Kitabı oku: «Жизнестойкое предприятие: как повысить надежность цепочки поставок и сохранить конкурентное преимущество», sayfa 5
Анализ аварийных ситуаций
Двадцать четвертого марта 2004 года принц Чарльз и его свита вылетели с базы Northolt RAF в западном Лондоне, направляясь в Мадрид для участия в церемонии погребения жертв теракта. В 8:30 утра на высоте 11 500 футов над Ньюберри, графство Беркшир, военный самолет HS146 оказался на расстоянии менее 900 футов по вертикали и трех миль по горизонтали от аэробуса A321, следовавшего в аэропорт Хитроу из ирландского города Корк. На борту аэробуса было 186 пассажиров. Благодаря оперативным действиям обоих пилотов и авиадиспетчеров, своевременно осознавших возможность аварии, воздушное столкновение удалось предотвратить. Оба пилота и авиадиспетчеры доложили об этом происшествии Британскому управлению гражданской авиации как об «опасном сближении».
В авиации давно убедились в необходимости учиться на ошибках, даже если серьезного инцидента удалось избежать. В отрасли создана Система сообщений о безопасности полетов (Aviation Safety Reporting System – ASRS), которая используется для сбора и анализа добровольных конфиденциальных донесений об аварийных ситуациях в воздухе. Ее цель – выявление систематических скрытых ошибок и опасных случайностей и информирование представителей отрасли. В ASRS ежегодно поступает более 30 000 донесений, и она выпускает периодические и при необходимости экстренные бюллетени для представителей отрасли. Большинство специалистов в области авиации считают, что результатом этой работы является постоянно растущий уровень безопасности гражданских авиалиний.
Подобная система учета и расследования аварийных ситуаций используется американскими военными и почти всеми ВВС в мире. Пилоты ВВС США должны докладывать о «любой ситуации в полете, когда степень сближения двух воздушных судов расценивается хотя бы одним из пилотов как потенциально опасная, сопряженная с риском столкновения»79.
Рис. 3.180 показывает, что множество опасных условий и ненадежных процессов порождает сотни небольших аварий и ситуаций, чреватых сбоями. Если на них не обращать внимания, результатом могут стать десятки случаев имущественного ущерба, которые приведут к нескольким крупным авариям, сопровождающимся серьезными разрушениями и незначительными травмами у людей. Если и на этот раз ничего не предпринимается, скорее всего, рано или поздно произойдет широкомасштабная авария, которая повлечет человеческие жертвы и тяжелые увечья.
Исследователи Пенсильванского университета81 разработали процесс управления аварийными ситуациями, который опирается на использование данных о таких ситуациях с целью предотвращения крупных сбоев. Семь этапов этого процесса включают:
а) выявление инцидента,
б) регистрацию и предание огласке,
в) распространение данных о происшествии,
г) анализ исходных причин,
д) решение/рекомендации по совершенствованию,
е) внедрение,
ж) контроль и доработку.
Естественно, в разных отраслях принципы определения аварийных ситуаций, подлежащих выявлению и учету, различны. Пилоты докладывают об опасных сближениях, исходя из расстояния между самолетами и траектории их движения. Хирургический персонал, к примеру, может сообщить о таких казусах, как оставленный в ране тампон, подготовка к хирургической операции не той конечности или ошибочная отправка пациента в операционную. Менеджеры, занятые в обрабатывающей промышленности, могут выявить случаи опасного повышения температуры во время реакции или утечки безвредных газов.
Доклад об инциденте – это шаг, с которого начинается формальная процедура. Разумеется, менеджерам системы учета аварийных ситуаций не следует стремиться к снижению количества отчетов с течением времени и считать уменьшение их числа свидетельством большей безопасности. Анонимность информирования способствует более активным попыткам оповещения.
Широкое распространение данных о происшествии помогает предупредить людей о возможной опасности еще до расследования ситуации. Кроме того, обеспечивается сбор дополнительных сведений, полезных для дальнейшего анализа. Анализ исходных причин нацелен на выявление не только непосредственных, но и скрытых факторов, спровоцировавших инцидент. Следующий этап – разработка корректирующих мер и планов действий в чрезвычайных ситуациях.
После того как данные о результатах анализа и рекомендуемый комплекс мер доходят до менеджмента предприятий, необходимо принять решение. Подразумевается, что отчеты об аварийных ситуациях содержат оценку вероятности крупного сбоя. Если вероятность крупного инцидента несущественна, а затраты на исправление ситуации слишком высоки, руководство может счесть целесообразным не предпринимать никаких действий.
Лишь глупец учится на собственном опыте
Говорят, мудрец учится на чужом опыте. Организация может учиться на собственных ошибках – рискованных происшествиях или авариях. Но может – и на опыте других.
Многие организации извлекают уроки из случившихся у них крупных сбоев. (Как это ни печально, пример с Columbia свидетельствует о том, что не всегда это происходит.) Нередко организации вводят внутренние системы отслеживания, анализа и устранения аварийных ситуаций. Нередко химические заводы, транспортные компании, шахты и другие предприятия, деятельность которых сопряжена с риском, придают этим системам особое значение, считая их частью своей культуры безопасности, а некоторые из таких систем действуют в масштабах целой отрасли. Во многих отраслях данные об авариях учитываются и собираются правительственными органами или отраслевыми учреждениями; они расследуют подобные случаи, а затем распространяют данные и выводы среди организаций, занятых в данной отрасли.
Национальный комитет по вопросам безопасности транспорта США (National Transportation Safety Board – NTSB) – независимый федеральный орган. Его назначение – расследовать авиационные катастрофы, аварии в ходе морских перевозок, на автомагистралях, железных дорогах и трубопроводном транспорте. В 2004 году его база данных включала 140 000 случаев с подробным описанием каждого82. Кроме того, NTSB публикует результаты расследований и анализа данных, а также рекомендации по совершенствованию инфраструктуры, подвижного состава и методов работы.
Подобным образом Комитет по химической безопасности США (Chemical Safety Board – CSB) является независимым федеральным органом, и его назначение – предупреждать аварии в химической промышленности. Комитет расследует происшествия в химической промышленности, определяет их коренные причины и издает рекомендации по технике безопасности83. К тому же Агентство по охране окружающей среды США (Environmental Protection Agency – EPA) требует от владельцев более 15 000 предприятий, работающих с определенными видами токсических и огнеопасных веществ, докладывать об их наличии и любом происшествии на предприятии в соответствии со статьей 112(r) Закона о чистом воздухе84.
Все отчеты CSB и EPA находятся в свободном доступе. Аналогично директива Европейского союза 96/82/EC (известная как директива Seveso II) регламентирует процессы отчетности о ситуациях, чреватых крупномасштабными авариями, связанными с использованием опасных веществ. Кроме того, Агентство по регистрации токсичных веществ и заболеваний (Agency for Toxic Substances and Disease Registry – ATSDR), орган министерства здравоохранения и социальных служб США, располагает системой отчетности и сбора информации о происшествиях. Эта система включает сведения не только о профессиональных заболеваниях и травмах, но и об аварийных ситуациях.
Изучение аварий, несчастных случаев и аварийных ситуаций позволяет менеджерам получить представление о вероятности крупных сбоев в собственной работе и об условиях, которые организация может признать как опасные по мере их формирования. Это могут быть необычные погодные условия, неукомплектованный штат, напряженный график, незначительные промахи и прочие обстоятельства, которые повлекли аварии и несчастные случаи в прошлом.
Вероятность негативных событий
Для упрощения оценки вероятности негативных событий их можно разделить на три категории, что упростит оценку их вероятности: стихийные бедствия; аварии и несчастные случаи; умышленные посягательства. Эти категории различаются по роли, которую играют в их возникновении люди и случайные факторы. Соответственно разнятся и методы оценки их вероятности.
Стихийные бедствия
Поскольку многие стихийные бедствия случаются часто, для оценки их вероятности и масштабов используются статистические модели. Страховые компании располагают проработанными моделями вероятности землетрясений, наводнений и ударов молнии в различных регионах территории США и других стран. Размер страховых премий может даже служить своего рода показателем степени риска соответствующего вида.
По оценкам Службы геологии, геодезии и картографии США (U.S. Geological Survey – USGS), наиболее сейсмоопасны западные штаты, зона Нью-Мадрида, штат Миссури и отдельные участки восточного побережья США. USGS публикует карты, подобные изображенной на рис. 3.2, где отмечена частота землетрясений в разных зонах, что позволяет оценить их вероятность. Кроме того, USGS публикует подробные данные о частоте землетрясений по каждому штату США и другим регионам мира.
Национальная администрация по океану и атмосфере (U.S. National Oceanic and Atmospheric Administration – NOAA) публикует статистические данные о суровых погодных условиях. К примеру, частоту торнадо в Оклахома-Сити показывает рис. 3.385. Компании, расположенные в Оклахома-Сити, могут использовать подобные карты для разработки плана эвакуационных мероприятий в случае неблагоприятных погодных условий непосредственно в преддверии периода максимальной вероятности подобных катаклизмов, который продолжается с марта по июнь86.
Рис. 3.4 отражает время суток, на которое приходятся торнадо в Оклахома-Сити, указывая, что самыми опасными являются дневные и предвечерние часы87. Зная о повышенной вероятности торнадо в это время суток, организации могут подготовить соответствующую смену к аварийной эвакуации.
Такие приготовления позволили спасти многие жизни, когда торнадо обрушился на завод GM в Оклахоме в 17:30 8 мая 2003 года. Из более чем 1000 работников, находившихся на заводе, не пострадал ни один человек, поскольку сирены известили о приближении торнадо в 17:00 и весь персонал успел перебраться в специальное укрытие. Этот торнадо произошел именно в тот месяц и именно в то время, когда его вероятность была максимальной.
Климатологические модели определяют предположительный характер распределения осадков, что позволяет ориентировочно предсказать вероятность наводнений в зонах повышенной влажности и риск возникновения стихийных пожаров в засушливых зонах. На рис. 3.5 показана карта ожидаемого выпадения осадков, составленная NOAA. Такие данные важны для принятия решений о размещении предприятий, объеме страховой ответственности при страховании от опасных природных явлений и для подготовки сотрудников.
Частота и масштабы аварийных ситуаций или незначительных сбоев помогают прогнозировать вероятность более крупного стихийного бедствия. Многие природные явления (как и дела рук человека) подчиняются статистическим законам рангового распределения (их называют законами степенного распределения), которые связывают масштабы явления с его частотой. К примеру, закон Гуттенберга-Рихтера гласит, что на каждые 100 землетрясений 3-балльной силы по шкале Рихтера приходится приблизительно 10 землетрясений 4-балльной силы (которые в 10 раз сильнее землетрясений силой в 3 балла) и одно землетрясение силой в 5 баллов.
Законы степенного распределения – это математическая версия широко известного правила 80/20, согласно которому 80 % (или вообще большинство) последствий вызывается 20 % (или вообще незначительной долей) событий. Финансовые убытки из-за землетрясений, ураганов, наводнений и даже краха фондовых бирж подчиняются закону степенного распределения наряду с лесными пожарами, отключениями электроснабжения, промышленными авариями и страховыми исками. Те же правила справедливы для размеров городов, популярности сетевых журналов и т. д.88
Оценивая вероятность событий с низкой вероятностью и серьезными последствиями, можно опираться на большое число наблюдаемых событий меньшего масштаба. Хотя такие взаимосвязи не позволяют точно определить время и масштабы будущего сбоя, они применимы для оценки вероятности события в определенном временном интервале в будущем и относительной вероятности данного события по сравнению с иными видами потенциальных сбоев. Подобное статистическое распределение позволяет утверждать, скажем, в отношении будущего землетрясения в Калифорнии, что его предполагаемый масштаб – крупный.
Аварии и несчастные случаи
Хотя литература по технике безопасности по большей части посвящена предотвращению аварий и несчастных случаев, первым шагом в обеспечении безопасности производственного процесса должна быть оценка вероятности подобных событий. Анализ такой вероятности обычно строится на вариантах аварийных ситуаций, о которых шла речь в предыдущем разделе.
Согласно одному из исследований89, на каждые 300 аварий без травм приходится приблизительно 30 аварий, сопровождающихся незначительными травмами, и одна крупная авария, влекущая тяжелые травмы или смертельный исход. Другое исследование90 по итогам анализа 1,7 млн аварий и несчастных случаев, сведения о которых были предоставлены 297 организациями, свидетельствует о следующем. На каждые 600 аварий без ущерба или травм приходится около 30 аварий, сопровождающихся имущественным ущербом, 10 аварий с незначительными травмами и одно увечье, приводящее к потере трудоспособности. Ни одно из этих исследований не выделяет в особую группу аварии и несчастные случаи в организациях, где официально утверждена процедура обучения на примерах аварийных ситуаций. Однако наблюдается устойчивая закономерность: множество мелких несчастных случаев предвещает более крупные, что дает возможность ориентировочно оценить вероятность крупных аварий.
Пытаясь решить проблемы безопасности радикально, компании, работающие в опасных условиях, прежде всего занимались уменьшением количества происшествий, чтобы снизить уровень аварийности и избежать серьезной аварии. Эти компании внедрили системы управления безопасностью процессов (process safety management – PSM)91, в том числе программы аудита для проверки соответствия техническим условиям и применения безопасных методов работы. Во многих случаях такие подходы помогли значительно снизить количество инцидентов. Так, на рис. 3.6 заметное снижение количества происшествий в DuPont представлено как функция эффективности аудита, который был частью PSM92.
Умышленно вызванные сбои
В то время как стихийные бедствия подчиняются закономерностям, описанным кривыми степенного распределения, а вероятность крупных аварий можно оценить, исходя из мелких несчастных случаев, намеренные посягательства подчиняются иной логике. Умышленные действия представляют собой адаптивную угрозу, когда злоумышленник стремится, чтобы его атаки не просто возымели успех, но и нанесли максимальный ущерб. Это значит, что при повышении устойчивости потенциальной мишени к определенному виду злонамеренных воздействий растет вероятность, что изменится либо мишень, либо вид атаки. Кроме того, это означает, что удар будет нанесен, скорее всего, в самое неудачное время и в самом неподходящем месте – когда организация будет максимально неподготовлена и уязвима.
Забастовки бывают так часто, что дают обильный урожай примеров урона, который может нанести сильный и умный противник, если избранные им время и методы застают компанию врасплох или позволяют причинить максимальный экономический ущерб. Летом 2002 года, к примеру, Международный союз портовых и складских рабочих инициировал забастовку с замедлением темпов работы в тихоокеанских портах США. Чтобы это мероприятие было максимально действенным, профсоюз приурочил его к октябрю, намереваясь перекрыть кислород портам именно в тот момент, когда объем поставок из Юго-Восточной Азии возрастет в преддверии сезона предпраздничного шопинга в США.
По такому же сценарию действовал Профсоюз транспортных и неквалифицированных рабочих Великобритании, начав приготовления к забастовке против Ассоциации британских портов93 в августе 2004 года. Планировалось вывести порты из строя в конце сентября – октябре, как раз когда начинается предрождественская суматоха.
Канадский профсоюз работников таможни также выбрал время забастовки с умыслом. В 2004 году в качестве протеста против четырехлетних препирательств вокруг заработной платы было задумано, что сотрудники таможенной службы в Квебеке станут проверять все автомобили, направляющиеся в США. Эта акция была нацелена на то, чтобы заставить путешественников потратить вдвое больше времени на процедуру проверки, поскольку обычно автомобили досматривались лишь один раз, на американской таможне. Чтобы повысить действенность мероприятия, профсоюз выбрал в качестве даты забастовки 31 июля – долгий уик-энд канадского праздника Civic Holiday1. Именно в этот день множество автомобилистов должны были отправиться в США, что предвещало особенно длинные очереди и максимальную неразбериху.
Когда отделение 1199 Межнационального профсоюза работников сферы обслуживания решило оказать давление на Больницу матери и ребенка в штате Род-Айленд, здесь не просто организовали забастовку. Зная, что больница всегда хорошо подготовлена к возможным заменам персонала, профсоюз изменил тактику. В сентябре 1998 года профсоюзные лидеры заявили в своем уведомлении о забастовке, что намерены бастовать в течение одного дня. При этом отделение 1199 и другие профсоюзы организовали серию однодневных забастовок и в других местах. «Такая тактика изнурительна. Можно подготовиться к забастовке, но очень тяжело готовиться и отступать, готовиться и отступать», – объясняет Мэй Кернан, вице-президент по маркетинговым связям больницы94.
В 2003 году Гринпис решил провалить попытки испытания генно-модифицированной пшеницы в земле Тюрингия в Восточной Германии. Однако Гринпис не стал прибегать к демонстрациям или иным действиям, которых ожидала швейцарская агропромышленная компания Syngenta International AG. Вместо этого Гринпис засеял экспериментальный участок обычной пшеницей, сорвав эксперимент, поскольку отличить генетически модифицированную пшеницу от обычной было невозможно95.
Двадцать восьмого ноября 1995 года французские рабочие, недовольные реформами, предложенными правительством Алена Жюппе, приняли участие во второй межнациональной забастовке, длившейся пять дней. Восемьдесят пять водителей, нанятых транспортным управлением Парижа для работы на городских автобусах, решили поддержать бастующих. Они отлично знали, что делать. Автобусы блокировали главный гараж городского транспортного управления и на несколько часов по всему Парижу приостановилась работа системы городского транспорта, включая метро и автобусы96.
После того как в марте 2002 года США ввели пошлины на импортируемую сталь, Всемирная торговая организация сочла это нарушением правил международной торговли. По решению ВТО члены Европейского союза и ряд других стран получали право ввести ответные пошлины в миллиарды долларов на товары, экспортируемые из Америки. Вместо того чтобы среагировать повышением пошлин на сталь, ЕС решил нанести администрации Буша удар по самому уязвимому месту. Был опубликован список продуктов, на которые планировалось повысить пошлины. Список включал цитрусовые, текстильные изделия, мотоциклы, сельскохозяйственное оборудование, обувь и другие продукты. Их общей чертой было то, что все они производились в штатах, где Буш рассчитывал победить на президентских выборах в ноябре 2004 года97.
Все эти примеры показывают неслучайный, адаптивный характер умышленных сбоев. Крайнюю форму подобных диверсий представляет собой терроризм. Террористы в Мадриде не стали взрывать самолет и устраивать нападение на аэропорт, поскольку после 11 сентября во всем мире были приняты меры по усилению охраны аэропортов. Вместо этого они поразили незащищенную цель – поезда в центре Мадрида. Взрывы в марте 2004 года произошли в поездах в самый час пик, и теракты превратились в массовые убийства. Разумеется, действия профсоюзов и политические маневры не имеют ничего общего с терроризмом, однако руководителям следует быть готовыми к тому, что намеренные дезорганизации поражают компанию в самое уязвимое место и в самый неудачный момент.
Уязвимость информационных систем. Поскольку цепочки поставок связывают разные уголки земного шара, компании становятся все более зависимыми от надежной информации и систем связи. Технические требования и модификации, заказы на материалы и порядок осуществления изменений, уведомления об отгрузке и отклонении от курса, платежи и вычеты процентов молниеносно передаются компьютерными системами по всему миру. Более того, по мере автоматизации контроля множества процессов компании становятся более беззащитными по отношению к хакерам и вредителям98.
Sophos Plc., британская компания, которая специализируется на разработке систем компьютерной безопасности, с помощью глобальной сети станций мониторинга ежемесячно выявляет более 1000 новых компьютерных вирусов. Многие из этих вирусов безвредны, но далеко не все. Некоторые вирусы разрушают сеть, наводняя веб-серверы потоками сообщений. В ходе так называемого «отказа в обслуживании», вирус передается с компьютера на компьютер вместе с сообщениями на веб-адреса или в виде вложений вместе с электронной почтой, рассылаемой с зараженного компьютера. Среди наиболее разрушительных прошлых вирусов можно назвать Melissa (1999 год), Love Bug (2000 год), Code Red и Code Red II (2001 год) и Slammer Worm (2003 год).
Хотя многие из этих атак не нацелены на какую-то одну компанию, у современных автоматизированных систем, связанных в единую сеть, появляются новые уязвимые места, что иллюстрирует следующий пример.
С самого начала 2000 года Витека Бодена из Брисбэйна, Австрия, преследовали неудачи. Его не приняли на работу в муниципальное управление по водоснабжению маленького городка Маручидор. При помощи приемно-передающей радиоустановки, простейшей телеметрической системы и компьютера Боден взломал систему компьютерного контроля городской канализации. В марте 2000 года около миллиона литров неочищенных сточных вод хлынуло на улицы города, в водоводы, реки, парки и туристский центр Hyatt Regency. На очистку территории ушло больше недели. Зловоние и ущерб, нанесенный окружающей среде, еще долго давали о себе знать. Хотя действия Бодена не подвергали опасности человеческие жизни, они продемонстрировали уязвимость автоматизированных систем к вторжениям в компьютерные сети.
Оценка преднамеренной угрозы. При попытках прогнозировать характер будущих намеренных угроз данные за прошедший период полезны далеко не всегда из-за способности злоумышленников адаптироваться к изменению обстановки. Так, несмотря на ужесточение мер по охране аэропортов после 11 сентября, США по-прежнему не готовы к иным видам терактов, которые становятся более вероятными из-за усиления охраны аэропортов.
Чтобы научиться определять тип и вероятность преднамеренной атаки, самые разные организации – от Intel Corporation до ВМС США и администрации аэропортов – используют тренинги под названием «красная команда», позволяющие лучше понять и дифференцировать возможные угрозы. В ходе таких тренингов перед группой экспертов ставят задачу представить себе образ мысли врага, исследующего уязвимые места организации, и сымитировать разного рода нападения.
Так, в ноябре 2000 года Министерство энергетики США и группа по обеспечению общественной безопасности на Олимпийских играх провели учебное мероприятие «Черный лед». Смоделированная ситуация позволяла выявить уязвимые места важнейших компонентов инфраструктуры, в случае если разрушение инфраструктуры будет сопровождаться электронной атакой. Учения начались с воображаемого ледяного дождя, который повредил линии электропередачи, лишив регион возможности вырабатывать и поставлять электроэнергию. Проблемы, вызванные дождем, усугубляла учебная электронная атака на систему диспетчерского управления и сбора данных, контролирующую единую энергетическую сеть региона. Учения показали, что даже частичное снижение качества работы систем коммуникаций, подачи природного газа и воды ощутимо для Солт-Лейк-Сити.
Аналогично в июле 2002 года аналитическая компания Gartner Research и Высший военно-морской колледж США организовали «виртуальный Перл-Харбор», учения для исследования потенциального воздействия электронной атаки на важнейшие компоненты инфраструктуры. Эксперимент показал, что в условиях подобной атаки необходима общая координация со стороны правительства. Кроме того, обнаружилось, что изолированные инфраструктуры разрушить сложнее99. Подобные имитации нападения «красной команды» позволяют обороняющейся стороне («синей команде») оценить свою уязвимость и выявить неочевидные взаимосвязи. Кроме того, такой тренинг активизирует организацию в целом и учит ее гибкому реагированию и распределению ответственности и полномочий в условиях неопределенности, что способствует формированию более гибкой и жизнестойкой культуры.
