Comments
Description
Transcript
Definizione di Incidente
Incidenti: come? Perché? Incidenti tecnologici o errori organizzativi? Dall’approccio alla persona alle logiche dell'organizzazione Maurizio Catino Università di Milano - Bicocca [email protected] 1 Maurizio Catino Le organizzazioni ad alto rischio Definizione di Incidente Evento inaspettato Incidente Conseguenze non volute Maurizio Catino 2 Maurizio Catino 3 Maurizio Catino Impianti nucleari Portaerei navali Pronto soccorso ospedaliero e reparti intensivi Sistemi di trasporto Controllo del traffico aereo Impianti di produzione chimica Piattaforme di trivellazione petrolifera Squadre di soccorso Sistemi finanziari … 4 1 Tasso annuale di incidenti per milione di movimenti Non esiste un mondo senza errore • Trasporto di jet • Controllo del traffico aereo • Trasporto marittimo • Industria chimica • Impianti a reazione nucleare (US) • Trasporto stradale • Medicina 65-85 90 80-85 80-90 70 85 ?? I problemi della performance umana dominano i rischi nelle organizzazioni pericolose Fonte: Italian Flight Safety Committee (IFSC) e IATA (International Air transport Association) 5 Maurizio Catino 6 Maurizio Catino To err is human La ricerca epidemiologica Accidental Deaths in the U.S 120, 00 Deaths due to Medical errors An estimated 1,000,000 people are injured each year as a result of medical errors occurring as a result of hospital treatment each year. 120,000 die from those injuries. These frightening statistics were obtaind from a study led by Lucian Leape of the Harvard School of Public Health. For comparison, other causes of accidental death are presented. 43,649 Motor Vehicle deaths 14,986 Deaths From falls Maurizio Catino Studio 3,959 Drowing deaths 329 Commercial Aviation deaths 7 Periodo Numero di ammissioni ospedaliere Tasso eventi avversi (% ammissioni) Harvard Medical Practice Study 1984 30195 3.7 Utah-Colorado 1992 14052 2.9 Australia 1992 14179 16.6 Inghilterra 1999 1014 10.8 Danimarca 1998 1097 9.0 Nuova Zelanda 1998 6579 11.2 Francia 2002 778 14.5 Canada 2000 3745 7.5 Maurizio Catino (Vincent, 2005) 8 2 Prospettive e Approcci Limiti dei Modelli Fattori sociali e organizzativi Incidenti di sistema Errore umano • Tradizionale (giuridico-formale) • Basato sulla persona • Organizzativo e socio-tecnico • • • • • • Non è possibile costruire un modello del comportamento umano a partire dalla scomposizione di quest’ultimo in decisioni e azioni individuali; non è possibile studiare il comportamento umano isolandolo da: Man-made disaster (anni 70-80) Normal Accident Theory (anni 80) High Reliability Theory (anni 90) Errori umani e fattori latenti (anni 90) Resilience Engineering (fine anni 90-2000) • Contesto fisico e sociale • Sistema di valori in cui esso prende luogo • Processo di lavoro dinamico Adattamento • I maggiori incidenti comportano una sistematica “migrazione” del comportamento organizzativo verso più alti livelli di rischio Paradigmi-Frame Finalità dell’indagine: Colpa vs. Prevenzione Maurizio Catino 9 Spostamento del Focus L’errore “…human error is not a well defined category of human performance. Attributing error to the actions of some person, team, or organization is foundamentally a social and psycological process and not an objective, technical one” Fattori sistemici e culturali Atti insicuri (errori, violazioni) Fallimenti tecnologici (hardware; software) 1955 Maurizio Catino 2005 1960s 1970s 1980s 1990s 2000s Aberfan Ibrox Seveso Tenerife TMI Mt Erebus Chernobyl Bhopal Linate Uberlingen Piper Alpha Paddington Long Island Alabama Dryden Challenger … 10 Maurizio Catino Columbia (Woods et al. 1994, p.XVII) 11 Maurizio Catino 12 3 8.10.2001: il secondo più grave incidente aereo a terra 4 minuti e 38 secondi: Il disastro di Linate come errore organizzativo Maurizio Catino Università di Milano – Bicocca [email protected] 13 Maurizio Catino Maurizio Catino Un aereo della compagnia SAS si scontra con un aereo Cessna durante il decollo Muoiono 118 persone La dinamica dell’incidente Errore di comunicazione 1 MD87 Tower: (8.05.44) Delta Victor Xray taxi North via Romeo 5… call me back at the stop bar of the… main runway extension Cessna: (8.05.56) Roger via Romeo 5 1013 and call you back before reaching main runway Cessna Maurizio Catino 14 15 Maurizio Catino Il pilota del Cessna nel read back omette le parole “North”; “Stop bar”, and “Extension” I piloti del Cessna confondono il raccordo R5 con quello R6 16 4 La dinamica dell’incidente • •• • R5 R6 Il Cessna sbaglia a prendere il raccordo •• • • 17 Maurizio Catino La dinamica dell’incidente L’errore iniziale • •• • R5 R6 MD87 • •• • Le sigle R5 e R6 sono deteriorate Poco visibili in condizioni di bassa visibilità (nebbia, pioggia) Le luci del raccordo R6 erano accese e visibili Le luci del raccordo R5 erano più distanti e non immediatamente visibili I piloti ritengono il raccordo R6 la strada giusta La nebbia favorisce l’errata convinzione Maurizio Catino 18 Maurizio Catino 19 Cessna Maurizio Catino 20 5 Errore di comunicazione 2 L’ultima comunicazione Cessna: (8.08.23) Delta Victor Xray is approaching Sierra 4 Tower: (8.08.28) Ehmm… Delta Victor Xray, confirm your position??? Torre: (8.09.19) Delta Victor Xray continuate il rullaggio sul piazzale principale, linea Alfa … Delta Victor Xray Cessna: (8.08.32) Approaching the runway… Sierra 4 Cessna: (8.09.28) Roger, continuiamo il rullaggio sul piazzale principale, linea Alfa… Delta Victor Xray Tower: (8.08.36) Delta Victor Xray Roger, maintain the Stop Bar, I’ll call you back Torre: (8.09.37) Corretto e per favore richiamatemi entrando nella via di rullaggio principale Cessna: (8.09.38) Delta India Echo Victor Xray richiameremo sulla via di rullaggio principale. Cessna: Roger, … hold position (8.08.40) Sierra 4: sigla presente solo sul raccordo R6 Approaching the runway: il raccordo R5 non si avvicina alla pista Maurizio Catino 21 Maurizio Catino 22 23 Maurizio Catino 24 La dinamica dell’incidente Maurizio Catino 6 Perché? Di chi è la colpa? Organizzazione Errori organizzativi E’ colpa dei piloti del Cessna? E’ un errore dei controllori di terra? E’ l’assenza del radar di terra? Rete Contesto di lavoro E’ la segnaletica inadeguata? Errori Violazioni Persona E’ colpa di chi gestisce l’aeroporto? Difese E’ una tragica fatalità? La nebbia Incidente …… 25 Maurizio Catino 26 Maurizio Catino 1. Fallimenti-errori attivi (persona) 1. Fallimenti-errori attivi (persona) 1. I piloti del Cessna hanno imboccato un raccordo sbagliato invece di quello corretto: la torre di controllo ha ordinato di prendere il raccordo a nord (R5) mentre il Cessna si è diretto a sud (R6). Che cosa volevano vedere? Intenzioni 2. Fallimenti della comunicazione tra torre e piloti. Stimoli ambigui 3. Non è stata applicata la low visibility procedure. Che cosa videro? Maurizio Catino 27 Maurizio Catino Aspettative Che cosa si aspettavano di vedere? 28 7 2. Fallimenti del contesto e organizzativi 2. Fallimenti del contesto e organizzativi 2.1 Fallimenti delle difese Tecnologia debole (Surface Movement Radar) TWY Lights Stop Bars L’ultima difesa Il nuovo è peggio del vecchio A livello organizzativo A livello individuale 2.2 Error-inducing conditions Sigle poco visibili (RWY Holding Position Markings) Segnaletica inadeguata (fuori standard ICAO) Luci ambigue Mappa e paesaggio • Errori • Violazioni • Fallimenti della comunicazione • assenza del radar di terra • difese del sistema deboli • segnaletica inadeguata • indicazioni ambigue • nessun sistema di reporting • luci ambigue • cartine non aggiornate 2.3 Fallimenti latenti Segnali non ascoltati Pratiche poco usate Strade trasversali Un posto sbagliato Maurizio Catino 29 3. Le organizzazioni coinvolte 3. La visione d’insieme—Linate Principali enti coinvolti Il sistema operativo e di gestione dell’Aeroporto di Linate era complicato e coinvolgeva 3 organizzazioni: Funzioni svolte ENAC È l'ente regolatore, di controllo e gestione del sistema (Ente Nazionale per dell'aviazione civile; rilascia pareri, licenze, verifica i brevetti del l'Aviazione Civile) personale navigante; dirige gli aeroporti tramite i Direttori degli aeroporti. Opera sotto il controllo del Ministero delle Infrastrutture e dei Trasporti • Regolatore traffico (ENAV) • Service Provider (SEA) • Autorità Aeroportuale (ENAC) Non esistevano efficaci accordi di funzionamento tra queste organizzazioni in tema di sicurezza Maurizio Catino 30 Maurizio Catino 31 ENAV (ex Ente Nazionale di Assistenza al Volo) È un soggetto privato che fornisce il servizio di controllo e di assistenza del traffico aereo; gestisce i controllori di volo e le torri di controllo. È soggetto alla vigilanza del Ministero delle Infrastrutture e dei Trasporti, ma non del Direttore dell'aeroporto. SEA È la società di gestione degli aeroporti di Linate e di Malpensa, in base a una convenzione con l'Enac. Deve assicurare i servizi di assistenza ai vettori aerei (ground handling), la manutenzione delle aree di manovra su indicazione dell'Enac e in coordinamento con l'Enac. ATA È la società di gestione aeroportuale che fornisce servizi ai velivoli dell'Aviazione Generale (executive, aerotaxi, turismo ecc.) e utilizza il piazzale ovest dell'aeroporto di Linate. 32 Maurizio Catino 8 3. Fallimenti interorganizzativi La rete organizzativa del sistema Linate Ministero delle infrastrutture e dei Trasporti Mancanza di coordinamento tra gli enti coinvolti Ministero dell’Economia e della Finanza Assenza di un sistema di gestione della sicurezza Organizzazioni controllante e controllate ENAC (Airport Authority) Segretezza strutturale ENAV SpA Linate Airdrome Director UCT (Section of DCA responsible for traffic documentation, ecc) (Traffic Regulator) SEA (Service Provider) Other DCA local representatives at Linate CAV Flight Assistance Centre ATA Pressioni all’efficienza non integrate con la sicurezza 33 Maurizio Catino Buchi strutturali nel governo della rete riguardo alla sicurezza Regole non chiare; conflitto tra fonti normative Supplier of ground handling services to SEA Linate DCA Jurisidictional Airdrome Authority Alta differenziazione, bassa integrazione 34 Maurizio Catino I livelli del fallimento Il modello del “Formaggio Svizzero” A livello inter-organizzativo Alcuni buchi sono dovuti a errori attivi • coordinamento tra gli enti coinvolti • regole non chiare • rapporto critico tra controllante e controllata • pressioni all’efficienza non integrate con la sicurezza Hazards A livello organizzativo A livello individuale • Errori • Violazioni • Fallimenti della comunicazione Maurizio Catino • assenza del radar di terra • difese del sistema deboli • segnaletica inadeguata • indicazioni ambigue • nessun sistema di reporting • luci ambigue • cartine non aggiornate Losses 35 Reason, 2002 Maurizio Catino Altri sono dovuti a condizioni latenti (resident ‘pathogens’) 36 9 Il disastro di Linate ha evidenziato due punti principali Il ruolo cruciale di una comunicazione accurata e tempestiva per la sicurezza aerea. L’aumento della pericolosità associata alle incursioni di pista. Il problema della blame culture 37 Maurizio Catino Il caso del signor X (2) Il caso del signor X • Il dr. Primo chiede al signor X e alla figlia (assistente sanitaria) di produrre documentazione medica della prescrizione • Signor X, uomo di 65 anni • Ricovero d’urgenza per frattura del femore (sabato mattina) • Il dr. Primo trascrive in cartella • Nella farmacia di reparto sono presenti solo fiale di Mtx da 5 mg • Buone condizioni generali • Affetto da molti anni da Artrite Reumatoide • Si provvede a richiederlo dalla farmacia interna • All’ingresso segnala al dr. Primo (medico accettante) di essere in trattamento con Methotrexate, 2 fiale da 500 mg alla settimana Maurizio Catino 38 Maurizio Catino • La figlia del signor X. conferma quanto detto dal padre senza portare documentazione scritta, nè le confezioni usate a casa 39 Maurizio Catino 40 10 Il caso del signor X (3) Il caso del signor X (4) • Lunedì il dr. Primo va in ferie, lasciando il reparto al dr. Secondo che giornalmente visita il signor X • Il signor X viene sottoposto a trattamento chirurgico (endoprotesi) • Il dr. Secondo trascrive correttamente la prescrizione (2 fiale da 500 mg di Mtx alla sett.) • Viene praticata la seconda somministrazione di Mtx • Il mercoledì successivo si provvede alla prima somministrazione di Mtx • Progressivo deterioramento delle condizioni generali (Febbre oltre 38.5; Astenia marcata) • L’anestesista visita il signor X, controlla la terapia e concede il nulla-osta all’intervento • Terapia antibiotica a largo spettro 41 Maurizio Catino 42 Maurizio Catino Il caso del signor X (5) L’errore • Deterioramento delle condizioni generali: • Il Methotrexate (Mtx) è disponibile in dosi da 5 mg. per il trattamento dell’AR e in dosi da 500 mg per il trattamento dei tumori maligni 9 Febbre oltre 38.5 9 Astenia marcata 9 Leucopenia 9 Agranulocitosi (8a giornata) • In questa seconda indicazione va somministrato con farmaci in grado di ridurre l’effetto lesivo sulla produzione di globuli bianchi (acido folico) • Trasferito nell’U.O. di Malattie Infettive - Inizio trattamento con acido folico - Setticemia Decesso (11a giornata) Maurizio Catino 43 Maurizio Catino 44 11 Palermo 6 agosto 2005 Il problema di dosaggio non è stato rilevato: 1. 2. 3. 4. 5. 6. dal dr. Primo dal dr. Secondo dai medici di guardia del pomeriggio dall’anestesista dall’internista dalla farmacia Di chi è la colpa? 45 Maurizio Catino L’aereo ATR 72 finisce il carburante ma dagli indicatori non risultava: 16 morti e 23 feriti Maurizio Catino 46 Scambi ad alto rischio Quando la ridondanza fallisce • L’errore: i due indicatori dell’ATR 72 sostituiti con quelli dell’ATR 42. • La sequenza: 1. Il magazziniere non controlla il modello e il numero seriale del pezzo di ricambio 2. Il meccanico monta il pezzo sul velivolo 3. L’ispettore che verifica il numero seriale non riscontra l’errore 4. Il tecnico di linea che fornisce il carburante e controlla le apparecchiature non si accorge di nulla 5. Il comandante dovrebbe controllare strumenti e tipo di carburante. Nessun allarme Maurizio Catino 47 Maurizio Catino 48 12 Civic Epistemology: due modi di considerare gli errori e gli incidenti Che fare? Due strade : L’approccio L’approccio 1. Via legale e assicurativa alla persona 2. Gestione del rischio e apprendimento dagli errori (accusatorio) Paradigmi Frame al sistema (funzionale) Errori e incidenti Maurizio Catino 49 50 Maurizio Catino L’approccio alla persona: le “buone ragioni” L’approccio alla persona – accusatorio: i fondamenti • Le persone non prestano sufficiente attenzione al compito • Si focalizza sugli errori e le mancanze degli individui 1.L’attore sceglie volontariamente • Vi è la convinzione che i professionisti responsabili non dovrebbero commettere errori (duty of care) • Gli sforzi per rimediare sono diretti alle persone “in prima linea” • Attribuzione di colpa e rimozione delle “mele marce” 3.Dà senso di giustizia: è emotivamente soddisfacente e conveniente dal punto di vista legale (ma sempre meno…) • Modello causale semplice • Soluzioni: misure disciplinari e rinforzo della norma Maurizio Catino 2.E’ tipico del sistema penale e del modo di funzionare di molte organizzazioni 51 Maurizio Catino 52 13 L’approccio alla persona: gli effetti di composizione (perversi) Hindsight Bias • Non porta da nessuna parte • Guarda al passato • Isola gli errori dal loro contesto e comporta nessuno o pochi interventi di valore • Crea un senso di paura di sanzioni e controversie legali • Non favorisce il reporting degli errori Before the Accident • Inibisce l’apprendimento organizzativo • Non migliora l’organizzazione Modified from Richard I. Cook, MD (1997) 53 Maurizio Catino 54 Maurizio Catino Concezione errata dell’errore umano L’approccio al sistema Gli incidenti derivano da una sequenza collegata (di solito rara) di mancanze in numerose difese, salvaguardie, barriere e controlli messi in opera per proteggere contro gli eventi rischiosi conosciuti 1. “Per ogni causa c’è un effetto e per ogni effetto c’è una causa” (Newton; terza legge del moto) 2. Dualismo: separazione tra res cogitans da res extensa (Cartesio) 3. Comprendere il tutto attraverso lo studio delle singole parti Le questioni importanti sono: • Come e perchè hanno fallito le difese? • Cosa possiamo fare per ridurre le possibilità di una reiterazione? Dalla nozione di “errore umano” a quella di “azione erronea” (Hollnagel, 2004) Maurizio Catino After the Accident Guarda al futuro e migliora l’organizzazione 55 Maurizio Catino 56 14 Effetto Titanic Il circolo vizioso La gravità con la quale un sistema sbaglia è direttamente proporzionale all'intensità del credo del progettista che ciò non possa accadere 57 Maurizio Catino Modello accusatorio Ricerca colpevole Ricerca criticità organizzative Maurizio Catino Errore nascosto 58 Maurizio Catino Il circolo virtuoso Modello funzionale Inerzia organizzativa Dis-apprendimento Rimuovere le trappole d’errore Apprendimento organiz. Riduzione rischi • La funzione primaria di un sistema di incident reporting è di identificare le trappole d’errore • Identificare e rimuovere queste trappole è una delle funzioni principali dell’error management Segnalazione errori Rimozione fattori latenti 59 Maurizio Catino 60 15 Promuovere la no blame culture Comportamenti accettati/sanzionati • Una “no blame culture” totale non è né realizzabile né desiderabile 10% Blame • Alcuni azioni insicure devono essere sanzionate 90% No Blame • Una cultura giusta dipende da: – la fiducia degli operatori – conoscenza e accordo tra comportamenti accettabili e comportamenti non accettabili Maurizio Catino 61 Maurizio Catino 62 16