Håndbogen citeres som: Hollnagel, Erik: FRAM, Funktionel Resonans Analyse Metode en kursushåndbog.

Transkript

1 Erik Hollnagel [Cancerudredning] [Sekretærens rutiner] [Lægens egne systemer] [Antal patienter] FRAM Funktionel Resonans Analyse Metode en kursushåndbog [Henvisning til kirurgisk afdeling] [Oplysninger om pt] 1. udgave, september 2013

2 Håndbogen citeres som: Hollnagel, Erik: FRAM, Funktionel Resonans Analyse Metode en kursushåndbog. Håndbogen må i sin helhed kopieres frit, men ikke gøres til genstand for salg direkte eller i afledt form. Håndbogen kan downloades i pdf-format her: Udvikling og udgivelse af kursushåndbogen er finansieret af Center for Kvalitet, Region Syddanmark. ISBN Grafisk produktion: ProGrafisk ApS Supplerende materialer og litteratur kan findes her: Andre metodehåndbøger fra Center for Kvalitet Interne survey i Region Syddanmark Center for Kvalitet og Region Syddanmark 2012 Global Trigger Tool Center for Kvalitet, Region Syddanmark og OUH, 2008 SPC Statistisk Proces Kontrol Center for Kvalitet, Region Syddanmark m.fl., 2008 Se: 2

3 Denne kursushåndbog giver en introduktion til FRAM-metoden og en vejledning i, hvordan man beskriver en given arbejdsproces ved hjælp af funktioner og deres relationer. FRAM står for Funktionel Resonans Analyse Metode. Hovedprincippet i metoden er en enkel, men systematisk beskrivelse af funktioner, som tydeliggør, hvordan funktioner kan være afhængige af hinanden og dermed også påvirke hinanden. Denne beskrivelse fungerer som en model af det arbejde, der undersøges. FRAM kan bruges til at beskrive arbejde med en hvilken som helst detaljeringsgrad (f.eks. indlæggelse, stuegang, blodprøvetagning, kvalitetsstyring, mv.), og til at forklare, både hvordan arbejdet foregår, og hvordan det kan mislykkes. FRAM er en metode, der gennem systematisk analyse kan beskrive den rolle, som de nødvendige og allestedsnærværende tilpasninger af det daglige arbejde spiller, både for det, der går godt, og det, der går galt. FRAM kan bruges til at beskrive, hvordan et arbejde normalt udføres og dermed afdække betingelser for, hvordan noget både kan gå godt og skidt. Indhold Indledning Kapitel 1. Et gennemgående analyseeksempel Kapitel 2. FRAM metoden og sikkerhedstænkning Kapitel 3. FRAM: De centrale begreber FRAM-metodens grundlæggende principper Grundlæggende begreber ved udarbejdelse af en FRAM model Funktioner og aspekter Relationer mellem funktioner Kapitel 4. Udarbejdelse af en FRAM model Første analyse og sammenfatning af oplysningerne Hvordan skal man fortsætte? Hvornår er modellen færdig? Kapitel 5. Hvordan anvender man en FRAM model? Kapitel 6. FRAM-metodens anvendelsesområder

4 Indledning Når noget uventet er sket, er det en naturlig reaktion at prøve at finde en forklaring. Det gælder ikke mindst, hvis det uventede er uønsket, eller hvis et forventet resultat ikke er opnået. Behovet for at finde forklaringer er til stede såvel ved langvarige og komplicerede aktiviteter, som f.eks. ombygning af et sygehus, som ved mere kortvarige og mindre omfattende aktiviteter, som f.eks. indlæggelse af en patient. En forklaring på noget uventet kan tjene flere forskellige formål. Et formål kan være at fjerne uvished for at få ro i sindet eller placere et ansvar. Et andet formål kan være, at man vil forhindre, at noget går galt igen. Det er det sidste, der er hovedemnet her. At finde en årsag og at finde en forklaring er ikke helt det samme. En årsag er et led i en forklaring, men man kan godt finde en forklaring uden at finde en årsag. Man kan f.eks. godt have forstået, hvad der er sket, uden helt at kunne gøre rede for, hvorfor det er sket. En skelnen mellem årsag og forklaring opretholdes dog ikke altid i praksis, og det kan til tider gøre kommunikationen besværlig. At lede efter årsager Behovet for at finde en årsag skyldes, at kendskab til årsagen anses som nødvendigt for at kunne forhindre, at noget kan gå galt i fremtiden. Dette sker ud fra devisen om, at der ikke er nogen virkning, uden at der også er en årsag. Denne ide fandtes allerede hos Leucippus fra Milet (ca. 480 ca. 420 fvt), som angiveligt skal have sagt, at»intet sker forgæves, men alt sker ud fra fornuft og af nødvendighed«. I praksis er en årsag imidlertid ikke noget, man finder, men noget man bestemmer sig for og bliver enige om. Lidt kynisk sagt er en årsag den gensidige fastlæggelse af et antal aspekter eller faktorer, som anses for at være nødvendige og tilstrækkelige for at forklare, hvorfor noget er sket. En årsag skal helst kunne knyttes til en kendt del eller funktion af et system (personer, komponenter, procedurer etc.). Det skal også være muligt at kunne gøre noget for at fjerne årsagen eller for at mindske virkningerne med et rimeligt forbrug af penge og tid. Og endelig skal en årsag stemme overens med de generelt accepterede forestillinger om, hvordan noget sker. Årsager er med andre ord relative og ikke absolutte. Årsager afspejler den herskende teknologi og den gængse forståelse af, hvordan verden fungerer. I lang tid, ca. fra slutningen af 1700-tallet til midten af 1900-tallet, var det god latin at finde årsagerne i teknologien, og historisk set begyndte ulykkesanalyser med at lede efter fejl i tekniske komponenter og funktioner. I nyere tid, dvs. siden midten af det 20 århundrede, har årsager næsten altid været knyttet til mennesket. Dette hænger bl.a. sammen med en 4

5 forståelse af, at teknikken ikke fungerer af sig selv, men at der altid er tale om menneske-maskine systemer eller socio-tekniske systemer. 1 Forståelsen af menneskets rolle i menneske-maskine systemer (specielt i forhold til ulykker) begyndte med en opfattelse af mennesket som en mulig fare eller som en»fejlbarlig«maskine f.eks. som ulykkesfugle, et begreb der er brugt så tidligt som i Dette fokus på den menneskelige faktor forstærkedes langsomt gennem årene, og fik et yderligere skub gennem ulykken på kernekraftværket i Harrisburg (PA) i I løbet af 1990erne blev det dog efterhånden klart, at antagelsen om»menneskelige fejl«som en enkel og entydig forklaring ikke var holdbar. I stedet begyndte man at se efter, hvordan forskellige situationsfaktorer kunne påvirke menneskelige aktiviteter og dermed direkte eller indirekte fremtvinge»menneskelige fejl«. (Se også Kapitel 2 om FRAM og sikkerhedstænkning). Generelt set er nye typer ulykker altid blevet mødt med forslag om nye årsager, idet man har fastholdt den grundlæggende antagelse om kausalitet. Vi har på denne måde gennem århundreder vænnet os til at forklare ulykker ved årsags-virknings kæder enten enkle eller sammensatte. Og vi holder stædigt fast ved denne antagelse, selv om den som tiden går passer stadigt dårligere med virkeligheden. Siden midten af 1990erne har man imidlertid gradvist forstået, at det er unødvendigt at antage, at der er én type årsager eller forklaringer til handlinger, der går godt og en anden til handlinger, der går dårligt. Det er langt mere rimeligt at antage, at begge i princippet sker på samme måde. En praktisk konsekvens af denne antagelse er, at man i stedet for at lede efter en årsag prøver at forstå, hvordan arbejdet tilpasses situationen, og hvilke konsekvenser positive såvel som negative sådanne tilpasninger kan have. FRAM (Functional Resonance Analysis Method) er blevet udviklet med en sådan forståelse for øje. Metoden består af fire trin: Identificering og beskrivelse af væsentlige systemfunktioner, og karakterisering af hver funktion ved hjælp af seks grundlæggende egenskaber (kaldet aspekter). Tilsammen udgør funktionerne en FRAM model. Karakterisering af den potentielle variabilitet af funktionerne i FRAM-modellen, såvel som af den mulige reelle variabilitet i en eller flere realiseringer af modellen. Bestemmelse af den mulige funktionelle resonans baseret på afhængigheder / koblinger mellem funktioner givet deres potentielle / reelle variabilitet. 1 Et system kan i denne sammenhæng defineres som»en helhed bestående af et antal enkeltdele, hvor systemets funktion og eksistens afhænger af enkeltdelenes samvirken.«mange systemer er rent tekniske eller»mekaniske«, som f.eks. et ur. I et socio-teknisk system indgår både teknik og mennesker, og systemets funktion afhænger af det effektive samspil mellem disse dele. 5

6 Forslag til måder hvorpå man kan overvåge og påvirke variabiliteten, enten ved at dæmpe variabilitet der kan føre til uønskede resultater, eller ved at forstærke variabilitet der kan føre til ønskede resultater. Hensigten med denne kursushåndbog er at vise, hvordan metoden kan bruges i praksis. For en mere udførlig fremstilling af FRAM, inklusive den teoretiske baggrund, henvises interesserede til Hollnagel, Erik: FRAM - the Functional Resonance Analysis Method: modeling complex socio-technical systems, Ashgate

7 Kapitel 1: Et gennemgående analyseeksempel I kapitel 1 gives en kort præsentation af et gennemgående eksempel på en FRAM analyse, der er gennemført i det danske sundhedsvæsen. På udvalgte steder i denne håndbog vil relevante stadier i analyseeksemplet blive brugt til at illustrere de begreber og forløb, der er centrale for FRAM metoden. Eksemplet er en utilsigtet hændelse (UTH), der blev rapporteret til Dansk Patient-Sikkerheds-Database (DPSD) som et uhensigtsmæssigt patientforløb. I forløbet bliver patienten del af tre parallelle udredningsforløb, der er delvist uafhængige af hinanden. Udover patienten selv er der i patientforløbet involveret syv parter fordelt på tre sygehusenheder (en kirurgisk afdeling, en røntgenafdeling og et ambulatorium på Sygehus #1), egen praktiserende læge, to parter i samme afdeling på Sygehus #2 (en medicinsk afdeling og en visitationsfunktion), samt en kirurgisk afdeling på Sygehus #3, hvor patienten slutteligt henvises for operation. Sidstnævnte sygehus er dog ikke involveret i den rapporterede hændelse. Indrapportering af hændelsen i DPSD 2 Hændelsesbeskrivelse: Patienten har fået beskrevet instabil fraktur L1 med overskridelse af bagkanten på røntgen [dato] samt CT-scanning fra [dato]. Fra [sygehus] visiteret til almindelig medicinsk vurdering. Konsekvens: Patient ikke cauda varslet. Gået længe med voldsomme smerter. Forslag til forebyggelse: Bedre opmærksomhed ved visitation 2 Enkelte forkortelser skrevet ud samt stavefejl rettet. Tider og steder udeladt af hensyn til anonymitet. 7

8 Hændelsen beskrevet som tidslinje Patienten falder i sit badekar og slår ryggen Patienten henvises af et ambulatorium på Sygehus #1 til scanning på samme sygehus, på grund af mistanke om osteoporose. Undersøgelsen bekræfter osteoporose og sammenfald af Th12. Henvisningen er fra et tidligere forløb, hvor der var mistanke om osteoporose og er ikke sket med baggrund i faldet i badekarret. Præcis dato ikke angivet Egen læge henviser patienten til røntgenundersøgelse på Sygehus #1 efter patientens fald i badekarret Røntgenundersøgelse på Sygehus #1 beskriver fuldstændig kompressionsfraktur af Th12. Ingen indikation af ustabil fraktur. Svar sendt til egen læge Patienten henvises af egen læge til gastroskopi og coloskopi, på grund af mistanke om gastrointestenalcancer. Kirurger på Sygehus #1 udfører en CT-scanning af thorax/abdomen. Her finder man bl.a. kompressionsfraktur af L1. Indikation for ustabil fraktur. Denne undersøgelse er ikke relateret til faldet i badekarret. Svar sendt til egen læge Patienten får smertestillende medicin for rygsmerter. Da dette ikke hjælper, henviser egen læge patienten til Sygehus #2 for vurdering Henvisning modtages og patienten visiteres til medicinsk afdeling på samme sygehus, altså Sygehus # Patienten undersøges på medicinsk afdeling. Patienten oplyser, at han siden faldet i december 2011 har haft tiltagende usikker gang og dropfodslignende symptomer. Medicinsk Afdeling konfererer patienten med Kirurgisk afdeling på samme sygehus, dvs. på Sygehus #2, og patienten henvises til operation på ortopædkirurgisk afdeling på Sygehus #3. 8

9 Denne måde at beskrive hændelsen på er rent kronologisk, dvs. de enkelte dele af hændelsen beskrives ud fra, hvornår de fandt sted. En sådan kronologisk beskrivelse som også kaldes en tidslinje kan imidlertid let være misvisende, fordi den kronologiske rækkefølge af hændelserne ikke nødvendigvis har noget at gøre med, hvordan de hænger sammen. Rent faktisk omhandler den kronologiske beskrivelse tre forskellige undersøgelser eller udredninger, som beskrives i det følgende. Udredning 1: Mistanke om skadet ryg Den 3. december 2011 falder patienten i sit badekar og slår ryggen. Egen læge henviser patienten til røntgenundersøgelse, som foretages på sygehus #1 den 6. januar Røntgenundersøgelsen viser fuldstændig kompressionsfraktur af Th12, men der er ikke tegn på ustabil fraktur. Svaret sendes til egen læge. Patienten har fortsat smerter og får smertestillende medicin mod disse. Da medicinen ikke hjælper, henviser egen læge den 29. marts 2012 patienten til kirurgisk vurdering på rygcenteret på Sygehus #2. Henvisningen modtages samme dag, og patienten visiteres til den medicinske afdeling på Sygehus #2, og patienten får en tid til undersøgelse. På den medicinske afdeling på Sygehus #2 oplyser patienten, at han siden faldet i december 2011 har haft tiltagende usikker gang og symptomer på dropfod. Patienten henvises internt videre til ortopædkirurgerne på Sygehus #3 med henblik på en operation for ustabil kompressionsfraktur. Udredning 2: Mistanke om osteoporose Den 29. december 2011 henvises patienten af det medicinske ambulatorium på Sygehus #1 til DXA-scanning på en anden afdeling på Sygehus #1 på grund af mistanke om osteoporose. Henvisningen er fra et tidligere forløb, hvor der var mistanke om osteoporose, og er derfor ikke sket med baggrund i faldet i badekarret. Undersøgelse gennemføres og bekræfter osteoporose og sammenfald af Th12. Scanningens resultat beskrives den 6. januar 2012 og svaret sendes til egen læge. Udredning 3: Mistanke om kræft På mistanke om gastrointestenalcancer bliver patienten sendt til gastroskopi og coloskopi på Sygehus #1. Den 19. marts 2012 udfører kirurger en CT-scanning af thorax/ abdomen, hvor man bl.a. finder kompressionsfraktur af L1 i modsætning til Th12 ved røntgenundersøgelsen den 6. januar 2012 og ustabil fraktur. Svaret sendes til egen læge. 9

10 Hvad skete der egentligt? Hvis en analyse af hændelsen sker ud fra tidslinjen, så er udgangspunktet tidslinjens afslutning, det vil sige den ustabile kompressionsfraktur, som man åbenbart ikke havde været opmærksom på tidligere. Formålet med undersøgelsen bliver derfor at forklare, hvorfor dette var tilfældet, altså hvad årsagen var. Hvis analysen i stedet sker med udgangspunkt i beskrivelsen af de tre udredninger, er det mere nærliggende at konstatere, at der tilsyneladende ikke var nogen, som havde et overblik over patientens sygdomsforløb og tilstand i sin helhed. Udgangspunktet for en sådan analyse vil være, at der er flere forskellige årsager til dette, og at en forklaring derfor forudsætter en bedre forståelse af de enkelte udredninger og deres sammenhæng. Det er imidlertid også muligt at se på hændelsen på en helt anden måde, nemlig ved at fokusere på forløbet i stedet for på resultatet. En sådan analyse vil tage sit udgangspunkt i, at der formentlig er mange patienter eller patientforløb af denne type, og at langt de fleste af dem går godt. I stedet for at spørge, hvorfor det i dette tilfælde gik galt, vil spørgsmålet være, hvorfor det ikke gik godt, således som det sædvanligvis gør. For at kunne svare på dette spørgsmål, må man derfor begynde med at beskrive og forstå, hvordan et sådant patientforløb sædvanligvis sker. En sådan beskrivelse vil være den nødvendige basis for at prøve at forstå, hvorledes det faktiske forløb adskilte sig fra det typiske forløb. Formålet med FRAM er at frembringe en sådan beskrivelse. 10

11 Kapitel 2: FRAM metoden og sikkerhedstænkning Dette kapitel redegør for, hvilken sikkerhedstænkning FRAM metoden er en del af. Det teoretiske grundlag for FRAM genfindes i de ideer og principper, som indgår i Resilience Engineering. Hvor den traditionelle sikkerhedstænkning mest lægger vægt på at forhindre, at noget går galt, lægger Resilience Engineering også vægt på at fremme, at noget går godt. (Se også omtalen af Sikkerhed-I og Sikkerhed-II nedenfor.) Resilience Engineering udsprang af en stigende utilfredshed blandt ledende sikkerhedsforskere med den måde, hvorpå sikkerhedsspørgsmål blev behandlet og især den måde, hvorpå ulykker og risici blev beskrevet og forklaret. Resilience Engineering Det engelske ord resilience kan ikke oversættes direkte til dansk. At noget er resilient betyder, at det er smidigt, modstandsdygtigt, ukueligt, og bestandigt. Et systems funktion er resilient, hvis det kan fortsætte med at fungere i forventede og uventede situationer ved at tilpasse sig før noget sker, mens noget sker, og efter at noget er sket. Den første samlede beskrivelse af de grundlæggende principper i FRAM findes i bogen»barriers and Accident Prevention«(Hollnagel, 2004). Den videnskabelige baggrund ligger i den generelle systemtænkning, i psykologisk og kybernetisk forskning fra 1950erne og 1960erne, og i ideer om struktureret udvikling af software fra slutningen af samme periode. Udviklingen af FRAM falder tidsmæssigt sammen med udviklingen af Resilience Engineering som et alternativ til traditionel sikkerhedstænkning, og FRAM kan derfor ses som en konkretisering af denne nye måde at arbejde med sikkerhed på. Sikkerhed-I og Sikkerhed-II Sikkerhed har traditionelt været defineret ud fra sin modsætning, nemlig manglende sikkerhed. Et system opfattes almindeligvis som værende sikkert, hvis der kun er lidt eller intet, der går galt eller kan gå galt. Det betyder, at den praktiske og teoretiske forståelse af sikkerhed har taget sit udgangspunkt i situationer, hvor noget er gået galt eller kunne gå galt. For eksempel defineres sikkerhed i sundhedslovens kapitel om patientsikkerhed som»fraværet af utilsigtede hændelser«. Forståelsen af sikkerhed som fravær af ulykker, kaldet Sikkerhed-I, findes i stort set alle industrier såvel som i sundhedsvæsenet. Denne definitionen af sikkerhed har som konsekvens, at sikkerhed dels opnås ved at fjerne eller svække årsagerne til utilsigtede hændelser og dels måles ved at tælle, hvor meget der går galt. Det skaber et behov for at finde årsagerne til, at noget er gået 11

12 galt, sådan som det kendes fra praksis. Interessant nok kræver det, at man samtidigt antager, at årsagerne til, at noget går galt, er forskellige fra årsagerne til, at noget går godt. I modsat fald ville fjernelsen af årsager til ulykker nemlig også reducere sandsynligheden for, at noget kunne gå godt! Dette kan kaldes hypotesen om forskellige årsager. Vores samfund er gennem de seneste år langsomt, men sikkert blevet gjort afhængigt af komplicerede socio-tekniske systemer, som vi ikke længere fuldt forstår, og som vi derfor heller ikke kan kontrollere. I konsekvens af, at de kendte metoder og modeller ikke længere kan sikre det ønskede fravær af ulykker, bør man overveje, om Sikkerhed-I definitionen stadig er tidssvarende. I analogi med WHOs argument om, at sundhed ikke blot er fraværet af sygdom, kunne man foreslå, at sikkerhed ikke blot er fravær af risiko og ulykker. I stedet for at definere sikkerhed som det at kunne forhindre, at noget går galt, kunne man definere sikkerhed som det at kunne sikre, at alt går godt. Ud fra denne opfattelse vil et system være sikkert, hvis den daglige funktion i så godt som alle situationer leder til de ønskede resultater. Denne opfattelse, kaldet Sikkerhed-II, har igennem den seneste halve snes år udviklet sig som en del af Resilience Engineering, som omtalt ovenfor. I et Sikkerhed-II perspektiv er formålet med sikkerhedsstyring at opnå og fastholde denne evne. Det er en konsekvens af et Sikkerhed-II perspektiv, at sikkerhedstænkning og sikkerhedsstyring må tage udgangspunkt i daglige aktiviteter i stedet for i ulykker og utilsigtede hændelser. Det er selvfølgeligt stadig nødvendigt at beskæftige sig med det, som kan gå galt, og at bruge tid og kræfter på at forhindre at det sker eller kan ske. Men det er også nødvendigt at bruge tid og kræfter på at forstå, hvordan og hvorfor noget lykkes. Vi kan ikke bare naivt antage, at ting går godt, fordi vores systemer, inklusive de menneskelige og organisatoriske dele, fungerer som velkonstruerede og velsmurte maskiner. Hvis vi i stedet prøver at forstå, hvad der sker, bliver det meget hurtigt tydeligt, at den vigtigste grund til at ting lykkes er, at mennesker og organisationer hele tiden tilpasser, hvad de gør, til situationen (se i kapitel 3.1 om»tilnærmede tilpasninger«). Reaktiv og proaktiv sikkerhedsstyring Formålet med sikkerheds- og risikostyring er i et Sikkerhed-I perspektiv, at antallet af uheld og utilsigtede hændelser skal være så lille som muligt. Det sker typisk ved, at man reagerer, når en uacceptabel hændelse har fundet sted. (Logikken synes at være, at hvis der ikke er noget, der er gået galt, så må alt jo være godt). Reaktiv sikkerhedsstyring kan i princippet fungere, hvis hændelserne ikke indtræder så ofte, at det bliver vanskeligt eller umuligt at tage sig af det egentlige arbejde. Men hvis hyppigheden af hændelser vokser, vil behovet for at reagere før eller senere kræve så meget kapacitet, at reaktionerne dels vil være utilstrækkelige, og dels vil blive forsinkede. I praksis er det ensbetydende med, at man mister kontrollen over situationen, og at styringen af sikkerheden derfor går tabt. 12

13 Risikostyring er i princippet proaktiv, fordi den fokuserer på ting, som potentielt kan ske som udgør en risiko men som endnu ikke er sket. Risikostyring er i imidlertid i praksis altid en reaktion på de risici, som er fundet ved en risikoanalyse. Dette kan f.eks. ske ved planlægningen af en ny virksomhed. 3 Risikostyring er også reaktiv, fordi en risikoanalyse sjældent udføres mere end en gang, og stort set aldrig udføres løbende. Det er på samme måde en konsekvens af et sikkerheds-ii perspektiv, at sikkerhedsstyring skal være proaktiv, så eventuelle indgreb kan finde sted, før en skade opstår. En proaktiv sikkerhedsstyring vil gøre det muligt at gribe ind tidligt nok til at forhindre, at noget sker. Indgreb, der foretages i tide, er som regel også enklere og af mindre omfang, end indgreb, der foretages, når skaden er sket, fordi konsekvenserne af hændelsen ikke har haft tid til at udvikle og brede sig. Systemers grad af forståelighed Den klassiske sikkerhedstænkning og dens metoder bygger på et antal forudsætninger. Disse forudsætninger er en arv fra de sikkerhedsvurderinger, som blev nødvendige for udviklingen af store teknologiske og industrielle systemer i slutningen af 1950erne. Selv om disse forudsætninger tages for givet og derfor kun sjældent beskrives udførligt, er de nemme at genkende. De fire vigtigste forudsætninger er: Et system kan opdeles i meningsfulde elementer (typisk komponenter eller aktiviteter). Dette kaldes også for princippet om dekomposition eller opløsning i dele. Sandsynligheden for, at noget fungerer eller ikke fungerer, kan analyseres og beskrives for hvert element komponent eller aktivitet for sig. Dette kaldes også for princippet om bimodalitet, det vil sige, at en funktion til enhver tid vil være i en af to forskellige tilstande (modaliteter) enten at den fungerer, eller at den ikke fungerer. Rækkefølgen eller sekvensen af begivenheder er forudsigelig eller forud fastlagt. Dette kan ses som en form for»blød«kausalitet eller determinisme, hvor det ønskværdige at delaktiviteterne sker i en bestemt rækkefølge, således at det tilsigtede resultat opnås dominerer det faktiske, nemlig at måden, hvorpå delaktiviteterne følger hinanden, ofte er usikker og uforudsigelig. 4 Kombinationer af hændelser er logiske og forståelige. Det betyder i praksis, at kombinationer beskrives ved hjælp af logiske konnektiver, 5 og at man derfor enkelt kan afgøre, hvad resultatet er. 3 Dette er praksis i de fleste sikkerhedskritiske industrier, men sker kun undtagelsesvis i sundhedsvæsenet. 4 På engelsk skelnes der mellem work-as-imagined og work-as-done. 5 De mest benyttede logiske konnektiver er i denne sammenhæng negationen (ikke A), konjuktionen (A og B), og disjunktionen (A eller B). 13

14 Den sidste antagelse indgår også som en del af et andet væsentligt begreb, nemlig graden af forståelighed. Graden af forståelighed er et udtryk for, hvorvidt systemets»indre«funktion er kendt, dvs., om der foreligger en tilstrækkelig klar beskrivelse eller specifikation af systemet, dets enkeltdele, og hvordan de samvirker. For at et system skal kunne analyseres, for at risici skal kunne vurderes, og for at dets sikkerhed skal kunne styres, må systemet være forståeligt. Man må med andre ord kunne gøre rede for, hvordan systemet fungerer og hvordan forskellige funktioner afhænger af hinanden. At dette er nødvendigt bliver indlysende, hvis man for et øjeblik antager, at det modsatte er tilfældet. Hvis vi nemlig ikke har en klar beskrivelse eller specifikation af et system, og / eller hvis vi ikke ved, hvordan det fungerer, så er det hverken muligt at foretage en risikovurdering eller at styre det effektivt. Det er i stort set alle former for menneskelig virksomhed vigtigt at gøre vores handlinger og vores omgivelser så forståelige som muligt og dermed også så forudsigelige som muligt. Dette gælder ikke mindst produktionsindustrien, hvorfra de grundlæggende ideer om kvalitetskontrol stammer. Men jo større systemerne bliver, og jo mere integrerede de bliver, desto vanskeligere bliver det at forstå dem. De fleste store socio-tekniske systemer i vores hverdag (transport, kommunikation, finans, distribution og ikke mindst hele sundhedssystemet) er så komplicerede, at forståeligheden er utilstrækkelig. Forskellene mellem systemer med høj og med lav forståelighed er sammenfattede i Tabel 1. Tabel 1. Konsekvenser af høj og lav systemforståelighed. Detaljer i beskrivelsen Viden om hvordan systemet fungerer Stabilitet Forholdet til andre systemer Systemer hvor forståelig heden er høj og tilstrækkelig Beskrivelser er enkle og med få detaljer. Principper for funktionen er kendte. Systemet ændrer sig langsomt. Der opstår kun sjældent uforudsete situationer. Systemet kan fungere uafhængigt af andre systemer. Systemer hvor forståeligheden er lav eller utilstrækkelig Beskrivelser er omfattende med mange detaljer. Principper for funktionen er delvis ukendte. Systemet ændrer sig for hurtigt, til at det kan beskrives. Der kan derfor opstå uforudsete situationer. Systemets funktion afhænger af andre systemer. 14

15 De metoder og fremgangsmåder, der traditionelt bruges til sikkerheds- og risikostyring, forudsætter alle, at systemerne er forståelige. Forudsætningen om systemers forståelighed var relativt velopfyldt i 1960erne og 1970erne, da disse metoder blev udviklet. Men forudsætningen om systemers forståelighed er ikke længere særligt godt opfyldt. Det skyldes ikke mindst, at informationsteknologien, som for år siden kun fandtes på få arbejdspladser, totalt har ændret, hvad vi kan gøre såvel som de måder, vi kan gøre det på. Som følge heraf kan de traditionelle fremgangsmåder ikke anvendes for systemer, hvor forståeligheden er lav eller utilstrækkelig. Det er derfor nødvendigt at udvikle nye metoder og tilgange. 15

16 Kapitel 3. FRAM: De centrale begreber I dette kapitel kan du først læse om FRAM metodens antagelser om forholdet mellem det daglige arbejde og de resultater eller virkninger, der opnås heraf. Dernæst giver kapitlet en indføring i de basale begreber, som man må kende for at kunne udarbejde en FRAM model af en hændelse eller et fremtidigt scenarie. Her gives desuden også en kort indføring i de væsentligste begreber, der kommer i spil, hvis FRAM modellen skal bruges som led i en mere vidtrækkende analyse. 3.1 FRAM-metodens grundlæggende principper Som metode er FRAM baseret på fire principper eller antagelser om, hvordan ting sker. Disse principper er allerede indirekte blevet berørt ovenfor, men beskrives her mere indgående. De fire principper er kort fortalt: 1. Princippet om ækvivalens: dette er antagelsen om, at forskellige slags konsekvenser ikke nødvendigvis kræver forskellige slags forklaringer, men at den samme forklaring kan bruges i de fleste og sandsynligvis i alle tilfælde. 2. Princippet om tilnærmede tilpasninger: dette er antagelsen om, at det daglige arbejde er karakteriseret ved, at udførelsen hele tiden tilpasses betingelserne. 3. Princippet om opståede resultater: dette er erkendelsen af, at ikke alle resultater kan forklares som havende en specifik og kendt årsag. 4. Princippet om resonans: i de tilfælde, hvor det hverken er muligt eller rimeligt at basere forklaringer på årsags-virknings princippet (kausalitet), kan man i stedet bruge resonans. Der er dog her ikke tale om klassisk resonans, som det kendes fra fysikken, men om funktionel resonans. 1. Princippet om ækvivalens, eller at succeser og fejltagelser opstår af samme processer Når man skal forklare, hvorfor noget er gået galt, sker det typisk ved at opdele eller nedbryde systemet i dele eller komponenter. Ved et fysisk (og socio-teknisk) system er det de»naturlige«dele, såsom mennesker, maskiner, osv. Ved et forløb eller en hændelsesrække, sker opdelingen i de enkelte handlinger eller trin i forløbet, f.eks. som de kan være beskrevet i en instruks eller vejledning. En forklaring består i at finde en eller flere dele eller komponenter, som i den pågældende situation har svigtet, fejlfungeret, eller er blevet udført forkert. Konsekvensen forklares på denne måde som et resultat af funktionssvigt i et system og / eller dets komponenter. Denne opfattelse tager sit udgangspunkt i at det, der går godt, og det der går galt, er af en forskellig karakter, dvs. at de to former for konsekvenser har helt forskellige årsager (hypotesen om forskellige årsager). FRAM og Resilience Engineering tager et andet udgangspunkt, nemlig at tingene går rigtigt og forkert på stort set samme måde. 16

17 (Dette genfindes også i Sikkerhed-II, se ovenfor.) Det, at resultaterne i to situationer er forskellige, betyder ikke, at de underliggende processer nødvendigvis også er forskellige. Princippet om tilnærmede tilpasninger forklarer, hvorfor dette ikke er tilfældet. 2. Princippet om tilnærmede tilpasninger Som beskrevet ovenfor er mange socio-tekniske systemer kun delvist forståelige. Det betyder, at betingelserne for udførelsen af et arbejde eller en aktivitet aldrig stemmer helt overens med det, der er forudsat eller foreskrevet. For at kunne udføre arbejdet er det derfor nødvendigt hele tiden at tilpasse sig de eksisterende forhold (ressourcer, redskaber, oplysninger, krav, muligheder, konflikter, afbrydelser). Denne tilpasning foretages af enkeltpersoner, grupper og organisationer og finder sted på alle niveauer, fra udførelsen af en konkret arbejdsopgave til planlægning og ledelse. Men da ressourcer (tid, arbejdskraft, information, osv.) stort set altid er begrænsede, vil sådanne tilpasninger uundgåeligt være tilnærmede snarere end præcise. Det er i langt de fleste tilfælde tilstrækkeligt, fordi situationerne næsten altid er, som de plejer at være. Det er disse tilnærmede tilpasninger, som er grunden til, at alt sædvanligvis går godt, men også grunden til, at det somme tider går galt (se Figur 1). Figur 1. Tilgængeligheden til ressourcer (tid, personale, materialer, information, osv.) kan være begrænset eller upålidelig. Udførelsen af arbejdet tilpasses situationen. Denne tilpasning er uundgåelig, universel og nødvendig. Fordi ressourcerne altid er begrænsede, vil tilpasningen altid være tilnærmet (dvs, aldrig helt perfekt). + Variabilitet i udførelsen (tilnærmede tilpasninger) er grunden til, at det sædvanligvis går godt. Variabilitet i udførelsen (tilnærmede tilpasninger) er grunden til, at det af og til kan gå galt. 17

18 3. Princippet om opståede virkninger Den variabilitet, der skyldes de daglige tilpasninger, er sjældent stor nok til i sig selv at være årsag til, at noget går galt eller stor nok til at kunne beskrives som en fejl. Men hvis man ikke kan finde en bestemt årsag som forklarer den iagttagne virkning, kan man heller ikke beskrive virkningerne som forårsagede af bestemte forhold eller situationer (Tabel 2). Dels vil der ikke have været noget, som egentlig gik galt, dvs. som var så afvigende, fra hvad der almindeligvis sker, at det uden videre kunne betegnes som en fejl eller afvigelse. Og dels vil den variabilitet, som fandt sted, kun have eksisteret i den bestemte situation. Den er derfor ikke dokumenteret, og vil derfor ikke kunne»findes«igen eller kunne rekonstrueres. På den anden side kan variabiliteten af flere funktioner sammenfalde og gensidigt påvirke hinanden på uventede måder, som leder til uventede og uforholdsmæssigt store konsekvenser, negative såvel som positive. 6 Konsekvenser, der forklares eller beskrives på denne måde, kaldes også for ikke-lineære. 7 Både fejl (det, der går skidt) og den daglige udførelse (det, der går godt), kan derfor forklares som værende opståede af variabiliteten snarere end som værende et resultat af den. Dette betyder i praksis, at konsekvenserne ikke kan forklares ved at henvise til funktioner, specifikke komponenter, eller andre dele. Tabel 2. Eksempler på resulterende og opståede virkninger. Konsekvens som et resultat Konsekvens som opstået (emergent) Finans Renter og afkast Aktiekurser Stranden Vintervejr Kysterosion (en effekt af bølgernes stadige påvirkning) Is eller glatføre (når vand fryser) Bølgemønstre i sandet Snefnug (dvs., deres forskellige former) Naturen Fugleunger En flok flyvende trækfugle 6 Det er dette fænomen, der teknisk betegnes som kobling (coupling). 7 En ikke-lineær effekt har to karakteristika. For det første, er der ingen proportionalitet mellem»årsag«og»virkning«. For det andet, kan effekten ikke forklares med kausal (lineær) tænkning. 18

19 Figur 2 viser, hvordan konsekvensen ses som et resultat af en eller flere konstaterbare årsager. Årsager opfattes som komponenter eller funktioner, som på en eller anden måde svigtede eller fungerede forkert.»fejlene«kan enten konstateres og verificeres, når hændelsen analyseres, eller man kan slutte sig til deres eksistens. Figur 2 Figur 2. De kan derfor findes ved at søge baglæns med konsekvensen som udgangspunkt. Årsager Detaljer Årsager Detaljer Konsekvens Vejens tilstand Vind og vejr Skybrud Dårlig vedligeholdt Nedslidte dæk Detaljer Årsager Bilens tilstand Søvnig Detaljer Årsager Førerens tilstand Bilulykke Konsekvensen er en (relativt) stabil ændring i systemet eller dele af det. Figur 3 på næste side viser, hvordan konsekvensen ses som»opstået«af ustabile (kortvarige) kombinationer af tilstande og begivenheder. Konsekvenserne kan ikke forklares som en effekt af bestemte komponenter eller funktioner. Hændelsen opstår på grund af forhold, som er forbigående eller midlertidige. 19

20 Figur 3 Figur 3. Årsagerne er lig et mønster som eksisterede på et givet tidspunkt. Man kan slutte sig til årsagerne, men ikke finde dem Konsekvensen er en (relativt) stabil ændring i systemet eller dele af det. Ideen om at skelne mellem fænomener, som er opstået (af noget) og fænomener, som er et resultat (af noget) blev første gang fremført af den engelske filosof George Henry Lewes ( ) som en del af diskussionen om Darwins evolutionsteori. I følge Lewes kan resultater forklares ved hjælp af de bagvedliggende komponenter (dele) og deres egenskaber. I modsætning hertil kan opståede resultater (»emergent effects«) ikke opløses i eller forklares ved komponenter og derfor heller ikke forudsiges ud fra komponenternes egenskaber. I tilfælde af uønskede hændelser (fx ulykker, incidenter, osv.) er det således ikke muligt at spore de opståede resultater tilbage til en bestemt komponent eller funktion eller i tilfælde af ulykker, til en bestemt fejl eller svigt. 4. Princippet om funktionel resonans Variabiliteten af en række funktioner kan nu og da sammenfalde, således at de gensidigt påvirker hinanden. Dette kan føre til, at variabiliteten af en eller flere funktioner bliver usædvanlig stor (og i princippet enten i en positiv eller negativ retning). Konsekvenserne af en sådan forøget variabilitet kan spredes til andre funktioner på en måde, der kan sammenlignes med fænomenet resonans. Der er således ikke længere 20

21 tale om en eller flere årsags-virknings kæder, fordi de netop ville forudsætte, at der kunne tales om en specifik og genkendelig årsag (noget som gik galt). Konsekvenserne opstår, dvs. at de fremkommer på en måde, som ikke kan forklares ved hjælp af lineær kausalitet. Denne form for resonans kaldes funktionel resonans, fordi den bagvedliggende variabilitet er systematisk. Der findes også andre former for resonans. Klassisk resonans beskriver, hvorledes der kan opstå svingninger med store udsving i et fysisk system, når det påtvinges en frekvens nær en egenfrekvens for systemet. Fordi dette sker, når systemet frivilligt eller ufrivilligt påvirkes af en ydre påvirkning med en bestemt frekvens, bliver resultatet tvungne svingninger eller resonans, som kan have meget stor amplitude (Figur 4 & 5). Stokastisk resonans betegner den situation, hvor tilfældig (stokastisk) støj kan ændre et systems adfærd således, at signaler, der ellers er for svage til at kunne opfanges, pludseligt vokser så meget i styrke, at de påvirker omgivelserne. Figur 4 Figur 4. Et barn som gynger En guitar (akustisk eller elektrisk); mere generelt, noget som forstærkes (på en forudset måde) Balancehjulet i et mekanisk ur (eller kvartskrystallet i et batteridrevet) Figur 5 Figur 5. En (hænge)bro som svinger eller kommer i selvsving. 21

22 3.2 Grundlæggende begreber ved udarbejdelse af en FRAM model FRAM er en systematisk fremgangsmåde til at skabe en beskrivelse eller en repræsentation af, hvordan en aktivitet (et arbejde, et forløb) sædvanligvis sker. Denne repræsentation kaldes en FRAM model. Den valgte aktivitet beskrives ved hjælp af de funktioner, som er nødvendige for aktivitetens udførelse, de potentielle koblinger mellem funktionerne og den potentielle variabilitet. Formålet med FRAM er at give en præcis og systematisk beskrivelse af det normale arbejde, som det typisk foregår. Herunder kan du læse om de helt grundlæggende begreber, som man har brug for, når man skal udarbejde en FRAM model som beskriver det typiske arbejde Funktioner og aspekter Hvad er en funktion? I FRAM repræsenterer en funktion de midler, der er nødvendige for at opnå et mål. Mere generelt repræsenterer en funktion de handlinger eller aktiviteter enkle eller sammensatte der er nødvendige for at frembringe et bestemt resultat. En funktion beskriver typisk, hvad man individuelt eller kollektivt er nødt til at gøre for at udføre en bestemt opgave og dermed nå et bestemt mål, f.eks. at triagere en patient eller at gennemføre en medicinafstemning. En funktion kan også henvise til, hvad en organisation gør: for eksempel er funktionen af en skadestue at behandle indkommende eller henviste patienter. En funktion kan endeligt henvise til, hvad et teknisk system gør enten af sig selv (en automatiseret funktion, som f.eks. et dialyseapparat) eller i samarbejde med en eller flere mennesker (en interaktiv funktion, som f.eks. en elektronisk patientjournal). En hovedregel i anvendelsen af FRAM er, at funktion beskrives med et udsagnsord (verbum), hvis det er et enkelt ord, eller begynder med et udsagnsord, hvis det er en kort sætning. En funktion beskrives med andre ord som en handling. (En huskeregel er, at funktionen beskrives med grundformen af et udsagnsord (infinitiv), dvs at man kan sætte»at«foran. F.eks. kan navnet på en funktion være <(at) Holde øje med forbruget af medicin>.) 22

23 Funktionsbeskrivelse (analyse af sammenhænge og afhængigheder) I det følgende gennemgås to eksempler på, hvordan man kan genkende funktioner i en almindelig beskrivelse af udførelsen af et arbejde. Eksempel 1 Det første eksempel tager udgangspunkt i en forenklet beskrivelse af en arbejdsgang. 8 I dette tilfælde drejer det sig om en sammensat arbejdsgang, hvor den første del beskriver leveringen af medicin til en afdeling, mens den anden del beskriver, hvorledes medicinen dispenseres til patienterne. Der er her tale om den formelle arbejdsbeskrivelse, dvs., hverken en beskrivelse af, hvordan arbejdet udføres i praksis eller beskrivelsen af en konkret hændelse. Afsnittet har en farmakonom, som holder øje med forbruget af medicin og elektronisk bestiller medicin hjem til afsnittet. Det bliver leveret til afsnittet i plomberede kasser. Der skrives under på en leveringsseddel. Den plomberede kasse stilles i det aflåste medicinrum. Medicin til patienterne dispenseres i dosisæsker, hvor patientens ID-label er sat på. Der anvendes så vidt muligt scanner og PDA, når der dispenseres og administreres. Patienterne kommer hen til, men ikke ind i medicinrummet for at få deres medicin. Den medicinansvarlige holder øje med, om alle patienterne har fået deres medicin. Det er den medicinansvarlige, der administrerer medicinen. Hvis den medicinansvarlige må forlade medicinrummet for at tage sig af patient eller pårørende under forløbet, lukkes døren til medicinrummet. I denne arbejdsbeskrivelse beskrives mange forskellige handlinger. Hver handling svarer til en funktion og er typisk beskrevet ved med en verbumfrase. De væsentligste handlinger/funktioner er fremhævet i det følgende. 8 Eksemplet er taget fra en rapport skrevet af Karen Ørnebjerg og Benedicte Schou og bruges med forfatternes tilladelse. 23

24 Afsnittet har en farmakonom, som holder øje med forbruget af medicin og elektronisk bestiller medicin hjem til afsnittet. Det bliver leveret til afsnittet i plomberede kasser. Der skrives under på en leveringsseddel. Den plomberede kasse stilles i det aflåste medicinrum. Medicin til patienterne dispenseres i dosisæsker, hvor patientens ID-label er sat på. Der anvendes så vidt muligt scanner og PDA, når der dispenseres og administreres. Patienterne kommer hen til, men ikke ind i medicinrummet for at få deres medicin. Den medicinansvarlige holder øje med, om alle patienterne har fået deres medicin. Det er den medicinansvarlige, der administrerer medicinen. Hvis den medicinansvarlige må forlade medicinrummet for at tage sig af patient eller pårørende under forløbet, lukkes døren til medicinrummet. Ud fra de angivne handlinger, kan der indledningsvis findes følgende funktioner. Disse beskrives som aktiviteter (med brug af verber) og ikke som tilstande. <Holde øje med forbruget af medicin> <Bestille medicin til afdelingen> <Levere medicin til afdelingen> <Kvittere for levering af medicin> <Placere medicin i medicinrum> <Dispensere medicin> <Etikettere medicin individuelt> <Udlevere medicin til patienter> <Administrere medicinudlevering> <Indstille medicinudlevering midlertidigt> Disse ti funktioner kan bruges som udgangspunkt for en beskrivelse af, hvordan arbejdet udføres i praksis. Denne beskrivelse kan så igen bruges til at analysere et bestemt forløb eller en hændelse. Det gøres ved at beskrive hver enkelt funktion nærmere, dels hvem der udfører den, og dels så mange af de seks aspekter som er relevante for at forstå, hvordan funktionen kan udføres. 24

25 Eksempel 2 Det andet eksempel tager udgangspunkt i en beskrivelse af et antal tilstande, som er blevet fundet i praksis. 9 Der er således ikke tale om et enkelt forløb, men en sammenfatning af, hvad der er fundet i et antal tilfælde. En borger kommer hjem fra hospital med medicin doseret i doseringsæsker til tre dage og en medfølgende medicinliste. Antallet af tabletter i æskerne stemmer ikke overens med antallet af tabletter på den medfølgende medicinliste. Hjertemedicinen, som en borger plejer at få, figurerer ikke på medicinlisten ved udskrivelsen. Der følger ikke medicin med borgeren hjem ved udskrivelsen. Borgeren er ikke medgivet en medicinliste ved udskrivelsen Borgeren udskrives med mange smerter efter en kort indlæggelse grundet fald, men der er ikke taget stilling til ordination af smertestillende medicin ved udskrivelsen. For at kunne begynde en FRAM analyse, må der først laves en beskrivelse af, hvad der burde ske, når en borger udskrives. Inden en patient udskrives, tages stilling til hvilken medicin patienten bør have. Patienten får udleveret den ordinerede medicin i korrekte mængder og forpakninger. Patienten får udleveret en medicinliste, som er i overensstemmelse med den udleverede medicin. På samme måde som i det første eksempel kan man derefter beskrive de centrale handlinger. Dette kunne se ud som følger: 9 Eksemplet er taget fra en rapport skrevet af Ann-Kathrine Fog, Merete Larsen og Birte Fester og bruges med forfatternes tilladelse. 25

26 Inden en patient udskrives, tages stilling til hvilken medicin patienten bør have. Patienten får udleveret den ordinerede medicin i korrekte mængder og forpakninger. Patienten får udleveret en medicinliste, som er i overensstemmelse med den udleverede medicin. Ud fra denne beskrivelse, kan følgende funktioner findes. Disse beskrives som aktiviteter (med brug af verber) og ikke som tilstande. <Udskrive patient> <Ordinere medicin til brug efter udskrivelse> <Pakke medicin til brug efter udskrivelse> <Udfærdige medicinliste i sammenhæng med udskrivelse> Disse fire funktioner kan nu bruges som udgangspunkt for en beskrivelse af, hvordan arbejdet udføres i praksis. Denne beskrivelse kan så igen bruges til at analysere et bestemt forløb eller en hændelse. Det gøres ved at forsøge at beskrive hver enkelt funktion nærmere, dels hvem der udfører den, og dels så mange af de seks aspekter (se nedenfor), som er relevante for at forstå, hvordan funktionen kan udføres. Hvad er aspekter? Detaljerne af hver FRAM funktion kan som vist i Figur 6 beskrives ved hjælp af seks aspekter: Input, Output, Forudsætninger, Ressourcer, Kontrol, og Tid. 10 Hovedreglen ved brugen af FRAM er, at et aspekt skal beskrives, hvis det skønnes rimeligt af analyseholdet, og hvis der er tilstrækkelig information eller erfaring til at gøre det. Men det er ikke nødvendigt at beskrive alle seks aspekter for hver eneste funktion, og det kan undertiden være enten umuligt eller urimeligt at gøre det. 10 Ved anvendelsen af FRAM skrives de seks aspekter med stort initial, når de referer til aspektet som del af en funktionsbeskrivelse (f.eks. Tid eller Kontrol), men uden stort initial når de bruges i anden sammenhæng (f.eks., god tid eller effektiv kontrol). 26

27 Principperne for, hvilke aspekter der skal beskrives og hvornår, vil fremgå af det følgende. Som minimum skal der gives en beskrivelse af Input og Output for hver funktion. Bemærk dog, at FRAM modellen reduceres til et almindeligt rutediagram eller netværksdiagram, hvis kun disse to aspekter beskrives. En hovedregel i anvendelsen af FRAM er, at et aspekt beskrives med et navneord (substantiv) eller en substantivfrase. Dvs. at et aspekt beskrives som en tilstand, som noget der foreligger men ikke som en handling. Kort beskrivelse af de seks aspekter Input til en funktion defineres traditionelt som det, der anvendes eller ændres af funktionen for at kunne frembringe funktionens Output. Input kan være materiale, energi eller information. Der er imidlertid også en anden betydning af Input, der er lige så vigtig for FRAM, nemlig Input som den eller de tilstandsændringer, der aktiverer eller starter en funktion. 11 I denne betydning kan Input være en tilladelse eller en instruktion om at begynde at gøre noget, som et signal, et symbol eller en kommando. Input kan ses som en form for data eller informationer, eller mere generelt som en tilstandsændring, der af funktionen behandles som et signal til at begynde på noget. Formelt set er Input altid resultatet af en ændring i tilstanden af noget, uanset om det er energi, information eller position. Det er begrundelsen for, at beskrivelsen af Input altid skal være et navneord eller begynde med et navneord, hvis det er en kort sætning. Output fra en funktion beskriver resultat af, hvad funktionen gør, for eksempel resultatet af behandlingen af Input. Output kan derfor repræsentere materiale, energi, eller information sidstnævnte f.eks. som en udstedt kommando eller tilladelse, eller som resultatet af en beslutning. Output beskriver en ændring af en tilstand af systemet eller af en eller flere Output parametre. Output kan f.eks. være det signal, der starter en funktion. Beskrivelsen af Output skal på samme måde som for Input være et navneord, eller begynde med et navneord, hvis det er en kort sætning. Forudsætning (pre-condition). 12 En funktion kan i mange tilfælde ikke begynde før en eller flere betingelser eller forudsætninger er etablerede. Disse forudsætninger kan opfattes som systemtilstande, der skal være sande, eller som betingelser, der skal verificeres, før en funktion kan udføres. Selv om en Forudsætning er en tilstand, der skal være opfyldt, før en funktion kan udføres, er en Forudsætning til forskel fra Input ikke det signal, der starter funktionen. For eksempel skal man være afslappet og i hvile, før blodtrykket kan måles. Det er en forudsætning, at patienten er afslappet, men det er 11 Input fungerer i sådanne tilfælde som det, der giver»grønt lys«for at begynde funktionen. 12 I diagrammerne i denne vejledning repræsenteres Forudsætninger med bogstavet P, svarende til den engelske betegnelse Precondition. 27

28 ikke det, som er anledning til, at blodtrykket måles. Denne enkle regel kan bruges til at afgøre, om noget skal beskrives som et Input eller som en Forudsætning. Beskrivelsen af en Forudsætning bør være et navneord, eller begynde med et navneord, hvis det er en kort sætning. Ressource beskriver det, der er brug for under udførelsen af en funktion, og som eventuelt forbruges under udførelsen. En Ressource kan repræsentere materiale, energi, information, kompetence, software, værktøj, arbejdskraft, osv. Tid kan i princippet også betragtes som en ressource, men da Tid har en helt særlig betydning, behandles det som et separat aspekt. Nogle Ressourcer forbruges, mens funktionen udføres, mens andre forbliver uændrede. Det er derfor nyttigt at skelne mellem Faktiske Ressourcer på den ene side og Udførelsesbetingelser på den anden. 13 Forskellen mellem dem er, at noget af en Faktisk Ressource forbruges af en funktion, således at der vil være mindre tilbage af Ressourcen, som tiden går. En Udførelsesbetingelse forbruges ikke, men skal være opfyldt, mens en funktion udføres. To eksempler er henholdsvis blodplasma i forbindelse med en operation og kompetence i forbindelse med en undersøgelse. Efter operationen vil en del af blodplasmaet være forbrugt, mens kompetence efter en undersøgelse vil være den samme hvis den da ikke ligefrem er øget. Forskellen mellem en Forudsætning og en Udførelsesbetingelse er, at førstnævnte er nødvendig, før funktionen starter, men ikke mens den udføres. Beskrivelsen af en Ressource (eller en Udførelsesbetingelse) bør være et navneord, eller begynde med et navneord, hvis det er en kort sætning. Kontrol, eller kontrol input, er det, der overvåger eller styrer udførelsen af en funktion for at sikre, at det ønskede resultat (Output) opnås. 14 Kontrol kan være en instruks, en tidsplan, en procedure, en instruktion, et sæt af retningslinjer, et program (en algoritme), osv. En anden og mindre formel type Kontrol er social kontrol eller forventninger, dvs. den måde, hvorpå kolleger påvirker udførelsen af arbejdet. Social kontrol kan være ekstern, fx andres forventninger (ledelsen, organisationen, kolleger). Social kontrol kan også være intern, for eksempel, når vi planlægger et arbejde, og mentalt gennemgår hvornår og hvordan det skal gøres, eller når vi forestiller os, hvad andre forventer af os. Beskrivelsen af en Kontrol bør være et navneord eller begynde med et navneord, hvis det er en kort sætning. 13 De tilsvarende udtryk på engelsk er Resource og Execution Condition. 14 I diagrammerne i denne vejledning repræsenteres Kontrol med bogstavet C, svarende til den engelske betegnelse Control. 28

29 Tid repræsenterer de forskellige måder, hvorpå tiden kan påvirke udførelsen af en funktion. Tid, eller rettere tidsmæssige relationer, kan i princippet opfattes som en form for kontrol. Et eksempel er, når Tid repræsenterer en bestemt rækkefølge af et antal handlinger. En funktion kan for eksempel skulle udføres (eller være afsluttet) før end en anden funktion, efter en anden funktion eller overlappende parallelt med en anden funktion. Tid kan også vedrøre en funktion i sig selv, set i forhold til enten klokkeslæt eller forløben tid. Tid kan også opfattes som en Ressource, som når noget skal være afsluttet inden et bestemt tidspunkt, eller inden for en bestemt varighed (som når en rapport skal fremstilles på mindre end en uge). Tid kan selvfølgelig også ses som en Forudsætning, f.eks. at en funktion ikke må begynde før midnat, eller, at den ikke kan begynde, før en anden funktion er afsluttet. Det er dog alt i alt en fordel at have Tid som et aspekt for sig selv, i stedet for at skulle indordne det under et af de tre nævnte aspekter. Beskrivelsen af Tid sker ved brug af et navneord, hvis det er et enkelt ord, eller begynde med et navneord, hvis det er en kort sætning. Figur Figur 6. 6 T TID [Tidsmæssige forhold der påvirker funktionen] T C C KONTROL [Retningslinier / instruks / styring af funktionen] I INPUT [Det som sætter funktionen i gang og/eller påvirkes] I Aktivitet eller funktion O O OUTPUT [Funktionens resultat / effekt (en tilstand)] P R P FORUDSÆTNING [Betingelser som må være opfyldte, før funktionen kan begynde] R RESSOURCE [Det som er nødvendigt for eller bruges under udførelsen] 29

30 3.2.2 Relationer mellem funktioner De seks aspekter bruges til at karakterisere de enkelte funktioner. Ud over dette beskriver metoden også nogle væsentlige relationer mellem forskellige funktioner. Disse gennemgås kort i det følgende. Koblinger Udgangspunktet for traditionelle hændelses og risikoanalyser er en beskrivelse af sammenhænge. Det kan være sammenhænge mellem delopgaver som i en hierarkisk opgaveanalyse eller sammenhænge mellem (del)hændelser som i en tidslinje. Sammenhængene beskrives ved hjælp af rute- eller netværksdiagrammer (»kasser og pile«), af hvilke der findes mange forskellige former. Udgangspunktet for de traditionelle analyser er således bestemte relationer mellem delene, som f.eks. årsag-virkning, del-helhed, mål-middel, osv. Udgangspunktet for FRAM er beskrivelsen af de funktioner, der tilsammen udgør en aktivitet eller et forløb. Beskrivelsen tager sit udgangspunkt i funktionerne selv, og ikke i, hvordan de hænger sammen. Sammenhængen beskrives ikke direkte i en grafisk fremstilling, men indirekte som relationer definerede gennem aspekterne, se Tabel 3. Disse sammenhænge kaldes med et fagligt udtryk for koblinger. 15 Hvis f.eks. Output fra en funktion A forekommer som Forudsætning for en anden funktion B, så er de to funktioner potentielt koblede. Man kan også sige, at funktion B har Output fra funktion A som Forudsætning. Koblingerne i en FRAM model er generelt n-til-n (eller mange-til-mange) i stedet for 1-til-1. For eksempel kan Output fra funktionen A også være Input til en funktion E. Funktion B kan også have en anden Forudsætning, som er Output fra en funktion H. 15 Dette er en direkte oversættelse fra engelsk, hvor termen er»couplings«. 30

31 Tabel 3. Eksempler på koblinger. Funktion Funktion A Funktion Funktion B Input (I) (Ikke beskrevet) Input (I) (Ikke beskrevet) Output (O) Output fra A Output (O) (Ikke beskrevet) Forudsætning (P) (Ikke beskrevet) Forudsætning (P) Output fra A Output fra H Ressource (R) (Ikke beskrevet) Ressource (R) (Ikke beskrevet) Kontrol (C) (Ikke beskrevet) Kontrol (C) (Ikke beskrevet) Tid (T) (Ikke beskrevet) Tid (T) (Ikke beskrevet) Funktion Funktion E Funktion Funktion H Input (I) Output fra A Input (I) (Ikke beskrevet) Output (O) (Ikke beskrevet) Output (O) Output fra H Forudsætning (P) (Ikke beskrevet) Forudsætning (P) (Ikke beskrevet) Ressource (R) (Ikke beskrevet) Ressource (R) (Ikke beskrevet) Kontrol (C) (Ikke beskrevet) Kontrol (C) (Ikke beskrevet) Tid (T) (Ikke beskrevet) Tid (T) (Ikke beskrevet) T C T C I Funktion A O [Output fra Funktion A] I Funktion E O P R P R T C T C I Funktion H O I Funktion B O [Output fra Funktion H] P R P R 31

32 De koblinger, der beskrives i en FRAM model, dvs. sammenhænge der er konsekvensen af fælles relationer mellem aspekterne, betegnes som potentielle koblinger. Grunden til dette er, at en FRAM model beskriver de potentielle eller mulige sammenhænge eller afhængigheder uden at referere til nogen bestemt situation. I en realisering af en FRAM model vil kun en delmængde af de potentielle koblinger blive realiserede; de beskrives derfor som de reelle koblinger eller afhængigheder der forekom, eller forventes at forekomme, i en bestemt situation eller et bestemt scenarie. Den følgende Figur 7 viser, hvorledes funktionerne <Reagere på prøvesvar> og <Udrede patient> er koblede. En kobling er, at Output fra <Reagere på prøvesvar> optræder som Input til <Udrede patient>. Det betyder, at variabilitet i Output fra <Reagere på prøvesvar> kan påvirke udførelsen af <Udrede patient>. En anden kobling er, at begge funktioner har [Oplysninger om patient] som Ressource. Det betyder, at variabilitet i Output fra <Hente data fra COSMIC> kan påvirke udførelsen af <Reagere på prøvesvar> og <Udrede patient>. Figur 7 Figur 7. [Cancerudredning] [Sekretærens rutiner] [Lægens egne systemer] [Antal patienter] T C [Den gode epikrise] [Epikrise] [Prøvesvar] T C I [Henvisning til kirurgisk afdeling] Udrede patient O [Prøvesvar røntgen] [Prøvesvar patologi] I Reagere på prøvesvar O P R [Videre henvisning] [Oplysninger om pt] [Bemanding] P R T C I Hente data fra COSMIC O P R 32

33 Mere generelt viser en realisering af en FRAM model, hvordan en delmængde af funktionerne gensidigt kan være koblede under givne betingelser eller indenfor en given tidsramme. De koblinger der findes i en given realisering varierer ikke, men er»faste«eller»frosne«under de antagne betingelser. For en hændelsesanalyse vil realiseringen typisk have en tidsramme, der omfatter hele hændelsens forløb samt de koblinger, der fandtes på det pågældende tidspunkt. Forgrunds- og baggrundsfunktioner I FRAM kan funktioner beskrives enten som forgrundsfunktioner eller som baggrundsfunktioner. Forskellen har ikke noget at gøre med hvilken type funktion, der er tale om, men med hvor væsentlig funktionen er for en given model og selvfølgelig også for en realisering af modellen. En funktion betragtes som en forgrundsfunktion, hvis den er en del af undersøgelsens fokus, hvilket i praksis betyder, at variabiliteten af funktionen antages at være af betydning for resultatet af den hændelse eller det forløb, der undersøges. En baggrundsfunktion er tilsvarende en funktion, som kan antages ikke at variere, men tværtimod at være konstant i løbet af den hændelse eller det forløb, der undersøges. Betegnelserne forgrunds- og baggrundsfunktion beskriver den relative betydning af en funktion i modellen og ikke funktionen som sådan. Hvis undersøgelsens fokus ændres, kan en funktion derfor skifte fra at være en forgrundsfunktion til at blive en baggrundsfunktion, og vice versa. Baggrundsfunktioner repræsenter typisk noget, som er nødvendigt for forgrundsfunktioner, men som ikke antages at variere i den pågældende situation. Det kunne f.eks. være en ressource (den rigtige bemanding eller kompetencen af bemandingen) eller en instruks. En persons kompetence må i almindelighed antages at være konstant under udførelsen af en opgave, ligesom en instruks også må antages at være konstant. Dermed er ikke sagt, at kompetencen er tilstrækkelig eller instruksen korrekt, men kun, at de må betragtes som konstante under det pågældende forløb. Udførelsen af en instruks kan variere, men instruksen selv ændrer sig kun i tilfælde af, at den bliver korrigeret eller modificeret. Instruksen som sådan er derfor kun variabel, hvis den betragtes over et længere tidsrum, som typisk er mange gange længere end hændelsen. I så fald vil det være udfærdigelsen og vedligeholdelsen af instruksen, som kommer i fokus; dermed bliver udarbejdelsen af instruksen i sig selv en forgrundsfunktion. Forholdet mellem en forgrunds og en baggrundsfunktion kan vises som i Figur 8. 33

34 Figur 8. 8 T C [Retningslinier eller instruks] I Baggrundsfunktion H O T C P R [Ikke beskrevet] I Funktion A O [Ikke beskrevet] T C P R I Baggrundsfunktion D O [Faglig kompetence] P R Det har været almindelig praksis i pålidelighedsanalyse, og specielt i menneskelig pålidelighedsanalyse, at antage, at situationen (konteksten) eller arbejdsforholdene kan påvirke udførelsen af arbejdet og/eller forløbet af hændelsen. Dette har ofte været beskrevet ved hjælp af et antal faktorer, hvis tilstedeværelse påvirker de begivenheder, der undersøges. 16 Men en konstant påvirkning eller en konstant faktor kan lige så godt beskrives som en baggrundsfunktion, dvs. som noget i»baggrunden«, der påvirker, hvordan en hændelse forløber, uden dog selv at variere i det tidsrum, analysen omfatter. Baggrundsfunktionerne repræsenterer alt det, som kan påvirke de forgrundsfunktioner, der undersøges. En forgrundsfunktion skal beskrives så udførligt som muligt. Det vil sige, at alle relevante aspekter skal medtages. En baggrundsfunktion kan beskrives noget enklere, som regel kun ved sit Output. Det betyder, at baggrundsfunktioner ikke behøver at udvikles videre i beskrivelsen af et forløb; dette begrænser på en naturlig måde antallet af funktioner i modellen (Figur 8). 16 Det generiske navn for sådanne faktorer er»performance Shaping Factors«ofte forkortet til PSF. 34

35 Der findes en særlig form for baggrundsfunktion, som kaldes et dræn. Et dræn er en funktion, der modtager et Input, og som repræsenter det videre forløb eller den fortsættelse af hændelsen, som følger efter den situation, der beskrives og analyseres. Et dræn repræsenterer således, hvad der sker videre, og kan selvfølgelig udvikles i flere detaljer, hvis analysen kræver det. Hvis der f.eks. er en funktion, der hedder <Udskrive patient> for hvilken Output er [Udskrevet patient], så må der også være en funktion som»modtager«den udskrevne patient eller har denne som Input, men som i øvrigt ikke beskrives. En sådan funktion kunne være <Modtagelse af patient i kommunen>, som vist i Figur 9. Figur 9. 9 [Ikke beskrevet] T C [Epikrise] I Udskrive patient O T C P R [Udskrevet patient] I Modtage patient kommunen O P R Opstrøms og nedstrømsfunktioner Mens forgrunds-og baggrundsfunktioner betegner en funktions rolle i en beskrivelse af en hændelse, så bruges begreberne opstrøms og nedstrøms til at betegne den tidsmæssige relation mellem en funktion, som er i fokus, og de andre funktioner. Analysen af en FRAM model foregår ved at følge de potentielle koblinger mellem funktionerne trin for trin. Det betyder, at der til enhver tid vil være en eller flere funktioner, som er i fokus, dvs. hvis variabilitet studeres. De funktioner, der har været i fokus tidligere, hvilket vil sige de funktioner, som allerede er blevet udført, betegnes som opstrøms funktioner. Tilsvarende betegnes de funktioner, som følger efter den funktion, der er i fokus, som nedstrøms funktioner. Under gennemførelsen af en analyse, vil enhver funktion kunne skifte status fra at være nedstrøms, til at komme i fokus, og til at blive en opstrøms funktion. 35

36 En FRAM model beskriver funktioner og de potentielle koblinger for en typisk situation, men ikke for en bestemt situation. Det er derfor ikke altid muligt med sikkerhed at sige, om en funktion vil blive udført før eller efter en anden funktion. Det kan først afgøres, når modellen bliver realiseret. Derimod er betegnelserne forgrundsfunktion og baggrundsfunktion gyldige for såvel en FRAM model som dens realiseringer. I en realisering af modellen bruges detaljerede oplysninger om en bestemt situation eller scenario til at udforme en bestemt version af modellen. Dette svarer til en tidsmæssig organisering af funktionerne, som afspejler i hvilken rækkefølge de vil blive aktiveret i scenariet, afhængig af, hvor stor variabilitet der er. En opstrøms funktion er en funktion, som i en given realisering udføres før andre funktioner, og som derfor kan påvirke dem. Funktioner, som i realisering sker efter andre funktioner, og som derfor kan blive påvirket af dem, kaldes nedstrøms funktioner. Begreberne opstrøms- og nedstrøms funktion er således relative og ikke absolutte. Model og realisering Som allerede omtalt beskriver en FRAM model et systems funktioner (foreningsmængden af forgrundsfunktionerne og baggrundsfunktionerne). Modellen beskriver også de potentielle koblinger mellem funktionerne som kan udledes af funktionernes aspekter. Grafisk repræsenteres en FRAM model ved hjælp af et antal sekskanter, hvor hver sekskant står for en funktion. Der tegnes dog ikke nogen linjer eller forbindelser mellem funktioner. Der er derfor heller ikke nogen standardretning for den grafiske gengivelse (f.eks. fra venstre mod højre eller fra top til bund). En realisering af en FRAM model viser, hvordan en delmængde af funktionerne gensidigt kan være koblede under givne betingelser eller indenfor en given tidsramme. De koblinger, der findes i en specifik realisering, varierer ikke, men er»faste«eller»frosne«under de antagne betingelser. For en hændelsesanalyse vil realiseringen typisk have en tidsramme, der omfatter hele hændelsens forløb samt de koblinger, der fandtes på det pågældende tidspunkt. For en risikovurdering er det mere hensigtsmæssigt at arbejde med et sæt realiseringer, hvor hver realisering repræsenterer koblingerne mellem opstrøms og nedstrøms funktioner på et bestemt tidspunkt eller for givne betingelser. Selv om det kan være fristende at gengive en realisering grafisk, frarådes det at bruge den grafiske repræsentation som basis for en analyse. Grafisk fremstilling: Hexagoner Funktionerne i en FRAM model, eller i en realisering af en FRAM model, repræsenteres grafisk af hexagoner (sekskanter). Grunden er naturligvis, at en sekskant har seks hjørner svarende til de seks aspekter. 36

37 Kapitel 4. Udarbejdelse af en FRAM model Vi vil i resten af denne kursushåndbog anvende eksemplet med rygpatienten, som blev beskrevet i kapitel 2. De centrale funktioner kan indledningsvis antages at være følgende: <Reagere på prøvesvar (praktiserende læge)> <Udrede patient (kirurgisk afdeling)> <Undersøge patient: røntgen> <Undersøge patient: nuklearmedicin> <Visitere patienter som henvises til vurdering på Rygcenter> De fem funktioner kan alle forekomme på patientens vej gennem systemet, omend ikke nødvendigvis i et sammenhængende forløb. Funktionerne er kendetegnede ved, at de typisk udføres hver dag og som regel flere gange om dagen. Da personalet i hverdagen vil fokusere på udførelsen af den enkelte funktion, begynder analysen også med en beskrivelse af hver funktion samt den variabilitet og de tilpasninger, som kan forekomme. Dette skal efterfølges af en beskrivelse af, hvordan variabilitet og tilpasninger kan påvirke andre funktioner, dvs. hvordan funktionerne påvirker hinanden indbyrdes. Dette kan enten resultere i, at funktionerne gensidigt dæmper variabiliteten, således at den samlede situation stabiliseres, eller at funktionerne forstærker hinanden med uønskede resultater til følge. Beskrivelsen af sådanne mulige sammenhænge giver indsigt i og forståelse for, både hvordan arbejdsopgaver lykkes og hvordan de kan mislykkes. Beskrivelsen giver dermed mulighed for at foreslå egnede indsatser til at forbedre situationen. Hvilke oplysninger er der brug for? FRAM er en systematisk fremgangsmåde til at skabe en beskrivelse eller repræsentation af, hvordan en aktivitet (et arbejde, et forløb) sædvanligvis sker. Den valgte aktivitet beskrives ved hjælp af de funktioner, som er nødvendige for aktivitetens udførelse, de potentielle koblinger mellem funktionerne og den typiske variabilitet. Hvis vi for argumentets skyld antager, at resultaterne af en aktivitet er normalfordelte (som i Figur 10), så er formålet med FRAM hverken at beskrive begivenhederne på den venstre hale, 0,6%, der repræsenterer alvorlige ulykker og fejl, eller at beskrive begivenhederne på højre hale, 0,6%, der repræsenterer iøjnefaldende succeser. Formålet er i stedet at beskrive det 98,8%, der ligger i mellem det»grå«område af dagligdags aktiviteter eller begivenheder, der stort set fungerer som de skal, uden at noget går bemærkelsesværdigt galt eller bemærkelsesværdigt godt. 37

38 Figur 10 Figur 10. Normalfordelingen af en aktivitets resultater. 15,0% 19,1% 19,1% 15,0% 9,2% 9,2% 0,1% 0,5% 4,4% 4,4% 0,5% 0,1% 1,7% 1,7% -3-2,5-2 -1,5-1 -0,5 0 0,5 1 1,5 2 2,5 3 Hvordan får man fat i oplysningerne? Den bedste kilde til viden om den aktivitet, der er fokus for undersøgelsen, er de personer, der rent faktisk udfører arbejdet. Det kan enten være personer, der findes på den arbejdsplads, der direkte er genstand for analysen, eller på en arbejdsplads, der er meget lig den undersøgte f.eks. samme funktion på et andet sygehus. Interviews er det primære redskab til at indhente oplysninger med, men kan suppleres med feltobservationer i det omfang, det er muligt. Forberedelse af interviews Denne kursushåndbog er ikke en indføring i interviewteknik som metode og nøjes derfor med at give en række råd og eksempler. For dem, som skal udføre interviews, er det vigtigt omhyggeligt at gennemtænke situationen, hvilke oplysninger der søges, og hvordan oplysningerne skal bruges. Det er vigtigt at gennemgå så megen information som muligt, inden man går»i marken«. Dette kan gøres ved at konsultere tilgængelige informationskilder, såsom regler og bestemmelser, dokumenterede beskrivelser af arbejdsgange, statistikker for forskellige typer af hændelser, kendte»værste tilfælde«eller»værste scenarier«, arbejdspladsens stabilitet (personaleudskiftning, udstyr, procedurer, organisation), og den almindeligt kendte forekomst af store begivenheder eller ændringer, gennem f.eks. det sidste år. Disse»baggrundsoplysninger«benyttes som grundlag for at definere det sæt af spørgsmål, der bør stilles under interviewene. Derudover anbefales det at få så megen viden om arbejdspladsen som muligt, det vil sige de faktiske fysiske og miljømæssige forhold (sammenhænge eller kontekster), hvor aktiviteterne finder sted. Dette kan opnås ved f.eks. at se på arkitekttegninger 38

39 (lay-out af arbejdspladsen), fotos og videoer, og ved at studere andre foreliggende typer af information. Spørgsmålene bør fokusere på daglige aktiviteter og fremgangsmåder, og deres karakteristiske variabilitet. Så i stedet for at bede om eksempler på f.eks. klare fejl eller klare succeser, bør spørgsmålene forsøge at indhente oplysninger om de daglige rutiner og vaner om det som ellers tages for givet og derfor forbigås i tavshed. Eksempler på mulige spørgsmål Spørgsmålene i det følgende er udformede, som om de rettes til en enkelt person, men man kan godt interviewe flere personer på samme tid. Hvornår går du typisk i gang med den givne aktivitet? Hvad er det, som»aktiverer«den? Tilpasser du aktiviteten til forholdene? Hvorledes? Hvordan afgør du, hvilken fremgangsmåde du vil bruge? Hvad gør du, hvis der sker noget uventet? For eksempel en afbrydelse, en ny presserende opgave, en ændring, en ressource der mangler, noget der går galt, osv. Hvor stabile er arbejdsvilkårene? Er arbejdet som oftest rutine eller som oftest improvisation? Hvor forudsigelig er arbejdssituationen og arbejdsforholdene? Hvor godt kan du i almindelighed forberede dig på, hvad der vil ske? Er der noget, du tit er nødt til at tolerere eller vænne dig til under det normale arbejde? Hvilke forudsætninger er normalt opfyldte? Deles disse forudsætninger af alle, som deltager i arbejdet? Er der nogle forhold, som alle tager for givet i arbejdet? Hvordan forbereder du dig til dit arbejde (dokumenter, kolleger, anvisninger osv.)? Hvilke oplysninger har du brug for? Hvilke former for udstyr, apparatur eller servicefunktioner har du brug for? Kan du regne med, at de findes? Hvad gør du, hvis der er tidspres? Hvad gør du, hvis oplysninger mangler, eller hvis du ikke kan få fat i bestemte personer? Hvilke færdigheder har du brug for? Hvad er den optimale måde at udføre dit arbejde på? Findes der en optimal måde at udføre det på? Hvor ofte ændrer du den måde, du arbejder på (sjældent, ofte)? 39

40 Selve interviewet Hvis det er muligt, bør interviewet ske det sted, hvor aktiviteten udføres, eller hvor hændelsen har fundet sted. Det kan f.eks. ske i forbindelse med en»rundvisning«på arbejdspladsen. En sådan rundvisning kan give værdifuld information, der ikke kan opnås på anden måde. Det er en god ide at gå rundt for at få en fornemmelse af, hvad det vil sige at arbejde på stedet. Det kan være meget nyttigt både for at stille de rigtige spørgsmål og for at kunne fortolke svarene. Intervieweren kan fungere som et par»nye«øjne, der lægger mærke til ting, som de ansatte er blevet»blinde«for. 17 Det er også vigtigt at forberede dem, der skal interviewes. Først og fremmest skal de acceptere at deltage i interviewet. Det er især vigtigt, at de er informerede om, hvad formålet med interviewet er. Det er som regel bedst at være to til at udføre interviews, hvor den ene koncentrerer sig om dialogen, og den anden om at tage notater. Hvis interviewet optages, må det naturligvis kun ske med den interviewedes eksplicitte godkendelse. 4.1 Første analyse og sammenfatning af oplysningerne I første omgang renskrives notaterne fra interviewet. Derefter gennemgås de med henblik på at identificere et antal væsentlige funktioner. Bestemmelsen af disse skal selvfølgelig også tage hensyn til andre datakilder og forudgående analyser. Når analyseholdet har bestemt sig for de funktioner, som anses for væsentlige, redigeres materialet, så oplysningerne samles funktion for funktion. Om muligt kan der allerede på dette tidspunkt træffes en afgørelse om, hvilke funktioner, der betragtes som forgrundsfunktioner, og hvilke som baggrundsfunktioner. For hver forgrundsfunktion forsøges oplysningerne så godt som muligt fordelt på de seks aspekter. Der skal i det mindste være oplysninger for Input og Output. I det omfang det er relevant, kan der også være oplysninger for Forudsætninger, Ressourcer, Kontrol, og Tid. Endelig beskrives for Output, hvad den forventede variabilitet er. Dette kan enkelt ske ved at overveje, om Output kan variere med hensyn til tid (tidspunkt, varighed, hastighed) og/eller med hensyn til nøjagtighed. Hvordan noterer man oplysningerne? Det enkleste er at beskrive hver funktion i tekst, sådan som de vises i denne vejledning (Figur 11). 17 Hvis interviewerne omfatter personer, som til dagligt færdes på arbejdspladsen, er det vigtigt, at de prøver at»nulstille«sig, så de ikke uforvarende påvirker andre med deres vante opfattelser. 40

41 Figur 11. FUNCTION TITLE FUNCTION DESCRIPTION INPUT (That which activates the function and/or is used or transformed to produce the output. Constitutes the link to upstream functions.) Output (That which is the result of the function. Constitutes the links to downstream functions.) PRE-CONDITIONS (System conditions that must be fulfilled before a function can be carried out.) RESOURCES / EXECUTION CONDITIONS (That which is needed or consumed by the function when it is active (matter, energy, competence, software, manpower.) CONTROL (That which supervises or regulates the function. E.g. plans, procedures, guidelines or other functions.) TIME (Temporal aspects that affect how the function is carried out (constraint, resource). Background function Foreground function Potential variability Actual variability Timing Precision Elaborated Function type Human Tech. Org. 41

42 For hver funktion bør man beskrive følgende felter: Funktionens navn. Her er det vigtigt at finde et kort og tydeligt navn, men samtidigt tænke på, at navnet skal beskrive en aktivitet, dvs. noget, som sker. Beskrivelse af funktionen. Dette felt er nærmest at betragte som en kommentar. Her kan man beskrive funktionen i flere detaljer samt redegøre for de øvrige oplysninger som haves. Denne beskrivelse kan være så lang eller kort, som man ønsker. Den kan f.eks. være nyttig for at forklare for andre, hvad der sker i denne funktion. Her beskrives også hvem der udfører funktionen ikke som individ, men som organisatorisk rolle. Derefter følger seks felter, som svarer til Input, Output, Forudsætning, Ressource, Kontrol, og Tid. Hvert af disse beskrives i det omfang, det er nødvendigt, og i det omfang, oplysninger haves (se ovenfor). En funktion kan have flere end et Input, Output, Forudsætning, osv. Det kan være praktisk at anvende et forud designet regneark til at beskrive de enkelte felter. 18 Et eksempel er vist i Figur 11. I Figur 11 er der, ud over beskrivelsen af funktionen og dens aspekter, også afsat plads til at beskrive, om der er tale om en forgrunds- eller baggrundsfunktion, hvilken potentiel variabilitet som forventes, og af hvilken type funktionen er. Det vil sige, om den udføres af personer, af teknologi, eller af en del af organisationen. Den første funktion Når man skal udvikle en FRAM model af et forløb, er et uundgåeligt spørgsmål, hvor man skal begynde. Svaret er, at man i princippet kan begynde hvor som helst. Grunden til dette er, at metoden i sig selv sikrer, at modellen bliver komplet, uanset hvilket udgangspunkt der tages. Når dette er sagt, så kan det i praksis være en god ide at begynde med en funktion som anses for væsentlig for hele forløbet. I de valgte eksempel kunne det være <Reagere på prøvesvar>. Reagere på prøvesvar Beskrivelse af funktionen Funktionens navn er <Reagere på prøvesvar>. Beskrivelsen er som følger: Den praktiserende læge modtager og vurderer mundtlige eller skriftlige informationer om patienten. Informationerne er opstået på baggrund af prøver, undersøgelser eller samtaler foretaget udenfor praksis. Den praktiserende læge tager stilling til eventuel handling på baggrund af sin vurdering. 18 Det er selvfølgeligt også muligt at lave en enkel database. 42

43 Som det fremgår af denne beskrivelse, udføres <Reagere på prøvesvar> af den praktiserende læge. Beskrivelse af de seks aspekter og variabiliteten I nedenstående Tabel 4 er resultaterne fra et interview med en praktiserende læge blevet anbragt, så de passer med de seks aspekter af funktionen <Reagere på prøvesvar>. Dette kan danne udgangspunkt for en mere formel beskrivelse af funktionen. Tabel 4. Input Prøvesvar Svar går direkte ind i elektronisk indbakke. Svar flyttes af kollega over til indbakken hos den læge, der kender patienten bedst, eller som har bestilt undersøgelsen. (Svar kommer automatisk til den læge, der sidst har set patienten. Det kan være en anden end patientens sædvanlige læge eller den, der har bestilt undersøgelsen). Håndtering af arbejdspres, herunder mulighed for, at svaret kan læses som»noget, der skal reageres på«(fx ved travlhed, forstyrrelser, usystematiske og lange notater fra sygehus). Kollega videresender fejl modtaget svar. Rekvirerede prøver De prøver, der er rekvireret som»haster«, eller hvor lægen på forhånd forventer der kommer et svar, som kræver handling. Små papirsedler fra sekretær eller egne huskesedler. Telefonisk kontakt fra sygehus Bestilling af opfølgende konsultation Patienten har bestilt opfølgende konsultation i praksis på sygehusets opfordring. Patienten har bestilt opfølgende konsultation i praksis på den praktiserende læges opfordring (i forbindelse med den kontakt, hvor undersøgelsen blev bestilt/ patienten blev henvist). Output Direkte kontakt V ed noget alvorligt; hurtig kontakt til patienten. Ved svar, der kræver handling (telefonsamtale eller indkaldelse). Indkaldelse af patient Indkaldelse af patient til opfølgende konsultation, hvis svaret ikke umiddelbart passer med klinikken. Viderehenvisning 43

44 Output Svar til patient og handling i forbindelse med næste kontakt i praksis (ikke alvorlige ting). Fejl modtaget svar videresendt fra kollega, Kollega videresender Ingen behov for handling (dette er også en form for svar). Variabilitet af output Forudsætninger Ressourcer Ikke angivet, men skal angives for typiske situationer og for hver form for output. Fungerende indbakke / IT EPJ EPJ bruges f.eks. til at skaffe øvrig information om patienten til brug for vurderingen. VISINFOSYD Kilder til viden om forløbsprogrammer og regionale aftaler ex. Forudgående kendskab til patienten Kontrol Indbakke er tom ved ugens afslutning Påmindelse fra pt Inddragelse af patienten i ansvaret for, at svar ikke overses (ved f.eks. at bede patienten stå for at booke opfølgende konsultation). Aftaler med kolleger ved ferie o.lign. Aftaler med kolleger om at holde øje med svar angående patienter på OBS-listen ved ferie eller lignende. Personlig OBS-liste (De prøver, der er rekvireret som»haster«, eller hvor lægen på forhånd forventer et svar, som kræver handling). Systematik Systematisk læsning af svar: 1) først diagnose og plan 2) resten læses eller skimmes afhængigt af, hvad der står under 1). Systematisk prioritering af rækkefølgen svarene læses i: 1) svar, hvor der på forhånd forventes at være noget handlingskrævende (patienter fra OBS-listen) 2) svar fra praktiserende speciallæger 3) Svar fra forløb eller undersøgelser, som ikke er bestilt i praksis læses sidst. Tid Konkurrerende aktiviteter Andet arbejde eller andre aktiviteter i eller udenfor praksis. Betyder, at målsætningen om, at indbakken er gennemset og tømt inden ugens afslutning, ikke altid kan overholdes. Beskrivelsen af funktionen kan gøres lidt enklere ved at bruge et FRAM regneark, som vist i Figur 12. Som man kan se, anføres kun aspektets navn. Den mere udførlige beskrivelse kan findes i det oprindelige materiale. 44

45 Figur 12. FUNCTION TITLE FUNCTION DESCRIPTION INPUT (That which activates the function and/or is used or transformed to produce the output. Constitutes the link to upstream functions.) Reagere på prøvesvar Udføres af praktiserende læge Prøvesvar Rekvirerede prøver Telefonisk kontakt fra sygehus Bestilling af opfølgende konsultation Output (That which is the result of the function. Constitutes the links to downstream functions.) Direkte kontakt til pt. Indkaldelse af pt. Viderehenvisning Svar til pt. Svar videresendt til kollega PRE-CONDITIONS (System conditions that must be fulfilled before a function can be carried out.) Fungerende indbakke / IT RESOURCES / EXECUTION CONDITIONS (That which is needed or consumed by the function when it is active (matter, energy, competence, software, manpower.) CONTROL (That which supervises or regulates the function. E.g. plans, procedures, guidelines or other functions.) EPJ VISINFO SYD Forudgående kendskab til pt. Tom indbakke ved ugens afslutning Påmindelse fra pt. Aftaler med kolleger ved ferie o. lign. Personlig OBS-liste Systematik TIME (Temporal aspects that affect how the function is carried out (constraint, resource). Konkurrerende aktiviteter Background function Foreground function Potential variability Actual variability Timing Precision Elaborated Function type Human Tech. Org. 45

46 For at få en hurtig oversigt over denne funktion, kan beskrivelsen gengives grafisk som vist i den følgende Figur 13. Figur [Fejl modtaget svar videresendt] [Andre aktiviteter] [Påmindelse fra pt.] [Aftaler med kolleger] [Tom indbakke fredag] [Prøvesvar] T C [Svar til pt] [Telefonkontakt fra sygehus] [Bestilt konsultation] I Reagere på prøvesvar O [Indkaldelse af pt.] [Direkte kontakt til sygehus] [Rekvirerede prøver] P R [EPJ] [Viderehenvisning af pt] [Fungerende indbakke / IT] [VISINFOSYD] [Kendskab til pt.] Beskrivelsen af denne funktion viser, at yderligere et antal funktioner må beskrives for at forstå, hvordan <Reagere på prøvesvar> kan fungere og variere. Grundprincippet i FRAM er, at hvert Input til et aspekt må være beskrevet som et Output fra en anden funktion. Hvis vi indledningsvis ser på Input til <Reagere på prøvesvar>, så kan vi slutte os til følgende: Der må være en funktion, hvis Output er [Prøvesvar] Der må være en funktion, hvis Output er [Telefonkontakt fra sygehus] Der må være en funktion, hvis Output er [Bestilt konsultation] Der må være en funktion, hvis Output er [Rekvirerede prøver] 46

47 Hvis vi gennemgår de andre aspekter på den samme måde, er det umiddelbare resultat, at der i alt må beskrives 13 funktioner for at sikre, at alle aspekter beskrevet for <Reagere på prøvesvar> svarer til et Output fra en anden funktion. 19 Dertil kommer, at <Reagere på prøvesvar> har fire Output, nemlig [Svar til patient], [Indkaldelse af patient], [Direkte kontakt til sygehus], og [Videre henvisning af patient]. Ethvert Output må i en FRAM model svare til et input til andre funktioner, det vil sige Input, Forudsætning, Ressource, Kontrol, eller Tid. Det betyder, at der ud over de (maksimalt) 13 funktioner omtalt foroven, også må beskrives (maksimalt) fire funktioner som er»modtagere«af de fire Outputs fra <Reagere på prøvesvar>.»bredde før dybde«et grundprincip for FRAM som metode er»bredde før dybde«. Det betyder, at det anbefales først at beskrive alle de funktioner, der er udgangspunkt for analysen, og først derefter at begynde at udvikle videre fra de enkelte funktioner. I dette tilfælde betyder det, at man skal vente med at beskrive de (maksimalt) 17 andre funktioner som <Reagere på prøvesvar> refererer til, og i stedet gå videre med den anden af de fem funktioner, som i udgangspunkt indgår i forløbet. Udrede patient Beskrivelse af funktionen Funktionens navn er <Udrede patient>. Beskrivelsen er som følger: Kirurgisk afdeling modtager elektive og akutte patienter. Elektive patienter (herunder Cancer udredningspatienter) henvises primært fra egen læge. En læge på kirurgisk afdeling visiterer herefter patienten. Efter udredning sendes epikrise til praktiserende læge, og patienten kan få mundtligt eller skriftligt svar alt efter forløb. Som det fremgår af denne beskrivelse, udføres <Udrede patient> af den kirurgiske afdeling. Der er ikke i den indledende beskrivelse specificeret nærmere roller. Beskrivelse af de seks aspekter og variabiliteten Funktionen beskrives på samme måde som den foregående. For ikke at bruge for megen plads, gengives her kun det resulterende FRAM regneark (Figur 14) og den tilsvarende grafiske repræsentation (Figur 15). 19 Det betyder dog ikke, at der nødvendigvis må beskrives 13 nye funktioner. I mange tilfælde findes et Output allerede beskrevet for en eksisterende funktion. Der er således tale om maksimalt 13 funktioner. 47

48 Figur 14. FUNCTION TITLE FUNCTION DESCRIPTION INPUT (That which activates the function and/or is used or transformed to produce the output. Constitutes the link to upstream functions.) Udrede patient Udføres af kirurgisk afdeling Elektiv henvisning Akut henvisning Henvisning fra praktiserende læge Ambulant besøg / kontrol Henvisning fra andre sygehuse Output (That which is the result of the function. Constitutes the links to downstream functions.) Prøvesvar (røntgen, patologi) Epikrise Viderehenvisning PRE-CONDITIONS (System conditions that must be fulfilled before a function can be carried out.) Medicinliste RESOURCES / EXECUTION CONDITIONS (That which is needed or consumed by the function when it is active (matter, energy, competence, software, manpower.) CONTROL (That which supervises or regulates the function. E.g. plans, procedures, guidelines or other functions.) Oplysninger om pt. Bemanding Lægers egne systemer Retningslinier for den gode epikrise Sekretærens arbejdsrutiner TIME (Temporal aspects that affect how the function is carried out (constraint, resource). Antal pt. Cancerudredning Background function Foreground function Potential variability Actual variability Timing Precision Elaborated Function type Human Tech. Org. 48

49 Figur 15 Figur 15. [Cancer-udredning] [Sekretærens rutiner] [Lægers egne systemer] [Den gode epikrise] [Antal patienter] [Epikrise] [Elektiv henvisning] T C [Prøvesvar røntgen] [Akut henvisning] [Henvisning fra praktiserende læge] I Udrede patient [Henvisning fra andre sygehuse] P R [Ambulant besøg / kontrol] [Medicinliste] [Bemanding] O [Oplysninger om pt] [Prøvesvar patologi] [Videre henvisning] De næste funktioner I det eksempel, som benyttes her, var yderligere tre centrale funktioner definerede fra starten, nemlig: <Undersøge patient: røntgen> <Undersøge patient: nuklearmedicin> <Visitere patienter som henvises til vurdering på Rygcenter> Udviklingen af en FRAM model for behandlingen af en rygpatient bør derfor fortsætte med de resterende centrale funktioner. Det foregår på samme måde som for <Reagere på prøvesvar>, men det vil tage for meget plads at gengive resultaterne her. 4.2 Hvordan skal man fortsætte? Når man har beskrevet de funktioner, som indledningsvis blev anset for nødvendige for undersøgelsen, er det naturlige spørgsmål, hvordan man skal fortsætte. Som allerede diskuteret i forbindelse med <Reagere på prøvesvar>, er fremgangsmåden følgende: Sørg for at beskrive de funktioner, som er nødvendige for at alle aspekter, beskrevet for {Input Forudsætning Ressource Kontrol Tid} har en oprindelse (dvs. er beskrevet som Output fra andre funktioner). Sørg for at beskrive de funktioner, som er nødvendige for at Output fra en funktion optræder som et aspekt af en anden funktion, dvs. som {Input Forudsætning Ressource Kontrol Tid}. 49

50 Tommelfingerreglen er, at ingen aspekter må være»løse«i den forstand, at de enten ikke har en beskrevet oprindelse (kilde) eller en beskrevet destination (modtager). Det kan umiddelbart virke uoverkommeligt at skulle beskrive en masse nye funktioner. Ikke mindst fordi nogle af de nye funktioner vil være beskrevet med aspekter, som igen kræver et antal nye funktioner. Det er her, at betydningen af at skelne mellem forgrunds- og baggrundsfunktioner viser sig. For baggrundsfunktioner behøver man nemlig kun at beskrive Output. Det betyder, at baggrundsfunktioner fungerer som afslutningen på udviklingen af funktioner, således at den ikke fortsætter i det uendelige. Det viser sig i praksis også hurtigt, at nye funktioner ofte deler aspekter med allerede beskrevne funktioner, dvs. at aspekterne allerede forekommer i modellen. Alt i alt vil det derfor snart vise sig, at modellen indeholder et begrænset antal funktioner, og som regel flere baggrundsfunktioner end forgrundsfunktioner. Hovedreglen ved udviklingen af modellen er hele tiden»bredde før dybde«. Man skal med andre ord undgå at gå i dybden med de enkelte funktioner, før man har beskrevet alle funktioner i samme grad af detaljer. Proceduren er vist i Figur 16, og kan beskrives på følgende måde: Trin 1 Først beskrives hver af de (fem) centrale funktioner. For hver funktion beskrives de aspekter, der anses for at være nødvendige eller relevante. Det er ikke noget krav, at man beskriver alle aspekter for hver funktion. Man kan begynde med at beskrive de aspekter, som gruppen anser for at være nødvendige for at forstå funktionen. Det er muligt på et senere tidspunkt at revidere denne beskrivelse ved enten at tilføje eller fjerne aspekter. Trin 2 Når det første sæt funktioner på denne måde er beskrevet, laves en liste over alle de aspekter, der indgår i beskrivelsen af funktionerne. Der er to formål med at lave denne liste. For det første kan den bruges til at sikre sig, at aspekterne kaldes det samme, hvis de henviser til det samme. Det vil sige, at der ikke er forstyrrende stavefejl eller andre forskelle i navnene. For det andet kan den bruges til at sikre sig, at der ikke er nogen»løse«aspekter, jf. Trin 3. Trin 3 Listen over aspekterne gennemgås derefter, aspekt for aspekt. For hvert aspekt på listen undersøges det, om aspektet er knyttet til (beskrevet for eller forankret ved) mindst to funktioner. Der bruges følgende regler: (1) Hvis et aspekt forekommer som Output for en funktion, må det også forekomme som et af {Input, Forudsætning, Ressource, Kontrol, Tid} for mindst en anden funktion. Hvis et aspekt forekommer som 50

51 et af {Input, Forudsætning, Ressource, Kontrol, Tid} for en funktion, må det også forekomme som Output for mindst en anden funktion. Trin 4 For hvert aspekt som ikke opfylder kravet i Trin 3, beskrives den eller de funktioner, som er nødvendige for at forankre det pågældende aspekt. Dette vil resultere i definitionen af yderligere et antal funktioner. For baggrundsfunktionerne går udviklingen ikke længere, fordi en baggrundsfunktion kun har Output beskrevet. (Tilsvarende gælder for baggrundsfunktioner, der repræsenterer dræn; i disse tilfælde er kun Input beskrevet.) For forgrundsfunktionerne beskrives de relevante aspekter på samme måde som i Trin 1. Trin 5 Afprøvningen/kompletteringen af modellen gentages nu fra Trin 2. Udviklingen af modellen ophører, når der i Trin 4 ikke er flere funktioner, der skal beskrives. Figur 16. Find og navngiv de væsentlige funktioner. Disse er som udgangspunkt forgrundsfunktioner. Beskriv aspekterne for hver af disse funktioner. For forgrundsfunktioner beskrives alle nødvendige aspekter. For baggrundsfunktioner beskrives kun Output. Opret de funktioner, som mangler. Lav en liste med alle de definerede aspekter. Gå gennem aspekterne et for et. NEJ Kan alle aspekter»parres«med en funktion? JA Modellen er færdig og klar til brug. 51

52 4.3 Hvornår er modellen færdig? Som tidligere omtalt kan man i princippet begynde udviklingen af en FRAM model med en hvilken som helst funktion. Forklaringen på det er princippet om, at et aspekt altid må have både en oprindelse (en kilde) og en modtager (en destination). Det betyder, at metoden i sig selv sørger for, at alle nødvendige funktioner efterhånden beskrives. Beskrivelsen af en hændelse eller et forløb vil med andre ord automatisk være komplet. Når udviklingen af modellen er afsluttet, er det derfor også muligt at bekræfte, at modellen er komplet. Det kan ske ved ganske enkelt at opføre alle aspekter i en liste, og derefter undersøge om hvert aspekt er beskrevet dels som Output af (mindst) en funktion, og dels som {Input Forudsætning Ressource Kontrol Tid} af en eller flere andre funktioner. Hvis dette ikke er tilfældet, kan det enten skyldes, at man har overset et aspekt, eller at man har givet det samme aspekt to forskellige betegnelser (det vil sige, at beskrivelsen er inkonsistent). Det sidste understreger betydningen af at bruge korte men tydelige formuleringer. Hvis det ved denne fremgangsmåde viser sig, at der er aspekter, som enten ikke er blevet færdiggjort, eller som er beskrevet flertydigt, må dette selvfølgelig rettes. Det betyder i praksis, at fremstillingen af en FRAM model sker gennem et antal gentagelser og som regel ganske få. Når man på denne måde har sikret sig, at modellen er komplet og konsistent, kan man anse udviklingen for afsluttet, i det mindste i første omgang. Når man først begynder at bruge modellen, viser det sig ofte, at der er detaljer, der er blevet overset, eller at nogle baggrundsfunktioner i virkeligheden skulle have været forgrundsfunktioner. En FRAM model vil derfor naturligt forekomme i et antal versioner, hvor hver version er en forbedring af den foregående. 52

53 Kapitel 5. Hvordan anvender man en FRAM model? Den principielle anvendelse af en FRAM model som basis for en hændelsesanalyse eller en risikoanalyse er allerede blevet kort omtalt. Selv om denne vejledning af pladshensyn ikke kan gå i detaljer med disse to anvendelsesområder, er det nødvendigt at komme med nogle korte bemærkninger om to grundelementer i begge analyser, nemlig en beskrivelse af variabiliteten og en beskrivelse af, hvordan funktioner kan afhænge af hinanden. Hvordan beskrives variabiliteten? Karakterisering af variabilitet er i FRAM udgangspunktet for at forstå, hvordan funktioner kan blive sammenkoblede, og hvordan dette kan føre til uventede resultater. Det betyder, at analysen fokuserer mere på variabiliteten af Output fra funktioner end på variabiliteten af funktioner som sådan. Sagt på en anden måde, hvis udførelsen af en funktion er variabel uden at det viser sig i Output, så er variabiliteten af funktionen i princippet uden interesse. Men hvis Output fra en funktion er variabelt, så er variabiliteten af funktionen af interesse, fordi det er den, der bestemmer kvaliteten og dermed variabiliteten af funktionens Output. Der kan i princippet være tre forskellige årsager til variabilitet i Output fra en funktion. Variabiliteten i Output kan være et resultat af variationer i selve funktionen, dvs. en konsekvens af funktionens egenart eller karakter. Dette kan betragtes som en slags intern eller endogen variabilitet. Variabiliteten i Output kan skyldes variabilitet i omgivelserne (arbejdsmiljøet), det vil sige de betingelser, under hvilke funktionen udføres. Dette kan betragtes som en slags ekstern eller exogen variabilitet. Variabiliteten i Output kan endelig være et resultat af påvirkninger fra opstrøms funktioner, hvor Output fra opstrøms funktioner (der fungerer som Input, Forudsætning, Ressource, Kontrol, eller Tid) kan være variabelt. Denne form for kobling er grundlaget for funktionel resonans og kan derfor kaldes for en funktionel opstrøms-nedstrøms kobling. Variabiliteten af en funktion kan selvfølgelig også skyldes kombination af de tre betingelser, dvs. intern variabilitet, ekstern variabilitet og opstrøms-nedstrøms koblinger. Variabiliteten af forskellige typer af funktioner FRAM antager, at der er karakteristiske forskelle på variabiliteten af teknologiske funktioner, menneskelige funktioner og organisatoriske funktioner Denne opdeling svarer til den traditionelle opdeling i M (menneske), O (organisation), og T (teknologi). 53

54 Teknologiske funktioner udføres af forskellige typer af»maskiner«, som i de fleste tilfælde også indeholder informationsteknologi. Da teknologiske funktioner er designet til at være både forudsigelige og pålidelige, er grundantagelsen i FRAM, at de ikke har nogen væsentlig variabilitet. Dette betyder selvfølgelig ikke, at teknologiske funktioner ikke kan være variable, men kun at de i FRAM i almindelighed anses for at være stabile, medmindre der er anledning til at tro andet. Menneskelige funktioner udføres enten af enkeltpersoner eller af små grupper (formelle eller uformelle). En FRAM analyse antager, at variabiliteten af menneskelige funktioner har en høj frekvens og store udslag (amplitude). Den høje frekvens betyder, at en præstation kan ændre sig hurtigt, nogle gange fra øjeblik til øjeblik. Mennesker reagerer meget hurtigt på ændringer, ikke mindst i samspillet med andre. Det store udslag betyder, at forskelle i præstation kan være store, undertiden dramatisk store på godt og ondt. Variabiliteten afhænger af mange forskellige ting, herunder arbejdsvilkårene. Et af formålene med FRAM er at udarbejde en klar og omfattende beskrivelse af sådanne afhængigheder. Organisatoriske funktioner udføres af grupper, nogle gange meget store grupper, hvor aktiviteterne er eksplicit organiserede. Selv om organisationer naturligvis består af mennesker, adskiller organisatoriske funktioner sig fra menneskelige funktioner ved, at de beskrives og defineres på et andet niveau. De er således funktioner af systemet i sig selv, snarere end af de mennesker, der arbejder i systemet. En FRAM analyse antager, at frekvensen af organisatorisk variabilitet typisk er lav, men at amplituden er stor. Den lave frekvens betyder, at den organisatoriske ydelse ændres langsomt, men at forskellene i resultater, dvs. amplituden, kan være store. Endogen variabilitet Den endogene variabilitet kan forekomme for såvel teknologiske, som menneskelige og organisatoriske funktioner. Teknologiske funktioner kan være variable, fordi de»indre funktioner«er komplicerede, eller med andre ord fordi det ikke rigtig vides, hvordan teknologien fungerer. Dette kan være tilfældet for rene»mekaniske«systemer, og det er helt klart tilfældet for software systemer. Variabilitet kan også skyldes slid og den uundgåelige nedbrydning af mekaniske komponenter. Bortset fra dette er der ingen andre større kilder til intern variabilitet for teknologiske funktioner. Menneskelige funktioner kan være variable på grund af fysiologiske og psykologiske faktorer. (Sociale faktorer betragtes i FRAM som en ekstern kilde til variabilitet.) Blandt de fysiologiske faktorer er træthed og stress (arbejdsbelastning) nok de mest undersøgte. Andre faktorer er døgnrytme, trivsel (eller sygdom), forskellige fysiologiske behov, midlertidige funktionsbegrænsninger mv. Der er mange forskellige psykologiske faktorer, som kan påvirke udførelsen af en opgave; fx personlighedstræk, kognitiv stil, systematiske fejl i vurdering og beslutningstagen osv. 54

55 Organisatoriske funktioner kan være variable af flere årsager, såsom hvor effektiv kommunikationen er, autoritetsgradienten, tillid, organisationskultur, organisatorisk hukommelse osv. Exogen variabilitet Den exogene variabilitet kan ligeledes findes for såvel teknologiske, som menneskelige og organisatoriske funktioner. Teknologiske funktioner kan være variable på grund af forkert vedligeholdelse, på grund af uhensigtsmæssige driftsforhold, især hvis de overstiger designspecifikationer, fejl i måleinstrumenter og følere, overbelastning, forkert brug osv. Menneskelige funktioner kan være variable på grund af sociale faktorer som gruppepres, uudtalte normer og forventninger, og på grund af organisatoriske faktorer som forventninger, normer, krav, kommercielle hensyn, politiske hensyn mv. For organisationer kommer den største ydre påvirkning fra omgivelserne, de fysiske såvel som de retslige (lovgivning) og de kommercielle. Omgivelserne omfatter kundernes krav eller forventninger, disponible ressourcer og reservedele, lovgivningsmæssige rammer, kommercielle pres, tilsynsførende myndigheder samt vejr og andre af naturens luner. Selv denne korte diskussion har vist, at der kan være mange grunde til, at funktioner er variable i den måde de udføres på, og at ingen type funktion er immun. For enkeltheds skyld er grundantagelserne i FRAM, at teknologiske funktioner er relativt stabile, at menneskelige funktioner kan variere med høj frekvens og høj amplitude, og at organisatoriske funktioner kan variere med lav frekvens, men høj amplitude. Som følge af dette er det variabiliteten af menneskelige og organisatoriske funktioner, som er af størst interesse, uanset om det er den potentielle eller reelle variabilitet. Variabilitetens fremtrædelsesformer (manifestationer) Når man har fundet (nogle af) de mulige interne og eksterne kilder til variabilitet, er det næste skridt at beskrive, hvordan variabiliteten vil vise sig i funktionens Output. Dette er vigtigt, dels fordi det udgør basis for at kunne observere eller detektere variabiliteten, og dels fordi det giver en ide om, hvordan variabiliteten kan påvirke nedstrøms funktioner. Variabilitetens fremtrædelsesformer kan i princippet beskrives på to forskellige måder, en enkel og en mere detaljeret. Den enkle måde er effektiv, men ikke så grundig, mens den detaljerede måde er mere grundig, men ikke så effektiv. I praksis kan det anbefales at begynde på den enkle måde, og så senere gå mere i detaljer, hvis der er behov for det. Den enkle beskrivelse karakteriserer variabilitet i Output med hensyn til tid og præcision. 55

56 Med hensyn til tid, kan et Output forekomme for tidligt, til tiden, for sent, eller slet ikke. (Den sidste kategori,»slet ikke«, kan ses som en ekstrem version af»for sent«. Konsekvensen kan være, at Output enten slet ikke forekommer, eller at det forekommer så sent, at det ikke er til nogen nytte.) Et Output, der ikke foreligger til tiden, vil kunne påvirke variabiliteten af nedstrøms funktioner på flere forskellige måder. Eksempel <Undersøge patient: røntgen> Ved akutte svar til praktiserende læge efter lukketid, kontaktes vagtlægen og meddelelse sendes til den praktiserende læge. Det kan betyde, at den praktiserende læge modtager svaret for sent. Eksempel <Undersøge patient: nuklearmedicin> Undersøgelser, der skal konfereres med andre læger gemmes til næste dag, og der afgives evt. fælles svar. Det kan betyde, at prøvesvaret bliver forsinket. Med hensyn til præcision, kan et Output være præcist, acceptabelt, eller upræcist (Mere detaljerede former for skelnen kan naturligvis også anvendes). Fordi Output refererer til koblingen mellem opstrøms-og nedstrøms funktioner, er betydningen af præcision ikke absolut, men relativ. Et Output betegnes som præcist, hvis det opfylder behovene i en nedstrøms funktion. Et præcist Output vil derfor ikke øge variabiliteten af nedstrøms funktioner og kan endog muligvis reducere den. Et acceptabelt Output vil kunne anvendes af en nedstrøms funktion, men vil kræve en vis tilpasning eller variabilitet af den modtagende funktion. Et acceptabelt Output kan derfor øge variabiliteten af nedstrøms funktioner. Et upræcis Output er ufuldstændigt, forkert, tvetydigt eller på anden måde vildledende. Et upræcist Output kan ikke bruges som det foreligger, men kræver fortolkning, verificering, en sammenligning med andre oplysninger eller med situationen som sådan. Dette er alt sammen noget, der kan øge variabiliteten i den modtagende funktion, typisk ved at forbruge ressourcer og tid, der kunne og burde have været anvendt til andre formål. Eksempel <Udrede patient> Hvorvidt der reageres på»ekstra fund«fra røntgenundersøgelser kommer an på hvad røntgenlæger skriver, og om læge finder det relevant at reagere. Output kan derfor være upræcist. 56

57 Eksempel <Undersøge patient: røntgen> Svaret afsluttes med en konklusion variation fra to linjer til en A4-side. Output kan derfor være upræcist og/eller ufuldstændigt. Den detaljerede beskrivelse karakteriserer variabilitet i Output med hensyn til tid (for tidligt, for sent) og varighed (for kort, for længe), styrke (for svagt, for stærkt), distance (for langt, for kort) og retning (forkert retning), objekt eller genstand (forkert objekt, forkert modtager), samt sekvens eller rækkefølge (af to eller flere delaktiviteter). Potentiel og reel variabilitet Den potentielle variabilitet beskriver, hvad der muligvis kan ske under forskellige omstændigheder. Den reelle variabilitet beskriver, hvad man realistisk må forvente vil ske under givne betingelser (antagelser om eksisterende krav, muligheder og ressourcer), dvs. i relation til en realisering af modellen. For teknologiske funktioner kan man antage, at den potentielle variabilitet ikke bliver til reel variabilitet, så længe funktionsbetingelserne svarer til designantagelserne. For både menneskelige og organisatoriske funktioner må man gå ud fra, at den potentielle variabilitet som regel vil vise sig som reel variabilitet, med mindre arbejdsforholdene er helt ideelle. Hvordan den reelle variabilitet vil udtrykke sig, afhænger i meget høj grad af realiseringen, dvs. detaljerne i den situation, for hvilken modellen analyseres. For en hændelsesanalyse vil der ofte være ganske detaljeret information. For en risikoanalyse afhænger graden af detaljer af de antagelser, der gøres for det pågældende scenario. Det er vigtigt at skelne mellem den potentielle og reelle variabilitet i beskrivelsen af, hvordan variabilitet eller følgerne af variabilitet kan udbrede sig, specifikt hvordan variabilitet kan påvirke nedstrøms funktioner. En analyse af kobling og resonans bør kun foretages for en realisering af en model, og dermed for den reelle variabilitet, som altid vil være en delmængde af den potentielle variabilitet. Af denne grund er det klogt at begynde med at beskrive den potentielle variabilitet for at undgå at blive unødigt begrænset af at have et bestemt forløb i tankerne. Afhængighed mellem funktionerne Udførelsen af en arbejdsopgave består dels af flere delopgaver eller aktiviteter, her kaldet funktioner, og dels af et samarbejde mellem forskellige personer og en koordinering af deres arbejdsopgaver. Hver enkelt aktivitet, dvs. den funktion en person udfører, må tilpasses forholdene som beskrevet ovenfor. Men hver enkelt funktion udgør samtidig en del af vilkårene for andre funktioner. 57

58 Det betyder, at den tilpasning som en person foretager på et bestemt tidspunkt, bliver en del af variabiliteten (af omgivelserne) for andre funktioner, uanset om de udføres af andre personer eller af personen selv. For en efterfølgende funktion er tilpasningen i den foregående funktion i udgangspunktet ikke med sikkerhed kendt, selv om den sjældent er helt uventet eller usædvanlig. I praksis vil der være en forventning om, at den foregående funktion er blevet udført i henhold til den etablerede praksis. Tilpasningen i en foregående funktion vil således udgøre en variabilitet, som påvirker tilpasningen i de efterfølgende funktioner. Hvis en arbejdsgang er veletableret med begrænset organisatorisk variabilitet (som f.eks. ændringer i arbejdsopgaver, ressource, personale, osv.), så vil variabilitet og tilpasninger efter nogen tid svare til hinanden, og på denne måde danne basis for et effektivt dagligt arbejde. I modsat fald vil der let kunne opstå uventede og uønskede situationer. De foregående afsnit har kort gjort rede for den interne (endogene) og eksterne (exogene) variabilitet, både hvordan den kan forekomme, og hvordan den kan påvirke nedstrøms funktioner og dermed enten forstærke eller dæmpe anden variabilitet. Den vigtigste form for variabilitet er den, der opstår som en konsekvens af opstrøms-nedstrøms koblinger eller sammenhænge, 21 specielt de faktiske sammenhænge der beskrives af en realisering af modellen. Da variabiliteten i praksis beskrives for Output af en funktion, vil der i princippet være fem forskellige koblinger, nemlig mellem Output og Forudsætninger, Output og Ressourcer, Output og Kontrol, Output og Tid, og endelig mellem Output og Input. Hver af disse beskrives kort i det følgende. For hver kobling sammenfattes de mulige påvirkninger i en tabel, hvor der anvendes følgende symbolik: [V Ω] betyder, at variabiliteten mest sandsynligt vil øges. [V ] betyder, at variabiliteten mest sandsynligt vil mindskes. [Vµ] betyder, at variabiliteten mest sandsynligt vil forblive uændret. Kobling mellem Output og Forudsætninger Forudsætningerne beskriver forhold eller tilstande, som skal eksistere før en funktion kan udføres. Forudsætninger etableres som Output fra en eller flere opstrøms funktioner. Ofte vil en funktion ikke kunne udføres, medmindre Forudsætningerne er etableret. Et første trin af funktionen kan således være at kontrollere, om Forudsætningerne er opfyldt. Denne kontrol kan i sig selv være variabel eller evt. helt springes over, fordi det antages, at situationen er, som den plejer at være. 21 Dette kaldes i den formelle beskrivelse af FRAM for funktionelle opstrøms-nedstrøms afhængigheder. 58

59 Hvis det Output, som etablerer Forudsætningen er variabelt, kan det øge variabiliteten af nedstrøms funktioner. Det kan for eksempel være nødvendigt at vente, indtil Forudsætningen er blevet etableret (tab af tid), at verificere eller fortolke oplysningerne (spild af tid og / eller ressourcer), eller at begynde, selv om Forudsætningen ikke er opfyldt af hensyn til behovet fra andre funktioner. Disse og andre muligheder er gengivet i tabel 5. Tabel 5. Variabilitet i opstrøms Output Mulige konsekvenser via nedstrøms funktioners er Tid For tidligt Fejlagtig start fordi Forudsætningen overses [VΩ ] Til tiden Mulig dæmpning [V ] For sent Muligt tidstab [VΩ ] Slet ikke Øget improvisation, muligt tidstab [VΩ ] Præcision Upræcist Muligt tidstab (afklaring); mulighed for misforståelser [VΩ ] Acceptabel Præcist Ingen ændring [Vµ] Mulig dæmpning [V ] Kobling mellem Output og Ressourcer Ressourcer og Udførelsesbetingelser skal være til stede, når en funktion udføres. Ressourcer forbruges under udførelsen, og skal derfor løbende opfyldes eller genetableres, som Output fra en opstrøms funktion, der typisk beskrives som en forgrundsfunktion. For så vidt angår Udførelsesbetingelser er det i almindelighed rimeligt at antage, at de er stabile mens funktionen udføres, dvs. at de kan beskrives som Output fra baggrundsfunktioner. I visse tilfælde kan en manglende Ressource eller Udførelsesbetingelse føre til søgning efter alternativer. Dette vil medføre et uforudset tidsforbrug og kunne medføre, at funktionens Output bliver forsinket. Hvis et alternativ ikke passer helt (f.eks. i mængde eller funktionalitet), så kan dette også medføre øget variabilitet i funktionens Output. Omvendt vil fuldt tilstrækkelige Ressourcer eller Udførelsesbetingelser kunne dæmpe funktionens variabilitet. 59

60 Tabel 6. Variabilitet i opstrøms Output Mulige konsekvenser via nedstrøms funktioners Ressourcer Tid For tidligt Ingen virkning [Vµ] eller muligvis dæmpning [V ] Til tiden Mulig dæmpning [V ] For sent Muligt tidstab [VΩ ] Slet ikke Andre fremgangsmåder tages i brug, hvis muligt; improvisation [VΩ ] Præcision Upræcist Utilstrækkelig eller reduceret funktionalitet [VΩ ] Acceptabel Præcist Ingen virkning [Vµ] Mulig dæmpning [V ] Kobling mellem Output og Kontrol Kontrol repræsenterer det, som regulerer hvordan en funktion udføres. Variabilitet i det Output fra en opstrøms funktion, som udgør Kontrollen for en nedstrøms funktion, vil selvsagt kunne medføre en større variabilitet i Output fra denne. Hvis Kontrol er standardiseret, f.eks. som en instruktion eller en procedure, er det rimeligt at beskrive Kontrol som et resultat (Output) af en baggrundsfunktion. Men hvis Kontrollen er mere aktiv og adaptiv, vil det være mere hensigtsmæssigt at beskrive den som et resultat (Output) af en forgrundsfunktion. De tidsmæssige aspekter af Kontrol påvirker om den er til rådighed, når det er nødvendigt. Dette gælder f.eks. for instruktioner som formidles verbalt i stedet for skriftligt. Ligeledes kan indholdet af Kontrollen være upræcist eller utilstrækkeligt. Det kan medføre et øget brug af ressourcer især tid for at bekræfte indholdet eller hente yderligere oplysninger. 60

61 Tabel 7. Variabilitet i opstrøms Output Mulige konsekvenser via nedstrøms funktioners Kontrol Tid For tidligt Kontrol kan bliver overset [VΩ ] Til tiden Ingen virkning, muligvis dæmpning [V ] For sent Default eller ad hoc kontrol bruges i stedet [VΩ ] Slet ikke Alternative kontrol opsøges, hvis muligt [VΩ ] Præcision Upræcist Acceptabel Præcist Forsinkelser, trade-off mht præcision og nøjagtighed [VΩ ] Ingen virkning [Vµ] Mulig dæmpning [V ] Kobling mellem Output og Tid Tid repræsenterer de forskellige relationer, der kan påvirke, hvordan en funktion udføres. Det kan f.eks. være den tid, der er til rådighed, det tidspunkt hvor en funktion kan begynde eller må være færdig, krav til synkronisering med andre funktioner, osv. Forskellen mellem Tid og Kontrol er, at Tid har noget at gøre med, hvornår en funktion udføres, mens Kontrol har noget at gøre med, hvordan en funktion udføres. Tid er også vigtig for at forstå, hvordan funktioner kan kobles eller afhænge af hinanden. (Begreberne opstrøms og nedstrøms er f.eks. definerede i relation til tiden). Tid kan påvirke, hvordan en funktion udføres og dermed også variabiliteten af dens Output. For lidt tid vil typisk medføre kompromiser i den måde, hvorpå funktionen udføres. Det gælder, uanset om det skyldes, at en funktion startes for sent, at den skal være afsluttet for tidligt, eller fordi det går langsommere end sædvanligt. (Dette kan beskrives ved hjælp af ETTO princippet) ETTO er et akronym, som står for Efficiency-Thoroughness Trade-Off 61

62 Tabel 8. Variabilitet i opstrøms Output Mulige konsekvenser via nedstrøms funktioners Tid Tid For tidligt For tidlig start, forkert timing [VΩ ] Til tiden For sent Slet ikke Ingen virkning, muligvis dæmpning [V ] Forsinkelse; problemer med koordinering; Brug af genveje; mangel på synkronisering [VΩ ] Utidig eller forkert start eller afslutning af funktionen [VΩ ] Præcision Upræcist Øget variabilitet [VΩ ] Acceptabel Præcist Ingen virkning [Vµ] Mulig dæmpning [V ] Kobling mellem Output og Input Input repræsenterer både det, som starter en funktion og det, som anvendes eller ændres af funktionen. I det første tilfælde vil en funktion kunne starte for tidligt eller for sent, hvilket kan føre til synkroniserings- og koordineringsproblemer. Udførelsen af en funktion kan f.eks. tilpasses, så der spares lidt tid. Dette kan på den ene side muligvis absorbere en forsinkelse, men vil på den anden side også kunne øge variabiliteten af Output, f.eks. med hensyn til præcision. Hvis Input bruges eller behandles af funktionen, så vil variabel præcision være vigtigere end variabel timing. Hvis et Input er upræcist, vil det både kunne medføre forsinkelser og lede til forkerte resultater. 62

63 Tabel 9. Variabilitet i opstrøms Output Mulige konsekvenser via nedstrøms funktioners Tid Tid For tidligt For tidlig start; Input kan blive overset [VΩ ] Ingen virkning, muligvis dæmpning [V ] Til tiden Ingen virkning, muligvis dæmpning [V ] For sent Forsinkelse, som kan lede til brug af genveje [VΩ ] Slet ikke Funktionen udføres ikke eller er meget forsinket [VΩ ] Præcision Upræcist Tab af tid, tab af nøjagtighed, misforståelser [VΩ ] Acceptabel Ingen virkning [Vµ] Præcist Mulig dæmpning [V ] Koblinger mellem opstrøms og nedstrøms funktioner gør det muligt at beskrive, hvordan variabiliteten af funktionerne kan påvirke andre funktioner uden at gøre brug af lineære årsags-virknings sammenhænge. Det skyldes blandt andet at den måde, hvorpå en hændelse forløber, afhænger af hvordan situationen udvikler sig. En FRAM model beskriver de potentielle koblinger, og en realisering af modellen beskriver de reelle koblinger. 23 FRAM kan på denne måde forklare, dels hvordan hverdagens tilnærmede tilpasninger kan føre til uventede resultater, og dels hvordan non-lineære resultater kan opstå. I sin nuværende form er metoden mere kvalitativ end kvantitativ, men det er mest fordi der ikke findes almindeligt accepterede metoder til at udtrykke variabilitet numerisk. 23 Rigtigheden af dette afhænger naturligvis af, hvor omhyggeligt modellen er blevet udviklet, hvor præcist de indgående funktioner er blevet karakteriserede, og hvor realistiske realiseringerne er. Disse forhold gælder dog ikke kun for FRAM, men også for alle andre metoder som anvendes til sikkerhedsarbejde. 63

64 Kapitel 6. FRAM-metodens anvendelsesområder Formålet med en FRAM analyse er at beskrive, hvordan et system skal fungere for at opfylde sine mål (dvs. den daglige eller typiske funktion), og for at forstå, hvordan den eventuelle variabilitet af funktioner alene eller i kombination kan forhindre, at det lykkes. For at kunne gøre dette, er det nødvendigt først at opbygge en FRAM model af systemet og derefter at analysere en række scenarier eller realiseringer af denne model. Der findes mange forskellige metoder til hændelses- og risikoanalyser. Men næsten alle er beregnede til at anvendes på én bestemt måde, enten til hændelsesanalyse eller til risikoanalyse. Velkendte eksempler på metoder til hændelsesanalyse er kerneårsagsanalysen (Root Cause Analysis), MTO analysen, og London protokollen. Tilsvarende eksempler på metoder til risikoanalyse er Failure Mode and Effects Analysis (FMEA), fejltræsanalyse (Fault Tree Analysis), og Hazard and Operability Studies (HAZOP). FRAM adskiller sig fra alle disse metoder, fordi dens formål er at fremstille en beskrivelse af et forløb eller et systems måde at fungere på; denne beskrivelse kaldes for en FRAM model. Selve analysen af en fortidig eller fremtidig hændelse sker ved at bruge FRAM modellen til at forstå, hvordan noget kan være sket (en hændelse), at vurdere, hvordan noget kan ske (en risiko), eller at vurdere konsekvenserne af ændringer og forbedringer (design). FRAM kan derfor bruges som basis for en hændelsesanalyse, som basis for en risikoanalyse, og som basis for at beskrive hvordan noget foregår, f.eks. som basis for at tænke over mulige forbedringer, dvs. som en del af en designproces. De tre anvendelsespotentialer er illustreret i Figur 17. Figur 17 Figur 17. Tre anvendelsesmuligheder af FRAM. Retrospektiv analyse (hændelse) Genstandsfelt (arbejdsområde) FRAM (metode) FRAM (model) Prospektiv analyse (risiko) Funktionsbeskrivelse, design FRAM som basis for en hændelsesanalyse (retroaktiv analyse) Formålet med en traditionel hændelsesanalyse er at finde årsagerne til observerede skader eller konsekvenser. Dette kan enten være de umiddelbare årsager, som f.eks. i kerneårsagsanalysen, eller de bagvedliggende årsager. En analyse af ulykker starter derfor typisk med det observerede (negative) resultat og går trin for trin baglæns for 64

65 at finde ud af, hvad der ikke fungerede eller gik galt eller var fejlbehæftet. Formålet med analysen er at finde de betingelser og forudgående hændelser, som var nødvendige og tilstrækkelige for det faktiske resultat. Begrundelsen udformes ofte som et ræsonnement af typen»hvis X ikke var sket, så ville dette (ulykken) heller ikke være sket. Derfor X er årsag til ulykken«. Dette kaldes teknisk for et kontrafaktisk konditionale. Formålet med en FRAM analyse er ikke at finde en årsag, men at beskrive, hvordan systemet skulle have fungeret for at arbejdet skulle lykkes, dvs. hvordan det fungerer til dagligt, når der ikke er noget, som går galt. Denne beskrivelse danner udgangspunkt for at finde og beskrive den variabilitet af funktionerne, som i sig selv eller i kombination gjorde, at noget gik galt. Dette vil typisk være den variabilitet, som fandtes i den faktiske situation. (Hvis man i stedet ser på den variabilitet, som ville kunne forekomme under andre forhold, er der snarere tale om en risikoanalyse, som beskrevet nedenfor). En FRAM model beskriver et systems funktioner og de potentielle koblinger eller afhængigheder mellem funktionerne. Modellen er ikke en beskrivelse af en sekvens af delhændelser, dvs. et ulykkesscenario. Et ulykkesscenario svarer til en realisering af modellen. En realisering kan ses som et»kort«over, eller et øjebliksbillede af, hvordan et antal funktioner hang sammen under de foreliggende betingelser. En FRAM model beskriver de potentielle eller mulige sammenhænge uden at referere til nogen bestemt situation. En realisering af en FRAM model beskriver de konkrete sammenhænge i en bestemt situation eller et bestemt scenarie. I tilfælde af en hændelsesanalyse vil de konkrete sammenhænge være de faktiske sammenhænge i den udstrækning, de er kendte. I tilfælde af en risikoanalyse vil de konkrete sammenhænge være de realistiske forventninger til, hvad der kan ske. Analysen af en realisering af FRAM modellen indeholder følgende trin: Beskriv variabiliteten i den faktiske hændelse i de fundne forgrundsfunktioner og i de fundne baggrundsfunktioner (konteksten). Overvej, om den reelle variabilitet svarede til, hvad man kunne forvente (dvs. om den var»normal«), eller om den var usædvanligt stor (»unormal«). Variabiliteten udtrykkes ved at beskrive, hvorledes Output af hver funktion kan variere, enten ved hjælp af den enkle eller den uddybende beskrivelse. Identificer de dynamiske sammenhænge eller koblinger (funktionel resonans), der spillede en rolle under hændelsens forløb. Dette udgør den faktiske realisering af modellen, som kan bruges til at forstå, hvorfor hændelsen udviklede sig, som den gjorde. I forhold til den traditionelle ulykkesanalyse, giver denne realisering en forklaring på, hvad der skete, uden dermed nødvendigvis at fastlægge bestemte årsager eller at udpege fejl. Forklaringen kan for eksempel bestå i en beskrivelse af de afhængigheder mellem variabiliteten af funktionerne som typisk forekommer. Foreslå metoder til at overvåge og dæmpe udførelsens variabilitet (indikatorer, bar- 65

66 rierer, design / modifikation, etc.) I tilfælde af uventede positive resultater skal der naturligvis søges efter måder til kontrolleret at forstærke variabiliteten i stedet for måder til at dæmpe den. FRAM som basis for en risikoanalyse (proaktiv analyse) En risikovurdering er den mest almindelige form for proaktiv analyse. Formålet med en risikovurdering er at finde de farer (»hazards«) eller risici, der kan gøre det vanskeligt eller umuligt for systemet at udføre sin funktion og opfylde sit formål, samt eventuelt yderligere at beregne sandsynligheden for, at dette sker. Mange risikoanalyser omfatter også en beregning af sandsynligheden for, at en fejl opstår. Risiko er normalt defineret som en kombination af sandsynligheden for, at noget kan ske og konsekvenserne af resultatet. 24 Denne tankegang er f.eks. basis for den traditionelle risikomatrix. En risikoanalyse sker normalt med udgangspunkt i en specifik repræsentation af, hvordan et forløb kan ske, såsom et fejltræ (fault tree) eller et hændelsestræ (event tree). En FRAM analyse adskiller sig ved i stedet at være baseret på en funktionel model af, hvordan et system er tænkt at fungere. De overvejelser, der ligger til baggrund for valget af repræsentative scenarier er dog stort set de samme i begge former for analyse og forudsætter en god forståelse af området. En risikoanalyse ved hjælp af FRAM omfatter følgende trin: Karakteriser den mulige eller forventede reelle variabilitet for de valgte realiseringer af modellen. Overvej om den reelle variabilitet vil svare til, hvad man kan forvente (dvs. om den vil være»normal«), eller om den vil være usædvanligt stor (»unormal«). Identificer de dynamiske koblinger (funktionel resonans), der forventes at ville spille en rolle under en hændelse eller i en bestemt situation. Disse omfatter en realisering af den model, som anvendes til at forudsige, hvordan en hændelse vil udvikle sig, og hvordan kontrollen muligvis kan tabes. I forhold til den traditionelle risikovurdering giver en sådan realisering en forklaring på, hvad der kan ske uden dermed nødvendigvis at identificere unikke eller specifikke resultater. Forklaringen baseres på koblinger eller sammenfald af variabiliteten i det daglige arbejde, snarere end forekomsten af fejl og fejlfunktioner og deres konsekvenser. Foreslå metoder til at genkende og dæmpe variabilitet (indikatorer, barrierer, design / modifikation, etc.). I tilfælde af uventede positive resultater skal der naturligvis søges efter måder til kontrolleret at forstærke variabiliteten i stedet for måder til at dæmpe den. 24 Dette skrives traditionelt som risiko = sandsynlighed * konsekvens. 66

67 FRAM som basis for en funktionsbeskrivelse En anden form for proaktiv analyse er som en del af en nyskabelse eller ændring (design), f.eks. en organisationsændring. Her er formålet at klarlægge de betingelser eller faktorer, som kan fremme eller forhindre, at noget nyt (et apparatur, en arbejdsfordeling, en organisationsform, osv.) virker efter hensigten. FRAM kan her bruges til at afgøre, om kombinationer af variabilitet i Forudsætninger og / eller Ressourcer kan støtte eller modvirke et design, eller om svigtende kontrol eller tidsbegrænsninger kan hæmme udførelsen af en bestemt funktion. Anvendelsen af FRAM til designevaluering beskrives dog ikke nærmere her. 67

68 Center for Kvalitet P. V. Tuxens Vej 5, Middelfart centerforkvalitet.dk