خمس تقنيات موثوقية لتحليل تحمّل الأعطال الصناعية

لماذا يتطلب تحمل الأعطال أكثر من مجرد معدات زائدة

سيتعرض كل نظام صناعي للأعطال في نهاية المطاف. فتنحرف قراءات المستشعرات، وتتدهور إمدادات الطاقة، وتصبح روابط الاتصال غير مستقرة، وتتآكل المكونات الميكانيكية تحت تأثير الأحمال المتكررة. ولذلك لا تهدف هندسة تحمل الأعطال إلى إنشاء معدات لا يمكن أن تتعطل مطلقًا. بل تهدف إلى ضمان ألا تتحول الأعطال المتوقعة فورًا إلى حالات فشل غير خاضعة للتحكم في النظام.

يمكن للنظام المتحمل للأعطال أن يواصل تقديم وظيفة مقبولة بعد أن تصبح مكوّنات واحدة أو أكثر غير متاحة. وفي بعض التطبيقات، يجب أن يحافظ النظام على الإنتاج الكامل. وفي تطبيقات أخرى، تكون السعة المنخفضة مقبولة إلى أن تعيد الصيانة القناة المتعطلة إلى الخدمة. أما الأنظمة الحرجة للسلامة فقد تنتقل بدلًا من ذلك إلى حالة آمنة خاضعة للتحكم عندما يؤدي استمرار التشغيل إلى إنشاء خطر غير مقبول.

غالبًا ما تكون المكونات الزائدة جزءًا من هذه الاستراتيجية، لكن التكرار وحده لا يثبت تحمل الأعطال. فقد تظل وحدتا تحكم معتمدتين على مصدر طاقة واحد، أو محول شبكة واحد، أو إعداد برمجي واحد. وقد تشترك ناقلتا قياس في خط نبضي واحد وتتعطلان بسبب الانسداد نفسه. لذلك يجب أن يحلل تحليل الموثوقية البنية الكاملة، بما في ذلك التبعيات غير الظاهرة مباشرة في قائمة المعدات.

توجد خمس طرق مفيدة بوجه خاص لهذا العمل. يحلل تحليل شجرة الأعطال كيفية تسبب مجموعات من الأعطال في وقوع حدث نهائي محدد. وتدرس أنماط الفشل وتحليل آثاره كيفية تعطل المكونات الفردية وتأثير تلك الأعطال في النظام الأوسع. وتستكشف محاكاة مونتِ كارلو أوجه عدم اليقين عبر العديد من سيناريوهات التشغيل والفشل المحتملة، بينما يبحث تحليل السبب الجذري في سبب وقوع حدث فعلي. وتصف نماذج ماركوف كيفية انتقال الأنظمة القابلة للإصلاح بين حالات السليم والمتدهور والمتعطل والمُعاد إلى الخدمة بمرور الوقت.

الشكل 1. لا تستطيع الأنظمة الصناعية تجنب كل عطل، لكن هندسة الموثوقية المنهجية يمكنها منع تحول كثير من الأعطال إلى حالات فشل تامة.

الموثوقية والتوافر والسلامة وقابلية الصيانة ليست الشيء نفسه

غالبًا ما تُستخدم مصطلحات الموثوقية بصورة غير دقيقة، مما قد يسبب ارتباكًا أثناء مراجعات التصميم. تصف الموثوقية احتمال أن تؤدي المعدات وظيفتها المطلوبة خلال فترة زمنية محددة. أما التوافر فيصف مدى جاهزية المعدات عند حاجة العملية إليها. وقد يتعطل النظام أحيانًا، ومع ذلك يحافظ على توافر مرتفع عندما تكون الإصلاحات سريعة وقطع الغيار متاحة فورًا.

تصف قابلية الصيانة مدى فعالية تشخيص النظام المتعطل وإعادته إلى الخدمة. وتصف السلامة ما إذا كانت الأعطال تظل ضمن حدود المخاطر المقبولة على العاملين والبيئة والمعدات. وتؤثر هذه الخصائص بعضها في بعض، لكن تحسين إحدى الخصائص لا يؤدي تلقائيًا إلى تحسينها جميعًا. فقد يؤدي الإيقاف الوقائي إلى خفض توافر الإنتاج، مع تحسين سلامة المنشأة بدرجة كبيرة.

تتداخل القدرة على تحمل الأعطال مع هذه التخصصات جميعًا. فهي تعتمد على التكرار، والتشخيص، والعزل، وإمكانية الإصلاح، والتدهور المنضبط. كما تعتمد على تعريف واضح للوظيفة المطلوبة. ولا يستطيع المهندسون تحديد ما إذا كان النظام متحملًا للأعطال قبل معرفة الأداء الذي يجب أن يستمر بعد كل عطل موثوق الحدوث.

فعلى سبيل المثال، قد يحتاج نظام حماية ضاغط إلى الحفاظ على إمكانية الفصل الطارئ بعد تعطل مستشعر واحد. وقد لا يحتاج نظام التحكم في العمليات إلا إلى الحفاظ على التشغيل المستقر أثناء استبدال إحدى وحدات التحكم. وقد يتطلب مخطط حماية القدرة قنوات مستقلة بحيث لا يتمكن عطل مشترك واحد من تعطيل الحماية الأساسية والاحتياطية معًا. وتساعد تقنيات الاعتمادية المهندسين على تحويل هذه المتطلبات إلى تصميمات قابلة للاختبار.

اختيار الأسلوب بناءً على السؤال الهندسي

تتناول تقنيات الاعتمادية الخمس أجزاءً مختلفة من المشكلة نفسها. يبدأ تحليل شجرة الأعطال بحدث غير مرغوب فيه في النظام، ويعمل عكسيًا للوصول إلى الإخفاقات التي قد تسببه. أما تحليل أنماط الإخفاقات وآثارها (FMEA) فيبدأ بالمكونات أو الوظائف، ويتتبع إلى الأمام عواقب كل نمط إخفاق. وتدرس محاكاة مونت كارلو تأثير عدم اليقين من خلال تكرار نموذج النظام في ظل عدد كبير من الظروف المُولَّدة عشوائيًا.

يبدأ تحليل السبب الجذري (RCA) عادةً بعد وقوع حادث فعلي، مستخدمًا الأدلة للفصل بين الأعراض الظاهرة والأسباب التقنية والتنظيمية الكامنة. ويركز نمذجة ماركوف على حالات النظام والمعدلات التي ينتقل بها النظام بينها. وتكون مفيدة خصوصًا عندما تؤثر أعمال الإصلاح والتشغيل الاحتياطي والأداء المتدهور وتغطية التشخيص بقوة في التوافر.

يعتمد الاختيار الصحيح على السؤال المطروح. فالفريق الذي يحقق في كيفية حدوث فقدان كامل للتبريد سيبدأ عادةً بتحليل شجرة الأعطال (FTA). أما فريق التصميم الذي يراجع كل إخفاق محتمل في أجهزة الإرسال ووحدات التحكم والصمامات، فسيستفيد أكثر من تحليل أنماط الإخفاقات وآثارها (FMEA). وقد يستخدم مدير الأصول محاكاة مونت كارلو للمقارنة بين فترات الصيانة غير المؤكدة، بينما قد يفضّل مهندس الاعتمادية نموذج ماركوف لحساب التوافر طويل الأمد لزوج من وحدات التحكم المتكررة.

هذه الأساليب متكاملة وليست بدائل قابلة للاستبدال. يمكن لتحليل أنماط الإخفاقات وآثارها (FMEA) تحديد أنماط إخفاق تصبح لاحقًا أحداثًا أساسية ضمن شجرة أعطال. ويمكن لنتائج تحليل السبب الجذري (RCA) تصحيح افتراضات إخفاق غير واقعية في نموذج ماركوف. كما يمكن لمحاكاة مونت كارلو اختبار تأثير الاحتمالات غير المؤكدة في الاستنتاجات المستخلصة من تحليل شجرة الأعطال أو تخطيط الصيانة.

يبدأ تحليل شجرة الأعطال من النتيجة

تحليل شجرة الأعطال هو أسلوب استنتاجي يبدأ بحدث غير مرغوب فيه محدد بوضوح. يُسمّى هذا الحدث الحدثَ الأعلى. ومن الأمثلة المناسبة فقدان مياه تغذية الغلاية بالكامل، أو تعطل وظيفة فصل التوربين، أو الفقدان الكامل للاتصال بوحدة التحكم، أو الارتفاع غير المتحكم فيه للضغط داخل مفاعل. ويجب أن يكون التعريف محددًا بما يكفي لإجراء تحليل ذي معنى.

عادةً ما يكون وصف الحدث الأعلى بأنه «تعطل النظام» غامضًا جدًا. فهو لا يحدد الوظيفة التي تعطلت، أو المدة التي استمر فيها العطل، أو حالة التشغيل المطبقة. وقد يكون التعريف الأفضل هو «فقدان تدفق مياه التبريد بالكامل لأكثر من ستين ثانية أثناء الإنتاج العادي». وتوفر هذه الصياغة حدًا واضحًا للتحليل.

بعد تحديد الحدث الأعلى، يحدد الفريق الظروف المباشرة التي يمكن أن تؤدي إليه. وتُفكك هذه الظروف إلى أحداث ذات مستويات أدنى حتى يصل التحليل إلى أعطال المكونات الأساسية أو الاضطرابات الخارجية أو الأفعال البشرية. وتربط البوابات المنطقية بين الأحداث وتصف كيفية اجتماعها. وتشير بوابات «أو» إلى أن أي حدث مدرج يمكن أن يؤدي إلى الحدث الأعلى، بينما تتطلب بوابات «و» وقوع عدة أحداث معًا.

توفر الشجرة المكتملة تمثيلًا مرئيًا لمنطق الفشل. وتتيح للمتخصصين في المجالات الكهربائية والميكانيكية وأجهزة القياس والعمليات والصيانة والسلامة مراجعة النظام نفسه من منظور مشترك. ويُعد هذا النموذج المشترك إحدى أعظم نقاط القوة العملية لتحليل شجرة الأعطال (FTA). فهو يجعل من السهل تحدي الافتراضات الخفية قبل أن تترسخ في التصميم.

الشكل 2. تعمل شجرة الأعطال بصورة عكسية انطلاقًا من حدث أعلى محدد، وتحدد مجموعات الأعطال ذات المستوى الأدنى التي يمكن أن تؤدي إليه.

تطوير شجرة الأعطال خطوة بخطوة

تتمثل المهمة العملية الأولى في تحديد حدود النظام. إذ يجب على المهندسين أن يقرروا المعدات والمرافق والبرمجيات والمشغلين والخدمات الخارجية التي تندرج ضمن التحليل. وقد تشمل دراسة نظام التبريد المضخات والصمامات وتوزيع الطاقة وأجهزة القياس ومنطق التحكم. وقد يلزم أيضًا تضمين مصدر المياه والظروف البيئية واستجابة المشغل عندما يمكن لهذه العوامل أن تؤثر في الحدث الأعلى.

يحدد الفريق بعد ذلك الأسباب المباشرة. فقد يحدث الفقد الكلي للتبريد بسبب تعذر تشغيل جميع المضخات، أو انسداد مجمع الإمداد المشترك، أو إغلاق صمامات العزل بشكل غير صحيح. ويُفكك كل سبب مباشر إلى أسباب فرعية. وقد ينتج تعذر تشغيل المضخة عن تعطل المحرك، أو انحشار المحمل، أو فقدان السحب، أو تعطل وحدة التحكم، أو فقدان التغذية الكهربائية.

تستمر العملية حتى لا يعود إجراء مزيد من التفكيك ليحسّن القرار. وتُعامل الأحداث ذات المستوى الأدنى على أنها أحداث أساسية، وقد تُسنَد إليها احتمالات أو معدلات فشل. ويمكن بعد ذلك تقييم البنية المنطقية نوعيًا أو كميًا. وحتى عند عدم توفر بيانات رقمية دقيقة، تظل الشجرة قادرة على كشف نقاط الفشل الوحيدة والاعتماديات المشتركة غير المتوقعة.

يجمع تحليل شجرة الأعطال الكمي احتمالات الأحداث وفقًا لبنية البوابات. وقد تبدو العملية الحسابية بسيطة، لكن يجب مراجعة افتراضات الاستقلال بعناية. فحدثان يشتركان في مصدر الطاقة نفسه، أو البيئة نفسها، أو نشاط الصيانة نفسه، أو عيب برمجي واحد، لا يكونان مستقلين تمامًا. وقد يؤدي تجاهل هذه العلاقات إلى جعل التصميم المكرر يبدو أكثر أمانًا بكثير مما هو عليه في الواقع.

تُظهر مجموعات القطع الدنيا أخطر التوليفات

مجموعة القطع هي توليفة من الأحداث الأساسية تُنتج الحدث الأعلى. وتحتوي مجموعة القطع الدنيا على الأحداث الضرورية فقط، ما يعني أن إزالة أي حدث واحد منها ستمنع وقوع الحدث الأعلى. وتساعد هذه التوليفات المهندسين على تحديد أقصر مسارات الأعطال وأكثرها أهمية. وتكون ذات قيمة خاصة عندما تحتوي شجرة أعطال كبيرة على مئات الأحداث.

تشير مجموعة القطع الدنيا المكوّنة من حدث واحد إلى أن عطلًا واحدًا يمكن أن يسبب الحدث الأعلى مباشرةً. وتستحق هذه النتائج عادةً اهتمامًا فوريًا في التصميم. وقد يضيف الفريق تكرارًا، أو يحسّن العزل، أو يوفر مصدر طاقة منفصلًا، أو يُدخل طبقة حماية أخرى. وغالبًا ما تمثل مجموعات القطع المكوّنة من حدثين وثلاثة أحداث أعطالًا داخل بنيات مكررة.

ليست كل مجموعة قطع قصيرة متساوية في مستوى المخاطر. فقد يكون اقتران يتضمن حدثين من الأعطال المتكررة أكثر أهمية من حدث خارجي واحد نادر للغاية. كما يؤثر وقت الكشف والإصلاح في الأهمية. فالعطل الخفي الذي يظل غير مكتشف لأشهر يسبب فترة تعرّض أكبر بكثير من عطل يُكتشف ويُصلح فورًا.

يمكن لبرامج تحليل شجرة الأعطال ترتيب مجموعات القطع بحسب مساهمتها المحسوبة. ومع ذلك، ينبغي للمهندسين فحص المعنى الفعلي الكامن وراء الأرقام. فقد يستند الاحتمال المنخفض رياضيًا إلى افتراضات ضعيفة أو بيانات عامة لا تعكس التركيب الفعلي. ويظل الحكم الهندسي ضروريًا طوال عملية التحليل.

مثال: تكرار مضخات مياه تغذية الغلاية غير المستقل فعليًا

لنفترض وجود محطة طاقة تشغّل مضختين لمياه تغذية الغلاية. يمكن لأي من المضختين الحفاظ على الحد الأدنى المطلوب من التدفق، ولذلك يبدو أن النظام قادر على تحمّل تعطل مضخة واحدة. ويشير العدّ البسيط للمعدات إلى وجود تكرار كامل. غير أن شجرة الأعطال قد تكشف واقعًا مختلفًا عند تضمين التبعيات المشتركة.

قد يتلقى محركا المضختين الطاقة من قضيب التوصيل الكهربائي نفسه. وقد تسحب المضختان من مجمع سحب واحد، أو تعتمدان على نظام التحكم نفسه، أو تتلقيان أوامر من جهاز قياس مستوى واحد. ولذلك قد يؤدي عطل واحد في قضيب التوصيل، أو انسداد مجمع السحب، أو إشارة مشتركة غير صحيحة إلى تعطيل المضختين في الوقت نفسه. ولن يحمي التكرار الظاهري المتمثل في وجود مضختين من هذه الأعطال المشتركة.

قد يقود التحليل إلى عدة تحسينات عملية. إذ يمكن لمصادر التغذية الكهربائية المنفصلة أن تقلل من فقدان الطاقة المشترك. ويمكن لقياسات المستوى المتنوعة أن تقلل الاعتماد على تقنية مرسل واحدة. كما يمكن لمسارات التحكم المستقلة، وتحسين التشغيل اليدوي، وتحسين مراقبة السحب أن تعزز البنية دون إضافة مضخة كاملة أخرى بالضرورة.

يوضح هذا المثال سبب كون تحليل شجرة الأعطال (FTA) أكثر فائدة من مجرد عدّ الأجهزة المتكررة. فهو يقيّم ما إذا كانت الأجهزة تظل مستقلة في ظل ظروف التشغيل الفعلية. كما يحدد أين توفر زيادة التعقيد حماية حقيقية، وأين لا تؤدي إلا إلى خلق مظهر الحماية.

أين ينجح تحليل شجرة الأعطال—وأين لا ينجح

يكون تحليل شجرة الأعطال (FTA) فعالًا بصفة خاصة في وظائف السلامة، وأنظمة الحماية، وشبكات التوزيع الكهربائي، وشبكات الاتصالات، وغيرها من التطبيقات التي يكون فيها الحدث غير المرغوب محددًا بوضوح. ويدعم هيكله المرئي مراجعات التصميم والمناقشات التنظيمية. ويمكن استخدامه نوعيًا لكشف نقاط الضعف، أو كميًا لتقدير احتمال وقوع الحدث الأعلى.

تصبح الطريقة أقل فعالية عندما يكون الحدث الأعلى محددًا بصورة سيئة. وقد يصعب أيضًا الحفاظ عليها عندما تمتد الشجرة لتشمل آلاف الأحداث. وقد تتطلب التسلسلات الديناميكية، وسلوك الصيانة، وحالات التشغيل المتغيرة بوابات متخصصة أو تقنيات نمذجة إضافية. ولا تصف شجرة الأعطال الساكنة بصورة طبيعية كل علاقة تعتمد على الزمن.

تتطلب الإجراءات البشرية أيضًا معالجة دقيقة. ويعتمد احتمال استجابة المشغّل على جودة الإنذار، وتصميم الإجراء، والتدريب، وعبء العمل، والوقت المتاح، وظروف الواجهة. وقد يؤدي إسناد احتمال عام واحد للخطأ البشري إلى إخفاء هذه الاختلافات. وينبغي أن يشارك اختصاصيو العوامل البشرية في التحليلات الجادة عندما يكون إجراء المشغّل محوريًا في النتيجة.

لذلك يكون تحليل شجرة الأعطال (FTA) أقوى عند استخدامه كجزء من برنامج أوسع للموثوقية. إذ يمكن لتحليل أنماط الإخفاق وآثاره (FMEA) أن يوفّر أنماطًا تفصيلية لإخفاق المكوّنات، بينما يمكن لأساليب ماركوف أو مونتِ كارلو معالجة الإصلاح والتتابع وحالات عدم اليقين. ولا ينبغي اعتبار أي شجرة تمثيلًا كاملًا لكل سلوكيات النظام.

يبدأ تحليل أنماط الإخفاق وآثاره بالمكوّن

يستخدم تحليل أنماط الإخفاق وآثاره منهجًا استقرائيًا. فبدلًا من البدء بالحدث الأعلى، يبدأ الفريق بعنصر أو وظيفة أو خطوة في العملية. ثم يتساءل كيف يمكن أن يتعطل ذلك العنصر، وما تأثير كل إخفاق محليًا وعلى مستوى النظام. ويجعل هذا الاتجاه تحليل أنماط الإخفاق وآثاره مفيدًا بصفة خاصة أثناء التصميم ومراجعة المعدات.

يمكن أن يتعطل مرسل الضغط بعدة طرق مختلفة. فقد تنحرف قيمة خرجه إلى أعلى، أو إلى أسفل، أو تتجمد عند قيمة واحدة، أو تصبح غير مستقرة، أو تختفي تمامًا. وينتج عن كل نمط عاقبة تشغيلية مختلفة. فقد تؤدي القراءة المرتفعة إلى إيقاف غير ضروري، بينما قد تخفي القراءة المنخفضة حالة ضغط خطرة.

يفرض تحليل أنماط وآثار الإخفاق على الفريق وصف هذه الاختلافات بدلًا من تسجيل عبارة «إخفاق جهاز الإرسال» فقط. كما يفحص ضوابط الوقاية والاكتشاف الحالية. وقد يحدد التحليل وسائل تشخيص، ومنطق مقارنة، واختبارات إثبات، وإنذارات، وتجاوزات، أو فحوصات يجريها المشغّل، من شأنها تقليل العاقبة. وغالبًا ما يصبح ضعف الاكتشاف مهمًا بقدر أهمية نمط الإخفاق الأصلي.

الشكل 3. يقيّم تحليل أنماط وآثار الإخفاق أنماط الإخفاق الفردية وآثارها وشدتها والضوابط المتاحة لمنعها أو اكتشافها.

ما الذي ينبغي أن تتضمنه ورقة عمل فعّالة لتحليل أنماط وآثار الإخفاق

تبدأ ورقة عمل مفيدة لتحليل أنماط وآثار الإخفاق بالعنصر ووظيفته المطلوبة. ويصف نمط الإخفاق كيفية فقدان الوظيفة أو تدهورها أو تنفيذها بطريقة غير صحيحة. ويصف الأثر المحلي ما يحدث على مستوى المكوّن، بينما يصف أثر النظام العاقبة التشغيلية أو المتعلقة بالسلامة على نطاق أوسع. وتُسجّل الأسباب والآليات منفصلة عن الآثار.

توثّق ورقة العمل أيضًا الضوابط الحالية. تقلل الضوابط الوقائية احتمال حدوث الإخفاق. وتكشف ضوابط الاكتشاف الإخفاق قبل أن يؤدي إلى عاقبة غير مقبولة. وتشمل الأمثلة التشخيص الذاتي، والمقارنة بين الإشارات الزائدة عن الحاجة، وحدود الإنذار، واختبارات الإثبات، وعمليات الفحص، والصيانة التنبؤية.

تُسند مؤسسات كثيرة درجات للشدة والحدوث وقابلية الاكتشاف. وأحيانًا تُضرب هذه القيم معًا لإنتاج رقم أولوية المخاطر. ويمكن أن يساعد هذا الرقم في تحديد الأولويات، لكنه يجب ألا يحل محل الحكم الفني. فقد تؤدي تركيبات مختلفة إلى الدرجة نفسها، حتى عندما تكون عواقبها مختلفة جوهريًا.

قد يستحق إخفاق كارثي نادر اهتمامًا أكبر من إزعاج بسيط متكرر، حتى عندما تبدو درجاتهما المحسوبة متقاربة. لذلك ينبغي مراجعة الشدة بصورة مستقلة. كما ينبغي للفرق إعطاء الأولوية للإجراءات التي تزيل آلية الإخفاق أو تقلل العاقبة، بدلًا من الاعتماد على عمليات الفحص الإضافية وحدها.

مثال: مدخلات PLC زائدة عن الحاجة مع نقطة ضعف مشتركة

لنفترض وجود قناتَي إدخال رقمي تراقبان مفتاحًا ميدانيًا واحدًا للطوارئ. تبدو البنية زائدة عن الحاجة لأن مدخلَي PLC يستقبلان الإشارة. ويدرس تحليل أنماط وآثار الإخفاق ما إذا كان مسار الإشارة الكامل مستقلًا بالفعل. وهو يأخذ في الاعتبار التلامس الميداني، والتوصيلات، وطاقة الإدخال، وتجميعات الأطراف، والوحدات، والمنطق، وسلوك التشخيص.

قد تشمل أنماط الإخفاق المحتملة دائرة مفتوحة، أو دائرة قصر، أو تلامسًا ملتحمًا، أو قناة عالقة في الحالة العالية، أو قناة عالقة في الحالة المنخفضة، أو فقدان مصدر التغذية المشترك للمدخلات. كما يبحث التحليل فيما إذا كان قد تم اكتشاف عدم التوافق بين القنوات. وإذا كانت القناتان تشتركان في تلامس ميداني واحد وكابل واحد، فإن العديد من حالات الإخفاق الموثوقة قد تؤثر في القناتين في الوقت نفسه.

قد تُظهر المراجعة أن وحدات الإدخال المكررة توفر حماية إضافية محدودة. وقد تكون هناك حاجة إلى نقاط تلامس منفصلة أو دوائر مجال مراقَبة أو مسارات طاقة مستقلة أو مبادئ استشعار متنوعة. كما يجب أن يتحقق إجراء اختبار الإثبات من سلسلة الإشارة بأكملها، بدلًا من اختبار وحدة PLC فقط.

بالنسبة إلى البنى الوقائية، قد يراجع المهندسون أيضًا وحدات السلامة الصناعية المناسبة المصممة لتوفير التغطية التشخيصية والتكرار وسلوك الأعطال المتحكم فيه. ومع ذلك، يجب أن يتبع اختيار الأجهزة دورة السلامة الكاملة، ولا يمكنه أن يحل محل التحليل الخاص بالتطبيق.

يعالج تحليل FMEA للتصميم وتحليل FMEA للعملية مخاطر مختلفة

يدرس تحليل FMEA للتصميم المنتج أو النظام المصمم هندسيًا. ويفحص ما إذا كانت البنية والمكونات والمواد ووظائف التحكم المختارة قادرة على الأداء كما هو مقصود. وتُطبَّق الطريقة عادةً أثناء تطوير المفهوم والتصميم التفصيلي وإجراء تغييرات التصميم. وتكون قيمتها الأكبر قبل أن يصبح تعديل التصميم مكلفًا.

يدرس تحليل FMEA للعملية أنشطة التصنيع أو التجميع أو التركيب أو التشغيل الأولي أو الصيانة. فقد يكون التصميم الكهربائي للخزانة صحيحًا، لكن عملية التركيب قد تتسبب مع ذلك في أطراف توصيل مرتخية أو عكس القطبية أو استخدام قيم غير صحيحة للمصهرات أو تعريف خاطئ للأسلاك. وقد تؤدي أنشطة الصيانة إلى تثبيت برنامج ثابت غير صحيح أو قطع غيار غير مناسبة أو تعطيل الإنذارات أو ترك دوائر التجاوز مفعّلة.

ينبغي أن يدعم هذان النوعان من تحليل FMEA أحدهما الآخر. فقد تقلل ضوابط التصميم من حساسية التركيب، بينما قد تمنع ضوابط العملية أخطاء التنفيذ التي لا يستطيع التصميم القضاء عليها. إن مراجعة تصميم المعدات فقط تترك العديد من مخاطر دورة الحياة دون معالجة. كما أن مراجعة عملية العمل فقط قد تخفي نقاط الضعف المتأصلة في البنية الأصلية.

بالنسبة إلى أنظمة الأتمتة الحرجة، ينبغي تحديث كلا التحليلين بعد إجراء تعديلات كبيرة. فقد يؤدي استبدال وحدة التحكم أو ترحيل الشبكة أو ترقية البرمجيات أو تغيير إجراء اختبار الإثبات إلى ظهور أنماط أعطال جديدة. وينبغي ألا تظل أوراق العمل التاريخية مجمدة بينما تتطور المنشأة من حولها.

يضيف تحليل FMECA تقييمًا أكثر رسمية للأهمية الحرجة

يوسّع تحليل أنماط الأعطال وآثارها وأهميتها الحرجة (FMECA) هيكل تحليل أنماط الأعطال وآثارها (FMEA) بإضافة حسابات رسمية للأهمية الحرجة. وقد تستخدم الطريقة معدلات أعطال المكونات، والتعرض التشغيلي، ومراحل المهمة، وفئات الشدة، والاحتمالات الشرطية. وتكون مفيدة عندما يحتوي نظام كبير على العديد من أنماط الأعطال، ويجب توجيه الموارد الهندسية نحو العوامل الأكثر إسهامًا.

تعتمد حسابات الأهمية الحرجة بدرجة كبيرة على جودة البيانات. توفر قواعد بيانات معدلات الأعطال العامة نقطة بداية، لكنها قد لا تعكس واقع التركيب الفعلي. وتؤثر درجة الحرارة والاهتزاز والتلوث والإجهاد الكهربائي وجودة الصيانة ودورة التشغيل جميعها في الأداء الفعلي. وينبغي استبدال الافتراضات العامة بأدلة خاصة بالمنشأة عند توفر سجل تشغيل كافٍ.

ينبغي أن يميّز التحليل أيضًا بين الإخفاقات التي تُكتشف فورًا والإخفاقات التي تظل خفية. فقد لا يؤثر إخفاق خامل في منظومة احتياطية في الإنتاج حتى يتعطل مكوّن آخر أو يحدث طلب على المنظومة. وقد يجعل التعرض الخفي الطويل إخفاقًا قليل التكرار مهمًا للغاية. ولذلك يجب تضمين فترات الكشف وفعالية اختبارات الإثبات.

يكون تحليل أنماط الإخفاق وآثارها الحرجة (FMECA) أكثر فائدة عندما تؤدي نتائجه إلى إجراء تصميمي أو صيانِي. فجدول ترتيب معقد تكون قيمته محدودة إذا لم يؤثر في البنية، أو قطع الغيار، أو التشخيص، أو الاختبارات، أو الإجراءات التشغيلية. ويظل الهدف هو الحد العملي من المخاطر، لا إجراء الحساب لمجرد الحساب.

متى ينجح تحليل أنماط الإخفاق وآثاره (FMEA)—ومتى قد يكون مضللًا

يوفر تحليل أنماط الإخفاق وآثاره (FMEA) مراجعة منهجية للمكوّنات واحدًا تلو الآخر. ومن السهل نسبيًا شرحه، كما يدعم مشاركة العاملين في الهندسة والتشغيل والصيانة والجودة والسلامة. ويمكن ربط سجل الإجراءات الناتج مباشرة بتغييرات التصميم وعمليات الفحص والتشخيص وتحسينات الصيانة.

قد تصبح الطريقة تكرارية عند تطبيقها على أنظمة كبيرة جدًا. فقد تقضي الفرق وقتًا مفرطًا في توثيق أنماط الإخفاق منخفضة القيمة، بينما تغفل تفاعلات النظام. كما يميل تحليل أنماط الإخفاق وآثاره التقليدي إلى فحص إخفاق واحد في كل مرة. وقد لا تظهر الإخفاقات المتزامنة المتعددة والأحداث المعتمدة على التسلسل بوضوح.

تُنشئ أنظمة التقييم خطرًا آخر. فقد تعدّل الفرق التقييمات للوصول إلى أولوية مفضلة، أو تتعامل مع الرقم النهائي على أنه أكثر موضوعية من الحكم الذي يستند إليه. ولا تثبت الدرجة المنخفضة أن الإخفاق مقبول. وينبغي أن تخضع الأحداث عالية الشدة، والإخفاقات الناجمة عن سبب مشترك، والمتطلبات التنظيمية لمراجعة منفصلة.

تعتمد جودة تحليل أنماط الإخفاق وآثاره (FMEA) على الأشخاص الذين يُجرونه. فقد تفوّت ورقة عمل أعدّها مصمم واحد حقائقَ ميدانية يعرفها المشغلون والفنيون. وتجمع الدراسات القوية بين المعرفة التصميمية وسجل الصيانة الفعلي والخبرة التشغيلية.

تحوّل محاكاة مونت كارلو عدم اليقين إلى توزيع

غالبًا ما تتضمن حسابات الموثوقية الصناعية مدخلات غير مؤكدة. إذ يختلف عمر المكوّن، وتتغير مدة الإصلاح، ولا يمكن التنبؤ بموعد تسليم قطع الغيار، كما تؤثر الضغوط البيئية في سلوك الأعطال. ولا يمكن لقيمة متوسطة واحدة أن تمثل هذه التباينات دائمًا. وتعالج محاكاة مونت كارلو هذه المشكلة من خلال أخذ عينات عشوائية متكررة.

يبني المهندس أولًا نموذجًا للنظام ويُسنِد توزيعات احتمالية إلى المتغيرات غير المؤكدة. ثم تُولِّد المحاكاة العديد من التركيبات المحتملة. قد تفترض إحدى الجولات تعطل مضخة بعد 8,000 ساعة وإصلاحها خلال أربع ساعات. وقد تُظهر جولة أخرى تعطلًا في وقت لاحق، لكن إصلاحًا أطول بكثير لأن قطعة الغيار المطلوبة غير متاحة.

بعد إجراء آلاف التشغيلات أو ملايينها، تشكل النتائج توزيعًا. ويمكن للنموذج تقدير وقت التوقف المتوقع، وفاقد الإنتاج، وتوافر النظام، واحتمال نجاح المهمة، والطلب على قطع الغيار، أو تكلفة الصيانة. كما يمكنه إظهار احتمال النتائج القصوى التي قد تختفي ضمن قيمة متوسطة واحدة.

الشكل 4. تقيّم محاكاة مونت كارلو العديد من سيناريوهات الفشل والإصلاح المُولّدة عشوائيًا لتقدير نطاق النتائج المحتملة.

بناء نموذج موثوقية مونت كارلو موثوق

تعتمد جودة المحاكاة على نموذج النظام. ويجب أن يمثل النموذج المكونات، وقواعد التشغيل، وتوزيعات الفشل، وسلوك الإصلاح، والاعتماديات، ومنطق الاستعداد، وموارد الصيانة. وقد يشمل أيضًا الطقس، والطلب على الإنتاج، وتأخيرات الخدمات اللوجستية، واستجابة العنصر البشري عندما تؤثر هذه العوامل في أداء النظام.

يتتبع كل تشغيل مُحاكى النظام عبر الزمن. إذ تتعطل المكونات وفق توزيعات مُعاينة، وتبدأ الإصلاحات عند توافر الموارد، ويسجل النموذج ما إذا كان النظام يظل قيد التشغيل أو يعمل بحالة متدهورة أو غير متاح. ويؤدي تكرار العملية إلى إنتاج تقديرات لمقاييس أداء مختلفة.

تُعد عملية التحقق ضرورية. وينبغي للفريق مقارنة النموذج بالحسابات المبسطة، وحالات التشغيل المعروفة، والنتائج التاريخية للمحطة. ويجب التحقيق في المخرجات غير المتوقعة بدلًا من قبولها لمجرد أنها صدرت عن برنامج. فقد تكون المحاكاة المثيرة للإعجاب بصريًا خاطئة رغم ذلك عندما يكون المنطق الأساسي غير مكتمل.

يساعد تحليل الحساسية على تحديد الافتراضات التي تؤثر في النتيجة. فإذا كان لزمن الإصلاح تأثير أكبر بكثير من معدل الفشل، فقد تحقق الإدارة قيمة أكبر من خلال تحسين توافر قطع الغيار وتسريع التشخيص. وإذا كان احتمال السبب المشترك هو العامل المهيمن، فقد لا تحقق إضافة المزيد من المكونات المتطابقة فائدة كبيرة.

اختيار توزيعات الاحتمالات المتوافقة مع آلية الفشل

يفترض التوزيع الأسي معدل فشل ثابتًا. وقد يكون مناسبًا لبعض المكونات الإلكترونية خلال فترة تشغيلها النافع. أما توزيع ويبل فهو أكثر مرونة، ويمكنه تمثيل أعطال مرحلة مبكرة من العمر، أو أعطال عشوائية، أو سلوك التهالك. وغالبًا ما تكون التوزيعات اللوغاريتمية الطبيعية مفيدة لفترات الإصلاح والعمليات المتأثرة بعدة عوامل متضاعفة.

ينبغي أن يعكس الاختيار الآلية الفيزيائية، لا سهولة استخدام البرمجيات. ففشل المحمل الناتج عن التآكل لا يتبع بطبيعته السلوك نفسه لخطأ اتصال عشوائي. وقد يؤدي استخدام معدل فشل ثابت لكليهما إلى تشويه التنبؤات طويلة الأجل. لذلك ينبغي لمهندسي الاعتمادية دراسة سجل التشغيل وآليات الفشل قبل اختيار التوزيع.

غالباً ما تتطلب البيانات التاريخية التنظيف. فقد تخلط أنظمة الصيانة بين الاستبدال المخطط له والعطل الوظيفي. وقد تُسجَّل تواريخ الأعطال عند فتح أمر العمل بدلاً من وقت حدوث الخلل. كما قد تختلف أسماء الأصول وساعات التشغيل ورموز الأعطال بين المواقع.

لا تمنع البيانات المحدودة إجراء التحليل، لكن ينبغي أن يظل عدم اليقين واضحاً. ويمكن أن تدعم آراء الخبراء ومعلومات الموردين وقواعد بيانات القطاع التقديرات المبكرة. وينبغي للنموذج اختبار نطاق واقعي بدلاً من عرض افتراض واحد غير مؤكد كأنه حقيقة دقيقة.

مثال: توافر محطة تضم ثلاثة ضواغط

لنفترض وجود محطة تضم ثلاثة ضواغط غاز. يلزم تشغيل وحدتين لتحقيق الإنتاج الكامل، بينما توفر الوحدة الثالثة قدرة احتياطية. ولكل آلة ساعات تشغيل وسجل صيانة وأداء تبريد مختلف. ولا يمكن إجراء أكثر من إصلاح رئيسي واحد في الوقت نفسه، لأن المحطة تضم فريق صيانة متخصصاً واحداً.

تتطلب المحامل الاحتياطية عدة أيام للتسليم، وتصبح أعطال نظام التبريد أكثر تكراراً خلال فترات ارتفاع درجات الحرارة المحيطة. ويصعب تمثيل هذه التفاعلات باستخدام معادلة توافر بسيطة واحدة. ويمكن لنموذج مونت كارلو أخذ عينات من أعطال الضواغط، ومدد الإصلاح، وفترات الطقس، وتوافر الفنيين، والتأخيرات اللوجستية.

قد تُظهر النتائج التوافر عند الطاقة الكاملة، والتشغيل بطاقة منخفضة، والتوقف الكامل للمحطة. ويمكن للإدارة مقارنة الاستثمارات البديلة. وقد يؤدي تخزين محامل إضافية إلى تقليل فترات التوقف القصوى بفاعلية أكبر من إضافة فني صيانة عام آخر. وقد يوفر تحسين موثوقية التبريد قيمة أكبر من استبدال ضاغط سليم من الناحية التشغيلية.

يمكن للنموذج أيضاً اختبار الفواصل الزمنية للصيانة. فقد تقلل الفواصل الوقائية الأقصر من الأعطال، لكنها تزيد مدة التوقف المخطط لها والأخطاء الناجمة عن الصيانة. وتتيح المحاكاة تقييم كلا الأثرين ضمن النموذج التشغيلي نفسه.

أين تعمل محاكاة مونت كارلو بكفاءة—وأين تفشل

تتسم أساليب مونت كارلو بالقوة عندما تتفاعل العديد من المتغيرات غير المؤكدة. إذ يمكنها تمثيل الخدمات اللوجستية المعقدة، وطوابير الإصلاح، وتأثيرات الطقس، والطلب على الإنتاج، وقرارات الصيانة. ويوفر التوزيع الناتج معلومات أكثر من متوسط واحد. كما يدعم اتخاذ القرارات القائمة على المخاطر من خلال إظهار احتمال وقوع نتائج شديدة الخطورة لكنها نادرة.

يتمثل الضعف الرئيسي في مصداقية النموذج. فقد تؤدي المحاكاة المعقدة إلى ثقة زائفة لأن مخرجاتها تبدو دقيقة من الناحية العددية. ولا يحسب البرنامج سوى نتائج الافتراضات التي أدخلها المحلل. وقد تؤدي التبعيات المفقودة أو التوزيعات غير الواقعية إلى نتائج مضللة.

تتطلب المحاكاة أيضًا عددًا كافيًا من عمليات التشغيل لتحقيق تقديرات مستقرة. وقد تتطلب احتمالات الأحداث النادرة تقنيات أخذ عينات متخصصة، لأن المحاكاة العشوائية العادية ستحتاج إلى عدد كبير من عمليات التشغيل بصورة غير عملية. وينبغي الإبلاغ عن فواصل الثقة حتى يفهم المستخدمون عدم اليقين الإحصائي.

ولذلك تكون الطريقة أكثر قيمة عندما يظل منطق النموذج، ومصادر البيانات، والقيود، واضحًا وشفافًا. ولا ينبغي أن تستند قرارات الموثوقية إلى رسم بياني لا يمكن شرح افتراضاته للعاملين في التشغيل والهندسة.

يبدأ تحليل السبب الجذري بعد وقوع الحدث

يبحث تحليل السبب الجذري في سبب وقوع عطل فعلي، أو مشكلة في الجودة، أو حادث متعلق بالسلامة. وهو يتجاوز تحديد المكوّن التالف. فقد يتوقف المحرك بسبب انحشار محمل، لكن استبدال المحمل لا يؤدي إلا إلى استعادة التشغيل. ويجب أن يحدد التحقيق سبب وصول المحمل إلى تلك الحالة.

قد تشمل الأسباب الأعمق التلوث، أو التزييت غير الصحيح، أو سوء التخزين، أو أضرار التركيب، أو الحمل الزائد للعملية، أو عدم إجراء الفحص. وقد تساهم الظروف التنظيمية أيضًا. فربما أُزيلت مهام الصيانة، أو كانت قطع الغيار غير مناسبة، أو أدى ضغط الإنتاج إلى تأخير الأعمال التصحيحية.

لذلك يفصل تحليل السبب الجذري بين الأعراض، والأسباب الفيزيائية المباشرة، والظروف المساهمة، ونقاط الضعف الكامنة في النظام. ويمنع هذا التمييز المؤسسة من اعتبار كل إصلاح حلًا دائمًا. كما ينتج أدلة يمكنها تحسين تحليل أنماط الفشل وآثاره (FMEA)، وتحليل شجرة الأعطال (FTA)، وتخطيط الصيانة، وإجراءات التشغيل مستقبلًا.

الشكل 5. يتتبع تحليل السبب الجذري العطل إلى ما وراء العَرَض الظاهر، ويحدد الظروف التقنية والتنظيمية التي سمحت بحدوثه.

يجب الحفاظ على الأدلة قبل إعادة المصنع إلى حالته الطبيعية

قد تختفي الأدلة الصناعية بسرعة. فقد يعيد المشغلون ضبط الإنذارات، وقد يستبدل الفنيون الوحدات، وقد تتغير ظروف العملية. ويمكن لسجلات جهاز التحكم أن تستبدل الأحداث السابقة، في حين قد تُتلف المكونات التالفة قبل فحصها. ولذلك تبدأ عملية تحليل السبب الجذري المنضبطة بالحفاظ على الأدلة.

ينبغي للفريق جمع اتجاهات المُؤرشف، وقوائم الإنذارات، وسجلات أحداث جهاز التحكم، وسجلات المرحلات، وأوامر العمل، والصور الفوتوغرافية، والأجزاء التالفة، وإصدارات البرمجيات، وملفات التهيئة، وملاحظات المشغلين. وينبغي تحديد مصدر كل عنصر ووقته. ويجب أن تظل الأدلة المادية تحت السيطرة إلى أن يحدد التحقيق ما إذا كانت هناك حاجة إلى مزيد من الفحص.

يستحق تزامن الوقت اهتمامًا خاصًا. فقد يسجل جهاز التحكم، والمُؤرشف، ومرحل الحماية، والخادم، ونظام الصيانة طوابع زمنية مختلفة. ويجب على المحققين تصحيح هذه الفروقات قبل بناء تسلسل الأحداث. وإلا فقد يظهر إنذار لاحق، بشكل غير صحيح، على أنه الحدث المبادر.

ينبغي إجراء مقابلات المشغّلين بسرعة، ولكن بعناية. فقد يتذكر الأشخاص التسلسل والسياق اللذين لم تسجلهما الأنظمة الآلية. وينبغي التعامل مع إفاداتهم بوصفها أدلة لا وسيلة لإلقاء اللوم. والهدف هو فهم بيئة التشغيل التي اتُّخذت فيها القرارات.

إعداد الخط الزمني للأحداث قبل طرح سؤال «لماذا»

يفصل الخط الزمني القوي بين الحقائق التي تم التحقق منها والتفسير. فهو يسجل ما حدث قبل العطل وأثناءه وبعده. وينبغي ربط كل حدث بمصدر، مثل قيمة من سجل البيانات، أو سجل إنذار، أو إجراء صيانة، أو صورة، أو إفادة شاهد. كما يجب أن تظل الفجوات والتناقضات ظاهرة.

لا يكون أول إنذار يظهر للمشغّل دائمًا هو أول حدث فيزيائي. فقد تخفي فيضانات الإنذارات الحالة التي بدأت الحدث تحت مئات الرسائل الثانوية. وقد تُظهر بيانات الأحداث ذات الدقة الزمنية العالية أن عدم استقرار الضغط، أو اضطراب الطاقة، أو فقدان الاتصال بدأ في وقت أبكر. ويساعد الخط الزمني على التمييز بين السبب والنتيجة.

بعد فهم التسلسل، يستطيع الفريق استخدام أدوات مثل أسلوب لماذا الخمسة، ومخططات عظم السمكة، وتحليل الحواجز، وتحليل التغييرات، أو مخططات العوامل السببية. ويمكن تفسير الأحداث البسيطة من خلال سلسلة سببية قصيرة. أما الحوادث المعقدة فعادةً ما تنطوي على عدة ظروف فنية وتنظيمية متفاعلة.

ينبغي ألا يتوقف التحقيق بعد العثور على تفسير واحد معقول. ويجب اختبار الفرضيات البديلة مقابل الأدلة. كما ينبغي أن تظل الافتراضات غير المدعومة محددة بوصفها افتراضات، بدل عرضها كأسباب مؤكدة.

مثال: أعطال متكررة في محركات ذات سرعة متغيرة

يتعرض أحد المصانع لأعطال متكررة في محرك ذي سرعة متغيرة يتحكم في ناقل واحد. وتستبدل الصيانة المحرك بعد كل حادث، ثم يعود الإنتاج إلى طبيعته. وبعد عدة أشهر، يتعطل محرك آخر. ويشير تكرار الاستبدال إلى أن المحرك نفسه قد لا يكون المشكلة كاملة.

يقارن فريق تحليل السبب الجذري تواريخ الأعطال بالسجلات البيئية وسجلات الصيانة. وقد حدثت معظم الأعطال خلال فترات الصيف الحارة. وتُظهر اتجاهات درجة حرارة الخزانة تشغيلًا ممتدًا فوق النطاق المفضّل. ويكشف الفحص عن فلاتر مسدودة، وتدفق هواء مقيّد، وتراكم كثيف للغبار حول مسار التبريد.

يُظهر سجل الصيانة أن تنظيف الفلاتر بانتظام أُزيل من جدول الصيانة الوقائية بعد تغيّر مستويات التوظيف. فالمحرك هو المكوّن الفاشل، لكن ارتفاع درجة حرارة الخزانة بشكل مفرط هو السبب الفيزيائي المباشر. أما تقييد التهوية وغياب مهمة الصيانة، فهما من الأسباب المساهمة والتنظيمية.

لذلك ينبغي أن يتجاوز الإجراء التصحيحي مجرد استبدال محرك آخر. فقد يعيد المصنع صيانة الفلاتر، ويركّب إنذارات لدرجة الحرارة، ويحسّن تبريد الخزانة، ويراجع تصميم الغلاف. وينبغي التحقق من الفعالية خلال فترة ارتفاع درجات الحرارة التالية.

يجب ربط الإجراءات التصحيحية بالأسباب التي تم التحقق منها

تضعف تقارير تحليل السبب الجذري كثيرًا أثناء تخطيط الإجراءات التصحيحية. فقد توصي الفرق بتدريب إضافي من دون إثبات أن المعرفة كانت غير كافية. وقد تراجع الإجراءات عندما تكون المشكلة الحقيقية في سوء تصميم المعدات. وقد تضيف عمليات تفتيش لا تستطيع اكتشاف آلية الفشل الفعلية.

ينبغي أن يعالج كل إجراء سببًا أو ظرفًا مساهمًا تم التحقق منه. ويجب أن يكون له مسؤول، وتاريخ إنجاز، وطريقة تحقق محددة. وينبغي للمؤسسة أن تميّز بين الاحتواء المؤقت، والإجراء التصحيحي، والإجراء الوقائي طويل الأمد. فاستعادة الإنتاج ليست هي نفسها منع تكرار الحادث.

يجب مراجعة الفعالية بعد التنفيذ. فاكتمال الإجراء لا يعني تلقائيًا نجاحه. وينبغي للمصنع أن يتحقق مما إذا كان احتمال الفشل قد انخفض، وما إذا كان الإجراء الرقابي الجديد مستخدمًا، وما إذا كان قد أدخل خطرًا آخر. وتغلق هذه التغذية الراجعة حلقة تحسين الموثوقية.

قد تتطلب التحقيقات الجادة مراجعة مستقلة. فقد تتأثر الفرق المشاركة عن كثب في الحدث بالافتراضات السابقة أو بالضغوط التنظيمية. ويمكن للمراجعة الخارجية أو متعددة الوظائف أن تتحدى التحليل قبل اعتماد الاستنتاجات النهائية.

نادراً ما يكون الخطأ البشري سببًا جذريًا كاملًا

غالبًا ما تظهر عبارتا «خطأ المشغّل» و«خطأ الصيانة» في التحقيقات الضعيفة. تصف هاتان العبارتان من نفّذ الإجراء النهائي، لكنهما لا تشرحان لماذا أصبح الإجراء مرجحًا. يعمل الناس ضمن واجهات وإجراءات ومستويات توظيف ومتطلبات إنتاج وأنظمة تدريب وتصميمات معدات. وينبغي أن يفحص التحقيق كل هذه الظروف.

قد يختار المشغّل عنصر التحكم الخطأ لأن عنصرين على الشاشة يبدوان متطابقين تقريبًا. وقد يركّب الفني القطعة الخطأ لأن أسلوب التعريف غير متسق. وقد يؤجل المشرف الصيانة لأن المؤسسة تكافئ الإنتاج المتواصل، من دون توفير نافذة توقف واقعية.

إن فهم هذه الظروف لا يلغي المساءلة الفردية، بل يمنع النظام نفسه من دفع شخص آخر إلى ارتكاب الخطأ نفسه. وقد يرضي التحقيق الذي يركّز على اللوم مطلبًا فوريًا بتحديد المسؤولية، لكنه يترك الضعف الكامن دون معالجة.

يفحص تحليل السبب الجذري الفعّال كيفية تأثير النظام في القرار. فهو يتساءل عما إذا كانت الإنذارات مفهومة، والإجراءات عملية، وعبء العمل معقولًا، والأدوات المطلوبة متاحة. وتنتج هذه الأسئلة إجراءات تصحيحية أقوى من مجرد توجيه الناس إلى توخي مزيد من الحذر.

أين ينجح تحليل السبب الجذري—وأين لا ينجح

يحوّل تحليل السبب الجذري الخبرة التشغيلية الفعلية إلى معرفة وقائية. ويمكنه الكشف عن مواطن ضعف التصميم، وثغرات الصيانة، والمشكلات الإجرائية، والضغوط التنظيمية التي أغفلتها الدراسات التنبؤية. ويمكن لنتائجه أن تحسّن نماذج الموثوقية ومعايير المشاريع المستقبلية.

تتسم المنهجية بطابع تفاعلي لأنها تبدأ بعد وقوع حدث. ولا يمكن للصناعات ذات العواقب الكبيرة أن تعتمد فقط على التعلم من حالات الفشل. ولا تزال الأساليب الاستباقية مثل تحليل أنماط الفشل وآثاره (FMEA) وتحليل شجرة الأعطال (FTA) ضرورية. وينبغي أن يكملها تحليل السبب الجذري بتحديث الافتراضات استنادًا إلى الأدلة المستمدة من التشغيل الفعلي.

قد تصبح التحقيقات ذاتية أيضًا. فقد يدفع انحياز التأكيد الفرق إلى تفضيل التفسير الأول الذي يبدو مناسبًا. وقد تجبر الأدلة الناقصة الاستنتاجات على البقاء غير مؤكدة. وتفصل التقارير القوية بوضوح بين الأسباب المؤكدة، والعوامل المساهمة، والفرضيات، والأسئلة العالقة.

تعتمد قيمة تحليل السبب الجذري على المتابعة والتنفيذ. إذ لا يحقق التحقيق القوي فنيًا فائدة كبيرة عندما تتأخر الإجراءات أو تضعف أو لا يتم التحقق منها مطلقًا. ولذلك فإن التزام الإدارة لا يقل أهمية عن المهارة التحليلية.

تتبع نماذج ماركوف النظام عبر الحالات المتغيرة

تمثل نمذجة ماركوف النظام من خلال حالات تشغيل محددة. وقد لا يحتوي النظام البسيط إلا على حالة تشغيلية وحالة فشل. ويتطلب النظام المتحمل للأعطال عادةً حالات إضافية مثل التكرار الكامل، أو التدهور، أو الفشل، أو الخضوع للإصلاح، أو انتظار قطعة غيار. وتربط الانتقالات بين هذه الحالات.

قد ينقل معدل الفشل النظام من التشغيل الكامل إلى حالة متدهورة. وقد ينقله فشل آخر من الحالة المتدهورة إلى حالة عدم التوافر. ويمكن لمعدل الإصلاح أن يعيده إلى التشغيل الكامل. ويحسب النموذج احتمال وجود النظام في كل حالة بمرور الوقت.

يُعد هذا الهيكل مفيدًا بصفة خاصة للأنظمة القابلة للإصلاح. ويمكنه تمثيل التكرار، والمعدات الاحتياطية، وتغطية التشخيص، والاستجابة للصيانة، والقدرة الإنتاجية الجزئية. وعلى خلاف صيغة الموثوقية البسيطة، يوضح النموذج المدة التي قد يظل فيها النظام معرضًا للخطر بعد الفشل الأول.

الشكل 6. تصف نماذج ماركوف كيفية انتقال الأنظمة بين حالات السلامة والتدهور والفشل والإصلاح.

يقدم نموذج الحالتين المبدأ الأساسي

يحتوي أبسط نموذج لماركوف على حالة تشغيلية وحالة فشل. ويتحكم معدل الفشل في الانتقال من الحالة التشغيلية إلى حالة الفشل. ويتحكم معدل الإصلاح في العودة إلى الحالة التشغيلية. ومن خلال هذه الانتقالات، يمكن للنموذج تقدير التوافر خلال فترة محددة أو في ظروف الحالة المستقرة.

يفيد هذا النموذج في المعدات البسيطة القابلة للإصلاح، لكنه لا يصف بشكل كامل معظم أنظمة الأتمتة المتكررة. فقد يستمر متحكم ثنائي القناة في العمل بعد تعطل إحدى القناتين. ويظل النظام يؤدي وظيفته، لكنه يفقد التكرار. وينتقل حينها إلى حالة متدهورة مع تعرض أكبر لفشل ثانٍ.

تتيح إضافة حالة التدهور للنموذج حساب مدى تكرار ومدة تشغيل النظام من دون حماية كاملة. وتصبح سرعة الإصلاح بالغة الأهمية. فقد يقضي نظام ذو مكونات موثوقة وقتًا مفرطًا في حالة التدهور عندما يكون تشخيص الأعطال، أو تسليم قطع الغيار، أو الحصول على موافقة الصيانة بطيئًا.

يمكن للنموذج أيضًا التمييز بين الأعطال المكتشفة وغير المكتشفة. فقد يؤدي عطل مكتشف في قناة إلى بدء الإصلاح فورًا. وقد يظل العطل غير المكتشف خفيًا حتى وقوع طلب أو حدوث عطل آخر. ويغيّر نطاق التغطية التشخيصية هيكل الانتقالات، ومن ثم يغيّر الإتاحة والمخاطر المحسوبة.

مثال: زوج من وحدتي تحكم مزدوجتين متكررتين احتياطيًا

لنفترض وجود وحدتي تحكم مرتبتين في زوج متكرر احتياطيًا. تمثل الحالة الأولى سلامة وحدتي التحكم. وتمثل الحالة الثانية تعطل إحدى وحدتي التحكم مع استمرار الثانية في التحكم. وتمثل الحالة الثالثة فقدان وحدتي التحكم وانعدام إمكانية التحكم بالكامل.

يتضمن النموذج معدل فشل كل وحدة تحكم ومعدل الإصلاح بعد اكتشاف العطل. وقد يتضمن أيضًا فشل التحويل، وفقدان الطاقة المشترك، وعيبًا برمجيًا مشتركًا. وتمنع هذه الانتقالات الإضافية التحليل من افتراض الاستقلال الكامل.

يمكن للنتائج التمييز بين إتاحة الازدواجية الكاملة والإتاحة الوظيفية. فقد يظل النظام قادرًا على التحكم في العملية معظم العام، بينما يقضي عددًا كبيرًا من الساعات مع وحدة تحكم سليمة واحدة فقط. وقد يكون هذا التعرض للحالة المتدهورة غير مقبول في تطبيق حرج.

يمكن للنموذج مقارنة استراتيجيات التحسين. فقد يقلل استبدال القطع الاحتياطية بسرعة أكبر من التعرض للحالة المتدهورة بفاعلية أكبر من إضافة وحدة تحكم ثالثة. وقد توفر التشخيصات الأفضل فائدة أكبر من خفض طفيف في معدل أعطال الأجهزة. ويجعل تحليل ماركوف هذه المفاضلات قابلة للقياس.

تحتاج معدات الاستعداد إلى أكثر من حالة فشل نشط

تضيف الازدواجية الاحتياطية سلوكيات إضافية. فقد تظل مضخة الاستعداد متوقفة حتى تتعطل المضخة العاملة. وقد تحتوي وحدة الاستعداد على عطل كامن، أو تفشل في التشغيل، أو تواجه مشكلة في منطق التحويل. وقد تفشل صمامات العزل أيضًا في الانتقال إلى الوضع المطلوب.

يمكن أن يتضمن نموذج ماركوف حالات للمعدات النشطة السليمة، ومعدات الاستعداد غير المتاحة، وفشل التحويل، وانخفاض السعة، وفقدان النظام بالكامل. ينقل اختبار الإثبات النظام من حالة كامنة غير معروفة إلى حالة معروفة. ويؤثر الفاصل بين الاختبارات في المدة التي تظل خلالها الأعطال الخفية ممكنة.

يمكن تقييم سياسات الصيانة ضمن الهيكل نفسه. فالفواصل الأقصر بين الاختبارات تحسّن اكتشاف الأعطال الخفية، لكنها تزيد عبء الصيانة وقد تؤدي إلى أخطاء إضافية. ويستطيع النموذج مقارنة هذه التأثيرات المتنافسة بدلًا من افتراض أن إجراء الاختبارات بوتيرة أعلى أفضل دائمًا.

ينبغي أن يشمل تحليل الاستعداد لوجستيات الإصلاح أيضًا. فقد لا يؤدي تعطل أحد مكونات الاستعداد إلى توقف الإنتاج فورًا، ولذلك يمكن تأجيل الإصلاح. ويترك هذا التأخير النظام بلا حماية عندما تتعطل الوحدة النشطة لاحقًا. لذلك تؤثر الأولويات التشغيلية في الموثوقية بقدر تأثير خصائص الأجهزة.

يفرض افتراض ماركوف بساطةً وحدودًا في آنٍ واحد

يفترض نموذج ماركوف الأساسي أن سلوك الانتقال المستقبلي يعتمد على الحالة الحالية، لا على التاريخ الكامل. ويبسط هذا الافتراض الرياضيات، ويتطلب غالبًا معدلات انتقال ثابتة. وتلائم بعض المعدات الصناعية هذا التقريب بدرجة معقولة خلال فترة محدودة.

قد ينتهك التقادم والضرر المتراكم هذا الافتراض. فالمحمل المتآكل بشدة لا يتصرف مستقبلًا من حيث الإخفاق بالطريقة نفسها التي يتصرف بها محمل جديد، حتى عندما يكون كلاهما في حالة تشغيل حاليًا. ويمكن لحالات التدهور الإضافية تقريب التقادم، بينما قد تكون هناك حاجة إلى نموذج شبه ماركوف أو نماذج أخرى لتمثيله بدقة أكبر.

يمثل انفجار عدد الحالات تحديًا آخر. إذ يمكن لكل حالة من حالات المكونات أن تضاعف عدد حالات النظام الممكنة. وقد ينتج عن منشأة معقدة ومتكررة بسرعة آلاف التركيبات أو ملايينها. وقد تكون هناك حاجة إلى اختزال النموذج، أو التجميع، أو المحاكاة للحفاظ على قابلية التحليل للإدارة.

ينبغي أن يتضمن النموذج قدرًا كافيًا من التفاصيل لدعم القرار، من دون تمثيل كل تغير مادي. فالتعقيد المفرط يسبب مشكلات في الصيانة والتحقق. بينما يخفي النموذج المفرط في التبسيط سلوكًا مهمًا، ويصبح النموذج المفرط في التفصيل مستحيل الشرح.

متى تنجح نمذجة ماركوف—ومتى لا تنجح

تتناسب نمذجة ماركوف جيدًا مع الأنظمة المتكررة القابلة للإصلاح، والمعدات الاحتياطية، وأنماط التشغيل المتدهورة، وتغطية التشخيص. وهي تدعم تحليل الجاهزية وتوضح كيف تغير استجابة الصيانة مدى تعرض النظام للمخاطر. وتكون مفيدة بوجه خاص عندما يكون تسلسل حالات الإخفاق والإصلاح مهمًا.

تعتمد الطريقة على التعريف الصحيح للحالات ومعدلات الانتقال. وقد لا تعكس افتراضات المعدل الثابت التقادم، أو التغيرات البيئية، أو جودة الصيانة. ويجب تمثيل الإخفاقات ذات الأسباب المشتركة صراحةً، بدلًا من إخفائها ضمن معدلات المكونات المستقلة.

ينبغي دعم النتائج بتحليل الحساسية. يجب على الفريق اختبار كيفية تغير الاستنتاجات عند تغيير معدلات الإخفاق، وأزمنة الإصلاح، وتغطية التشخيص، وافتراضات الأسباب المشتركة. فالتصميم الذي يبدو مقبولًا في ظل افتراض متفائل واحد فقط لا يتمتع بالمتانة.

تُعد نماذج ماركوف أدوات تحليلية وليست دليلًا ماديًا. ولا تزال الاختبارات، والأدلة التشغيلية، وتحليل أنماط الإخفاق وآثاره (FMEA)، وتحليل شجرة الإخفاق (FTA) ضرورية. يساعد النموذج في مقارنة الاستراتيجيات، لكنه لا يمكن أن يحل محل التحقق من البنية الفعلية.

استخدام الطرق الخمس كنظام موثوقية واحد

توفر التقنيات الخمس أكبر قيمة عندما تكون مترابطة. إذ يمكن لتحليل أنماط الإخفاق وآثاره (FMEA) تحديد أنماط إخفاق المكونات بالتفصيل أثناء التصميم. ثم يمكن لتحليل شجرة الإخفاق (FTA) تحديد التركيبات التي تسهم في وقوع حدث حرج في النظام. ويمكن لنمذجة ماركوف وصف سلوك النظام بعد الإخفاق الأول وأثناء الإصلاح.

يمكن لمحاكاة مونت كارلو اختبار المدخلات غير المؤكدة، مثل مدد الإصلاح وتسليم قطع الغيار والطقس وعبء الصيانة. ويوفر تحليل السبب الجذري أدلة بعد الأعطال الفعلية، وقد يكشف افتراضات أغفلتها النماذج الأصلية. وينبغي بعد ذلك تحديث النماذج بدلًا من الاحتفاظ بها بوصفها وثائق تاريخية.

لنفترض أن تحليل شجرة الأعطال يعامل عطلي وحدتي تحكم على أنهما مستقلان. ثم يُظهر تحليل السبب الجذري أن كلتا وحدتي التحكم تعطّلتا بعد أن حمّل فني صيانة واحد التهيئة الخاطئة نفسها. ويجب أن تضيف شجرة الأعطال حدث صيانة مشتركًا. كما ينبغي أن تتضمن نماذج ماركوف ومحاكاة مونت كارلو هذا الاعتماد الجديد.

تُنشئ عملية التغذية الراجعة هذه برنامج موثوقية حيًا. ويوجّه التحليل التنبؤي التصميم، وتختبر الأدلة التشغيلية الافتراضات، وتحسّن نتائج التحقيقات الجيل التالي من النماذج. وهكذا يصبح عمل الموثوقية جزءًا من دورة حياة النظام بدلًا من أن يكون متطلبًا لمشروع يُنفذ مرة واحدة.

يمكن لأعطال السبب المشترك أن تُفشل بنية زائدة كاملة

تؤثر أعطال السبب المشترك في قنوات متعددة من خلال حالة أساسية واحدة. ومن أمثلتها الشائعة الطاقة والتبريد والبنية التحتية للشبكة والبرمجيات والتعرض البيئي وممارسات الصيانة المشتركة. وتُعد هذه الأعطال خطيرة بصفة خاصة لأنها قد تُفشل التكرار الذي يبدو قويًا على الورق.

يقلل الفصل المادي بعض الأسباب المشتركة. ويمكن للمعدات أو البرمجيات المتنوعة أن تقلل أسبابًا أخرى. كما يمكن للتحقق المستقل أن يقلل أخطاء الصيانة والتهيئة. غير أن التنوع يزيد أيضًا من تعقيد التدريب وقطع الغيار والاختبارات والتكامل.

يعتمد الحل الصحيح على مستوى المخاطر. فقد يؤدي تركيب تقنيات مختلفة لوحدات التحكم إلى تقليل الأعطال البرمجية المشتركة، لكنه قد يخلق تحديات جديدة في الاتصالات والصيانة. وقد توفر مصادر الطاقة المنفصلة فائدة محدودة عندما تظل موجودة في الخزانة نفسها المعرضة للفيضانات. وتساعد أساليب الموثوقية على تحديد إجراءات التنوع التي تعالج آليات الأعطال الموثوقة.

ينبغي أن تكون افتراضات السبب المشترك واضحة في كل نموذج كمي. فمعاملة القنوات الزائدة على أنها مستقلة تمامًا تؤدي تقريبًا دائمًا إلى نتيجة متفائلة. وتوفر خبرات المنشأة ونتائج تحليل السبب الجذري أدلة قيّمة لتقدير أوجه الاعتماد هذه.

تحدد تغطية التشخيص مدة بقاء النظام عرضة للخطر

لا يمكن إدارة نظام زائد فعّالًا عندما تظل الأعطال خفية. وتصف تغطية التشخيص نسبة الأعطال ذات الصلة التي تكتشفها عناصر التحكم الآلية أو اليدوية. وتقلل التغطية العالية الوقت الذي يقضيه النظام في حالة تدهور غير ملحوظة. كما تتيح للصيانة استعادة التكر redundancy قبل وقوع عطل آخر.

يجب فحص الادعاءات التشخيصية بعناية. فقد تكتشف وحدة التحكم أعطال المعالج الداخلية، لكنها لا تكتشف كل أعطال توصيلات الحقل. وقد تكتشف وحدة الاتصال فقدان الرابط بالكامل، لكنها لا تتعرف على تعيين البيانات غير الصحيح. وقد يطلق مصدر الطاقة إنذارًا بعد فقدان الخرج بالكامل، لكنه لا يقدم أي تحذير من التدهور التدريجي.

يغطي اختبار الإثبات الأعطال التي لا تكتشفها التشخيصات المستمرة. وتؤثر فترة الاختبار في مدة التعرض للخطر. فالفترات الأطول تتيح للأعطال الخفية أن تبقى مدة أطول، بينما تزيد الفترات القصيرة جدًا عبء الصيانة والمخاطر الناجمة عن الاختبار. ويمكن لتحليل أنماط الإخفاق وآثاره (FMEA)، وتحليل ماركوف، والأدلة التشغيلية أن تدعم تحديد فترة متوازنة.

يجب أن يغطي الاختبار الوظيفة كاملة. فتفعيل مدخل وحدة تحكم منطقي قابلة للبرمجة لا يثبت أن مفتاح الحقل، والأسلاك، والمنطق، والمخرج، والعنصر النهائي تعمل كلها بصورة صحيحة. وينبغي لتحليل الموثوقية أن يحدد بدقة الأعطال التي يستطيع كل تشخيص أو اختبار إثبات كشفها.

غالبًا ما يكون زمن الإصلاح مهمًا بقدر معدل التعطل

تركز برامج الموثوقية كثيرًا على تقليل تكرار تعطل المكونات. وقد يكون زمن الإصلاح مهمًا بالقدر نفسه في الأنظمة المتحملة للأعطال. فبعد تعطل القناة الأولى، قد يستمر النظام في العمل لكنه يظل عرضة للخطر. وتزيد التأخيرات الطويلة في الإصلاح احتمال أن يؤدي عطل ثانٍ إلى فقدان كامل للوظيفة.

يؤثر التشخيص، والموافقات، وتوافر الفنيين، وقطع الغيار، وتصاريح الدخول، وظروف الإنتاج كلها في زمن الاستعادة. فقد يستغرق استبدال مكوّن خمس عشرة دقيقة بعد وصول قطعة الغيار الصحيحة إلى الخزانة. ومع ذلك، قد يمتد التوقف الفعلي لأيام عندما يتعين تأمين قطعة الغيار من الخارج.

يمكن للتشخيصات المحسّنة أن تقلل زمن تحديد موقع العطل. ويمكن للوحدات الموحّدة وقطع الغيار المهيّأة مسبقًا أن تقلل زمن الاستبدال. كما يمكن للمخزون المحلي، وإجراءات التصعيد الواضحة، والدعم الهندسي عن بُعد أن تقلل التأخيرات اللوجستية. ويمكن لنماذج ماركوف ومحاكاة مونت كارلو أن تحدد قيمة هذه التحسينات كميًا.

لا يكون أفضل استثمار في الموثوقية دائمًا هو استخدام أجهزة أقوى. ففي بعض الأنظمة، يؤدي تقليل زمن الإصلاح إلى خفض أكبر للمخاطر من التحسن الطفيف في معدل تعطل المكوّن. وينبغي أن يقارن التحليل بين الخيارين.

تطبيق تحليل الموثوقية على معماريات أنظمة التحكم الموزعة ووحدات التحكم المنطقي القابلة للبرمجة

تعتمد موثوقية نظام التحكم على ما هو أكثر من المعالج المركزي. وينبغي للمهندسين مراجعة المتحكمات، ووحدات الإدخال/الإخراج، وشبكات الاتصال، ومصادر الطاقة، والخوادم، ومحطات المشغلين، ومزامنة الوقت، وواجهات الحقل، والمرافق الداعمة. ويمكن أن يصبح كل عنصر مشترك تبعية مشتركة.

قد تتشارك المتحكمات المتكررة رفّ إدخال/إخراج واحدًا. وقد تعتمد الخوادم المتكررة على مفتاح شبكة واحد أو نظام تخزين واحد. وقد تستخدم شبكات الإدخال/الإخراج البعيدة قنوات اتصال منفصلة تمر عبر المسار المادي نفسه. ويجب أن يتتبع التحليل الكامل الوظيفة من جهاز الحقل إلى إجراء التحكم النهائي.

يجب تحديد السلوك المطلوب بوضوح بعد حدوث العطل. فقد تستمر العملية تحت تحكم المتحكم المتبقي، أو تنتقل إلى التشغيل اليدوي، أو تدخل في إيقاف مُتحكَّم به. ويجب أن يعرف أفراد الصيانة كيفية تحديد القناة المعطلة واستعادة النظام دون التأثير في القناة السليمة.

يمكن للجهات التي تخطط لترقيات أنظمة التحكم أيضًا مراجعة مكونات أنظمة التحكم DCS النموذجية المستخدمة في معماريات أتمتة العمليات. وينبغي أن يتبع اختيار المكونات دائمًا متطلبات موثوقية التطبيق الكامل، لا ميزات المنتجات المنفردة.

النماذج الموثوقة تعتمد على بيانات صيانة موثوقة

لا يكون تحليل الموثوقية الكمي أقوى من البيانات الأساسية التي يستند إليها. وينبغي أن تميز سجلات الصيانة بين العطل الوظيفي، والاستبدال المخطط، والفحص، والتعديل. ويجب أن يمثل تاريخ العطل وقت فقدان الوظيفة، بينما ينبغي أن يمثل تاريخ الاستعادة الوقت الذي أصبحت فيه العملية متاحة مجددًا بالفعل.

يجب أن تظل هويات الأصول متسقة عبر نظام السجل التاريخي، ونظام الصيانة، والرسومات، وقاعدة بيانات قطع الغيار. وينبغي أن تصف رموز الأعطال الآليات بدلًا من الأعراض الغامضة. فكلمة «توقف» تقدم قيمة تحليلية محدودة، بينما يدعم «انحشار المحمل بعد تلوث مادة التشحيم» النمذجة والوقاية مستقبلًا.

يجب أيضًا تضمين مدة التعرض التشغيلي. فلا يمكن مقارنة مضخة تعمل باستمرار مباشرةً بمضخة احتياطية لا تعمل إلا أثناء الاختبارات. وقد تفسر درجة الحرارة، والرطوبة، والتلوث، والاهتزاز، والإجهاد الكهربائي، وحمل العملية، الاختلافات بين مكونات متطابقة في غير ذلك.

ينبغي التعامل مع تنظيف البيانات باعتباره عملًا هندسيًا لا مجرد إعداد إداري. إذ يمكن للتصنيفات غير الصحيحة أن تشوه معدلات الأعطال، وتوزيعات الإصلاح، واستنتاجات النماذج. وينبغي للمحللين مراجعة النتائج غير المعتادة مع موظفي الصيانة والتشغيل قبل اعتمادها.

سير عمل عملي لتحسين الموثوقية

ينبغي أن يبدأ مشروع الموثوقية بتحديد الوظيفة المطلوبة وحدود النظام. ويجب على الفريق توضيح مستوى الأداء المطلوب أثناء التشغيل العادي وبعد كل عطل يمكن تصوره. كما ينبغي جمع الرسومات، والأدلة، وسجل الصيانة، وإجراءات التشغيل، وسجلات الإنذارات، وتقارير الحوادث السابقة.

يمكن لتحليل أنماط الفشل وآثاره (FMEA) أن يحدد بعد ذلك أنماط الفشل على مستوى المكونات وضوابط الكشف الضعيفة. ويمكن لتحليل شجرة الأعطال (FTA) فحص الأحداث العليا الحرجة والاعتماديات المشتركة. بينما يمكن لنمذجة ماركوف تقييم الحالات المتدهورة والاستجابة للإصلاح، ويمكن لمحاكاة مونت كارلو تمثيل حالات عدم اليقين في الأعطال والصيانة والخدمات اللوجستية.

ينبغي مراجعة الحوادث التاريخية من خلال تحليل السبب الجذري (RCA). ويجب استخدام النتائج لتحديث تحليلات التصميم والافتراضات الكمية. وينبغي ترتيب أولويات الإجراءات وفقًا للعواقب، والاحتمالية، وقابلية الاكتشاف، ومدة التعرض، ووقت الإصلاح، والتكلفة.

يحتاج كل إجراء إلى مسؤول، وتاريخ إتمام، وفحص للفعالية. وينبغي تحديث التحليلات بعد إجراء تغييرات كبيرة على المعدات، أو ترقيات للبرمجيات، أو تعديلات على العمليات، أو تغييرات في استراتيجية الصيانة. فالموثوقية تخصص هندسي مستمر، وليست تقريرًا يُستكمل مرة واحدة ثم يُحفظ.

الأسئلة التي تكشف الادعاءات الضعيفة بشأن تحمّل الأعطال

تطرح المراجعة القوية سؤالًا عن الوظيفة التي يجب أن تظل متاحة، والأعطال التي يستطيع النظام تحمّلها. كما تسأل عما إذا كانت القنوات المتكررة مستقلة ماديًا وكهربائيًا ومنطقيًا. وتسأل أيضًا عن كيفية اكتشاف الأعطال الخفية، والمدة التي يمكن للنظام أن يظل خلالها في حالة متدهورة قبل الإصلاح.

ينبغي للفريق تحديد المكونات التي تستغرق وقتًا طويلًا لاستبدالها، وتحديد ما إذا كان خطأ صيانة واحد يمكن أن يؤثر في عدة قنوات. وينبغي أن تحظى الاعتماديات البرمجية واعتماديات التهيئة بالاهتمام نفسه الذي تحظى به المكونات المادية. ويجب أن يفهم المشغلون كيفية تصرف النظام بعد حدوث عطل، والإجراءات اليدوية التي تظل متاحة.

ينبغي دعم افتراضات الفشل والإصلاح بأدلة من المصنع كلما أمكن. وينبغي التحقق من الإجراءات التصحيحية بعد إتمامها. كما ينبغي أن تُثبت اختبارات الإثبات الوظيفة الوقائية الكاملة، لا استجابة المعدات المعزولة فحسب.

هذه الأسئلة أكثر قيمة من مجرد بيان عام بأن النظام متكرر. فهي تربط تحمّل الأعطال بالبنية الفعلية، وبيئة التشغيل، وقدرة الصيانة.

المنظور النهائي

يُعد تحمّل الأعطال أمرًا أساسيًا عندما لا يمكن قبول التوقف عن العمل، أو السلوك غير الآمن، أو فقدان التحكم. ومع ذلك، لا تضمن التكرارية وحدها إنشاء نظام موثوق. يجب على المهندسين فهم أنماط الأعطال، والاعتماديات المشتركة، وتغطية التشخيص، والتشغيل المتدهور، وسلوك الإصلاح، والعواقب التشغيلية.

يوضح تحليل شجرة الأعطال كيف يمكن لمجموعات من الأعطال أن تؤدي إلى حدث حرج. ويوفر تحليل أنماط الفشل وآثاره (FMEA) مراجعة منهجية لأنماط الأعطال الفردية وتأثيراتها. ويقيّم محاكاة مونت كارلو السيناريوهات غير المؤكدة، بينما يحوّل تحليل السبب الجذري (RCA) الأعطال الفعلية إلى معرفة وقائية. ويوضح نمذجة ماركوف كيف تنتقل الأنظمة القابلة للإصلاح بين حالات السلامة، والتدهور، والفشل، والاستعادة.

لكل أسلوب حدوده، لكنها توفر مجتمعةً إطارًا قويًا للموثوقية. وينبغي تحديث دراسات التصميم بالأدلة التشغيلية، كما ينبغي أن تسهم نتائج الحوادث في تحسين النماذج المستقبلية. ويجب أن تؤثر النتائج في البنية، والصيانة، وقطع الغيار، والاختبارات، والتدريب، والإجراءات.

لا يتمثل الهدف في إنشاء نظام لا يتعرض مطلقًا لعطل. بل يتمثل الهدف في اكتشاف الأعطال مبكرًا، واحتواء عواقبها، والحفاظ على الوظيفة المطلوبة، واستعادة القدرة الكاملة بصورة يمكن التنبؤ بها. هذا هو المعنى العملي لتحمّل الأعطال في الأنظمة الصناعية.