Hollnagel: FRAM, und warum die Unfallanalyse beim Normalbetrieb anfangen muss

Der Essay der letzten Woche endete mit einem Versprechen: eine Methode, die dort anfängt, wo die Käsescheiben aufhören. Über dem Bodensee waren zwei intakte Barrieren kollidiert, und das bekannteste Bild der Sicherheitswissenschaft hatte keine Sprache dafür. Doch heute gibt es die Sprache. Erik Hollnagel hat sie über Jahre entwickelt und 2012 in ein schmales, nüchternes Buch gepackt: FRAM: The Functional Resonance Analysis Method. Wer vom Schweizer Käse kommt, gibt beim Lesen zuerst eine Gewohnheit ab: die Annahme, dass eine Analyse bei dem beginnt, was schiefgelaufen ist.

Vom Modell zur Methode

Als Hollnagel die Idee 2004 in Barriers and Accident Prevention vorstellte, stand das M in FRAM noch für «Model»: Functional Resonance Accident Model, ein weiteres Unfallmodell also. Acht Jahre später hat er das Akronym umgebaut, aus dem Accident Model wurde die Analysis Method. Diese Umbenennung ist keine reine Kosmetik, sondern das Programm des Buchs. Ein Modell wie der Schweizer Käse bringt sein Bild mit (Scheiben, Löcher, eine Flugbahn), und die Analyse besteht darin, den Fall in dieses Bild einzusortieren. FRAM bringt kein Bild mit. Die Methode gibt vor, wie man ein Modell der untersuchten Tätigkeit baut; das Bild entsteht erst aus dem konkreten Fall. Hollnagel nennt das eine Methode ohne Modell. Was nach akademischer Spitzfindigkeit klingt, ist der grösstmögliche Abstand zur Käse-Folie, die auf jeden Unfall passt, gerade weil sie nichts über ihn weiss.

Warum es meistens gut geht

Das Fundament sind vier Prinzipien, und das erste ist das folgenreichste: Erfolg und Misserfolg entstehen aus derselben Quelle, der alltäglichen Variabilität der Arbeit. Dieselben Anpassungen, die einen Betrieb tausendmal durch den Tag tragen, erzeugen in seltenen Konstellationen ein Ereignis. Wer nur die Fehler untersucht, untersucht die Ausnahmen eines Betriebs, dessen Regelfall er nie verstanden hat.

Das zweite Prinzip erklärt, woher die Variabilität kommt: Menschen und Organisationen passen ihre Leistung laufend an die Bedingungen an, und zwar näherungsweise, nie exakt. Die Information ist unvollständig, die Zeit knapp. Wer gründlich sein will, wird langsam; wer schnell sein will, wird ungenau. Hollnagel hatte diesen Zielkonflikt drei Jahre zuvor als ETTO-Prinzip beschrieben, den Efficiency-Thoroughness Trade-Off, zu Deutsch den ständigen Abtausch zwischen Effizienz und Gründlichkeit. Die Anpassungen sind der Grund, warum Arbeit unter realen Bedingungen überhaupt funktioniert. Und sie sind zugleich das Material, aus dem Ereignisse werden.

Emergenz und Resonanz

Bleiben die zwei Prinzipien, die der Methode den Namen geben. Ergebnisse in komplexen Systemen sind emergent: Sie lassen sich nicht auf ein defektes Teil zurückführen, sie entstehen aus dem Zusammenspiel. Und die Variabilität mehrerer Funktionen kann sich koppeln und aufschaukeln, wie Schwingungen, die einander verstärken. Das ist die funktionale Resonanz. Jede einzelne Schwankung bleibt dabei in ihrem normalen Band, genehmigt oder zumindest geduldet. Erst ihr Zusammentreffen erzeugt ein Signal, das das System nicht mehr dämpft.

Damit hat die Nacht von Überlingen eine Beschreibung: Lotse und TCAS als zwei Funktionen, beide innerhalb ihrer Spezifikation, deren Outputs sich in einer Konstellation koppelten, die keine der beiden kannte. Kein Loch, nirgends. Zwei Barrieren in Resonanz.

Der Schweizer Käse bringt sein Bild mit und legt es über jeden Fall. FRAM kommt mit leeren Händen: Das Bild entsteht erst aus der Arbeit, wie sie an diesem Tag wirklich lief.

Wie sich eine Analyse anfühlt

Praktisch führt das Buch durch vier Schritte. Man identifiziert die Funktionen der untersuchten Tätigkeit und beschreibt jede über sechs Aspekte: Input, Output, Voraussetzung, Ressource, Zeit, Kontrolle. Daraus entstehen die Sechsecke, an denen man FRAM-Diagramme sofort erkennt. Dann charakterisiert man, wie jede Funktion variieren kann, sucht die Kopplungen, über die sich Variabilität fortpflanzt, und fragt am Ende, wo sie sich dämpfen lässt. Wer das zum ersten Mal an einem echten Fall durchzieht, merkt schnell, wie viel Normalbetrieb man dafür verstehen muss. Es geht nicht ohne die Menschen, die die Arbeit tun. Genau darin liegt der eigentliche Gewinn: Das Diagramm ist ein Nebenprodukt. Das Gespräch über die Arbeit, wie sie wirklich läuft, hätte ohne die Methode nie stattgefunden.

Was das Buch offen lässt

Zuerst das Ehrliche: Das Buch ist ein Lehrbuch. Wer Dekkers Erzählstimme erwartet, findet trockene, präzise Prosa mit wenigen Fallbeispielen. Gewichtiger ist der Preis der Methode. Eine ernsthafte FRAM-Analyse kostet Tage bis Wochen und braucht Zugang zur echten Arbeit, mit Beobachtung und Gesprächen statt Aktenlage. Das Ergebnis ist qualitativ und hängt an der Erfahrung derer, die analysieren; standardisierte Gütekriterien und Validierungsstudien sind bis heute dünn gesät. Die Methode hat auch ihre eigene Ritualgefahr: Ein Diagramm mit vierzig Sechsecken kann genauso bewundert und folgenlos an der Wand enden wie die Käse-Folie. Und beim Dämpfen der Variabilität bleibt das Buch vage. Wie aus einer erkannten Resonanz eine wirksame Massnahme wird, überlässt es weitgehend der Anwenderin.

Dazu kommt eine Grenze, die man aus dem Käse-Essay mitnehmen sollte: Nicht jeder Vorfall braucht FRAM. Die fehlende Absturzsicherung braucht keine Funktionsanalyse. FRAM verdient seinen Aufwand dort, wo Kopplung und Komplexität real sind, wo also die einfache Erklärung schon mehrfach nicht gereicht hat.

Für wen sich das Buch lohnt

Das Buch lohnt sich für alle, die in komplexen Betrieben Ereignisse untersuchen oder Risiken beurteilen und denen die Barriere-Logik dabei zu eng geworden ist: für Sicherheits- und Qualitätsverantwortliche im Gesundheitswesen (dort ist die FRAM-Anwendergemeinde heute am grössten), in der Flugsicherung und in der Prozessindustrie. Wer zuerst die Denkrichtung will, greift besser zu Hollnagels Safety-I and Safety-II; das FRAM-Buch ist für jene, die die Methode anwenden wollen. Und wer sich letzte Woche gefragt hat, was man durch die geöffnete Tür des Schweizer Käses eigentlich sieht: Das hier ist der erste Raum dahinter.

Quellen

• Erik Hollnagel – FRAM: The Functional Resonance Analysis Method – Modelling Complex Socio-technical Systems, Ashgate 2012 (Hauptquelle)
• Erik Hollnagel – Barriers and Accident Prevention, Ashgate 2004
• Erik Hollnagel – The ETTO Principle: Efficiency-Thoroughness Trade-Off, Ashgate 2009
• Erik Hollnagel – Safety-I and Safety-II: The Past and Future of Safety Management, Ashgate 2014