Three Mile Island pokazało, że bezpieczna maszyna może być trudna do bezpiecznej obsługi
Wypadek w elektrowni Three Mile Island w 1979 roku zwrócił uwagę branży jądrowej na problem, który wcześniej łatwo było traktować jako drugorzędny: operator musi nie tylko mieć sprawny sprzęt, ale też rozumieć, co sprzęt właśnie robi. Awaria obejmowała problemy techniczne, lecz jej przebieg pogłębiały niejasne wskazania, sposób zaprojektowania sterowni i decyzje ludzi próbujących zrozumieć nietypową sytuację. Amerykańska Nuclear Regulatory Commission wskazuje, że po wypadku gruntownie zmieniono szkolenia operatorów, wymagania dotyczące obsady, instrumentację, sterowanie i przygotowanie awaryjne. Katastrofa pomogła przenieść „czynnik ludzki” do centrum inżynierii bezpieczeństwa.
Awaria zaczęła się od problemu technicznego
28 marca 1979 roku w reaktorze nr 2 elektrowni Three Mile Island doszło do sekwencji awarii układu chłodzenia. Jednym z kluczowych problemów był zawór odciążający, który po zadziałaniu pozostał otwarty, choć wskazania dostępne operatorom nie przedstawiały jego rzeczywistego położenia w sposób oczywisty. W efekcie chłodziwo uciekało, a personel próbował diagnozować sytuację na podstawie niepełnego obrazu.
Sterownia może sama stać się źródłem ryzyka
W dużej instalacji operator nie patrzy bezpośrednio na większość urządzeń. Widzi lampki, wskaźniki, alarmy i wartości na panelach. Jeżeli interfejs pokazuje stan polecenia zamiast stanu urządzenia albo zasypuje człowieka alarmami, informacja może być technicznie prawdziwa, a jednak mało użyteczna. Three Mile Island stało się jednym z najbardziej znanych przykładów tego, że projektowanie informacji dla człowieka jest częścią projektowania bezpieczeństwa.
Po wypadku zmieniono coś więcej niż zawór
NRC wymienia szeroki zestaw reform: poprawę projektowania i wymagań sprzętowych, szkolenia i kwalifikacje operatorów, obsadę sterowni, instrumentację i systemy sterowania, a także przygotowanie awaryjne. To ważne, ponieważ typową reakcją po awarii technicznej byłoby naprawienie konkretnego wadliwego podzespołu. Tutaj uznano, że sama relacja człowiek–maszyna i organizacja pracy również wymagają przebudowy.
Narodziny nowoczesnego podejścia do human factors
Human factors to dziedzina analizująca, jak możliwości i ograniczenia człowieka wpływają na działanie systemu technicznego. Obejmuje m.in. czytelność alarmów, rozmieszczenie wskaźników, procedury, obciążenie poznawcze i szkolenie. Three Mile Island nie stworzyło tej dziedziny, ale uczyniło ją centralnym problemem bezpieczeństwa jądrowego. W bardzo złożonej instalacji nie można zakładać, że dobrze wyszkolony operator zawsze „domyśli się”, co oznaczają niejasne sygnały.
System ma pomagać człowiekowi podczas najgorszej chwili
Normalna eksploatacja jest najłatwiejszym testem interfejsu. Prawdziwy test pojawia się wtedy, gdy jednocześnie występuje kilka alarmów, dane są sprzeczne, a decyzje trzeba podejmować szybko. Wypadek z 1979 roku pokazał, że bezpieczeństwo powinno być projektowane właśnie dla takiej sytuacji. Nie wystarczy, by system techniczny działał poprawnie, gdy wszystko przebiega zgodnie z planem; musi również komunikować awarię w sposób zrozumiały, gdy operator znajduje się pod największą presją.
Zmiana kultury operatora
Przed Three Mile Island szkolenie mogło w większym stopniu skupiać się na prawidłowej pracy instalacji i reagowaniu na zdefiniowane awarie. Po wypadku znacznie większą wagę przyłożono do symulatorów, diagnostyki złożonych zdarzeń i pracy zespołowej w sterowni. Chodziło o przygotowanie ludzi do sytuacji, w której nie pojawia się jeden czytelny komunikat „awaria X”, lecz wiele sygnałów naraz, część mylących. To ważna różnica. W rzeczywistym kryzysie operator często nie zna nazwy awarii; musi ją dopiero rozpoznać z objawów. Dlatego bezpieczeństwo zależy od tego, czy system dostarcza informacje w formie wspierającej diagnozę, a procedury pozwalają kontrolować sytuację mimo niepewności. Three Mile Island stało się wzorcowym przykładem projektowania nie tylko urządzeń, ale także sposobu podejmowania decyzji pod presją.