Управление критическими рисками

Представьте два события. Первое: работник оступился на лестнице и потянул связку — такое случается на площадке несколько раз в год. Второе: разрушение аппарата под давлением с выбросом и последующим воспламенением — такого не было ни разу за всю историю предприятия. Теперь оцените оба по обычной матрице.

Первое получит высокую вероятность и малую тяжесть. Второе — минимальную вероятность и максимальную тяжесть. Произведение выйдет сопоставимым, и оба окажутся в средней зоне. Дальше по обоим будут запланированы мероприятия примерно одного веса: по первому — дополнительный инструктаж и противоскользящее покрытие, по второму — дополнительный инструктаж и усиление контроля.

На этом месте система управления риском перестаёт работать, хотя формально она работает безупречно. Матрица сделала ровно то, для чего построена: она сравнила два риска по общей шкале. Проблема в том, что события со смертельным потенциалом нельзя ставить в общую очередь с остальными — они отличаются не величиной, а природой. Разница между растяжением и разрушением аппарата не в том, что второе хуже. Разница в том, что первое обратимо, а второе — нет, и второе управляется не усилиями работника, а состоянием техники и качеством решений, принятых задолго до события.

Редкое событие обманывает интуицию дважды

Сначала оно обманывает при оценке вероятности. Человек оценивает вероятность по своему опыту: если за пятнадцать лет ничего не случилось, вероятность ощущается близкой к нулю. Но отсутствие события за пятнадцать лет не означает, что риск низкий, — оно означает только то, что барьеры пока держали. Причём держали, возможно, последний из них и с трудом.

Затем оно обманывает при выборе мер. Против частых событий помогают меры, воздействующие на поведение: напомнить, обучить, проконтролировать. Против катастрофических событий поведенческие меры почти бесполезны — там работают только те барьеры, которые физически или процедурно останавливают развитие, независимо от того, насколько внимателен человек сегодня.

Личная безопасность и безопасность процесса — это два разных предмета

Самая дорогая иллюзия в отрасли устроена так: предприятие смотрит на показатели травматизма, видит устойчивое снижение и делает вывод, что безопасность растёт. Показатели действительно снижаются — и они действительно измеряют безопасность. Только не ту.

Порезы, падения, спотыкания и защемления — это личная безопасность. Разрушение оборудования, выброс, взрыв, обрушение — это безопасность процесса. Эти две области почти не связаны между собой: они управляются разными барьерами, разными людьми и разными решениями. Предприятие может годами улучшать первое, ничего не делая со вторым, и статистика будет выглядеть отлично ровно до того дня, когда откажет процесс.

Именно поэтому в современной практике разделяют показатели личной безопасности и показатели, предупреждающие о катастрофическом отказе: сколько барьеров сейчас в неисправном состоянии, сколько защит выведено из работы, сколько испытаний просрочено, сколько временных решений живёт дольше месяца. Первые говорят о том, что было. Вторые — о том, что будет.

Возьмите любой план мероприятий по охране труда и прочитайте его глазами человека, который спрашивает одно: что именно остановит событие, если оно начнётся сегодня в 14:20. Большая часть строк на этот вопрос не отвечает.

«Провести дополнительный инструктаж», «усилить контроль», «довести до сведения работников», «повысить требовательность» — это намерения. Они описывают действие организации, а не препятствие на пути энергии. После такой строки в отчёте ничего не меняется в том, как разворачивается авария. Между тем именно из таких строк состоят планы, и именно они предъявляются как доказательство управления риском.

Четыре признака настоящего барьера

Барьер отличается от намерения четырьмя свойствами, и проверить их можно за минуту. Он конкретен — его можно показать пальцем или назвать документом с номером. У него есть владелец — конкретная должность, а не «служба». Он проверяем — существует способ убедиться, что он в рабочем состоянии, и известно, когда это делали в последний раз. И, что важнее всего, он способен отказать — если вы не можете описать, как этот барьер выходит из строя, скорее всего, перед вами не барьер.

Последний признак кажется парадоксальным, но он самый полезный. Отказ инструктажа описать невозможно: инструктаж не находится ни в каком состоянии, он был проведён однажды. Отказ блокировочного клапана описать легко: заклинил, не закрылся полностью, сработал с задержкой, сработал не на том давлении. Именно поэтому клапан можно поставить в план проверок, а инструктаж — нельзя.

Три типа барьеров и почему их надёжность разная

Технические барьеры работают без участия человека: предохранительный клапан, отбойник, блокировка, аварийное отключение, физическое ограждение. Они самые надёжные, потому что не зависят ни от смены, ни от настроения, ни от давления сроков. Их слабость в другом: они деградируют молча, и без проверки об их состоянии ничего не известно.

Организационные барьеры — процедуры, наряды-допуски, схемы изоляции, порядок передачи смены. Они дешевле технических и часто единственно возможны, но у них есть особенность: организационный барьер существует ровно настолько, насколько его выполняют. Его отказ невидим до момента события, потому что невыполненная процедура выглядит точно так же, как выполненная, — если только кто-то не проверяет.

Человеческие барьеры — наблюдательность, опыт, реакция оператора. Это самый слабый тип: человек устаёт, отвлекается, работает под давлением плана и видит то, что ожидает увидеть. При этом именно на человеческие барьеры чаще всего опирается схема защиты, потому что они не требуют вложений.

Отсюда практическое правило, к которому мы будем возвращаться весь курс: если единственный барьер против смертельного события — внимательность человека, значит, барьера нет.

Схема «галстук-бабочка» устроена как песочные часы, положенные набок. В центре — событие, после которого процесс уже вышел из-под контроля. Слева всё, что может к нему привести, справа — всё, чем оно может закончиться. Между ними стоят барьеры.

Ценность схемы не в рисунке, а в том, что она заставляет ответить на вопросы, которые реестр рисков позволяет обойти. Реестр допускает формулировку «риск разгерметизации — вероятность средняя — мероприятия по плану». Схема этого не позволяет: она требует назвать конкретные угрозы, конкретные последствия и конкретные барьеры между ними. И сразу показывает пустые места.

Пять элементов

Опасность — то, что несёт энергию и присутствует всегда: газ под давлением, груз на высоте, напряжение, движущийся транспорт. Опасность не устраняется и не является проблемой сама по себе — она часть производства.

Верхнее событие — момент, когда контроль над опасностью потерян, но последствия ещё не наступили. Это самый трудный элемент схемы, и здесь делают главную ошибку. Верхнее событие — это не «взрыв» (это последствие) и не «коррозия трубопровода» (это угроза). Это «выход газа за пределы оборудования». Проверка простая: если событие уже произошло, а пострадавших ещё может не быть — вы выбрали правильно.

Угрозы — то, что способно привести к верхнему событию: коррозия, ошибка при переключении, превышение давления, механическое повреждение. Каждая угроза — отдельная ветвь слева, и у каждой должны быть свои барьеры.

Последствия — то, чем событие может закончиться: воспламенение, отравление, разрушение соседнего оборудования, остановка производства. Каждое последствие — отдельная ветвь справа.

Эскалационные факторы — обстоятельства, при которых барьер перестаёт работать: отключённая сигнализация, ночная смена, обучение под запись, отсутствие связи, работа подрядчика, впервые попавшего на объект. У сильного барьера всегда есть свой эскалационный фактор, и именно его чаще всего не указывают.

Что схема показывает сразу

Первое — ветви с одним барьером. Если между угрозой и верхним событием стоит одно звено, вся защита зависит от него одного. На бумаге это видно мгновенно, в реестре рисков — никогда.

Второе — барьеры-двойники. Часто на схеме оказывается три барьера, но все три — процедуры, выполняемые одним и тем же человеком. Формально три, фактически один: они откажут одновременно и по одной причине.

Третье — перекос вправо. Если слева пусто, а справа густо, предприятие вкладывается в ликвидацию последствий вместо предотвращения. Это законный выбор, но он должен быть осознанным, а не обнаруженным после аварии.

Вечером 20 апреля 2010 года на буровой установке в Мексиканском заливе произошёл выброс с последующим взрывом и пожаром. Погибли одиннадцать человек. В море вылилось более четырёх миллионов баррелей нефти. Расследование описало произошедшее как четыре последовательных отказа барьеров и проверок — и именно эта формулировка делает аварию учебной.

Отказ первый: цемент не изолировал пласт

Цементная оболочка должна была отделить углеводородные пласты от ствола скважины. Она этого не сделала. Существовали приборы, позволяющие оценить качество цементирования, но отрасль в тот период их обычно не применяла — считалось достаточным проверить герметичность давлением. Обратите внимание, что произошло на уровне схемы барьеров: два барьера свернулись в один. Осталась единственная проверка, и от её трактовки зависело всё.

Отказ второй: испытание прочитали неверно

Испытание на отрицательное давление показало, что скважина не загерметизирована. Экипаж и представители компании истолковали результат как успешный. Это не было ни халатностью, ни спешкой в чистом виде: показания допускали объяснение, которое казалось разумным, и это объяснение приняли.

Здесь главный урок всего модуля. Барьер, результат которого допускает две трактовки, барьером не является. Проверка, требующая интерпретации, не защищает — она только создаёт ощущение защиты, причём тем более сильное, чем увереннее звучит человек, предложивший удобную трактовку. У настоящего барьера критерий определён заранее и не зависит от того, кто сегодня в смене и сколько стоит простой.

Отказ третий: приток не заметили вовремя

После испытания скважина начала отдавать. Это не обнаружили до тех пор, пока газ и нефть не поднялись почти до поверхности — выше противовыбросового превентора. Человеческий барьер — наблюдение за параметрами — не сработал в условиях, когда все были уверены, что скважина заглушена. Люди видят то, что ожидают увидеть; после «успешного» испытания признаки притока читались как помехи.

Отказ четвёртый: превентор не удержал

Последний барьер — противовыбросовый превентор — не остановил поток и не загерметизировал скважину настолько, чтобы дать время на действия. На этом схема заканчивается: справа остаются только смягчающие барьеры, а против уже поднявшегося к платформе газа они почти бессильны.

Что из этого следует для вашей площадки

Ни один из четырёх отказов сам по себе не был исключительным. Отраслевая практика допускала не проверять цемент приборами. Испытание давало неоднозначную картину и раньше. Приток на ранней стадии всегда трудно отличить от шума. Превентор — устройство, которое, как известно, не даёт стопроцентной гарантии.

Катастрофа сложилась из того, что каждый барьер по отдельности считался приемлемо ненадёжным, а вместе они образовывали цепь, где ненадёжность накапливалась. Именно поэтому барьеры нужно рассматривать не по одному, а как схему: вопрос не «достаточно ли надёжен этот барьер», а «сколько независимых барьеров стоит между угрозой и событием и не откажут ли они по одной причине».

Схема барьеров, построенная и повешенная на стену, защищает ровно до первого изменения на площадке. Дальше начинается то, ради чего вообще существует управление критическими рисками: поддержание барьеров в живом состоянии.

Барьер деградирует незаметно. Клапан не подаёт сигнала о том, что его пора освидетельствовать. Процедура не сообщает, что её перестали выполнять полностью. Сигнализация, отключённая на время ремонта, выглядит точно так же, как исправная, — просто она молчит. Поэтому у каждого барьера должны быть три вещи: владелец, критерий работоспособности и срок следующей проверки.

Владелец — это должность, а не подразделение

«Ответственный — служба главного механика» означает, что ответственного нет. Владелец барьера — конкретный человек в конкретной должности, который может ответить на вопрос «в каком состоянии барьер сегодня» и который замечает, если проверка не состоялась. Проверка простая: если срок вышел, а никто не пришёл, — владельца не было.

Осмотр и верификация — не одно и то же

Осмотр отвечает на вопрос «выглядит ли барьер целым». Верификация — на вопрос «сработает ли он с нужными характеристиками, когда понадобится». Клапан можно осмотреть и убедиться, что он на месте и не течёт; чтобы верифицировать, нужно проверить давление срабатывания. Процедуру можно осмотреть — она подписана и лежит в папке; чтобы верифицировать, нужно посмотреть, как её выполняют в ночную смену, когда никто не наблюдает.

Разница между этими двумя действиями стоит дорого. Предприятие с отличной системой осмотров может иметь полностью деградировавшую защиту: всё на месте, всё подписано, ничего не работает.

Четыре признака деградации, которые видно без приборов

Отложенное обслуживание. Работа перенесена «на следующий останов» — и так три раза подряд. Каждый перенос по отдельности обоснован.

Обход защиты. Блокировка выведена, чтобы не мешала наладке. Сигнализация отключена, потому что «постоянно ложно срабатывает». Ключевой признак: причину отключения все знают и считают уважительной.

Временное, ставшее постоянным. Хомут вместо замены участка. Схема на бумаге вместо изменённого проекта. Подрядчик «на период пиковой нагрузки» — четвёртый год.

Тихая замена барьера человеком. Устройство сняли и не вернули, но написали инструкцию: «оператору контролировать вручную». Формально барьер на месте. Фактически технический барьер заменили человеческим — то есть самым слабым.

Обратите внимание на то, чего в этой истории нет. Нет неизвестного риска: пыль испытывали, её свойства знали. Нет отсутствия сигнала: сигналом были два предыдущих события с пострадавшими. Нет нехватки технологий: речь шла в том числе об уборке. Отсутствовало только одно — механизм, который превращает знание о неработающем барьере в обязательное действие. Именно этот механизм и называется верификацией.

Существует устойчивое представление, что катастрофы происходят внезапно. Материалы расследований говорят обратное: в большинстве случаев предупреждения были, они были задокументированы, и их читали люди, обязанные на них реагировать.

Нормализация отклонения

Механизм выглядит так. Происходит отклонение от нормы — параметр вышел за границу, устройство сработало не так, что-то пришлось сделать в обход. Последствий не наступает. Отклонение повторяется. Последствий снова нет. Постепенно граница нормы сдвигается: то, что вчера было нарушением, сегодня становится особенностью работы, а завтра — способом, которым здесь принято работать.

Ключевое в этом механизме: каждый отдельный шаг выглядит разумным и подтверждается опытом. Человек, который говорит «мы так делаем уже полгода, и ничего», формально прав — ничего действительно не произошло. Он ошибается только в выводе: отсутствие последствий говорит не о безопасности отклонения, а о том, что остальные барьеры пока компенсируют.

Почему плохие новости не поднимаются наверх

Сигнал редко теряется по дороге случайно. Обычно он останавливается по одной из четырёх причин. Сообщать невыгодно — за сообщение о проблеме следует разбирательство, а за молчание не следует ничего. Сообщение ничего не меняет — предыдущие три раза ответа не было, и люди перестали тратить силы. Сообщать некому — нет понятного адресата, а «написать в службу» означает написать в никуда. И сообщение переформулируют — на каждом уровне управления острота снижается, и наверх приходит «имеются отдельные замечания».

Из этого следует практический признак, который стоит проверить на своей площадке: если за месяц наверх не поступило ни одной плохой новости, это не значит, что их нет. Это значит, что их носят не туда.

Сильный сигнал против слабого

Слабые сигналы — мелкие отклонения, которые заметны только в совокупности, — действительно трудно поймать, и для них нужны специальные механизмы. Но расследования крупных аварий раз за разом показывают другое: сигналы были сильными. Регулярными, задокументированными, измеренными приборами. Не хватало не наблюдательности, а готовности заплатить за реакцию.

Сопоставьте эти цифры с формулировкой «слабый сигнал». Сорок восемь превышений за сорок восемь дней — это не слабый сигнал, это непрерывное предупреждение, поступавшее каждый день в течение полутора месяцев и записанное в документы. Информации было достаточно с большим запасом. Не хватало решения, которое означало бы остановку добычи.

Значительная часть аварий происходит не в устоявшемся режиме, а после изменения: заменили узел, переставили оборудование, сократили смену, сменился подрядчик, ушёл человек, который один знал особенности установки.

Четыре вида изменений, и только первый обычно оформляют

Техническое — замена оборудования, узла, материала, изменение схемы. Это единственный вид, для которого на большинстве предприятий существует хоть какая-то процедура.

Организационное — изменение порядка работ, объединение функций, передача операции подрядчику, изменение графика. Оценке риска подвергается редко, хотя ломает организационные барьеры напрямую.

Кадровое — уход опытного работника, назначение нового руководителя, сокращение численности смены. Практически никогда не рассматривается как изменение, влияющее на безопасность, — а между тем человеческие барьеры именно на людях и держатся.

Временное — обход, заглушка, хомут, ручное управление вместо автоматики, работа по временной схеме. Оформляется как мера на несколько дней и живёт годами.

Почему «временно» опаснее «постоянно»

Постоянное изменение проходит проект, расчёт и приёмку. Временное не проходит ничего — именно потому, что временное. При этом у него нет срока жизни: никто не назначен следить за возвратом в исходное состояние, а с каждым месяцем оно всё сильнее выглядит как нормальная часть объекта. Через год новый работник не отличит временное решение от проектного.

Отсюда правило: у каждого временного решения должны быть дата окончания и владелец, который отвечает за возврат. Без этих двух реквизитов временное решение является постоянным с первого дня — просто неоформленным.

Что делать со схемой при изменении

Минимальный набор вопросов, который стоит задать до изменения, а не после: какие барьеры затрагивает это изменение; появляются ли новые угрозы, которых не было на схеме; не превращается ли независимый барьер в зависимый; кто теперь владелец затронутых барьеров; и есть ли изменение, которое кажется чисто хозяйственным, но затрагивает конструкцию или нагрузку.

Последний вопрос — самый недооценённый, и следующая история именно о нём.

6 июля 1988 года в Северном море произошёл взрыв в модуле компримирования газа добывающей платформы. Погибли 167 человек — большинство из них в жилом блоке, куда люди собрались согласно инструкции и откуда не было эвакуации.

Что отказало

Расследование лорда Каллена длилось два года и выявило системные провалы в управлении риском. Отдельно было отмечено состояние системы нарядов-допусков: она стала слишком расслабленной, и персонал ей не следовал. Наряд существовал, процедура существовала, подписи стояли — а барьера не было, потому что его перестали выполнять, и никто этого не проверял.

Разберите это по схеме, которую вы уже умеете строить. Организационный барьер — наряд-допуск и передача информации между сменами — присутствовал на бумаге и отсутствовал в действительности. Технические барьеры не были рассчитаны на такое развитие. Смягчающие барьеры — эвакуация и защита жилого блока — не сработали. Плюс эскалационный фактор, о котором стоит помнить всем, кто работает на площадке с соседями: соседние платформы продолжали подавать продукт в горящую, потому что решение об остановке принималось не на их уровне.

Главный результат: смена логики

Доклад Каллена содержал 106 рекомендаций. Но важнее любой отдельной рекомендации оказался переход к другому принципу регулирования, закреплённый Правилами о декларации безопасности морских установок 1992 года.

До этого регулирование строилось на предписаниях: государство устанавливало требования, предприятие их выполняло, надзор проверял выполнение. Логика простая и понятная, с одним изъяном — выполнение всех предписаний не означает, что риск управляем. Предписания пишутся по итогам прошлых аварий и всегда отстают от того, что происходит на конкретном объекте.

Новая логика перевернула обязанность доказывания. Оператор обязан сам показать, что он определил критические риски, назвал барьеры, обеспечил их работоспособность и способен это подтвердить. Не «мы выполнили требования», а «вот наши риски, вот наши барьеры, вот доказательства, что они живые».

Как это выглядит сегодня

Из этой логики выросло всё, что вы встречаете в международной практике: выделение ограниченного числа критических рисков вместо бесконечного реестра; правила, спасающие жизнь, — короткий набор запретов, нарушение которых недопустимо ни при каких обстоятельствах; верификация критических элементов безопасности; барьерный анализ и схема «галстук-бабочка».

И отсюда же ответ на вопрос, который обязательно возникнет у вас на площадке: зачем это предприятию, у которого уже есть система управления охраной труда. Система управления отвечает на вопрос «выполняем ли мы требования». Управление критическими рисками отвечает на другой вопрос — «что именно удержит смертельное событие сегодня и чем мы это докажем». Первое не заменяет второе, и ни одна авария из разобранных в этом курсе не произошла из-за отсутствия системы управления.

Пройдите мысленно по всем разобранным авариям и найдите в каждой момент, где решение принимал руководитель, а не исполнитель. Отказ от приборной проверки цемента. Возврат к работе после второй вспышки. Продолжение добычи при регулярных превышениях метана. Перестановка кондиционеров по просьбе соседей. Во всех случаях исполнитель делал то, что ему разрешили или поручили.

Четыре рычага, которыми руководитель управляет барьерами

Ресурсы. Отложенный ремонт, несвоевременная закупка, сокращение смены — это не экономические решения с побочным эффектом. Это прямое воздействие на состояние барьеров, просто оформленное в другой валюте.

Приоритет. То, что руководитель спрашивает первым на утреннем совещании, и есть настоящий приоритет предприятия. Если первым идёт выполнение плана, а состояние барьеров — в конце и по остаточному принципу, все на площадке это понимают правильно.

Реакция на сообщение о проблеме. Первое сообщение о неработающем барьере определяет судьбу всех следующих. Если оно закончилось разбирательством с виновными, следующего сообщения не будет — будет тишина, которую легко принять за благополучие.

Решение в конфликте срока и безопасности. Это момент, в котором проверяется всё сказанное раньше. Причём выглядит он не как выбор между людьми и деньгами, а гораздо безобиднее: «доделаем и проверим», «на этот раз без», «пока идёт наладка».

Что спрашивать на площадке

Проверка состояния барьеров не требует ни приборов, ни экспертизы. Она требует правильных вопросов и готовности услышать неудобный ответ. Ниже набор, который работает на любом производстве.

«Что здесь может убить человека?» — если в ответ перечисляют порезы и падения, разговор о критических рисках на площадке не ведётся. «Что именно это удержит?» — ответ должен быть предметом или процедурой, а не намерением. «Кто владелец этого барьера и когда его проверяли в последний раз?» — если названо подразделение, а не должность, владельца нет. «Что сейчас выведено из работы и почему?» — обходы и заглушки известны всем, но редко попадают в отчёты. «Что здесь стоит временно?» — и сразу следом: «с какого числа и кто отвечает за возврат?». И последний: «о чём вы мне не сообщаете, потому что это бесполезно?».

Право остановить работу

Право остановить работу декларируют почти везде. Работает оно ровно в той мере, в какой известно, что стало с человеком, который им однажды воспользовался. Если он получил разбирательство, право отменено — независимо от того, что написано в документах. Проверить это можно единственным способом: вспомнить последний случай остановки на своей площадке и то, чем он закончился для того, кто остановил.