UAV trên công trình: Cách bảo vệ con người và tài sản

Các cuộc tấn công bằng thiết bị bay không người lái (UAV) đang trở thành một phần trong cuộc sống hàng ngày của chúng ta. Chỉ vài năm trước, việc UAV rơi xuống một khu vực công nghiệp là điều hiếm khi xảy ra. Tuy nhiên, ngày nay đây đã trở thành một mục trong danh sách các nguồn gây tình huống khẩn cấp, tương tự như hỏa hoạn, mất áp suất rò rỉ hay tràn sản phẩm. Trên bản tin tin tức, chúng ta thường nghe về các cuộc tấn công vào nhiều cơ sở khác nhau ở khắp các vùng miền: kho chứa dầu, cảng biển, trạm nén khí và nhiều công trình khác.

Và trách nhiệm đối với những gì xảy ra tại cơ sở trong nửa giờ đầu tiên thuộc về chính chúng ta. Không phải lực lượng cứu hộ khẩn cấp, không phải vệ binh quốc gia, cũng không phải lực lượng bảo vệ doanh nghiệp. Chúng ta chịu trách nhiệm về tài sản của công ty: trang trại bể chứa, giàn tải, thiết bị mất nhiều tháng để phục hồi. Và trên hết, chúng ta chịu trách nhiệm về nhân sự: những con người đang có mặt tại các khu vực ngoài trời, trong phòng điều khiển hay tại khu vực bốc xếp vào thời điểm xảy ra vụ tấn công. Không ai có thể miễn trừ trách nhiệm này cho chúng ta và không ai có thể thực hiện thay chúng ta.

Trong bài viết này, tôi sẽ không bàn về cách phát hiện hay bắn hạ thiết bị. Đó không phải là chuyên môn của chúng ta. Tôi sẽ nói về những gì nằm trong phạm vi kiểm soát của chúng ta: cách tổ chức ứng phó để con người kịp thời vào nơi trú ẩn, thiết bị chuyển sang trạng thái an toàn và thiệt hại được khống chế ở mức cục bộ. Tất cả những gì ghi ở đây đều đã được thử nghiệm thực tế qua các cuộc diễn tập tại công trình và một số kết luận đã phải trả giá bằng những bài học không hề dễ dàng.

UAV với tư cách là nguồn gây tình huống khẩn cấp do con người

Điều đầu tiên cần xác định rõ cho bản thân và ban lãnh đạo: sau khi UAV rơi xuống cơ sở, sự cố sẽ diễn tiến theo đúng các quy luật như bất kỳ sự cố nào khác. Hư hỏng cơ học đối với bể chứa hoặc đường ống, bốc cháy, tác động nhiệt lên các bể chứa lân cận, nguy cơ phản ứng dây chuyền. Đây chính là chuỗi sự cố mà chúng ta tính toán trong HAZOP và Bow-Tie, đồng thời là cơ sở để xây dựng Kế hoạch ứng phó sự cố. Sự kiện kích hoạt có thể khác, nhưng bản chất vật lý thì hoàn toàn giống nhau.

Từ đó rút ra một kết luận thực tiễn. Chúng ta không cần phải phát minh ra một quy trình hoàn toàn mới. Chỉ cần bổ sung các kịch bản và thủ tục đặc thù vào hệ thống kỹ thuật hiện có: nhận diện nguồn nguy cơ, đánh giá rủi ro, biện pháp phòng ngừa, biện pháp khắc phục, đào tạo và diễn tập. Đây là công việc quen thuộc.

Còn một kết luận thứ hai, và nó quan trọng hơn. Khi lực lượng cứu hộ đến nơi, họ sẽ hành động theo các quy định chung. Cần đóng van nào trước, hướng gió thổi về đâu so với điểm cháy, 40 công nhân nhà thầu đang ở đâu trên mặt bằng mà không có dữ liệu trong Hệ thống kiểm soát ra vào (ACS) – chỉ có ca trực của chúng ta mới nắm rõ. Phần lớn thiệt hại trong các sự cố công nghiệp lớn có thể được ngăn chặn nhờ các hành động trong 10-30 phút đầu tiên. Khoảng thời gian vàng này hoàn toàn phụ thuộc vào chúng ta.

Thời gian sự cố như một công cụ lập kế hoạch

Khi bắt đầu xây dựng quy chế, việc đầu tiên chúng tôi làm là chia sự cố điển hình thành các giai đoạn: từ tín hiệu đầu tiên của hệ thống giám sát cho đến khi khống chế được đám cháy. Đối với mỗi giai đoạn, chúng tôi xác định chế độ vận hành của cơ sở và hành động duy nhất mà nếu thiếu nó, giai đoạn tiếp theo sẽ trở nên mất kiểm soát. Các cột mốc kiểm soát cụ thể và định mức thời gian của mỗi cơ sở là khác nhau: chúng phụ thuộc vào vị trí địa lý, đặc tính của UAV và các hệ thống giám sát mà doanh nghiệp sở hữu. Do đó, ở đây tôi không đưa ra mốc thời gian chi tiết mà trình bày logic của các chế độ vận hành. Logic này mang tính phổ quát và chính nó đã trở thành nền tảng cho mọi kịch bản diễn tập.

Những điều chúng tôi nhận thấy khi bắt đầu thử nghiệm logic này trong các buổi diễn tập.

Giữa tín hiệu cảnh báo tiếp cận và việc quan sát thấy bằng mắt thường có một khoảng thời gian cảnh báo. Khoảng thời gian này chỉ tính bằng phút, nhưng từng đó phút là đủ để dừng các công việc phát sinh nhiệt, sơ tán người khỏi khu vực ngoài trời và chuyển cơ sở sang chế độ sẵn sàng cao. Mà không cần dừng sản xuất. Trên thực tế, tín hiệu từ hệ thống giám sát hoặc không đến được điều độ viên, hoặc đến nhưng không kèm theo quy trình xử lý, dẫn đến mất hoàn toàn khoảng thời gian quý giá này.

Khoảng thời gian cực kỳ quan trọng là những phút đầu tiên sau khi nhìn thấy mục tiêu. Người lao động hoặc đã vào nơi trú ẩn, hoặc chưa. Lối ra qua cổng an ninh hoặc bị phong tỏa, hoặc đám đông đang chạy về hướng mảnh văng bắn ra. Chính tại thời điểm này trong các buổi diễn tập đầu tiên, hầu hết các quy chế viết trên giấy đều bị phá vỡ. Chừng nào việc di chuyển vào nơi trú ẩn chưa diễn ra chuẩn xác đúng thời gian quy định, mọi nội dung khác trong quy chế đều là thứ yếu.

Giai đoạn chờ đợi sau đợt tấn công đầu tiên hầu như đều bị đánh giá thấp. Đợt tấn công thứ hai hoàn toàn có thể xảy ra. Quy tắc "không rời khỏi nơi trú ẩn cho đến khi xác minh được tình hình" và việc lực lượng ứng cứu chỉ tiến vào khu vực qua hành lang an toàn sẽ cứu sống mạng người. Tuy nhiên, về mặt tâm lý, nhân viên thường có xu hướng đi ra ngoài quan sát. Điều này cần được rèn luyện riêng và không thể thành công ngay từ lần đầu. Thời gian duy trì chờ đợi là thông số mà mỗi cơ sở tự xác định và được kiểm tra bằng đồng hồ bấm giờ trong các buổi diễn tập.

Kết quả thu được từ các buổi diễn tập

Chúng tôi đã tiến hành một số chu kỳ diễn tập trên bản đồ và diễn tập thực địa theo bốn kịch bản: "Mục tiêu tiếp cận", "Va chạm tại cơ sở", "Tác động thứ cấp", "Mất liên lạc". Cộng thêm phương án cho từng kịch bản khi áp dụng đối với ca trực đêm tối thiểu. Lần diễn tập đầu tiên theo quy chế mới thường phát hiện 10-15 thiếu sót quan trọng. Một số lỗi lặp đi lặp lại từ cơ sở này sang cơ sở khác, và cần phải nói thẳng về chúng:

Không ai có thẩm quyền phát lệnh trú ẩn. Trong quy chế ghi rõ: giám đốc là người quyết định. Nhưng ban đêm không có giám đốc ở đó. Trưởng ca trực không dám quyết định dừng dây chuyền: liệu có phải báo động giả, nguy cơ búa nước, hay làm hỏng cả lô hàng? Trong lúc thực hiện các cuộc điện thoại xác minh, 5 phút đã trôi qua. Chúng tôi đã thể chế hóa bằng quyết định: trưởng ca trực có quyền phát lệnh trú ẩn bắt buộc và dừng khẩn cấp mà không cần phê duyệt. Ưu tiên tính mạng con người hơn thiết bị phải được quy định trong tài liệu trước khi sự cố xảy ra. Không thể tranh cãi về điều này khi sự cố đang diễn ra.

Ma trận trách nhiệm tồn tại nhưng không ai nhìn thấy. Ai sẽ ngắt hoạt động nhà lò hơi nếu nó thuộc sở hữu của nhà thầu nhưng nằm trong khuôn viên của chúng ta? Trong buổi diễn tập đầu tiên, không ai trả lời được. Ma trận RACI cho từng hành động điển hình – phát lệnh báo động, điều xe buýt đến điểm tập kết, kiểm đếm người trong nơi trú ẩn – đã được chúng tôi xây dựng kỹ lưỡng trên bản đồ cùng với các nhà thầu, phê duyệt bằng quyết định và in ra thẻ ép nhựa cho từng điểm trú ẩn. Ma trận đã trải qua 4 lần chỉnh sửa trước khi đi vào hoạt động thực tế.

Kênh liên lạc duy nhất là mạng di động. Khi phát thông báo hàng loạt, mạng di động sẽ bị quá tải. Ứng dụng nhắn tin nội bộ chỉ hoạt động khi có kết nối internet. Chúng tôi đã thiết lập sơ đồ PACE cho từng tuyến liên lạc thiết yếu: thoại IP, tiếp theo là di động với tin nhắn SMS, sau đó là bộ đàm nội bộ, cuối cùng là điện thoại dây cố định và người đưa tin. Đồng thời triển khai bài kiểm tra đột xuất: tắt hai cấp độ đầu tiên trong các buổi diễn tập mà không báo trước.

Người quản lý bị quá tải thông tin. Cảm biến, camera, báo cáo từ các trạm, các cuộc gọi. Trong 5 phút đầu tiên có tới hàng trăm sự kiện diễn ra. Một người vừa phải đọc nhật ký sự cố vừa phải đưa ra quyết định sẽ không thể hoàn thành tốt nhiệm vụ nào. Chúng tôi đã chứng kiến điều này trong các bài kiểm tra áp lực: hàng chờ tin nhắn tăng lên, một phần bị thất lạc, bức tranh toàn cảnh chỉ được khôi phục sau khi tình hình đã vượt quá tầm kiểm soát. Chi tiết về vấn đề này sẽ được trình bày riêng ở phần dưới.

Số lượng nhân sự không được kiểm soát. Hệ thống ACS ghi nhận 312 người tại cơ sở, nhưng khi kiểm đếm tại nơi trú ẩn chỉ có 280 người. 32 người còn lại ở đâu? Đó là nhà thầu dùng thẻ ra vào một lần, tài xế tại khu vực bốc xếp, khách tham quan. Nếu không có bước đối chiếu "dữ liệu ACS – xác nhận từ nơi trú ẩn", lực lượng cứu hộ sẽ bị điều đi tìm những người đã rời khỏi cơ sở từ lâu, trong khi những người đang mắc kẹt lại không được tìm thấy.

Bắt đầu từ đâu: Một tháng và ngân sách tối thiểu

Tin tốt là phần lớn hiệu quả bảo vệ đạt được không phải nhờ công nghệ mà nhờ vào quy chế và các buổi diễn tập. Theo đánh giá của chúng tôi, mức độ triển khai tối thiểu giúp khắc phục 60-70 % các lỗ hổng nguy hiểm. Điều này có ý nghĩa gì trên thực tế.

Tuần đầu tiên – Kiểm kê. Xác định nơi trú ẩn kèm sức chứa, sơ đồ lối vào, chìa khóa. Cơ cấu tổ chức với tất cả các pháp nhân trong khu vực. Thông tin liên lạc của điều độ viên các nhà thầu. Danh sách phương tiện kèm tài xế. Hoàn thiện sơ đồ PACE. Công việc này có vẻ tẻ nhạt, nhưng chính nó lại quyết định tất cả về sau.

Tuần thứ hai – Quy chế. Không phải một cuốn sách dày cất trên kệ, mà là một tài liệu làm việc dài 10-15 trang: vai trò, các chế độ (vàng, đỏ, xanh dương, xanh lá), thuật toán xử lý theo kịch bản, ma trận RACI. Khung tài liệu có thể được chuẩn bị bằng các công cụ AI, tôi đã đề cập điều này trong bài viết về mô hình diễn tập. Tuy nhiên, việc tinh chỉnh theo thực tế công trình phải do người hiểu rõ mặt bằng thực hiện.

Tuần thứ ba – Diễn tập trên bản đồ. Thực hiện kịch bản "Va chạm tại cơ sở" trên giấy với đồng hồ bấm giờ. Lập danh sách thiếu sót.

Tuần thứ tư – Diễn tập thực địa với ca trực tối thiểu. Cùng kịch bản đó thực hiện vào ban đêm, không có ban lãnh đạo, ngắt kết nối mạng di động. Lập danh sách thiếu sót thứ hai. Sửa đổi. Chuyển sang chu kỳ tiếp theo.

Một quy chế trải qua bốn kịch bản mà không gặp lỗi nghiêm trọng thường mất 3-6 chu kỳ hoàn thiện. Mỗi chu kỳ sau sẽ ngắn hơn chu kỳ trước.

Hãy chú ý đến thứ tự các cấp độ. Bộ giải pháp công nghệ chỉ đứng thứ ba. Chúng tôi áp dụng quy tắc 40/40/20: 40 % nỗ lực dành cho quy chế và diễn tập, 40 % cho phương tiện kỹ thuật, 20 % cho phòng điều hành và thiết bị. Một ca trực được đào tạo bài bản với danh mục kiểm tra in trên thẻ sẽ xử lý hiệu quả hơn một ca trực thiếu kinh nghiệm sở hữu bảng điều khiển đắt tiền.

Khi không thể thiếu sự hỗ trợ của công nghệ

Các biện pháp tổ chức đều có giới hạn. Giới hạn đó xuất hiện khi lượng tín hiệu đầu vào vượt quá khả năng xử lý của ca trực. Tại một trung tâm vận tải - logistics lớn với hàng trăm người trong mỗi ca trực và hàng chục nhà thầu, giới hạn này đạt tới ngay trong những phút đầu tiên.

Bộ công cụ làm việc tối thiểu mà chúng tôi xác định bao gồm 6 phân hệ:

• kiểm soát nhân sự: tích hợp với hệ thống ACS, ứng dụng di động với nút "tôi đã ở nơi trú ẩn", tự động đối chiếu số lượng chưa xác minh;
• bản đồ tình huống: mặt bằng cơ sở, lớp trạng thái, lớp tài nguyên, các vùng động (vùng mảnh văng 300 m, vệt khói theo hướng gió);
• thông báo: một cửa cho tất cả các kênh, mẫu tin nhắn, trạng thái chuyển giao;
• điều độ phương tiện: vị trí xe buýt, nhân sự trên tuyến;
• nhật ký sự cố: tự động ghi nhận tiến trình thời gian phục vụ phân tích sau sự cố;
• mô hình ngôn ngữ cục bộ đóng vai trò lớp giao diện kết nối tất cả các thành phần trên.

Tôi sẽ nói riêng về điểm cuối cùng, vì đây là chủ đề có nhiều hiểu lầm nhất.

Vai trò của AI: Giảm tải chứ không thay thế

Tôi khá hoài nghi về các "tiên tri kỹ thuật số" và đã từng viết về điều này. Tuy nhiên, trong quy trình ứng phó, AI có một nhiệm vụ khác. Không phải đánh giá mối đe dọa hay đưa ra quyết định, mà là đảm bảo người quản lý không phải tiếp nhận hàng nghìn dòng nhật ký mỗi phút, mà chỉ nhận được 3 sự kiện đã được xác minh cần họ ra quyết định.

Ở cột bên phải cố tình không có mục "ưu tiên tính mạng hơn quy trình công nghệ". Đây không phải là quyết định được đưa ra trong lúc xảy ra sự cố – dù là bởi mô hình hay người quản lý. Đó là một nguyên tắc cốt lõi đã được cố định trong văn bản từ trước, như tôi đã đề cập ở trên. Người quản lý quyết định thời điểm và cách thức đưa người vào nơi trú ẩn cũng như dừng quy trình, chứ không phải quyết định có làm việc đó hay không.

Ba nguyên tắc mà chúng tôi kiên quyết tuân thủ.

Mô hình vận hành cục bộ, không dùng điện toán đám mây. Tại thời điểm xảy ra sự cố, kết nối mạng bên ngoài có thể bị gián đoạn. Hơn nữa, luồng tin nhắn chứa dữ liệu vận hành về nhân sự và thiết bị không được phép vượt ra khỏi ranh giới bảo mật.

Trước tiên là quy trình không có AI, sau đó mới tích hợp AI. Quy chế được hoàn thiện qua các buổi diễn tập, và chỉ sau đó mô hình mới được tích hợp như một công cụ hỗ trợ. Nếu hệ thống ngay từ đầu được xây dựng xoay quanh mô hình, việc mô hình bị lỗi sẽ làm tê liệt toàn bộ. Nếu mô hình chỉ là một lớp bổ trợ, sự cố của nó chỉ làm chậm tiến độ công việc.

Mô hình không có quyền thay đổi trạng thái của cơ sở. Không phát lệnh cho các lực lượng và phương tiện, không tự động đưa ra quyết định sơ tán. Điều này được thiết lập cứng ở cấp độ API chứ không chỉ nằm trong chính sách.

Kết quả kiểm tra áp lực sau khi triển khai bộ lọc: cùng lực lượng nhân sự trong cùng các kịch bản đã xử lý khối lượng công việc một cách tự tin. Trước khi triển khai thì không thể làm được.

Chi phí triển khai là bao nhiêu

Đây là câu hỏi đầu tiên sẽ được đặt ra. Tôi xin trả lời thông qua thiệt hại được ngăn ngừa, theo đúng logic đã trình bày trong bài viết về lập ngân sách.

Để so sánh: thiệt hại trực tiếp từ một vụ hỏa hoạn nghiêm trọng tại một kho chứa dầu quy mô trung bình, tính cả thời gian ngừng hoạt động, là từ 800 triệu đến 2,5 tỷ RUB. Với đánh giá thận trọng về xác suất xảy ra sự cố là 8 % mỗi năm, thiệt hại dự kiến được ngăn ngừa đối với phương án trung bình là khoảng 50 triệu RUB hàng năm, thời gian hoàn vốn khoảng nửa năm. Với đánh giá xác suất thấp hơn, thời gian hoàn vốn có thể kéo dài từ 2-3 năm nhưng vẫn đạt giá trị dương.

Tôi khuyên bạn không nên bảo vệ ngân sách bắt đầu từ phương án toàn diện. Hãy bắt đầu với phương án tối thiểu: nó mang lại phần lớn hiệu quả, chi phí chỉ tương đương một hợp đồng nhà thầu mức trung bình và sau hai tháng diễn tập sẽ chỉ rõ nơi nào cần đến công nghệ, nơi nào chỉ cần tấm thẻ in quy trình tại điểm trú ẩn.

Tự kiểm tra cơ sở của bạn

• Ai trong ca trực đêm có quyền bằng văn bản để phát lệnh trú ẩn và dừng khẩn cấp mà không cần phê duyệt?
• Điều độ viên có biết phải làm gì khi nhận tín hiệu UAV đang tiếp cận hay chỉ đơn thuần báo cáo lên cấp trên?
• Có bao nhiêu cấp độ liên lạc của bạn thực sự được kiểm tra bằng cách ngắt hai cấp độ đầu tiên?
• Hệ thống ACS ghi nhận bao nhiêu người đang ở trên mặt bằng hiện tại, và bạn có thể xác nhận bao nhiêu người trong số họ đã ở trong nơi trú ẩn trong vòng 10 phút?
• Trong ma trận RACI có bao gồm các nhà thầu có thiết bị nằm trong khuôn viên của bạn không?
• Lần cuối cùng tổ chức diễn tập với lực lượng ca trực tối thiểu, vào ban đêm và không có ban lãnh đạo là khi nào?
• Có bao nhiêu thông số hiển thị trên màn hình chính của người quản lý trong chế độ khủng hoảng? Nhiều hơn 7 thông số không còn là hỗ trợ mà sẽ trở thành gánh nặng.
• Quy chế được cập nhật lần cuối khi nào? Nếu đã quá một quý, trong khoảng thời gian đó các nhà thầu, thiết bị và nhân sự đã có sự thay đổi.

Kết luận

Sẵn sàng ứng phó với sự cố UAV không phải là xu hướng thời thượng hay sáng kiến dư thừa. Đó là việc thực hiện những yêu cầu mà Luật An toàn công nghiệp 116-FZ vốn đã bắt buộc đối với tổ chức vận hành công trình sản xuất nguy hiểm: sẵn sàng khống chế sự cố, bảo vệ nhân sự, giảm thiểu thiệt hại. Điểm thay đổi duy nhất chỉ là nguồn gốc của sự kiện kích hoạt.

Tại thời điểm tình huống bất thường bắt đầu xảy ra trên mặt bằng, người đưa ra quyết định là một cá nhân cụ thể với bản đồ chi tiết của cơ sở, với ca trực được đào tạo bài bản, với hệ thống liên lạc hoạt động tốt và một tinh thần tỉnh táo. Tất cả những gì được trình bày ở trên đều phục vụ một mục tiêu duy nhất: trao cho người đó cơ hội thực hiện điều này. Bởi vì chính chúng ta sẽ là những người chịu trách nhiệm về kết quả cuối cùng.