Klikając „Akceptuj wszystkie pliki cookie”, zgadzasz się na przechowywanie plików cookie na swoim urządzeniu w celu ułatwienia nawigacji po stronie, analizy korzystania ze strony oraz wspierania naszych działań marketingowych. Zobacz naszą Politykę prywatności, aby uzyskać więcej informacji.
Artykuł

Gdy meduzy zatrzymują reaktory. O ślepych punktach w zarządzaniu ryzykiem operacyjnym

Igor Ziniewicz

Ekspert zarządzania kryzysowego i ciągłości działania

Sierpniowy incydent w elektrowni jądrowej Gravelines we Francji stanowi fascynujący przykład tego, jak organizacje mogą być zaskakiwane przez zagrożenia, które teoretycznie powinny przewidzieć.

Cztery z sześciu reaktorów zostały automatycznie wyłączone z powodu masowego zablokowania systemów filtracyjnych przez... meduzy.

To wydarzenie odsłania nie tylko lukę w tradycyjnych metodach identyfikacji ryzyk, ale również pokazuje, jak eksperci branżowi unikają niewygodnych prawd o charakterze współczesnych zagrożeń.

Gdy natura ujawnia nasze ślepe punkty

Masowe inwazje meduz w systemach chłodzenia elektrowni to zjawisko globalne i historycznie udokumentowane. Podobne incydenty miały miejsce w Szkocji (2011), na Filipinach (1999), w Japonii, Chinach i Indiach.

Narracja Już w 1993 roku ta sama elektrownia Gravelines doświadczyła podobnego problemu. Mimo tej wiedzy historycznej, branża energetyczna konsekwentnie traktuje takie wydarzenia jako "nieprzewidywalne anomalie" lub "ekstremalne zjawiska pogodowe".

Derek Wright z NOAA wprawdzie wskazuje na związek między ociepleniem mórz a wzrostem populacji meduz, ale jego analiza, podobnie jak większości ekspertów, koncentruje się na czynnikach zewnętrznych: globalnym ociepleniu, transporcie morskim wprowadzającym gatunki inwazyjne, czy naturalnych cyklach reprodukcyjnych.

Rzadko jednak można usłyszeć o mechanizmie sprzężenia zwrotnego, który sprawia, że elektrownie same tworzą warunki sprzyjające gromadzeniu się organizmów zagrażających ich działaniu.

Milczenie wokół odpowiedzialności endogenicznej

Choć eksperci zdają się unikać jak ognia mówienia o odpowiedzialności elektrowni za sytuację, oraz że niewątpliwie ogrzewanie się klimatu ma wpływ na zwiększanie częstotliwości takiego zjawiska, to jednak lokalne efekty termiczne generowane przez same instalacje odgrywają kluczową rolę w nasileniu problemu.

Elektrownie jądrowe, aby funkcjonować, muszą pobierać ogromne ilości wody chłodzącej z naturalnych akwenów, a następnie odprowadzać ją z podwyższoną o kilka stopni temperaturą. Ta podgrzana woda tworzy lokalne strefy cieplne – idealne środowisko dla meduz, szczególnie gatunków inwazyjnych jak meduza księżycowa azjatycka, która preferuje spokojne, bogate w plankton wody kanałów i portów wykorzystywanych do chłodzenia.

Ponadto, ciepła woda sprzyja wzrostowi planktonu, którym żywią się meduzy, dodatkowo zwiększając ich populację w bezpośrednim sąsiedztwie elektrowni. W efekcie instalacja sama generuje warunki, które później mogą sparaliżować jej działanie – klasyczny przykład ryzyka endogenicznego, które przemysł nuklearny niechętnie nazywa po imieniu.

Anatomia ryzyka autoagresywnego

Przypadek Gravelines ilustruje szersze zjawisko "autoagresji organizacyjnej" – sytuacji, w której podstawowa działalność przedsiębiorstwa tworzy warunki sprzyjające materializacji zagrożeń dla tej samej działalności. Ten mechanizm można zaobserwować w wielu sektorach:

  • Sektor finansowy: Banki, które poprzez agresywną politykę kredytową i instrumenty pochodne tworzą bańki spekulacyjne zagrażające ich własnej stabilności.
  • Platformy technologiczne: Serwisy społecznościowe, które poprzez algorytmy maksymalizujące engagement generują zjawiska dezinformacji i polaryzacji podważające zaufanie użytkowników i prowokujące regulacje.
  • Logistyka just-in-time: Przedsiębiorstwa, które poprzez eliminację redundancji i buforów bezpieczeństwa czyją się bardzo podatne na efekt domina w przypadku jakichkolwiek zakłóceń w łańcuchu dostaw.
  • Infrastruktura miejska: Systemy transportowe, które poprzez centralizację i optymalizację przepustowości tworzą pojedyncze punkty awarii mogące sparaliżować całe aglomeracje.

Deficyty w identyfikacji ryzyk endogenicznych

Tradycyjne metodyki zarządzania ryzykiem operacyjnym, takie jak analiza bow-tie czy metody HAZOP, koncentrują się przede wszystkim na czynnikach zewnętrznych i technicznych awariach. Rzadko uwzględniają mechanizmy, w których sama działalność organizacji modyfikuje środowisko operacyjne w sposób zwiększający prawdopodobieństwo materializacji zagrożeń.

Ta luka wynika częściowo z organizacyjnych barier poznawczych. Zespoły odpowiedzialne za zarządzanie ryzykiem często funkcjonują w izolacji od specjalistów ds. oddziaływania środowiskowego. Dodatkowo, przyznanie się do ryzyk endogenicznych może mieć implikacje prawne i regulacyjne, co tworzy potężne bodźce do ich bagatelizowania lub przemilczania.

Lekcje dla praktyki zarządzania ciągłością działania

Incydent w Gravelines oferuje kilka kluczowych wniosków dla zarządzania ciągłością działania:

  • Interdyscyplinarność w identyfikacji zagrożeń: Skuteczne mapowanie ryzyk wymaga dziś współpracy ekspertów z różnych dziedzin. Zarządzanie ryzykiem operacyjnym w elektrowni jądrowej nie może być domeną wyłącznie inżynierów nuklearnych – wymaga także udziału biologów morskich, klimatologów i ekologów.
  • Analiza sprzężeń zwrotnych: Organizacje muszą systematycznie badać, jak ich podstawowa działalność modyfikuje środowisko operacyjne. Wymaga to nowych narzędzi analitycznych wykraczających poza tradycyjne modele przyczynowo-skutkowe.
  • Monitoring sygnałów słabych: Populacje meduz nie rosną z dnia na dzień. Ich systematyczny wzrost przez lata stanowił sygnał ostrzegawczy, który mógł być zidentyfikowany przy odpowiednim monitoringu wskaźników środowiskowych.
  • Przewartościowanie pojęcia "przewidywalności": Operator EDF twierdził, że sytuacja była "przewidywalna", ale jednocześnie doszło do całkowitego wyłączenia największej elektrowni w Europie. Ta sprzeczność wskazuje na potrzebę redefinicji tego, co oznacza skuteczne przewidywanie w kontekście operacyjnym.

Ku adaptacyjnej odporności

Przypadek Gravelines nie jest anomalią, lecz symptomem nowej rzeczywistości operacyjnej. W miarę nasilania się zmian klimatycznych, urbanizacji i wzajemnych powiązań między systemami, organizacje będą musiały zmierzyć się z rosnącą liczbą zagrożeń hybrydowych – łączących czynniki endogeniczne i egzogeniczne w nieprzewidywalne konstelacje.

Skuteczne zarządzanie ciągłością działania w XXI wieku wymaga odejścia od statycznego katalogu zagrożeń na rzecz dynamicznych systemów early warning, zdolnych do identyfikacji emerging risks w czasie rzeczywistym. Wymaga też intellectual honesty – gotowości do nazywania rzeczy po imieniu, nawet gdy prawda o endogenicznym charakterze niektórych zagrożeń może być niewygodna dla zarządów i akcjonariuszy.

Ewolucja technologii chłodzenia jako odpowiedź na ryzyka endogeniczne

Incydent w Gravelines potwierdza trafność kierunku technologicznego obranego przez nowoczesną energetykę. Podczas gdy francuska elektrownia z systemami bezpośredniego poboru wody morskiej została sparaliżowana przez inwazję meduz, najnowsze bloki energetyczne z zamkniętymi obiegami chłodzenia wykazują znacznie większą odporność na tego typu zagrożenia biologiczne.

Zamknięty obieg eliminuje większość ryzyk związanych z jakością wody zewnętrznej – meduzy, fragmenty roślinności czy martwe zwierzęta nie mogą przedostać się do krytycznych systemów chłodzenia reaktora. Jednocześnie technologia ta radykalnie ogranicza lokalne oddziaływanie termiczne na środowisko wodne, zmniejszając efekt sprzężenia zwrotnego, który w przypadku Gravelines przyczynił się do wzrostu populacji meduz w okolicy poboru wody.

Podobnie, systemy pomp zasysających od dna – choć wymagają dodatkowych zabezpieczeń – oferują większą niezależność od wahań poziomów wód powierzchniowych, które coraz częściej towarzyszą ekstremalnemu zjawiskowi pogodowym. To praktyczna ilustracja tego, jak świadome projektowanie systemów może przekształcić ryzyka endogeniczne w przewagi konkurencyjne.

Przewidywalne efekty długoterminowe

Meduzy w Gravelines to w zasadzie przewidywalny efekt długoterminowych zmian środowiskowych nakładających się na lokalne oddziaływanie infrastruktury energetycznej. Pytanie brzmi: czy branża energetyczna znajdzie w sobie dość odwagi, aby przyznać się do tej prawdy i wyciągnąć z niej konstruktywne wnioski, zanim następne "nieprzewidywalne" zdarzenie ponownie zaskoczy analityków ryzyka.

Życie rzeczywiście nieustannie dostarcza powodów do aktualizacji katalogów zagrożeń – ale tylko tym organizacjom, które mają dość pokory, aby słuchać jego sygnałów.

Zapisz się już teraz! 

Subskrybując newsletter Davidson Consulting, otrzymujesz merytoryczne analizy z zakresu zarządzania ryzykiem, ciągłości działania, cyberbezpieczeństwa i compliance (m.in. DORA, NIS2), a także informacje o naszych usługach i produktach, które pomogą Ci skutecznie wdrożyć prezentowane strategie.  

Pamiętaj, Twoja subskrypcja jest w pełni dobrowolna i możesz ją anulować w każdej chwili jednym kliknięciem.
* - Pole obowiązkowe
Dziękujemy za zapisanie się do Forum Ekspertów Odporności Operacyjnej.
Ups! Coś poszło nie tak podczas uzupełnienia formy. Spróbuj ponownie lub skontaktuj się bezpośrednio.

Najnowsze artykuły

ENISA 2025: wyzwania i zalecenia dla UE

Europejska Agencja ds. Cyberbezpieczeństwa (ENISA) opublikowała raport Threat Landscape 2025, przedstawiający przegląd ekosystemu cyberzagrożeń w Europie wokresie od lipca 2024 do czerwca 2025 roku.
Czytaj dalej
Raport

ENISA 2025: wyzwania i zalecenia dla UE

Cyberbezpieczeństwo
Geopolityka a biznes
Bezpieczeństwo łańcucha dostaw
ENISA, raport, cyberbezpieczeństwo, threats
Administracja publiczna
IT i technologia

Globalna awaria Azure Front Door

Analiza incydentu i wnioski dla sektora finansowego (i nie tylko)
Czytaj dalej
Case Study

Globalna awaria Azure Front Door

Cyberbezpieczeństwo
Zarządzanie kryzysowe
Bezpieczeństwo łańcucha dostaw
Incydenty
awaria Microsoft Azure, awaria Azure Front Door, globalna awaria Microsoft, Azure Front Door outage, Microsoft Azure outage, awaria usług Microsoft, niedostępność usług Microsoft, Azure AD, Entra ID, App Service, Azure SQL Database, Azure Portal, Xbox, Minecraft, chmura Microsoft, awaria chmury, błąd konfiguracji Azure, konfiguracja tenant, software defect, wada oprogramowania, błąd ludzki Microsoft, human error Azure, efekt kaskadowy, przeciążenie węzłów Azure, awaria DNS, Azure DNS outage, rollback Azure, last known good configuration, LKGC, Site Reliability Engineering, SRE, defense in depth, automatyzacja wdrożeń, błąd walidacji konfiguracji, błędna konfiguracja, kontrola konfiguracji Azure, edge case Azure, control plane, data plane, failure in validation, awaria globalna, Microsoft incident report, Post Incident Report, PIR Microsoft, YKYN-BWZ, resilience Azure, cloud resilience, odporność operacyjna, operational resilience, DORA, Digital Operational Resilience Act, regulacje DORA, zgodność z DORA, compliance DORA, KNF, Komisja Nadzoru Finansowego, nadzór finansowy, ryzyko koncentracji, third party risk, ryzyko dostawcy chmury, cloud risk management, vendor lock-in, multicloud, multi-cloud, multi-region, geodywersyfikacja, architektura odporna, cloud architecture, disaster recovery, DRP, business continuity, BCP, cloud outage analysis, audyt chmurowy, cloud audit, SOC 2, cloud governance, SLA, RTO, RPO, czas odtworzenia Azure, Microsoft downtime, outage recovery, chaos engineering, testy negatywne, automatyczny rollback, Canary Deployment, phased deployment, failover Azure, critical third party provider, CCP, ESAs, EBA, EIOPA, ESMA, nadzór nad dostawcami chmury, resilience banking, odporność banków, ryzyko chmurowe w sektorze finansowym, ryzyko technologiczne, ciągłość działania, cloud compliance, architektura wielochmurowa, cloud diversification, multivendor strategy, strategia multicloud, optymalizacja kosztów chmury, cloud cost optimization, cloud latency, Azure performance, globalna infrastruktura Microsoft, awarie AWS, porównanie Azure AWS, cloud dependency, single point of failure, SPOF, cloud reliability, cloud security, błędy operacyjne Microsoft, analiza incydentu Azure, raport Microsoft Azure, zarządzanie ryzykiem ICT, cloud risk, infrastruktura krytyczna, cloud incident response, audyt poawaryjny, analiza PIR, Microsoft transparency report, cloud service disruption, krytyczne usługi ICT, chmura publiczna, odporność regulacyjna, zgodność z regulacjami UE, dyrektywa DORA, bezpieczeństwo chmury, cloud compliance EU, KNF DORA wytyczne, architektura bankowa, infrastruktura finansowa, cloud resilience strategy, zarządzanie ciągłością działania, ryzyko operacyjne, ryzyko ICT, cyberbezpieczeństwo sektora finansowego.
IT i technologia
Bankowość i rynki finansowe
Firmy w Polsce

Ataki na bankomaty Santander w Poznaniu

Analiza odpowiedzialności, zwrotu środków i wyzwań bezpieczeństwa.
Czytaj dalej
Case Study

Ataki na bankomaty Santander w Poznaniu

Incydenty
Zgodność
atak Santander, Santander bankomaty, zwrot środków po nieautoryzowanej transakcji, odpowiedzialność banku za straty klientów, skimming bankomatowy, zabezpieczenia bankomatów Santander, skradzione pieniądze Santander bank, umowy między bankiem a operatorem bankomatów, dyrektywa PSD2 w ochronie konsumentów, silne uwierzytelnianie klienta (SCA), monitoring bankomatów i wykrywanie oszustw, postępowanie prokuratorskie w sprawie skimmingu, odzyskiwanie pieniędzy przez bank, procedury bezpieczeństwa banku Santander, edukacja klientów w zakresie cyberbezpieczeństwa, System Bezpieczeństwa Danych Przemysłu Kart Płatniczych (PCI DSS), skimmery i kamery na bankomatach, operatorzy bankomatów Euronet i ITCARD, ryzyko prawne banku przy atakach na bankomaty, audyty i testy penetracyjne w sektorze bankowym, współpraca banku z organami ścigania w sprawach cyberprzestępczości.
Bankowość i rynki finansowe

Jak przygotowywać testy planów lub procedur awaryjnych

Incydent w Erding wyraźnie nas uczy: nie możemy sobie pozwolić na „uczenie się na błędach" w obszarach, gdzie stawką jest życie ludzkie.
Czytaj dalej
Case Study

Jak przygotowywać testy planów lub procedur awaryjnych

Komunikacja kryzysowa
Ochrona ludności
Zarządzanie kryzysowe
testy planów awaryjnych, testowanie procedur awaryjnych, zarządzanie ciągłością działania, plan reagowania kryzysowego, zarządzanie kryzysowe, analiza incydentu bezpieczeństwa, analiza incydentu Erding, incydent w Erding, Bundeswehra, ćwiczenia wojskowe Erding, strzelanina podczas ćwiczeń, błędy komunikacji między wojskiem a policją, zarządzanie ryzykiem operacyjnym, ćwiczenia międzyresortowe, komunikacja kryzysowa, błędy w komunikacji między służbami, unified command, testowanie odporności organizacji, analiza FMEA, zarządzanie incydentami, bezpieczeństwo infrastruktury krytycznej, planowanie testów bezpieczeństwa, kultura bezpieczeństwa, lessons learned, testowanie systemów łączności, dobre praktyki testowania procedur, kryzys w Bawarii, systemowe błędy bezpieczeństwa, koordynacja służb, komunikacja międzyresortowa, zarządzanie incydentami w czasie rzeczywistym
Administracja publiczna
Podmioty ważne i kluczowe