Cosa si intende per Safety II

Credit rai.it

Il 20 marzo 2010, dopo 187 anni, si è verificata una nuova eruzione dell’Eyjafjöll che ha causato l’evacuazione di circa 600 persone. Il 15 aprile la presenza di una nube di ceneri vulcaniche emessa dal vulcano ha portato alla chiusura degli spazi aerei e di vari aeroporti di alcuni paesi dell’Europa centro-settentrionale: Regno Unito, l’Irlanda, la Danimarca, la Norvegia, il Belgio, la Francia, la Germania, la Svizzera, la Svezia, la Polonia, l’Estonia, la Lettonia, la Rep. Ceca, l’Austria, l’Ungheria, la Romania, la Spagna e l’Italia. La situazione si è ripetuta in misura meno estesa il 9 maggio. (fonte Wikipedia)

Perchè è importante conoscerla

Cosa si intende per Safety-II

Resilience Engineering, Safety, Safety II, Sistemi complessi

Ingegneria della resilienza, Resilience Engineering

Written by redazione

In innumerevoli situazioni, dalla quotidianità ospedaliera al lavoro nei cantieri edili, gli operatori agiscono in sicurezza perché sono in grado di adattare il proprio lavoro in modo adeguato rispetto alle condizioni presenti. Nei sistemi trattabili e ben progettati (come l’aviazione, l’industria mineraria e manifatturiera, ma anche la produzione farmaceutica), la necessità di adeguamenti è ridotta proprio a causa della maturità del settore. In molti casi c’è anche la possibilità di rinviare o ritardare le operazioni quando le circostanze diventano sfavorevoli, come nei casi in cui i voli vengono cancellati a causa del tempo, oppure l’intero sistema può spegnersi, come è successo in occasione dell’11 settembre 2001 e quando il vulcano islandese Eyjafjällajökull è eruttato nel epriodo marzo/maggio 2010.

L’assistenza sanitaria, presa in questo caso da esempio proprio per la sua natura spesso intrattabile, richiede adeguamenti delle prestazioni per il funzionamento del sistema. In molte situazioni sanitarie, la precarietà delle circostanze rende anche impossibile ritardare o differire il trattamento dei pazienti, anche se le condizioni di lavoro sono pessime. A dimostrazione di quanto appena affermato si pensi alla pressione a cui sono stati e sono tuttora sottoposti i servizi sanitari italiani a causa dell’emergenza da Covid-19. Data l’incertezza, l’intrattabilità e la complessità del lavoro sanitario, la sorpresa non è che le cose occasionalmente vadano male, ma che vadano bene così spesso. Eppure, come abbiamo visto, quando cerchiamo di gestire la sicurezza, ci concentriamo sui pochi casi che vanno male piuttosto che sui tanti che vanno bene. Ma occuparsi di rari casi di fallimento attribuiti a “errore umano” non spiega perché le prestazioni umane in pratica vadano sempre bene e come aiutino a raggiungere gli obiettivi sanitari. Concentrarsi sulla mancanza di sicurezza non ci mostra quale direzione prendere per migliorare la sicurezza.

La soluzione proposta dalla Safety-II a tutto questo è sorprendentemente semplice: invece di guardare solo ai pochi casi in cui le cose vanno male, dovremmo guardare ai molti casi in cui le cose vanno per il verso giusto e cercare di capire come e perché ciò avvenga. Dobbiamo riconoscere che le cose vanno bene perché i medici sono in grado di adattare il loro lavoro alle condizioni piuttosto che perché funzionano come immaginato. L’ingegneria della resilienza riconosce che i risultati accettabili e gli esiti negativi hanno una base comune, vale a dire gli aggiustamenti quotidiani delle prestazioni (vedi figura 1).

Poiché diverse situazioni lavorative oggi sono intrattabili, è impossibile prescrivere cosa dovrebbe essere fatto in ogni dettaglio tranne che nelle situazioni più banali. Il motivo per cui le persone sono comunque in grado di lavorare in modo efficace è che adeguano continuamente il proprio lavoro alle condizioni presenti, incluso ciò che gli altri fanno o probabilmente faranno.

Secondo questa visione dovremmo evitare di trattare i fallimenti come eventi unici e individuali, e piuttosto vederli come un’espressione della variabilità delle prestazioni quotidiane. Escludendo le attività eccezionali, possiamo affermare di essere certi che qualcosa andrà storto così come molte volte prima sono andate bene e così come andranno bene ancora molte volte in futuro. Comprendere come si verificano esiti accettabili è la base necessaria per comprendere come si verificano gli esiti avversi. In altre parole, quando qualcosa va storto, dovremmo iniziare a capire perché e come (altrimenti) di solito va bene, invece di cercare cause specifiche che spiegano solo il fallimento (vedi Figura 9). Gli esiti negativi sono più spesso dovuti a combinazioni di variabilità nota delle prestazioni che di solito sono considerate irrilevanti per la sicurezza, piuttosto che a guasti e malfunzionamenti distinti.

Più complicata è una situazione lavorativa, maggiore sarà l’incertezza sui dettagli. E il lavoro clinico è estremamente complesso e richiede alti livelli di discrezione e giudizio professionale per adattare un’assistenza adeguata alle circostanze dei pazienti con molteplici patologie.

Le premesse per la gestione della sicurezza nei sistemi socio-tecnici complessi, possono essere così riassunte:

  • I sistemi non possono essere scomposti in modo significativo (non ci sono “elementi” o “componenti” naturali).
  • Le funzioni del sistema non sono bimodali, separate in “funzionanti” o “malfunzionanti”, ma le prestazioni quotidiane sono e devono essere flessibili e variabili.
  • I risultati emergono dalla variabilità delle prestazioni umane, che è la fonte di risultati sia accettabili che negativi.
  • Mentre alcuni esiti negativi possono essere attribuiti a guasti e malfunzionamenti, altri sono meglio compresi come il risultato della variabilità accoppiata delle prestazioni.

Di conseguenza, la definizione di sicurezza dovrebbe essere cambiata da “evitare che qualcosa vada storto” a “garantire che tutto vada per il verso giusto”. Safety-II è la capacità del sistema di funzionare come richiesto in condizioni variabili, in modo che il numero di risultati previsti e accettabili (in altre parole, le attività quotidiane) sia il più alto possibile. La base per la sicurezza e la sua gestione deve quindi essere la comprensione del motivo per cui le cose vanno bene, il che significa la comprensione delle attività quotidiane.

Garantire che il più possibile vada bene, nel senso che il lavoro quotidiano raggiunga i suoi scopi dichiarati, non può fare affidamento sulla risposta ai fallimenti, poiché le azioni in risposta correggeranno solo ciò che è già accaduto. Anche la gestione della sicurezza deve essere proattiva, in modo che gli interventi vengano effettuati prima che accada qualcosa e possano influenzare il modo in cui accadrà o addirittura impedire che accada.

Ingegneria della Resilienza

Figura 1 – Le cose che vanno bene e le cose che vanno male, accadono allo stesso modo – Erik Hollnagel, Robert L Wears, Jeffrey Braithwaite: From Safety-I to Safety-II: A White Paper

Ingegneria della Resilienza

Figura 2 – La base per la sicurezza è la comprensione della variabilità delle prestazioni quotidiane – Erik Hollnagel, Robert L Wears, Jeffrey Braithwaite: From Safety-I to Safety-II: A White Paper

Un vantaggio della proattività è che nel complesso richiede meno energia, in quanto le conseguenze dell’evento saranno affrontate in brevissimo tempo, e avranno meno tempo per svilupparsi e diffondersi.

Per meglio comprendere la Safety-II e il ragionamento che ne consegue sulla resilienza, è bene dettagliare i fondamenti teorici e i suoi meccanismi.

Le caratteristiche della Safety-II

  • Performance Variability piuttosto che Bimodalità
  • Emergenza piuttosto che causalità
  • Osservare ciò che va bene piuttosto che ciò che va male
  • Proattività piuttosto che Reattività

Performance Variability piuttosto che Bimodalità

A differenza di Safety-I, Safety-II si basa sul principio che gli adeguamenti delle prestazioni sono onnipresenti e che le prestazioni non solo sono sempre variabili, ma devono esserlo. Ciò significa che è impossibile oltre che privo di significato caratterizzare i componenti in termini di successo o guasto, funzionamento o malfunzionamento. La variabilità, tuttavia, non deve essere interpretata negativamente, come in “deviazioni di prestazioni”, “violazioni” e “non conformità”. Al contrario, la capacità di adeguare le prestazioni è un contributo umano essenziale al lavoro, senza il quale sarebbe possibile solo l’attività più banale.

Emergenza piuttosto che causalità

Poiché gli aggiustamenti delle prestazioni e la variabilità delle prestazioni costituiscono la base di Safety-II, ne consegue che i meccanismi non possono basarsi sulla causalità e sulla propagazione lineare di cause ed effetti. Sebbene sia ancora comune attribuire la maggior parte degli esiti negativi a un guasto o malfunzionamento dei componenti e delle normali funzioni del sistema, esiste un numero crescente di casi in cui ciò non è possibile. In questi casi si dice che il risultato è emergente piuttosto che risultante. Questo non rende impossibile spiegare cosa è successo, ma la spiegazione sarà di natura diversa. Il significato dell’emergenza non è che qualcosa avvenga “magicamente”, ma che avvenga in un modo che non può essere spiegato usando i principi di scomposizione e causalità. Questo è in genere il caso di sistemi che in parte o del tutto sono intrattabili.

Il modo in cui di solito spieghiamo come è successo qualcosa è risalire dall’effetto alla causa, fino a quando non raggiungiamo la causa principale o esauriamo tempo e denaro. Questo può essere illustrato da una rappresentazione come il diagramma a lisca di pesce o diagramma di Ishikawa[1], mostrato nella Figura 3.

 

[1] Il diagramma di Ishikawa è una tecnica manageriale utilizzata nel settore industriale e nei servizi per individuare la/le causa/e più probabile/i di un effetto. È anche chiamato diagramma causa-effetto o diagramma a lisca di pesce.

Ingegneria della Resilienza

Figura 3 – diagramma a lisca di pesce che utilizza la logica lineare per tenere traccia di un evento avverso – Erik Hollnagel, Robert L Wears, Jeffrey Braithwaite: From Safety-I to Safety-II: A White Paper

Quando qualcosa va storto, ci sarà un cambiamento osservabile di qualcosa (altrimenti non avremmo potuto sapere che fosse successo qualcosa.) L’esito potrebbe essere un intervento chirurgico in un punto sbagliato, un’infezione chirurgica o un errore di diagnosi. Safety-I presuppone che le cause siano reali e lo scopo delle indagini su incidenti e inconvenienti è di tracciare gli sviluppi a ritroso dal risultato osservabile alla causa effettiva. Le cause sono anche “reali”, nel senso che possono essere associate a componenti o funzioni che in qualche modo sono “fallite”, dove il “fallimento” è visibile dopo il fatto o può essere dedotto dai fatti.

Allo stesso modo, la valutazione del rischio proietta gli sviluppi in avanti, dalle cause effettive ai possibili risultati. Spesso iniziano con un database di incidenti e valutano il rischio che un’altra cosa simile accada ora.

Nel caso dell’emergenza, i risultati finali sono ovviamente osservabili e “reali”, ma lo stesso non è necessariamente vero per ciò che li ha prodotti. I risultati possono, ad esempio, essere dovuti a fenomeni o condizioni transitorie che esistevano solo in un particolare punto nel tempo e nello spazio. L’infermiera aveva mal di testa; oppure la figlia di un medico si sposava e tutti festeggiavano l’evento; o la politica locale era antagonista quel giorno perché due dipartimenti adiacenti stavano discutendo sull’allocazione delle risorse. Queste condizioni possono, a loro volta, essere emerse da altri fenomeni transitori. (vedi figura 11). Le “cause” vengono così ricostruite (o dedotte) piuttosto che trovate. Possono quindi essere impossibili da eliminare o contenere nella maniera usuale, ma può essere comunque possibile controllare le condizioni che li hanno portati ad essere, a patto di comprendere come si svolge normalmente il lavoro.

Osservare ciò che va bene piuttosto che ciò che va male

La definizione di Safety-II (vedi Tab. 1) significa che le manifestazioni sono tutti i possibili esiti, come illustrato dalla Figura 12, e in particolare gli esiti tipici o ad alta frequenza che di solito vengono ignorati dalla gestione della sicurezza. Un sistema è ancora considerato non sicuro se si verificano esiti negativi, ma è più importante capire come è sicuro quando non si verificano: la sicurezza è quindi definita da ciò che accade quando è presente, piuttosto che da ciò che accade quando è assente, ed è quindi direttamente correlato ai risultati accettabili ad alta frequenza. In altre parole, più sono di queste manifestazioni, maggiore è il livello di sicurezza e viceversa. Ciò consente di dimostrare che gli sforzi per migliorare la sicurezza hanno funzionato, quindi è più facile chiedere risorse continue.

Purtroppo, anche se le cose vanno bene, non gli diano il giusto peso, anzi per abitudine non ci facciamo proprio caso perché lo diamo per scontato. Ma poiché le prestazioni quotidiane non sono eccezionali, possono essere spiegate in termini relativamente semplici. Ad esempio, le prestazioni quotidiane possono essere descritte come adeguamenti delle prestazioni che servono a creare o mantenere le condizioni di lavoro richieste, che compensano la mancanza di tempo, materiali, informazioni, ecc. e che cercano di evitare condizioni notoriamente dannose per il lavoro. E poiché la variabilità delle prestazioni quotidiane è onnipresente, è più facile da monitorare e gestire.

 

Cosa é la
Safety-I

In innumerevoli situazioni, dalla quotidianità ospedaliera al lavoro nei cantieri edili, gli operatori agiscono in sicurezza perché sono in grado di adattare il proprio lavoro in modo adeguato rispetto alle condizioni presenti. Nei sistemi trattabili e ben progettati (come l’aviazione, l’industria mineraria e manifatturiera, ma anche la produzione farmaceutica), la necessità di adeguamenti è ridotta proprio a causa della maturità del settore. In molti casi c’è anche la possibilità di rinviare o ritardare le operazioni quando le circostanze diventano sfavorevoli, come nei casi in cui i voli vengono cancellati a causa del tempo, oppure l’intero sistema può spegnersi, come è successo in occasione dell’11 settembre 2001 e quando il vulcano islandese Eyjafjällajökull è eruttato nell’aprile/maggio 2010.

Credit rai.it

Invece di guardare solo ai pochi casi in cui le cose vanno male, dovremmo guardare ai molti casi in cui le cose vanno per il verso giusto e cercare di capire come e perché ciò avvenga.

La soluzione proposta dalla Safety-II a tutto questo è sorprendentemente semplice: invece di guardare solo ai pochi casi in cui le cose vanno male, dovremmo guardare ai molti casi in cui le cose vanno per il verso giusto e cercare di capire come e perché ciò avvenga. Dobbiamo riconoscere che le cose vanno bene perché i medici sono in grado di adattare il loro lavoro alle condizioni piuttosto che perché funzionano come immaginato. L’ingegneria della resilienza riconosce che i risultati accettabili e gli esiti negativi hanno una base comune, vale a dire gli aggiustamenti quotidiani delle prestazioni. Continua a leggere…

Related Articles

Related