Systematisk Fejlfinding og
Årsagsanalyse – Dag 2
vi gør os umage
Kære deltager
Dag 2 handler om at omsætte metoderne fra sidste gang til praksis i mere komplekse og tværgående situationer.
Fokus er mindre på at kende modellerne – og mere på at bruge dem skarpt.
I skal arbejde med nærved-hændelser, barrierer, overlevering, robusthed og læring på tværs af fagligheder.
Målet er ikke perfekte svar, men bedre analyser og stærkere risikoreducerende tiltag.
God arbejdslyst.
Med venlig hilsen
Michael Brorsen
Direktør og Erhvervspsykolog, MBK A/S
3543 4474 | michael@MBK.dk | www.MBK.dk
Pilestræde 61, 1112 København K
MBK
Velkommen til Dag 2
  • Sidste gange øvede vi metoderne — i dag træner vi løsninger, der forhindrer fejlene i at vende tilbage
  • Fokus er på barrierer, overlevering, robusthed og tværgående læring
  • Inspireret af 22 globale jernbane-cases — vi bruger mønstrene til at træne, ikke bare til at fortælle
  • I skal udfordre hinandens analyser – ikke bare præsentere dem
  • I får en AI-medunderviser og kilde-bibliotek med hjem — se næste slide
  • Hvilken del af Dag 1 gav mest mening for jer i praksis?
Workshop
AI-medunderviser og kilder — med hjem
Hvad husker I bedst fra Dag 1?
  • Parøvelse — 5 minutter: vend jer mod personen I sidder ved siden af
  • Fortæl hinanden: hvilken ene ting fra Dag 1 har siddet fast i jer?
  • Det kan være en metode, en case, en sætning — eller noget der irriterede jer
  • Vi samler op i plenum bagefter — I behøver ikke blive enige
  • Hvad har I talt med kolleger om efter Dag 1?
Par-quiz — 2 minutter
  • Vend jer mod sidepersonen — 2 minutter, derefter samler vi op i plenum
  • Spørgsmål 1: Hvornår bruger I 5 Hvorfor — og hvornår er Fiskeben det bedre valg?
  • Spørgsmål 2: Hvad er forskellen på en årsag og et symptom? Giv et eksempel fra jeres hverdag
  • Hvad var den sværeste del af analysearbejdet på Dag 1?
BLOK 1

Fra analyse til forbedring

Dag 1 gav jer metoder – Dag 2 giver jer anvendelse
  • 5 Hvorfor, Fiskeben og Swiss Cheese hjalp jer med at se årsager og mønstre
  • I dag flytter vi fokus fra analyse alene til handling og risikoreduktion
  • Det afgørende spørgsmål er ikke kun "hvorfor skete det?" men også "hvad gør systemet nu?"
  • Hvor ofte ender en analyse hos jer i reel ændring af praksis?
  • → Se næste slide: RCA-processen visualiseret
RCA-processen — overblik
RCA proces
Virksomhedssystemet — rammen fra i går
  • Barrierer og løsninger i dag rammer ind i det samme system I så i går
  • Procedurer, roller, værktøjer, kultur — det er her tiltagene skal leve
  • En svag løsning er typisk én der kun rører én del af systemet
  • Hvilken del af jeres virksomhedssystem arbejder vi mest med i dag?
Virksomhedssystemet — overblik
Virksomhedssystemet
En stærk analyse peger på barrierer – ikke bare fejl
  • Hvis problemet kan opstå igen i morgen, er analysen ikke færdig
  • Det er ikke nok at pege på den sidste handling i kæden
  • I skal kunne se, hvilke barrierer der skulle have fanget problemet tidligere
  • Og hvilke systemvilkår der gjorde fejlen sandsynlig under pres
  • Konkret: Efter Ladbroke Grove 1999 (UK, 31 døde) pegede RAIB (britisk havarikommission) ikke på lokoføreren — de pegede på signal-sigtbarheden og på fraværet af TPWS (automatisk bremsning ved rødt signal). Barrieren kom ud af systemet, ikke ud af endnu en kampagne om årvågenhed.
  • Tal med sidepersonen (5 min.) — Kan I nævne en episode hvor det var systemet omkring personen som var mangelfuldt? Del ét eksempel hver.
Fra symptom til risikoreduktion
  • Symptom: Vi fandt en fejl og stoppede den i tide
  • Analyse + Forbedring: Hvorfor kunne den passere — og hvilke barrierer skal styrkes?
  • Stresstest: Holder løsningen også på en travl nattevagt eller ved lav bemanding?
  • Internationalt: 64% af post-ulykke-tiltag i 22 jernbane-cases ender som engineered barriers — ikke som træning.
  • Hvor tit stopper jeres analyser ved symptomet?
Swiss Cheese — hvorfor barrierer fejler samtidig
Swiss Cheese — barrierer og huller
CSM-CA — en juridisk ramme
  • Der findes en fælleseuropæisk måde at lave årsagsanalyse på i jernbanedrift — den hedder CSM-CA.
  • CSM (Common Safety Method): fælles metoder for europæiske jernbaner — en juridisk ramme, ikke en anbefaling.
  • CSM-CA (Causal Analysis): årsagsanalyse-delen — når I kører 5 Hvorfor eller Fiskeben, er det et skridt i denne ramme.
  • ERA og NSA: ERA (EU's jernbaneagentur) udsteder guidance. NSA (Trafikstyrelsen i DK) fører tilsyn.
  • Hvor meget af det her var nyt for jer?
CSM-CA protokollen — 6 trin
  • 1. Planlæg (Banedanmark): overvågningsscope, prioritering, ejerskab. (risiko-baseret)
  • 2. Opdag (frontlinje + driftscentral): non-conformity, hændelse, near-miss. (nærved-hændelser tæller)
  • 3. Analysér årsager (tværfagligt — barrierer, ikke personer): 5 Hvorfor, Fiskeben, Swiss Cheese.
  • 4. Korrigerende handlingsplan (linjechef): konkret tiltag, deadline, ansvarlig. (stærk løsning)
  • 5. Verificér effekt (sikkerhedsfunktion): virker tiltaget under pres? (stresstest)
  • 6. Rapportér (sikkerhedsledelse → NSA + ECM): viden deles, ikke gemmes. ECM = Entity in Charge of Maintenance.
  • Tal med sidepersonen (5 min.) — På hvilken af de 6 trin er jeres egen praksis stærkest? Og hvor er den svagest?
5 Hvorfor — fuldt udfyldt eksempel (signalsvigt)
  • Problem (symptom): Signal viser rødt trods fri strækning
  • Hvorfor 1: Sporfeltet registrerer "optaget" → strømkredsen er brudt
  • Hvorfor 2: Strømkredsen er brudt → rustet skinnesamling
  • Hvorfor 3: Skinnesamlingen er rustet → manglende overfladebehandling
  • Hvorfor 4: Manglende overfladebehandling → samlingen er ikke i vedligeholdelsesplanen
  • Hvorfor 5 (grundårsag): Ikke i planen → skinnetypen blev ikke kategoriseret ved installation
  • Hvor langt er grundårsagen fra symptomet — og hvad fortæller det om jeres egne analyser?
Læs og lad os diskutere forskellen
Svag løsningStærkere løsning
"Vi skal være mere opmærksomme"Visuel eller fysisk check før frigivelse
"Jens skal huske det"Tjekliste, forcing function, dobbeltkontrol
"Vi tager det op på mødet"Ændret prioriteringslogik, fast trigger, standardarbejde
Træning i at overholde signaler (efter Ladbroke Grove 1999)TPWS — automatisk bremsning ved signal i fare (SPAD — Signal Passed At Danger — faldt ~80%)
  • Tal med sidepersonen (5 min.) — Find én "svag løsning" I selv har foreslået det seneste år. Hvad kunne den være blevet til?
Hierarkiet af kontroller — hvorfor rækkefølgen betyder alt
Fjern faren Redesign Tekniske barrierer Administrative Personligt udstyr svag stærk Stærkeste kontroller ligger ØVERST
  • 1. Fjern faren — kan opgaven helt undgås? (fx lukke ubevogtede overkørsler — Kisby UWC-lukning, UK)
  • 2. Redesign / substitution — erstat med noget sikrere (fx monobloc-hjul (massivt stålhjul uden samlinger) efter Eschede 1998 (tysk, 101 døde))
  • 3. Tekniske barrierer — interlocks (sporspærring), ATP/ETCS (automatisk bremsning), TPWS (nødstop ved rødt)
  • 4. Administrative — procedurer, checklister, træning (fx standardarbejde, pre-job brief)
  • 5. Personligt udstyr — begrænser skade, stopper ikke (fx høj-vis-tøj, gehørværn)
  • Hvor højt oppe i hierarkiet ligger jeres typiske løsningsforslag?
BLOK 2

Nærved-hændelser og tabt sikkerhedsinformation

Nærved-hændelser er gratis læring – hvis I bruger dem
  • En nærved-hændelse er en gave forklædt som advarsel
  • Ingen kom til skade – men systemet viste, hvor det er svagt
  • Hvis vi kun siger "heldigvis gik det" mister vi læringen
  • Konkret save: Peterborough 2014 (UK-nærved) — TPWS bremsede et tog der passerede signal i fare. Ingen kom til skade. RAIB brugte den nærved-hændelse som grundlag for at opdatere junction indicator-standarder (sporskiftemarkører der viser kørevej) på tværs af UK-nettet. Gratis læring, der blev brugt.
  • Hvor ofte bliver nærved-hændelser hos jer taget lige så alvorligt som hændelser?
Rail safety
Morton Junction 2024 — 2 sekunder fra fatal påkørsel
  • Hvad skete der: En arbejdsgruppe arbejdede på sporet ved Morton Junction (UK, 2024). Toget ankom — sporet var registreret fri. Kun en tilfældig forsinkelse på 2 sekunder forhindrede en fatal påkørsel.
  • Barrieren der fejlede: Overleveringen mellem planlægger, COSS (Controller of Site Safety) og signalgiver brød sammen. Sporarbejdsholdet var ikke korrekt registreret som "i sporet" i driftssystemet.
  • RAIB (Rail Accident Investigation Branch) anbefalede: Obligatorisk RC-TCOD (fjernstyret sporspærring) som primær barriere — ikke mundtlig koordination. Triangulering af lokation (signal-ID + milepost + GPS) før frigivelse.
  • Det afgørende spørgsmål: Hvad er forskellen på en hændelse og en katastrofe? Her: 2 sekunder.
  • Hvad i jeres eget system svarer til den koordinationszone mellem planlægger, COSS og signalgiver?
Case: Tabt sikkerhedsinformation ved vagtskifte
  • Banedanmark-parallel til Morton Junction: Samme interface-fejl — oplysninger der eksisterer, men ikke når frem i en form der tvinger handling.
  • Aftenvagten får besked om, at sporarbejde på spor 2 ikke er afsluttet som planlagt
  • Informationen noteres lokalt og nævnes mundtligt – men løftes ikke tydeligt ind i fælles overlevering
  • Morgenvagten overtager under tidspres og frigiver strækningen til planmæssig drift
  • Kort efter melder sporarbejdsleder, at holdet stadig befinder sig i sporet
  • Ingen kom til skade. Men systemet beskyttede dem ikke – det var tilfældet.
Hvad gør denne case fagligt interessant?
  • Informationen fandtes – men ikke i en form der tvang handling frem
  • Flere personer antog, at andre havde styr på afvigelsen
  • Overleveringen blev kortere netop da kompleksiteten steg
  • Der manglede en tydelig stopmekanisme før frigivelse af strækningen
  • Hvor i denne case er systemet mest afhængigt af menneskers hukommelse?
Fiskeben — fuldt udfyldt eksempel: SNCF-togene (2014)
  • Problem: 2.000 nye regionaltog (€15 mia) kunne ikke passere 1.300 franske stationer — perroner var få cm for smalle
  • Mennesker: SNCF (fransk statsbane) stolede på RFF's (fransk infrastrukturforvalter) måledata uden at verificere — ingen udfordrede forudsætningen
  • Metode: Ingen procedure for krydstjek af stationsmål mod hele netværket — kun nye stationer blev målt
  • Maskiner: Togene var korrekt bygget — efter de forkerte specifikationer
  • Materialer: Stationerne var 50+ år gamle — aldrig genmålt siden opførelse
  • Miljø: Organisatorisk adskillelse — RFF og SNCF opererede som to separate selskaber der ikke talte ordentligt sammen
  • Måling: RFF målte kun stationer fra de seneste 30 år — ingen fanget at datagrundlaget var ufuldstændigt
  • Hvor i jeres hverdag bruges data fra én afdeling uden at nogen tjekker den?
Fiskeben — vagtskifte-casen analyseret med 6M
  • Problem: Strækning frigivet til drift mens sporarbejdshold stadig var i sporet — nærved-hændelse kl. 06:28
  • Mennesker: Flere antog at andre havde styr på afvigelsen — ingen validerede det
  • Metode: Mundtlig overlevering uden struktureret protokol — ingen read-back, ingen forcing function før frigivelse
  • Maskiner: Intet system tvang status-check af aktivt sporarbejde før strækning kunne frigives
  • Materialer: Informationen levede i en personlig blok — ikke i fælles driftsoverlevering
  • Miljø: Tidspres og flere parallelle opgaver — overleveringen blev 4 min i stedet for 8-10
  • Måling: Ingen indikator der fanger ufuldstændig overlevering — kort overlevering så "normal" ud
  • Hvilken af de seks kategorier er svagest i jeres nuværende vagtskifte?
BLOK 3

Forbered gruppeøvelsen

Jeres analyseværktøjer — sådan kombinerer I dem
  • Swiss Cheese: Tegn lagene — hvor er hullerne? Hvad burde have stoppet det, men gjorde det ikke?
  • 5 Hvorfor: Vælg det svageste lag og bor dybere — hvad er systemårsagen bag barriere-svigtet?
  • Fiskeben (6M): Hvis I er i tvivl om kategorien — brug Fiskeben til at sortere bidragende faktorer
  • Reglen gælder stadig: Grundårsagen skal pege på et system eller en proces — ikke en person
  • Hvilket værktøj bruger I instinktivt — og hvad fortæller det jer om casen?
BLOK 4

Tværfaglig teamøvelse

Case 0 — Hændelsesdata (modeleksempel)
Hændelse: Et vedligeholdshold startede arbejde på et spor inden sporfrigivelsen var registreret i systemet. Et tog blev afsendt på strækningen. Nødbremsning 40 m fra holdet. Ingen tilskadekomne.
Forløb
  • COSS afventer systembekræftelse — giver verbal go-ahead til holdleder
  • Holdleder opfatter dette som fuld frigivelse — sætter holdet i gang
  • Systemregistrering forsinket — sporet vises som frit i trafikstyringen
  • Tog afsendt planmæssigt
  • Togfører opdager holdet — nødbremsning, stop 40 m fra arbejdszone
Barrierer der svigtede
  • Sporfrigivelsesprocedure (verbal ≠ systemregistrering)
  • Kommunikationsprotokol (COSS og holdleder forstod situationen forskelligt)
  • Trafikstyring (systemet viste korrekt — men arbejdet var allerede startet)
Bidragende systemforhold
  • Tidspres: arbejdsvindue var kort, forsinkelse i systemet
  • Ingen procedure for hvad holdleder gør mens han afventer
  • COSS håndterede flere opgaver samtidigt
Case 0 — Swiss Cheese: hvilke lag svigtede?
LAG 1 — Sporfrigivelsesprocedure Kræver systemregistrering FØR arbejde må starte ← HUL Verbal go-ahead accepteret som nok LAG 2 — Kommunikationsprotokol COSS ↔ Holdleder Fælles forståelse af hvad "I kan gå i gang" betyder ← STORT HUL Ingen fælles forståelsescheck LAG 3 — COSS-opmærksomhed og kapacitet COSS ansvarlig for ét fokus: sporfrigivelse til ende ← HUL COSS håndterede andre opgaver LAG 4 — Trafikstyring og systemstatus Systemet viste korrekt — men arbejde var allerede startet lille hul Fare → Ulykke
Case 0 — 5 Hvorfor + stærkere barrierer
5 Hvorfor — svageste lag: Kommunikation
1 Holdet startede — COSS sagde "I kan gå i gang"
2 Ingen forskel på verbal og systemtilladelse i praksis
3 Proceduren antager COSS aldrig giver for tidlig tilladelse
4 COSS er under tidspres og deler opmærksomhed
✓ Proceduren er designet til idealbetingelser — ikke reelle driftsforhold
Stærkere barrierer
1 Digital startkvittering — system sender bekræftelse direkte til holdleder
2 COSS-fokusregel — ingen andre opgaver mens frigivelse pågår
3 Holdleder-standard — "Vi afventer systembekræftelse — ingen rører sporet"
Stresstest: Holder barriere 1 på en travl dag? Ja — teknisk løsning, uafhængig af menneskelig vurdering under pres.
Case 0 — Fiskeben (6M): hvad bidrog til hændelsen?
Problem: Holdet startede arbejde uden systemregistreret sporfrigivelse — tog kom 40 m fra
Mennesker
  • COSS delt opmærksomhed under frigivelse
  • Holdleder kender ikke afventningsprotokol
Metode
  • Ingen standard: verbal → systemfrigivelse
  • Ingen protokol for holdleders ventetid
Maskiner / teknologi
  • Systemregistrering forsinket
  • Ingen digital startkvittering til holdleder
Materialer / information
  • "I kan gå i gang" — uklar besked
  • Ingen fælles kommunikationsprotokol
Miljø
  • Kort arbejdsvindue, tidspres
  • Systemforsinkelse øgede pres på COSS
Måling
  • Systemet viste sporet som frit
  • Ingen alarm: verbal ≠ systemstatus
Format for teamøvelsen
  • Vælg en case — A, B eller C. Styrer I jer selv mod samme, er det også fint.
  • Trin 1: Brug Swiss Cheese — tegn lagene, find hullerne
  • Trin 2: Vælg det svageste lag — bor dybere med 5 Hvorfor eller Fiskeben
  • Trin 3: Foreslå 2-3 stærkere barrierer — undgå "mere opmærksomhed"
  • Trin 4: Præsenter (5 min) — andre teams svarer: system eller person?
  • Vælg: tidsholder og oplægsholder
Case A — Hastighedsoverskridelse og systemskift
Hændelse: Et eksprestog kørte med mere end dobbelt den tilladte hastighed ind i en skarp kurve og afsporede. Mange omkom.
Forløb
  • Lokomotivfører fører telefonsamtale under kørsel
  • ATP-system skifter automatisk driftsmode ved indkørsel til nyt signalafsnit
  • I det nye mode er hastighedsalarm deaktiveret — ingen notifikation til fører
  • Lokomotivfører opdager for sent at hastigheden er kritisk høj
  • Nødbremsning iværksat — for sent
Barrierer der svigtede
  • ATP hastighedsovervågning (deaktiveret ved mode-skift)
  • Hastighedsalarm i kabinen (ikke aktiv i dette mode)
  • Ingen visuel advarsel om at mode var skiftet
Bidragende systemforhold
  • To inkompatible ATP-systemer på samme strækning
  • Ingen procedure for lokomotivfører ved mode-skift
  • Ingen håndhævet politik om brug af telefon under kørsel
Case B — Skinnebrud og vedligeholdsgab
Hændelse: Et passagertog afsporede ved et skinnebrud på en højhastighedsstrækning. Fire omkom.
Forløb
  • Skinnerevne opdaget ved inspektion — 21 måneder før ulykken
  • Fejl registreret, arbejdsordre oprettet
  • Ny inspektion 9 måneder før: fejlen noteret igen — stadig ikke udbedret
  • Ingen eskalering, ingen strækning lukket
  • Tog passerer med 185 km/t — skinne bryder
Barrierer der svigtede
  • Inspektionssystem (fund ikke eskaleret automatisk)
  • 300+ åbne arbejdsordrer, ingen risikorangering
  • Ingen eskaleringsprotokol ved gentagen kritisk fund
Bidragende systemforhold
  • Vedligehold outsourcet — ansvar uklar ved kritiske fund
  • Inspektører uden mandat til at lukke strækning
  • Kommunikation via e-mail, ikke fælles system
Case C — Kompetencegab og nærved-hændelse
Hændelse: En lokomotivfører på prøvekørsel med nyt materiel kørte forbi et rødt signal. Ingen tilskadekomne — nærved-hændelse i depotområde.
Forløb
  • Lokomotivfører fuldt godkendt på gammelt materiel
  • Nyt materiel introduceret — 2-dages kursus afholdt
  • Systemet registrerer vedkommende som "godkendt til nyt materiel"
  • Første solotur: bremsekarakteristik anderledes end forventet
  • Passerer signal ved rødt — lav hastighed, depotområde
Barrierer der svigtede
  • Kompetencesystem (2 dages kursus = fuld godkendelse)
  • Ingen krav om ledsaget kørsel på nyt materiel
  • TPWS ikke installeret i depotområde
Bidragende systemforhold
  • Kompetencekrav sat af producent, ikke operatør
  • Ingen overgangsperiode: "under oplæring" vs. "godkendt"
  • Rapporteret usikkerhed — fik grønt lys alligevel
Roller i teamet
  • Analyseansvarlig: holder struktur og skriver kort
  • Tidsholder: sørger for fremdrift og prioritering
  • Oplægsholder: fremlægger skarpt og kort
  • Alle: udfordrer antagelser og bidrager med faglige vinkler
  • Hvem i jeres team vil typisk se noget, andre overser?
Teamwork
Faglig sparring gennem faste linser
  • Driftsrobusthed: Holder løsningen på en travl driftsdag?
  • Overlevering og eskalering: Er ansvar og stop-signaler tydelige?
  • Barrierestyrke: Hvilke barrierer er stadig for svage?
  • Tværgående samspil: Hvad ville en anden funktion eller vagt se anderledes?
  • Hvilken af linserne udfordrer jeres normale måde at tænke på?
Det vigtigste i præsentationen
  • Fremlæg kun det vigtigste – ikke hele analysen
  • Fortæl: 1) vigtigste systemiske risikofaktorer, 2) stærkeste tiltag, 3) hvor løsningen stadig er sårbar
  • Gør det muligt for de andre teams at se jeres blinde vinkler hurtigt
  • Det handler ikke om at have ret – det handler om at gøre analysen skarp
Red Team — angrib jeres egen løsning (25 min)
  • Team A giver deres løsning til Team B — og omvendt
  • Jeres opgave: find hvor løsningen knækker — ikke hvor den er god
  • Test den mod: tidspres, nattevagt, vikar, afbrydelse, lav bemanding
  • Skriv 3 konkrete angreb ned — "i denne situation holder løsningen ikke fordi…"
  • Lever angrebene tilbage — det er en gave, ikke en dom
  • 📋 Facilitator: Team A angriber Team Bs løsning — og omvendt. Giv 10 min til angreb, derefter 5 min præsentation per team. Format: "I [situation] holder løsningen ikke fordi [årsag]."
  • Hvad overså I, da I byggede jeres egen løsning?
BLOK 5

Revision, transfer og afslutning

Udfyld protokol — det er jeres diplom-grundlag
  • Protokollen dokumenterer jeres deltagelse og er forudsætning for diplomet
  • Sådan gør I: tag protokol-arket, udfyld navn, dato og signatur
  • Noter kort hvad I vil bruge fra kurset mandag morgen (2-3 linjer)
  • Aflever til Michael før I går — så sendes diplom pr. mail i løbet af ugen
  • Alle deltagere fra begge kursusdage skal udfylde — ingen undtagelser
Tre mønstre der går igen — internationalt
  • Engineered barriers slår menneskelig årvågenhed — 14 af 22 cases. Fx TPWS (Train Protection and Warning System), RC-TCOD (Remote Controlled Temporary Cessation Of Drive), ATS-P (Automatic Train Stop — Pattern) og monobloc-hjul — når vi har fundet rod-årsagen, bygger vi den ud af systemet i stedet for at bede folk passe bedre på.
  • Overleveringer er hvor ulykker sker — 8 af 22 cases. Mellem systemer, teams og organisationer. Clapham 1988 (UK-signalfejl, 35 døde) og Waterloo 2017 (UK-afsporing ved station) er samme fejl 29 år fra hinanden: manglende "as-built"-audit (kontrol af at anlæg matcher tegning efter ombygning) i overgangen fra projekt til drift.
  • Just Culture gør fejl synlige — så de kan fixes. Efter Amagasaki 2005 (japansk afsporing, 107 døde) afskaffede JR West (Japans største togoperatør) deres straf-retraining (Nikkin Kyoiku — straf-genoptræning) og overgik til Safety-II (studér hvorfor det går godt) — curve-overspeed-hændelser faldt signifikant.
  • Hvor i vores egen organisation kunne vi flytte en risiko fra vurdering til barriere?
14 engineered barriers efter ulykken
  • Automatiske togkontrol-systemer: TPWS (nødstop ved rødt), ATP/ETCS-beacons (hastighedsovervågning), ATS-P (Automatic Train Stop — Pattern) — Ladbroke Grove, Santiago, Amagasaki.
  • Fjernbetjent sporbeskyttelse: RC-TCOD (fjernstyret sporspærring), barrier-interlock (sporspærre der låser signal) — Margam 2019, Morton Junction 2024, Helpston UWC.
  • Komponent-redesign: Monobloc-hjul (massivt stålhjul), tredjerails-ramper (strømskinne-indgange), LBS-klemmer (Lateral Beam Stabilisers) — Eschede 1998, Valhalla 2015, Audenshaw.
  • Vedligehold som barriere — ikke som procedure: rail grinding/milling-cykler (skinneslibning), bio-matematiske vagtplaner (træthedsmodeller) — Hatfield 2000, London Bridge.
  • Software som barriere: Software integrity lifecycle (formel softwarevalidering) — Cambrian Line 2017 (UK, ETCS-softwarefejl).
  • Hvor i vores system kunne vi flytte en vurdering til en barriere?
Fra international til hjemlig grund — to danske sager
  • Roskilde–Viby Sj., 28. februar 2023 (Havarikommissionen 2023-163): Under kontrolleret underboring løftede sporet sig ~55 mm mens et tog passerede i 155 km/t — "flyvehop". Havarikommissionen anbefalede at Banedanmark via risikostyring indfører proaktive og reaktive barrierer, ikke blot procedurer. Matcher mønster 1 (engineered barrier) og mønster 2 (overlevering entreprenør → drift).
  • Vigerslev, 6. september 2023 (Havarikommissionen 2023-452): Et godstog nærved-påkørte et arbejdshold fordi sporspærringen var ophævet mens holdet stadig var i sporet. Matcher mønster 2 (overlevering mellem signaller, arbejdsleder og hold) — den samme interface-fejl som Morton Junction (UK 2024).
  • Bundlinje: Mønstrene er ikke fjerne — de lever i vores egen årsberetning. De samme greb (engineered barriers, klare overleveringer, Just Culture) er dem Havarikommissionen peger på.
  • Hvilken af de to danske sager minder mest om noget vi selv har oplevet — og hvor er vores egen "as-built"-audit?
Revision gør læringen synlig
  • Når I retter jeres analyse efter sparring, bliver læringen konkret
  • Det viser, at tværfaglig kritik ikke svækker analysen – den styrker den
  • Marker gerne direkte, hvad I ændrede og hvorfor
  • Hvad ville I have overset, hvis I kun havde arbejdet i eget team?
Just Culture — systemets ansvar, ikke personens skyld
  • Udgangspunkt: de fleste fejl er produkter af systemet — ikke personlig svaghed
  • Skelnen: menneskelig fejl · risikabel adfærd · hensynsløs adfærd — kræver forskellige svar
  • Psykologisk tryghed: folk rapporterer kun det de tør sige højt — tavshed er dyrere end dårlige nyheder
  • Lederens rolle: spørg "hvad skete der?" før "hvem gjorde det?" — og mén det
  • Konsekvens: straf rammer symptomet, systemændring rammer årsagen
  • Tal med sidepersonen (5 min.) — Del ét eksempel hvor personlig skyld blev brugt som svar på en systemisk fejl. Hvad kunne være sagt i stedet?
Fra kursus til praksis
  • Hvilke typer nærved-hændelser bør I analysere hurtigere og mere systemisk?
  • Hvor i jeres organisation er overlevering og koordinering mest sårbar?
  • Hvilke stopmekanismer bør styrkes for at flytte risiko ud af hoveder og ind i systemet?
  • Hvad kan I ændre allerede i næste uge?
Job Instruction (JI) — forankring af nye barrierer
  • JI (Job Instruction): 4-trins TWI-metode — bruges i Toyota og luftfart. Brug den når CSM-CA finder en ny barriere der kræver ny adfærd.
  • De 4 trin:
    1. Forbered den lærende — sæt vedkommende til rette, fortæl hvad jobbet går ud på, find ud af hvad de ved i forvejen.
    2. Vis og forklar — demonstrér ét trin ad gangen, fremhæv nøglepunkterne, giv ikke mere end de kan nå at lære.
    3. Lad dem prøve selv — ret fejl, bed dem forklare nøglepunkterne med egne ord. Fortsæt til du ved, at de ved det.
    4. Følg op — selvstændigt arbejde, udpeg kontaktperson, tjek ind jævnligt og nedtrap gradvist.
  • Eksempel: CSM-CA peger på read-back ved sporfrigivelse. COSS demonstrerer → arbejdsleder øver → opfølgning uge 2 og 6.
  • Kilde: TWI Training Cards — Lean Enterprise Institute (PDF)
  • Hvilke nye standarder er indført hos jer uden JI-forankring — og hvordan går det med efterlevelsen?
International inspiration: Point-and-Call (Japan)
指差喚呼 "Signal — grøn!"
Yubisashi Kanko
(peg og kald)
  • Metoden: medarbejder peger fysisk på objekt og siger status højt ("Signal — grøn!")
  • Hvorfor det virker: multi-sensorisk — øjne + arm + mund + øren bryder autopilot
  • Målt effekt (RTRI — japansk jernbaneforskningsinstitut, 1994): fejlrate 2,38% uden → 0,38% med fuldt peg og kald (85% reduktion)
  • Bruges af: alle japanske togoperatører, New York Subway, Sydney Trains, KORAIL (sydkoreansk statsbane)
  • Hvor i jeres hverdag ville 2 sekunders "peg og kald" fange en fejl I ellers overser?
International inspiration: UK barrierelogik
  • TPWS efter Ladbroke Grove (1999): automatisk bremsning ved signal i fare — SPAD-risiko faldt ~80%
  • RC-TCOD (fjernstyret sporspærring): holder signaler i fare mens arbejdere er i sporet — nærved-hændelser faldt fra 65 til 16 årligt
  • Worksafe: enhver medarbejder kan stoppe arbejdet og kræve sikkerhedsvurdering — uden rang-overvejelse
  • CIRAS (Confidential Incident Reporting and Analysis System — fortrolig fejlrapportering): 45% af rapporter førte til konkrete ændringer — nul fortrolighedsbrud siden 1996
  • Hvilket af disse greb ville være sværest at indføre hos jer — og hvorfor?
International inspiration: Pre-job brief (luftfart, nuklear, UK jernbane)
  • Format: 5 min før arbejde + 5 min debrief efter
  • Indhold før: roller, farer, flugtruter, særlige forholdsregler, ændringer siden sidste briefing
  • Indhold efter: hvad gik godt, hvad overraskede, hvad skal vi dele
  • Effekt: fælles mentale modeller + umiddelbar læring — fanger afvigelser før de bliver hændelser
  • Stop-the-job autoritet: enhver kan stoppe uanset rang — kulturen SKAL beskytte den der taler op
  • Hvilke tre minutter kan I tilføje til jeres vagt-start på mandag?
Hvad tager I med mandag?
  • Individuelt — 3 minutter: skriv ét konkret svar på post-it eller i jeres noter
  • Vælg én barriere fra jeres case i dag — hvem ejer implementeringen mandag morgen?
  • Hvad er det første skridt? Hvem skal I tale med? Hvornår sker det?
  • Hvad skal der til for at det ikke bare bliver et kursus, men en reel ændring?
Kernepointe fra Dag 2
Forskellige teams ser ikke det samme – og netop derfor bliver løsningerne stærkere, når de udfordres af andre fagligheder.
  • Stærke analyser finder ikke bare årsager – de styrker barrierer
  • Stærke løsninger virker også under pres
  • Stærke teams tør udfordre hinanden fagligt
Refleksion
Litteratur — videre læsning
  • Dekker, S. — The Field Guide to Understanding 'Human Error' (3rd ed., 2014) — praktisk guide til at flytte fokus fra skyld til system
  • Hollnagel, E. — Safety-II in Practice (2018) — hvorfor det gode arbejde skal studeres, ikke kun fejlene
  • Reason, J. — Human Error (1990) — klassikeren bag schweizerost-modellen og aktive/latente fejl
  • Woods, D., Dekker, S., Cook, R., Johannesen, L., Sarter, N. — Behind Human Error (2. udg., Ashgate 2010) — hvordan systemer absorberer pres bag de synlige fejl
  • Shingo, S. — Zero Quality Control: Source Inspection and the Poka-Yoke System (1986) — forcing functions og fejl-forebyggelse ved kilden
  • Hvilken af de 5 ville I låne først — og hvorfor netop den?
Evaluering — scan QR-koden
  • Vi vil gerne høre, hvad der virkede og hvad der manglede
  • Evalueringen tager 2 minutter og er anonym
  • Scan QR-koden med kameraet på jeres telefon
  • Jeres svar former næste Dag 2 for et andet hold
  • Hvad er den ene ting I håber vi gør bedre næste gang?
QR-kode til evaluering
Tak for to dage
  • I har arbejdet skarpt — egne cases, hinandens blinde vinkler, metoderne
  • Stærke analyser styrker barrierer — brug det mandag morgen
  • Sparringspartner: Jernbane-RCA (ChatGPT) — venstre QR
  • Kilderne bag kurset: NotebookLM — højre QR
  • Michael Brorsen · Direktør, MBK A/S
  • 3543 4474 · michael@MBK.dk
  • Pilestræde 61, 1112 København K
QR til ChatGPT-sparringspartner
ChatGPT-GPT
QR til NotebookLM
NotebookLM