تحلیل شکست موانع در حوادث ایمنی فرایند
هدف این درس، توانمندسازی تیم بررسی رخداد برای فراتر رفتن از مقصریابی فردی و هدایت تمرکز به سمت «وضعیت لایه‌های حفاظتی» است. خواننده پس از مطالعه این راهنما می‌آموزد که چگونه شواهد میدانی و داده‌های ثبت‌شده را به نقشه موانع پیشگیرانه و تخفیف‌دهنده متصل کند، نوع شکست هر مانع (طراحی، فرسایش، یا دور زدن) را تمیز دهد و ضعف‌های زمینه‌ای در نگهداری، آموزش و تصمیم‌های مدیریتی را آشکار سازد.
مخاطبان و پیش‌نیاز: این محتوا برای اعضای تیم‌های ارزیابی رخداد، کارشناسان ایمنی فرایند، روسای نوبت‌کاری و مهندسان بهره‌برداری طراحی شده است. پیش‌نیاز ورود به این بحث، آشنایی با طبقه‌بندی تجهیزات بحرانی ایمنی (SCE) و توانایی استخراج خط زمانی خام رویداد از روی سامانه‌های ثبت اطلاعات فرایندی است.
اهداف یادگیری شایستگی‌محور
از فراگیر انتظار می‌رود پس از پایان این درس بتواند:
- موانع فیزیکی (سخت) و انسانی-رویه‌ای (نرم) را در مسیر خط زمانی یک رویداد پالایشگاهی تفکیک و فهرست کند.
- شواهد عینی موجود در لاگ‌های سامانه DCS، گزارش‌های شیفت و وضعیت فیزیکی قطعات را با وضعیت شکست هر مانع تطبیق دهد.
- عوامل زمینه‌ای و سازمانی تضعیف‌کننده موانع را از خطاهای فعال نوک پیکان عملیات متمایز سازد.
- پیشنهادهای اصلاحی را به‌گونه‌ای تدوین کند که مستقیماً قابلیت اطمینان و پایش‌پذیری مانع ازدست‌رفته را احیا نماید.
مفاهیم ضروری: کالبدشکافی لایه‌های حفاظتی
در مدیریت ایمنی فرایند، مانع (Barrier) هر اقدام فنی، سازه‌ای یا عملیاتی تعریف می‌شود که به تنهایی یا در ترکیب با سایر لایه‌ها، توان متوقف‌سازی توالی رویداد یا مهار پیامد آن را داشته باشد. مدل‌های پدافند در عمق، موانع را عموماً در دو دسته بزرگ تعریف می‌کنند: موانع سخت‌افزاری و مهندسی (مانند دیسک‌های شکست، شیرهای اطمینان، خاموشی اضطراری و دیواره‌های آتش) و موانع انسانی و اجرایی (مانند پایش دقیق آلارم‌ها، اجرای دقیق دستورالعمل هم‌راستاسازی خطوط و بازرسی ضخامت‌سنجی).
شکست موانع معمولاً به سه صورت خود را نشان می‌دهد: مانع اصلاً در طراحی اولیه دیده نشده است (نقص طراحی)، مانع وجود دارد اما به دلیل خرابی مکانیکی یا فقدان نگهداری در لحظه نیاز عمل نمی‌کند (عدم دسترسی)، یا مانع به دلیل تصمیم عملیاتی تحت‌فشار کاری غیرفعال شده است (دور زدن یا بای‌پس). در هیچ‌کدام از این حالت‌ها، فرد مقصر اصلی نیست؛ بلکه شرایط ایجادشده در بستر سازمان، شکست مانع را ممکن یا توجیه‌پذیر کرده است.
پایش سلامت این موانع نیازمند تعریف شاخص‌های پیشرو است. چنانچه فشارسنج معیوب ماه‌ها در انتظار کالیبراسیون رها شود یا سامانه اعلام حریق یک واحد به دلیل خطاهای کاذب مداوم ساکت گردد، موانع به اصطلاح دچار فرسایش خاموش (Barrier Decay) شده‌اند؛ حفره‌های نامرئی که تا لحظه وقوع انحراف فرایندی از دید پنهان می‌مانند.
سناریوی آموزشی فرضی: طغیان برج تفکیک و نشت از آب‌بند
تذکر: سناریوی زیر یک موقعیت آموزشی فرضی برای بازسازی استدلال کارآگاهی مبتنی بر شواهد است و به هیچ واحد یا پالایشگاه خاصی تعلق ندارد.
در یک واحد تقطیر در اتمسفر فرضی، به دنبال افزایش ناگهانی دمای خوراک ورودی کوره، سطح مایع در انتهای برج تفکیک اصلی شروع به افزایش غیرعادی می‌کند. جریان مایع سنگین کف برج به سمت پمپ‌های تخلیه هدایت می‌شود. حدود ۴۰ دقیقه پس از آغاز نوسان، نشتی شدیدی از آب‌بند مکانیکی (Mechanical Seal) پمپ الف رخ داده و ابر بخارات داغ هیدروکربنی به سرعت محوطه پمپاژ را فرامی‌گیرد. خوشبختانه با ورود سریع اپراتور نوبت‌کاری با تجهیزات کامل و فشردن کلید قطع اضطراری (ESD) از راه دور و پاشش سامانه مه آب، اشتعال رخ نمی‌دهد، اما تخلیه مایع داغ منجر به توقف اضطراری واحد می‌شود.
کارآگاهی مبتنی بر شواهد: جداسازی واقعیت از فرضیه
در نخستین ساعت‌های تشکیل جلسه، فرضیه اولیه گروه تعمیرات این بود: «اپراتور اتاق کنترل شیر خروجی را بیش از حد بسته و پمپ در حالت بسته (Deadhead) کار کرده و سیل تخریب شده است.» اما تیم بررسی رخداد موظف است با متدولوژی شکست موانع و تحلیل شواهد فیزیکی کار کند. شواهد ثبت‌شده به شرح جدول زیر ارزیابی شدند:
| مدرک و شاهد عینی | واقعیت اثبات‌شده | فرضیه تاییدنشده اولیه | تحلیل اثر بر مانع ایمنی |
|---|---|---|---|
| لاگ روند (Trend) رایانه کنترل فرایند (DCS) | آلارم سطح بالای مخزن (LAH) به صدا درآمده، اما آلارم سطح خیلی بالا (LAHH) غیرفعال بوده است. | اپراتور به آلارم‌ها توجهی نکرده است. | مانع هشدار لایه اول فعال شده، اما مانع حفاظتی لایه دوم (اینترلاک توقف) به دلیل درخواست قبلیِ بازبینی در وضعیت معلق بوده است. |
| بررسی فیزیکی پلان فلاش آب‌بند (Seal Flush Plan) | فیلتر جریان برگشتی خنک‌کننده به شدت مسدود و اختلاف فشار گیج فراتر از حد مجاز بوده است. | جنس الاستومر آب‌بند نامرغوب بوده است. | مانع کنترل دمای مکانیکی آب‌بند به علت عدم بازرسی دوره‌ای مسدود شده و شرایط تبخیر آنی سیال را مهیا ساخته است. |
| ثبت پیام‌های بی‌سیم محلی | اپراتور میدانی ۱۵ دقیقه قبل از حادثه لرزش غیرعادی را شفاهاً اعلام کرده اما فرم ثبت مغایرت پر نشده است. | گشت‌زنی میدانی انجام نشده است. | مانع انسانی (پایش حسی و توقف به‌موقع) به دلیل شفاف نبودن آستانه تصمیم‌گیری برای توقف پمپ شکست خورده است. |
نتیجه این ارزیابی نشان داد حادثه نه به خاطر یک اشتباه فردی، بلکه در اثر شکست زنجیره‌ای سه مانع هم‌پوشان رخ داده است: مانع نرم‌افزاری بازدارنده سطح بحرانی (اینترلاک بای‌پاس‌شده بدون اقدامات جبرانی)، مانع یکپارچگی مکانیکی (گرفتگی مسیر خنک‌کاری فلاشینگ سیل) و مانع رویه‌ای-اختیاری توقف عملیات (عدم وجود معیار مشخص برای توقف پمپ ناپایدار در شرایط نوسان خوراک).
دو مصداق صنعتی: از تاخیر در کالیبراسیون تا تحویل شیفت فشرده
برای درک ماهیت فراگیر زوال موانع در سایت‌های پالایشگاهی، به دو وضعیت محتمل زیر توجه کنید:
مصداق اول: تعویق بازرسی تجهیزات خاموش در تعمیرات اساسی (Overhaul). در زمان آماده‌سازی یک واحد گوگردزدایی، تعویض سوئیچ فشار تفاضلی یک فیلتر به دلیل تأخیر در تأمین قطعه یدکی به دوره بعدی موکول می‌شود. این تصمیم بر این فرض استوار است که «گیج محلی فشار وجود دارد و اپراتور آن را می‌خواند». در عمل، گردوغبار محیطی شیشه گیج را مات کرده و خواندن آن در شب دشوار است. در اینجا، یک مانع خودکار به یک مانع کاملاً انسانی و وابسته به بینایی تقلیل یافته، بدون اینکه ارزیابی ریسک مدیریت تغییر (MOC) برای این تنزل سطح حفاظتی انجام شده باشد.
مصداق دوم: تبادل اطلاعات ناقص حین جابه‌جایی نوبت‌کاری. شیفت روز یک شیر تخلیه دستی (Drain) در زیر بویلر را برای رفع عیب آب‌بندی باز کرده و به دلیل اتمام زمان کاری، تنها به درج یادداشت در گوشه تخته پیام بسنده می‌کند. شیفت شب با بار کاری بالای راه‌اندازی مشعل دوم مواجه می‌شود و دفتر ثبت را با شتاب امضا می‌کند. مانع رویه‌ای یعنی «فرم تحویل و تحول رسمی تجهیزات خارج از سرویس» به دلیل شتاب‌زدگی و فرهنگ تسهیل‌گری دور زده شده و خط محتوی سیال داغ با نخستین فرمان افزایش فشار دچار نشت محیطی می‌شود.
خطاهای بحرانی در تحلیل شکست موانع
هشدار تخصصی – لغزش‌های متداول کمیته‌های بررسی حادثه:
- سوگیری پس‌نگر (Hindsight Bias): قضاوت کردن اقدامات اپراتور با اطلاعاتی که پس از وقوع حادثه آشکار شده است؛ سرزنش کردن افراد برای ندیدن نشانه‌هایی که در زمان واقعی میان ده‌ها هشدار دیگر گم شده بودند.
- توقف در رده «خطای کاربری»: ثبت عبارت مبهم «بی‌احتیاطی نیروی انسانی» در گزارش رسمی و بستن پرونده با تجویز تکراری «برگزاری دوره آموزشی مجدد» به جای تحلیل چرایی شکست رویه‌ها یا سامانه‌های اعلان.
- برابر دانستن مانع کاغذی با مانع عملیاتی: اکتفا به وجود روش اجرایی تدوین‌شده در زونکن مستندات؛ بدون بررسی اینکه آیا پرسنل به ابزار، زمان کافی و شرایط ایمن برای اجرای بندبند آن دسترسی داشته‌اند یا خیر.
ابزار کاربردی: ماتریس ارزیابی یکپارچگی موانع پس از رخداد (PIBA)
ابزار زیر یک چارچوب استاندارد عملیاتی برای استفاده اعضای تیم تحقیق است تا وضعیت هر مانع درگیر در حادثه را به صورت موشکافانه ارزیابی کنند. این کاربرگ جایگزین رویه‌های رسمی مصوب سایت نیست و به عنوان ساختار تسهیل‌گر تحلیل به کار می‌رود:
| مرحله توالی رخداد | مانع مورد انتظار بر پایه طراحی | نوع مانع (فیزیکی / رویه‌ای) | وضعیت در زمان رویداد | عامل تضعیف‌کننده زمینه‌ای | اقدام اصلاحی جهت تقویت مانع |
|---|---|---|---|---|---|
| انحراف اولیه فشار / دما | آلارم بحرانی روی کنسول بهره‌برداری | سامانه کنترل / مهندسی نرم‌افزار | شنیده نشد / در سیلاب آلارم‌ها گم شد | فقدان برنامه مدیریت و مهندسی آلارم (Alarm Shelving) | منطق‌بندی آلارم‌ها و حذف هشدارهای هرز و مکرر |
| تشدید نشت یا فشار مایع | شیر قطع خودکار جریان ورودی (SDV) | ابزار دقیق ایمنی (SIS) / فیزیکی | نشتی داخلی شیر حین بسته شدن کامل | آزمون‌های دوره‌ای پایش نشتی مجاز انجام نشده بود | تعریف دستور کارPM اجباری با آزمون ضربه پاره‌وقت (PST) |
| گسترش ابر بخار سمی / آتش‌گیر | دتکتورهای ثابت تشخیص گاز محیطی | پایش فیزیکی / ایمنی محیطی | با تأخیر فرمان آژیر صادر شد | جانمایی نامناسب سنسورها نسبت به جهت غالب باد | بازنگری نقشه پوشش‌دهی گازسنجی (F&G Mapping) |
جمع‌بندی: تثبیت تاب‌آوری به جای سرزنش افراد
حوادث فرآیندی نتیجه غافلگیری ناگهانی نیستند؛ آن‌ها محصول تجمیع نقص‌های کوچکی هستند که در طول ماه‌ها در ساختار سخت‌افزاری و نرم‌افزاری پالایشگاه تحمل شده‌اند. تحلیل اصولی شکست موانع به سازمان می‌آموزد که به جای پرسیدن «چه کسی مقصر بود؟»، این سوال بنیادی را مطرح کند که «کدام موانع پیش‌بینی شده بودند، چرا به طور هم‌زمان ناکارآمد شدند و چه سازوکاری سلامت آن‌ها را پس از تعمیرات تضمین خواهد کرد؟». ارتقای قابلیت اطمینان، با شفاف‌سازی اختیارات نوبت‌کاری، پایش بدون اغماض بای‌پاس‌ها و ردیابی ریشه‌ای خرابی تجهیزات محقق می‌شود.
تمرین صنعتی و ارزیابی شایستگی
تکلیف صنعتی کارگاهی:پرونده فرضی زیر را مطالعه کرده و بر اساس مستندات آن، پاسخ پرسش‌های چهارگانه را در قالب گزارش فنی اولیه استخراج کنید:
پرونده فرضی: در حین انتقال گازمایع (LPG) به مخازن کروی، فشار خط به دلیل بسته شدن ناگهانی یک شیر موتوری در پایین‌دست افزایش می‌یابد. شیر اطمینان (PSV) روی خط لوله عمل می‌کند اما پس از تخلیه بخشی از گاز، دیسک شیر به طور کامل بازنشسته (Reseat) نشده و گازمایع به مسیر ونت اتمسفری هدایت می‌شود. هم‌زمان مشخص می‌شود که ردیاب گاز محوطه تخلیه به دلیل تعمیرات ساختمانی مجاور، در حالت «مهار هشدار» (Inhibited) قرار داشته است. سرپرست محوطه با مشاهده یخ‌زدگی روی بدنه لوله متوجه ماجرا شده و خط را از ورودی بالادست به صورت دستی می‌بندد.
پرسش‌های ارزیابی عملکرد:
- در این رویداد، دو مانع ناموفق و یک مانع موفق را با ذکر دقیق شواهد مشخص کنید.
- کدام نقص سیستمی موجب شد مانع دتکتور گاز نتواند وظیفه حفاظتی خود را ایفا کند؟ آیا می‌توان اپراتور را مقصر دانست؟
- چرا بسته شدن دستی شیر توسط سرپرست، یک مانع استاندارد و پایدار به شمار نمی‌رود؟
- دو اقدام اصلاحی ریشه‌ای بنویسید که مستقیماً پایداری موانع این سامانه را احیا کند.
راهنمای پاسخ و منطق ارزیابی:
پاسخ ۱: موانع ناموفق عبارتند از: الف) شیر اطمینان مکانیکی (عدم بازنشست و آب‌بندی مجدد پس از تخلیه اضافه فشار)، ب) سیستم دتکتور گاز ثابت (توقف عملکرد به دلیل نگهداری در وضعیت Inhibit). مانع موفق: پایش چشمی و اقدام سریع سرپرست میدان بر پایه مشاهده نشانه فیزیکی (یخ‌زدگی لوله) و بستن دستی مسیر.
پاسخ ۲: نقص سیستمی ناشی از فقدان یا ضعف رویه «کنترل وضعیت‌های مهار و بای‌پاس آلارم‌ها» در حین فعالیت‌های ساختمانی است. اگر سامانه کنترلی زمان‌دار برای حالت مهار وجود نداشته باشد و شیفت‌ها به طور رسمی آن را پایش نکنند، تقصیر متوجه ضعف سازوکار است، نه لزوماً سهل‌انگاری اپراتور.
پاسخ ۳: اقدام انسان در لحظه، یک «واکنش انفعالی و پیش‌بینی‌نشده» است نه یک مانع مهندسی مستقل (IPL). این اقدام کاملاً به حضور تصادفی فرد در سایت، شرایط جوی، توانایی دیدن یخ‌زدگی و شجاعت فردی وابسته است و قابلیت اعتماد آماری برای پیشگیری از فاجعه ندارد.
پاسخ ۴: اول، اعمال سیاست سخت‌گیرانه برای ثبت، پایش و محدودیت زمانی مجوزهای مهار آلارم (Alarm Inhibit/Override) به همراه گزارش خودکار روزانه به رئیس نوبت‌کاری. دوم، پیاده‌سازی آزمون بازرسی و پایش عملکرد پاپ‌آپ و بازنشست شیرهای اطمینان سرویس گازمایع در برنامه نت پیشگیرانه (PM).
معیار سنجش قبولی: پاسخ‌دهنده باید بتواند تفکیک کاملی میان «واکنش فردی قهرمانانه» و «مانع ایمنی مستقل و قابل اتکا» قائل شود و در تدوین اقدامات اصلاحی، به جای اصلاح افراد، به سراغ پایش رویه‌ای تجهیزات برود.
منابع و مدارک فنی مورد نیاز
برای تعمیق دانش در حوزه بازرسی و تحلیل موانع فرایندی، بررسی مدارک و مراجع زیر پیشنهاد می‌شود:
- مرکز ایمنی فرایند شیمیایی (CCPS)، کتاب «رویکرد مبتنی بر موانع در مدیریت ایمنی فرایند و ارزیابی ریسک پاپیونی» (Bow Ties in Risk Management)، انتشارات وایلی.
- انجمن نفت آمریکا، استاندارد راهنمای API RP 754: «شاخص‌های عملکرد ایمنی فرایند در صنایع پالایشگاهی و پتروشیمی» (بخش مربوط به ردیابی شکست لایه‌های حفاظتی سطح ۱ و ۲).
- دستورالعمل‌ها و شیوه‌نامه‌های مدون پایش سامانه‌های توقف اضطراری (ESD) و ثبت موارد از مدار خارج‌سازی تجهیزات ایمنی در شرکت ملی پالایش و پخش فرآورده‌های نفتی ایران.
- نقشه‌ها و مدارک توصیف تفصیلی لایه‌های حفاظتی (LOPA Study Reports) و جدول اینترلاک‌های هر واحد عملیاتی اختصاصی در سایت.
یادآوری قانونی و اجرایی: این مقاله صرفاً جنبه آموزش تخصصی و توانمندسازی مهارتی دارد و تحت هیچ شرایطی جایگزین روش‌های اجرایی مصوب، دستورالعمل‌های بررسی حوادث شرکت یا الزامات پروانه کار (PTW) در پالایشگاه نیست. تمامی تصمیم‌های عملیاتی در زمان وقوع انحراف و بررسی رخداد، منحصراً تابع قوانین داخلی مصوب و اختیارات تفویض‌شده در همان تأسیسات است.
دیدگاهتان را بنویسید
برای نوشتن دیدگاه باید وارد بشوید.