Near-miss: rögzítés és kivizsgálás

≈ 16 perc olvasás · 3126 szó

A csatornafedél nincs a helyén. Egy kolléga arra lép, félreugrik, és megy tovább. Nem történt semmi, tehát nincs mit jelenteni, ugye? Pedig ugyanez a hiányzó fedél másnap, sietve, rossz világításnál combtörés is lehetett volna. A near-miss pontosan ez: az az esemény, amelyből épp csak nem lett baj. Aki felírja, ingyen kap egy leckét a rendszer gyengeségeiről; aki lelép róla, később a teljes árat fizeti.

A near-miss (majdnem-baleset) olyan esemény, amely sérülés, kibocsátás vagy kár nélkül zajlott le, de más körülmények között súlyos baleset lett volna. Egyszerre utólagos (lagging) információ a már meggyengült védelmi rétegekről, és előremutató (leading) jelzés a jövőbeli tényleges eseményről. A rögzítés és a kivizsgálás célja nem a hibáztatás, hanem a védelmi rétegek gyengeségeinek feltárása, mielőtt valódi baleset történik.

1. ábra: a near-miss és a baleset ugyanabból a helyzetből ered; a különbség, hogy a védelmi réteg épp kibírta-e.

Kinek szól?

Azoknak, akik kvázi eseményekkel találkoznak, és dönteniük kell arról, mi legyen velük: operátor · műszakvezető · üzemvezető · technológus · karbantartó · HSE-szakember · megbízhatósági (reliability) mérnök.

Tanulási célok

A cikk után képes leszel:

megkülönböztetni a kvázi eseményt (near miss) a kvázi balesettől;
súlyosság szerint osztályozni egy eseményt (PEAR), és felismerni a high-potential (HiPo) esetet;
eldönteni, milyen mély kivizsgálás és milyen csapat jár egy adott eseményhez;
near-miss KPI-t felépíteni Tier 3 szinten, dual assurance leading párral.

TL;DR

A near-miss következmény nélküli, de potenciálisan súlyos esemény: ingyen lecke a rendszer gyengeségeiről.
Kettős természetű mutató: lagging (megtörtént barrier-gyengeség) és leading (előrejelez) egyszerre.
Csak a major eseményekből tanulni nem elég: azok ritkák. A near-missek gyakoribbak, ezért használhatóbb adathalmazt adnak.
A HiPo near-miss ugyanolyan rigorózus kivizsgálást érdemel, mint egy tényleges baleset.
A rendszer motorja a just culture: a bejelentés büntetésmentes, különben a near-missek nem kerülnek felszínre.
A near-miss a folyamatbiztonsági KPI-piramis 3. szintje (Tier 3).

Miért számít? (a tét)

Mert a be nem jelentett kvázi esemény nem tűnik el, csak láthatatlanná válik, és legyengült védelmi rétegként ott marad a rendszerben.

Nulla következmény, halálos potenciál, és egyetlen mondatnyi ok (az ideiglenes korlát nem került vissza), amit egy bejelentés után napokon belül javítani lehet.

Mi a near-miss, és honnan ered?

Annak a felismerésnek a gyakorlati következménye, hogy a súlyos baleset szinte soha nem egyetlen hiba műve. A folyamatipar sokáig abból tanult, ami már megtörtént. Ez a reaktív mód fontos, de az a stratégia, hogy megvárjuk, míg történik valami, aztán utólag tanulunk belőle, önmagában nem elegendő: a major események ritkák és lassan gyűlnek.

A súlyos baleset jellemzően több, egymástól független védelmi réteg (barrier) egyidejű átszakadásának eredménye. Ez a „svájci sajt” modell, amelyet Jim Reason professzor alkotott meg, és amelyhez az aktív és a latens hiba megkülönböztetése is kötődik: a lyukak egy része már régóta ott van a rendszerben, csak eddig nem álltak egy vonalba. A near-miss az a pillanat, amikor egy vagy több barrier már átszakadt, de a maradék rétegek még megfogták az eseményt.

2. ábra: a barrier-gyengeségek folyamatosan jelen vannak; a kérdés csak az, hogy egy vonalba állnak-e.

A near-miss kategóriájába tartozik:

küszöb alatti kibocsátás (LOPC, Loss of Primary Containment), például egy hordónál kisebb spill;
biztonsági rendszer igénybevétele (demand on safety system): nyomáshatároló szelep (PRD) megszólalása, biztonsági műszeres funkció (SIS) vagy védelmi leállás kioldása;
biztonságos üzemeltetési határ (SOL) túllépése, ahonnan előre meghatározott beavatkozás visz vissza;
megfigyelés egy nem biztonságos állapotról (unsafe condition), következmény nélkül.

Egy near-miss úgy ér véget, hogy „nem történt semmi”, és épp ez teszi nehézzé a felismerését. Annak megítélése, hogy egy esemény mennyire volt potenciálisan súlyos, szubjektív: kockázatbecslést igényel, vagyis olyan terepet, amely érzékeny a kognitív torzításokra.

Kvázi esemény vagy kvázi baleset?

A kettő nem ugyanaz: a kvázi esemény (near miss) a tágabb fogalom. Nem csak személyi sérülés lehetőségét jelenti, hanem foglalkozási megbetegedését, kárét vagy veszteségét is az emberekben, az eszközökben, a környezetben vagy a vállalat jó hírében. A kvázi baleset szűkebb: csak akkor beszélünk róla, ha mind a három feltétel teljesül:

történt műszaki meghibásodás vagy cselekvési hiba, amely veszélyt jelentett a környezetre;
a kialakult veszélyzónában személyek tartózkodtak;
baleset a körülmények szerencsés alakulása miatt nem történt.

Ha ezek nem állnak fenn, az esemény nem kvázi baleset: egy enyhe, munkaidő-kieséssel nem járó sérülés már valós baleset (NLTI).

3. ábra: fent a négyfokú súlyossági lépcső a hiányzó csatornafedélen levezetve, lent a baleseti piramis arányai.

A lépcső ugyanazt a helyzetet rendezi a kimenet súlyossága szerint: kvázi esemény (a hiányzó fedél önmagában), kvázi baleset (a kolléga felé lép, de félreugrik), NLTI (belelép, de csak meghorzsolódik), végül LTI (belelép és lábát töri).

Ugyanezt a logikát ábrázolja a baleseti piramis: minden súlyos kimenet alatt sokszoros számú enyhébb esemény húzódik. A DuPont-piramis tipikus arányai 1 halálos : 30 súlyos : 300 jelentésköteles : 3000 kvázi baleset vagy elsősegély : 300 000 balesetveszélyes cselekedet. A bázis kezelése csökkenti a csúcsot.

Hogyan kell rögzíteni és kivizsgálni egy near-misst?

Zárt hurokban: alacsony küszöbű, büntetésmentes bejelentés, a potenciál szerinti besorolás, a potenciállal arányos mélységű kivizsgálás, felelőshöz rendelt intézkedés, végül a hatásosság visszamérése és a tanulság megosztása.

4. ábra: a near-miss kivizsgálási folyamata, a triage-tól elváló két úttal.

1. Tedd pofonegyszerűvé a bejelentést. A folyamat ott kezdődik, ahol az esemény történik: a műszakban, az operátornál. Kártya, mobil űrlap vagy műszaknapló-bejegyzés; sok üzem külön stop card rendszert működtet. A bejelentés legyen büntetésmentes: a kivizsgálásnak soha nem célja a felelősök szankcionálása.

2. Rögzítsd üzemspecifikusan, mi számít near-missnek (PRD-megszólalás, SOL-túllépés, küszöb alatti LOPC, nem biztonságos állapot). Adj konkrét példákat, különben mindenki mást ért alatta.

3. Osztályozd a következményt és a potenciált. A súlyosságot négy kategóriában (PEAR: People, Assets, Environment, Reputation), 0-tól 5-ig kell megadni; a legsúlyosabb következmény adja az összesített besorolást. A near miss a 0. súlyosság, vagyis mind a négy kategóriában „nincs következmény”.

Súlyosság	Ember	Eszköz	Környezet	Jó hírnév
0 · near miss	nincs	nincs	nincs	nincs
1	enyhe sérülés	enyhe kár	telephelyen belüli	korlátozott
2	munkaidő-kiesés	kisebb kár	egyszeri túllépés	helyi panasz
3	súlyos, tartós	üzemleállás	telephelyen kívüli	tartós tiltakozás
4	halálos	súlyos kár	súlyos károsodás	országos
5	többszörös halálos	kiterjedt kár	tömeges, tartós	nemzetközi

A tényleges következményt az esemény adataival együtt, a potenciálisat a kezdeti vizsgálat után kell rögzíteni. Jön a triage kulcskérdése: reálisan mi lett volna a legrosszabb hihető kimenet (realistic worst case), ha a maradék védelem is csődöt mond? Ha a válasz major esemény, akkor high-potential (HiPo) near-miss.

4. Vezess kétsávos rögzítést. A HiPo near-miss a súlyos eseménnyel azonos sávon megy, jellemzően egy munkanapon belül a vállalati HSE-esemény-nyilvántartásba; a nem-HiPo eseteknél elég a helyi rendszer. Így a fontos esetek nem vesznek el a tömegben.

5. Igazítsd a kivizsgálás mélységét és a csapatot a súlyossághoz. Itt válik auditálhatóvá, amit a triage eldöntött.

Súlyosság	Kivizsgálás	Csapat
0–1	egyszerűsített elemzés	nem kell formális csapat
2–3 és minden HiPo	részletes kivizsgálás strukturált gyökérok-elemzéssel (Tripod vagy más módszertan)	multidiszciplináris, lehetőleg üzleti vezetésű, HSE-szakértő bevonásával
4–5	részletes kivizsgálás	a csapatvezető és legalább egy tag független az érintett szervezeti egységtől

A csapatban legalább egy képzett kivizsgáló legyen. A részletes jelentés kötelező tartalma: az eseménysor, az átszakadt barrierek, a gyökérokok és latens hibák, a javító intézkedések felelőssel és határidővel, valamint a bizonyítékok. Határidő: legfeljebb 60 naptári nap. Módszertanból az 5 Miért a gyors okfeltárásra, az RCA az általános esetre, a Tripod Beta, a HFIT és a HFACS a barrier-szemléletű emberi és szervezeti tényezők feltárására való.

6. Kövesd az intézkedéseket megvalósulás ÉS hatásosság szerint. A kivizsgálás akkor ér valamit, ha konkrét, határidős, felelőshöz rendelt intézkedéseket szül. A követés nem áll meg a lezárásnál: azt is értékelni kell, hogy az intézkedés elérte-e a célját, és ha nem, a kivizsgálást újra kell nyitni.

7. Oszd meg a tanulságot. Tanulság-levél, figyelemfelhívás vagy akció-riasztás formájában; HiPo és 3. súlyosságtól felfelé rövid, angol nyelvű összefoglalóval („five-pager”: leírás, következmények, gyökérokok, javító intézkedések, tanulságok). A kivizsgálási KPI-ket és a trendeket rendszeresen értékelni kell.

Folyamatipari kontextus és biztonság

Folyamatipari üzemben (kőolaj-feldolgozás, petrolkémia) a near-miss megfogható formái: PRD vagy biztonsági szelep megszólalása a beállítási nyomás felett, a Tier 1/2 küszöb alatt; SIS vagy védelmi leállás kioldása, például magas-magas szintnél; SOL-túllépés indítás, leállás vagy normál üzem közben (a fázisokra eltérő SOL-ok vonatkozhatnak); küszöb alatti LOPC; a riasztási rendszer hibái.

A megbízhatósági oldalon a „learn from failures” elv az analóg: gyakori, magas minőségű, prioritizált kivizsgálás. Tipikus rossz gyakorlat, ha csak a HSE-eseményeket vizsgálják ki formálisan, a kvázi-near-miss jellegű üzemi kieséseket nem. A megbízhatóságot ugyanazok a puha tényezők hajtják, mint a biztonságot: a szervezet, a teljesítménymenedzsment és a beállítódás (mindset).

Szabályozási és szabványkeret:

A Seveso III. irányelv (2012/18/EU) veszélyes anyagokkal foglalkozó üzemekre súlyos baleseti veszélyek kezelését írja elő; a biztonsági irányítási rendszer (SMS) része az események és near-missek rögzítése, kivizsgálása és a tanulságok visszacsatolása.
Az ISO 45001 explicit követeli az incidens (beleértve a near-misst) kivizsgálását és a korrekciós intézkedéseket (10.2 pont), valamint a munkavállalói részvételt a bejelentésben.
Az IEC 61511 / IEC 61508 (SIL) keretében a biztonsági műszeres rendszerek megszólalásai (demand-ek) a védelmi réteg igénybevételét jelentik; ezek követése visszacsatol a LOPA-ban feltételezett demand-gyakoriságra és a SIL-besorolásra.

Gyakorlati rész: a 20 perces near-miss-kalibráció

Ha holnap akarod elindítani, ezzel kezdd. Kell hozzá öt-hat kolléga, egy flipchart és húsz perc.

Gyűjts (5 perc). Mindenki írjon fel két helyzetet az elmúlt hónapból, amelyben „majdnem történt valami”. Név nélkül, cetlire.
Sorolj be (5 perc). Vegyétek végig a cetliket a PEAR-táblán: mi volt a tényleges következmény, és mi lett volna a legrosszabb hihető kimenet?
Szavazzatok a HiPo-król (5 perc). Melyik cetliből lett volna major esemény? Ezekre tegyetek piros pontot.
Fogalmazz meg egy akciót (5 perc). A legerősebb piros pontos esethez rendeljetek egyetlen intézkedést felelőssel és határidővel.

Házi feladat: két hét múlva nézzétek meg, hogy az intézkedés nemcsak lezárult-e, hanem el is érte-e a célját.

Mérés / audit

A near-miss a folyamatbiztonsági KPI-piramis 3. szintje (Tier 3): gyakoribb a Tier 1/2 eseményeknél, és egyszerre lagging és leading.

5. ábra: a folyamatbiztonsági esemény-piramis; a near-miss a Tier 3 szinten él.

Hasznos mutatók:

Near-miss bejelentések száma (db/hó) és trendje: érettség-jelző.
Near-miss / tényleges esemény arány: éber rendszerben magas.
Demand a biztonsági rendszerre: PRD-megszólalás és SIS-trip darabszáma, vagy demand/rendszer-típus ráta.
SOL-túllépések száma (minden túllépés külön).
Intézkedés-lezárási arány és átfutási idő, valamint a lezárt intézkedések hatásossága.

A napi kadenciában a near-miss-szám a teljesítménytábla Safety-oszlopában él: az SQDC-tábla (Safety, Quality, Delivery, Cost) biztonsági blokkjának három szokásos mutatója az LTI, a Near Miss és a stop card.

Dual assurance („kettős biztosíték”). Minden kritikus barrierhez érdemes egy leading (Tier 4) és egy lagging (például near-miss) KPI-t párosítani, és a kettőt korreláltatni; így tesztelhető, hogy a barrier erősödik vagy gyengül. A minta minden kritikus barrierre áll, nem csak a riasztásra:

Barrier	Tier 3 (inkább lagging)	Tier 4 (leading)
Riasztási rendszer	riasztásrendszer-hibák száma (tesztből, near-missből, tényleges eseményből)	a tervhez mért elvégzett riasztás-tesztek aránya
Személyi kompetencia	a gyakornoksághoz, a hiányzó technikai megértéshez vagy az elégtelen képzéshez köthető near-missek, LOPC-k, üzemi tripek száma	a kompetencia-kritériumot teljesítők aránya a kritikus szerepekben
Üzemeltetési eljárás	pontatlan eljárás miatti hibák; a near-missekből azonosított műveleti rövidre zárások száma	a terv szerint felülvizsgált eljárások aránya

Gyakori hibák

A hibák többsége nem a módszerben van, hanem abban, hogy a szervezet mit tesz a bejelentéssel.

Anti-minta	Miért baj	Helyes gyakorlat
A bejelentésnek (akár burkolt) ára van	a near-missek eltűnnek, a szám javul, a kockázat marad	méltányos (just) kultúra
A near-miss-szám csökkentése célszám	a metrika önmaga ellen fordul: alulbejelentésre ösztönöz	a bejelentések növekedése a bevezetés elején jó jel
„Nem történt semmi”, tehát lezárjuk	egy alulbecsült HiPo a könnyített útra csúszik	kötelező realistic worst case becslés, HiPo-küszöb
Csak a HSE-eseményeket vizsgálják	az üzemi kiesésekben rejlő barrier-gyengeség kimarad	prioritizálás minden jelentős kiesésre
Nincs termelési célszám, alig mérik a kiesett termelést	nincs viszonyítási alap	célszám és kiesésmérés a kivizsgálás mellé
„Akinek épp ráér” vizsgál	képzetlen kivizsgáló, felszínes megállapítás	képzett kivizsgáló minden csapatban
Nincs strukturált gyökérok-elemzés, a válasz mérnöki módosítás	a szervezeti ok érintetlen marad	RCA-módszertan, „operátor hibázott” helyett rendszerok
Az intézkedés lezárva, tehát kész	a lezárás nem azonos a megoldással	hatásosság-visszamérés, célt nem ért esetben újranyitás
Nincs dedikált megbízhatósági csapat	a barrier-gyengeségeknek nincs gazdája	nevesített reliability-felelősség
A tanulság a csapatnál marad	egy csapat tanul, a többi nem	tanulság-levél, five-pager, KPI-trend megosztása

Mikor NE használd? (a módszer korlátai)

Nem helyettesíti a tervezési kockázatelemzést. A HAZOP és a LOPA olyan forgatókönyveket is lefed, amelyek soha nem fordultak elő; a near-miss csak arról tanít, ami már majdnem megtörtént.
Önmagában nem jelzi előre a ritka, nagy hatású eseményt. A fekete hattyú gyenge jelei gyakran nem near-miss formában érkeznek.
Ne használd teljesítményértékelésre. Amint a bejelentés személyes következménnyel jár, az adat elromlik.
A near-miss-arány nem benchmark. A bejelentési kultúra érettsége szervezetenként annyira eltérő, hogy a darabszám félrevezető.
Triage és intézkedés nélkül a tömeges rögzítés adminisztráció, nem kockázatcsökkentés.

Vidd haza (kulcsok)

A „nem történt semmi” nem lezárás, hanem kérdés: mi lett volna a legrosszabb hihető kimenet?
Triage-olj potenciál szerint, ne a tényleges következmény szerint: a HiPo near-miss ugyanaz a sáv, mint a súlyos baleset.
Előbb a kultúra, aztán a rendszer. Büntetésmentes bejelentés nélkül minden lépés torzított adaton dolgozik.
A jelentésben mindig ott a barrier: mi szakadt át, és mi tartott.
A lezárt intézkedés nem megoldott probléma. Mérd vissza a hatásosságot, és ha nem érte el a célját, nyisd újra.

Önteszt

Magas szint miatt kioldott a védelmi leállás, kibocsátás nem történt. Kvázi esemény ez, kvázi baleset, vagy egyik sem? Indokold a három feltétellel.
Egy near-miss tényleges következménye mind a négy PEAR-kategóriában nulla, a reális rosszabb forgatókönyv viszont halálos zuhanás. Milyen kivizsgálás jár neki, és milyen csapattal?
Egy üzemben a near-miss bejelentések száma egy év alatt megháromszorozódott. Jó vagy rossz hír, és milyen második mutatóval erősítenéd meg az ítéletedet?

Hogyan jelenik meg a digitális gyakorlatban?

A near-miss logikája nem áll meg a papírkártyánál: ugyanez az elv szoftveresen is megvalósul egy jól tervezett eseménykezelő rendszerben.

Near-miss-elv	Digitális megvalósítás	Mit ad
Alacsony küszöbű bejelentés	mobil near-miss bejelentő, kevés kötelező mezővel	a rögzítés ott történik, ahol az esemény
Potenciál-alapú triage	kötelező „legrosszabb hihető kimenet” mező, automatikus HiPo-jelölés	a „nem történt semmi” nem zárja le az ügyet
Action tracking és visszamérés	akció felelőssel, határidővel, majd utólagos hatásosság-értékelés	a lezárás nem fedi el a megoldatlan problémát
Tanulság-megosztás	kereshető esettár, értesítés a hasonló üzemeknek	egy csapat tanulsága a szervezeté lesz

Kapcsolat az OPEREX-hez (műszaknapló)

A near-miss életciklusának első és legkritikusabb pontja a rögzítés a forrásnál, abban a műszakban, ahol az esemény történt. Pont itt szokott elveszni a tudás: műszakváltáskor, szóbeli átadáskor, vagy mert a bejelentés körülményes. Az OPEREX műszaknapló SaaS a műszak eseményeit (köztük a near-misseket, demand-eket és SOL-túllépéseket) strukturáltan rögzíti már a keletkezés pillanatában. Így a near-miss nem utólag, emlékezetből összerakott bejegyzés, hanem időbélyeges, kereshető adat: a kivizsgálás és a Tier 3 KPI-trend alapja.

Terminológia (HU / EN / JP)

Magyar	English	Japán / megjegyzés
kvázi esemény, majdnem-baleset	near-miss	ヒヤリハット (hiyari-hatto): a tágabb fogalom
kvázi baleset	near-accident	három feltétel együttes teljesülése
nagy potenciálú near-miss	high-potential (HiPo) near-miss	reális rosszabb esetben major esemény
gyökérok-elemzés	Root Cause Analysis (RCA)	根本原因分析: strukturált okfeltárás
védelmi réteg	barrier	a „svájci sajt” rétegei
elsődleges zárás elvesztése	Loss of Primary Containment (LOPC)	kibocsátás
biztonsági rendszer igénybevétele	demand on safety system	PRD- vagy SIS-megszólalás
méltányos kultúra	just culture	büntetésmentes, őszinte bejelentés
súlyossági kategóriák	PEAR (People, Assets, Environment, Reputation)	0–5 skála, a near miss = 0

GYIK

Mi a különbség a near-miss és a kvázi baleset között?

A near-miss (kvázi esemény) a tágabb fogalom: minden esemény ide tartozik, amely sérülést, foglalkozási megbetegedést vagy kárt okozhatott volna az emberekben, az eszközökben, a környezetben vagy a vállalat jó hírében. Kvázi balesetről csak akkor beszélünk, ha egyszerre teljesül, hogy történt műszaki vagy cselekvési hiba, a veszélyzónában személyek tartózkodtak, és a baleset csak a szerencsés körülmények miatt maradt el.

Mikor kell egy near-misst high-potential (HiPo) eseménynek minősíteni?

Akkor, ha a reálisan elképzelhető legrosszabb kimenet major esemény lett volna, feltéve, hogy a maradék védelem is csődöt mond. A HiPo near-misst ugyanazon a sávon kell kezelni, mint egy súlyos balesetet: gyors rögzítés, részletes kivizsgálás strukturált gyökérok-elemzéssel, multidiszciplináris csapattal.

Miért baj, ha a near-miss-bejelentések számát célként kezeljük?

Mert a csökkenő szám jutalmazása alulbejelentésre ösztönöz: a szám javul, a valós kockázat viszont marad, sőt láthatatlanná válik. A bevezetés elején a bejelentések számának növekedése jó jel, mert érettebb jelentési kultúrát mutat.

Meddig tarthat egy near-miss kivizsgálása?

Legfeljebb 60 naptári napig. A 0–1 súlyosságú eseménynél egyszerűsített elemzés is elég; 2. súlyosságtól és minden HiPo esetnél részletes kivizsgálás jár, strukturált gyökérok-elemzéssel.

Honnan tudom, hogy a kivizsgálásból lett-e valami?

Onnan, hogy az intézkedéseket nemcsak megvalósulás, hanem hatásosság szerint is követik. Ha egy lezárt intézkedés nem érte el a célját, a kivizsgálást újra kell nyitni; a puszta lezárási arány félrevezető mutató.

Kapcsolódó fogalmak

HAZOP · LOPA · SIL · MOC · 5 Miért · robusztussag-redundancia · fekete-hattyu-esemeny · safety-cross · performance-board

Következő lépés

Ha ezt megértetted, innen érdemes tovább menned, ebben a sorrendben:

5-miert — a kivizsgálás motorja: a bejelentéstől a cselekvésre alkalmas gyökérokig.
lopa-sil — hogyan lesz a near-missből mért demand-gyakoriság, és hogyan hat vissza a védelmi rétegek méretezésére.
safety-cross — hogyan teszed a biztonsági teljesítményt naponta láthatóvá.

Hivatkozások / További olvasnivaló

IOGP/OGP: Process safety — recommended practice on key performance indicators (Report 456). A Tier 1–4 KPI-piramis és a „dual assurance” barrier-párosítás kanonikus forrása.
API RP 754: Process Safety Performance Indicators for the Refining and Petrochemical Industries.
CCPS (AIChE): Process Safety Metrics — Guide for Selecting Leading and Lagging Indicators.
James Reason: Human Error (Cambridge University Press, 1990); A Life in Error (Ashgate, 2013). A „svájci sajt” modell, az aktív és latens hiba megkülönböztetése, a méltányos (just) kultúra fogalma.
Ronald W. McLeod: Designing for Human Reliability in the Oil, Gas, and Process Industries. Gulf Professional Publishing, 2015.
Stichting Tripod Foundation / Energy Institute: Tripod Beta incidenskivizsgálási módszertan.
Gordon, Flin, Mearns: A human factors investigation tool (HFIT) for accident analysis. Safety Science 2005;43:147–171.
Shappell, Wiegmann: The Human Factors Analysis and Classification System (HFACS). DOT/FAA/AM-00/7, 2000.
2012/18/EU (Seveso III) irányelv és az ISO 45001:2018 szabvány 10.2 pontja.