厂区上空的无人机：如何保护人员与资产

无人机袭击正在成为我们日常生活的一部分。就在几年前，无人机坠落工业厂区还是罕见的极端事件。而如今，它已与火灾、设备失压泄露和物料泄漏一样，列入了突发事件风险源清单。在新闻中，我们经常能听到全国各地不同设施遭袭的消息：油库、港口码头、压气站等。

在事发后的前半小时内，厂区内发生的一切责任都在于我们自身。不是紧急情况部，不是国民卫队，也不是企业安保部门。我们对公司的资产负责：对罐区、装卸栈桥、以及需要数月才能修复的设备负责。最重要的是，我们对人员负责：对在袭击瞬间身处露天场地、操作室和装卸岗位的员工负责。这项责任没有人能替我们免除，也没有人能代我们履行。

在这篇文章中，我不会讨论如何探测和击落无人机，这超出了我们的职责范围。我将重点探讨属于我们职责范围内的事宜：如何组织应急响应，使人员快速撤入避难所、设备处于安全状态，并将损失控制在局部范围内。本文所写的一切均在实际生产设施演练中经过验证，其中部分结论是在付出代价后才总结出来的。

无人机作为生产安全突发事件源

我们和管理层首先需要明确的一点是：无人机坠落厂区后，事故演变遵循与任何其他工业事故相同的规律。容器或管道的机械损伤、着火、对相邻储罐的热辐射影响，以及级联反应风险。这正是我们在HAZOP和Bow-Tie分析中所推演的演变链条，也是编写事故应急预案的基础。诱发事件虽然不同，但物理规律完全一致。

由此得出一个切合实际的结论：我们无需开创一门全新的学科，只需在现有的工程管理体系中补充专项场景和流程：源头识别、风险评估、预防措施、应急处置、培训与演练。这些都是我们熟知的工作。

还有第二个结论，而且更加关键。救援人员赶到后会按照标准规程采取行动。但先关闭哪个阀门、风向相对于火源如何变化、厂区内未录入门禁系统的40名承包商人员具体分布在哪里，只有我们的值班班组最清楚。大型工业事故的主要损失可以通过事发后前10至30分钟内的处置行动来避免。这段黄金处置窗口期完全取决于我们。

将事故处置时间线作为规划工具

在开始制定管理规程时，我们做的第一件事是将典型事故分解为若干阶段：从监控系统发出首次预警信号，到控制并消除火源。对于每个阶段，我们明确了设施所处的响应模式，以及确保下一阶段不至于失控的唯一核心动作。各设施的具体控制节点和时间指标因地理位置、无人机特征及企业现有的监控系统而异。因此，我在此列出的不是具体时间表，而是响应模式的内在逻辑。这种逻辑具有通用性，构成了我们所有演练场景的基础。

在演练中验证这一逻辑时，我们发现了以下几个关键问题。

在收到接近信号与目视确认之间存在一段预警窗口期。虽然只有短短数分钟，但足以用来暂停动火作业、将人员从露天场地撤离，并将设施提升至高度戒备模式，且无需全面停产。然而在实际操作中，监控系统的信号要么未能送达调度员，要么送达后缺乏处置算法，导致预警窗口被完全浪费。

最关键的间隔是目视确认后的前几分钟。此时人员要么已进入避难所，要么尚未撤离；出入闸口要么已锁定，要么人群正在朝破片飞散方向奔跑。在最初的演练中，大多数“停留在纸面上”的规程正是在这一环节失效的。只要人员避险无法在规程规定的时间内顺畅完成，规程中的其他条款就都是次要的。

几乎所有人都低估了首次撞击后的等待期。很可能会发生二次袭击。“在现场情况未得到确认前不得离开避难所”的规定，以及应急救援队伍仅通过安全走廊进入作业区的要求，能够挽救救援人员的生命。然而，从心理上看，员工往往倾向于走出来一探究竟。这一点需要专门训练，且往往难以一次成功。等待持续时间是每个设施根据自身情况确定的参数，并在演练中通过秒表进行严格检验。

演练揭示的问题

我们围绕“无人机接近”、“坠落厂区”、“二次影响”和“通讯中断”四个场景，开展了多轮桌面演练和现场演练，并针对夜间最小化值班班组模式对各个场景进行了测试。新规程的首次演练通常会发现10至15个重大问题。其中一些问题在不同设施中反复出现，有必要在此明确指出：

无人获授权发布避险指令。 规程中规定：由总经理作出决策。但在夜间，总经理并不在场。值班长不敢擅自暂停工艺流程：万一是误报、引发水击效应或造成整批产品报废怎么办？在层层打沟通电话的过程中，5分钟就过去了。为此，我们通过正式行政命令明确：值班班长有权在无需事先审批的情况下，直接发布无条件避险及紧急停机指令。生命安全高于设备安全的原则必须在事故发生前通过文件形式加以固定，切不可在事发当时对此产生争议。

存在职责分配矩阵（RACI），但无人知晓。 如果厂区内部的锅炉房属于承包商，突发状况下应由谁负责切断其运行？在首次演练中，没有人能给出答案。我们与承包商一道在桌面演练中细化了各项典型动作（发布警报、派遣巴士前往集合点、在避难所清点人数）的RACI矩阵，经行政命令批准后，印制成护膜卡片分发至各个避难所。该矩阵经历了四轮迭代才最终实现有效运转。

唯一的通讯渠道是移动网络。 在大规模通知时，移动网络极易发生过载；企业即时通讯软件也仅在互联网通畅时有效。我们为每条关键通讯线路制定了PACE备用计划：首选IP电话，其次为移动短信，再次为专网无线对讲，最后为有线电话和联络员。此外，我们引入了“盲测”机制：在演练中未经预警直接切断前两个层级的通讯。

指挥人员被海量信息淹没。 传感器数据、监控画面、岗位汇报、电话呼叫——在前5分钟内会产生数百起事件。指挥人员若既要查阅日志又要作出决策，势必两头顾不上。我们在压力测试中观察到了这一现象：消息队列不断积压，部分信息遗失，待看清全局时，事态早已演变。关于这一点，后文将专门予以阐述。

人员遗漏与失控。 门禁系统显示厂区内有312人，但在避难所清点时仅有280人。其余32人在哪里？他们是持临时通行证的承包商人员、装卸区司机以及访客。如果不进行“门禁记录与避难所反馈”的交叉核对，救援人员可能会被派去搜寻早已离开厂区的人，而真正受困的人员却无法得到及时救援。

从何入手：一个月与最低预算

好消息是，大部分防护效果并非依赖技术设备，而是靠规程和演练来实现。据我们评估，最低限度的实施水平即可覆盖60%至70%的关键漏洞。这在实践中意味着什么？

第一周——盘点清理。核查避难所容量、入口图纸及钥匙；梳理涵盖厂区内所有法人实体的组织架构；收集承包商调度员联系方式；建立车辆及司机登记册；完成PACE通讯方案的制定。这项工作看似枯燥，但恰恰决定了后续处置的成败。

第二周——制定规程。这不是指摆在书架上的厚重卷宗，而是10至15页的可操作文件：涵盖角色分工、响应模式（黄色、红色、蓝色、绿色）、场景处置算法及RACI矩阵。规程框架可借助人工智能工具辅助起草（我曾在关于模拟训练器的文章中提及），但针对具体设施的适配修正，必须由熟悉现场情况的人员完成。

第三周——桌面演练。在纸面上针对“坠落厂区”场景开展演练，严格进行秒表计时，并形成问题整改清单。

第四周——最小化值班班组现场实战演练。在夜间无管理人员在场、切断移动通讯的条件下，对同一场景再次演练。汇总第二份问题清单，完成修订，随后进入下一轮循环。

一套能够无重大错误地通过全部四个场景测试的规程，通常需要经历3到6轮迭代修改。随后的每一轮优化周期都会比前一轮更加高效。

请注意各个层级之间的先后顺序。技术栈仅排在第三位。我们采用了“40/40/20”法则：40%的精力用于规程与演练，40%用于技术装备，20%用于指挥场所及硬件设施建设。手持操作清单卡片且训练有素的值班班组，其处置表现远胜于手握昂贵数据看板却缺乏经验的班组。

何时必须引入技术手段

组织管理措施存在其能力边界。当输入的信号量超出值班班组的处理极限时，该边界便宣告显现。在拥有数百名当班人员和数十家承包商的大型交通物流枢纽中，这种极限往往在事故最初几分钟内就会被突破。

我们为自己设定的最小化实用技术套件由以下六个模块构成：

• 人员管控：集成门禁系统，带有“我已进入避难所”一键报平安功能的移动应用，以及未清点人员的自动比对；
• 态势图：设施平面图、状态图层、资源图层及动态危险区（半径300米的破片飞散区、顺应风向的烟雾扩散带）；
• 应急通知：一键全渠道发布、预设模板及送达状态跟踪；
• 车辆调度：掌握巴士实时位置及在线运行情况；
• 事件日志：自动记录时间线，以便后续进行事故复盘分析；
• 本地大语言模型：作为上述所有模块的统一交互层。

针对最后一个模块，我将单独予以说明，因为围绕它的误解和迷思最多。

人工智能的角色：减负而非替代

我对所谓的“数字神谕”持怀疑态度，并曾就此撰文交流。然而在应急响应体系中，人工智能承担着截然不同的任务：它并非用于评估威胁或作出决策，而是确保呈报给指挥人员的不是每分钟上千行的日志杂讯，而是三起经确认且确实需要其作裁决的关键事件。

在右侧列中，我们特意去掉了“生命安全高于工艺流程”这一项。这并非在事故发生期间由任何人（无论是模型还是指挥人员）临时作出的决定，而是正如我前文所述，早已在制度文件中明确固化的基本原则。指挥人员决定的是何时以及如何组织人员避险和暂停工艺，而非决定是否需要采取这些行动。

我们在实践中始终恪守的三项基本原则：

采用本地部署大模型，而非云端模型。突发事件发生时外网链路可能会中断；此外，消息流中包含大量关于人员和设备的敏感实时数据，绝不能流出厂区安全边界。

先构建无人工智能的基线体系，再引入人工智能。应急规程必须先通过实战演练磨合成熟，而后再将大模型作为辅助工具嵌入。如果系统从一开始就围绕模型构建，一旦模型失效将导致整体瘫痪；而若将模型定位为上层扩展，其失效仅会降低响应效率，不会导致瘫痪。

模型无权改变设施的运行状态。不得向应急力量和资源下达任何指令，不得自动作出疏散决策。这一点不仅体现在管理政策中，更在API接口层面予以强制限定。

引入信息过滤机制后的压力测试结果表明：相同的人员在相同的场景下能够沉着从容地应对信息过载；而在引入该机制前，他们无法做到这一点。

项目预算与投入

这是管理层最先提出的问题。我将从“规避的潜在损失”这一角度进行解答，这与我在预算编制文章中所采用的分析逻辑一致。

作为对比：中型油库发生严重火灾所造成的直接损失（含停工损失）在8亿至25亿卢布之间。按照每年8%的保守事故发生概率计算，“标准型”方案预计每年可减少约5000万卢布的期望损失，投资回收期约为半年。即便在更低的概率估算下，投资回收期延长至2到3年，投资回报率依然为正。

建议在申请预算时不要直接从“完全型”方案切入。不妨从“基础型”方案开始：它能提供最主要的防护效果，费用仅相当于一份中等规模的承包合同，并且能在两个月后的演练中清晰展现出哪些环节需要技术装备支撑，哪些环节只需避难所内的提示卡片即可胜任。

自查清单

• 在夜间值班期间，谁拥有无需事先请示即可发布避险和紧急停机指令的书面授权？
• 调度员在收到无人机接近信号时是否清楚处置流程，还是仅会将情况向上级汇报？
• 在切断前两个层级的情况下，你们实际验证过多少个通讯层级？
• 门禁系统显示当前厂区有多少人，你们能否在10分钟内确认避难所中的实际人数？
• RACI矩阵中是否包含了设备设在厂区内部的承包商？
• 上次在夜间、无管理人员在场且按最小化班组配置开展演练是什么时候？
• 在危机模式下，呈现在指挥人员主屏幕上的参数有多少项？超过7项非但无法提供帮助，反而会造成负担。
• 应急规程上次更新是在什么时候？如果超过一个季度，这期间承包商、设备和人员可能都已经发生了变动。

结语

防范无人机突发事件既非盲目赶时髦，亦非多此一举的过度举措。这正是危险生产设施运营单位履行第116-FZ号联邦法律规定职责的体现：做好事故控制与消除准备、保护人员安全、最大程度减少损失。改变的仅仅是事故的诱发源头。

当厂区发生突发状况时，现场决策将由一位手握具体设施地图、带领训练有素的班组、依赖畅通通讯并保持清醒头脑的指挥人员来做出。上文所述的一切，都是为了赋予他这种能力。因为最终对结果负责的，正是我们自己。