چگونه خرابی با علت مشترک، چند لایه حفاظتی را هم‌زمان از کار می‌اندازد؟

برای کسانی که می‌خواهند مهندسی ایمنی فرآیند را به عنوان زمینه تخصصی خود انتخاب کنند، درک مفهوم خرابی با علت مشترک فقط یک موضوع تئوریک نیست؛ بلکه بخشی از هسته قضاوت مهندسی در صنعت نفت، گاز و پتروشیمی است. بسیاری از تحلیل‌گران تازه‌کار وقتی چند حفاظت در یک سناریو می‌بینند، به‌صورت ناخودآگاه تصور می‌کنند ریسک به‌خوبی کنترل شده است. اما در عمل، اگر این حفاظت‌ها از نظر منبع شکست، منطق عملکرد، منبع انرژی، ابزار دقیق، شرایط محیطی یا حتی عملکرد انسانی به هم وابسته باشند، ممکن است همه آن‌ها به‌طور هم‌زمان شکست بخورند.

این مقاله با نگاه واقع‌گرا، سیستم‌محور و تست‌پذیر نوشته شده است تا نشان دهد چرا تعداد لایه‌های حفاظتی به‌تنهایی معیار ایمنی نیست و چرا استقلال واقعی لایه‌ها از مهم‌ترین موضوعات در ایمنی فرآیند است.

خرابی با علت مشترک چیست؟

خرابی با علت مشترک (Common Cause Failure) به وضعیتی گفته می‌شود که در آن، دو یا چند جزء، سامانه یا لایه حفاظتی که در ظاهر جدا از هم هستند، به دلیل یک علت مشترک به‌طور هم‌زمان یا تقریباً هم‌زمان دچار شکست می‌شوند.

نکته مهم این است که در این نوع خرابی، مسئله فقط «چند خرابی» نیست، بلکه وجود یک ریشه یا عامل مشترک است که باعث می‌شود چند دفاع به‌طور هم‌زمان کارایی خود را از دست بدهند. این عامل مشترک می‌تواند فنی، محیطی، انسانی، سازمانی یا حتی مدیریتی باشد.

برای مثال، اگر دو سامانه حفاظتی مختلف هر دو به یک منبع برق وابسته باشند و همان منبع برق از دست برود، هر دو سامانه ممکن است هم‌زمان از کار بیفتند. در ظاهر دو لایه وجود دارد، اما در واقع هر دو به یک نقطه آسیب‌پذیر مشترک وابسته‌اند.

تفاوت خرابی با علت مشترک و خرابی مستقل چیست؟

در خرابی مستقل، هر جزء یا لایه حفاظتی بر اساس شرایط، فرسودگی، خطا یا خرابی خاص خود از کار می‌افتد و شکست آن الزاماً به شکست جزء دیگر وابسته نیست. اما در خرابی با علت مشترک، یک عامل واحد باعث می‌شود چند جزء یا چند لایه حفاظتی هم‌زمان یا پشت‌سرهم از دسترس خارج شوند.

این تفاوت از نظر تحلیلی بسیار مهم است، چون اگر شکست‌ها را مستقل فرض کنیم، ممکن است به‌اشتباه سطح اطمینان سیستم را خیلی بالاتر از واقعیت برآورد کنیم. در حالی که وجود علت مشترک، استقلال لایه‌ها را تضعیف می‌کند و ارزش واقعی آن‌ها را کاهش می‌دهد.

• خرابی مستقل: هر لایه مسیر شکست مخصوص خود را دارد
• خرابی با علت مشترک: چند لایه از یک منشأ آسیب‌پذیری مشترک ضربه می‌خورند

برای یک مهندس ایمنی فرآیند، این تفاوت فقط یک تعریف نیست؛ بلکه مستقیماً بر تصمیم‌گیری در طراحی، HAZOP، LOPA و مدیریت تغییر اثر می‌گذارد.

چرا خرابی با علت مشترک در ایمنی فرآیند اهمیت حیاتی دارد؟

در صنعت نفت، گاز و پتروشیمی، بسیاری از سناریوهای پرخطر بر این فرض استوارند که اگر یک لایه شکست خورد، لایه بعدی وارد عمل می‌شود. این منطق دفاع در عمق فقط وقتی معتبر است که لایه‌ها واقعاً مستقل باشند. اگر چند لایه به یک عامل مشترک وابسته باشند، مفهوم دفاع در عمق تضعیف می‌شود.

اهمیت خرابی با علت مشترک در این است که می‌تواند:

• اثربخشی واقعی چند لایه حفاظتی را هم‌زمان کاهش دهد
• تحلیل ریسک را به سمت خوش‌بینی کاذب ببرد
• نتایج HAZOP و LOPA را گمراه‌کننده کند
• در زمان حادثه، چند دفاع را با هم از دسترس خارج کند
• باعث شود طراحی ظاهراً ایمن، در عمل脆弱 و آسیب‌پذیر باشد

به زبان ساده، خرابی با علت مشترک نشان می‌دهد که گاهی مشکل اصلی این نیست که «حفاظت نداریم»، بلکه این است که حفاظت‌هایمان از یک نقطه ضعف پنهان مشترک ضربه می‌خورند.

خرابی با علت مشترک از چه منابعی ایجاد می‌شود؟

علت مشترک خرابی فقط یک مسئله ابزاردقیق یا برق نیست. در عمل، منابع ایجاد خرابی با علت مشترک می‌توانند بسیار متنوع باشند. مهم‌ترین آن‌ها عبارت‌اند از:

• منبع انرژی مشترک: مانند برق، هوای ابزار دقیق یا هیدرولیک مشترک
• سنسور یا ابزار مشترک: وقتی چند لایه به یک اندازه‌گیری مشترک وابسته‌اند
• منطق کنترلی مشترک: وابستگی چند عملکرد حفاظتی به یک کنترلر، نرم‌افزار یا منطق واحد
• شرایط محیطی مشترک: گرمای شدید، آتش، سیلاب، خوردگی، لرزش یا آلودگی محیطی
• خطای انسانی مشترک: تنظیم اشتباه، دور زدن حفاظت، خطای رویه‌ای یا سوءبرداشت عملیاتی
• ضعف طراحی مشترک: انتخاب نادرست فناوری یا طراحی مشابه برای چند سامانه
• ضعف نگهداشت مشترک: کالیبراسیون نادرست، آزمون ناقص یا تعمیرات معیوب مشابه
• مدیریت تغییر ضعیف: تغییراتی که ناخواسته چند لایه را هم‌زمان تحت تأثیر قرار می‌دهد

در بسیاری از پروژه‌ها، علت مشترک خرابی آشکار نیست و دقیقاً به همین دلیل خطرناک است. چون تا وقتی سناریوی واقعی اتفاق نیفتاده، همه‌چیز عادی به نظر می‌رسد.

نمونه‌های رایج خرابی با علت مشترک در صنعت نفت، گاز و پتروشیمی

برای درک بهتر موضوع، چند نمونه رایج را می‌توان در نظر گرفت:

• چند سامانه حفاظتی که همگی به یک منبع برق بدون پشتیبان کافی وابسته‌اند
• آلارم، اینترلاک و نمایش اتاق کنترل که همگی از یک سنسور سطح یا فشار مشترک تغذیه می‌شوند
• سامانه خاموش‌سازی اضطراری و سامانه کنترل که هر دو از یک رک یا یک منطق نرم‌افزاری مشترک استفاده می‌کنند
• شیرهای ایمنی و ابزار دقیق نصب‌شده در منطقه‌ای که در برابر آتش یا دمای بالا به‌طور هم‌زمان آسیب‌پذیر هستند
• چند رویه عملیاتی که همگی به تشخیص درست اپراتور در یک شرایط پرفشار وابسته‌اند
• چند تجهیز مشابه که همگی در اثر اشتباه کالیبراسیون دوره‌ای به یک شکل معیوب تنظیم شده‌اند

این مثال‌ها نشان می‌دهند که علت مشترک خرابی ممکن است در طراحی، نصب، بهره‌برداری، نگهداشت یا حتی فرهنگ سازمانی ریشه داشته باشد.

خرابی با علت مشترک چگونه استقلال لایه‌های حفاظتی را تضعیف می‌کند؟

در تحلیل لایه‌های حفاظتی، استقلال یعنی یک لایه بتواند بدون وابستگی به علت اولیه حادثه و بدون اتکا به شکست‌نخوردن لایه‌های دیگر، نقش حفاظتی خود را ایفا کند. اما خرابی با علت مشترک دقیقاً این استقلال را زیر سؤال می‌برد.

اگر دو یا چند لایه در ظاهر جدا باشند اما از یک آسیب‌پذیری مشترک ضربه بخورند، در واقع آن‌ها از نظر تحلیلی مستقل نیستند. این یعنی ممکن است در محاسبات یا ارزیابی‌های کیفی، شما سه لایه ببینید، اما در واقع فقط یک یا یک‌ونیم لایه مؤثر داشته باشید.

این همان نقطه‌ای است که بسیاری از تحلیل‌های ظاهراً کامل، در عمل دچار خوش‌بینی کاذب می‌شوند.

نقش خرابی با علت مشترک در HAZOP و LOPA

در شناسایی خطر و قابلیت بهره‌برداری (HAZOP)، تیم معمولاً علل، پیامدها و حفاظت‌های موجود را بررسی می‌کند. اما اگر فقط نام حفاظت‌ها ثبت شود و وابستگی پنهان میان آن‌ها دیده نشود، خروجی مطالعه ممکن است بیش از حد خوش‌بینانه باشد.

در تحلیل لایه‌های حفاظتی (LOPA)، موضوع حساس‌تر می‌شود. چون در LOPA معمولاً بر این فرض تکیه می‌شود که لایه‌های حفاظتی مستقل‌اند. اگر این فرض بدون بررسی پذیرفته شود، نتیجه تحلیل می‌تواند نادرست باشد و نیاز واقعی به لایه‌های تکمیلی دیده نشود.

بنابراین در HAZOP و LOPA باید این پرسش‌ها مطرح شوند:

• آیا این لایه‌ها سنسور مشترک دارند؟
• آیا منبع انرژی یا هوای ابزار دقیق آن‌ها مشترک است؟
• آیا منطق عملکرد آن‌ها به یک سامانه واحد وابسته است؟
• آیا یک خطای انسانی می‌تواند چند لایه را هم‌زمان بی‌اثر کند؟
• آیا یک شرایط محیطی می‌تواند چند حفاظت را با هم از کار بیندازد؟

برای کسی که می‌خواهد در مهندسی ایمنی فرآیند متخصص شود، توانایی دیدن این وابستگی‌ها یکی از تفاوت‌های اصلی بین تحلیل‌گر متوسط و تحلیل‌گر حرفه‌ای است.

خرابی با علت مشترک فقط فنی نیست؛ عامل انسانی هم نقش دارد

یکی از اشتباهات رایج این است که خرابی با علت مشترک فقط به خرابی تجهیزات محدود شود. در حالی که در بسیاری از موارد، عامل انسانی یا ضعف سازمانی منشأ اصلی خرابی مشترک است.

برای مثال، اگر اپراتور بر اساس یک برداشت اشتباه، هم‌زمان چند حفاظت را در حالت دور زده قرار دهد، یا اگر یک رویه نگهداشت ناقص باعث شود چند تجهیز مشابه به شکل نادرست تنظیم شوند، در عمل با یک علت مشترک مواجه هستیم. همچنین ضعف آموزش، فشار تولید، رویه‌های مبهم و نظارت ناکافی می‌توانند چند لایه را به‌صورت هم‌زمان تضعیف کنند.

به همین دلیل، نگاه صرفاً تجهیزمحور برای شناسایی CCF کافی نیست. باید سامانه را به‌صورت فنی، انسانی و مدیریتی با هم دید.

نشانه‌های هشداردهنده برای شناسایی خرابی با علت مشترک

اگر بخواهید در پروژه یا واحد عملیاتی، ریسک خرابی با علت مشترک را شناسایی کنید، این نشانه‌ها بسیار مهم‌اند:

• چند لایه حفاظتی که از یک داده اندازه‌گیری مشترک استفاده می‌کنند
• چند عملکرد حفاظتی که در یک رک، پنل یا کنترلر متمرکز شده‌اند
• چند حفاظت که همگی به یک برنامه نگهداشت، یک پیمانکار یا یک روش آزمون یکسان وابسته‌اند
• وابستگی چند لایه به اقدام اپراتور در شرایطی با زمان محدود
• قرارگیری چند تجهیز حفاظتی در یک ناحیه با آسیب‌پذیری محیطی بالا
• وجود تغییرات فرایندی یا نرم‌افزاری بدون ارزیابی دقیق اثر بر همه لایه‌ها
• نبود شواهد روشن برای استقلال واقعی لایه‌ها

این نشانه‌ها به شما کمک می‌کنند پیش از حادثه، نقاط ضعف پنهان را ببینید.

چگونه ریسک خرابی با علت مشترک را کاهش دهیم؟

کنترل CCF فقط با اضافه کردن تجهیزات بیشتر حل نمی‌شود. راه‌حل حرفه‌ای این است که وابستگی مشترک را کاهش دهیم و استقلال واقعی ایجاد کنیم. برخی راهکارهای عملی عبارت‌اند از:

• استفاده از سنسورها، منطق‌ها و عملگرهای واقعاً مستقل برای لایه‌های مختلف
• تفکیک منابع انرژی و پیش‌بینی پشتیبان مؤثر
• جدا کردن فیزیکی تجهیزات حساس از نظر آتش، انفجار، سیلاب یا شرایط محیطی
• بازنگری در طراحی برای حذف نقاط شکست مشترک
• استفاده از آزمون‌ها و بازرسی‌های مستقل و معتبر
• کنترل دقیق مدیریت تغییر (Management of Change – MOC)
• کاهش اتکای بیش از حد به اقدام انسانی در سناریوهای سریع و بحرانی
• تحلیل منظم درس‌آموخته‌ها و شبه‌حوادث برای کشف الگوهای مشترک شکست

نکته کلیدی این است که هدف، افزایش صرف تعداد لایه‌ها نیست؛ هدف، افزایش کیفیت استقلال و تاب‌آوری لایه‌ها است.

یک مثال کاربردی: سناریوی سطح بالا در مخزن

فرض کنید در یک مخزن ذخیره، سناریوی افزایش بیش از حد سطح و سرریز بررسی می‌شود. حفاظت‌های موجود شامل این موارد هستند:

• نمایشگر سطح در اتاق کنترل
• آلارم سطح بالا
• اقدام اپراتور برای کاهش خوراک
• سامانه قطع خودکار در سطح خیلی بالا

در نگاه اول، این مجموعه چند لایه خوب به نظر می‌رسد. اما اگر نمایشگر سطح، آلارم سطح بالا و سامانه قطع خودکار همگی به یک ترانسمیتر سطح مشترک متکی باشند، خرابی همان ابزار می‌تواند سه دفاع را هم‌زمان بی‌اثر کند. در این وضعیت، تنها چیزی که باقی می‌ماند شاید تجربه اپراتور یا مشاهده غیرمستقیم باشد که آن هم ممکن است در زمان محدود کافی نباشد.

این مثال ساده نشان می‌دهد که بدون تحلیل خرابی با علت مشترک، ممکن است تعداد لایه‌ها را بیش از ارزش واقعی آن‌ها تصور کنیم.

برای انتخاب مسیر تخصصی مهندسی ایمنی فرآیند، چرا فهم CCF مهم است؟

اگر کسی بخواهد در حوزه مهندسی ایمنی فرآیند در صنعت نفت، گاز و پتروشیمی رشد کند، باید یاد بگیرد پشت ظاهر سیستم‌ها را ببیند. فهم خرابی با علت مشترک به شما کمک می‌کند:

• در جلسات HAZOP فقط فهرست‌بردار حفاظت‌ها نباشید، بلکه تحلیل‌گر وابستگی‌ها باشید
• در LOPA درباره استقلال لایه‌ها قضاوت مهندسی دقیق‌تری داشته باشید
• در بررسی حوادث، علت‌های سیستمی و مشترک را بهتر کشف کنید
• در طراحی و بازطراحی، نقاط شکست مشترک را کاهش دهید
• در مدیریت تغییر، اثر تغییرات بر چند لایه را هم‌زمان ببینید

به زبان ساده، هرچه زودتر این نوع نگاه سیستمی را در خودتان تقویت کنید، ارزش حرفه‌ای شما در ایمنی فرآیند بیشتر می‌شود. چون بسیاری از خطاهای بزرگ، از ندیدن همین وابستگی‌های پنهان شروع می‌شوند.

خطاهای رایج تحلیل‌گران در برخورد با خرابی با علت مشترک

در پروژه‌ها و مطالعات صنعتی، چند خطای پرتکرار دیده می‌شود:

• فرض استقلال لایه‌ها بدون بررسی واقعی
• اعتماد بیش از حد به تعداد اسمی حفاظت‌ها
• ندیدن وابستگی مشترک به ابزار، برق، نرم‌افزار یا اپراتور
• محدود کردن CCF فقط به تجهیزات و نادیده گرفتن عامل انسانی
• استفاده از داده‌های قابلیت اطمینان بدون توجه به شکست‌های مشترک
• بی‌توجهی به اثر شرایط محیطی و جانمایی فیزیکی
• نادیده گرفتن اثر مدیریت تغییر و تعمیرات مشابه بر چند لایه

اگر این خطاها اصلاح نشوند، تحلیل ایمنی ظاهراً حرفه‌ای خواهد بود، اما از نظر تصمیم‌سازی، می‌تواند خطرناک و گمراه‌کننده باشد.

جمع‌بندی نهایی

خرابی با علت مشترک یکی از مهم‌ترین مفاهیمی است که نشان می‌دهد چرا در ایمنی فرآیند، فقط شمردن لایه‌های حفاظتی کافی نیست. ممکن است چند لایه روی کاغذ وجود داشته باشد، اما یک علت مشترک باعث شود همه آن‌ها در لحظه نیاز هم‌زمان بی‌اثر شوند. این موضوع مستقیماً بر کیفیت HAZOP، LOPA، طراحی، بهره‌برداری، مدیریت تغییر و تحلیل حوادث اثر می‌گذارد.

برای ورود حرفه‌ای به مسیر مهندسی ایمنی فرآیند، باید یاد بگیرید که به‌جای دیدن «تعداد حفاظت‌ها»، به «استقلال واقعی، نقاط شکست مشترک و تاب‌آوری سیستم» نگاه کنید. این همان نوع تفکری است که یک متخصص واقعی ایمنی فرآیند را از یک تحلیل‌گر صرفاً اسمی جدا می‌کند.

تمرین‌ها و تکالیف پیشنهادی

1. تمرین مفهومی: سه مثال از خرابی مستقل و سه مثال از خرابی با علت مشترک در یک واحد فرایندی فرضی بنویسید و تفاوت آن‌ها را توضیح دهید.
2. تمرین تحلیلی: یک سناریوی ساده مانند سرریز مخزن، فشار بالا در جداکننده یا دمای بالای راکتور را انتخاب کنید و لایه‌های حفاظتی آن را فهرست کنید. سپس بررسی کنید کدام لایه‌ها به ابزار، برق، منطق یا اپراتور مشترک وابسته‌اند.
3. تمرین HAZOP: برای یک انحراف، جدولی با ستون‌های «علت»، «پیامد»، «حفاظت موجود»، «وابستگی مشترک»، «ریسک CCF» و «اقدام اصلاحی» تهیه کنید.
4. تمرین LOPA مقدماتی: یک لایه حفاظتی را انتخاب کنید و توضیح دهید تحت چه شرایطی به دلیل خرابی با علت مشترک، دیگر نمی‌توان آن را یک لایه مستقل معتبر در نظر گرفت.
5. تمرین میدانی: اگر به یک سایت یا مدارک فرایندی دسترسی دارید، یک تجهیز اصلی را انتخاب کنید و منابع مشترک بین لایه‌های حفاظتی آن مانند برق، هوای ابزار دقیق، سنسور، کنترلر و اقدام انسانی را شناسایی کنید.
6. تمرین عوامل انسانی: یک سناریو تعریف کنید که در آن یک خطای انسانی یا یک رویه ضعیف بتواند هم‌زمان چند حفاظت را تضعیف کند. سپس راهکار کنترلی پیشنهاد دهید.
7. تکلیف توسعه حرفه‌ای: یک حادثه واقعی صنعتی را مطالعه کنید و تحلیل کنید آیا خرابی با علت مشترک در شکست لایه‌های حفاظتی آن نقش داشته است یا خیر.
   

   ترتیب مقالات پیشنهادی سیستم های حفاظتی:

   1. الزامات جانمایی واحد های صنعتی

   2. جانمایی واحدهای صنعتی با ملاحظات ایمنی

   3. آموزش رایگان تعیین حریم ایمن تجهیزات فرایندی

   4. چرا باید مناطق مستعد حریق و انفجار را طبقه بندی کنیم؟

   5. رویکرد شرکت ملی گاز در تعیین مناطق مستعد حریق و انفجار

   6. بهینه سازی چیدمان آشکارسازهای گاز و آتش F&G در صنایع فرآیندی

   7. تفاوت حفاظت‌های غیرفعال، فعال و رویه‌ای در ایمنی فرآیند چیست؟

   8. سیستم‌های حفاظتی در ایمنی فرآیند دقیقاً چه نقشی دارند؟

   9. تفاوت کنترل فرایندی، آلارم، اینترلاک و سیستم Shutdown چیست؟

   10. SIS چیست و چرا نباید آن را صرفاً یک تجهیز کنترلی ببینیم؟

   11. مدیریت آلارم چگونه از حوادث فرایندی پیشگیری می‌کند

   12. سیستم‌های تخلیه و رهاسازی فشار چه نقشی در کنترل ریسک فرایندی دارند؟

   13. مکانیزم خوردگی و نیاز به حفاظت کاتدیک مخازن

   14. حفاظت مخازن در برابر صاعقه

   15. چگونه اثربخشی لایه‌های حفاظتی را ارزیابی کنیم؟

   16. چگونه خرابی با علت مشترک، چند لایه حفاظتی را هم‌زمان از کار می‌اندازد؟

   17. چرا نباید بیش از حد به سیستم‌های حفاظتی اعتماد کرد؟

   18. چگونه ضعف لایه‌های حفاظتی پیش از حادثه شناسایی می‌شود؟

   19. چرا سلامت سیستم‌های حفاظتی فقط مسئولیت ابزار دقیق نیست؟

   20. نقش مهندس ایمنی فرآیند در ارزیابی و بازبینی سیستم‌های حفاظتی چیست؟