事件分析方法.ppt

1 根本原因分析 RCA 方法简介叶云芳2012 4上海 2 为何要作根本原因分析 维持客户满意 将风险降至最低确保满足监管要求和标准使企业和客户达成目标保护公众和环境为企业员工提供安全的工作环境维持经济增长 3 为什么一个好的原因分析如此重要作根本原因分析需投入大量的人力 财力 出差 材料试验等 一个单一问题的纠正行动就可能花费巨大 数百万美金 每年几百起根因分析和纠正行动的综合费用我们必须明白 我们所做的根本原因分析不仅仅是事件本身 它关乎到我们企业的长久生存 4 培训目标 原因分析的基本目的是防止同一事件及类似事件的重复发生 具备对中 高重要度问题 需要进行RCA的事件 进行有效调查并写出事件调查报告的基本能力 了解事件根本原因分析流程 掌握根本原因分析技巧 7个 5 一 原因分析术语 专用语 1 始发事件 动作 直接导致不良后果的人的行为 有意或无意 设备故障或者外部事件人的行为 受托的或疏忽的 设备故障 意外失效 无法履行其功能 直接导致非预期结果的外部事件 日本3 11 6 2 后果造成损失的事件的有害结果 经常用来表达后果的一些术语如 安全方面 工业伤害方面 财产损失 如设备损坏 产品损失 环境影响 化学泄漏 放射性暴露 形象 如客户满意度 7 3 原因因子导致或允许一个事件发生或增加了事件的严重性的那些条件 原因因子的二个最基本形式 根本原因促成原因 贡献原因 因子 8 4 促成 贡献 原因一个基本条件 它增加了事件的严重性 但它不会致使事件发生 5 根本原因一个基本原因 如果这个原因消除了 就可以防止重复发生相同的或类似的事件 9 6 表面原因 直接原因 基于事实的逻辑结论 它是由于对中等重要度问题的调查有限 或者是由于无法获得足够的建立高重要度问题的根本原因分析所需要的事实 10 7 条件影响范围 程度 设备的共模失效 同一条件存在于其他的过程 设备 计算机软件或人员绩效中8 原因影响范围 程度 共因失效 识别出的条件原因影响到的其它的过程 设备 计算机软件或人员绩效 RCAs使用 11 9 运行经验从过去发生在任何地方的事件中得来的有关可能原因 纠正行动 条件影响范围和原因影响范围的信息10 重发事件先前发生的高重要度问题的解决方法无效所导致的任何中 高重要度类似的问题 12 纠正行动 以下细称得统称 11 补救行动 措施把有缺陷的状态恢复到可接受的状态的行动12 临时行动 措施预防事件进一步降级或把事件重发的可能性降至最低的暂时措施 直到执行预防重发的纠正行动 13 13 预防重发的纠正行动 CATPR 通过消除一个或多个产生高重要度问题的根本原因来防止该问题重复发生的行动14 支持行动需要用来确认条件影响范围 原因影响范围或便于识别根本原因的行动 例如 使用各种试验来验证 14 二 根本原因分析阶段 第一阶段 早期准备活动第二阶段 事件信息的收集第三阶段 原因确定第四阶段 状况范围和原因范围的确定第五阶段 纠正行动开发第六阶段 报告 15 第一阶段 早期准备活动 事发后的立即行动成立事件调查小组 重大 跨专业事件 事件过程初步了解 描述 保存证据法律咨询 磋商条件 状况影响范围的预评估识别出补救行动和临时行动 16 1 事件过程的了解 描述 用精炼的语言对事件进行要点描述 4W1H 2 保存证据现场取证 实物数据 位置数据取证 以备现场恢复后 现场实物保存 损坏的设施 现场照片 方位 尺寸对比 计算机数据 曲线拷贝 17 人员取证过程了解 记录 当事人 目击者 相关人员 防止 遗忘 记错了找借口不如实叙述 受其他影响离开 承包商 18 书面数据取证设计文件和说明书 技术规范 合同 图纸 规程操作票 工单相关制度 要求培训记录 19 4 条件 状况影响范围的预评估状况范围 共模失效 同一状况存在于其他的工艺 设备 计算机软件或人员绩效中 如 滤网堵塞 同等应用条件下的其它滤网是否也会堵塞 主泵A三级轴封由于失去冷却水可能磨损失效 同等条件下主泵 会否 重要的一点是能阻止问题和考虑问题可能有更广泛的影响 以便随后应采取的立即行动 20 5 识别出补救行动和临时行动尽管在调查过程中补救行动进行得很早 但是它们在短期内是必要的 这样可以恢复有缺陷的状态 并处理它的直接后果 冲洗滤网临时行动这个时候也是恰当的 可以降低问题或后果增加的可能性加大滤网巡检频度 21 RCA第二阶段 事件信息的收集 根本原因分析和表面原因分析的主要区别是第二阶段 事件信息收集 的深度和严谨性 这个阶段主要涉及收集所有的相关信息 提取所有的相关数据 并认真从一些推断中发现事实 22 在这个模块中包括 偏差 差距分析 4W 数据采集运行经验 是否重发 业界类似 现场巡视 身临其境的感受 使用相机试验 检验计划数据检查数据分析使用RCA分析技术从RCA第二阶段 事件信息收集 到第三阶段 原因分析 的准则 定调 23 1 偏差 差距分析第一步 列出我们已经知道的审查你所拥有的任何与问题相关的信息 例如书面描述 问题报告 并提取以下相关信息 涉及哪些人 WHO 发生了什么 WHAT 什么时候发生的 WHEN 在哪里发生的 WHERE 24 第二步 识别出我们将需要收集的信息集中讨论我们将需要收集哪些其它的信息 以便了解发生了什么以及怎样发生的 谁组装的阀门 工人受到了什么培训 工作包是否包括了足够的细节 保险丝是否熔断 25 第三步 识别出信息的可能来源确定从哪些地方可以获得所需要的信息 张三可能知道还有哪些人在这个区域值班经理的日志可能会列出火灾报告的时间 规程会写明阀门是否应该已经被关闭 继电器可能需要被送去做故障分析 26 第4步 制定行动计划确定哪些信息需要要优先收集 这些信息将由小组成员中的谁去收集 注意事项包括 首先处理最容易的需要信息把精力放在那些达成共识更多的问题上面寻找那些更容易消失的信息受访者的可靠性 27 2 数据收集RCA第一阶段准备活动包括对那些容易消失的证据的保存 调查的第二阶段包括积累其他信息 这些信息揭示了发生了什么 怎样发生以及怎样重发的 通常这样做涉及的活动如下 收集任何已经不在手头的证人书面陈述搜索出相关的文件 电子邮件 计算机日志 等等 纸质数据 在对故障设备解体时 记录下发现的状况 实物数据 拍摄其他的照片 测量等 位置数据 进行访谈 人员数据 更多的内容将在访谈中体现 28 记住 始终把数据保存放在第一位要保证 在对设备进行解体时 对发现的情况要进行文件记录或者拍照保留损坏的 有缺陷的零部件 以便进行评价 分析以及必要时的检验对出入事件发生地进行限制 直到RCA小组不再需要进入该区域文件和材料要被隔离项目和设备要被保护 以免受到有害环境条件的影响访谈结果不能被其他访谈候选人知道保持你的证据记录要更新 29 3 数据检查数据检查涉及检查证据 这些证据是发生了什么事 为什么会发生的线索 并可能包括以下活动 检查文件中有错误 不一致或容易导致混淆的地方 检查故障设备的缺陷 失效模式 再次仔细研究访谈笔记 浏览关键位置数据的照片 评价残留物或沉积物的重要性 回顾手头上有类似问题的运行经验 30 数据检查 部件 材料分析在很多情况下 收集设备和材料的证据需要来自公司内部或外部的专家技能 材料的成分分析缺陷的金相实验产品的破坏性试验故障部件的失效机理 31 4 数据分析数据分析实际上是数据收集与检查的结合 而不是RCA事件信息收集阶段中的孤立的一步 当我们分析迄今收集到的数据时 我们经常会意识到对其它数据进行收集 研究和分析的必要性 32 提取相关信息筛选数据的依据是评估这些数据是否有助于解释问题是怎样发生的以及为什么会发生 在调查期间收集到的大量信息中 可能很多是与调查没有关系的 在调查期间 经常会发现一些意外的不足 例 失真空事件中DEH超调 但是这些缺陷不会导致损失事件或者与调查无关 因为这些缺陷不会导致大量事件 而且不是原因因素 我们仍然需要把这些问题记下来 这样问题才能被解决 33 确定事实调查取得成功的关键是找出隐藏在大量信息中的重要实事 一部分收集到的明显的相关数据可能并不完全或者完全错误 如果使用了可疑的数据 我们的调查结果也将是错误的 34 50 WestinghouseProprietaryClass2 找出上图中各环节的漏洞 它可能揭示出是否需要再进一步搜集额外的数据进行分析 后果 功能失效 故障 失效的装置 形成事件模型 有缺陷的防御 潜在的组织弱点 失误先兆 35 5 使用RCA分析技术在RCA调查期间 根本原因分析需要使用至少两种正式的分析技术 其中一种应该是屏障分析 为什么呢 因为当要进行支撑根本原因确定的实事调查时 分析技术提供严密性 改进的 修订后 RCA过程包括六个已经验证的且广泛认可的分析技术 36 1 事件 原因因子图法 大多数RCAs需要使用2 故障树分析法 用于设备问题的最好工具 但是也可以用于人因相关事件和重发事件的RCAs 3 屏障分析法 可用于任何RCA4 任务分析法 用于人因相关事件的RCAs5 共因分析法 用于重发事件RCAs的最好工具 如果结合故障树分析法 效果将更好 6 变化分析法 用于任意设备性能或人因事件明显下降的RCA 或者用于相同的人或设备具有不同行为或性能的RCA 37 6 RCA第二阶段过渡到第三阶段 对于那些人员活动导致的始发事件 当达到以下程度时 就从第二阶段 事件信息收集 过渡到第三阶段 原因确定 已经了解事件的进展情况 包括所有的导致事件发生的始发事件 已经识别出导致始发事件的所有失误先兆和有缺陷的防御措施 以及允许这些因素 失误先兆和有缺陷的防御措施 存在的条件 38 对于那些设备性能导致的始发事件 当出现以下情况时 就从第二阶段 事件信息收集 过渡到第三阶段 原因确定 已经了解事件的进展情况 包括故障模式 缺陷和故障机理 调查人员 RCA小组已经识别出所有的故障先兆和有缺陷的防御措施以及允许它们存在的条件 而且这些先兆和防御措施允许故障机理大量且长时间存在 以导致设备降级至故障点 39 对于那些外部事件导致的始发事件 当出现以下情况时 就从第二阶段 事件信息收集 过渡到第三阶段 原因确定 事件的进展情况已知调查人员 RCA小组已经识别出所有允许外部事件导致高重要度事件的因素 有缺陷的防御措施 失误先兆 故障先兆 40 第三阶段 原因确定 原因分析术语 回顾 根本原因 一个根本性的原因 如果得到纠正 将防止同一事件或类似事件的再次发生 表面原因 从获得的事实的基础上得出的逻辑结论 它是由于对中等重要度问题的调查有限 或者是由于无法获得足够的建立高重要度问题的根本原因分析所需要的事实 促成原因 增加事件严重性的基本条件 但是并不是事件发生的必要条件 41 原因分析误区 一个事件 一个原因重大事件经常不止一个原因 每个事件通常有2 3个根本 表面原因事件可能会有多个促成因素 或者一个也没有 42 切中正确的原因因为不正确的原因会产生大量的不适当的纠正行动 而且这些纠正行动会使规程 工作过程 程序更加复杂额外的复杂度会增加相关活动的失误率仍然解决不了原来的问题最终结果 在错误的原因的基础上得来的纠正行动实事上增加我们总的失误率 例 堆芯 临时 就地水位计不一致 产生以堆芯为主的纠正 结果错 43 不要突然停止回顾设备故障和人因失误 识别出它们是否由纯粹的失误 故障先兆或者有缺陷的防御措施导致的 假如这样的话 就要更深层次去看待它们 以确定它们是否是一个或多个潜在组织缺陷的征兆 44 因果树分析法 WhyTree 该方法应该用于确定每一个原因 因为它有助于 在症状范围之外看问题在后果和它的原因因素之间建立一个固定的联系 避免进入惯性的逻辑思维识别出其它的可能会错过的原因因素 45 建立因果树 为什么树 从最终的不利后果开始通过询问为什么 找出中间环节的原因因子 如始发行动 有缺陷的防御措施 对每一个环节都要问为什么重复这个过程直到完成因果树 46 刨根问底如果阀门泄漏导致危险物质溢出 那么 为什么阀门会漏 因为阀门阀位没有恰当的归位为什么阀门阀位不当因为密封面发生磨损而且驱动电机出力太小为什么密封面发生磨损因为 为什么驱动电机出力太小因为 47 因果树 后果 中间原因因子 中间原因因子 中间原因因子 贡献原因 中间原因因子 中间原因因子 根本原因2 根本原因1 如果对你的问题得出多于一个的答案 那就到达了因果树的分支 然后对每一个分支再分别向下走 因果树的终点将是事件的根本原因或贡献原因 贡献原因并不总是呈现在因果树中 48 我们应该追问到什么程度 继续问为什么 直到下列情况时我们就可以停止 找出的原因已经超出公司自身的控制范围如 天气相关的事件继续追问下去取得的收效已经很小如 原因是十年前的工程质量低劣因果树应用举例 49 阀门泄漏 阀座没归位 阀门关不严 阀门密封面磨损 电动头出力不足 行程未到达 密封面防腐层部分脱落 海水冲刷 防腐工艺不满足要求 海水中泥沙较重 解体检修后未重新调整行程 维修规程无要求 没有培训 防腐人员技能不足 50 确定根本原因通过询问以下问题来评价可能的根本原因 消除这种情况是否能预防这一事件或同类事件的发生 如果回答是 那么它就是根本原因 通过以下评估可能的促成因素 如果这种情况不存在了 事件是否会像它原本那样严重 如果回答不会 那么它就是促成因素 51 要是找不到根本原因怎么办 在某些情况下 一个事件的根本原因难以确定 不一致的相互矛盾的信息不能对涉及到的个人进行访谈故障设备已被丢弃如果这样的的话 把这种情形描述在报告中 并进行表面原因陈述 如果你缺乏有关事件的足够信息来选择可靠的表面原因 那么就把该原因列为 不确定 即可能的原因 考虑增加一项支持行动来进行更深入的调查 必要的话 52 第四阶段 状况和原因影响范围的确定 如果一个根本原因只导致一个后果 那么我们的RCA调查工作将会非常简单 不幸的是 根本原因的不利影响往往是广泛的 因此 我们需要通过确定状况范围和原因范围来考虑正在调查事件的广泛后果 这样做能保证我们充分利用每一个高重要度问题做为一个学习的机会 并成为业界共享经验 确定状况范围和原因范围是RCA调查中最重要的一部分 因为我们要识别出影响我们客户 全体员工和公司长远发展能力的广泛问题 同时 确定状况范围和原因范围也是调查中最耗时和最难的一部分 53 定义 回顾 状况范围 条件影响范围 同一状况 条件存在于其他的过程 设备 计算机软件或人员绩效中原因 影响 范围 识别出的状况原因影响到的其它的过程 设备 计算机软件或人员绩效 54 状况范围确定状况范围要考虑该缺陷是否在其它地方也发生了 且该缺陷是那种需要写高重要度问题报告的缺陷 该缺陷是否广泛存在 如果我们把一个泵装配错了 那我们是否把其它的泵也装配错了 如果是 会产生什么影响 如果我们提供给顾客的计算结果是错误的 那么其它的客户是否也使用了该错误的计算结果 如果是 会产生什么影响 如果我们用来运输危险物料的便携箱已经过期 那么我们同样用来运输目的的其它便携箱是否也过期 如果是 会产生什么影响 55 注意 确定状况范围不仅包括识别出其它的受影响的过程 设备 计算机软件或人员绩效等 还包括识别出相应的后果 在确定原因范围的时候 也需要这样 了解这些广泛后果的潜在影响是很关键的 因为它有助于我们确定需要采取怎样的纠正行动以及纠正行动需要在多久时间内完成 56 原因范围评估原因范围需要考虑该事件的原因因素是否引起了不同的趋势或暴露出的问题 如果事件的发生是由于对一名缺乏经验的人员的监督不足 那么其它的缺乏经验的人员是否也没有受到足够的监督呢 如果是的 会产生什么后果 如果一名承包商电气人员正在切断带电电线是由于电厂缺少电气安全程序 那电厂的电气人员是否也会这样做呢 如果是的 会产生什么后果 57 状况范围和原因范围状况范围评价会识别出同一问题 原因范围评价会识别出同一原因因素造成的不同问题 58 举例1 问题 燃料组件底部格架受损如何发生 一名操作人员在包装燃料组件时 对框架的夹紧螺母力矩过大 状况范围 该操作人员或其它操作人员在包装其它的燃料组件时是否也对夹紧螺母用力过大 如果是的 会生产什么影响 根本原因 该操作人员的培训计划中没有提供如何恰当使用力矩扳手的操作指导 原因范围 在对除了燃料组件夹架之外的其它需要紧固的设备使用力矩扳手时 操作人员是否也用力不当 如果是的 影响是什么 59 划定状况范围和原因范围的限度调查中最困难的一个阶段就是确定调查的范围和深度 这主要是因为在具体事件的基础上 我们需要弄清楚什么样的调查范围才是真正合适的 我们的调查范围不能过于狭隘 例如 如果某负载出现坠落是因为使用了有缺陷的满载5吨的葫芦 那么其它的相同设计的葫芦也应该进行该缺陷检查 如果满载3吨的葫芦也用在了类似工况条件下 那么不能仅仅检查满载5吨的葫芦 我们的调查范围不能太广 例如 去检查其它类型的装配设备 如吊索 起重机械 的受损情况可能就显得太广了 60 第五阶段 纠正行动计划开发 纠正行动分类 回顾 补救行动 把有缺陷的状态恢复到可接受的状态的行动 例如 发生泄漏的阀门被更换 溢出的酸也被清理干净修正计算结果 并将受影响的下游分析反馈给客户临时行动 预防进一步降级或将事件重发的可能性降至最低的临时措施 直到执行预防重发的纠正行动 例如 把泄漏点上游的隔离阀关闭并挂牌对该过程增加额外的审查 61 预防重发的纠正行动 CATPR 通过消除事件的一个或多个原因来预防问题重复发生的行动 修正工作指令 要求验证安装在酸系统上的阀门所使用的材料是恰当的 改进设计分析程序 以阐明期望达到的要求并执行相关的培训支持行动 用来确认状况范围 原因范围或便于识别根本原因 表面原因 如果不确定 的行动 例如 确认其它采购定单的相关条款已经建立审查相似的错误计算结果 62 执行纠正行动的目的 预防重发预防重发需要使用有效的CATPR s来消除根本原因 外科手术式的切除RC 如果一个或多个根本原因没有得到处理 那么必须报告管理层接受相关风险的依据 63 纠正行动计划如果从成本 收益的立场出发 预防重发不是切实可行或不合理 那么纠正行动就应该致力于使重发的可能性降到最低 如果选择了该途径 那么 发生问题 业主必须表明可接受的限值 而且必须在报告中进行说明 谨记 在预防或降低事件重发的有效性方面 可能的纠正行动所取得的效果并不会都一致 64 纠正行动有效性的分级1 非能动控制 在触发事件时 不需要任何行动 动作或其它响应 这些设计和构造就可以提供控制 如 永久的物理屏障使用阻燃材料2 自动控制 在达到预定限值时 某装置或系列设备引发了动作 开始 停运 打开 关闭等 防御措施必须自身去实现某些功能 不需要人为干预 如 消防喷淋系统 限制水灾的损害 自动补给装置 在发生泄漏时 保持系统装量 65 3 报警装置 不需要人为行动去触发该装置 但是需要适当的人为响应 如 声音报警闪光报警4 行政管理 在使用的时候会提供一致和可复制结果的防御措施 但是要完全依赖人的行动去执行 如 新编 升版规程正规的培训和资质要求张贴的警告标志 66 5 经验证的一次性措施 涉及直接面对面交流的有限的一次性行动 且该交流过程中指导人员观察到正在完成的行动 人员需要记住 执行和响应 例如 员工训导 咨询服务经验交流会小组会议6 不经验证的一次性措施 涉及书面交流的有限的一次性措施 人员需要决定服从与否 需要找出并阅读理解源文件 还要记住它 适当的执行它 不需要指导人员去证实是否采取了行动 例如 邮件或要求读的东西培训报告每周安全提示从1级到6级 可靠性不断下降 67 增加防御措施 追求的更高的可靠性 人员控制的程度 防御的可靠性 高 高 低 工程装置 控制联锁 报警 文件检查 规程使用 警告标志 自检 监督 68 哪种类型的纠正行动能真正防止 69 纠正行动计划简明规则屏障对人的行为依赖性越高 那么该屏障也越脆弱 第5类和第6类行动 如公告 议事程序以及类似的 使得CATPRs比较差 仅仅只能把它们当作补救或临时行动 或者当作使CATPRs更可靠的行动 如果CATPRs不能立即实施 那么就应该采取临时行动以把重发的可能性降至最低 为了便于正确的实施 纠正行动必须措辞清楚 不要指望人们会为了理解一项交待不清楚的行动意图而去阅读报告 70 纠正行动必须产生一些变化的结果 所以要避免泛泛的描述 比如 评价 考虑 它不能保证任何事情会得到执行 一个真正的纠正行动会涉及执行设计变更 包括提交变更申请 通常不要采取惩戒性的行动 除非它绝对是与防止重发的措施相关 如开除一名发生重大疏忽事件的员工 71 即使相信一个触发的行动正在进行中 那么仍然需要跟踪完成情况以及验证该行为是否真正处理了问题 企图改变行为 文化的纠正行动计划必须是多层次的 开发 编制新的绩效期望通过培训或其它面对面交流方法表达期望通过一系列的管理观察强化期望 并保证它们正在被有意识的执行 72 有效的纠正行动计划是 漂亮的 明确的 适当的 可达的 现实的 适时的 73 不要使事情变得更糟 所有的纠正行动都有底线 如 最初和中期的花费 任务复杂度增加 保证预期的效益超过底线 74 纠正行动计划确认 该行动计划将会 解决破坏的地方 处理问题的后果 防止 或限制 事件重发 在我们的执行能力 如资源 范围之内 与现有的承诺一致 产生的效益是否超过它的负面影响 如花费 解决状况范围和原因范围 得到问题业主和受影响组织的管理人员的支持 满足SMART原则 如果有任何一项回答 不 重新评估该计划 75 第六阶段 报告 RCA报告章节标题页和目录概要背景信息事件的时序状况范围相关运行经验后果 7