...

Definizione di Incidente

by user

on
Category: Documents
21

views

Report

Comments

Transcript

Definizione di Incidente
Incidenti: come? Perché?
Incidenti tecnologici
o errori organizzativi?
Dall’approccio alla persona
alle logiche dell'organizzazione
Maurizio Catino
Università di Milano - Bicocca
[email protected]
1
Maurizio Catino
Le organizzazioni ad alto rischio
Definizione di Incidente
ƒ
ƒ
ƒ
ƒ
ƒ
ƒ
ƒ
ƒ
ƒ
ƒ
Evento
inaspettato
Incidente
Conseguenze
non volute
Maurizio Catino
2
Maurizio Catino
3
Maurizio Catino
Impianti nucleari
Portaerei navali
Pronto soccorso ospedaliero e reparti intensivi
Sistemi di trasporto
Controllo del traffico aereo
Impianti di produzione chimica
Piattaforme di trivellazione petrolifera
Squadre di soccorso
Sistemi finanziari
…
4
1
Tasso annuale di incidenti per milione
di movimenti
Non esiste un mondo senza errore
• Trasporto di jet
• Controllo del traffico aereo
• Trasporto marittimo
• Industria chimica
• Impianti a reazione nucleare (US)
• Trasporto stradale
• Medicina
65-85
90
80-85
80-90
70
85
??
I problemi della performance umana dominano i
rischi nelle organizzazioni pericolose
Fonte: Italian Flight Safety Committee (IFSC) e IATA (International Air transport Association)
5
Maurizio Catino
6
Maurizio Catino
To err is human
La ricerca epidemiologica
Accidental Deaths in the U.S
120, 00
Deaths
due to
Medical
errors
An estimated 1,000,000 people are injured each
year as a result of medical errors occurring as a
result of hospital treatment each year. 120,000 die
from those injuries. These frightening statistics were
obtaind from a study led by Lucian Leape of the
Harvard School of Public Health. For comparison,
other causes of accidental death are presented.
43,649
Motor
Vehicle
deaths
14,986
Deaths
From falls
Maurizio Catino
Studio
3,959
Drowing
deaths
329
Commercial
Aviation
deaths
7
Periodo
Numero di
ammissioni
ospedaliere
Tasso eventi avversi
(% ammissioni)
Harvard Medical
Practice Study
1984
30195
3.7
Utah-Colorado
1992
14052
2.9
Australia
1992
14179
16.6
Inghilterra
1999
1014
10.8
Danimarca
1998
1097
9.0
Nuova Zelanda
1998
6579
11.2
Francia
2002
778
14.5
Canada
2000
3745
7.5
Maurizio Catino
(Vincent, 2005)
8
2
Prospettive e Approcci
Limiti dei Modelli
ƒ Fattori sociali e organizzativi
ƒ Incidenti di sistema
ƒ Errore umano
• Tradizionale (giuridico-formale)
• Basato sulla persona
• Organizzativo e socio-tecnico
•
•
•
•
•
• Non è possibile costruire un modello del comportamento
umano a partire dalla scomposizione di quest’ultimo in
decisioni e azioni individuali; non è possibile studiare il
comportamento umano isolandolo da:
Man-made disaster (anni 70-80)
Normal Accident Theory (anni 80)
High Reliability Theory (anni 90)
Errori umani e fattori latenti (anni 90)
Resilience Engineering (fine anni 90-2000)
• Contesto fisico e sociale
• Sistema di valori in cui esso prende luogo
• Processo di lavoro dinamico
ƒ Adattamento
• I maggiori incidenti comportano una sistematica “migrazione”
del comportamento organizzativo verso più alti livelli di rischio
Paradigmi-Frame
Finalità dell’indagine: Colpa vs. Prevenzione
Maurizio Catino
9
Spostamento del Focus
L’errore
“…human error is not a well defined
category of human performance.
Attributing error to the actions of some
person, team, or organization is
foundamentally a social and
psycological process and not an
objective, technical one”
Fattori sistemici e culturali
Atti insicuri (errori, violazioni)
Fallimenti tecnologici (hardware; software)
1955
Maurizio Catino
2005
1960s
1970s
1980s
1990s
2000s
Aberfan
Ibrox
Seveso
Tenerife
TMI
Mt Erebus
Chernobyl
Bhopal
Linate
Uberlingen
Piper Alpha
Paddington
Long Island
Alabama
Dryden
Challenger
…
10
Maurizio Catino
Columbia
(Woods et al. 1994, p.XVII)
11
Maurizio Catino
12
3
8.10.2001: il secondo più grave
incidente aereo a terra
4 minuti e 38 secondi:
Il disastro di Linate come
errore organizzativo
Maurizio Catino
Università di Milano – Bicocca
[email protected]
‰
13
Maurizio Catino
‰
Maurizio Catino
Un aereo della compagnia SAS si scontra con un
aereo Cessna durante il decollo
Muoiono 118 persone
La dinamica dell’incidente
Errore di comunicazione 1
MD87
Tower:
(8.05.44)
Delta Victor Xray taxi North via Romeo 5… call me
back at the stop bar of the… main runway extension
Cessna:
(8.05.56)
Roger via Romeo 5 1013 and call you back before
reaching main runway
‰
‰
Cessna
Maurizio Catino
14
15
Maurizio Catino
Il pilota del Cessna nel read back omette le parole “North”;
“Stop bar”, and “Extension”
I piloti del Cessna confondono il raccordo R5 con quello
R6
16
4
La dinamica dell’incidente
• •• •
R5 R6
Il Cessna sbaglia a prendere il raccordo
•• •
•
17
Maurizio Catino
La dinamica dell’incidente
L’errore iniziale
• •• •
R5 R6
‰
‰
‰
‰
MD87
•
•• •
Le sigle R5 e R6 sono deteriorate
Poco visibili in condizioni di bassa visibilità (nebbia, pioggia)
Le luci del raccordo R6 erano accese e visibili
Le luci del raccordo R5 erano più distanti e non
immediatamente visibili
I piloti ritengono il raccordo R6 la strada giusta
La nebbia favorisce l’errata convinzione
Maurizio Catino
18
Maurizio Catino
19
Cessna
Maurizio Catino
20
5
Errore di comunicazione 2
L’ultima comunicazione
Cessna:
(8.08.23)
Delta Victor Xray is approaching Sierra 4
Tower:
(8.08.28)
Ehmm… Delta Victor Xray, confirm your position???
Torre:
(8.09.19)
Delta Victor Xray continuate il rullaggio sul piazzale
principale, linea Alfa … Delta Victor Xray
Cessna:
(8.08.32)
Approaching the runway… Sierra 4
Cessna:
(8.09.28)
Roger, continuiamo il rullaggio sul piazzale principale,
linea Alfa… Delta Victor Xray
Tower:
(8.08.36)
Delta Victor Xray Roger, maintain the Stop Bar,
I’ll call you back
Torre:
(8.09.37)
Corretto e per favore richiamatemi entrando nella
via di rullaggio principale
Cessna:
(8.09.38)
Delta India Echo Victor Xray richiameremo sulla via
di rullaggio principale.
Cessna: Roger, … hold position
(8.08.40)
‰ Sierra 4: sigla presente solo sul raccordo R6
‰ Approaching the runway: il raccordo R5 non si avvicina alla pista
Maurizio Catino
21
Maurizio Catino
22
23
Maurizio Catino
24
La dinamica dell’incidente
Maurizio Catino
6
Perché? Di chi è la colpa?
Organizzazione
Errori
organizzativi
‰ E’ colpa dei piloti del Cessna?
‰ E’ un errore dei controllori di terra?
‰ E’ l’assenza del radar di terra?
Rete
Contesto di
lavoro
‰ E’ la segnaletica inadeguata?
Errori
Violazioni Persona
‰ E’ colpa di chi gestisce l’aeroporto?
Difese
‰ E’ una tragica fatalità?
‰ La nebbia
Incidente
‰ ……
25
Maurizio Catino
26
Maurizio Catino
1. Fallimenti-errori attivi (persona)
1. Fallimenti-errori attivi (persona)
1. I piloti del Cessna hanno imboccato un raccordo
sbagliato invece di quello corretto: la torre di
controllo ha ordinato di prendere il raccordo a
nord (R5) mentre il Cessna si è diretto a sud
(R6).
Che cosa volevano vedere?
Intenzioni
2. Fallimenti della comunicazione tra torre e piloti.
Stimoli
ambigui
3. Non è stata applicata la low visibility procedure.
Che cosa videro?
Maurizio Catino
27
Maurizio Catino
Aspettative
Che cosa si aspettavano
di vedere?
28
7
2. Fallimenti del contesto e organizzativi
2. Fallimenti del contesto e organizzativi
2.1 Fallimenti delle difese
‰
‰
‰
‰
‰
Tecnologia debole (Surface Movement Radar)
TWY Lights
Stop Bars
L’ultima difesa
Il nuovo è peggio del vecchio
A livello
organizzativo
A livello
individuale
2.2 Error-inducing conditions
‰
‰
‰
‰
Sigle poco visibili (RWY Holding Position Markings)
Segnaletica inadeguata (fuori standard ICAO)
Luci ambigue
Mappa e paesaggio
• Errori
• Violazioni
• Fallimenti della comunicazione
• assenza del radar di terra
• difese del sistema deboli
• segnaletica inadeguata
• indicazioni ambigue
• nessun sistema di reporting
• luci ambigue
• cartine non aggiornate
2.3 Fallimenti latenti
‰
‰
‰
‰
Segnali non ascoltati
Pratiche poco usate
Strade trasversali
Un posto sbagliato
Maurizio Catino
29
3. Le organizzazioni coinvolte
3. La visione d’insieme—Linate
Principali enti
coinvolti
ƒ Il sistema operativo e di gestione dell’Aeroporto
di Linate era complicato e coinvolgeva 3
organizzazioni:
Funzioni svolte
ENAC
È l'ente regolatore, di controllo e gestione del sistema
(Ente Nazionale per dell'aviazione civile; rilascia pareri, licenze, verifica i brevetti del
l'Aviazione Civile)
personale navigante; dirige gli aeroporti tramite i Direttori degli
aeroporti. Opera sotto il controllo del Ministero delle Infrastrutture
e dei Trasporti
• Regolatore traffico (ENAV)
• Service Provider (SEA)
• Autorità Aeroportuale (ENAC)
ƒ Non esistevano efficaci accordi di
funzionamento tra queste organizzazioni in tema
di sicurezza
Maurizio Catino
30
Maurizio Catino
31
ENAV
(ex Ente Nazionale
di Assistenza al
Volo)
È un soggetto privato che fornisce il servizio di controllo e di
assistenza del traffico aereo; gestisce i controllori di volo e le torri
di controllo. È soggetto alla vigilanza del Ministero delle
Infrastrutture e dei Trasporti, ma non del Direttore dell'aeroporto.
SEA
È la società di gestione degli aeroporti di Linate e di Malpensa, in
base a una convenzione con l'Enac. Deve assicurare i servizi di
assistenza ai vettori aerei (ground handling), la manutenzione
delle aree di manovra su indicazione dell'Enac e in
coordinamento con l'Enac.
ATA
È la società di gestione aeroportuale che fornisce servizi ai
velivoli dell'Aviazione Generale (executive, aerotaxi, turismo
ecc.) e utilizza il piazzale ovest dell'aeroporto di Linate.
32
Maurizio Catino
8
3. Fallimenti interorganizzativi
La rete organizzativa del sistema Linate
Ministero delle
infrastrutture e
dei Trasporti
‰ Mancanza di coordinamento tra gli enti coinvolti
Ministero
dell’Economia e
della Finanza
‰ Assenza di un sistema di gestione della sicurezza
‰ Organizzazioni controllante e controllate
ENAC (Airport Authority)
‰ Segretezza strutturale
ENAV SpA
Linate Airdrome
Director
UCT
(Section of DCA
responsible for traffic
documentation, ecc)
(Traffic
Regulator)
SEA
(Service
Provider)
Other DCA local
representatives at
Linate
CAV
Flight
Assistance
Centre
ATA
‰ Pressioni all’efficienza non integrate con la sicurezza
33
Maurizio Catino
‰ Buchi strutturali nel governo della rete riguardo alla
sicurezza
‰ Regole non chiare; conflitto tra fonti normative
Supplier of
ground
handling
services to
SEA
Linate DCA
Jurisidictional
Airdrome Authority
‰ Alta differenziazione, bassa integrazione
34
Maurizio Catino
I livelli del fallimento
Il modello del “Formaggio Svizzero”
A livello
inter-organizzativo
Alcuni buchi sono
dovuti a errori attivi
• coordinamento tra gli enti coinvolti
• regole non chiare
• rapporto critico tra controllante e controllata
• pressioni all’efficienza non integrate con la sicurezza
Hazards
A livello
organizzativo
A livello
individuale
• Errori
• Violazioni
• Fallimenti della comunicazione
Maurizio Catino
• assenza del radar di terra
• difese del sistema deboli
• segnaletica inadeguata
• indicazioni ambigue
• nessun sistema di reporting
• luci ambigue
• cartine non aggiornate
Losses
35
Reason, 2002
Maurizio Catino
Altri sono dovuti
a condizioni latenti
(resident ‘pathogens’)
36
9
Il disastro di Linate ha evidenziato
due punti principali
ƒ Il ruolo cruciale di una comunicazione
accurata e tempestiva per la sicurezza
aerea.
ƒ L’aumento della pericolosità associata alle
incursioni di pista.
Il problema della
blame culture
37
Maurizio Catino
Il caso del signor X (2)
Il caso del signor X
• Il dr. Primo chiede al signor X e alla figlia (assistente
sanitaria) di produrre documentazione medica della
prescrizione
• Signor X, uomo di 65 anni
• Ricovero d’urgenza per frattura del femore (sabato
mattina)
• Il dr. Primo trascrive in cartella
• Nella farmacia di reparto sono presenti solo fiale di
Mtx da 5 mg
• Buone condizioni generali
• Affetto da molti anni da Artrite Reumatoide
• Si provvede a richiederlo dalla farmacia interna
• All’ingresso segnala al dr. Primo (medico accettante)
di essere in trattamento con Methotrexate, 2 fiale da
500 mg alla settimana
Maurizio Catino
38
Maurizio Catino
• La figlia del signor X. conferma quanto detto dal
padre senza portare documentazione scritta, nè le
confezioni usate a casa
39
Maurizio Catino
40
10
Il caso del signor X (3)
Il caso del signor X (4)
• Lunedì il dr. Primo va in ferie, lasciando il reparto al
dr. Secondo che giornalmente visita il signor X
• Il signor X viene sottoposto a trattamento
chirurgico (endoprotesi)
• Il dr. Secondo trascrive correttamente la prescrizione
(2 fiale da 500 mg di Mtx alla sett.)
• Viene praticata la seconda somministrazione di
Mtx
• Il mercoledì successivo si provvede alla prima
somministrazione di Mtx
• Progressivo deterioramento delle condizioni
generali (Febbre oltre 38.5; Astenia marcata)
• L’anestesista visita il signor X, controlla la terapia e
concede il nulla-osta all’intervento
• Terapia antibiotica a largo spettro
41
Maurizio Catino
42
Maurizio Catino
Il caso del signor X (5)
L’errore
• Deterioramento delle condizioni generali:
• Il Methotrexate (Mtx) è disponibile in dosi da 5
mg. per il trattamento dell’AR e in dosi da 500
mg per il trattamento dei tumori maligni
9 Febbre oltre 38.5
9 Astenia marcata
9 Leucopenia
9 Agranulocitosi (8a giornata)
• In questa seconda indicazione va somministrato
con farmaci in grado di ridurre l’effetto lesivo
sulla produzione di globuli bianchi (acido folico)
• Trasferito nell’U.O. di Malattie Infettive
- Inizio trattamento con acido folico
- Setticemia
Decesso (11a giornata)
Maurizio Catino
43
Maurizio Catino
44
11
Palermo 6 agosto 2005
Il problema di dosaggio non è stato rilevato:
1.
2.
3.
4.
5.
6.
dal dr. Primo
dal dr. Secondo
dai medici di guardia del pomeriggio
dall’anestesista
dall’internista
dalla farmacia
Di chi è la colpa?
45
Maurizio Catino
L’aereo ATR 72 finisce il carburante ma dagli indicatori non
risultava: 16 morti e 23 feriti
Maurizio Catino
46
Scambi ad alto rischio
Quando la ridondanza fallisce
• L’errore: i due indicatori dell’ATR 72 sostituiti con quelli
dell’ATR 42.
• La sequenza:
1. Il magazziniere non controlla il modello e il numero
seriale del pezzo di ricambio
2. Il meccanico monta il pezzo sul velivolo
3. L’ispettore che verifica il numero seriale non riscontra
l’errore
4. Il tecnico di linea che fornisce il carburante e controlla
le apparecchiature non si accorge di nulla
5. Il comandante dovrebbe controllare strumenti e tipo
di carburante. Nessun allarme
Maurizio Catino
47
Maurizio Catino
48
12
Civic Epistemology: due modi di considerare
gli errori e gli incidenti
Che fare?
Due strade :
L’approccio
L’approccio
1. Via legale e assicurativa
alla persona
2. Gestione del rischio e
apprendimento dagli errori
(accusatorio)
Paradigmi
Frame
al sistema
(funzionale)
Errori e incidenti
Maurizio Catino
49
50
Maurizio Catino
L’approccio alla persona:
le “buone ragioni”
L’approccio alla persona – accusatorio:
i fondamenti
• Le persone non prestano sufficiente attenzione al compito
• Si focalizza sugli errori e le mancanze degli individui
1.L’attore sceglie volontariamente
• Vi è la convinzione che i professionisti responsabili non
dovrebbero commettere errori (duty of care)
• Gli sforzi per rimediare sono diretti alle persone “in prima linea”
• Attribuzione di colpa e rimozione delle “mele marce”
3.Dà senso di giustizia: è emotivamente
soddisfacente e conveniente dal punto di
vista legale (ma sempre meno…)
• Modello causale semplice
• Soluzioni: misure disciplinari e rinforzo della norma
Maurizio Catino
2.E’ tipico del sistema penale e del modo di
funzionare di molte organizzazioni
51
Maurizio Catino
52
13
L’approccio alla persona:
gli effetti di composizione (perversi)
Hindsight Bias
• Non porta da nessuna parte
• Guarda al passato
• Isola gli errori dal loro contesto e comporta nessuno o pochi
interventi di valore
• Crea un senso di paura di sanzioni e controversie legali
• Non favorisce il reporting degli errori
Before the
Accident
• Inibisce l’apprendimento organizzativo
• Non migliora l’organizzazione
Modified from Richard I. Cook, MD (1997)
53
Maurizio Catino
54
Maurizio Catino
Concezione errata dell’errore umano
L’approccio al sistema
ƒ Gli incidenti derivano da una sequenza collegata
(di solito rara) di mancanze in numerose difese,
salvaguardie, barriere e controlli messi in opera
per proteggere contro gli eventi rischiosi
conosciuti
1. “Per ogni causa c’è un effetto e per ogni effetto
c’è una causa” (Newton; terza legge del moto)
2. Dualismo: separazione tra res cogitans da res
extensa (Cartesio)
3. Comprendere il tutto attraverso lo studio delle
singole parti
ƒ Le questioni importanti sono:
• Come e perchè hanno fallito le difese?
• Cosa possiamo fare per ridurre le possibilità
di una reiterazione?
Dalla nozione di “errore umano” a quella
di “azione erronea” (Hollnagel, 2004)
Maurizio Catino
After the
Accident
Guarda al futuro e migliora l’organizzazione
55
Maurizio Catino
56
14
Effetto Titanic
Il circolo vizioso
La gravità con la
quale un sistema
sbaglia è
direttamente
proporzionale
all'intensità del credo
del progettista che ciò
non possa accadere
57
Maurizio Catino
Modello
accusatorio
Ricerca
colpevole
Ricerca
criticità
organizzative
Maurizio Catino
Errore
nascosto
58
Maurizio Catino
Il circolo virtuoso
Modello
funzionale
Inerzia organizzativa
Dis-apprendimento
Rimuovere le trappole d’errore
Apprendimento organiz.
Riduzione rischi
• La funzione primaria di un sistema di
incident reporting è di identificare le
trappole d’errore
• Identificare e rimuovere queste trappole è
una delle funzioni principali dell’error
management
Segnalazione errori
Rimozione fattori latenti
59
Maurizio Catino
60
15
Promuovere la no blame culture
Comportamenti accettati/sanzionati
• Una “no blame culture” totale non è né
realizzabile né desiderabile
10%
Blame
• Alcuni azioni insicure devono essere sanzionate
90%
No Blame
• Una cultura giusta dipende da:
– la fiducia degli operatori
– conoscenza e accordo tra comportamenti
accettabili e comportamenti non accettabili
Maurizio Catino
61
Maurizio Catino
62
16
Fly UP