Arıza emniyetli tasarım, bir bileşen bozulduğunda sistemi mümkün olan en güvenli duruma yönelten yaklaşımdır; arızayı engellemekten çok etkisini sınırlar.
11 entry
arıza emniyetli tasarım
elektrik kesilince kapanan vana veya yayla devreye giren fren, arıza emniyetli tasarımın pratik yüzünü gösterir: sistem enerjisini kaybettiğinde tehlikeli hareketi sürdürmez. fakat güvenli durum bağlama bağlıdır; yangın çıkışının kilitli kalması bir arızayı önlerken başka bir acil durum yaratabilir. tasarım masasında daha zor soru şu: ilk arızadan sonra insanın kaçış yolu hâlâ açık mı?
arıza emniyetli tasarımın unutulan kısmı yeniden başlatmadır. elektrik geri geldiğinde sistem eski komutu otomatik sürdürürse, ilk arızanın etkisi bitmeden ikinci bir risk üretebilir. bu yüzden bazı düzenekler enerji geri geldiğinde kendiliğinden çalışmak yerine insan onayı, durum kontrolü ve kontrollü sıfırlama ister. arıza sonrası hangi koşullar yeniden doğrulanıyor?
güvenli durum her sistemde durmak anlamına gelmez. asansör frenle durduğunda arızanın etkisini kesmeye çalışır; hastanenin yedek güç sistemi ise şebeke kesilince kritik yükü beslemeyi sürdürerek güvenliği korur. mühendislikte bu fark, fail-safe ile fail-operational yaklaşımlarını ayırır: biri arızada tehlikeli hareketi keser, diğeri yedekli yollarla sınırlı çalışmayı sürdürür. tasarım belgesinde bu yüzden hangi işlevin duracağı, hangisinin yedek moda geçeceği ve yeniden başlatma için hangi koşulların doğrulanacağı yazmalı.
otopark bariyerinin elektrik kesilince açılması arabaya iyilik, yayaya yeni bir soru çıkarabilir; güvenli durum, çıkışın kime açık kaldığına göre değişiyor.
arıza emniyetli tasarımda bakım ve teşhis modu da hesaba katılmalı. bir makineyi test etmek için koruyucu kilit geçici olarak devre dışı bırakılıyorsa, bu yetkinin kimde olduğu, hangi koşulda açıldığı ve iş bitince nasıl doğrulanacağı tasarımın parçasıdır. yoksa normal çalışma güvenli görünürken servis adımı ayrı bir risk üretir. bazı korumalar operatörün müdahalesini kolaylaştırmak için bypass edilebilir; bypass kaydı, süre sınırı ve yeniden etkinleştirme kontrolü yoksa arıza giderilirken koruma unutulabilir. hangi koruma bakım kolaylığı için susturuluyor, geri dönüşte kim kontrol ediyor?
arıza emniyetli tasarımda arızanın fark edilmemesi de tasarım problemidir. gaz sensörü enerji kaybettiğinde sistem bunu “gaz yok” diye okuyorsa, sensörün sessizliği tehlikeli bir olumlu sinyale dönüşür. denetim devresi bu yüzden yalnız ölçüm değerini değil, sensörün çalıştığını ve iletişimin sürdüğünü de izler; veri kesilince bağlama göre alarm, kontrollü kapatma ya da insan müdahalesi gerekir. asıl merak ettiğim ayrım şu: sistem yanlış ölçümü, yoksa hiç ölçememeyi mi güvenli biçimde ayırt ediyor?
elektriği kesmek, makinenin bütün enerjisini ortadan kaldırmaz. volan dönmeye, basınçlı akışkan bir parçayı itmeye, sıkışmış yay da kuvvet uygulamaya devam edebilir. arıza emniyetli tasarım bu yüzden yalnız komutu kesmeye değil, depolanmış enerjiyi boşaltmaya, hareketi mekanik olarak sınırlamaya ve güvenli duruşun gerçekten oluştuğunu doğrulamaya bakar. düğme kapandı diye fizik ikna olmuş sayılmıyor; bakım ekibinin hareketli parçaya güvenle yaklaşabilmesi için makinenin enerjisinin boşalmasını ve hareketin tamamen durmasını beklemek gerekiyor. (bkz: bakım sürekliliği)
makine durduğunda kırmızı ışığın yanması, operatöre yalnız alarm değil sıra da verir: yaklaşma, enerjinin boşalmasını bekle, sonra kontrol et. güvenli duruşun anlaşılır bir işareti yoksa herkes aynı sessiz cihazı başka türlü yorumlar.
yedekli bir güvenlik düzeni, parçaları çoğaltınca otomatik olarak arıza emniyetli olmaz. iki sensör aynı besleme hattına, aynı kablo güzergâhına ya da aynı yazılım kararına bağlıysa tek bir ortak neden ikisini birden susturabilir; buna ortak nedenli arıza denir. yoksa sistem iki gözlü görünüp tek sinirle karar verir.
sistem normal çalışıyor görünürken koruma işlevi sessizce eksilebilir. gizli arıza (latent failure), normal çalışma sırasında fark edilmeyen ama acil durumda devreye girmesi gereken bir parçanın zaten bozuk olmasıdır. iki kanallı bir durdurma devresinde kanallardan biri röle kontağı yüzünden çalışmıyor olabilir; makine günlük işini sürdürür, gösterge de yeşil kalır. tehlike ancak ikinci bir arıza geldiğinde görünür. yedeklilik burada parça sayma işi değil, her kanalın gerçekten sınanmış olmasıdır.
bunu yakalamak için kanıt testi (proof test) yapılır: sensör, kablo, karar mantığı ve sonlandırıcı eleman kontrollü biçimde tetiklenir; sistemin beklenen güvenli duruma geçip geçmediği görülür. otomatik öz-denetim (self-test) yararlıdır ama her arızayı yakalamaz; fiziksel çıkışın yapışması, yanlış bağlanmış bir kablo veya güvenlik kararının yanlış kanala gitmesi yazılımın kendi kontrolünden kaçabilir. test aralığı uzadıkça gizli arızanın acil ana kadar saklanma süresi de uzar. ölçüm cihazının kendisi de araya girer: test sinyali geliyor diye gerçek kesme yolunun çalıştığı varsayılamaz.
neden önemli: güvenli durumun tanımı kadar, o duruma geçiş yolunun ne zaman son doğrulandığı da tasarım belgesinde bulunmalı. test tarihi, bulunan arıza, geçici bypass (korumayı devre dışı bırakan yol) ve yeniden devreye alma kontrolü ayrı tutulur. test sırasında koruma kapatılıyorsa işlem alanı ve süre sınırı belirlenir; bitince yalnız düğmeyi eski konuma almak yeterli sayılmaz. test sonucu, arızalı parçanın değişimi ve korumanın yeniden etkin olduğu ayrıca doğrulanır. yeşil ışık bazen yalnız lambanın çalıştığını söyler.