В современной гражданской авиации несколько десятилетий применяются в основном две модели человеческого фактора (ЧФ), известные как модель SHEL и модель Ризона и значительно реже третья модель, автором которой является Хэлмрич. Несмотря на то, что наука развивается, эти модели в неизмененном виде продолжают использоваться. Причем модель SHEL более популярная, в т. ч. среди преподавателей, хотя трактовку ей не всегда дают правильную. Давайте вновь обратимся к этим моделям и оценим их сильные и слабые стороны.

Начнем с модели SHEL (рис. 1). Родилась она аж в конце 60 — начале 70 годов прошлого столетия. Разработана была Эдвартсом, а в 1972 году усовершенствована Хоукенсом, как гласят издания ИКАО.

Рис. 1 Модель SHEL: исследование человеческого фактора при авиационном происшествии
(разработана Э. Эдвардсом и усовершенствована Ф. Хоукинсом)

В модели используются следующие условные обозначения:

• S – процедуры (установки, символы и т. д.). Означает обмен информацией между летчиком и поддерживающими системами, куда входят руководства, требования эксплуатационных документов, контрольно-опросные листы и т.д.;

• H – объект (взаимосвязь «пилот – оборудование»). Включает любые физические и психические взаимодействия между летчиком и самолетом, которые определяются конструктивными ограничениями, конструкцией и расположением органов управления, приборов, кресел и т.п.;

• E – среда (условия работы). Это окружающая среда: внутренняя (сюда входят факторы, определяющие комфорт в кабине: температура, влажность, освещенность, шум, вибрация, характеристики газовой среды и т.д.) и внешняя;

• L – субъект (межличностные отношения). Характеризует природу взаимодействия и связи в экипаже, такие как голосовая (фразеология, содержание речи, языковой барьер, обратная связь), невербальные (неречевые) ключевые сигналы, трудовые отношения и т.п.

Как отмечается при описании модели, субъект, или человеческий элемент, является сердцевиной модели, наиболее важным и гибким ее компонентом. Он не действует сам по себе, он непосредственно взаимодействует с каждым другим элементом. Границы человеческого блока не простые и ровные, поэтому остальные блоки должны быть тщательно подогнаны к нему во избежание напряжения и возникающего в конечном счете срыва (происшествия). Исследование человеческого фактора должно показать существование между компонентами нестыковок, приводящих к происшествиям, а собранные данные помогут провести тщательное изучение и анализ каждого компонента модели SHEL с выявлением в нем недостатков.

Становится очевидным, что в трактовке данной модели присутствуют две составляющие. Первая: модель отражает те компоненты, с которыми человек (пилот, специалист) взаимодействует в процессе деятельности. Вторая составляющая: эти компоненты должны быть пригнаны (подогнаны) к человеку (пилоту, специалисту), иначе он будет ненадежен при взаимодействии с ними. На это указывают неровные границы взаимодействующих компонентов, где приоритетным является компонент, отражающий человека (пилота, специалиста).

Но как согласовать или гармонизировать эти компоненты? Обеспечить это можно, согласно диалектике, только при одном условии, если у этих компонентов будет общая основа. Такой основой являются психофизиологические и другие возможности и ограничения, которые присущи специалистам (в данном случае пилотам), и которые необходимо учитывать при создании указанных компонентов. В противном случае границы компонентов так и останутся не согласованными (не подогнанными, не пригнанными, не гармонизированными). В результате чего будут созданы условия, провоцирующие пилота на ошибочные действия.

Чтобы обеспечить надежность пилота сам он должен быть «гармонизированным» с профессией, летной деятельностью. Это значит: отвечать по своим профессионально важным качествам и уровню подготовки требованиям профессии, а также быть высоко нравственной личностью (не допускать нарушения стандартов), правильно мотивированным (приоритетом считать только безопасность полета) и работоспособным. Что касается его взаимодействия с другим пилотов, то здесь следует обеспечить прежде всего их психологическую совместимость. Три других компонента модели необходимо создавать только с учетом возможностей и ограничений пилотов. Это значит, что в документах следует отражать только то, что обеспечит надежности деятельности пилотов. Тоже самое касается эргономики воздушного судна, где просчеты при создании информационной среды, моторного поля и т. д. будут провоцировать пилота на ошибки. И конечно же, возможностям пилота должны соответствовать условия внутренние и внешние, чтобы не снижать его надежность. Такой подход отражает суть человеческого фактора, т. е. когда при создании всех компонентов авиационной системы учитываются возможности и ограничения пилотов, а сами пилоты должны отвечать требованиям профессии.

Мне неоднократно при расследовании авиационных событий приходилось убеждаться в том, что построение любого компонента системы с нарушением требований человеческого фактора делало пилота ненадежным и провоцировало на ошибки. Например, все ошибки пилота, трактуемые, как «не увидел», «не прочитал», «перепутал», «не сделал», «неправильно оценил пространственное положение» и т. п. связаны, как правило, с эргономическими недостатками кабины ВС. Если есть изъяны во внутренней среде (например, снижено содержания кислорода во вдыхаемом воздухе и т. д.) или внешней среде (плохая освещенность ВПП и т. п.), то возможности пилота окажутся недостаточными для обеспечения безошибочной работы.

Достоинство модели SHEL в том, что она построена на принципе системности и нацеливает на понимание надежности пилота, как качества, достижение которого возможно при условии полной согласованности с ним всех других компонентов авиационной системы. Если это требование нарушается, то создаются предпосылки, провоцирующие пилота на ошибки.

Однако, на мой взгляд, данная модель с позиций современного состояния науки морально устарела и должна быть усовершенствована. Дело в том, что за 50 лет с момента ее рождения доказано, что авиационная система, как и любая другая, где есть человек – оператор, включает помимо него и его коллеги (коллег) следующие компоненты: средство труда (для пилота это ВС), содержание, организацию и условия деятельности. Следовательно, в модели SHEL компонент «S» должен быть представлен как «содержание» деятельности, тем более, что акцент, сделанный в данном компоненте на документы, не совсем справедлив. Известно, что пилот взаимодействует с содержанием деятельности, которое включает процедуры, регламентированные соответствующими документами.  Это же касается и других компонентов, которые также создаются на основе документов. Кроме того, в модель SHEL должен быть добавлен еще один отсутствующий в ней компонент — «организация деятельности». Целесообразно также в условия работы включать только внешние, поскольку внутренние условия на ВС являются элементов эргономического обеспечения его разработки. Новый вариант модели, построенной на базе SHEL и ее принципах, показан на рис 2.

Рис. 2 Современная модель человеческого фактора

Итак, в предлагаемой модели помимо пилота (П) или специалиста, как базового компонента присутствуют:

—  его коллега (П) – второй пилот (специалист), что предполагает их психологическую совместимость и оптимальное взаимодействие;

— ВС, эргономика которого (ЭВС), включая внутренние условия, должна учитывать возможности и ограничения, присущие пилотам (специалистам);

— содержание деятельности (СД), которое по объему, сложности и т. п. не должно превосходить возможности и ограничения, присущие пилотам (специалистам);

— организация деятельности (ОД), где, прежде всего, возможности и ограничения необходимо учитывать при регламентации профессиональной нагрузки, режима труда, отдыха и питания в разные периоды (в длительном полете, суточном, месячном и готовом налете, последовательности выполнения полетов на Запад и Восток и т. д.);

— условия деятельности (УД), имеются в виду внешние, характеристики которых должны строго отвечать возможностям и ограничениям пилота (специалиста).

Исходя из структуры данной модели, все ее компоненты на предмет их соответствия возможностям и ограничениям пилота требуется изучать при расследовании авиационных событий.

Однако надо откровенно признать, что слабая сторона данной модели, как и модели SHEL, заключается в том, что они не отражают уровней в структуре авиакомпании (любой другой компании) и тем самым не помогают вскрыть причинно – следственные взаимосвязи в развитии авиационного события.

Следующая модель, разработана Хелмричем (рис. 3). Она по сути близка модели SHEL, т. к. тоже нацеливает на выделение тех факторов в компонентах авиационной системы, которые оказывали воздействие на летчика (экипаж) и ухудшали его работу. Но в отличие от модели SHEL каждый из этих факторов, взятый отдельно, не мог бы стать причиной ошибки пилота. А вот в совокупности они создают условие, при котором совершается ошибочное действие. Фигурально выражаясь, формируется “критическая масса” из недостатков, обусловливающая ошибку.

Изображение компонентов авиационной системы в виде квадратов (или концентрических окружностей) означает влияние каждого на те из них, которые находятся внутри. Как образно замечает Хелмрич, экипаж себя чувствует от действия негативных факторов компонентов АС подобно подушечке для иголок.

Рис. 3 Факторы, оказывающие влияние на поведение экипажа (модель Хелмрича)

Итак, модель Хелмрича включены следующие компоненты:

• условия экипажа: межличностное взаимодействие и связь как внутри самолета, так и с землей, особенности совместной деятельности и др.;

• физические условия: самолет с его особенностями, дефектами и характеристиками, погода, состояние аэродрома;

• условия управления воздушным движением – особенности подаваемых команд, поступающей информации;

• условия организации: приобретение и обслуживание авиатехники, подготовка экипажа в авиакомпании и др.;

• регулирующие условия: нормативно-технические, руководящие и методические документы, гарантирующие нормы безопасности при эксплуатации самолета. Данная документация разрабатывается и утверждается, как известно, центральными авиационными организациями.

Таким образом, модель Хелмрича показывает, что причины ошибок могут скрываться не только в пилоте и ВС, но и в регулирующих и организационных структурах, далеко отстоящих от экипажа, т. е. в других компонентах авиационной системы. Накапливание в них опасных факторов приводит к нарастанию давления на экипаж и совершению им ошибок. Важно подчеркнуть, что данная модель, как и предыдущая нацеливает на системный анализ причин случившегося с выявлением недостатков во всех компонентах авиационной системы. Однако, как и модель SHEL, она не отражает уровни организации авиационной системы, не позволяет установить вклад каждого из них в развитие события.

Еще одна наиболее часто упоминаемая модель, как отмечалось выше, носит имя автора – Д. Ризона (рис.4). Это модель в отличие от предыдущей делает акцент на уровнях построения компании (организации) и показывает роль каждого их них в развитии события. Хотя замечу, что Д. Ризон говорит не об уровнях, а о пластах.

Д. Ризон считает, что авиационные происшествия и инциденты редко обусловлены исключительно ошибками или небрежностью со стороны “операторов передней линии”, к которым причисляет летчиков, диспетчеров УВД, механиков. Значительно чаще они являются результатом взаимодействия серии упущений, известных как “латентные (скрытые) нарушения”, которые были “впечатаны” в систему. Эти нарушения обычно возникают от решений и действий (или отсутствия действий) тех лиц, кто далеко отодвинут от передней линии, а именно, менеджеров или руководящих представителей. “Скрытые недостатки, которые являются результатом сомнительных решений или неправильных действий, хотя и не приносят вреда, если они проявляются изолированно, могут взаимодействовать друг с другом, создавая “зону возможности” для пилота, диспетчера УВД или авиамеханика, предпринимать входящие в категорию активных недостатков действия, которые разрушают все виды защиты системы и приводят к происшествию. Операторы “переднего края” играют роль наследников дефектов системы” (Циркуляр ИКАО 240-AN/144).

Исходя из вышеизложенного в своей модели Д. Ризон выделяет 5 пластов (уровней):

Первый пласт “принимающих решение”, который наиболее удален от операторов передней линии (пилотов и др.). Этот пласт содержит “архитекторов и менеджеров высокого уровня”, функция которых установить системную стратегию и философию. На этом уровне может быть неправильно определена стратегия относительно обеспечения безопасности и получаемой прибыли. Решение на максимальное улучшение финансовой картины корпорации может иметь неблагоприятный резонанс в области обеспечения безопасности. Такое решение есть латентное нарушение (латентный или скрытый опасный фактор).

Второй пласт “линейное руководство”, отвечает за проведение выше принятых решений в практику. Когда эти решения и разработки внедряются не в столь

Рис. 4 Установление причин авиационного происшествия (модель Ризона)

оптимальном виде, то также формируется латентное нарушение.

Третий пласт “непременных условий” – это состояние авиатехники и экипажей, программа тренировок и др. Несовершенство авиатехники, недостаточная подготовка летного состава, плохие процедуры являются примером латентных нарушений, которые могут позднее взаимодействовать с другими нарушениями и угрожать безопасности полетов.

Четвертый пласт “производственной деятельности” включает действия операторов передней линии (пилотов, диспетчеров УВД, механиков). Здесь совершаются ошибочные действия – активные отказы, по терминологии Д. Ризона.

Пятый пласт “защитных средств” – это дисциплина летчика, уровень тренировки, контрольно-опросные листы, средства предупреждения (сигнализация) и другие “ошибко — вылавливающие методы”. Часто использование последних свидетельствует об их эффективности, но с другой стороны, может маскировать присутствие латентного нарушения. Д. Ризон считает, что при исследовании ошибочных действий и нарушений расследователь АП должен начинать с ошибок операторов передней линии. Как только ошибка идентифицирована, расследователь должен продвигаться по траектории АП, работая в каждом пласте системы.

“Взгляд на взаимодействующую авиационную систему, предложенный Д. Ризоном, создает необходимую основу для того, чтобы исследователи могли проводить глубокий анализ аспектов человеческого фактора на всех уровнях. Анализ человеческого фактора не должен сосредотачиваться только на активных ошибках операторов “переднего края”, но должен охватывать и чреватые ошибками решения на всех уровнях, которые могут создавать “зону возможности” для возникновения происшествия”, — отмечается в Циркуляре ИКАО (240-AN/144).

Таким образом, модель Д. Ризона так же, как и предыдущие, ориентирует на поиск скрытых недостатков в компонентах авиационной системы, которые далеко отстоят от происшедшего события, ничем себя не проявляют, но обусловливают ненадежность действий экипажа. Но в отличие от выше рассмотренных моделей данная модель нацеливает на анализ авиационной системы как многоуровневой структуры и акцент делает на поиск недостатков на каждом из них. Имеющиеся в каждом пласте недостатки (предствляются в виде «дыр» на схеме Ризона, отсюда еще название модели «швейцарский сыр») при слабых средствах защиты или их отсутствии приводят к событию.  Однако и эта модель, что вполне очевидно, не отражает причинно – следственную взаимосвязь в развитии события и не служит практическим инструментом при расследовании.

Важно отметить, что рассмотренные модели формируют общее представление о многоуровневой структуре авиационной системы, важности создания каждого ее компонента с учетом возможностей и ограничений пилотов (специалистов), а также необходимости их (компонентов) анализа при расследовании события с целью выявления недостатком, негативно отразившихся на надежности пилота (специалиста). Вместе с тем, еще раз отметим, ни одна из моделей не служит практическим инструментом при расследовании авиационных событий, поскольку не содержат в себе алгоритма пошаговых действий расследователя.

Исходя из результатов анализа представленных моделей, возникает необходимость в создании новой модели, которая бы учитывала достоинства названных выше и одновременно содержала в себе алгоритм действий при расследовании события. Для разработки такой модели потребовалось сформулировать постулаты человеческого фактора, определяющие структурные элементы алгоритма расследования, которые представлены на рис. 5, и выделить уровни авиационной системы.

Изложенные постулаты опираются на системный подход и четко раскрывают последовательность шагов в определении причинно – следственных взаимосвязей в развитии события. Выделяются активная причина в виде нестандартного действия пилота (действие не соответствует требованиям документов), непосредственная причина (ближе всего находится к активной) и главная (системная) в виде недостатков наземных компонентов, обусловливающих непосредственную причину (иногда между ними встречается промежуточная).

Выделение уровней достаточно произвольное занятие. И тем не менее, опираясь на понимание функционирования авиационной системы, представляется возможным выделить от трех до шести уровней:

• первый – рабочий или исполнительский (уровень, на котором выполняется производственная деятельность пилотами, ИТС, бортпроводниками, совершаются стандартные и нестандартные действия);

• второй уровень — производственный или организационный (на этом уровне организуется работа специалистов предыдущего уровня: отбор, обучение, регламентирование режима труда, отдыха и питания, создание условий для работы, гарантируются все виды обеспечения деятельности на первом уровне и  т. д.);

• третий уровень – базовый (представлен теми наземными компонентами авиакомпании (департаменты, отделы, службы и т. п.), которые своей деятельностью обеспечивают и отвечают за состояние второго уровня, т. е. результаты отбора, обучения и т.д.).

Рис. 5 Постулаты концепции человеческого фактора как методологии расследования АП и инцидентов

• четвертый уровень — это уровень высшего руководства (топ – менеджмент) авиакомпании, принимающего решения, определяющие проводимую в авиакомпании политику и отношения по всем вопросам ее существования.

Еще имеются два государственных уровня:

• пятый – отраслевой, где разрабатывается стратегия развития, осуществляется управление и контроль функционирования гражданской авиации (Минтранс, Росавиация, Ространснадзор);

• шестой – законодательный, на котором принимаются законы, определяющие деятельность авиационной отрасли (Государственная Дума).

Допустимо обозначать уровни в обратной последовательности, что не меняет сути.

Именно изложенные постулаты и выделенные уровни авиакомпании позволили разработать алгоритм расследования авиационных событий, связанных с человеческим фактором, где активной причиной определяется нестандартное действие пилота, и представить его в виде модели (рис.6).

Рис. 6 «Веерная» модель человеческого фактора при расследовании авиационных событий

В соответствие с предлагаемой «веерной» моделью человеческого фактора расследование любого авиационного события (АС) начинается с определения активной причины, которой могут быть нестандартное действие пилота (НД), отказ систем ВС и воздействие среды (внешней). Установление в качестве активной причины нестандартного действия пилота указывает на то, что событие связано с проявлением человеческого фактора, что означает наличие недостатков в наземных компонентах авиационной системы, ответственных за надежность пилотов. Это исключительно важный момент в мышлении расследователя. Непонимание этой взаимосвязи не позволяет проводить качественное расследование событий. Кстати, понятие «нестандартное действие» было предложено мною около 15 лет назад, поскольку при обнаружении на сигналограмме несоответствующего процедуре действия пилота, сказать является оно ошибочным или нарушением, невозможно. Требуется проведение анализа как самого действия, так и условий, в которых оно совершено.

Поэтому следующим шагом в расследовании (который, как правило, пропускается) является определение природы нестандартного действия, т. е. оно ошибочное (ОД) или нарушение (Нр). Если доказано, что нарушение, то необходимо установить какое оно: спровоцированное (Спр.) или неспровоцированное (Н/спр.). К сожалению, этот шаг также не бывает актуализирован при расследовании. Чаще всего на пилота сразу «навешивается» ярлык нарушителя и расследование продолжают по пути обвинения его в произошедшем. Такой подход является «пещерным». Замечу, что разделение нарушений на спровоцированное и неспровоцированное было предложено мною более 10 лет назад. Это стало возможным после того, как при расследовании событий было установлено, что за допущенным пилотом (специалистом) нарушением стоит руководитель, который создал для этого соответствующие обстоятельства. Например, пилота попросил продемонстрировать возможности ВС, пренебрегая некоторыми ограничениями. Или технику выделили время на обслуживание ВС, меньше нормативного.

После определения природы нестандартного действия устанавливается его непосредственная причина с учетом того, ошибочное оно или нарушение.

Непосредственной причиной ошибочного действия могут быть: нарушение мотивации (М), недостаточная профессиональная готовность к полету (ПГ), сниженная профессиональная работоспособность (ПР), низкие профессионально важные качества (ПВК), а также неэргономичность ВС (Эрг.ВС), включающая внутренние условия, и среды (Эрг.среды). Важно подчеркнуть, что среда (в широком смысле) подразумевает: содержание, организацию и условия (внешние) деятельности, которые должны анализироваться.

Теперь необходимо установить главную (системную) причину (если нет промежуточной). Учитывая, что все перечисленные недостатки, определяющие непосредственную причину, являются продуктом деятельности конкретных наземных компонентов авиакомпании (департаменты, отделы, службы и т. п.), то требуется выявить издержки в их функционировании, которые порождают эти недостатки. Выявление непосредственной причины в пилоте, ВС или внешней среде указывает на тот наземный компонент авиационной системы, где имеются недостатки, обусловившие непосредственную причину. Так, если выявлено нарушение мотивации, то анализируется система формирования мотивации пилотов в авиакомпании, выявляются ее недостатки, которые определяются главной (системой) причиной ошибочного действия и события. Также поступают и с другими непосредственными причинами. Когда непосредственной причиной стала недостаточная профессиональная готовность к полету, то анализу подвергается система подготовки. В случае установления в качестве непосредственной причины снижение профессиональной работоспособности, то анализу подвергается система регламентации режима труда, отдыха и питания, а также определения налета в разные периоды. Если непосредственной причиной стали низкие профессионально важные качества, то изучается система отбора. Когда непосредственная причина связана с неэргономичностью ВС, то оценивается, насколько в авиакомпании выявлены все эргономические недостатки ВС, и как они доведены до пилотов с соответствующими комментариями и рекомендациями. При выявлении в качестве непосредственной причины неэргономичность среды (недостатки в содержании, организация или условиях деятельности пилота) анализируется состояние тех наземных компонентов, которые причастны к появлению выявленной непосредственной причины.

Когда активная причина представлена нарушением, то проводится аналогичный анализ причинно – следственных взаимосвязей, как и при выполнении ошибочного действия. Если нарушение спровоцированное, то непосредственной причиной его является низкий уровень духовно – нравственного развития руководителя (УДР(Р), отдавшего неправильную команду или заставившего исполнителя совершить нарушение. Главная (системная) причина в этом случае скрывается в виде недостатков системы управления персоналом. При совершении пилотом неспровоцированного нарушения непосредственной причиной могут быть низкий уровень духовно – нравственного развития пилота (УДР(С) или нарушение мотивации (М). Главной (системной) причиной в первом случае являются недостатки системы управления персоналом, а во втором – недостатки системы формирования корпоративной культуры.

Приведу реальный пример. Произошел инцидент. Активная его причина — нестандартное действие пилота. Доказано, что оно является ошибочным. Непосредственной причиной ошибочного действия стало сниженная работоспособности пилота. Главной причиной – неудовлетворительные условия для отдыха в гостинице, где идет ремонт. Рекомендация по устранению главной причины: арендовать номера в гостинице с лучшими условиями. Наказывать пилота бессмысленно.

Становится очевидным, что в соответствии с предложенной моделью расследование любого события, связанного с человеческим фактором, должно завершаться установлением главой (системной) причины в виде недостатков соответствующего наземного компонента (департаменты, отделы, службы и т. п.), основными из которых могут быть: руководители, персонал, документы, средства и методы работы, организация работы, профессиональная культура. Только установление главной (системной) причины и разработка мероприятий по ее устранению гарантирует предотвращение аналогичных событий в будущем. Сохранение главной (системной) причины позволит в дальнейшем «ксерокопировать» подобные события и, как показывает практика, с более тяжелыми последствиями.

Таким образом, предложенная на основе сформулированных постулатов и выделения уровней авиационной системы модель человеческого фактора для расследования авиационных событий не только учитывает положительные стороны выше представленных моделей, но и является практическим инструментом расследования, позволяющим пошагово определять причинно – следственную взаимосвязь развития события с установлением главной (системной) причины и  последующей разработкой мероприятий по ее устранению.

МКАА «Безопасность полетов» не несет ответственности за содержание этого материала. Содержимое сообщения не обязательно является мнением или взглядом учредителей МКАА «Безопасность полетов». Материал публикуется с целью ознакомления авиационного сообщества с различными мнениями специалистов.

Содержание материалов представлено в том виде, в котором их подготовили авторы – без какой-либо редакторской правки.

Рис.: https://medium.com/