12 сентября 2023 г. Ростехнадзор приказом № 331 утвердил обновленные рекомендации по установлению разработчиками обоснований безопасности необходимых уровней допустимого риска аварии для оценки и обоснования достаточности дополнительных и компенсирующих мер, сохраняющих безопасное состояние ОПО при вынужденных отступлениях от действующих требований промышленной безопасности, их недостаточности или отсутствии. До этого более семи лет действовало руководство по безопасности (РБ) «Методика установления допустимого риска аварии при обосновании безопасности опасных производственных объектов нефтегазового комплекса»  (далее – РБ-МУДРА), утв. 23 августа 2016 г. приказом Ростехнадзора № 349.

Важны оба факта – и существенный срок действия принципиально нового тогда в 2016 г. РБ-МУДРА, его переутверждение вновь в 2023 г.

В ходе разработки и согласования «Методики установления допустимого риска аварии при обосновании безопасности опасных производственных объектов нефтегазового комплекса» в российском экспертном сообществе велись плодотворные дискуссии вокруг проблемы допустимости и приемлемости ограниченного воздействия проявлений аварийных опасностей на интересы и потребности рискующих. Принятие Методики в форме РБ Ростехнадзора тогда в 2016 г. на время прервало «горячие» диспуты, и перевело их в «холодную» форму. Одна из важных «административных» причин принятия Методики в 2016 г. – «притушить разногласия» и дать время и возможность обдумать вопрос с других ракурсов и с новыми знаниями. Публично «за или против» в семилетний период действия РБ-МУДРА-2016 по принципиальным положениям РБ практически никто не высказывался, а вся «подрывная» или «оборонительная» работа велась латентно (если велась). На фоне переутверждения обновленного РБ-МУДРА в 2023 г. такое затянувшее положение «прохладного оппонирования» может становиться деструктивным - непонимание перерастает в недовольство и даже враждебность, что мешает беспристрастному научному анализу и решению актуальных вопросов обеспечения промышленной безопасности. Важным сигналом к началу нового этапа обсуждения «допустимого риска» стали перманентные мнения, в основном расчетчиков риска, что «методика не работает». Такая «дезактивация» Методики вовсе не уничтожает принципы, на которых она построена. Главный из них – переход от господствующего риск-предписывающего (всегда и для всех абсолютные «10-6») к перспективному риск-ориентированному подходу (сориентироваться в реальных опасностях, измеренных в относительных уровнях). К сожалению, эти подходы сдвинулись к антагонизму, поэтому важно знакомить всех с исходными доводами, предположениями, ограничениями, постулатами и проч. Экзистенциальный вопрос жизни и смерти рискующего на производстве не должен маскироваться в тени верований и стереотипов «идеологов риска». Сначала требуется рационализировать проблему, а затем и легитимизировать процедуру определения и применения уровней допустимого риска аварии для оценки и обоснования достаточности дополнительных и компенсирующих мер безопасности на ОПО. Не одним абсолют-уровнем «10-6» должно обосновываться всякое опасное отступление, а совокупностью допустимых уровней разных срезов опасности аварии. Отступление нельзя превращать в преступление.

Ответственность за выбор критерия допустимости отступления от норм и достаточности компенсирующих оргтехмер лежит на разработчике обоснования безопасности. Этот тяжелый груз не могут на себя взвалить расчетчики риска, поэтому-то для них и «методика не работает», РБ-МУДРА им не нужна, досадна и неприятна. Лучше бы ее не было. Тогда гораздо проще свалить всю ответственность за безопасность ОПО на аморфную «лучшую международную практику»: очень точно рассчитал (не)свои кровные «10-6» и забыл, кто там и от чего отступил.  РБ-МУДРА действительно не нужна безответственным расчетчикам «индриска 10-6». А кому нужна?

В первую очередь РБ-МУДРА нужна ответственным разработчикам обоснований безопасности устанавливающих необходимые уровни допустимого риска аварии для оценки и обоснования достаточности дополнительных и компенсирующих мер, сохраняющих безопасное состояние ОПО при вынужденных отступлениях от действующих требований промышленной безопасности, их недостаточности или отсутствии. Еще более нужна - экспертам обоснований безопасности.

Во вторую очередь – заказчикам обоснований безопасности, проектным и эксплуатирующим организациям, которые могут понять кому, зачем или почем они смогут или не должны продать вверенную им безопасность предприятия и наших людей.

РБ-МУДРА работает в четкой связке с ФНП «Общие требования к обоснование безопасности опасного производственного объекта» (далее – ФНП-ОБ) и Руководством по безопасности "Методические рекомендации по разработке ОБ ОПО НГК" (далее РБ-ОБ-НГК). Если безответственно и беспричинно не выполняются рекомендации руководств, то это ведет к прямому нарушению требований промышленной безопасности и неминуемым тяжелым последствиям будущих аварий, «закладываемых» в ОБ ОПО.

Согласно п. 4 ст. 3 Федерального закона «О промышленной безопасности опасных производственных объектов»  (далее — ФЗ-116). обоснование безопасности (ОБ) может быть разработано, когда требуется: (1) отступление от требований промышленной безопасности, установленных федеральными нормами и правилами в области промышленной безопасности (ФНП); (2) таких требований недостаточно; (3) и (или) они не установлены.

Обоснованное отступление от действующих требований безопасности допустимо только после необходимого и достаточного анализа опасностей, возрастающих вследствие отступления от норм (невыполнения без компенсации):

• компенсирована ли «брешь в защищенности», образующаяся из-за отказа от исполнения действующего требования, с помощью других адекватных дополнительных требований безопасности, и/или изменением структуры оставшихся ограничений;
• доказано, что «брешь в защищенности» не образуется, вследствие изменения структуры опасностей аварии (т.е. показано, что отдельные опасности аварии теперь неактуальны).

Это отражено в п. 15 ФНП ОБ (изначально утв. пр. Ростехнадзора № 306 от 15 июля 2013): «обоснование безопасности должно содержать сведения о необходимости отступления от действующих норм и положения, компенсирующие эти отступления». Достаточность компенсации возникающих или выявленных аварийных опасностей обосновывается соблюдением условии безопасной эксплуатации ОПО, которые должны быть сформулированы для каждого конкретного случая в соответствующем ОБ для вполне определенного ОПО. Проверка выполнения этих условий – гарантия обоснованности и достаточности оргтехмер обеспечения промышленной безопасности на анализируемом ОПО. В ОБ и его экспертизе проверяется и подтверждается соблюдения условий безопасной эксплуатации ОПО – т.е. обеспечение достаточной защищенности рискующих от опасности аварий как на ОПО, так и за его пределами.

Согласно п. 10 ФНП ОБ специальный раздел документа ОБ "Условия безопасной эксплуатации опасного производственного объекта" должен содержать:

 «определение набора параметров и выбор основных показателей безопасной эксплуатации опасного производственного объекта;

оценку значений выбранных показателей до и после отступления от требований федеральных норм и правил в области промышленной безопасности;

сравнение значений выбранных показателей безопасной эксплуатации опасного производственного объекта с критериями обеспечения безопасной эксплуатации при отступлении от требований федеральных норм и правил в области промышленной безопасности;

обоснование решения о безопасной эксплуатации ОПО».

При обосновании безопасности, разработчик должен четко указать какие именно параметры (технологические, организационные, экономические и др.) он отобрал из ему доступных (измерения, статистика, опыт, мнения экспертов и т.п.) и почему именно они приняты в качестве показателей безопасности ОПО при отступлении от конкретной нормы. Т.е. необходимо обосновать сначала выбор из множества доступных параметров именно тех показателей, по значениям которых в дальнейшем можно будет судить об изменениях в обеспечении безопасности ОПО до и после возможных отступлении от действующих требований промышленной безопасности.

О том, насколько критичны изменения при отступлениях от норм – т.е. отклонения значений того или иного показателя безопасности – судят с помощью специальных правил, которые называют критериями (в ФНП ОБ они названы «критерии обеспечения безопасной эксплуатации при отступлении от требований федеральных норм и правил в области промышленной безопасности»).

Если связь между показателем и самим свойством (которое он показывает, вскрывает) установлена, только тогда могут быть выбраны и установлены критерии – правила, разделяющие все множество возможных состояний ОПО на подмножества, например, – безопасное и угрожающее (предаварийное). Обосновывается и выбор показателей, и критерии обеспечения безопасности по обоснованным показателям безопасности ОПО.

Для сокращения иногда критическое значение параметра называют просто критерием. В этом случае правило о непревышении этого значение подразумевается латентно. В общем случае критическое значение показателя безопасности должны быть не точечным, а интервальным.

Требования безопасности не «увеличивают блага», а «сокращают ущерб». Это – совершенно разные целевые задачи, деструктивно и их неосознанное неразличение (профанация), и их осознанное смешивание (демагогия) в ОБ.

Согласно п.2.2 РБ-ОБ-НГК для оценки достаточности компенсирующих мероприятий рекомендуется:

«определить как можно более широкий набор измеримых параметров в области обеспечения промышленной безопасности на ОПО нефтегазового комплекса, для которого разрабатывается обоснование безопасности;

из измеримых параметров в области обеспечения промышленной безопасности обоснованно выбрать основные показатели безопасной эксплуатации ОПО нефтегазового комплекса, которые непосредственно характеризуют отступления, отсутствие или недостаточность требований промышленной безопасности;

обосновать предельные значения выбранных показателей безопасной эксплуатации ОПО нефтегазового комплекса в качестве критериев обеспечения безопасной эксплуатации в случае, если при эксплуатации, капитальном ремонте, консервации или ликвидации опасного производственного объекта требуется отступление от требований промышленной безопасности, установленных ФНП, таких требований недостаточно и (или) они не установлены;

оценить значения выбранных показателей безопасной эксплуатации ОПО нефтегазового комплекса до и после отступления от требований ФНП (их отсутствия или недостаточности), в том числе с учетом и без учета компенсирующих мероприятий;

сравнить значения выбранных показателей безопасной эксплуатации ОПО нефтегазового комплекса с критериями обеспечения безопасной эксплуатации при отступлении от требований ФНП (их отсутствии или недостаточности) с учетом компенсирующих мероприятий;

положительно обосновать решение о безопасной эксплуатации ОПО нефтегазового комплекса в случае достаточности компенсирующих мероприятий, то есть достаточного соответствия значений выбранных показателей критериям обеспечения безопасной эксплуатации ОПО нефтегазового комплекса».

Являются ли расчетные величины риска аварии показателями безопасности ОПО? Впрямую риск – это показатель опасности, а не безопасности. Но, не зная карту опасностей (их структуру, динамику, накал), нельзя и безопасность обеспечить (неизвестно, где, когда и сколько необходимо и достаточно ограничительных мер). Контрпродуктивно считать индивидуальный риск гибели человека – главным (универсальным, общепринятым и проч.) показателем промышленной безопасности. Риск аварии – это не только индивидуальный риск, а скорее – не столько (например, есть еще материальный ущерб и репутационные потери от тяжелых «знаковых» аварий). Промышленная безопасность – не только предотвращение смертельного травматизма. Состояние защищенности от аварий по ФЗ-116 не редуцируется в смерть индивида в ближайший миллион лет.

Основная трудоемкость и сущность ОБ – это обоснование показателей и критериев безопасности ОПО (не общих, а для конкретного случая отступления, недостаточности или отсутствия норм).

Если требуется измерить опасность, необходимо пользоваться не абсолютными («10^-6» на все случаи), а относительными величинами, причем уровень, от которого измеряется «относительность» уже определен (неявно/явно) выполнением действующих правил безопасности. Если потребовалось отступать от правил, то необходимо определять «уровень правил» в конкретных случаях отступления (должна иметься методика, представительные исходные данные, квалифицированные расчетчики и проч.).

Приравнять «уровень правил» раз и навсегда к «10^-6» - грубая методическая ошибка. В разных случаях «уровень правил» разный, он может быть и больше, и меньше – ведь правила пишутся исторически, они не такие универсальные, как индивидуалистическая абстракция «10^-6» из неписанной концепции «абсолютного риска», подменившей концепцию «абсолютной безопасности».

Методика РБ-МУДРА не требует обязательного сравнения с фоновыми опасностями, как ее зачастую трактуют. Наоборот, на этом «пути расчета» поставлены непреодолимые преграды в виде достаточно жестких коэффициентов запаса.

При разработке ОБ по алгоритмам РБ-МУДРА для измерения опасности необходимо пользоваться не абсолютными, а относительными риск-ориентированными величинами, причем уровень сравнения определяется безусловным выполнением действующих правил безопасности («уровень правил»).

К наиболее общим условиям безопасной эксплуатации ОПО относятся: выполнение действующих требований промышленной безопасности (в том числе ФНП), соответствие значений показателей безопасной эксплуатации ОПО критериям обеспечения безопасной эксплуатации.

Для второго случая при отступлении от требований ФНП необходимы критерии обеспечения безопасной эксплуатации, в качестве которых могут быть приняты с определенными допущениями и критерии непревышения установленного в ОБ допустимого риска аварии на ОПО (установленного в конкретном ОБ для конкретного ОПО, а не в «среднем для всего мира»).

В общем случае критерий обеспечения безопасной эксплуатации при отступлении от действующих требований безопасности определяется следующим образом:

в предположении, что на ОПО выполнены все действующие правила безопасности, определяется уровень безопасности (УБ), т.е. «уровень правил» по выбранным основным показателям безопасной эксплуатации. В самом простом случае УБ может быть оценен по текущему уровню опасностей, измеряемых, например, риском аварии R₀, т.е. УБ = –R₀;

при отступлении от норм без компенсирующих мер определяется пониженный уровень безопасности: УБ₁ = –R₁, где R₁ — оценка увеличившейся опасности аварии в этом случае;

если R₁ £ R₀, то это явный признак непригодной методики их оценки (как оценки функции значений набора показателей) или ошибочного выбора показателей безопасной эксплуатации;

если R₁ > R₀, то обосновывается допустимый уровень опасности, измеряемый R_доп, для конкретного случая отступления от норм:

R_доп = R₀/КЗ,                                                                                                                                                                                  (1)

где КЗ — коэффициент запаса, учитывающий состояние техники и кадров, значимость норм, неопределенность методик и исходных данных для расчета, чувствительность методики расчета к учету компенсирующих мероприятий, значимость модернизации и пр. (при отсутствии или недостаточности обоснования КЗ > 1).

Значение D_R = R₁ – R_доп — это индикатор для разработки набора обоснованных компенсирующих мер, которые должны иметь соответствующий эффект повышения защищенности рискующих и компенсировать опасность исследуемого отступления от ФНП.

Например, для магистральных нефтепроводов предложенные мероприятия, компенсирующие отступления от норм, могут быть обоснованы как достаточные, если с использованием методики балльной оценки показано, что D_R = 0. В противном случае незачем в ОБ представлять «расчеты риска по действующим методикам»: расчеты не связаны с предлагаемыми мерами. Это рано или поздно вскроется экспертизой (или опасной практикой эксплуатации «отступленного» ОПО).

Если D_R=0, то разработан только минимум, – компенсирующие меры. Кроме компенсации нужны еще и дополнительные меры (т.е. КЗ > 1): нужна гарантия, что будет не хуже по безопасности после компенсированных отступлений (D_R=0). Дополнительные меры – это запас на незнание (несовершенные методики оценки опасности, неопределенность исходных данных, сложность учета синергетических эффектов кумуляции опасностей и взаимовлиянии упреждающих мер, относительность уровня опасности объекта и т.д.).

И в заключение – типовой ответ на риторический вопрос: почему «не работает» Методика РБ-МУДРА в руках опытных и практикующих расчетчиков риска?

(1) Методика РБ-МУДРА разработана в полном соответствии с алгоритмом, установленным п. 10 ФНП ОБ и более детально прописанным п.2.2 РБ-ОБ-НГК. Этот алгоритм по сложившейся практике «10^-6» сейчас не исполняется (выполняются отдельные его эпизоды), т.е. нарушаются нормы и формальной логики, и формальных правил из ФНП ОБ. Когда Методика РБ-МУДРА «не работает» — это в первую очередь сигнал об этих общеметодических нарушениях. Наоборот, РБ-МУДРА именно работает, запрещая необоснованные (а возможно опасные) отступления от действующих требований безопасности.

Характерный пример игнорирования требований ФНП-ОБ и рекомендаций РБ-МУДРА и РБ-ОБ-НГК, с использованием способа «обоснования индивидуальным риском» опаснейших проектных решений, впрямую нарушающих требования промышленной безопасности, был выявлен на недавнем заседании секции 6 НТС Ростехнадзора 15 сентября 2023.

На этом внеплановом заседании всесторонне рассматривались предполагаемые отступления от требований промышленной безопасности, допущенные в проекте крупного экспорториентированного ОПО через механизм разработки обоснования безопасности (ОБ) и получения заключения экспертизы (ЗЭ). Не будем здесь обсуждать технические тонкости и особенности запроектированных нарушений ФНП. Важнее ознакомится, как искусно примененная разработчиками ОБ технология «приемлемости индивидуального риска» позволяет заказчикам купить разрешения на практически любые нарушения ФНП. Основные принципы этой техрегулирующей технологии во многом описаны в публикации [Ковальский Ф.С., Грановский Э.А., Акинин Н.И. Проблемы оптимизации затрат на снижение риска аварий// Безопасность труда в промышленности. — 2023. — № 7. — С. 28-36.].

Все заявленные в этом характерном ОБ причины отступлений от ФНП носят финансово-экономический характер ("потребует дополнительных затрат", "больших затрат" и т.п.) и не являются невозможными технически осуществимыми, тем более на стадии проектирования ОПО.

Исторически инструментарий обоснования безопасности был введён в законодательную практику РФ для реализации в первую очередь инновационных решений, неотраженных в существующих нормах и требованиях, для обеспечения высокого уровня промышленной безопасности на новых безопасных производствах России. Любая монетарная малозатратность на стадии проектирования и строительства резко увеличивает угрозы аварий в средне и долгосрочном периоде эксплуатации ОПО, но даёт быструю и несоразмерную будущим аварийным потерям и эксплуатационным издержкам "здесь и сейчас" монетизацию беспечной экономии на безопасности.

Фактически рассмотренные на секции 6 НТС тексты ОБ и ЗЭ – это типичные "бумажные индульгенции" от неминуемого роста опасности и угроз возникновения аварий при нарушении действующих ФНП. Понятно, что для заказчика ОБ исполнение требований ФНП многократно дороже покупки "ОБ" у пристрастных разработчиков и безответственных экспертных организаций. Экономия в проекте на безопасности недопустима, особенно в масштабе будущей проблемной эксплуатации важнейшего для РФ экспорториентированного ОПО. Кратко обозначим, как именно «индивидуальным риском» обосновали безопасность при нарушении норм на проектируемом ОПО разработчики этих ОБ и ЗЭ.

Во-первых, разработчики путают разные "обоснования безопасности" из области техрегулирования и из промышленной безопасности. Например, ключевой в этом ОБ термин "безопасность - отсутствие недопустимого риска" используется исключительно в контексте смежного законодательства о техрегулировании, и поэтому пригоден лишь для оценки надёжности некоторых технических устройств на ОПО, но никак не для обоснования безопасности ОПО в целом. Эта грубейшая методическая ошибка многократно обсуждалась, например, на страницах журнала «Безопасность труда в промышленности» и для её недопущения в ФНП-ОБ разработаны чёткие требования, а в соответствующих РБ-МУДРА и РБ-ОБ-НГК даны развёрнутые рекомендации по их надлежащему исполнению. Всё это осознанно проигнорировано и разработчиками, и экспертизой этого ОБ.

Согласно ФЗ-116 и ФНП-ОБ:  "Обоснование безопасности опасного производственного объекта - документ, содержащий сведения о результатах оценки риска аварии на опасном производственном объекте и связанной с ней угрозы, условия безопасной эксплуатации опасного производственного объекта, требования к эксплуатации, капитальному ремонту, консервации и ликвидации опасного производственного объекта".

В этом же ОБ фактически отсутствуют полноценные и всесторонне обоснованные условия безопасной эксплуатации ОПО. Грубо нарушая понятийную базу ФЗ-116, разработчики этого ОБ подменили целостное и неделимое обеспечение промышленной безопасности ОПО на отрывочную "безопасность персонала цеха". Это в итоге и привело их к безосновательным и чрезвычайно опасным выводам и рекомендациям, что многие действующие требования промышленной безопасности выполнять вовсе не требуется (т.к. они затратные) и, главное, не нужны компенсирующие меры, которые должны устанавливаться новыми требованиями безопасности для этого ОПО при локальных отступлениях от ФНП. Описанный в тексте ОБ авторский "метод анализа безопасной эксплуатации" неполноценен и противоречит принципам системного обеспечения промышленной безопасности, которая не определяется исключительно выживаемостью индивидов из персонала в будущих расчётных авариях, порожденными прямыми нарушениями требований ФНП. Отступления отличаются от нарушений (см. п.7 РБ-ОБ-НГК) тем, что должна быть обоснована необходимость возможных (а не уже сделанных) отступлений, и доказана достаточность компенсирующих мероприятий, а не только предельно точно (вплоть до 9-го знака после запятой) рассчитан риск гибели индивида (даже не персонала). Следуя логике этого ОБ, если, например, обязать индивидов из персонала покидать рабочие места при малейшем подозрении возникновения инцидента (или заменить персонал роботами), то расчётный индивидуальный риск гибели всегда будет нулевой (даже если при аварии дотла сгорит и полностью разрушится ОПО). В этом беспредельном случае все действующие ФНП для этого ОПО вообще излишни и не нужны, ведь по критериям этого ОБ "безопасность персонала цеха" будет всегда с лихвой и безусловно обеспечена. То, что при этом не будет обеспечена промышленная безопасность на ОПО, для разработчиков и экспертов этого ОБ остаётся методически невидимым. Они ищут рост аварийных опасностей не там, где дОлжно, а там, где светло от приятных и очень точных расчётов "индивидуального риска", по компьютерной программе.

Разработчики этого ОБ нарушили п.10(абз.4) ФНП-ОБ и проигнорировали соответствующие рекомендации по его исполнению из РБ-ОБ-НГК и РБ-МУДРА: они не обосновали свой беспредельно субъективный выбор основного показателя безопасности, пригодного для оценки роста опасностей при отступлении от ФНП и доказательства достаточности компенсирующих мер. Выбранный в этом ОБ "индивидуальный риск", как единственная сущность измерения уровня промышленной безопасности, не может быть основным показателем безопасной эксплуатации ОПО, тем более с допущенными нарушениями требований ФНП, т.к. данный частный параметр смертности модельных индивидов никак не характеризует возможные  групповые несчастные случаи и не может достоверно охарактеризовать рост угроз аварий при явных и грубейших нарушениях ФНП. Так, например, экспертиза этого ОБ настаивает, что "согласно представленным результатам расчетов индивидуальный риск для персонала равен Yх10-9 в год при отступлении от требований ФНП и Zх10-8 в год при выполнении требований ФНП". Фактически так выбранный основной показатель безопасной эксплуатации ОПО недвусмысленно показывает, что неисполнение требований промышленной безопасности более чем на порядок улучшает уровень промышленной безопасности. Оказывается нарушение ФНП очень полезно для безопасности, а не только дешево. Налицо наглядное проявление поверхностной компетентности разработчиков ОБ и факта заведомо ложного заключения экспертизы, вследствие использования непригодного и однотипного критерия «индивидуального риска» и игнорирования «расчетчиками рисков» типовых положений руководства по безопасности «Методика установления допустимого риска аварии при обосновании безопасности опасных производственных объектов нефтегазового комплекса».