Incydent laboratoryjny i analiza przyczyn źródłowych

Najkrótsza odpowiedź

Po incydencie laboratorium musi równolegle wykonać cztery rzeczy:

1. ochronić ludzi i środowisko;
2. ustabilizować sytuację;
3. zachować wiarygodne informacje;
4. zmienić system tak, aby podobne zdarzenie było mniej prawdopodobne albo miało mniejszy skutek.

Analiza kończąca się zdaniem „pracownik nie zachował ostrożności” zwykle opisuje ostatni element łańcucha, nie przyczynę. Trzeba sprawdzić projekt, sprzęt, procedurę, obciążenie, kompetencję, nadzór, komunikację i działanie barier.

Incydent, wypadek, ekspozycja i near miss

Incydent to zdarzenie, które spowodowało albo mogło spowodować szkodę.

Wypadek oznacza zdarzenie z rzeczywistym urazem, chorobą, skażeniem lub szkodą.

Ekspozycja to kontakt człowieka z czynnikiem drogą istotną biologicznie lub chemicznie.

Near miss — zdarzenie potencjalnie wypadkowe — nie wywołało szkody, choć niewielka różnica warunków mogła do niej doprowadzić.

WHO ujmuje incydent biologiczny jako zdarzenie mogące prowadzić lub prowadzące do ekspozycji personelu albo uwolnienia do środowiska, niezależnie od tego, czy szkoda wystąpiła.¹

Near miss jest danymi, nie „niczym”

Przykłady:

• probówka wypada, ale nie pęka;
• wirówka sygnalizuje niewyważenie przed awarią;
• materiał trafia pod niewłaściwy adres, lecz zostaje zatrzymany;
• czujnik tlenu alarmuje przed wejściem człowieka;
• pomylona linia zostaje wykryta przez kontrolę;
• igła przebija rękawicę, ale nie skórę.

Takie zdarzenia ujawniają słabą barierę przy niższym koszcie niż wypadek. Ich brak w rejestrze nie dowodzi bezpiecznego systemu; może dowodzić, że ludzie nie zgłaszają.

Najpierw ratowanie i ograniczenie skutku

Priorytety:

• przerwij niebezpieczną czynność;
• ostrzeż innych;
• wyprowadź ludzi ze strefy;
• udziel pierwszej pomocy;
• uruchom procedurę ekspozycyjną;
• wezwij właściwe służby;
• ogranicz dostęp;
• zatrzymaj źródło tylko wtedy, gdy można to zrobić bez dodatkowego narażenia;
• zabezpiecz materiał i środowisko;
• dokonaj wymaganych zgłoszeń.

Dochodzenie nie może opóźniać pomocy medycznej.

Ratownik może stać się drugą ofiarą

Nie wchodzi się impulsywnie do:

• atmosfery z niedoborem tlenu;
• pomieszczenia z nieznanym gazem;
• strefy aerozolu;
• miejsca rozlania reaktywnej substancji;
• obszaru pod napięciem;
• urządzenia z energią mechaniczną;
• strefy pożaru.

Reakcja musi odpowiadać kompetencji, wyposażeniu i uprawnieniom. Zabezpieczenie drzwi oraz wezwanie specjalistów może być właściwsze niż próba odzyskania próbki.

Ekspozycja wymaga informacji o materiale

Medycyna pracy albo lekarz potrzebuje:

• identyfikacji czynnika;
• szczepu, konstrukcji lub produktu;
• stężenia i szacowanej ilości;
• drogi kontaktu;
• czasu;
• zastosowanych zabezpieczeń;
• danych o profilaktyce;
• istotnych składników chemicznych;
• stanu osoby narażonej.

Nazwy „próbka A17” i „wektor GFP” są niewystarczające.

Nie czekaj na pewność

Zgłoszenie dotyczy podejrzenia ekspozycji, nie dopiero potwierdzonej choroby. Szybkość może decydować o:

• skuteczności profilaktyki;
• możliwości pobrania materiału wyjściowego;
• zabezpieczeniu danych urządzenia;
• zatrzymaniu kolejnych prac;
• identyfikacji innych osób;
• ograniczeniu uwolnienia.

Fałszywy alarm ma koszt, ale spóźniona reakcja może mieć koszt znacznie większy.

Stabilizacja nie oznacza zacierania śladów

Po zabezpieczeniu ludzi trzeba zachować tyle informacji, ile można bez utrzymywania zagrożenia.

Warto:

• zrobić zdjęcia z bezpiecznego miejsca;
• zapisać ustawienia;
• zachować logi;
• odizolować użyte materiały;
• oznaczyć pozycje;
• zabezpieczyć próbki kontrolne;
• zanotować czas;
• odnotować stan wentylacji i alarmów;
• zachować wersję SOP;
• zatrzymać automatyczne nadpisanie danych.

Nie odtwarza się sceny kosztem bezpieczeństwa.

Rozdziel reakcję, dochodzenie i decyzje personalne

Osoba zgłaszająca powinna mieć pewność, że pierwszym celem jest ochrona.

Dochodzenie ustala fakty i przyczyny.

Kwestie świadomego naruszenia, fałszowania lub odpowiedzialności pracowniczej wymagają odrębnego, sprawiedliwego procesu.

Połączenie wszystkiego w pierwszej rozmowie sprzyja obronie i utracie danych.

Kto powinien badać zdarzenie

Zespół dobiera się do skali:

• osoba znająca proces;
• specjalista bezpieczeństwa;
• przedstawiciel jakości;
• inżynier lub serwis;
• medycyna pracy;
• osoba niezależna od bezpośredniego nadzoru;
• pracownik wykonujący podobną czynność;
• ekspert biologiczny, chemiczny albo radiologiczny.

OSHA podkreśla wartość wspólnego udziału kierownictwa i pracowników, bo wnoszą odmienne informacje o systemie i praktyce.²

Konflikt interesów

Kierownik projektu zna kontekst, ale może jednocześnie odpowiadać za:

• termin;
• wybór procedury;
• obsadę;
• wcześniejsze zaakceptowanie ryzyka;
• budżet.

Dlatego poważne zdarzenie powinno mieć niezależny element przeglądu.

Zbuduj oś czasu

Oś nie zaczyna się sekundę przed rozlaniem.

Może obejmować:

• projekt procesu;
• zakup urządzenia;
• ostatni serwis;
• zmianę SOP;
• przyjęcie pracownika;
• szkolenie;
• przygotowanie odczynnika;
• zmianę partii;
• wcześniejsze alarmy;
• początek zmiany;
• moment zdarzenia;
• pierwszą reakcję;
• późniejsze decyzje.

Celem jest zobaczenie warunków, które narastały.

Oddziel fakty od wniosków

Przykład:

Fakt: „o 17:42 czujnik zarejestrował spadek”.

Wniosek: „operator nie obserwował urządzenia”.

Hipoteza: „alarm lokalny nie był słyszalny przy drugim stanowisku”.

Każdy wniosek powinien wskazywać dowody i niepewność.

Źródła informacji

• rozmowy;
• obserwacja procesu;
• logi aparatury;
• monitoring środowiskowy;
• ewidencja dostępu;
• zapisy szkolenia;
• SOP i instrukcje;
• wersje plików;
• e-maile o awariach;
• historia serwisu;
• plany pomieszczenia;
• inwentarz;
• dane kontroli jakości;
• wcześniejsze near miss.

Brak zapisu również jest informacją o systemie.

Rozmowa ze świadkiem

Rozmowę prowadzi się szybko, osobno i bez sugerowania odpowiedzi.

Dobre pytania:

• co robiłeś krok po kroku;
• czego się spodziewałeś;
• co zobaczyłeś lub usłyszałeś;
• jakie informacje były dostępne;
• co utrudniało zadanie;
• czy proces zwykle wygląda tak samo;
• jakie skróty są powszechne;
• co zmieniło się tego dnia;
• co według ciebie mogłoby zapobiec zdarzeniu.

Pytanie „dlaczego zignorowałeś procedurę?” zawiera oskarżenie i założenie.

Pamięć ma ograniczenia

Po stresie człowiek może:

• mylić kolejność;
• uzupełniać luki;
• łączyć cudzą relację ze swoją;
• skupiać się na elemencie dramatycznym;
• inaczej oceniać czas.

Nie oznacza to automatycznie kłamstwa. Relację porównuje się z logami i innymi dowodami.

Praca rzeczywista a praca opisana

SOP może mówić jedno, a codzienna praca wyglądać inaczej.

Rozbieżność może wynikać z:

• nieaktualnego układu sprzętu;
• brakującego materiału;
• zbyt krótkiego czasu;
• nieczytelnej instrukcji;
• celu produkcyjnego;
• awarii;
• nieformalnej praktyki przekazanej przez starszych pracowników;
• procedury niemożliwej do wykonania.

Samo przypomnienie SOP nie naprawi rozbieżności.

Przyczyna bezpośrednia, współuczestnicząca i źródłowa

Bezpośrednia opisuje mechanizm: naczynie pękło, igła przebiła skórę, gaz wypłynął.

Współuczestnicząca zwiększyła prawdopodobieństwo lub skutek: złe oświetlenie, duże obciążenie, brak osłony.

Źródłowa dotyczy systemu, którego poprawa może zapobiec całej klasie podobnych zdarzeń: niewłaściwy zakup, brak zarządzania zmianą, niedziałający program utrzymania.

Jedno zdarzenie zwykle ma wiele przyczyn.

Błąd nie jest końcem analizy

Jeśli ktoś wybrał złą probówkę:

• dlaczego były podobne;
• dlaczego stały obok;
• dlaczego etykieta była mała;
• dlaczego system nie sprawdzał tożsamości;
• dlaczego skutek jednej pomyłki był duży;
• dlaczego kontrola wykryła ją tak późno;
• czy presja czasu sprzyjała pominięciu sprawdzenia.

OSHA ostrzega, że „nieostrożność” albo samo nieprzestrzeganie procedury nie ujawnia systemowych przyczyn i nie prowadzi do skutecznych zabezpieczeń.³

Pięć „dlaczego” jest sondą, nie rytuałem

Nie trzeba pytać dokładnie pięć razy. Metoda pomaga zejść głębiej, ale ma ograniczenia:

• może tworzyć jedną linię dla zdarzenia wieloprzyczynowego;
• wynik zależy od wiedzy pytającego;
• może zatrzymać się na wygodnej odpowiedzi;
• może prowadzić do abstrakcji typu „brak kultury bezpieczeństwa”.

Każda odpowiedź powinna mieć dowód i prowadzić do kontrolowalnego czynnika.

Analiza barier

Pytamy:

• jakie bariery miały zapobiec zdarzeniu;
• które istniały tylko na papierze;
• które zostały ominięte;
• które zawiodły;
• które ograniczyły skutek;
• czego brakowało;
• czy bariery były niezależne.

Warstwy mogą obejmować:

• eliminację zagrożenia;
• projekt;
• obudowę;
• blokadę;
• detekcję;
• alarm;
• kontrolę proceduralną;
• weryfikację drugiej osoby;
• PPE;
• reakcję awaryjną.

Niezależność barier

Dwie kontrole nie są niezależne, jeśli:

• opierają się na tym samym czujniku;
• wykonuje je ta sama osoba w jednym momencie;
• korzystają z tej samej etykiety;
• tracą zasilanie razem;
• wymagają tego samego założenia.

Redundancja na papierze może być jednym punktem awarii.

Model „bow-tie”

Pośrodku umieszcza się zdarzenie centralne, na przykład utratę szczelności.

Po lewej:

• zagrożenia;
• scenariusze;
• bariery zapobiegawcze.

Po prawej:

• konsekwencje;
• bariery ograniczające;
• reakcję i odzyskanie.

Model pomaga zobaczyć, że ograniczenie skutku jest równie ważne jak zapobieganie.

Czynniki ludzkie

Nie chodzi o „słabość człowieka”, lecz o dopasowanie systemu do rzeczywistych możliwości.

Analizuje się:

• obciążenie poznawcze;
• zmęczenie;
• pracę nocną;
• przerwania;
• ergonomię;
• widoczność;
• alarmy;
• podobieństwo elementów;
• język instrukcji;
• doświadczenie;
• konieczność pamiętania wielu kroków;
• presję czasu;
• koordynację zespołu.

Projekt powinien utrudniać błąd i umożliwiać jego wczesne wykrycie.

Kompetencja to więcej niż obecność na szkoleniu

Zapis „przeszkolono” nie dowodzi, że osoba:

• wykona proces;
• rozpozna odchylenie;
• zatrzyma pracę;
• zareaguje na alarm;
• zna ograniczenia;
• zachowa umiejętność po długiej przerwie.

Sprawdza się obserwowaną kompetencję w reprezentatywnym zadaniu.

Nadzór i praca po godzinach

Pytania:

• czy osoba mogła uzyskać pomoc;
• czy pracowała sama;
• czy harmonogram wymuszał późną pracę;
• czy kierownik wiedział;
• czy system alarmowy docierał do kogoś;
• czy zmęczenie było przewidywalne;
• czy określono czynności niedozwolone w pojedynkę.

„Pracownik wybrał godzinę” może ukrywać presję projektu.

Zarządzanie zmianą

Incydent często następuje po zmianie:

• materiału;
• partii;
• urządzenia;
• oprogramowania;
• skali;
• pomieszczenia;
• dostawcy;
• obsady;
• harmonogramu;
• kolejności kroków.

Jeżeli zmiana nie uruchomiła przeglądu ryzyka i aktualizacji dokumentacji, jest to przyczyna systemowa.

Przypadek: błędny transfer materiału

CDC opisało zdarzenie, w którym potencjalnie aktywny materiał przeniesiono z laboratorium wysokiego containment do niższego poziomu. Dochodzenie wskazało między innymi brak zatwierdzonego pisemnego planu oraz przepływ pracy niewystarczająco odporny na błąd; zalecono niezależny przegląd planów i wizualne zabezpieczenia.⁴

Wniosek nie brzmi „techniczka powinna bardziej uważać”. Projekt przepływu ma zapobiegać temu, by pojedyncza pomyłka tworzyła ekspozycję.

Działanie natychmiastowe, korygujące i zapobiegawcze

Korekcja usuwa aktualny problem: zamknięcie zaworu, wymiana pojemnika.

Działanie korygujące usuwa przyczynę wykrytej niezgodności: przeprojektowanie połączenia.

Działanie zapobiegawcze ogranicza podobne ryzyko w innych miejscach: przegląd wszystkich takich instalacji.

Sam zakup nowej rękawicy nie naprawia procesu, jeśli źródłem był wadliwy uchwyt.

Hierarchia działań

Preferuje się:

1. eliminację;
2. zastąpienie;
3. zmianę projektu i zabezpieczenie inżynieryjne;
4. detekcję i blokadę;
5. organizację oraz procedurę;
6. szkolenie;
7. PPE.

„Przeszkolić ponownie” jest łatwe, ale słabe, jeśli proces nadal dopuszcza tę samą pomyłkę.

Dobre działanie ma właściciela i termin

Każdy punkt powinien zawierać:

• opis;
• przyczynę, na którą odpowiada;
• właściciela;
• zasoby;
• termin;
• zakres;
• miernik wykonania;
• sposób sprawdzenia skuteczności;
• ryzyka uboczne.

„Zwiększyć ostrożność” nie ma mierzalnego zakończenia.

Sprawdzenie skuteczności

Zamknięcie zadania nie oznacza zamknięcia ryzyka.

Można sprawdzić:

• obserwację pracy;
• test blokady;
• próbny alarm;
• przegląd logów;
• trend near miss;
• audyt podobnych stanowisk;
• test wiedzy i kompetencji;
• symulację;
• wyniki kontroli jakości;
• brak obejść po określonym czasie.

Brak kolejnego wypadku przy małej liczbie prób jest słabym dowodem.

Działanie może tworzyć nowe ryzyko

Przykłady:

• cięższa osłona obciąża ergonomię;
• dodatkowy podpis tworzy automatyzm bez sprawdzenia;
• alarm o niskim progu prowadzi do ignorowania;
• mocniejszy środek uszkadza urządzenie;
• zamknięcie procesu utrudnia awaryjne odcięcie.

Po wdrożeniu potrzebna jest ponowna ocena.

Komunikowanie wniosków

Raport dla zespołu powinien:

• chronić dane medyczne i osobowe;
• opisywać mechanizm;
• pokazywać bariery;
• wyjaśniać zmiany;
• wskazywać, czego dotyczy w innych miejscach;
• unikać sensacji;
• nie ukrywać istotnej niepewności.

Uczenie się znika, jeśli raport trafia wyłącznie do archiwum.

Kultura sprawiedliwa

Nie oznacza braku odpowiedzialności.

Rozróżnia:

• zwykłą pomyłkę;
• zachowanie podejmowane w przekonaniu, że jest akceptowane;
• świadome ryzyko;
• celowe naruszenie;
• fałszowanie albo ukrywanie.

Reakcja proporcjonalna do zachowania zwiększa zaufanie. Automatyczna kara za zgłoszenie usuwa dane o systemie.

Wskaźniki

Sama liczba incydentów jest myląca.

Warto mierzyć:

• liczbę i jakość zgłoszeń near miss;
• czas od zdarzenia do zgłoszenia;
• czas do oceny medycznej;
• odsetek działań opóźnionych;
• powtarzające się bariery;
• skuteczność po wdrożeniu;
• rozpowszechnienie wniosków;
• zdarzenia podobne w innych działach.

Wzrost zgłoszeń po kampanii może oznaczać lepszą kulturę, nie gorsze bezpieczeństwo.

Minimalny raport incydentu

1. Co i kiedy się wydarzyło?
2. Jaki materiał, energia lub informacja były zaangażowane?
3. Kto mógł być narażony?
4. Jaką drogą?
5. Jakie działania natychmiastowe podjęto?
6. Kogo powiadomiono?
7. Jakie dowody zachowano?
8. Jaka jest oś czasu?
9. Które informacje są faktem, hipotezą i niewiadomą?
10. Jakie bariery miały działać?
11. Które zawiodły, a które ograniczyły skutek?
12. Jakie czynniki techniczne, organizacyjne i ludzkie współuczestniczyły?
13. Jakie są przyczyny źródłowe?
14. Jakie działania, właściciele i terminy?
15. Jak i kiedy sprawdzimy skuteczność?
16. Gdzie jeszcze istnieje podobny układ?

Co warto zapamiętać

• Najpierw człowiek i stabilizacja, potem dochodzenie.
• Podejrzenie ekspozycji zgłasza się bez czekania na skutek.
• Near miss jest cennym sygnałem słabej bariery.
• Oś czasu zaczyna się przed ostatnim ruchem operatora.
• Fakt, wniosek i hipoteza powinny być rozdzielone.
• „Błąd człowieka” jest początkiem pytań.
• Zwykle istnieje kilka przyczyn i kilka barier.
• Ponowne szkolenie jest słabe bez zmiany warunków pracy.
• Działanie wymaga właściciela, terminu i kontroli skuteczności.
• Wnioski trzeba zastosować także do podobnych systemów.

Dokąd dalej

Projektowanie kontroli rozwija Jak biolog projektuje eksperyment.

Ogólną ocenę rozwija Biosafety oparte na ocenie ryzyka.

Zmienność i sygnały procesu opisuje Powtarzalność, statystyka i efekt partii.

Źródła