Аннотация
За последние несколько лет на нефтеперерабатывающих и нефтехимических предприятиях произошло несколько получивших широкую огласку инцидентов. Сообщения об инцидентах, полученные, в частности, от Совета по химической безопасности и документов ARC и страховой компании Marsh McLennan Insurance Company, показывают, что многие из этих инцидентов могут быть объяснены операционными ошибками. При более тщательном изучении возможных действий во время кризиса, таких как ошибки, связанные с путаницей и временем, затраченным на понимание ценности представляемой информации, возникает вопрос: “Лучше ли машины, чем люди в кризисе?
Действительно, может ли технология обеспечить лучшую безопасность и бизнес-выгоды? 4 ноября 2010 года рейс 32 авиакомпании Qantas Airlines, рейс А380, следовавший из Сингапура в Сидней по маршруту Лондон-Хитроу, вылетал из Сингапура. В то время самолет А380 был крупнейшим в мире и наиболее технически совершенным авиалайнером. Вскоре после взлета над Индонезией взорвался один из двигателей. В сообщении об инциденте говорилось, что если бы в тот день на борту не было пяти опытных пилотов, самолет мог бы разбиться. К счастью, они спасли самолет, который приземлился в Сингапуре. Вывод заключался в том, что баланс между передовыми технологиями и человеческим мышлением спас мир. По сути, в стрессовой ситуации свою роль должны играть как люди, так и машины. В этой презентации будет обсуждаться несколько инцидентов на станции и показано, как технологии могут помочь оператору в кризисной ситуации и помочь ему сосредоточиться на проблеме.
[ot-video][/ot-video]
Проблемы, с которыми сталкиваются люди в процессе производства
Согласно отчету Energy Practice of Marsh Ltd, подразделения Marsh McLennan, за 2012 год, уровень потерь нефтеперерабатывающей промышленности в течение 5 лет (с поправкой на инфляцию) в период 1972-2011 годов продолжал расти, при этом инциденты во время запуска и остановок продолжают оставаться существенным фактором.
Указанные потери происходят в то время, когда системы управления и контрольно-измерительные приборы на технологических установках значительно улучшились. Так почему же они происходят?
Современные системы управления улучшили методы управления процессами и сделали их более безопасными. Современные диспетчерские обеспечивают операторам более безопасные условия для выполнения их работы. Один оператор контролирует значительно больше оборудования, чем это было возможно ранее. Оператор имеет доступ к столько информации или столько, сколько ему необходимо. Но именно здесь конфигурация современных систем управления может вызвать проблемы, если не будет реализована в соответствии с инструкциями. Теперь можно использовать столько цветов, сколько захотите, и подавать сигналы тревоги различными способами. Таким образом, системы часто конфигурируются с дисплеями или аварийными сигналами, которые при нормальных условиях неактивны, но при ненужных операциях могут стать активными и запутать оператора, что приводит к ошибкам. Поскольку количество операторов в типичном процессе за эти годы сократилось, важно, чтобы они имели четкое представление о том, что происходит в периоды кризиса, чтобы избежать перерастания в инцидент. Однако часто они получают слишком много информации и могут запутаться. Люди не предназначены для того, чтобы справляться с массой информации, особенно когда они находятся в стрессовом состоянии. Например, в отчете об инциденте 1994 года после взрыва на нефтеперерабатывающем заводе в Техако Милфорд-Хейвене говорится: “За последние 11 минут до взрыва операторы должны были распознать, подтвердить и активировать 275 аварийных сигналов”.
Ввод в эксплуатацию и остановка технологических установок являются “нормальной” операционной деятельностью, наряду с изменением сорта и другими переходами, которые подвергают операторов повышенной нагрузке. Как указано в докладе Марша выше, это также время, когда все может и может пойти не так, как надо. Это усугубляется наличием ненормальных условий, часто приводящих к принятию неправильных решений в неправильное время, что в лучшем случае может привести к производственному инциденту и, в худшем случае, к травмам или летальному исходу. Благодаря продуманности и планированию тех же систем, которые могут быть сконфигурированы таким образом, чтобы сбить оператора с толку, они обладают достаточной мощностью для оказания помощи оператору. Теперь я расскажу, как операторы и машины обладают разными преимуществами в кризисных ситуациях.
BP Техас-Сити – тематическое исследование
23 марта 2005 года произошел взрыв на установке изомеризации на Техасском НПЗ BP в Техасе, Техас-Сити, Техас-Сити, который в то время был крупнейшим НПЗ BP. В результате взрыва погибли 15 человек и 170 получили ранения.
В отчете о происшествии указывалось на несколько проблем, по которым операторы не смогли принять меры, таких как ошибочно подтвержденная сигнализация уровня, слишком быстрая скорость разогрева и тот факт, что они пытались запускаться вручную, когда процедуры указывали, что при раннем запуске единственный способ управления уровнем делителя находится в автоматическом режиме. Другая проблема заключалась в том, что горелки были включены до того, как было установлено, что они были отключены. Все это могло быть вызвано стрессом или просто отсутствием бдительности.
Среди прочего, в докладе в качестве одной из причин инцидента были названы проблемы, связанные с процедурой:
“…несоблюдение многих установленных правил и процедур. Назначенные в подразделение инспекторы не присутствовали для обеспечения соблюдения установленных процедур, которые стали обычаями и практикой в отношении того, что считалось обычной операцией”.
“Группа обнаружила много областей, в которых процедуры, политики и ожидаемое поведение не были соблюдены”.
В отчете рекомендованы изменения в процедурах запуска и остановки, но не даны рекомендации по дополнительному обучению или поддержке процедур со стороны системы управления. Инцидента можно было бы избежать с помощью правильного использования приборов, управления и процедур, как показано ниже в этой статье.
Люди умеют считать!
Наличие нескольких очень квалифицированных “операторов” 4 ноября 2010 года, вероятно, спасло рейс 32 авиакомпании Qantas. Самолет A380 Airbus – крупнейшего и технически самого современного пассажирского самолета в мире – выехал из Сингапура в Сидней по маршруту из Лондона, когда над Индонезией разорвался один из двигателей.
Пилоты были завалены сообщениями – 54 пилота пришли предупредить их о сбоях в системе или надвигающихся сбоях, но только 10 смогли попасть на экран. Пилоты наблюдали, как на экранах появлялись сообщения. К счастью, на этом рейсе было пять опытных пилотов, включая трех капитанов, которые находились на “контрольных” рейсах. Даже имея такой большой опыт работы на борту, пилотам потребовалось 50 минут, чтобы проработать сообщения и расставить приоритеты, чтобы определить статус самолета. В рапорте говорилось, что без этих пилотов полет был бы невозможен. На самом деле, “воздухоплавание” пилотов спасло самолет. Если бы пилоты последовали ВСЕМ советам летных систем, самолет бы разбился. Старший пилот сказал остальным прочитать послания, но “почувствовать” самолет. Им удалось приземлить самолет только с одним из четырех двигателей в полном рабочем состоянии.
Поиск баланса
Из инцидента в Кантасе ясно, что люди и машины должны играть определенную роль в кризисных ситуациях. Мы можем спросить, возможно ли вывести человека из уравнения. Теоретический ответ на этот вопрос – да. Можно запустить технологическую установку без операторов и самолет без пилотов, но разве на таком самолете летает кто-нибудь? Но можем ли мы использовать вычислительную мощь машин для управления людьми и дедуктивную мощь людей (при логическом количестве вариантов), чтобы принять правильное решение?
Мэри Л. Каммингс, директор лаборатории по управлению персоналом и автоматизации (HAL), MIT и бывший пилот F-18 ВМС, который проводит исследования по оптимизации и поддержке принятия решений в области автоматизированного планирования маршрута полетов человека, сказала: “Люди неплохо справляются, но делают это еще лучше с помощью алгоритмов” и “Это исследование действительно показывает силу того, как, когда алгоритмы работают с людьми, система в целом работает лучше”. Так что, может быть, есть баланс.
У людей есть эмоции и стресс. Нет лучшего примера такого развития событий, чем кризис. Некоторые люди способны очень спокойно справляться с кризисами, о чем свидетельствуют исторические героические усилия в войне и мире, но большинство склонно либо пытаться делать все, либо паниковать, либо просто отключаться. Поэтому, когда даже самый лучший оператор сталкивается с множеством аварийных сигналов, поступающих одновременно, и другими событиями, происходящими вокруг него, он, вероятно, попытается рассмотреть как можно больше и выработать сценарий и возможное решение, но это может быть слишком поздно. Было бы гораздо лучше, если бы система предоставляла ему варианты и указания или поддержку в принятии решений.
Автоматизированные системы способны делать повторяющиеся вещи снова и снова одним и тем же способом. Они могут обрабатывать и соотносить большие объемы данных за короткое время. Они не засыпают и не игнорируют процедуры. Они не паникуют под давлением. Они могут быстро реагировать на изменения условий. Но они могут потерпеть неудачу и нуждаются в “тренировке”. Они могут анализировать многие сотни вводимых данных – возможно, находить закономерности и предлагать более точные рекомендации оператору. С другой стороны, люди проницательны; у них есть чувства; они могут взвесить все “за” и “против”, и они могут оценивать ситуацию и действовать по совету, когда они не находятся в стрессе.
Есть баланс.
Стандарты, помогающие принятию решений
Решения принимаются путем оценки проблемы, сбора и проверки информации, определения альтернатив, прогнозирования последствий возможных решений, а затем принятия решения с использованием обоснованного и логического суждения на основе имеющейся информации.
Лишь немногие люди в кризисной ситуации в состоянии сделать это без помощи. Либо им трудно управлять ситуацией, чтобы дать им время собрать достаточно информации для принятия обоснованного решения, либо у них просто заканчивается время, когда они пытаются принять решение. С помощью поддержки принятия решений и руководства эта задача становится более выполнимой.
Система поддержки принятия решений должна быть в состоянии:
- Использовать исторические данные для “памяти” о том, что случилось в прошлом.
- Включение как данных, так и моделей для анализа и представления наиболее вероятных вариантов
- Оказание помощи операторам в полуструктурированных или неструктурированных процессах принятия решений.
- Поддержка, а не замена суждений оператора
- Стремиться к повышению эффективности, а не эффективности принимаемых решений.
В обрабатывающих отраслях поддержка принятия решений такого рода пока еще не является широко доступной, но исследования проводятся и в таких ключевых областях, как проектирование человеко-машинного интерфейса, управление аварийной сигнализацией и управление процедурами, может быть предоставлена поддержка принятия основных решений. В поддержку этого существуют или разрабатываются отраслевые стандарты.
Международное общество автоматизации (ISA), всемирно признанная организация по разработке стандартов, разрабатывает три стандарта:
- ANSI/ISA-18.2-2009 – Управление системами сигнализации для обрабатывающих отраслей промышленности
- ISA101 – человеко-машинные интерфейсы
- ISA106 – Автоматизация процедур для непрерывных технологических операци
Стандарт ANSI/ISA-18.2, действующий с 2009 года, содержит требования и рекомендации в отношении деятельности в рамках жизненного цикла системы управления сигнализацией. Этапы жизненного цикла включают философию, идентификацию, рационализацию, детальное проектирование, внедрение, эксплуатацию, техническое обслуживание, мониторинг и оценку, управление изменениями и аудит.
ISA101 является стандартом, который все еще находится в разработке и находится на стадии разработки и утверждения в комитете. Оно предназначено для лиц, ответственных за проектирование, внедрение, использование и/или управление интерфейсами “человек-машина” в производственных приложениях.
Комитет ISA106 принял решение о подготовке серии технических отчетов для решения вопросов автоматизации процедур непрерывных технологических операций. Цель будет заключаться в том, чтобы обеспечить надлежащую практику для устранения многих ограничений в работе человека, которые могут возникать в ходе процедурных операций.
Роль процедур
Как видно из приведенных выше инцидентов, эффективное использование процедур является одним из ключевых элементов обеспечения безопасной и надежной работы в ВСЕХ условиях. В действительности, правильно сконфигурированные, хорошо спланированные аварийные сигналы могут инициировать процедуры во многих ненормальных ситуациях, а хорошо спроектированный интерфейс человек-машина может своевременно обратить внимание оператора на развивающийся инцидент.
Авиационная отрасль является одной из самых безопасных и автоматизированных в мире – фактически, большинство современных самолетов не могли бы летать без компьютерного управления, но процедуры играют большую роль в управлении самолетами. Пилотам необходимо пройти множество процедур до, во время и после полета.
Первые зарегистрированные процедуры были введены летчиками-испытателями в 1935 году после крушения летной крепости В-17, когда программа была практически заброшена из-за того, что при взлете все еще срабатывал поршневой замок. Говорили, что самолет слишком сложен для полетов. Пилоты-испытатели разработали процедуры взлета, полета, перед посадкой и после приземления. Боинг” доставил 12 самолетов в ВВС и пролетел 1,8 млн. миль без серьезных происшествий.
Каждый тип самолетов, от небольших частных самолетов до самых больших самолетов, теперь использует процедуры для всех аспектов полета, и несоблюдение этих процедур может привести к потере пилотом лицензии на полеты (или, что еще хуже).
Таким же образом запуск и остановка процесса требует стандартных рабочих процедур (СОПов), которые предназначены для обеспечения запуска или остановки процесса каждый раз одним и тем же способом. Однако иногда их “модифицируют” опытные операторы, которые могут видеть лучший способ выполнения работы. Как для пилотного проекта, так и для оператора процесса существуют способы оценки этих усовершенствованных процедур и их внедрения в текущую практику. В случае с самолетом последствия невыполнения этого требования очевидны, но на технологическом предприятии настройка и настройка могут остаться незамеченными до тех пор, пока все пойдет не пойдет не так, как надо. Как и при эксплуатации и техническом обслуживании самолетов, целью эксплуатации и поддержки принятия решений является получение знаний от самого лучшего и, надеемся, самого спокойного оператора в его/ее лучший день в любых условиях.
BP Техас-Сити Пересмотрено
Теперь давайте вернемся к инциденту на нефтеперерабатывающем заводе в Техасе. С точки зрения ряда обстоятельств, при которых система могла бы потенциально предоставить оператору правильную информацию в нужное время и даже перекрыть неправильные действия, это был “идеальный шторм”. Процедура пуска в системе управления с несколькими ключевыми измерениями позволила избежать этого инцидента или, по крайней мере, сделала все более удобным для оператора. Использование ассистента по процедурам могло бы помочь неуверенным/переработанным операторам принять корректирующие меры, или могло бы помочь им исправить ситуацию.
Помощник по процедурным вопросам мог бы направить четкие сообщения по всем трем подразделениям;
- То, что случилось в предыдущие смены.
- Следующие шаги в соответствии с утвержденными правилами техники безопасности
- Опасности для безопасности, связанные с неправильными шагами
Очевидно, были допущены некоторые ошибки, но по мере того, как все пошло не так, некоторые предупреждающие знаки были упущены из-за неопытности оператора доски и отсутствия системы для интерпретации имевшейся в то время четкой измерительной информации. Хотя аварийный сигнал высокого уровня на дне устройства изомеризации был подтвержден и практически проигнорирован, температуры и давления в колонке достаточно для того, чтобы показать, что в колонке присутствовала высокая жидкость – даже над лотком подачи. Имелась информация о температуре из профиля и лотка подачи бумаги, а также признаки перегрева в днище стриптизатора, указывающие на то, что в колонке все было не так. Была информация о давлении, а также слишком высокая скорость нагревания. Но – операторы, вероятно, не смогли бы усвоить всю эту информацию. Все это могло быть частью системы предупреждения, которая могла предупредить оператора и даже принять меры для остановки агрегата.
Помощник оператора мог вызвать действия или подсказки в результате чрезмерного уровня жидкости и неправильных показаний температуры и давления. Это также могло бы предотвратить слишком высокую скорость подъема и, в конечном счете, могло бы также привести к остановке.
Вывод: машины лучше, чем люди в кризисе?
В данной статье показано, что проблемы, с которыми часто сталкиваются люди на рабочем месте во время кризиса и стресса, существуют. В некоторых случаях наличие нужного человека (или людей) в нужном месте может быть полезным, и часто именно так и бывает. Но мы должны быть готовы к ситуациям, когда оператор перегружается, воспринимает вещи как должное или неопытный оператор работает в то время, когда ситуация начинает становиться нестабильной.
Во время аномальных операций системы конфигурируются для получения большого количества данных – люди не конфигурируются для их обработки или интерпретации. Тем не менее, при наличии правильной информации, в правильном контексте, в ненормальном состоянии, люди могут делать то, чего не могут машины. Они могут оценить ситуацию и предоставить “процесс размышлений” о том, какие действия следует предпринять, с помощью руководства и поддержки автоматизированных систем.
