خطای رایج: چرا نبود حادثه به معنی ایمن بودن فرآیند نیست؟

سناریوی عملیاتی فرآیندی

محیط: یک سکوی تولیدی در میدان چندسکویی، دارایی قدیمی (Brownfield)، فشار تولید بالاست و پیمانکار جدید برای کارهای مکانیکی شبانه وارد شده.

رویدادهای ظاهراً «کوچک» طی ۱۰ روز:

یک آلارم فشار/دبی در CCR هر شیفت چند بار می‌آید و اپراتورها با یک اقدام روتین آن را “ساکت” می‌کنند چون «همیشه همین است».
تکنسین میدان بوی هیدروکربنِ خفیف در نزدیکی یک skid احساس می‌کند، اما چون نشتی قابل‌دید نیست و LEL روی گازسنج دستی صفر/نزدیک صفر نشان می‌دهد، موضوع را “احتمالاً تهویه/باد” فرض می‌کند.
در یکی از تغییرشیفت‌ها، اختلاف روایت ایجاد می‌شود: میدان می‌گوید «صدای غیرعادی نیست»، CCR می‌گوید «ترند نوسان دارد»؛ هر دو طرف نتیجه می‌گیرند «فعلاً چیزی نیست».
یک تغییر موقت در خط‌کشی/مسیر یک drain به‌خاطر تعمیرات، “برای چند روز” انجام شده اما عملاً وارد هفته دوم شده است.

نتیجه: در یک شبِ کار پیمانکار، با یک نوسان فرآیندی (نه الزاماً یک خرابی بزرگ)، یک اتصال/فلنج که از قبل در حال ضعیف‌شدن بوده وارد ناحیه نشت می‌شود. نشت محدود شروع می‌شود، بخار/مه هیدروکربنی در مسیر باد به سمت یک منبع جرقه/سطح داغ می‌رود و زنجیره Loss of Containment به آتش سریع تبدیل می‌شود.

نکته کلیدی: تا قبل از آن شب، “حادثه‌ای رخ نداده بود” و همین موضوع به‌اشتباه به‌عنوان «پس فرآیند امن است» تفسیر شده بود.

بخش 1: مسئله واقعی چیست؟

اشتباه رایج در عملیات این است که نبود حادثه را معادل سلامت فرآیند می‌گیریم. در ایمنی فرآیندی، این دو یکی نیستند.

نبود حادثه یعنی زنجیره حادثه هنوز کامل نشده؛ نه اینکه عوامل شکل‌دهنده آن وجود ندارند. خیلی از سناریوهای حادثه بزرگ، مدت‌ها قبل با نشانه‌های کم‌صدا شروع می‌شوند: آلارم‌های تکراری، نشت‌های خفیف، موقتیِ طولانی‌شده، تناقض در handover، یا ضعف تدریجی در barrierها.

در ایمنی شغلی ممکن است «روز خوب» یعنی هیچ آسیبی به نفرات نرسیده؛ اما در ایمنی فرآیندی “روز خوب” زمانی است که barrierها سالم بوده‌اند و وضعیت‌های غیرعادی درست دیده و درست مدیریت شده‌اند—حتی اگر هیچ اتفاقی هم نیفتاده باشد.

بخش 2: چگونه خطر شکل می‌گیرد؟

حوادث بزرگ معمولاً یک “یکباره” نیستند؛ یک زنجیره هستند. آنچه شما در میدان یا CCR می‌بینید معمولاً ابتدای همان زنجیره است.

یک مدل ذهنی ساده برای خط مقدم:

نشانه ضعیف (Weak Signal): چیزی «خارج از الگوی سالم» دیده/شنیده/بو می‌شود یا در ترند/آلارم تکرار می‌شود.
توضیح راحت (Comfortable Explanation): «همیشه همین بوده»، «سنسور مشکل دارد»، «باد جهتش عوض شده»، «پیمانکار تازه‌کار است»، «فقط یک قطره است».
عادی‌سازی انحراف: نشانه تکرار می‌شود و تبدیل به “نرمال جدید” می‌گردد.
تضعیف barrier: یکی از لایه‌های محافظتی (فنی/کنترلی/عملیاتی) کمتر قابل اتکا می‌شود.
محرک کوتاه (Trigger Event): یک تغییر شیفت بد، یک restart، یک SIMOPS، یک کار شبانه، یا یک نوسان فرآیندی.
Loss of Containment / Escalation: همان ضعفی که مدت‌ها “کوچک” بود، در لحظه محرک تبدیل به نشت/آتش/انفجار یا انتشار سمی می‌شود.

نکته: بسیاری از این مراحل، قبل از حادثه بزرگ هیچ “آسیب نفراتی” تولید نمی‌کنند. بنابراین آمار «بدون حادثه» ممکن است بالا باشد، اما سلامت barrier پایین.

بخش 3: برداشت‌های اشتباه رایج

برداشت اشتباه 1: «چون تجهیز هنوز کار می‌کند، پس فرآیند سالم است»

اصلاح: کار کردن تجهیز یعنی خروجی/کارکرد هنوز برقرار است؛ اما “سلامت فرآیند” یعنی کنترل ریسک همچنان قابل اتکاست. ممکن است پمپ کار کند ولی آب‌بندی/اتصالات/مسیر drain/تهویه/مدیریت آلارم یا کیفیت جداسازی در حال افت باشد و فقط هنوز به نقطه شکست نرسیده.

برداشت اشتباه 2: «اگر نشتی کوچک باشد، خطر بزرگ نیست»

اصلاح: اندازه نشتی همیشه معیار خطر نیست؛ مکان، جهت باد، وجود ignition source، نوع سیال، و وضعیت barrierهای بعدی تعیین‌کننده‌اند. نشت کوچک اگر در جای غلط و زمان غلط رخ دهد می‌تواند شروع یک سناریوی بزرگ باشد.

برداشت اشتباه 3: «آلارم تکراری یعنی آلارم بد/سنسور بد، پس بی‌ارزش است»

اصلاح: آلارم تکراری دو احتمال دارد: (۱) مشکل در ابزار دقیق/تنظیمات، (۲) مشکل واقعی در رفتار فرآیند. هر دو برای ایمنی فرآیندی مهم‌اند، چون در هر دو حالت شما دارید یک سروصدا را به‌جای یک هشدار تجربه می‌کنید و این مستقیماً توان تشخیص شما را کم می‌کند. نتیجه عملی: در زمان نیاز، ممکن است آلارم واقعی را هم “مثل همیشه” فرض کنید.

برداشت اشتباه 4: «اگر گازسنج چیزی نشان نمی‌دهد، پس بویی که حس کردم واقعی نیست»

اصلاح: ابزار و حس انسان هرکدام محدودیت دارند. صفر خواندن گازسنج لزوماً نفی خطر نیست؛ ممکن است نقطه نمونه‌برداری غلط باشد، جریان هوا گاز را پخش کند، یا نشت در لحظه اندازه‌گیری وجود نداشته باشد. بوی غیرعادی یک نشانه است، نه اثبات. کار شما اثبات یا تحلیل نیست؛ کار شما بالا بردن پرچم و ارجاع درست است.

برداشت اشتباه 5: «اگر ۶ ماه حادثه نداشتیم، پس سیستم خوب کار می‌کند»

اصلاح: “عدم حادثه” شاخص دیررس است. ممکن است سیستم فقط خوش‌شانس بوده یا بار ریسک در حال جمع‌شدن باشد. شاخص‌های مقدم (Leading) برای خط مقدم معمولاً شکل “نشانه‌های غیرعادی و تکرارشونده” دارند—همان چیزهایی که اگر ثبت و ارجاع نشوند، در KPIهای ظاهراً خوب پنهان می‌مانند.

بخش 4: چه چیزهایی را باید در میدان یا CCR جدی گرفت؟

این‌ها مثال‌هایی از نشانه‌های قابل مشاهده/شنیداری/بویایی/محیطی/اطلاعاتی هستند که برای خط مقدم معنی‌دارند. هدف این لیست این نیست که شما تشخیص تخصصی بدهید؛ هدف این است که بدانید چه چیزی “عادی نیست” و باید پیگیری/ارجاع شود.

نشانه‌های میدان (Field)

بو: بوی هیدروکربن، حلال، “شیرین/ترش” غیرمعمول، یا بویی که فقط در بعضی جهت‌های باد حس می‌شود.
صدا: سوت/هیس پیوسته (احتمال leak)، ضربه‌های تناوبی، تغییر الگوی صدای کمپرسور/پمپ، صدایی که با بار تغییر می‌کند.
دیداری: مه/هاله در نور پروژکتور شب، لکه تازه روی عایق/رنگ، خیس‌شدگی غیرعادی، “یخ‌زدگی” موضعی روی لاین (در سرویس‌های خاص)، پاشش روی tray یا grating.
حرارتی: احساس گرمای غیرعادی نزدیک تجهیز/لاین، یا داغ‌شدن غیرمنتظره یک سطح در مسیر عبور.
محیطی: تغییر جهت باد، تهویه ضعیف در یک ناحیه، بسته بودن غیرعادی در/لوور، کار همزمان که مسیرهای فرار/دسترسی را محدود کرده.
رفتار تجهیز: نشتی‌های “خیلی کوچک ولی تکرارشونده”، آب‌بندی‌هایی که “هر چند وقت یکبار” نم می‌زنند، drainهایی که “گاهی” بو می‌دهند.

نشانه‌های CCR / Control Room

آلارم‌های تکراری یا آلارم‌های خوشه‌ای (Burst): مخصوصاً اگر اپراتورها برای آرام‌کردن صفحه به اقدامات روتین پناه می‌برند.
ترندهای نوسانی: بالا/پایین رفتن‌های غیرمعمول که با تغییرات عملیات (شیفت، تغییر خوراک، تغییر حالت تجهیز) همزمان است.
اختلاف بین “آنچه باید باشد” و “آنچه هست”: مثلاً چیزی در منطق کنترل “در حالت پایدار” فرض شده ولی در عمل دائم در محدوده ناپایدار می‌چرخد.
تغییر در کیفیت داده: سنسوری که “گاهی” می‌پرد، سیگنال پرش دارد، یا با وضعیت میدان همخوانی ندارد.
تناقض روایت میدان و CCR: CCR نوسان می‌بیند، میدان چیزی حس نمی‌کند؛ یا میدان بو حس می‌کند، CCR چیزی نمی‌بیند. این تناقض خودش یک Trigger است.

منطق تشخیص و واکنش اولیه

هدف: شما قرار نیست علت‌یابی یا تصمیم تولید بگیرید. شما باید بین “نشانه” و “تصمیم تخصصی” یک مسیر درست بسازید.

تشخیص کن که این یک نشانه است، نه یک “مزاحمت”. Triggerهای رایج: تکرار، تغییر الگو، تناقض روایت، یا وابستگی به شرایط (شب/باد/بار/شیفت).
توصیف دقیق و کوتاه ثبت کن: کجا؟ کی؟ چه دیدی/شنیدی/بو کردی؟ در چه شرایطی؟ یک جمله کافی است.
همپوشانی کن: اگر میدان هستی، با CCR چک کن ترند/آلارم هم هست یا نه. اگر CCR هستی، از میدان تأیید بگیر که نشانه محیطی/صوتی/بو وجود دارد یا نه.
ارجاع به مسیر درست: به Supervisor/Shift Lead/Offshore HSE طبق روش سایت. موضوع را “ایمنی فرآیندی/پیشگیری از حادثه بزرگ” برچسب بزن، نه “یک ایراد کوچک”.
تا زمان پاسخ، فرض را بر بی‌خطر بودن نگذار. یعنی نه بزرگنمایی کن، نه کوچک‌نمایی. فقط نشانه را باز نگه دار و پیگیری کن که گم نشود.

قانون عملیاتی ساده: اگر برای آرامش خودت مجبور شدی یک توضیح راحت بسازی («همیشه همین است»)، همان لحظه احتمالاً باید گزارش کنی.

بخش 5: تفاوت مشاهده نشانه با تصمیم تخصصی

در خط مقدم، نقش شما دیدن و متوقف‌کردن عادی‌سازی انحراف است؛ نه تحلیل طراحی و نه تصمیم‌گیری درباره ادامه تولید.

مشاهده نشانه یعنی ثبت چیزی که از “الگوی سالم” خارج است: بو، صدا، ترند، آلارم، نشت، یا تناقض اطلاعات. این در اختیار شماست و باید انجام شود.

تصمیم تخصصی یعنی تعیین علت، ارزیابی پیامد، انتخاب اقدام فنی/عملیاتی، یا تصمیم درباره محدودکردن/توقف/ادامه تولید. این تصمیم باید در سطح مسئولیت‌های تعیین‌شده سایت (Supervision/Engineering/Operations Management) گرفته شود.

خطر زمانی ایجاد می‌شود که کسی بین این دو پل نزند: نشانه دیده می‌شود اما چون “تصمیم تخصصی” دست ما نیست، نشانه هم گزارش نمی‌شود. این دقیقاً همان نقطه‌ای است که فرآیند از شما ضربه می‌خورد.

بخش 6: چرا در شرایط فشار، راه‌اندازی، توقف، SIMOPS یا تغییر شیفت موضوع بدتر می‌شود؟

در این شرایط، نشانه‌ها راحت‌تر پنهان می‌شوند چون “توضیح‌های آماده” زیاد است و سیستم تمرکز را از سلامت barrier به سمت خروجی تولید می‌برد.

راه‌اندازی/Restart: رفتار فرآیند گذراست، نوسان “طبیعی به نظر می‌رسد”، و آلارم‌ها زیاد می‌شوند. در این محیط، نشانه واقعی راحت‌تر در نویز گم می‌شود.
توقف/Shutdown: مسیرهای drain/vent فعال‌تر می‌شوند و رهاسازی‌های کنترل‌شده یا نیمه‌کنترل‌شده می‌تواند با نشانه نشتی اشتباه گرفته شود—یا برعکس، نشتی واقعی پشت عنوان “در حال shutdown هستیم” پنهان شود.
SIMOPS: همزمانی کارها (عملیات + تعمیرات + پیمانکار) باعث می‌شود تغییرات موقت زیاد شود و مرز مالکیت موضوعات مبهم گردد: “این کار کی است؟ عملیات یا پیمانکار؟” همین ابهام دشمن گزارش‌دهی است.
تغییر شیفت: اگر handover فقط “کارهای انجام‌شده” را بگوید و “نشانه‌های ناتمام” را منتقل نکند، نشانه‌ها هر شیفت ریست می‌شوند و هیچ‌وقت به اقدام مناسب نمی‌رسند.
کار شبانه: دید محدود، اتکا به نور، خستگی، و کاهش دسترسی سریع به نفرات کلیدی باعث می‌شود تصمیم‌های کوچک و فرضیات راحت بیشتر شوند.
پیمانکار جدید: زبان مشترک کمتر است، نشانه‌ها بد منتقل می‌شوند، و افراد تازه‌وارد ممکن است از گزارش کردن بترسند یا برعکس، گزارش‌ها را کسی جدی نگیرد.

چک‌لیست 5 سؤالی آگاهی فرآیندی

چه چیزی نسبت به “الگوی سالم” فرق کرده؟ (نه نسبت به “دیروز”، نسبت به “سالم”)
این نشانه تکراری است یا وابسته به شرایط خاص؟ (باد/بار/شیفت/شب/حالت گذرا)
آیا بین میدان و CCR تناقض اطلاعات داریم؟ اگر بله، خودِ تناقض را گزارش کن.
کدام barrier ممکن است در حال ضعیف شدن باشد؟ لازم نیست دقیق بدانی؛ حدس عملیاتی کافی است (مثلاً نشتی/کنترل/آلارم/تهویه/ایزولاسیون).
این موضوع اگر بدتر شود، اولین پیامد بزرگش چیست؟ (نشت، آتش، انتشار سمی، از دست رفتن کنترل) فقط برای جهت‌دهی به اهمیت گزارش.

بخش 7: چه زمانی باید مکث، سؤال یا گزارش کرد؟

این بخش توصیه‌های “Triggerمحور” است؛ یعنی اگر این نشانه‌ها را دیدید، اقدام شما مکث/سؤال/گزارش/ارجاع است—نه تغییر وضعیت تجهیز و نه تصمیم تولید.

اگر یک آلارم در هر شیفت تکرار می‌شود و پاسخ شما تبدیل به حرکت روتین شده: مکث کن، از CCR/سوپروایزر بپرس «این آلارم چرا نرمال شده؟» و آن را به‌عنوان موضوع ایمنی فرآیندی ارجاع بده.
اگر بوی هیدروکربن/مه/هاله در نور را می‌بینی—even اگر عددی نداری: گزارش کن، موقعیت و شرایط باد/تهویه را بگو، و درخواست همپوشانی با CCR/گازسنجی هدفمند بده.
اگر نشتی “کم ولی تکرارشونده” است: آن را “کوچک” تعریف نکن؛ تکرار یعنی روند. گزارش را با جمله کوتاه بساز: «نشتی تکراری در نقطه X، در دو شیفت اخیر، تحت بار Y/شرایط Z دیده شد».
اگر تغییر موقت از چند روز عبور کرده و کسی مالک آن نیست: مکث کن و بپرس «این تغییر هنوز موقت است یا تبدیل به وضعیت جدید شده؟ مالک و تاریخ بازگشت چیست؟»
اگر روایت میدان و CCR با هم نمی‌خواند (یکی بو می‌گوید، دیگری ترند): مکث کن. به‌جای نتیجه‌گیری، تناقض را گزارش کن.
اگر در SIMOPS یا کار شبانه مسیرهای دسترسی/فرار محدود شده یا تداخل کارها زیاد است: هر نشانه ضعیف را “بالاتر” ارجاع بده چون ظرفیت پاسخ پایین‌تر است.

جمله استاندارد برای گزارش (قابل استفاده در رادیو/لاگ): «یک نشانه غیرعادی مرتبط با ایمنی فرآیندی مشاهده شد: [چی] در [کجا] در [چه شرایطی]. درخواست بررسی/پیگیری طبق مسیر شیفت.»

بخش 8: ارتباط موضوع با پیشگیری از حادثه بزرگ

حوادث بزرگ معمولاً در گزارش‌های بعدی با واژه‌هایی مثل “نشانه‌های قبلی وجود داشت” توصیف می‌شوند. این نشانه‌ها همان چیزهایی‌اند که در روزمره “کوچک” می‌شوند.

اگر شما فقط یک کار انجام دهید—اینکه نشانه را از حالت عادی خارج کنید و آن را به مسیر رسمی گزارش/پیگیری ببرید—عملاً دارید یک barrier انسانی-سیستمی را فعال می‌کنید: تشخیص زودهنگام و جلوگیری از تکمیل زنجیره Loss of Containment.

این کار، قهرمان‌بازی نیست؛ یک اقدام سیستم‌ساز است: اطلاعات ضعیف را قبل از تبدیل به حادثه، قابل دیدن می‌کند.

جمع‌بندی عملیاتی

عدم حادثه = فقط یعنی زنجیره هنوز کامل نشده.
سلامت فرآیند = یعنی barrierها قابل اتکا هستند و نشانه‌های غیرعادی گم نمی‌شوند.
هر وقت مجبور شدی بگویی «همیشه همین است»، آن جمله را به‌عنوان Trigger گزارش بشناس.
کار تو تشخیص تخصصی نیست؛ کار تو ثبت نشانه، همپوشانی اطلاعات میدان/CCR، و ارجاع درست است.