Що робити, коли автоматика помиляється мовчки?

На пульті все зелене. Лінія працює, план іде, оператор нічної зміни спокійний. А датчик, який мав зупинити конвеєр, коли людина заходить у небезпечну зону, уже тиждень «дивиться» в шар пилу.

Коли на підприємство ставлять нову автоматизовану лінію, усі видихають: менше ручної роботи, менше людського фактора, менше приводів хвилюватися. Але на етапі закупівлі рідко хтось питає: що станеться, коли ця розумна система помилиться і нікому про це не скаже?

Давайте розбиратись.

Що таке «сильна, мовчазна і хибна» автоматика?

Цей вислів давно обговорюють у науці про безпеку. Нещодавно до нього повернулися автори подкасту Safe As на ресурсі SafetyInsights.org. Вони спираються на роботу дослідників безпеки, а як приклад розбирають авіакатастрофи, пов'язані з автоматичною системою керування літаком.

Розберемо назву по словах, бо кожне описує окрему небезпеку:

• Сильна. Система має високі повноваження: сама змінює режим роботи обладнання і може «перебороти» дії людини.
• Мовчазна. Вона не пояснює, що робить і чому. Оператор бачить наслідок, але не бачить логіки.
• Хибна. Вона помиляється, наприклад через некоректні дані з датчика, і продовжує діяти з повною впевненістю.

Окремо кожна з цих рис ще не катастрофа. Сильна автоматика, яка чесно повідомляє про свої дії, керована. Мовчазна автоматика з малими повноваженнями хіба що дратує. Небезпечним стає поєднання: система має владу, нічого не пояснює і при цьому помиляється.

Якщо шукати побутову аналогію, це навігатор, який упевненим голосом каже «через двісті метрів поверніть праворуч», а праворуч річка. Тільки на виробництві навігатор ще й сам крутить кермо.

Важливо: історія з авіацією не привід для жартів чи легковажних висновків. Там загинули люди, а розслідування таких катастроф складні й багатошарові. Ми згадуємо цей приклад лише тому, що він наочно показує механізм, який є і на звичайному заводі, складі чи в котельні.

Задумана і реальна робота: де ховається розрив

Автори подкасту пов'язують тему з давно відомим у безпеці поняттям — розривом між задуманою роботою (як її уявили проєктувальник, технолог чи автор інструкції) і реальною роботою (як її насправді виконують люди на місці).

Простими словами: розробник автоматики уявляє ідеальний світ. Датчики чисті, сировина однорідна, оператор досвідчений і уважний, ніхто не поспішає. А потім система потрапляє в реальний цех, де пил, вібрація, нічна зміна, план «на вчора» і новачок, якого вчора посадили за пульт.

Отже, проблема не в тому, що автоматика погана. Проблема в тому, що вона працює за моделлю світу, яка може не збігатися з реальністю. І поки цю різницю ніхто не перевірив, вона невидима.

Погодьтесь, у паперовій охороні праці буває так само: інструкція описує одне, на робочому місці роблять інше, а журнал інструктажів підписаний ідеальним почерком. Різниця лише в тому, що папір сам не вмикає двигун. Автоматика вмикає.

Як мовчазна помилка автоматики виглядає на підприємстві

«У нас же не літаки», — запитаєте ви. Так. Але механізм той самий. Ось ситуації, які ми впізнаємо на об'єктах:

• Конвеєр з датчиком присутності. Датчик забруднився або зміщений, система «не бачить» людину в небезпечній зоні. Лінія працює, на пульті все зелене.
• Автоматичне регулювання тиску чи температури. Датчик бреше, автоматика «виправляє» ситуацію, якої немає, і доводить процес до реально небезпечного стану. На екрані норма.
• Система газового контролю. Після оновлення програми чи заміни блоку частина каналів перестала передавати сигнал, але індикація цього не показує.
• Роботизована комірка або верстат з ЧПК. Система перейшла в інший режим (налагодження, автоматичний перезапуск), а людина біля обладнання про це не знає.
• Автоматичний склад, ворота, підйомники. Обладнання рухається за алгоритмом, логіку якого на зміні не розуміє ніхто, крім сервісного інженера підрядника. А він за кількасот кілометрів.

Спільне одне: система не кричить про проблему. Вона спокійно і впевнено робить не те.

Як відрізнити небезпечну автоматику від керованої:

Покроковий алгоритм: перевіряємо автоматику очима безпеки

Диплом програміста тут не потрібен. Потрібні уважність, кілька годин на місці і готовність ставити незручні питання. Стаття 13 Закону України «Про охорону праці» вимагає, щоб роботодавець забезпечував функціонування системи управління охороною праці. Автоматика з повноваженнями — частина цієї системи, а не окремий світ, за який відповідає лише ІТ чи сервісник.

Крок 1. Складіть перелік автоматики з повноваженнями. Не все підряд, а те, що може само запустити, зупинити, перемкнути режим або заблокувати дії людини: блокування, аварійні системи, автоматичні регулятори, роботи, ворота, підйомники.

Крок 2. Для кожної системи дайте відповідь на три питання.

• Що вона може зробити без людини?
• Звідки бере дані: які датчики і скільки їх?
• Що станеться, якщо ці дані будуть хибними?

Якщо на третє питання на підприємстві не може відповісти ніхто, ви знайшли точку, з якої почнеться найцікавіше.

Крок 3. Пройдіть ногами до пульта і подивіться очима оператора. Чи видно, в якому режимі працює система? Чи зрозуміло з екрана, що вона робить зараз? Чи є окремий сигнал про несправність датчика, чи тільки загальна «аварія»? Спитайте людей на зміні: «Що робить ця система, коли…?» Їхні відповіді часто кажуть більше, ніж паспорт обладнання.

Крок 4. Перевірте, чи її можна зупинити. Аварійна зупинка має бути доступною, позначеною і спрацьовувати саме так, як думають люди. Вимоги до безпеки машин передбачають засоби аварійної зупинки, але на практиці ми бачимо кнопки, заставлені піддонами, і обладнання, яке після зупинки «тихо» перезапускається. Перевіряйте не наявність кнопки, а реальну зупинку.

Крок 5. Внесіть сценарії відмови автоматики в оцінку ризиків. Класична помилка — оцінювати ризик «за умови, що автоматика працює». Додайте окремий сценарій: автоматика працює хибно і нічого про це не каже. Саме для цього потрібна оцінка професійних ризиків не «для папки», а з розбором реального обладнання на кожній посаді.

Крок 6. Навчіть людей на збоях, а не на ідеальному режимі. Оператор, який бачив систему лише в штатному режимі, у нестандартній ситуації спершу витратить дорогоцінні секунди на питання «що відбувається?». Відпрацюйте з ним, як розпізнати хибну поведінку автоматики і що робити далі. Стаття 18 Закону України «Про охорону праці» прямо каже, що працівники під час прийняття на роботу і в процесі роботи повинні проходити інструктаж і навчання з питань охорони праці за рахунок роботодавця. Практичні тренінги з охорони праці тут працюють краще, ніж черговий підпис у журналі.

Крок 7. Оновіть інструкції. В інструкції з охорони праці має бути не лише «натиснути кнопку ПУСК», а й «що робити, якщо система поводиться не так, як очікується»: ознаки, дії, кому повідомити і коли зупиняти без погоджень.

Коли відступ від процедури спрацьовує, і чому це тривожний сигнал

Другий сліпий кут, про який говорять автори подкасту, дзеркальний до першого: відступи від процедури, що закінчуються успіхом. Спойлер: це той самий розрив між задуманою і реальною роботою.

Інструкція каже одне, але досвідчений оператор знає, що «так не працює», і робить по-своєму. План виконано, ніхто не постраждав. А отже, ніхто й не питає, чому процедуру обійшли.

Тут дві пастки:

• Успішний відступ стає нормою. Його починають повторювати люди без відповідного досвіду. Те, що безпечно робить ветеран із двадцятирічним стажем, новачок повторити не зможе.
• Успішний відступ — це діагноз процедури. Якщо люди регулярно обходять блокування, найімовірніше, проблема в самому блокуванні, його налаштуванні чи організації роботи, а не лише в «недисциплінованості».

На нашу думку, правильна реакція — не карати автоматично і не закривати очі, а розбиратись. Чому обходять? Що заважає? Чи можна змінити процедуру або налаштування так, щоб безпечний спосіб став ще й зручним? Саме тут незалежний аудит охорони праці бачить те, до чого власний персонал давно звик.

Важливо: йдеться про розуміння причин, а не про виправдання обходів. Блокування, яке зняли «щоб швидше», — це прямий ризик для життя людини. Його повертають одразу, а причини з'ясовують паралельно.

Часті питання

Чи означає це, що автоматика небезпечніша за ручну роботу?

Ні. Автоматика прибирає людей із найнебезпечніших операцій і знижує багато ризиків. Проблема виникає, коли їй довіряють сліпо, а її поведінку ніхто не розуміє.

Хто відповідає за безпеку автоматизованої лінії: постачальник чи підприємство?

Обидва, але за різне. Технічний регламент безпеки машин (постанова КМУ від 30.01.2013 № 62) вимагає, щоб захисні пристрої були вбудовані так, щоб люди не могли торкатися рухомих частин машини, поки ті рухаються. Це вимоги до конструкції, тобто до виробника і постачальника. А організувати безпечну роботу, навчити людей і оцінити ризики в реальних умовах має роботодавець. Паспорт обладнання не знає, яка у вас нічна зміна і скільки пилу в цеху.

Як часто перевіряти блокування і аварійну зупинку?

Мінімум — у строки, визначені виробником і вашими внутрішніми документами. На практиці ми радимо перевіряти ще й після кожного ремонту, оновлення програми, заміни датчиків і будь-якого інциденту.

Що робити, якщо працівники постійно обходять блокування?

Спершу припинити обхід, бо ризик нікуди не дівся. Далі з'ясувати чому: часто це невдале налаштування, незручна процедура або тиск плану. Усуньте причину, інакше обхід повернеться.

Висновок

Автоматика не стає безпечною лише тому, що вона автоматична. Уже сьогодні зробіть три речі: складіть перелік систем, які можуть діяти без людини, спитайте операторів, чи розуміють вони, що ці системи роблять, і перевірте, чи все це реально зупиняється. Відповіді покажуть, де у вас розрив між задуманою і реальною роботою, а далі цей розрив варто закрити оцінкою ризиків і навчанням на збоях.

Якщо ви запускаєте нову лінію або вже маєте автоматику, логіку якої на зміні до кінця не розуміє ніхто, ми допоможемо подивитися на неї очима безпеки: під час оцінки ризиків розберемо сценарії відмов на кожній посаді і запропонуємо план коригувальних дій, а на аутсорсингу охорони праці наш інженер вестиме це системно — документи, навчання персоналу і супровід перевірок Держпраці. Звертайтесь до нас, ми точно маємо для вас раціональне рішення.