Piper Alpha pokazała, że zmiana pracowników może być krytycznym momentem bezpieczeństwa technicznego
Katastrofa platformy Piper Alpha w 1988 roku była wielką awarią przemysłową, ale jedna z jej najważniejszych lekcji dotyczyła czegoś pozornie administracyjnego: przekazywania informacji między zmianami. Prace przy jednym z układów pomp nie zostały skutecznie zakomunikowane kolejnej zmianie. HSE wskazuje awarię przekazania informacji jako jeden z wielu czynników katastrofy. Raport Cullena stał się podstawą głębokiej reformy bezpieczeństwa na brytyjskim szelfie, w tym systemu safety case, w którym operator musi wykazać, że rozpoznaje główne zagrożenia i potrafi nimi zarządzać. Katastrofa pokazała, że informacja o stanie urządzenia jest częścią samego urządzenia.
Platforma to system pracujący bez przerwy
Instalacja offshore działa przez całą dobę, a jej obsługa pracuje zmianowo. W tym samym czasie prowadzi się produkcję, konserwację i naprawy. Dlatego stan techniczny platformy nie jest zapisany wyłącznie w rurach i zaworach. Jest także zapisany w pozwoleniach na pracę, dokumentacji i wiedzy ludzi kończących zmianę.
Brakująca informacja może uruchomić sprzęt w złym stanie
W dniu katastrofy przy jednej z pomp prowadzono prace związane z zaworem bezpieczeństwa. Informacja o tym, że pompa nie powinna być używana w normalny sposób, nie została skutecznie przekazana kolejnej zmianie. HSE podkreśla, że Cullen Report uznał niepowodzenie komunikacji podczas handoveru za jeden z wielu czynników przyczyniających się do katastrofy. Nie był to jedyny błąd i nie należy sprowadzać Piper Alpha do jednej kartki dokumentacji, ale przykład pokazuje wagę przekazywania stanu instalacji.
Po katastrofie zmieniła się filozofia regulacji
Publiczne dochodzenie pod przewodnictwem lorda Cullena doprowadziło do setek zaleceń i przebudowy systemu regulacyjnego. Jedną z najważniejszych zmian było rozwinięcie podejścia safety case. Zamiast polegać wyłącznie na szczegółowej liście obowiązkowych rozwiązań, operator ma wykazać regulatorowi, że zidentyfikował najważniejsze zagrożenia, zastosował odpowiednie środki kontroli i potrafi zarządzać bezpieczeństwem całej instalacji.
Procedura jest częścią konstrukcji
Inżynierowie często dzielą świat na „hardware” i „papierologię”. Piper Alpha pokazuje, dlaczego taki podział bywa fałszywy. Jeśli urządzenie jest chwilowo rozmontowane, wyłączone lub zabezpieczone w nietypowy sposób, następna osoba musi o tym wiedzieć. W przeciwnym razie fizycznie poprawny zawór czy pompa mogą zostać użyte w niebezpiecznej konfiguracji. Dobra procedura przekazania zmiany jest więc funkcjonalnym odpowiednikiem połączenia sygnałowego w systemie sterowania.
Lekcja szersza niż przemysł naftowy
HSE do dziś wykorzystuje Piper Alpha jako przykład znaczenia shift handover. Zaleca m.in. przekazywanie informacji twarzą w twarz, używanie formy ustnej i pisemnej oraz wspólną odpowiedzialność obu stron za zrozumienie stanu instalacji. To zasady użyteczne wszędzie tam, gdzie kolejna osoba przejmuje złożony system: w energetyce, lotnictwie, szpitalach czy centrach sterowania.
Safety case odwrócił część odpowiedzialności
Podejście safety case jest interesujące, ponieważ różni się od regulacji opartej wyłącznie na szczegółowych nakazach. Regulator nie próbuje z góry wypisać każdej możliwej konfiguracji rurociągów, zaworów i procedur dla każdej platformy. To operator ma przedstawić argument i dowody, że rozumie swoje główne zagrożenia oraz utrzymuje odpowiednie bariery bezpieczeństwa. Dzięki temu odpowiedzialność za myślenie o ryzyku nie może zostać sprowadzona do zdania „spełniliśmy wszystkie punkty listy kontrolnej”. Oczywiście system nadal opiera się na przepisach i nadzorze, ale wymaga od firmy wykazania, że bezpieczeństwo jest zarządzane jako całość. Piper Alpha stała się więc punktem zwrotnym od regulowania pojedynczych elementów w kierunku oceny kompletnego systemu zarządzania poważnymi zagrożeniami. To szczególnie ważne w instalacjach, które są stale modyfikowane i naprawiane. Safety case musi być żywym opisem rzeczywistego systemu, a nie dokumentem przygotowanym raz na początku eksploatacji i odkładanym na półkę.