Я так понял вот эта статья
Deep Life Ltd – чтобы технология должна быть действительно надежной
Как ребризеры убивают людей
Цель: Сделать эксплуатацию ребризера опасной не более чем перелет из Эдинбурга в Лондон на Боинге 737
Июль 2005
Октябрь 2005, обновлено, добавлено происшествие номер 13
Слайд 2
Deep Life Ltd – когда технология должна быть действительно надежной
Источники данных:
• Failure Mode Effect and Criticality Analysis (FMECA)
(расшифровывается как анализ отказов и воздействия критических режимов работы).
• Отчеты по происшествиям.
• Происшествия, возникавшие в ходе эксплуатации
• Отчеты коронера ( аналог нашего эксперта криминалиста, только специализируется в установлении причин смерти.
• Полностью задокументированные случаи смерти.
Слайд 3
Deep Life Ltd – когда технология должна быть действительно надежной
FMECA Отчеты
• В требованиях европейского стандарта EN14143 указан выпуск FMECA отчетов производителями.
• Нет требований по публикации результатов.
• Все отчеты производителей конфиденциальны.
• Нет требований к наличию устойчивости к отказам.
• Нет требований по снижение рисков при выходе оборудования из строя
• Как следствие ни один из существующих ребризеров не позволяет справиться с всего лишь одним наиболее серьезным отказом оборудования
• Как следствие пользователи не имеют ни малейшего понятия о безопасности оборудования используемого для погружений.
• Как следствие никто не может оспаривать неверные выводы, содержащиеся в отчетах FMECA
• Как следствие в отчетах FMECA отсутствуют данные, на основе которых можно проектировать более совершенные системы
• Рекомендация: все производители, публично продающие любое оборудование, предназначенное для жизнеобеспечения должны публиковать полные отчеты на своих веб-сайтах.
Слайд 4 Deep Life Ltd – когда технология должна быть действительно надежной
Отчеты о происшествиях
Инциденты с 1 по 10 получены от одного из дайв-клубов в ходе 5-летней эксплуатации двух массово производимых моделей ребризеров
Инциденты с 11 по 13 привели к смерти.
1. Компьютер самопроизвольно принял решение о начале калибровки под водой.
2. Зависание компьютера
3. Отображение неверных значений PPO2( парциального давления) при том что все кислородные датчики функционировали
4. Внезапное полное затопление дыхательного контура, включая отравление CO2 ( углекислым газом) и щелочным коктейлем.
5. Отказ всех кислородных датчиков
6. Ошибочная подача кислорода в контур при спуске вместо дилюэнта.
7. Потеря дилюэнта при спуске.
8. Клапан подачи заклинил в открытом положении.
9. Неверное подсоединение разъемов, затопление.
10. Повреждение уплотнительных колец манифолда.
11. Накопление CO2 в дыхательном контуре из-за увеличения темпа дыхания, вызванного подсоединением дефектного компонента.
12. Отравления CO2s
13. Аппарат не был включен.
Слайд 5
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 1: Внезапная калибровка.
Место: Скапа Флоу (Scapa Flow), Май
Профиль погружения: погружение на 100 футов(30 м) дисплеи показывали парциальное давление PPO2 установленное на сетпойнт 1.3.
Отчет о происшествии: «Я услышал как клапан подачи кислорода открылся и остался в отктытом состоянии. Посмотрел на наручный дисплей, он показал внезапный переход на режим калибровки, в дыхательный контур подавался чистый кислород. Переключился на запасной баллон. Каких либо сигналов тревоги не было.»
Причины: Оборудование было проверено квалифицированным инженером-электронщиком. В незадействованных участках памяти присутствовали случайные данные( т.е. команды) для контроллера во то время как они должны были быть заполнены безусловным программным переходом на код восстановления после сбоя.
Отсутствовал сторожевой таймер ( устройство предотвращающее длительное зависание контроллера, принцип действия: наряжу с процессором и блоком памяти в компьютере присутствует устройство холодной перезагрузки системы, и таймер с предустановленным интервалом времени, программный код выполняемый процессором среди прочих задач выполняет периодическое обнуление таймера, если же программа зависла и обнуления не произошло то таймер активирует холодную перезагрузку системы, прим. перев.).
Была протестирована схема перезагрузки процессора при понижении питания(brownout circuit), ее дизайн признан совершенно неэффективным. Элементы цепи питания были уязвимы к понижению напряжения.
Даны рекомендации производителю, он устранил дефекты на новой модели, однако ни один из уже выпущенных ранее аппаратов отозван не был.
Слайд 6
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 2: Зависший компьютер
Место: Скапа-Флоу, ИюньScapa Flow, June
Профиль погружения: погружение на 110 футов( 33 м) дисплеи показывали парциальное давление PPO2 установленное на сетпойнт 1.3
Отчет о происшествии: «Я заметил что клапан подачи кислорода не сработал ( он молчал слишком долго). Выполнил промывку дыхательного контура. Показания дисплеев не изменились, на нажатие кнопок не реагировал. Пришел к выводу, что компьютер завис. Сигналов тревоги не было. Попробовал выключить и опять включить. Компьютер настаивал на калибровке кислородных датчиков, во время которой в дыхательный контур начал подавать чистый кислород, не смотря на глубину 110 футов (33 м). Переключился на запасной баллон (bail-out). Если бы я не слушал работу клапана подачи я был бы мертв.»
Причины: Оборудование было проверено квалифицированным инженером-электронщиком. В незадействованных участках памяти присутствовали случайные данные( т.е. команды) для контроллера во то время как они должны были быть заполнены безусловным программным переходом на код восстановления после сбоя. Отсутствовал сторожевой таймер. Элементы цепи питания были уязвимы к понижению напряжения.
Даны рекомендации производителю, он устранил дефекты на новой модели, однако ни один из уже выпущенных ранее аппаратов отозван не был.
Слайд 7
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 3: PPO2 падает
Место: док Лииз (Leith Dock), Октябрь
Профиль погружения: поверхность, причал у доков
Отчет о происшествии: «При срабатывании клапана подачи, показания PPO2 падает из-за тока утечки. Батареи почти новые. Из–за этого система держит клапан открытым слишком долго, в результате график уровня PPO2 имеет пилообразную форму.»
Причины: Присутствовали инженеры из двух компаний специализирующихся на безопасности при погружениях. Проблема была вызвана отсутствием проверок кабелей ведущих к кислородным датчикам, а также плохой цепью питания.
Были даны рекомендации производителю, однако он отказался исправить проблему.
Рекомендация: публикация отчета FMECA помогла бы выделить данную проблему.
Слайд 8
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 4: Внезапное затопление
Место: Ловер Клайд (Lower Clyde), Июнь
Профиль погружения: Глубоководный дайвер поддержки в ходе экстремально глубокого погружения.
Отчет о происшествии: «Внезапное массированное затопление и отравление CO2, вдохнул щелочной коктейль, в большой количестве. Испытывал затруднения со всплынием и нахождением на поверхности по причине потели плавучести из-за затопления Будучи отравлен CO2, находился под его воздействием, хотя коктейль попал в рот, показалось что он в носу. Никакой предварительной головной боли(обычно один из симптомов отравления CO2 прим. перев.) Ситуация стала критической, спасся в последнюю секунду перейдя на запасной баллон. Из за отравления не вспомнил о возможности сброса грузового пояса.»
Форумы и гостевые книги в Интернете содержат множество подобных отчетов.
Причина: Обусловлена неправильным монтажом шлангов, аппарат может пройти проверку на герметичность под давлением (это один из тестов в ходе подготовки ребризера перед погружением прим. перев.) если шланг находится в неверном положении, но гайка крепления шланга затянута. Однако в случае удара по шлангу он может отвалиться с проникновением воды в скруббер. Крепление шлангов является серьезным дефектом конструкции.
Даны рекомендации производителю, заявленная проблема проигнорирована. Был выставлен счет за ремонт ребризера, нанесена надпись «не стирать в посудомоечной машине» внутри банки скруббера, после того как пользователь полностью разобрал его и пробовал использовать посудомоечную машину для удаления спекшихся остатков поглотителя. Раннее предупреждение о затоплении (бульканье) не было учтено.
Слайд 9
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 5: Множественный отказ кислородных датчиков
Место: Дунбар (Dunbar), Август
Профиль погружения: погружение на 160 футов (49 м), около Басс Рока
Отчет о происшествии: Один из кислородных датчиков отказал в ходе погружения (показания ниже чем у других). Продолжил на 2-х датчиках, клапан подачи кислорода срабатывал чаще чем я того ожидал, с учетом того что глубина не менялась.Промывка контура показала что PPO2 отличалось от того что я ожидал, хотя и не столь значительно. Далее я сделал ошибку по причине азотного наркоза, некорректно предположив что клапан подачи кислорода срабатывает слишком часто по причине закупоривания линии подачи кислорода. Прервал погружение, оставаясь на закрытом цикле. Развились симптомы подергивания губ при подъеме, принял это на счет медуз, там было много медуз Lion´s Mane и одна коснулась моей маски. Во время подъема проблема со срабатыванием клапана подачи исчезла, но при погружении опять проявилась.
У оставшихся кислородных датчиков одновременно проявились признаки отказа. Основываясь на глубине и значении сетпойнта, при котором клапан подачи работал нормально (25 футов (7.6 м) PPO2 на 1.2) опознал ошибку на двух оставшихся датчиках.
Причины: Небезопасный алгоритм инжекции кислорода: PPO2 выросло до 3.0 в начале происшествия !
Одновременная замена всех 3-х датчиков является плохой практикой.
Рекомендация: Обязательно применение контроллера PPO2, толерантного к поломкам датчиков.
Слайд 10
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 6: Внезапная подача O2
Место: Дунбар (Dunbar), Сентябрь
Профиль погружения: погружение на 130 футов (40 м), около Басс Рока
Отчет о происшествии: В тот день очень устал, так как испытал множество неприятностей, думал о них в ходе погружения. Подумал что сигнал тревоги был у другого дайвера у которого что-то пищало, ( дайв с бота, ушли под воду вместе) До того как увидел дно почувствовал себя очень плохо, левый глаз подергивался, затем левый глаз прикрылся ( как будто занавес закрыт наполовину и то что осталось было в негативных цвете). Видел ручной дисплей другим глазом который был в нормальном состоянии. PPO2 показывал свыше 2.1. Переключился на запасной баллон (bail-out) и одновременно выполнил всплытие с максимальной скоростью на 20 футов ( 6 м). Всплытие было столь быстрым, что это превысило допустимые пределы для моего дайвкомпьютера Кохран (Cochran), который после этого заблокировался. Далее всплыл с 6 метров на поверхность. Глаз вернулся к норме лишь после 10 минут.
Причина: Пользователь удерживал нажатой кнопку подачи кислорода вместо кнопки подачи дилюэнта.
Рекомендации: Этого можно было бы избежать если бы был установлен автомаически запираемый клапан (Auto Shut-Off valve ) Вызывает вопрос необходимость кнопки ручной подачи кислорода. Требуется более четкий сигнал тревоги, такой как голосовое обьявление.
Слайд 11
Deep Life Ltd – когда технология должна быть действительно надежной
Incident 7: Потеря дилюэнта
Место: Дунбар(Dunbar), Сентябрь
Профиль погружения: погружение на 60 футов (18 м)
Отчет о происшествии: Клапан подачи дилюэнта умолк во время спуска,
Скорость спуска увеличилась, пока я пытался открыть вентиль запасного баллона. Ударился о дно с такой силой, что образовался термоядерный гриб мути в воде, к счастью всего лишь 60 футов (18 м). Мне стало очень стыдно: вместо того чтобы поддуть компенсатор, что мне и полагалось сделать, я сконцентрировался на открытии вентиля запасного баллона (вентиль был закрыт дабы избежать постановки регулятора на свободную подачу (freeflow) water): во время серьезного обжима ваше внимание фокусируется больше на дыхании, чем на глубине, на которой вы находитесь.»
Причины: Коннектор шланга дилюэнта не был вставлен правильно. Отсутствовал ADV (клапан автоматической подачи дилюэнта).
Рекомендации: Дан совет производителю и на форуме по установке ADV, многие оспорили необходимость установки ADV c коннектором без разъема.
Слайд 12
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 8: Клапан подачи O2 заклинил в открытом состоянии
Место: Скапа Флоу (Scapa Flow), Апрель
Профиль погружения: до 110 футов (33.5 м)
Отчет о происшествии: «Внезапно сработала сигнализация превышения пределов O2, клапан подачи кислорода открывался прерывисто.».
Причины: Заклинивание клапана подачи, после смены первой ступени регулятора на баллоне без настройки промежуточного давления первой ступени.
Соленоидные клапаны подачи слишком легко ломаются, не предназначены для использования в системах жизнеобеспечения.
Рекомендации: Дешевые соленоидные клапана сконструированные для промышненной автоматики не должны использоваться в ребризерах так так они подвержены коррозии и не способны выдерживать весь диапазон промежуточных давлений обеспечиваемых первыми ступенями массово выпускаемых моделей регуляторов
Инжектор должен быть сделан из материала неподверженного коррозии, с подходящей кислородной совместимостью, такой как SS 6ML.
Клапан инжектора должен контролироваться двумя соленоидами как это делается в космических системах, для того чтобы справиться с отказом соленоида, и для того чтобы имелось достаточно мощности управлять соленоидом в случае аварии.
Слайд 13
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 9: Отсоединение разъема.
Место: Западный полуостров Шотландии (Scottish West Coast), Май
Профиль погружения: до 90 футов (27 м)
Отчет о происшествии: «Затопление. После ранее происшедшего затопления я сменил компенсатор на OMS 110lb с двойной камерой, так что с плавучестью затруднений не было, мгновенно переключился на резервный баллон без проблем с плавучестью.
Причины: Разъем сзади аппарата, можно герметично закрепить разьем до того как шланг вставлен корректно и полностью, это позволяет аппарату пройти тесты пониженным и повышенным давлением с неправильно вставленным шлангом.
Рекомендация: В случае разъемов применяемых в дыхательном контуре они не должны герметизироваться до того как они правильно вставлены и закреплены.
Слайд 14
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 10: Поломка уплотнительного кольца манифолда
Место: Плавательный бассейн, Эдинбург
Профиль погружения: на 12ft (4 м)
Отчет о происшествии: «Внезапное появления большого количества пузырей, вращаясь вокруг я мог видеть что они идут сзади из аппарата. Резиновая ручка манифолда стала свободно крутиться. Всплыл на поверхность. Редко использую манифолд, теперь убрал совсем, он совершенно не нужен.»
.
Причина: Ненужный манифолд, создавший дополнительные точки отказа.
Рекомендации: отчет FMECA не смог убрать все несущественные элементы могущие быть потенциальной точкой отказа.
Слайд 15
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 11: WOB сбой
Место: Bushman´s Hole, Южная Африка
Профиль погружения: на 900 футов ()
Отчет о происшествии: См отчет Дэйва Шо
Причина: Использование несоответствующего поглотителя в скруббере.
Рекомендации:
Подсоединить монитор дыхательной активности, с тем, чтобы в случае если темп дыхания станет слишком сильным или объем вдоха слишком низким предупредить пользователя о необходимости дышать более глубоко и медленно. Этот же монитор мог бы выявлять увеличение дыхательной активности в самом начале.
Компания Deep Life обладает WOB монитором на основе уже имеющихся компонентов, таких как монитор скруббера. Это означает, что добавление WOB монитора не будет стоить ни цента в плане деталей.
Было бы полезным подсоединить вентилятор, как средство аварийной поддержки темпа дыхания при аварийной ситуации, дополнительно вентилятор может использоваться в качестве сушилки противолегкого на суше, во время подзарядки батарей.
Слайд 16
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 12: Отравления CO2
Место: Многочисленные сообщения, включая смертельный исход во время второго погружения на HMS Dasher
Профиль погружения: Обычно происходит во время декомпрессии
Причина: Отсутствие сигнала тревоги при истощении поглотителя в скруббере
Рекомендации:
1. Установить сигнал тревоги по превышению CO2
2 Установить эффективный монитор времени жизни скруббера
3. Изменить конструкцию скруббера таким образом чтобы он выходил из строя не внезапно а постепенно, давая сигналу тревоги сработать и дайверу принять меру к исправлению ситуации.
Слайд 17
Deep Life Ltd – когда технология должна быть действительно надежной
Происшествие 13: Аппарат не включен
Место: Несколько смертей, где аппарат был выключен
Профиль погружения: Не применимо
Причина: Ошибка пользователя и недостаток конструкции
Рекомендации:
1. Все ребризеры замкнутого цикла с электронным управлением (eCCR) должны включаться автоматически будучи в воде, либо под давлением на глубине больше 1 метра.
2. Использование «мокрых контактов» для включения водолазного оборудования является многолетней широко применяемой практикой, это же применяется и во многих но к сожалению не всех ребризерах.
3. Дополнительные конструктивные затраты весьма малы, нет причин по которым данная возможность должна быть исключена из контроллера ребризера.
4. При автоматическом включении аппарата существенно чтобы он не завис ни при каких обстоятельствах. Поэтому пользователь никогда не должен выключать его под водой.
Слайд 18
Deep Life Ltd – когда технология должна быть действительно надежной
Другие отчеты
Отсутствует центральная организация получающая информацию о смертах с использованием ребризеров.
Владелец сайта «Diver Mole» делает хорошее дело для аппаратов модели Inspiration, но список очень фрагментарен и зачастую учитывает случай как ошибку пользователя в то время как это является сбоем оборудования. Например Ян Смит(Ian Smith) наверняка погиб по сценарию происшествия 2. С С двумя реанимированных дайверами сценарий происшествия аналогичен номеру 1.
Слишком многие отчеты цитируют фразу «Ошибка пользователя». Позиция должна быть изменена согласно фразе «Никто не погибает при использовании ребризера, если только они не вынимают загубник изо рта и не заменяют его на что-то другое.
Список Diver Mole с инцидентами с летальным исходом:
Слайд 19
Deep Life Ltd – когда технология должна быть действительно надежной
Предотвращая смерть
1. Ребризеры на данный момент даже отдаленно не соответствуют стандартам предьявляемым к другим системам жизнеобеспечения.
2. Большинство производителей не имеют персонала прошедшего формальное обучение по конструированию состем жизнеобеспечения.
3. Открытое обсуждение и монтаж усовершенствованных систем безопасности могло бы предотвратить все приведенные здесь инциденты.
4. Существуют технологии которые могли бы предотвратить все приведенные здесь случаи.
5. Факт то что люди умирают из-за плохо сконструированного оборудования с неадекватными мерами безопасности.