Текст книги "Как эффективно выявлять причины вреда и прогнозировать риски. Инверсионный метод анализа и прогноза вредных явлений"

Основные части системы

Сформируйте перечень основных частей системы. И, опять же, воздержитесь от формального использования спецификаций, предназначенных для других целей. Лучше обсудите ваш список с коллегами.

Когда список составлен, сравните его с известными описаниями системы и обратите внимание на несоответствия.

Если определенный элемент системы не отмечен в вашем списке, тому может быть только одна из двух причин:

1. Данный элемент не относится к основным, важным для функционирования системы, поэтому, вы его и не включили в свой список.

2. Вы упустили важный элемент вследствие слабого знания системы. В этом случае внесите элемент в ваш список. Признав ошибку, вы немедленно улучшаете свое знание системы наиболее эффективным путем.

Например, в задаче о «черных точках» система, как таковая, состояла из одного элемента – лонжерона, а в задаче «Звон и тряска» [4] был составлен длинный список элементов, так как структура дизельного двигателя довольно сложна.

При обсуждении структуры системы, помимо фотографий, видео и чертежей, для пояснения хороши простые рисунки. Не тратьте время на их презентабельность, лучше обсудите с рабочей группой, почему вы включили в схему одни элементы и не включили другие.

Сравните свой рисунок с изображениями системы, предназначенными для других целей. Опять же, элемент может отсутствовать на вашем рисунке по одной из двух причин:

1. Этот элемент – второстепенный.

2. Вследствие слабого понимания системы.

Признайте факт и включите элемент в свой рисунок.

Как она работает?

Начните с определения Главной Полезной Функции (ГПФ) рассматриваемой системы (или с Основного Предназначения – ОП, если это – процесс).

Затем составьте список полезных функций/операций необходимых для обеспечения ГПФ или ОП. С этой целью задайте простой вопрос:

Что необходимо и достаточно для обеспечения Главной Полезной Функции/ОП?

Таким образом вы определите основные полезные функции/операции. Задайте такой же вопрос к каждой из основных функций/операций и определите вспомогательные функции (или операции). Процедуру можно повторить несколько раз, но не стоит чрезмерно усложнять описание функционирования: 3–4 уровня функций обычно достаточно.

Закончив эту работу, полезно сравнить ваше описание (его ещё называют Идеальным Сценарием) с другими описаниями функционирования системы. Таким путем вы легко выявите избыточные функции или операции – те, что выполняются системой, хотя для Главной Полезной Функции (или ОП) они не нужны. К таким функциям/операциям у нас особый интерес, потому что

избыточные функции/операции часто участвуют в развитии вредных явлений.

В частности, конфликт полезных функций может стать причиной аварии. Так например, стержни, абсорбирующие нейтроны в Чернобыльском реакторе, выполняли две функции. Основная функция стержней – обеспечение защиты в случае аварии. Другая полезная функция – регулирование выхода энергии. Обе функции выполнялись путем погружения и вывода стержней из реактора: когда стержни погружались в реактор, поглощалось повышенное количество нейтронов, что, в свою очередь, замедляло реакцию деления. По мере вывода стержней активная поверхность поглощения нейтронов сокращалась, и реакция деления усиливалась. В дополнение к этим двум основным функциям штатного режима эксплуатации АЭС была введена еще одна, избыточная – проведение эксперимента, испытание режима «выбега ротора турбогенератора».

Фото: Игорь Костин, АПН Украины. Через 14 часов после катастрофы

Регулировка энергетического выхода в реакторе должна осуществляться плавно с почти постоянной скоростью, и для снижения мощности реактора все стержни должны быть погружены полностью в течение 18 секунд. Но для аварийной остановки стержни должны быть погружены в реактор за гораздо меньшее время. Чтобы разрешить этот конфликт, было принята инструкция, чтобы в любое время несколько стержней должны быть всегда погружены в реактор, позволяя остановить его за нужное время. Для выполнения избыточной, по нашей классификации, функции «проведения испытаний» эта инструкция была временно отменена. Поэтому, когда по условиям эксперимента все стержни были максимально выдвинуты из реактора и пошла неконтролируемая реакция, нажатие оператором аварийной кнопки остановки реактора уже не дало результата. В результате произошел взрыв и катастрофическая радиоактивная эмиссия.

Сравнивая Идеальный Сценарий с реальным функционированием системы или производственным процессом, можно также выявить недостающую в описании полезную функцию или операцию. В таком случае, ее добавляют в список. При этом надо четко определить причинно-следственные связи этой функции (операции) с другими полезными, в особенности, с ГПФ (или ОП).

Есть ли у системы недостатки?

Чтобы определить все побочные эффекты, присутствующие в системе или процессе, задайте этот вопрос к каждой из полезных функций или операций.

Например, в проблеме «черных точек» основные операции были определены следующим образом:

1. Механическая обработка заготовки;

2. Очистка детали;

3. Полировка внешней поверхности детали;

4. Очистка детали;

5. Сбор и хранение деталей на открытом воздухе под корышей для защиты от погодных условий;

6. Электрооксидация партии деталей.

Вопросы к операциям были следующие:

«Каковы основные побочные эффекты механической обработки, последующей очистки, полировки, хранения и электрооксидации?»

С каждым новым ответом картина химического загрязнения на операциях очистки и несообразности хранения металлических деталей на открытом воздухе (для чего их упаковывали в индивидуальные пластиковые пакеты) становилась все более очевидной.

Наиболее частая ошибка, допускаемая на этом шаге, – это стремление указывать не столько реальные, сколько предполагаемые недостатки и несовершенства системы.

Причины воздерживаться от этого на данном этапе следующие:

• Не следует смешивать реалии ситуации с предположениями и, затем, – строить исследование на такой шаткой основе;

• У вас будет достаточно возможностей для генерации гипотез позднее.

От трезвых фактов очень легко перейти к предположениям и мнениям, поэтому будьте настороже, если кто-то задумчиво произносит «По-моему…»

Что находится вокруг?

Всем известно, что:

вещества и эффекты, находящиеся вблизи системы, могут повлиять на развитие аварии.

Поэтому необходимо составить, по возможности, адекватный список объектов и природных элементов, находящихся вблизи системы, или таких, с которыми система связана напрямую. Мы называем это естественным окружением системы или ее средой.

Рассматривая производственные процессы, мы обычно включаем в этот список окружающее оборудование. Однако, такие параметры среды, как влажность, освещенность, перепады давления воздуха, часто упускаются из виду. Они всегда присутствуют, поэтому мы их обычно не замечаем, а их влияние – недооцениваем. По этой причине особо рекомендуется включать в список объектов среды не только искусственные, но и естественные элементы.

ПРИМЕР: За последние 30 лет критически возросло число аварий в периоды рассвета и заката солнца. Причина – более чистый воздух и лучшая видимость, усиливающая воздействие солнечных лучей! Эффект – результат успешной борьбы с загрязнениями окружающей среды в большинстве индустриально развитых стран, который никому в голову не приходит проанализировать с точки зрения возможных негативных последствий.

Следующий шаг в описании окружающей среды: определение надсистемы (или надсистем) для рассматриваемой системы. Надсистемами мы называем те системы, в которые ваша система входит, как составная часть. Мы также называем надсистемой такую систему, которая контролирует рассматриваемую систему, определяя важные аспекты ее жизнедеятельности. При этом необходимо помнить, что надсистема не всегда находится в непосредственной близости. Она может быть расположена и на значительном расстоянии от рассматриваемой системы.

Например, рассматриваемая вами система может быть подразделением крупной компании. Трудно переоценить влияние главного управления (надсистемы) на жизнедеятельность ее подразделения, даже географически отдаленного.

Что же именно не известно или не понятно в связи с вредным явлением?

Сбор и анализ данных о самой проблеме – следующая фаза исследования. Информация, полученная на этом этапе, критически важна для успешного применения Инверсионного анализа.

Чем больше уточняющих данных мы соберем о проблеме перед инвертированием, тем легче будет потом ориентироваться в информационном море, куда мы направляемся.

Мы начинаем с тщательного выбора названия вредного явления. Для этого задаем два вопроса, «подстраховывающих» друг друга:

• Как точнее охарактеризовать аварию, дефект или иное вредное явление, причины которого не ясны?

• Что именно нам не понятно о вредном явлении?

Наш осторожный подход к такому простому с виду заданию должен помочь избежать следующих ошибок, типичных на этом этапе:

• Использование «красивого» официального названия вредного явления, которое может затруднить взаимопонимание при обсуждении проблемы с экспертами по системе. Все побочные эффекты, связанные с формальным отношением к названию системы, проявляются и здесь;

• Нередко в обсуждениях упоминают не само вредное явление, причины которого не ясны, а его самое опасное последствие. Эти понятия часто путают, особенно, когда последствия вредного явления значительны.

Например, при Инверсионном Анализе проблемы, связанной со странным характером коррозии на цилиндрическом корпусе химического реактора вредное явление было первоначально определено просто как «коррозия». Вследствие этого, инвертированная задача была сформулирована следующим образом: «Как обеспечить коррозию?» Полученная формулировка оказалась слишком общей и имела мало общего с реальной ситуацией.

Эксперты по системе, пытавшиеся ее решить на базе данной формулировки, были очень разочарованы: «Инверсионный Анализ ничего нам не дает, кроме информации, известной каждому химику!»

Когда для вредного явления нашли более точное название «коррозия, опоясывающая поперечный диаметр реактора в центральной части корпуса», исследование сфокусировалось на «создании коррозии вдоль поперечного диаметра реактора в центральной части корпуса».

Такой тип коррозии в металлической емкости цилиндрической формы, вдоль продольной оси которой проходит поток химически активной жидкости, можно организовать путем создания контакта этой жидкости с поперечным диаметром реактора в центральной части корпуса. Для того чтобы получить такой контакт, в центре реактора, перпендикулярно потоку, необходимо установить поверхность, заполняющую поперечное сечение, но не препятствующую прохождению этого потока, например, – сетку фильтра. Вследствие гравитации, на сетке часть потока отклонится от горизонтального направления и станет стекать по сетке вниз. В результате, химически активная жидкость будет усиленно корродировать в нижней точке корпуса реактора в данном сечении. Чтобы превратить точечную коррозию в коррозию по диаметру, реактор нужно вращать вокруг его горизонтальной оси.

Гипотеза была легко проверена на наличие необходимых ресурсов (фильтрационная сетка в центре, вращение реактора вокруг продольной оси). Все ресурсы присутствовали в ситуации. Таким образом, после уточнения формулировки вредного явления, задача была решена очень быстро и успешно.

История проблемы

Многие проблемы имеют историю. Поэтому очень полезно внести ясность в следующие аспекты ситуации:

• После какого мероприятия или события в жизни системы проблема впервые проявилась?

• Опишите исторические или организационные события (изменения технологии производства, управленческие решения и т. п.), предшествовавшие проблеме.

• Укажите, предпринимались ли попытки решить проблему, и если да, то каковы были результаты этих попыток?

Довольно часто вредное явление бывает результатом тестов, проводившихся при установке и наладке нового оборудования: тесты завершили, а датчики или другое измерительное оборудование не демонтировали. Полезных функций такое устройство уже не выполняет. Это значит, что со временем, оно вполне может «переквалифицироваться» на выполнение вредных функций.

В частности, старый ржавый вентиль на основной трубе, который годами никто не использовал (и потому – не замечал) стал причиной разрушительного взрыва на химическом предприятии.

В других случаях временные и половинчатые меры, принятые для устранения одной проблемы, приводят к другой.

Последнее Событие и другие особенности ситуации

Как было показано ранее, некоторые вредные механизмы легко раскрываются при последовательном применении Инверсии и Концепции Ресурсов. Встречаются также задачи, которые, после инвертирования, приводят в обширную информационную область, включающую десяток ответов на поставленный вопрос. В таких случаях последующая верификация гипотез становится достаточно трудоемкой.

Поэтому мы кровно заинтересованы в выявлении дополнительных специфических характеристик скрытого причинного механизма, которые позволили бы нам сузить поле поиска. Все необычное или странное, выделяющее наше вредное явление среди других, полезно нам в этом деле по той же причине, по которой знаменитый английский детектив Шерлок Холмс предпочитал «запутанные» и «сложные» преступления простым: чем больше, пусть даже и невероятного, известно о преступлении, тем легче его распутать! Тот же парадокс приложим к исследованию скрытых механизмов аварий.

Но как нам выявить эти бесценные «улики»? По крайней мере, кое-что в этом отношении нам доступно.

Начнем с самого очевидного. Здравый смысл подсказывает, что

всякое вредное явление является результатом предшествующих событий, а не тех, что следуют после.

Это значит, что функции или операции системы которые произошли после вредного явления (или любое иное следующее за ним событие), не могут участвовать в причинном механизме этого вредного явления (помимо случаев обратной связи, которые мы будем обсуждать особо). Поэтому, функции, операции или события, происходящие после вредного явления, можно смело исключить из рассмотрения, сузив, таким образом, область исследования.

Несмотря на очевидность вывода, его очень часто упускают из виду! В попытках «провести тщательное расследование» группы и отдельные исследователи регулярно анализируют весь процесс даже тогда, когда всем совершенно ясно, что дефект появляется после операции № 3. Психологическая инерция ведет нас по этому пути.

Не очень часто нам удается выявить Первое Событие – то, с которого причинный механизм начал свое развитие. Но во многих случаях мы вполне способны определить Последнее Событие, во время которого, или, следом за которым, вредное явление проявляется и становится заметным. Это довольно легко сделать потому, что даже самое таинственное вредное явление происходит «после чего-то»!

Иногда рассматриваемый негативный эффект регулярно проявляется во время или после выполнения некоторой полезной функции/операции или в связи с побочным эффектом.

Например, мы можем точно знать, что дефект появляется в продукте после заключительной операции производственного процесса. Подобное имело место в задаче о «черных точках», где эти самые точки появлялись на поверхности лонжерона после операции электрооксидации.

В таких случаях мы просто должны обозначить данную операцию, как наше Последнее Событие: ПС – операция электрооксидации.

Если при этом мы приобретаем новое понимание проблемной ситуации, это стоит задокументировать.

В проблеме засорения вертикальной транспортной колонны на металлургическом предприятии мы далеко не сразу осознали, что вредное явление начинает формироваться не раньше, чем смесь металлических солей входит в прямой контакт с внутренней поверхностью трубы.

Во многих случаях мы можем определить и другие события или параметры системы или среды, взаимосвязанные с вредным явлением. Их мы называем Сопутствующими Событиями или Особыми Условиями.

Обычно, если нет готового объяснения, как именно данное событие коррелирует с рассматриваемым вредным явлением, информацию считают не относящейся к делу и не заслуживающей внимания. Тем не менее, именно она может оказаться ключом к решению.

Вот, например, реальная история, которая произошла в начале 60-х годов, когда первые громоздкие компьютеры занимали помещения целых лабораторий. В одной из таких лабораторий девушка-техник стала объектом шуток молодых программистов из-за того, что всякий раз, как лаборантка входила в помещение, огромный главный компьютер давал сбой. «Старик влюбился» – говорили программисты, и, разумеется, никто не относился к странному совпадению серьезно.

А совпадения не было – просто платье девушки, из модного в то время полиэстера, создавало статический заряд, способный неблагоприятно влиять на чувствительную электронику.

Мы часто называем такие виды информации, как Последнее Событие, Сопутствующее Событие и Особое Условие – Локализующими или Уточняющими Элементами, потому что они формируют ограничения для релевантных методов производства рассматриваемого явления и эффективно помогают в сокращении списка причинных гипотез. Поэтому, мы ищем их тщательно и неспеша, зная, что потраченное время, окупится позднее, при верификации гипотез.

ПРИМЕР: В практически новых легковых автомобилях участились случаи повреждения швов на сиденье. Было несколько версий причин дефекта: слишком тяжелый водитель, кривые швы, непрочные нитки и т. п. По странному стечению обстоятельств, данный дефект чаще встречался в машинах, экспортированных в Канаду, чем в других. (Полный разбор данной задачи приведен в Приложении 2.)

Давайте попробуем представить данную ситуацию с помощью причинно-следственной диаграммы событий.

На данной диаграмме изображены две цепи событий, ведущих к вредному явлению – повреждению покрытия сиденья в автомобиле:

1. Позитивные события (прямоугольники, обычно зеленого цвета):

• Водитель входит в машину;

• Водитель садится на сиденье.

2. Неясный механизм вредного явления:

• Известные негативные события (прямоугольники со скругленными углами, обычно красного цвета):

♦ Особое Условие – низкая температура внешней среды (холодные зимы – главное отличие канадского климата);

♦ Последнее Событие – давление тела водителя на сиденье.

• Неизвестные негативные события (условные розовые прямоугольники со скругленными углами).

Как видно на приведенной диаграмме, определяя Последнее Событие и Особое Условие, мы выявляем некоторые компоненты причинного механизма вреда, как фрагменты цепи или мозаики: при наличии двух или трех известных фрагментов восстановить всю картину гораздо легче!

Но, порадовавшись открывшейся возможности, естественно спросить: а как отличить достоверный Локализующий Элемент от случайного совпадения?

Для этой цели на многих проектах был отработан следующий набор критериев:

1. Предшествие – Локализующий Элемент всегда имеет место до рассматриваемого вредного явления;

2. Повторяемость – Локализующий Элемент проявляется всякий раз, как наблюдается рассматриваемое вредное явление;

3. Объективность – сведения о Локализующем Элементе должны подтверждаться фактами, быть результатом наблюдения, а не мнений или предположений;

4. Объяснений не требуется – если обнаруженный Локализующий Элемент кажется несообразным, странным и абсолютно не связанным с рассматриваемым вредным явлением, не волнуйтесь: никаких объяснений причинно-следственной взаимосвязи Локализующего Элемента и вредного явления на данном этапе не требуется.

Давайте рассмотрим каждый из критериев более подробно.

• Предшествие: событие не может быть признано Локализующим Элементом, если оно случилось или происходит после исследуемого вредного явления, поскольку Локализующий Элемент – составная часть причинного механизма данного вреда. Казалось бы, ну да, а как же иначе? Увы, при исследовании непонятных вредных явлений людям свойственно пренебрегать этой логикой.

• Повторяемость: событие должно наблюдаться ВСЯКИЙ РАЗ как происходит исследуемое вредное явление. Если хоть однажды авария или брак имел место при отсутствии данного события, значит, оно случайное и не является частью исследуемого причинного механизма.

• Объективность: событие должно иметь хорошо проверяемое фактическое или документальное подтверждение. Этот критерий выглядит особенно очевидным, но, к сожалению, мы очень часто путаем свои мнения, предположения и догадки с реальными фактами. Здесь тоже остерегайтесь заявлений, начинающихся с «я думаю…».

• Объяснений не требуется – самый труднодостигаемый критерий, поскольку мы сталкиваемся с противоречием. Признаки и симптомы обычно наблюдают люди, находящиеся непосредственно на месте происшествия. Но, как уже отмечалось в этой книге, эти люди, как правило, занимают низкие позиции в служебной иерархии: рядовой на переднем крае, оператор на конвейере, вчерашний выпускник вуза в «горячем» цеху. Такой свидетель может заметить что-то странное, его датчики могут зафиксировать необычное изменение параметров. Но, поскольку у него нет прямого доступа к тем, кто принимает решения, информация до них может и не дойти.

Другая причина, по которой такой информацией не делятся, – отсутствие полного объяснения происходящему (помните Денайл!): молодой инженер, не имея всех ответов на вопросы о том, что он наблюдал, будет помалкивать в дискуссии на указанную тему. Кому хочется глупо выглядеть перед коллегами?

Но, познакомившись с критерием «Объяснений не требуется» и поняв ценность той информации, которой он, возможно, владеет, свидетель аварии охотно поделится ею с исследователями.

Если некий факт соответствует всем четырем критериям локализации, мы можем признать его Локализующим Элементом (Последним Событием, Сопутствующим Событием или Особым Условием).

ПРИМЕР: в проблеме лопающихся швов на сидении автомобиля Последнее Событие было определено как «давление тела водителя на шов» в момент, когда он садится. Данное событие соответствует всем критериям локализации:

• давление тела на шов всегда происходило до того, как шов расходился (Предшествие);

• все машины, в которых наблюдались поврежденные швы, были какое-то время в эксплуатации (давление, значит, прилагалось!) (Повторяемость);

• факт приложения давления к сиденью был подтвержден самими водителями (Объективность);

хотя, при этом:

• не было понятно, почему именно в этих машинах (и далеко не сразу) швы не выдерживали обычной нагрузки (Объяснений не требуется).

Особое Условие в данной задаче было сформулировано как «низкая температура внешней среды», поскольку повреждение наблюдалось только в странах с холодным климатом (Канада!) или в мягком климате зимой.

Задача затем была инвертирована с учетом уточняющей информации:

«Необходимо обеспечить разрыв нитей шва после многократного приложения к ним давления человеческого тела, при условии низкой температуры внешней среды».

На базе данного задания была сформулирована следующая гипотеза причинного механизма разрыва швов:

Водитель садится в машину в покрытой снегом или влажной верхней одежде. В машине снег тает, и влага пропитывает шов сиденья. Зимой в дневное время легковая машина часто находится на открытом воздухе при пониженной температуре в течении нескольких часов. За это время влажный шов замерзает. Когда водитель снова садится на сиденье, замерзший шов рвется. Скорее всего, разрыв происходит не сразу, а после нескольких повторных циклов попеременного увлажнения и охлаждения шва.

Выявляя Локализующие Элементы, мы делаем значительный шаг по направлению к решению:

1. Последнее Событие предполагает углубленный анализ проблемной ситуации и часто выявляет новую информацию, которую ранее не рассматривали.

2. Мы получаем более ясное представление, где именно искать ресурсы вредного явления (среди функций, операций и событий, имевших место до Последнего События).

3. Попутные События или Особые Условия увеличивают наши знания о скрытом механизме вредного явления (вне Инверсионного метода такие сведения часто отбрасываются, как случайные и нерелевантные).

4. Успешно проведенная процедура локализации уточняет инвертированную формулировку, а, следовательно, и созданный на ее базе поисковый запрос, существенно сужая область дальнейшего исследования.