Root Cause Analysis (RCA, Системный анализ первопричин)

Показательный пример того, зачем нужен анализ первопричин, — авария 23 марта 2005 года на нефтеперерабатывающем заводе BP в Техас-Сити при пуске установки переполнилась ректификационная колонна. Жидкие углеводороды выбросило через сбросную трубу, облако паров воспламенилось — 15 человек погибли, 180 получили травмы. Непосредственная причина выглядела понятно: колонну пустили, хотя индикатор уровня, сигнализация уровня и регулирующий клапан были неисправны, и оператор не видел, что колонна переполняется. Если бы расследование остановилось здесь, вывод был бы «ошибка операторов при пуске». Но Совет по химической безопасности США (CSB) в итоговом отчёте 2007 года пошёл дальше и назвал системную первопричину: организационные и управленческие дефициты безопасности на всех уровнях корпорации BP. Усилия по безопасности годами были направлены на соблюдение процедур и снижение травматизма на рабочих местах, а риски крупных аварий оставались без внимания: устаревшее оборудование не заменялось, дефекты профилактического обслуживания терпели, а временные вагончики для персонала стояли слишком близко к опасной установке. Это и есть разница между поиском виноватого и системным анализом первопричин (Root Cause Analysis, RCA).

Системный анализ первопричин — структурированный процесс расследования проблемы или инцидента, который отделяет симптом от непосредственной причины, а её — от системной первопричины: условия в организации, процессах, оборудовании или управлении, которое делает ошибку вероятной. Результат RCA — не имя виноватого, а набор изменений системы, после которых проблема не повторяется, и проверка того, что она действительно не повторилась.

Ошибка человека — не первопричина, а следствие. Вопрос RCA не «кто ошибся», а «что в системе сделало ошибку вероятной».

Происхождение и исследовательская база системного анализа первопричин (RCA)

Инженерная и промышленная линия

RCA как дисциплина сформировалась в отраслях, где ошибка стоит жизней: ядерной энергетике, авиации, химической промышленности, оборонном производстве. Министерство энергетики США в 1992 году выпустило «Root Cause Analysis Guidance Document» (DOE-NE-STD-1004-92) — руководство для расследования событий на ядерных объектах. Оно описывает последовательность: определить проблему и её значимость, выявить причины — условия и действия — непосредственно предшествовавшие событию, выяснить, почему эти причины существовали, и двигаться назад до фундаментальной первопричины, которую уже нельзя разумно разложить дальше. Руководство описывает набор техник: анализ причинных факторов, анализ изменений (что было иначе по сравнению с нормальной работой), анализ барьеров (какие защиты должны были остановить событие и почему не сработали), анализ дерева отказов. В промышленности параллельно развивались методы качества: пять почему из Производственной системы Toyota и диаграмма Исикавы японской школы качества.

Медицинская линия: от расследования виноватых к RCA²

Вторая линия — здравоохранение. Объединённая комиссия (Joint Commission), аккредитующая больницы США, требует, чтобы по каждому «сторожевому событию» — непредвиденной смерти или тяжёлому вреду пациенту — организация в течение 45 рабочих дней провела всесторонний систематический анализ и подготовила план корректирующих действий, фокусируясь на системах и процессах, а не на действиях отдельных сотрудников.

Опыт показал, что формальные RCA часто не дают результата: команды находят причины, но предлагают слабые меры — «провести обучение», «напомнить о правилах». В ответ Национальный фонд безопасности пациентов США (NPSF) в 2015 году выпустил руководство «RCA²: Improving Root Cause Analyses and Actions to Prevent Harm» — «анализ первопричин и действия». Его ключевые положения: события для разбора отбираются явной системой приоритизации по риску, а не только по наступившему вреду; разбор начинается в течение 72 часов; команда — 4–6 человек, включая экспертов процесса, но без участников события, которых опрашивают как источники информации; итог обязан содержать хотя бы одно сильное или среднее по силе мероприятие.

Иерархия мероприятий

Центральный инструмент RCA² — иерархия действий, разработанная Национальным центром безопасности пациентов Министерства по делам ветеранов США в 2001 году по образцу иерархии мер контроля, которую десятилетиями применяет охрана труда. Сильные мероприятия меньше всего зависят от того, вспомнит ли человек, что нужно сделать: физические и архитектурные изменения, новые устройства, проверенные на удобство, принудительные функции (разъёмы, которые физически нельзя соединить неправильно), упрощение процесса, стандартизация оборудования и процессов, реальное участие руководства. Средние снижают нагрузку на память и внимание: резервирование, увеличение персонала и снижение нагрузки, доработка программ, устранение отвлекающих факторов, тренировки на симуляторах с повторением, чек-листы, разделение похожих по виду и звучанию предметов, стандартные средства коммуникации. Слабые целиком полагаются на людей: двойные проверки, предупреждения, новая инструкция или приказ, обучение. RCA² подчёркивает: слабые меры нужны для формирования навыков и ожиданий, но сами по себе редко дают устойчивое улучшение.

Пять правил причинности

Для формулировок первопричин RCA² использует пять правил, разработанные в том же центре: показывайте связь «причина — следствие», а не голый факт («график 80 часов в неделю повысил утомление, что увеличило вероятность ошибочного прочтения назначения», а не «врач устал»); используйте конкретные описания вместо оценочных слов «плохой», «недостаточный», «небрежный»; у каждой человеческой ошибки должна быть предшествующая причина; нарушение процедуры — не первопричина, у него тоже есть причина (шум, спешка, производственное давление); бездействие является причиной, только если существовала обязанность действовать.

Ключевые идеи и принципы системного анализа первопричин (RCA)

1. Принцип: три уровня — симптом, непосредственная причина, первопричина

   Симптом — то, что наблюдается: «клиент получил заказ с опозданием на два дня». Непосредственная причина — то, что прямо вызвало симптом: «курьер не успел развезти все заказы». Системная первопричина — условие, которое делает непосредственную причину систематической: «система распределения заказов не учитывает загрузку курьеров, и в пиковые дни на одного курьера назначается вдвое больше адресов». Устранение симптома (извиниться и дать скидку) и непосредственной причины (наказать курьера) не меняет системы — проблема вернётся.

2. Принцип: первопричин может быть несколько

   Сложные события редко имеют одну причину. В Техас-Сити совпали неисправные приборы, решение о пуске, отсутствие опытного руководителя смены, размещение вагончиков и культура, ориентированная на травматизм, а не на крупные аварии. RCA ищет совокупность причинных факторов и их взаимодействие, а не единственного «виновника».

3. Принцип: структурированный метод вместо первой версии

   Первая пришедшая в голову версия обычно останавливается на человеческой ошибке. Структурированные методы расширяют поиск: пять почему проводит по цепочке причин, диаграмма Исикавы раскладывает причины по категориям (люди, методы, оборудование, материалы, измерения, среда), дерево отказов показывает, какие сочетания событий приводят к отказу, анализ изменений сравнивает событие с нормальной работой, анализ барьеров ищет защиты, которые не сработали.

4. Принцип: системы, а не люди

   RCA исходит из того, что большинство ошибок совершают компетентные люди в условиях, которые делают ошибку вероятной. Поэтому анализ не ищет виноватого, а участники события становятся источниками информации, а не обвиняемыми. Это условие честности расследования: если за признание ошибки наказывают, о ней перестают сообщать. Тот же принцип лежит в основе безвинительного Post-Mortem после инцидентов.

5. Принцип: гипотеза проверяется данными

   Логически убедительная цепочка — ещё не доказательство. Гипотезу о первопричине проверяют фактами: журналами, измерениями, повторением условий, сравнением с периодами без проблемы. Если причина верна, при её наличии проблема возникает чаще, а при её отсутствии — реже.

6. Принцип: сила мероприятия важнее количества

   Десять слабых мер не заменяют одной сильной. План действий RCA оценивается по иерархии: что изменится в системе так, что ошибку будет трудно или невозможно совершить? Если доступны только слабые меры, их используют как временные до внедрения более сильных.

7. Этапы проведения анализа первопричин: пошаговый алгоритм

   1. Описать проблему: что произошло, где, когда, масштаб и последствия — фактами, без оценок.

   2. Решить, нужен ли полный анализ: тяжесть, вероятность повторения, риск.

   3. Собрать команду и данные: хронология, документы, журналы, опросы участников, осмотр места.

   4. Восстановить последовательность событий и найти причинные факторы — действия и условия, без которых событие не произошло бы.

   5. Для каждого причинного фактора выяснить, почему он существовал, двигаясь к первопричинам: пять почему, диаграмма Исикавы, дерево отказов, анализ изменений и барьеров.

   6. Сформулировать первопричины по правилам причинности и проверить их данными.

   7. Разработать мероприятия, оценить силу каждого по иерархии, назначить ответственных, сроки и показатели.

   8. Внедрить, проследить эффект, сообщить о выводах участникам и закрыть анализ.

   Анализ первопричин заканчивается не отчётом, а изменением системы и данными о том, что проблема больше не повторяется.

8. Методы внутри RCA: пять почему, Исикава, дерево отказов, FMEA, Парето

   RCA — процесс, а не отдельная техника; внутри него используют набор инструментов. Пять почему — последовательные вопросы «почему?» от симптома к причине; быстро и просто, но легко уводит по одной ветке. Диаграмма Исикавы («рыбья кость») раскладывает возможные причины по категориям и не даёт забыть, например, измерения или среду. Анализ дерева отказов (FTA) строит дерево логических «и/или» от нежелательного события вниз к базовым событиям и показывает, какие сочетания приводят к отказу. Диаграмма Парето выделяет немногие причины, дающие большую часть случаев, — она помогает выбрать, что разбирать первым. Анализ изменений сравнивает ситуацию с аварией с нормальной работой, анализ барьеров ищет защиты, которые должны были сработать.

9. Чем RCA отличается от FMEA

   Анализ видов и последствий отказов (FMEA) — проактивный метод: он до появления проблемы перебирает возможные отказы процесса или изделия, оценивает их тяжесть, вероятность и обнаруживаемость и предлагает меры заранее. RCA — реактивный: он разбирает уже случившееся событие или повторяющуюся проблему. Методы дополняют друг друга: найденные в ходе RCA первопричины стоит перенести в FMEA, чтобы закрыть похожие риски в других процессах.

10. Когда применять RCA: триггеры и критерии отбора

    Полный анализ запускают по явным критериям, а не по настроению: серьёзный инцидент или «почти инцидент» с тяжёлыми возможными последствиями; повторение одной и той же проблемы; жалоба ключевого клиента; отклонение показателя качества за контрольные пределы; требование регулятора или стандарта. Критерии записывают заранее и делают прозрачными — так анализ не выглядит наказанием конкретного подразделения.

11. RCA в ИТ-инфраструктуре, Lean и Six Sigma

    В ИТ RCA — основа процесса управления проблемами (problem management) по ITIL: инцидент восстанавливают быстро, а проблему — причину одного или нескольких инцидентов — разбирают отдельно, фиксируют известную ошибку и устраняют её изменением. В бережливом производстве анализ первопричин встроен в цикл решения проблем и отчёт A3, в Six Sigma — в этап «Анализ» цикла DMAIC, где гипотезы о причинах проверяются статистически.

12. Принцип: эффект измеряется во времени

    Анализ закончен не тогда, когда утверждён план, а когда подтверждено, что проблема не повторяется. Для каждого мероприятия задаются показатель процесса (выполняется ли мера) и показатель результата (снизилась ли частота событий), срок и ответственный.

13. Принцип: соразмерность

    Не каждое событие требует полного RCA. Глубину анализа определяют по риску: тяжесть возможных последствий и вероятность повторения. Мелкие единичные сбои разбирают быстро, повторяющиеся и потенциально тяжёлые — полной командой и полным набором методов. Удобный формат для оформления результатов — отчёт A3.

Ограничения, слепые зоны и критика системного анализа первопричин (RCA)

Типовые ошибки при проведении системного анализа первопричин

1. Ошибка 1: остановка на человеческой ошибке.

   Анализ заканчивается выводом «сотрудник нарушил инструкцию». Мера — выговор и повторный инструктаж. Через месяц ту же ошибку совершает другой сотрудник.

   Как избежать

   применяйте правило «у человеческой ошибки и нарушения процедуры есть предшествующая причина» и спрашивайте, что в условиях работы сделало ошибку вероятной.

2. Ошибка 2: гипотеза без проверки данными.

   Команда находит убедительное объяснение и сразу переходит к мерам. Проверка показывает, что проблема возникала и без найденной «причины».

   Как избежать

   для каждой гипотезы определите, какие данные её подтвердят или опровергнут, и соберите их до утверждения плана.

3. Ошибка 3: только слабые мероприятия.

   План действий состоит из обучения, памятки и напоминания. Проблема повторяется, потому что система осталась прежней.

   Как избежать

   оцените каждое мероприятие по иерархии RCA² и добейтесь хотя бы одного сильного или среднего; слабые меры оставляйте временными.

4. Ошибка 4: в команде участники события.

   Анализ проводят те, кто участвовал в событии или им руководил. Неудобные причины, связанные с их решениями, обходятся стороной.

   Как избежать

   формируйте команду из 4–6 человек, не причастных к событию, включая экспертов процесса; участников опрашивайте как источники информации.

5. Ошибка 5: поиск единственной причины.

   Найдена одна причина, устранена — и событие повторяется, потому что сработала другая из комбинации факторов.

   Как избежать

   используйте несколько методов (анализ изменений, барьеров, дерево отказов) и проверяйте, достаточно ли найденных причин, чтобы объяснить событие целиком.

6. Ошибка 6: эффект не проверяется.

   План утверждён, мероприятия отмечены выполненными, но никто не смотрит, снизилась ли частота событий.

   Как избежать

   для каждого мероприятия задайте показатель процесса и показатель результата, срок наблюдения и ответственного, и закрывайте RCA только после подтверждения эффекта.

План внедрения системного анализа первопричин (RCA)

1. Неделя 1. Приоритизация и правила. Определите, какие события требуют полного RCA (по тяжести последствий и вероятности повторения), какие — быстрого разбора. Закрепите принцип «системы, а не люди» и порядок: начало разбора — в течение нескольких дней, состав команды — 4–6 человек без участников события.

2. Неделя 2. Первый разбор. Выберите повторяющуюся значимую проблему. Восстановите хронологию, опросите участников, опишите симптом и непосредственную причину. Примените пять почему и диаграмму Исикавы, при необходимости — анализ изменений и барьеров.

3. Неделя 3. Проверка и мероприятия. Сформулируйте первопричины по пяти правилам причинности и проверьте их данными. Подберите мероприятия, оцените каждое по иерархии силы, добейтесь хотя бы одного сильного или среднего. Назначьте ответственных, сроки и показатели.

4. Неделя 4. Внедрение. Запустите мероприятия, сообщите участникам события и команде о выводах и изменениях.

   Далее: поддержание. Отслеживайте показатели в течение оговорённого периода и закрывайте RCA только после подтверждения эффекта. Раз в год пересматривайте сам процесс RCA: сколько разборов проведено, какой доли сильных мер удалось добиться, повторяются ли проблемы.

Как реализовать этот план с помощью фрейма «Системный RCA» в OrgDevTools

Фрейм «Системный RCA» — бесплатный тренажёр на странице методики: каждый кейс проводится от симптома до подтверждённого эффекта.

Книги по теме системного анализа первопричин (RCA)

• National Patient Safety Foundation — «RCA²: Improving Root Cause Analyses and Actions to Prevent Harm» (2015). Приоритизация по риску, состав и сроки работы команды, иерархия действий, пять правил причинности.

• U.S. Department of Energy — «Root Cause Analysis Guidance Document» (DOE-NE-STD-1004-92, 1992). Последовательность анализа и техники: причинные факторы, анализ изменений, анализ барьеров.

• U.S. Chemical Safety and Hazard Investigation Board — «Investigation Report: Refinery Explosion and Fire, BP Texas City» (2007). Образец расследования, доведённого от непосредственной причины до организационных первопричин.

• Bjørn Andersen, Tom Fagerhaug — «Root Cause Analysis: Simplified Tools and Techniques», 2-е изд. (ASQ Quality Press, 2006). Практический набор инструментов анализа причин для управления качеством.