Caso di studio: il tempo è tutto, FRAM per le partenze dei treni
Written by redazione
In questo caso di studio di David van Valkengurg (pubblicato su safetydifferently.com), viene descritta un’applicazione pratica del metodo di analisi della risonanza funzionale (FRAM) per indagare il processo dei treni in partenza dalla stazione. La ragione per analizzare questo processo è che gli incidenti Signal Passed At Danger (SPAD) hanno una categoria specifica che si occupa di situazioni in cui questo incidente si verifica subito dopo aver lasciato la stazione. Quindi in questo caso, il primo segnale visto dalla banchina della stazione viene superato mentre mostra una luce rossa invece che verde. L’analisi viene effettuata sulla base delle conoscenze dell’autore, della conoscenza pubblica e delle conversazioni con colleghi professionisti della sicurezza nel settore ferroviario.
[vuoi leggere prima cosa è FRAM?]
Descrizione del processo
Ho iniziato questo incarico con l’elaborazione mentale delle conoscenze che ho su questo particolare processo. Ciò si riduce a quanto segue (vedi Figura 1).
Dopo che un treno si ferma lungo il binario, le porte si aprono e i passeggeri possono uscire ed entrare nel treno. Al termine di ogni banchina è presente un semaforo bianco di partenza che rappresenta l’inizio della procedura di partenza. Quando il conduttore vede la luce bianca (2 in Figura 1), sa di poter avviare la procedura di partenza. È quindi responsabile della chiusura sicura ed efficiente di tutte le porte, l’ultima delle quali è la sua porta (nella maggior parte dei casi il macchinista non riesce fisicamente a vedere la luce di partenza.).
Quando tutte le porte sono chiuse, il macchinista viene attivato da una luce intensa presente nella sua cabina; il segnale “porte chiuse” (3 in Figura 1). Il macchinista deve quindi verificare se il segnale STS del binario (STS è l’abbreviazione olandese per la luce che indica che il binario è sicuro da percorrere) è diventato verde (invece che rosso), indica che può partire in sicurezza utilizzando il binario su cui si trova (1 nella Figura 1). Può quindi iniziare la tappa successiva del suo viaggio. Sia il semaforo di partenza che il segnale STS di binario del treno sono attivati dal sistema di segnalazione automatica che è guidato dall’orario generale del treno. Inoltre il conduttore utilizza una procedura di partenza per effettuare i suoi controlli poco prima della partenza.
Prima iterazione del modello FRAM
La descrizione del processo fornisce le informazioni iniziali per iniziare a sviluppare il modello FRAM. Il modello dovrebbe rappresentare il più possibile il modo effettivo in cui il lavoro viene svolto nel processo. E mentre questa sarà sempre una semplificazione per definizione, l’obiettivo è catturare il processo più comunemente seguito.
La Figura 3 mostra la prima iterazione del modello. Il software crea automaticamente funzioni bianche e grigie, che è un modo per distinguere le funzioni in primo piano e in background. Le funzioni di background sono elementi contestuali che non influenzano il processo in esame in termini di variabilità, ma sono considerate rilevanti per comprendere e analizzare il processo. Le funzioni bianche sono le funzioni principali che compongono il processo. Il modello mostra che il macchinista può iniziare a guidare quando vede una luce verde, con una precondizione di un segnale di porte chiuse attivato.
Si noti che non è necessario utilizzare tutti i nodi/aspetti sugli esagoni. Siusano solo quelli che hanno rilevanza per l’analisi. Ciò deriva dalla raccolta di informazioni e dalla messa a punto del modello con un gruppo di feedback. E si applica il principio dell'”ampiezza sulla profondità”, soprattutto nelle fasi iniziali dello sviluppo del modello. Puoi sempre espandere una funzione in più funzioni per creare più dettagli ogni volta che le informazioni o il feedback ti danno indizi che ne indicano la necessità.
Domande e perfezionamento
Il modello rappresenta visivamente il processo e può fungere da facilitatore per ulteriori domande sul processo. In questo caso ha portato alle seguenti domande:
- Quale sistema attiva il segnale STS e in base a cosa?
- Quale sistema attiva il segnale di partenza e in base a cosa?
- Come sono collegati entrambi i segnali?
- Com’è la procedura di partenza sia per il capotreno che per il macchinista?
Probabilmente ci sono altre domande da porre, ma le risposte a queste hanno fornito informazioni di follow-up sufficienti per perfezionare il modello FRAM.
Modello FRAM “finale”
Le risposte alle domande hanno fornito maggiori informazioni sul processo e il modello potrebbe quindi essere modificato (vedere la Figura 4 per il modello).
- Il segnale STS di binario viene attivato direttamente tramite il sistema di segnalazione automatica. Quindi è neecssaria una funzione aggiuntiva. Lo spedizioniere del treno si trova in una posizione centrale e monitora l’uso dei binari in tempo reale. A volte, quando c’è un’interruzione di qualche tipo, la segnalazione in un luogo specifico deve essere adattata in tempo per risolvere un problema o una situazione. Questa è la funzione aggiuntiva dell’inserimento manuale nel sistema di segnalazione.
- Il segnale di partenza ha un’attivazione leggermente diversa da quella ipotizzata nella prima iterazione. Un sistema separato attiva quel segnale quando il segnale STS diventa verde. Quindi, quasi contemporaneamente, il capotreno riceve il suo “nulla osta” per avviare la procedura di partenza mentre il macchinista vede il via libera. E questo è anche il motivo della numerazione nella Figura 1.
- Il conduttore controlla quindi l’orario di partenza per assicurarsi di rispettare il programma (=precondizione orario di partenza). E poi prosegue con la chiusura delle porte che si traduce in tutte le porte chiuse ed un segnale in cabina. Questo richiede circa 15-20 secondi.
- Il macchinista vede il segnale STS diventare verde ma senza la conferma che le porte sono chiuse, non agisce di conseguenza. Quando il segnale “porte chiuse” si accende in cabina, il conducente ha una conferma che è sicuro iniziare a guidare. Questo è il motivo per cui l’input e la precondizione sull’ultima funzione vengono scambiati. In pratica i macchinisti agiscono sul segnale per le porte aspettandosi che tutte le altre condizioni siano presenti e non necessariamente verificandole.
- Inoltre, ciò che va notato è che l’orario del treno è limitato dal tempo e di solito un treno arriva e parte entro un minuto, quindi l’autista ha una pressione “standard” sul tempo per continuare a rispettare l’orario.
Per facilitare la lettura sono stati utilizzati anche dei colori. Il giallo rappresenta le funzioni associate ai segnali e il capotreno (appartiene ad un’organizzazione separata). Il blu è il conduttore e il verde è il macchinista.
Analisi
Dopo aver modificato il modello per riflettere le informazioni aggiuntive, emergono alcuni punti interessanti dalla visualizzazione di questo processo.
Il punto più importante di questa analisi è che il segnale “porte chiuse” è quasi sempre una rappresentazione di tre elementi: binario STS segnale verde, segnale di partenza attivato e orario di partenza. Quindi ha senso che il segnale principale per il macchinista per iniziare a guidare sia questo segnale invece del segnale STS stesso (che sarebbe il segnale principale nel Work As Imagined, lavoro come immaginato). E in 99 situazioni su 100, non c’è assolutamente alcun problema con questa pratica.
Diventa un problema solo quando il capotreno deve revocare manualmente il segnale STS durante l’esecuzione della procedura di partenza.
Durante la procedura di partenza il capotreno è rivolto verso l’intero treno e quindi con le spalle rivolte al semaforo di partenza dopo averlo visto. Nell’ultima fase chiude la propria porta e non riesce nemmeno a guardare la luce. E il Work As Imagined è in effetti che il macchinista controlla il suo segnale STS (precondizione) ogni volta dopo aver visto le porte chiuse, ma c’è variabilità nell’esecuzione di questo controllo a causa del modo in cui è progettato il processo. In quasi tutte le situazioni non ha bisogno di controllarlo e quindi si è verificata una forma di deriva ed è meno probabile che il controllo si verifichi nel tempo. E possono esserci anche situazioni in cui altre pressioni o distrazioni si aggiungono alla variabilità.
Dichiarazione di non responsabilità: questa non è affatto un’analisi completa del processo e certamente manca di input operativi, ma si spera che dipinga un quadro dell’uso della FRAM nella pratica. Il passo verso il miglioramento del processo di partenza è quello che richiede davvero un input operativo e sfortunatamente questo va oltre lo scopo di questo articolo.
Riflessioni sull’uso della FRAM
Questo piccolo “progetto”, per mostrare l’uso pratico della FRAM, evidenzia alcuni punti utili su come la FRAM può aiutarci a migliorare i nostri sistemi.
- FRAM riguarda prima di tutto la creazione di un modello generico, work-as-done, del processo oggetto di indagine. Ciò lo separa direttamente dai metodi tradizionali di indagine sugli incidenti. Le indagini sugli incidenti sono mirate a una situazione specifica in cui si è verificato un evento. Un’indagine FRAM colloca la situazione specifica nel contesto della normale esecuzione del processo. Questa differenza è particolarmente rilevante quando si cerca di migliorare. Anche le opzioni di miglioramento possono essere inserite nel tutto.
- FRAM facilita la discussione su come viene eseguito il processo e quali problemi si incontrano quotidianamente. Il modello aiuta a plasmare la discussione e quindi il modello non è più così interessante, sono i “dettagli disordinati della vita operativa” che poi contano. È quindi possibile raccogliere un quadro ricco di informazioni contestuali che possono essere utilizzate per ulteriori riflessioni. Il modello è solo un punto di partenza per questa discussione.
Le teorie alla base di FRAM e Safety II ci aiutano a concentrarci sul lavoro normale nelle situazioni quotidiane. Ci aiuta anche a guardare alla razionalità locale delle persone coinvolte. E, ultimo ma non meno importante, ci aiuta a porre domande migliori con un focus positivo e questo porta a una comprensione più ricca e a un approccio più costruttivo e umanistico alla sicurezza.
Questo articolo è pubblicato anche su safetydifferently.com – il pdf originale: Case study: Timing is everything; FRAM for train departures
Dalla protezione alla resilienza
Anche nel migliore dei mondi che sia possibile immaginare, il futuro non è completamente prevedibile. È inevitabile che si verifichino eventi per i quali non siamo preparati, alcuni con esiti positivi e altri con esiti negativi.
Sebbene ci siano pochissime situazioni in cui le cose vanno male rispetto alle moltissime in cui le cose funzionano come ci si aspetta (1 su 10 mila) e dove i risultati sono quelli previsti – o almeno accettabili date le circostanze – i casi positivi tendono nel complesso a passare inosservati. Quando il risultato di un compito o di un’attività è accettabile, c’è poca motivazione a cercare il motivo per cui è stato così; è semplicemente dato per scontato – e addirittura considerato normale – che le cose vadano bene.
Al contrario, quando qualcosa va storto inizia una caccia incessante alla/e causa/e, al fine di garantire che un tale evento non si ripeta mai più.
Linearità semplice o il Five Domino Model
Il five domino model o modello della linearità semplice è stato pubblicato da Heinrich per la prima volta nel 1931 su “Industrial Accident Prevention: a scientific approch”.
Con questo studio Heinrich ha sviluppato un modello di causalità sequenziale, secondo cui l’incidente è il risultato di una propagazione lineare di una catena di cause ed effetti. Con questo primo modello che ha impegnato Heinrich per quasi 30 anni, si è avuta una prima formulazione completa della teoria della sicurezza, basata su 10 assiomi per la sicurezza industriale.
Il primo assioma recita:
“Il verificarsi di un infortunio deriva invariabilmente da una sequenza completa di fattori, l’ultimo dei quali è l’incidente stesso. L’incidente a sua volta è invariabilmente causato o consentito direttamente dall’azione pericolosa di una persona e/o da un pericolo meccanico o fisico.”
Linearità complessa o Swiss Cheese
Il modello di linearità complessa, conosciuto come modello di Reason o del formaggio svizzero (Swiss Cheese Model – SCM), è stato presentato per la prima volta nel 1990 da James T. Reason. Secondo questo modello gli incidenti sono visti come il risultato di interrelazioni tra atti non sicuri compiuti da operatori e condizioni latenti, rappresentate da difese e protezioni deboli, che si presentano in real time, ossia in sequenza temporale utile affinchè le condizioni “negative” (minacce e vulnerabilità) abbiano ad incontrarsi causando l’incidente.
Related Articles
Related
A Resilience Engineering Approach for the Risk Assessment of IT Services
Authors: Mario Fargnoli and Luca Murgianu Faculty of Technological and Innovation Sciences, Universitas Mercatorum - 00186 Rome, ItalyAbstract: Nowadays, services related to IT technologies have assumed paramount importance in most sectors, creating complex systems...
FRAM: how to make a cup of milk tea
Ancora un esempio semplice e in qualche modo “gustoso” per capire il funzionamento del metodo FRAM. Ce lo offre Mohammad Tishehzan, in un articolo che riprende alcuni passaggi del libro di Erik Hollnagel sul funzionamento del metodo. La preparazione di una tazza di tè...
Il metodo FRAM e un buon piatto di pasta
In che modo l’ingegneria della resilienza, la metodologia FRAM e un piatto di pasta possono stare insieme in un articolo?