Når våre beregninger av risiko styrter

Gå til hovedinnhold Gå til navigasjon
FOTO: COLOURBOX
FOTO: COLOURBOX

Når våre beregninger av risiko styrter

Alvorlige ulykker bli stadig sjeldnere. Dette er en seier for faget risikoanalyse. Den argeste fienden – den ukjente risikoen – vil likevel fortsette å sette faget på nye prøver.

LO Ingeniør

Kalkuleringen av risiko er hverdagskost for mange ingeniører. I front står dem som jobber med installasjoner og systemer der mye står på spill, i form av risikoen for ulykker som kan forårsake store skader, både på mennesker og materiell og økonomiske tap.

Faget risikoanalyse er ikke obligatorisk for alle ingeniørstudenter. Like fullt opplever professor Stein Haugen ved NTNUs institutt for marin teknikk en økende interesse for faget, både når det tilbys som frivillig fag eller som videreutdanning.

– De fleste ingeniører har jo en viss basiskunnskap, for eksempel når det gjelder sannsynlighetsberegning. Å sette seg mer inn i mer av det grunnleggende innen risikoanalyse tror jeg likevel alle ingeniører kan ha godt av, sier han.
 
Atomkraft og Bravo-sjokk
Risikoanalyse er et teoretisk verktøy som er utviklet for å hjelpe oss til å unngå at uønskede hendelser skjer. Dette skjer ved at man konkretiserer og tallfester hva kan gå galt, sannsynligheten for at så skjer – og hvilke konsekvenser man da vil kunne se.

Fagområdet er forholdsvis nytt. Det begynte for alvor først på syttitallet, knyttet til bekymringen for kjernekraft i USA. Man ønsket systematiske metoder for å ha kontroll over den ferske teknologien.

I Norge begynte man å fatte interesse for fagfeltet innen olje og gass-sektoren rundt 1980.

– Alexander Kielland-ulykken bidro selvfølgelig til å skjerpe alvoret, men det startet på mange måter tidligere, med utblåsningen på Bravo-plattformen i 1977. Da innså myndighetene hvor farlig det man holdt på med var. Derfor startet man et stort forskningsprogram rettet mot sikkerhet på sokkelen, forteller Haugen.

Selv om petroleumssektoren fremdeles står fremst i å bruke risikoanalyse som verktøy, har da også fagfeltet spredt seg til mange andre sektorer i Norge.

– Ett eksempel er innen jernbane, hvor for eksempel Åsta-ulykken i år 2000 bidro til økt fokus på bruk av risikoanalyse. Etter det har det også skjedd mye innen blant annet vei og skipsfart.
 
Styrtende beregninger
Det skorter jo ikke på aktualisering av fagets nytteverdi. I 2019 er hendelsene som har fått mest oppmerksomhet, problemene knyttet til Boing-flyene av et spesifikt 737-merke.
Skyldfordelingen har vært flytende, men det synes etter hvert klart at pilotene var maktesløse, og at ulykkene skyldes feil i programvaren.

Det viktigste saken illustrerer rent faglig dreier seg om autonomi – altså digitalt automatiserte styringsverktøy

– Disse flyene flyr i stor grad seg selv. Vi er også i ferd med å få selvkjørende biler, autonome skip og så videre. Boing-saken er et typisk eksempel på utfordringene som kan oppstå i denne utviklingen, sier han.

For de fleste arbeidstakere har makten som ligger i programvare økt voldsomt. Dette har satt nye krav også til risikoanalyse.

Mens man tidligere har lagt mye vekt på å beregne risikoen for svikt i mekanisk utstyr – for eksempel sensorer som man vet før eller siden vil slutte å virke – lever selve programvaren i en abstrakt virkelighet som ikke kjenner slitasje som følge av tidens erosjon.

– Et program gjør nøyaktig det samme gang på gang, og vil ikke feile på samme måte som komponenter kan, sier Haugen.
 
«Det var 0 og 1s skyld!»
Ulykkesstatistikkene går da også alt i alt ned som følge av teknologien.

– Men det blir jo mye oppstyr når det plutselig er et system som har skylda. At det ikke er folk involvert. Det kan fort få oss til å føle oss mer utrygge. Det er vanskelig å legge all skyld på programvare. Den gjør så klart nøyaktig det den er blitt fortalt den skal gjøre. Feilen ligger da, som nevnt, i spesifikasjonene eller programmeringsfeil.

Med selvlærende kunstig intelligens kan selvsagt oppførselen også av programvaren bli vanskeligere å forutse. Hacking er dessuten en stadig økende risiko, noe blant annet Hydro opplevde nylig, og noe man må ta høyde for med egne tiltak.

– I økende grad tas risikoanalyser også i bruk som verktøy for å identifisere og analysere denne type problemer, knyttet til sikring både mot cyberangrep og fysiske angrep, sier Haugen.
 
Luksusproblem og hjerneproblem
Et teoretisk «problem», på flere måter, er nettopp at store ulykker har blitt stadig sjeldnere og derfor vanskeligere å beregne.

– Trafikk- og arbeidsulykker skjer såpass hyppig at vi kan bruke statistikk. Vi kan identifisere hva som er vanlige årsaker. Når du har sjeldne ulykker, for eksempel alvorlige jernbaneulykker med mange års mellomrom, vil ikke statistikken være til hjelp. Da må vi bruke andre metoder, forteller NTNU-professoren.

Tema som matematikk og metoder må vel sies å ha dårlige kår i debattstudioene. I et samfunnsperspektiv er da også menneskets hjerne den største utfordringen, vektlegger professoren.

– Risikoanalyse dreier seg om ting som kan skje i framtida. Det vi prøver å beskrive er sannsynligheten for at ulike ting kan skje. Og sannsynlighet er generelt vanskelig for våre hjerner å forstå. Det er ofte et problem vi opplever, forteller han.

Når noe som ifølge modellene er usannsynlig først skjer, kan dette lede til kritikk av fagfolkene. Risikoanalyse er imidlertid generisk og orientert mot systemet som helhet, og tar dermed ikke stilling til alle de tusener av faktorer som kan samspille i unike kombinasjoner på konkrete situasjoner på bestemte steder.

– Analysen søker å beskrive alle tenkelige ulykker som kan skje. For eksempel en kollisjon mellom to tog. Men det beskriver jo ikke tiden eller stedet dette vil kunne skje. Da blir man gjerne kritisert i etterkant, at man ikke har forutsett akkurat den ulykka. Og det er jo riktig, men det er jo heller ikke formålet til analysen, bemerker professoren.
 
Den svarte svanen
Risikoanalyse sentrerer rundt det forutsigbare. Det som vi vet kan skje. Det uforutsette er slik sett den vriene jokeren.

Problematikken med å forutsi ekstreme uforutsigbare hendelser – og vår dårlige evne til å forklare dem i ettertid – er blant annet kjent fra den populærvitenskapelige boka Black Swanav den amerikanske filosofen og statistikeren Nassim Nicholas Taleb. Tittelen spiller på at vi trodde alle svaner var hvite, helt til plutselig man oppdaget at det fantes svarte svaner.

Finanskrisa, 11. september og 22. juli er eksempler på hendelser som kjennetegnes av at vi – iallfall de aller, aller fleste – anså det for å være helt utenkelige scenarier.

Selv om dette, ifølge boka, kan være nyttig å dele inn skjematisk – «ting vi vet», «ting vi vet at vi ikke vet» og «ting vi ikke vet at vi ikke vet» – ser det her likevel ut til at det er lite å gjøre når man ikke kan spå inn i framtida.

– Man har utført noen forsøk, men problemet er jo at det utenkelige per definisjon jo er noe man ikke har tenkt ut på forhånd. Innen risikoanalyse er det slik sett ikke noe vi kan gjøre så mye med, annet enn å forberede oss på at noe som er utenkelig også kan skje, påpeker professoren.
 
Å tenke på det utenkelige
Her kommer beredskap inn, eller et ekstra lag av sikkerhet som er orientert om at noe kan skje – uten at man nødvendigvis har noen snøring på hva.  

– I modellene kalles dette «resilience» eller «motstandsdyktighet». Risikoanalyse brukes for å beregne det vi vet om ulike former for risiko, og så legger man til noe på toppen. Dette er jo noe alle ingeniører kjenner til. Funksjonen først, deretter sikkerhetsmarginen, forklarer Haugen.

Å være fullt og helt på den sikre siden er ikke alltid lett. Fjellet Mannen har satt dette i et komisk lys. Alle «nå kan det rase!» og etterfølgende evakueringer er et eksempel på et problem hvor risikoanalyse lett kan bli satirisk framstilt. Litt som gutten som ropte «ulv, ulv!» uten at man noen gang så snurten av en gråbein.

– Det er en veldig god illustrasjon på problemet med sannsynlighet. Tross alt er det små sannsynligheter det her er snakk om, men man prøver å være på den sikre siden. Det betyr at man evakuerer langt oftere enn man «trenger». Nøyaktig når det er nødvendig er jo umulig å vite.
 
Marginer mot marginer?
En sikkerhetsmargin er selvsagt ikke noe statisk. Den kan være høy eller lav. Ofte er det slik at jo høyere den er, jo større er de økonomiske kostnadene. Dersom man ikke kan vise til noen konkret eller sannsynlig fare, vil man tenkelig lett kunne avfeies som en krisemaksimerer – et tema kjent fra flere filmer, inkludert våre egne Bølgenog Skjelvet.

Er dette noe ingeniører ofte møter, når ledelse og aksjonærer eller velgere gjerne ser at regninga blir lavest mulig – en lavere sikkerhetsmargin for å få en bedre driftsmargin?

Haugen vil ikke overdramatisere dette som et generelt problem, understreker han:

– Men det er klart, det vil alltid være en diskusjon. Å bruke penger for å beskytte dem mot noe som sannsynligvis aldri skjer kan være vanskelig. I en del situasjoner er man selvsagt uenige om hva som er sikkert nok. Det gjelder ikke bare ulykkesrisiko, men også miljøpåvirkning og slike ting.
 
Beredskap for kjent og ukjent
Hva vet vi at vi kan vente oss i framtida? For fysiske installasjoner ser den ut til å sette strengere krav til risikoanalyse. Klimaendringene er beregnet til å forårsake langt villere og mer uforutsigbare omgivelser. Ikke bare i form av kraftigere vind og sjøgang, men også nedbør og, selvsagt, stigende temperaturer med alle de kjente og ukjente følger dette vil innebære.

For Norges del kan dette føre til alt fra mer tørkende sol og voldsommere nedbør. Hyppigere ras fra oven og stigende havnivå nedenfra. Påvirkningene på Svalbard vil eksempelvis trolig være ekstrem, også i global målestokk.

De fysiske påkjenningene vil altså generelt øke risikoen for belastninger og ulykker, og sette strengere krav til risikoanalysene, ifølge NTNU-professoren.

– Klimaendringene kan slå ut flere måter. På den ene siden vil det nok føre til skjerpede krav. Installasjoner må bygges mer solid. På den annen side kan man nok også måtte øke beredskapen. Vi har jo allerede hatt tilfeller i Nordsjøen der man må ha stengt ned produksjonen og delvis evakuert grunnet dårlig vær. Det kan nok man måtte gjøre stadig oftere framover.