مدیریت آلارم‌ها، اینترلاک و منطق Shutdown را کارشناس PSM تا چه حد باید بفهمد؟

خلاصه مقاله

در بسیاری از حوادث بزرگ صنعت نفت، مسئله این نبوده که هیچ سامانه حفاظتی وجود نداشته است؛ اتفاقاً آلارم وجود داشته، اینترلاک تعریف شده، منطق توقف اضطراری طراحی شده و روی کاغذ چندین لایه حفاظتی در سیستم دیده می‌شده است. اما حادثه زمانی ساخته شده که آلارم‌ها زیاد، مبهم یا نادیده‌گرفته‌شده بوده‌اند؛ اینترلاک‌ها موقتاً کنار گذاشته شده‌اند؛ منطق توقف اضطراری با تغییرات فرایندی هم‌خوان نشده؛ یا کارکنان دقیقاً نمی‌دانسته‌اند هر آلارم، هر اینترلاک و هر فرمان توقف قرار است جلوی کدام سناریوی خطرناک را بگیرد.

برای مدیران HSE و کارشناسان مدیریت ایمنی فرایند، سؤال کلیدی این نیست که آیا کارشناس PSM باید مثل مهندس کنترل، منطق برنامه‌نویسی سامانه را خط‌به‌خط بفهمد یا نه. سؤال مهم‌تر این است: آیا کارشناس PSM آن‌قدر از مدیریت آلارم، اینترلاک و منطق توقف فرایند می‌فهمد که بتواند ضعف یک لایه حفاظتی را قبل از حادثه تشخیص دهد؟

کارشناس PSM قرار نیست جای مهندس ابزار دقیق، کنترل یا فرایند را بگیرد؛ اما اگر نداند یک آلارم بحرانی چه نقشی در سناریوی فرایندی دارد، اینترلاک چگونه باید از عبور فرایند از محدوده ایمن جلوگیری کند، و منطق توقف اضطراری چگونه باید زنجیره حادثه را قطع کند، عملاً نمی‌تواند درباره کفایت لایه‌های حفاظتی قضاوت کند. در چنین شرایطی، مدیریت ایمنی فرایند به یک فعالیت مستندی تبدیل می‌شود که نمی‌تواند از رفتار واقعی واحد در لحظه انحراف دفاع کند.

این مقاله برای کارشناسان PSM شاغل در صنعت نفت نوشته شده است تا مرز دانشی لازم را روشن کند: کارشناس PSM باید از مدیریت آلارم، اینترلاک و منطق توقف چه چیزهایی را بداند، چه چیزهایی را لازم نیست در سطح تخصصی کنترل بداند، چه سؤال‌هایی باید از تیم‌های فرایند و ابزار دقیق بپرسد، و چگونه این مفاهیم را به تحلیل مخاطرات فرایند، مدیریت تغییر، بررسی حادثه و مدیریت لایه‌های حفاظتی وصل کند.

---

چرا این موضوع برای کارشناس PSM حیاتی است؟

در واحدهای فرایندی، بسیاری از سناریوهای بزرگ از یک انحراف شروع می‌شوند؛ مثلاً:

• افزایش فشار
• افزایش یا کاهش دما
• سطح غیرعادی مخزن
• کاهش جریان
• افزایش غلظت یک ماده
• ورود ماده نامناسب به سیستم
• از دست رفتن خنک‌کاری
• قطع برق، هوا یا سیال کمکی
• بسته‌ماندن یا بازماندن یک شیر حیاتی

در برابر این انحراف‌ها، سیستم معمولاً چند لایه دفاعی دارد:

• نمایش و پایش شرایط فرایندی
• آلارم برای هشدار به اپراتور
• اقدام اپراتور بر اساس رویه
• اینترلاک برای جلوگیری از ادامه وضعیت خطرناک
• توقف اضطراری یا خاموشی فرایند
• سامانه تخلیه فشار، تخلیه اضطراری یا مشعل
• سامانه‌های کشف و اطفا

اگر کارشناس PSM این لایه‌ها را فقط به‌عنوان اصطلاحات فنی ببیند، بخش مهمی از ریسک فرایندی را از دست می‌دهد. چون در PSM مسئله این نیست که «سامانه‌ای وجود دارد»؛ مسئله این است که آیا آن سامانه:

• برای سناریوی درست طراحی شده؟
• در زمان درست عمل می‌کند؟
• قابل‌اعتماد است؟
• قابل bypass شدن نیست یا اگر bypass می‌شود کنترل دارد؟
• اپراتور آن را می‌فهمد؟
• تست و نگهداری آن متناسب با نقش حفاظتی‌اش انجام می‌شود؟
• بعد از تغییرات فرایندی هنوز معتبر است؟

پس فهم مدیریت آلارم، اینترلاک و منطق توقف برای کارشناس PSM یک دانش لوکس نیست؛ بخشی از توان او برای تشخیص شکست لایه‌های حفاظتی است.

---

کارشناس PSM باید مهندس کنترل باشد یا تحلیل‌گر ریسک لایه‌های حفاظتی؟

پاسخ روشن است: کارشناس PSM لازم نیست مهندس کنترل، ابزار دقیق یا برنامه‌نویس سامانه کنترل باشد.

او لازم نیست جزئیات کدنویسی، تنظیمات داخلی سامانه کنترل، معماری کامل سخت‌افزار یا منطق اجرایی همه حلقه‌های کنترلی را در سطح متخصص ابزار دقیق بداند.

اما باید بتواند در سطح PSM به این سؤال‌ها پاسخ دهد:

• این آلارم برای کدام انحراف فرایندی تعریف شده است؟
• اگر اپراتور به آلارم پاسخ ندهد، پیامد چیست؟
• اینترلاک دقیقاً جلوی کدام سناریو را می‌گیرد؟
• فرمان توقف در چه شرایطی صادر می‌شود؟
• آیا set pointها با محدوده عملیاتی ایمن هم‌خوان هستند؟
• آیا زمان پاسخ سامانه برای سناریو کافی است؟
• آیا bypass یا override کنترل‌شده است؟
• آیا در تحلیل مخاطرات فرایند، این لایه حفاظتی به‌درستی لحاظ شده؟
• آیا بعد از تغییرات، منطق کنترلی و حفاظتی بازنگری شده است؟

بنابراین کارشناس PSM نباید خود را جای متخصص کنترل بگذارد، اما نباید هم آن‌قدر از موضوع دور باشد که هر عبارت فنی را بدون قضاوت بپذیرد. نقش او این است که بین منطق فنی سامانه و سناریوی ریسک فرایندی ارتباط برقرار کند.

---

مدیریت آلارم در نگاه PSM یعنی چه؟

مدیریت آلارم یعنی اطمینان از اینکه آلارم‌ها واقعاً به تصمیم و اقدام درست اپراتور کمک می‌کنند، نه اینکه اتاق کنترل را به یک دیوار پر از هشدارهای بی‌معنا تبدیل کنند.

از نگاه PSM، آلارم فقط یک پیام روی صفحه نیست. آلارم یک لایه انسانی-فنی است که باید:

• یک وضعیت غیرعادی مهم را نشان دهد
• در زمان مناسب ظاهر شود
• برای اپراتور قابل فهم باشد
• اولویت درست داشته باشد
• اقدام مورد انتظار را روشن کند
• فرصت کافی برای اقدام مؤثر بدهد
• با سناریوی خطرناک مرتبط باشد

اگر آلارم‌ها بیش از حد زیاد، تکراری، نامفهوم، کم‌اهمیت یا غلط باشند، اپراتور به‌تدریج نسبت به آن‌ها بی‌حس می‌شود. این وضعیت همان جایی است که آلارم از یک لایه حفاظتی به یک نویز عملیاتی تبدیل می‌شود.

کارشناس PSM باید بداند آلارم زمانی ارزش حفاظتی دارد که اپراتور بتواند بعد از دریافت آن، در زمان باقی‌مانده، اقدام درست را انجام دهد. اگر زمان کافی وجود ندارد، یا اقدام اپراتور پیچیده و نامطمئن است، نباید آلارم را به‌سادگی یک لایه حفاظتی قابل‌اتکا فرض کرد.

---

کارشناس PSM درباره آلارم‌ها چه چیزهایی را باید بررسی کند؟

کارشناس PSM باید در بازبینی آلارم‌های مرتبط با سناریوهای پرریسک، چند موضوع کلیدی را رصد کند:

• آیا آلارم به یک انحراف مهم فرایندی وصل است؟
• آیا پیام آلارم برای اپراتور واضح و قابل اقدام است؟
• آیا اولویت آلارم با شدت پیامد هم‌خوانی دارد؟
• آیا تعداد آلارم‌ها در شرایط upset بیش از توان پاسخ اپراتور نیست؟
• آیا آلارم‌های بحرانی با رویه پاسخ مشخص پشتیبانی می‌شوند؟
• آیا زمان بین آلارم و رسیدن به وضعیت خطرناک کافی است؟
• آیا آلارم در تحلیل مخاطرات فرایند به‌عنوان safeguard لحاظ شده؟
• آیا این safeguard واقعاً مستقل و قابل‌اعتماد است؟
• آیا آلارم‌های مزاحم، تکراری یا غیرفعال‌شده وجود دارند؟
• آیا تغییرات فرایندی باعث بی‌اعتبار شدن آلارم قبلی نشده‌اند؟

در واقع، سؤال PSM این نیست که «آلارم نصب شده یا نه؟»

سؤال درست این است: آیا این آلارم در سناریوی واقعی می‌تواند از حادثه جلوگیری کند یا فقط بعد از شروع حادثه هشدار می‌دهد؟

---

اینترلاک در مدیریت ایمنی فرایند چه نقشی دارد؟

اینترلاک یک منطق حفاظتی یا کنترلی است که وقتی شرایط مشخصی رخ می‌دهد، به‌صورت خودکار از ادامه وضعیت خطرناک جلوگیری می‌کند یا سیستم را به حالت ایمن‌تر می‌برد. برای مثال:

• اگر فشار از حد مشخص بالاتر رفت، خوراک قطع شود
• اگر سطح مخزن خیلی بالا رفت، پمپ ورودی متوقف شود
• اگر جریان خنک‌کننده قطع شد، واکنش متوقف شود
• اگر شعله از بین رفت، سوخت قطع شود
• اگر دمای تجهیز از حد مجاز گذشت، shutdown فعال شود

در نگاه PSM، اینترلاک یک «دکمه فنی» نیست؛ یک barrier است.

یعنی باید روشن باشد:

• جلوی چه سناریویی را می‌گیرد؟
• چه متغیری را پایش می‌کند؟
• در چه نقطه‌ای عمل می‌کند؟
• چه اقدامی انجام می‌دهد؟
• اگر عمل نکند، پیامد چیست؟
• اگر اشتباه عمل کند، چه اثر عملیاتی و ایمنی دارد؟
• چگونه تست می‌شود؟
• چه کسی اجازه bypass آن را دارد؟

کارشناس PSM باید مفهوم اینترلاک را به زبان سناریوی ریسک بفهمد، نه فقط به زبان نمودار کنترل.

---

تفاوت آلارم و اینترلاک از نگاه PSM چیست؟

آلارم معمولاً به اپراتور هشدار می‌دهد و انتظار دارد انسان تصمیم بگیرد و اقدام کند.

اما اینترلاک معمولاً به‌صورت خودکار اقدام می‌کند تا سیستم وارد وضعیت خطرناک نشود یا از آن خارج شود.

تفاوت‌های کلیدی عبارت‌اند از:

• آلارم به اقدام انسانی وابسته است؛ اینترلاک به منطق خودکار وابسته است.
• آلارم اگر زمان پاسخ کافی نداشته باشد، safeguard ضعیفی است؛ اینترلاک برای سناریوهای سریع‌تر مناسب‌تر است.
• آلارم نیازمند دستورالعمل و آموزش عملیاتی است؛ اینترلاک نیازمند طراحی، تست و کنترل bypass است.
• آلارم ممکن است در شرایط ازدحام هشدار گم شود؛ اینترلاک اگر درست طراحی شده باشد، کمتر به توجه لحظه‌ای اپراتور وابسته است.
• آلارم معمولاً لایه پیش‌آگاهی است؛ اینترلاک می‌تواند لایه پیشگیرانه قوی‌تری باشد.

اما این به معنای آن نیست که اینترلاک همیشه کافی است. اگر اینترلاک:

• درست طراحی نشده باشد
• set point نامناسب داشته باشد
• تست نشده باشد
• bypass شده باشد
• به حسگر مشترک با لایه دیگر وابسته باشد
• بعد از تغییر فرایندی بازنگری نشده باشد

ممکن است فقط روی کاغذ یک barrier باشد، نه در واقعیت.

---

منطق توقف فرایند یا Shutdown Logic چیست؟

منطق توقف فرایند یا منطق خاموشی، مجموعه‌ای از شرایط و اقدام‌های خودکار است که در صورت رسیدن فرایند به وضعیت خطرناک، بخشی از واحد یا کل واحد را متوقف می‌کند تا از حادثه بزرگ جلوگیری شود یا پیامد آن محدود شود.

این منطق ممکن است شامل موارد زیر باشد:

• قطع خوراک
• توقف پمپ یا کمپرسور
• بستن شیرهای اضطراری
• باز کردن مسیر تخلیه یا blowdown
• فعال‌سازی سامانه توقف اضطراری
• جداسازی بخش آسیب‌دیده
• جلوگیری از راه‌اندازی در شرایط ناایمن

از نگاه کارشناس PSM، منطق توقف فرایند باید با این سؤال فهمیده شود:

وقتی کنترل عادی فرایند شکست می‌خورد، سیستم چگونه به حالت ایمن می‌رود؟

این سؤال بسیار مهم است، چون بسیاری از حوادث زمانی رخ می‌دهند که کنترل عادی دیگر کافی نیست و فقط لایه‌های حفاظتی خودکار می‌توانند زنجیره حادثه را قطع کنند.

---

کارشناس PSM باید از Shutdown Logic چه سطحی از فهم داشته باشد؟

کارشناس PSM لازم نیست تمام جزئیات فنی برنامه‌نویسی منطق توقف را بداند، اما باید در سطح زیر مسلط باشد:

• بداند هر shutdown برای کدام سناریوی خطرناک طراحی شده است
• بداند ورودی‌های اصلی منطق توقف چیستند
• بداند خروجی‌های منطق توقف چه اقدام‌هایی انجام می‌دهند
• بداند set pointها با حدود عملیاتی ایمن و طراحی چه نسبتی دارند
• بداند آیا shutdown کامل، جزئی یا تجهیزمحور است
• بداند اگر shutdown عمل نکند، پیامد محتمل چیست
• بداند اگر shutdown ناخواسته عمل کند، چه ریسک‌های ثانویه ایجاد می‌شود
• بداند چه bypassهایی مجاز، موقت و کنترل‌شده هستند
• بداند آزمون‌های دوره‌ای چگونه کفایت عملکرد را نشان می‌دهند
• بداند تغییر در فرایند، تجهیز یا نرم‌افزار چگونه باید منطق توقف را به مدیریت تغییر وصل کند

به زبان ساده، او باید بتواند نقشه ارتباطی زیر را بفهمد:

انحراف فرایندی ← آلارم یا اینترلاک ← اقدام حفاظتی ← جلوگیری از سناریوی حادثه

اگر این زنجیره برای کارشناس PSM روشن نباشد، نمی‌تواند درباره کفایت کنترل‌های فرایندی قضاوت کند.

---

خطای رایج: فرض کردن هر آلارم یا اینترلاک به‌عنوان لایه حفاظتی معتبر

یکی از خطاهای مهم در تحلیل مخاطرات فرایند این است که تیم‌ها هر آلارم یا اینترلاک موجود را به‌عنوان safeguard معتبر ثبت می‌کنند. این کار خطرناک است، چون ممکن است لایه حفاظتی روی کاغذ وجود داشته باشد اما در سناریوی واقعی قابل اتکا نباشد.

برای اینکه یک آلارم یا اینترلاک به‌عنوان لایه حفاظتی معتبر در نظر گرفته شود، باید چند شرط را بررسی کرد:

• آیا مستقل از علت آغازگر است؟
• آیا قابل اعتماد است؟
• آیا زمان پاسخ کافی دارد؟
• آیا آزمون‌پذیر است؟
• آیا در شرایط مورد نیاز واقعاً عمل می‌کند؟
• آیا اپراتور اقدام لازم را می‌داند؟
• آیا bypass یا غیرفعال‌سازی آن کنترل می‌شود؟
• آیا با سناریوی مورد بحث مستقیماً مرتبط است؟

اگر پاسخ این سؤال‌ها روشن نیست، کارشناس PSM نباید به‌سادگی اجازه دهد آن مورد به‌عنوان لایه حفاظتی قوی ثبت شود.

---

ارتباط آلارم، اینترلاک و توقف اضطراری با تحلیل مخاطرات فرایند

در تحلیل مخاطرات فرایند، تیم معمولاً برای هر انحراف می‌پرسد:

• علت چیست؟
• پیامد چیست؟
• چه حفاظت‌هایی وجود دارد؟
• چه اقدام اصلاحی لازم است؟

اینجا دقیقاً محل ورود آلارم، اینترلاک و منطق توقف است.

اما کارشناس PSM باید مراقب چند مسئله باشد:

اول اینکه آلارم نباید فقط به‌دلیل وجود در سامانه کنترل، به‌عنوان حفاظت قوی پذیرفته شود.

دوم اینکه اینترلاک باید دقیقاً به پیامد سناریو وصل باشد، نه به یک موضوع عملیاتی عمومی.

سوم اینکه منطق توقف باید با بدترین سناریوی معتبر هم‌خوان باشد.

چهارم اینکه اگر تیم روی یک safeguard حساب می‌کند، باید از کفایت طراحی، آزمون و نگهداری آن مطمئن باشد.

به‌خصوص در واحدهای نفت و گاز، اتصال این موارد به تحلیل مخاطرات فرایند حیاتی است:

• آلارم‌های سطح بالا و بسیار بالا
• آلارم‌های فشار بالا و بسیار بالا
• آلارم‌های دمای بالا
• توقف‌های اضطراری کمپرسور
• shutdown مشعل یا بویلر
• interlockهای قطع خوراک
• logicهای جلوگیری از overfill
• logicهای جلوگیری از overpressure
• سامانه‌های جداسازی اضطراری

اگر این ارتباط ضعیف باشد، تحلیل مخاطرات فرایند به فهرست‌کردن تجهیزات تبدیل می‌شود، نه تحلیل واقعی سناریوهای خطرناک.

---

ارتباط با مدیریت تغییر؛ چرا هر تغییر کوچک می‌تواند منطق حفاظتی را بی‌اعتبار کند؟

بسیاری از مشکلات آلارم، اینترلاک و shutdown بعد از تغییرات شکل می‌گیرند. مثلاً:

• ظرفیت واحد افزایش پیدا می‌کند
• خوراک تغییر می‌کند
• فشار یا دمای بهره‌برداری تغییر می‌کند
• تجهیزی با مدل جدید جایگزین می‌شود
• زمان پاسخ فرایند تغییر می‌کند
• مسیر bypass اضافه می‌شود
• logic نرم‌افزاری اصلاح می‌شود
• اپراتور رویه جدیدی برای راه‌اندازی پیدا می‌کند
• آلارم برای کاهش nuisance غیرفعال یا کم‌اولویت می‌شود

اگر این تغییرات بدون بررسی PSM انجام شوند، ممکن است منطق حفاظتی قبلی دیگر کافی نباشد.

برای مثال، اگر نرخ پرشدن مخزن افزایش پیدا کند، آلارم سطح بالا ممکن است همان‌جا باشد، اما زمان پاسخ اپراتور دیگر کافی نباشد. یا اگر ترکیب خوراک تغییر کند، set point دمایی قبلی ممکن است دیگر فاصله ایمن کافی نداشته باشد.

بنابراین کارشناس PSM باید هر تغییر مرتبط با آلارم، اینترلاک و shutdown را به مدیریت تغییر وصل کند. در غیر این صورت، سازمان ممکن است فکر کند لایه‌های حفاظتی دارد، در حالی که آن لایه‌ها برای شرایط قبلی معتبر بوده‌اند، نه شرایط جدید.

---

ارتباط با یکپارچگی مکانیکی و آزمون عملکردی

اینترلاک‌ها و سامانه‌های توقف فقط با طراحی خوب قابل اتکا نمی‌شوند. آن‌ها باید در طول زمان تست، نگهداری و راستی‌آزمایی شوند.

از نگاه PSM، سؤال‌های مهم این است:

• آیا آزمون عملکردی دوره‌ای انجام می‌شود؟
• آیا آزمون فقط سیگنال را چک می‌کند یا عملکرد کامل زنجیره را؟
• آیا حسگر، منطق و عملگر نهایی همگی در آزمون دیده می‌شوند؟
• آیا موارد ازکارافتاده یا خارج از سرویس ثبت و کنترل می‌شوند؟
• آیا test interval با سطح ریسک و نقش حفاظتی هم‌خوان است؟
• آیا bypass در زمان تست کنترل و مجوزدهی می‌شود؟
• آیا failureهای تکراری تحلیل می‌شوند؟
• آیا نتایج تست به PSM، PHA و مدیریت barrierها بازخورد داده می‌شود؟

یک shutdown logic ممکن است در نقشه عالی باشد، اما اگر حسگر درست کار نکند، شیر اضطراری گیر کند یا عملگر نهایی fail شود، در لحظه حادثه هیچ کمکی نمی‌کند.

---

نقش کارشناس PSM در جلسات ابزار دقیق و کنترل چیست؟

کارشناس PSM نباید در این جلسات منفعل باشد؛ حتی اگر متخصص فنی ابزار دقیق نیست. نقش او پرسیدن سؤال‌های ریسک‌محور است. برای مثال:

• این آلارم یا interlock دقیقاً برای کدام سناریوی PHA تعریف شده است؟
• آیا این safeguard مستقل از علت حادثه است؟
• اگر اپراتور پاسخی ندهد، زمان رسیدن به پیامد چقدر است؟
• اگر این interlock bypass شود، چه ریسک‌هایی باز می‌شود؟
• آیا bypass مجوز، زمان پایان و کنترل جبرانی دارد؟
• آیا set point با محدوده عملیاتی ایمن و حدود طراحی هم‌خوان است؟
• آیا تغییر اخیر روی این logic اثر داشته است؟
• آیا test record نشان می‌دهد زنجیره کامل عمل می‌کند؟
• آیا alarm flood در شرایط upset بررسی شده است؟
• آیا آلارم‌های بحرانی رویه پاسخ مشخص دارند؟

این پرسش‌ها جایگزین دانش ابزار دقیق نیستند؛ اما کمک می‌کنند بحث فنی به تصمیم ایمنی فرایند تبدیل شود.

---

از کجا بفهمیم سازمان در مدیریت آلارم و اینترلاک ضعف دارد؟

چند نشانه هشدار جدی وجود دارد:

• تعداد آلارم‌ها در حالت عادی زیاد است
• اپراتورها بعضی آلارم‌ها را عادی یا مزاحم می‌دانند
• آلارم‌های بحرانی رویه پاسخ مشخص ندارند
• bypass اینترلاک‌ها زیاد، طولانی یا کم‌کنترل است
• shutdownهای ناخواسته زیاد اتفاق می‌افتد و سازمان برای حذف آن‌ها عجله دارد
• تغییر در logic بدون تحلیل ریسک کافی انجام می‌شود
• set pointها با شرایط واقعی بهره‌برداری به‌روز نیستند
• آزمون عملکردی فقط برای رفع تکلیف انجام می‌شود
• در PHA، safeguardها بدون راستی‌آزمایی پذیرفته می‌شوند
• بین تیم کنترل، عملیات، نگهداری و PSM زبان مشترک وجود ندارد

اگر این نشانه‌ها وجود دارد، احتمالاً سازمان از نظر کاغذی لایه‌های حفاظتی دارد، اما از نظر واقعی، کیفیت این لایه‌ها قابل اطمینان نیست.

---

کارشناس PSM چه چیزهایی را لازم نیست بداند؟

برای اینکه مرز نقش روشن شود، کارشناس PSM لازم نیست:

• برنامه‌نویسی کامل سامانه کنترل را انجام دهد
• طراحی سخت‌افزاری دقیق کارت‌ها و کنترلرها را بداند
• جای مهندس ابزار دقیق محاسبات تخصصی انجام دهد
• همه loopها را در سطح جزئیات اجرایی تحلیل کند
• مسئول مستقیم نگهداری تجهیزات کنترلی باشد

اما باید بتواند:

• سناریو را بفهمد
• نقش safeguard را بفهمد
• سؤال درست بپرسد
• ضعف در کفایت حفاظتی را تشخیص دهد
• موضوع را به PHA، MOC، MI، PSSR و بررسی حادثه وصل کند
• مدیریت را نسبت به ریسک خاموش یا پنهان آگاه کند

به بیان ساده، کارشناس PSM لازم نیست «طراح کنترل» باشد؛ اما باید مفسر ریسک لایه‌های کنترلی و حفاظتی باشد.

---

این دانش چگونه به جایگاه حرفه‌ای کارشناس PSM کمک می‌کند؟

کارشناسی که بتواند آلارم، اینترلاک و منطق توقف را از منظر ایمنی فرایند بخواند، در سازمان ارزش متفاوتی پیدا می‌کند. چون می‌تواند در جلسات تخصصی فقط شنونده نباشد، بلکه بین تیم‌های مختلف پل بزند:

• با عملیات درباره زمان پاسخ و قابلیت اقدام صحبت کند
• با فرایند درباره محدوده عملیاتی ایمن و سناریوها بحث کند
• با ابزار دقیق درباره reliability، bypass و testability سؤال کند
• با تعمیرات درباره آزمون و نگهداری barrierها ارتباط بگیرد
• با مدیریت درباره ریسک باقی‌مانده و اولویت اقدام‌ها تصمیم‌سازی کند

این همان نقطه‌ای است که کارشناس PSM از یک نقش مستندساز به یک نقش تخصصی و قابل فروش تبدیل می‌شود؛ کسی که می‌تواند کیفیت واقعی لایه‌های حفاظتی را بسنجد و درباره کاهش ریسک تصمیم‌سازی کند.

---

جمع‌بندی

کارشناس PSM لازم نیست متخصص کامل ابزار دقیق، کنترل یا برنامه‌نویسی سامانه توقف باشد؛ اما باید آن‌قدر از مدیریت آلارم، اینترلاک و منطق توقف فرایند بفهمد که بتواند نقش آن‌ها را در سناریوهای حادثه تحلیل کند. او باید بداند هر آلارم یا اینترلاک برای چه انحرافی طراحی شده، چگونه از عبور فرایند از محدوده ایمن جلوگیری می‌کند، چه زمانی معتبر نیست، چه زمانی نیاز به بازنگری دارد و چگونه باید به تحلیل مخاطرات فرایند، مدیریت تغییر، یکپارچگی مکانیکی و بررسی حوادث وصل شود.

اگر این فهم وجود نداشته باشد، آلارم‌ها و اینترلاک‌ها ممکن است فقط روی نقشه و صفحه کنترل زیبا به نظر برسند، اما در لحظه واقعی حادثه، توان قطع زنجیره رویداد را نداشته باشند. نقش کارشناس PSM این است که از سازمان بپرسد: آیا لایه‌های حفاظتی ما واقعاً در سناریوی بد عمل می‌کنند، یا فقط در مستندات وجود دارند؟

---

تمرین و تکلیف پیشنهادی

تمرین 1: یک آلارم بحرانی را تا سناریوی حادثه دنبال کنید

یک آلارم مهم در واحد خود انتخاب کنید؛ مثلاً فشار بالا، سطح بالا، دمای بالا یا جریان پایین. سپس پاسخ دهید:

• این آلارم برای کدام انحراف فرایندی تعریف شده است؟
• اگر اپراتور پاسخ ندهد، پیامد احتمالی چیست؟
• زمان پاسخ موجود چقدر است؟
• اقدام مورد انتظار اپراتور چیست؟
• آیا رویه پاسخ به این آلارم وجود دارد؟
• آیا این آلارم در تحلیل مخاطرات فرایند به‌عنوان safeguard ثبت شده است؟

هدف تمرین این است که آلارم را از یک پیام ساده به یک لایه حفاظتی قابل ارزیابی تبدیل کنید.

تمرین 2: یک اینترلاک را از حسگر تا اقدام نهایی نقشه‌برداری کنید

یک اینترلاک مهم را انتخاب کنید و زنجیره آن را بنویسید:

• متغیر پایش‌شده چیست؟
• حسگر کجاست؟
• set point چیست؟
• منطق تصمیم چیست؟
• خروجی نهایی چیست؟
• کدام شیر، پمپ، کمپرسور یا مسیر متوقف یا فعال می‌شود؟
• این اقدام جلوی کدام سناریو را می‌گیرد؟

در پایان مشخص کنید کدام بخش زنجیره اگر fail شود، کل barrier را بی‌اثر می‌کند.

تمرین 3: فهرست bypassهای فعال یا تکرارشونده را بررسی کنید

با همکاری عملیات و ابزار دقیق، فهرستی از bypassها یا overrideهای مهم تهیه کنید و برای هر مورد بنویسید:

• چرا bypass شده است؟
• چه مدت است فعال است؟
• مجوز و مالک آن کیست؟
• چه کنترل جبرانی وجود دارد؟
• اگر در این مدت سناریوی خطرناک رخ دهد، چه barrierهایی باقی می‌مانند؟
• آیا این bypass باید وارد مدیریت تغییر شود؟

تمرین 4: یک تغییر فرایندی را از منظر آلارم و shutdown تحلیل کنید

یک تغییر واقعی یا فرضی انتخاب کنید؛ مثلاً افزایش ظرفیت، تغییر خوراک، تغییر فشار بهره‌برداری یا تغییر تجهیز. سپس بررسی کنید:

• آیا آلارم‌های قبلی هنوز زمان پاسخ کافی می‌دهند؟
• آیا set pointها هنوز معتبرند؟
• آیا interlockها با شرایط جدید هماهنگ‌اند؟
• آیا shutdown logic نیاز به بازنگری دارد؟
• آیا PHA یا MOC این اثرات را دیده است؟

تمرین 5: یک اسلاید مدیریتی طراحی کنید

یک اسلاید یک‌صفحه‌ای برای مدیر HSE یا مدیر بهره‌برداری آماده کنید با این سه بخش:

• 5 آلارم یا اینترلاک بحرانی که بیشترین نقش را در سناریوهای بزرگ دارند
• 3 نشانه ضعف در مدیریت آلارم یا bypassها
• 3 اقدام فوری برای افزایش اطمینان از عملکرد لایه‌های حفاظتی