DIN en 62740-2013, Ursachenanalyse

01%2#0%203 #4%0#0 "$ 9 #021501506
!" # "#! $ %
( B ? (A
? ;<C2=6;C @#02#A
5 - ! #02#52#526 - 7 , $ !
! ) ! !%
8 9 9 ! ) ) ! : ! 9- + ( - !
- 9 , ) 9 %
! - 9
> ) , ! - 5 - 5 ---% - % % 9,-% $ 5
-$ 5 - 5 ---% - % 99 % +
- ! ! 9 3
> " 5 G % H! : 9 % ! 9
---% % C ! $ ! , 5 -$
---% % C ! 9! - 3
> "
? @ 2;+ <0;4< : A%
"* ! 5 - - ! 9 + F ! )
+ + , $, , $! !, %
. ! E;
E DIN EN 62740:2013-01 (QWZXUI
Inhalt
Seite
Einleitung ........................................................................................................................................................... 5
1 Anwendungsbereich .............................................................................................................................. 5
2 Normative Verweisungen ...................................................................................................................... 6
3 Begriffe .................................................................................................................................................. 6
4 Abkrzungen ......................................................................................................................................... 9
5 Anwendung der Ursachenanalyse ........................................................................................................ 9
6 Der RCA-Prozess ................................................................................................................................ 10
6.1 berblick.............................................................................................................................................. 10
6.2 Initiierung ............................................................................................................................................. 11
6.3 Problemdefinition................................................................................................................................. 11
6.4 Analyse ................................................................................................................................................ 12
6.5 Validierung........................................................................................................................................... 13
6.6 Schlussfolgerung ................................................................................................................................. 13
7 Auswahl von RCA-Techniken.............................................................................................................. 14
7.1 Allgemeines ......................................................................................................................................... 14
7.2 Auswahl der RCA-Technik .................................................................................................................. 14
7.3 Arten von RCA-Techniken................................................................................................................... 15
Anhang A (informativ) Eigenschaften von RCA-Techniken........................................................................... 16
A.1 Einflussfaktoren fr die Auswahl der RCA-Technik ............................................................................ 16
Anhang B (informativ) RCA-Techniken ........................................................................................................ 19
B.1 Allgemeines ......................................................................................................................................... 19
B.2 Die Warum-Methode ......................................................................................................................... 19
B.3 Fehlerbaum ......................................................................................................................................... 21
B.4 Fischgrt- oder Ishikawa-Diagramm ................................................................................................... 23
B.5 Ereignis- und Ursachen-Analyse......................................................................................................... 24
B.6 nderungsanalyse............................................................................................................................... 25
B.7 Warum-Weil-Analyse (en: Why-Because Analysis, WBA) .................................................................. 26
B.8 Systemtheoretisches Unfallmodell und Prozess (en: Systems Theoretic Accident Model and
Process, STAMP) ................................................................................................................................ 28
B.9 Accimaps ............................................................................................................................................. 29
B.10 Multilineare Ereignis-Sequenzierung (en: Multilinear Events Sequencing, MES) und zeitlich
geordnete Ereignis-Aufzeichnung (en: Sequentially Timed Events Plotting, STEP) .......................... 32
B.11 Die TRIPOD-Methode ......................................................................................................................... 35
B.12 Ursache-Modell ................................................................................................................................... 37
B.13 Sicherheit durch Lernen in der Organisation (en: Safety through Organisational Learning,
SOL) .................................................................................................................................................... 38
B.14 Datamining und Cluster-Techniken ..................................................................................................... 40
Literaturhinweise.............................................................................................................................................. 42
2
(QWZXUI E DIN EN 62740:2013-01
Seite
Bild 1 RCA-Prozess.......................................................................................................................................10
Bild B.1 Ein Beispiel der Warum-Methode ....................................................................................................20
Bild B.2 Beispiel Fehlerbaum ........................................................................................................................21
Bild B.3 Beispiel Fischgrt-Diagramm...........................................................................................................23
Bild B.4 Beispiel eines WBG eines Unfalls durch berrollen des Startbahnendes in der
kommerziellen Luftfahrt........................................................................................................................26
Bild B.5 Beispiel Accimap eines Explosions-Unfalls in einem Gaswerk wie dargestellt in Hopkins .............30
Bild B.6 Accimap des Lockhart-Fluss-CFIT-Unfalls wie vorgestellt im ATSB-Transport-
Sichterheits-Untersuchungs-Report .....................................................................................................31
Bild B.7 Daten eines Ereignis-Bausteins.......................................................................................................33
Bild B.8 Beispiel einer Zeit-Akteurs-Matrix ....................................................................................................34
Bild B.9 Vollstndiges TRIPOD-Beta-Modell.................................................................................................36
Bild B.10 Ein Beispiel einer TRIPOD-Untersuchung.....................................................................................36
Bild B.11 Beispiel eines Zeit-Akteurs-Diagramms.........................................................................................39
Tabelle A.1 Merkmale der RCA-Techniken...................................................................................................16

Tabelle B.1 Definition der BRF in TRIPOD ...................................................................................................35
3
Nationales Vorwort
Das internationale Dokument IEC 56/1475/CD:2012 Root Cause Analysis (RCA) (CD, en: Committee Draft)
ist unverndert in diesen Norm-Entwurf bernommen worden. Dieser Norm-Entwurf enthlt eine noch nicht
autorisierte deutsche bersetzung.
Um Zweifelsflle in der bersetzung auszuschlieen, ist die englische Originalfassung des CD entsprechend
der diesbezglich durch die IEC erteilten Erlaubnis beigefgt. Die Nutzungsbedingungen fr den deutschen
Text des Norm-Entwurfes gelten gleichermaen auch fr den englischen IEC-Text.
Das internationale Dokument wurde vom TC 56 Dependability der Internationalen Elektrotechnischen

Kommission (IEC) erarbeitet und den nationalen Komitees zur Stellungnahme vorgelegt.
Die IEC und das Europische Komitee fr Elektrotechnische Normung (CENELEC) haben vereinbart, dass
ein auf IEC-Ebene erarbeiteter Entwurf fr eine Internationale Norm zeitgleich (parallel) bei IEC und
CENELEC zur Umfrage (CDV-Stadium) und Abstimmung als FDIS (en: Final Draft International Standard)
bzw. Schluss-Entwurf fr eine Europische Norm gestellt wird, um eine Beschleunigung und Straffung der
Normungsarbeit zu erreichen. Dokumente, die bei CENELEC als Europische Norm angenommen und
ratifiziert werden, sind unverndert als Deutsche Normen zu bernehmen.
Da der Abstimmungszeitraum fr einen FDIS bzw. Schluss-Entwurf prEN nur 2 Monate betrgt, und dann
keine sachlichen Stellungnahmen mehr abgegeben werden knnen, sondern nur noch eine JA/NEIN-
Entscheidung mglich ist, wobei eine NEIN-Entscheidung fundiert begrndet werden muss, wird bereits der
CD als DIN-Norm-Entwurf verffentlicht, um die Stellungnahmen aus der ffentlichkeit frhzeitig be-
rcksichtigen zu knnen.
Fr dieses Dokument ist das nationale Arbeitsgremium K 132 Zuverlssigkeit der DKE Deutsche
Kommission Elektrotechnik Elektronik Informationstechnik im DIN und VDE (www.dke.de) zustndig.
Fr den Fall einer undatierten Verweisung im normativen Text (Verweisung auf eine Norm ohne Angabe des
Ausgabedatums und ohne Hinweis auf eine Abschnittsnummer, eine Tabelle, ein Bild usw.) bezieht sich die
Verweisung auf die jeweils neueste gltige Ausgabe der in Bezug genommenen Norm.
Fr den Fall einer datierten Verweisung im normativen Text bezieht sich die Verweisung immer auf die in
Bezug genommene Ausgabe der Norm.
Der Zusammenhang der zitierten Normen mit den entsprechenden Deutschen Normen ergibt sich, soweit ein
Zusammenhang besteht, grundstzlich ber die Nummer der entsprechenden IEC-Publikation. Beispiel:
IEC 60068 ist als EN 60068 als Europische Norm durch CENELEC bernommen und als DIN EN 60068 ins
Deutsche Normenwerk aufgenommen.
4
Ursachenanalyse
Einleitung
Ursachenanalyse (en: Root Cause Analysis, RCA) ist eine Methode, um zu identifizieren, warum ein
bestimmtes Ereignis (Fokusereignis) eingetreten ist; sie kann als Methode interpretiert werden mit der
Zielsetzung, hnliche oder verwandte Ereignisse zu verhindern. RCA wird durchgefhrt basierend auf dem
Verstndnis, dass Ereignisse am besten adressiert werden durch Ausschaltung der Grundursachen anstatt
durch Behandlung der unmittelbar offensichtlichen Symptome. Dadurch verhindert RCA nicht nur das gleiche
oder hnliche Ereignisse, sondern auch scheinbar zusammenhangslose Ereignisse mit den gleichen
Ursachen.
Es ist wichtig, festzuhalten, dass ein Ereignis eingetreten sein kann als Konsequenz von mehr als einer
Grundursache.
Als wichtige Unterscheidung ist zu bemerken, dass RCA eine Methode zur Analyse eines Fokusereignisses
ist, das sich ereignet hat, und folglich die Vergangenheit analysiert, whrend Methoden wie die
Fehlzustandsart- und -auswirkungsanalyse (FMEA) mgliche Fehlerarten und Ausflle vor einem Ereignis
analysieren. Auerdem analysiert FMEA nicht die Ursachen der Fehlerarten und Ausflle und ist deshalb
keine geeignete Technik fr RCA.
In dieser Norm umfasst der Begriff Ereignis stets Ausflle und Strungen und der Begriff Einheit wird
verwendet als genereller Begriff zur Beschreibung des betrachteten Gegenstands seien es Produkte,
Systeme oder Prozesse und einschlielich Hardware, Software und menschlicher Faktoren.
Diese Norm hat zum Ziel, aktuelle allgemein anerkannte Methoden zur Auswahl und Anwendung von RCA-
Techniken zu behandeln und bercksichtigt keine neuen oder in der Entwicklung befindliche Konzepte, die
kein hinreichendes Niveau professioneller bereinstimmung erreicht haben.
Diese Norm ist allgemeiner Natur und kann deshalb als Anleitung in vielen Branchen und fr viele Arten von
Gegenstnden dienen. Es kann speziellere Normen in diesen Branchen geben, die fr spezielle Anwen-
dungen besser geeignete Methoden beschreiben. Falls diese Normen in Einklang mit diesem Dokument sind,
sind die speziellen Normen im Allgemeinen ausreichend.
1 Anwendungsbereich
Diese Internationale Norm IEC 62740 beschreibt die Grundprinzipien der Ursachenanalyse (en: Root Cause
Analysis, RCA) und erlutert die Schritte, die ein RCA-Prozess enthalten sollte. Diese Norm gilt fr
technische Systeme und enthlt somit die Analyse von Hardware, Software und menschlichen Faktoren.
Diese Internationale Norm identifiziert eine Reihe von Merkmalen fr RCA-Techniken, die die Auswahl einer
geeigneten Technik untersttzen. Sie beschreibt die jeweilige RCA-Technik, ihre relativen Strken und
Schwchen sowie eine Anleitung zu ihrer Anwendung.
Es wird angemerkt, dass manche der RCA-Techniken pro-aktiv genutzt werden knnten fr Design und
Entwicklung von Einheiten und fr die Risikobewertung; diese internationale Norm konzentriert sich jedoch
auf die Analyse von Ereignissen, die eingetreten sind.
Viele der Methoden knnen genutzt werden, um entweder die Grundursachen von Ausfllen oder Erfolgen zu
analysieren. Diese internationale Norm fokussiert ihre Anwendung in der Ausfall-Analyse.
Das Ziel dieser Internationalen Norm ist es, Techniken zur Identifikation von Grundursachen zu erlutern.
Diese Techniken sind nicht dafr vorgesehen, Verantwortlichkeiten oder Haftbarkeit zuzuweisen; dies wird
als auerhalb des Anwendungsbereichs dieser Norm betrachtet.
5
2 Normative Verweisungen
Die folgenden Dokumente, die in diesem Dokument teilweise oder als Ganzes zitiert werden, sind fr die
Anwendung dieses Dokuments erforderlich. Bei datierten Verweisungen gilt nur die in Bezug genommene
Ausgabe. Bei undatierten Verweisungen gilt die letzte Ausgabe des in Bezug genommenen Dokuments
(einschlielich aller nderungen).
IEC 60050-191, Internationales Elektrotechnisches Wrterbuch Teil 191: Zuverlssigkeit
ISO IEC Guide 73, Risk management vocabulary
3 Begriffe
Fr die Anwendung dieses Dokuments gelten die Begriffe nach IEC 60050-191 und die folgenden Begriffe.
3.1
kausaler Vorgnger (eines Ereignisses oder Zustands)
(en: causal predecessor (of an event or state))
Ereignis, das sich in einem Pfad urschlicher Faktoren ereignet, der zum gegebenen Ereignis oder Zustand
fhrt (und ggf. darber hinaus)
Anmerkung 1 zum Eintrag: Mathematisch definiert als Vorgnger des gegebenen Ereignisses oder Zustands im
transitiven Abschluss der binren Relation, ein notwendiger urschlicher Faktor zu sein.
3.2
mitwirkender Faktor
(en: contributory factor)
notwendiger urschlicher Faktor, der als zweitrangig angesehen wird hinsichtlich einer expliziten Priorisierung
notwendiger urschlicher Faktoren
3.3
Ereignis
(en: event)
nderung eines Zustands
3.4
Ausfall (einer Einheit)
(en: failure (of an item))
Verlust der Fhigkeit, wie gefordert zu funktionieren
Anmerkung 1 zum Eintrag: Falls der Verlust der Fhigkeit verursacht wird durch einen bereits zuvor existierenden
latenten Fehler, so tritt der Ausfall ein, falls sich ein spezielles Zusammentreffen von Umstnden ereignet.
Anmerkung 2 zum Eintrag: Ein Ausfall einer Einheit ist ein Ereignis, das zu einem Fehlzustand der Einheit fhrt.
Anmerkung 3 zum Eintrag: Qualitative Kategorien wie katastrophal, kritisch, wichtig, untergeordnet, geringfgig und
unbedeutend knnen genutzt werden, um Ausflle zu bewerten hinsichtlich der Schwere der Konsequenzen, wobei die
Definitionen der Auswirkungs-Kriterien vom Anwendungsfeld abhngt.
Anmerkung 4 zum Eintrag: Qualitative Kategorien wie Missbrauch, Fehlbedienung und Schwche knnen verwendet
werden, um Ausflle hinsichtlich der Fehlerursache einzuordnen.
[IEC 60050-191, Definition 191-43-01]
Anmerkung 5 zum Eintrag: Dies umfasst den Ausfall einer Einheit, nicht allgemeiner von einem Verhalten.
6
3.5
Ausfallursache
(en: failure cause)
Zusammentreffen von Umstnden, die zu einem Ausfall fhren
Anmerkung 1 zum Eintrag: Eine Ausfallursache kann whrend der Spezifikation, des Designs, der Produktion, der
Installation, des Betriebs oder der Wartung entstehen.
[IEC 60050-191, Definition 191-43-11]
3.6
Ausfalleffekt
(en: failure effect)
Auswirkung eines Ausfalls innerhalb der Grenzen der Einheit oder darber hinaus
Anmerkung 1 zum Eintrag: Fr manche Analysen kann es erforderlich sein, individuelle Fehlerarten und ihre
Auswirkungen zu betrachten.
[IEC 60050-191, Definition 191-43-08]
3.7
Ausfallmechanismus
(en: failure mechanism)
Prozess, der zu einem Ausfall fhrt
Anmerkung 1 zum Eintrag: Der Prozess kann physikalisch, chemisch oder logisch sowie eine Kombination davon sein.
[IEC 60050-191, Definition 191-43-12]
3.8
Ausfallart
(en: failure mode)
Art und Weise, in der der Ausfall eintritt
Anmerkung 1 zum Eintrag: Eine Ausfallart kann definiert werden durch die verlorene Funktion oder den eingetretenen
Zustandsbergang.
[IEC 60050-191, Definition 191-43-17]
3.9
Fehler einer Einheit
(en: fault (of an item))
Zustand der Unfhigkeit aufgrund interner Ursachen, wie gefordert zu funktionieren
Anmerkung 1 zum Eintrag: Ein Fehler einer Einheit folgt entweder durch einen Ausfall der Einheit selbst oder durch eine
Unzulnglichkeit in einer frheren Phase des Lebenszyklus wie Spezifikation, Design, Produktion oder Wartung.
Anmerkung 2 zum Eintrag: Qualitative Beschreibungen wie Spezifikation, Design, Produktion, Wartung oder Missbrauch
knnen genutzt werden, um die Fehlerursache anzugeben.
Anmerkung 3 zum Eintrag: Der Typ eines Fehlers kann bezogen werden auf den zugehrigen Ausfall, z. B. Verschlei-
Fehler und Verschlei-Ausfall.
Anmerkung 4 zum Eintrag: Das Adjektiv fehlerhaft beschreibt eine Einheit, die einen oder mehrere Fehler aufweist.
[IEC 60050-191, Definition 191-44-01]
Anmerkung 5 zum Eintrag: Ein Fehler einer Einheit, die eine Komponente eines Systems ist, fhrt nicht zwangslufig
zur Unfhigkeit einer greren Einheit, zu der sie als Komponente gehrt, wie gefordert zu funktionieren. Sogenannte
7
fehler-tolerante Techniken ermglichen es, Einheiten zu designen und zu produzieren, die im Fall eines Fehlers in ihren
Komponenten fortfahren, wie gefordert zu funktionieren.
3.10
Fokusereignis
(en: focus event)
Ereignis, das die RCA kausal zu erklren beabsichtigt
3.11
funktionaler Ausfall
(en: functional failure)
Unfhigkeit einer Einheit, eine oder mehrere ihrer geforderten und definierten Funktionen zu erfllen oder
auszufhren
3.12
unmittelbar notwendiger kausaler Faktor (eines Ereignisses oder Zustands)
(en: immediate necessary causal factor (of an event or state))
Bedingung, Aktion, Ereignis oder Zustand, welche zum gegebenen Ereignis oder Zustand gefhrt haben,
ohne welche das gegebenen Ereignis bzw. der Zustand nicht eingetreten wren
3.13
Einheit
(en: item)
betrachteter Gegenstand
Anmerkung 1 zum Eintrag: Die Einheit kann ein einzelner Teil, eine Komponente, Bauelement, funktionale Einheit, ein
Gert, Teilsystem oder System sein.
Anmerkung 2 zum Eintrag: Die Einheit kann aus Hardware, Software, Personen sowie einer Kombination daraus
bestehen.
Anmerkung 3 zum Eintrag: Die Einheit besteht oft aus Elementen, die jeweils einzeln betrachtet werden knnen.
[IEC 60050-191, Definition 191-41-01]
3.14
notwendiger kausaler Faktor (eines Ereignisses oder Zustands)
(en: necessary causal factor (of an event or state))
Ereignis oder partieller Zustand als kausaler Vorgnger in der Relation vom unmittelbar notwendigen
kausalen Faktor zum gegebenen Ereignis oder Zustand
3.15
partieller Zustand (einer Menge von Objekten)
(en: partial state (of a collection of objects))
momentane Sammlung von Eigenschaften und Beziehungen beispielhaft dargelegt durch die Objekte
3.16
Grundursache
(en: root cause)
notwendiger kausaler Faktor, der keinen kausalen Vorgnger hat
Anmerkung 1 zum Eintrag: Die Sammlung notwendiger kausaler Faktoren, die in der RCA bercksichtigt werden, wird
beschrieben durch eine Stoppzeit.
3.17
Ursachenanalyse
(en: Root Cause Analysis, RCA)
systematischer Prozess, um die Ursache eines Fehlers, Ausfalls oder unerwnschten Ereignisses zu
identifizieren, um sie durch Design-, Prozess- oder Verfahrensnderungen zu eliminieren.
8
[IEC 60050-191, Definition 191-52-05]

3.18
Stakeholder
(en: stakeholder)
Person, Gruppe oder Organisation, die betroffen ist oder betroffen sein knnte durch das Fokusereignis
3.19
Zustand (einer Menge von Objekten)
(en: state (of a collection of objects))
momentane, vollstndige Sammlung der Eigenschaften und Beziehungen beispielhaft dargelegt durch die
Objekte
3.20
Stoppzeit
(en: stopping rule)
begrndetes und explizites Mittel zur Bestimmung, wann ein notwendiger kausaler Faktor als Grundursache
definiert wird
4 Abkrzungen
RCA Ursachenanalyse (en: Root Cause Analysis)
FMEA Fehlzustandsart- und -auswirkungsanalyse (en: Failure Modes and Effects Analysis)
5 Anwendung der Ursachenanalyse

RCA bezeichnet jeden strukturierten Ansatz zur Identifikation von Faktoren, die zu einem Fokusereignis
beigetragen haben. Das Prinzip der RCA besagt, dass der unmittelbar notwendige kausale Faktor eines
Fokusereignisses in Wirklichkeit oft ein Symptom von zugrundeliegenden Problemen ist, die identifiziert und
adressiert werden mssen.
Zu den Vorteilen der Durchfhrung einer RCA gehren:

Verhinderung knftiger Ausflle;
effektiveres Erreichen der Ziele von Untersuchungen des Fokusereignisses;
Untersttzung der Nachvollziehbarkeit von Ergebnissen und Schlussfolgerungen aus Untersuchungen
des Fokusereignisses;
bessere Konsistenz von Untersuchungen hnlicher Fokusereignisse;
grere Objektivitt der Fokusereignis-Analyse.
RCA identifiziert, warum spezielle Fokusereignisse eingetreten sind und ermglicht effektive Korrekturma-
nahmen, um Schwachstellen in den Merkmalen zu adressieren, die zum Fokusereignis beigetragen haben.
RCA liefert ein besseres Verstndnis, warum Ereignisse eingetreten sind; die Umsetzung der Korrektur-
manahmen ist deshalb effektiver hinsichtlich der Verhinderung des Eintretens des gleichen oder hnlicher
Ereignisse im Vergleich zu einer ausschlielichen Adressierung des unmittelbar notwendigen kausalen
Faktors.
RCA wird in der Zuverlssigkeitsanalyse verwendet, um zu identifizieren, warum eine Einheit versagt hat zu
funktionieren, wie und wann gefordert. In diesem Zusammenhang kann diese Technik als Ursachen-Ausfall-
Analyse bezeichnet werden. Sie wird auch verwendet, um die Ursachen von Unfllen zu analysieren, wobei
die Auswirkungen hier breitgefcherter sein knnen.
RCA kann auf verschiedenen Unterteilungs-Stufen der Einheit durchgefhrt werden, beispielsweise auf
System- oder Komponenten-Ebene oder durch Auswahl verschiedener Ereignisse oder Auswirkungen als
Ausgangspunkt. Die geeignete Ebene zur Durchfhrung der Analyse ist abhngig vom Fokusereignis.
9
RCA wird am hufigsten eingesetzt, um Fokusereignisse zu analysieren, die tatschlich eingetreten sind, und
ist deshalb anwendbar whrend der Prf- und Betriebsphasen eines Projekts oder Produktlebenszyklus.
RCA analysiert die Ausfallmechanismen des Fokusereignisses. Der Ausfallmechanismus reprsentiert die
physikalischen, chemischen oder organisatorischen Prozesse, die durch die Grundursachen hervorgerufen
werden und letztendlich zu einem Ausfall fhren. Ein Fehlermechanismus kann mehrere unabhngige oder
miteinander verknpfte Grundursachen haben. Der Ausfallmechanismus fhrt oft zum Fokusereignis durch
die menschlichen Faktoren basierend auf dem zugrundeliegenden Management oder auf grundstzlichen
Ursachen.
6 Der RCA-Prozess
6.1 berblick
Um effektiv zu sein, muss RCA systematisch durchgefhrt werden als Untersuchung, bei der die Grund-
ursachen und Schlussfolgerungen durch dokumentierte Belege abgesichert sind. Um dies zu erreichen, muss
die RCA die folgenden 5 Schritte enthalten, die in Bild 1 dargestellt sind:
a) Initiierung, die die Notwendigkeit bestimmt, eine RCA durchzufhren;
b) Problemdefinition, die die Fakten beschreibt was, wo und wann passiert ist;
c) Analyse, die die RCA-Werkzeuge und Techniken nutzt, um festzustellen, wie und warum das
Fokusereignis eingetreten ist;
d) Validierung, die die verschiedenen Mglichkeiten abgrenzt und klrt, wie und warum das Fokusereignis
verursacht wurde;
e) Schlussfolgerung, die die Ergebnisse der Fokusereignis-Analyse prsentiert.
RCA ist von Natur aus iterativ insbesondere hinsichtlich der Daten-Sammlung und Analyse; die Daten
werden gesammelt zum Thema was ist passiert und anschlieend analysiert, um zu bestimmen, welche
weiteren Daten gesammelt werden mssen. Nach der Erfassung wird eine weitere Analyse durchgefhrt und
die Lcken identifiziert, fr die weitere Daten gesammelt werden. Dieser Prozess wird wiederholt, bis die
Analyse vollstndig ist und die Grundursachen identifiziert sind.
Bild 1 RCA-Prozess
Empfehlungen fr Korrekturmanahmen werden in der Folge einer RCA erwartet. Allerdings liegen die
Techniken, die zur Identifikation geeigneter Korrekturmanahmen angewendet werden, oft eher in der
Verantwortung des Management-Teams als des RCA-Teams. Deshalb knnen die Schlussfolgerungen der
RCA eine Beschreibung jeder Grundursache sein zusammen mit ausreichender Hintergrundinformation fr
das Management-Team, um passende Korrekturmanahmen zu identifizieren. Wenn Korrekturmanahmen
identifiziert werden, mssen sie vor der Umsetzung berprft werden, um festzustellen, ob sie die Grund-
ursache(n) behoben haben und auerdem keine neuen Ausflle verursachen und somit wie gewnscht
wirken werden. Auch das erneute Auftreten der gleichen oder hnlichen Ereignisse sollte berwacht werden.
Falls ein Auftreten erneut eintritt, sollte das ursprngliche Fokusereignis erneut ausgewertet werden, um zu
bestimmen, warum die Korrekturmanahmen nicht erfolgreich waren.
10
6.2 Initiierung
Die Initiierung bewertet die Notwendigkeit der Durchfhrung einer RCA als Antwort auf ein Fokusereignis. Die
Organisation muss die Kriterien definieren, welche die Tiefe der Analyse spezifizieren, die fr Fokusereig-
nisse angewandt wird, und wann eine vollstndige RCA ausgelst wird. Dies hngt ab von der Auswirkung
des Fokusereignisses hinsichtlich formulierter Ziele. Beispiele fr Auslsepunkte sind:
Einzelnes Ereignis mit groer Auswirkung;
X mehrfache, unerwnschte Ereignisse eines Gerts/Teil-Systems;
Daten, die sich aus einem definierten Toleranzbereich bewegen;
Ausflle (gleich welcher Auswirkungsebene), die besonders kritische Einheiten von Gerten oder
Aktivitten betreffen.
Bei der Definition der Art der Ereignisse, die die Notwendigkeit der Durchfhrung einer RCA auslsen, ist es
wichtig, zu bercksichtigen, dass es fr jedes einzelne Ereignis, das zu einer schwerwiegenden Auswirkung
fhrt, viele andere Ereignisse mit unbedeutenden Auswirkungen gibt. Jedoch haben viele Ereignisse gemein-
same Grundursachen; die Adressierung von Ursachen allgemeinerer Ereignisse kann deshalb Ereignisse mit
schwerwiegenden Folgen verhindern.
Sobald festgelegt wurde, dass eine RCA durchgefhrt wird, muss das Team fr die Durchfhrung der RCA
gebildet werden. Die Team Mitglieder mssen ausgewhlt werden gem der spezifischen Expertise, die zur
Analyse des Fokusereignisses gebraucht wird; dabei sollte mindestens ein Teammitglied beteiligt sein mit
Erfahrung in der angewendeten Ursachen-Analyse-Methode. Teammitglieder knnen wechseln in Abhngig-
keit der ausgefhrten Aktivitten, z. B. mssen die Teammitglieder, die fr die Datensammlung verantwortlich
sind, nicht notwendigerweise die gleichen sein, die die Analyse durchfhren. Teammitglieder knnen
Ingenieure, Techniker, Betreiber, Vertriebsmitarbeiter oder Manager sein. Zustzliche Teammitglieder sollten
fr spezielle Aktivitten whrend der Untersuchung einbezogen werden, entweder, um Expertise zum Team
beizusteuern oder, um den Einfluss des Teams zu strken. Die Rolle dieser zustzlichen Teammitglieder ist
es, die Untersuchung zu untersttzen, damit sie nicht blockiert wird durch technische oder organisatorische
Rahmenbedingungen.
RCA kann jedoch effektiv von einer Person durchgefhrt werden, vorausgesetzt diese Person ist gleichzeitig
erfahren in der Ursachen-Analyse-Methode, ein Domnen-Experte (oder hat unmittelbaren Zugang zu
Domnen-Experten) und hat Zugang zu allen bentigten Daten.
Nach der Bildung muss das Team das Fokusereignis definieren, das analysiert werden soll; dies umfasst den
Hintergrund und den Kontext, in dem das Fokusereignis aufgetreten ist (involvierte Einheit und Umgebung),
und den Umfang der Analyse. Dies ist eine Team-Aktivitt. Eine gute Definition des Fokusereignisses ist
kurz, einfach und leicht zu verstehen und sollte nicht voreingenommen sein hinsichtlich einer speziellen
Lsung.
RCA kann die Analyse offener Systeme umfassen (Systeme, die stndig mit ihrer Umwelt interagieren).
Diese Interaktion kann sich auf Information, Energie oder Materialtransfer beziehen. Bei der Durchfhrung
der Analyse sollte das Team die Grenzen der Analyse spezifizieren (was ist eingeschlossen und was ist
ausgeschlossen). Diese Spezifikation sollte sowohl die Komponenten der analysierten Einheit bercksich-
tigen als auch die Betriebseigenschaften und Zusammenschaltungen.
6.3 Problemdefinition
Die Problemdefinition umfasst alle Aktivitten, die zur Vorbereitung der Analyse notwendig sind. Dieser
Schritt ist meist der grte Teil der RCA.
Es werden die Fakten gesammelt, was passiert ist, wo und wann. Diese werden ausgewertet, um eine
Hypothese zu formulieren fr die Entscheidung, welche weitere Datensammlung erforderlich ist, um zu
ermitteln, wie und warum das Fokusereignis eingetreten ist.
Daten mssen gesammelt werden, um den Kontext zu bestimmen, in dem das Fokusereignis eingetreten ist
sowie die Bedingungen vor, whrend und nach dem Fokusereignis; dies impliziert persnliche Mitwirkung
(inkl. ergriffener (oder nicht ergriffener) Manahmen und getroffener Entscheidungen), Umwelteinflsse und
11
andere hinsichtlich des Fokusereignisses relevante Informationen. Die bentigten Daten knnen folgende
Punkte betreffen:
Untersuchung der physikalischen Beweise wie ausgefallene Komponenten und Pathologie-Berichte.
Generell wird nach frherer Erfahrung bestimmt, welche physikalischen Beweise bentigt werden. Im
Zweifelsfall sollte das Beweismittel behalten werden; es ist auch wichtig, die Beweise aufzubewahren.
Fotos und Videos von berwachungskameras. Fotos des Gebiets aus mehreren Blickwinkeln sind
ebenfalls ntzlich whrend der Analysephase.
Betriebsdaten von berwachungssystemen, Steuerungssystemen, Alarm- und Ereignis-Protokollen etc.
Betriebsprotokolle knnen entscheidend sein fr das Verstndnis der Betriebsbedingungen zum
Zeitpunkt des Ausfalls und da sie typischerweise mit einem Zeitstempel versehen sind, sind sie ideal fr
das Erstellen einer zeitlichen Abfolge der Ereignisse.
Persnliche Zeugenaussagen, die in Interviews gesammelt werden. Interviews mssen sich auf die
Datensammlung konzentrieren, z. B., um einen konsistenten zeitlichen Ablauf zu rekonstruieren etc.;
jede verfrhte Diskussion der Ausfallursachen kann den Interviewprozess negativ beeinflussen. Fragen
sollten vor dem Interview vorbereitet werden, um sicherzustellen, dass alle relevanten Informationen
ermittelt werden. Die Interviews sollten mit den Personen durchgefhrt werden, die am besten mit dem
Fokusereignis vertraut sind, jedoch sollte in Erwgung gezogen werden, andere Personen zu
interviewen, z. B. Personen, die die Aufgabe in der Vergangenheit durchgefhrt haben. Alle Interviews
sollten dokumentiert werden.
Dokumentarische Belege relevanter Ablufe, Betriebsumgebungen und regulatorischer Rahmenbe-
dingungen.
Nachdem alle Daten zum Fokusereignis gesammelt wurden, mssen sie verglichen werden; fehlende Daten
mssen ermittelt und Unstimmigkeiten aufgelst werden, um sicherzustellen, dass ein klares und konsisten-
tes Bild des Fokusereignisses erzielt wird.
Das Ergebnis dieses Schrittes ist Information und Verstndnis hinsichtlich folgender Punkte:
Zeitliche Abfolge der Ereignisse, die zu den endgltigen Folgen fhren, inkl. wer was, wann getan hat
und was zu jedem Zeitpunkt beobachtet wurde;
physikalische Beweise, die durch den Ausfall zurck bleiben;
notwendige Bedingungen fr die Ereignisse;
Folgen des Fokusereignisses.
6.4 Analyse
Nachdem bestimmt wurde was passiert ist, wo und wann, ermittelt dieser Schritt wie und warum das
Fokusereignis eingetreten ist.
Die physischen und / oder psychischen Ausfallmechanismen mssen ermittelt werden sowie die Art der
Interaktionen zwischen Hardware, Software und dem sozialen, organisatorischen und / oder rechtlichen
Umfeld, die zum Fokusereignis gefhrt haben.
Die Ursache-Wirkungs-Beziehungen mssen dann durch RCA-Techniken ermittelt werden, beispielsweise
denen in Anhang A, um festzustellen warum das Fokusereignis eingetreten ist. Im Allgemeinen gibt es
mehrere Grnde fr ein Fokusereignis, weshalb ein Netzwerk der Interaktionen unmittelbar notwendiger und
notwendiger kausaler Faktoren ermittelt werden sollte, solange bis eine Stoppzeit aktiviert wird. Die
Stoppzeit wird explizit vom Analysten definiert; weitere Ursachen werden nicht als relevant angesehen fr
das Verstndnis der Beziehungen zwischen den unmittelbar notwendigen und notwendigen kausalen
Faktoren und dem Fokusereignis. Z. B. kann die Stoppzeit der Zeitpunkt sein, zu dem eine
Korrekturmanahme identifiziert werden kann. Die Analyse identifiziert die Grnde, warum die unmittelbar
notwendigen kausalen Faktoren existiert haben und arbeitet sich rckwrts vor zu den Grundursachen.
Es existieren verschiedene RCA-Techniken, von denen jede ein bestimmtes Ergebnis hat und die fr die
Analyse spezieller Arten von Ereignissen geeignet sind. RCA-Techniken reichen von einfachen bis zu
komplexen Techniken und erfordern geeignet qualifizierte Fachleute fr die Durchfhrung der Analyse. Die
12
am besten geeignete RCA-Technik sollte ausgewhlt werden, und geeignet qualifizierte Fachleute sollten
eingesetzt werden fr die Durchfhrung der Analyse.
Datenanforderungen mssen whrend der gesamten Analyse gemacht werden, um Inkonsistenzen oder
ganze Lcken in der Analyse aufzudecken.
Eine Person kann eine Komponente eines Systems sein, die versagt, eine geforderte Aktion auszufhren,
und zu einem System-Ausfall fhrt. Personen (auf jeder Stufe einer Organisation) knnen eine einge-
schrnkte Leistung erbringen, was zu Fehlern in anderen Teilen des Systems fhrt. Die Entscheidungen von
Personen, die als Designer, Betreiber oder Manager handeln, knnen ebenfalls eine Rolle bei einem Ausfall
spielen. Solche Entscheidungen knnen korrekt sein unter den Umstnden, unter denen sie getroffen wur-
den, aber es kann sich erweisen, dass sie unerwnschte Ergebnisse haben. Menschliche Entscheidungen,
einschlielich Entscheidungen, Regeln zu verletzen, werden beeinflusst von einer Vielzahl persnlicher
Motive und externer Faktoren, einschlielich solcher innerhalb von Organisationen oder ihres greren
politischen oder finanziellen Kontexts. Deshalb muss die Bandbreite der Rollen, die Menschen in der sozialen
und organisatorischen Umgebung einer Einheit spielen, in der Analyse bercksichtigt werden.
Die Analyse kann eine groe Bandbreite von Ausfallanalysen zur Untersuchung ausgefallener Komponenten
umfassen, z. B. Mikroskope, Spektrographie, zerstrungsfreies Testen (en: Non-Destructive Testing, NDT)
oder Modellentwicklung des Ausfalls wie Feuer-Modellierung oder Unfall-Modellierung.
6.5 Validierung
Das Ergebnis des vorhergehenden Schritts kann eine Vielzahl verschiedener Mglichkeiten umfassen fr die
Folge der Ereignisse und zugrunde liegender kausaler Faktoren, die zum Fokusereignis gefhrt haben. Diese
Mglichkeiten mssen unterschieden und geklrt werden. Dies kann implizieren, weitere Daten zu sammeln
fr das direkte Finden eines Beweises, um die verschiedenen identifizierten Mglichkeiten zu untermauern
oder zurckzuweisen. Beweise sind mglicherweise nicht immer verfgbar, um mgliche Ursachen voll-
stndig zu validieren.
Falls es mglich ist, Experimente zur Wiederholung des Eintretens des Fokusereignisses durchzufhren,
sollten geeignete statistische Methoden verwendet werden, um den Grad der Besttigung der Hypothese der
Ursache zu untersuchen. Falls das Fokusereignis unter Zuhilfenahmen einer Simulation untersucht wird,
muss sorgfltig sicher gestellt werden, dass die Simulation wahrheitsgetreu ist hinsichtlich der ursachenrele-
vanten Aspekte.
Das Ergebnis des Validierungs-Schrittes ist:

Eine Menge von Ursachen, deren Beitrag zum Fokusereignis durch starke Belege untermauert ist;
Ursachen innerhalb dieser Menge, die keine relevanten kausalen Vorgnger haben und somit als
Grundursachen definiert werden;
eine Menge von Ursachen, fr die die Hinweise schwach oder nicht vorhanden sind, die aber eine
Ursache sein htten knnen;
eine Menge von Faktoren, die indirekt zum Auftreten des Fokusereignisses beigetragen haben knnen,
z. B. durch eine Erhhung der Wahrscheinlichkeit eines Ausfalls und nicht als notwendige Ursache in
einem kausalen Netzwerk.
Diese Ursachen und die Stichhaltigkeit der Belege, die sie untersttzen, sollte ausgewiesen werden.
6.6 Schlussfolgerung
Die Art der Schlussfolgerungen hngt ab von der Form der Analyse. Falls z. B. das Ziel der Analyse ist, das
Auftreten hnlicher Ereignisse zu verhindern, sollten die Schlussfolgerungen Korrekturmanahmen identifi-
zieren, die das kausale Netzwerk unterbrechen und verhindern, dass das Fokusereignis erneut auftritt. Die
Effektivitt der Schlussfolgerungen hngt ab von der Qualitt des in der Analyse entwickelten Netzwerks.
Es muss ein abgestimmtes Format zur Prsentation der Schlussfolgerungen der RCA entwickelt werden, das
die Datenanalyse zusammenfasst und die erforderlichen Ergebnisse der Analyse erfasst, z. B. empfohlene
13
Korrekturmanahmen. Falls empfohlene Korrekturmanahmen die geforderten Ergebnisse der RCA sind, so
muss die Zusammenfassung mindestens die folgenden Punkte enthalten:
Eine allgemeine Beschreibung jeder Ursache, die eine Korrekturmanahme erfordert, zusammen mit
ausreichender Hintergrundinformation fr die Teammitglieder zum Verstndnis des Bedarfs einer
Adressierung dieser Ursache.
Der Pfad oder die Pfade durch das Netzwerk, die zu Ursachen gehren, die Korrekturmanahmen
erfordern.
Empfohlene Korrekturmanahmen, um jede der identifizierten Ursachen zu adressieren.
Falls Empfehlungen fr Korrekturmanahmen einer RCA folgen, so ist die Umsetzung der Korrekturma-
nahmen der wichtige Schritt zur Verbesserung der Produktqualitt. Diese Manahmen mssen System-
verbesserungen adressieren, die auf die Grundursachen des Problems abzielen. Jede Korrekturmanahme
muss ausgewertet werden hinsichtlich Effektivitt und Praktikabilitt, deshalb sollte jede Korrekturmanahme
die Wahrscheinlichkeit des erneuten Auftretens des Fokusereignisses reduzieren und / oder die Folgen
unerwnschter Ereignisse auf ein akzeptables Niveau senken;
keine neuen inakzeptablen Risiken nach sich ziehen, z. B. darf die Sicherheit anderer Systeme nicht
vermindert werden durch die vorgeschlagene Korrekturmanahme.
Jede Korrekturmanahme muss zulssig und umsetzbar sein hinsichtlich Kosten, Zeit, organisatorischer
Einflsse, technischer Anforderungen, etc.
Die Schlussfolgerungen der Analyse mssen mit den vom Fokusereignis betroffenen Stakeholdern diskutiert
werden.
7 Auswahl von RCA-Techniken
7.1 Allgemeines
Die Anhnge enthalten Listen und erklren die Bandbreite der Techniken weiter, die fr die Durchfhrung
oder Untersttzung durch RCA verwendet werden knnen.
7.2 Auswahl der RCA-Technik
RCA wird durchgefhrt in unterschiedlicher Tiefe und kann eine oder viele RCA-Techniken benutzen, die von
einfach bis zu komplex reichen. Die Tiefe der Analyse und der verwendeten Technik(en) sollte
korrespondieren zur Komplexitt der Einheit, wegen der das Fokusereignis aufgetreten ist, und zu den
Ausfallfolgen.
Allgemein sollte eine geeignete Technik folgende Merkmale aufweisen:

Vertretbar und passend fr das Fokusereignis der Analyse;
Liefern von Ergebnissen, die das Verstndnis der Grundursachen des Fokusereignisses erweitern. Falls
das Ziel der Analyse ist, das Wiederauftreten zu verhindern, so sollten Korrekturmanahmen
vorgeschlagen werden;
Mglichkeit einer nachvollziehbaren, wiederholbaren und verifizierbaren Form der Nutzung.
Nachdem das Problem definiert wurde, sollte(n) die RCA-Technik(en) ausgewhlt werden auf der Basis
anwendbarer Faktoren wie
Komplexitt der Einheit;
Grenordnung des Fokusereignisses;
Schwere der Ausfallfolgen;
Verfgbarkeit von Information und Daten, da manche Techniken mehr erfordern als andere.
14
7.3 Arten von RCA-Techniken
RCA-Techniken knnen auf verschiedene Arten klassifiziert werden, um das Verstndnis ihrer relativen
Strken und Schwchen zu untersttzen. Anhang A klassifiziert die Techniken hinsichtlich der Faktoren, die
die Auswahl der Techniken beeinflussen. Eine Auswahl von Techniken wird dann weiter ausgearbeitet in
Anhang B hinsichtlich der Art der Bewertung, die sie liefern, und einer Anleitung zu ihrer Anwendbarkeit fr
gewisse Situationen.
RCA-Techniken knnen folgendermaen unterteilt werden, hinsichtlich der Lieferung von:

Struktur fr die Analyse,
Checklisten zur Untersttzung der Analyse,
Modell basierend auf konzeptionellem Zutrauen, die Ursachen zu entwickeln.
RCA sollte Techniken verwenden, die nicht nur Struktur, sondern auch die Ursachen liefern, und zwar durch
ein Modell oder durch die Verwendung von Checklisten. Das Ziel von Anhang A und B ist es, Anleitung fr
die Auswahl der geeigneten Technik(en) basierend auf den in 7.2 identifizierten Faktoren zu geben.
15
Anhang A
(informativ)
Eigenschaften von RCA-Techniken
A.1 Einflussfaktoren fr die Auswahl der RCA-Technik

Die Eigenschaften der Techniken werden beschrieben hinsichtlich
Komplexitt der Analyse;
Erforderliches Fhigkeits-Niveau fr die Anwendung der Technik;
Eigenschaften der Technik.
Die Merkmale der Technik werden definiert hinsichtlich der folgenden Punkte:
Struktur, welche Techniken liefern Struktur fr die Analyse;
Systematik, welche Techniken liefern Checklisten, um die Analyse zu untersttzen;
Modelle, welche Techniken nutzen konzeptionelles Zutrauen, um die Ursachen zu ermitteln.
Ursachenanalyse kann eine Kombination solcher Techniken umfassen, wobei z. B. ein Modell fr die
Ereignis-Auslsung wie das Ursache-Modell genutzt wird, um die Informationsbasis fr eine strukturierte
Diskussion zu schaffen, und die Visualisierung durch eine Methode wie das Fischgrt- oder Ishikawa-
Diagramm erfolgt.
Tabelle A.1 Merkmale der RCA-Techniken
Technik Beschreibung Eigenschaften
Komplexitt der Fhigkeits- Technik-Merkmale

Analyse niveau
Die Warum-Methode Die Warum-Methode ist eine einfache Folge Gering Gering Strukturierungs-
(en: why method) von Fragen, die die Untersuchung zu den technik
Grundursachen fhrt. Die Warum-Methode
beginnt mit dem ersten Problembericht gefolgt
von der ersten Antwort auf den Problembericht.
Fehlerbaum Der Fehlerbaum startet mit dem Ereignis und Hoch Hoch Strukturierungs-
arbeitet sich dann zurck, um alle mglichen technik, am besten
Ursachen des Ereignisses zu identifizieren. fr die Ursachen-
Diese werden graphisch in einem logischen Analyse von
Baumdiagramm dargestellt. Mit Fortschreiten Hardware-Ausfllen
der Untersuchung werden mgliche Ursachen geeignet
allmhlich ausgeschlossen und werden im
Baum deaktiviert. Durch Ausschluss aller ste
des Baums werden die tatschlichen Ursachen
ersichtlich. Am Ende sollte eine kurze Liste
mglicher Grundursachen brig bleiben.
Fischgrt- oder Das Fischgrt- oder Ishikawa-Diagramm startet Gering Gering Strukturierungs-
Ishikawa-Diagramm mit dem Ereignis (Kopf des Fisches) und technik fr
bildet dann die Haupt-ste (Grten), die spe- Brainstorming
zielle funktionale Bereiche reprsentieren. Das
Ergebnis ist ein Diagramm, das alle mglichen
Verbindungen auflistet, die jeder funktionale
Bereich mit dem Ausfall haben knnte.
16
Tabelle A.1 (fortgesetzt)

Analyse niveau
Ereignis- und Ursachen- Die ECF-Analyse identifiziert die zeitliche Mittel Mittel Strukturierungs-
Analyse (en: Event & Abfolge einer Folge von Funktionen und/oder technik
Causal Factor Analysis, Aktionen einschlielich der Umgebungsbedin-
ECF) gungen, die zu einem Ereignis fhren. Diese
werden in einem Ursache-Wirkungsdiagramm
dargestellt
nderungs-Analyse Die nderungs-Analyse identifiziert Grundur- Gering Gering berblicks-

sachen durch die Auswertung der Abweichung Strukturierungs-
zwischen dem Erwarteten und dem, was tat- technik, die eher
schlich passiert ist und was zum Ereignis beleuchtet was
gefhrt hat passiert ist, als
warum
Abgrenzungs-Analyse Die Abgrenzungs-Analyse ist ein systemati- Gering Gering Strukturierungs-

scher Prozess, der die physikalischen, admini- technik
strativen und prozeduralen Grenzen oder
Regelungen identifiziert, die das Fokusereignis
verhindern htten sollen.
Warum-Weil-Analyse WBA erstellt das Netzwerk der kausalen Fak- Proportional zum Proportional zur Basierend auf einem
(en: Why-Because toren fr das Fokusereignis unter Verwendung Fokusereignis Komplexitt der Kriterium, einem
Analysis, WBA) eines Zwei-Faktoren-Vergleichs, dem kontra- Analyse Test, nicht auf einem
faktischen Test. Das Netzwerk der Faktoren Ereignis- oder
wird in einem Warum-Weil-Graphen dargestellt. organisatorischen
Modell
Systemtheoretisches STAMP basiert auf einem komplexen aber Hoch Hoch Modell und
Unfallmodell und umfassenden hierarchischen organisatorischen Systematik fr
Prozess (en: Systems Modell mit einer Ebene der physikalischen Gegenstnde zur
Theoretic Accident Ausrstung als unterster Ebene und der Untersuchung von
Model and Process, Regierung/Gesetzgeber als oberster Ebene. Ursachen
STAMP) Jede Hierarchie-Ebene wird als Regelungs-
System angesehen, das Randbedingungen fr
die Aktivitten der Ebene darunter impliziert und
Informationen und Feedback von ihr erhlt. Die
Analyse konzentriert sich auf das Auffinden des
Kontroll-Fehlers und wo die Feedback-
Mechanismen auf jeder organisatorischen
Ebene versagt haben.
AcciMaps AcciMaps ist hauptschlich eine Methode zur Abhngig vor Gering bis sehr Strukturierungs-
Darstellung der Ergebnisse einer Ursachenana- allem vom hoch, abhngig technik zur visuellen
lyse. Sie bentigt ein organisatorisches Modell, Analysten vor allem von Darstellung der
um Faktoren in Ebenen zu unterteilen und, um den Zielen des Ergebnisse einer
die Faktoren in den Ebenen aufzudecken; es Analysten RCA gegenber
wird eine Version des kontrafaktischen Tests Dritten
(siehe WBA) angewendet, um die kausalen
Zusammenhnge zwischen den Faktoren zu
bestimmen.
17
Tabelle A.1 (fortgesetzt)

Analyse niveau
Multilineare MES und STEP sind Methoden zur Datensam- Hohe Ressourcen- Hoch Selten unter den RCA-
Ereignis- mlung und Nachverfolgung fr die Analyse Investition am An- Methoden, widmet dem
Sequenzierung (en: komplexer Vorflle ausgerichtet auf Fokus- fang, die Rationali- Informationsmanagement
Multilinear Events ereignisse in der kommerziellen Luftfahrt. Sie sierungseffekte im Verlauf der Untersu-
Sequencing, MES) ermglichen die Beibehaltung von Informa- ermglicht, wenn chung betrchtliche
und zeitlich geord- tionen fr teilweise abgeschlossene Unter- die Nachverfol- Ressourcen sowie dem
nete Ereignis- suchungen. Sie stellen Ergebnisse als Zeit- gungsmethoden Nachverfolgen von Vor-
Aufzeichnung Akteurs-Matrix der Ereignis-Komponenten dar. sich auszahlen bei fllen, Aufgaben und ihren
(en: Sequentially der Untersttzung Umsetzungs-Details. Lohnt
Timed Events der Organisation sich fr komplexe Untersu-
Plotting, STEP) einer komplexen chungen, die derartige
Untersuchung mit Management-Techniken
vielen Beteiligten. erfordern.
TRIPOD TRIPOD ist ein Baum-Ansatz fr die Analyse Mittel Mittel Strukturierungs-technik
von Unfllen und Vorfllen, der menschliche entwickelt fr die Analyse
Einflsse fokussiert und nach Fehlern in der von HSE-Vorfllen
Organisation sucht, die menschliche Fehler
verursachen knnen.
Das Ursache- Das Ursache-Modell baut auf den notwendigen Mittel Mittel Modell zur Steuerung der
Modell Komponenten jedes produktiven Systems auf, Untersuchung
d. h. Entscheidungstrgern, Linien-Manage- von Ursachen von
ment, zuverlssigem Equipment, ausgebildeten menschlichen Fehlern
und motivierten Arbeitskrften, produktiven
Aktivitten und Abwehr von Gefhrdungen. Es
gibt unvermeidbare Schwchen bei diesen
Beteiligten vergleichbar den Lchern in einem
Schweizer Kse. Entsprechend dieser
Analogie tritt ein unerwnschtes Ereignis auf,
wenn die Lcher der Ksescheiben zufllig
bereinander liegen.
Sicherheit durch SOL ist ein auf Checklisten basierendes Mittel Mittel Einschtzung basierend
Lernen in der Analysetool insbesondere fr Fokusereignisse auf Erfahrungen in der
Organisation in Kernkraftwerken. Ergebnisse dargestellt als Prozessindustrie sowie
(en: Safety through Zeit-Handelnder-Diagramm ermittelt durch die industrie-psychologischer
Organisational MES/STEP-Methode und organisationstheo-
Learning, SOL) retischer Methoden mit
dem Ziel des organisa-
torischen Lernens von
Vorfllen
Menschliche HFACS analysiert die Ursachen menschlicher Mittel Mittel Modell verwendet zur
Faktoren-Analyse Fehler-Ursachen basierend auf dem Ursache- Steuerung der Unter-
und Klassifikations- Modell. Es gibt vier Betrachtungsebenen suchung von Ursachen
Schema basierend auf Ursachen-Scheiben wie von menschlichen Fehlern
(en: Human Factors Schweizer Kse. Jede Ebene ist unterteilt in
Analysis and Kategorien, und es werden Beispiele mglicher
Classification Grnde innerhalb der Kategorie gegeben.
Scheme, HFACS)
Datamining- und Datamining- und Cluster-Techniken geben Gering Gering Strukturierungstechnik

Cluster-Techniken wertvolle Hinweise und helfen, mgliche
Grundursachen zu besttigen oder abzulehnen
18
Anhang B
(informativ)
RCA-Techniken
B.1 Allgemeines
Dieser Anhang beschreibt eine Bandbreite der am hufigsten verwendeten RCA-Techniken und gibt eine
Anleitung zu deren Anwendung. Viele dieser Techniken werden durch Software-Tools untersttzt, die den
Analysten bei der Umsetzung der RCA-Technik untersttzen.
B.2 Die Warum-Methode
B.2.1 berblick
Die Warum-Methode nutzt einen einfachen Frageprozess, um zu einer Grundursache zu gelangen. Die
Fragen werden in kleinen Schritten beantwortet, die verhindern, dass eigentlich zugrundeliegende Ursachen
bersehen werden. Die Methode ist ziemlich einfach in der Anwendung und bentigt nicht viel Training, aber
ihre Einfachheit hat Nachteile. Sie wurde jedoch umfangreich angewendet mit betrchtlichem Erfolg.
Untersuchungsleiter mssen umfassende Kenntnis und Erfahrung mit dem Problembereich haben, um die
richtigen Fragen zu stellen. Sobald der Frageprozess auerhalb ihres Expertise-Bereichs fhrt, finden sie
mglicherweise nicht die richtige Grundursache und substituieren diese durch eine Grundursache, mit der sie
vertraut sind. Es besteht auerdem die Gefahr, dass nur eine Grundursache identifiziert wird, obwohl in
Wirklichkeit mehr als eine existieren kann. Typischerweise stellen verschiedene Personen unterschiedliche
Fragen, und Ergebnisse sind nicht besonders gut wiederholbar.
B.2.2 Ablauf
Der erste Schritt in der Warum-Methode ist, das aufgetretene Problem zu benennen. Darauf folgt die Frage
Warum mehrmals, bezogen auf die jeweils vorhergehende Antwort. Die Frage Warum wird so oft gestellt
wie ntig, um zu einer Grundursache zu gelangen; dies umfasst normalerweise fnf Fragen, was allerdings
nur einen Anhaltspunkt darstellt. Jedes Mal wenn die Frage gestellt wird, kann es mehrere Antworten geben,
und es bedarf einiger Analyse, um die mglichen Antworten auszuschlieen, die nicht zutreffen. Es kann
effektiver sein, zu fragen warum hat der Prozess versagt anstatt nur warum zu fragen.
Ein Fischgrt-Diagramm oder ein hnlich strukturiertes kausales Diagramm kann verwendet werden, um die
Fragen zur Grundursache zu lenken. Dies stellt sicher, dass alle relevanten Bereiche bercksichtigt werden
durch die Untersuchung.
Der kritische Punkt dieser Methode ist es, zu entscheiden, wo der Frageprozess gestoppt wird. Die letzte
Antwort sollte auf einen Prozess deuten, der entweder nicht existiert oder nicht vernnftig funktioniert. Er
muss verfolgbar sein fr die Organisation, um als Grundursache ntzlich zu sein.
Bild B.1 illustriert ein Beispiel eines Kompressors, der einen ungeplanten Stillstand hatte.
19
Bild B.1 Ein Beispiel der Warum-Methode
Die Empfehlung als Ergebnis dieser Analyse war, mit allen Abteilungsleitern die existierenden Anweisungen
zur elektrischen Wartung zu berprfen und ein Training fr alle neuen Mitarbeiter durchzufhren. Der
Abschlussbericht stellte auch fest, dass es auerdem eine zustzliche Ursache gab im Hinblick auf das
Design des Gerts. Es stellte sich heraus, dass das Schutzsystem fr den Druck der Schmierlpumpe falsch
ausgelegt war, da ein Verlust des ldrucks sofort zu einer Abschaltung der Kompressor-Einheit htte fhren
sollen. Dies htte die hohe Temperatur des Lagers und den resultierenden Schaden verhindert.
B.2.3 Strken und Grenzen
Die Strken der Warum-Methode sind:

Einfach in der Anwendung fr die in das Problem involvierten Personen;
leicht verstndlich fr andere;
schneller Prozess, um Ergebnisse fr einfache Probleme zu erzielen;
erfordert nicht viel Training.
Die Grenzen der Warum-Methode sind:
Nur geeignet fr einfache Situationen;
stark abhngig von der Expertise der Untersuchungsleiter;
Grundursachen werden leicht bersehen, wenn sie auerhalb der Expertise der involvierten Personen
liegen;
mgliche Unsicherheit, wann die richtige Grundursache identifiziert wurde;
Ergebnisse sind nicht immer wiederholbar.
20
B.3 Fehlerbaum
B.3.1 berblick
Fehlerbaum-Analyse ist eine Technik zur Darstellung der unmittelbar notwendigen kausalen Faktoren, ihrer
kausalen Vorgnger und der logischen Beziehungen zwischen ihnen in einer strukturierten Art und Weise, die
graphisch reprsentiert wird durch ein Baum-Diagramm. Die Beziehung zwischen diesen kausalen Faktoren
wird dargestellt unter Verwendung von UND- und ODER-Gattern. Der Baum wird so entwickelt, dass Ereig-
nisse, die zu den unmittelbar notwendigen kausalen Faktoren fhren, identifiziert werden und ihre logischen
Beziehungen definiert werden, bis eine Stoppzeit aktiviert wird.
Streng genommen reprsentiert ein Fehlerbaum binre Ereignisse, bei denen eine Aussage wahr oder falsch
ist und eine Komponente ausgefallen oder nicht ausgefallen ist. Die Ereignisse an einem UND-Gatter
mssen sowohl notwendig als auch hinreichend sein, um das Ereignis darber zu verursachen, und jedes
Ereignis an einem ODER-Gatter-Eingang muss zum Ereignis oberhalb des Gatters fhren. Vorausgesetzt
diese Regeln werden eingehalten und die Auftrittswahrscheinlichkeiten der Basis-Ereignisse sind bekannt, so
knnen die Wahrscheinlichkeit des Top-Ereignisses und der Beitrag der verschiedenen Fehler-Pfade zu
dieser Wahrscheinlichkeit berechnet werden.
Die Diagramm-Form und die generelle Logik eines Fehlerbaums knnen qualitativ genutzt werden fr RCA
als Untersttzung fr Brainstorming, bei dem Faktoren identifiziert werden, die zu einem Ereignis beitragen
knnten, selbst wenn sie selbst nicht notwendigerweise zu dem Ausfall fhren.
Sowohl mit qualitativen als auch mit quantitativen Fehlerbumen werden Belege gesucht, welche der
mglichen im Fehlerbaum identifizierten kausalen Pfade eine Rolle hinsichtlich des aktuellen Fokus-
ereignisses gespielt haben.
Im Beispiel-Fehlerbaum in Bild B.2 sind die Basisereignisse Komponentenausflle, wobei der Austausch der
Komponente das obere Ereignis verhindern wrde. Es ist auch mglich, den Baum fr eine weitere Analyse-
Ebene zu verwenden, z. B. fr die Untersuchung, warum das Wartungsprogramm, das die Batterien testen
und austauschen sollte, versagt hat. Hier knnten die mitwirkenden Faktoren Punkte umfassen wie ein
Fehlen von Vorgaben, die definieren, wer die Batterien austauschen sollte, Krankheit des Personals, oder ein
schlechter Austausch-Plan. Die Ausflle sind keine binren Mglichkeiten an einem ODER-Gatter und
knnen ein offenes Ende haben, deshalb geht die strenge Logik eines Fehlerbaums verloren. Eine
Quantifizierung ist nicht gltig, aber ntzliche Eingriffe knnen identifiziert werden.
Bild B.2 Beispiel Fehlerbaum
21
In einem Fehlerbaum muss jedes Ereignis am Eingang eines logischen Gatters eine direkte Ursache sein fr
das Ereignis, das oberhalb des logischen Gatters beschrieben ist. Menschliche, technische und durch die
Umwelt beeinflusste Ursachen von Ausfllen werden fr jedes Ereignis betrachtet und nicht getrennt an der
Spitze des Baums.
Weitere Informationen zur Fehlerbaum-Analyse sind beschrieben in IEC 61025 [2].
B.3.2 Ablauf
Ein Fehlerbaum wird mittels der folgenden Schritte erstellt:

a) Identifikation des zu analysierenden Ereignisses und seine Festlegung als Top-Ereignis. Die Wahl des
Top-Ereignisses hngt ab vom Umfang der Analyse. Falls z. B. das Top-Ereignis die Auswirkung des
Ausfalls beschreibt, dann untersucht ein Zweig des Baums Ausflle der Abwehrmechanismen; falls das
Top-Ereignis jedoch eine Ausfallart ist, so ist dies nicht enthalten.
b) Definition der Stoppzeit. Generell ist dies der Punkt, an dem eine Korrekturmanahme definiert werden
kann oder der Punkt, an dem ein definitiver Beweis nicht mehr mglich ist.
c) Ermittlung der Eingnge zum Top-Ereignis: Diese sollten unmittelbare und direkte Ursachen sein.
Bestimmung der Kombinationen von Ereignissen, die das Auftreten des Top-Ereignisses verursachen
unter Verwendung von UND-/ODER-Gattern zur Beschreibung der Beziehung.
d) berprfung der Gltigkeit des Baums: Entwicklung von Fragen, um jedes Eingangs-Ereignis zu ber-
prfen und zu bestimmen, welcher Beleg vorhanden wre, falls der Eingang wahr wre.
e) Sammlung und Analyse von Daten, um die in Schritt d) entwickelten Fragen zu beantworten;
f) Analyse des Baum-Diagramms durch Auswertung jedes Eingangs hinsichtlich seines Beitrags zum Top-
Ereignis und Identifikation, welche mglichen Ausfallpfade eingetreten sind, Erweiterung des Baums wo
notwendig.
g) Die Basisereignisse des Diagramms reprsentieren nun die mglichen Grundursachen, die eine
Korrekturmanahme erfordern. Dies umfasst Grundursachen des Ausfalls, der tatschlich eingetreten
ist, und auerdem andere Ausflle, die ebenfalls zum Fokusereignis fhren knnten. Falls die Analyse
zeigt, dass diese von hoher Relevanz sind, so knnen auch hier Korrekturmanahmen empfohlen
werden.

Die Strken der Fehlerbaum-Methode sind:
Stellt eine Methode zur Verfgung zur Aufteilung der Analyse fr groe, komplexe Einheiten;
untersttzt durch viele kommerzielle Software-Pakete, die bei der Entwicklung der Fehlerbaumstruktur
helfen;
motiviert die Teilnahme von Gruppen;
benutzt ein geordnetes, leicht lesbares Format;
identifiziert Bereiche zur Sammlung von Daten.
Die Grenzen der Fehlerbaum-Methode sind:

Bentigt einen erfahrenen Ausfhrenden;
kann nur quantitativ zur Bestimmung der Bedeutung verschiedener Grundursachen verwendet werden
im Falle binrer Ausflle und falls strenge logische Regeln angewendet werden. Dies gilt gewhnlich
eher fr technische als fr menschliche oder organisatorische kausale Faktoren.
Der Fehlerbaum hat kein zugrundeliegendes Modell der Verursachung und gibt keine Anleitung, wie
kausale Faktoren gesucht werden. Er ist deshalb gut geeignet fr die Analyse von Hardware-Ausfllen,
die durch Komponenten-Ausflle verursacht sind, wobei die Liste mglicher Komponenten, die ausfallen
knnten, fix ist. Er ist weniger gut geeignet fr offene Probleme (z. B. Entzndungs-Quellen fr ein Feuer
oder menschliche und organisatorische kausale Faktoren), bei denen es keine Mglichkeit gibt, sicherzu-
stellen, dass alle mglichen Ursachen gefunden wurden.
22
Er ist nicht geeignet fr die Darstellung von Situationen, in denen ein Ereignis eintritt als Folge einer
generellen Senkung der Qualitt, die z. B. die Einhaltung von Vorgaben oder die Toleranzen von
physikalischen Komponenten beeintrchtigt.
B.4 Fischgrt- oder Ishikawa-Diagramm
B.4.1 berblick
Das Fischgrt- oder Ishikawa-Diagramm (auch bekannt als Ursache-Wirkungs-Diagramm) ist eine Technik,
die hilft, die mglichen Ursachen eines speziellen Effekts (Ereignisses) zu identifizieren, zu analysieren und
zu prsentieren. Sie kann zur Strukturierung einer Brainstorming-Sitzung verwendet werden und zur
Vorstellung von Ideen, wo weitere Hinweise gesucht werden knnen. Die Technik wurde von Kaoru Ishikawa
erfunden; sie illustriert graphisch die Beziehung zwischen einem Ereignis und allen Faktoren, die den Effekt
(Ereignis) beeinflussen. Diese Technik wird wegen ihres Aussehens auch Fischgrt-Diagramm genannt.
Bild B.3 Beispiel Fischgrt-Diagramm
B.4.2 Ablauf
Ein Fischgrt- oder Ishikawa-Diagramm wird in folgenden Schritten entwickelt:

a) Identifikation des Effekts (Fokusereignis): Das Fokusereignis wird auf der linken Seite aufgeschrieben
und eine waagerechte Linie wird von der Box ber das Papier gezogen. Dies sieht aus wie Kopf und
Rckgrat des Fischs.
b) Bildung der Hauptursachen oder involvierten Kategorien: Vom Rckgrat werden Linien fr jede
Hauptursache gezogen, die zum Problem beitragen kann. Diese Hauptursachen werden als Grten des
Fischs angesehen. Eine Reihe von Methoden werden eingesetzt zur Kategorisierung von Ursachen, u.a.:
5 Ms: Methoden, Maschinen, Management, Material, menschliche Arbeitskraft;
4 Ps: Orte, Ablufe, Personen, Richtlinien (en: Place, Procedures, People, Policies);
4 Ss: Umgebung, Zulieferer, Systeme, Kenntnisse (en: Surroundings, Suppliers, Systems, Skills);
c) Identifikation der mglichen Ursachen: Fr jeden Hauptzweig (Hauptursache) werden die mglichen
Ursachen des Effekts (Ereignisses) identifiziert. Diese werden als kleinere Linien dargestellt, die von den
Grten des Fisches abgehen. Es werden weiter detailliertere Ebenen von Ursachen identifiziert, die als
Nebenzweige abgehend von jeder Ursachenlinie abgebildet werden. Bemerkung: Es kann notwendig
werden, das Diagramm in kleinere Diagramme zu unterteilen, falls ein Zweig zu viele Nebenzweige
bekommt.
23
d) Analyse des Diagramms: Das Diagramm zeigt jetzt alle mglichen Ursachen des Ereignisses. Der
abschlieende Schritt ist die Untersuchung der wahrscheinlichsten Ursachen zur berprfung, ob die
Analyse korrekt ist. Die Analyse beinhaltet:
berprfung der Balance des Diagramms, berprfung der Vergleichbarkeit der Detaillierungs-
tiefe, um den Bedarf nach einer weiterer Identifizierung von Ursachen festzustellen;
Identifikation von Ursachen, die wiederholt auftauchen, da diese Grundursachen reprsentieren
knnen;
Bewertung, was hinsichtlich jeder Ursache gemessen werden kann, um die Auswirkungen aller
mglichen nderungen zu quantifizieren;
Hervorhebung der Ursachen, fr die Manahmen mglich sind.
Die Strken des Fischgrt- oder Ishikawa-Diagramms sind:

Frdert die Gruppen-Beteiligung zur Identifikation der persnlichen Wahrnehmung von Ursachen;
sucht Ursachen hinsichtlich einer Menge von Kategorien, wird also eine Bandbreite von Ursachen
hinsichtlich menschlicher und organisatorischer Faktoren identifizieren ebenso wie Hardware- und
Prozess-Faktoren
nutzt ein geordnetes, leicht lesbares Format;
identifiziert mgliche Ursachen fr Abweichungen;
identifiziert Bereiche zur Sammlung von Daten.
Die Grenzen des Fischgrt- oder Ishikawa-Diagramms sind:

Es gibt kein zugrundeliegendes Modell der Verursachung, daher basieren die identifizierten Ursachen
auf der Wahrnehmung des Teams von Problemen und Ursachen.
B.5 Ereignis- und Ursachen-Analyse

B.5.1 berblick
Das Ereignis- und Ursachen-Diagramm (en: Event & Causal Factor, ECF) listet Ereignisse in chronologischer
Reihenfolge von links nach rechts in Rechtecken, wobei Ereignisse durch einzelne Subjekte und aktive
Verben charakterisiert werden. Kausale Faktoren werden dann in Ovalen ber und unter der Hauptfolge von
Ereignissen dargestellt. Ereignisse werden durch durchgezogene Linien verbunden und Bedingungen durch
gestrichelte Linien. Ereignisse und Bedingungen, die auf Beweisen basieren, haben eine durchgezogene
Umrandung, die auf Annahmen basierenden dagegen eine gestrichelte.
B.5.2 Ablauf
Ein ECF-Diagramm wird in folgenden Schritten erstellt:

a) Identifikation des zu analysierenden Fokusereignisses und Aufzeichnung in einer Box auf der linken
Seite;
b) Ermittlung der unmittelbar notwendigen kausalen Faktoren fr das Fokusereignis und Darstellung jedes
solchen Faktors in einem Rechteck, das durch einen Pfeil nach rechts mit dem Fokusereignis verbunden
ist;
c) Bestimmung, welche Ereignisse und Bedingungen zum unmittelbar notwendigen kausalen Faktor gefhrt
haben, warum die Bedingungen existierten und wie sie verursacht wurden. Benennung jeder solchen
Bedingung in einem Oval oberhalb des unmittelbar notwendigen kausalen Faktors.
d) berprfung der Gltigkeit der Ursachen durch Ermittlung von Belegen, die begrnden, ob die
Bedingungen und Ereignisse wahr sind.
e) Entwicklung des ECF-Diagramms, bis die Stoppzeit zutrifft.
24
Die Strken der ECF-Analyse sind:

Untersttzt die Verifikation kausaler Ketten und Ereignis-Folgen;
liefert eine Struktur zur Integration von Ergebnissen der Untersuchung;
untersttzt die Kommunikation sowohl whrend als auch nach Abschluss der Untersuchung.
Die Grenzen der ECF-Analyse sind:
Die Aufzeichnung der Ereignisse identifiziert kausale Faktoren und bestimmt nicht notwendigerweise die
Grundursachen;
kann einfache Probleme verkomplizieren.
B.6 nderungsanalyse
B.6.1 berblick
Die nderungsanalyse identifiziert Grundursachen durch die Bestimmung der Abweichung zwischen dem
Erwarteten und dem, was tatschlich passiert ist und was zum Ereignis gefhrt hat. Die Abweichungen
werden bestimmt durch Antworten auf eine Reihe von Fragen.
B.6.2 Ablauf
Die nderungsanalyse umfasst die folgenden Schritte:

a) Identifikation des Fokusereignisses;
b) Bestimmung was, wann, wo, wer und wie fr das Fokusereignis, wobei die folgenden Punkte in
der Betrachtung enthalten sein sollten:
Identifikation des Zustands der Einheit, was passiert ist, um den Zustand hervorzurufen, welche
Aktionen durchgefhrt wurden, als der Zustand eintrat und bevor der Zustand eintrat. Ebenso
Bestimmung, welche Kontrollmechanismen (Grenzen) den Zustand verhindern htten sollen;
Bestimmung, wann das Ereignis eintrat, wann es erkannt wurde und Feststellung, ob die Tageszeit
mglicherweise zum Ereignis beigetragen hat.
Identifikation des Ortes, an dem das Ereignis eingetreten ist, und der Umweltbedingungen. Ebenso
Feststellung, ob der Ort mglicherweise zum Ereignis beigetragen hat;
Ermittlung des beteiligten Personals und dessen Fhigkeiten und Bestimmung, ob eine geeignete
Aufsicht vorhanden war;
Bestimmung, wie geeignete Aktionen bestimmt werden und ob diese angemessen ausgefhrt
wurden.
c) Vergleich mit was, wann, wo, wer und wie fr den Betrieb der Einheit ohne das Fokusereignis,
wobei die obigen Punkte in der Betrachtung enthalten sein sollten.
d) Dokumentation aller Unterschiede.
e) Analyse der Unterschiede hinsichtlich ihrer Auswirkungen bezglich des Hervorrufens des Fokusereig-
nisses.
Die Strken der nderungsanalyse sind:

Einfach.
Die Grenzen der nderungsanalyse sind:

Nicht geeignet zur Bestimmung aller Ursachen fr eine komplexe Einheit.
25
B.7 Warum-Weil-Analyse (en: Why-Because Analysis, WBA)
B.7.1 berblick
WBA ist eine kausal-analytische Technik zur Ermittlung, welche Ereignisse und Situationen innerhalb einer
gegebenen Menge (notwendige) kausale Faktoren sind und welche andere. Fr zwei gegebene Ereignisse
oder Situationen in dieser Menge, etwa A und B, wird die Bedingung des sogenannten kontrafaktischen Tests
(en: Counterfactual Test, CT) genutzt, um zu bestimmen, ob A ein notwendiger kausaler Faktor von B ist. Der
CT, entwickelt vom Philosophen David Lewis, der ihn selbst abgeleitet hat vom Philosophen des achtzehnten
Jahrhunderts David Hume, ist ein Gegenstand betrchtlicher gegenwrtiger akademischer Forschung.
Angenommen zwei Ereignisse oder Situationen A und B wurden beobachtet; der CT fragt, ob falls A nicht
eingetreten wre, B ebenfalls nicht eingetreten wre. (Da A eingetreten ist, ist die Annahme, dass A nicht
eingetreten ist, entgegen der Fakten, daher das Wort kontrafaktisch.) Bei der Betrachtung, wie die Situation
gewesen wre, falls A nicht eingetreten wre, wird angenommen, dass die Welt so hnlich wie mglich bleibt,
wie sie war, aber ohne, dass A eintritt. Falls die Antwort ja ist: B wre nicht eingetreten in der vorgestellten
Situation, dann gelingt der CT und A ist ein notwendiger kausaler Faktor von B. Falls die Antwort nein ist: B
htte ohnehin passieren knnen, auch wenn A nicht passiert wre, dann misslingt der CT, dann ist A kein
notwendiger kausaler Faktor von B. Der CT ist eine przise semantische Formulierung einer Bedingung, die
in vielen Unfallanalysen implizit verwendet wird.
Das Netzwerk kausaler Faktoren wird dargestellt als Warum-Weil-Graph (en: Why-Because Graph, WBG);
dies ist ein gerichteter Graph in der Sprache der diskreten Mathematik: Eine Menge von Knoten,
Rechtecken, Rauten und anderen Formen, die eine kurze Beschreibung des Fakts enthalten, verbunden
durch Kanten oder Pfeile, wobei der Knoten am Ende des Pfeils ein notwendiger kausaler Faktor des
Knotens an der Spitze des Pfeils ist, wie im CT bestimmt.
Bild B.4 Beispiel eines WBG eines Unfalls durch berrollen des Startbahnendes in der
kommerziellen Luftfahrt
26
Ein WBA ist azyklisch (enthlt keine Zyklen) und wird deshalb gewhnlich mit Pfeilen gezeichnet, die von
unten nach oben gehen wie im Bild oben oder horizontal mit Pfeilen, die im allgemeinen von links nach rechts
gehen oder von rechts nach links.
Um zu bestimmen, ob ausreichend kausale Faktoren in der Menge der prsentierten Ereignisse und Situa-
tionen vorhanden sind, wird der kausale Vollstndigkeitstest (en: Causal Completeness Test, CCT) verwen-
det. Der CCT wird angewendet auf ein gegebenes Ereignis oder eine Situation und die zugehrige Menge
notwendiger kausaler Faktoren, die im CT bestimmt wurde. Falls der CCT nicht bestanden wird, so muss die
Menge der Ereignisse und Situationen erweitert werden durch weitere Faktoren (die mglicherweise nicht
sofort zugnglich sind), bis er bestanden wird. Angenommen, A1, A2,...,An wurden als notwendige kausale
Faktoren fr B bestimmt durch den CT. Dann wird der CCT als bestanden angesehen, falls, wenn B nicht
eingetreten wre, ein Ereignis aus A1, A2,...,An ebenfalls nicht eingetreten wre (formal ist NICHT-B ein
notwendiger kausaler Faktor von NICHT (A1 UND A2 UNDUND An), wie im CT bestimmt).
Falls ein WBG konstruiert wurde und der CCT bestanden wurde fr alle Ereignisse und Situationen darin, so
ist der WBG vollstndig und wird angesehen als Darstellung einer hinreichenden kausalen Erklrung des
Fokusereignisses.
WBA wird derzeit hauptschlich verwendet fr die Analyse von Unfllen im Bereich ffentlicher Verkehrs-
mittel (Schiene und kommerzielle Luftfahrt), wurde aber in der Forschung auch fr die Analyse von Unfllen
in der Prozess-Industrie angewendet, speziell fr Unflle mit Kernschmelze in Kernreaktoren und fr
Computer-Sicherheitsvorflle. WBGs zur Qualittskontrolle in Unternehmen enthalten typischerweise 10
bis 25 Knoten. WBGs zur Darstellung der Ergebnisse von Unfllen in der kommerziellen Luftfahrt enthalten
typischerweise 30 bis 120 Knoten.
B.7.2 Ablauf
WBA umfasst die folgenden Schritte:

a) Bestimmung einer Menge von Fakten, die als relevant angesehen werden, unter Verwendung einer
Stoppzeit. Dies ergibt eine Anfangs-Menge C von Fakten unterteilt in Ereignisse, Zustnde, Situationen.
b) Wahl des Fokusereignisses F (in der WBA bezeichnet als Unfall-Ereignis).
c) Intuitive Bestimmung der unmittelbar notwendigen kausalen Faktoren fr F in der Menge C; berprfung
unter Verwendung des CTs. (Ein unmittelbarer Faktor ist ein Faktor, fr den kein anderer Faktor in C
zwischen ihm und F liegt). Graphische Darstellung der Ergebnisse als partieller WBG.
d) Intuitive Bestimmung der notwendigen kausalen Faktoren innerhalb dieser unmittelbaren Faktoren;
berprfung durch Anwendung des CTs. Erweiterung des WBG um diese Faktoren.
e) Fortsetzung der Ausfhrung der Analyse (um den WBG zu erweitern) durch Prfen jedes Fakts in C
gegen die Faktoren, die bereits im WBG sind.
f) Anwendung des CCT, um zu bestimmen, ob der WBG vollstndig ist, oder ob Faktoren aus der Menge C
fehlen.
g) Erweiterung von C, falls notwendig, Integration der neuen Fakten in den WBG unter Verwendung des
CT. Falls unzureichende Information verfgbar ist, so knnen Annahmen eingefgt werden,
vorausgesetzt sie sind klar als solche gekennzeichnet.
h) Ende, falls der CCT ausreichende kausale Faktoren fr jeden Faktor zeigt unter Bercksichtigung der
Stoppzeit. Falls unzureichende Fakten verfgbar sind, so mssen Annahmen eingefgt werden, um
einen Erfolg des CCT zu ermglichen, aber unter klarer diesbezglicher Kennzeichnung.
i) Falls erforderlich, kann der WBG relativ vollstndig gezeigt werden durch die kausal-erklrende formale
Logik EL (dies wird kaum jemals auer in der Forschung durchgefhrt).
Die Strken der WBA sind:

Eine WBA kann durchgefhrt werden mit einem Minimum an Training. Ein unerfahrener Anwender von
SERAS Analyst, ein Tool, das hilft bei der Ermittlung von Fakten aus erzhlenden Beschreibungen,
kann typischerweise eine erste erfolgreiche WBA in zwei Stunden durchfhren.
27
Das WBG-Format der Analyse-Ergebnisse kann leicht durch dritte Personen mit ein paar Minuten
Erklrung verstanden werden.
Der konzeptionelle Hintergrund, der fr die Durchfhrung einer WBA erforderlich ist, ist begrenzt. Ein
Analyst muss in der Lage sein, den CT anzuwenden und dann den CCT.
WBA ist allgemein; jedes Netzwerk kausal-abhngiger Phnomene kann mit einem WBA analysiert
werden.
Die Argumentation hinter einer WBA kann formal berprft werden durch Verwendung einer formalen
Logik EL. Dies liefert nachweisbar objektive Analysen (bezogen auf die Stoppzeit).
WBA kann zusammen mit anderen Methoden verwendet werden, etwa mit solchen, die mehr Struktur in
der Datensammlung liefern.
Die Grenzen der WBA sind:
Es hat sich herausgestellt, dass es fr unerfahrene Analysten schwierig ist, geeignete Fakten aus
erzhlenden Beschreibungen von Phnomenen eines Fokusereignisses ohne Anleitung zu ermitteln.
Es gibt nur eine Randbedingung hinsichtlich der Auswahl von Fakten oder der Auswahl der Stoppzeit,
nmlich Anwendung des CCT.
Es gibt keine Strukturierung von Fakten in Kategorien wie z. B. technisch, Prozess-orientiert,
menschliche Faktoren, organisatorisch, rechtlich.
Da die Fakten nicht strukturiert sind, liefert WBA begrenzte Anleitung fr Gegenmanahmen, falls ein
erneutes Auftreten verhindert werden soll. Die Auswahl von Gegenmanahmen stammt blicherweise
aus einer strukturellen Auswertung der Phnomene um ein Fokusereignis, und WBA liefert keine solche
Struktur.
B.8 Systemtheoretisches Unfallmodell und Prozess (en: Systems Theoretic

Accident Model and Process, STAMP)
B.8.1 berblick
Das Modell, auf dem STAMP basiert, nimmt an, dass Systeme aus in gegenseitiger Beziehung stehenden
Komponenten bestehen, die sich stndig ndern und anpassen, um die Ziele des Systems zu erreichen,
wobei sich gleichzeitig das System selbst und die Umwelt ndern. Komplexe sozial-ethische Systeme knnen
sich langsam zu einem Zustand greren Risikos hin entwickeln als Ergebnis vieler Entscheidungen, die im
Laufe der Zeit getroffen wurden. Deshalb verschlechtern sich Regelungssysteme oft ber die Zeit unter dem
Einfluss von anderen Druckfaktoren wie Kostenreduzierung und dem Wunsch, die Effizienz zu erhhen oder
andere Ziele zu verfolgen.
Das STAMP-Modell basiert auf dem hierarchischen organisatorischen Modell von Rasmussen-Svedung [20]
eines sozio-technischen Systems, wobei die Ebenen von Regierung/Gesetzgebung auf der obersten Ebene
bis zu den technischen Komponenten auf der untersten Ebene reichen. In STAMP reprsentieren die Ebenen
ein Regelungssystem mit Feedback, wobei jede Ebene Randbedingungen fr die Aktivitten der Ebene
darunter liefert und Feedback erhlt, auf das sie reagiert. Das Konzept von STAMP ist ein Prozess-Modell
der Regelung und jeder Regler des Systems (menschlich oder automatisiert) muss
ein Ziel oder Ziele haben;
in der Lage sein, den Zustand des Systems zu beeinflussen;
ein korrektes Modell des Systems haben;
in der Lage sein, den Zustand des Systems festzustellen.
Schadensereignisse treten auf, wenn das Feedback-Regelungssystem dabei versagt, adquat mit
nderungen umzugehen wie Komponenten-Ausfllen, externen Strungen oder dysfunktionalen Wechsel-
wirkungen zwischen Komponenten. Fehler knnen in den Reglern sein, im Design, in der Durchsetzung von
Nebenbedingungen oder hinsichtlich Information und Feedback. Dieses Konzept gilt fr Hardware, Software
und menschliche Aspekte und ihre Interaktion. Z. B. knnen physikalische Einheiten oder Software ausfallen,
falls Anforderungen nicht adquat umgesetzt werden durch das Design. Menschliche Fehler knnen
28
auftreten, wenn Entscheidungen auf der Basis eines mangelhaften Informationsflusses und Feedbacks von
unten getroffen werden oder als Ergebnis von Randbedingungen (wie finanziellem Druck) von oben.
B.8.2 Ablauf
STAMP umfasst die folgenden Schritte:

a) Identifikation von Risiko-Quellen, Randbedingungen und der hierarchischen Regelungsstruktur zur
Durchsetzung der Randbedingungen.
b) Zeichnung eines Modells der Steuerungsstruktur von Regierung/Gesetzgebung bis hinab zur Kompo-
nenten-Ebene; Darstellung der Regelungen, die jede Ebene den Aktionen der Ebene darunter auferlegt,
und des Feedbacks und Informationsflusses zwischen den Ebenen.
c) Untersuchung der Regelungsmngel in den Risiko-Quellen auf jeder Ebene der Regelungshierarchie
einschlielich der beteiligten physikalischen Prozesse und Ausrstung, unter Verwendung einer Klassi-
fizierung der Regelungsmngel basierend auf dem STAMP-Modell. Regelungsmngel umfassen unge-
eignete, ineffektive oder fehlende Regelungen, inadquate Ausfhrung von Regelungsmanahmen und
inadquates oder fehlendes Feedback.
d) Analyse der Grnde fr die Regelungsmngel unter Bercksichtigung der Anforderungen an ein
Regelungssystem wie im Prozess-Modell definiert.
e) Analyse der Grnde fr jegliche Verschlechterung des Regelungssystems und warum das Feedback
nicht dazu fhrte, dass die Verschlechterung verhindert wurde.
Die Strken von STAMP sind:

Kann mit komplexen sozio-technischen Systemen und Ausfllen umgehen, die mehrfache Ausflle auf
allen Ebenen umfassen.
Durch den Start am Anfang der Regelungshierarchie lenkt es den Fokus weg vom individuellen Fehler
und sucht alle Ursachen.
Das Regelungsmodell gilt gleichermaen fr Management und physikalische Regelungen.
Die Grenzen von STAMP sind:

Das Modell ist komplex speziell wenn ein gutes Modell der Regelungshierarchie und ihrer Interaktionen
erstellt wird.
B.9 Accimaps
B.9.1 berblick
Accimaps zeigen die kausalen Beziehungen zwischen verschiedenen technischen, psychologischen,

organisatorischen, kulturellen, regulatorischen, rechtlichen und anderen Faktoren, wobei jeder dieser
Bereiche typischerweise seine eigenen Methoden und Erklrungen hat (z. B. folgt die Psychologie nicht den
physikalischen Gesetzen; organisatorisches Verhalten wird erklrt durch sehr verschiedene Konzepte
verglichen mit der individuellen Psychologie, und regulatorische Prinzipien sind oft verschieden von allen
anderen).
Die kausalen Beziehungen werden bestimmt durch Verwendung der kontrafaktischen Bedingung, einer
informellen Version dessen, was in der WBA kontrafaktischer Test genannt wird. Die Ergebnisse werden
dargestellt in einem Graph (nach Art der diskreten Mathematik), mit Knoten (Rechtecken) zur Darstellung
der Faktoren und gerichteten Kanten (Pfeilen) zur Darstellung des kausalen Einflusses. Die Faktoren
werden unterteilt in Schichten, die den Domnen oder Ebenen entsprechen, in denen sie auftreten.
Ein Beispiel einer Accimap von Hopkins ist in Bild B.5 dargestellt, und zwar eine Accimap der Gaswerk-
Explosion von Esso Australien, Bild 1 [7].
29
Bild B.5 Beispiel Accimap eines Explosions-Unfalls in einem Gaswerk, wie dargestellt in
Hopkins [7]
Relativ wenige Faktoren erscheinen in einer typischen Accimap. Die Accimap selbst ist das Ergebnis einer
Untersuchung und ist getrieben durch Domnen, dem Modell, in das Faktoren klassifiziert werden sollen.
Eine typische Accimap hat grenordnungsmig zwischen zwanzig und vierzig Knoten.
Der Grad der Abstraktion der Knoten variiert betrchtlich zwischen den Anwendungen. In der Gaswerk-
Accimap (siehe Bild B.5) knnen sehr allgemeine Phnomene gesehen werden, wie z. B. ein Wartungs-
Rckstand oder mangelhafte Betriebsprfung sowie auch sehr spezielle Phnomene wie Stillstand der
lpumpe und berlauf des Kondensats. Es liegt im Ermessen des Analysten zu bestimmen, auf welchem
Abstraktionsniveau die Faktoren betrachtet werden. Es wird auch erwartet, dass die Accimap als Illustration
einer textlichen, erzhlten Erklrung der Ergebnisse der Untersuchung dient; sie ist nicht als alleiniges
Ergebnis gedacht.
Die Domnen in einer Accimap werden durch ein organisatorisches Modell bestimmt. Als Beispiel dient das
organisatorische Modell des australischen Transport-Sicherheits-Bros (Australian Transport Safety Bureau,
ATSB), das fr den Lockhart-Fluss-Unfall eines gesteuerten Flugs ins Gelnde (en: controlled flight into
terrain, CFIT) verwendet wurde und im ATSB-Transport-Sicherheits-Untersuchungs-Report dokumentiert ist:
Finale Version, Bild 39 [9] und wiederholt in Bild B.6. Das ATSB-Modell [9] nutzt die folgenden Ebenen
(Erklrungen der Autoren dieser Bemerkung in Klammern):
Eintretende Ereignisse (Was passierte in zeitlicher Nhe zum Unfall);
individuelle Aktionen (Menschliche Aktionen im Laufe der Zeit, die das entsprechende Risiko erhht
haben)
lokale Bedingungen (Umwelt, unmittelbare organisatorische Bedingungen und Randbedingungen, die
individuelle Aktionen beeinflusst haben);
30
Risiko-Kontrollen (organisatorische Merkmale oder deren Fehlen , die die lokalen Bedingungen oder
individuellen Aktionen zur Risiko-Reduktion beeinflussen htten knnen);
organisatorische Einflsse (Was war vorhanden bzw. was fehlte, um Probleme durch die Risiko-
Kontrollen zu verhindern).
Bild B.6 Accimap des Lockhart-Fluss-CFIT-Unfalls, wie vorgestellt im ATSB-Transport-

Sichterheits-Untersuchungs-Report [9]
Die resultierende Accimap der Lockhart-Fluss-Untersuchung enthlt drei Faktoren, die unter organisatorische
Einflsse fallen, neun Faktoren unter Risiko-Kontrollen, acht Faktoren unter lokalen Bedingungen, vier
Faktoren unter individuellen Aktionen und einen Faktor, das CFIT-Ereignis, unter eintretende Ereignisse,
insgesamt fnfundzwanzig Knoten.
Faktoren, die in eine Accimap aufgenommen werden mssen, werden durch eine Untersuchung bestimmt.
Es wird angenommen, dass die Untersuchenden verstehen, wie mgliche Faktoren fr die Betrachtung
bestimmt werden, auf welcher Ebene der Allgemeinheit auch immer sie dies fr angemessen halten. Diese
Ebene der Allgemeinheit wird nicht durch das Accimap-Format selbst vorgegeben. Ebenso wenig geben
Accimaps Anleitung fr Untersuchende, wie mgliche Faktoren identifiziert werden. Die mglichen Faktoren
werden als kausal relevant bestimmt durch die informelle Anwendung der kontrafaktischen Bedingung.
B.9.2 Ablauf
Nachdem die Faktoren identifiziert wurden, wird der folgende Prozess verwendet, um die kausale Erklrung
der Accimap zu konstruieren:
a) Die Faktoren werden zu ihren jeweiligen Domnen zugeordnet.
b) Die kontrafaktische Bedingung wird verwendet, um den kausalen Einfluss zwischen den Faktoren zu
bestimmen.
c) Die Accimap wird konstruiert:
Domnen werden dargestellt als horizontale Schichten;
Knoten fr jeden kausal-relevanten Faktor werden in ihrer Domne eingetragen;
31
Pfeile werden zwischen den Knoten gezogen als Darstellung, dass der Knoten am Ende eines Pfeils
ein kausaler Faktor ist fr den Knoten an der Spitze des Pfeils.
Die Strken von Accimaps sind:

Eine Accimap ist intuitiv leicht verstndlich.
Eine Accimap-Darstellung erfordert vom Analysten die Betrachtung aller Faktoren auf verschiedenen
Ebenen im organisatorischen Modell und eine explizite berprfung, um zu sehen, welche kausalen
Beziehungen zwischen beliebigen Faktoren in verschiedenen Ebenen des Modells bestehen knnten.
Daher werden kausale Verbindungen erkannt, die bersehen werden knnten, wenn die Domnen
separat betrachtet werden.
Die Grenzen von Accimaps sind:

Die kontrafaktische Bedingung, die zur Bestimmung der Kausalitt verwendet wird, ist informell; sie ist
nicht ausgestattet mit einer formalen Semantik. Deshalb ist sie abhngig von der Intuition und der
persnlichen Einschtzung des Untersuchenden.
Es gibt kein Kriterium zur Feststellung, ob ein organisatorisches Modell adquat ist; das Modell stammt
von auerhalb der Analyse.
Die Ebene der Allgemeinheit der Faktoren ausgedrckt in den Knoten ist hoch; sie knnen sehr abstrakt
sein. Ein Versuch, Gegenmanahmen zu finden, ist entsprechend vage.
Die Accimaps-Methode liefert nur einen schwachen analytischen Ansatz fr physikalische Ausflle oder
die Identifikation ungeeigneter Merkmale des physikalischen Teils des Systems.
Eine Accimap stellt nicht eigenstndig die Ergebnisse einer kausalen Analyse dar. Sie erfordert eine
textliche Darstellung der Ergebnisse und dient der Illustration oder Zusammenfassung dieses Texts.
Das Ergebnis einer Accimap-Analyse ist relativ schwach eingeschrnkt; es ist deshalb mglich,
verschiedene Accimaps fr den gleichen Vorfall zu erhalten, die unterschiedliche Mengen von Ursachen
zeigen in Abhngigkeit des Fokus des Analysten.
B.10 Multilineare Ereignis-Sequenzierung (en: Multilinear Events Sequencing,

MES) und zeitlich geordnete Ereignis-Aufzeichnung (en: Sequentially Timed
Events Plotting, STEP)
B.10.1 berblick
MES und STEP sind Methoden zur Analyse von Unfllen von komplexen Systemen. STEP ist ein Nachfolger
von MES. MES/STEP begreift einen Unfallprozess als eine verknpfte Folge von Ereignissen unter Einbe-
ziehung von Personen, Objekten und Energie und deren Interaktionen ber die Zeit. Ein Ereignis (oder eine
Aktion) hat einen Initiator, genannt Akteur (dieser kann menschlich sein oder eine Maschine oder sogar eine
Eigenschaft), wird teilweise ausgelst durch andere Ereignisse zusammen mit Bedingungen, die das
Eintreten ermglichen, und untersttzt umgekehrt die Auslsung weiterer Ereignisse.
Die grundlegenden Elemente einer MES-/STEP-Analyse sind Ereignis-Bausteine und eine Zeit-Akteurs-
Matrix. Die Analyse-Methode SOL nutzt ebenfalls diese grundlegenden Strukturen, abgeleitet von MES.
Ereignisse werden dargestellt als Ereignis-Bausteine. Bausteine bestehen aus (partiellen oder vollstndigen)
Datenstzen wie in Bild B.7 dargestellt.
32
Bild B.7 Daten eines Ereignis-Bausteins
Bausteine werden whrend der Analyse in einer Zeit-Akteurs-Matrix dargestellt. Diese Matrizen haben eine
vertikale Achse, die die verschiedenen Akteure darstellt, und eine horizontale Achse, die die Zeit darstellt.
Zeit-Akteurs-Matrizen enthalten auerdem:
Bedingungen, die zusammen mit Vorgnger-Ereignissen notwendig sind fr die Ermglichung eines
Ereignisses;
Anmerkungen fr weitere Aufgaben in einer Untersuchung, wie z. B. eine Bemerkung, die fehlende
Information anzeigt oder eine unvollstndige Erklrung eines Ereignisses.
Unvollstndigkeit in der Folge der Ereignisse wird identifiziert, Hypothesen werden aufgestellt, um eine
Lcke zu schlieen, und es werden Anforderungen an Daten bestimmt, die hinreichend wren, um eine
gegebene Hypothese zu belegen. MES/STEP nutzt logische Bume als Technik zur Untersuchung von
Hypothesen.
Ein Beispiel einer Zeit-Akteurs-Matrix wird in Bild B.8 gezeigt. Die Komponenten-Farben reprsentieren den
Status der Komponente zum Zeitpunkt der Untersuchung. Die Linien reprsentieren die Input/Output-
Beziehungen zwischen den Komponenten. Die Bemerkungen zeigen Untersuchungs-Aufgaben, die noch
durchgefhrt werden mssen.
33
Bild B.8 Beispiel einer Zeit-Akteurs-Matrix

B.10.2 Ablauf
MES-/STEP-Analyse enthlt die folgenden Schritte:

a) Der erste Schritt ist die Sammlung verfgbarer Informationen fr die Ausgangs-Folge von Bausteinen
und die Identifikation und Verfolgung fehlender Informationen.
b) Diese Ausgangs-Bausteine werden arrangiert in einer Ausgangs-Zeit-Akteurs-Matrix.
c) Anschlieend werden spezifische Techniken verwendet zur Identifikation von Unvollstndigkeit und
Lcken, und es werden Hypothesen aufgestellt zur Schlieung der Lcken durch Ereignisse (in der
Form weiterer Bausteine).
d) Der Ablauf endet, wenn ein Analyst einschtzt, dass gengend Information verfgbar ist in einer Zeit-
Akteurs-Matrix.
Die Strken von MES/STEP sind:

Die Methode hat sich ber Jahrzehnte praktischer Anwendung in der Analyse von Unfllen in der
kommerziellen Luftfahrt gem der Bedingungen des ICAO-Abkommens entwickelt.
Die Datenformatierung ist relativ ausgereift und es gibt explizite Mechanismen zur Bestimmung und
Verfolgung fehlender Daten und von Versuchen, diese Daten zu bestimmen. Manche dieser Buch-
fhrungs-Mechanismen sind notwendig fr das Management komplexer Untersuchungen mit mehreren
Untersuchenden.
Die Zeit-Akteurs-Matrix hat eine explizite Notation fr die Aufzeichnung des Stands einer laufenden
Untersuchung zusammen mit der Daten-Sammlung und erklrenden Aufgaben, die noch durchgefhrt
werden mssen. Dies bedeutet, dass eine verstndliche graphische Darstellung des Stands der Unter-
suchung an jedem Punkt der Untersuchung verfgbar ist.
Die Grenzen von MES/STEP sind:

Eine MES-/STEP-Untersuchung hngt stark ab von der MES/STEP-definierten Ontologie.
34
Es gibt keine explizite Auffassung einer Ursache, speziell von Ereignissen als Ursachen oder beglei-
tende Ursachen von anderen Ereignissen. Der Begriff der Ursache wird ersetzt durch eine Idee einer
Input-/Output-Beziehung zwischen Bausteinen, die angeblich aus der Kybernetik stammt.
Die theoretischen Grundlagen des spezifischen Ereignis-basierten Modells scheinen nicht so strikt zu
sein wie die anderer Methoden wie Accimaps, SOL oder WBA.
B.11 Die TRIPOD-Methode

B.11.1 berblick
Die TRIPOD-Methode wurde entwickelt, um Unfall- und Vorfall-Untersuchung und Analyse zu ermglichen.
Ihr Ziel ist die Identifikation der Risikofaktoren, die die grundlegenden Ursachen fr organisatorische,
menschliche und technische Fehler sind. TRIPOD basiert auf dem Verstndnis, dass durch Verbesserung
der Arbeitsbedingungen einer Organisation menschliche Fehler verhindert oder reduziert werden. Der andere
Fokus der Analyse liegt auf Grenzen, die geschwcht, umgangen oder gebrochen worden sein knnten.
B.11.2 Ablauf
Der Ausgangspunkt fr TRIPOD ist, dass es grundlegende Risikofaktoren (en: Basic Risk Factors, BRF) gibt,
die die zugrundeliegenden, zu Vorfllen fhrenden Mechanismen sind. Diese BRFs knnen psychologische
Vorgnge hervorrufen, die zu unterdurchschnittlichen Handlungen und Situationen fhren. Die verschiedenen
BRFs beschreiben menschliche, organisatorische und technische Probleme wie in Tabelle B.1 definiert. Die
ersten fnf sind Abwehr-BRFs, die spezifisch sind fr die untersuchte Situation, die nchsten fnf sind
allgemeine Abwehr-BRFs und der letzte BRF ist der Minderungs-BRF mit dem Ziel, die Folgen des
Ereignisses zu kontrollieren.
Tabelle B.1 Definition der BRF in TRIPOD
Nr. Grundlegender Abkrzung Definition

Risikofaktor BRF
1 Design DE Ergonomisch ungnstiges Design von Tools oder Ausstattung (Nutzer-unfreundlich)
2 Tools und Ausstattung TE Schlechte Qualitt, Bedingungen, Eignung oder Verfgbarkeit von Material,
Werkzeugen, Ausstattung und Komponenten
3 Wartungs-Management MM Keine oder inadquate Durchfhrung von Wartungsaufgaben und Reparaturen
4 Ordnung und Sauberkeit HK Keine oder ungengende Aufmerksamkeit, den Arbeitsbereich sauber oder
aufgerumt zu halten
5 Fehler erzwingende EC Ungeeignete physikalische Durchfhrung von Wartungsaufgaben und Reparaturen

Bedingungen
6 Verfahren PR Ungengende Qualitt oder Verfgbarkeit von Vorgaben, Richtlinien, Anweisungen

und Handbchern (Spezifikationen, Papierkram, praktischer Gebrauch)
7 Training TR Keine oder ungengende Kompetenz oder Erfahrung unter den Angestellten (nicht
gengend geeignet, unzureichend ausgebildet)
8 Kommunikation CO Keine oder ineffektive Kommunikation zwischen den verschiedenen Standorten,

Abteilungen oder Angestellten eines Unternehmens oder mit den offiziellen Behrden
9 Inkompatible Ziele IG Die Situation, in der Angestellte whlen mssen zwischen optimalen
Arbeitsmethoden gem der etablierten Regeln auf der einen Seite und der
Verfolgung der Produktion, finanzieller, politischer, sozialer oder individueller Ziele auf
der anderen
10 Organisation OR Defizite in der Organisationsstruktur, der Organisations-Philosophie, in

organisatorischen Prozessen oder Management-Strategien, die zu einem
inadquaten oder ineffektiven Management des Unternehmens fhren
11 Abwehrmanahmen DF Kein oder unzureichender Schutz von Personen, Material und Umwelt gegen Folgen
von betrieblichen Strungen
35
Das Original-Modell fr TRIPOD besteht aus den BRFs gefolgt von psychologischen Vorgngen, die zu
unterdurchschnittlichen Handlungen und einer betrieblichen Strung fhren. Es wurde kombiniert mit dem
HEMP-Modell (Gefhrdungs- und Auswirkungs-Management Prozess, en: Hazards and Effects Management
Process), das den Unfallmechanismus beschreibt in Form von Grenzen oder ausgefallenen Kontroll- und
Abwehrmechanismen. Daraus entstand das jetzt unter dem Namen TRIPOD-Beta bekannte Modell, von dem
ein Beispiel in Bild B.9 gezeigt wird aus Sklet: Methods for accident investigation, Bild 28 [19].
Bild B.9 Vollstndiges TRIPOD-Beta-Modell [19]

TRIPOD-Beta wurde in einem Men-gesteuerten Software-Tool implementiert, das den Untersuchenden
durch den Vorfall- oder Unfall-Ablauf fhrt. Ein Beispiel ist in Bild B.10 dargestellt aus Sklet: Methods for
accident investigation, Bild 31 [19].
Bild B.10 Ein Beispiel einer TRIPOD-Untersuchung
36
Die Strken des TRIPOD-Modells sind:

Vollstndiges Modell des Ablaufs, der zu einem Vorfall fhrt;
kann komplexe Untersuchungen und Analysen behandeln;
Fokus auf zugrundeliegenden latenten organisatorischen Faktoren;
effektiv zur Verhinderung zuknftiger Vorflle;
Men-gesteuerte Software zur Untersttzung der Untersuchung und Analyse.
Die Schwchen des TRIPOD-Modells sind:

Kann zu kompliziert sein fr einfache Situationen;
umfangreiches Training fr die Implementierung erforderlich.
B.12 Ursache-Modell
B.12.1 berblick
Wie beschrieben in der Menschliche Fehler Cambridge University Press: 1990, startet das Ursache-Modell
mit der Voraussetzung, dass ein produktives System Entscheidungstrger (gehobenes Management), Linien-
Management, zuverlssiges Equipment, ausgebildete und motivierte Arbeitskrfte, produktive Aktivitten und
Abwehr von Gefhrdungen umfasst. Menschliche Beitrge zum Ausfall des Systems knnen auf diese
Elemente folgendermaen abgebildet werden:
Fehlerhafte Entscheidungen und organisatorische Regelungen, die vernnftig erscheinen zu einem Zeit-
punkt, aber sich als falsch herausstellen;
Defizite des Linien-Managements (z. B. schlechte Zeitplanung, unzureichendes Training, mangelhafte
Ablufe und schlechtes Personal-Management);
Vorbedingungen und psychologische Vorgnge warum Menschen versagen;
Unsichere Aktionen (diese knnen klassifiziert werden in Ausrutscher, Verfehlungen, Fehler und Miss-
brauch abhngig davon, ob die Aktion der Person tatschlich als richtig oder falsch beabsichtigt war);
Mngel in physikalischen und prozessbezogenen Abwehrmechanismen.
Ein paralleles Modell kann entwickelt werden fr unzuverlssiges Equipment anstelle von unsicheren Hand-
lungen.
Das Modell ist im Wesentlichen ein Unschulds-Modell, in dem Menschen auf allen Ebenen als fehlbar
eingeschtzt werden. Eine grundlegende Voraussetzung ist, dass unerwnschte Ereignisse ihren primren
Ursprung haben in fehlerhaften Entscheidungen, die von Designern und gehobenem Management getroffen
wurden.
B.12.2 Ablauf
Das Modell wird verwendet zur Betrachtung von Grund-Ursachen ausgehend von ausgefallenen Abwehr-
mechanismen, unzuverlssigem Equipment und unsicheren Aktionen; es arbeitet sich zurck, um zu
untersuchen:
a) Welche Motivatoren und Wegbereiter fhren zu der unsicheren Handlung oder dem ausgefallenen
Abwehrmechanismus;
b) Wie hat das Linien-Management diese Wegbereiter beeinflusst;
c) Welche Entscheidungen, Design-Merkmale oder organisatorischen Regelungen spielten eine Rolle fr
die Fehler des Linien-Managements oder der Arbeitskrfte.
37
Die Strken des Ursache-Modells sind:

Es ist ntzlich, falls ein bekannter urschlicher Grund des Fokusereignisses ein Fehler auf der Arbeits-
kraft-Ebene ist.
Es liefert eine psychologische Basis dafr, warum Menschen Fehler machen, indem der Fehler-Typ
(z. B. ist der Fehler absichtlich oder unabsichtlich) betrachtet wird und untersucht wird, warum Menschen
Fehler machen.
Es nimmt nicht an, dass alle Fehler auf der Arbeits-Ebene auftreten, sondern sucht Fehler in der ganzen
Management-Kette.
Die Grenzen des Ursache-Modells sind:
Das Modell fokussiert auf menschliche Fehler. Obwohl Reason feststellt, dass parallele Betrachtungen
zutreffen fr Equipment, wird dies nicht weiter verfolgt in der Art, wie das Modell angewendet wird, und
Grundursachen, die von schlechtem Design oder Wechselwirkungen zwischen Personen und dem
Equipment sowie der Umgebung stammen, werden mglicherweise nicht identifiziert.
Der Schritt, Motivatoren und Wegbereiter fr einen Fehler zu suchen, erfordert mehr Anleitung, als durch
das Modell selbst gegeben wird, beispielsweise die Verwendung einer Systematik menschlicher Fehler,
die menschliche Fehler klassifiziert in Fehlerarten und psychologische Fehlermechanismen, bevor
Ursachen untersucht werden.
B.13 Sicherheit durch Lernen in der Organisation

(en: Safety through Organisational Learning, SOL)
B.13.1 berblick
SOL ist eine Ereignis-Analysetechnik, die auf die Annahme einer Ursache verzichtet (als problematisch
angesehen in den sozio-technischen Systemen, in denen SOL angewendet wird, vor allem in der Kernkraft-
Industrie) zugunsten eines mitwirkenden Faktors. Als Ziel der Ereignis-Analyse wird ein systematisches
Modell des Systems angesehen, die Identifikation systematischer Schwchen und deren Verbesserung und
die Verhinderung des Wiederauftretens. Als zustzlicher Nutzen wird ein tieferes Verstndnis des Systems
angenommen. Qualitative Analyse wird betont. Faktoren werden klassifiziert in Technik, Individuen,
Arbeitsgruppe, Organisation und organisatorische Umgebung.
SOL befasst sich zuerst mit der Erstellung einer situationsbezogenen Beschreibung durch Ereignis-Bau-
steine, die aus spezifischen Informationen hinsichtlich der Ereignisse bestehen, die die situationsbezogene
Beschreibung erzeugen. Die vollstndigen Blcke werden in Zeit-Akteurs-Diagramm eingetragen, eine Art
Graph, in dem die vertikale Achse die verschiedenen Akteure reprsentiert und die horizontale Achse die Zeit
reprsentiert.
Direkt beitragende Faktoren werden klassifiziert als
Information,
Kommunikation,
Arbeitsbedingungen,
persnliche Leistung,
Missbrauch,
technische Komponenten.
Indirekt beitragende Faktoren werden in die folgenden Klassen unterteilt:
Information,
Kommunikation,
persnliche Leistung,
Missbrauch,
38
Betriebsplanung,
Verantwortlichkeiten;
Steuerung und berwachung,
Gruppeneinfluss,
Regeln, Ablufe und Dokumente,
Qualifikationen,
Training,
Organisation und Management,
Feedback von Erfahrungen,
Sicherheitsprinzipien,
Qualittsmanagement,
Wartung,
Regulierungs- und Beratungseinrichtungen,
Umwelteinfluss.
Der Schwerpunkt in einer SOL-Analyse ist das organisatorische Lernen. Die spezifischen Ursachen eines
speziellen Ereignisses werden als weniger wichtig angesehen im Vergleich zur Untersuchung des Betriebs
des Systems und seiner Schwchen, und die wichtigen Schlussfolgerungen sind diejenigen, die das System
hinsichtlich seiner Sicherheit verbessern.
Ein Beispiel eines Zeit-Akteurs-Diagramms ist in Bild B.11 abgebildet; es ist aus SOL-VE GmbH [14].
Bild B.11 Beispiel eines Zeit-Akteurs-Diagramms [14]

Die Erfahrung mit SOL ist, dass es sehr hilfreich ist bei der Ermittlung von viel mehr Faktoren im Lauf der
Analyse als am Beginn erfasst wurden. SOL-Analysen identifizieren im Allgemeinen viele Klassen mitwir-
kender Faktoren (Vermeidung mono-kausalen Denkens) und erweitern den Fokus auf Faktoren weg von
Aktionen einzelner Akteure und hin zu allgemeineren systemischen organisatorischen und betrieblichen
Eigenschaften, was als hilfreicher angesehen wird fr die Verbesserung des sozio-technischen Systems.
39
B.13.2 Ablauf
SOL hat zwei Hauptschritte:

Situationsbezogene Beschreibung: Die Sammlung von Informationen und die Konstruktion von Ereignis-
Bausteinen. Situationen werden beschrieben durch die Fragen Wann? Wo? Wer? Was? und Wie? Die
Antworten auf jede dieser Fragen werden geleitet durch die Verwendung spezieller Formate fr die
Information. Ereignis-Bausteine haben eine Identifikationsnummer und enthalten Informationen zu Zeit,
Ort, Handelndem, Handlung und auerdem frei formatierte zustzliche Bemerkungen. Die Ereignis-
Bausteine werden graphisch angeordnet in einem Zeit-Akteurs-Diagramm, einen zweidimensionalen
Graphen mit der Zeit entlang der horizontalen Achse und unterschiedenen Akteuren auf der vertikalen
Achse.
Die Identifikation von direkt und indirekt mitwirkenden Faktoren wird geleitet durch Checklisten von
Fragen, wie sie in den Listen hufig gestellter Fragen auftauchen in Internet-basiertem Informations-
material. Die Fragen werden abgeleitet aus der Erfahrung von SOL-Autoren, hauptschlich Organisa-
tions-Psychologen und Organisations-Theoretiker, entwickelt durch praktische Erfahrung in Kernkraft-
werken.
Die Strken von SOL sind:

Das auf Frage-Checklisten basierende Format einer SOL-Untersuchung erlaubt Nutzern, die keine
spezialisierten Organisations-Theoretiker oder Organisations-Psychologen sind, Analysen fr Fokus-
ereignisse zu erstellen, die dazu dienen, das System zu verbessern.
Die Genauigkeit von SOL-Analysen wurde verbessert durch Verfeinerung der Frage-Checklisten durch
Anwendung in der Ziel-Industrie.
Die Betonung von mitwirkenden Faktoren anstatt Ursachen eines Fokusereignisses ermglichen es,
dass mehr Faktoren bercksichtigt werden als in einer reinen, streng kausalen Analyse des Fokusereig-
nisses, und dadurch bieten sich bessere Chancen fr die Identifikation mglicher Verbesserungen.
Das Format der Ereignis-Bausteine gibt der Einschtzung einzelner Analysten weniger Raum und hilft,
Einheitlichkeit von SOL-Analysen zu erzielen.
Die Stoppzeit wird implizit durch die Frage-Checkliste definiert: wenn diese beantwortet wurde, wird die
Information als angemessen angesehen.
Die Grenzen von SOL sind:

Es gibt keinen spezifischen Begriff, was eine Ursache ist. hnlich liegt auch die Definition eines
mitwirkenden Faktors implizit in Antworten auf die Fragen der Checkliste.
Da die Analyse durch eine Frage-Checkliste getrieben ist, ist der Detaillierungsgrad der Analyse von
vornherein festgelegt und kann nicht variiert werden gem des wahrgenommenen Niveaus an
Erklrungsbedarf.
Die Verfeinerung der Frage-Checkliste wurde in der Kernkraft-Industrie vorgenommen und knnte
deshalb weniger geeignet sein fr die Anwendung etwa fr Unflle in der kommerziellen Luftfahrt, die in
einer anderen organisatorischen Kultur auftreten.
B.14 Datamining und Cluster-Techniken
B.14.1 berblick
Moderne Datamining-Techniken ermglichen die Suche nach speziellen Eigenschaften und Bedingungen.
Die Cluster-Analyse whlt Daten aus, die eng miteinander verwandt sind und identifiziert dabei abweichende
Daten (Ausreier). Moderne Cluster-Analyse kann Daten erkennen die eng miteinander verwandt sind in
einer, zwei oder mehr Dimensionen und dabei Produkte oder Prozesse analysieren, die eng miteinander
verwandt sind, und abweichende Datenpunkte (Ausreier) identifizieren.
In einer Ursachenanalyse knnen Datamining und Cluster-Analyse wertvolle Schlssel liefern und dabei
untersttzen, mgliche Grundursachen zu besttigen oder abzuweisen. In manchen Fllen, z. B. in der
40
Raumfahrt und fr medizinisches Equipment, ist es erforderlich, Chargennummern zu speichern fr die fertig
gestellten Produkte und die zugehrigen Chargennummern der Komponenten sowie die Chargennummern
der Rohstoffe. Diese Information kann eine ntzliche Struktur liefern fr die Identifikation von Korrelationen,
die auf mgliche kausale Beziehungen hinweisen.
B.14.2 Beispiel 1
Ein Unternehmen beobachtet 12-%-Ausflle von vorrtigen Einheiten. Die Analyse zeigt, dass ein Plastikteil
gebrochen ist. Der Beginn des 12-%-Ausfall-Musters wird identifiziert in einer Chargennummer und einem
Herstellungsdatum. Dieses Datum korreliert mit gelieferten Chargen der Plastikteile. Es gibt keine Korrelation.
Es gibt auch keine Korrelation zu den Chargen von Plastik-Rohstoffen. Es gibt jedoch eine Korrelation mit
den Chargen einer Feder, die das Plastikteil spannt. Das Problem begann drei Tage, nachdem eine neue
Charge von Federn empfangen wurde. Es wird untersucht, dass zwischen dieser Charge von Federn und
den frheren Chargen nderungen vorgenommen wurden. Der Unterschied ist eine neue Oberflchenbe-
handlung gegen Korrosion. Dieser Oberflchenbehandlungsprozess wird untersucht und enthlt eine
Bemerkung, dass diese Behandlung bestimmte Plastik-Materialien beeintrchtigen kann. Weitere Analysen
zeigen, dass der Korrosionsschutz die Rissfortpflanzung in diesem Plastik beschleunigt. Eine Analyse des
Datenblatts fr das Plastik-Material zeigte eine Warnung vor lokaler berlast, die Risse verursachen kann.
Deshalb ist die Schlussfolgerung, dass eine kausale Hypothese formuliert werden kann: Ein Plastikteil ist
stndig berlastet und erlebt einen Bruch durch lokale berlast; diese Brche setzen sich in beschleunigter
Weise fort durch die neue Anti-Korrosions-Behandlung der Federn. Eine Ausfallanalyse hat zuvor ein Muster
der Bruchoberflche gezeigt, bestehend aus Bruch-Fortpflanzungslinien, die in den Kontaktpunkten der
Feder beginnen, und aus einer Bruchoberflache des letztendlichen Bruchs. Die kausal erklrende Hypothese
kann zu einem gegebenen Vertrauensniveau durch ein Experiment angenommen werden: Erstellung einer
Anzahl von Plastikteilen mit und ohne die neue Behandlung. Wenn beobachtet wird, dass Plastikteile mit der
neuen Behandlung berwiegend ausfallen, kann man schlieen, dass die kausale Hypothese besttigt ist zu
einem geeigneten Vertrauensniveau unter Verwendung von Standardmethoden der statistischen Schluss-
folgerung.
B.14.3 Beispiel 2
Eine Anzahl von Ltstellen-Ausfllen wird im Feld beobachtet. Die Herstellungswochen der ausgefallenen
Produkte werden in Kalenderzeit aufgezeichnet. Es wird beobachtet, dass die Herstellungsdaten der
Produkte mit Ltstellen-Ausfllen sich in bestimmten Wochen stark hufen. Eine kausale Hypothese kann
formuliert werden auf der Grundlage der Ausgangsbeobachtung, die dann besttigt wird zu einem gegebenen
Vertrauensniveau unter Verwendung der blichen statistischen Schlussfolgerungen hinsichtlich der Prozess-
Kontrolldaten der Herstellung, die anzeigen, dass der Ltprozess in diesen Wochen wahrscheinlich nicht
unter angemessener Kontrolle durchgefhrt wurde. Die Schlussfolgerung ist zu einem hohen Vertrauens-
niveau, dass eine Grundursache der Ltstellen-Ausflle eine unzureichende Prozesskontrolle des Ltpro-
zesses ist.
B.14.4 Beispiel 3
Eine Komponente wird auf einem Test-Board getestet durch Verdrehung des Boards. Die Anzahl von
Drehung zu Ausfall wird in einem Weibull Chart abgebildet (siehe IEC 61649). Die Analyse identifiziert eine
schwache und eine starke Gruppe (siehe IEC 61163-1). Eine Komponente aus der schwachen und eine
Komponente aus der starken Gruppe werden analysiert durch kreuzweise Auftrennung der Mikro-BGA-
Ltkugeln. Es wird festgestellt, dass die Komponente aus der schwachen Gruppe eine groe Anzahl groer
Blasen in den Ltkugeln haben, whrend die Ltkugeln aus der starken Gruppe keine oder wenige kleine
Blasen haben. Es wird geschlossen und eine Hypothese zur Grundursache formuliert, dass Blasen in den
Ltkugeln des Mikro BGA eine Grundursache der Vorfall-Ereignisse sind. Die Grundursachen-Hypothese
wird besttigt durch das Sammeln von Daten zur betrieblichen Nutzung und durch Beobachtung mittels
Datenanalyse, dass die Reduktion der Blasen korreliert ist mit einer erfolgreichen Nutzung der Komponente.
41
Literaturhinweise
[1] IEC 60050-191, International Electrotechnical Vocabulary Part 191: Dependability

[2] IEC 61025, Fault tree analysis
[3] IEC 60812, Analysis techniques for system reliability Procedure for failure mode and effects analysis
(FMEA)
[4] Bernd M. Sieker: SpanAir Flight 5022 Accident at Madrid, Incident Analysis Report, Causalis Limited
2008,
[5] Jan Sanders: Introduction to Why-Because Analysis, February 2012.
[6] Peter Bernard Ladkin: Causal Reasoning About Aircraft Accidents, in Koornneef and van de Meulen,
eds., Computer Safety, Reliability and Security, Proceedings of the 19th International Conference,
SAFECOMP 2000, Lecture Notes in Computer Science No. 1943, Springer-Verlag, 2000.
[7] Andrew Hopkins: An Accimap of the Esso Australia Gas Plant Explosion, Australian National University.
[8] Andrew Hopkins: Safety, Culture and Risk: The Organisational Causes of Disasters, CCH Australia,
Sydney 2005.
[9] ATSB, Australian Transport Safety Bureau, Collision with Terrain 11 km Northwest Lockhart River
Aerodrome, VH-TFU, SA227-DC (Metro 23), 7 May 2005, Aviation Occurrence Final Report
200501977, ATSB, Canberra, April 2007.
[10] Jens Rasmussen: Risk Management in a Dynamic Society: A Modelling Problem, Safety Science,
Volume 27, Issue 2-3, 1997.
[11] Kingsley Hendrick and Ludwig Benner Jr: Investigating Accidents with STEP, Marcel Dekker Inc, 1986.
[12] Ludwig Benner Jr: Accident Investigations: Multilinear Event Sequencing Methods, Journal of Safety
Research 7(2):67-73, June 1975.
[13] Ludwig Benner Jr: Investigation Programs in the Handbook of Industrial Automation, Richard L. Shell
and Ernest L. Hall, Marcel Dekker Inc, 2000.
[14] SOL-VE GmbH, SOL-VE OEM (Operating Experience Management), CD-Rom, Edition 05/2012, Berlin.
[15] Babette Fahlbruch, Vom Unfall zu den Ursachen, Mensch & Buch Verlag, Berlin 2000.
[16] B. Fahlbruch & M. Schbel: SOL Safety through organizational learning: A method for event analysis.
Safety Science 49(1), P2731, 2011.
[17] Stanislovas Ziedelis, Marc Noel, Comparative Analysis of Nuclear Event Investigation. Methods, Tools
and Techniques, Interim Technical Report EUR 24757 EN, European Commission Joint Research
Center, 2011.
[18] Energy Institute, London, Guidance on Investigating and Analysing Human Factors and Organisational
Aspects of Incidents and Accidents, London, May 2008.
[19] Snorre Sklet: Methods for accident investigation, NTNU Norwegian University of Science and
Technology, Report ROSS (NTNU) 200208, 2002-11-10.
[20] J Rasmussen: Risk Management in a Dynamic Society: A Modelling Problem, Safety Science (1997)
Volume 27, Issue 2-3, Pages: 183-213.
42
\.\
!"#$%#$&
' &()*+ ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, -

. #)/01234+ /+5+/+6(+7 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, -
8 $+/07 169 9+536323)67 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, -
: ;<</+43123)67 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, =
> ;**?3(123)6 )5 @!; ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, 'A
B $C+ @!; */)(+77 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, 'A
B,' "4+/43+D ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, 'A
B,. E6323123)6 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, ''
B,8 F/)<?+0 G+536323)6 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, '.
B,: ;61?H737 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, '8
B,> I1?39123)6 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, ':
B,B !)6(?J73)67 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, ':
- &+?+(23)6 )5 @!; 2+(C63KJ+7 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, '>
-,' L+6+/1? ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, '>
-,. &+?+(23)6 )5 @!; 2+(C63KJ+ ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, '>
-,8 $H*+7 )5 @!; 2+(C63KJ+7 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, '>
;66+M ; N365)/01234+O ;22/3<J2+7 )5 @!; 2+(C63KJ+7 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, '-
;,' P1(2)/7 365?J+6(36Q 7+?+(23)6 )5 @!; 2+(C63KJ+ ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, '-
;66+M R NE65)/01234+O @!; 2+(C63KJ+7 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, .A
R,' L+6+/1? ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, .A
R,. $C+ STCHU 0+2C)9 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, .A
R,8 P1J?2 $/++ ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, ..
R,: P37C<)6+ )/ E7C3V1D1 G31Q/10 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, .:
R,> %4+62 W !1J71? P1(2)/ ;61?H737 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, .>
R,B !C16Q+ ;61?H737 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, .B
R,- TCHXR+(1J7+ ;61?H737 NTR;O ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, .-
R,Y &H72+07 $C+)/+23( ;((39+62 Z)9+??36Q 169 F/)(+77+7 N&$;ZFO ,,,,,,,,,,,,,,, .=
R,= ;((301*7 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, 8A
R,'A ZJ?23?36+1/ %4+627 &+KJ+6(36Q NZ%&O 169 &+KJ+6231??H $30+9 %4+627
F?)2236Q N&$%FO ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, 88
R,'' $C+ $@EF"G Z+2C)9 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, 8B
R,'. @+17)6 Z)9+?,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, 8Y
R,'8 &15+2H 2C/)JQC "/Q1637123)61? [+1/636Q N&"[O ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, 8=
R,': G121 Z3636Q 169 !?J72+/36Q $+(C63KJ+7 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, :'
P3QJ/+ ' \ @!; */)(+77 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, ''

P3QJ/+ R,' \ ;6 +M10*?+ )5 2C+ STCHU Z+2C)9 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, .'
P3QJ/+ R,. \ %M10*?+ 51J?2 2/++ ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, ..
P3QJ/+ R,8 \ %M10*?+ P37C<)6+ 931Q/10 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, .:
P3QJ/+ R,: \ %M10*?+ )5 1 TRL )5 1 ()00+/(31?X143123)6 /J6D1HX)4+//J6
1((39+62 ,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, .-
*@*
!"#$%& '() * +,-./0& 122".-/ 34 -5 +,/036"35 122"7&58 -8 - 9-6 :0-58 -6

6/&2"4"&7 "5 ;3/<"56 =>?( ((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((((( @A
!"#$%& '(B * 122".-/ 34 8C& D32<C-%8 E"F&% G!HI -22"7&58 -6 6/&2"4"&7 "5 8C&
1IJ' I%-56/3%8 J-4&8K H5F&68"#-8"35 E&/3%8 =L?( ((((((((((((((((((((((((((((((((((((((((((((((((((((( @M
!"#$%& '(>N O-8- 23./%"6"5# -5 &F&58 P$"07"5# P032< ((((((((((((((((((((((((((((((((((((((((((((((( @Q
!"#$%& '(RN 15 &,-./0& 34 - I".&S1283% T-8%", ((((((((((((((((((((((((((((((((((((((((((((((((((((((( @)
!"#$%& '(L S G3./0&8& IEH:UO '&8- .37&0 =AL? ((((((((((((((((((((((((((((((((((((((((((((((((((((( @>
!"#$%& '(AV * 15 &,-./0& 34 - IEH:UO "5F&68"#-8"35 ((((((((((((((((((((((((((((((((((((((((((((( @>
!"#$%& '(AAN +,-./0& 34 - I".&S1283% O"-#%-. =AQ? (((((((((((((((((((((((((((((((((((((((((((((((( QV
I-P0& 1(A * 188%"P$8&6 34 8C& EG1 8&2C5"W$&6 ((((((((((((((((((((((((((((((((((((((((((((((((((((((((( A>

I-P0& '(A * O&4"5"8"35 34 8C& 'E! "5 IEH:UO (((((((((((((((((((((((((((((((((((((((((((((((((((((((((( @B
dXd
!"#$%"&#!'"&( $($)#%'#$)*"!)&( )'++!,,!'"

------------
ROOT CAUSE ANALYSIS (RCA)
.'%$/'%0
12 #34 !56475869:58; $;4<67:64<359<8; ):==9>>9:5 ?!$)2 9> 8 @:7;A@9A4 :7B859C869:5 D:7 >685A87A9C869:5 <:=E79>95B
8;; 5869:58; 4;4<67:64<359<8; <:==96644> ?!$) "869:58; ):==96644>2F #34 :GH4<6 :D !$) 9> 6: E7:=:64
956475869:58; <:I:E47869:5 :5 8;; JK4>69:5> <:5<47595B >685A87A9C869:5 95 634 4;4<679<8; 85A 4;4<67:59< D94;A>F #:
639> 45A 85A 95 8AA969:5 6: :6347 8<69L9694>M !$) EKG;9>34> !56475 869:58; ,685A87A>M #4<359<8; ,E4<9D9<869:5>M
#4<359<8; %4E:76>M NKG;9<;O &L89;8G;4 ,E4<9D9<869:5> ?N&,2 85A PK9A4> ?34748D647 74D4774A 6: 8> Q!$)
NKG;9<869:5?>2R2F #3497 E74E87869:5 9> 4567K>64A 6: 64<359<8; <:==96644>S 85O !$) "869:58; ):==96644 956474>64 A
95 634 >KGH4<6 A48;6 @963 =8O E8769<9E864 95 639> E74E8786:7O @:7TF !56475869:58;M B:L475=4568; 85A 5:5 I
B:L475=4568; :7B859C869:5> ;989>95B @963 634 !$) 8;>: E8769<9E864 95 639> E74E87869:5F !$) <:;;8G:7864> <;:>4;O
@963 634 !56475869:58; '7B859C869:5 D:7 ,685A87A9C869:5 ?!,'2 95 8<<:7A85<4 @963 <:5A969:5> A4647=954A GO
8B744=456 G46@445 634 6@: :7B859C869:5>F
U2 #34 D:7=8; A4<9>9:5> :7 8B744=456> :D !$) :5 64<359<8; =86647> 4VE74>>M 8> 5487;O 8> E:>>9G;4M 85 956475869:58;
<:5>45>K> :D :E959:5 :5 634 74;4L856 >KGH4<6> >95<4 48<3 64<359<8; <:==96644 38> 74E74>456869:5 D7:= 8;;
956474>64A !$) "869:58; ):==96644>F
W2 !$) NKG;9<869:5> 38L4 634 D:7= :D 74<:==45A869:5> D:7 956475869:58; K>4 85A 874 8<<4E64A GO !$) "869:58;
):==96644> 95 6386 >45>4F /39;4 8;; 748>:58G;4 4DD:76> 874 =8A4 6: 45>K74 6386 634 64<359<8; <:56456 :D !$)
NKG;9<869:5> 9> 8<<K7864M !$) <855:6 G4 34;A 74>E:5>9G;4 D:7 634 @8O 95 @39<3 634O 874 K>4A :7 D:7 85O
=9>95647E746869:5 GO 85O 45A K>47F
X2 !5 :7A47 6: E7:=:64 956475869:58; K59D:7=96OM !$) "869:58; ):==96644> K5A4768T4 6: 8EE;O !$) NKG;9<869:5>
6785>E87456;O 6: 634 =8V9=K= 4V6456 E:>>9G;4 95 63497 5869:58; 85A 74B9:58; EKG;9<869:5>F &5O A9L47B45<4
G46@445 85O !$) NKG;9<869:5 85A 634 <:774>E:5A95B 5869:58; :7 74B9:58; EKG;9<869:5 >38;; G 4 <;487;O 95A9<864A 95
634 ;86647F
Y2 !$) 96>4;D A:4> 5:6 E7:L9A4 85O 8664>6869:5 :D <:5D:7=96OF !5A4E45A456 <4769D9<869:5 G:A94> E7:L9A4 <:5D:7=96O
8>>4>>=456 >47L9<4> 85AM 95 >:=4 8748>M 8<<4>> 6: !$) =87T> :D <:5D:7=96OF !$) 9> 5:6 74>E:5>9G;4 D:7 85O
>47L9<4> <87794A :K6 GO 95A4E45A456 <4769D9<869:5 G:A94>F
Z2 &;; K>47> >3:K;A 45>K74 6386 634O 38L4 634 ;864>6 4A969:5 :D 639> EKG;9<869:5F
[2 ": ;98G9;96O >38;; 8668<3 6: !$) :7 96> A974<6:7>M 4=E;:O44>M >47L856> :7 8B456> 95<;KA95B 95A9L9AK8; 4VE476> 85A
=4=G47> :D 96> 64<359<8; <:==96644> 85A !$) "869:58; ):==96644> D:7 85O E47>:58; 95HK7OM E7:E476O A8=8B4 :7
:6347 A8=8B4 :D 85O 586K74 @386>:4L47M @346347 A974<6 :7 95A974<6M :7 D:7 <:>6> ?95<;KA95B ;4B8; D44>2 85A
4VE45>4> 879>95B :K6 :D 634 EKG;9<869:5M K>4 :DM :7 74;985<4 KE:5M 639> !$) NKG;9<869:5 :7 85O :6347 !$)
NKG;9<869:5>F
\2 &664569:5 9> A78@5 6: 634 ":7=869L4 74D4745<4> <964A 95 639> EKG;9<869:5F ]>4 :D 634 74D4745<4A EKG;9<869:5> 9>
95A9>E45>8G;4 D:7 634 <:774<6 8EE;9<869:5 :D 639> EKG;9<869:5F
^2 &664569:5 9> A78@5 6: 634 E:>>9G9;96O 6386 >:=4 :D 634 4;4=456> :D 639> !$) NKG;9<869:5 =8O G4 634 >KGH4<6 :D
E86456 79B36>F !$) >38;; 5:6 G4 34;A 74>E:5>9G;4 D:7 9A4569DO95B 85O :7 8;; >K<3 E86456 79B36>F
!56475869:58; ,685A87A !$) ZU[X_ 38> G445 E74E874A GO !$) 64<359<8; <:==96644 YZ`
04E45A8G9;96OF
#34 64V6 :D 639> >685A87A 9> G8>4A :5 634 D:;;:@95B A:<K=456>`
.0!, %4E:76 :5 L:695B

aabaab.0!, aabaab%c0
.K;; 95D:7=869:5 :5 634 L:695B D:7 634 8EE7:L8; :D 639> >685A87A <85 G4 D:K5A 95 634
74E:76 :5 L:695B 95A9<864A 95 634 8G:L4 68G;4F
#39> EKG;9<869:5 38> G445 A78D64A 95 8<<:7A85<4 @963 634 !,'b!$) 0974<69L4>M N876 UF
QRQ
!"# $%&&'((## ")* +#$'+#+ (")( ("# $%,(#,(* %- ("'* ./01'$)('%, 2'11 3#&)',
/,$"),4#+ /,('1 ("# *()0'1'(5 +)(# ',+'$)(#+ %, ("# 678 2#0 *'(# /,+#3
9"((.:;;2#0*(%3#<'#$<$"9 ', ("# +)() 3#1)(#+ (% ("# *.#$'-'$ ./01'$)('%,< =( ("'* +)(#> ("#
./01'$)('%, 2'11 0#
? 3#$%,-'3&#+>
? 2'("+3)2,>
? 3#.1)$#+ 05 ) 3#@'*#+ #+'('%,> %3
? )&#,+#+<
!"# A)('%,)1 8%&&'((##* )3# 3#B/#*(#+ (% ,%(# (")( -%3 ("'* ./01'$)('%, ("# *()0'1'(5
+)(# '* <<<<
!C6D !7E! 6D 6A8FGH7H IJK !C7 6AIJKL=!6JA JI !C7 A=!6JA=F 8JLL6!!77D =AH M6FF
N7 H7F7!7H =! !C7 OGNF68=!6JA D!=P7 <
HIH
INTRODUCTION
!""# $%&'( )*%+,'-' .!$)/ -' % 0(#1"2"+"3, #" -2(*#-4, 51, % 6%7#-8&+%7 (9(*# "4
-*#(7('# .4"8&' (9(*#/ "88&77(2 %*2 8%* :( 8"*'-2(7(2 %' % 0(#1"2"+"3, 51-81 %-0'
#" 67(9(*# '-0-+%7 "7 7(+%#(2 (9(*#'; !$) -' 6(74"70(2 5-#1 #1( &*2(7'#%*2-*3 #1%#
(9(*#' %7( :('# 7('"+9(2 :, (+-0-*%#-"* "4 #1( 7""# 8%&'('< 7%#1(7 #1%* %227(''-*3 #1(
-00(2-%#(+, ":9-"&' ',06#"0'; )' '&81< !$) *"# "*+, 67(9(*#' #1( '%0( "7 %
'-0-+%7 (9(*#' "88&77-*3< :&# 5-++ %+'" 67(9(*# '((0-*3+, &*7(+%#(2 (9(*#' 5-#1
'1%7(2 7""# 8%&'(';
=# -' -06"7#%*# #" *"#( #1%# %* (9(*# 0%, 1%9( "88&77(2 %' #1( 7('&+# "4 0"7( #1%* "*(
7""# 8%&'(;
)* -06"7#%*# 2-'#-*8#-"* #" 0%>( -' #1%# !$) -' % 0(#1"2"+"3, &'(2 #" %*%+,'( %
4"8&' (9(*# #1%# 1%' "88&77(2 %*2 #1(7(4"7( %*%+,'(' #1( 6%'#< 51(7(%' #(81*-?&('
'&81 %' @%-+&7( A"2(' %*2 B44(8#' )*%+,'-' .@AB)/ %*%+,'( 6"''-:+( 4%-+&7( 0"2('
%*2 4%&+#' -* %29%*8( "4 %* (9(*#; )+'"< @AB) 2"(' *"# %*%+,'( #1( 8%&'(' "4 #1(
4%-+&7( 0"2(' %*2 4%&+#' %*2 -' #1(7(4"7( *"# % '&-#%:+( #(81*-?&( 4"7 !$);
C17"&31"&# #1-' '#%*2%72< #1( #(70 D(9(*#E -*8+&2(' 4%-+&7(' %*2 -*8-2(*#' %*2 #1( #(70
D-#(0E -' &'(2 %' % 3(*(7%+ #(70 #" 2('87-:( #1( '&:F(8# :(-*3 8"*'-2(7(2 -*8+&2-*3
67"2&8#'< ','#(0' %*2 67"8(''(' -*9"+9-*3 1%725%7(< '"4#5%7( %*2 1&0%* %'6(8#';
C1-' '#%*2%72 -' -*#(*2(2 #" 7(4+(8# 8&77(*# 3""2 67%8#-8(' -* #1( '(+(8#-"* %*2 &'( "4
!$) #(81*-?&('< %*2 2"(' *"# 7(4(7 #" *(5 "7 (9"+9-*3 8"*8(6#' 51-81 1%9( *"#
7(%81(2 % '%#-'4%8#"7, +(9(+ "4 67"4(''-"*%+ 8"*'(*'&';
C1-' '#%*2%72 -' 3(*(7%+ -* *%#&7(< '" #1%# -# 0%, 3-9( 3&-2%*8( %87"'' 0%*,
-*2&'#7-(' %*2 #,6(' "4 -#(0'; C1(7( 0%, :( 0"7( '6(8-4-8 '#%*2%72' -* (G-'#(*8(
5-#1-* #1('( -*2&'#7-(' #1%# ('#%:+-'1 67(4(77(2 0(#1"2"+"3-(' 4"7 6%7#-8&+%7
%66+-8%#-"*'; =4 #1('( '#%*2%72' %7( -* 1%70"*, 5-#1 #1-' 6&:+-8%#-"*< #1( '6(8-4-8
'#%*2%72' 5-++ 3(*(7%++, :( '&44-8-(*#;
Q3Q
ROOT CAUSE ANALYSIS

1 Scope
!"#$ %&'()&*'#+&*, -'*&.*). %/0 12345 .($6)#7($ '"( 7*$#6 8)#&6#8,($ +9 :++' 0*;$(
<&*,=$#$ >:0<? *&. $8(6#9#($ '"( $'(8$ '"*' * 8)+6($$ 9+) :0< $"+;,. #&6,;.(@ !"#$
$'*&.*). *88,#($ '+ '(6"&+,+A#6*, $=$'(B$ *&. *$ $;6" #&6+)8+)*'($ '"( *&*,=$#$ +9
"*).C*)(D $+9'C*)( *&. ";B*& *$8(6'$@
!"#$ %&'()&*'#+&*, -'*&.*). #.(&'#9#($ * &;B7() +9 *'')#7;'($ 9+) :0< '(6"&#E;($D

C"#6" *$$#$' C#'" '"( $(,(6'#+& +9 *& *88)+8)#*'( '(6"&#E;(@ %' .($6)#7($ (*6" :0<
'(6"&#E;(D #'$ )(,*'#F( $')(&A'"$ *&. C(*G&($$($ *&. A;#.*&6( +& #'$ *88,#6*'#+&@
%' #$ )(6+A&#$(. '"*' $+B( +9 '"( :0< '(6"&#E;($ C#'" *.*8'*'#+& 6+;,. 7( ;$(.
8)+*6'#F(,= #& '"( .($#A& *&. .(F(,+8B(&' +9 #'(B$ *&. 9+) )#$G *$$($$B(&'H "+C(F()D
'"#$ %&'()&*'#+&*, -'*&.*). C#,, 9+6;$ +& '"( *&*,=$#$ +9 (F(&'$ C"#6" "*F( +66;))(.@
I*&= +9 '"( '++,$ 6*& 7( ;$(. '+ *&*,=$( '"( )++' 6*;$($ +9 (#'"() 9*#,;)( +) $;66($$@
!"#$ %&'()&*'#+&*, -'*&.*). 9+6;$($ +& '"(#) *88,#6*'#+& #& '"( *&*,=$#$ +9 9*#,;)(@
!"( #&'(&' +9 '"#$ %&'()&*'#+&*, -'*&.*). #$ '+ (J8,*#& '"( '(6"&#E;($ '+ #.(&'#9= )++'
6*;$($@ !"($( '(6"&#E;($ *)( &+' .($#A&(. '+ *$$#A& )($8+&$#7#,#'= +) ,#*7#,#'=H '"#$ #$
6+&$#.()(. +;'$#.( '"( $6+8( +9 '"#$ %&'()&*'#+&*, -'*&.*).@
2 Normative references
!"( 9+,,+C#&A .+6;B(&'$D #& C"+,( +) #& 8*)'D *)( &+)B*'#F(,= )(9()(&6(. #& '"#$
.+6;B(&' *&. *)( #&.#$8(&$*7,( 9+) #'$ *88,#6*'#+&@ K+) .*'(. )(9()(&6($D +&,= '"(
(.#'#+& 6#'(. *88,#($@ K+) ;&.*'(. )(9()(&6($D '"( ,*'($' (.#'#+& +9 '"( )(9()(&6(.
.+6;B(&' >#&6,;.#&A *&= *B(&.B(&'$? *88,#($@
%/0 155L5MNON %&'()&*'#+&*, /,(6')+'(6"&#6*, P+6*7;,*)= Q R*)' NONS T(8(&.*7#,#'=
%-U %/0 V;#.( 3W :#$G B*&*A(B(&' F+6*7;,*)=
3 Terms and definitions
K+) '"( 8;)8+$($ +9 '"#$ .+6;B(&'D '"( .(9#&#'#+&$ A#F(& #& %/0 155L5 MNON *&. '"(
9+,,+C#&A *88,=@
3.1
causal predecessor (of an event or state)
#'(B C"#6" +66;)$ #& $+B( 8*'" +9 6*;$*, 9*6'+)$ ,(*.#&A '+ >*&. B*=7( 7(=+&.? '"(
A#F(& (F(&' +) $'*'(@
XU!/ B*'"(B*'#6*,,=D .(9#&(. *$ '"( *&6($'+) +9 '"( A#F(& (F(&' +) $'*'( #& '"( ')*&$#'#F( 6,+$;)( +9 '"( 7#&*)=
)(,*'#+& +9 7(#&A * &(6($$*)= 6*;$*, 9*6'+)@
3.2
contributory factor
* &(6($$*)= 6*;$*, 9*6'+) )(A*).(. *$ $(6+&.*)=D *66+).#&A '+ *& (J8,#6#',= MA#F(&
8)#+)#'#$*'#+& +9 &(6($$*)= 6*;$*, 9*6'+)$
3.3
event
6"*&A( +9 $'*'(
3.4
failure (of an item)
,+$$ +9 *7#,#'= '+ 8()9+)B *$ )(E;#)(.
XRX
!"#$ % &'() *'( +,-- ,. /01+1*2 1- 3/4-(5 02 / 67( 8(91-*1): +/*()* ./4+*; *'( ./1+47( ,3347- <'() / 6/7*134+/7 -(* ,.
31734=-*/)3(- 1- ()3,4)*(7(5>
!"#$ ? @ ./1+47( ,. /) 1*(= 1- /) (A()* *'/* 7(-4+*- 1) / ./4+* -*/*( ,. *'/* 1*(=>
!"#$ B C4/+1.1(7-; -43' /- 3/*/-*7,6'13; 371*13/+; =/D,7; =1),7; =/7:1)/+ /)5 1)-1:)1.13/)*; =/2 0( 4-(5 *,
3/*(:,71E( ./1+47(- /33,751): *, *'( -(A(71*2 ,. 3,)-(F4()3(-; *'( 3',13( /)5 5(.1)1*1,)- ,. -(A(71*2 371*(71/
5(6()51): 46,) *'( .1(+5 ,. /66+13/*1,)>
!"#$ G C4/+1.1(7-; -43' /- =1-4-(; =1-'/)5+1): /)5 <(/H)(--; =/2 0( 4-(5 *, 3/*(:,71E( ./1+47(- /33,751): *,
*'( 3/4-( ,. ./1+47(>
IJ$K LMMNM8%O%; 5(.1)1*1,) %O%8GB8M%P

!"#$ N #'1- 1- ./1+47( ,. /) 1*(=; ),* =,7( :()(7/++2 ,. 0('/A1,47>
3.5
failure cause
-(* ,. 31734=-*/)3(- *'/* +(/5- *, ./1+47(
!"#$ @ ./1+47( 3/4-( =/2 ,71:1)/*( 5471): -6(31.13/*1,); 5(-1:); =/)4./3*47(; 1)-*/++/*1,); ,6(7/*1,) ,7
=/1)*()/)3(>
IJ$K LMMNM8%O%; 5(.1)1*1,) %O%8GB8%%P

3.6
failure effect
3,)-(F4()3( ,. / ./1+47(; <1*'1) ,7 0(2,)5 *'( 0,4)5/72 ,. *'( 1*(=
!"#$ Q,7 -,=( /)/+2-(- 1* =/2 0( )(3(--/72 *, 3,)-15(7 1)51A154/+ ./1+47( =,5(- /)5 *'(17 (..(3*->
IJ$K LMMNM8%O%; 5(.1)1*1,) %O%8GB8MRP

3.7
failure mechanism
67,3(-- *'/* +(/5- *, ./1+47(
!"#$ #'( 67,3(-- =/2 0( 6'2-13/+; 3'(=13/+; +,:13/+ ,7 / 3,=01)/*1,) *'(7(,.>
IJ$K LMMNM8%O%; 5(.1)1*1,) %O%8GB8%?P

3.8
failure mode
=/))(7 1) <'13' ./1+47( ,3347-
!"#$ @ ./1+47( =,5( =/2 0( 5(.1)(5 02 *'( .4)3*1,) +,-* ,7 *'( -*/*( *7/)-1*1,) *'/* ,33477(5>
IJ$K LMMNM8%O%; 5(.1)1*1,) %O%8GB8%SP

3.9
fault (of an item)
-*/*( ,. 1)/01+1*2 *, 6(7.,7= /- 7(F417(5; .,7 1)*(7)/+ 7(/-,)
!"#$ % @ ./4+* ,. /) 1*(= 7(-4+*- .7,=; (1*'(7 / ./1+47( ,. *'( 1*(= 1*-(+.; ,7 / 5(.131()32 1) /) (/7+1(7 -*/:( ,. *'(
+1.( 323+(; -43' /- -6(31.13/*1,); 5(-1:); =/)4./3*47( ,7 =/1)* ()/)3(>
!"#$ ? C4/+1.1(7-; -43' /- -6(31.13/*1,); 5(-1:); =/)4./3*47(; =/1)*()/)3( ,7 =1-4-(; =/2 0( 4-(5 *, 1)513/*(
*'( 3/4-( ,. / ./4+*>
!"#$ B #'( *26( ,. ./4+* =/2 0( /--,31/*(5 <1*' *'( *26( ,. /--,31/*(5 ./1+47(; (>:> <(/7 8,4* ./4+* /)5 <(/78,4*
./1+47(>
!"#$ G #'( /5D(3*1A(; T./4+*2U 5(-1:)/*(- /) 1*(= '/A1): ,)( ,7 =,7( ./4+*->
IJ$K LMMNM8%O%; 5(.1)1*1,) %O%8GG8M%P

!"#$ N @ ./4+* ,. /) 1*(= <'13' 1- / 3,=6,)()* ,. / -2-*(= 5,(- ),* )(3(--/71+2 7(-4+* 1) *'( 1)/01+1*2 ,. / +/7:(7
1*(= ,. <'13' 1* 1- / 3,=6,)()* *, 6(7.,7= /- 7(F417(5> V,83/++(5 T./4+*8*,+(7/)* *(3')1F4(-U ()/0+( 1*(=- *, 0(
5(-1:)(5 /)5 ./0713/*(5 <'13' 3,)*1)4( *, 6(7.,7= /- 7(F417(5 46,) *'( ,33477()3( ,. ./4+*- 1) *'(17 3,=6,)()*->
3.10
focus event
*'( (A()* <'13' *'( WK@ 1- 1)*()5(5 *, (96+/1) 3/4-/++2
PIP
3.11
functional failure
!"#$!%!&' () #" !&*+ &( ),%)!% (- &( *.*/,&* ("* (- +(-* () !&0 -*1,!-*2 #"2 2*)!"*2
),"/&!("0
3.12
immediate necessary causal factor (of an event or state)
/("2!&!("3 #/&!("3 *4*"& (- 0&#&*3 &5#& -*0,%&*2 !" &5* 6!4*" *4*"& (- 0&#&*3 7!&5(,&
75!/5 &5* 6!4*" *4*"& (- 0&#&* 7(,%2 "(& 5#4* (//,--*2
3.13
item
0,$8*/& $*!"6 /("0!2*-*2
9:;< = ;5* !&*+ +#' $* #" !"2!4!2,#% >#-&3 /(+>("*"&3 2*4!/*3 ),"/&!("#% ,"!&3 *1,!>+*"&3 0,$0'0&*+3 (- 0'0&*+?
9:;< @ ;5* !&*+ +#' /("0!0& () 5#-27#-*3 0()&7#-*3 >*(>%* (- #"' /(+$!"#&!(" &5*-*()?
9:;< A ;5* !&*+ !0 ()&*" /(+>-!0*2 () *%*+*"&0 &5#& +#' *#/5 $* !"2!4!2,#%%' /("0!2*-*2 ?
BC<D EFFGFH=I=3 2*)!"!&!(" =I=HJ=HF=K

3.14
necessary causal factor (of an event or state)
*4*"& (- >#-&!#% 0&#&* &5#& !0 # /#,0#% >-*2*/*00(- !" &5* -*%#&!(" &( &5* L!++*2!#&*
"*/*00#-' /#,0#% )#/&(-M &( &5* 6!4*" *4*"& (- 0&#&*
3.15
partial state (of a collection of objects)
N" !"0&#"&#"*(,03 /(%%*/&!(" () 0(+* >-(>*-&!*0 #"2 -*%#&!("0 !"0&#"&!#&*2 $' &5*
($8*/&0
3.16
root cause
# "*/*00#-' /#,0#% )#/&(- 75!/5 5#0 "( /#,0#% >-*2*/*00(-
9:;< = ;5* /(%%*/&!(" () "*/*00#-' /#,0#% )#/&(-0 &( $* /("0!2*-*2 !" &5* ODN !0 /!-/,+0/-!$*2 &5-(,65
#>>%!/#&!(" () # 0&(>>!"6 -,%*?
3.17
Root Cause Analysis
0'0&*+#&!/ >-(/*00 &( !2*"&!)' &5* /#,0* () # )#,%&3 )#!%,-* (- ,"2*0!-*2 *4*"&3 0( !& /#"
$* -*+(4*2 $' 2*0!6"3 >-(/*00 (- >-(/*2,-* /5#"6*0
BC<D EFFGFH=I=3 2*)!"!&!(" =I=HG@HFGK
3.18
stakeholder
# >*-0("3 6-(,> (- (-6#"!0#&!(" 75( !0 #))*/&*2 (- /(,%2 $* #))*/&*2 $' &5* )(/,0
*4*"&
3.19
state (of a collection of objects)
N" !"0&#"&#"*(,03 /(+>%*&* /(%%*/&!(" () &5* >-(>*-&!*0 #"2 -*%#&!("0 !"0&#"&!#&*2 $'
&5* ($8*/&0
3.20
stopping rule
N -*#0("*2 #"2 *.>%!/!& +*#"0 () 2*&*-+!"!"6 75*" # "*/*00#-' /#,0#% )#/&(- !0
2*)!"*2 #0 $*!"6 # -((& /#,0*
4 Abbreviations
ODN O((& D#,0* N"#%'0!0
C">D"C
!"#$ !%&'()* "+,*- %., #//*01- $.%'2-&-
5 Application of RCA
34$ )*/*)- 1+ %.2 -1)(01()*, %55)+%06 16%1 &,*.1&/&*- /%01+)- 16%1 0+.1)&7(1*, 1+ %
/+0(- *8*.19 :6* 5)&.0&5'* +/ 34$ &- 16%1 16* &;;*,&%1* .*0*--%)2 0%(-%' /%0 1+) +/ %
/+0(- *8*.1 &- +/1*. &. )*%'&12 % -2;51+; +/ (.,*)'2&.< &--(*- 16%1 .**, 1+ 7*
&,*.1&/&*, %., %,,)*--*,9
:6* 7*.*/&1- +/ 5*)/+);&.< 34$ &.0'(,*=
!"#$#%&'%( )*&*"# )+',*"#-.

/01'#$'%( &1# 234#0&'$#- 2) )20*- #$#%& '%$#-&'(+&'2%- 52"# #))#0&'$#,6.
7*882"&'%( &"+0#+3','&6 3#&9##% )20*- #$#%& '%$#-&'(+&'2% #$':#%0# +%:
02%0,*-'2%-.
;%0"#+-'%( 02%-'-&#%06 3#&9##% '%$#-&'(+&'2%- 2) -'5',+" )20*- #$#%&-.
;%0"#+-'%( 234#0&'$'&6 2) )20*- #$#%& +%+,6-'-<
=>/ ':#%&')'#- 916 8+"&'0*,+" )20*- #$#%&- 1+$# 200*""#: +%: #%+3,#- #))#0&'$#
02""#0&'$# +0&'2%- &2 +::"#-- &1# 9#+?%#-- '% &1# 01+"+0&#"'-&'0- &1+& 02%&"'3*&#: &2
&1# )20*- #$#%&< =>/ 8"2$':#- + ("#+&#" *%:#"-&+%:'%( '%&2 916 #$#%&- 1+$# 200*""#:
+%: '58,#5#%&'%( &1# 02""#0&'$# +0&'2%- '- &1#"#)2"# 52"# #)) #0&'$# +& 8"#$#%&'%( &1#
-+5# 2" + -'5',+" #$#%&- 200*""'%( 91#% 0258+"#: 9'&1 4*-& +::"#--'%( &1#
'55#:'+&# %#0#--+"6 0+*-+, )+0&2"<
=>/ '- *-#: '% :#8#%:+3','&6 &2 ':#%&')6 916 +% '&#5 )+',#: &2 8#")2"5 +- +%: 91#%
"#@*'"#:< ;% &1'- 02%&#A& &1# &#01%'@*# 5+6 3# "#)#""#: &2 +- "22& 0+*-# )+',*"#
+%+,6-'-< ;& '- +,-2 *-#: &2 +%+,6-# &1# 0+*-#- 2) +00':#%&- 91#"# &1# #))#0&- 5+6 3#
52"# 9':# "+%('%(<
=>/ 0+% 3# 0+""'#: 2*& +& $+"'2*- ,#$#,- 2) '&#5 :#02582-'&'2% )2" #A+58,# )"25
-6-&#5 &2 02582%#%& ,#$#, 2" 36 -#,#0&'%( :'))#"#%& #$#%&- 2" 2*&025#- +- + -&+"&'%(
82'%&< B1# ,#$#, +88"28"'+&# &2 02%:*0& &1# +%+,6-'- 9',, 3# :#8#%:#%& 2% &1# )20*-
#$#%&<
=>/ '- 52-& 2)&#% *-#: &2 +%+,6-# )20*- #$#%&- 91'01 1+$# +0&*+,,6 200*""#: +%: '-
&1#"#)2"# +88,'0+3,# :*"'%( &1# &#-&'%( +%: 28#"+&'2%+, 81+-#- 2) + 8"24#0& 2" 8"2:*0&
,')#060,#<
=>/ +%+,6-#- &1# )+',*"# 5#01+%'-5 2) &1# )20*- #$#%&< B1# )+',*"# 5#01+%'-5
"#8"#-#%&- &1# 816-'0+,C 01#5'0+,C 2" 2"(+%'D+&'2%+, 8"20#--#- &1+& +"# '%'&'+&#: 36 &1#
"22& 0+*-#- *,&'5+&#,6 "#-*,&'%( '% + )+',*"#< / )+',*"# 5#01+%'-5 5+6 1+$# 5*,&'8,#
"22& 0+*-#-C '%:#8#%:#%& 2" '%&#""#,+&#:< B1# )+',*"# 5#01+%'-5 2)&#% 8"2("#--#- &2
&1# )20*- #$#%& )"25 &1# 1*5+%E"#,+&#: 0+*-#-C 2"'('%+&'%( +& &1# *%:#",6'%(
5+%+(#5#%& 2" )*%:+5#%&+, 0+*-#-<
6 The RCA process

6.1 Overview
!" #$" $%%$&'()$" *+," -./'" #$" 0$1%!1-$2" /3/'$-4'(&4553" 4/" 46" (6)$/'(74'(!68" 9(':" ':$"
1!!'" &4./$/" 462" &!6&5./(!6/" #4&;$2" .0" #3" 2!&.-$6'$2" $)(2$6&$<" !" 4&:($)$" ':(/8"
*+,"/:455"(6&5.2$"':$"%!55!9(67"%()$"/'$0/8"4/"(55./'14'$2"(6"= (7.1$">?"
4@" A6('(4'(!68"9:(&:"2$'$1-(6$/"':$"6$$2"'!"&4113"!.'"*+,< "

#@" B1!#5$-" 2$%(6('(!68" 9:(&:" $/'4#5(/:$/" ':$" %4&'/" !%" 9:4'" :400$6$28" 9:$1$" 462"
9:$6<"
G HH G
!" #$%&'()(* +,)!, -(.( /0# 122&( %$3 1.!,$)4-.( 12 %(!.51%)$( ,2+ %$3 +,' 1,.
62!-( .7.$1 2!!-55.38
3" 9%&)3%1)2$* +,)!, 3)(1)$:-)(,.( %$3 5.(2&7.( 1,. 3)66.5.$1 ;2(()<)&)1).( %( 12 ,2+
%$3 +,' 1,. 62!-( .7.$1 +%( !%-(.38
." 02$!&-()2$* +,)!, ;5.(.$1( 1,. 5.(-&1( 26 1,. 62!-( .7.$1 %$%&'()(8
/0# )( )1.5%1)7. )$ $%1-5. .(;.!)%&&' 1,. 3%1% !2&&.!1)2$ %$3 %$%&'()(* )$ 1,%1 3%1% )(
!2&&.!1.3 2$ =+,%1> ,%;;.$.3* +,)!, )( 1,.$ %$%&'(.3 )$ 253.5 12 3.1.5?)$. +,%1 21,.5
3%1% $..3( 12 <. !2&&.!1.38 @$!. :%1,.5.3* 6-51,.5 %$%&'()( )( !2$3-!1.3 %$3 %$'
:%;( )3.$1)6).3* 625 +,)!, 6-51,.5 3%1% )( !2&&.!1.38 A,)( ;52!.(( )( 5.;.%1.3 -$ 1)& 1,.
%$%&'()( )( !2?;&.1. %$3 1,. 5221 !%-(.( )3.$1)6).38
I,%1* M2+ %$3 +,' L21.$1)%&

B(1%<&)(,
I,.5.* N)3.$1)6' !%-(.(
C..3
I,.$ ;21.$1)%& 3)(1)$:-)(,.3
!%-(.(" %$3 5.(2&7.3
#$%&'()(
/.(-&1(
D??.3)%1. J%1%
E%!1( 02&&.!1)2$ #;;&)!%1)2$ 26 E-51,.5 3%1%
(;.!)6)! 122&( %$3 1.(1)$:
F1.; KH L52<&.? F1.; QH
F1.; GH D$)1)%1)2$ J.6)$)1)2$ F1.; OH #$%&'()( F1.; PH 9%&)3%1)2$ 02$!&-()2$
Figure 1 RCA process

!"#$$!%&'()#%*+ ,#-+ "#--!"().!+ '"()#%+ '-!+ !/0!"(!&+ (#+ ,#11#2+ 345+ 6#2!.!-7+ (8!+
(!"8%)9:!*+ :*!&+ (#+ )&!%(),;+ '00-#0-)'(!+ "#--!"().!+ '"()#%*+ '-!+ #,(!%+ (8!+ -!*0#%*)<)1)(;+
#,+(8!+$'%'=!$!%(+(!'$+-'(8!-+(8'%+(8!+ 34+(!'$5+ >8!-!,#-!+(8!+"#%"1:*)#%*+#,+(8!+
34+ $';+ <!+ '+ &!*"-)0()#%+ #,+ !'"8+ -##(+ "':*!+ '1#%=+ 2)(8+ *:,,)")!%(+ <'"?=-#:%&+
)%,#-$'()#%+ ,#-+ (8!+ $'%'=!$!%(+ (!'$+ (#+ )&!%(),;+ *:)('<1!+ "#--!"().!+ '"()# %*5+ @8!-!+
)&!%(),)!&7+ "#--!"().!+ '"()#%*+ *8'11+ <!+ -!.)!2!&+ 0-)#-+ (#+ )$01!$!%('()#%+ (#+ &!(!-$)%!+
28!(8!-+ (8!;+ 8'.!+ %#(+ #%1;+ ,)/!&+ (8!+ -##(+ "':*!A*B7+ <:(+ '1*#+ %#(+ )%&:"!&+ %!2+ ,')1:-!*+
'%&+2)11+(8!-!,#-!+,:%"()#%+'*+)%(!%&!&5+41*#+-!#"":--!%"!+#,+(8!+*'$!+#-+ *)$)1'-+!.!%(+
*8#:1&+<!+$#%)(#-!&5+C,+'%+#"":--!%"!+-!#"":-*7+(8!+#-)=)%'1+,#":*+!.!%(+*8#:1&+<!+-! D
!.'1:'(!&+(#+&!(!-$)%!+28;+"#--!"().!+'"()#%*+2!-!+%#(+!,,!"().!5 +
6.2 Initiation
!"#"$#"%!& '($)*$#'+& #,'& !''-& #%& .$//0& %*#& 123& "!& /'+4%!+'& #%& $& 5%.*+& '('!#6& 7, '&
%/8$!"+$#"%!& +,$))& -'5"!'& #,'& ./"#'/"$& 9,".,& +4'."5"'+& #,'& -'4#,& %5& $!$)0+"+& #%& :'&
$44)"'-&#%&5%.*+&'('!#+&$!-&9,'!&$&5*))&123&9"))&:'&#/"88'/'-6&7,"+&9"))&-'4'!-&%!&#,'&
'55'.#& %5& #,'& 5%.*+& '('!#& %!& +#$#'-& %:;'.#"('+6& <=$>4)'+& %5& #/"88'/& 4%"!#+& $/'& $+&
5%))%9+?&
!"#$%& &'&#( )"(* + %+,$& &--&.(/
0 12%("3%& 2#4&5",+6%& &'&#(5 7- +# &82"31&#(9526:5;5(&1/
<+(+ 17'"#$ 72( 7- + 4&-"#&4 (7%&,+#.& %&'&%/
=+"%2,&5 >)*+( &'&, (*& %&'&% 7- &--&.(? (*+( "#'7%'& 3+,(".2%+,%; .,"(".+% "(&15 7-
&82"31&#( 7, +.("'"("&5@
A*&# 4&-"#"#$ (*& (;3& 7- &'&#(5 (*+( (,"$$&, (*& #&&4 (7 .7#42.( BCD "( "5 "137,(+#(
(7 .7#5"4&, (*+( -7, &'&,; 5"#$%& &'&#( (*+( ,&52%(5 "# + %+,$& &--&.(E (*&,& +,& 1+#;
17,& &'&#(5 )"(* +# "#5"$#"-".+#( &--&.(@ F7)&'&,E 1+#; &'&#(5 5*+,& .7117# ,77(
.+25&5E (*&,&-7,& +44,&55"#$ (*& .+25&5 7- 17,& .7117#3%+.& &'&#(5 .+# 3,&'&#(
&'&#(5 )"(* %+,$& &--&.(5@
@ AB @
!"#$ %& '() *$$" +$&$,-%"$+ &'(& ./0 %) &1 *$ #(,,%$+ 12&3 &'$ &$(- &1 #1"+2#& &'$
./0 )'(44 *$ 51,-$+6 7'$ &$(- -$-*$,) )'(44 *$ )$4$#&$+ *()$+ 1" &'$ )8$#%5%#
$98$,&%)$ "$$+$+ &1 ("(4:)$ &'$ 51#2) $;$"& <'%#' )'124+ %"#42+$ (& 4$()& 1"$
-$-*$, $98$,%$"#$+ %" &'$ #(2)(4 ("(4:)%) -$&'1+ *$%"= (884%$+6 7$(- -$-*$,)
#(" #'("=$ +$8$"+%"= 1" &'$ (#&%;%&: *$%"= #1"+2#&$+ $6=6 &$(- -$-*$,)
,$)81")%*4$ 51, +(&( #144$#&%1" <%44 "1& "$#$))(,%4: *$ &'$ )(-$ () &'1)$ #1"+2#&%"=
&'$ ("(4:)%)6 7$(- -$-*$,) #(" %"#42+$ $"=%"$$,)3 &$#'"%#%(")3 18$,(&1,)3 )(4$)
,$8,$)$"&(&%;$)3 -("(=$,) $&#6 0++%&%1"(4 &$(- -$-*$,) )'124+ *$ %"#42+$+ 51,
)8$#%5%# (#&%;%&%$) +2,%"= &'$ %";$)&%=(&%1" &1 $%&'$, *,%"= $98$,&%)$ %"&1 &'$ &$(- 1, &1
%"#,$()$ &'$ %"542$"#$ 15 &'$ &$(-6 7'$ ,14$ 15 &'$)$ (++%&%1"(4 &$(- -$-*$,) %) &1
)2881,& &'$ %";$)&%=(&%1" )1 &'(& %& %) "1& '(4&$+ 51, &$#'"%#(4 1, 1,=("%)(&%1"(4
*12"+(,: ,$()1")6
./0 #(" '1<$;$, *$ $55$#&%;$4: #(,,%$+ 12& *: 1"$ 8$,)1"3 8,1;%+$+ &'(& 8$,)1" %)
*1&' $98$,%$"#$+ <%&' &'$ #(2)(4 ("(4:)%) -$&'1+3 %) ( +1-(%" $98$,& >1, '()
%--$+%(&$ (##$)) &1 +1-(%" $98$,&)? ("+ '() (##$)) &1 (44 &'$ +(&( ,$@2%,$+6
!"#$ 51,-$+3 &'$ &$(- )'(44 +$5%"$ &'$ 51#2) $;$"& <'%#' %) &1 *$ ("(4:)$+3 &'%) )'(44
%"#42+$ &'$ *(#A=,12"+ ("+ #1"&$9& %" <'%#' &'$ 51#2) $;$"& 1##2,,$+ >%&$- %";14;$+
("+ $";%,1"-$"&? ("+ &'$ )#18$ 15 &'$ ("(4:)%)6 7'%) %) ( &$(- (#&%;%&:6 0 =11+
+$5%"%&%1" 15 &'$ 51#2) $;$"& %) )'1,&3 )%-84$3 ("+ $(): &1 2"+$,)&("+ ("+ )'124+
"1& *$ *%()$+ &1<(,+) ( )8$#%5%# )142&%1"6
./0 #(" %"#42+$ &'$ ("(4:)%) 15 18$" ):)&$-) >):)&$-) <'%#' #1"&%"212)4: %"&$,(#&
<%&' &'$%, $";%,1"-$"&?6 7'%) %"&$,(#&%1" #(" &(A$ &'$ 51,- 15 %"51,-(&%1"3 $"$,=:3 1,
-(&$,%(4 &,(")5$,6 B'$" #1"+2#&%"= &'$ ("(4:)%)3 &'$ &$(- )'124+ )8$#%5: &'$
*12"+(,: 15 &'$ ("(4:)%) ><'(& %) %"#42+$+ ("+ <'(& %) $9#42+$+?6 7'%) )8$#%5%#(&%1"
)'124+ #1")%+$, &'$ #1-81"$"&) 15 &'$ %&$- *$%"= ("(4:)$+3 () <$44 () &'$ *$'(; %12,)
("+ %"&$,#1""$#&%;%&%$)6
6.3 Problem Definition
C,1*4$- +$5%"%&%1" %"#42+$) (44 &'$ (#&%;%&%$) "$#$))(,: &1 8,$8(,$ 51, &'$ ("(4:)%)6
7'%) )&$8 2)2(44: 51,-) &'$ 4(,=$)& 8(,& 15 &'$ ./06
D(#&) )'(44 *$ #144$#&$+ 1" E<'(&F '(88$"$+3 E<'$,$F ("+ E<'$"F6 7'$)$ )'(44 *$
$;(42(&$+ &1 *2%4+ ( ':81&'$)%)3 <'%#' %) 2)$+ &1 +$&$,-%"$ <'(& 52,&'$, +(&(
#144$#&%1" %) ,$@2%,$+ &1 ()#$,&(%" E'1<F ("+ E<':F &'$ 51#2) $;$"& 1##2,,$+6
G(&( )'(44 *$ #144$#&$+ &1 %+$"&%5: &'$ #1"&$9& %" <'%#' &'$ 51#2) $;$"& 1##2,,$+3 &'$
#1"+%&%1") *$51,$3 +2,%"=3 ("+ (5&$, &'$ 51#2) $;$"&H 8$,)1""$4 %";14;$-$"& >%"#42+%"=
(#&%1") &(A$" >1, "1& &(A$"? ("+ +$#%)%1") -(+$?H $";%,1"-$"&(4 5(#&1,)H ("+ 1&'$,
%"51,-(&%1" '(;%"= ,$4$;("#$ &1 &'$ 51#2) $;$"&6 7'$ +(&( ,$@2%,$+ #(" %"#42+$I
!"#$%&'()" )* $+,#(&-. %/(0%"&% #1&+ -# *-(.%0 &)2$)"%"'# -"0 $-'+).)3, 4%$)4'#5

6%"%4-..,7 (' (# %8$%4(%"&% '+-' 9(.. 0%'%42("% 9+-' $+,#(&-. %/(0%"&% (# 4%:1(4%05 !*
'+%4% (# 0)1;'7 '+% %/(0%"&% #+)1.0 ;% 4%'-("%07 (' (# -.#) (2$)4'-"' ') $4%#%4/% '+%
%/(0%"&%5
<+)')34-$+# -"0 /(0%)# '-=%" ;, 2)"(')4("3 &-2%4-#5 <+)')34-$+("3 '+% -4%- )*
'+% )&&144%"&% *4)2 #%/%4-. /(%9# 9(.. -.#) ;% 1#%*1. (" '+% -"-.,#(# $+-#%5
>$%4-'()"-. 0-'-7 4%&)40%0 ;, 2)"(')4("3 #,#'%2#7 &)"'4). #,#'%2#7 -.-42 -"0
%/%"' .)33%4# %'&5 >$%4-')4 .)3# &-" ;% &4('(&-. ') 1"0%4#'-"0("3 '+% )$%4-'("3
&)"0('()"# -' '+% '(2% )* *-(.14% -"0 #("&% '+%, -4% ',$(&-.., 0-'%07 '+%, -4% (0%-.
*)4 3%"%4-'("3 - '(2%.("% )* %/%"'#5
<%4#)"-. '%#'(2)", 3-'+%4%0 ;, &)"01&'("3 ("'%4/(%9#5 !"'%4/(%9# 21#'
&)"&%"'4-'% )" '+% 0-'- &)..%&'()" %535 ;1(.0("3 - &)"#(#'%"' '(2%.("% %'&? -",
$4%2-'14% 0(#&1##()" )* '+% &-1#%# )* '+% *-(.14% 2-, -0/%4#%., (2$-&' '+%
K&LM&K
!"#$%&!$' (%)*$++, -.$+#!)"+ +/).01 2$ (%$(3%$1 2$4)%$ #/$ !"#$%&!$' #) $"+.%$

#/3# 300 "$*$++3%5 !"4)%63#!)" !+ )2#3!"$1, 7"#$%&!$'+ +/).01 2$ *)"1.*#$1 '!#/
#/)+$ ($)(0$8 '/) 3%$ 6)+# 436!0!3% '!#/ #/$ 4)*.+ $&$"#8 /)'$&$%8 *)"+!1$%
!"#$%&!$'!"9 )#/$% ($%+)""$0 $,9, ($)(0$ '/) /3&$ ($%4)%6$1 #/$ :)2 !" #/$ (3+#,
;00 !"#$%&!$'+ +/).01 2$ 1)*.6$"#$1,
<)*.6$"#3%5 $&!1$"*$ )4 %$0$&3"# (%)*$1.%$+8 )($%3#!"9 $"&!%)"6$"# 3"1
%$9.03#)%5 $"&!%)"6$"#,
="*$ 300 #/$ 13#3 3++)*!3#$1 '!#/ #/$ 4)*.+ $&$"# /3+ 2$$" *)00$*#$18 #/$ 13#3 +/300
2$ *)6(3%$18 6!++!"9 13#3 +/300 2$ )2#3!"$1 3"1 3"5 !"*)"+!+#$"*!$+ +/300 2$
%$+)0&$1 #) $"+.%$ 3 *0$3% 3"1 *)"+!+#$"# (!*#.%$ )4 #/$ 4)*.+ $&$"# !+ 1$#$%6!"$1,
>/$ ).#*)6$ )4 #/!+ +#$( !+ !"4)%63#!)" 3"1 ."1$%+#3"1!"9 *)"*$%"!"9?
>/$ #!6$ +$@.$"*$ )4 $&$"#+ 0$31!"9 #) #/$ 4!"30 *)"+$@.$"*$+ !"*0.1!"9 '/) 1!1
'/3#8 '/$"8 3"1 '/3# '3+ )2+$%&$1 #) )**.% 3# $3*/ ()!"#,
;"5 (/5+!*30 $&!1$"*$ 0$4# 25 #/$ 43!0.%$,
;"5 "$*$++3%5 *)"1!#!)"+ 4)% #/$ $&$"#+,
>/$ *)"+$@.$"*$+ )4 #/$ 4)*.+ $&$"#,
6.4 Analysis
!"#$%& '()(*+#$('& ,-.!)/& .!00($('1& ,-.(*(/& !$'& ,-.($/1& ).#2& 2)(0& (2)!34#2.(2& ,.5-/&
!$'&,-.6/&).(&75892&("($)&5889**(':&&
;.(& 0.62#8!4& !$'<5*& 0268.545%#8!4& +(8.!$#2+2& 57& 7!#49*(& !$'& ).(& -!6& #$& -.#8.&
#$)(*!8)#5$2& 3()-(($& .!*'-!*(1& 257)-!*(& !$'& ).(& 258#!41& 5*%!$#2!)#5$!4& !$'<5*& 4(%!4&
($"#*5$+($)&).!)&4('&)5&).(&75892&("($)&2.!44&3(&'()(*+#$(':& &
;.(& 8!92(=(77(8)& *(4!)#5$2.#02& 2.!44& ).($& 3(& '("(450('& 92#$%& >?@& )(8.$#A9(21& 75*&
(B!+04(&).52(&#$&).(&@$$(B&@1&)5&!28(*)!#$&,-.6/&).(&75892&("($)&5889**(':&C($(*!446&
).(*(& !*(& +94)#04(& 8!92(2& )5& !& 75892& ("($)1& !$'& ).(*(75*(& !& $()-5*D& *(0*(2($)#$%& ).(&
#$)(*!8)#5$&57&#++('#!)(&$(8(22!*6&!$'&$(8(22!*6&8!92!4&7!8)5*2&2.594'&3(&'("(450('&
9$)#4& !& ,2)500#$%& *94(/& #2& #$"5D(':& ;.(& ,2)500#$%& *94(/& #2& (B04#8#)46& '(7#$('& 36& ).(&
!$!462)E& 79*).(*& 8!92(2& !*(& $5)& 85$2#'(*('& *(4("!$)& )5& 9$'(*2)!$'& ).(& *(4!)#5$2.#02&
3()-(($&).(& #++('#!)(&$(8(22!*6&!$'&$(8(22!*6&8!92!4&7!8)5*2&!$'&).(&75892&("($):&
F5*& (B!+04(& ).(& 2)500#$%& *94(& +!6& 3(& ).(& 05#$)& !)& -.#8.& 85**(8)#"(& !8)#5$& 8!$& 3(&
#'($)#7#(':& ;.(& !$!462#2& #'($)#7#(2& ).(& *(!25$2& -.6& ).(& #++('#!)(& $(8(22!*6& 8!92!4&
7!8)5*2&(B#2)('1&-5*D#$%&3!8D-!*'2&)5&).(&*55)&8!92(2:&&
@& $9+3(*& 57& >?@& )(8.$#A9(2& (B#2)1& (!8.& 57& -.#8.& .!"(& !& '(7#$('& 59)85+(& !$'& !*(&
!00*50*#!)(& 75*& ).(& !$!462#2& 57& 20(8#7#8& )60(2& 57& ("($)2:& >?@& )(8.$#A9(2& *!$%(& 7*5+&
2#+04(&)5&85+04(B&)(8.$#A9(2& !$'&*(A9#*(&29#)!346&2D#44('&0*!8)#)#5$(*2&)5&85$'98)&).(&
!$!462#2:&;.(&+52)&!00*50*#!)(&>?@&)(8.$#A9(&2.594'&3(&2(4(8)('&!$'&29#)!346&2D#44('&
0*!8)#)#5$(*2&2.594'&3(&*(259*8('&)5&85$'98)&).(&!$!462#2: &
>(A9(2)2&75*&'!)!&2.!44&3(&+!'(&).*59%.59)&).(&!$!462#2&)5&*(254"(&#$85$2#2)($8# (2&5*&
85+04()(&%!02&#$&).(&!$!462#2:&&
@& 0(*25$& +!6& 3(& !& 85+05$($)& 57& ).(& 262)(+& ).!)& 7!#42& )5& 0(*75*+& !& *(A9#*('& !8)#5$&
*(294)#$%& #$& !& 262)(+& 7!#49*(:& G(504(& H!)& !$6& 4("(4& #$& !$& 5*%!$#2!)#5$I& 8!$& .!"(& !&
'(%*!'('& 0(*75*+!$8(& -.#8.& *(294)2& #$& 7!#49*(2& #$& 5).(*& 0!*)2& 57& ).(& 262)(+:& ;.(&
'(8#2#5$2&57&0(504(&!8)#$%&!2&'(2#%$(*21&50(*!)5*2&!$'&+!$!%(*2&8!$&!425&04!6&!&*54(&
#$& 7!#49*(:& J98.& '(8#2#5$2& 8!$& 3(& 85**(8)& #$& ).(& 8#*89+2)!$8(2& #$& -.#8.& ).(6& -(*(&
+!'(&39)&)9*$&59)&)5&.!"(&9$#$)($'('&*(294)2:&G(504(/2&'(8#2#5$21&#$849'#$%&'(8#2#5$2&
)5& "#54!)(& *94(21& !*(& '*#"($& 36& !& *!$%(& 57& 0(*25$!4& +5)#"!)#5$2& !$'& (B)(*$!4& '*#"(*2&
#$849'#$%& ).52(& 7*5+& -#).#$& 5*%!$#2!)#5$2& 5*& 7*5+& #)2& -#'(*& 054#)#8!4& !$'& 7#$!$8#!4&
D#EF#D
!"#$%&$' ()%*%+"*%, $)% *-#.% "+ *"/%0 $)-$ )12-#0 3/-4 5# $)% 0"!5-/ -#6
"*.-#50-$5"#-/ %#75*"#2%#$ "+ -# 5$%2 0)-// 8% !"#056%*%6 5# $)% -#-/4050'
()% -#-/4050 !-# 5#!/16% +-5/1*% -#-/4050 9)5!) %&-25#%0 +-5/%6 !"23"#%#$0 105#. -
956% -**-4 "+ 2%$)"60 5#!/165#. 25!*"0!"34, 03%!$*"0!"34 -#6 :"#;<%0$*1!$57%
(%0$5#. =:<(> "* 2"6%/0 6%7%/"32%#$ "+ +-5/1*% 01!) -0 +5*% 2"6%//5#. "* !*-0)
2"6%//5#.'
6.5 Validation
()% "1$31$ "+ $)% 3*%75"10 0$%3 !-# 5#!/16% - #128%* "+ 65++%*%#$ 3"00585/5$5%0 +"*
0%?1%#!%0 "+ %7%#$0 -#6 1#6%*/45#. !-10-/ +-!$"*0 9)5!) *%01/$%6 5# $)% +"!10 %7 %#$'
()%0% 3"00585/5$5%0 0)-// 8% 650$5#.150)%6 -#6 *%0"/7%6' ()50 !-# 5#7"/7% +1*$)%* 6-$-
!"//%!$5"# $" 0%%@ 65*%!$ %756%#!% $" 0133"*$ "* *%+1$% $)% 7-*5"10 3"00585/5$5%0
56%#$5+5%6' A756%#!% 2-4 #"$ -/9-40 8% -7-5/-8/% $" +1//4 7-/56-$% 3"$%#$5-/ !-10% 0'
B+ 5$ 50 3"0058/% $" 3%*+"*2 %&3%*52%#$0 $" *%3%-$ $)% "!!1**%#!% "+ $)% +"!10 %7%#$,
-33*"3*5-$% 0$-$50$5!-/ 2%$)"60 0)"1/6 8% 10%6 $" -00%00 $)% 6%.*%% "+ !"#+5*2-$5"#
"+ $)% )43"$)%050 "+ !-10%' B+ $)% +"!10 %7%#$ 50 *%0%-*!)%6 95$) $)% )%/3 "+
0521/-$5"#, !-*% 210$ 8% $-@%# $" %#01*% $)-$ $)% 0521/-$5"# 50 7%*565!-/ 5# $)%
!-01-//4;*%/%7-#$ *%03%!$0'
()% "1$31$ "+ $)% 7-/56-$5"# 0$%3 50C
! "#$ %& '()"#" *+$, &+-. #/+0#1'# $% ")22%-$ $,#+- '%1$-+3)$+%1 $% $,# &%')" #/#1$4
5()"#" &-%. *+$,+1 $,+" "#$ *,+', ,(/# 1% -#6#/(1$ '()"(6 2-#0#'#""%-" (10
,#1'# (-# 0#&+1#0 (" -%%$ '()"#"4
! "#$ %& '()"#" *,#-# #/+0#1'# +" *#(7 %- (3"#1$ 3)$ *,+', '%)60 ,(/# 3##1 (
'()"#4
! "#$ %& &('$%-" *,+', '(1 ,(/# +10+-#'$68 '%1$-+3)$#0 $% $,# &%')" #/#1$ %'')--+19
#49 +1'-#("#0 $,# 6+7#6+,%%0 %& &(+6)-# -($,#- $,(1 3#+19 ( 1#'#""(-8 '()"# +1 (
'()"(6 1#$*%-74
:,#"# '()"#" (10 $,# 6#/#6 %& #/+0#1'# ")22%-$+19 $,#. ",%)60 3# -#2%-$#04
6.6 Conclusions
!"# $%&"# '(# )'*)+,-.'*-# /.++# 0"&"*0# '*# $!"# ('12# '(# $!"# 3*3+%-.-4# 5'1# "632&+"7 # .(# $!"#
&,1&'-"# '(# $!"# 3*3+%-.-# .-# $'# &1"8"*$# (,1$!"1# ')),11"*)"-# '(# -.2.+31# "8"*$-7# $!"#
)'*)+,-.'*-# -!',+0# .0"*$.(%# )'11")$.8"# 3)$.'*-# /!.)!# 91"3:# $!"# )3,-3+# *"$/'1:# 3*0#
&1"8"*$# $!"# ('),-# "8"*$# ')),11.*;# 3;3.*4# !"# "((")$.8"*"--# '(# $!"# )'*)+,-.'*-# .-#
0"&"*0"*$#'*#$!"#<,3+.$%#'(#$!"#*"$/'1:#0"8"+'&"0#.*#$!"#3*3+%-.-4 #
=*# 3;1""0# ('123$# ('1# &1"-"*$.*;# $!"# )'*)+,-.'*-# '(# $!"# >?=# -!3++# 9"# 0"8"+'&"0# $!3$#
-,2231.-"-# $!"# 03$3# 3*3+%-.-# 3*0# )3&$,1"-# $!"# 1"<,.1"0# ',$)'2"-# (1'2# $!"# 3*3+%-.-#
"4;4# 1")'22"*0"0# )'11")$.8"# 3)$.'*-4# @(# 1")'22"*0"0# )'11")$.8"# 3)$.'*-# 31"# $!"#
1"<,.1"0#',$)'2"#(1'2#$!"#>?=7#$!"#-,2231%#-!3++#.*)+,0"#3-#3#2.*.2,2A #
# =# ;"*"13+# 0"-)1.&$.'*# '(# "3)!# )3,-"# 1"<,.1.*;# )'11")$.8"# 3)$.'*# 3+'*;# /.$!#
-,((.)."*$# 93):;1',*0# .*('123$.'*# ('1# $!"# $"32# 2"29"1-# $'# 9 "# 39+"# $'# ,*0"1-$3*0#
$!"#*""0#$'#3001"--#"3)!#)3,-"4#
# !"# &3$!# '1# &3$!-# $!1',;!# $!"# *"$/'1:# 3--').3$"0# /.$!# "3)!# )3,-"# 1"<,.1.*;#
)'11")$.8"#3)$.'*4#
# >")'22"*0"0#)'11")$.8"#3)$.'*-#$'#3001"--#"3)!#'(#$!"#)3,-"-#.0"*$.(."04 #
@(# 1")'22"*03$.'*-# ('1# )'11")$.'*# ('++'/# 3# >?=7# .2&+"2"*$3$.'*# '(# $!"# )'11")$.8"#
3)$.'*-# .-# $!"# .2&'1$3*$# -$"&# .*# .2&1'8.*;# $!"# &1'0,)$# <,3+.$%4# !"-"# 3)$.'*-# -!3++#
3001"--# -%-$"2# .2&1'8"2"*$-# 3.2"0# 3$# $!"# &1'9+"2B-# 1''$# )3,-"-4# C3)!# )'11")$.8"#
D#EF#D
!"#$%& '(!)) *+ +,!)-!#+. /%0 +//+"#$,+&+'' !&. 0+!)$'12 #(+0+/%0+ +!"( "%00+"#$,+
!"#$%& '(%-).3
4+.-"+ #(+ )$5+)$(%%. %/ #(+ /%"-' +,+&# 0+%""-00$&6 !&.7%0 0+.-"+ #(+
"%&'+8-+&"+' %/ -&.+'$0+. +,+&#' #% !& !""+9#!*)+ )+,+):
;%# $&#0%.-"+ &+< -&!""+9#!*)+ 0$'5' +=6= #(+ '!/+#> %/ %#(+0 '>'#+1' 1-'#
&%# *+ .+60!.+. *> #(+ 90%9%'+. "%00+"#$,+ !"#$%&=
?!"( "%00+"#$,+ !"#$%& '(%-). *+ /+!'$*)+ !&. !"($+,!*)+ <$#( 0+'9+"# #% "%'#2 #$1+2
%06!&$'!#$%&!) $&/)-+&"+2 #+"(&$"!) 0+8-$0+1+&#'2 +#"=
@(+ "%&")-'$%& %/ #(+ !&!)>'$' '(!)) *+ .$'"-''+. <$#( '#!5+(%).+0' $&,%),+. $& #(+
/%"-' +,+&#=
7 Selection of RCA techniques

7.1 General
!"# $%%"&"'# ()'*# $%+# ,-.*!".# "&/($)%# *!"# .$%0"# 1,# *"2!%)3-"'# *!$*# 2$%# 4"# -'"+# *1#
/".,1.5#1.#$'')'*#6)*!#789:#
7.2 Selection of RCA technique
789# # )'# # -%+".*$;"%# # )%# # <$.=)%0# # +"0.""'# # 1,# # +"/*!# # $%+# # 5$=# # -'"# # 1%"# # 1.# # 5$%=##
789# *"2!%)3-"'# .$%0)%0# ,.15# ')5/("# *1# 215/("&:# !"# +"/*!# 1,# *!"# $%$(=')'# $%+#
*"2!%)3-">'?#-'"+#'!1-(+#4"#21%')'*"%*#6)*!#*!"#215/("&)*=#1,#*!"#)*"5#-/1%#6!)2!#*!"#
,12-'#"<"%*#122-.."+#$%+#*!"#21%'"3-"%2"'#1,#,$)(-.":#
@%#0"%".$(#*".5'A#$#'-)*$4("#*"2!%)3-"#'!1-(+#"&!)4)*#*!"#,1((16)%0#2!$.$2*".)'*)2'B #
!" #$%&'(')*+" ),- )../0./')&" &0 &1" (02$% "3",& $,-"/ ),)+4%'%5
6/03'-" /"%$+&% 71'21 ",1),2"% &1" $,-"/%&),-',8 0( &1" /00& 2)$%"% 0( &1"
(02$% "3",&9 :( &1" .$/.0%" 0( &1" ),)+4%'% '% &0 "+';',)&" /"2$//",2" &1",
20//"2&'3" )2&'0,% %10$+- *" ./0.0%"-5
!" 2).)*+" 0( $%" ', ) ;),,"/ &1)& '% &/)2")*+"< /".")&)*+" ),- 3"/'(')*+"9
=,2" &1" ./0*+"; 1)% *"", -"(',"- &1" >?@ &"21,'A$"B%C %10$+- *" %"+"2&"-<
*)%"- 0, &1" )..+'2)*+" ()2&0/% %$21 )%D
E1" 20;.+"F'&4 0( &1" '&";5

E1" ;)8,'&$-" 0( &1" (02$% "3",&5
E1" %"3"/'&4 0( ()'+$/" 20,%"A$",2"%5
E1" )3)'+)*'+'&4 0( ',(0/;)&'0, ),- -)&)< )% %0;" &"21,'A$"% /"A$'/" ;0/" &1),
0&1"/%9
7.3 Types of RCA techniques
!"# $%&'()*+%,# &-(# .%# &/-,,)0)%1# )(# 2-3)4+,# 5-6,# $4# -,,),$# 5)$'# +(1%3,$-(1)(7# $'%)3#
3%/-$)2%# ,$3%(7$',# -(1# 5%-8(%,,%,9# "((%:# "# &/-,,)0)%,# $'%# $%&'()*+%,# )(# $%3;,# 40# $'%#
0-&$43,# $'-$# )(0/+%(&%# $'%# ,%/%&$)4(# 40# $'%# $%&'()*+%,9# "# 3-(7%# 40# $'%# $%&'()*+%,# -3%#
$'%(# 0+3$'%3# %/-.43-$%1# +<4(# )(# "((%:# =# -,# $4# $'%# (-$+3%# 40# $'%# -,,%,,;%($# $'%6#
<342)1%#-(1#7+)1-(&%#$4#$'%)3#-<</)&-.)/)$6#043#&%3$-)(#,)$+-$)4(,9 #
!"#$%&'()*+%,#&-(#.%#&/-,,)0)%1#-,#04//45,>#$'4,%#$'-$#<342)1%? #
# @$3+&$+3%#$4#$'%#-(-/6,),A#
# !'%&8/),$,#$4#,+<<43$#$'%#-(-/6,),A#
# "#;41%/#.-,%1#4(#B&4(&%<$+-/#.%/)%0C#$4#1%2%/4<#$'%#&-+,%,9 #
F GH F
!"# $%&'() *+,(-+-./ /-0%.*1'-$ /%2/ .&/ &.(3 ,4&5*)- $/4'0/'4-6 7'/ 2($& )-5-(&,
/%- 02'$-$ /%4&'8% 2 +&)-( &4 73 /%- '$- &9 0%-0:(*$/$; <%- &7=-0/*5- &9 #..-> # ? @
*$ /& ,4&5*)- 8'*)2.0- *. $-(-0/*.8 /%- 2,,4&,4*2/- /-0%.*1'-A$B 72$-) &. /%- 920/&4$
*)-./*9*-) *. C-0/*&. D;E;
O&PQ&O
Annex A (informative) Attributes of RCA techniques

A.1 Factors influencing selection of RCA technique
!"# $%%&'()%#* +, %"# %#-".'/)#* $&# 0#*-&'(#0 '. %#&1* +,2
!"#$%&'()* "+ ),& -.-%*/(/0

1,& /2(%% %&3&% 4&56(4&7 +"4 ),& )&8,.(56&0
1,& 8,-4-8)&4(/)(8/ "+ ),& )&8,.(56&9
1,& 8,-4-8)&4(/)(8/ "+ ),& )&8,.(56& -4& 7&+(.&7 (. )&4#/ "+ ),& +"%%":(.;<
=)468)64&> :,(8, -4& )&8,.(56&/ ),-) $4"3(7& /)468)64& )" ),& -.-%*/(/0
1-'"."#(&/> :,(8, -4& )&8,.(56&/ ),-) $4"3(7& 8,&82%(/)/ )" /6$$"4) ),& -.-%*/(/0
?"7&%/> :,(8, -4& )&8,.(56&/ ),-) 6/& @8".8&$)6-% A&%(&+B )" 7&3&%"$ ),& 8-6/&/9
C"") !-6/& -.-%*/(/ 8-. (.3"%3& - 8"#A(.-)(". "+ /68, )&8,.(56&/ :,&4& +"4 &'-#$%&
- #"7&% "+ &3&.) 8-6/-)(". /68, -/ ),& 4&-/". #"7&% (/ 6/&7 )" (.+"4# - /)468)64&7
7(/86//(". -.7 7(/$%-*&7 A* - #&),"7 /68, -/ ),& D(/,A".& 7(-;4-# 9
Table A.1 Attributes of the RCA techniques
Technique Description Attributes
Analysis Skill level Technique

complexity characteristics
!"# $% "&' '#!&()#*+& !"#$%& ,-& .&-,/01!&-!2,!-& >$<& >$<& ?"259"52!&"!9#6,45!&
!"#$%& $3&45!-",$6-& "#."& 75,%!-& "#!&
,68!-",7.",$6&"$&"#!&2$$"& 9.5-!-:& '#!&
()#*+& !"#$%& ;!7,6-& <,"#&"#!&3,2-"&
02$;1!/& -"."!/!6"=&3$11$<!%&;*& "#!&
3,2-"&.6-<!2&"$&"#!&02$;1!/&
-"."!/!6":&
@.51"& '2!!& @.51"&'2!!&-".2"-& <,"#&"#!&!8!6"& .6%& D,7#& D,7#& ?"259"52!&"!9#6,45!&/$-"&

"#!6& <$2A-& ;.9A<.2%-& "$&,%!6",3*&.11& -5,"!%&"$&9.5-.1&.6.1*-,-&
0$--,;1!&9.5-!-& $3& "#!& !8 !6" :&'#!-!& $3&#.2%<.2!&3.,152!-&
.2!& %,-01.*!%&72.0#,9.11*&,6&.&1$7,9.1&
"2!!& %,.72./:&& B-&"#!&,68!-",7.",$6&
02$9!!%-& 0$"!6",.1&9.5-!-& .2!&
72.%5.11*&251!%& $5"&.6%&/.2A!%& $33&
$6&"#!&"2!!:& C*&91$-,67&$5"& !.9#&
;2.69#&$3&"#!&"2!!=&"#!&.9"5.1& 9.5-!-&
$3&"#!&!8!6"& ;!9$/!&.00.2!6":&C*&
"#!&!6%=& "#!2!&-#$51%&2!/.,6&.&-#$2"&
1,-"&$3& 0$"!6",.1& 2$$"&9.5-!-:&
@,-#;$6!&$2& '#!&@,-#;$6!&$2&E-#,A.<.&F,.72./& >$<& >$<& ?"259"52!&"!9#6,45!&3$2&

E-#,A.<.& -".2"-& <,"#&"#!&!8!6"&G#!.%&$3& "#!& ;2.,6-"$2/,67&
F,.72./& (3,-#+H&.6%&"#!6&92!."!-& " #!& /.,6&
;2.69#!-& G;$6!-H&"$& 2!02!-!6"&
-0!9,3,9&3569",$6.1& .2!.-:& I!-51 " , 67&
, 6& .& %,.72./& <#,9#& 1,-"-& .11& $3&"#!&
0$--,;1!&9$66!9",$6-& "#."&!.9#&
3569",$6.1&.2!.&/,7#"& #.8!& <,"#&"#!&
3.,152!:&
J8!6"& K& L.5-.1& JL@&B6.1*-,-&,%!6",3,!-& "#!&",/!& !%,5/& !%,5/& ?"259"52!%&"!9#6,45!&

@.9"$2&GJL@H& -!45!69!&$3& .&-!2,!-& $3& ".-A-&.6%M$2&
B6.1*-,-& .9",$6-& .6%&"#!&-522$56%,67&
9$6%,",$6-& 1!.%,67& "$&.6&!8!6":&
'#!-!& .2!&%,-01.*!%&,6&.&9.5-!N
!33!9"-& %,.72./:&
W%XY%W

! !"#$%&"!'()*)%+ !"#$%&"!'()*)%*,$"-*.*$)%/00-% 905% 905% :*# %'$4$'%)-/21-2/$%
1!2)$)%3(%$4!'2!-*"#%- $%,$4*!-*0"% -$1 "*;2$%.012))*"#%0"%
3$-5$$"%5 !-%*)%$67$1-$,%!",%5 !-% <5 !-=% !77$"$,%/!- $/%
!1-2!''(% !77$"$,%5 *1 %/$)2'-$,%*"% - !"%<5 (=%
- $%$4$"-8%
>!//*$/%&"!'()*)% >!//*$/%&"!'()*)%*)%!% )()-$?!-*1% 905% 905% A-/21-2/$%-$1 "*;2$%

7/01$))% - !-% * ,$"- *. * $)% - $% 7 ()*1!'@%
!,?*"*)-/!-*4$@% !",%7/01$,2/!'%
3!//*$/)% 0/%10"-/0')% - !-%) 02',% !4$%
7/$4$"-$,%- $%.012)%$4$"-8%
B (C>$1!2)$% B>&%$)-!3'*) $)%- $%"$-50/F%0.% I/070/-*0"!'%-0%- !-% I/070/-*0"!'% >!)$,%0"%!%1/*-$/*0"@%!%
&"!'()*)%DB>&E% 1!2)!'%.!1-0/)%/$)70")*3'$%.0/%!%.012)%0.%- $%J012)%K4$"-% -0%- $% -$)-@%"0-%0"%!%?0,$'%0.%
$4$"-%2)*"#%!%-50C.!1-0/%10?7!/*)0"@% !"!'()*)% $4$"-)%0/%0/#!"*)!-*0"!'%
- $%+02"-$/.!1-2!'%G$)-8%G $%"$-50/F% 10?7'$6*-(% ?0,$'%
0.%.!1-0/)%*)%,*)7'!($,%*"%!%B (C
>$1!2)$%H/!7 8%
A()-$?)% AG&LI%*)%3!)$,%0"%!%10?7'$6%32-% :*# % % :*# % L0,$'%!",%-!60"0?(%.0/%
G $0/$-*1% - 0/02# % *$/!/1 *1!'%0/#!"*)!-*0"!'% - *"#)%-0%*"4$)-*#!-$%-0%
&11*,$"-%L0,$'% ?0,$'%5*- %!%7 ()*1!'C$;2*7?$"-% )$$F%1!2)$)%
!",%I/01$))% '!($/%!)%- $%'05$)-%'$4$'%!",%- $%
DAG&LIE% #04$/"?$"-M'$#*)'!-0/%!)%- $% *# $)-%
'$4$'8%K!1 %'$4$'%0.%- $% *$/!/1 (%*)%
)$$"%!)%!%.$$,3!1F%10"-/0'%)()-$?%
5 *1 %*?70)$)%10")-/!*"-)%0"%- $%
!1-*4*-*$)%0.%- $%'$4$'%3$'05%*-%!",%
/$1$*4$)%*".0/?!-*0"%!",%.$$,3!1F%
./0?%*-8%G $%!"!'()*)%.012)$)%0"%
.*",*"#%- $%"!-2/$%0.%- $%10"-/0'%
.!*'2/$%!",%5 $/$%- $%.$$,3!1F%
?$1 !"*)?)%5$/$%'!1F*"#%0"%$!1 %
0/#!"*)!-*0"!'%'$4$'8%
&11*L!7)% &11*L!7)%*)%7/*?!/*'(%!%?$- 0,%.0/% P$7$",$"-% 905%-0%Q$/(% A-/21-2/$%-$1 "*;2$%.0/%

,*)7'!(*"#%- $%/$)2'-)%0.%!%1!2)!'% 7/*?!/*'(%0"%- $% :*# @% 4*)2!''(%,$?0")-/!-*"#%
!"!'()*)8%N-%/$;2*/$)%!"%0/#!"*)!-*0"!'%!"!'()-%% ,$7$",$"-% - $%/$)2'-)%0.%!"%S+&%-0%
?0,$'%-0%)$7!/!-$%.!1-0/)%*"-0%'!($/)% 7/*?!/*'(%0"% - */,%7!/-*$)%
!",%-0%$'*1*-%.!1-0/)%*"%- $%'!($/)O% - $%!"!'()-R)%
!77'*$)%!%4$/)*0"%0.%- $% #0!')%
+02"-$/.!1-2!'%G$)-%D)$$%B>&E%-0%
,$-$/?*"$%- $%1!2)!'%/$'!-*0")%
!?0"#)-%- $%.!1-0/)8%
L2'-*'*"$!/% LKA%!",%AGKI%!/$%?$- 0,)%0.%,!-!C :*# %*"*-*!'%/$)02/1$%:*# % T"2)2!''(%!?0"#)-%S+&%

K4$"-)% #!- $/*"#%!",%-/!1F*"#%.0/%- $% *"4$)-?$"-%5 *1 % ?$- 0,)@%,$40-$)%
A$;2$"1*"#% !"!'()*)%0.%10?7'$6%*"1*,$"-)@% ) 05)%$10"0?*$)% 10")*,$/!3'$%/$)02/1$)%-0%
DLKAE%!",% 0/*$"-$,%-05!/,)%.012)%$4$"-)%*"% 0.%)1!'$%!)%- $% *".0/?!-*0"%?!"!#$?$"-%
A$;2$"-*!''(% 10??$/1*!'%!4*!-*0"8%:!",'$)% -/!1F*"#%?$- 0,)% !)%- $%*"4$)-*#!-*0"%
G*?$,%K4$"-)% *".0/?!-*0"C/$-$"-*0"%.0/%7!/-*!''(C 7!(%0..%*"% $'7*"#%-0% 7/0#/$))$)@%-/!1F*"#%
I'0--*"#%DAGKIE% 10?7'$-$,%*"4$)-*#!-*0")8%P*)7'!()% 0/#!"*)$%!%10?7'$6% *))2$)@%-!)F)@%!",%- $*/%
/$)2'-)%!)%!%G*?$C&1-0/%L!-/*6%0.% *"4$)-*#!-*0"%5*- % 10?7'$-*0"%,$-!*')8%I!()%
$4$"-%>2*',*"#%>'01F)8% ?!"(%*"4$)-*#!-0/)8 0..%5*- %10?7'$6%
% % *"4$)-*#!-*0")%5 *1 %
/$;2*/$%)21 %?!"!#$?$"-%
-$1 "*;2$)8%
GSNIUP% GSNIUP%*)%!%-/$$%!77/0!1 %-0%- $% L$,*2?% L$,*2?% A-/21-2/$%-$1 "*;2$%

!"!'()*)%0.%!11*,$"-)%!",%*"1*,$"-)@% ,$4$'07$,%.0/%- $%!"!'()*)%
.012)*"#%0"% 2?!"%.!1-0/)%!",% 0.%:AK%*"1*,$"-)%
'00F*"#%.0/%.!*'2/$)%*"%- $%0/#!"*V!-*0"%
- !-%1!"%1!2)$% 2?!"%$//0/)8%
R%ST%R

!"# $#%&'( &#'(!)(%*!"#$%+(%,'(#"%!)%-.#% #"+4*% % #"+4*% !"#$%4(#"%3!0%"+0#/-+):%
!"#$% )#/#(('01%/!*2!)#)-(%!3%')1% +)5#(-+:'-+!)%!3%/'4(#(%%
20!"4/-+5#%(1(-#*6%+7#7%"#/+(+!)% !3%.4*')%#00!0%
*'8#0(9%$+)#%*')':#*#)-9%0#$+',$#%
#;4+2*#)-9%(8+$$#"%')"%*!-+5'-#"%
<!083!0/#9%20!"4/-+5#%'/-+5+-+#(%')"%
"#3#)/#(%':'+)(-%.'='0"(7%>.#0#%'0#%
+)#5+-',$1%<#'8)#((#(%+)%-.#(#%$'1#0(%
$+8#)#"%-!%.!$#(%+)%'%(<+((%/.##(#7%?)%
-.+(%')'$!:1%')%4)<')-#"%#5#)-%
!//40(%<.#)%-.#%@.!$#(%+)%-.#%($+/#(%
!3%/.##(#A%,1%/.')/#%'$+:)7%
B'3#-1%-.0!4:.% BCD%+(%'%/.#/8$+(-G"0+5#)%')'$1(+(% #"+4*% % #"+4*% >'M!)!*1%,'(#"%!)%

C0:')+('-+!)'$% -!!$9%!0+#)-#"%-!<'0"(%3!/4(%#5#)-(%+)% #M2#0+#)/#%+)%'%20!/#((%
D#'0)+):%EBCDF% )4/$#'0%2!<#0%(-'-+!)(7%&#(4$-(%+)%-.#% +)"4(-019%')"%+)"4(-0+'$G
5+(4'$%3!0*%!3%'%>+*#GH/-!0%I+':0'*9% 2(1/.!$!:+/'$%')"%
"#0+5#"%30!*%-.#% JBKB>JL%*#-.!"7% !0:')+('-+!)'$G-.#!0#-+/%
*#-.!"(%:#'0#"%-!<'0"(%
!0:')+('-+!)'$%$#'0)+):%
30!*%+)/+"#)-(%
N4*')%O'/-!0(% NOHPB%')'$1(#(%-.#%/'4(#(%!3% #"+4*% % #"+4*% !"#$%4(#"%3!0%"+0#/-+):%

H)'$1(+(%')"% .4*')%#00!0%/'4(#(%,'(#"%!)%-.#% +)5#(-+:'-+!)%!3%/'4(#(%%
P$'((+3+/'-+!)% &#'(!)(% !"#$7%>.#0#%'0#%3!40% !3%.4*')%#00!0%
(/.#*#%ENOHPBF%$#5#$(%!3%/!)(+"#0'-+!)%,'(#"%!)%
&#'(!)(%($+/#(%!3%B<+((%P.##(#7%
J'/.%$#5#$%+(%(4,"+5+"#"%+)-!%
/'-#:!0+#(%')"%#M'*2$#(%'0#%:+5#)%!3%
2!((+,$#%/'4(#(%<+-.+)%-.#%/'-#:!017%
I'-'% +)+):%')"% I'-'% +)+):%')"%P$4(-#0+):% D!<% D!<% B-04/-40#%-#/.)+;4#%

P$4(-#0+):% >#/.)+;4#(%:+5#%5'$4',$#%/$4#(%')"%
>#/.)+;4#(% .#$2%-!%/!)3+0*%!0%0#Q#/-%2!-#)-+'$%0!!-%
/'4(#(7%
K#LM#K
Annex B (Informative) RCA techniques

B.1 General
!"#$ %&&'( )'$*+#,'$ - +-&.' /0 1"' 2/$1 */22/&34 5$') 67% 1'*"&#85'$ -&)
9+/:#)'$ .5#)-&*' /& 1"'#+ -993#*-1#/&; <-&4 /0 1"'$' 1'*"&#85'$ -+' $599/+1') ,4
$/01=-+' 1//3$> ="#*" $599/+1 1"' -&-34$1 #& 1"' #293'2'&1-1#/& /0 1"' 67% 1'*"&#85';
B.2 The Why method

B.2.1 Overview
!"# $%!&'# (")!*+# ,-"-# .# -)/.01!)2*/3./+# 4,"-)0*5051# 6/*7"--# )*# .//08"# .)# .# /**)#
7.,-"9# !"#4,"-)0*5-#./"#.5-3"/"+#05#-:.;;#-)"6-<#3!07!#!";6#)*#6/"8"5)#:0--051#.5&#
,5+"/;&051# 7.,-"-9# !"# :")!*+# 0-# 2.0/;&# -0:6;"# )*# .66;&# .5+# +*"-# 5*)# 5""+# .# ;*)# *2#
)/.05051#=,)#0)-#-0:6;070)&#+*"-#!.8"#+/.3=.7>-9#?)#!.-#!*3"8"/#=""5#,-"+#"@)"5-08";&#
30)!#/".-*5.=;"#-,77"--9#
?58"-)01.)*/-# :,-)# !.8"# "@)"5-08"# >5*3;"+1"# *2# .5+# "@6"/0"57"# 30)!# )!"# 6/*=;":#
./".# 05# */+"/# )*# .-># )!"# /01!)# 4,"-)0*5-9# A57"# )!"# 4,"-)0*5051# 6/*7""+-# *,)-0+"# *2#
)!"0/#"@6"/)0-"<#)!"&#:.&#5*)#205+#)!"#/01!)#/**)#7.,-"#.5+#:.&#-,=-)0),)"#.#7.,-"#)!"&#
./"#2.:0;0./#30)!9# !"/"#0-#.;-*#.#+.51"/#)!.)#*5;&#*5"#/**)#7.,-"#0-#0+"5)020"+#3!"5#05 #
2.7)#)!"/"#:.&#="#:*/"#)!.5#*5"9# &607.;;&#+022"/"5)#6"*6;"#30;;#7*:"#,6#30)!#+022"/"5)#
4,"-)0*5-#.5+#.5-3"/-#.5+#/"-,;)-#./"#5*)#"-6"70.;;&#/"6".).=;"9 #
B.2.2 Process
!"# 20/-)# -)"6# 05# )!"# $%!&'# :")!*+# 0-# )*# -).)"# )!"# 6/*=;":# )!.)# !.-# *77,//"+9# !0-# 0-#
2*;;*3"+# =&# .->051# $3!&'# .# 5,:="/# *2# )0:"-# 30)!# /"-6"7)# )*# )!"# 6/"80*,-# .5-3"/9# !"#
4,"-)0*5# $3!&'# 0-#.->"+#.-#:.5&#)0:"-#.-# 0-# 5""+"+#)*# ;".+#)*# .#/**)#7.,-"<# 3!07!#0-#
5*/:.;;&# 208"# 4,"-)0*5-# =,)# )!0-# 0-# *5;&# .# 1,0+";05"9# B.7!# )0:"# )!"# 4,"-)0*5# 0-# .->"+<#
)!"/"# :.&# ="# :,;)06;"# .5-3"/-# .5+# -*:"# .5.;&-0-# 30;;# ="# 5""+"+# )*# ";0:05.)"# )!*-"#
6*--0=;"#.5-3"/-#)!.)#./"#5*)#.66;07.=;"9#?)#:.&#="#:*/"#"22"7)08"#)*#.->#$3!&#+0+#)!"#
6/*7"--#2.0;C'#05-)".+#*2#D,-)#.->051#$3!&'9#
E# F0-!=*5"# G0.1/.:# */# .# -0:0;./# -)/,7),/"+# 7.,-.;# +0.1/.:# 7.5# ="# ,-"+# )*# 1,0+"# )!"#
4,"-)0*5-#)*#)!"#/**)#7.,-"9# !0-#30;;#"5-,/"#)!.)#.;;#/";"8.5)#./".-#./"#7*5-0+"/"+#=&#
)!"#058"-)01.)*/-9#
!"# 7/0)07.;# .-6"7)# *2# )!0-# :")!*+# 0-# )*# +")"/:05"# 3!"/"# )*# -)*6# 30)!# )!"# 4,"-)0*50519#
!"# ;.-)# .5-3"/# -!*,;+# 6*05)# )*# .# 6/*7"--# )!.)# "0)!"/# +*"-# 5*)# "@0-)# */# 0-# 5*)#
2,57)0*5051# 6/*6"/;&9# ?)# 5""+-# )*# ="# .7)0*5.=;"# =&# )!"# */1.50H.)0*5# )*# ="# ,-"2,;# .-# .#
/**)#7.,-"9##
F01,/"# I9J# 0;;,-)/.)"-# .5# "@.:6;"# *2# .# 7*:6/"--*/# )!.)# !.-# "@6"/0"57"+# .5#
,5-7!"+,;"+#-!,)+*359#
I JK I
Problem
! "#$%&'((#& )*( '+%'&,'-"'. *- /-(")'./0'. ()/1.#2-
Why 1
! ),3) 4'*&,-3 1'$%'&*1/&' .'1'"1'. 45 1)'
"#-1&#0 (5(1'$ 2),")"*/('. 1)' ()/1.#2-
Why 2
6*"7 #8 0/4&,"*1,#- 1# 1)' 4'*&,-3
Why 3 Why 3 Why 3

<+"'((,=' 0'*7*3' #8 #,0 9)' 0/4' #,0 %/$% (1#%%'. &/--,-3 ! ),3) .,88'&'-1,*0 %&'((/&' *"&#((
1)' #,0 8,01'& 1)*1 &'(1&,"1'. 1)' 80#2
Not a root cause Why 4

!- ,-(%'"1,#- &'='*0'. 9)' %#2'& (/%%05 1# 1)' $#1#& 2*( 1/&-'. Not a root cause
-# #,0 0'*7( #88 ./&,-3 * $*,-1'-*-"' ")'"7 6#3 ()''1( ()#2'. -#&$*0 8,01'&
%&'((/&' .,88'&'-1,*0
Why 5
:*,0/&' 1# 8#00#2 %&#"'./&'( ./' 1#
/-8*$,0,*&,15 2,1) ';/,%$'-1
Why 6
9)' $*,-1'-*-"' %'&(#- 2*( -'2 *-. 2*(
-#1 (/%'&=,('.
Root cause
>/%'&=,(#& 8*,0'. 1# '-(/&' *%%&#%&,*1'05
(7,00'. %'&(#--'0 8#& 1)' 1*(7
Figure B.1 An example of the Why Method
!"# $"%&''"()*+,&(# $"-./+,(0# 1$&'# +!,-# *(*/2-,-# 3*-# +&# $"4,"3# 3,+!# *//# -.5"$4,-&$-#
"6,-+,(0# 5$&%").$"-# 1&$# "/"%+$,%*/# '*,(+"(*(%"# *()# +$*,(,(0# +&# 7"# 5$&4,)")# +&# *//# ("3#
-+*118# !"# 1,(*/# $"5&$+# */-&# (&+")# +!*+# +!"$"# 3*-# */-&# *# %&(+$,7.+,(0# %*.-"# $"/*+")# +&#
+!"#)"-,0(#&1#+!"#"9.,5'"(+8#:+#3*-#1&.()#+!*+#+!"#-*1"0.*$),(0#-2-+"'#1&$#+!"#/.7"#&,/#
5.'5# 5$"--.$"# 3*-# ,(%&$$"%+/2# )"-,0(");# -,(%"# *# /&--# &1# &,/# 5$"--.$"# -!&./)# !*4"#
,''"),*+"/2# -!.+)&3(# +!"# %&'5$"--&$# .(,+8# !,-# 3&./)# !*4"# 5$"4"(+")# +!"# !,0!#
7"*$,(0#+"'5"$*+.$"#*()#+!"#$"-./+,(0#)*'*0"#,+#%*.-")8 #
B.2.3 Strengths and limitations
!"#$%&"'(%!$#)*#%!"#+,!-.#/"%!)0#1&"2#
!"#$%& '( )$$%* +* ',(-& "./(%/&0 ". ',& $1(+%&#2

3)-* '( 4.0&1-').0 +* (',&1-2
54"67 $1(6&-- '( )6,"&/& 1&-4%'- 8(1 -"#$%& $1(+%&#-2
9(&- .(' 1&:4"1& ) %(' (8 '1)".".;<
=,& %"#"')'"(.- (8 ',& >?,*@ A&',(0 )1&B
C.%* -4"')+%& 8(1 -"#$%& -"'4)'"(.-2

D&)/"%* 0&$&.0&.' (. ',& &E$&1'"-& (8 ',& "./&-'";)'(1-2
F((' 6)4-&- %"7&%* '( +& #"--&0 "8 (4'-"0& ',& 7.(G%&0;& +)-& (8 ',(-& "./(%/&02
H(--"+%& 4.6&1')".'* )+(4' G,&. ',& )$$1($1")'& 1((' 6)-& ,)- +&&. "0&.'"8"&02
F&-4%'- )1& .(' )%G)*- 1&$&)')+%&<
!""!
B.3 Fault Tree

B.3.1 Overview
!"#$% &'(( )*"$+,-, -, " %(./*-0#( 12' 3-,4$"+-*5 %/( -66(3-"%( *(.(,,"'+ ."#,"$
1".%2',7 %/(-' ."#,"$ 4'(3(.(,,2', "*3 %/( $25-. '($"%-2*,/-4, 8(%9((* %/(6 -* "
,%'#.%#'(3 6"**(' 9/-./ -, '(4'(,(*%(3 4-.%2'-"$$+ -* " %'(( 3-"5'"6: &/( '($"%-2*,/-4
8(%9((* %/(,( ."#,"$ 1".%2', -, 4'(,(*%(3 #,-*5 );< "*3 => 5"%(,: &/( %'(( -,
3(?($24(3 ,2 %/"% (?(*%, $("3-*5 %2 %/( -66(3-"%( *(.(,,"'+ ."#,"$ 1".%2', "'(
-3(*%-1-(3 "*3 %/(-' $25-."$ '($"%-2*,/-4, 3(1-*(3 #*%-$ " ,%244-*5 '#$( -, -*?2@(3:
A%'-.%$+ " 1"#$% %'(( '(4'(,(*%, 8-*"'+ (?(*%, 9/('( " ,%"%(6(*% -, %'#( 2' 1"$,(7 "
.2642*(*% 1"-$(3 2' *2% 1"-$(3: &/( (?(*%, "% "* );< 5"%( 6#,% 8( 82%/ *(.(,,"'+
"*3 ,#11-.-(*% %2 ."#,( %/( (?(*% "82?( "*3 "*+ (?(*% "% "* => 5"%( -*4#% 6#,% '(,#$%
-* %/( (?(*% "82?( %/( 5"%(: B'2?-3(3 %/(,( '#$(, "'( 28(+(37 "*3 %/( 4'28"8-$-%-(, 21
2..#''(*.( 21 %/( 8",( (?(*%, "'( @*29* %/( 4'28"8-$-%+ 21 %/( %24 (?(*% "*3 %/(
.2*%'-8#%-2* 21 %/( 3-11('(*% 1"-$#'( 4"%/, %2 %/-, 4'28"8-$-%+ ."* 8( ."$.#$"%(3:
&/( 3-"5'"66"%-. 12'6 "*3 5(*('"$ $25-. 21 " 1"#$% %'(( ."* 8( #,(3 0#"$-%"%-?($+ -*
>C)7 ", "* "-3 %2 8'"-*,%2'6-*5 9/('( 1".%2', 9/-./ 6-5/% .2*%'-8#%( %2 "* (?(*% "'(
-3(*%-1-(37 (?(* -1 %/(+ 92#$3 *2% -* %/(6,($?(, *(.(,,"'-$+ '(,#$% -* %/( 1"-$#'(:
D* 82%/ 0#"$-%"%-?( "*3 0#"*%-%"%-?( 1"#$% %'((, (?-3(*.( -, ,2#5/% %2 -3(*%-1+ 9/-./ 21
%/( 42,,-8$( ."#,"$ 4"%/9"+, -3(*%-1-(3 -* %/( 1"#$% %'(( 4$"+(3 " 4"'% -* %/( ".%#"$
12.#, (?(*%:
D* %/( (E"64$( 1"#$% %'(( 5-?(* -* !-5#'( F:G7 %/( 8",( (?(*%, "'( .2642*(*% 1"-$#'(,
9/('( '(4$".(6(*% 21 %/( .2642*(*% 92#$3 4'(?(*% %/( /("3 (?(*%: D% -, "$,2 42,,-8$(
%2 %"@( %/( %'(( %2 " 1#'%/(' $(?($ 21 "*"$+,-,7 12' (E"64$( %2 -*?(,%-5"%( 9/+ %/(
6"-*%(*"*.( 4'25'"6 %/"% ,/2#$3 %(,% "*3 '(4$".( 8"%%('-(, 1"-$(3: H('( .2*%'-8#%-*5
1".%2', 6-5/% -*.$#3( %/-*5, ,#./ ", $".@ 21 4'2.(3#'(, 3(1-*-*5 9/2 ,/2#$3 '(4$".(
%/( 8"%%('-(,7 ,%"11 ,-.@*(,,7 2' " 422'$+ 3(,-5*(3 '(4$".(6(*% ,./(3#$(: &/( 1"-$#'(,
"'( *2% 8-*"'+ 24%-2*, "% "* => 5"%( "*3 6"+ 8( 24(* (*3(37 %/('(12'( %/( ,%'-.%
$25-. 21 %/( 1"#$% %'(( -, $2,%: I#"*%-1-."%-2* -, *2% ?"$-3 8#% #,(1#$ -*%('?(*%-2*, ."* 8(
-3(*%-1-(3:
Fire alarm
fails
Signal to Bell Smoke detector

solenoid fails fails
fails
Not
No power enough Photoelectric
Source break in short smoke Source
Solenoid clapper
circuit circuit fails stuck fails
Battery Mains
failure failure
Figure B.2 Example fault tree

G HI G
!" # $#%&' '()) )*)(+ )*)"' #' ',) -".%' /$ # &/0-1 0#') 2%3' 4) # 5-()1' 1#%3) /$ ',)
)*)"' 5)31(-4)5 #4/*) ',) &/0-1 0#')6 7%2#"8 ')1,"-1#& #"5 )"*-(/"2)"'#& 1#%3)3 /$
$#-&%() #() 1/"3-5)()5 $/( )#1, )*)"' #"5 "/' 3).#(#')5 #' ',) '/. /$ ',) '())6
9%(',)( -"$/(2#'-/" /" 9#%&' :()) ;"#&+3-3 -3 5)31(-4)5 -" !<= >?@AB CAD6
B.3.2 Process
; $#%&' '()) -3 1()#')5 %3-"0 ',) $/&&/E-"0 3').3F
#G !5)"'-$+ ',) )*)"' '/ 4) #"#&+3)5 #"5 ()1/(5 -' #3 ',) :/. <*)"'6 :,) 1,/-1) /$ ',)
'/. )*)"' 5).)"53 /" ',) 31/.) /$ ',) #"#&+3-38 $/( )H#2.&) -$ ',) :/. <*)"'
().()3)"'3 ',) )$$)1' /$ $#-&%()8 ',)" # 4(#"1, /$ ',) '()) E-&& -"*)3'-0#') 2-'-0#'-/"
$#-&%()36 7/E)*)(8 -$ ',) :/. <*)"' -3 # 5)31(-.'-/" /$ # $#-&%() 2/5) ',-3 E-&& "/'
4) -"1&%5)56
4G I)$-") ',) 3'/..-"0 (%&)6 J)")(#&&+ ',-3 -3 ',) ./-"' #' E,-1, 1/(()1'-*) #1'-/" 1#"
4) 5)$-")5 /( ',) ./-"' #' E,-1, 5)$-"-'-*) .(//$ /$ 1#%3) -3 "/ &/"0)( ./33-4&)6
1G <3'#4&-3, ',) -".%'3 '/ ',) :/. <*)"'F :,)3) 3,/%&5 4) -22)5-#') #"5 5-()1'
1#%3)36 I)')(2-") ',) 1/24-"#'-/"3 /$ )*)"'3 ',#' 1#%3) ',) :/. <*)"' '/ /11%(
%3-"0 ;KILMN 0#')3 '/ 5)31(-4) ',) ()&#'-/"3,-.6
5G =,)1O ',) *#&-5-'+ /$ ',) '())F I)*)&/. P%)3'-/"3 '/ 1,)1O )#1, -".%' )*)"' #"5
5)')(2-") E,#' )*-5)"1) E/%&5 4) .()3)"' -$ ',) -".%' E#3 '(%)6
)G J#',)( #"5 #"#&+3) 5#'# '/ #"3E)( ',) P%)3'-/"3 5)*)&/.)5 -" 3'). Q5R6
$G ;"#&+3) ',) '()) 5-#0(#2 4+ )*#&%#'-"0 )#1, -".%' $/( -'3 1/"'(-4%'-/" '/ ',) :/.
<*)"' #"5 -5)"'-$+-"0 E,-1, ./')"'-#& $#-&%() .#',3 /11%(()58 )H.#"5-"0 ',) '())
$%(',)( E,)() ")1)33#(+6
0G :,) 4#3) )*)"'3 /$ ',) 5-#0(#2 "/E .()3)"' ',) ./')"'-#& (//' 1#%3)3 ()P%-(-"0
1/(()1'-*) #1'-/"6 :,)3) E-&& -"1&%5) (//' 1#%3)3 /$ ',) $#-&%() ',#' #1'%#&&+
/11%(()5 #"5 #&3/ /',)( $#-&%()3 ',#' 1/%&5 #&3/ &)#5 '/ ',) $/1%3 )*)"'6 S,)"
#"#&+3-3 3,/E3 ',)3) '/ 4) /$ ,-0, 3-0"-$-1#"1) 1/(()1'-*) #1'-/"3 2#+ #&3/ 4)
()1/22)"5)56
:,) 3'()"0',3 /$ ',) $#%&' '()) 2)',/5 #()F
!"#$%&'( ) *'+,#& -#" &%$%&%./ 01 +,' ).)23(%( -#" 2)"/' 4#*12'5 %+'*(6
7011#"+'& 83 *).3 4#**'"4%)2 (#-+9)"' 1)4:)/'( 9,%4, )((%(+ %. +,'
&'$'2#1*'.+ #- +,' -)02+ +"'' (+"04+0"'6
;.4#0")/'( /"#01 1)"+%4%1)+%#.6
<('( ). #"&'"23= ')(3>+#>"')& -#"*)+6
?&'.+%-%'( )"')( -#" 4#22'4+%./ &)+)@
A,' 2%*%+)+%#.( #- +,' -)02+ +"'' *'+,#& )"'B
C'D0%"'( ). '51'"%'.4'& 1")4+%+%#.'"@

E). #.23 8' 0('& D0).+%+)+%$'23 +# &'+'"*%.' +,' (%/.%-%4).4' #- &%--'"'.+ "##+
4)0('( %. +,' (%+0)+%#. #- 8%.)"3 -)%20"'( ).& 9,'"' (+"%4+ 2#/%4 "02'( )"' )112%'&@
A,%( 0(0)223 )112%'( +# +'4,.%4)2 ")+,'" +,). ,0*). #" #"/).%()+%#.)2 4)0()2
-)4+#"(@
A,' -)02+ +"'' ,)( .# 0.&'"23%./ *#&'2 #- 4)0()+%#. ).& 1"#$%&'( .# /0%&).4' #.
,#9 +# ('': 4)0()2 -)4+#"(@ ?+ +,'"'-#"' 9#":( 9'22 %. ).)23(%./ ,)"&9)"' -)%20"'(
4)0('& 83 4#*1#.'.+ -)%20"' 9,'"' +,' 2%(+ #- 1#((%82' 4#*1#.'.+( +,)+ *%/,+ -)%2
%( -%5'&@ ?+ 9#":( 2'(( 9'22 -#" #1'. '.&'& 1"#82'*( F-#" '5)*12' %/.%+%#.( (#0"4'(
D!QJ!D
!"# $ !%#& "# '()$* $*+ "#,$*%-$.%"*$/ 0$(-$/ !$0."#-1 2'&#& .'&#& %- *" 2$3 "!
4#"5%+%*, $--(#$*0& .'$. $// 4"--%6/& 0$(-&- '$5& 6&&* %+&*.%!%&+7
8. %- *". -(%.$6/& !"# #&4#&-&*.%*, -%.($.%"*- 2'&#& $* &5&*. "00(#- $- $ #&-(/. "! $
,&*&#$/ /"2&#%*, "! 9($/%.3 2'%0' $!!&0.- !"# &:$)4/& $+'&#&*0& ." 4#"0&+(#&- "#
."/&#$*0&- "! 4'3-%0$/ 0")4"*&*.-7
B.4 Fishbone or Ishikawa Diagram

B.4.1 Overview
!"# $%&!'()"# (*# +&!%,-.-# /%-0*-1# 2-3&(# ,)(.)# -&# -# 4-5&"6-)76"88"49# 7%-0*-1:# %&# -#
9"4!)%;5"# 9!-9# !"3<&# %7")9%8=># -)-3=&"# -)7# <*"&")9# 9!"# <(&&%'3"# 4-5&"&# (8# -# &<"4%8%4#
"88"49# 2"?")9:@# +9# 1-=# '"# 5&"7# 9(# &9*5495*"# -# '*-%)&9(*1%)0# &"&&%()# -)7# 9(# &500"&9#
%7"-&# .!"*"# 85*9!"*# "?%7")4"# 1-=# '"# &(50!9@# !"# 9"4!)%;5"# .-&# %)?")9"7# '= # A-(*5#
+&!%,-.-# -)7# 0*-<!%4-33=# %335&9*-9"&# 9!"# *"3-9%()&!%<# '"9."")# -)# "?")9# -)7# -33# 9!"#
8-49(*&# 9!-9# %)835")4"# 9!"# "88"49# 2"?")9:@# !%&# 9"4!)%;5"# %&# -3&(# *"8"**"7# 9(# -&# -#
B8%&!'()"#7%-0*-1B#'"4-5&"#(8#9!"#.-=#%9#3((,&@#
#
Figure B.3 Example Fishbone diagram
B.4.2 Process
!"#$%&'()!'*!+$%#,-.-!/#-0*-1!#$!2*)-3)4!5$#(0!3%)!6'77'.#(0!$3)8$9 !
-:! +4)(3#6;! 3%)! )66)23! <6'25$! )=)(3:9!>*#3)! 4'.(! 3%)! 6'25$! )=)(3! '(! 3%)! 7)63! %-(4! $#4)!
-(4! 4*-.! -! 7#()! -2*'$$! 3%)! 8-8)*! %'*#?'(3-77;! 6*'1! 3%)! &'@A! B%#$! 7'',$! 7#,)! 3%)!
%)-4!-(4!$8#()!'6!-!6#$%A!
&:! C$3-&7#$%!3%)!1-#(!2-5$)$!'*!2-3)0'*#)$!#(='7=)49!/*-.!7#()$!'66!3%)!$8#()!6'*!)-2%!
1-#(!2-5$)!3%-3!1-;!2'(3*#&53)!3'!3%)!8*'&7)1A!B%)$)!1-#(!2-5$)$!-*)!3%'50%3!'6!
-$! 3%)! &'()$! '6! 3%)! 6#$%A! ! (51&)*! '6! 1)3%'4$! %-=)! &))(! 5$)4! 3'! 2-3)0'*#)$!
2-5$)$!#(2754#(09!
D! EFG$9!F)3%'4$H!F-2%#()*;H!F-(-0)1)(3H!F-3)*#-7$H!F-(8'.)*I !
D! JKG$9!K7-2)H!K*'2)45*)$H!K)'87)H!K'7#2#)$I!
D! JLG$9!L5**'5(4#(0$H!L5887#)*$H!L;$3)1$H!L,#77$A!
2:! +4)(3#6;! 3%)! 8'$$#&7)! 2-5$)$9! "'*! )-2%! 1-M'*! &*-(2%! <1-#(! 2-5$):H! #4)(3#6;! 3%)!
8'$$#&7)!2-5$)$!'6!3%)!)66)23!<)=)(3:A!B%)$)!-*)!8*)$)(3)4!-$!$1-77)*!7#()$!2'1#(0!
'66! 3%)! N&'()$N! '6! 3%)! 6#$%A! +4)(3#6;! #(2*)-$#(07;! 1'*)! 4)3-#7)4! 7)=)7$! '6! 2-5$)$H!
.%#2%! -*)! $%'.(! -$! $5&O&*-(2%)$! 2'1#(0! '66! )-2%! 2-5$)! 7#()A! P'3)9! +3! 1-;! &)!
G#HI#G
!"#"$$%&' () *&"%+ (," -.%/&%0 .!() $0%11"& -.%/&%0$ .2 )!" *&%!#, ,%$ ()) 0%!'
$3*4*&%!#,"$5
-6 7!%1'$" (," -.%/&%08 9," -.%/&%0 !): $,):$ %11 (," ;)$$.*1" #%3$"$ )2 (," "<"!(5
9," 2.!%1 $("; .$ () .!<"$(./%(" (," 0)$( 1.+"1' #%3$"$ :,.#, ("$($ :,"(,"& (,"
%!%1'$.$ .$ #)&&"#(5 7!%1'$.$ .!#13-"$8
= >"<.":.!/ (," ?*%1%!#"@ )2 (," -.%/&%0A #,"#+.!/ 2)& #)0;%&%*1" 1"<"1$ )2
-"(%.1 () .-"!(.2' (," !""- 2)& 23&(,"& .-"!(.2.#%(.)! )2 #%3$"$B
= C-"!(.2'.!/ #%3$"$ (,%( %;;"%& &";"%("-1' %$ (,"$" 0%' &";&"$"!( &))( #%3$"$B
= 7$$"$$.!/ :,%( #%! *" 0"%$3&"- .! "%#, #%3$" .! )&-"& () D3%!(.2' (," "22"#($
)2 %!' #,%!/"$ 0%-"B
= E./,1./,(.!/ (," #%3$"$ (,%( %#(.)! #%! *" (%+"! )!5
9," $(&"!/(,$ )2 (," F.$,*)!" )& C$,.+%:% G.%/&%0 %&"8
!"#$%&'()* (&$%+ +'&,-#-+',-$" ,$ -.)",-/0 +)$+1)* +)&#)+,-$"* $/ #'%*)*2
3))4* #'%*)* %".)& ' *), $/ #',)($&-)*5 *$ 6-11 -.)",-/0 ' &'"() $/ #'%*)* &)1',-"(
,$ 7%8'" '". $&('"-*',-$"'1 /'#,$&* '* 6)11 '* 7'&.6'&) '". +&$#).%&'1 /'#,$&*2
9*)* '" $&.)&105 )'*0:,$:&)'. /$&8',2
;".-#',)* +$**-<1) #'%*)* $/ ='&-',-$"2
;.)",-/-)* '&)'* /$& #$11)#,-"( .','>
?7) 1-8-,',-$"* $/ ,7) @-*7<$") $& ;*7-4'6' A-'(&'8 '&)B
?7)&) -* "$ %".)&10-"( 8$.)1 $/ #'%*',-$"5 *$ ,7) #'%*)* -.)",-/-). '&) <'*). $"
,7) ,)'8C* +)&#)+,-$"* $/ -**%)* '". #'%*)*>
B.5 Event & Causal Factor Analysis

B.5.1 Overview
!"#$%"&'(#)&*#+),()-#.)/'01#2$+.3#/!)1'#1"/01*(#"%"&'(#4&#/!10&0-054/)-#01*"1#6107#
-"6'# '0# 145!'# 4&# 1"/')&5-"(8# 94'!# "%"&'(# /!)1)/'"14("*# :;# (4&5-"# (,:<"/'(# )&*# )/'4%"#
%"1:(=# +),()-# 6)/'01(# )1"# '!"&# *4(>-);"*# 4&# 0%)-(# ):0%"# )&*# :"-09# ' !"# >147)1;#
("?,"&/"# 06# "%"&'(=# $%"&'(# )1"# /0&&"/'"*# :;# (0-4*# -4&"(# )&*# /0&*4'40&(# :;# *)(!"*#
-4&"(=# $%"&'(# )&*# /0&*4'40&(# :)("*# 0&# "%4*"&/"# !)%"# )# (0-4*# 0,'-4&"8# 9!"1")(# '!0("#
'!)'#)1"#>1"(,7>'4%"#!)%"#)#*)(!"*#0,'-4&"=#
B.5.2 Process
@&#$+.#/!)1'#4(#/1")'"*#,(4&5#'!"#60--094&5#('">(A#
)3# B*"&'46;#'!"#60/,(#"%"&'#'0#:"#)&)-;("*#)&*#1"/01*#4'#4&#)#:0C#0&#'!"#-"6'#!)&*#(4*"= #
:3# $('):-4(!# '!"# 477"*4)'"# &"/"(()1;# /),()-# 6)/'01(# '0# '!"# 60/,(# "%"&'# )&*# (')'"#
")/!#06#'!"7#4&#)#1"/')&5-"#-4&D"*#:;#)&#)1109#'0#'!"#145!'#06#'!"#60/ ,(#"%"&'=#
/3# E"'"174&"# 9!)'# "%"&'(# )&*# /0&*4'40&(# -"*# '0# '!"# 477"*4)'"# &"/"(()1;# /),()-#
6)/'018# 9!;# '!"# /0&*4'40&(# "C4('"*# )&*# !09# '!";# 01454&)'"*=# F')'"# ")/!# 06# '!"7# 4&#
)&#0%)-#):0%"#'!"#1"-"%)&'#477"*4)'"#&"/"(()1;#/),()-#6)/'01= #
*3# +!"/D#'!"#%)-4*4';#06#'!"#/),("(#:;#0:')4&4&5#"%4*"&/"#'!)'#*"'"174&"(#9!"'!"1#'!"#
/0&*4'40&(#)&*#"%"&'(#)1"#'1,"=#
"3# E"%"-0>#'!"#$+.#/!)1'#,&'4-#'!"#('0>>4&5#1,-"#4(#4&%0D"*= #
!"#('1"&5'!(#06#$+.#@&)-;(4(#)1"A#
< => <
!""#"$" $%& '&(#)#*+$#,- ,) *+."+/ *%+#-" +-0 &'&-$ "&1.&-*&"2

3(,'#0&" + "$(.*$.(& ),( #-$&4(+$#-4 #-'&"$#4+$#,- )#-0#-4"2
!""#"$" *,55.-#*+$#,- 6,$% 0.(#-4 +-0 ,- *,57/&$#,- ,) $%& #-'&"$#4+$#,-8
9%& /#5#$+$#,-" ,) :;< !-+/="#" +(&>
:'&-$ *%+($#-4 #0&-$#)#&" *+."+/ )+*$,(" +-0 5+= -,$ -&*&""+(#/= 0&$&( 5#-& $%& (,,$
*+."&"8
;+- ,'&(*,57/#*+$& "#57/& 7(,6/&5"8
B.6 Change Analysis

B.6.1 Overview
!"#$%& '#"()*+*& +,%#-+.+%*& /00-& 1"2*%*& 3)& %4"(2"-+#$& -!%& ,%4+"-+0#& 3%-5%%#& 5!"-& +*&
%67%1-%,&"#,&5!"-&"1-2"(()&!"77%#%,&5!+1!&/%*2(-%,&+#&-!%&%4%#-8&9!%&,%4+"-+0#*&"/%&
+,%#-+.+%,&3)&/%*70#,+#$&-0&"&*%/+%*&0.&:2%*-+0#*8&&&&
B.6.2 Process
!"#$%&'#"()*+*&!"*&-!%&.0((05+#$&*-%7*;&
"<& =,%#-+.)&-!%&.012*&%4%#-8&
3<& >%-%/?+#%& @5!"-AB& @5!%#AB& @5!%/%AB& @5!0A& "#,& @!05A& .0/& -!%& .012*& %4%#-B& 5!+1!&
*!02(,&+#1(2,%&10#*+,%/"-+0#&0.&-!%&.0((05+#$;&
C& =,%#-+.)& -!%& 10#,+-+0#& 0.& -!%& +-%?B& 5!"-& 0112//%,& -0& 1/%"-%& -!%& 10#,+-+0#B& 5!"-&
"1-+4+-)& 5"*& +#& 7/0$/%**& 5!%#& -!%& 10#,+-+0#& 0112//%,& "#,& 7/+0/& -0& -!%& 10#,+-+0#&
0112//+#$8& '(*0& ,%-%/?+#%& 5!"-& 10#-/0(*& D3"//+%/*<& *!02(,& !"4%& 7/%4%#-%,& -!%&
10#,+-+0#8&&
C& >%-%/?+#%& 5!%#& -!%& %4%#-& 0112//%,B& 5!%#& +-& 5"*& +,%#-+.+%,& "#,& %*-"3(+*!&
5!%-!%/&-!%&-+?%&0.&,")&?")&!"4%&10#-/+32-%,&-0&-!%&%4%#-8 &
C& =,%#-+.)& -!%& 7!)*+1"(& (01"-+0#& 0.& -!%& %4%#-& "#,& -!%& %#4+/0#?%#-"(& 10#,+-+0#*8&
'(*0&%*-"3(+*!&5!%-!%/&-!%&(01"-+0#&?")&!"4%&10#-/+32-%,&-0&-!%&%4%#-8&
C& '*1%/-"+#& -!%& 7%/*0##%(& +#40(4%,& "#,& -!%+/& "3+(+-)& "#,& ,%-%/?+#%& 5!%-!%/&
",%:2"-%&*27%/4+*+0#&5"*&+#&7("1%8&
C& '*1%/-"+#& !05& *2+-"3(%& "1-+0#*& "/%& ,%-%/?+#%,& "#,& 5!%-!%/& -!%)& 5%/%& 1"//+%,&
02-&"77/07/+"-%()8&
1<& 0?7"/%& 5+-!& @5!"-AB&@5!%#AB&@5!%/%AB& @5!0A& "#,&@!05A&.0/&-!%&07%/"-+0#&0.&-!%&+-%?&
5+-!02-&-!%&.012*&%4%#-B&5!+1!&*!02(,&+#1(2,%&10#*+,%/"-+0#&0.&-!%&"304%8 &
,<& E%10/,&"((&-!%&,+..%/%#1%8&
%<& '#"()*%&-!%&,+..%/%#1%*&.0/&-!%+/&%..%1-*&+#&7/0,21+#$&-!%&.012*&%4%#-8 &
9!%&*-/%#$-!*&0.& !"#$%&'#"()*+*&"/%;&
!"#$%"&'"()
*+, %"#"'-'"./& .0 1+-/2, 3/-%4&"& -5,6
7/-8%, '. 9,',5#"/, -%% (-:&,& 0.5 - (.#$%,; "',#)

!"#!
B.7 Why-Because Analysis (WBA)

B.7.1 Overview
!"# $% & '&(%&)*&+&),-$'&) -.'/+$0(. 123 .%-&4)$%/$+5 6/$'/ 21 & 5$7.+ '2)).'-$2+ 21
.7.+-% &+8 %$-(&-$2+% &3. 9+.'.%%&3,: '&(%&) 1&'-23% 21 6/$'/ 2-/.3%; <$7.+ -62
.7.+-% 23 %$-(&-$2+% $+ -/$% '2)).'-$2+= # &+8 " %&,= & '2+8$-$2+ '&)).8 -/.
>2(+-.31&'-(&) ?.%- 9>?: $% (%.8 -2 .%-&4)$%/ 6/.-/.3 # $% & +.'.%%&3, '&(%&) 1&'-23
21 "; ?/. >? 8.3$7.8 132@ -/. A/$)2%2A/.3 B&7$8 C.6$%= 6/2 /$@%.)1 8.3$7.8 $- 132@
-/. .$5/-..+-/*'.+-(3, A/$)2%2A/.3 B&7$8 D(@.= $% -/. %(4E.'- 21 '2+%$8.3&4).
'2+-.@A23&3, &'&8.@$' 3.%.&3'/;
F(AA2%. -62 .7.+-% 23 %$-(&-$2+% # &+8 " /&7. 4..+ 24%.37.8; ?/. >? &%G% 6/.-/.3=
/&8 # +2- 2''(33.8= " 62()8 &)%2 +2- /&7. 2''(33.8; 9F$+'. # 8$8 2''(3= & %(AA2%$-$2+
-/&- # /&8 +2- 2''(33.8 $% '2+-3&3, -2 1&'-= /.+'. -/. 6238 H'2(+-.31&'-(&)I;: !/.+
'2+%$8.3$+5 /26 -/. %$-(&-$2+ 62()8 /&7. 4..+ /&8 # +2- 2''(33.8= -/. 623)8 $% -&G.+
-2 3.@&$+ &% %$@$)&3 &% A2%%$4). -2 -/. 6&, $- 6&%= 4(- 6$-/2(- # 2''(33$+5; J1 -/.
&+%6.3 $% ,.%K " 62()8 +2- /&7. 2''(33.8 $+ -/$% .+7$%&5.8 %$-(&-$2+= -/.+ -/. >?
%(''..8% &+8 # $% & +.'.%%&3, '&(%&) 1&'-23 21 "; J1 -/. &+%6.3 $% +2K " '2()8 /&7.
/&AA.+.8 &+,6&, .7.+ $1 # /&8 +2- /&AA.+.8= -/.+ -/. >? 1&$)% -/.+ # $% +2- &
+.'.%%&3, '&(%&) 1&'-23 21 "; ?/. >? $% & A3.'$%. %.@&+-$' 123@()&-$2+ 21 & '2+8$-$2+
(%.8 $@A)$'$-), $+ @&+, &''$8.+- &+&),%.%;
?/. +.-623G 21 '&(%&)*1&'-23% $% 8$%A)&,.8 &% & !/,*".'&(%. <3&A/ 9!"<:= &
H8$3.'-.8 53&A/I $+ -/. )&+5(&5. 21 8$%'3.-. @&-/.@&-$'%K & '2)).'-$2+ 21 H+28.%I=
42L.%= 8$&@2+8% &+8 2-/.3 %/&A.%= '2+-&$+$+5 & 43$.1 8.%'3$A-$2+ 21 -/. 1&'-= E2$+.8
4, H.85.%I= 23 &3326%= 6/.3. -/. +28. &- -/. -&$) 21 &+ &3326 $% & +.'.%%&3 , '&(%&)
1&'-23 21 -/. +28. &- $-% /.&8= &% 8.-.3@$+.8 4, -/. >?;
Figure B.4 Example of a WBG of a commercial-aviation runway-overrun

accident
W EX W
! "#! $% &'(')$' *'+,-&$,% ,+ )++.%/0 %+ $% 1%1&))( 23&4, 4$-5 &33+4% .+$,-$,6 $, -57
67,73&))( 1.4&32% 2$37'-$+,0 &% &8+970 +3 5+3$:+,-&))( 4$-5 &33+4% .+$,-$,6 67,73&))(
)7;-<-+<3$65-0 +3 3$65-<-+<)7;-=
>, +3273 -+ 27-73?$,7 457-573 %1;;$'$7,-)( '&1%&) ;&'-+3% &37 .37%7,- $, -57 '+))7'-$+,
+; 797,-% &,2 %$-1&-$+,% .37%7,-720 -57 @&1%&) @+?.)7-7,7%% A7%- *@@A/ $ % 1%72= A57
@@A $% &..)$72 -+ & 6$97, 797,- +3 %$-1&-$+, &,2 $-% '+))7'-$+, +; ,7'7%%&3( '&1%&)
;&'-+3% &% 27-73?$,72 8( -57 @A= >; -57 @@A $% ,+- .&%%720 -57, -57 '+))7'-$+, +;
797,-% &,2 %$-1&-$+,% ?1%- 87 7B-7,272 8( ;13-573 ;&'-+3% *45$'5 ?&( ,+- 87 -+ 5&,2/
1,-$) $- $% .&%%72= C1..+%7 ! D0 ! E0===0! , 5&97 877, 27-73?$,72 -+ 87 ,7'7%%&3( '&1%&)
;&'-+3% +; # 8( -57 @A= A57, -57 @@A $% 277?72 -+ 87 .&%%72 $;0 5&2 # ,+- +''133720
+,7 +; ! D0 ! E0===0! , 4+1)2 ,+- 5&97 +''13372 7$-573 *;+3?&))(0 FGA<# $% & ,7'7%%&3(
'&1%&) ;&'-+3 +; FGA* ! D !FH ! E !FH===!FH ! ,/ &% 27-73?$,72 8( -57 @A/=
"57, & "#I 5&% 877, '+,%-31'-72 &,2 -57 @@A $% .&%%72 ;+3 &)) -57 797,-% &,2
%$-1&-$+,% -5737$,0 -57, -57 "#I $% '+?.)7-7 &,2 $% 277?72 -+ 37.37%7,- & %1;;$'$7,-
'&1%&) 7B.)&,&-$+, +; -57 ;+'1% 797,-=
"#! $% '1337,-)( 1%72 .3$?&3$)( ;+3 -57 &,&)(%$% +; &''$27,-% $, .18)$' -3&,%.+3-&-$+,
*3&$) &,2 '+??73'$&) &$3/ 81- 5&% &)%+ 877, &..)$72 $, 37%7&3'5 -+ -57 &,&)(%$% +;
.3+'7%%<$,21%-3( &''$27,-%0 $, .&3-$'1)&3 ,1')7&3<37&'-+3 '+37<?7)- &''$27,-%0 &,2
'+?.1-73<%7'13$-( $,'$27,-%= "#I% ;+3 J1&)$-( '+,-3+) 4$-5$, '+?.&,$7% -(.$'&))(
'+,-&$, DK<EL ,+27%= "#I% 2$%.)&($,6 -57 37%1)-% +; '+??73'$&) &9$&-$+, &''$27,-%
-(.$'&))( '+,-&$, MK<DEK ,+27%=
B.7.2 Process
"#! 5&% -57 ;+))+4$,6 %-7.%N
&/ H7-73?$,7 & '+))7'-$+, +; ;&'-% 277?72 -+ 87 37)79&,-0 1,273 61$2&,'7 +; &
%-+..$,6 31)7= A5$% 6$97% &, $,$-$&) '+))7'-$+, @ +; ;&'-%0 2$9$272 $,-+ 797,-%0 %-&-7%0
%$-1&-$+,%=
8/ C7)7'- -57 ;+'1% 797,- *'&))72 $, "#! -57 !''$27,- O97,-/ P=
'/ H7-73?$,7 $,-1$-$97)( -57 $??72$&-7 ,7'7%%&3( '&1%&) ;&'-+3% +; P ;3+? &?+,6%-
-57 '+))7'-$+, @Q '57'R 1%$,6 -57 @A= *!, S$??72$&-7T ;&'-+3 $% +,7 ;+3 45$'5 ,+
+-573 ;&'-+3 $, @ )$7% 87-477, $- &,2 P/= H$%.)&( -57 37%1)-% 9$%1&))( &% & .&3-$&)
"#I=
2/ H7-73?$,7 $,-1$-$97)( -57 ,7'7%%&3( '&1%&) ;&'-+3% +; -5+%7 $??72$&-7 ;&'-+3%Q
'57'R 1%$,6 -57 @A= OB-7,2 -57 "#I 4$-5 -57%7 ;&'-+3%=
7/ U3+'772 -+ ;$)) +1- -57 &,&)(%$% *-+ 7B-7,2 -57 "#I/ 8( -7%-$,6 7&'5 ;&'- $, @
&6&$,%- -57 ;&'-+3% &)37&2( $, -57 "#I=
;/ !..)( -57 @@A -+ 27-73?$,7 457-573 -57 "#I $% '+?.)7-70 +3 457-573 ;&'-+3% &37
?$%%$,6 ;3+? -57 '+))7'-$+, @=
6/ OB-7,2 @ $; ,7'7%%&3(Q $,'+3.+3&-7 -57 ,74 ;&'-% $,-+ -57 "#I 1%$,6 -57 @A= >;
$,%1;;$'$7,- $,;+3?&-$+, $% &9&$)&8)70 &%%1?.-$+,% ?&( 87 $,')12720 .3+9$2$,6 -57(
&37 ')7&3)( )&87))72 &% %1'5=
5/ P$,$%5 457, -57 @@A %5+4% %1;;$'$7,- '&1%&) ;&'-+3% ;+3 7&'5 ;&'-+30 1,273
'+6,$%&,'7 +; -57 %-+..$,6 31)7= >; $,%1;;$'$7,- ;&'-% &37 &9&$)&8)70 &%%1?.-$+,%
?1%- 87 $,')1272 $, +3273 -+ &))+4 -57 @@A -+ %1''7720 81- ')7&3)( )&87))72 &%
%1'5=
$/ >; 37J1$3720 -57 "#I ?&( 87 %5+4, 37)&-$97)( '+?.)7-7 -53+165 1%7 +; -57 '&1%&) <
7B.)&,&-+3( ;+3?&) )+6$' OV *-5$% $% 3&37)( 2+,7 7B'7.- $, 37%7&3'5/=
A57 %-37,6-5% +; "#! &37N
8 9: 8
! "#! $%& '( )(*+,*$(- ./01 % $/2/$3$ ,+ 0*%/2/245 !2 /2(6)(*/(27(- 38(* ,+

9:;!9< !2%=&80> .1/71 4/?(8 1(=) ,2 (60*%70/24 +%708 +*,$ 2%**%0/?( -(87*/)0/,28>
7%2 0&)/7%==& )(*+,*$ % +/*80 )%88 "#! /28/-( 0., 1,3*85
@1( "#A +,*$%0 ,+ %2%=&8/8 *(83=08 /8 (%8/=& 32-(*80%2-%'=( '& 01/*- )%*0/(8> ./01
% +(. $/230(8 ,+ (6)=%2%0/,25
@1( 7,27()03%= '%7B4*,32- *(C3/*(- 0, )(*+,*$ % "#! /8 =/$/0(-5 !2 %2%=&80 $380
'( %'=( 0, %))=& 01( D@> %2- 01(2 01( DD@5
"#! /8 4(2(*%=E %2& 2(0.,*B ,+ 7%38%==&F*(=%0(- )1(2,$(2% $%& '( %2%=&8(- ./01
% "#!5
@1( *(%8,2/24 '(1/2- % "#! $%& '( +,*$%==& 71(7B(- 38/24 % +,*$%= =,4/7> :G5
@1/8 *(2-(*8 %2%=&8(8 -($,280*%'=& ,'H(70/?( I*(=%0/?( 0, 01( 80,))/24 *3=(J5
"#! 7%2 '( 38(- 0,4(01(* ./01 ,01(* $(01,-8E 8%&> 01,8( )*,?/-/24 $,*(
80*3703*( 0, 01( 7,==(70/,2 ,+ +%7085
@1( =/$/0%0/,28 ,+ "#! %*(K
L0 1%8 '((2 +,32- 0, '( 1%*- +,* /2(6)(*/(27(- %2%=&808 0, (60*%70 %))*,)*/%0( +%708
+*,$ 2%**%0/?( -(87*/)0/,28 ,+ )1(2,$(2% 83**,32-/24 % +,738 (?(20> ./01,30
43/-%27(5
@1(*( /8 ,2=& ,2( 7,280*%/20 ,2 01( 8(=(70/,2 ,+ +%708> ,* 01( 8(=(70/,2 ,+ % 80,))/24
*3=(> 2%$(=& %))=/7%0/,2 ,+ 01( DD@5
@1(*( /8 2, 80*3703*/24 ,+ +%708 /20, 7%0(4,*/(8> +,* (6%$)=( 0(712/7%=> )*,7(-3*%=>
13$%2F+%70,*8> ,*4%2/8%0/,2%=> =(4%=5
#(7%38( +%708 %*( 2,0 80*3703*(-> "#! )*,?/-(8 =/$/0(- 43/-%27( ,2
7,320(*$(%83*(8> /2 01( 7%8( *(73**(27( /8 0, '( )*(?(20(-5 D,320(*$(%83*(
8(=(70/,2 383%==& 80($8 +*,$ % 80*3703*%= (?%=3%0/,2 ,+ 01( )1(2,$(2% 83**,32-/24
01( +,738 (?(20> %2- "#! -,(8 2,0 ,++(* 8371 % 80*3703*(5
B.8 Systems Theoretic Accident Modelling and Processes (STAMP)

B.8.1 Overview
!"# $%&"'# %(# )!*+!# , -./# *0# 120"&# 2003$"0# 4!24# 0504"$0# +%(0*04# %6# *(4"7 87"'24"&#
+%$9%("(40# )!*+!# 27"# +%(042(4'5# +!2(:*(:# 2(&# 2&294*(:# 4%# 2+!*";"# 4!"# 0504"$<0#
%1="+4*;"0# *(# 4!"# 62+"# %6# +!2(:"0# *(# *40"'6# 2(&# 4!"# "(;*7%($"(4># ?%$9'"@# 0%+*% 8
4"+!(*+2'# 0504"$0# +2(# $*:724"# 0'%)'5# 4%# 2# 0424"# %6# !*:!"7# 7*0A# 20# 2# 7"03'4# %6# $2(5#
&"+*0*%(0# $2&"# %;"7# 4*$"># !"7"6%7"B# +%(47%'# 0504"$0# %64"(# &":72&"# )*4!# 4*$"# 3(&"7#
4!"# *(6'3"(+"# %6# %4!"7# 97"0037"0# 03+!# 20# +%04# +344*(:# 2(&# 2# &"0*7"# 4%# *(+7"20"#
"66*+*"(+5#%7#93703"#%4!"7#:%2'0>#
!"# , -./# $%&"'# *0# 120"&# %(# 4!"# C20$300"(D,;"&3(:# !*"727+!*+2'# %7:2(*024*%(2'#
$%&"'# EFGH# %6# 2# 0%+*%84"+!(*+2'# 0504"$# )!"7"# 4!"# '";"'0# 72(:"# 67%$#
:%;"7($"(4I'":*0'24%70# 24# 4!"# !*:!"04# '";"'# 4%# 4!"# 4"+!(*+2'# +%$9%("(40# 24# 4!"# '%)"04#
'";"'># J(# , -./# 4!"# '";"'0# 7"97"0"(4# 2# 6""&12+A# +%(47%'# 0504"$# )!"7"# "2+!# '";"'#
97%;*&"0# +%(0472*(40# %(# 4!"# 2+4*;*4*"0# %6# 4!"# '";"'# 1"'%)# 2(&# 7"+"*;"0# 6""&12+A# 4%#
)!*+!# *4# 7"2+40># !"# +%(+"94# %6# , -./# *0# 2# 97%+"00# $%&"'# %6# +%(47%'# 2(&# 2(5#
+%(47%''"7#%6#2#0504"$#K!3$2(#%7#234%$24"&L#$304M##
!"#$ " %&"' &( %&"')*
+,)- .$ ".'$ -& "//$0- -1$ )-"-$ &/ -1$ )2)-$3*
+,)- 1"#$ " 0&(($0- 3&4$' &/ -1$ )2)-$3*
+,)- .$ ".'$ -& ")0$(-"56 -1$ )-"-$ &/ -1$ )2)-$37
D'EF'D
!"## $%$&'# ($#)*' +,$& ',$ -$$./012 1"&'("* #3#'$4 -05*# '" .$0* 0.$6)0'$*3 +5',
1,0&7$# #)1, 0# 1"48"&$&' -05*)($#9 $:'$(&0* .5#')(/0&1$# "( .3#-)&1'5"&0*
5&'$(01'5"&# /$'+$$& 1"48"&$&'#; <05*)($# 403 /$ 5& ',$ 1"&'("**$(#9 5& ',$ .$#57& "(
$&-"(1$4$&' "- 1"&#'(05&'# "( 5& ',$ 5&-"(40'5"& 0&. -$$./012 ; =,5# 1"&1$8' 088*5$# '"
,0(.+0($9 #"-'+0($ 0&. ,)40& 0#8$1'# 0&. ',$5( 5&'$(01'5"&#; <"( $:048*$ 8,3#510*
5'$4# "( #"-'+0($ 403 -05* +,$($ ($6)5($4$&'# 0($ &"' 0.$6)0'$*3 $&-"(1$. /3 .$#57&;
>)40& -05*)($# 403 "11)( +,$($ .$15#5"&# 0($ 40.$ "& ',$ /0#5# "- 8""( 5&-"(40'5"&
-*"+ 0&. -$$./012 -("4 /$*"+ "( 0# 0 ($#)*' "- 1"&#'(05&'# ?#)1, 0# -5&0&150*
8($##)($#@ -("4 0/"%$;
B.8.2 Process
A=BCD ,0# ',$ -"**"+5&7 #'$8#E
0@ F.$&'5-3 #")(1$# "- (5#29 1"&#'(05&'# 0&. ',$ ,5$(0(1,510* 1"&'("* #'()1')($ '"
$&-"(1$ ',$ 1"&#'(05&'#;
/@ G(0+ 0 4".$* "- ',$ 1"&'("* #'()1')($ -("4 7"%$(&4$&'H*$75#*0'"(# ."+& '"
1"48"&$&' *$%$* #,"+5&7 ',$ 1"&'("*# ',0' $01, *$%$* 548"#$# "& ',$ 01'5%5'5$# "-
',$ *$%$* /$*"+ 0&. ',$ -$$./012 0&. 5&-"(40'5"& -*"+# /$'+$$& ',$ *$%$*#;
1@ F&%$#'570'$ ',$ 1"&'("* -*0+# "& ',$ #")(1$ "- (5#2 0&. 0' $01, *$%$* "- ',$ 1"&'("*
,5$(0(1,3 5&1*).5&7 ',$ 8,3#510* 8("1$##$# 0&. $6)584$&' 5&%"*%$.9 )#5&7 0
1*0##5-510'5"& "- 1"&'("* -*0+# /0#$. "& ',$ A=BCD 4".$*; I"&'("* -*0+# 5&1*).$
5&088("8(50'$9 5&$--$1'5%$ "( 45##5&7 1"&'("*#9 5&0.$6)0'$ $:$1)'5"& "- 1"&'("*
01'5"&# 0&. 5&0.$6)0'$ "( 45##5&7 -$$./012;
.@ B&0*3#$ ',$ ($0#"&# -"( ',$ 1"&'("* -*0+#9 1"&#5.$(5&7 ',$ ($6)5($4$&'# "- 0
1"&'("* #3#'$4 .$-5&$. /3 ',$ 8("1$## 4".$*;
$@ B&0*3#$ ',$ ($0#"&# -"( 0&3 .$7(0.0'5"& "- ',$ 1"&'("* #3#'$4# 0&. +,3 -$$./012
-05*$. '" 8($%$&' ',$ .$7(0.0'5"&;
=,$ #'($&7',# "- A=BCD 0($E
!" #$% &'$( )*"+ #,-.('/ 0,#*,1"'#+%*#$( 020"'-0 $%& 3$*(45'0 "+$" *%6,(6' -4("*.('
3$*(45'0 $" $(( ('6'(07
82 0"$5"*%9 $" "+' ",. ,3 "+' #,%"5,( +*'5$5#+2 *" 5'-,6'0 3,#40 35,- "+' *%&*6*&4$(
'55,5 $%& 0'':0 $(( #$40'07
;+' #,%"5,( -,&'( $..(*'0 '<4$((2 ", -$%$9'-'%" $%& .+20*#$( #,%"5,(07
;+' (*-*"$"*,%0 ,3 =;>?@ $5'A
;+' -,&'( *0 #,-.('/ B .$5"*#4($5(2 )+'% .5,&4#*%9 $ 9,,& -,&'( ,3 "+' #,%"5,(
+*'5$5#+2 $%& *"0 *%"'5$#"*,%07
B.9 Accimaps
B.9.1 Overview
!!"#$%&' &()*' +(,' !$-&$.' /,.$+")0&' 1,+*,,0' 2"33,/,0+' +,!(0"!$.4' %&5!().)6"!$.4'
)/6$0"&$+")0$.4' !-.+-/$.4' /,6-.$+)/54' .,6$.' $02' )+(,/' 3$!+)/&4' ,$!(' )3' *("!(' 2)#$"0&'
+5%"!$..5' ($7,' +(,"/' )*0' #,+()2&' )3' ,8%.$0$+")0' 93)/' ,8$#%.,4' %&5!().)65' 2),&' 0)+'
3)..)*' %(5&"!$.' .$*&:' )/6$0"&$+")0$.' 1,($7")-/' "&' ,8%.$"0,2' -&"06' .$/6,.5' 2"33,/,0+'
!)0!,%+&' 3/)#' +()&,' )3' "02"7"2-$.' %&5!().)654' $02' /,6-.$+)/5' %/"0!"%.,&' $/,' )3+,0'
2"33,/,0+'3/)#'$..'+()&,;<''
=(,'!$-&$.'/,.$+")0&'$/,'2,+,/#"0,2'15'-&"06'+(,'!)-0+,/3$!+-$.'!)02"+")04'$0'"03)/#$.'
7,/&")0' )3' *($+' "&' !$..,2' "0' +(,' >? ' +(,' @)-0+,/3$!+-$.' =,&+<' =(,' /,&-.+&' $/,'
2"&%.$5,2' "0' $' 92"&!/,+,A#$+(,#$+"!&A+5%,;' 6/$%(4' *"+(' B0)2,&C' 91)8,&;' /,%/,&,0+"06'
7 89 7
!"# $%&!'()* %+, -,.(#&!#, #,/#)0 1%(('2)3 (#4(#)#+!.+/ !"# &%5)%6 .+$65#+&#7 8"#
$%&!'() %(# )#4%(%!#, .+!' 6%9#() &'((#)4'+,.+/ !' !"# ,':%.+) '( ;6#<#6)= 5+,#( 2".&"
!"#9 '&&5(7
>+ #?%:46# '$ %+ >&&.:%4 .) )"'2+ .+ @./5(# A7B* 2".&" .) $(': C'4D.+)E >+ >&&.F%4
'$ !"# G))' >5)!(%6.% H%) I6%+! G?46').'+* @./5(# J KLM7
Figure B.5 Example Accimap of an Explosion Accident at a Gas Plant as

specified in Hopkins [7].
!"#$%&!"'( )!*( )#+$,-.( #//!#-( %0( #( $'/%+#"( 1++%2#/3( 45!( 1++%2#/( %$.!")( %.( $5!( -!.6"$( ,)(
$5!(%0&!.$%7#$%,08(#09(%.(9-%&!0( :'($5!(9,2#%0.8($5!(;2,9!"<8( %0$,( *5%+5()#+$,-.(#-!($,(
:!(+"#..%)%!93(1($'/%+#"(1++%2#/(5#.(,)($5!(,-9!-(,)($*!0$'($,(),-$'(0,9!.3 (
45!("!&!"(,)(#:.$-#+$%,0(,)($5!(0,9!.(&#-%!.(+,0.%9!-#:"'(:!$*!!0(#//"%+#$%,0.3(=0($5!(
7#.(/"#0$(1++%2#/(>.!!(?%76-!(@3AB8(&!-'(7!0!-#"(/5!0,2!0#(2#'(:!(.!!08(.6+5(#.(#(
;2#%0$!0#0+!( :#+C",7<8( ,-( ;/,,-( #69%$%07<( #.( *!""( #.( &!-'( ./!+%)%+( /5!0,2!0#( .6+5(
#.D( ;*#-2( ,%"( /62/( $-%/<( #09( ;+,09!0.#$!( ,&!-)",*<3( =$( %.( 6/( $,( $5!( #0#"'.$( $,(
9!$!-2%0!( #$( *5#$( "!&!"( ,)( #:.$-#+$%,0( $5!( )#+$,-.( #-!( +,0.%9!-!93( =$( %.( #".,( !E/!+$!9(
$5#$( $5!( 1++%2#/( .!-&!.( #.( #0( %""6.$-#$%,0( $,( #( $!E$6#"8( 0#--#$%&!( !E/"#0#$%,0( ,)( $5!(
)%09%07.(,)($5!(%0&!.$%7#$%,0F(%$(%.(0,$(%0$!09!9(#.(#(.$#09G#",0!(-!.6"$3(
45!( 9,2#%0.( %0( #0( 1++%2#/( #-!( .!$( :'( #0( ,-7#0%.#$%,0#"( 2,9!"3( ?,-( !E#2/"!8( $5!(
16.$-#"%#0(4-#0./,-$(H#)!$'(@6-!#6(>14H@B(,-7#0%.#$%,0#"(2,9!"(6.!9(%0($5!(I,+C5#-$(
%&!-( J,0$-,""!9G?"%75$G=0$,G4!--#%0( >J?=4B( #++%9!0$8( 9,+62!0$!9( %0( $5!( 14H@(
4-#0./,-$(H#)!$'(=0&!.$%7#$%,0( !/,-$D(?%0#"8(?%76-!(KL(MLN(#09(-!/!#$!9(%0(?%7 6-!(@3O3(
45!( 14H@( 2,9!"( MLN( 6.!.( $5!( ),"",*%07( "!&!".( >!E/"#0#$%,0( %0( /#-!0$5!.!.( :'( $5!(
#6$5,-.(,)($5%.(0,$!BD((
!""#$$%&"% '(%&)* +,-.) -.//%&%0 )12%,1*% /$3412.)% )3 )-% .""10%&)56

!"#!
!"#$%$#&'( )*+$,"- ./&0'" '*+$,"- ,%12 +$01 3/$*/ $"*21'-1# 412+$"1"+ 2$- 567
8,*'( *,"#$+$,"- .1"%$2,"01"+9 $001#$'+1 ,2:'"$-'+$,"'( *,"#$+$,"- '"#
*,"-+2'$"+- 3/$*/ $";(&1"*1# $"#$%$#&'( '*+$,"-67
<$-5 =,"+2,(- .,2:'"$-'+$,"'( */'2'*+12$-+$*- > ,2 +/1 ('*5 ,; +/10 > 3/$*/ *,&(#
/'%1 $";(&1"*1# (,*'( *,"#$+$,"- ,2 $"#$%$#&'( '*+$,"- +, 21#&*1 2$-567
?2:'"$-'+$,"'( !";(&1"*1- .3/'+ 3'- $" 4('*19 21-4@ ('*5 ,; -&*/9 +, $"/$A$+
42,A(10- 3$+/ +/1 2$-5 *,"+2,(-6@
Figure B.6 Accimap of the Lockhart River CFIT accident as specified in the
ATSB Transport Safety Investigation Report [9].
!"# $"%&'()*+# ,--)./0# 12$# (!"# 32-4!/$(# 5)6"$# )*6"%()+/()2*# -2*(/)*%# 7# 1/-(2$%# 1/'')*+# &*8"$#
9$+/*)%/()2*/'# :*1'&"*-"%;# <# 1/-(2$%# &*8"$# 5)%4# =2*($2'%;# ># 1/-(2$%# &*8"$# 32-/'# =2*8)()2*%;# ?#
1/-(2$%#&*8"$#:*8)6)8&/'#,-()2*%#/*8#@#1/-(2$;#(!"#=A: #"6"*(; #&*8"$#9--&$$"*-"#B6"*(%;#12$#/#
(2(/'#21#CD#*28"%E##
#
A/-(2$%#(2#F"#)*-'&8"8#)*#/*#,--)./0#/$"#8"("$.)*"8#FG#)*6"%()+/()2*E#:(#)%#0$"%&."8#(!/(#(!"#
)*6"%()+/(2$%# &*8"$%(/*8# !2H# (2# 8"("$.)*"# 02%%)F'"# 1/-(2$%# 12$# -2*%)8"$/()2*;# /(# H!/("6"$#
'"6"'#21#+"*"$/')(G#(!"G#-2*%)8"$#/00$20$)/("E# !)%#'"6"'#21#+"*"$/')(G#)%#*2(#%"(#FG#(!"#,--)./0#
12$./(# )(%"'1E# I")(!"$# 82# ,--)./0%# +)6"# +&)8/*-"# (2# )*6"%()+/(2$%# 2*# )8"*()1G)*+# 02%%)F'"#
1/-(2$%E# !"# 02%%)F'"# 1/-(2$%# /$"# 8"("$.)*"8# (2# F"# -/&%/''G# $"'"6/*(# (!$2&+!# (!"# )*12$. /'#
/00')-/()2*#21#(!"#-2&*("$1/-(&/'#-2*8)()2*E#
H#II#H
B.9.2 Process
!"#$% "&'#(%) *&+$ ,$$- ./$-#.".$/0 #*$ "(11(2.-3 4%('$)) .) 5)$/ #( '(-)#%5'# #*$
'&5)&1 $641&-&#.(- .- &- !''.7&48
&9 :*$ "&'#(%) &%$ &)).3-$/ #( #*$.% %$)4$'#.+$ /(7&.-);

,9 :*$ '(5-#$%"&'#5&1 '(-/.#.(- .) 5)$/ #( /$#$%7.-$ #*$ '&5)&1 .-"15$-'$ ,$#2$$- #*$
"&'#(%);
'9 :*$ !''.7&4 .) '(-)#%5'#$/8
< =(7&.-) &%$ %$4%$)$-#$/ &) *(%.>(-#&1 1&?$%)@
< A(/$) "(% $&'* '&5)&11?B%$1$+&-# "&'#(% &%$ &%%&?$/ 2.#* #*$.% /(7&.-@
< !%%(2) &%$ /%&2- ,$#2$$- -(/$)0 %$4%$)$-#.-3 #*&# #*$ -(/$ &# #*$ #&.1 (" &-
&%%(2 .) & '&5)&1 "&'#(% (" #*$ -(/$ &# #*$ 4(.-# (" #*$ &%%(2;
:*$ )#%$-3#*) (" !''.7&4) &%$8
!" !##$%&' $( $")*$)$+,-. ,&(. )/ *"0,1()&"02

!" !##$%&' 1,'1,(,")&)$/" 1,3*$1,( )4, &"&-.() )/ #/"($0,1 &-- 5&#)/1( $" +&1$/*(
-,+,-( $" )4, /16&"$(&)$/"&- %/0,-7 &"0 ,8'-$#$)-. )/ #4,#9 )/ (,, :4&) )4, #&*(&-
1,-&)$/"( ;,):,," &". 5&#)/1( $" 0$55,1,") -,+,-( /5 )4, %/0,- %$64) ;,2 <&*(&-
#/"",#)$/"( &1, )4*( /;(,1+,0 :4$#4 %$64) ;, %$((,0 $5 )4, 0/%&$"( $" )4,
/16&"$(&)$/"&- %/0,- &1, #/"($0,1,0 (,'&1&),-.2
=4, -$%$)&)$/"( /5 !##$%&'( &1,>
=4, #/*"),15&#)*&- #/"0$)$/" *(,0 )/ 0,),1%$", #&*(&-$). $( $"5/1%&-? $) $( "/)
'1/+$0,0 :$)4 5/1%&- (,%&")$#(2 =4*( $) $( 0,',"0,") /" )4, $")*$)$/" &"0 ',1(/"&-
@*06,%,") /5 )4, $"+,()$6&)/12
=4,1, $( "/ #1$),1$/" )/ 0,),1%$", :4,)4,1 &" /16&"$(&)$/"&- %/0,- $( &0,3*&),?
)4, %/0,- #/%,( 51/% /*)($0, )4, &"&-.($(2
=4, -,+,- /5 6,",1&-$). /5 )4, 5&#)/1( ,8'1,((,0 $" )4, "/0,( $( 4$64? )4,. #&" ;,
+,1. &;()1&#)2 !" &)),%') )/ 0,1$+, #/*"),1%,&(*1,( $( #/11,('/"0$"6-. +&6*,2
=4, !##$%&'( %,)4/0 '1/+$0,( /"-. & :,&9-. &"&-.)$#&- &''1/&#4 )/ '4.($#&-
5&$-*1,( /1 $0,")$5.$"6 $"&''1/'1$&), 5,&)*1,( /5 )4, '4.($#&- '&1) /5 )4, (.(),%2
!" !##$%&' 0/,( "/) 1,'1,(,") )4, 1,(*-)( /5 & #&*(&- &"&-.($( ;. $)(,-52 A) 1,3*$1,(
& ),8)*&- ,8'1,(($/" /5 )4, 1,(*-)( &"0 (,1+,( )/ $--*()1&), /1 (*%%&1$(, )4&) ),8)2
=4, 1,(*-) /5 &" !##$%&' &"&-.($( $( 1,-&)$+,-. -$64)-. #/"()1&$",0? $) $( )4*(
'/(($;-, )/ 0,1$+, 0$55,1,") !##$%&'( /5 )4, (&%, $"#$0,") (4/:$"6 0$55,1,") (,)( /5
#&*(,(7 0,',"0$"6 /" )4, &"&-.()B( 5/#*(2
B.10 Multilinear Events Sequencing (MES) and Sequentially Timed Events

Plotting (STEP)
B.10.1 Overview
!"#$%&#"'!(#$)*#+*,-.&/#0.)#$%$12/3/#.0#$443&*%,/#,.#4.+51*6#/2/,*+/7#"'!(#3/#$#
/844*//.)# ,.# !"7# !"9"'!(# 4.%4*3:*/# .0# $%# $443&*%,# 5).4*//# $/# $%# 3%,*)13%;*&#
/844*//3.%#.0#*:*%,/# 3%:.1:3%<#5*.51*=#.>?*4,/#$%&#*%*)<2# $%&#,-*3)#3%,*)$4,3.%/#.:*)#
,3+*7# @%# *:*%,# A.)# $4,3.%B# -$/# $%# 3%/,3<$,.)=# 4$11*&# $%# $4,.)# AC-34-# +$2# >*# -8+$%# .)#
+$4-3%*=# .)# *:*%# $# 5).5*),2B=# 3/# 5$),3$112# ,)3<<*)*&# >2# .,-*)# *:*%,/=# $1.%<# C3,-#
4.%&3,3.%/#*%$>13%<#3,#,.#.448)=#$%&#3%#,8)%#-*15/#,.#,)3<<*)#08),-*)#*:*%,/7# #
'-*#>$/34#*1*+*%,/#.0#$%# !"9"'!(#$%$12/3/#$)*#!:*%,#D831&3%<#D1.4;/#$%&#$#'3+* E
@4,.)# $,)367#'-*#$%$12/3/#+*,-.&#"FG#$1/.#8/*/#,-*/*#>$/34#/,)84,8)*/=#&*)3:*&#0).+#
J KL J
!"#$ "%&'() *+& +&,+&)&'(&- *) &%&'( ./01-0'2 .1345)$ 6/01-0'2 .1345) 43')0)( 37
8,*+(0*1 3+ 7/119 -*(* +&43+-) *) -&)4+0.&- 0' :02/+& 6$;$
Figure B.7: Data comprising an event building block
6/01-0'2 .1345) *+& *++*'2&- -/+0'2 (<& *'*1=)0) 0' * >0?&@A4(3+ !*(+0B$ ><&)&
?*(+04&) <*%& * %&+(04*1 *B0) +&,+&)&'(0'2 (<& -077&+&'( *4(3+)C *'- * <3+0D3'(*1 *B0)
+&,+&)&'(0'2 (0?&$ >0?& A4(3+ !*(+04&) *1)3 43'(*0'E
!"#$%&%"#'( #)*)''+,- .", )#+/0%#1 +# )2)#& +0"#1 3%&4 5,)*6,'", )2)#&'7

8##"&+&%"#' .", .6,&4), &+'9' %# +# %#2)'&%1+&%"#( '6*4 +' + #"&) %#$%*+&%#1 + $).%*%&
". %#.",:+&%"#( ", +# %#*":50)&) );50+#+&%"# ". +# )2)#&7
<#*":50)&)#)'' %# &4) ')=6)#*) ". )2)#&' %' %$)#&%.%)$( 4-5"&4)')' 1)#),+&)$ &" .%00 +
>1+5?( +#$ ,)=6%,):)#&' $)&),:%#)$ .", $+&+ &4+& 3"60$ /) '6..%*%)#& &" '6/'&+#&%+&) +
1%2)# 4-5"&4)'%'7 @ABCBDAE :+9)' 6') ". 0"1%* &,))' +' + 4-5"&4)'%' F);50",+&%"#
&)*4#%=6)7
8# );+:50) ". + D%:)F8*&", @+&,%; %' '4"3# %# G%16,) H7I7 D4) /6%0$%#1 /0"*9 *"0"6,'
,)5,)')#& &4) >'&+&6'? ". &4) /6%0$%#1 /0"*9' +& &4) '&+1) %# &4) %#2)'&%1+&%"#7 D4) 0%#)'
,)5,)')#& &4) >%#56&C"6&56&? ,)0+&%"#'4%5' /)&3))# &4) /6%0$%#1 /0"*9'7 D4) #"&)'
'4"3 %#2)'&%1+&%"# &+'9' '&%00 &" /) 5),.",:)$7
J KL J
Figure B.8: An example of a Time-Actor Matrix

B.10.2 Process
!"#$#%"& '()*+,-, .), /.0 12**23-(4 ,/05,6
)7 %.0 1-8,/ ,/05 -, /2 4)/.08 )9)-*):*0 -(128;)/-2( 128 /.0 -(-/-)* ,08-0, 21 :<-*=-(4
:*2>?,@ )(= -=0(/-1+ )(= /8)>? ;-,,-(4 -(128;)/-2(A
:7 %.0,0 -(-/-)* :<-*=-(4 :*2>?, )80 )88)(40= -( )( -(-/-)* %-;0B'>/28 !)/8-CA
>7 #50>-1-> /0>.(-D<0, )80 /.0( <,0= /2 -=0(/-1+ -(>2;5*0/0(0,, )(= E4)5,F@ 40(08)/0
.+52/.0,0, /2 E1-**F /.0 4)5, 3-/. 090(/, G-( /.0 128; 21 1<8/.08 :<-*=-(4 :*2>?,7A
=7 %.0 582>0,, /08;-()/0, 3.0( )( )()*+,/ >2(,-=08, /.)/ ,<11->-0(/ -(128;)/-2( -,
)9)-*):*0 -( /.0 %-;0B'>/28 !)/8-CA
%.0 ,/80(4/., 21 !"#$#%"& )806
!"# $#%"&' "() #*&+*#' &*#, '#-('#) &. /,(-%0-(+ 1)# (2(+3)024 -&$$#,-0(+ 5
(0,-,(.% (--0'#2%) (--&,'024 %& %"# %#,$) &. %"# 6789 %,#(%3:
;(%( .&,$(%%024 0) ,#+(%0*#+3 #+(<&,(%#= (2' %"#,# (,# #>/+0-0% $#-"(20)$) .&,
'#%#,$02024 (2' %,(-?024 $0))024 '(%( (2' (%%#$/%) %& '#%#,$02# %"&)# '(%(:
@&$# )1-" A<&&??##/024B $#-"(20)$) (,# 2#-#))(,3 .&, $(2(4024 -&$/+#>
02*#)%04(%0&2) C0%" $1+%0/+# 02*#)%04(%&,):
!"# !0$#58-%&, D(%,0> "() #>/+0-0% 2&%(%0&2 .&, ,#-&,'024 %"# )%(%# &. (2 &24&024
02E10,3 (+&24 C0%" '(%(5(-E10)0%0&2 (2' #>/+(2(%&,3 %()?) 3#% %& <# /#,.&,$#': !"0)
$#(2) %"(% ( -&$/,#"#2)0<+# *0)1(+ ,#/,#)#2%(%0&2 &. %"# )%(%# &. (2 02*#)% 04(%0&2
0) (*(0+(<+# (% (++ /&02%) 02 (2 02*#)%04(%0&2
!"# +0$0%(%0&2) &. DF@G@!FH (,#I
82 DF@G@!FH 02*#)%04(%0&2 0) "#(*0+3 '#/#2'#2% &2 %"# DF@G@!FH5'#.02#'
&2%&+&43:
!"#,# 0) 2& #>/+0-0% 2&%0&2 &. -(1)#= 02 /(,%0-1+(, &. #*#2%) <#024 -(1)#) &, /(,%0(+
-(1)#) &. &%"#, #*#2%): !"# 2&%0&2 &. -(1)# 0) )1//+(2%#' <3 ( 2&%0&2 &.
A02/1%G&1%/1% ,#+(%0&2)"0/B <#%C##2 <10+'024 <+&-?)= )(0' %& -&$# .,&$ 73<#,2#%0-):
a =I a
!"# $"#%&#$'()* +,-#&.',,',/0 %1 $"# 0.#('1'( #2#,$34)0#- 5%-#* -% ,%$ )..#)& $%

4# )0 &'/%&%+0 )0 $"%0# %1 5#$"%-0 0+(" )0 6(('5).07 89: %& ;<6=
B.11 The TRIPOD Method
B.11.1 Overview
!"# $%&'(#)"*!+,#-./#,"0"1+2",#*+#"3.41"#.556,"3*#.3,#6356,"3*#630"/*67.*6+3#.3,#
.3.18/6/9#%*#.6)/#*+#6,"3*6:8#*!"#;6/<#:.5*+;/#*!.*#.;"#*!"#4./65#5.=/"/#+:#+;7.36>.*6+3.1?#
!=).3#.3,#*"5!365.1#:.61=;"9# $%&'(#6/#4./",#+3#*!"#=3,";/*.3,637#*!.*#48#6)2;+0637#
*!"# -+;<637# "306;+3)"3*# +:# .3# +;7.36>.*6+3?# !=).3# ";;+;/# .;"# "16)63.*",# +;# ;",=5",9#
!"# +*!";# :+5=/# +:# *!"# .3.18/6/# 6/# +3# 4.;;6";/# *!.*# ).8# !.0"# 4""3# -".<"3",?#
482.//",#+;#4;+<"39#
B.11.2 Process
!"#/*.;*637#2+63*#:+;# $%&'(# 6/#*!.*#*!";"#.;"#@./65# $6/<#A.5*+;/#B@$AC#*!.*#.;"#*!"#
=3,";18637# )"5!.36/)/# *!.*# ).8# 1".,# *+# 6356,"3*/9# !"/"# @$A/# ).8# 7"3";.*"#
2/85!+1+765.1# 2;"5=;/+;/# *!.*# ;"/=1*# 63# /=4/*.3,.;,# .5*/# .3,# /6*=.*6+3/9# !"# ,6::";"3*#
@$A/#,"/5;64"#!=).3?#+;7.36>.*6+3.1#.3,#*"5!365.1#2;+41")/#./#,":63",#63# .41"#@9D9#
!"#:6;/*#:60"#.;"#2;"0"3*6+3#@$A/#*!.*#.;"#/2"56:65#:+;#*!"#/6*=.*6+3#4"637#630"/*67.*",?#
*!"# 3"E*# :60"# .;"# 7"3";65# 2;"0"3*6+3# @$A/# .3,# *!"# 1./*# @$A# 6/# *!"# )6*67.*6+3# @$A#
.6)",#.*#5+3*;+11637#*!"#5+3/"F="35"#+:#*!"#"0"3*9#
Table B.1 Definition of the BRF in TRIPOD
No Basic Risk Abbreviation Definition

Factor
! "#$%&' !" "#$%&%'()*++, -%%# ./0($& %1 2%%+0 %# /34(-'/&2 540/# 64&1#(/&.+,
7 8%%+0 *&. 8" 9%%# 34*+(2,: )%&.(2(%&: 04(2*;(+(2, %# *<*(+*;(+(2, %1 '*2/#(*+0: 2%%+0:
/34(-'/&2 /34(-'/&2 *&. )%'-%&/&20
= >*(&2/&*&)/ >> ?% %# (&*./34*2/ -/#1%#'*&)/ %1 '*(&2/&*&)/ 2*0@0 *&. #/-*(#0
'*&*$/'/&2
A B%40/@//-(&$ BC ?% %# (&0411()(/&2 *22/&2(%& $(</& 2% @//-(&$ 2D/ E%#@ 1+%%# )+/*& %#
2(.(/. 4-
F "##%# /&1%#)(&$ "G H&04(2*;+/ -D,0()*+ -/#1%#'*&)/ %1 '*(&2/&*&)/ 2*0@0 *&. #/-*(#0
)%&.(2(%&0
I 9#%)/.4#/0 9J K&0411()(/&2 34*+(2, %# *<*(+*;(+(2, %1 -#%)/.4#/0: $4(./+(&/0: (&02#4)2(%&0
*&. '*&4*+0 50-/)(1()*2(%&0: L-*-/#E%#@M: 40/ (& -#*)2()/N
O 8#*(&(&$ 8J ?% %# (&0411()(/&2 )%'-/2/&)/ %# /P-/#(/&)/ *'%&$ /'-+%,//0 5&%2
0411()(/&2+, 04(2/.Q(&*./34*2/+, 2#*(&/.N
R G%''4&()*2(%& GS ?% %# (&/11/)2(</ )%''4&()*2(%& ;/2E//& 2D/ <*#(%40 0(2/0: ./-*#2'/&20
%# /'-+%,//0 %1 * )%'-*&, %# E(2D 2D/ %11()(*+ ;%.(/0
T K&)%'-*2(;+/ KU 8D/ 0(24*2(%& (& ED()D /'-+%,//0 '402 )D%%0/ ;/2E//& %-2('*+ E%#@(&$
$%*+0 '/2D%.0 *))%#.(&$ 2% 2D/ /02*;+(0D/. #4+/0 %& %&/ D*&. : *&. 2D/
-4#04(2 %1 -#%.4)2(%&: 1(&*&)(*+: -%+(2()*+: 0%)(*+ %# (&.(<(.4*+ $%*+0 %&
2D/ %2D/#
VW S#$*&(0*2(%& SJ XD%#2)%'(&$0 (& 2D/ %#$*&(0*2(%&Y0 02#4)24#/: %#$*&(0*2(%&Y0 -D(+%0%-D,:
%#$*&(0*2(%&*+ -#%)/00/0 %# '*&*$/'/&2 02#*2/$(/0: #/04+2(&$ (&
(&*./34*2/ %# (&/11/)2(</ '*&*$/'/&2 %1 2D/ )%'-*&,
VV !/1/&)/0 !Z ?% %# (&0411()(/&2 -#%2/)2(%& %1 -/%-+/: '*2/#(*+ *&. /&<(#%&'/&2
*$*(&02 2D/ )%&0/34/&)/0 %1 %-/#*2(%&*+ .(024#;*&)/0
8D/ %#($(&*+ '%./+ 1%# 8JK9S! )%&0(020 %1 2D/ [JZ0 1%++%E/. ;, -0,)D%+%$()*+
-#/)4#0%#0 2D*2 +/*. 2% 04;02*&.*#. *)20 *&. *& %-/#*2(%&*+ .(024#;*&)/\ K2 D*0 ;//&
)%';(&/. E(2D 2D/ B">9 52D/ B*]*#. *&. "11/)20 >*&*$/'/&2 9#%)/00N '%./+ 2D*2
./0)#(;/0 *))(./&2 '/)D*&(0' (& 2/#'0 %1 ;*##(/#0 %# 1*(+/. )%&2#%+ *&. ./1/&)/
'/)D*&(0'0\ 8D(0 D*0 -#%.4)/. ED*2 (0 &%E @&%E& *0 2D/ 8JK9S! [/2* '%./+: *&
/P*'-+/ %1 ED()D (0 0D%E& (& Z($4#/ [\T: ED()D (0 1#%' X@+/2^ L>/2D%.0 1%# *))(./&2
(&</02($*2(%&M: Z($4#/ 7R _VT`\
> ?@ >
Figure B.9 - Complete TRIPOD Beta model [19]
!"#$%&'()*+ ,+- .))/ 0123)1)/*)4 0/ + 1)/5'4607)/ -89*:+6) *883 *,+* ;504)- *,)
0/7)-*0;+*86 *,685;, *,) 0/<04)/* 86 +<<04)/* 268<)--= >/ )?+123) <+/ .) -))/ 0/
@0;56) (=ABC :,0<, 0- 9681 DE3)*F GH)*,84- 986 +<<04)/* 0/7)-*0;+*08/IC @0;56) JA KALM=
Figure B.10 An example of a TRIPOD investigation

!"#$%&"'(%!$#)*#%!"# +,-./#0)1"2#3&"4#
!"#$%&'& #"(&% ") '*& $+",&-- '*.' %&.(- '" ./ 0/,0(&/'1

!./ *./(%& ,"#$%&2 0/3&-'04.'0"/- ./( ./.%5-0-1
6",7- "/ 7/(&+%50/4 %.'&/' "+4./08.'0"/.% ).,'"+-1
9))&,'03& 0/ $+&3&/'0/4 )7'7+& 0/,0(&/'-1
:&/7;(+03&/ -")'<.+& '" .--0-' <0'* 0/3&-'04.'0"/ ./( ./.%5-0-=
B CD B
!"# $%&%'('%)*+ ), '"# !-./01 2)3#$ (4#5
2(6 7# ')) 8)&9$%8('#3 ,)4 +%&9$# +%':('%)*+;

<='#*+%># '4(%*%*? 4#@:%4#3 ') %&9$#&#*'A
B.12 Reason Model

B.12.1 Overview
!" #$!%&'($#" ')" *+$" ,-./)" 0&&1&" 2/.(&'#3$" 4)'5$&!'*6" 7&$!!8" 9::;<" =$/!1)!" >1#$?"
!*/&*!"@&1."*+$"A&$.'!$"*+/*"/"A&1#-%*'5$"!6!*$."')51?5$!"#$%'!'1)"./B$&!"C+'3+"?$5$?"
./)/3$.$)*D<"?')$"./)/3$.$)*<"&$?'/(?$"$E-'A.$)*<"!B'??$#"/)#".1*'5/*$#"F1&B@1&%$<"
A&1#-%*'5$" /%*'5'*'$!" " /)#" #$@$)%$!" /3/')!*" +/G/&#!H" ,-./)" %1)*&'(-*'1)!" *1" *+$"
(&$/B#1F)"1@"*+$"!6!*$."%/)"($"./AA$#"1)*1"*+$!$"$?$.$)*!"/!"@1??1F!8""""
!"##$%#& '&($)$*+) "+' *,-"+$)".$*+"# ",,"+-&/&+.) 01$(1 /"2 )&&/ ,&")*+"%#& ".
.1& .$/& %3. .3,+ *3. .* %& /$)."4&+5
6$+& /"+"-&/&+. '&7$($&+($&) 8&5-5 9**, )(1&'3#$+-: '&7$($&+. .,"$+$+-: 9**,
9,*(&'3,&): "+' 9**, 9&*9#& /"+"-&/&+.;5
<,&(*+'$.$*+) "+' 9)2(1*#*-$("# 9,&(3,)*,) = 012 9&*9#& 7"$#5
>+)"7& ?(.) 8.1&)& ("+ %& (#"))$7$&' $+.* )#$9): #"9)&): /$)."4&) "+' @$*#".$*+)
'&9&+'$+- *+ 01&.1&, 01". .1& 9&,)*+ $+.&+'&' .* '* 0") $+ 7"(. .1& ,$-1. *,
0,*+- "(.$*+;5
A&7$($&+($&) $+ 912)$("# "+' 9,*(&'3,"# '&7&+(&)5
? 9","##&# /*'&# ("+ %& ',"0+ 0$.1 3+,&#$"%#& &B3$9/&+. ,&9#"($+- 3+)"7& "(. )5
C1& /*'&# $) &))&+.$"##2 " +* %#"/& /*'&# 01&,& 9&*9#& ". "## #&@&#) ",& ,&(*-+$)&'
.* %& 7"##$%#&5 ? %")$( 9,&/$)& $) .1". 3+0"+.&' &@&+.) 1"@& .1&$, 9,$/",2 *,$-$+) $+
7"##$%#& '&($)$*+) /"'& %2 '&)$-+&,) "+' 1$-1 #&@&# /"+"-&,)5
B.12.2 Process
!"# $%&"'# ()# *)"&# +%# ,%-)(&".# .%%+# ,/*)")# 01# )+/.+(-2# 3.%$# +!"# 3/('"&# &"3"-,")4#
*-."'(/0'"#"5*(6$"-+#/-&#+!"#*-)/3"#/,+)#/-&#7%.8(-2#0/,8#+%#,%-)(&".9#
/:# ;!/+#$%+(</+%.)#/-&#6.",*.)%.)#'"/&#+%#+!"#*-)/3"#/,+#%.#3/('"&#&"3"-,"= #
0:# >%7#'(-"#$/-/2"$"-+#(-3'*"-,"&#+!%)"#6.",*.)%.)=#
,:# ;!/+# &",()(%-)4# &")(2-# 3"/+*.")# %.# %.2/-()/+(%-/'# /../-2"$"-+)# 6'/1"&# /# 6/.+# (-#
+!"#'(-"#$/-/2"$"-+#%.#7%.83%.,"#3/('*.")?#
!"#)+."-2+!)#%3#+!"#@"/)%-#A%&"'#/."9#
!" #$ %$&'%( )*&+& , -./). 0+#1,+2 3,%$& /' "*& '/3%$ &4&." #$ ,. &++/+ ,"
)/+-'/+3& (&4&(5
!" 0+/4#6&$ , 0$23*/(/7#3,( 8,$#$ '/+ )*2 0&/0(& 1,-& &++/+$ 82 3/.$#6&+#.7 "*&
&++/+ "20& 9'/+ &:,10(& #$ "*& ',#(%+& #."&."#/.,( /+ %.#."&."#/.,(; ,.6 82 (//-#.7 ,"
)*2 0&/0(& 1,-& &++/+$5
!" 6/&$ ./" ,$$%1& ,(( &++/+$ /33%+ ," )/+-'/+3& (&4&( 8%" $&&-$ ',#(%+&$ "*+/%7*/%"
"*& 1,.,7&1&." 3*,#.5
<*& (#1#","#/.$ /' "*& =&,$/. >/6&( ,+&?

<*& 1/6&( #$ '/3%$$&6 /. *%1,. &++/+5 @("*/%7* =&,$/. $","&$ "*," 0,+,((&(
3/.$#6&+,"#/.$ ,00(2 "/ &A%#01&." "*#$ #$ ./" '/((/)&6 %0 #. "*& ),2 "*& 1/6&( #$
E FG E
!""#$%& !'& ())* +!,-%- *.!* (%-,#* /()0 "))( %1,$"0%'* &%-$2' $'*%(!+*$)'-
3%*4%%' "%)"#% !'& %1,$"0%'* !'& *.% %'5$()'0%'* 0!6 ')* 3% $&%'*$/$%&7
8.% -*%" )/ -%%9$'2 0)*$5!*)(- !'& "(%+,(-)(- /)( %(()( (%1,$(%- 0)(% 2,$&!'+%
*.!' $- "()5$&%& 36 *.% 0)&%# $*-%#/7 :)( %;!0"#%< *.% ,-% )/ ! .,0!' %(()(
*!;)')06 4.$+. +#!--$/$%- .,0!' %(()( 0)&%- !'& "-6+.)#)2$+!# %(()(
0%+.!'$-0- 3%/)(% #))9$'2 /)( +!,-%-7
B.13 Safety through Organisational Learning (SOL)

B.13.1 Overview
!"# $%# &'# ()('*# &'&+,%$%# *(-.'$/0(1# 2.$-.# 3(+$'/0$%.(%# *.(# '4*$4'# 45# -&0%(# 6%(('# &%#
7348+(9&*$-# $'# *.(# %4-$4:*(-.'$-&+# %,%*(9%# $'# 2.$-.# !"# $%# &77+$(;1# +&3<(+,# $'# *.(#
'0-+(&3:742(3# $';0%*3,=#543# *.&*# 45# -4'*3$80*$'<#5&-*43>#?.(# 70374%(# 45# ()('*# &'&+,%(%#
$%# %(('# *4# 8(# %,%*(9&*$-# 94;(++$'<# 45# *.(# %,%*(91# $;('*$5$-&*$4'# 45# %,%*(9$-#
2(&@'(%%(%# &';# $9734)(9('*1# &';# 3(-033('-(# 73()('*$4'># A# %$;(# 8('(5$*# $%# *&@( '# *4#
8(#&#;((7(3#0';(3%*&';$'<#45#*.(#%,%*(9>#B0&+$*&*$)(#&'&+,%$%#$%#(97.&%$%(;> #C&-*43%#
&3(# -+&%%$5$(;# $'*4# *(-.'4+4<,1# $';$)$;0&+%1# 243@$'<# <34071# 43<&'$%&*$4'1# &';#
43<&'$%&*$4'&+#(')$34'9('*>#
!"# 734-((;%# 5$3%*# 8,# -4'%*30-*$'<# &# %$*0&*$4'&+# ;(%-3$7*$4'# *.340<.# ()('*# 80$+;$'<#
8+4-@%# 2.$-.# -4'%$%*# 45# %7(-$5$-# $'5439&*$4'# -4'-(3'$'<# ()('*%# -4'%*$*0*$'<# *.(#
%$*0&*$4'&+#;(%-3$7*$4'>#?.(#-497+(*(;#8+4-@%#&3(#&33&'<(;#$'#&#?$9( :A-*43#D$&<3&91#&#
5439# 45# <3&7.# $'# 2.$-.# *.(# )(3*$-&+# &E$%# 3(73(%('*%# *.(# ;$55(3('*# &-*43%# &';# *.(#
.43$F4'*&+#&E$%#3(73(%('*%#*$9(>##
D$3(-*+,#-4'*3$80*$'<#5&-*43%#&3(#-+&%%$5$(;#$'*4G#
!"#$%&'()$"*
+$&&,")-'()$"*
.$%/)"0 -$"1)()$"2*
34%2$"'5 64%#$%&'"-4*
7)$5'()$"2*
84-9")-'5 -$&6$"4"(2:
!"1)%4-(5; -$"(%)<,()"0 #'-($%2 '%4 -5'22)#)41 )"($ (94 #$55$=)"0 -5'2242>
!"#$%&'()$"*
+$&&,")-'()$"*
.$%/)"0 -$"1)()$"2*
34%2$"'5 64%#$%&'"-4*
7)$5'()$"*
?64%'()$" 2-941,5)"0*
@426$"2)<)5)(;*
+$"(%$5 '"1 2,64%A)2)$"*
B%$,6 )"#5,4"-4*
@,542C 6%$-41,%42 '"1 1$-,&4"(2*
D,'5)#)-'()$"2*
8%')")"0*
?%0'")2'()$" '"1 &'"'04&4"(*
D EF D
!""#$%&' () "*+",-".&"/
0%)"12 +,-.&-+3"4/
56%3-12 7%.%8"7".1/
9%-.1".%.&"/
:"863%1(,2 %.# &(.4631-.8 $(#-"4/
;.<-,(.7".1%3 -.)36".&"=
>?" "7+?%4-4 -. % 0@A %.%324-4 -4 (. (,8%.-4%1-(.%3 3"%,.-.8= >?" 4+"&-)-& &%64"4 ()

% +%,1-&63%, "<".1 %," 1%'". 1( $" 3"44 -7+(,1%.1 1?%. 1?" -.B6-,2 -.1( 4241"7
(+",%1-(.4 %.# -14 C"%'."44"4D %.# 1?" -7+(,1%.1 &(.&364-(.4 %," 1?(4" C?-&?
-7+,(<" 1?" 4241"7 &(.&",.-.8 4%)"12=
E. "*%7+3" () % >-7"FE&1(, G-%8,%7 -4 4?(C. -. !-86," H=IID C?-&? -4 ),(7 0@AFJ;

K7$L MINO=
Figure B.11: Example of a Time-Actor Diagram [14]

!"#$%#&'#( )%*+( ,-.( %/( *+0*( %*( %/( 1#$2( +#3"453( 0*( 6#&#$0*%&6( 70&2( 78$#( 40'*8$/( %&( *+#(
'85$/#(84(0&032/%/(*+0&()#$#('8&'#%1#9(0*(*+#(/*0$*:(,-.(0&032/#/(6#&#$0332(%9#&*%4%#/(
70&2('30//#/( 84('8&*$%;5*%&6(40'*8$/(<018%9%&6(=78&8>'05/03(*+%&?%&6@AB(0&9(;$809#&/(
*+#( 48'5/( 8&( 40'*8$/( 0)02( 4$87( *+#( 0'*%8&/( 84( %&9%1%9503( 0'*8$/( 0&9( *8)0$9/( 78$#(
6#&#$03( /2/*#7%'( 8$60&%/0*%8&03( 0&9( 8"#$0*%8&03( '+0$0'*#$%/*%'/B( )+%'+( %/( 4#3*( *8( ;#( 84(
78$#(+#3"(%&(%7"$81%&6(*+#(/8'%8>*#'+&%'03(/2/*#7:(
B.13.2 Process
,-.(+0/(*)8(70%&(/*#"/C(
!"#$%#"&'%( )*+,-".#"&'/ 01* ,&((*,#"&' &2 "'2&-3%#"&' %') #1* ,&'+#-$,#"&' &2 4 *5*'#
6$"()"'7 6(&,8+9: !"#$%#"&'+ %-* )*+,-"6*) #1-&$71 %+8"'7 ;1*'< ;1*-*< ;1&<
;1%#< %') =&>< 01* %'+>*-+ #& *%,1 &2 #1*+* ?$*-"*+ %-* 7$")*) 6@ #1* $+* &2
+.*,"2", 2&-3%#+ 2&- #1* "'2&-3%#"&': A5*'# 6$"()"'7 6(&,8+ 1%5* %' ")*'#"2",%#"&'
'$36*-B %') ,&'#%"' "'2&-3%#"&' &' #"3*B (&,%#"&'B %,#&-B %,#"&' %') %(+& ,&'#%"'
2-**C2&-3 %))"#"&'%( -*3%-8+: 01* *5*'# 6$"()"'7 6(&,8+ %-* %--%'7*) 5"+$%((@ &' %
@&AB&@
!"#$%&'()* +",-*,#. , (/) 0"#$12")1,3 -*,45 /"(5 ("#$ ,3)1- (5$ 5)*"6)1(,3 ,7"2
,10 0"2'*$($ ,'()*2 )1 (5$ 8$*("',3 ,7"29
!5$ "0$1(":"',(")1 ): 0"*$'(3; ,10 "10"*$'(3; ')1(*"<=("1- :,'()*2 ,*$ -="0$0 <;
'5$'>3"2(2 ): ?=$2(")12. 2='5 ,2 (5,( :)=10 "1 3"2(2 ): @:*$?=$1(3;%,2>$0 ?=$2(")12A
"1 "1($*1$(%<,2$0 "1:)*#,(")1,3 #,($*",39 !5$ ?=$2(")12 ,*$ 0$*"8$0 :*)# (5$
$74$*"$1'$ ): BCD ,=(5)*2. /5) ,*$ 3,*-$3; )*-,1"2,(")1,3 42;'5)3)-"2(2 ,10
)*-,1"2,(")1,3 (5$)*"2(2. $8)38$0 (5*)=-5 "1%=2$ $74$*"$1'$ "1 1='3$,* 4)/$*
43,1(29
B.13.3 Strengths and Limitations
!"#$%&"'(%!$#)*#+,-#.&"/#
# !"# 0!"0123$%456"$%3)'47.$"8# *)&9.%# )*# .# +,-# 3'563&:# .22);$# 6$"&$# ;!)# .&"# ')%#
$<"03.23$%# )&(.'3$.%3)'.2# %!")&3$%$# )&# )&(.'3$.%3)'.2# <$:0!)2)(3$%$# %)# <&) 860"#
.'.2:$"$#)*#*)06$#"="'%$#;!30!#.&"#6$"*62#3'#39<&)=3'(#%!"#$:$%"9> #
# !"# .006&.0:# )*# +,-# .'.2:$"$# !.$# 7""'# 39<&)="8# %!&)6(!# &"*3'"9"'%# )*# %!"#
0!"0123$%#56"$%3)'$#%!&)6(!#6$"#3'#%!"#%.&("%#3'86$%&:> #
# !"# "9<!.$3$# )'# 0)'%&376%3'(# *.0%)&$# &.%!"&# %!.'# 0.6$"$# )*# .# *)06$# "="'%# .22);#
9)&"# *.0%)&$# %)# 7"# 7&)6(!%# 3'%)# 0)'$38"&.%3)'# %!.'# .# <6&"2:# '.&&);2:40.6$.2#
.'.2:$3$#)*#%!"#*)06$#"="'%#93(!%#8)?#.'8#%!"&"7:#)**"&#9)&"#0!.'0"#)*#38"'%3*:3'(#
<)$$372"#39<&)="9"'%$>#
# !"# *)&9.%# )*# %!"# "="'%# 763283'(# 72)01$# (3="$# 2"$$# $0)<"# %)# %!"# @68("9"'%# )*#
3'83=386.2#.'.2:$%$#.'8#!"2<$#%)#(3="#6'3*)&93%:#%)#+,-#.'.2:$"$> #
# !"#$%)<<3'(#&62"#3$#39<2303%2:#8"*3'"8#7:#%!"#0!"0123$%#56"$%3)'$/#;!"'#%!"$"#!.="#
7""'#.'$;"&"8?#%!"#3'*)&9.%3)'#3$#8""9"8#%)#7"#.8"56.%"> #
!"#2393%.%3)'$#)*#+,-#.&"/#
# !"&"# 3$# ')# $<"03*30# ')%3)'# )*# ;!.%# 3$# .# 0.6$"># +3932.&2:?# ;!.%# 3$# .# 0)'%&376%3'(#
*.0%)&#3$#39<2303%#3'#.'$;"&$#%)#%!"#0!"0123$%456"$%3)'$>#
# A"0.6$"# %!"# .'.2:$3$# 3$# 8&3="'# 7:# 0!"0123$%456"$%3)'$?# %!"# 2"="2# )*# 8"%.32# )*# .'#
.'.2:$3$# 3$# 8"%"&93'"8# 3'# .8=.'0"?# .'8# 0.'')%# =.&:# ;3%!# %!"# <"&0"3="8# 2"="2# )*#
"B<2.'.%)&:#'""8>#
# !"# &"*3'"9"'%# )*# %!"# 0!"0123$%456"$%3)'$# !.$# %.1"'# <2.0"# 3'# %!"# '602".&# <);"&#
3'86$%&:?# .'8# 9.:# %!"&"*)&"# 7"# 2"$$# $63%.72"# *)&# 6$"# 3'?# $.:?# 0)99"&03.2# .=3.%3)'#
.0038"'%$?#;!30!#%.1"#<2.0"#3'#.#83**"&"'%#)&(.'3$.%3)'.2#062%6&">#
B.14 Data Mining and Clustering Techniques

B.14.1 Overview
!"#$%&"'('&)*%*%+&(#,-%*./#0&#%'12#&'&0#'$,-&3!$&04#,*3*,&4$!4#$(*#0&'%"&,!%"*(*!%05&
62/0(#$*%+&'%'270*0&0#2#,(0&"'('&(-'(&'$#&,2!0#27&$#2'(#"8&'%"&(-#$#17&*"#%(*37&"#9 *'(*%+&
"'('&:!/(2*#$0;5& !"#$%&,2/0(#$&'%'270*0&,'%&"#(#,(&"'('&(-'(&'$#&,2!0#27&$#2'(#"&*%&!%#8&
(<!& !$& )!$#& "*)#%0*!%0& '%"& (-#$#17& '%'270#& 4$!"/,(0& !$& 4$!,#00#0& (-'(& '$#& ,2!0#27&
$#2'(#"&'%"&*"#%(*37&"#9*'(*%+&"'('&4!*%(0&:!/(2*#$0;5&
=%& '& $!!(& ,'/0#& '%'270*0& "'('& )*%*%+& '%"& ,2/0(#$*%+& '%'270*0& ,'%& +*9#& 9'2/'12#& ,2/#0&
'%"&-#24&(!&,!%3*$)&!$&$#>#,(&4!(#%(*'2&$!!(&,'/0#05&=%&0!)#&,'0#0&#5+5&'#$!04',#&'%"&
)#"*,'2&#./*4)#%(&*(&*0&$#./*$#"&(!&0(!$#&1'(,-&%/)1#$0&3!$&(-#&3*%*0-#"&4$!"/,(0&'%"&
(-#& '00!,*'(#"& ,!)4!%#%(& 1'(,-& %/)1#$0& '%"& $'<& )'(#$*'2& 1'(,-& %/)1#$05& ?-*0&
*%3!$)'(*!%& ,'%& 4$!9*"#& '& /0#3/2& 0($/,(/$#& 3!$& *"#%(*37*%+& ,!$$#2'(*!%0& <-*,-& -*%(& '(&
4!00*12#&,'/0'2&$#2'(*!%05&
R K/ R
B.14.2 Example 1
! "#$%&'( #)*+,-+* ./0 1&234,+* #1 *5#"6+7 25+$*8 !'&3(*2* *9#:+7 59&5 & %3&*5 2"
%&,5 2* ),#6+'8 ;9+ *5&,5 #1 59+ ./0 1&234,+ %&55+,' 2* 27+'5212+7 &* & )&5"9 '4$)+, &'7
& $&'41&"54,2'< 7&5+8 ;92* 7&5+ 2* "#,,+3&5+7 :259 7+32-+,+7 )&5"9+* #1 59+ %3&*52"
%&,5*8 ;9+,+ 2* '# "#,,+3&52#'8 ;9+,+ 2* '# "#,,+3&52#' +259+, 5# 59+ )&5"9+* #1 %3&*52"
,&: $&5+,2&3*8 =#:+-+, 59+,+ 2* & "#,,+3&52#' :259 59+ )&5"9+* #1 & *%,2'< 59&5 3#&7 59+
%3&*52" %&,58 ;9+ %,#)3+$ *5&,5+7 > 7&(* &15+, & '+: )&5"9 #1 *%,2'<* :&* ,+"+2-+78 ?5
2* 2'-+*52<&5+7 :9&5 "9&'<+* :+,+ $&7+ )+5:++' 592* )&5"9 #1 *%,2'<* &' 7 59+
%,+-2#4* )&5"9+*8 ;9+ 7211+,+'"+ 2* & '+: *4,1&"+ 5,+&5$+'5 &<&2'*5 "#,,#*2#'8 ;92*
*4,1&"+ 5,+&5$+'5 %,#"+** 2* 2'-+*52<&5+7 &'7 "#'5&2'* & '#5+ 59&5 592* 5,+&5$+'5 $&(
2'5+,1+,+ :259 "+,5&2' %3&*52" $&5+,2&3*8 @4,59+, &'&3(*2* *9#: 59&5 59+ "#,,#* 2#'
%,#5+"52#' &""+3+,&5+* ",&"6 %,#%&<&52#' 2' 592* %3&*52"8 !'&3(*2* #1 59+ 7&5& *9++5 1#,
59+ %3&*52" $&5+,2&3 *9#:+7 & :&,'2'< &<&2'*5 3#"&3 #-+,3#&7 59&5 $&( "&4*+ ",&"6*8
A# 59+ "#'"34*2#' 2* 59&5 & "&4*&3 9(%#59+*2* "&' )+ 1#,$43&5+7B 59&5 & %3&*52" %&,5 2*
"#'52'4#4*3( #-+,3#&7+7 &'7 4'7+,<#+* 1,&"54,+ 59,#4<9 3#"&3 #-+,3#&7C :92"9
1,&"54,+* %,#%&<&5+ 2' & $&''+, &""+3+,&5+7 )( 59+ '+: &'52D"#,,#*2#' 5,+&5$+'5 #1
59+ *%,2'<*8 ;9+*+ ",&"6* &,+ 59+' %,#%&<&52'< &""+3+,&5+7 )( 59+ '+: &'52 "#,,#*2#'
5,+&5$+'5 #1 59+ *%,2'<*8 ! 1&234,+ &'&3(*2* 9&-+ %,+-2#4*3( *9#:' & %&55+,' #' 59+
1,&"54,+ *4,1&"+ "#'*2*52'< #1 ",&"6 %,#%&<&52#' 32'+* #,2<2'&52'< 2' 59+ %#2'5* #1
"#'5&"5 :259 59+ *%,2'< &'7 & ),2553+ *4,1&"+ 1,#$ 59+ 12'&3 1,&"54,+8 ;9+ "&4*&3 D
+E%3&'&5#,( 9(%#59+*2* $&( )+ "#'12,$+7 5# & <2-+' 3+-+3 #1 "#'127+'"+ )(
+E%+,2$+'5B *+552'< 4% & '4$)+, #1 %3&*52" %&,5* :259 &'7 :259#45 59+ '+: 5,+&5$+'58 ?1
25 2* #)*+,-+7 59&5 %3&*52" %&,5* :259 59+ '+: 5,+&5$+'5 %,+7#$2'&'53( 1&23C #'+ $&(
"#'"347+ 59&5 59+ "&4*&3 9(%#59+*2* 2* "#'12,$+7 5# 59+ &%%,#%,2&5+ 7+<,++ #1
"#'127+'"+ 4*2'< *5&'7&,7 $+59#7* #1 *5&52*52"&3 2'1+,+'"+8
B.14.3 Example 2
! '4$)+, #1 *#37+,2'< 1&234,+* 2* #)*+,-+7 2' 59+ 12+378 ;9+ $&'41&"54,2'< :++6* 1#,
59+ 1&23+7 %,#74"5* &,+ %3#55+7 2' "&3+'7&, 52$+8 ?5 2* #)*+,-+7 59&5 59+ $&'41&"54,2'<
7&5+* #1 59+ %,#74"5* :259 *#37+,2'< 1&234,+* &,+ "34*5+,2'< 2' "+,5&2' :++6*8 ! "&4*&3
9(%#59+*2* $&( )+ 1#,$43&5+7 #' 59+ )&*2* #1 59+ 2'252&3 #)*+,-&52#'C :92"9 2* 59+'
"#'12,$+7 5# & <2-+' 7+<,++ #1 "#'127+'"+ 4*2'< *5&'7&,7 *5&52*52"&3 2'1+,+'"+ #' 59+
%,#"+**D"#'5,#3 7&5& 1,#$ $&'41&"54,2'<C :92"9 2'72"&5+ 59&5 59+ *#37+,2'< %,#"+** 2'
59+*+ :++6* :&* 326+3( '#5 %+,1#,$+7 4'7+, &%%,#%,2&5+ "#'5,#38 ;9+ "#'"34*2#' 2*C 5#
& 92<9 3+-+3 #1 "#'127+'"+C 59&5 & ,##5 "&4*+ #1 59+ *#37+,2'< 1&234,+* 2* 2'*4112"2+'5
%,#"+** "#'5,#3 #1 59+ *#37+, %,#"+**8
B.14.4 Example 3
! "#$%#'+'5 2* 5+*5+7 #' & 5+*5 )#&,7 )( 5:2*52'< 59+ )#&,78 ;9+ '4$)+, #1 5:2*5 5#
1&234,+ 2* %3#55+7 #' & F+2)433 %3#5 G*++ ?HI J.JKLM8 ;9+ &'&3(*2* 2 7+'5212+* & N:+&6N
&'7 & N*5,#'<N %#%43&52#' G*++ ?HI J..J>D.M8 O'+ "#$%#'+'5 1,#$ 59+ :+&6 &'7 #'+
"#$%#'+'5 1,#$ 59+ *5,#'< %#%43&52#' 2* &'&3(*+7 )( ",#** *+"52#'2'< #1 59+ $2",#
PQ! *#37+, )&33*8 ?5 2* '#5+7 59&5 59+ "#$%#'+'5 1,#$ 59+ :+&6 %#%43&52#' 9&-+ &
3&,<+ '4$)+, #1 3&,<+ -#27* 2' 59+ *#37+, )&33*C :923+ 59+ *#37+, )&33* 1,#$ 59+ *5,#'<
%#%43&52#' 9&-+ '# #, 1+: *$&33 -#27*8 ?5 2* "#'"347+7 59&5 & ,##5 D"&4*&3 9(%#59+*2* 2*
1#,$43&5+7C 59&5 -#27* 2' 59+ *#37+, )&33* #1 59+ $2",# PQ! &,+ & ,##5 "& 4*+ #1 59+
2'"27+'5 +-+'5*8 ;9+ ,##5D"&4*&3 9(%#59+*2* 2* "#'12,$+7 )( "#33+"52'< 7&5& #'
#%+,&52#'&3 4*+ &'7 #)*+,-2'< 59,#4<9 &'&3(*2* #1 59+ 7&5& 59&5 59+ ,+74"52#' 2' -#27*
"#,,+3&5+* :259 *4""+**143 4*+ #1 59+ "#$%#'+'58
e LC e
Bibliography
!"# $%& '(()(*"+", $-./0-1.23-14 /4/5.03./56-2514 735189410: * ;10. "+"<
=/>/-?18242.:
!@# $%& '"(@), A194. .0// 1-14:B2B
!C# $%& '(D"@, E-14:B2B ./56-2F9/B G30 B:B./H 0/4218242.: * ;035/?90/ G30 G12490/
H3?/ 1-? /GG/5.B 1-14:B2B IAJ%EK
!L# M/0-? JN O2/P/0< O>1-E20 A42Q6. )(@@ E552?/-. 1. J1?02?, $-52?/-. E-14:B2B
R/>30., &19B142B S2H2./? @((D,
!)# T1- O1-?/0B< $-.03?95.23- .3 U6:*M/519B/ E-14:B2B, A/80910: @("@N
!'# ;/./0 M/0-10? S1?P2-< &19B14 R/1B3-2-Q E839. E20501G. E552?/-.B, 2- V330--//G
1-? 71- ?/ J/94/-, /?BN, &3H>9./0 O1G/.:, R/4218242.: 1-? O/5902.:, ;035//?2-QB 3G
.6/ "+.6 $-./0-1.23-14 &3-G/0/-5/, OEA%&WJ; @(((, S/5.90/ X3./B 2- &3H>9./0
O52/-5/ X3N "+LC, O>02-Q/0*Y/041Q, @(((N
!Z# E-?0/[ \3>P2-B< E- E552H1> 3G .6/ %BB3 E9B.01421 ]1B ;41-. %^>43B23-,
E9B.01421- X1.23-14 _-27/0B2.:N
!D# E-?0/[ \3>P2-B< O1G/.:, &94.90/ 1-? R2BP< `6/ W0Q1-2B1.23-14 &19B/B 3G
=2B1B./0B, &&\ E9B.01421, O:?-/: @(()N
!+# EÒM, E9B.01421- `01-B>30. O1G/.: M90/19, &3442B23- [2.6 `/0012- ""PH
X30.6[/B. S35P610. R27/0 E/03?03H/, Y\*À_, OE@@Z*=& IJ/.03 @CK, Z J1: @((),
E721.23- W55900/-5/ A2-14 R/>30. @(()("+ZZ, EÒM, &1-8/001, E>024 @((Z N
!"(# T/-B R1BH9BB/-< R2BP J1-1Q/H/-. 2- 1 =:-1H25 O352/.:< E J3?/442-Q ;0384/H,

O1G/.: O52/-5/, Y349H/ @Z, $BB9/ @*C, "++ZN
!""# V2-QB4/: \/-?025P 1-? S9?[2Q M/--/0 T0< $-7/B.2Q1.2-Q E552?/-.B [2.6 O`%;,
J105/4 =/PP/0 $-5, "+D'N
!"@# S9?[2Q M/--/0 T0< E552?/-. $-7/B.2Q1.23-B< J94.242-/10 %7/-. O/F9/-52-Q

J/.63?B, T390-14 3G O1G/.: R/B/1056 ZI@K<'Z*ZC, T9-/ "+Z)N
!"C# S9?[2Q M/--/0 T0< $-7/B.2Q1.23- ;03Q01HB 2- .6/ \1-?833P 3G $-?9B.0214

E9.3H1.23-, R25610? SN O6/44 1-? %0-/B. SN \144, J105/4 =/PP/0 $-5, @(((N
!"L# OWS*Y% ]H8\, OWS*Y% W%J IW>/01.2-Q %^>/02/-5/ J1-1Q/H/-.K, &=*R3H,

%?2.23- ()a@("@, M/042-N
!")# M18/../ A16480956, Y3H _-G144 b9 ?/- _0B156/-, J/-B56 c M956 Y/041Q, M/042-
@(((N
!"'# MN A16480956 c JN O56d8/4< OWS * O1G/.: .6039Q6 30Q1-2b1.23-14 4/10-2-Q< E

H/.63? G30 /7/-. 1-14:B2BN O1G/.: O52/-5/ L+I"K, ;@ZeC", @(""N
!"Z# O.1-2B4371B f2/?/42B, J105 X3/4, &3H>101.27/ E-14:B2B 3G X954/10 %7/-.

$-7/B.2Q1.23- J/.63?B, `334B 1-? `/56-2F9/B, $-./02H `/56-2514 R/>30. %_R @LZ)Z
%X, %903>/1- &3HH2BB23- T32-. R/B/1056 &/-./0, @(""N
!"D# %-/0Q: $-B.2.9./, S3-?3-, ]92?1-5/ 3- $-7/B.2Q1.2-Q 1-? E-14:B2-Q \9H1-

A15.30B 1-? W0Q1-2B1.23-14 EB>/5.B 3G $-52?/-.B 1-? E552?/-.B, S3-?3-, J1: @((DN
U VV U
!"#$ %&'(() %*+),- ./),0'12 3'( 45561)&, 6&7)2,684,6'&9: ;<;= ;'(>)864& =&67)(26,?
'3 %56)&5) 4&1 <)50&'+'8?: @)A'(, @B%% C;<;=D EFFEFG: EFFEH""H"FI
!EF$ J @42KL22)&- @62* /4&48)K)&, 6& 4 M?&4K65 %'56),?- N /'1)++6&8 O('P+)K:

%43),? %56)&5) C"##QD R'+LK) EQ: S22L) EHT: O48)2- "GTHE"TI

DIN en 62740-2013, Ursachenanalyse

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

DIN en 62740-2013, Ursachenanalyse

Uploaded by

Copyright:

Available Formats

01%2#0%203 #4%0#0 "$ 9 #021501506

Tabelle A.1 Merkmale der RCA-Techniken...................................................................................................16

Das internationale Dokument wurde vom TC 56 Dependability der Internationalen Elektrotechnischen

IEC 60050-191, Internationales Elektrotechnisches Wrterbuch Teil 191: Zuverlssigkeit

ISO IEC Guide 73, Risk management vocabulary

[IEC 60050-191, Definition 191-43-01]

[IEC 60050-191, Definition 191-43-11]

[IEC 60050-191, Definition 191-43-08]

[IEC 60050-191, Definition 191-43-12]

[IEC 60050-191, Definition 191-43-17]

[IEC 60050-191, Definition 191-44-01]

[IEC 60050-191, Definition 191-41-01]

[IEC 60050-191, Definition 191-52-05]

5 Anwendung der Ursachenanalyse

Zu den Vorteilen der Durchfhrung einer RCA gehren:

Das Ergebnis des Validierungs-Schrittes ist:

7 Auswahl von RCA-Techniken

7.2 Auswahl der RCA-Technik

Allgemein sollte eine geeignete Technik folgende Merkmale aufweisen:

7.3 Arten von RCA-Techniken

RCA-Techniken knnen folgendermaen unterteilt werden, hinsichtlich der Lieferung von:

Eigenschaften von RCA-Techniken

A.1 Einflussfaktoren fr die Auswahl der RCA-Technik

Tabelle A.1 Merkmale der RCA-Techniken

Technik Beschreibung Eigenschaften

Komplexitt der Fhigkeits- Technik-Merkmale

Tabelle A.1 (fortgesetzt)

Technik Beschreibung Eigenschaften

Komplexitt der Fhigkeits- Technik-Merkmale

nderungs-Analyse Die nderungs-Analyse identifiziert Grundur- Gering Gering berblicks-

Abgrenzungs-Analyse Die Abgrenzungs-Analyse ist ein systemati- Gering Gering Strukturierungs-

Tabelle A.1 (fortgesetzt)

Technik Beschreibung Eigenschaften

Komplexitt der Fhigkeits- Technik-Merkmale

Datamining- und Datamining- und Cluster-Techniken geben Gering Gering Strukturierungstechnik

B.2 Die Warum-Methode

Bild B.1 Ein Beispiel der Warum-Methode

B.2.3 Strken und Grenzen

Die Strken der Warum-Methode sind:

Bild B.2 Beispiel Fehlerbaum

Ein Fehlerbaum wird mittels der folgenden Schritte erstellt:

B.3.3 Strken und Grenzen

Die Grenzen der Fehlerbaum-Methode sind:

B.4 Fischgrt- oder Ishikawa-Diagramm

Bild B.3 Beispiel Fischgrt-Diagramm

Ein Fischgrt- oder Ishikawa-Diagramm wird in folgenden Schritten entwickelt:

B.4.3 Strken und Grenzen

Die Strken des Fischgrt- oder Ishikawa-Diagramms sind:

Die Grenzen des Fischgrt- oder Ishikawa-Diagramms sind:

B.5 Ereignis- und Ursachen-Analyse

Ein ECF-Diagramm wird in folgenden Schritten erstellt:

B.5.3 Strken und Grenzen

Die Strken der ECF-Analyse sind:

Die nderungsanalyse umfasst die folgenden Schritte:

B.6.3 Strken und Grenzen

Die Strken der nderungsanalyse sind:

Die Grenzen der nderungsanalyse sind:

B.7 Warum-Weil-Analyse (en: Why-Because Analysis, WBA)

WBA umfasst die folgenden Schritte:

B.7.3 Strken und Grenzen

Die Strken der WBA sind:

B.8 Systemtheoretisches Unfallmodell und Prozess (en: Systems Theoretic

STAMP umfasst die folgenden Schritte:

!"#$ %&'()&'#+&, -'&.). #.(&'#9#($ * &;B7() +9 *'')#7;'($ 9+) :0< '(6"&#E;($D

%/0 155L5MNON %&'()&'#+&, /,(6')+'(6"&#6, P+67;,)= Q R)' NONS T(8(&.*7#,#'=

%-U %/0 V;#.( 3W :#$G B&A(B(&' F+67;,)=

!"#$ !%&'()* "+,- %., #//01- $.%'2-&-

:6* 7./&1- +/ 5)/+);&.< 34$ &.0'(,=

!"#$#%&'%( )&"# )+',*"#-.