker, S. (2014). The field guide to understanding “human error” (3rd ed.). CRC Press

Heinrich, H. W. (1931). Industrial accident prevention: A scientific approach. McGraw-Hill

Hollnagel, E. (2012). FRAM: The functional resonance analysis method: Modelling complex socio-technical systems. Ashgate.

International Association of Oil & Gas Producers. (2016). Standardization of barrier definitions (Report No. 544). IOGP.

Leveson, N. (2011). Engineering a safer world: Systems thinking applied to safety. MIT Press

Leveson, N. (2018). STPA handbook. MIT

Leveson, N., & Thomas, J. (2018). STPA handbook (Version 2.0). MIT Partnership for a Systems Approach to Safety

Patriarca, R., Di Gravio, G., Costantino, F., & Tronci, M. (2017). The functional resonance analysis method for a systemic risk based environmental auditing in a university campus. Safety Science, 93, 162–173. https://doi.org/10.1016/j.ssci.2016.12.006

Rasmussen, J. (1997). Risk management in a dynamic society: A modelling problem. Safety Science, 27(2–3), 183–213. https://doi.org/10.1016/S0925-7535(97)00052-0

Reason, J. (1997). Managing the risks of organizational accidents. Ashgate

Reiman, T., & Pietikäinen, E. (2012). Leading indicators of system safety: Monitoring and driving the organizational safety potential. Safety Science, 50(10), 1993–2000. https://doi.org/10.1016/j.ssci.2011.07.015

Salmon, P. M., Cornelissen, M., & Trotter, M. J. (2012). Systems-based accident analysis methods: A comparison of Accimap, HFACS, and STAMP. Safety Science, 50(4), 1158–1170. https://doi.org/10.1016/j.ssci.2011.11.009

Shell. (2021). Process safety: Control and recovery bowties. Shell Global Solutions

Sulaman, S. M., Beer, A., Felderer, M., & Höst, M. (2019). Safety analysis of safety-critical systems using STPA: A systematic literature review. Information and Software Technology, 106, 106–142. https://doi.org/10.1016/j.infsof.2018.09.009

Svedung, I., & Rasmussen, J. (2002). Graphic representation of accident scenarios: Mapping system structure and the causation of accidents. Safety Science, 40(5), 397–417. https://doi.org/10.1016/S0925-7535(01)00071-9

Waterson, P., Jenkins, D. P., Salmon, P. M., & Underwood, P. (2017). ‘Remixing Rasmussen’: The evolution of Accimaps within systemic accident analysis. Applied Ergonomics, 59, 483–503. https://doi.org/10.1016/j.apergo.2016.09.004

Woods, D. D., Dekker, S., Cook, R., Johannesen, L., & Sarter, N. (2010). Behind human error (2nd ed.). CRC Press