Článek
V osmdesáté druhé sekundě letu se od vnější nádrže raketoplánu Columbia oddělil kus izolační pěny. Na záznamu to nebyla exploze, požár ani dramatické varování. Jen světlý úlomek, krátký pohyb napříč obrazem a náraz do levého křídla.
Mise pokračovala. Posádka pracovala na oběžné dráze. Na Zemi se mezitím rozběhl proces, ve kterém se technický signál postupně měnil v otázku, otázka v odhad a odhad v důvod nic dalšího nepodnikat.
Inženýři NASA podali během mise tři žádosti o snímky raketoplánu ve vysokém rozlišení. Žádosti neprošly správnými kanály. Jedna se dostala k ministerstvu obrany, ale NASA ji po devadesáti minutách zrušila. Ani zpětně nebylo jisté, jestli by snímky poškození skutečně ukázaly.
Dne 1. února 2003 se Columbia při návratu rozpadla. Zahynulo všech sedm členů posádky. Vyšetřovací komise dala organizačním příčinám stejnou váhu jako fyzickému mechanismu. Popsala chybnou analýzu možného poškození, nízkou míru obav vedení, nejasnou komunikaci i slabou roli bezpečnostních struktur.
Pokušení najít jednoho viníka
James Reason rozlišoval osobní a systémový pohled. Osobní hledá omyl jednotlivce. Systémový se ptá na podmínky práce a na vrstvy obrany.
V jeho modelu připomínají bezpečnostní bariéry plátky sýra s otvory. Žádná obrana není dokonalá. Obvykle se ale slabá místa nepřekryjí. Nehoda nastane, když se na krátký okamžik seřadí.
Richard Cook šel dál. U komplexních systémů bývá katastrofa výsledkem víc selhání, z nichž každé je nutné, ale samo nestačí. Hledat jedinou kořenovou příčinu může být zavádějící. Často najdeme jen poslední článek, který je dost blízko následku.
Bezprostřední příčina vysvětluje, co se stalo na konci. Systémová analýza se ptá, proč bylo vůbec možné, aby se k tomu konci cesta otevřela.
Rozumné kroky, nerozumný celek
Lokální racionalita, pojem spojený s Davidem Woodsem a Richardem Cookem, neříká, že lidé rozhodovali správně. Říká, že jejich jednání je třeba rekonstruovat z informací, cílů, omezení a tlaků, které měli v tu chvíli. Ne z výsledku, který známe až my.
Technik zaznamená odchylku, která se už několikrát objevila bez následků. Inženýr dostane neúplná data a model, který závažné poškození nepředpokládá. Vedoucí vidí technické shrnutí, ne původní záznam. Nikdo nemusí lhát. Nikdo nemusí být lhostejný. Každý pracuje s jinou verzí problému.
Jens Rasmussen popsal organizace tlačené k vyšší efektivitě, nižším nákladům a menšímu zatížení. K hranici rizika se neposouvají skokem. Posouvají se po milimetrech.
Diane Vaughan to při studiu katastrofy Challengeru nazvala normalizací odchylky. Opakovaně pozorovaná anomálie se nestala důvodem k zastavení. Protože po ní v minulosti nenásledovala katastrofa, byla postupně začleněná do obrazu normálního provozu.
První odchylka vyvolá obavu. Druhá je méně alarmující. Po desáté už organizace čte opakování jako důkaz, že se to dá zvládnout. Absence katastrofy se promění v potvrzení bezpečnosti.
Bezpečný návrat ale může znamenat dvě různé věci. Buď byla rezerva dostatečná. Nebo systém přežil díky okolnostem, které nekontroloval.
Informace se ztrácí, aniž ji někdo zatají
V organizaci se informace skoro nikdy nepřenáší v původní podobě. Musí být vytříděná, přeložená a zkrácená.
Technik popíše anomálii. Inženýr z ní udělá odhad. Vedoucí odhad převede na kategorii rizika. Vedení kategorii porovná s harmonogramem a rozpočtem. Při každém převodu se ztratí část kontextu. Nejvíc nejistota, rozpory a slabé signály.
Organizace pak žije ve dvou verzích sebe sama. V oficiální jsou kroky jasné. V provozní se práce dokončuje díky improvizacím.
Justiční omyl bez jednoho okamžiku
Stejný vzorec není jen technický. Svědek zahlédne pachatele krátce, ve stresu a za špatného světla. Vyšetřovatel, který zná podezřelého, může nevědomky reagovat na váhání. Svědek si po výběru zapamatuje tvář jistěji než před ním. Do spisu vstoupí identifikace, ne celý proces vzniku její jistoty.
National Research Council proto v roce 2014 doporučila dvojitě zaslepené rekognice, standardizované instrukce, doslovný záznam prvotní míry jistoty a videozáznam.
National Registry of Exonerations eviduje 147 zproštění v USA v roce 2024. Faktory se překrývají. Křivá výpověď u 72 procent. Pochybení úředních osob u 71 procent. Nedostatečná obhajoba u 33 procent. Mylná identifikace u 26 procent. Falešné přiznání u 15 procent. Ani tady často není jeden čistý okamžik, ve kterém by se celý omyl zrodil.
Systém není alibi
Systémové myšlení má vlastní nebezpečí. Může se změnit v mlhu, ve které zmizí individuální odpovědnost.
Přístup označovaný jako just culture ty věci odděluje. Běžný lidský omyl. Rizikovou zkratku, která se stala normou. A vědomě bezohledné porušení pravidel. Reakce nemá vycházet jen z velikosti následku.
V lednu 2024 u letu Alaska Airlines 1282 chyběly čtyři zajišťovací šrouby. Národní rada pro bezpečnost dopravy ve zprávě z 11. července 2025 označila za pravděpodobnou příčinu to, že Boeing nezajistil odpovídající výcvik a dohled. Za přispívající faktor označila neúčinný dohled úřadu FAA. Chybějící šrouby byly skutečné. Vyšetřování by ale skončilo příliš brzy, kdyby pouze našlo posledního pracovníka u letadla.
Instituce, které umějí pochybovat
Spolehlivá organizace není ta, ve které lidé nechybují. Je ta, která počítá s neúplnými informacemi a vytváří víc příležitostí chybu zachytit.
Slabý signál se má uchovat, ne uhladit. Bezpečnost nemá být podřízená jen tlaku na výkon. Události bez újmy se mají evidovat, protože právě ony ukazují, kudy se systém blíží k hraně. Odbornost má dostat hlas dřív, než se problém přeloží do jedné věty pro vedení. Má existovat cesta, jak se vrátit k rozhodnutí, které už jednou prošlo. A vyšetřování nemá začínat předem vybraným viníkem.
Dvojitě zaslepená rekognice nespoléhá na to, že vyšetřovatel svědka neovlivní. Odstraňuje možnost nevědomého ovlivnění z návrhu postupu.
Nejlepší pojistka často není lepší člověk. Je to uspořádání, které po člověku nechce, aby byl neomylný.
Závažná institucionální chyba nemusí být jedno špatné rozhodnutí. Někdy je to prázdné místo mezi několika rozhodnutími, z nichž každé samo o sobě vypadalo rozumně.
Zdroje
- Columbia Accident Investigation Board (2003). Report, Volume I.
- Reason, J. (2000). Human error: models and management. BMJ.
- Cook, R. I. (2000). How Complex Systems Fail. Woods, D. D. a Cook, R. I. (1999). Perspectives on Human Error.
- Vaughan, D. (1996). The Challenger Launch Decision. Rasmussen, J. (1997). Risk management in a dynamic society.
- National Research Council (2014). Identifying the Culprit. National Registry of Exonerations, výroční zpráva za rok 2024. NTSB, zpráva k letu Alaska Airlines 1282 (11. července 2025).
Původně publikováno na jinykontext.cz: https://jinykontext.cz/clanek/jiny-kontext-jak-vznika-chyba-kterou-nikdo-neudelal
Mise pokračovala. Posádka pracovala na oběžné dráze. Na Zemi se mezitím rozběhl proces, ve kterém se technický signál postupně měnil v otázku, otázka v odhad a odhad v důvod nic dalšího nepodnikat.
Inženýři NASA podali během mise tři žádosti o snímky raketoplánu ve vysokém rozlišení. Žádosti neprošly správnými kanály. Jedna se dostala k ministerstvu obrany, ale NASA ji po devadesáti minutách zrušila. Ani zpětně nebylo jisté, jestli by snímky poškození skutečně ukázaly.
Dne 1. února 2003 se Columbia při návratu rozpadla. Zahynulo všech sedm členů posádky. Vyšetřovací komise dala organizačním příčinám stejnou váhu jako fyzickému mechanismu. Popsala chybnou analýzu možného poškození, nízkou míru obav vedení, nejasnou komunikaci i slabou roli bezpečnostních struktur.
Pokušení najít jednoho viníka
James Reason rozlišoval osobní a systémový pohled. Osobní hledá omyl jednotlivce. Systémový se ptá na podmínky práce a na vrstvy obrany.
V jeho modelu připomínají bezpečnostní bariéry plátky sýra s otvory. Žádná obrana není dokonalá. Obvykle se ale slabá místa nepřekryjí. Nehoda nastane, když se na krátký okamžik seřadí.
Richard Cook šel dál. U komplexních systémů bývá katastrofa výsledkem víc selhání, z nichž každé je nutné, ale samo nestačí. Hledat jedinou kořenovou příčinu může být zavádějící. Často najdeme jen poslední článek, který je dost blízko následku.
Bezprostřední příčina vysvětluje, co se stalo na konci. Systémová analýza se ptá, proč bylo vůbec možné, aby se k tomu konci cesta otevřela.
Rozumné kroky, nerozumný celek
Lokální racionalita, pojem spojený s Davidem Woodsem a Richardem Cookem, neříká, že lidé rozhodovali správně. Říká, že jejich jednání je třeba rekonstruovat z informací, cílů, omezení a tlaků, které měli v tu chvíli. Ne z výsledku, který známe až my.
Technik zaznamená odchylku, která se už několikrát objevila bez následků. Inženýr dostane neúplná data a model, který závažné poškození nepředpokládá. Vedoucí vidí technické shrnutí, ne původní záznam. Nikdo nemusí lhát. Nikdo nemusí být lhostejný. Každý pracuje s jinou verzí problému.
Jens Rasmussen popsal organizace tlačené k vyšší efektivitě, nižším nákladům a menšímu zatížení. K hranici rizika se neposouvají skokem. Posouvají se po milimetrech.
Diane Vaughan to při studiu katastrofy Challengeru nazvala normalizací odchylky. Opakovaně pozorovaná anomálie se nestala důvodem k zastavení. Protože po ní v minulosti nenásledovala katastrofa, byla postupně začleněná do obrazu normálního provozu.
První odchylka vyvolá obavu. Druhá je méně alarmující. Po desáté už organizace čte opakování jako důkaz, že se to dá zvládnout. Absence katastrofy se promění v potvrzení bezpečnosti.
Bezpečný návrat ale může znamenat dvě různé věci. Buď byla rezerva dostatečná. Nebo systém přežil díky okolnostem, které nekontroloval.
Informace se ztrácí, aniž ji někdo zatají
V organizaci se informace skoro nikdy nepřenáší v původní podobě. Musí být vytříděná, přeložená a zkrácená.
Technik popíše anomálii. Inženýr z ní udělá odhad. Vedoucí odhad převede na kategorii rizika. Vedení kategorii porovná s harmonogramem a rozpočtem. Při každém převodu se ztratí část kontextu. Nejvíc nejistota, rozpory a slabé signály.
Organizace pak žije ve dvou verzích sebe sama. V oficiální jsou kroky jasné. V provozní se práce dokončuje díky improvizacím.
Justiční omyl bez jednoho okamžiku
Stejný vzorec není jen technický. Svědek zahlédne pachatele krátce, ve stresu a za špatného světla. Vyšetřovatel, který zná podezřelého, může nevědomky reagovat na váhání. Svědek si po výběru zapamatuje tvář jistěji než před ním. Do spisu vstoupí identifikace, ne celý proces vzniku její jistoty.
National Research Council proto v roce 2014 doporučila dvojitě zaslepené rekognice, standardizované instrukce, doslovný záznam prvotní míry jistoty a videozáznam.
National Registry of Exonerations eviduje 147 zproštění v USA v roce 2024. Faktory se překrývají. Křivá výpověď u 72 procent. Pochybení úředních osob u 71 procent. Nedostatečná obhajoba u 33 procent. Mylná identifikace u 26 procent. Falešné přiznání u 15 procent. Ani tady často není jeden čistý okamžik, ve kterém by se celý omyl zrodil.
Systém není alibi
Systémové myšlení má vlastní nebezpečí. Může se změnit v mlhu, ve které zmizí individuální odpovědnost.
Přístup označovaný jako just culture ty věci odděluje. Běžný lidský omyl. Rizikovou zkratku, která se stala normou. A vědomě bezohledné porušení pravidel. Reakce nemá vycházet jen z velikosti následku.
V lednu 2024 u letu Alaska Airlines 1282 chyběly čtyři zajišťovací šrouby. Národní rada pro bezpečnost dopravy ve zprávě z 11. července 2025 označila za pravděpodobnou příčinu to, že Boeing nezajistil odpovídající výcvik a dohled. Za přispívající faktor označila neúčinný dohled úřadu FAA. Chybějící šrouby byly skutečné. Vyšetřování by ale skončilo příliš brzy, kdyby pouze našlo posledního pracovníka u letadla.
Instituce, které umějí pochybovat
Spolehlivá organizace není ta, ve které lidé nechybují. Je ta, která počítá s neúplnými informacemi a vytváří víc příležitostí chybu zachytit.
Slabý signál se má uchovat, ne uhladit. Bezpečnost nemá být podřízená jen tlaku na výkon. Události bez újmy se mají evidovat, protože právě ony ukazují, kudy se systém blíží k hraně. Odbornost má dostat hlas dřív, než se problém přeloží do jedné věty pro vedení. Má existovat cesta, jak se vrátit k rozhodnutí, které už jednou prošlo. A vyšetřování nemá začínat předem vybraným viníkem.
Dvojitě zaslepená rekognice nespoléhá na to, že vyšetřovatel svědka neovlivní. Odstraňuje možnost nevědomého ovlivnění z návrhu postupu.
Nejlepší pojistka často není lepší člověk. Je to uspořádání, které po člověku nechce, aby byl neomylný.
Závažná institucionální chyba nemusí být jedno špatné rozhodnutí. Někdy je to prázdné místo mezi několika rozhodnutími, z nichž každé samo o sobě vypadalo rozumně.
Zdroje
- Columbia Accident Investigation Board (2003). Report, Volume I.
- Reason, J. (2000). Human error: models and management. BMJ.
- Cook, R. I. (2000). How Complex Systems Fail. Woods, D. D. a Cook, R. I. (1999). Perspectives on Human Error.
- Vaughan, D. (1996). The Challenger Launch Decision. Rasmussen, J. (1997). Risk management in a dynamic society.
- National Research Council (2014). Identifying the Culprit. National Registry of Exonerations, výroční zpráva za rok 2024. NTSB, zpráva k letu Alaska Airlines 1282 (11. července 2025).
Původně publikováno na jinykontext.cz: https://jinykontext.cz/clanek/jiny-kontext-jak-vznika-chyba-kterou-nikdo-neudelal
03-097-plan-problemu
02-098-kontrola-stroje
