Обслуживать не по календарю: что такое RCM-анализ и почему он до сих пор считается сложным

Коротко. RCM — методология, которая помогает выбирать обслуживание по функциям оборудования и последствиям его отказов, а не только по календарю. В статье разбираем её историю, логику и этапы — и объясняем, почему анализ одного агрегата до сих пор может занимать недели работы экспертов.

Это вводная статья про саму методологию, без кода и без LLM. О том, как мы автоматизировали эту методологию, будет во второй части.

Проблема: обслуживание по календарю

Классический подход к планово-предупредительному ремонту построен на допущении, которое кажется очевидным: детали изнашиваются, значит, чем дольше узел работает, тем выше вероятность его отказа. Отсюда вывод — надо вскрывать и менять по наработке, до того как сломается.

Допущение проверили. В 1978 году United Airlines по заказу Министерства обороны США выпустила отчёт Ноулана и Хипа «Reliability-Centered Maintenance», в котором впервые появился и сам термин. Авторы разобрали статистику отказов авиатехники и получили шесть характерных паттернов интенсивности отказов во времени:

Возрастную зависимость, при которой замена «по календарю» имеет смысл, показывают только паттерны A, B и C — суммарно около 11 % отказов. Для остальных 89 % плановое вскрытие риск не снижает. Отдельного внимания заслуживает паттерн F с его 68 %: там сразу после вмешательства интенсивность отказов заметно растёт. То есть профилактическая разборка такого узла вероятность отказа повышает, а не снижает.

Классическая «кривая-ванна» оказалась описанием всего 4 % случаев.

Вывод из отчёта был не «обслуживать не нужно», а «обслуживание нужно обосновывать». Работы стоит назначать не по возрасту узла, а по тому, как именно он отказывает и чем этот отказ грозит.

Эффект оказался измеримым. Программа техобслуживания Boeing 747, построенная по новой логике, потребовала планового капитального ремонта для считаных единиц оборудования — против сотен позиций у предшествующего DC-8, при том что 747 был заметно крупнее и сложнее.

Откуда взялась методология

Хронология короткая:

• 1968 — MSG-1, документ рабочей группы ATA для сертификации программы ТО Boeing 747. Первая попытка выводить регламент из анализа последствий отказов, а не из опыта.

• 1970 — MSG-2, обобщение подхода на другие типы ВС. 1980 — MSG-3, действующая до сих пор основа программ ТО в гражданской авиации.

• 1978 — отчёт Ноулана и Хипа, тот самый, где методология получила имя RCM и теоретическую базу.

• 1980–90-е — RCM уходит из авиации: атомная энергетика (программы EPRI), ВМС США, затем нефтепереработка и обрабатывающая промышленность. Появляются вариации — RCM2 Моубрея, «облегчённые» и «оптимизированные» версии разного качества.

• 1999 — SAE выпускает JA1011. Это не инструкция «как делать RCM», а критерий: какой процесс можно называть RCM. Стандарт понадобился потому, что под этим названием стало предлагаться все подряд.

• 2002 — JA1012, руководство: терминология, разъяснения и полное дерево решений по выбору стратегии обслуживания.

В российской нормативке ближайшим аналогом является ГОСТ Р 27.606-2013 (гармонизирован с IEC 60300-3-11). Совместно обычно используют ISO 14224 и ГОСТ Р 70841-2023 — таксономию оборудования, отказов и данных о надёжности; без них результаты анализа несопоставимы между активами.

Суть: семь вопросов

Вся методология сворачивается в семь вопросов JA1011, на которые нужно ответить строго в этом порядке для каждого анализируемого актива:

1. Функции. Каковы функции актива и требуемые характеристики их выполнения в текущем эксплуатационном контексте?

2. Функциональные отказы. Какими способами актив может перестать выполнять функцию?

3. Виды отказов. Что вызывает каждый функциональный отказ?

4. Последствия отказа. Что происходит при каждом виде отказа?

5. Значимость. Чем именно каждый отказ важен — безопасность, экология, производство, экономика?

6. Проактивные задачи. Что можно делать, чтобы предсказать или предотвратить отказ, и с каким интервалом?

7. Действия по умолчанию. Что делать, если подходящей проактивной задачи не нашлось?

JA1011 — аудируемый стандарт: пропустили вопрос или поменяли порядок — и процесс уже не соответствует RCM. Требование выглядит формальным, но за ним стоит практическое соображение: каждый следующий вопрос имеет смысл только на основе ответа предыдущего. Нельзя выбирать стратегию обслуживания, не зная последствий; нельзя оценивать последствия, не зная вида отказа; нельзя описать вид отказа, не сформулировав, какая функция теряется.

Логика: четыре уровня, которые нельзя смешивать

Самая частая ошибка в RCM — путать уровни. Разберём на насосе:

Функция:               подавать питательную воду 60 м³/ч ±5 % при напоре ≥264 м        ↓Функциональный отказ:  расход ниже 57 м³/ч        ↓Вид отказа:            абразивный износ рабочего колеса        ↓Последствие:           снижение подачи → недогрев котла → ограничение нагрузки

Четыре уровня — четыре разных типа утверждений, и на каждом свои требования.

Разрез двухступенчатого центробежного насоса. Фото: Bitjungle, CC BY-SA 4.0, via Wikimedia Commons.

Функция — это не конструкция. «Рабочее колесо» — не функция. «Создавать напор ≥264 м» — функция. И у неё должен быть измеримый стандарт: без числа нельзя сказать, отказала функция или нет. Кроме основной, у узла есть вторичные функции (герметичность, шумовые пределы, соответствие требованиям экологии) и защитные. Про защитные забывают чаще всего, а именно с них начинаются самые дорогие сценарии.

Эксплуатационный контекст — часть анализа, а не примечание к нему. Два одинаковых насоса — резервный на складе готовой продукции и единственный питательный на котле — при идентичной конструкции дают разные RCM-модели. RCM анализирует не тип оборудования, а конкретный агрегат в конкретных условиях. Отсюда же следует и основная проблема масштабирования, о которой ниже.

Вид отказа должен быть физическим механизмом. «Износ» — формулировка слишком общая, чтобы с ней можно было работать. «Усталостное выкрашивание дорожек качения подшипника из-за перекоса вала» — вид отказа: у него есть механизм, скорость развития и метод обнаружения. От детальности этого уровня зависит качество всех последующих шагов.

Явные и скрытые отказы

Одно из ключевых различий в методологии. Явный (evident) отказ оператор замечает в момент, когда он произошёл: насос встал, давление упало. Скрытый (hidden) — сам по себе не проявляется. Закисший предохранительный клапан, датчик, который перестал реагировать, резервный дизель-генератор, который не заведётся, бэкап, который не восстанавливается.

Скрытый отказ сам по себе безвреден. Проблему создаёт множественный отказ: скрытый отказ защиты в сочетании с отказом защищаемой функции. Многие серьёзные промышленные аварии устроены именно так — не одна поломка, а совпадение отказавшей защиты с событием, от которого она должна была защищать.

Для скрытых отказов RCM вводит отдельный тип работ — failure finding, проверку работоспособности защиты. Смысл такой задачи не в том, чтобы предотвратить отказ, а в том, чтобы обнаружить уже случившийся. Интервал проверки считается из требуемой доступности защиты и частоты отказа защищаемой функции.

P-F интервал

Это второе базовое понятие, на нём держится всё обслуживание по состоянию. Отказ редко бывает мгновенным: сначала дефект становится потенциально обнаружимым (точка P) и только потом развивается до функционального отказа (точка F). Промежуток между ними — P-F интервал.

Существенная деталь: P-F интервал определён не сам по себе, а для конкретного метода контроля. У одного и того же выкрашивания подшипника интервал по спектральному вибродиагностическому контролю — месяцы, по слуховому контролю оператора — дни, по температуре — часы. Метод определяет, где находится точка P.

Из этого выводится интервал проверок: он должен быть не больше половины P-F интервала — тогда хотя бы одна проверка гарантированно попадёт в окно между P и F. Отдельно проверяется, что оставшегося времени (net P-F) достаточно, чтобы что-то предпринять. Если дефект обнаруживается за два дня до разрушения, а срок поставки запчасти — три недели, практической пользы от такой диагностики немного.

От анализа к решению: дерево JA1012

Ответы на первые пять вопросов — это анализ. Решение принимается на шагах 6–7, по дереву из §13 JA1012. Логика двухслойная.

Сначала — категория последствий, в жёстком порядке приоритета:

1. Отказ скрытый? → ветка hidden, анализ множественного отказа.

2. Есть последствия для безопасности или экологии?

3. Есть последствия для производства?

4. Остаётся неоперационная (чисто ремонтная) стоимость.

Затем — перебор типов задач, тоже в фиксированном порядке, от менее к более затратным:

• On-condition / CBM — обслуживание по состоянию (вибродиагностика, термография, анализ масла, параметрический контроль);

• Scheduled restoration — плановое восстановление по наработке;

• Scheduled discard — плановая замена по наработке;

• Failure finding — проверка работоспособности, только для скрытых отказов;

• Run-to-failure — сознательная работа до отказа;

• Redesign — изменение конструкции, регламента или условий эксплуатации.

Задача выбирается, только если она удовлетворяет двум критериям одновременно: технически осуществима (метод действительно обнаруживает этот механизм в этом окне) и оправдана. Что считать оправданным, зависит от ветки — в этом и состоит основная идея дерева:

• для безопасности и экологии критерий один: снижает ли задача риск до приемлемого уровня. Стоимость здесь в расчёт не принимается. Если ни одна задача риск не снижает — redesign обязателен;

• для производства и экономики критерий денежный: стоимость задачи за период должна быть меньше ожидаемых потерь от отказа. Если не меньше — run-to-failure, и это обоснованный результат анализа, а не отказ от решения;

• для скрытых отказов — если failure finding невозможен, redesign снова обязателен.

Отсюда следствие, которое обычно оказывается неожиданным для заказчика: корректный RCM-анализ часто сокращает объём ТО. Часть регламентных работ приходится на узлы с паттерном F, часть экономически не обоснована, часть не обнаруживает реальный механизм отказа. Освободившийся ресурс переносится туда, где риск выше.

Как устроен RCM-проект

На практике RCM — это управляемый процесс с достаточно жёсткой последовательностью шагов.

Шаг 0. Отбор объектов. RCM применяют не ко всему парку — это слишком дорого. Сначала делают анализ критичности (по риску: частота × последствия) и берут в работу верхнюю часть списка. Для остального обычно достаточно PM Optimization — ревизии существующего регламента вместо анализа с нуля.

Шаг 1. Границы и уровень анализа. Что именно входит в объект: где кончается насос и начинается трубопровод, входит ли электродвигатель, система смазки, КИП. Неудачно проведённая граница даёт либо пробелы в анализе, либо лишний объём работы. Здесь же фиксируется уровень иерархии по ISO 14224 (установка → система → единица оборудования → компонент).

Шаг 2. Сбор данных и эксплуатационного контекста. Паспорта, регламенты производителя, история отказов и ремонтов из CMMS, результаты диагностики, режимы работы, стоимость простоя. Часть данных почти всегда отсутствует — об этом ниже.

Шаг 3. Функциональный анализ. Функции с измеримыми стандартами → функциональные отказы → виды отказов. Самая трудоёмкая часть и основное место, где теряется качество: слишком общие формулировки видов отказов обесценивают последующие шаги.

Шаг 4. Анализ последствий. Что происходит с узлом, системой, персоналом, экологией, производством. Отдельно рассматривается вопрос обнаружимости (evident/hidden).

Шаг 5. Количественная часть. Частота отказов λ, время восстановления MTTR, P-F интервалы под выбранные методы контроля, стоимость последствий.

Шаг 6. Дерево решений и формирование задач. Тип задачи, интервал, исполнитель, трудоёмкость, необходимая оснастка.

Шаг 7. Внедрение. Задачи заводятся в CMMS/EAM, обновляются регламенты, при необходимости закупается диагностическое оборудование и обучается персонал. Анализ, не дошедший до CMMS, на эксплуатацию никак не влияет.

Шаг 8. Living program. RCM-модель пересматривается при накоплении статистики отказов, изменении режима работы, модернизации. Разовый анализ со временем устаревает.

Классически шаги 1–6 выполняет рабочая группа: фасилитатор с RCM-подготовкой, инженер по надёжности, механик, технолог, оператор. Состав не формальный: реплика оператора «а он у нас всегда греется на пуске, мы привыкли» регулярно оказывается полезнее паспортных данных.

Где применяется

Авиация — источник методологии; MSG-3 остаётся обязательной основой программ ТО для новых типов ВС.

Атомная энергетика — один из первых «неавиационных» потребителей. Здесь ценна связка с анализом безопасности: логика скрытых и множественных отказов хорошо ложится на защитные системы и требования IEC 61508/61511.

Нефтегаз и нефтехимия — самое массовое промышленное применение. Насосы, компрессоры, теплообменники, запорная арматура, факельные системы. Отраслевые базы отказов (OREDA, ISO 14224) выросли именно отсюда.

Электроэнергетика — турбины, генераторы, трансформаторы, вспомогательные системы. Ветрогенерация стоит особняком: там высокая стоимость доступа к узлу делает диагностику особенно выгодной.

Металлургия, ЦБП, горнодобыча — непрерывные производства, где час простоя стоит дорого и поддаётся расчёту, так что экономические ветки дерева решений применимы напрямую.

Железные дороги и флот — детальная нормативная база, длинные интервалы доступа к оборудованию, высокая цена отказа в пути.

Водоканалы и городская инфраструктура — стареющие фонды при ограниченном бюджете; RCM здесь чаще используется как инструмент обоснования приоритетов расходов.

Общий знаменатель: RCM оправдывается там, где отказ обходится дорого, оборудования много, а бюджет на обслуживание ограничен.

А в ИТ?

Применяется, причём в двух разных смыслах.

Буквально. ЦОДы обслуживают физическую инфраструктуру теми же методами: ИБП и батарейные сборки, дизель-генераторы, чиллеры, прецизионные кондиционеры, щиты, системы пожаротушения. Это обычное промышленное оборудование, и RCM применяется к нему без адаптации. Резервный дизель-генератор здесь — почти учебниковый пример скрытого отказа: он не проявляется до момента, когда генератор понадобится, и обнаруживается только регулярным failure finding — тестовыми пусками под нагрузкой.

По аналогии. С логикой SRE у RCM довольно много общего — обе дисциплины о том, как тратить ограниченный ресурс на снижение риска. Соответствие получается почти дословным:

Практически полезных переносов три. Первый: дисциплина скрытых отказов. Бэкап, который ни разу не восстанавливали, защитой считать нельзя; «настроили и забыли» в терминах RCM — это невыполненный failure finding. Второй: P-F как критерий полезности мониторинга. У алерта, срабатывающего одновременно с инцидентом, P-F интервал нулевой, и пользы от него немного; вопрос «за сколько до отказа появляется этот сигнал и успеем ли мы что-то сделать» RCM задаёт формально. Третий: run-to-failure как допустимый ответ. Решение «этот сервис мы не резервируем, потому что резервирование дороже простоя» в RCM — обычный результат дерева решений с обоснованием.

Есть и граница применимости: софт не изнашивается. Возрастных паттернов A/B/C для кода не существует, а значит, плановое восстановление и плановая замена по наработке — две ветки дерева JA1012 — для программных компонентов пусты. Остаются частные случаи вроде перезапуска по расписанию для обхода утечек, ротации сертификатов и обновления железа по сроку службы. Зато паттерн F — рост отказов сразу после вмешательства — в ИТ виден не хуже, чем в механике: заметная доля инцидентов приходится на время после релиза. Вывод получается тот же, к которому пришли авиаторы в 1968 году: профилактическое вмешательство без обоснования риск скорее увеличивает.

Почему RCM до сих пор не везде

Методологии почти полвека, эффект считается в деньгах — а внедрена она далеко не везде. Причины вполне практические.

Дорого. Полноценный анализ одного агрегата — недели работы группы из нескольких специалистов. Умножьте на сотни единиц оборудования на среднем предприятии, и станет понятно, почему проект редко проходит по бюджету. Отсюда и «облегчённые» вариации разного качества, в ответ на которые и появился JA1011.

Данных не хватает. Ключевой вход анализа — частота отказов λ — требует истории отказов, которой у заказчика чаще всего либо нет, либо она ведётся в свободной форме в журнале мастера. Приходится опираться на отраслевые базы (OREDA, ISO 14224) как на априорные оценки, уточняя их по мере накопления данных. И отмечать, что оценено, а что измерено, — иначе аккуратные цифры на выходе создают ложное впечатление точности.

Результат субъективен. Формулировка функций, детализация видов отказов, оценка последствий — экспертные решения. Две группы на одном и том же насосе получат различающиеся модели. Воспроизводимость — слабое место методологии, и требование JA1011 документировать критерии связано именно с этим.

Плохо масштабируется. Поскольку RCM анализирует агрегат в его эксплуатационном контексте, результат нельзя перенести на соседний такой же насос — контекст другой. Каждый актив приходится разбирать заново.

Анализ не доходит до исполнения. Распространённый сценарий: несколько томов результатов, не превратившихся в задачи в CMMS.

Ни одна из этих проблем не относится к логике RCM — с ней всё в порядке. Все они про трудоёмкость и воспроизводимость: методология требует много ручного экспертного труда, результат зависит от того, кто его выполнял, а объём работы растёт линейно с парком оборудования.

Что, в общем, и есть описание задачи, которую имеет смысл автоматизировать.

Что дальше

RCM хорошо поддаётся формализации: жёсткая последовательность вопросов, типизированные входы и выходы каждого шага, детерминированное дерево решений в конце, нормативная опора под каждым определением. Формализуется всё, кроме интерпретации инженерной документации, из которой берутся исходные данные. Именно этот шаг долгое время и мешал автоматизации: разобрать паспорт, регламент и журнал ремонтов и извлечь оттуда функции, предельные параметры и историю отказов до появления языковых моделей мог только человек.

О том, что получается, если оставить методологию жёсткой рамкой, а модели отдать ровно эту роль — интерпретатора документации внутри рамки, а не источника инженерных знаний, — в следующей статье.