Proceeding of 10th National Conference of Iran Maintenance Association

Developing a framework for selecting accident and critical

failure analysis techniques based on system complexity

Mahdieh Sedghi

Abstract

Root cause analysis techniques has been used widely in different industries to analyses accident

and critical failures. Most of the techniques applied by practitioners has a cause and effect

approach. By increasing complexity in industrial systems, new systematic approaches has been

developed to model the interactions of component in a complex system. Many of these

techniques are unknown for industrial practitioners. In this paper, a brief summary of system

theories approaches in the area of accident analysis is presented and their differences with

traditional cause and effect techniques are investigated. In addition, to implement the right

analysis technique, Cynefin framework is used to classify different maintenance and Root Cause

Analysis strategies based on system behavior.

خرابی و تحلیل حوادث بر حسب ایریشهارائه چارچوب انتخاب روش تحلیل علل

میزان پیچیدگی سیستم

1مهدیه صدقی

چکیده

قرار استفاده مورد صنایع در گسترده طور به خرابی و حوادث ایریشه علل تحلیل هایروش اخیر هایسال طی در

هاخرابی ایریشهرویکردهایی نوین جهت تحلیل حوادث و علل پیچیدگی. با توسعه سیستم ها و افزایش میزان گیرندمی

برای فعاالن حوزه صنعت هاروشتوسعه داده شده است که رویکردی سیستمی به فرآیند تحلیل دارند. بسیاری از این

های ها، تفاوتیهای سیستماتیک تحلیل حوادث و خرابهستند. در این مقاله تالش شده است تا با معرفی روش ناشناخته

سنتی علت و معلولی مورد بررسی قرار گیرند. همچنین جهت انتخاب روش مناسب تحلیل بر مبنای هایروشبا هاآن

ارائه شده است. با استفاده از این چارچوب 2میزان پیچیدگی سیستم چارچوبی مفهومی با استفاده از چارچوب کیونوین

های آن انتخاب نمایند. سب را بر حسب شرایط صنعت و نیازمندیروش تحلیل منا توانندمیتحلیل گران

، روش های سیستمی تحلیل 4علت و معلولروش های تحلیل ، )RCFA(، تحلیل ریشه ای علل خرابی 3پیچیدگی: کلمات کلیدی

چارچوب کیونوین، (SAA) حوادث

کارشناس ارشد صنایع دانشگاه امیرکبیر 1

3498213 912 98+، تلفن تماس: sedghi@aut.ac.ir-mahdiehپاسخگو: اطالعات تماس نویسنده2 Cynefin Framework 3 Complexity 4 Cause and Effect Analysis

مقدمه -1

از اهداف اصلی مدیریت 5از ریسک باالیی برخوردار است هایشانهایی که ماهیت فعالیتارتقاء فرهنگ ایمنی در سازمان

های انسانی در کنار امنیت کیفیت در قالب جلوگیری از تلفات و آسیب توانمیشود. ایمنی را سیستم در نظر گرفته می

حلیل در ارتقاء فرهنگ ایمنی ت اثرگذار. یکی از عوامل ((2014)و همکارانش Wretstrandارائه خدمت تعریف نمود )

بحرانی و طراحی مکانیزم های تغییر رفتار در سازمان است. دانش خلق شده در خصوص مکانیزم هایخرابیحوادث و

.به عنوان بخشی از استراتژی ممانعت از رخداد مجدد آن باشد تواندمیتغییر رفتار

ها درصد از خرابی 07تا 07حدود ای، نظامی، پتروشیمی و هوایی در صنایع مختلف هسته شدهانجامتحقیقات حسب بر

. بسیاری از این خطاها به دلیل عدم تحلیل و ((2011)و همکارانش Frenchدهند )به دلیل خطای عامل انسانی رخ می

.نمایندهای جانی و مالی بسیاری را به سازمان تحمیل میشوند و هزینهتکرار می مجدداًشناخت دقیق

ای تحلیل علل ریشههای های اخیر جهت تحلیل و ارزیابی علل رخداد حوادث و ممانعت از وقوع مجدد، روشدر طی سال

ای عیوب از های متعددی جهت تحلیل علل ریشهگیرند. روشبه طور گسترده در صنایع مورد استفاده قرار می 6عیوب

8و تحلیل سیستماتیک حوادث 0های علت و معلولیو دسته تحلیلکه در ادبیات به د اندشدهدادهمیالدی توسعه 67دهه

.Waterson (2014)و Underwood) اندشده بندیدسته

های نتیجه خرابیبه عنوان حوادث HAZOP17، استخوان ماهی و یا 0های علت و معلولی مانند درخت خطادر روش

شود. با افزایش پیچیدگی سیستم سیستم، فعالیت غیر ایمن نیروی انسانی و یا عوامل پنهان سازمانی تعیین می بارفاجعه

ها به دلیل خطی در نظر گرفتن و سازی روابط غیرخطی متغیرها در رویداد حوادث از کارایی الزم برخوردار ها، این روش

شوند. به عنوان مثال سقوط شاتل فضایی اسب وضعیت سیستم مینیستند و منجر به رخداد مکرر خرابی و عدم اصالح من

ای پیچیده بلکه به دلیل ظهور پدیده اندندادهبه سادگی ناشی از چنین عواملی رخ Comairشرکت 5101کلمبیا و پرواز

. (de Carvalho (2011))در قالب تغییرات نرمال عملیاتی سیستم رخ داده است

هاروش. نگاه این اندشدهدادههای نوین با رویکردی سیستمی، برای حل این مشکالت توسعه شهای اخیر رودر طی سال

سیستم با دهندهتشکیلاجزای کنترلغیرقابلو نشدهبینیپیشنتیجه ارتباطات در قالب هاخرابیبه حوادث و

گیرد ان یک کل مورد تحلیل قرار میای جدا از هم بلکه به عنوزشود و سیستم نه به صورت اجها تعریف مینیازمندی

(Underwood وWaterson (2013).

5 High-risk organization 6 Root Cause Failure Analysis 7 Causal analysis 8 Systemic Accident Analysis (SAA) 9 Fault tree 10 Hazard and Operability Analysis (HAZOP)

به جای بررسی زنجیره وار علل خرابی، ارتباط بین FRAM 12و یا STAMP 11های تحلیل سیستمی مانند روش

و نقش تصمیمات و عملکرد افراد مختلف از سطح نمایندمیمختلف در رخداد خرابی و یا حادثه را تحلیل هایمؤلفه

در هاروشگیرند. به عنوان مثال نگرش به ایمنی در این حاکمیت تا کاربر تجهیز در تحلیل خرابی مورد بررسی قرار می

که به جای تمرکز بر علل رخداد حوادث به عوامل موثر در پیشگیری و یا شودمیقالب زنجیره ارزش ایمنی تعریف

عیوب بایستی متناسب با میزان پیچیدگی ایریشهروش تحلیل علل شدهمطرحپردازد. بر حسب کلیات د حادثه میرخدا

های علت و معلولی سازمان و میزان ریسک در آن تعیین شوند. جهت پاسخگویی به این نیاز در بخش بعد تاریخچه روش

هاخرابیانتخاب مدل مناسب جهت تحلیل حوادث و و تحلیل سیستماتیک مورد بررسی قرار گرفته است و چارچوبی

برای صنایع ایرانی ارائه شده است.

علت و معلولیهای تحلیل روش -2

را به صورت از عوامل فیزیکی، انسانی و محیطی ایزنجیرهکه توضیح داده شد گونههمان علت و معلولیتحلیل هایروش

، 14، آنالیز تغییر13، درخت خطا، نمودار رخدادها و علل سببیFMEAمانند هاییروش. دهندمیمتوالی مورد بررسی قرار

STEP 15 وTRIPOD توسط شدهانجامکه در مطالعه کنندمیاز همین رویکرد پیرویSklet (2004)، 14 روش تحلیل

شود تمرکز بر توالی عوامل فیزیکی وارد می هاروشاز انتقادات مهمی که به این . اندشدهدادهشرح علت و معلولی

هایدر سیستم بحرانی هایخرابیتجهیزات و یا نیروی انسانی و اشتباه در متهم کردن این عوامل در رخداد حادثه و یا

است. این رویکرد سبب از دست دادن فرصت شناخت کامل سیستم و روابط میان متغیرها جهت جلوگیری از پیچیده

شود. حادثه و یا خرابی بحرانی به ویژه در سیستم های پیچیده می رخداد مجدد

(:(2011)و همکارانش Dekker و Leveson (2004a)به چهار صورت بیان نمود ) توانمیمفهوم پیچیدگی سیستم را

بین اجزای سیستم است ارتباطاتکه ناشی از 16پیچیدگی تعاملی،

خرابی اجزا نیست هایحالتدر ارتباط با هاخرابیکه در این حالت علت رخداد 10غیرخطیپیچیدگی،

که ناشی از رسیدن به حاالت حدی در مزرهای پایداری سیستم است 18 پیچیدگی پویا،

که ناشی از عدم امکان شکست ساختار سیستم به اجزا قابل تفکیک است 10 پیچیدگی در ساختار اجزا.

11 Systems Theoretic Accident Modelling and Processes model (STAMP) 12 Functional Resonance Analysis Method (FRAM) 13 Events and causal factors charting (ECFC) 14 Change analysis 15 Sequential Timed Events Plotting (STEP). 16 Interactive Complexity 17 Non-Linear Complexity 18 Dynamic Complexity 19 Decomposition Complexity

بیشتر هاآنپردازند و استفاده از به ارزیابی ابعاد پیچیدگی و تغییرات سیستم در طی زمان نمی علت و معلولی هایروش

شود ، پیشنهاد داده میاندبودهدر حادثه دخیل مستقیماًبرای ترسیم توالی اتفاقات و رخدادها و بررسی عواملی که

(Senge (2006)).

سیستمی در تحلیل حوادث یهاروش -3

به طور تواندنمی هاخروجی. این پردازدمیهای پیچیده امروزی، انسان در تعامل با تکنولوژی به خلق خروجی در سیستم

های متشکل از انسان و تکنولوژی در درون ساختار پیچیده اجتماعی مجزا توسط ماشین و یا انسان ایجاد شود. سیستم

ی هستند. مطالعه عسیاسی، فرهنگی، اقتصادی، حقوقی و اجتما یهامؤلفهگیرند که در برگیرنده اهداف سازمانی، قرار می

نیازمند شناخت تعامالت و ارتباطات بین جنبه های مختلف فنی، انسانی، 27فنی -های پیچیده اجتماعیاین سیستم

در علت و معلولیبا توجه به مفاهیم مطرح شده در خصوص محدودیت مدل های اجتماعی و سازمانی سیستم است.

این نیازها توسعه داده شده اند. نمودار ها، رویکردهای سیستمی جهت پاسخگویی بهل با افزایش پیچیدگی سیستمتعام

((2010)و همکارانش Salehنمایش داده شده است ) 1توسعه این روش ها در شکل شماره

روند توسعه روش های تحلیل حوادث و خرابی های بحرانی -1شکل شماره

را به عنوان حادثه سقوط شاتل فضایی کلمبیا توانمیبهتر تفاوت رویکرد سیستمی با رویکرد علت و معلول درکجهت

حادثه در سه سطح فیزیکی، سازمانی و علل CAIB (2003)گزارش ارائه شده توسط بر حسب . داد قرارمورد بررسی مثال

است. در بخش فیزیکی جدا شدن بخشی از بدن شاتل و قرار گرفتهتحلیل مورد شدن فرهنگ ایمنی در ناسا شکسته

داری و تعمیرات و افزایش در حوزه سازمانی و فرهنگ ایمنی عواملی چون کاهش بودجه نگه وبرخورد آن با بدنه

20 Socio- Technical

MNDحوادث ایجاد شده توسط انسان :

NAT نظریه حوادث نرمال :(Normal Accident Theory)

HRO سازمان های با قابلیت اطمینان باال :(High Reliability Organization)

FTA تحلیل درخت خطا :(Fault tree analysis)

ETA تحلیل درخت حوادث :(Event Tree Analysis)

FTA+ETA

MND احتمالی

NAT رویکردهای

نظریه

سیستمی و

کنترلی به

ایمنی

احتمالی ریسکتحلیل

HRO

دفاع عمقی

حاضر 07دهه 87دهه 67دهه

استفاده از . خروجی این تحلیل بااندشدهتعیینفشارهای خارجی جهت باال بردن نرخ پرتاب شاتل به عنوان علل حادثه

نمایش داده شده است. 2درخت خطا در قالب شکل شماره روش

تحلیل حادثه سقوط شاتل کلمبیا توسط تحلیل درخت خطا -2 شماره شکل

ها، عالوه بر شناسایی عللی که موجب قرار از مفاهیم پویایی سیستم گیریبهره، با STAMPهای سیستمی مانند در روش

توسط یکدیگر مورد ارزیابی هاآن، ارتباط بین این علل و چگونگی تشدید اندشدهگرفتن سیستم در حالت ریسک باال

نمایش داده شده است. 3شکل شماره خصوص مثال سقوط شاتل فضایی کلمبیا در . نتایج این تحلیل درگیرندمیقرار

STAMPتحلیل حادثه سقوط شاتل کلمبیا توسط روش -3شکل شماره

TPSخرابی

حادثه سقوط شاتل فضایی کلمبیا

کمبود پشتیبانی

مدیریتاز جانب فرهنگ ایمنی

کمبود

مانیتورینگعجله در

پرتابوضعیت

دمای باال

طراحی و

نگهداشت نا

مناسب

شکستن

فوم دوپایه

محدودیت

منابع

کمبود

ارتباطات

کاهش

منابع ناسا

کاهش

بودجه ایمنی

های اولویت برنامه

ایمنی

فعالیت های ایمنی

در سیستم

تاخیرات پرتاب

فشارهای

عملکردی

فشارها

انتظارات

نرخ پرتاب نرخ موفقیت

موفقیت

پرتاب

نرخ افزایش

رضایتمندی

نرخ افزایش ایمنی

رضایتمندی

درک ایمنی خطرات

باقی مانده

نرخ حادثه و

میزان شدت

ایمنی

فشار بر حدود

حد موفقیت

حل نمودن مشکل و

رفع علل فیزیکی

سیستمی با هایروشاصلی هایتفاوت توانمیی که تاکنون ذکر شده است، مفاهیمو شدهبیانه مثال با توجه ب

علت و معلول را در مقایسه هایروشدامنه تحلیل 4علت و معلولی در موارد زیر بیان نمود. شکل شماره هایروش

. دهدمیبا رویکردهای سیستمی نمایش

ازی زمانی مورد بررسی را بو سوابق سیستم توجه کافی ندارند به بعد زمان ی علت و معلولیهابسیاری از روش -1

آن. دهندهشکلتا عوامل کنندمی. در حقیقت بر روی نتایج منجر به رخداد خرابی تمرکز دهندنمیقرار

دهند. سیستم را مورد ارزیابی قرار نمی و پویایی نمایندمیبا رویکرد قطعی سیستم را تحلیل هاروشاین -2

. گیردنمیمورد بررسی قرار علت و معلولی هایروشدر بر ایمنی آن تأثیراتارتباطات درون سازمانی و -3

و فرهنگی را در ارتباط با فنی -اجتماعی هایپدیدهکه اندنشدهبه نحوی طراحی های علت و معلولی روش -4

ایمنی سیستم مورد ارزیابی قرار دهند.

علت و معلول را در مقایسه با رویکردهای سیستمی هایروشدامنه تحلیل -4شکل شماره

یکتوسط رویکردهای سیستمی به دلیل عواملی همچون کمبود منابع و داده و یا نگاه شدهارائهبا وجود تحلیل جامع

توسط شدهانجامبرای فعاالن صنعت ناشناخته هستند. به عنوان مثال در مطالعه هاروشتحلیلگر، بسیاری از این جانبه

تحلیل علل خرابی بر مبنای رویکرد سیستمی

مبنای رویکرد علت و معلولیتحلیل علل خرابی بر

Underwood وWaterson (2713) آشنایی با مدل های سیستمی تحلیل عتصنمتخصصان حوزه ، حدود هفتاد درصد از

.نمایش داده شده است 5. نتایج این تحقیق در شکل شماره اندنداشته هاخرابیحوادث و

سیستمی هایروشتفاوت میزان آشنایی محققان و فعاالن حوزه صنعت با -5شکل شماره

در صنایعی که از پیچیدگی که تحلیل مناسب شودمیسیستماتیک موجب هایروشعدم آگاهی فعاالن حوزه صنعت از

و McDonald نشوند. شناسایی هاآنجهت جلوگیری از وقوع مجدد انجام نشود و راهکارهای مناسبباالیی برخوردارند

Ryan (1992) یبنددستهارتباطات و میزان وابستگی بین اجزا عامل دوبر حسب در حوزه پیچیدگی صنایع مختلف را

نمایش داده شده است. 6در شکل شماره یبنددستهاند. نتایج این دهنمو

انقق

محد

رص د

تنع

صزه

حون

االفع

د رص

د

روش تحلیل

در حال حاضر استفاده می کنند یا

قبال استفاده نموده اند با آن آشنایی ندارم با آن آشنایی دارم

انقق

محد

رص د

صنایع بر حسب میزان پیچیدگی ارتباطات و وابستگی بین اجزاء یبنددسته -6شکل شماره

، پتروشیمی و بهداشت و درمان نیازمند ایهستههای هواپیمایی، نیروگاه نفت و گاز، معدنی،شور شامل کصنایع مختلف

پاسخگوییدر بخش بعد جهت با توجه به میزان پیچیدگی سیستم هستند. چارچوبی جهت انتخاب مدل تحلیل مناسب

دد آن ارائه شده است. به این نیاز چارچوبی مفهومی جهت انتخاب مدل تحلیل و راهکار پیشگیری از وقوع مج

برای مدیران و تحلیل گران مدل تحلیل مناسب انتخابگیری در چارچوب مفهومی تصمیم -4

فضای یبندمیتقسمدلی مفهومی جهت ( Boone (2007)و Snowdenو Snowden (2002)) 21چارچوب کیونوین

گیری را به چهار حوزه مطابق کینوین فضای تصمیمها است. و نحوه پاسخگویی در حاالت مختلف سیستم یریگمیتصم

نماید. تقسیم می 0شکل شماره

فضای شناخته شده و یا قلمرو دانش فنی ارتباط بین علل و معلول شناخته شده است. امکان مدل سازی

. در تمامی سیستم ها و حاالت رفتاری وجود دارد و عواقب هر نوع تصمیم به طور دقیقی قابل پیش بینی است

از توانمیاست. در این شرایط هاآنشناخت الگوهای رفتاری و پاسخگویی مناسب به گیریتصمیماین شرایط

عیوب و حوادث استفاده نمود. ایریشههای سنتی تبیینی جهت تحلیل علل مدل

برای اتخاذ اما اندشدهفضای قابل شناخت، قلمرو تحقیق علمی، روابط علت و معلولی به طور کلی شناخته

اطالعات بیشتر است تا نتایج هر تصمیم احتمالی به صور قطعی تعیین آوریجمعبرخی تصمیمات نیاز به

شوند.

21 Cynefin framework

پتروشیمی

های نیروگاه

ایهسته

تهتولید پیوس

حمل و نقل ریلی

خطوط مونتاژ و تولید

ات بیشتر کارخانج

تولیدی

معدن

فضایی

هپیچید خطی

کممح

ارتباطا

تس

سی

تگس

واب

زااج

حمل و نقل دریایی هواپیمایی

شرکت های

R & D

نظامی

چارچوب کیونوین -0شکل شماره

،متغیرهای محیطی، بیولوژیکی و ماحصلپیچیدگی در فضای پیچیده که قلمرو سیستم های اجتماعی است

علل و معلول تأثیراتارزیابی تعامالت و دربرگیرنده گیریتصمیمشرایط موضوعات دیگر است. در این فضا

بایستی شرایط به طور کامل سنجیده شده، مسائل تشریح شوند و استراتژی های گیریتصمیماست. پیش از

مناسبی در مواجهه با تغییرات باشند. همچنین برای پذیریانعطافاز جامعی در نظر گرفته شوند که

نیاز به تبحر و تجارب متخصصان است. گیریتصمیم

برای یانهیگزکه فراتر از تجارب متخصصان است و شرایط شامل اتفاقات و رفتارهایی گونه آشوبدر فضای

بر مبنای تحلیل انجام شود چرا تواندینم یریگمیتصمفرآیند شناسایی روابط علی و معلولی در دست نیست.

کرد. ینیبشیپارتباطات بین متغیرها را توانینمکه

ها ترسیم نمود و در بسیاری از سیستم بین این فضا مشخصیمرزهای توانینمبایستی این نکته را مد نظر قرار داد که

ساختاری اجرایی 1در جدول شماره با توجه به چارچوب کیونوین ها امکان مشاهده مشخصاتی از هر فضا ممکن است.

جهت انتخاب روش تحلیل مناسب بر مبنای شرایط سیستم ارائه شده است.

پیچیده

سیستم های اجتماعی قلمرو

روابط علت و معلولی پس از رخداد

حادثه قابل شناسایی هستند قابل شناخت

قلمرو تحقیق علمی

ز روابط علت و معلول با استفاده ا

ی داده های کافی قابل پیش بین

هستند

شناخته شده

رو دانش علمیمقل

شده و قابل روابط علت و معلولی شناخته

پیش بینی هستند

آشوب گونه

روابط علت و معلولی قابل

تشخیص نیست

انتخاب روش تحلیل مناسب بر مبنای شرایط سیستم ماتریس -1جدول شماره

روش تحلیل

شرایط سیستم راهکار پیشگیری از وقوع خرابی روش تحلیل

شده شناختههای ، و یا روشFTAمانند تبیینی تحلیلهای روش

تحلیل قطعی و کمی پیشگیرانه مبتنی بر زمان و یا کارکرد یهاروش

، FTA ،FMEAهای تحلیل تبیینی مانند روش قابل شناختTripod

یافزارهانرمخرابی با استفاده از یهادادهتحلیل

وضعیتهای پایش روش یسازادهیپتحلیل داده و

پیچیده هایو رویکرد های سیستماتیک تحلیل خرابیروش

فنی -اجتماعی(HRA-STAMP-FRAM)

پیشرفته تحلیل جهت یافزارهانرماستفاده از

سیستم و طراحی استراتژی های منعطف یسازمدل

سیستماتیک تحلیل حوادث یهاروش آشوب گونه

(STAMP-FRAM-Accimap) امکان پیشگیری وجود ندارد

و جدول شماره یک، چارچوبی مفهومی جهت انتخاب روش تحلیل مناسب بر حسب میزان پیچیدگی و 6شکل شماره

. دهندیمدر اختیار تحلیل گران و مدیران سیستم قرار مختلف یندهایفرآماهیت

یریگجهینت -5

سیستماتیک توسعه داده شده در ادبیات، های روش در کنار تحلیل علت و معلولی هایروشدر این مقاله پس از بررسی

چارچوبی کاربردی جهت انتخاب روش تحلیل مناسب بر حسب میزان پیچیدگی سیستم و چارچوب کیونوین ارائه شده

نماید تا از روش تحلیل است. شناخت صحیح سیستم و ارتباط آن با روش های توسعه داده شده به تحلیلگران کمک می

امل اثرگذار در رخداد خرابی و یا حوادث، جهت جلوگیری از وقوع مجدد آن و ارتقاء ایمنیمناسب برای ارزیابی عو

، استفاده نمایند. سیستم

منابع -6

de Carvalho, P.V.R., 2011. The use of functional resonance analysis method (FRAM) in a mid-air

collision to understand some characteristics of the air traffic management system resilience. Reliability

Engineering & System Safety 96 (11),1482–1498.

Dekker, S., Gilliers, P., Hofmeyr, J.-H., 2011. The complexity of failure: implications of complexity

theory for safety investigation. Saf. Sci. http://dx.doi.org/10.1016/ j.ssci.2011.01.008.

French, S., Bedford, T., Pollard, S. J., & Soane, E. (2011). Human reliability analysis: A critique and

review for managers. Safety science, 49(6), 753-763.

Leveson, N.G., 2004a. A new accident model for engineering safer systems. Saf. Sci. 42, 237e270.

McDonald, N., & Ryan, F. (1992). Constraints on the development of safety culture: A preliminary

analysis. The Irish Journal of Psychology, 13(2), 273-281.

Saleh, J. H., Marais, K. B., Bakolas, E., & Cowlagi, R. V. (2010). Highlights from the literature on

accident causation and system safety: Review of major ideas, recent contributions, and challenges.

Reliability Engineering & System Safety, 95(11), 1105-1116.

Senge, P., 2006. The Fifth Discipline – The Art & Practice of the Learning Organisation. Random House

Australia, New South Wales.

Sklet, S., 2004. Comparison of some selected methods for accident investigation. Journal of Hazardous

Materials 111, 29–37.

Snowden, D., 2002. Complex acts of knowing – paradox and descriptive selfawareness. Journal of

Knowledge Management 6, 100–111.

Snowden, D., Boone, M., 2007. A leader’s framework for decision making. Harvard

Business Review, 68–76.

Underwood, P., & Waterson, P. (2014). Systems thinking, the Swiss Cheese Model and accident analysis:

A comparative systemic analysis of the Grayrigg train derailment using the ATSB, AcciMap and STAMP

models. Accident Analysis & Prevention, 68, 75-94.

Wretstrand, A., Holmberg, B., & Berntman, M. (2014). Safety as a key performance indicator: Creating a

safety culture for enhanced passenger safety, comfort, and accessibility. Research in Transportation

Economics, 48, 109-115.