ГОСТ Р ИСО 11231-2013. Национальный стандарт Российской Федерации. Менеджмент риска. Вероятностная оценка риска на примере космических систем

(утв. и введен в действие Приказом Росстандарта от 22.11.2013 № 1669-ст)

ИСТОРИЯ ИЗМЕНЕНИЙ НОРМАТИВНО-ТЕХНИЧЕСКИХ АКТОВ

flowchart LR
  n0["ГОСТ Р ИСО 11231-2013"]:::rst
  click n0 "https://bukva.ai/docs/standart-gost-r-iso-11231-2013" "ГОСТ Р ИСО 11231-2013. Национальный стандарт Российской Федерации. Менеджмент риска. Вероятностная оценка риска на примере космических систем (утв. и введен в действие Приказом Рос"
  n1["ГОСТ Р ИСО 11231-2024"]:::doc
  click n1 "https://bukva.ai/docs/standart-gost-r-iso-11231-2024" "ГОСТ Р ИСО 11231-2024. Национальный стандарт Российской Федерации. Менеджмент риска. Метод вероятностной оценки риска на примере космических систем (утв. и введен в действие Приказ"
  n0 --> n1
classDef rst fill:#FFEBEB,stroke:#8B0000,color:#000;
classDef doc fill:#EBFFEB,stroke:#006400,color:#000;
classDef notEnt fill:#FFFFEB,stroke:#FF8C00,color:#000;

Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 22 ноября 2013 г. № 1669-ст

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

МЕНЕДЖМЕНТ РИСКА

ВЕРОЯТНОСТНАЯ ОЦЕНКА РИСКА НА ПРИМЕРЕ КОСМИЧЕСКИХ СИСТЕМ

Risk management. Probabilistic risk assessment on example with space systems

ISO 11231:2010 Space systems — Probabilistic risk assessment (PRA) (IDT)

ГОСТ Р ИСО 11231-2013

Группа Э65

ОКС 13.180

Дата введения 1 декабря 2014 года

Предисловие

Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании», а правила применения национальных стандартов Российской Федерации — ГОСТ Р 1.0-2004 «Стандартизация в Российской Федерации. Основные положения»

Сведения о стандарте

1 РАЗРАБОТАН Автономной некоммерческой организацией «Научно-исследовательский центр контроля и диагностики технических систем» (АНО «НИЦ КД»)

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 10 «Менеджмент риска»

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 22 ноября 2013 г. № 1669-ст

Настоящий стандарт идентичен международному стандарту ИСО 11231:2010 «Космические системы. Вероятностная оценка риска» (ISO 11231:2010 «Space systems — Probabilistic risk assessment (PRA)»)

4 Наименование настоящего стандарта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.5-2004 (подраздел 3.5).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительном приложении ДА

5 ВВЕДЕН ВПЕРВЫЕ

6 ПЕРЕИЗДАНИЕ Март 2016 г.

Правила применения настоящего стандарта установлены в ГОСТ Р 1.0-2012 (раздел 8). Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты», а официальный текст изменений и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске информационного указателя «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

В структурированных процессах менеджмента риска обычно используют качественные и количественные методы оценки риска (см. ИСО 17666). Они необходимы для выбора оптимальных решений, направленных на обеспечение безопасности и увеличение вероятности достижения положительных результатов. Наиболее систематизированным и комплексным из этих методов является метод вероятностной оценки риска (PRA).

Вероятностная оценка риска за прошедшие десятилетия утвердилась как один из основных аналитических методов идентификации и анализа риска, используемых на этапах от разработки до сборки систем. Успешный опыт применения данного метода в менеджменте риска был получен во многих отраслях промышленности, включая космическую, энергетическую, нефтехимическую промышленность, а также в сфере обеспечения безопасности. Метод PRA направлен на повышение эффективности процесса менеджмента риска путем идентификации доминирующих факторов, воздействующих на риск, выявление и анализ которых помогает эффективно распределить ресурсы, направить усилия на обработку наиболее существенных видов риска и сэкономить время на обработке незначительных видов риска. Кроме того метод PRA может стать основой для оценки неопределенности оценок вероятности событий и их последствий, что во многих случаях является критически важным при обеспечении безопасности системы. Оценка неопределенности на основе метода PRA дает возможность получать данные об источниках неопределенности и информацию о значимости инвестиционных ресурсов в снижении неопределенности. Таким образом, метод PRA может быть использован для анализа и принятия решений в области обеспечения безопасности. Применение метода PRA для анализа безопасности позволяет определить оценку вероятности и значимости событий, а также их последствий, которые могут оказать неблагоприятные воздействия на безопасность.

Метод PRA отличается от анализа надежности в двух важных направлениях:

a) PRA позволяет получить более точную количественную оценку неопределенности, как для отдельных событий, так и для системы в целом;

b) в методе PRA применены более информативные оценки риска, связанные с возникновением значимых неблагоприятных последствий (например, гибелью людей, невыполнением основной задачи) в противоположность строго определенным параметрам функционирования системы (например, «средней наработки до отказа»).

Метод PRA отличается от метода анализа опасностей, в соответствии с которым идентифицируют и оценивают значимые последствия редких событий, исследуя их так, будто они произошли без учета вероятности их реализации. Полнота набора сценариев инцидентов не может быть обеспечена при проведении анализа опасностей. Результаты PRA являются иными и могут быть непосредственно применены при распределении ресурсов и принятии других решений менеджмента риска, основанных на более широком спектре данных о последствиях.

С помощью метода PRA можно идентифицировать слабые и уязвимые места системы, которые могут неблагоприятно воздействовать на безопасность, функционирование и выполнение поставленных целей. Полученные результаты помогают разработать эффективные стратегии менеджмента риска, направленные на снижение риска и позволяющие ответственному персоналу принимать обоснованные решения по оптимальному использованию ресурсов.

Метод PRA может быть успешно применен при оценке риска сложных систем, к которым могут быть применены сценарии реализации опасных событий с низкой вероятностью возникновения и значимыми последствиями, или при оценке комплексных сценариев, состоящих из цепочки событий, которая может неблагоприятно воздействовать на безопасность системы больше, чем каждое событие по отдельности.

1 Область применения

Настоящий стандарт обеспечивает выполнение требований к процессу менеджмента риска, установленных в ИСО 17666, и дополняет их в ситуациях, когда необходимо применение количественной оценки риска.

В настоящем стандарте определены принципы, процесс, способы выполнения и требования к количественной оценке риска, а также приведено детальное описание метода вероятностной оценки риска (PRA) применительно к обеспечению безопасности. Метод PRA может быть использован в менеджменте риска проекта, однако пояснение деталей такого использования не входит в область применения настоящего стандарта.

В настоящем стандарте установлены основные требования и процедуры использования метода PRA для оценки безопасности и вероятности выполнения (или невыполнения) основной цели разработки. Настоящий стандарт может быть применен при оценке риска любого проекта, в том числе космического проекта, включая:

• разработку космических транспортных средств для перемещения людей в космическом пространстве;
• разработку космических и внеземных планетарных обитаемых станций;
• разработку космических средств выведения на орбиту, использующих для работы или транспортирующих ядерные материалы;
• другие виды разработок в соответствии с требованиями руководства или потребителей.

При выполнении указанных работ необходимо учитывать сценарии, последовательности событий или действия, которые могут привести к травмированию или гибели людей (астронавтов, пилотов, населения и персонала), потере критического или ценного оборудования и имущества. При выполнении других видов работ PRA выполняют по усмотрению руководителей проекта.

2 Нормативные ссылки

В настоящем стандарте использована ссылка на следующий стандарт:

ИСО 17666 Космические системы. Менеджмент риска. (ISO 17666:2003 Space systems — Risk management)

3 Термины, определения и сокращения

3.1 Термины и определения

В настоящем стандарте применены термины по ГОСТ Р ИСО 17666, а также следующие термины с соответствующими определениями.

3.1.1 приемлемый риск (acceptable risk): Риск для человечества, который может быть на разумной основе принят при отсутствии долгосрочных и необратимых негативных последствий для здоровья людей, окружающей среды и планеты Земля в настоящее время и в будущем.

[ИСО 14620-2:2000, п. 3.1]

3.1.2 экспертная оценка (вероятности) (expert judgment): Данные о вероятности, полученные специалистами систематизированным и структурированным способом.

Примечание 1 — Под структурированным методом получения данных понимают использование определенного методического подхода. Под систематизированным получением данных понимают регулярное получение данных.

Примечание 2 — Математическое объединение экспертных оценок более предпочтительно, чем объединение на основе свойств и характеристик или согласованного решения.

3.1.3 вероятность (likelihood): Мера, характеризующая возможность реализации события, опасного сценария или последствия, их интенсивности или частоты.

3.1.4 опорное значение вероятности (likelihood reference frame): Значение вероятности, относительно которого определяют вероятность.

Примечание - Опорное значение вероятности связано со структурой анализа вероятности. Типичным опорным значением, используемым в космических проектах, является «вероятность выполнения основной задачи».

3.1.5 риск (risk): Количественная или качественная мера значимости возможного ущерба и вероятности появления этого ущерба.

[ИСО 14620-2:2000, п. 3.27]

Примечание - Риск является следствием неопределенности результатов прогноза данных или контроля событий. Риск присущ каждому проекту, может возникнуть в любое время на всех этапах выполнения проекта; поэтому снижение неопределенности способствует снижению риска.

3.1.6 составляющая риска (risk contributor): Риск единичного события или набора событий, от которых зависит исследуемый риск.

Примечание — Составляющие риска могут быть упорядочены в соответствии с их вкладом в риск (3.1.7).

3.1.7 вклад в риск (risk contribution): Мера снижения вероятности основных последствий, если событие, определяющее соответствующую составляющую риска, не произойдет.

Примечание 1 — Вклад в риск показывает величину возможного снижения риска при отсутствии рассматриваемой составляющей риска и прямо пропорционален ей. Основными составляющими риска являются риски событий, имеющих большой вклад в риск, отсутствие которых приводит к существенному снижению риска.

Примечание 2 — Систематическая оценка вкладов в риск позволяет ранжировать по риску конструкции и функциональные элементы системы. Это дает возможность идентифицировать высокий риск и/или уязвимые места системы, которые затем могут быть использованы как направления повышения безопасности.

3.1.8 риск нарушения безопасности (safety risk): Риск реализации несчастного случая, травмирования или гибели людей, нанесения ущерба социальной и экологической среде.

[ИСО 14620-2:2000, определение 3.30]

Примечание 1 — Риск нарушения безопасности всегда связан с определенным сценарием или набором сценариев реализации опасности. Риск, соответствующий единственному сценарию, называют «риском отдельного сценария». Риск, соответствующий набору рисков отдельных сценариев и их последствий, называют «совокупным риском».

Примечание 2 — Величину риска нарушения безопасности характеризуют вероятностью и значимостью последствий.

3.1.9 сценарий (риска) ((risk) scenario): Последовательность событий или их комбинация от первоначальной причины до нежелательного последствия.

Примечание - Причиной могут быть как единичное событие, так и появление опасной ситуации.

[ИСО 17666:2003, определение 2.1.13]

3.1.10 причастные стороны (stakeholder): Лицо или организация, которые могут получить преимущества или потери при реализации опасного события и связанных с ним последствий.

3.1.11 неопределенность (uncertainty): Недостаток информации, вызванный неточностью входных параметров и/или анализа процесса.

[ECSS-P-001B:2004, определение 3.216]

Примечание - Неопределенность может быть представлена в виде интервала с верхней и нижней границами значений или в виде распределения неопределенности.

3.1.12 составляющая неопределенности (uncertainty contributor): Неопределенность риска единичного события или набора единичных событий, от которой зависит неопределенность риска основного последствия.

Примечание — Составляющие неопределенности могут быть ранжированы друг относительно друга в соответствии с их вкладом в неопределенность (3.1.13).

3.1.13 вклад в неопределенность (uncertainty contribution): Мера снижения неопределенности вероятности основного последствия в предположении, что неопределенность вероятности исследуемого события равна нулю.

Примечание 1 — Вклад в неопределенность указывает на возможное снижение общей неопределенности или составляющих неопределенности и прямо пропорционален им. Важные составляющие неопределенности соответствуют событиям, имеющим высокий вклад в неопределенность и допускающим существенное снижение неопределенности.

Примечание 2 — Систематическая оценка вклада в неопределенность позволяет ранжировать по неопределенности данные и источники информации.

3.2 Сокращения

FMEA <1> - анализ видов и последствий отказов;

IE <2> - входное событие;

MLD <3> - главная диаграмма;

PRA <4> - вероятностная оценка риска;

P(A) — вероятность события A;

P(A/B) — вероятность события A при условии реализации события B;

RM <5> - менеджмент риска.

<1> Failure Modes and Effects Analysis.

<2> Initiating Event.

<3> Master Logic Diagrams.

<4> Probabilistic Risk Assessment.

<5> Risk Management.

4 Принципы вероятностной оценки риска

4.1 Общие положения

Метод вероятностной оценки риска помогает руководителям и техническим специалистам использовать оценки риска в своей работе и при принятии решений на всех этапах жизненного цикла (разработка, испытания, эксплуатация, техническое обслуживание, утилизация), в процессе менеджмента, при оценке затрат и планировании работ (см. ИСО 17666).

Использование в процессе менеджмента риска метода вероятностной оценки риска, позволяет получить необходимые данные о риске. Оценка риска является важной составляющей процесса менеджмента риска.

В соответствии с ИСО 17666 установлены следующие этапы процесса менеджмента риска:

• этап 1. Установление требований к внедрению менеджмента риска;
• этап 2. Идентификация и оценка риска;
• этап 3. Принятие решений и выполнение соответствующих действий;
• этап 4. Мониторинг, обмен информацией и принятие риска;
• этап 5. Управление остаточным риском.

Этап 2 сам по себе является процессом, включающим оценку риска. После завершения этапа 1 оценка риска помогает получить данные об остаточном риске. Оценка риска позволяет получить данные, на основе которых принимают решения о разработке и внедрении методов управления и средств контроля, применяемых для предупреждения или снижения риска.

Этап 3 предусматривает принятие решения о приемлемости риска для руководителей программы/проекта и причастных сторон. Если риск неприемлем, то необходимо снизить риск до приемлемого уровня. Если риск приемлем, то необходимо разработать мероприятия (этапы 4 и 5) по мониторингу изменений риска и недопущению его роста до неприемлемого уровня.

Оценка риска может быть качественной, количественной или комплексной. Качественная оценка риска позволяет ранжировать вероятности и последствия опасных событий. Применительно к безопасности такую оценку называют оценкой риска нарушения безопасности.

В большинстве случаев вероятности и последствия оценивают количественно. Если статистических данных недостаточно, то для оценки риска используют методы моделирования.

Для редких событий с очень низкой вероятностью реализации при недостатке статистических данных риск основных источников опасности оценивают с помощью метода вероятностной оценки риска (требования и процесс PRA см. в разделе 6).

В других разделах настоящего стандарта описана методология PRA, в первую очередь, применительно к безопасности. Другую форму оценки риска, называемую «оценкой риска программы» используют для оценки риска невыполнения установленных планов, программ и экономических расчетов. В этом процессе показатели плана-графика работ моделируют на основе метода Монте-Карло с учетом неопределенности первоначального плана. Эта неопределенность может возникнуть вследствие большого количества технических или организационных причин. Затем необходимо оценить влияние изменений плана и других технических аспектов на стоимость работ. Оценку риска, связанного с выполнением программы работ, определяют в виде распределений вероятностей превышения сроков и затрат, установленных в плане.

4.2 Оценка риска нарушения безопасности

Понятие оценки риска нарушения безопасности является производным из PRA. Оценка риска нарушения безопасности дополняет детерминированный анализ опасностей и, таким образом, обеспечивает принятие более обоснованных решений о риске. Под вероятностью в настоящем стандарте понимают возможность (шанс) реализации опасного события.

Взаимосвязь между оценкой риска нарушения безопасности и анализом опасности показана на рисунке 1.

Примечание - Si — i-й сценарий, S₁ - 1-й сценарий, SN — N-й сценарий, xi — значимость последствий, pi — вероятность реализации опасности. Таким образом, S1(x1) — значимость последствий 1-го сценария, S1(x1; p1) — риск 1-го сценария, SN(xN) — значимость последствий N-го сценария и SN(xN; pN) — риск N-го сценария.

Рисунок 1 — Взаимосвязь между оценкой риска нарушения безопасности и анализом опасностей

Оценка риска нарушения безопасности может быть использована как для оценки риска индивидуальных сценариев реализации опасностей, так и для оценки совокупного риска набора сценариев реализации опасностей.

Оценка риска индивидуальных сценариев может быть выполнена с помощью схем ранжирования значимости последствий и вероятности реализации сценариев при использовании сети или матрицы риска и индексов риска, описанных в ИСО 17666. Однако матрицы и индексы риска не могут быть использованы для объединения индивидуальных компонентов риска сценария или объединения различных сценариев для оценки совокупного риска. Эти методы не допускают использования результатов промежуточных вычислений.

Оценка совокупного риска, соответствующего определенному набору сценариев, требует применения подхода PRA. Этот подход обеспечивает основу для идентификации и ранжирования компонентов риска. Важные компоненты риска впоследствии могут быть использованы для совершенствования конструкции и функционирования системы с точки зрения ее безопасности. Рассчитанный совокупный риск может быть соотнесен с вероятностными показателями безопасности или критериями приемлемости. На этапе 1 процесса менеджмента риска высшее руководство или потребители определяют приемлемость риска. Риск может быть использован в качестве исходных данных для количественного определения параметров безопасности в моделях принятия решений.

Представление оценки совокупного риска нарушения безопасности показано на рисунке 2. В соответствии с рисунком при оценке риска нарушения безопасности используют сценарии реализации опасности для моделирования отдельных последовательностей событий, необходимых и достаточных для возникновения установленных нежелательных последствий. Сценарий может быть представлен как «логическое пересечение» начальной причины или исходного события и необходимых условий промежуточных событий, приводящих к соответствующему последствию. Следовательно, совокупный риск является логическим объединением рисков индивидуальных сценариев приводящих к одному и тому же последствию.

a — параметр или квантиль распределения неопределенности.

Примечание - SC₁ - 1-й сценарий, SC₂ - 2-й сценарий, SC₃ - 3-й сценарий, SCN — N-й сценарий; P (A₁) — вероятность события A₁ (исходное событие); P (B1|A1) — вероятность события B1 при условии реализации события A1; P(C1|B1, A1) — вероятность события C1 при условии реализации событий B1 и A1; P(D1|C1, B1, A1) — вероятность события D1 при условии реализации событий C1, B1 и A1; P (x) — совокупная вероятность, равная логическому объединению вероятностей всех № сценариев.

Рисунок 2 — Пример оценки совокупного риска

Вероятностная оценка риска для сложных систем обычно помогает идентифицировать сценарии с применением деревьев событий, или диаграммы последовательности событий и деревьев неисправностей для получения логических моделей формирования определенных нежелательных последствий нарушения безопасности. Для количественного определения вероятности конечного состояния системы вероятность исходного события (т.е. причины) умножают на вероятность каждого последующего промежуточного события при условии реализации последовательности предыдущих событий по каждому сценарию. Для каждого сценария значимость последствий обычно определяют на основе параметров происходящих физических процессов (явлений) и особенностей сценария. Совокупные последствия определяют путем суммирования последствий всей совокупности сценариев, используя данные аналогичных событий.

Для оценки вероятности событий обычно используют различные источники данных. Типичными источниками данных являются данные предыдущих испытаний системы (т.е. данные измерений или прямых наблюдений в процессе испытаний, экспериментов, исследований (см. ИСО 16192)), данных о других системах или проектах (данных о системах-аналогах, данных моделирования физических процессов) и экспертных оценок (т.е. оценок вероятности специалистами в конкретной области). События рассматривают в соответствии со сценарием реализации опасности, т.е. вероятность события оценивают как вероятность этого события при условии реализации последовательности предыдущих событий

При определении оценки совокупного риска проводят систематическую идентификацию и оценку неопределенности, которую выполняют двумя способами. При определении оценки вероятности событий сценария определяют оценку соответствующих неопределенностей в виде интервалов или распределений вероятностей. Полученную неопределенность используют для определения оценки вероятности последствий.

Количественную оценку совокупного риска получают на основе расчета вероятностей и последствий. В результате вычислений могут быть получены точечные оценки или распределения вероятностей (неопределенности). Распределение неопределенности может быть описано с помощью параметров, например среднего или квантиля установленного уровня в правой части распределения. Значение квантиля в правой части распределения неопределенности, соответствующей совокупному риску для установленного уровня доверия, используют для выполнения гарантированного подхода при принятии решений о приемлемости риска. Гарантированный подход предполагает, что для значений риска следует рассматривать наихудшие варианты, чтобы гарантировать, что система соответствует согласованным целям в области риска, или выбор критериев приемлемости риска и вариантов проекта выполнен правильно. Более высокая неопределенность значения совокупного риска формирует соответствующие значения параметров распределения, которое будет использовано для принятия риска или его сопоставления с другими рисками или критериями.

Относительная значимость события или сценария для совокупного риска определяется их вкладом в неопределенность совокупного риска. Вклады в совокупный риск характеризуют возможность повышения безопасности системы, т.е. возможность снижения совокупного риска при устранении риска данного события или сценария. Аналогично параметры конструкции и функционирования системы могут быть ранжированы с точки зрения снижения риска на основе анализа составляющих событий и их вклада в совокупный риск.

Влияние неопределенности риска конкретного события или сценария на неопределенность совокупного риска определяется их вкладом в неопределенность совокупного риска. По вкладу в неопределенность идентифицируют и ранжируют события, представляющие собой основные источники неопределенности вероятности последствий, которые могут быть устранены, или для которых неопределенность, соответствующая их риску, может быть существенно уменьшена. Снижение неопределенности последствий напрямую связано с использованием менее жестких значений параметров или квантилей распределения неопределенности.

Компоненты риска и неопределенности идентифицируют на основе их ранжирования. Наиболее важными составляющими риска и неопределенности являются те события, или компоненты системы, которым соответствует наибольший риск и наибольшие возможности снижения неопределенности совокупного риска.

4.3 Риск и вероятностная оценка риска

Понятие риска включает нежелательные последствия (например, количество людей, которые могут быть травмированы или погибнуть) и вероятность реализации этих последствий. Иногда риск определяют как описание возможных последствий. Такое представление риска не вполне соответствует общему определению риска. Понимание возможных процессов, приводящих систему к отказу и распределения вероятностей последствий, часто дают значительно больше информации, чем полное описание риска.

Общее определение риска обычно представляют набором из трех компонентов. В общем случае определить риск можно, ответив на следующие вопросы:

a) Что может произойти не так? (определение сценариев).

b) Какова вероятность этого сценария? (определение вероятности).

c) Каковы последствия реализации сценария? (определение значимости последствий).

Ответом на первый вопрос является набор опасных сценариев. Ответ на второй вопрос требует определения оценок вероятностей реализации каждого сценария. Ответ на третий вопрос требует определения соответствующих последствий. Дополнительно к определению вероятностей и последствий при трехкомпонентном определении риска проводят разработку сценариев, которые становятся частью определения риска. Эти сценарии являются важным результатом оценки риска. На рисунке 3 показано применение этих понятий в методе PRA.

Рисунок 3 — Три компонента определения риска в методе PRA

Выполнение метода PRA начинают с идентификации множества «исходных событий», которые могут вызвать изменения в состоянии системы, т.е. функциональное состояние или конфигурацию системы. Затем для каждого исходного события определяют последующие события (отказы), которые могут привести к нежелательным последствиям. Исходя из полученных данных, определяют диапазон и размер последствий этих сценариев, а также частоту и вероятность их реализации. В заключение на основе данных о частоте (вероятности) реализации и последствиях опасного события формируют профиль риска системы, который используют при принятии решений в области менеджмента риска.

5 Цели, способы применения и преимущества метода вероятностной оценки риска

5.1 Целями вероятностной оценки риска являются:

• идентификация и оценка риска (нарушения безопасности или выполнения основной задачи системы), который представляет собой риск реализации отдельных идентифицированных сценариев или совокупный риск реализации набора сценариев;
• идентификация составляющих риска и их неопределенности, а также соответствующих источников опасности при проектировании и функционировании системы;
• ранжирование составляющих риска и их неопределенности в порядке понижения их значимости для нарушения безопасности и выполнения основной задачи системы;
• идентификация и определение приоритетов для мероприятий по снижению риска.

5.2 Результаты вероятностной оценки риска используют для:

• оценки риска нарушения безопасности и невыполнения основной задачи в количественном выражении;
• снижения риска нарушения безопасности и невыполнения основной задачи системы;
• определения и внедрения требований, спецификаций, концепций, процедур и т.п. к конструкции и функционированию системы;
• обеспечения количественных данных для определения требований к обеспечению безопасности и выполнению основной задачи системы путем:
• определения применимости требований к обеспечению безопасности и выполнению основной задачи системы,
• выполнения требований к безопасности и выполнению основной задачи системы;
• верификации результатов PRA и демонстрации соответствия требованиям;
• поддержки при принятии решений на стадии разработки основной задачи системы;
• поддержки безопасности составных частей и элементов системы и анализа объективных свидетельств обеспечения безопасности;
• поддержки сертификации безопасности системы путем обеспечения документированных объективных свидетельств;
• поддержки мониторинга и обмена информацией о риске;
• обеспечения входных данных для разработки общего менеджмента риска.

5.3 Преимуществами применения вероятностной оценки риска являются следующие:

• обеспечение количественных данных для определения оценки риска и приемлемости риска;
• более эффективное распределение ответственности и полномочий в области обеспечения безопасности;
• более эффективное распределение расходов на обеспечение безопасности пропорционально снижению риска;
• более эффективное и последовательное обеспечение безопасности системы;
• обеспечение наглядного представления количественных показателей сценариев реализации опасных событий;
• количественная идентификация уязвимых мест системы и ее компонентов;
• оценка безопасности системы, ее подсистем на этапе их разработки;
• количественное сравнение эффективности действий по снижению риска.

5.4 Цели оценки риска для проекта установлены в задаче 1 оценки риска.

6 Требования и процесс PRA

6.1 Требования к вероятностной оценке риска

Установлены следующие требования к вероятностной оценке риска:

a) вероятностная оценка риска должна соответствовать процессу оценки риска, как установлено в 6.3;

b) вероятностная оценка риска должна быть зарегистрирована в соответствии с требованиями раздела 8 настоящего стандарта.

6.2 Краткий обзор процесса вероятностной оценки риска

Задачи вероятностной оценки риска, описанные в 6.3 и приведенные на рисунке 4, используют на этапе 2 процесса менеджмента риска (см. 4.1).

6.3 Вероятностные задачи оценки риска

6.3.1 Общие положения

Последовательность задач PRA представлена на рисунке 4. Краткое описание каждой задачи приведено в 6.3.2 - 6.3.11.

Рисунок 4 — Типовая последовательность задач метода PRA

6.3.2 Задача 1. Определение целей и задач

Первоначальной задачей при использовании PRA является определение целей и области применения PRA. Задачи оценки риска обеспечивают четкое понимание целей и предполагаемого применения полученных результатов. Область применения определяет рассматриваемые параметры основной задачи, ее частей и проекта в целом. Цели и область применения PRA обеспечивают основу для идентификации и выбора параметров исследуемых последствий. Эти параметры могут включать в себя данные о причинении вреда людям (ранение, болезнь или смерть), ухудшении возможностей выполнения основной задачи системы, невыполнении основной задачи системы, материальном ущербе и других неблагоприятных последствиях.

В зависимости от целей и области применения метода PRA, а также используемых конфигураций системы и ограничений во времени, следует разработать руководство по анализу событий, инициирующих неблагоприятный сценарий (например, определить необходимость включения в анализ таких событий, как микрометеоритный дождь). Полученные результаты задачи 1 должны быть проанализированы соответствующими руководителями или ответственными за обеспечение безопасности системы и выполнение основной задачи до начала оценки.

Задача 1 включает:

a) идентификацию целей вероятностной оценки риска путем определения предназначенных целей системы и особенностей использования аналитических результатов;

b) идентификацию области применения и степени детализации анализа путем определения границ и режимов безопасного функционирования системы (исследуемую часть конструкции или область функционирования системы) и уровень детализации сценариев, инцидентов и связанного с ними анализа;

c) идентификацию параметров последствий, включая типы последствий и необходимость оценки риска для отдельных сценариев развития опасности и/или совокупных рисков специфических неблагоприятных последствий (таких как, невыполнение системой основной задачи, потеря средства доставки, гибель команды), в том числе:

1. идентификацию используемых систем координат, параметров, индексов или матрицы риска, (на основе значимости последствий и категории вероятности реализации сценария);

2. идентификацию установленных целей совокупного риска или критериев допустимости риска (на основе планируемых значений вероятности и критериев риска для рассматриваемых последствий).

d) идентификацию взаимосвязанной информации и источников данных.

6.3.3 Задача 2. Изучение системы

Изучение системы является следующим шагом анализа полученных результатов задачи 1. Эта задача включает в себя анализ и всю информацию о конструктивных параметрах и функционировании системы, включая технологическую документацию, а также правила эксплуатации применения и планы действий в чрезвычайных ситуациях. Если метод PRA применяют для системы, находившейся в эксплуатации, то техническая информация должна быть основана на информации о разработке и эксплуатации системы. Если метод PRA проводят на этапе разработки, то техническая информация, необходимая для оценки, должна быть основана на технической документации с учетом предполагаемого функционирования системы. Рекомендуется проводить проверку и, по возможности, визуальный контроль анализируемой системы. Цель этих действий состоит в исследовании системы и ее основной задачи в целом, понимании позитивных и негативных состояний системы, а также определении критериев работоспособного состояния системы, необходимых для полного выполнения задачи. На стадии изучения системы идентифицируют особенности функционирования системы, их взаимозависимость, роль персонала в процессе функционирования систем (управление, контроль, техническое обслуживание) и все изменения конфигурации систем, которые могут произойти в процессе выполнения различных этапов или режимов основной задачи. Критерии успешного выполнения основной задачи или работоспособного состояния системы обеспечивают основу для разработки функциональных и системных моделей.

Задача 2 охватывает следующие действия:

a) идентификация и описание области применения, конфигурации и функционирования системы (функциональная и физическая структура, график выполнения основной задачи системы), включая стадии и функциональную структуру выполнения основной задачи, составные части и функции системы, физические зоны и т.д.;

b) определение критериев успешного выполнения основной задачи и ее составляющих на основе критериев работоспособного состояния каждой системы.

6.3.4 Задача 3. Идентификация исходного события

Следующим этапом метода PRA является идентификация и анализ набора исходных событий, реализация которых может привести к реализации сценариев опасных событий. Эти события инициируют последовательность дальнейших опасных событий и приводят к конкретному конечному состоянию системы (параметрам последствий). Существует несколько способов идентификации исходного события. Если метод PRA выполняют для существующей системы, которая находилась в эксплуатации в течение некоторого времени, то данные прошлых экспериментов, инцидентов и опыта функционирования системы могут помочь идентифицировать исходное событие. Если анализ проводят для вновь разрабатываемой конструкции, то могут быть использованы данные прошлых испытаний, опыт функционирования аналогичных систем в аналогичных условиях или диапазонах условий. Кроме экспериментальных данных для идентификации входных событий могут быть применены, например, следующие методы: Мастер логических диаграмм (MLD) <1> и Анализ видов и последствий отказов (FMEA) <2>. В методе MLD события отображают в виде иерархического, нисходящего дерева, на котором показаны общие типы опасных событий наверху, детальное описание цепочки предшествующих опасных событий в средних ярусах и исходное событие в основании дерева. С помощью метода FMEA проводят системный анализ отказов подсистем и составных частей системы и оценку их воздействия на функционирование системы.

<1> MLD — Master Logic Diagrams.

<2> FMEA — Failure Modes and Effects Analysis.

Если несколько исходных событий приводят к реализации сценариев с одинаковыми последствиями, то при идентификации можно не заметить исходные события с очень низкой вероятностью реализации. Независимые исходные события могут быть сгруппированы в соответствии с подобными проблемами, возникающими в системе, например, в одну группу могут быть включены исходные события, приводящие к одному и тому же состоянию системы. Если исходные события исследуют в группе, то их частоты могут быть суммированы для получения частоты группы исходных событий <3>.

<3> При этом следует убедиться в отсутствии статистической зависимости между объединяемыми событиями.

В задачу 3 включают следующие действия:

a) идентификацию и оценку исходных событий, которые могут привести к реализации последовательности сценариев опасных событий, с помощью использования экспериментальных данных и системных методов (могут быть использованы исходные данные анализа опасностей, полученные в соответствии с методами MLD и FMEA);

b) оценку вероятности реализации идентифицированных исходных событий, а также исключение событий с очень низкими относительными вероятностями (или частотами);

c) объединение в группы исходных событий, приводящих к аналогичным последствиям для системы и определение вероятности (частоты) реализации событий группы.

6.3.5 Задача 4. Моделирование сценария

Моделирование сценария реализации опасной ситуации является индуктивным процессом, в котором обычно применяют метод анализа дерева событий. Построение дерева событий обычно начинают с определения исходного события и далее дерево строят в соответствии со сценарием развития событий, через последовательность промежуточных событий (основных или главных), связанных с успешным выполнением основной задачи или отказами, до тех пор, пока не будет достигнуто конечное состояние. При построении дерева событий обычно учитывают последовательность (во времени) реализации основных или главных событий, которые представляют функциональные или системные свойства всей системы. Иногда для описания сценариев опасных событий применяют другие методы графического отображения событий, такие как Диаграмму последовательности событий (ESD <1>), которую используют для описания сценария инцидента. Диаграмма ESD обычно более эффективна на этапе разработки, чем дерево событий. Диаграмма ESD логически эквивалентна дереву событий и должна быть преобразована в дерево событий для квантификации. Другим методом индуктивного моделирования, который может также быть использован, является структурная схема надежности.

<1> ESD — event sequence diagram.

В задачу 4 включают следующие действия:

a) моделирование для каждого исходного события (группы событий) приближенной временной последовательности дальнейших событий и соответствующего состояния системы (успешного выполнения задачи или отказа) для основных событий (т.е. действий персонала, состояния конструкции, основных систем и компонентов), которые должны препятствовать развитию исходного события в неблагоприятные последствия;

b) для установленных последовательностей опасных событий, которые приводят к определенным возможным последствиям, определение физических (механических) реакций системы на физические воздействия исходных событий в условиях применения идентифицированных предупреждающих средств контроля и методов управления (т.е. действий персонала, изменений структуры системы, компонентов систем) и определение величины и характеристик последующей физической реакции (например, возможности взрыва, возгорания, потери управления, потери кислорода и т.п.);

c) для физических изменений в системе, которые могут привести к неблагоприятным последствиям, моделирование состояния системы (успешное выполнение задачи или отказ), доступных или предусмотренных проектом средств контроля и методов управления (т.е. действий персонала, структуры, системы, компонентов), необходимых для снижения неблагоприятных последствий, которые могут быть вызваны физическими реакциями.

6.3.6 Задача 5. Моделирование отказов

Моделирование причин отказов и неисправностей (или работоспособного состояния) для каждого основного события или вершины дерева событий является дедуктивным процессом. Существует несколько дедуктивных методов моделирования, которые могут быть использованы для оценки вероятности отказов основных событий, такие как Марковские цепи, структурная схема надежности и дерево неисправностей. На практике наиболее часто применяют анализ дерева неисправностей. Дерево неисправностей состоит из трех частей. Главная часть представляет собой главное событие, которое соответствует отказу основной функции системы или невыполнению основной задачи (вершина дерева событий) в сценарии опасного события. Средняя часть состоит из промежуточных событий (неисправностей), которые (все вместе) приводят к главному событию. Взаимосвязь этих событий с событиями, отображенными выше, и главным (основным) событием, отображенным в основании дерева, может быть описана с помощью логических операций. Может существовать несколько слоев промежуточных событий для описания главного события. Реализацию основного события вызывает, в конечном счете, реализация нескольких важных промежуточных событий в соответствии с логической схемой дерева неисправности. Деревья неисправностей следует согласовать со сценариями опасного события и упростить (путем использования Булевых методов) для определения количественной оценки риска.

В задачу 5 включают следующие действия:

a) для каждого основного события или вершины дерева событий идентифицируют и регистрируют соответствующие исходные события и предыдущие события в сценарии опасного события. Эти события помогают определить начальные и пограничные условия, необходимые для выявления соответствующего отказа (или работоспособного состояния). Дополнительно необходимо зарегистрировать критерии успешного функционирования (определенные в задаче 2) для основных или главных событий;

b) для каждого основного события или вершины дерева событий разрабатывают модель отказа, как комбинацию логических операций с промежуточными отказами, которые могут привести к вершине дерева событий. В зависимости от функций или особенностей смоделированной системы может быть определено несколько слоев промежуточных событий;

c) идентификацию основных событий (неисправностей или отказов), а также критерии работоспособного состояния для начальных и пограничных условий, связанных с вершиной дерева событий;

d) установление взаимосвязи моделей дерева неисправностей для основного события или вершины дерева событий с соответствующей частью модели дерева событий.

6.3.7 Задача 6. Количественная оценка риска

Количественная оценка риска связана с процессом определения оценки частоты реализации события и величины последствий нежелательных конечных состояний для сценариев опасного события. Частоту реализации каждого конечного состояния вычисляют, используя дерево неисправностей в виде логического произведения частоты исходного события на условные вероятности каждого основного события по всей последовательности событий от исходного события до конечного состояния. Модели отказов (дерево неисправностей) для основных событий обеспечивают логические комбинации основных событий, необходимые для определения количественной оценки риска основных событий (через взаимосвязи событий). Величины нежелательных конечных состояний (последствий) для последовательностей опасных событий обычно оценивают с помощью детерминированных вычислений, с учетом физической реакции оцениваемой системы и особенностей функционирования идентифицированных систем и последствий. Далее все последовательности с одинаковыми конечными состояниями группируют, а их вероятности логически суммируют в вероятность конечного состояния.

В задачу 6 включают следующие действия:

a) применение Булевой алгебры к последовательности событий (дерево событий) и моделям отказов (дерево неисправностей) для каждого исходного события. Этот метод позволяет получить набор основных событий (минимальный набор вырезок событий), которые при их реализации приводят к нежелательным конечным состояниям. Эти минимальные наборы вырезок событий представляют опасные последствия для основных событий;

b) определение оценки частоты реализации каждого минимального набора вырезок с помощью логической комбинации частоты исходных событий и вероятностей отказов для соответствующих основных событий. Обычно источником данных о вероятностях отказов является предыдущая информация о данной системе (результаты измерений или наблюдений в ходе испытаний, экспериментов или исследований), данные о других системах или проектах (т.е. экстраполяция из общих баз данных, аналогичных данных или физических моделях) и экспертная оценка (т.е. оценка вероятностей техническими специалистами в исследуемых областях);

c) определение типа и величины последствий;

d) группировка последовательностей с одинаковыми конечными состояниями и логическое суммирование их вероятностей для определения оценки полной вероятности реализации каждого представительного конечного состояния.

6.3.8 Задача 7. Анализ неопределенности

Одной из целей метода PRA является разработка адекватных моделей, учитывающих неопределенность реализации событий. Поэтому вероятностная модель риска является удобной моделью анализа неопределенности. Необходимо понимать, что анализ неопределенности является главной частью вероятностной модели риска и обеспечивает основу для надлежащего применения результатов метода PRA при принятии решений в области менеджмента риска. Обычно выбором способа количественного определения и представления неопределенности, соответствующей входным данным, моделям и степени незнания, который делает результаты оценки риска понятными и удобными для лиц, принимающих решение, занимаются аналитики метода PRA. Все выводы метода PRA должны быть доведены до лиц, принимающих решение, включая оценку совокупной неопределенности и выявление источников неопределенности, критически важных для результатов. Для проведения анализа неопределенности обычно применяют методы моделирования Монте-Карло.

В задачу 7 включают следующие действия:

a) оценку неопределенности данных при оценке частоты реализации каждого минимального набора вырезок событий. При этом необходимо разработать соответствующие распределения и/или представления неопределенности для основных событий в минимальных наборах вырезок событий;

b) логическую комбинацию распределения неопределенности исходного события с распределениями неопределенности вероятностей отказов, соответствующих основным событиям. Существующие методы подобных вычислений включают аналитические методы и метод моделирования Монте-Карло;

c) определение неопределенности, соответствующей параметрам нежелательных конечных состояний (последствий);

d) определение вклада неопределенности отдельных основных событий в неопределенность общих результатов;

e) регистрацию полученных результатов с границами их неопределенности, включая источники неопределенности, критически важные для результатов.

6.3.9 Задача 8. Анализ чувствительности

Анализ чувствительности — это тип анализа неопределенности, направленный на оценку влияния на результаты изменений (вследствие неопределенности в предположениях) при моделировании физических параметров и основных опасных событий. Данное исследование часто выполняют в методе PRA для выявления исходных факторов или элементов, изменения которых вызывают наибольшие изменения конечной оценки риска. Анализ чувствительности также используют для оценки чувствительности результатов PRA в зависимости от искажения основных событий.

В задачу 8 включают следующие действия:

a) составление перечня предположений, относящихся к основной задаче системы, ее конструкции, критериям работоспособного состояния компонентов, моделированию и физическим параметрам основной задачи системы. Кроме того, должны быть идентифицированы структуры, системы и компоненты, относящиеся к единичным неблагоприятным последствиям (минимальные наборы вырезок событий) с общим свойством зависимости от зависимых отказов;

b) систематическое или независимое изменение критериев успешного выполнения основной задачи, параметров функционирования и моделей, и изменение моделей и данных метода PRA путем внесения изменений в последовательность событий (дерево событий) и модели отказов (дерево неисправностей). Повторное выполнение полной модели PRA для изменения последствий опасных событий, ранжирования и количественной оценки риска;

c) комбинация зависимых структур, систем и компонентов, входящих в минимальный набор вырезок событий в одно основное событие и присваивание ему наиболее высокой вероятности среди объединенных событий. Проведение повторной независимой оценки общей модели PRA для изменений, которые появились в последовательностях опасных событий, ранжировании и результатах количественной оценки риска для минимального набора вырезок событий.

6.3.10 Задача 9. Ранжирование

В некоторых случаях применения PRA могут быть использованы специальные методы идентификации доминирующих вкладов в риск в последовательностях или сценариях опасных событий. Ранжирование этих доминирующих вкладов в порядке убывания от наиболее важных к наименее важным называют ранжированием по значимости. Процесс ранжирования обычно выполняют с применением последовательности событий (дерева событий) и моделей отказов (дерева неисправностей). Существует несколько количественных мер значимости, которые обычно помогают определить изменения количественной оценки риска (вероятности), вызванные изменением вероятности основного события или изменением вклада основного события в совокупный риск. Примерами оценки значимости событий являются методы Фассела-Весела (F-V) <1>, значимости снижения риска (RRW) <2>, значимости достижения риска (RAW) <3> и Бирнбаума <4>.

<1> Fussell-Vesely (F-V).

<2> Risk reduction worth (RRW).

<3> Risk achievement worth (RAW).

<4> Birnbaum.

В задачу 9 включают следующие действия:

a) идентификацию основных вкладов в риск;

b) оценку на основе модели совокупного риска для нескольких значений значимости и ранжирование отдельных сценариев опасного события и основных событий;

c) определение вкладов в совокупный риск и неопределенности для этих последовательностей опасных и основных событий.

6.3.11 Задача 10. Анализ данных

Анализ данных является процессом сбора и анализа информации и данных, относящихся к различным параметрам исходного события и основных событий, используемых в моделях PRA. Эти параметры обычно объединяют в базу данных и используют для расчета вероятностей и интенсивностей отказов конструкций, систем и их компонентов, частот исходных событий, вероятностей неблагоприятных воздействий человеческого фактора и факторов общих причин отказов. В случаях, когда отсутствуют статистически существенные данные для оценки параметров PRA, необходимо применять методы экспертных решений и выводов. Накопление и анализ данных следует выполнять параллельно со всеми вышеперечисленными этапами метода PRA

В задачу 10 включают следующие действия:

a) идентификацию данных об исходных событиях и основных событиях, необходимых для модели PRA;

b) сбор достоверной информации о событиях на основе объективных данных (результатах измерений или наблюдений в процессе испытаний и/или экспериментов), относительно объективных данных (экстраполяции на основе общих данных, данных для аналогичных объектов или физических моделей) и субъективных данных (экспертных оценок и специалистов в исследуемых областях);

c) оценка вероятностей событий с использованием статистических методов и вкладов в неопределенность;

d) разработка базы данных PRA, содержащей собранную информацию и данные, оценки параметров и вероятностей и соответствующую неопределенность.

7 Экспертиза

7.1 Общие положения

Для повышения качества PRA необходимо провести внутреннюю и внешнюю экспертизу. Эти экспертизы направлены обычно на оценку соответствия применимости методов, информации, ее источников, выводов и предположений, а также их применения к исследуемой задаче и достижения поставленной цели.

Целью экспертизы является проверка адекватности применения методов и точности аналитических результатов. Экспертизу следует проводить для всех методов PRA.

7.2 Внутренняя экспертиза

Внутреннюю экспертизу оценки проводят члены группы обеспечения повторной проверки каждой новой (измененной) модели и результата. Такая экспертиза обычно включает проверку и обсуждение примененных моделей и полученных результатов с наиболее осведомленным персоналом в области исследуемых систем, включая занятых в производстве операторов и специалистов, занимающихся проектированием.

7.3 Внешняя экспертиза

Внешнюю экспертизу выполняют независимые специалисты, т.е. не участвующие в исследовании и не заинтересованные в его результатах. Эти специалисты должны иметь более высокую квалификацию, по возможности не менее чем персонал, выполнявший исследование. Область специализации экспертов должна охватывать весь диапазон дисциплин, необходимых для проведения экспертизы исследуемой области.

Необходимо рассмотреть проведение общей экспертизы. Экспертизу начинают вместе с началом процедуры оценки и продолжают параллельно с разработкой проекта, при этом необходимы частые, периодичные контакты и взаимодействия экспертов с командой PRA. Такой анализ проводят для идентификации задач и разработки рекомендаций относительно предупреждающих действий на ранних этапах PRA, не дожидаясь полного завершения экспертизы, когда PRA фактически завершен. При таком подходе степень независимости экспертных оценок несколько снижается, однако повышается качество выполнения процесса PRA с первого раза, что позволяет сэкономить время и ресурсы при корректировке задач по завершении проекта.

8 Отчет о вероятностной оценке риска. Требования к данным

В таблице 1 установлены требования к содержанию отчета о вероятностной оценке риска. Отчет об оценке риска нарушения безопасности может быть объединен с соответствующим отчетом об анализе опасностей.

Таблица 1

Содержание отчета о вероятностной оценке риска

Приложение ДА (справочное)

СВЕДЕНИЯ О СООТВЕТСТВИИ ССЫЛОЧНЫХ МЕЖДУНАРОДНЫХ СТАНДАРТОВ ССЫЛОЧНЫМ НАЦИОНАЛЬНЫМ СТАНДАРТАМ РОССИЙСКОЙ ФЕДЕРАЦИИ (И ДЕЙСТВУЮЩИМ В ЭТОМ КАЧЕСТВЕ МЕЖГОСУДАРСТВЕННЫМ СТАНДАРТАМ)

Таблица ДА.1

БИБЛИОГРАФИЯ