ทวิช ชูเมือง   

ในปัจจุบันผู้ใช้งานในโรงงานอุตสาหกรรมกระบวนการผลิตส่วนใหญ่ได้หันมาใช้ระบบเครื่องมือวัดและการควบคุมแบบอัตโนมัติในการควบคุมการทำงานของอุตสาหกรรมกระบวนการผลิตมีจำนวนเพิ่มมากขึ้น ขณะเดียวกันในการใช้งานก็จะให้ความไว้วางใจบนระบบเครื่องมือวัดและการควบคุมแบบอัตโนมัติมีจำนวนเพิ่มมากขึ้นด้วย ระบบควบคุมอัตโนมัติได้ถูกนำมาใช้ในอุตสาหกรรมกระบวนการผลิตเคมี (Chemical Process Industrial) เพื่อใช้ประโยชน์ในด้านต่าง ๆเป็นดังนี้

* เพื่อการปรับปรุงคุณภาพของผลิตภัณฑ์
* เพื่อการเพิ่มปริมาณการผลิต
* เพื่อลดความเสี่ยงอันตรายที่อาจจะเกิดขึ้นได้กับผู้ปฏิบัติงาน
* เพื่อลดจำนวนแรงที่จะต้องใช้ในโรงงานอุตสาหกรรม

ระบบอัตโนมัติที่ถูกนำมาใช้ในอุตสาหกรรมกระบวนการผลิต จะประกอบไปด้วยระบบต่างๆที่ถูกนำไปใช้ในการควบคุมการทำงานของกระบวนการผลิต เพื่อให้บรรลุวัตถุประสงค์ดังที่กล่าวมาแล้ว ระบบอัตโนมัติที่มีใช้งานและพบได้บ่อยครั้งจะมีดังนี้

* ระบบควบคุมกระบวนการ (Process Controls System)
* สัญญาณเตือน (Alarms)
* ระบบวัดคุมนิรภัยหรือระบบ SIS (Safety Instrumented System)
* ระบบยับยั้งผลกระทบที่เกิดขึ้นหลังเหตุการณ์ ดังเช่นระบบ FGS (Fire & Gas System) 

ขณะที่ระบบเหล่านี้ต้องการแรงงานน้อยหรือจำนวนคนน้อยในการใช้งานและควบคุมระบบอัตโนมัติเหล่านี้ ดังนั้นสิ่งที่มีความสำคัญจะเป็นในช่วงเวลาการจัดเตรียมหรือการออกแบบจึงต้องการความพยายามและความใส่ใจในการกำหนดรายละเอียด (Specification) และการออกแบบ (Design) เพื่อระบบควบคุมอัตโนมัติที่ดำเนินการออกแบบหรือจัดเตรียมสามารถบรรลุตามวัตถุประสงค์ความถูกต้อง   

เพราะว่าการจัดเตรียมระบบควบคุมอัตโนมัติที่ดีและมีความเหมาะสมกับการใช้งาน จะเป็นการนำไปสู่การทำงานอย่างปลอดภัย สำหรับการจัดเตรียมระบบควบคุมอัตโนมัติที่ไม่ดีและไม่เหมาะสมนั้น ก็สามารถนำไปสู่เหตุการณ์อันตรายที่รุนแรงได้ นอกจากนั้นแล้วเหตุการณ์อันตรายที่อาจจะเกิดขึ้นยังรวมไปถึงผลกระทบไปยังส่วนต่าง ๆ ดังนี้

* ผู้ปฏิบัติงาน
* สิ่งแวดล้อม
* ทรัพย์สินมีค่าต่าง ๆ

เพื่อให้บรรลุถึงวัตถุประสงค์ในการออกแบบให้ระบบอัตโนมัติมีความปลอดภัยในการใช้งาน จึงต้องทำการกระตุ้น (Encourage), แนะนำ (Guide) และกำหนดข้อบังคับ (Regulate) ที่แสดงและควบคุมขั้นตอนและระบบที่ถูกต้อง ในขณะที่จริง ๆ แล้วในการออกแบบหรือก่อสร้างโรงงานอุตสาหกรรมกระบวนการผลิตโดยทั่วไปจะต้องดำเนินการให้มีความปลอดภัยในการใช้งาน จากความเสี่ยงต่อการบาดเจ็บจากเหตุการณ์อันตราย ดังต่อไปนี้

เหตุการณ์รุนแรงเหล่านี้เกิดขึ้นอย่างต่อเนื่องในอัตราที่น่าตกใจในอุตสาหกรรมกระบวนการผลิต สาเหตุของการเกิดเหตุการณ์สามารถถูกมองว่าเป็นช่องโหว่ของความปลอดภัยในระบบควบคุมอัตโนมัติ ซึ่งในการใช้งานมีหนทางที่จะไปยังการทำงานที่ปลอดภัยกว่า ถ้าผู้ใช้งานทำการพิจารณาที่จะไปจุดนั้น

ตัวอย่างข้อปฏิบัติที่ไม่ถูกต้องได้เคยถูกนำเสนอไปแล้ว สำหรับในบทความนี้จะแสดงข้อปฏิบัติที่ถูกต้องสำหรับการออกแบบระบบอัตโนมัติที่ปลอดภัยในมุมมองบนวิวัฒนาการความปลอดภัย และการวิเคราะห์อันตรายต่าง ๆ และแสดงรายละเอียดในการ ออกแบบระบบ SIS, การจัดเตรียม, การใช้งาน, การซ่อมบำรุงและการบริหารการเปลี่ยนแปลง เพื่อให้มีความปลอดภัยในการทำงาน ปัญหาหรือข้อปฏิบัติที่ดีสำหรับการออกแบบและการทำงานกับระบบควบคุมอัตโนมัติต่าง ๆ สามารถแสดงได้เป็นข้อ ๆ ดังนี้

1) ความเข้าใจกับความจริง (Perception Versus Reality)
2) ความเป็นเจ้าของและความรับผิดชอบ (Ownership and Accountability)
3) ขั้นตอนการทำงาน (Procedures)
4) เอกสาร (Documentation)
5) การวิเคราะห์อันตราย (Hazard Analysis)
6) การออกแบบระบบเครื่องมือวัดทางอุตสาหกรรมทั่วไป (General Instrumentation Design)
7) การออกแบบระบบ (SIS Design)
8) การทำงานของระบบ (SIS Operation)
9) การ Bypassing
10) การทดสอบและการตรวจสอบการทำงาน (Testing and Inspection)
11) การบริหารการเปลี่ยนแปลง (Management of Change)

เมื่อพูดถึงความปลอดภัยในระบบการควบคุมอัตโนมัติกับผู้ปฏิบัติงานในโรงงานอุตสาหกรรมต่าง ๆ บ่อยครั้งจะมีความเห็นที่แตกต่างกันอย่างมาก โดยจะขึ้นอยู่กับระดับความรับผิดชอบของผู้ปฏิบัติงาน ถ้าพูดถึงความคืบหน้าจากระดับผู้บริหารถึงระดับผู้ปฏิบัติงานนั้น คำอธิบายเรื่องความปลอดภัยจะมีความแตกต่างกัน การสนทนาในระดับบริหารจะเป็น "การทำงานที่ปลอดภัยเป็นภาระหน้าที่ของเรา" ในส่วนของผู้ปฏิบัติงานจะเป็นดังนี้ "การทำงานที่ปลอดภัยทำได้มากที่สุดถ้าไม่กระทบต่อการผลิต"

หน่วยการผลิตของอุตสาหกรรมกระบวนการผลิตหลาย ๆ แห่งมีการทำงานการผลิตใกล้กับจุดสูงสุดของกำลังการผลิต ผลลัพธ์ที่เกิดขึ้นตามมาจึงทำให้ในหน่วยการผลิตเหล่านี้จะทำงานใกล้กับจุดกำหนดการทำงานของสัญญาณเตือนและจุดที่กำหนดให้กระบวนการผลิตหยุดทำงาน ด้วยเหตุผลเหล่านี้จะเป็นส่วนทำให้ผู้ปฏิบัติงานทำหน้าที่รับผิดชอบด้านการปลอดภัยของกระบวนการผลิตและทำการ Bypassing ระบบควบคุมอัตโนมัติในการสั่งให้ทำงานในจุดที่ปลอดภัยและควบคุมไม่ให้การทำงานออกไปสู่จุดที่อันตรายด้วยตนเอง

การพัฒนาวัฒนธรรมด้านความปลอดภัยต้องการให้มูลค่าความเสียหายและนโยบายถูกเปลี่ยนไปเป็นการปฏิบัติและพฤติกรรมการทำงาน ซึ่งจะต้องมีการตรวจสอบอย่างต่อเนื่องตลอดการปฏิบัติงานและพฤติกรรมการทำงานจริง เพื่อให้แน่ใจว่า นโยบาย, แนวทาง และขั้นตอนการทำงาน ถูกปฏิบัติตามอย่างเคร่งครัด ซึ่งต้องมีการสื่อสารให้ชัดเจนว่าการทำงานที่ปลอดภัยจะได้รับผลตอบแทนและการใช้ความชำนาญส่วนตัวจะไม่ถูกยอมรับในปฏิบัติงาน

เนื่องจากมีการปรับโครงสร้างความรับผิดชอบสำหรับความปลอดภัยในระบบการควบคุมอัตโนมัติได้ถูกกระจายออกไปยังส่วนปฏิบัติงานต่าง ๆ ที่แตกต่างกัน โดยไม่มีผู้ใดผู้หนึ่งเป็นผู้นำในด้านนี้โดยตรง ซึ่งเป็นเรื่องง่ายที่ทำให้เกิดแนวคิดในทางเสื่อมลงไปยังหลักการที่ว่า ใครก็ได้ที่ไม่ใช่ฉัน เมื่อปกติแล้วเป็นความรับผิดชอบของบางคน เพื่อให้แน่ใจว่าอุปกรณ์ทำงานได้       

ส่วนควบคุมการผลิตจะรับผิดชอบการควบคุมการผลิต ขณะที่ส่วนซ่อมบำรุงรับผิดชอบการทดสอบและซ่อมบำรุง ถ้าส่วนควบคุมการผลิตไม่อนุญาตให้เข้าไปดำเนินการกับอุปกรณ์เพื่อการทดสอบ เนื่องจากเกรงว่าจะกระทบต่อกระบวนการผลิตหรือทำให้กระบวนการผลิตหยุดทำงาน ใครจะเป็นผู้รับผิดชอบในการทำให้อุปกรณ์ทำงานได้ตามปกติ

วัฒนธรรมความปลอดภัยที่ดีของการควบคุมแบบอัตโนมัติ สามารถเกิดขึ้นได้เมื่อผู้ปฏิบัติงานรับผิดชอบในด้านความปลอดภัยในการทำงาน สมรรถนะของการบริหารการปฏิบัติงานต้องถูกวัดโดยจำนวนของเครื่องมือวัดบนการบันทึกย้อนหลัง สำหรับการทดสอบและการตรวจสอบ, โดยจำนวนของเหตุการณ์ที่อาจเกิดเหตุการณ์อันตรายและโดยทัศนคติความปลอดภัยของบุคคลที่อยู่ภายใต้การควบคุมดูแล

ในการปฏิบัติงานต่าง ๆ ผู้ปฏิบัติควรจะต้องตั้งคำถามกับตัวเองเกี่ยวกับขั้นตอนการทำงานดังต่อไปนี้
* มีขั้นตอนการทำงานที่ถูกต้องหรือไม่
* ขั้นตอนการทำงานสามารถเข้าใจได้ง่ายหรือไม่
* ผู้ปฏิบัติงานทำตามขั้นตอนการทำงานหรือไม่

ในการปฏิบัติงานจะดูเหมือนว่ามีความเกรงกลัวว่ารายละเอียดจากผลลัพธ์จากขั้นตอนการทำงานในที่ที่มีความเสี่ยงมาก ๆ จะเป็นการแสดงให้เห็นว่ามีการละเมิดขั้นตอนการทำงาน ถ้ามีเหตุการณ์เกิดขึ้นในหน่วยผลิตนั้น ซึ่งไม่ใช่ความจริงในการปฏิบัติงาน การเขียนขั้นตอนการทำงานที่ดีช่วยลดความถี่ของการควบคุมกระบวนการ โดยการจัดเตรียมการทำงานบนขั้นตอนที่เหมือนกัน การเขียนขั้นตอนการทำงานที่ไม่ดีจะรับประกันได้ว่าความผิดพลาดจากผู้ปฏิบัติงานจะเกิดขึ้น การทำให้ได้ถึงความปลอดภัยในการทำงานต้องการ ผู้ปฏิบัติงานที่มีประสบการณ์ทำการปรับปรุงขั้นตอนการทำงานและการบริหารแรงงานที่เหมาะสมกับการทำงาน

หลังจากที่มีการก่อสร้างโรงงานอุตสาหกรรมเสร็จสิ้นลงและทดสอบการทำงาน จากนั้นก็เริ่มต้นเดินเครื่องจักรหรือกระบวนการผลิตแล้ว จะให้ความสำคัญเกี่ยวกับเอกสารข้อมูลและการจัดเรียงลำดับที่ถูกต้องจะถูกดำเนินการจัดเก็บไว้น้อยหรือเป็นเอกสารที่มีข้อมูลไม่เป็นปัจจุบัน เมื่อเอกสารเหล่านี้ไม่สมบูรณ์ก็จะทำให้ไม่มีเหตุผลที่จะคาดหวังให้ลูกจ้างมีความหมั่นเพียรเกี่ยวกับการทำรายงานและวางแผนการเปลี่ยนแปลงในการควบคุมขั้นตอนการทำงานหรือการติดตั้ง การมีเอกสารที่ไม่สมบูรณ์และไม่ใช่ข้อมูลปัจจุบันเป็นการส่งข้อความไปยังลูกจ้างว่าระบบเหล่านี้ไม่มีความสำคัญเพียงพอในการใช้เวลาและค่าใช้จ่ายสำหรับทำให้เอกสารเหล่านี้ถูกต้องแม่นยำ

ในการออกแบบโรงงานอุตสาหกรรมกระบวนการผลิตจะต้องดำเนินการวิเคราะห์อันตรายของกระบวนการผลิตก่อนที่จะนำกระบวนการผลิตไปก่อสร้างเพื่อใช้งาน วิธีการวิเคราะห์อันตรายของกระบวนการผลิตที่ใช้กันอย่างแพร่หลายจะเป็นวิธีการที่เรียกว่า HAZOP (Hazard and Operability) [5] ในระหว่างการทำ HAZOP จะมีการปรึกษากันในทีมงานเพื่อค้นหาการเบี่ยงเบนของแต่ละตัวแปรในกระบวนการผลิตและการคาดคะเนแผนการเกิดเหตุการณ์แย่ที่สุดที่อาจจะเกิดขึ้น           

หลังจากนั้นทีมงานจะต้องทำรายการสิ่งป้องกัน (Safeguards) ต่าง ๆ เพื่อป้องกันเหตุการณ์หรือผลกระทบที่จะเกิดขึ้นตามมาจากแผนการเกิดเหตุการณ์ที่แย่ที่สุด เมื่อรายการสิ่งป้องกันถูกจัดทำขึ้น ทีมงานจะตัดสินใจว่าสิ่งป้องกันที่ถูกแสดงในรายการมีการป้องกัน (Protection) เพียงพอหรือไม่ เมื่อเทียบกับเหตุการณ์ดังกล่าว   

ในการทำ HAZOP หลายแห่งไม่มีวัตถุประสงค์ในการกำหนดว่ารายการสิ่งป้องกันที่ได้ถูกแสดงไว้นั้นจริง ๆ แล้วมีการจัดเตรียมการประเมินสมรรถนะในการลดความถี่หรือผลลัพธ์จากเหตุการณ์ที่จะเกิดขึ้นนั้นถูกลดลงจนอยู่ในค่าที่ยอมรับได้หรือไม่ การพิจารณาในความสมดุลของแผนการเกิดเหตุการณ์ที่แย่ที่สุดกับจำนวนฟังก์ชันการป้องกันที่เหมาะสมเป็นส่วนทำให้ทีมจัดทำรายการสิ่งป้องกันได้ทราบว่าสิ่งป้องกันมีจำนวนไม่เพียงพอสำหรับการยับยั้งเหตุการณ์ที่จะเกิดขึ้น ต่อไปนี้เป็นความผิดพลาดร่วมที่อาจเกิดขึ้นในการประเมินสิ่งป้องกัน

1. ไม่แยกกันระหว่างสิ่งป้องกัน (Lack of Separation/Independence of Safeguards)
2. ลำดับขั้นตอนการป้องกัน (Protecting Procedures)
3. การป้องกันอุปกรณ์ (Equipment Protection)
4. ระบบการควบคุมกระบวนการผลิต (Process Control System)
5. สัญญาณเตือน (Alarms)
6. วาล์วนิรภัยทางกล (Pressure Relief Valves)
7. ระบบวัดคุมนิรภัยหรือระบบ SIS (Safety Instrumented System)

ในการวิเคราะห์ความอันตรายของกระบวนการผลิตบ่อยครั้งที่ความผิดพลาดของฟังก์ชันควบคุมกระบวนการผลิต (Process Control Loop) จะถูกสมมุติฐานให้เป็นสาเหตุเริ่มต้นของเหตุการณ์อันตรายต่าง ๆ นอกจากนั้นอุปกรณ์ที่ถูกใช้งานอยู่ในฟังก์ชันควบคุมบ่อยครั้งจะถูกแสดงในรายการสิ่งป้องกัน โดยกำหนดให้เครื่องมือวัดในฟังก์ชันควบคุมจะถูกใช้สำหรับกำเนิดสัญญาณเตือนและสั่งให้หยุดทำงาน หรือวาล์วควบคุมจะถูกใช้สำหรับการตอบสนองจากสัญญาณเตือนและสั่งให้หยุดทำงาน     

 แต่ถ้าเครื่องมือวัดในฟังก์ชันควบคุมเหล่านี้เกิดความผิดพลาดในการทำงานก็จะเป็นผลทำให้เหตุการณ์จะเริ่มต้นเพิ่มทวีความรุนแรงขึ้น จะไม่มีสัญญาณเตือนเกิดขึ้นและไม่มีการตอบสนองจากฟังก์ชันการป้องกันหรือการสั่งให้หยุดทำงาน ดังนั้นสิ่งป้องกันต้องถูกตรวจสอบเพื่อให้แน่ใจว่ามีจำนวนพียงพอของสิ่งป้องกันที่เป็นอิสระ ดังเช่นความผิดพลาดในสิ่งป้องกันหรือฟังก์ชันควบคุมต้องไม่มีผลในความผิดพลาดของสิ่งป้องกันอื่น ๆ

ความผิดพลาดของมนุษย์ในการทำงานและการซ่อมบำรุงอุปกรณ์ต่าง ๆ ถูกพิจารณาว่าเป็นสาเหตุความเสี่ยงเริ่มต้นของการเกิดเหตุการณ์อันตราย หลังจากนั้นการสังเกตการณ์เกิดอุบัติเหตุที่เกิดขึ้นกับโรงงานอุตสาหกรรมกระบวนการผลิตทั้งหมดแสดงว่าสาเหตุความผิดพลาดของมนุษย์จะมีจำนวน 70 ถึง 90 เปอร์เซ็นต์ของอุบัติเหตุในอุตสาหกรรมทั้งหมด บริษัทบางแห่งเชื่อว่าการใช้ขั้นตอนการจัดการอย่างเคร่งครัดและการฝึกอบรมอย่างเพียงพอในการป้องกันเหตุการณ์อันตรายจากสาเหตุความผิดพลาดของมนุษย์

ดังนั้นทีม HAZOP จะแสดงรายการของสิ่งป้องกันและให้น้ำหนักอย่างมาก เมื่อพิจารณาไว้ว่าสิ่งป้องกันเพิ่มเติมมีความจำเป็น อย่างไรก็ตามการจัดเตรียมขั้นตอนการทำงานที่ครอบคลุมและการอบรมไม่สามารถถูกตัดพื้นฐานความผิดพลาดของมนุษย์ออกไปได้อย่างสมบูรณ์ ขั้นตอนการทำงานต้องไม่ถูกใช้แทนที่การออกแบบที่ดี ขั้นตอนการทำงานควรถูกใช้เป็นส่วนเสริมของการออกแบบที่ดี

วาล์วป้องกันการไหลย้อน จะอยู่ในรายการสำหรับใช้ป้องกันการไหลย้อนกลับของกระบวนการผลิต อย่างไรก็ตามเป็นที่ทราบกันดีว่าวาล์วป้องกันการไหลย้อนจะไม่ได้มีการตรวจสอบตลอดเวลา โดยเฉพาะอย่างยิ่งในการนำวาล์วป้องกันการไหลย้อน ไปใช้งานกับของไหลที่สกปรกซึ่งสามารถอุดตันได้            

ในการใช้งานเกือบทั้งหมดวาล์วป้องกันการไหลย้อนมีการตรวจสอบไม่บ่อยครั้งและบางครั้งไม่ได้มีการทดสอบการทำงานเลยตลอดอายุการใช้งาน ยกเว้นนอกจากจะเกิดการไหลย้อนจริงขึ้นในกระบวนการผลิต วาล์วป้องกันการไหลย้อนสามารถถูกมองเหมือนเป็นตัวช่วยลดการไหลย้อน แต่ทีม HAZOP ควรจะให้ความเชื่อถือวาล์วป้องกันการไหลย้อนเพียงตัวเดียวสำหรับป้องกันการไหลย้อนกลับ

สถานะการทำงานของปั๊มและใบกวนถูกแสดงในรายการสิ่งป้องกันสำหรับการสูญเสียการไหลหรือการสูญเสียการกวนในถัง อย่างไรก็ตามในทั้ง 2 กรณี จะแสดงให้เห็นว่าสถานะการทำงานของอุปกรณ์เหล่านั้นแสดงว่ามีพลังงานถูกจ่ายให้กับอุปกรณ์ ไม่ได้เป็นข้อมูลที่แสดงว่าปั๊มหรือใบกวนทำงาน สิ่งป้องกันควรจะตรวจจับตัวแปรกระบวนการผลิตที่เบี่ยงเบนไปโดยตรง สำหรับปั๊มจะเกี่ยวข้องกับการสูญเสียการไหล สำหรับใบกวนจะเกี่ยวข้องกับใบกวนไม่ทำงาน

ในการทำ HAZOP ระบบเครื่องมือวัดอุตสาหกรรมบ่อยครั้งถูกกำหนดให้มีความสมบูรณ์ในการทำงาน เมื่อปัญหาในระบบเครื่องมือวัดถูกตัดทิ้งออกไป โดยปกติฟังก์ชันการควบคุมกระบวนการและการตอบสนองอย่างล้าช้าเป็นเจตนาร้ายอย่างรวดเร็ว นอกเหนือจากนั้นทีมจะไม่ทำการโต้เถียงความจริงที่ว่าฟังก์ชันควบคุมกระบวนการผลิตทั้งหลายนั้น ในการควบคุมการทำงานจริง ๆ แล้วทำการปรับค่าจุดทำงานด้วยมือหรือต้องมีการตอบสนองจากผู้ปฏิบัติงานเมื่อกระบวนการผลิตเกิดการเปลี่ยนแปลง ถ้าต้องมีการตอบสนองจากผู้ปฏิบัติงาน อัตราการแพร่ขยายของเหตุการณ์ต้องมีการตรวจสอบเพื่อให้แน่ใจว่าผู้ปฏิบัติงานมีเวลาการตอบสนองอย่างเพียงพอ

สมรรถนะของระบบโดยรวมถูกจำกัดโดยการบริหารระบบควบคุมกระบวนการผลิตว่ามีการเปลี่ยนแปลงอย่างไร การทำงานของกระบวนการผลิตที่เหมาะสมเป็นส่วนทำให้โปรแกรมการทำงานทั้งหลายเปลี่ยนแปลง ซึ่งจะเป็นผลลบต่อการทำงานของฟังก์ชันที่วิกฤติ ยิ่งกว่านั้นทีมงานจะแสดงรายการฟังก์ชันควบคุมกระบวนการหลาย ๆ ฟังก์ชัน, สัญญาณเตือน และการประสาน (Interlock) ซึ่งอยู่ในระบบควบคุมกระบวนการผลิตเดียวกัน ดังนั้นการลดความเสี่ยงโดยรวมถูกสมมุติฐานโดยทีม HAZOP มีความสำคัญมากกว่าการคาดหวังอย่างมีเหตุผลจากอุปกรณ์พื้นฐาน

เมื่อทำการตรวจสอบความเสี่ยงอันตรายอย่างเฉพาะเจาะจง เป็นการง่ายที่แสดงว่าผู้ปฏิบัติงานจะเข้าใจความสัมพันธ์ระหว่างสัญญาณเตือนและสาเหตุเริ่มต้นสำหรับเหตุการณ์อันตราย อย่างไรก็ตามเมื่อเกิดสัญญาณเตือนแสดงอยู่บนจอแสดงผล ผู้ปฏิบัติงานจะไม่สามารถเห็นความเสี่ยงที่เฉพาะเจาะจง ผู้ปฏิบัติงานจะมองเห็นสัญญาณเตือนที่ปรากฏขึ้น ทีม HAZOP ควรจะตั้งคำถามดังต่อไปนี้

โรงงงานอุตสาหกรรมหลายแห่งทำการควบคุมกระบวนการผลิตด้วยการตอบสนองต่อสัญญาณเตือนที่เกิดขึ้นจากระบบควบคุม ฟังก์ชันควบคุมกระบวนการผลิตทำการปรับด้วยมือ เนื่องจากการปรับฟังก์ชันควบคุมถูกดำเนินการอย่างไม่ดีพอ ผู้ปฏิบัติงานดำเนินการปรับค่าเอาต์พุตที่ไปยังอุปกรณ์ควบคุมสุดท้ายจากข้อมูลพื้นฐานของสัญญาณอินพุต ผู้ปฏิบัติงานจะมีความคุ้นเคยในการรับสัญญาณเตือนและดำเนินการควบคุมต่อไป

ในการดำเนินกลยุทธ์ควบคุมแบบนี้ การเชื่อมต่อกับการควบคุมกระบวนการอนุญาตให้ผู้ปฏิบัติงานสามารถเปลี่ยนแปลงจุดกำเนิดสัญญาณเตือนในกรอบการทำงานของตนเอง การกระทำแบบนี้ยอมรับไม่ได้สำหรับการบริหารของสัญญาณเตือนวิกฤติในระบบนิรภัย เมื่อไม่สามารถรู้ว่าสัญญาณเตือนจะเกิดขึ้นที่เวลาการทำงานของกระบวนการผลิต สัญญาณเตือนไม่ควรถูกแสดงอยู่ในรายการที่เป็นสัญญาณเตือนวิกฤติในระบบนิรภัย นอกจากทีมจะทำให้เป็นสัญญาณเตือนของการป้องกัน 

ทีม HAZOP จะแสดงสิ่งป้องกันที่แยกออกมา ถึงแม้ว่าจะมีผู้ปฏิบัติงานร่วมกันทำการตอบสนองต่อสัญญาณเตือนเหล่านี้ ในบางครั้งการตอบสนองอยู่บนพื้นฐานลำดับความสำคัญของสัญญาณเตือนที่ไม่ได้กำหนดและแสดงความเกี่ยวข้องกัน ทีม HAZOP ควรระลึกว่า หนึ่งผู้ปฏิบัติงานเท่ากับหนึ่งสัญญาณเตือน สัญญาณเตือนที่มากเกินไปเท่ากับการตอบสนองที่ผิดพลาด

มีความเป็นไปได้ที่ว่าผู้ปฏิบัติงานจะตอบสนองได้อย่างถูกต้องต่อเหตุการณ์โดยตรงขึ้นอยู่กับเวลาร่วมที่มีให้ดำเนินการตอบสนอง ตารางที่ 1 แสดงความเป็นไปได้ของข้อมูลความผิดพลาดจาก CCPS Book [1] ข้อมูลเหล่านี้แสดงว่าผู้ปฏิบัติงานควรจะมีเวลาอย่างน้อย 20 นาที สำหรับการวินิจฉัยเหตุการณ์ที่เกิดขึ้นเมื่อเกิดสัญญาณเตือน

ตารางที่ 1 เวลาตอบสนองต่อสัญญาณเตือน

สำหรับการตอบสนองการยับยั้งเหตุการณ์โดยรวม การวินิจฉัยจากผู้ปฏิบัติงานจะมีการเปลี่ยนกลับไปเป็นการตอบสนองของผู้ปฏิบัติงาน ดังนั้นจึงต้องมีการจัดทำการประเมินของระยะเวลาตอบสนองที่ต้องการ หลังจากนั้นการวินิจฉัยและเวลาตอบสนองโดยรวมต้องมีการปรับเทียบกับความเร็วในการแพร่ขยายของเหตุการณ์ การประเมินการแพร่ขยายของเหตุการณ์ต้องมีการรับรองจากวิศวกรกระบวนการผลิตและทำความเข้าใจกับการเปลี่ยนแปลงของกระบวนการผลิต

เมื่อผู้ปฎิบัติงานสอบถามว่าอะไรที่ต้องดำเนินการตอบสนองต่อสัญญาณเตือน การตอบสนองเป็นการแก้ปัญหาหรือดำเนินการเพื่อหยุดกระบวนการผลิตถ้ามีความจำเป็น เมื่อถามถึงรายละเอียดของการตอบสนอง ดังเช่นอะไรเป็นพื้นฐานการแก้ปัญหาหรืออะไรเป็นข้อกำหนดการหยุดกระบวนการผลิตถ้ามีความจำเป็น อะไรที่ผู้ปฏิบัติงานไม่ต้องมีการตอบสนอง คำตอบของคำถามจะเป็นการแก้ปัญหาด้วยเนื้อหาเพียงเล็กน้อยเท่านั้น

ผู้ปฏิบัติงานที่มีประสบการณ์และวิศวกรโรงงานต้องมีการทำงานร่วมกันในการเขียนขั้นตอนการทำงานที่ถูกต้องและเหมาะสมกับการปฏิบัติกับกระบวนการผลิตของตนเอง ดังนั้นประสบการณ์ที่มีจากการปฏิบัติงานจะถูกถ่ายทอดผ่านไปยังสายงานภายใต้การควบคุม เมื่อขั้นตอนการทำงานเหล่านี้เสร็จสมบูรณ์แล้ว เอกสารเหล่านี้ควรจะเป็นส่วนสำคัญของการนำไปอบรมผู้ปฏิบัติงานใหม่ให้มีความพร้อมสำหรับการตรวจสอบ การเรียนรู้สิ่งใหม่ควรจะต้องถูกรวมเข้าไปในเอกสารเหล่านี้

วาล์วนิรภัยทางกล บ่อยครั้งถูกแสดงเป็นรายการสิ่งป้องกันในการทำ HAZOP สำหรับการยับยั้งเหตุการณ์ความดันเกิน ทีม HAZOP หลายแห่งสมมุติฐานว่าวาล์วนิรภัยทางกลที่ถูกติดตั้งอยู่ในกระบวนการผลิต สามารถยับยั้งการเกิดความดันเกินได้อย่างสมบูรณ์และไม่จำเป็นจะต้องมีสิ่งป้องกันอื่นเพิ่มเติม 

อย่างไรก็ตาม วาล์วนิรภัยทางกลไม่ได้ทำงานได้อย่างสมบูรณ์ตลอดเวลา ตารางที่ 2 แสดงข้อมูลทางอุตสาหกรรม แสดงค่าความผิดพลาดในการทำงานของวาล์วนิรภัยทางกลหนึ่งตัว จะเห็นได้ว่าค่าเฉลี่ยความผิดพลาดในการทำงานของวาล์วนิรภัยทางกลแบบ Pilot จะมีสมรรถนะการทำงานไม่เกิน SIL 2

นอกจากนั้นมีการนำไปใช้ในหลายกรณีที่วาล์วนิรภัยทางกลไม่สามารถยับยั้งความดันเกินได้ ดังเช่น การนำไปใช้งานกับของไหลที่อุดตัน ข้อมูลอัตราความผิดพลาดแสดงว่าวาล์วนิรภัยทางกลควรจะถูกพิจารณาเป็นชั้นการป้องกัน ข้อมูลความผิดพลาดอาจไม่มีความจำเป็นเมื่อต้องการเฉพาะชั้นการป้องกัน

ทีม HAZOP บ่อยครั้งให้ความสำคัญในการออกแบบระบบ SIS ให้มีค่าสมรรถนะการทำงานที่เท่ากัน สำหรับเหตุการณ์ความดันสูง ทีมแสดงให้เห็นว่าต้องการหยุดการทำงานเมื่อเกิดความดันสูงขึ้นและย้ายไปยังการวิเคราะห์ อย่างไรก็ตามการออกแบบระบบ SIS จริงแล้วอาจจะไม่สามารถทำสมรรถนะการทำงานให้ได้ถึงเป้าหมายที่ตั้งไว้ ระบบ SIS ต้องมีการตรวจสอบอย่างละเอียดจากส่วนอินพุตไปยังส่วนเอาต์พุต เพื่อให้แน่ใจว่าฟังก์ชันนิรภัย (Safety Function) ในการยับยั้งเหตุการณ์อันตรายมีสมรรถนะการทำงานตรงกับความต้องการ

สมรรถนะระบบ SIS ที่คาดหวังควรจะต้องเหมาะสมกับการออกแบบ การคำนวณอาจจะไม่จำเป็นมากในการวิเคราะห์อันตรายบางจุด ความสมบูรณ์ของระบบ SIS ควรจะถูกกำหนดในรูปแบบเชิงจำนวน แต่จุดประสงค์ของ HAZOP บ่อยครั้งเป็นการปรับเทียบเพื่อเป็นการนำไปเป็นข้อมูลในการออกแบบระบบ SIS ในการออกแบบระบบ SIS ในปัจจุบันจะทำให้มีข้อมูลเพียงพอ ดังตัวอย่างถ้าต้องการติดตั้งระบบ SISที่จัดเตรียมไว้ตั้งแต่ปี 1960 ในระบบนิวเมติก บางครั้งอาจจะถึงเวลาในการปรับปรุงระบบ SIS

เมื่อระบบ SIS หรือฟังก์ชันนิรภัยถูกจัดทำขึ้นในระบบควบคุมพื้นฐานหรือ ระบบ BPCS (Basic Process Control System) จะทำให้ระบบทั้งหมดจึงถูกมองเห็นโดยทุก ๆ คนที่เกี่ยวข้อง รวมไปถึง ผู้ปฏิบัติงาน, ช่างเทคนิค และวิศวกร และให้ความรู้สึกว่าเป็นระบบควบคุมพื้นฐาน จึงทำให้โปรแกรมการทำงานของระบบ SIS สามารถเข้าถึงและเปลี่ยนแปลงได้ง่ายเหมือนกับโปรแกรมของระบบควบคุมพื้นฐาน

การบริหารการเปลี่ยนแปลงจัดทำได้ยาก เมื่อโปรแกรมการทำงานของระบบควบคุมพื้นฐานต้องการปรับเปลี่ยนให้มีความเหมาะสมกับการเปลี่ยนแปลงที่ไม่ได้คาดหวังไว้ในระบบ SIS สามารถเกิดขึ้นได้ การเปลี่ยนแปลงย่านการวัดอาจทำให้สูญเสียฟังก์ชันการทำงานในระบบ SISไป การแบ่งแยกกันของระบบ SISและระบบควบคุมพื้นฐานจึงมีความจำเป็นต้องจัดเตรียม เพื่อให้แน่ใจว่าการเข้าถึงระบบ SIS ถูกจำกัด

ดังนั้นจึงยังคงรักษาฟังก์ชันการทำงานของระบบ SIS ไว้ได้ ตัวอย่างเช่น การใช้เครื่องมือวัดระดับเพียงตัวเดียวระหว่างระบบควบคุมพื้นฐานและระบบนิรภัยในเครื่องกำเนิดไอน้ำ โดยกระบวนการจะหยุดทำงานเมื่อค่าระดับน้ำในถังไอน้ำมีค่าสูงเกินกว่าค่าที่กำหนด ดังแสดงในรูปที่ 1

ตัวอย่างเช่น การใช้เครื่องมือวัดระดับเพียงตัวเดียวระหว่างระบบควบคุมพื้นฐานและระบบนิรภัยในเครื่องกำเนิดไอน้ำ โดยกระบวนการจะหยุดทำงานเมื่อค่าระดับน้ำในถังไอน้ำมีค่าสูงเกินกว่าค่าที่กำหนด ดังแสดงในรูปที่ 1

รูปที่ 1 ฟังก์ชันนิรภัยในเครื่องกำเนิดไอน้ำ

โปรแกรมการแสดงผลบนหน้าจอสามารถทำให้ผู้ออกแบบใช้ความหลากหลายของสีและตัวอักษรและเพิ่มความหนาแน่นของการแสดงผล ซึ่งเป็นผลทำให้การแสดงผลไม่ชัดเจน จึงทำให้มีความเป็นไปได้ที่ผู้ปฏิบัติงานจะมองไม่เห็นข้อมูลหรือสัญญาณเตือนวิกฤติได้อย่างรวดเร็ว ในบางกรณีผู้ปฏิบัติงานจะเข้าถึงการแสดงผลหลายหน้าจอเพื่อเป็นข้อมูลในการวินิจฉัยและดำเนินการใด ๆ เมื่อต้องการตอบสนองที่รวดเร็ว การค้นหาข้อมูลจึงต้องมีความรวดเร็วตามไปด้วย

ความสามารถทางกายภาพของผู้ปฏิบัติงานบางครั้งเป็นความท้าทายสำหรับการปฏิบัติงานในกระบวนการผลิต ในบางกรณีผู้ปฏิบัติงานต้องออกไปปฏิบัติงานในกระบวนการผลิตที่ต้องขึ้นลงบันได เพื่อไปทำการปรับวาล์วและทำการตรวจสอบการตอบสนองจากกระบวนการผลิต ในบางครั้งขั้นตอนการทำงานต้องการให้ผู้ปฏิบัติงานต้องปิดวาล์วหลายตัวหรือวาล์วขนาดใหญ่เพื่อยับยั้งเหตุการณ์อันตราย ความสามารถของผู้ปฏิบัติงานในการตอบสนองอย่างรวดเร็วในเหตุการณ์อันตรายเป็นจุดวิกฤติสำหรับความปลอดภัยในระบบควบคุมอัตโนมัติ

เมื่อสัญญาณเตือนก่อนมีการตั้งค่าให้ใกล้กับจุดทำงานหยุดกระบวนการผลิต ทำให้ผู้ปฏิบัติงานมีเวลาไม่เพียงพอในการป้องกันไม่ให้กระบวนการผลิตหยุดการทำงาน สัญญาณเตือนก่อนเป็นการเตือนให้ผู้ปฏิบัติงานรู้ว่ากระบวนการผลิตกำลังจะหยุดทำงาน ถ้าจุดประสงค์ของสัญญาณเตือนก่อนเป็นการป้องกันกระบวนการผลิตหยุดทำงาน จะต้องมีเวลาเพียงพอหลังจากสัญญาณเตือนก่อนให้ผู้ปฏิบัติงานได้ดำเนินการใด ๆ ถ้ามีการตั้งค่าการทำงานสัญญาณเตือนก่อนใกล้กับจุดหยุดทำงานมากเกินไป ผู้ปฏิบัติงานอาจทำการ Bypass ระบบเพื่อให้มีเวลาเพียงพอในการตอบสนองต่อสัญญาณเตือน

สัญญาณอินพุตแบบลูกโซ่จะไม่ยินยอมให้มีการแสดงค่าสัญญาณเตือนลำดับแรกที่เกิดขึ้นให้กับผู้ปฏิบัติงาน ซึ่งจะเป็นการลดความสามารถในการแก้ปัญหาและบังคับให้ผู้ปฏิบัติงานทำการสมมุติฐานสาเหตุของการหยุดทำงาน ในกรณีแย่ที่สุด ผู้ปฏิบัติงานจะเริ่มต้นเดินกระบวนการผลิตใหม่ เพื่อค้นหาปัญหาของกระบวนการผลิตที่ได้ถูกแก้ไขไปแล้วหรือการรบกวนกระบวนการผลิตได้ผ่านไปแล้ว   

ถ้าปัญหาของกระบวนการผลิตร้ายแรงและยังคงมีอยู่ การเริ่มเดินกระบวนการผลิตใหม่จะมีผลลัพธ์ทำให้เกิดเหตุการณ์อันตราย การแสดงค่าสัญญาณลำดับแรกจึงมีความจำเป็นในการแก้ปัญหากระบวนการผลิต

การตรวจสอบแผงควบคุมอย่างทันทีทันใดหลังจากการติดตั้งจะแสดงให้เห็นสัญญาณเตือนที่ถูกละเลยไป ข้อมูลจากส่วนซ่อมบำรุงสามารถแสดงได้ว่าเครื่องมือวัดไม่ทำงาน นอกจากนั้นรายงานการตรวจสอบจากส่วนซ่อมบำรุงปรากฏว่าเครื่องมือวัดมีความผิดพลาดซ้ำ ๆ กัน นอกเหนือจากการตรวจสอบแล้วควรจะต้องมีการเปลี่ยนแปลงรายละเอียดของเครื่องมือวัด  

เครื่องมือวัดจะง่ายในการซ่อมแซมหรือเปลี่ยนใหม่และนำกลับไปใช้งาน ในกรณีที่รุนแรงผู้ปฏิบัติงานและผู้ซ่อมบำรุงจะยอมรับความผิดพลาดและตัดความผิดพลาดทิ้งหรือ Bypass เครื่องมือวัดตัวนั้นไป ดังนั้นเครื่องมือวัดที่ไม่ทำงานต้องมีการตรวจสอบ เนื่องจากมีความเสี่ยงในการเกิดเหตุการณ์อันตราย ถ้าเครื่องมือวัดไม่เป็นที่ต้องการให้พิจารณาถอดออกไป

บ่อยครั้งเหตุการณ์อันตรายเกิดขึ้นในช่วงการเริ่มเดินกระบวนการผลิตมากกว่าในช่วงการทำงานปกติ การเริ่มเดินกระบวนการผลิตสามารถเป็นสาเหตุโดยตรงมาจากการออกแบบระบบ SIS ที่ไม่ดี ซึ่งต้องการ Bypass เป็นจำนวนมากหรือการเริ่มเดินกระบวนการผลิตหลาย ๆ ครั้งเพื่อทำให้กระบวนการผลิตทำงาน ในการขจัดปัญหาเหล่านี้ต้องการความไตร่ตรองในการออกแบบและเพิ่มเติมฟังก์ชันการทำงาน ฟังก์ชันการเริ่มเดินกระบวนการผลิตต้องถูกพัฒนาในช่วงการออกแบบระบบ SIS และทดสอบการทำงานร่วมกับฟังก์ชันการหยุดทำงาน

ในหลายกรณีการติดตั้งระบบ SIS ไม่ได้ถูกออกแบบให้มีสมรรถนะตรงกับเป้าหมายที่ต้องการ ดังตัวอย่างเช่น ในการวิเคราะห์ความอันตรายอาจแสดงรายละเอียดของความเสี่ยง ซึ่งต้องการระบบ SIS ที่มีสมรรถนะการทำงานที่ค่า SIL 2 เพื่อความสมบูรณ์ในการยับยั้งเหตุการณ์อันตราย แต่ในการติดตั้งทำได้เพียง SIL 1 พึงระลึกไว้เสมอว่าฟังก์ชันนิรภัยที่แสดงอยู่บนแผนภาพกระบวนการผลิตหรือ P&ID ไม่ได้หมายความว่าระบบ SIS สามารถยับยั้งความเสี่ยงได้อย่างสมบูรณ์แบบ

การออกแบบระบบ SIS จะใช้อุปกรณ์ที่ดีในการติดตั้งและมีระบบสำรองอย่างเพียงพอ แต่ไม่เหมาะสมกับค่า SIL เนื่องจากการทดสอบการทำงานที่ไม่เพียงพอ หลายโรงงานอุตสาหกรรมทำตามแผนงานความสมบูรณ์ทางด้านเครื่องกลของ OSHA PSM โดยการแสดงว่ามีการทดสอบการทำงานในช่วงหยุดกระบวนการผลิตเพื่อซ่อมบำรุงใหญ่ (Turnaround) น่าเสียดายที่การหยุดซ่อมบำรุงใหญ่มีความถี่ทุก ๆ 3 ปี ซึ่งไม่เป็นที่ยอมรับสำหรับการใช้งานในระบบ SIS ที่ค่า SIL 2 และ SIL 3

ดังนั้นการจัดเตรียมการทดสอบในระหว่างกระบวนการผลิตทำงานต้องมีการพิจารณาในระหว่างการออกแบบระบบ SIS ดังตัวอย่างกราฟแสดงค่าเฉลี่ยความผิดพลาดอันตรายของเครื่องมือวัดในฟังก์ชันนิรภัย (Safety Function) เมื่อทำการทดสอบการทำงานที่ 1 ปีและ 6 เดือนดังแสดงในรูปที่ 2

(1) การทดสอบการทำงานที่ 1 ปี

(2) การทดสอบการทำงานที่ 6เดือน 

รูปที่ 2 การทดสอบการทำงานที่ 1 ปีและ 6 เดือน

อัตราการทำงานไม่จริงมากเกินไปสามารถส่งผลกระทบต่อความปลอดภัยของระบบสนับสนุนโดยเป็นสาเหตุให้ผู้ปฏิบัติงานยกเลิกการแก้ปัญหาของสาเหตุการหยุดทำงานและเริ่มต้นเดินกระบวนการผลิต โดยสมมุติฐานว่าการหยุดทำงานเกิดจากความผิดพลาด นอกจากนั้นการหยุดทำงานไม่จริงหรือจากความผิดพลาด

เกือบทั้งหมดเป็นผลลัพธ์จากการทำงานของระบบ SIS จากหน่วยการผลิตอื่น ๆ ที่เกี่ยวข้อง การเริ่มต้นเดินกระบวนการผลิตมีความต้องการหลังจากหยุดทำงาน และข้อมูลทางอุตสาหกรรมแสดงว่าการเริ่มต้นเดินกระบวนการผลิตเป็นสาเหตุทำให้เกิดเหตุการณ์อันตราย การลดอัตราการทำงานไม่จริงมีความจำเป็นสำหรับการปรับปรุงด้านความปลอดภัยและการใช้งานกระบวนการผลิต

ผู้ปฏิบัติงานไม่สามารถเดินเข้าไปในกระบวนการผลิตเพื่อระบุว่าอุปกรณ์ตัวใดต่ออยู่กับระบบ SIS หรือระบบควบคุมพื้นฐาน ในโรงงานอุตสาหกรรมที่เข้มงวดเกี่ยวกับการเข้าถึงระบบ SIS อุปกรณ์เหล่านี้จะถูกระบุอย่างชัดเจนโดยใช้การทาสีหรือป้ายแสดงที่ชัดเจน เป็นการให้ความรู้แก่ผู้ปฏิบัติงานและผู้ซ่อมบำรุงเกี่ยวกับตำแหน่งของอุปกรณ์ในระบบ SIS นอกจากนั้นยังอนุญาตให้ผู้ปฏิบัติงานเข้าถึงอุปกรณ์ได้อย่างรวดเร็ว

ผู้ปฏิบัติงานหลายแห่งพิจารณาว่าระบบ SIS เป็นระบบที่ทำให้กระบวนการผลิตหยุดทำงาน เป็นมุมมองที่ว่าระบบ SIS เป็นศัตรูกับการทำงานของกระบวนการผลิต ผู้ปฏิบัติงานที่ไม่เข้าใจว่าความสำคัญของการหยุดทำงานจากระบบ SIS เป็นผู้ปฏิบัติงานซึ่งไม่คิดว่าจะเกิดอะไรขึ้นถ้าระบบ SIS ไม่ทำงาน ผู้ปฏิบัติงานต้องมีการเข้าอบรมว่าอะไรเป็นจุดประสงค์ของระบบ SIS ในด้านความเสียหายของอุปกรณ์และความเสี่ยงต่อตัวผู้ปฏิบัติงาน ข้อมูลจะเป็นส่วนชี้นำในการตัดสินใจ

ผู้ปฏิบัติงานส่วนใหญ่ไม่ทราบว่าข้อจำกัดการใช้งานของอุปกรณ์และกระบวนการผลิต บ่อยครั้งที่ผู้ปฏิบัติงานไม่ทราบว่าเมื่อไรระบบ SIS จะหยุดกระบวนการผลิต โดยเฉพาะอย่างยิ่งจะเป็นปัญหากับ Vendor Packages ซึ่งบ่อยครั้งจัดเตรียมสัญญาณเตือนการหยุดทำงานแบบทั่วไป ผู้ปฏิบัติงานต้องเข้าใจว่าทำไมกระบวนการผลิตจึงหยุดทำงาน

เมื่อผู้ปฏิบัติงานได้รับสัญญาณเตือนจากระบบวินิจฉัยของระบบ SIS ผู้ปฏิบัติงานต้องรู้ว่าจะทำอย่างไรกับสัญญาณเตือนเหล่านั้น การตอบสนองที่ถูกต้องมีส่วนสำคัญมากกว่าการเรียกส่วนซ่อมบำรุงมาซ่อมแซม ต้องมีการระบุการวัดชดเชยและการวางแผนยับยั้งสำหรับการรักษาไว้ให้มีความปลอดภัยในการทำงาน ซึ่งอาจจะรวมไปถึงการเฝ้าระวังจากห้องควบคุมถ้ามีตัวแปรที่เฉพาะเจาะจง, การเฝ้าระวังที่บริเวณใช้งานหรือเริ่มต้นหยุดกระบวนการผลิตถ้าการซ่อมแซมไม่เสร็จสิ้นภายในช่วงเวลาที่กำหนด

ในระบบสนับสนุนหลายแห่ง ผู้ปฏิบัติงานมีอำนาจสั่งการ Bypass ระบบ SIS โดยไม่มีการบริหารการเปลี่ยนแปลงหรือการอนุมัติจากผู้ควบคุมดูแล ส่วนใหญ่คิดว่าการ Bypass เป็นช่วงเวลาสั้น ๆ ดังนั้นค่าความเสี่ยงจึงยอมรับได้ ผู้ปฏิบัติงานต้องมีการอบรมว่าเมื่อระบบ SIS อยู่ในระหว่างการ Bypass กระบวนการผลิตจะไม่มีการป้องกัน

เมื่อการ Bypass ถูกใช้งานเป็นประจำ จึงทำให้บางคนทำการ Bypass บางสิ่งไว้และลืมมันไป ซึ่งเป็นเรื่องจริงถ้าการ Bypass เป็นทางกายภาพ ดังเช่น การเชื่อมต่อสายไฟ และไม่มีสัญญาณเตือนถูกจัดเตรียมไว้ ถ้าโรงงานอุตสาหกรรมไม่ต้องการอำนาจสั่งการหรือบันทึกการ Bypass ก็จะไม่มีเอกสารติดตามว่าอะไรถูกการ Bypass เมื่อระบบ SIS อยู่ในระหว่างการ Bypass ต้องมีสัญญาณเตือนจนกว่าการ Bypass จะถูกยกเลิกไป

เมื่อเกิดความกดดัน ผู้ปฏิบัติงานจะบรรยายถึงตอนที่ถูกสั่งให้ทำการ Bypass ระบบ SIS เพื่อทำการควบคุมกระบวนการผลิตให้ใกล้กับจุดที่หยุดทำงานและอนุญาตให้ฝ่าฝืนปัญหาที่คาดไม่ถึง ผู้ปฏิบัติงานและฝ่ายบริหารต้องเข้าใจว่าระบบ SIS ถูกออกแบบมาเพื่อป้องกันกระบวนการผลิตและอะไรจะเกิดขึ้นถ้าระบบ SIS ไม่ทำงานเมื่อถึงเวลาที่ต้องการ เป็นการยากในการไม่สนใจความเสี่ยงถ้ามีความรู้และเข้าใจอย่างเพียงพอ การแก้ปัญหาที่เกิดผลดีเป็นความต้องการอำนาจสั่งการจากฝ่ายบริหารและการอนุมัติให้ทำการ Bypass

มีการสำรวจอย่างไม่เป็นทางการจากการทำงานของบริษัทต่าง ๆ ปรากฏว่าน้อยกว่า 25 เปอร์เซ็นต์ของอุปกรณ์ในระบบ SIS ถูกทดสอบที่ความถี่ซึ่งอุปกรณ์ควรถูกทดสอบ หนทางที่จะกำหนดว่าอุปกรณ์สามารถทำงานได้เป็นการทดสอบการทำงานหรือทำงานจริงจากตัวแปรกระบวนการผลิต มาตรฐานการออกแบบระบบ SIS ต้องให้มีการทดสอบการทำงานเพื่อให้ได้สมรรถนะตามค่า SIL ถ้าความต้องการความถี่ในการทดสอบเป็น 12 เดือน การทดสอบควรจะต้องถูกจัดทำทุก ๆ 12 เดือนไม่ใช่ 14 เดือน, 18 เดือน หรือ 2 ปี

ฟังก์ชันนิรภัยในระบบ SIS ต้องถูกทดสอบการทำงานที่ความถี่เหมาะสมเพื่อให้ได้สมรรถนะตามค่า SIL อย่างไรก็ตามในบางโรงงาน มีความยากที่เกี่ยวข้องกับการทดสอบการทำงานของอุปกรณ์สุดท้ายเป็นผลลัพธ์ ทำให้ผู้ปฏิบัติงานในโรงงานตัดสินใจว่าจะทดสอบการทำงานเท่าที่สามารถทำได้ โดยไม่ทำให้มีผลกระทบต่อการทำงานของกระบวนการผลิต ซึ่งเป็นตัวอย่างหมายความว่าวาล์วนิรภัยจะไม่ถูกทดสอบการทำงานจนกระทั่งถึงเวลาหยุดกระบวนการผลิตเพื่อซ่อมบำรุงใหญ่ อย่างไรก็ตามการวิเคราะห์ความอันตรายโดยรวมกำหนดโดยตรงจากสภาวะปลอดภัยของกระบวนการผลิต ซึ่งเกี่ยวกับการปิดวาล์วนิรภัย ถ้าไม่มีการทดสอบการทำงานก็ไม่ต้องมีการโต้เถียงเรื่อง SIL

หลายฝ่ายมีความรู้สึกว่าค่าใช้จ่ายที่เกี่ยวข้องกับการเขียนขั้นตอนการทดสอบระบบ SIS ไม่สามารถแสดงเหตุผลอย่างเพียงพอได้ ฝ่ายบริหารบางส่วนคิดว่าต้องมีการบอกกับช่างเทคนิคว่าต้องทำอย่างไร ซึ่งอาจต้องการช่างเทคนิคใหม่ ไม่ใช่เฉพาะการอบรมหรือความสามารถของช่างเทคนิค แต่จะเกี่ยวข้องกับความสามารถในการคาดคะเนสมรรถนะของระบบ SIS ซึ่งหมายความว่าการทดสอบการทำงานของระบบ SIS ควรจะถูกจัดทำให้เป็นแนวทางเดียวกันในแต่ละเวลา ขั้นตอนทดสอบการทำงานควรจะแสดงการรับรองและแสดงความต้องการในการถอดและใส่อุปกรณ์กลับเข้าไปใช้งาน

ข้อมูลส่วนใหญ่จะสูญหายในระหว่างการหยุดซ่อมบำรุง ดังตัวอย่างต่อไปนี้ มีการเพิ่มของความดันที่จุดต่อ หรือ วาล์วซีลถูกทำความสะอาดโดยไม่ได้แสดงในรายงานบันทึกซ่อมบำรุง ในการปฏิบัติงานจริงแล้วการทดสอบการทำงานสามารถจะถูกกระจายออกไปในช่วงการซ่อมบำรุง อะไรเป็นการทดสอบในช่วงเวลานั้นและเอกสารเพียงเล็กน้อยควรจะต้องถูกเก็บรักษาไว้ ไม่ว่าจริงแล้วได้มีการทดสอบ, ซ่อม หรือทำความสะอาดส่วนใด ๆ

บ่อยครั้งที่มีการเปลี่ยนแปลงระบบ SIS ซึ่งดูเหมือนว่ายังคงทำงานเป็นปกติ ระบบ SIS ถูกสมมุติฐานว่ายังคงทำงานได้ อย่างไรก็ตามหนทางเดียวที่ทำให้แน่ใจได้ว่าการเปลี่ยนแปลงเพียงเล็กน้อย โดยไม่มีผลกระทบต่อการทำงานของฟังก์ชันนิรภัยอื่น ๆ ภายในระบบ SIS เป็นการทดสอบการทำงานฟังก์ชันทั้งหมดที่เกี่ยวข้อง

ทุก ๆ คนต้องมีความเข้าใจว่า การบริหารการเปลี่ยนแปลงต้องมีการตรวจสอบและทำไมการติดตามการเปลี่ยนแปลงจึงมีความสำคัญ สำหรับระบบ SIS การติดตามการเปลี่ยนแปลงถูกทำเพื่อให้แน่ใจว่าฟังก์ชันการทำงานของระบบ SIS ยังคงถูกรักษาไว้ อุปกรณ์ในระบบ SIS โดยทั่วไปมีจำนวนน้อยกว่า 15 เปอร์เซ็นต์ของอุปกรณ์ทั้งหมด แต่ระบบ SIS สามารถทำให้กระบวนการผลิตทำงานและถ้าเกิดความผิดพลาดในการทำงานสามารถทำให้เกิดเหตุการณ์อันตรายที่แพร่ขยายไปถึงความเสียหายของอุปกรณ์และ/หรือ ส่งผลกระทบต่อบุคคลต่าง ๆ สำหรับแผนภาพแสดงการบริหารการเปลี่ยนแปลงแสดงได้ดังรูปที่ 3

รูปที่ 3 แผนภาพแสดงการบริหารการเปลี่ยนแปลง

โรงงานอุตสาหกรรมกระบวนการผลิตต้องให้มีความรู้สึกอย่างจริงใจถึง นโยบายการทำงานที่ปลอดภัยของตนเอง, หลักปฏิบัติการออกแบบ และหลักปรัชญาการทำงาน ปัญหาหรือข้อปฏิบัติที่ได้แสดงไปแล้วทั้งหมดเป็นพื้นฐานเบื้องตนในการออกแบบและปฏิบัติงานกับระบบควบคุมอัตโนมัติในอุตสาหกรรมกระบวนการผลิต ซึ่งจะมีผลกระทบหรือมีความเกี่ยวข้องในวงกว้างกับส่วนต่าง ๆ ดังเช่น บริษัทสาธารณะทั้งใหญ่และเล็ก, บริษัทส่วนตัว ซึ่งไม่มีกระบวนการผลิตใดได้รับการยกเว้น

การดำเนินการของโรงงานอุตสาหกรรมต้องมีการตรวจสอบทั้งด้านการออกแบบ, จัดเตรียมและการปฏิบัติงานอย่างจริงจัง เพื่อทำให้เห็นโอกาสที่ดีในการลดความเสี่ยงต่อการเกิดเหตุการณ์อันตรายขึ้น การตรวจสอบนี้ต้องมีความสำคัญมากกว่าการแสดงรายการสิ่งป้องกันในการวิเคราะห์อันตราย การตรวจสอบต้องประกอบไปด้วยสิ่งต่าง ๆ ดังนี้

* การทบทวนรายละเอียดของสิ่งป้องกัน
* การออกแบบสิ่งป้องกัน
* การทำงาน
* การซ่อมบำรุง
* ตัวแปรเกี่ยวกับมนุษย์ 

นอกจากนั้นอุปกรณ์ต่าง ๆ ดังเช่น ระบบเครื่องมือวัดไม่สามารถถูกมองเหมือนว่าเป็นอุปกรณ์ที่ถูกต้องการสำหรับการทำงานที่ปลอดภัย ผู้ปฏิบัติงานในโรงงานต้องมีความเข้าใจความเสี่ยงว่าระบบเครื่องมือวัดถูกออกแบบป้องกันและยับยั้งความเสี่ยงต่ออันตรายได้อย่างไร ต้องมีความเข้าใจว่าการดำเนินการที่ต้องการเป็นอย่างไร เมื่อระบบเครื่องมือวัดไม่ทำงานและการซ่อมบำรุงต้องให้มีความสำคัญในลำดับสูงในการซ่อมบำรุงอุปกรณ์ในระบบเหล่านี้

สุดท้ายผู้บริหารโรงงานต้องให้ความสำคัญว่าระบบเครื่องมือวัดเป็นสิ่งสำคัญในการทำงานของกระบวนการผลิตและต้องมีการป้องกันระบบเหล่านี้ ซึ่งสามารถทำให้ระบบเหล่านี้ป้องกันกระบวนการผลิต ผลลัพธ์ที่แท้จริงเป็นการที่ปลอดภัยของระบบควบคุมอัตโนมัติ

เอกสารอ้างอิง

[1] "Guidelines for chemical process quantitative risk analysis," 2nd edition, Center for chemical process safety, American institute of chemical engineers, New York (2000).
[2] Angela E. Summers, "Bridging the safe automation" Part 1 & Part 2, SIS-TECH Solutions.
[3] IEC 61508, Functional safety of electrical/electronic/programmable electronic safety-related system
[4] ทวิช ชูเมือง, "ระบบวัดคุมนิรภัยในอุตสาหกรรมกระบวนการผลิต", ISBN 974-212-172-9, บริษัท ซีเอ็ดยูเคชั่น จำกัด (มหาชน), 2548.
[5] ทวิช ชูเมือง, "การออกแบบระบบเครื่องมือวัดและควบคุมทางอุตสาหกรรม (เล่ม 1 ระบบควบคุมและข้อมูลพื้นฐาน)" , ISBN 974-939-206-X, บริษัทดวงกลมสมัย จำกัด, 2549