آموزش کاربردی مدل Bowtie در تحلیل حوادث پالایشگاهی (RCA)
در مجتمع‌های پالایشگاهی پارس جنوبی که با سیالات به شدت سمی و اشتعال‌پذیر مانند گاز ترش (H₂S) و میعانات گازی سروکار دارند، فهم دقیق اینکه چگونه یک انحراف عملیاتی از سدهای دفاعی عبور می‌کند، حیاتی است. مدل پاپیونی (Bow-Tie Analysis)، یک ابزار قدرتمند برای تجسم ارتباط بین خطر، علل، رویداد میانی، پیامدها و لایه‌های حفاظتی (Barriers) است. در این مقاله می‌آموزیم که چگونه از این ابزار نه تنها برای ارزیابی ریسک پیشگیرانه، بلکه برای کالبدشکافی حوادث رخ‌داده (Incident Investigation)، کشف ضعف‌های یکپارچگی مکانیکی (Mechanical Integrity) و تعریف اقدامات اصلاحی (CAPA) بدون تله مقصرتراشی استفاده کنیم.
برای درک بهتر پیوستگی وقایع پیش از وقوع رویداد، اکیداً توصیه می‌شود ابتدا مقاله پیشین: تحلیل «تئوری دومینو» و زنجیره خطا را مطالعه کنید. مدل Bowtie در واقع فرمت بسط‌یافته و مهندسی‌شده‌ای از زنجیره دومینوها با تمرکز ویژه بر موانع کنترلی است.
بر اساس رهنمودهای IOGP و CCPS، تحلیل حوادث نباید به یک گزارش متنی خشک محدود شود. مدل Bowtie با ارائه یک تصویر واحد، به تیم بررسی حادثه، مدیران سایت و بهره‌برداران نشان می‌دهد که در روز حادثه، دقیقاً کدام بخش از سیستم مدیریت ایمنی فرآیند (PSM) دچار فلج عملکردی شده است.
آناتومی مدل Bowtie در ایمنی فرآیند
ساختار Bowtie حول یک خطر ذاتی (Hazard) شکل می‌گیرد. در صنعت گاز، این خطر می‌تواند «گاز ترش محبوس در خط لوله با فشار ۱۰۰ بار» باشد. زمانی که کنترل بر این خطر از دست برود، رویداد میانی (Top Event) رخ می‌دهد که معمولاً در قالب نشت مواد خطرناک (Loss of Containment) یا انتشار مهارنشدنی انرژی تعریف می‌گردد.
سمت چپ مدل (گره پاپیون)، نمایانگر تهدیدات (Threats) یا عللی است که می‌توانند رویداد میانی را رقم بزنند؛ مانند خوردگی داخلی، شکست مکانیکی، یا باز شدن اشتباه یک شیر (نقص LOTO). سمت راست مدل، پیامدها (Consequences) را نشان می‌دهد؛ مانند مسمومیت پرسنل، آتش‌سوزی، انفجار (VCE) یا آسیب‌های زیست‌محیطی.
ارزش اصلی مدل در موانع یا لایه‌های حفاظتی (Barriers / Safeguards) است. موانع پیشگیرانه در سمت چپ قرار دارند تا مانع از رسیدن تهدید به Top Event شوند و موانع کاهنده (Mitigative) در سمت راست قرار می‌گیرند تا شدت پیامد را پس از وقوع نشتی کاهش دهند.
سفر یک حادثه در چارچوب Bowtie: از انحراف تا پیامد
سفر حادثه در مدل Bowtie با یک انحراف اولیه در سمت چپ آغاز می‌شود. فرض کنید تهدید ما «فشار بیش از حد ناشی از بسته شدن ناگهانی شیر خروجی» است. انحراف اولیه، عمل نکردن کنترلر فشار (PIC) است. در اینجا اولین لایه حفاظتی سقوط کرده و کنترل سیستم دچار چالش می‌شود.
انحراف ادامه می‌یابد و به لایه حفاظتی بعدی، یعنی شیر اطمینان (PSV)، می‌رسد. اگر به دلیل ضعف در برنامه‌های نگهداری پیشگیرانه (PM)، این شیر کالیبره نباشد و باز نشود (شکست کنترل)، رخداد میانی یا Top Event اتفاق می‌افتد: پارگی خط لوله و نشت گاز.
پس از رخداد، فاز پیامد آغاز می‌شود. در سمت راست Bowtie، آیا دتکتورهای گازی عمل می‌کنند؟ آیا سیستم F&G به درستی شیرهای قطع اضطراری (ESDV) را می‌بندد؟ اگر این موانع نیز شکست بخورند، سفر حادثه در ایستگاه نهایی خود یعنی پیامد فاجعه‌بار (آتش‌سوزی یا تلفات جانی) متوقف می‌شود.
عوامل تشدیدکننده (Escalation Factors) و شکست لایه‌های دفاعی
یکی از مفاهیم حیاتی در تحلیل ریشه‌ای (Root Cause Analysis – RCA) با مدل Bowtie، فاکتورهای تشدیدکننده است. این فاکتورها، شرایطی هستند که مستقیماً باعث حادثه نمی‌شوند، اما باعث تضعیف یا از بین رفتن یک Barrier می‌گردند. برای مثال، «انجام ندادن کالیبراسیون دوره‌ای» یک عامل تشدیدکننده برای لایه حفاظتی دتکتور گاز است.
تیم بررسی حادثه هنگام جمع‌آوری شواهد باید بپرسد: چرا Barrier روز حادثه عمل نکرد؟ آیا در حالت Bypass قرار داشت؟ آیا فرهنگ گزارش‌دهی ناکارآمد باعث پنهان ماندن نقص آن شده بود؟ پاسخ به این سوالات، ما را به سمت علل سازمانی و مدیریتی سوق می‌دهد.
توقف تحلیل در عبارت‌هایی مانند بی‌احتیاطی اپراتور، عدم توجه یا خطای انسانی، تحلیل علت ریشه‌ای محسوب نمی‌‌شود و باید علت ایجاد آن رفتار نیز بررسی شود. در مدل Bowtie، خطای اپراتور تنها یک عامل تشدیدکننده (Escalation Factor) است که یک مانع اداری (Administrative Barrier) را از کار می‌اندازد. وظیفه شما پیدا کردن نقص سیستماتیک (مانند بارکاری بالا یا طراحی نامناسب) است که این خطا را رقم زده است.
ادغام Bowtie با تحلیل ریشه‌ای و تدوین CAPA
پس از ترسیم Bowtie برای حادثه رخ‌داده، مسیرهای شکست‌خورده با رنگ قرمز مشخص می‌شوند. این نقشه بصری به مدیریت نشان می‌دهد که برای جلوگیری از تکرار، باید اقدامات اصلاحی و پیشگیرانه (CAPA) را دقیقاً در کجا متمرکز کند. جدول زیر نمونه‌ای از خروجی تحلیل یک Near Miss با پتانسیل بالا است:
| رویداد (Top Event) | علت مستقیم (تهدید) | علت زمینه‌ای (Escalation Factor) | علت ریشه‌ای (Root Cause) | Barrier شکست‌خورده | CAPA پیشنهادی |
|---|---|---|---|---|---|
| نشت گاز از فلنج مبدل حرارتی | گشتاور نامناسب پیچ‌ها حین اورهال | فشار زمانی برای راه‌اندازی، استفاده از آچار معمولی به جای ترکمتر | نقص در فرآیند مدیریت پیمانکاران، ضعف نظارت سیستم PTW | کنترل کیفیت نصب (QA/QC)، چک‌لیست پیش‌راه‌اندازی (PSSR) | الزامی شدن تأییدیه گشتاور (Torque Certificate) در پرمیت، افزایش نسبت ناظر به کارگر در تعمیرات اساسی |
رصد داده‌هایی نظیر نرخ تکرار حوادث مرتبط با شکست سیستم LOTO یا افزایش Near Miss Frequency، به عنوان شاخص‌های پیشرو (Leading Indicators) عمل می‌کنند. اگر متوجه شدید درصد اقدامات اصلاحی معوق (Overdue CAPAs) مرتبط با یک Barrier خاص بالاست، آن لایه حفاظتی در مدل Bowtie عملاً بی‌ارزش و صوری است.
مقاله بعدی از این دسته: گزارش‌نویسی فنی و مستندسازی یافته‌ها
سناریوی تمرین میدانی (Field Exercise): حادثه در واحد تثبیت میعانات گازی
شرح مختصر حادثه:
تکنسین ابزار دقیق برای کالیبراسیون یک ترانسمیتر سطح (LT) روی درام میعانات گازی اعزام می‌شود. پرمیت صادر شده اما ایزولاسیون مکانیکی (LOTO) به صورت کامل انجام نشده و شیر روت (Root Valve) دارای نشتی (Passing) است. تکنسین هنگام باز کردن تیوبینگ، با فوران میعانات پرفشار مواجه می‌شود (Top Event). دتکتور گاز منطقه در حالت غیرفعال (Inhibited) قرار دارد. سیال روی یک الکتروموتور با استاندارد ضدجرقه نامناسب (EX-Proof Defect) پاشیده و شعله‌ور می‌شود. سیستم اطفای حریق (Deluge Valve) با تاخیر عمل می‌کند.
شواهد و مستندات:
– اپراتور سایت اذعان می‌کند به دلیل کمبود نفرات در شیفت، شیرها را با عجله بسته و درین کامل خط را بررسی نکرده است.
– سوابق نشان می‌دهد دتکتور گاز روز قبل به دلیل آلارم کاذب (Spurious Trip) توسط واحد بهره‌برداری غیرفعال شده است (نقص MOC).
– موتور الکتریکی ماه گذشته توسط پیمانکار تعویض شده اما گواهینامه بازرسی EX آن در سیستم بایگانی نشده است.
سوالات تحلیلی برای تیم بررسی حادثه (شما پاسخ دهید):
- ۱. در این سناریو، Top Event چیست و چه تهدیداتی (Threats) سمت چپ مدل Bowtie را فعال کرده‌اند؟
- ۲. کدام موانع پیشگیرانه (Preventive Barriers) و کدام موانع کاهنده پیامد (Mitigative Barriers) شکست خورده‌اند؟
- ۳. با تمایز بین «علت» و «علت ریشه‌ای»، چرا غیرفعال کردن دتکتور گاز یک خطای صرفاً فردی نیست، بلکه ریشه در نقص فرآیند Bypass Management دارد؟
- ۴. عوامل تشدیدکننده (Escalation Factors) که باعث شکست اجرای LOTO و عملکرد سیستم اطفای حریق شده‌اند، کدامند؟
- ۵. برای بازگرداندن یکپارچگی سیستم، چه CAPA ای را برای کنترل کارهای تعمیراتی روی تجهیزات EX پیشنهاد می‌دهید و چگونه اثربخشی آن را پایش می‌کنید؟
جمع‌بندی فنی و سیستمی
استفاده از مدل Bowtie در تحلیل حوادث، یک تغییر پارادایم اساسی در بررسی‌های HSE پالایشگاهی است. این مدل به وضوح نشان می‌دهد که حوادث، نتیجه مقطعی خطای یک فرد نیستند؛ بلکه حاصل فرسایش تدریجی موانع دفاعی سازمان در طول زمان می‌باشند.
ارزش واقعی بررسی حادثه با Bowtie، در تعداد موانع شناسایی‌شده روی کاغذ نیست؛ بلکه در تضمین سلامت، کارکرد و استقلال این لایه‌های حفاظتی در سایت است. اگر درس‌آموخته‌ها (Lessons Learned) منجر به تقویت فاکتورهای کنترل‌کننده (MOC، PTW، آموزش و نگهداری) نشوند، سازمان صرفاً در حال ثبت تاریخچه شکست‌های خود است و منتظر فاجعه بعدی خواهد ماند.
دیدگاهتان را بنویسید
برای نوشتن دیدگاه باید وارد بشوید.