Drony nad obiektem: jak chronić ludzi i aktywa

Ataki dronów stają się częścią naszej codzienności. Jeszcze kilka lat temu upadek bezzałogowego statku powietrznego na teren zakładu przemysłowego był czymś wyjątkowym. Dziś jest to pozycja na liście źródeł sytuacji nadzwyczajnych obok pożaru, rozszczelnienia i wycieku produktu. W wiadomościach słyszy się o atakach na różne obiekty w wielu regionach kraju: bazy paliwowe, terminale portowe, stacje kompresorowe i inne.

I to my ponosimy odpowiedzialność za to, co wydarzy się na terenie zakładu w pierwszych 30 minutach. Nie straż pożarna, nie służby państwowe, nie ochrona firmy. Odpowiadamy za aktywa spółki: za park zbiorników, za estakady, za urządzenia, których odbudowa trwa miesiącami. Przede wszystkim odpowiadamy za personel: za ludzi, którzy w momencie uderzenia znajdują się na otwartej przestrzeni, w sterowniach, przy załadunku. Nikt z nas tej odpowiedzialności nie zdejmie i nikt za nas jej nie wypełni.

W tym artykule nie będę mówić o tym, jak wykrywać i zestrzeliwać drony. To nie nasza kompetencja. Będę mówić o tym, co znajduje się w naszej strefie: jak zorganizować reagowanie, aby ludzie znaleźli się w schronieniu, sprzęt — w bezpiecznym stanie, a szkody pozostały lokalne. Wszystko, co tu opisano, zostało przećwiczone na realnym obiekcie podczas ćwiczeń, a część wniosków nie przyszła łatwo.

Drony jako źródło awarii technogennej

Pierwsza rzecz, którą warto przyswoić sobie i kierownictwu: po upadku drona na teren zakładu awaria rozwija się według tych samych praw, co każda inna. Uszkodzenie mechaniczne zbiornika lub rurociągu, zapłon, oddziaływanie cieplne na sąsiednie zbiorniki, ryzyko efektu domina. To jest łańcuch, który kalkulujemy w HAZOP i Bow-Tie i pod który pisany jest plan operacyjno-ratowniczy. Zdarzenie inicjujące jest inne, ale fizyka pozostaje ta sama.

Z tego wynika practicalny wniosek. Nie musimy wymyślać nowej dyscypliny. Wystarczy do istniejącego systemu inżynieryjnego dodać specjalne scenariusze i procedury: identyfikację źródła, ocenę ryzyka, środki zapobiegawcze, środki likwidacji skutków, szkolenia i ćwiczenia. Znana praca.

Jest też drugi wniosek, jeszcze ważniejszy. Ratownicy po przyjeździe będą działać według ogólnych procedur. Który zawór zamknąć w pierwszej kolejności, dokąd wieje wiatr od źródła zagrożenia, gdzie na terenie znajduje się czterdziestu pracowników podwykonawcy nieujętych w naszym systemie SKUD — wie tylko nasza zmiana. Większości szkód przy dużych awariach przemysłowych można zapobiec działaniami w pierwszych 10–30 minutach. To okno czasowe należy całkowicie do nas.

Czas incydentu jako narzędzie planowania

Gdy zaczynaliśmy opracowywać regulamin, w pierwszej kolejności rozłożyliśmy typowy incydent na fazy: od pierwszego sygnału z systemów monitoringu do lokalizacji źródła zagrożenia. Dla każdej fazy określiliśmy tryb funkcjonowania obiektu oraz jedno kluczowe działanie, bez którego kolejna faza staje się niekontrolowana. Konkretne punkty kontrolne i normy czasowe są indywidualne dla każdego obiektu: zależą od geografii, charakterystyki urządzeń oraz dostępnych systemów monitoringu. Dlatego przedstawiam tu nie harmonogram czasowy, lecz logikę trybów. Jest ona uniwersalna i to ona stała się podstawą wszystkich scenariuszy ćwiczeń.

Na co zwróciliśmy uwagę, weryfikując tę logikę podczas ćwiczeń.

Między sygnałem o zbliżaniu się a kontaktem wzrokowym istnieje okno ostrzegawcze. Mierzy się je w minutach, ale te minuty wystarczą, aby wstrzymać prace niebezpieczne pod względem pożarowym, wycofać ludzi z otwartych przestrzeni i wprowadzić obiekt w stan podwyższonej gotowości. Bez zatrzymywania produkcji. W praktyce sygnał z systemów monitoringu albo nie dociera do dyspozytora, albo dociera bez algorytmu działań, przez co całe okno czasowe zostaje utracone.

Krytyczny interwał to pierwsze minuty po kontakcie wzrokowym. Ludzie albo są w schronieniu, albo nie. Wyjście przez portiernię jest zablokowane albo tłum ucieka w stronę rozrzutu odłamków. To właśnie tutaj podczas pierwszych treningów załamuje się większość regulaminów napisanych „na papierze”. Dopóki schronienie nie przebiega sprawnie w czasie przewidzianym w regulaminie, cała reszta zapisów ma drugorzędne znaczenie.

Okres oczekiwania po pierwszym uderzeniu jest niedoceniany niemal przez wszystkich. Możliwe jest drugie uderzenie. Zasada „nie opuszczać schronów do momentu potwierdzenia sytuacji” oraz wkraczanie brygad ratowniczych do strefy wyłącznie bezpiecznym korytarzem ratują życie ratowników. Personel psychologicznie dąży jednak do wyjścia i sprawdzenia sytuacji. Wymaga to osobnego treningu i nie udaje się za pierwszym razem. Czas trwania tej powściągliwości to parametr, który każdy obiekt ustala dla siebie i który podczas ćwiczeń weryfikuje się ze stoperem w ręku.

Co wykazały ćwiczenia

Przeprowadziliśmy kilka cykli ćwiczeń aplikacyjnych i terenowych według czterech scenariuszy: „Zbliżanie się”, „Upadek na terenie obiektu”, „Skutki wtórne”, „Awaria łączności”. Do tego wariant każdego z nich przy minimalnej zmianie nocnej. Pierwsza próba nowego regulaminu ujawnia 10–15 istotnych uwag. Niektóre powtarzają się w różnych obiektach i warto o nich powiedzieć wprost:

Nikt nie ma uprawnień do ogłoszenia schronienia. W regulaminie zapisano: decyzję podejmuje dyrektor. W nocy dyrektora nie ma. Kierownik zmiany nie odważa się zatrzymać procesu: a co jeśli to fałszywy alarm, uderzenie hydrauliczne, utrata partii produktu? Zanim wykonane zostaną telefony, mija pięć minut. Zapisaliśmy w zarządzeniu: starszy dyżurny zmiany ma prawo ogłosić bezwzględne schronienie i awaryjne zatrzymanie bez uzgodnień. Priorytet życia nad sprzętem musi być sformalizowany w dokumentach przed incydentem. Nie wolno o tym dyskutować w trakcie zdarzenia.

Macierz odpowiedzialności istnieje, ale nikt jej nie widział. Kto wyłącza kotłownię, jeśli należy do podwykonawcy, ale znajduje się wewnątrz naszego terenu? Podczas pierwszego treningu nikt nie potrafił odpowiedzieć. Macierz RACI dla każdego typowego działania — ogłoszenie alarmu, podstawienie autobusów do punktu zbiórki, przeliczenie ludzi w schronieniu — dopracowywaliśmy w warunkach sztabowych razem z podwykonawcami, zatwierdziliśmy zarządzeniem i wydrukowaliśmy na laminowanych kartach dla każdego schronu. Macierz przeszła cztery iteracje, zanim zaczęła działać.

Jedynym kanałem łączności jest telefon komórkowy. Przy masowym powiadamianiu sieć komórkowa ulega przeciążeniu. Komunikator firmowy działa tylko tak długo, jak długo działa internet. Uzupełniliśmy schemat PACE dla każdej krytycznej linii: telefonia IP, następnie telefonia komórkowa z SMS, potem łączność radiowa wewnętrzna, a na końcu łączność przewodowa i gońcy. Wprowadziliśmy też test „na zimno”: podczas ćwiczeń bez wyprzedzenia wyłączamy pierwsze dwa poziomy.

Kierujący tonie w natłoku informacji. Czujniki, wideo, meldunki z posterunków, telefony. W pierwszych pięciu minutach to setki zdarzeń. Osoba, która czyta dziennik i jednocześnie podejmuje decyzje, nie nadąża z żadną z tych rzeczy. Widzieliśmy to podczas testów stresowych: kolejka wiadomości rośnie, część ulega zagubieniu, a obraz sytuacji jest odtwarzany dopiero wtedy, gdy sytuacja poszła naprzód. O tym poniżej, w osobnej części.

Niezarejestrowane osoby. System SKUD wskazuje 312 osób na terenie obiektu, a w schronach naliczono 280. Gdzie jest pozostałe 32 osoby? Podwykonawcy na przepustkach jednorazowych, kierowcy przy załadunku, goście. Bez weryfikacji „SKUD — odpowiedź ze schronu” ratownicy zostaną wysłani na poszukiwanie osób, których od dawna nie ma na terenie, a ci, którzy są, nie zostaną odnalezieni.

Od czego zacząć: miesiąc i minimalny budżet

Dobra wiadomość jest taka, że główna część efektu ochronnego nie wynika z technologii, lecz z regulaminu i ćwiczeń. Według naszych szacunków minimalny poziom wdrażania niweluje 60–70% krytycznych podatności. Co to oznacza w praktyce.

Pierwszy tydzień — inwentaryzacja. Schrony z podaniem pojemności, schematami wejść, kluczami. Struktura organizacyjna ze wszystkimi podmiotami prawnymi na terenie. Kontakty do dyspozytorów podwykonawców. Rejestr pojazdów wraz z kierowcami. Wypełniony schemat PACE. Praca żmudna, ale to ona później decyduje o wszystkim.

Drugi tydzień — regulamin. Nie opasły tom na półkę, lecz dokument roboczy na 10–15 stron: role, tryby (żółty, czerwony, niebieski, zielony), algorytmy scenariuszowe, RACI. Szkielet można przygotować przy użyciu narzędzi AI, pisałem o tym w artykule o trenażerze. Jednak dostosowanie do konkretnego obiektu może wykonać tylko ktoś, kto zna dany zakład.

Trzeci tydzień — ćwiczenia aplikacyjne. Scenariusz „Upadek na terenie obiektu” na papierze, ze stoperem. Lista uwag.

Czwarty tydzień — ćwiczenia terenowe przy minimalnej zmianie. Ten sam scenariusz w nocy, bez kierownictwa, z wyłączoną łącznością komórkową. Druga lista uwag. Poprawki. Kolejny cykl.

Regulamin, który przeszedł cztery scenariusze bez krytycznych błędów, to zazwyczaj 3–6 cykli dopracowywania. Każdy kolejny jest krótszy od poprzedniego.

Zwróć uwagę na kolejność poziomów. Stos technologiczny jest dopiero na trzecim miejscu. Przyjęliśmy zasadę 40/40/20: 40% nakładów na regulamin i ćwiczenia, 40% na środki techniczne, 20% na pomieszczenie i wyposażenie sali. Przygotowana zmiana z listą kontrolną na karcie poradzi sobie lepiej niż nieprzeszkolona zmiana z drogim pulpitem nawigacyjnym.

Gdy bez technologii już się nie obędzie

Środki organizacyjne mają swoje granice. Następuje ona w momencie, gdy objętość sygnałów wejściowych przekracza możliwości przetwarzania dyżurnej zmiany. W dużym węźle transportowo-logistycznym z kilkuset osobami na zmianie i dziesiątkami podwykonawców ta granica zostaje osiągnięta już w pierwszych minutach.

Minimalny zestaw roboczy, który dla siebie określiliśmy, składa się z sześciu modułów:

• ewidencja personelu: integracja z systemem SKUD, aplikacja mobilna z przyciskiem „jestem w schronie”, automatyczna weryfikacja brakujących osób;
• mapa sytuacyjna: plan obiektu, warstwa statusów, warstwa zasobów, strefy dynamiczne (promień rozrzutu odłamków 300 m, smuga dymowa według róży wiatrów);
• powiadamianie: jedno okno dla wszystkich kanałów, szablony, statusy doręczenia;
• dyspozycja transportu: gdzie są autobusy, kto znajduje się na trasie;
• dziennik zdarzeń: automatyczna chronologia na potrzeby późniejszej analizy;
• lokalny model językowy jako warstwa interfejsu dla wszystkich powyższych elementów.

O ostatnim punkcie powiem osobno, narosło wokół niego najwięcej mitów.

Rola AI: odciążenie, a nie zastąpienie

Podchodzę sceptycznie do „cyfrowych wyroczni” i pisałem o tym. Jednak w pętli reagowania sztuczna inteligencja ma inne zadanie. Nie oceniać zagrożenie i nie podejmować decyzji, lecz sprawić, aby do kierującego docierał nie tysiąc wierszy dziennika na minutę, ale trzy potwierdzone zdarzenia wymagające jego decyzji.

W prawej kolumnie celowo nie ma punktu „priorytet życia nad procesem technologicznym”. To nie jest decyzja, którą ktoś podejmuje w trakcie incydentu — ani model, ani kierujący. To pewnik sformalizowany w dokumentach z wyprzedzeniem, o czym wspominałem wyżej. Kierujący decyduje, kiedy i jak schronić ludzi oraz zatrzymać proces, ale nie decyduje o tym, czy w ogóle to zrobić.

Trzy zasady, od których nie odstępujemy.

Model jest lokalny, a nie w chmurze. W momencie incydentu zewnętrzne łącze może nie działać. Ponadto strumień wiadomości zawiera dane operacyjne o personelu i sprzęcie, które nie mogą opuszczać obwodu ochrony.

Najpierw system bez AI, potem AI. Regulamin dopracowuje się poprzez ćwiczenia i dopiero wtedy model włącza się jako asystent. Jeśli system od początku budowany jest wokół modelu, jego awaria sparaliżuje wszystko. Jeśli model stanowi nadbudowę, jego awaria jedynie spowalnia pracę.

Model nie ma uprawnień do zmiany stanu obiektu. Żadnych poleceń dla sił i środków, żadnych automatycznych decyzji o ewakuacji. Jest to zagwarantowane na poziomie API, a nie tylko w polityce bezpieczeństwa.

Wynik testów stresowych po wdrożeniu filtrowania: ten sam personel w tych samych scenariuszach radził sobie z obciążeniem pewnie. Przed wdrożeniem — nie.

Ile to kosztuje

Pytanie, które padnie jako pierwsze. Odpowiadam poprzez zapobieżone szkody, w tej samej logice, co w artykule o budżetowaniu.

Dla porównania: bezpośrednie szkody wywołane poważnym pożarem w średniej wielkości bazie paliwowej, uwzględniając przestój, wynoszą od 800 mln do 2,5 mld rubli. Przy konserwatywnym szacunku prawdopodobieństwa incydentu na poziomie 8% w skali roku, oczekiwane uniknięte straty dla średniego scenariusza wynoszą około 50 mln rubli rocznie, przy okresie zwrotu wynoszącym około pół roku. Przy niższym szacunku prawdopodobieństwa okres zwrotu wydłuża się do 2–3 lat, ale pozostaje dodatni.

Zalecam obronę budżetu nie od pełnego scenariusza. Warto zacząć od minimalnego: zapewnia on główną część efektu, kosztuje tyle co jedna średnia umowa z podwykonawcą i po dwóch miesiącach podczas ćwiczeń wskaże, gdzie potrzebne są technologie, a gdzie wystarczy karta instrukcyjna w schronie.

Sprawdź się

• Kto podczas zmiany nocnej posiada pisemne prawo do ogłoszenia schronienia i awaryjnego zatrzymania bez uzgodnień?
• Czy dyspozytor wie, co zrobić po odebraniu sygnału o zbliżającym się dronie, czy po prostu zgłosi to przełożonym?
• Ile poziomów łączności zostało u Was realnie sprawdzonych poprzez wyłączenie pierwszych dwóch?
• Ile osób znajduje się obecnie na terenie według systemu SKUD i ile z nich jesteście w stanie potwierdzić w schronach w ciągu 10 minut?
• Czy w macierzy RACI uwzględniono podwykonawców, których sprzęt znajduje się wewnątrz terenu obiektu?
• Kiedy po raz ostatni przeprowadzono ćwiczenia przy minimalnej obsadzie zmiany, w nocy, bez kierownictwa?
• Ile parametrów znajduje się na głównym ekranie kierującego w trybie kryzysowym? Więcej niż siedem to już nie pomoc, lecz obciążenie.
• Jak dawno aktualizowano regulamin? Jeśli minął ponad kwartał, w tym czasie zmienili się podwykonawcy, sprzęt i ludzie.

Podsumowanie

Gotowość na incydent z udziałem dronów to nie moda ani zbytnia inicjatywa. To realizacja wymogów, które ustawa 116-FZ i tak nakłada na organizację eksploatującą niebezpieczny obiekt produkcyjny: być przygotowanym do lokalizacji awarii, chronić personel, minimalizować szkody. Zmieniło się jedynie źródło zdarzenia inicjującego.

W momencie, gdy na terenie obiektu rozpoczyna się sytuacja nadzwyczajna, decyzję podejmuje konkretna osoba z konkretną mapą swojego obiektu, z przeszkoloną zmianą, ze sprawną łącznością i z zimną krwią. Wszystko, o czym napisano wyżej, jest podporządkowane jednemu zadaniu: dać tej osobie taką możliwość. Ponieważ to my będziemy odpowiadać za rezultat.