Как оценить вероятность аварий в производственном цехе: от опасностей до сценариев риска

Оценку вероятности аварийных ситуаций в производственном цехе следует начинать не с выставления баллов в матрице риска, а с ответа на более конкретный вопрос: какие нежелательные события действительно могут произойти, из-за чего они начинаются и какие защитные барьеры должны остановить их развитие. Только после этого имеет смысл оценивать частоту или вероятность каждого сценария и сопоставлять её с тяжестью последствий.

Для предварительного ранжирования достаточно качественной или полуколичественной оценки. Если возможны пожар, взрыв, выброс опасного вещества, разрушение оборудования, значительное поражение людей или другие тяжёлые последствия, одной категории «низкая/средняя/высокая вероятность» обычно недостаточно. Требуется более детальный сценарный анализ с учётом отказов оборудования, действий персонала, автоматических защит, условий эксплуатации и неопределённости исходных данных.

Вероятность аварии и уровень риска — не одно и то же

Вероятность характеризует возможность реализации определённого события за заданных условий. Для повторяющихся событий вместо вероятности часто удобнее использовать частоту: например, ожидаемое количество реализаций сценария за единицу времени.

Риск включает как возможность события, так и его последствия. Поэтому редкий сценарий способен оставаться приоритетным, если его развитие приводит к разрушению оборудования, крупному пожару или поражению нескольких работников. И наоборот, сравнительно частое отклонение с незначительными последствиями может требовать другого уровня мер.

Перед оценкой необходимо договориться о терминах. Внутри предприятия понятия «отказ», «инцидент», «аварийная ситуация» и «авария» должны соответствовать принятой системе управления безопасностью и применимым требованиям. Иначе разные участники будут оценивать под одним названием события совершенно разного масштаба.

Что необходимо собрать до расчётов

Качество результата определяется прежде всего полнотой исходных данных. Даже сложная математическая модель мало полезна, если в неё не попали реальные режимы работы цеха или фактическое состояние защит.

Для анализа обычно требуется собрать сведения по следующим направлениям:

• технологические операции, последовательность процессов и возможные отклонения от штатного режима;
• станки, аппараты, трубопроводы, грузоподъёмные механизмы, транспортные системы и другое оборудование;
• давление, температура, скорость, нагрузка, электрические параметры и другие критичные характеристики процесса;
• горючие, взрывоопасные, токсичные или иные опасные вещества и места их нахождения;
• системы вентиляции, электроснабжения, охлаждения, подачи воздуха, газа, воды и других вспомогательных ресурсов;
• автоматические блокировки, сигнализация, аварийный останов, предохранительные устройства и физические ограждения;
• регламенты эксплуатации, технического обслуживания, ремонта и допуска к работам;
• данные об отказах, неисправностях, срабатываниях защит, нештатных остановках и выявленных дефектах;
• численность и расположение людей в разные смены и при разных режимах работы;
• внешние воздействия, способные нарушить работу цеха или его инженерных систем.

Особое внимание нужно уделить нештатным, но реально возникающим режимам. Пуск после ремонта, остановка линии, очистка оборудования, смена инструмента, устранение заклинивания и временное отключение автоматической защиты нередко отличаются по набору опасностей от устойчивого рабочего режима.

Пошаговый порядок оценки аварийных сценариев

1. Разделите цех на анализируемые участки

Неудобно оценивать весь цех одной строкой. Объект лучше разбить на технологически понятные части: производственную линию, участок термообработки, компрессорное оборудование, склад материалов, систему подачи топлива, окрасочную зону, внутренний транспорт и другие функциональные элементы.

Границы должны быть достаточно узкими, чтобы причины и последствия можно было описать конкретно, но не настолько мелкими, чтобы анализ превратился в перечень тысяч отдельных деталей.

2. Выявите источники опасности

Для каждого участка необходимо определить, какая энергия или вещество способны привести к опасному развитию событий. Это может быть механическая энергия движущихся частей, давление, высокая температура, электричество, горючее вещество, химический реагент, накопленная потенциальная энергия груза.

Полезно задавать не общий вопрос «опасен ли станок?», а несколько конкретных:

• что может разрушиться, разгерметизироваться, загореться или потерять устойчивость;
• какой параметр способен выйти за допустимые рабочие пределы;
• что произойдёт при исчезновении электропитания, вентиляции или охлаждения;
• возможна ли ошибочная последовательность действий;
• может ли одна неисправность вывести из работы сразу несколько защит;
• что изменяется при ремонте, очистке, наладке и запуске.

3. Определите инициирующие события

Источник опасности сам по себе ещё не является сценарием. Нужно установить событие, с которого начинается развитие аварии. Например, это может быть потеря герметичности, отказ подшипника, превышение давления, короткое замыкание, нарушение подачи охлаждающей среды или ошибочная команда оператора.

Формулировка должна быть достаточно точной. Запись «человеческий фактор» мало пригодна для оценки. Полезнее описать конкретное действие: неверное положение арматуры перед пуском, запуск оборудования при открытом ограждении, неправильная последовательность переключений или ошибочная настройка технологического параметра.

4. Постройте цепочку развития события

Следующий вопрос — что происходит после инициирующего события. Один отказ далеко не всегда означает аварию. Между неисправностью и тяжёлыми последствиями обычно находятся системы обнаружения, блокировки, автоматический останов, действия персонала и другие барьеры.

Удобная логика сценария выглядит так: инициирующее событие, развитие отклонения, срабатывание или отказ защитных барьеров, возникновение опасного события, дальнейшая эскалация и конечные последствия.

Например, условный сценарий можно сформулировать не как «пожар оборудования», а как последовательность: повреждение линии подачи горючего материала, утечка, отсутствие своевременного обнаружения, появление источника воспламенения, локальное возгорание, воздействие на соседнее оборудование. Такая запись позволяет понять, где именно можно разорвать цепочку.

5. Проверьте реальные защитные барьеры

При оценке нельзя считать защитой любое мероприятие, указанное в инструкции или проектной документации. Нужно убедиться, что оно существует физически или организационно и способно выполнить требуемую функцию.

Для каждого существенного барьера полезно проверить:

• какое событие он должен предотвратить или ограничить;
• может ли он сработать достаточно быстро;
• зависит ли он от того же источника питания или системы управления, отказ которых уже рассматривается;
• можно ли незаметно вывести его из работы или обойти;
• контролируется ли его исправность;
• что происходит при его отказе.

Особенно опасно несколько раз учитывать фактически один и тот же барьер. Например, датчик, контроллер и исполнительный механизм одной цепи автоматической защиты нельзя без анализа зависимостей считать тремя полностью независимыми уровнями безопасности.

6. Оцените вероятность или частоту сценария

Метод зависит от доступной информации и тяжести возможных последствий. На предварительном этапе можно использовать категории частоты. При углублённой оценке применяют сведения о надёжности оборудования, фактические данные эксплуатации, деревья отказов и событий, специализированные отраслевые модели и другие количественные методы.

Если строится дерево событий, частота конечного сценария определяется с учётом частоты инициирующего события и вероятности того, как поведут себя последующие барьеры. Однако механически перемножать любые найденные коэффициенты нельзя: события могут быть зависимыми, иметь общую причину отказа или уже учитывать часть рассматриваемых условий.

7. Оцените последствия

Вероятность становится полезной для управления только вместе с оценкой возможного результата. Для цеха могут иметь значение травмирование работников, тепловое воздействие, избыточное давление, токсическое воздействие, разрушение оборудования, распространение пожара на соседние участки и длительная остановка производства.

Для серьёзных сценариев последствия следует оценивать с помощью подходящих расчётных методов, учитывающих свойства вещества или источника энергии, параметры оборудования, планировку, расположение людей и развитие аварии. Нельзя переносить результат расчёта с одного оборудования на другое только потому, что сценарии имеют одинаковое название.

8. Определите приоритет мер и повторите оценку

Цель работы — не получить красивую таблицу рисков, а уменьшить возможность тяжёлых событий. Для каждого существенного сценария необходимо определить меры, затем проверить, какая часть цепочки действительно изменится после их реализации.

В результате должно быть понятно не только что предлагается сделать, но и какую причину, вероятность или последствие снижает конкретная мера.

Какие методы анализа подходят для производственного цеха

Одного универсального метода нет. Предварительный анализ и детальное исследование тяжёлого технологического сценария требуют разной глубины.

Метод	Когда полезен	Что даёт	Основное ограничение
Проверочный лист	Периодическая проверка типового оборудования и известных требований	Быстро выявляет пропуски и распространённые несоответствия	Плохо обнаруживает принципиально новые сценарии
«Что будет, если?»	Предварительный анализ технологического участка	Помогает находить последствия отказов и ошибочных действий	Сильно зависит от компетентности группы
HAZOP	Процессы, где опасность связана с отклонением технологических параметров	Систематически рассматривает отклонения, причины, последствия и защиты	Требует времени и подробной информации о процессе
FMEA	Оборудование, узлы и системы с несколькими возможными видами отказов	Показывает, как отдельные отказы влияют на функцию системы	Сложнее выявлять комбинации нескольких отказов
Дерево отказов	Когда нужно исследовать причины определённого опасного события	Связывает конечное событие с комбинациями исходных отказов	Качество расчёта зависит от полноты модели и исходных данных
Дерево событий	Когда после одного инициирующего события возможны разные пути развития	Показывает влияние последовательного успеха или отказа барьеров	Количество ветвей быстро растёт в сложных системах
Bow-Tie	Для наглядного управления ключевыми сценариями и барьерами	Связывает причины, опасное событие, профилактические и смягчающие меры	Само по себе построение схемы не определяет точную вероятность
Количественный анализ	Сценарии с тяжёлыми последствиями и достаточными исходными данными	Позволяет сопоставлять частоты сценариев и количественные показатели риска	Результат чувствителен к качеству данных и принятым допущениям

На практике методы удобно сочетать. Например, проверочный лист помогает быстро обследовать цех, HAZOP или метод «Что будет, если?» выявляет сценарии, дерево отказов уточняет причины наиболее опасного события, а дерево событий показывает, как результат зависит от защитных систем.

Как пользоваться матрицей риска и не получить ложную точность

Матрица вероятности и последствий удобна для ранжирования большого количества сценариев. Она позволяет отделить ситуации, требующие первоочередного внимания, от менее значимых. Но матрица не превращает экспертное мнение в статистически рассчитанную вероятность.

До начала оценки организация должна определить однозначное содержание каждой категории. Формулировки вроде «редко», «иногда» и «часто» без критериев разные специалисты понимают по-разному. Аналогичная проблема возникает со шкалой последствий.

При использовании матрицы полезно соблюдать несколько правил:

• оценивать конкретные сценарии, а не оборудование в целом;
• не менять смысл категорий между разными подразделениями одной оценки;
• отдельно фиксировать исходный риск и риск после действующих защит;
• не снижать оценку только потому, что аналогичная авария ранее не происходила;
• не использовать цвет ячейки как замену анализу причин и барьеров.

Если два сценария попали в одну категорию, это не означает, что они эквивалентны. При выборе мер дополнительно учитывают тяжесть потенциальных последствий, эффективность существующих барьеров, неопределённость исходных данных и возможность каскадного развития аварии.

Почему статистики самого предприятия недостаточно

Аргумент «такого у нас никогда не происходило» не доказывает малую вероятность события. Для редких аварий собственная история предприятия часто содержит слишком мало наблюдений, особенно если оборудование сравнительно новое или конфигурация производства неоднократно менялась.

Исторические данные полезны прежде всего для поиска повторяющихся предвестников: утечек, перегревов, ложных и реальных срабатываний, отказов датчиков, повреждения кабелей, нарушения технологических параметров, случаев заклинивания оборудования.

Но их необходимо сопоставлять с инженерным анализом. Возможный сценарий должен учитываться, если существует физически правдоподобная цепочка его развития, даже при отсутствии такой аварии в журнале происшествий предприятия.

Человеческий фактор нужно включать в сценарий, а не использовать как объяснение всего

Ошибка персонала часто становится одним из звеньев аварийной цепочки, однако формулировка «виноват оператор» почти ничего не даёт для профилактики.

При анализе следует установить, почему ошибочное действие вообще способно привести к опасному состоянию. Причинами могут быть неоднозначная индикация, неудобная последовательность операций, недостаток времени, похожие органы управления, необходимость обходить штатную процедуру, неполная информация о состоянии установки или отсутствие технической блокировки.

Более сильное решение обычно устраняет возможность ошибки технически либо позволяет своевременно обнаружить её. Инструкция и обучение остаются важными мерами, но не должны автоматически заменять техническую защиту там, где последствия ошибки значительны.

Не забывайте об общих причинах отказа

Одна из наиболее серьёзных ошибок при оценке вероятности — считать защитные системы независимыми, хотя они уязвимы к одному событию.

Например, несколько средств защиты могут одновременно перестать работать при:

• потере общего электроснабжения;
• повреждении одного шкафа управления или кабельной трассы;
• отказе общей системы охлаждения или подачи сжатого воздуха;
• пожаре в помещении, где расположены элементы нескольких защитных систем;
• общей ошибке настройки;
• едином программном или аппаратном отказе системы управления.

Поэтому при анализе барьеров требуется проверять не только их количество, но и функциональную независимость. Несколько средств защиты, зависящих от одного ресурса, могут фактически представлять один уязвимый уровень.

Как учитывать неопределённость

Вероятность промышленной аварии редко известна с абсолютной точностью. Неопределённость возникает из-за небольшого количества статистики, различий в режимах эксплуатации, старения оборудования, экспертных допущений и неполного знания вероятностей человеческих ошибок.

Скрывать эту неопределённость за большим количеством знаков после запятой не следует. Если исходные данные приблизительны, результат тоже должен интерпретироваться как оценка, а не как точный прогноз даты или количества будущих аварий.

Для важных решений полезно проверять чувствительность результата: какие исходные параметры сильнее всего изменяют оценку риска. Если вывод полностью меняется при небольшом изменении малоизвестного параметра, именно этот параметр требует дополнительного исследования.

Какие меры действительно снижают аварийный риск

После оценки сценариев мероприятия желательно выбирать от наиболее устойчивых к наиболее зависимым от поведения человека. На практике приоритет обычно имеют устранение опасности, изменение процесса и технические средства предупреждения события.

В зависимости от сценария результативными направлениями могут быть:

• уменьшение количества опасного вещества или накопленной энергии;
• замена процесса на менее опасный при сохранении производственной функции;
• физическое разделение источников опасности и уязвимого оборудования;
• повышение надёжности контроля критических параметров;
• автоматическое прекращение процесса при опасном отклонении;
• резервирование действительно независимых систем;
• своевременное обнаружение утечки, перегрева, вибрации или другого предвестника;
• защита от распространения аварии на соседнее оборудование;
• обеспечение безопасного состояния при потере электропитания или другого ресурса;
• совершенствование процедур ремонта, пуска, останова и временных изменений.

Средства ликвидации последствий также необходимы, но они работают после возникновения опасного события. Поэтому их нельзя считать полноценной заменой мерам, уменьшающим вероятность самого события.

Типичные ошибки при оценке вероятности аварий

Оценивать только штатный режим

Часть опасных комбинаций возникает именно при переходных операциях. В оценку необходимо включать пуски, остановы, ремонт, очистку, испытания, аварийное отключение и восстановление после него.

Присваивать вероятность без описания сценария

Категория «маловероятно» бесполезна, если неизвестно, какое именно событие оценено. Сначала фиксируют инициатор, условия развития и необходимые отказы барьеров, затем определяют вероятность.

Считать наличие защиты доказательством её эффективности

Предохранительное устройство, блокировка или сигнализация помогают только при исправном состоянии и подходящих условиях срабатывания. Нужно учитывать испытания, диагностику, возможные обходы, задержки и зависимость от других систем.

Сосредоточиться только на наиболее частых событиях

Риск определяется не одной частотой. Редкие сценарии с тяжёлыми последствиями должны сохраняться в анализе и рассматриваться с глубиной, соответствующей потенциальному ущербу.

Считать оценку постоянной

После изменения оборудования, технологии или организации работ прежняя модель риска может перестать отражать реальную конфигурацию производства. Поэтому анализ требуется пересматривать при существенных изменениях и появлении новой информации.

Когда оценку нужно пересматривать

Регулярный пересмотр полезен, но календарного графика недостаточно. Внеплановая проверка оценки особенно необходима после событий, меняющих исходные предпосылки.

К таким поводам относятся:

• замена или модернизация основного оборудования;
• изменение технологических параметров или сырья;
• перепланировка участка;
• изменение алгоритмов автоматического управления и защит;
• вывод защитной системы из эксплуатации;
• существенное изменение организации работ;
• выявление нового механизма отказа;
• инцидент, авария или опасное событие, которое едва не привело к последствиям;
• получение новых данных о надёжности критичных элементов.

При управлении изменениями полезно проверять риск до ввода новой конфигурации, а не только после возникновения проблем.

Как должен выглядеть практический результат анализа

Работа не должна заканчиваться одной итоговой категорией риска для всего цеха. Полезный результат представляет собой перечень прослеживаемых сценариев, по каждому из которых можно понять исходные предпосылки и дальнейшие действия.

Для каждого существенного сценария целесообразно зафиксировать:

• участок и источник опасности;
• инициирующее событие;
• условия и возможные пути развития;
• действующие предупредительные и смягчающие барьеры;
• оценку вероятности или частоты;
• характер и тяжесть последствий;
• уровень риска по принятой методике;
• ключевые неопределённости;
• необходимые дополнительные меры;
• способ проверки выполнения и эффективности этих мер.

Такая структура позволяет использовать результаты не только для отчётности, но и для планирования ремонта, модернизации, контроля технического состояния, обучения персонала и противоаварийной подготовки.

С чего начать на действующем предприятии

Если оценка выполняется впервые, нецелесообразно сразу пытаться построить сложные вероятностные модели для каждой единицы оборудования. Сначала следует составить карту участков, определить источники значительной энергии и опасных веществ, выделить сценарии с потенциально тяжёлыми последствиями и проверить существующие защитные барьеры.

После предварительного ранжирования углублённый анализ концентрируют там, где ошибка наиболее критична: на сценариях пожара, взрыва, значительного выброса, разрушения оборудования, потери управления процессом и возможной эскалации на соседние установки. Именно для таких сценариев особенно важно обосновывать вероятность, проверять независимость защит и учитывать неопределённость исходных данных.

Главный принцип: вероятность аварии оценивают для конкретной причинно-следственной цепочки, а не для абстрактного «цеха». Практический следующий шаг — выбрать несколько наиболее опасных участков, описать для каждого инициирующие события и барьеры, проверить их фактическое состояние и только затем назначать категории либо переходить к количественному расчёту.

Материал носит информационный характер. Для объектов и процессов с потенциально тяжёлыми последствиями методику, критерии приемлемости, расчётные модели и меры защиты следует определять с участием профильных специалистов и проверять по действующим на дату оценки требованиям промышленной и производственной безопасности.