Menschliche und organisatorische Faktoren in der Unfalluntersuchung

Rangierfahrten und Bahnübergänge sind Unfallschwerpunkte (Foto: DB AG/Volker Emersleben)

Menschliche und organisatorische Faktoren sind von entscheidender Bedeutung für die Sicherheit und Effizienz des Bahnbetriebs. Sie müssen nach der Verordnung (EU) 2018/762 in den Sicherheitsmanagementsystemen von Bahnunternehmen berücksichtigt werden. Einer der wichtigsten Bestandteile ist die Unfall- und Ereignisanalyse. In diesem Artikel wird der methodische Ansatz der DB Netz AG zur Pilotierung der Berücksichtigung dieser Faktoren im Prozess der Unfalluntersuchung erläutert.

Wenn menschliche und organisatorische Faktoren (MOF) systematisch in der Unfall- und Ereignisanalyse berücksichtigt werden, so können Ursachen hinter Fehlhandlungen festgestellt werden, die über rein technische Fehler oder „menschliches Versagen“ hinausgehen und nicht mit der Schuldzuweisung bei Mitarbeitenden enden. Für die Berücksichtigung von MOF ist es erforderlich zu verstehen, wie Ursachen hinter sicherheitskritischen Fehlhandlungen systematisch ermittelt werden können.

Rechtliche Ausgangslage

Die Verordnung (EU) 2018/762, im folgenden CSM SMS genannt, legt Anforderungen an das Sicherheitsmanagementsystem (SMS) von Eisenbahnverkehrsunternehmen (EVU) und Eisenbahninfrastrukturunternehmen (EIU) fest (Abbildung 1). Sie müssen erfüllt werden, um die Sicherheitsgenehmigung oder Sicherheitsbescheinigung zu erhalten. Ohne die Erfüllung dieser Anforderungen gibt es also keine Betriebserlaubnis, weder bei den EIU noch den EVU. Die DB Netz AG hat nun erstmalig die Sicherheitsgenehmigung nach der CSM SMS erhalten.

Aus der CSM SMS ergaben sich inhaltlich insbesondere zwei neue Schwerpunkte:

Die Berücksichtigung von MOF
Die Verankerung einer positiven Sicherheitskultur

Beide Themenblöcke zielen darauf ab, den Faktor Mensch, also die Mitarbeitenden, stärker in den Fokus des SMS zu rücken. Das heißt insbesondere, dass bei Fehlern und Handlungsunsicherheiten nicht nach Schuldigen gesucht werden soll, sondern nach Ursachen bzw. den „Ursachen hinter den Ursachen“. Nur so können aus Fehlern die richtigen Lehren gezogen werden. Dieses Vorgehen funktioniert allerdings nur innerhalb einer gelebten Sicherheitskultur, in der die Mitarbeitenden nicht nur für fehlerhaftes Handeln bestraft, sondern als Wissensträger*innen gesehen werden, die anderen Mitarbeitenden helfen, nicht in die „gleiche Falle“ zu tappen.

Aus dieser Beschreibung wird ersichtlich, dass Anforderungen zu MOF und der Sicherheitskultur auch die Unfall- und Ereignisanalyse betreffen. Im Leitfaden zur CSM SMS der ERA (S. 111) wird in Bezug auf die SMS-Anforderung zu 7.1 „Lehren aus Unfällen und Störungen“ verdeutlicht:

„Bei der Analyse von Unfällen/Störungen sollte nicht Einzelnen die Schuld zugewiesen oder einer Abteilung bescheinigt werden, dass sie „mehr als andere verantwortlich ist“, sondern eher Verständnis und die Verbesserung der organisatorischen Schwächen, die diese möglich gemacht haben, angestrebt werden.“

Und weiter:

„Wenn die Analyse […] die Identifizierung von technischen und organisatorischen „Grundursachen“ ermöglicht, können mit den Verbesserungsmaßnahmen andere Unfallarten, die dieselben Mechanismen haben, verhindert werden.“

Daher besteht die Aufgabe darin, Ursachen hinter Fehlern zu finden und zu ermitteln, welche MOF eine Fehlhandlung begünstigt haben. Aus der Beschreibung wird auch ersichtlich, dass die Ursachen nicht nur im Menschen, d.h. in den Mitarbeitenden, liegen können, sondern auch in organisatorischen und technischen Vorbedingungen, wie ungünstige Ergonomie, hohes Arbeitspensum oder unerwartetes technisches Versagen.

Die Ermittlung der MOF hinter Fehlhandlungen sollte Teil der Strategie im Umgang mit MOF sein. Hierzu erläutert der Leitfaden der CSM SMS (S.148) in Bezug auf „Lehren aus Unfällen und Störungen“:

„Das Fachwissen und die Methoden zu menschlichen und organisatorischen Faktoren werden im Unfalluntersuchungsprozess verwendet. […]

Es gibt eine Methodik zur Durchführung von Untersuchungen basierend auf dem Fachwissen und den Methoden zu menschlichen und organisatorischen Faktoren.
Es gibt ein Schulungsprogramm für Unfall- und Störungsuntersuchungen, dass eine Perspektive zu menschlichen und organisatorischen Faktoren anwendet“

Abbildung 1: Rechtliche Anforderungen zu MOF der CSM SMS (Quelle: nach BAV (2019))

Vorgehen bei der MOF-Analyse gefährlicher Ereignisse

In der klassischen Fehlerforschung werden zwei wesentliche Fragen gestellt (Hofinger, 2008; Blätter der VDI-Richtlinie 4006):

Was wurde falsch gemacht? (Auftretensebene des Fehlers)
Warum wurde es falsch gemacht? (Ursachen-ebene des Fehlers)

Die erste Frage wird mit Fehlerklassifikationen, die zweite Frage mit einer umfassenden Ursachensuche beantwortet. Erst mit der zweiten Frage wird also die Suche nach den MOF hinter dem Fehler begonnen.

Besonders wichtig bei dieser Herangehensweise ist, dass die menschliche Fehlhandlung oder „menschliches Versagen“ niemals die Ursache sein kann. Wenn als Ursache „menschliches Versagen“ attestiert wird, so wurde die Fehleranalyse mit der ersten Frage unzulässigerweise beendet (was wurde falsch gemacht? Der Mensch hat „versagt“). Die menschliche Fehlhandlung/menschliches Versagen ist damit der Ausgangspunkt und niemals die Schlussfolgerung einer Analyse.

Eine weitere zentrale Erkenntnis aus der Fehlerforschung der letzten Jahrzehnte ist, dass die Ursachensuche nach MOF nur begonnen werden kann, wenn alle Informationen umfassend und wertungsfrei zusammengetragen worden sind. Darauf aufbauend sollte eine zeitliche Abfolge erstellt werden, die Handlungen im Rahmen eines gefährlichen Ereignisses abbildet.

Daraus ergibt sich ein dreistufiges folgendes Vorgehen (Abbildung 2).

Abbildung 2: Schritte der Unfall- und Ereignisanalyse bis zur MOF-Ursachenermittlung (Quelle: DB Netz AG/Dr. Marcus Arenius)

Schritt 1: Was ist passiert?

Im ersten Schritt werden alle Informationen zusammengetragen, welche für das Verständnis des gefährlichen Ereignisses erforderlich sind. Dieser Schritt ist in den SMS der EIU und EVU üblicherweise durch Prozesse der Unfall- und Ereignisanalyse umgesetzt. Sachbearbeiter oder Analysten tragen hierfür die Erkenntnisse zusammen (z.B. Aufnahmeprotokoll nach Ril 423.0410V01) und weitere relevante Dokumente, wie z.B. Polizeiberichte, Zeugenaussagen, Gutachten, etc. Aus diesen Informationen wird die Ereignisbeschreibung erstellt, welche Handlungen zum Ereigniszeitpunkt nachvollziehbar in eine Handlungsabfolge bringt.

Schritt 2: Ermittlung der Auftretensebene des Fehlers

In der Fehlerforschung wird das, was wir sehen können (die äußeren Erscheinungen eines Fehlers), von den Gründen getrennt, warum der Fehler passiert ist (die versteckten Ursachen). Die äußeren Formen eines Fehlers, also das, was wir sehen können, wird als „Auftretensebene“ des Fehlers bezeichnet. Die versteckten Ursachen dahinter werden als „Ursachenebene“ bezeichnet.

Ein Beispiel: Wenn jemand in einer stressigen Situation nicht aufmerksam ist (die Ursachenebene), könnte das dazu führen, dass er/sie Arbeitsschritte durcheinanderbringt (die äußere Form/Auftretensebene des Fehlers).

Wichtig ist, dass die Auftretensebene eines Fehlers beobachtet oder gemessen werden können. Das hilft dabei, die versteckten Gründe zu verstehen. Dazu im Gegensatz stehen die Ursachen, welche versteckt sind und erst ermittelt werden müssen.

Um die Auftretensebene eines Fehlers festzulegen, gibt es eine Vielzahl von unterschiedlichen Fehlerklassifikationen. Eine der einfachsten Klassifikationen kommt aus dem Bereich der menschlichen Zuverlässigkeit (eng. Human Reliability Assessment, HRA). Hierbei werden menschliche Fehlhandlungen grundlegend in:

unterlassene Handlungen und
falsche Handlungen

unterschieden. Diese können wiederum mit weiteren Schlüsselwörtern detailliert werden (Abbildung 3).

Die Anwendung dieser oder vergleichbarer Fehlerklassifikationen hilft dabei, die Auftretensebene, also was schiefgelaufen ist, zu beschreiben. Wenn ein Fehler klassifiziert wurde, kann im nächsten Schritt die Ursachenermittlung daran andocken.

Abbildung 3: Beispiel für eine Fehlerklassifikation (Quelle: DB Netz AG/Dr. Marcus Arenius)

Schritt 3: Ursachenermittlung

Hierbei geht es darum, die Ursachen hinter den Fehlerarten zu ermitteln, d.h. warum eine Aufgabe unterlassen oder falsch durchgeführt wurde. Nach der CSM SMS werden die Ursachen durch MOF beschrieben.

Wesentliche Eigenschaft einer Ursachenklassifikation ist, dass sie nicht nur Ursachen im Menschen platziert. Vielmehr sollen die Ursachen systemisch ermittelt werden, d.h. im soziotechnischen System platziert werden. Das beinhaltet mindestens Ursachen aus

Menschen (z.B. Stress, Müdigkeit, Aufmerksamkeit)
Technik (z.B. Ergonomie, Usability, Überwachbarkeit)
Organisation (z.B. Zielkonflikte, Komplexität, Klarheit der Regelwerke, etc.)

In der Fehlerforschung gibt es hierfür eine Vielzahl von Listen an relevanten MOF, die diesen Kategorien zugeordnet werden können und als Ursachen für Fehler herangezogen werden können. Daher stellt sich die Frage, welche Ursachenfaktoren im Eisenbahnsektor eigentlich bewertet werden sollten – ist es bei den menschlichen Faktoren beispielsweise Ablenkung, Aufmerksamkeit oder Konzentration? Oder ist mit diesen Faktoren nicht das sogar das Gleiche gemeint?

Daher besteht die erste Aufgabe darin, einen Grundsatz an MOF zu ermitteln, die im Rahmen der Unfall- und Ereignisanalyse relevant werden. Hierfür können die Faktoren der kommenden CSM ASLP herangezogen werden.

MOF-Faktoren in den Kategorien der CSM ASLP

Mit der Version der in 2024 vsl. in Kraft tretenden, neuen EU-Verordnung CSM ASLP (CSM Assessment of Safety Level and Safety Performance) wird eine gemeinsame Sicherheitsmethode zur Bewertung des Sicherheitsniveaus und der Sicherheitsleistung von Eisenbahnbetreibern festgelegt. Dabei wird von den Eisenbahnbetreibern unter anderem eine Selbsteinschätzung der Sicherheitsleistung gefordert, welche auch die MOF beinhalten soll. Hierzu ordnet die CSM ASLP die verschiedenen MOF fünf Kategorien zu:

Situationsfaktoren sind Merkmale einer Situation, die den einzelnen Anwender oder das Team am Arbeitsplatz beeinflussen könnten, wie z.B.: Komplexität, Werkzeuge/Hilfsmittel. Diese Merkmale werden unterteilt in statisch/dauerhaft (CAT 1) und dynamisch/veränderlich (CAT 2).

Personalfaktoren hingegen sind Merkmale des Anwenders oder des Teams, die den Verlauf einer Situation beeinflussen könnten, z.B.: Aufmerksamkeit, Qualifikation. Diese Merkmale werden ebenfalls unterteilt in statisch/dauerhaft (CAT 3) und dynamisch/veränderlich (CAT 4).

Mit den sozio-interaktionellen Faktoren wird geprüft, ob es (negative) Auswirkungen auf die zwischenmenschlichen Beziehungen zwischen Anwendern, Teams und ihrem Arbeitsumfeld gibt (CAT 5).

Diese Verordnung ist der erste Rechtsrahmen, der sich direkt an EIU und EVU richtet und Vorgaben für MOF geben wird, welche im SMS berücksichtigt werden müssen. Somit sind diese MOF ein sehr guter Ausgangspunkt für die Ermittlung von Ursachen hinter einer Fehlhandlung.

Abbildung 4: Die Faktoren der kommenden CSM ASLP (Quelle: beschrieben nach Accou & Carpinelli (2022))

Zusammenfassung und Ausblick

Aus der Fehlerforschung ist bekannt, dass die Ursache für eine Fehlhandlung nicht nur im Menschen liegen darf, sondern eine Vielzahl von menschlichen und organisatorischen Faktoren eine Fehlhandlung begünstigen können. Damit ist die Schlussfolgerung einer Unfall- und Ereignisanalyse nicht, dass „menschliches Versagen“ die Ursache ist. Vielmehr ist das vermeintliche „menschliche Versagen“ der Ausgangspunkt, um an die tatsächlichen Ursachen hinter Fehlhandlungen heranzukommen. Diese Ursachen können aus der Technik (z.B. Design, Ausfall), der Organisation (z.B. Komplexität der Vorgaben) und im Menschen (z.B. Stress) liegen und tragen gemeinsam dazu bei, dass sicherheitskritische Fehlhandlungen auftreten können.

Mit den drei einfachen, übergreifenden Schritten, die in diesem Artikel vorgestellt wurden, kann bei der Unfall- und Ereignisanalyse eine systematische Ursachenermittlung zu MOF erfolgen. Sie setzt voraus, dass die Auftretens- und Ursachenebene des Fehlers strikt getrennt werden. Daraus ergibt sich folgende Herangehensweise:

Systematische Informationssammlung zur vollständigen Beschreibung des Ereignisablaufs (Was ist passiert?)
Identifikation der Aufgaben, bei denen Abweichungen/Fehler passiert sind, idealerweise durch eine Fehlertaxonomie (Was ist schiefgelaufen?)
Identifikation der Ursachen (MOF) anhand der CSM ASLP, welche gemeinsam zu dem Fehler beigetragen haben.

In einem Folgeartikel wird beschrieben, wie insbesondere der dritte Schritt bei der DB Netz AG neu pilotiert wird.

Referenzen
Accou, B., & Carpinelli, F. (2022). Systematically investigating human and organisational factors in complex socio-technical systems by using the “SAfety FRactal ANalysis” method. Applied ergonomics, 100, 103662.

Hofinger, G. (2008). Fehler und Unfälle (S. 39-59). In: Badke-Schaub, P., Hofinger, G., Lauche, K. (eds) Human Factors. Springer, Berlin, Heidelberg.