Deepwater Horizon 2010 - gdy „test zaliczony” stał się nawykiem silniejszym niż sygnały ostrzegawcze

Disclaimer:
Ten materiał powstał na podstawie dostępnych źródeł (raporty, opracowania, relacje). W części stanowi próbę kreatywnej analizy mechanizmów ludzkich i instytucjonalnych nawyków (m.in. w duchu książki „Siła nawyku” Charlesa Duhigga). Celem jest refleksja i inspiracja do działań, które pomagają unikać podobnych tragedii.

20 kwietnia 2010 r. na platformie wiertniczej Deepwater Horizon (odwiert Macondo, ok. 50 mil od wybrzeża Luizjany) doszło do utraty kontroli nad odwiertem, wybuchu i pożaru. Zginęło 11 osób, 17 zostało rannych, a 115 ewakuowano. Platforma zatonęła dwa dni później, a katastrofa uruchomiła największy w historii przemysłu naftowego morski wyciek ropy.

Załogi statków gaśniczych walczą z płonącymi pozostałościami morskiej platformy wiertniczej Deepwater Horizon. Śmigłowiec ratowniczy MH-65C typu „Dolphin” należący do Straży Przybrzeżnej wraz z załogą dokumentuje pożar, poszukując jednocześnie ocalałych. W akcji ratunkowej 126-osobowej załogi platformy Deepwater Horizon wzięło udział wiele śmigłowców, samolotów i kutrów Straży Przybrzeżnej. (Wikipedia)

To zdarzenie jest inne niż Triangle czy Happy Land, bo tu „budynek” nie ma ścian, a „tłum” nie stoi w kolejce do wyjścia. A jednak mechanizm jest znajomy: nawyki potrafią być silniejsze niż fakty - zwłaszcza wtedy, gdy fakty są nieprzyjemne, niejednoznaczne i spowalniają robotę.

Opis zdarzenia

Kadr 1: bariera, która miała być na dole, nie zadziałała

W trakcie prac przygotowujących odwiert do czasowego porzucenia (temporary abandonment) kluczowa bariera cementowa na dnie odwiertu nie została skutecznie zainstalowana. Potem wykonano test (tzw. negative pressure test) mający sprawdzić integralność bariery. Raport CSB opisuje, że personel BP i Transocean źle zinterpretował wyniki testu i uznał, że strefa węglowodorów jest odcięta, choć nie była.

Kadr 2: „odmulanie” odebrało czas - a BOP nie uratował sytuacji

Po uznaniu testu za zaliczony rozpoczęto usuwanie ciężkiej płuczki wiertniczej, która jest podstawową barierą utrzymującą ciśnienie złoża w ryzach. To otworzyło drogę węglowodorom do wejścia do odwiertu. CSB wskazuje, że ropa i gaz płynęły w kierunku platformy przez prawie godzinę bez wykrycia przez ludzi i bez uruchomienia automatycznych zabezpieczeń zamykających BOP. BOP (Blowout Preventer) to przeciwerupcyjny zawór na głowicy odwiertu. Ma odciąć przepływ złoża i w razie potrzeby przeciąć przewód wiertniczy, żeby uszczelnić odwiert. Gdy węglowodory dotarły na platformę, znalazły źródło zapłonu i doszło do eksplozji oraz pożaru; podjęto ręczne zamknięcie BOP, a system awaryjny, który miał przeciąć przewód i uszczelnić odwiert, nie zadziałał skutecznie.

Fakty w 60 sekund

• Data: 20.04.2010 (wieczór, czas lokalny)
• Miejsce: odwiert Macondo (Mississippi Canyon 252), Zatoka Meksykańska; ok. 50 mil od Luizjany, (28°44'12.0"N / 88°23'14.0"W)
• Bilans poszkodowanych: 11 ofiar śmiertelnych, 17 rannych
• Platforma: zatonęła 22.04.2010 ok. 10:30 czasu lokalnego
• Wyciek: trwał 87 dni do zamknięcia odwiertu; w trakcie wycieku tempo szacowano m.in. na ok. 62 tys. baryłek/dzień na początku i ok. 53 tys. baryłek/dzień tuż przed zamknięciem
• Skala wycieku: szacunki rządowe mówiły o ok. 4,9 mln baryłek (ponad 200 mln galonów)

Co było „charakterystyczne” w przebiegu

W wielu tragediach pożarowych punkt zwrotny jest fizyczny: drzwi, dym, wąskie gardło. Tu punkt zwrotny był poznawczy: interpretacja testu jako „OK” mimo sygnałów, że coś się nie zgadza. CSB wprost opisuje, że test został błędnie odczytany i że potem usuwanie płuczki sprawiło, iż BOP stał się „ostatnią realną barierą” - zależną od wykrycia problemu i szybkiej reakcji człowieka.

To jest mechanika katastrofy złożonej: wiele elementów może być „prawie dobre”, ale jeśli na końcu łańcucha stoi człowiek, który musi podjąć decyzję w presji czasu i kosztu, to nawyki zaczynają sterować ruchem.

Satelity Terra należące do NASA uchwyciły wyciek 24 maja. Promienie słoneczne oświetliły utrzymującą się plamę ropy u wybrzeży delty Missisipi. Spektroradiometr obrazujący o średniej rozdzielczości (MODIS) zainstalowany na satelicie Terra należącym do NASA wykonał to zdjęcie tego samego dnia. Ropa wygładza powierzchnię oceanu, sprawiając, że odbicie słońca jest jaśniejsze w pobliżu linii środkowej toru lotu satelity i zmniejszając rozpraszanie światła słonecznego w innych miejscach. W rezultacie plama ropy jest w niektórych miejscach jaśniejsza niż otaczająca ją woda (środek zdjęcia), a w innych ciemniejsza (prawy dolny róg zdjęcia). Czoło delty Missisipi otoczone jest mętną wodą o jasnobrązowym odcieniu. Jasne, białe smugi ropy przecinają tę wodę pełną osadów. Wąskie pasma ropy rozciągają się na północ i wschód od głównej części plamy. Mała, ciemna smuga wzdłuż krawędzi plamy, niedaleko pierwotnej lokalizacji platformy Deepwater Horizon, wskazuje na możliwe kontrolowane spalanie ropy na powierzchni oceanu. Na zachód od części delty przypominającej ptasie łapki ciemne plamy w wodzie mogą również stanowić ropę, jednak wykrycie sztucznej plamy ropy w obszarach przybrzeżnych może być jeszcze bardziej skomplikowane niż wykrycie jej na otwartym oceanie. Kiedy plamy ropy są widoczne na zdjęciach satelitarnych, dzieje się tak dlatego, że zmieniły one sposób, w jaki woda odbija światło, albo poprzez wzmocnienie odbicia promieni słonecznych, albo poprzez osłabienie rozpraszania światła słonecznego, co sprawia, że obszar pokryty ropą jest ciemniejszy. Jednak w obszarach przybrzeżnych podobne zmiany w odbiciu światła mogą wynikać z różnic w zasoleniu (woda słodka kontra słona) oraz z naturalnie wytwarzanych olejów pochodzących z roślin. (Wikipedia)

Nawyki, które karmią ryzyko

W „Archiwum pożarów” mamy już:

1. pętlę nawyku (bodziec → rutyna → nagroda),
2. dług ryzyka / normalizację odchyleń,
3. społeczny dowód słuszności,
4. craving (pragnienie natychmiastowej ulgi/pewności).

Pojęcie serii: „Małe zwycięstwa” (small wins) jako paliwo zmiany

Duhigg pokazuje, że organizacje rzadko zmieniają się wielkimi hasłami. Zmieniają się przez małe zwycięstwa - rutyny, które są krótkie, powtarzalne i mierzalne. W branżach wysokiego ryzyka „małe zwycięstwo” ma często postać jednego rytuału:

„Jeśli sygnał jest niejednoznaczny - zatrzymujemy proces, aż stanie się jednoznaczny.”

To brzmi banalnie, ale jest rewolucją, bo uderza w nawyk, który w Macondo był zabójczy: domykanie wątpliwości na siłę, żeby iść dalej.

1) Pętla nawyku „zaliczony test = idziemy dalej”

• Bodziec: test ma dać odpowiedź „OK / nie OK”
• Pragnienie (craving): ulga i domknięcie („mamy to, jedziemy”)
• Rutyna: reinterpretacja niepasujących danych tak, by pasowały do planu
• Nagroda: postęp prac, mniej konfliktów, mniej opóźnień

CSB opisuje to twardo: test został uznany za pozytywny błędnie, a potem podjęto działania (usuwanie płuczki), które bez tej „pewności” byłyby trudniejsze do obrony.

2) Pętla nawyku instytucji „mierzymy bezpieczeństwo tym, co łatwo policzyć”

To jeden z najbardziej niebezpiecznych nawyków organizacyjnych: skupiać się na wskaźnikach, które dobrze wyglądają w raporcie, ale nie mówią nic o ryzyku katastrofy.

CSB zwraca uwagę, że firmy potrafiły zbierać i nagradzać wskaźniki BHP w rozumieniu urazów osobistych, ale nie przykładały równie dużej wagi do process safety (bezpieczeństwa procesowego/awarii dużego ryzyka).

To daje „nagrodę” w postaci poczucia, że jest bezpiecznie - aż do chwili, gdy okazuje się, że bezpiecznie było tylko w tabelce.

Konsekwencje wycieku ropy z platformy Deepwater Horizon w Zatoce Meksykańskiej w 2010 roku. (Wikipedia)

Co możemy z tego wziąć dziś

1. Nie domykaj wątpliwości - domykaj kryteria. Test bez jasnych kryteriów akceptacji to proszenie się o to, że nawyk „zalicz” wygra z faktami.
2. Jedna bariera to nie bariera. W Macondo po złej interpretacji testu i usuwaniu płuczki BOP stał się ostatnią realną linią, zależną od czasu reakcji człowieka.
3. Small wins: wprowadź krótki rytuał „STOP na niejednoznaczność” (i mierz jego stosowanie). To nie hasło - to nawyk.
4. Bezpieczeństwo procesowe musi mieć swoje wskaźniki, a nie tylko plakaty. CSB wprost krytykuje poleganie na „łatwych metrykach” zamiast mierzenia ryzyka poważnych awarii.

3 pytania do refleksji

1. Gdzie w naszych działaniach „zaliczenie testu” jest ważniejsze niż zrozumienie testu?
2. Jaką nagrodę daje nam domykanie wątpliwości (czas, spokój, brak konfliktu) - i jaką rutynę możemy podmienić, żeby tę nagrodę mieć bez ryzyka?
3. Jakie „małe zwycięstwo” wprowadzimy jutro: jeden krótki rytuał, który zmienia środowisko ryzyka?

Źródła

1. CSB (Executive Summary) - opis przebiegu, błędnej interpretacji testu, zależności od BOP, krytyka wskaźników i zarządzania ryzykiem
2. DOI (2010) - rządowe szacunki przepływu (62k → 53k bpd, baryłek na dzień) i odniesienie do 87 dni
3. CRS (2010) - rządowe oszacowanie 4,9 mln baryłek
4. Britannica - kontekst skali katastrofy i ofiar