Håndbogen citeres som: Hollnagel, Erik: FRAM, Funktionel Resonans Analyse Metode en kursushåndbog.

Transkript

1 Erik Hollnagel [Cancerudredning] [Sekretærens rutiner] [Lægens egne systemer] [Antal patienter] FRAM Funktionel Resonans Analyse Metode en kursushåndbog [Henvisning til kirurgisk afdeling] [Oplysninger om pt] 1. udgave, september 2013

2 Håndbogen citeres som: Hollnagel, Erik: FRAM, Funktionel Resonans Analyse Metode en kursushåndbog. Håndbogen må i sin helhed kopieres frit, men ikke gøres til genstand for salg direkte eller i afledt form. Håndbogen kan downloades i pdf-format her: Udvikling og udgivelse af kursushåndbogen er finansieret af Center for Kvalitet, Region Syddanmark. ISBN Grafisk produktion: ProGrafisk ApS Supplerende materialer og litteratur kan findes her: Andre metodehåndbøger fra Center for Kvalitet Interne survey i Region Syddanmark Center for Kvalitet og Region Syddanmark 2012 Global Trigger Tool Center for Kvalitet, Region Syddanmark og OUH, 2008 SPC Statistisk Proces Kontrol Center for Kvalitet, Region Syddanmark m.fl., 2008 Se: 2

3 Denne kursushåndbog giver en introduktion til FRAM-metoden og en vejledning i, hvordan man beskriver en given arbejdsproces ved hjælp af funktioner og deres relationer. FRAM står for Funktionel Resonans Analyse Metode. Hovedprincippet i metoden er en enkel, men systematisk beskrivelse af funktioner, som tydeliggør, hvordan funktioner kan være afhængige af hinanden og dermed også påvirke hinanden. Denne beskrivelse fungerer som en model af det arbejde, der undersøges. FRAM kan bruges til at beskrive arbejde med en hvilken som helst detaljeringsgrad (f.eks. indlæggelse, stuegang, blodprøvetagning, kvalitetsstyring, mv.), og til at forklare, både hvordan arbejdet foregår, og hvordan det kan mislykkes. FRAM er en metode, der gennem systematisk analyse kan beskrive den rolle, som de nødvendige og allestedsnærværende tilpasninger af det daglige arbejde spiller, både for det, der går godt, og det, der går galt. FRAM kan bruges til at beskrive, hvordan et arbejde normalt udføres og dermed afdække betingelser for, hvordan noget både kan gå godt og skidt. Indhold Indledning Kapitel 1. Et gennemgående analyseeksempel Kapitel 2. FRAM metoden og sikkerhedstænkning Kapitel 3. FRAM: De centrale begreber FRAM-metodens grundlæggende principper Grundlæggende begreber ved udarbejdelse af en FRAM model Funktioner og aspekter Relationer mellem funktioner Kapitel 4. Udarbejdelse af en FRAM model Første analyse og sammenfatning af oplysningerne Hvordan skal man fortsætte? Hvornår er modellen færdig? Kapitel 5. Hvordan anvender man en FRAM model? Kapitel 6. FRAM-metodens anvendelsesområder

4 Indledning Når noget uventet er sket, er det en naturlig reaktion at prøve at finde en forklaring. Det gælder ikke mindst, hvis det uventede er uønsket, eller hvis et forventet resultat ikke er opnået. Behovet for at finde forklaringer er til stede såvel ved langvarige og komplicerede aktiviteter, som f.eks. ombygning af et sygehus, som ved mere kortvarige og mindre omfattende aktiviteter, som f.eks. indlæggelse af en patient. En forklaring på noget uventet kan tjene flere forskellige formål. Et formål kan være at fjerne uvished for at få ro i sindet eller placere et ansvar. Et andet formål kan være, at man vil forhindre, at noget går galt igen. Det er det sidste, der er hovedemnet her. At finde en årsag og at finde en forklaring er ikke helt det samme. En årsag er et led i en forklaring, men man kan godt finde en forklaring uden at finde en årsag. Man kan f.eks. godt have forstået, hvad der er sket, uden helt at kunne gøre rede for, hvorfor det er sket. En skelnen mellem årsag og forklaring opretholdes dog ikke altid i praksis, og det kan til tider gøre kommunikationen besværlig. At lede efter årsager Behovet for at finde en årsag skyldes, at kendskab til årsagen anses som nødvendigt for at kunne forhindre, at noget kan gå galt i fremtiden. Dette sker ud fra devisen om, at der ikke er nogen virkning, uden at der også er en årsag. Denne ide fandtes allerede hos Leucippus fra Milet (ca. 480 ca. 420 fvt), som angiveligt skal have sagt, at»intet sker forgæves, men alt sker ud fra fornuft og af nødvendighed«. I praksis er en årsag imidlertid ikke noget, man finder, men noget man bestemmer sig for og bliver enige om. Lidt kynisk sagt er en årsag den gensidige fastlæggelse af et antal aspekter eller faktorer, som anses for at være nødvendige og tilstrækkelige for at forklare, hvorfor noget er sket. En årsag skal helst kunne knyttes til en kendt del eller funktion af et system (personer, komponenter, procedurer etc.). Det skal også være muligt at kunne gøre noget for at fjerne årsagen eller for at mindske virkningerne med et rimeligt forbrug af penge og tid. Og endelig skal en årsag stemme overens med de generelt accepterede forestillinger om, hvordan noget sker. Årsager er med andre ord relative og ikke absolutte. Årsager afspejler den herskende teknologi og den gængse forståelse af, hvordan verden fungerer. I lang tid, ca. fra slutningen af 1700-tallet til midten af 1900-tallet, var det god latin at finde årsagerne i teknologien, og historisk set begyndte ulykkesanalyser med at lede efter fejl i tekniske komponenter og funktioner. I nyere tid, dvs. siden midten af det 20 århundrede, har årsager næsten altid været knyttet til mennesket. Dette hænger bl.a. sammen med en 4

5 forståelse af, at teknikken ikke fungerer af sig selv, men at der altid er tale om menneske-maskine systemer eller socio-tekniske systemer. 1 Forståelsen af menneskets rolle i menneske-maskine systemer (specielt i forhold til ulykker) begyndte med en opfattelse af mennesket som en mulig fare eller som en»fejlbarlig«maskine f.eks. som ulykkesfugle, et begreb der er brugt så tidligt som i Dette fokus på den menneskelige faktor forstærkedes langsomt gennem årene, og fik et yderligere skub gennem ulykken på kernekraftværket i Harrisburg (PA) i I løbet af 1990erne blev det dog efterhånden klart, at antagelsen om»menneskelige fejl«som en enkel og entydig forklaring ikke var holdbar. I stedet begyndte man at se efter, hvordan forskellige situationsfaktorer kunne påvirke menneskelige aktiviteter og dermed direkte eller indirekte fremtvinge»menneskelige fejl«. (Se også Kapitel 2 om FRAM og sikkerhedstænkning). Generelt set er nye typer ulykker altid blevet mødt med forslag om nye årsager, idet man har fastholdt den grundlæggende antagelse om kausalitet. Vi har på denne måde gennem århundreder vænnet os til at forklare ulykker ved årsags-virknings kæder enten enkle eller sammensatte. Og vi holder stædigt fast ved denne antagelse, selv om den som tiden går passer stadigt dårligere med virkeligheden. Siden midten af 1990erne har man imidlertid gradvist forstået, at det er unødvendigt at antage, at der er én type årsager eller forklaringer til handlinger, der går godt og en anden til handlinger, der går dårligt. Det er langt mere rimeligt at antage, at begge i princippet sker på samme måde. En praktisk konsekvens af denne antagelse er, at man i stedet for at lede efter en årsag prøver at forstå, hvordan arbejdet tilpasses situationen, og hvilke konsekvenser positive såvel som negative sådanne tilpasninger kan have. FRAM (Functional Resonance Analysis Method) er blevet udviklet med en sådan forståelse for øje. Metoden består af fire trin: Identificering og beskrivelse af væsentlige systemfunktioner, og karakterisering af hver funktion ved hjælp af seks grundlæggende egenskaber (kaldet aspekter). Tilsammen udgør funktionerne en FRAM model. Karakterisering af den potentielle variabilitet af funktionerne i FRAM-modellen, såvel som af den mulige reelle variabilitet i en eller flere realiseringer af modellen. Bestemmelse af den mulige funktionelle resonans baseret på afhængigheder / koblinger mellem funktioner givet deres potentielle / reelle variabilitet. 1 Et system kan i denne sammenhæng defineres som»en helhed bestående af et antal enkeltdele, hvor systemets funktion og eksistens afhænger af enkeltdelenes samvirken.«mange systemer er rent tekniske eller»mekaniske«, som f.eks. et ur. I et socio-teknisk system indgår både teknik og mennesker, og systemets funktion afhænger af det effektive samspil mellem disse dele. 5

6 Forslag til måder hvorpå man kan overvåge og påvirke variabiliteten, enten ved at dæmpe variabilitet der kan føre til uønskede resultater, eller ved at forstærke variabilitet der kan føre til ønskede resultater. Hensigten med denne kursushåndbog er at vise, hvordan metoden kan bruges i praksis. For en mere udførlig fremstilling af FRAM, inklusive den teoretiske baggrund, henvises interesserede til Hollnagel, Erik: FRAM - the Functional Resonance Analysis Method: modeling complex socio-technical systems, Ashgate

7 Kapitel 1: Et gennemgående analyseeksempel I kapitel 1 gives en kort præsentation af et gennemgående eksempel på en FRAM analyse, der er gennemført i det danske sundhedsvæsen. På udvalgte steder i denne håndbog vil relevante stadier i analyseeksemplet blive brugt til at illustrere de begreber og forløb, der er centrale for FRAM metoden. Eksemplet er en utilsigtet hændelse (UTH), der blev rapporteret til Dansk Patient-Sikkerheds-Database (DPSD) som et uhensigtsmæssigt patientforløb. I forløbet bliver patienten del af tre parallelle udredningsforløb, der er delvist uafhængige af hinanden. Udover patienten selv er der i patientforløbet involveret syv parter fordelt på tre sygehusenheder (en kirurgisk afdeling, en røntgenafdeling og et ambulatorium på Sygehus #1), egen praktiserende læge, to parter i samme afdeling på Sygehus #2 (en medicinsk afdeling og en visitationsfunktion), samt en kirurgisk afdeling på Sygehus #3, hvor patienten slutteligt henvises for operation. Sidstnævnte sygehus er dog ikke involveret i den rapporterede hændelse. Indrapportering af hændelsen i DPSD 2 Hændelsesbeskrivelse: Patienten har fået beskrevet instabil fraktur L1 med overskridelse af bagkanten på røntgen [dato] samt CT-scanning fra [dato]. Fra [sygehus] visiteret til almindelig medicinsk vurdering. Konsekvens: Patient ikke cauda varslet. Gået længe med voldsomme smerter. Forslag til forebyggelse: Bedre opmærksomhed ved visitation 2 Enkelte forkortelser skrevet ud samt stavefejl rettet. Tider og steder udeladt af hensyn til anonymitet. 7

8 Hændelsen beskrevet som tidslinje Patienten falder i sit badekar og slår ryggen Patienten henvises af et ambulatorium på Sygehus #1 til scanning på samme sygehus, på grund af mistanke om osteoporose. Undersøgelsen bekræfter osteoporose og sammenfald af Th12. Henvisningen er fra et tidligere forløb, hvor der var mistanke om osteoporose og er ikke sket med baggrund i faldet i badekarret. Præcis dato ikke angivet Egen læge henviser patienten til røntgenundersøgelse på Sygehus #1 efter patientens fald i badekarret Røntgenundersøgelse på Sygehus #1 beskriver fuldstændig kompressionsfraktur af Th12. Ingen indikation af ustabil fraktur. Svar sendt til egen læge Patienten henvises af egen læge til gastroskopi og coloskopi, på grund af mistanke om gastrointestenalcancer. Kirurger på Sygehus #1 udfører en CT-scanning af thorax/abdomen. Her finder man bl.a. kompressionsfraktur af L1. Indikation for ustabil fraktur. Denne undersøgelse er ikke relateret til faldet i badekarret. Svar sendt til egen læge Patienten får smertestillende medicin for rygsmerter. Da dette ikke hjælper, henviser egen læge patienten til Sygehus #2 for vurdering Henvisning modtages og patienten visiteres til medicinsk afdeling på samme sygehus, altså Sygehus # Patienten undersøges på medicinsk afdeling. Patienten oplyser, at han siden faldet i december 2011 har haft tiltagende usikker gang og dropfodslignende symptomer. Medicinsk Afdeling konfererer patienten med Kirurgisk afdeling på samme sygehus, dvs. på Sygehus #2, og patienten henvises til operation på ortopædkirurgisk afdeling på Sygehus #3. 8

9 Denne måde at beskrive hændelsen på er rent kronologisk, dvs. de enkelte dele af hændelsen beskrives ud fra, hvornår de fandt sted. En sådan kronologisk beskrivelse som også kaldes en tidslinje kan imidlertid let være misvisende, fordi den kronologiske rækkefølge af hændelserne ikke nødvendigvis har noget at gøre med, hvordan de hænger sammen. Rent faktisk omhandler den kronologiske beskrivelse tre forskellige undersøgelser eller udredninger, som beskrives i det følgende. Udredning 1: Mistanke om skadet ryg Den 3. december 2011 falder patienten i sit badekar og slår ryggen. Egen læge henviser patienten til røntgenundersøgelse, som foretages på sygehus #1 den 6. januar Røntgenundersøgelsen viser fuldstændig kompressionsfraktur af Th12, men der er ikke tegn på ustabil fraktur. Svaret sendes til egen læge. Patienten har fortsat smerter og får smertestillende medicin mod disse. Da medicinen ikke hjælper, henviser egen læge den 29. marts 2012 patienten til kirurgisk vurdering på rygcenteret på Sygehus #2. Henvisningen modtages samme dag, og patienten visiteres til den medicinske afdeling på Sygehus #2, og patienten får en tid til undersøgelse. På den medicinske afdeling på Sygehus #2 oplyser patienten, at han siden faldet i december 2011 har haft tiltagende usikker gang og symptomer på dropfod. Patienten henvises internt videre til ortopædkirurgerne på Sygehus #3 med henblik på en operation for ustabil kompressionsfraktur. Udredning 2: Mistanke om osteoporose Den 29. december 2011 henvises patienten af det medicinske ambulatorium på Sygehus #1 til DXA-scanning på en anden afdeling på Sygehus #1 på grund af mistanke om osteoporose. Henvisningen er fra et tidligere forløb, hvor der var mistanke om osteoporose, og er derfor ikke sket med baggrund i faldet i badekarret. Undersøgelse gennemføres og bekræfter osteoporose og sammenfald af Th12. Scanningens resultat beskrives den 6. januar 2012 og svaret sendes til egen læge. Udredning 3: Mistanke om kræft På mistanke om gastrointestenalcancer bliver patienten sendt til gastroskopi og coloskopi på Sygehus #1. Den 19. marts 2012 udfører kirurger en CT-scanning af thorax/ abdomen, hvor man bl.a. finder kompressionsfraktur af L1 i modsætning til Th12 ved røntgenundersøgelsen den 6. januar 2012 og ustabil fraktur. Svaret sendes til egen læge. 9

10 Hvad skete der egentligt? Hvis en analyse af hændelsen sker ud fra tidslinjen, så er udgangspunktet tidslinjens afslutning, det vil sige den ustabile kompressionsfraktur, som man åbenbart ikke havde været opmærksom på tidligere. Formålet med undersøgelsen bliver derfor at forklare, hvorfor dette var tilfældet, altså hvad årsagen var. Hvis analysen i stedet sker med udgangspunkt i beskrivelsen af de tre udredninger, er det mere nærliggende at konstatere, at der tilsyneladende ikke var nogen, som havde et overblik over patientens sygdomsforløb og tilstand i sin helhed. Udgangspunktet for en sådan analyse vil være, at der er flere forskellige årsager til dette, og at en forklaring derfor forudsætter en bedre forståelse af de enkelte udredninger og deres sammenhæng. Det er imidlertid også muligt at se på hændelsen på en helt anden måde, nemlig ved at fokusere på forløbet i stedet for på resultatet. En sådan analyse vil tage sit udgangspunkt i, at der formentlig er mange patienter eller patientforløb af denne type, og at langt de fleste af dem går godt. I stedet for at spørge, hvorfor det i dette tilfælde gik galt, vil spørgsmålet være, hvorfor det ikke gik godt, således som det sædvanligvis gør. For at kunne svare på dette spørgsmål, må man derfor begynde med at beskrive og forstå, hvordan et sådant patientforløb sædvanligvis sker. En sådan beskrivelse vil være den nødvendige basis for at prøve at forstå, hvorledes det faktiske forløb adskilte sig fra det typiske forløb. Formålet med FRAM er at frembringe en sådan beskrivelse. 10

11 Kapitel 2: FRAM metoden og sikkerhedstænkning Dette kapitel redegør for, hvilken sikkerhedstænkning FRAM metoden er en del af. Det teoretiske grundlag for FRAM genfindes i de ideer og principper, som indgår i Resilience Engineering. Hvor den traditionelle sikkerhedstænkning mest lægger vægt på at forhindre, at noget går galt, lægger Resilience Engineering også vægt på at fremme, at noget går godt. (Se også omtalen af Sikkerhed-I og Sikkerhed-II nedenfor.) Resilience Engineering udsprang af en stigende utilfredshed blandt ledende sikkerhedsforskere med den måde, hvorpå sikkerhedsspørgsmål blev behandlet og især den måde, hvorpå ulykker og risici blev beskrevet og forklaret. Resilience Engineering Det engelske ord resilience kan ikke oversættes direkte til dansk. At noget er resilient betyder, at det er smidigt, modstandsdygtigt, ukueligt, og bestandigt. Et systems funktion er resilient, hvis det kan fortsætte med at fungere i forventede og uventede situationer ved at tilpasse sig før noget sker, mens noget sker, og efter at noget er sket. Den første samlede beskrivelse af de grundlæggende principper i FRAM findes i bogen»barriers and Accident Prevention«(Hollnagel, 2004). Den videnskabelige baggrund ligger i den generelle systemtænkning, i psykologisk og kybernetisk forskning fra 1950erne og 1960erne, og i ideer om struktureret udvikling af software fra slutningen af samme periode. Udviklingen af FRAM falder tidsmæssigt sammen med udviklingen af Resilience Engineering som et alternativ til traditionel sikkerhedstænkning, og FRAM kan derfor ses som en konkretisering af denne nye måde at arbejde med sikkerhed på. Sikkerhed-I og Sikkerhed-II Sikkerhed har traditionelt været defineret ud fra sin modsætning, nemlig manglende sikkerhed. Et system opfattes almindeligvis som værende sikkert, hvis der kun er lidt eller intet, der går galt eller kan gå galt. Det betyder, at den praktiske og teoretiske forståelse af sikkerhed har taget sit udgangspunkt i situationer, hvor noget er gået galt eller kunne gå galt. For eksempel defineres sikkerhed i sundhedslovens kapitel om patientsikkerhed som»fraværet af utilsigtede hændelser«. Forståelsen af sikkerhed som fravær af ulykker, kaldet Sikkerhed-I, findes i stort set alle industrier såvel som i sundhedsvæsenet. Denne definitionen af sikkerhed har som konsekvens, at sikkerhed dels opnås ved at fjerne eller svække årsagerne til utilsigtede hændelser og dels måles ved at tælle, hvor meget der går galt. Det skaber et behov for at finde årsagerne til, at noget er gået 11

12 galt, sådan som det kendes fra praksis. Interessant nok kræver det, at man samtidigt antager, at årsagerne til, at noget går galt, er forskellige fra årsagerne til, at noget går godt. I modsat fald ville fjernelsen af årsager til ulykker nemlig også reducere sandsynligheden for, at noget kunne gå godt! Dette kan kaldes hypotesen om forskellige årsager. Vores samfund er gennem de seneste år langsomt, men sikkert blevet gjort afhængigt af komplicerede socio-tekniske systemer, som vi ikke længere fuldt forstår, og som vi derfor heller ikke kan kontrollere. I konsekvens af, at de kendte metoder og modeller ikke længere kan sikre det ønskede fravær af ulykker, bør man overveje, om Sikkerhed-I definitionen stadig er tidssvarende. I analogi med WHOs argument om, at sundhed ikke blot er fraværet af sygdom, kunne man foreslå, at sikkerhed ikke blot er fravær af risiko og ulykker. I stedet for at definere sikkerhed som det at kunne forhindre, at noget går galt, kunne man definere sikkerhed som det at kunne sikre, at alt går godt. Ud fra denne opfattelse vil et system være sikkert, hvis den daglige funktion i så godt som alle situationer leder til de ønskede resultater. Denne opfattelse, kaldet Sikkerhed-II, har igennem den seneste halve snes år udviklet sig som en del af Resilience Engineering, som omtalt ovenfor. I et Sikkerhed-II perspektiv er formålet med sikkerhedsstyring at opnå og fastholde denne evne. Det er en konsekvens af et Sikkerhed-II perspektiv, at sikkerhedstænkning og sikkerhedsstyring må tage udgangspunkt i daglige aktiviteter i stedet for i ulykker og utilsigtede hændelser. Det er selvfølgeligt stadig nødvendigt at beskæftige sig med det, som kan gå galt, og at bruge tid og kræfter på at forhindre at det sker eller kan ske. Men det er også nødvendigt at bruge tid og kræfter på at forstå, hvordan og hvorfor noget lykkes. Vi kan ikke bare naivt antage, at ting går godt, fordi vores systemer, inklusive de menneskelige og organisatoriske dele, fungerer som velkonstruerede og velsmurte maskiner. Hvis vi i stedet prøver at forstå, hvad der sker, bliver det meget hurtigt tydeligt, at den vigtigste grund til at ting lykkes er, at mennesker og organisationer hele tiden tilpasser, hvad de gør, til situationen (se i kapitel 3.1 om»tilnærmede tilpasninger«). Reaktiv og proaktiv sikkerhedsstyring Formålet med sikkerheds- og risikostyring er i et Sikkerhed-I perspektiv, at antallet af uheld og utilsigtede hændelser skal være så lille som muligt. Det sker typisk ved, at man reagerer, når en uacceptabel hændelse har fundet sted. (Logikken synes at være, at hvis der ikke er noget, der er gået galt, så må alt jo være godt). Reaktiv sikkerhedsstyring kan i princippet fungere, hvis hændelserne ikke indtræder så ofte, at det bliver vanskeligt eller umuligt at tage sig af det egentlige arbejde. Men hvis hyppigheden af hændelser vokser, vil behovet for at reagere før eller senere kræve så meget kapacitet, at reaktionerne dels vil være utilstrækkelige, og dels vil blive forsinkede. I praksis er det ensbetydende med, at man mister kontrollen over situationen, og at styringen af sikkerheden derfor går tabt. 12

13 Risikostyring er i princippet proaktiv, fordi den fokuserer på ting, som potentielt kan ske som udgør en risiko men som endnu ikke er sket. Risikostyring er i imidlertid i praksis altid en reaktion på de risici, som er fundet ved en risikoanalyse. Dette kan f.eks. ske ved planlægningen af en ny virksomhed. 3 Risikostyring er også reaktiv, fordi en risikoanalyse sjældent udføres mere end en gang, og stort set aldrig udføres løbende. Det er på samme måde en konsekvens af et sikkerheds-ii perspektiv, at sikkerhedsstyring skal være proaktiv, så eventuelle indgreb kan finde sted, før en skade opstår. En proaktiv sikkerhedsstyring vil gøre det muligt at gribe ind tidligt nok til at forhindre, at noget sker. Indgreb, der foretages i tide, er som regel også enklere og af mindre omfang, end indgreb, der foretages, når skaden er sket, fordi konsekvenserne af hændelsen ikke har haft tid til at udvikle og brede sig. Systemers grad af forståelighed Den klassiske sikkerhedstænkning og dens metoder bygger på et antal forudsætninger. Disse forudsætninger er en arv fra de sikkerhedsvurderinger, som blev nødvendige for udviklingen af store teknologiske og industrielle systemer i slutningen af 1950erne. Selv om disse forudsætninger tages for givet og derfor kun sjældent beskrives udførligt, er de nemme at genkende. De fire vigtigste forudsætninger er: Et system kan opdeles i meningsfulde elementer (typisk komponenter eller aktiviteter). Dette kaldes også for princippet om dekomposition eller opløsning i dele. Sandsynligheden for, at noget fungerer eller ikke fungerer, kan analyseres og beskrives for hvert element komponent eller aktivitet for sig. Dette kaldes også for princippet om bimodalitet, det vil sige, at en funktion til enhver tid vil være i en af to forskellige tilstande (modaliteter) enten at den fungerer, eller at den ikke fungerer. Rækkefølgen eller sekvensen af begivenheder er forudsigelig eller forud fastlagt. Dette kan ses som en form for»blød«kausalitet eller determinisme, hvor det ønskværdige at delaktiviteterne sker i en bestemt rækkefølge, således at det tilsigtede resultat opnås dominerer det faktiske, nemlig at måden, hvorpå delaktiviteterne følger hinanden, ofte er usikker og uforudsigelig. 4 Kombinationer af hændelser er logiske og forståelige. Det betyder i praksis, at kombinationer beskrives ved hjælp af logiske konnektiver, 5 og at man derfor enkelt kan afgøre, hvad resultatet er. 3 Dette er praksis i de fleste sikkerhedskritiske industrier, men sker kun undtagelsesvis i sundhedsvæsenet. 4 På engelsk skelnes der mellem work-as-imagined og work-as-done. 5 De mest benyttede logiske konnektiver er i denne sammenhæng negationen (ikke A), konjuktionen (A og B), og disjunktionen (A eller B). 13

14 Den sidste antagelse indgår også som en del af et andet væsentligt begreb, nemlig graden af forståelighed. Graden af forståelighed er et udtryk for, hvorvidt systemets»indre«funktion er kendt, dvs., om der foreligger en tilstrækkelig klar beskrivelse eller specifikation af systemet, dets enkeltdele, og hvordan de samvirker. For at et system skal kunne analyseres, for at risici skal kunne vurderes, og for at dets sikkerhed skal kunne styres, må systemet være forståeligt. Man må med andre ord kunne gøre rede for, hvordan systemet fungerer og hvordan forskellige funktioner afhænger af hinanden. At dette er nødvendigt bliver indlysende, hvis man for et øjeblik antager, at det modsatte er tilfældet. Hvis vi nemlig ikke har en klar beskrivelse eller specifikation af et system, og / eller hvis vi ikke ved, hvordan det fungerer, så er det hverken muligt at foretage en risikovurdering eller at styre det effektivt. Det er i stort set alle former for menneskelig virksomhed vigtigt at gøre vores handlinger og vores omgivelser så forståelige som muligt og dermed også så forudsigelige som muligt. Dette gælder ikke mindst produktionsindustrien, hvorfra de grundlæggende ideer om kvalitetskontrol stammer. Men jo større systemerne bliver, og jo mere integrerede de bliver, desto vanskeligere bliver det at forstå dem. De fleste store socio-tekniske systemer i vores hverdag (transport, kommunikation, finans, distribution og ikke mindst hele sundhedssystemet) er så komplicerede, at forståeligheden er utilstrækkelig. Forskellene mellem systemer med høj og med lav forståelighed er sammenfattede i Tabel 1. Tabel 1. Konsekvenser af høj og lav systemforståelighed. Detaljer i beskrivelsen Viden om hvordan systemet fungerer Stabilitet Forholdet til andre systemer Systemer hvor forståelig heden er høj og tilstrækkelig Beskrivelser er enkle og med få detaljer. Principper for funktionen er kendte. Systemet ændrer sig langsomt. Der opstår kun sjældent uforudsete situationer. Systemet kan fungere uafhængigt af andre systemer. Systemer hvor forståeligheden er lav eller utilstrækkelig Beskrivelser er omfattende med mange detaljer. Principper for funktionen er delvis ukendte. Systemet ændrer sig for hurtigt, til at det kan beskrives. Der kan derfor opstå uforudsete situationer. Systemets funktion afhænger af andre systemer. 14

15 De metoder og fremgangsmåder, der traditionelt bruges til sikkerheds- og risikostyring, forudsætter alle, at systemerne er forståelige. Forudsætningen om systemers forståelighed var relativt velopfyldt i 1960erne og 1970erne, da disse metoder blev udviklet. Men forudsætningen om systemers forståelighed er ikke længere særligt godt opfyldt. Det skyldes ikke mindst, at informationsteknologien, som for år siden kun fandtes på få arbejdspladser, totalt har ændret, hvad vi kan gøre såvel som de måder, vi kan gøre det på. Som følge heraf kan de traditionelle fremgangsmåder ikke anvendes for systemer, hvor forståeligheden er lav eller utilstrækkelig. Det er derfor nødvendigt at udvikle nye metoder og tilgange. 15

16 Kapitel 3. FRAM: De centrale begreber I dette kapitel kan du først læse om FRAM metodens antagelser om forholdet mellem det daglige arbejde og de resultater eller virkninger, der opnås heraf. Dernæst giver kapitlet en indføring i de basale begreber, som man må kende for at kunne udarbejde en FRAM model af en hændelse eller et fremtidigt scenarie. Her gives desuden også en kort indføring i de væsentligste begreber, der kommer i spil, hvis FRAM modellen skal bruges som led i en mere vidtrækkende analyse. 3.1 FRAM-metodens grundlæggende principper Som metode er FRAM baseret på fire principper eller antagelser om, hvordan ting sker. Disse principper er allerede indirekte blevet berørt ovenfor, men beskrives her mere indgående. De fire principper er kort fortalt: 1. Princippet om ækvivalens: dette er antagelsen om, at forskellige slags konsekvenser ikke nødvendigvis kræver forskellige slags forklaringer, men at den samme forklaring kan bruges i de fleste og sandsynligvis i alle tilfælde. 2. Princippet om tilnærmede tilpasninger: dette er antagelsen om, at det daglige arbejde er karakteriseret ved, at udførelsen hele tiden tilpasses betingelserne. 3. Princippet om opståede resultater: dette er erkendelsen af, at ikke alle resultater kan forklares som havende en specifik og kendt årsag. 4. Princippet om resonans: i de tilfælde, hvor det hverken er muligt eller rimeligt at basere forklaringer på årsags-virknings princippet (kausalitet), kan man i stedet bruge resonans. Der er dog her ikke tale om klassisk resonans, som det kendes fra fysikken, men om funktionel resonans. 1. Princippet om ækvivalens, eller at succeser og fejltagelser opstår af samme processer Når man skal forklare, hvorfor noget er gået galt, sker det typisk ved at opdele eller nedbryde systemet i dele eller komponenter. Ved et fysisk (og socio-teknisk) system er det de»naturlige«dele, såsom mennesker, maskiner, osv. Ved et forløb eller en hændelsesrække, sker opdelingen i de enkelte handlinger eller trin i forløbet, f.eks. som de kan være beskrevet i en instruks eller vejledning. En forklaring består i at finde en eller flere dele eller komponenter, som i den pågældende situation har svigtet, fejlfungeret, eller er blevet udført forkert. Konsekvensen forklares på denne måde som et resultat af funktionssvigt i et system og / eller dets komponenter. Denne opfattelse tager sit udgangspunkt i at det, der går godt, og det der går galt, er af en forskellig karakter, dvs. at de to former for konsekvenser har helt forskellige årsager (hypotesen om forskellige årsager). FRAM og Resilience Engineering tager et andet udgangspunkt, nemlig at tingene går rigtigt og forkert på stort set samme måde. 16

17 (Dette genfindes også i Sikkerhed-II, se ovenfor.) Det, at resultaterne i to situationer er forskellige, betyder ikke, at de underliggende processer nødvendigvis også er forskellige. Princippet om tilnærmede tilpasninger forklarer, hvorfor dette ikke er tilfældet. 2. Princippet om tilnærmede tilpasninger Som beskrevet ovenfor er mange socio-tekniske systemer kun delvist forståelige. Det betyder, at betingelserne for udførelsen af et arbejde eller en aktivitet aldrig stemmer helt overens med det, der er forudsat eller foreskrevet. For at kunne udføre arbejdet er det derfor nødvendigt hele tiden at tilpasse sig de eksisterende forhold (ressourcer, redskaber, oplysninger, krav, muligheder, konflikter, afbrydelser). Denne tilpasning foretages af enkeltpersoner, grupper og organisationer og finder sted på alle niveauer, fra udførelsen af en konkret arbejdsopgave til planlægning og ledelse. Men da ressourcer (tid, arbejdskraft, information, osv.) stort set altid er begrænsede, vil sådanne tilpasninger uundgåeligt være tilnærmede snarere end præcise. Det er i langt de fleste tilfælde tilstrækkeligt, fordi situationerne næsten altid er, som de plejer at være. Det er disse tilnærmede tilpasninger, som er grunden til, at alt sædvanligvis går godt, men også grunden til, at det somme tider går galt (se Figur 1). Figur 1. Tilgængeligheden til ressourcer (tid, personale, materialer, information, osv.) kan være begrænset eller upålidelig. Udførelsen af arbejdet tilpasses situationen. Denne tilpasning er uundgåelig, universel og nødvendig. Fordi ressourcerne altid er begrænsede, vil tilpasningen altid være tilnærmet (dvs, aldrig helt perfekt). + Variabilitet i udførelsen (tilnærmede tilpasninger) er grunden til, at det sædvanligvis går godt. Variabilitet i udførelsen (tilnærmede tilpasninger) er grunden til, at det af og til kan gå galt. 17

18 3. Princippet om opståede virkninger Den variabilitet, der skyldes de daglige tilpasninger, er sjældent stor nok til i sig selv at være årsag til, at noget går galt eller stor nok til at kunne beskrives som en fejl. Men hvis man ikke kan finde en bestemt årsag som forklarer den iagttagne virkning, kan man heller ikke beskrive virkningerne som forårsagede af bestemte forhold eller situationer (Tabel 2). Dels vil der ikke have været noget, som egentlig gik galt, dvs. som var så afvigende, fra hvad der almindeligvis sker, at det uden videre kunne betegnes som en fejl eller afvigelse. Og dels vil den variabilitet, som fandt sted, kun have eksisteret i den bestemte situation. Den er derfor ikke dokumenteret, og vil derfor ikke kunne»findes«igen eller kunne rekonstrueres. På den anden side kan variabiliteten af flere funktioner sammenfalde og gensidigt påvirke hinanden på uventede måder, som leder til uventede og uforholdsmæssigt store konsekvenser, negative såvel som positive. 6 Konsekvenser, der forklares eller beskrives på denne måde, kaldes også for ikke-lineære. 7 Både fejl (det, der går skidt) og den daglige udførelse (det, der går godt), kan derfor forklares som værende opståede af variabiliteten snarere end som værende et resultat af den. Dette betyder i praksis, at konsekvenserne ikke kan forklares ved at henvise til funktioner, specifikke komponenter, eller andre dele. Tabel 2. Eksempler på resulterende og opståede virkninger. Konsekvens som et resultat Konsekvens som opstået (emergent) Finans Renter og afkast Aktiekurser Stranden Vintervejr Kysterosion (en effekt af bølgernes stadige påvirkning) Is eller glatføre (når vand fryser) Bølgemønstre i sandet Snefnug (dvs., deres forskellige former) Naturen Fugleunger En flok flyvende trækfugle 6 Det er dette fænomen, der teknisk betegnes som kobling (coupling). 7 En ikke-lineær effekt har to karakteristika. For det første, er der ingen proportionalitet mellem»årsag«og»virkning«. For det andet, kan effekten ikke forklares med kausal (lineær) tænkning. 18

19 Figur 2 viser, hvordan konsekvensen ses som et resultat af en eller flere konstaterbare årsager. Årsager opfattes som komponenter eller funktioner, som på en eller anden måde svigtede eller fungerede forkert.»fejlene«kan enten konstateres og verificeres, når hændelsen analyseres, eller man kan slutte sig til deres eksistens. Figur 2 Figur 2. De kan derfor findes ved at søge baglæns med konsekvensen som udgangspunkt. Årsager Detaljer Årsager Detaljer Konsekvens Vejens tilstand Vind og vejr Skybrud Dårlig vedligeholdt Nedslidte dæk Detaljer Årsager Bilens tilstand Søvnig Detaljer Årsager Førerens tilstand Bilulykke Konsekvensen er en (relativt) stabil ændring i systemet eller dele af det. Figur 3 på næste side viser, hvordan konsekvensen ses som»opstået«af ustabile (kortvarige) kombinationer af tilstande og begivenheder. Konsekvenserne kan ikke forklares som en effekt af bestemte komponenter eller funktioner. Hændelsen opstår på grund af forhold, som er forbigående eller midlertidige. 19

20 Figur 3 Figur 3. Årsagerne er lig et mønster som eksisterede på et givet tidspunkt. Man kan slutte sig til årsagerne, men ikke finde dem Konsekvensen er en (relativt) stabil ændring i systemet eller dele af det. Ideen om at skelne mellem fænomener, som er opstået (af noget) og fænomener, som er et resultat (af noget) blev første gang fremført af den engelske filosof George Henry Lewes ( ) som en del af diskussionen om Darwins evolutionsteori. I følge Lewes kan resultater forklares ved hjælp af de bagvedliggende komponenter (dele) og deres egenskaber. I modsætning hertil kan opståede resultater (»emergent effects«) ikke opløses i eller forklares ved komponenter og derfor heller ikke forudsiges ud fra komponenternes egenskaber. I tilfælde af uønskede hændelser (fx ulykker, incidenter, osv.) er det således ikke muligt at spore de opståede resultater tilbage til en bestemt komponent eller funktion eller i tilfælde af ulykker, til en bestemt fejl eller svigt. 4. Princippet om funktionel resonans Variabiliteten af en række funktioner kan nu og da sammenfalde, således at de gensidigt påvirker hinanden. Dette kan føre til, at variabiliteten af en eller flere funktioner bliver usædvanlig stor (og i princippet enten i en positiv eller negativ retning). Konsekvenserne af en sådan forøget variabilitet kan spredes til andre funktioner på en måde, der kan sammenlignes med fænomenet resonans. Der er således ikke længere 20

21 tale om en eller flere årsags-virknings kæder, fordi de netop ville forudsætte, at der kunne tales om en specifik og genkendelig årsag (noget som gik galt). Konsekvenserne opstår, dvs. at de fremkommer på en måde, som ikke kan forklares ved hjælp af lineær kausalitet. Denne form for resonans kaldes funktionel resonans, fordi den bagvedliggende variabilitet er systematisk. Der findes også andre former for resonans. Klassisk resonans beskriver, hvorledes der kan opstå svingninger med store udsving i et fysisk system, når det påtvinges en frekvens nær en egenfrekvens for systemet. Fordi dette sker, når systemet frivilligt eller ufrivilligt påvirkes af en ydre påvirkning med en bestemt frekvens, bliver resultatet tvungne svingninger eller resonans, som kan have meget stor amplitude (Figur 4 & 5). Stokastisk resonans betegner den situation, hvor tilfældig (stokastisk) støj kan ændre et systems adfærd således, at signaler, der ellers er for svage til at kunne opfanges, pludseligt vokser så meget i styrke, at de påvirker omgivelserne. Figur 4 Figur 4. Et barn som gynger En guitar (akustisk eller elektrisk); mere generelt, noget som forstærkes (på en forudset måde) Balancehjulet i et mekanisk ur (eller kvartskrystallet i et batteridrevet) Figur 5 Figur 5. En (hænge)bro som svinger eller kommer i selvsving. 21

22 3.2 Grundlæggende begreber ved udarbejdelse af en FRAM model FRAM er en systematisk fremgangsmåde til at skabe en beskrivelse eller en repræsentation af, hvordan en aktivitet (et arbejde, et forløb) sædvanligvis sker. Denne repræsentation kaldes en FRAM model. Den valgte aktivitet beskrives ved hjælp af de funktioner, som er nødvendige for aktivitetens udførelse, de potentielle koblinger mellem funktionerne og den potentielle variabilitet. Formålet med FRAM er at give en præcis og systematisk beskrivelse af det normale arbejde, som det typisk foregår. Herunder kan du læse om de helt grundlæggende begreber, som man har brug for, når man skal udarbejde en FRAM model som beskriver det typiske arbejde Funktioner og aspekter Hvad er en funktion? I FRAM repræsenterer en funktion de midler, der er nødvendige for at opnå et mål. Mere generelt repræsenterer en funktion de handlinger eller aktiviteter enkle eller sammensatte der er nødvendige for at frembringe et bestemt resultat. En funktion beskriver typisk, hvad man individuelt eller kollektivt er nødt til at gøre for at udføre en bestemt opgave og dermed nå et bestemt mål, f.eks. at triagere en patient eller at gennemføre en medicinafstemning. En funktion kan også henvise til, hvad en organisation gør: for eksempel er funktionen af en skadestue at behandle indkommende eller henviste patienter. En funktion kan endeligt henvise til, hvad et teknisk system gør enten af sig selv (en automatiseret funktion, som f.eks. et dialyseapparat) eller i samarbejde med en eller flere mennesker (en interaktiv funktion, som f.eks. en elektronisk patientjournal). En hovedregel i anvendelsen af FRAM er, at funktion beskrives med et udsagnsord (verbum), hvis det er et enkelt ord, eller begynder med et udsagnsord, hvis det er en kort sætning. En funktion beskrives med andre ord som en handling. (En huskeregel er, at funktionen beskrives med grundformen af et udsagnsord (infinitiv), dvs at man kan sætte»at«foran. F.eks. kan navnet på en funktion være <(at) Holde øje med forbruget af medicin>.) 22

23 Funktionsbeskrivelse (analyse af sammenhænge og afhængigheder) I det følgende gennemgås to eksempler på, hvordan man kan genkende funktioner i en almindelig beskrivelse af udførelsen af et arbejde. Eksempel 1 Det første eksempel tager udgangspunkt i en forenklet beskrivelse af en arbejdsgang. 8 I dette tilfælde drejer det sig om en sammensat arbejdsgang, hvor den første del beskriver leveringen af medicin til en afdeling, mens den anden del beskriver, hvorledes medicinen dispenseres til patienterne. Der er her tale om den formelle arbejdsbeskrivelse, dvs., hverken en beskrivelse af, hvordan arbejdet udføres i praksis eller beskrivelsen af en konkret hændelse. Afsnittet har en farmakonom, som holder øje med forbruget af medicin og elektronisk bestiller medicin hjem til afsnittet. Det bliver leveret til afsnittet i plomberede kasser. Der skrives under på en leveringsseddel. Den plomberede kasse stilles i det aflåste medicinrum. Medicin til patienterne dispenseres i dosisæsker, hvor patientens ID-label er sat på. Der anvendes så vidt muligt scanner og PDA, når der dispenseres og administreres. Patienterne kommer hen til, men ikke ind i medicinrummet for at få deres medicin. Den medicinansvarlige holder øje med, om alle patienterne har fået deres medicin. Det er den medicinansvarlige, der administrerer medicinen. Hvis den medicinansvarlige må forlade medicinrummet for at tage sig af patient eller pårørende under forløbet, lukkes døren til medicinrummet. I denne arbejdsbeskrivelse beskrives mange forskellige handlinger. Hver handling svarer til en funktion og er typisk beskrevet ved med en verbumfrase. De væsentligste handlinger/funktioner er fremhævet i det følgende. 8 Eksemplet er taget fra en rapport skrevet af Karen Ørnebjerg og Benedicte Schou og bruges med forfatternes tilladelse. 23

24 Afsnittet har en farmakonom, som holder øje med forbruget af medicin og elektronisk bestiller medicin hjem til afsnittet. Det bliver leveret til afsnittet i plomberede kasser. Der skrives under på en leveringsseddel. Den plomberede kasse stilles i det aflåste medicinrum. Medicin til patienterne dispenseres i dosisæsker, hvor patientens ID-label er sat på. Der anvendes så vidt muligt scanner og PDA, når der dispenseres og administreres. Patienterne kommer hen til, men ikke ind i medicinrummet for at få deres medicin. Den medicinansvarlige holder øje med, om alle patienterne har fået deres medicin. Det er den medicinansvarlige, der administrerer medicinen. Hvis den medicinansvarlige må forlade medicinrummet for at tage sig af patient eller pårørende under forløbet, lukkes døren til medicinrummet. Ud fra de angivne handlinger, kan der indledningsvis findes følgende funktioner. Disse beskrives som aktiviteter (med brug af verber) og ikke som tilstande. <Holde øje med forbruget af medicin> <Bestille medicin til afdelingen> <Levere medicin til afdelingen> <Kvittere for levering af medicin> <Placere medicin i medicinrum> <Dispensere medicin> <Etikettere medicin individuelt> <Udlevere medicin til patienter> <Administrere medicinudlevering> <Indstille medicinudlevering midlertidigt> Disse ti funktioner kan bruges som udgangspunkt for en beskrivelse af, hvordan arbejdet udføres i praksis. Denne beskrivelse kan så igen bruges til at analysere et bestemt forløb eller en hændelse. Det gøres ved at beskrive hver enkelt funktion nærmere, dels hvem der udfører den, og dels så mange af de seks aspekter som er relevante for at forstå, hvordan funktionen kan udføres. 24

25 Eksempel 2 Det andet eksempel tager udgangspunkt i en beskrivelse af et antal tilstande, som er blevet fundet i praksis. 9 Der er således ikke tale om et enkelt forløb, men en sammenfatning af, hvad der er fundet i et antal tilfælde. En borger kommer hjem fra hospital med medicin doseret i doseringsæsker til tre dage og en medfølgende medicinliste. Antallet af tabletter i æskerne stemmer ikke overens med antallet af tabletter på den medfølgende medicinliste. Hjertemedicinen, som en borger plejer at få, figurerer ikke på medicinlisten ved udskrivelsen. Der følger ikke medicin med borgeren hjem ved udskrivelsen. Borgeren er ikke medgivet en medicinliste ved udskrivelsen Borgeren udskrives med mange smerter efter en kort indlæggelse grundet fald, men der er ikke taget stilling til ordination af smertestillende medicin ved udskrivelsen. For at kunne begynde en FRAM analyse, må der først laves en beskrivelse af, hvad der burde ske, når en borger udskrives. Inden en patient udskrives, tages stilling til hvilken medicin patienten bør have. Patienten får udleveret den ordinerede medicin i korrekte mængder og forpakninger. Patienten får udleveret en medicinliste, som er i overensstemmelse med den udleverede medicin. På samme måde som i det første eksempel kan man derefter beskrive de centrale handlinger. Dette kunne se ud som følger: 9 Eksemplet er taget fra en rapport skrevet af Ann-Kathrine Fog, Merete Larsen og Birte Fester og bruges med forfatternes tilladelse. 25

26 Inden en patient udskrives, tages stilling til hvilken medicin patienten bør have. Patienten får udleveret den ordinerede medicin i korrekte mængder og forpakninger. Patienten får udleveret en medicinliste, som er i overensstemmelse med den udleverede medicin. Ud fra denne beskrivelse, kan følgende funktioner findes. Disse beskrives som aktiviteter (med brug af verber) og ikke som tilstande. <Udskrive patient> <Ordinere medicin til brug efter udskrivelse> <Pakke medicin til brug efter udskrivelse> <Udfærdige medicinliste i sammenhæng med udskrivelse> Disse fire funktioner kan nu bruges som udgangspunkt for en beskrivelse af, hvordan arbejdet udføres i praksis. Denne beskrivelse kan så igen bruges til at analysere et bestemt forløb eller en hændelse. Det gøres ved at forsøge at beskrive hver enkelt funktion nærmere, dels hvem der udfører den, og dels så mange af de seks aspekter (se nedenfor), som er relevante for at forstå, hvordan funktionen kan udføres. Hvad er aspekter? Detaljerne af hver FRAM funktion kan som vist i Figur 6 beskrives ved hjælp af seks aspekter: Input, Output, Forudsætninger, Ressourcer, Kontrol, og Tid. 10 Hovedreglen ved brugen af FRAM er, at et aspekt skal beskrives, hvis det skønnes rimeligt af analyseholdet, og hvis der er tilstrækkelig information eller erfaring til at gøre det. Men det er ikke nødvendigt at beskrive alle seks aspekter for hver eneste funktion, og det kan undertiden være enten umuligt eller urimeligt at gøre det. 10 Ved anvendelsen af FRAM skrives de seks aspekter med stort initial, når de referer til aspektet som del af en funktionsbeskrivelse (f.eks. Tid eller Kontrol), men uden stort initial når de bruges i anden sammenhæng (f.eks., god tid eller effektiv kontrol). 26

27 Principperne for, hvilke aspekter der skal beskrives og hvornår, vil fremgå af det følgende. Som minimum skal der gives en beskrivelse af Input og Output for hver funktion. Bemærk dog, at FRAM modellen reduceres til et almindeligt rutediagram eller netværksdiagram, hvis kun disse to aspekter beskrives. En hovedregel i anvendelsen af FRAM er, at et aspekt beskrives med et navneord (substantiv) eller en substantivfrase. Dvs. at et aspekt beskrives som en tilstand, som noget der foreligger men ikke som en handling. Kort beskrivelse af de seks aspekter Input til en funktion defineres traditionelt som det, der anvendes eller ændres af funktionen for at kunne frembringe funktionens Output. Input kan være materiale, energi eller information. Der er imidlertid også en anden betydning af Input, der er lige så vigtig for FRAM, nemlig Input som den eller de tilstandsændringer, der aktiverer eller starter en funktion. 11 I denne betydning kan Input være en tilladelse eller en instruktion om at begynde at gøre noget, som et signal, et symbol eller en kommando. Input kan ses som en form for data eller informationer, eller mere generelt som en tilstandsændring, der af funktionen behandles som et signal til at begynde på noget. Formelt set er Input altid resultatet af en ændring i tilstanden af noget, uanset om det er energi, information eller position. Det er begrundelsen for, at beskrivelsen af Input altid skal være et navneord eller begynde med et navneord, hvis det er en kort sætning. Output fra en funktion beskriver resultat af, hvad funktionen gør, for eksempel resultatet af behandlingen af Input. Output kan derfor repræsentere materiale, energi, eller information sidstnævnte f.eks. som en udstedt kommando eller tilladelse, eller som resultatet af en beslutning. Output beskriver en ændring af en tilstand af systemet eller af en eller flere Output parametre. Output kan f.eks. være det signal, der starter en funktion. Beskrivelsen af Output skal på samme måde som for Input være et navneord, eller begynde med et navneord, hvis det er en kort sætning. Forudsætning (pre-condition). 12 En funktion kan i mange tilfælde ikke begynde før en eller flere betingelser eller forudsætninger er etablerede. Disse forudsætninger kan opfattes som systemtilstande, der skal være sande, eller som betingelser, der skal verificeres, før en funktion kan udføres. Selv om en Forudsætning er en tilstand, der skal være opfyldt, før en funktion kan udføres, er en Forudsætning til forskel fra Input ikke det signal, der starter funktionen. For eksempel skal man være afslappet og i hvile, før blodtrykket kan måles. Det er en forudsætning, at patienten er afslappet, men det er 11 Input fungerer i sådanne tilfælde som det, der giver»grønt lys«for at begynde funktionen. 12 I diagrammerne i denne vejledning repræsenteres Forudsætninger med bogstavet P, svarende til den engelske betegnelse Precondition. 27

28 ikke det, som er anledning til, at blodtrykket måles. Denne enkle regel kan bruges til at afgøre, om noget skal beskrives som et Input eller som en Forudsætning. Beskrivelsen af en Forudsætning bør være et navneord, eller begynde med et navneord, hvis det er en kort sætning. Ressource beskriver det, der er brug for under udførelsen af en funktion, og som eventuelt forbruges under udførelsen. En Ressource kan repræsentere materiale, energi, information, kompetence, software, værktøj, arbejdskraft, osv. Tid kan i princippet også betragtes som en ressource, men da Tid har en helt særlig betydning, behandles det som et separat aspekt. Nogle Ressourcer forbruges, mens funktionen udføres, mens andre forbliver uændrede. Det er derfor nyttigt at skelne mellem Faktiske Ressourcer på den ene side og Udførelsesbetingelser på den anden. 13 Forskellen mellem dem er, at noget af en Faktisk Ressource forbruges af en funktion, således at der vil være mindre tilbage af Ressourcen, som tiden går. En Udførelsesbetingelse forbruges ikke, men skal være opfyldt, mens en funktion udføres. To eksempler er henholdsvis blodplasma i forbindelse med en operation og kompetence i forbindelse med en undersøgelse. Efter operationen vil en del af blodplasmaet være forbrugt, mens kompetence efter en undersøgelse vil være den samme hvis den da ikke ligefrem er øget. Forskellen mellem en Forudsætning og en Udførelsesbetingelse er, at førstnævnte er nødvendig, før funktionen starter, men ikke mens den udføres. Beskrivelsen af en Ressource (eller en Udførelsesbetingelse) bør være et navneord, eller begynde med et navneord, hvis det er en kort sætning. Kontrol, eller kontrol input, er det, der overvåger eller styrer udførelsen af en funktion for at sikre, at det ønskede resultat (Output) opnås. 14 Kontrol kan være en instruks, en tidsplan, en procedure, en instruktion, et sæt af retningslinjer, et program (en algoritme), osv. En anden og mindre formel type Kontrol er social kontrol eller forventninger, dvs. den måde, hvorpå kolleger påvirker udførelsen af arbejdet. Social kontrol kan være ekstern, fx andres forventninger (ledelsen, organisationen, kolleger). Social kontrol kan også være intern, for eksempel, når vi planlægger et arbejde, og mentalt gennemgår hvornår og hvordan det skal gøres, eller når vi forestiller os, hvad andre forventer af os. Beskrivelsen af en Kontrol bør være et navneord eller begynde med et navneord, hvis det er en kort sætning. 13 De tilsvarende udtryk på engelsk er Resource og Execution Condition. 14 I diagrammerne i denne vejledning repræsenteres Kontrol med bogstavet C, svarende til den engelske betegnelse Control. 28