Metoda ETA – drzewo zdarzeń w ocenie ryzyka zawodowego

ETA (z ang. Event Tree Analysis – analiza drzewa zdarzeń) to indukcyjna metoda analizy, która zaczyna od zdarzenia inicjującego (wyciek, zwarcie, upadek, zanik zasilania) i śledzi, co dzieje się dalej, w zależności od tego, czy kolejne zabezpieczenia i funkcje bezpieczeństwa zadziałają, czy zawiodą. Każde zabezpieczenie tworzy rozgałęzienie: gałąź górna „zadziałało”, gałąź dolna „nie zadziałało”. Na końcu każdej ścieżki stoi scenariusz z określonym skutkiem. Metodę rozwinięto w latach 70. w analizach bezpieczeństwa elektrowni jądrowych (raport WASH-1400), a jej zasady opisuje norma IEC 62502.

ETA odpowiada na pytanie, które w ocenie ryzyka zawodowego pada bardzo często: „mamy trzy zabezpieczenia – ile ryzyka naprawdę zostaje?”. Metoda jest naturalnym dopełnieniem drzewa błędów FTA: FTA wyjaśnia, skąd bierze się zdarzenie inicjujące, ETA – do czego ono prowadzi.

Przebieg analizy ETA

Zdarzenie inicjujące – określ je precyzyjnie i, jeśli to możliwe, podaj jego częstość (np. 0,1 na rok).
Lista zabezpieczeń – w kolejności, w jakiej działają po zdarzeniu: detekcja, alarm, odcięcie, wentylacja, reakcja pracownika, ewakuacja, pierwsza pomoc.
Budowa drzewa – od lewej do prawej, dla każdego zabezpieczenia gałąź „zadziałało” i „nie zadziałało”. Gałęzie bez znaczenia dla dalszego przebiegu można pominąć.
Prawdopodobieństwa – dla każdego zabezpieczenia prawdopodobieństwo zadziałania (P) i zawiedzenia (1 − P).
Skutki scenariuszy – opis końca każdej ścieżki: brak skutków, uraz lekki, uraz ciężki, pożar, wybuch.
Prawdopodobieństwo scenariusza – iloczyn częstości zdarzenia inicjującego i prawdopodobieństw wzdłuż ścieżki.
Ocena – porównanie łącznego prawdopodobieństwa scenariuszy o ciężkich skutkach z kryterium akceptowalności; wskazanie, które zabezpieczenie najbardziej obniża ryzyko.

Przykład liczbowy – krok po kroku

Stanowisko: operator wózka widłowego zasilanego LPG; czynność: wymiana butli gazowej w hali. Zdarzenie inicjujące: wyciek gazu z nieszczelnego złącza butli, częstość przyjęta na podstawie zgłoszeń: 0,1 na rok.

Zabezpieczenia w kolejności działania:

Z1 – detektor gazu z alarmem w strefie wymiany butli: prawdopodobieństwo zadziałania 0,95;
Z2 – wentylacja awaryjna uruchamiana przez detektor: 0,90;
Z3 – brak źródła zapłonu dzięki procedurze (zakaz palenia, wyłączenie wózka, brak prac gorących w pobliżu): 0,80.

scenariusz	Z1 detektor	Z2 wentylacja	Z3 brak zapłonu	skutek
S1	tak (0,95)	tak (0,90)	–	gaz rozproszony, brak skutków
S2	tak (0,95)	nie (0,10)	tak (0,80)	alarm i ewakuacja, bez pożaru
S3	tak (0,95)	nie (0,10)	nie (0,20)	pożar lub wybuch po alarmie, w trakcie ewakuacji
S4	nie (0,05)	–	tak (0,80)	niewykryta chmura gazu, spóźniona ewakuacja, możliwe zatrucie
S5	nie (0,05)	–	nie (0,20)	pożar lub wybuch bez ostrzeżenia, ciężkie urazy

W tabeli „tak” oznacza, że zabezpieczenie zadziałało, „nie” – że zawiodło; w nawiasie podano prawdopodobieństwo danej gałęzi, a „–” oznacza gałąź bez znaczenia dla dalszego przebiegu (gdy detektor nie zadziała, wentylacja awaryjna się nie uruchomi). Prawdopodobieństwo każdego scenariusza to iloczyn częstości zdarzenia inicjującego i prawdopodobieństw wzdłuż ścieżki:

scenariusz	obliczenie	na rok
S1	0,1 × 0,95 × 0,90	0,0855
S2	0,1 × 0,95 × 0,10 × 0,80	0,0076
S3	0,1 × 0,95 × 0,10 × 0,20	0,0019
S4	0,1 × 0,05 × 0,80	0,0040
S5	0,1 × 0,05 × 0,20	0,0010

Suma prawdopodobieństw wszystkich scenariuszy wynosi 0,1 – tyle, ile częstość zdarzenia inicjującego, co jest sprawdzianem poprawności drzewa. Łączne prawdopodobieństwo pożaru lub wybuchu (S3 + S5) wynosi 0,0029 na rok, w tym najgroźniejszy scenariusz bez ostrzeżenia – 0,001 na rok.

Wnioski: najwięcej daje poprawa niezawodności detektora – comiesięczny test i kalibracja co pół roku podnoszą jego skuteczność z 0,95 do 0,99, co obniża S4 i S5 pięciokrotnie. Zasilanie awaryjne wentylacji (0,90 → 0,97) obniża S2 i S3. Dopiero po tych zmianach ryzyko w karcie oceny ryzyka dla zagrożenia „wybuch gazu przy wymianie butli” można uznać za akceptowalne. Wartości w przykładzie są orientacyjne.

Zalety i wady metody ETA

zalety	wady
pokazuje, jak zabezpieczenia współdziałają i które jest najważniejsze	wymaga danych o niezawodności zabezpieczeń i reakcji ludzi
prosta w rysowaniu, czytelna dla kierownictwa	gałęzie binarne – nie oddaje częściowego zadziałania
wynik liczbowy, łatwy do porównania z kryterium akceptowalności	liczba scenariuszy rośnie wykładniczo (2ⁿ dla n zabezpieczeń)
dobra do sytuacji awaryjnych i prac szczególnie niebezpiecznych	nie wyjaśnia przyczyn zdarzenia inicjującego – do tego służy FTA

Najczęstsze pytania o drzewo zdarzeń

Czy ETA jest metodą oceny ryzyka zawodowego?

ETA jest techniką analizy ryzyka wymienioną w PN-EN IEC 31010. W ocenie ryzyka zawodowego stosuje się ją dla wybranych zagrożeń o ciężkich skutkach, a wynik (prawdopodobieństwo ciężkiego scenariusza) przekłada się na parametr prawdopodobieństwa w metodzie matrycowej, np. PHA.

Skąd brać prawdopodobieństwa zadziałania zabezpieczeń?

Z danych producentów (np. poziom nienaruszalności bezpieczeństwa SIL dla układów automatyki), z rejestrów przeglądów i testów w zakładzie, z literatury oraz – dla reakcji ludzi – z ostrożnych oszacowań eksperckich. Zawsze trzeba zapisać, skąd pochodzi każda liczba.

Jak ETA łączy się z bow-tie?

Prawa strona diagramu bow-tie – od zdarzenia szczytowego przez bariery ograniczające do skutków – jest uproszczonym, jakościowym drzewem zdarzeń.

ryzyko zawodowe on-line

Stanowiska pracy

Metoda ETA (Event Tree Analysis) – drzewo zdarzeń