Table of Contents

สถาปัตยกรรม ของ ความ เสี่ยง ใน ระบบ วน เวียน ที่ ปิด แล้ว

อุปกรณ์ติดตามวงจรปิดเป็นหลักของการดําเนินการระดับสูงในปัจจุบัน จากระบบส่งอินซูลินอัตโนมัติ และเครื่องช่วยหายใจในโรงพยาบาล

การจัดการความล้มเหลวทางเทคนิคในอุปกรณ์ปิดระบบต้องการมากกว่าการแก้ไขอย่างรวดเร็ว มันต้องการการตอบสนองแบบโครงสร้างที่ฝังตัวอยู่ในความเข้าใจสถาปัตยกรรมของระบบ ลักษณะของโหมดความล้มเหลวทั่วไป และกําหนดข้อกําหนดสําหรับความปลอดภัย บทความนี้ขยายวิธีการมาตรฐานในการจัดการความล้มเหลวดังกล่าว ให้นําเสนอกลยุทธ์ที่ใช้งานได้จริงสําหรับการตอบโต้ทันที การออกแบบอย่างยืดหยุ่น และพร้อมในระบบ

การ ลด การ หมุน เวียน กลับ

ระบบ วง กลม แบบ ปิด แบบ คลาสสิค ประกอบ ด้วย สาม ส่วน หลัก คือ ตัว รับ สัญญาณ, ตัว ควบคุม เพื่อ เทียบ ผล ที่ ออก มา กับ จุด เริ่ม ต้น และ คํานวณ ความ ผิด พลาด และ ตัว กําหนด ที่ จะ ใช้ การ กระทํา ที่ ถูก ต้อง กับ กระบวนการ.

ตัวตรวจจับ: หน้าต่างของระบบสู่ความเป็นจริง

ตัวตรวจจับแปลงค่าต่าง ๆ ทางกายภาพ เช่น แรงดัน ความไหล, อุณหภูมิ, ตําแหน่ง - เข้าสู่สัญญาณไฟฟ้า ในช่วงเวลาที่วิกฤต ความผิดพลาดของเซ็นเซอร์มักอันตรายที่สุด เพราะมันทําให้ตัวควบคุมมืดไป

ผู้ ควบคุม: เครื่อง ช่วย ใน การ ตัดสิน ใจ

ไม่ว่ามันจะถูกใช้เป็น PID ธรรมดา (Projectial-Inter-Driview) วนวนในไมโครคอนโทรลหรืออัลกอริทึม AI-ไดรฟ์ที่ซับซ้อน ตัวควบคุมจะสั่งคําสั่งตอบสนอง ซอฟต์แวร์เช่น enigns, seconds, สภาวะการสืบทอดของเซลล์หรือระบบปฏิบัติการที่ทํางานจริง (RTS) สามารถทําให้เกิดข้อผิดพลาดในระบบปฏิบัติการจริง (TROS) ส่งผลให้เครื่องควบคุมทํางานไม่ราบรื่นหรือไม่เหมาะสมได้มาตรฐานเช่น IEC 62304 จัดทําโครง คุณสามารถช่วยโครงการออกแบบโปรแกรมให้ปลอดภัยในอุปกรณ์การแพทย์, ความสําคัญของการทดสอบและความร่วมมือของซอฟต์แวร์เพื่อจับข้อผิดพลาดเหล่านี้ก่อนที่จะเกิดข้อผิดพลาดขึ้น

ข้อ ต่อ: กล้าม เนื้อ

การถอดปลั๊กหรือการขัดกันแบบคงที่ในวาล์วควบคุม อาจทําให้เกิดการสั่นไหวของแรงสั่นในตัวแปรของโพรเซส ระยะเวลาที่วิกฤติ ปฏิรูปของสัญญาณที่ล้มเหลวในการตอบสนองสัญญาณควบคุม สามารถปล่อยสัญญาณที่ติดอยู่ในสถานะอันตรายได้ การถอดปลั๊กแบบเมแกนเรดด์ (Metachial Redunction) เช่น ลิ้นคู่ขนาน (champa) เป็นกลเม็ดทั่วไปของ กลยุทธ์ด้านความปลอดภัย

การใช้โหมดล้มเหลวทั่วไปในสิ่งแวดล้อมที่รับได้ยาก

ขณะ ที่ ทุก ระบบ มี ลักษณะ เฉพาะ แต่ แต่ ระบบ ความ ล้ม เหลว หลาย ระบบ ก็ มี การ สังเกต เห็น ทั่ว ไป ใน อุปกรณ์ ปิด วงจร.

เครื่อง รับ บี อัส, การ เชื่อม ต่อ, และ เสียง

อคติของตัวตรวจจับเกิดขึ้นเมื่อการอ่านถูกปรับค่าจากค่าจริงเสมอ การเชื่อมต่อนี้เป็นการปรับเปลี่ยนที่ช้าและต่อเนื่องในการปรับเทียบค่าของเซ็นเซอร์อย่างสม่ําเสมอ ในเครื่องมือวิเคราะห์หรือหน่วยไหลของเมตร การลอยจะนําไปสู่การเพิ่มความเบี่ยงเบนของค่าเสียงที่ตรวจจับได้ยาก การส่งสัญญาณความถี่สูงนี้ยังสามารถครอบคลุมสัญญาณที่ปรับตัวควบคุมได้จริง การป้องกันหลักคือ อัลกอริทึมของเซ็นเซอร์การทํางานแบบ เรดฟันด์

ความอิ่มสีและลมหมุน

ความอิ่มสีจะเกิดขึ้นเมื่อตัวควบคุมต้องการค่าจากตัวควบคุมมากกว่าที่จะสั่งงาน - ตัวอย่างเช่น เรียกค่าการไหล 150% จากวาล์วที่เปิดเพียง 100% ซึ่งจะนําไปสู่ "ตัวควบคุมการหมุน" ซึ่งตัวควบคุมจะสะสมข้อผิดพลาดขนาดใหญ่ที่ชะลอการทํางานเมื่อเกิดการเปลี่ยนแปลงของสถานการณ์ กลไกการหมุนอัตโนมัตินั้นจําเป็นในการออกแบบควบคุม หากมีลมขึ้น การแทรกแซงด้วยตนเองมักจําเป็นในการรีเซ็ตสถานะควบคุม และเรียกคืนการทํางานปกติ

การเชื่อมโยงไปยังอุปกรณ์ล้มเหลว

ในระบบควบคุมการแจกจ่ายในปัจจุบัน (DCS) หรืออุปกรณ์การแพทย์ที่เชื่อมต่อเครือข่าย, การสื่อสารระหว่างเซ็นเซอร์, ควบคุม, และ actuator เป็นจุดเดียวที่อาจจะเกิดจากความล้มเหลว เครือข่ายที่ลดลง, เครือข่ายที่ผิดพลาดของ UNB ขัดข้อง, หรือสัญญาณไร้สายที่สามารถทําลายวงจรการรับสัญญาณ เครือข่ายที่ไวต่อสัญญาณ เครือข่ายของ TSN และเส้นทางสื่อสารที่ซ้ําซ้อนคือองค์ประกอบของระบบเหล่านี้ ผู้ดําเนินการต้องฝึกฝนเพื่อจดจําอาการของข้อผิดพลาดของการสื่อสารที่ล้มเหลว ซึ่งมักทําการจําลองหรือความผิดพลาดที่ผิดพลาด

เครื่องใช้ไฟฟ้า

อุปกรณ์ติดตามวงปิดมีความไวต่อคุณภาพพลังงาน อุปกรณ์สีน้ําตาล ประจุไฟฟ้า หรือสัญญาณความถี่สูง อาจทําให้เกิดข้อผิดพลาดในอุปกรณ์ควบคุมหรืออ่านตัวตรวจจับที่ผิดปกติได้ ในการดูแลหรือการตั้งค่าอุตสาหกรรมนั้น ต้องแน่ใจว่าพลังงานนั้นถูกปรับให้มีประสิทธิภาพมากขึ้น (UPS) และปรับสภาพของพลังงานแบบสาย การตอบรับของระบบสํารองควรจะมีความสง่างามมาก ไม่ใช่การรีเซ็ตที่ปล่อยกระบวนการไว้ในสถานะที่ไม่สามารถทํางานได้

กําหนดการ ที่ ใช้ การ ได้ จริง สําหรับ ช่วง วิกฤติ

เมื่อ เกิด ความ ล้ม เหลว ใน ช่วง วิกฤติ ค่า ขอบ ของ ความ ผิด พลาด จะ เป็น ศูนย์ หลัก ๆ.

ขั้น ที่ 1: การ ยอม รับ และ การ ตัดสิน ใจ

ขั้นแรกคือ การยอมรับว่าความล้มเหลวเกิดขึ้น การแจ้งเตือนเป็นเครื่องมือหลัก แต่ความเหนื่อยล้าเป็นปัญหาที่มีรายละเอียดมากในสภาพแวดล้อมที่มีความเครียดสูง เช่น ห้องปฏิบัติการและห้องควบคุม โพรโทคอลการตอบสนองจะต้องจัดลําดับการแจ้งเตือนจากความรุนแรง เมื่อมีการใช้งานเกิดขึ้นแล้ว ตัวดําเนินการจะต้องเร่งความเร็วในการแจ้งเตือนให้ทํางานเร็วขึ้น ตัวตรวจจับต้องเร่งความเร็วในการตรวจจับ, ตัวควบคุม, หรือตัวกระตุ้น? การวินิจฉัยนี้กําหนดขั้นตอนถัดไป และเป็นพื้นฐานสําหรับการรับรู้: เซ็นเซอร์มักเกี่ยวข้องกับการรบกวน หรือการอ่านแบบหยุดไหล ในขณะที่ตัวกระตุ้นอาจเกิดความผิดพลาดขึ้น

ขั้น ที่ 2: ใช้ การ ปรับ ความ ปลอด ภัย

อุปกรณ์ปิดระบบส่วนใหญ่มีการกําหนดเป็น "ความปลอดภัย" ซึ่งอาจเป็นโหมดความปลอดภัยที่ผิดพลาด ซึ่งระบบปิดสนิท หรือโหมดการปฏิบัติการที่ล้มเหลว ซึ่งระบบนี้ยังคงทํางานผิดพลาดอยู่ ตัวอย่างเช่น เครื่องช่วยหายใจของแพทย์อาจกลับไปเป็น โพรเซสภายในหรือระบบการหายใจที่คงที่ การทําหน้าที่เป็นโหมดความปลอดภัยที่เหมาะสม จะเป็นการจัดลําดับความสําคัญ ก่อนที่จะเข้าใจ สาเหตุของความล้มเหลวของระบบ

ขั้น ที่ 3: การ ใช้ มือ แทน และ การ ใช้ มนุษย์ ใน ทาง ที่ ผิด

ผู้ดําเนินการมนุษย์คือตัวสํารองสูงสุด การฝึกจะต้องครอบคลุมเมื่อและจะปลดระบบอัตโนมัติออก และควบคุมด้วยตนเอง การจัดการนี้จะเป็นการจัดการด้วยตัวเอง ช่วงเวลาที่สําคัญ -- ผู้ดําเนินการจะต้องมีข้อมูลสถานะการทํางานจริงเกี่ยวกับระบบการทํางาน ส่วนเชื่อมต่อมนุษย์- MI) ที่มีประสิทธิภาพนั้น การออกแบบเพื่อใช้ในการควบคุมด้วยตนเองได้สําเร็จ HMI ควรจะให้ข้อมูลที่เกี่ยวข้องทั้งหมด และให้ผู้ดําเนินการจัดการจัดการจัดการส่วนควบคุมระบบควบคุมระบบโดยตรง

ขั้น ที่ 4: การ สนทนา และ เอกสาร

ในการตั้งค่าทีม เช่นทีมผ่าตัด หรือห้องควบคุมอุตสาหกรรม การติดต่อสื่อสารที่ชัดเจนนั้นไม่ติดต่อกัน การใช้เครื่องมือสื่อสารแบบโครงสร้างเช่น SKA (Sitution, partsment, Asssion, printment, previewment) มั่นใจได้ว่าทุกคนเข้าใจสถานการณ์ เอกสารของเหตุการณ์นี้ไม่ใช่เพื่อการปฏิบัติตาม แต่เป็นการเริ่มต้นสําหรับการวิเคราะห์รากของสาเหตุ (RCA) ที่ป้องกันการเกิดขึ้นในอนาคต

ป้องกันการกินและฮาร์ดเอนดิ้งของระบบ

องค์การ ที่ ประสบ ความ สําเร็จ ใน การ จัด การ กับ ความ ล้ม เหลว ขั้น วิกฤติ คือ องค์การ ที่ ลง ทุน ใน การ ป้องกัน และ การ ออก แบบ เพื่อ ความ ยืดหยุ่น.

การ ออก แบบ เพื่อ ความ หลาก หลาย และ ความ หลาก หลาย

ระบบการขอข้อมูลเดี่ยวนั้นอ่อนแอมาก อุปกรณ์ที่สําคัญควรจะรวมการลดความอ้วนของเครื่องด้วย การใช้ส่วนประกอบสองแบบที่เหมือนกัน การป้องกันการล้มเหลวของฮาร์ดแวร์อย่างสุ่ม

การ บํารุง รักษา และ การ เฝ้า ดู สภาพ การณ์

การ บํารุง รักษา แบบ เตรียม การ ใช้ ข้อมูล จาก อุปกรณ์ ตรวจ สอบ สัญญาณ การ สวม ตัว อย่าง เช่น การ ตรวจ ดู ว่า ยาน ยนต์ ปัจจุบัน มี อาการ อะไร บ้าง ก่อน ที่ จะ มี อาการ ชัก การ ตรวจ สอบ ระบบ ปั๊ม และ แอร์ สแกน อาจ ตรวจ พบ อาการ ผิด ปกติ ของ อุปกรณ์ หรือ ความ ไม่ สมดุล เทคนิค เหล่า นี้ ทํา ให้ มี การ วาง แผน สําหรับ การ รักษา ใน ช่วง เวลา ที่ มี การ วาง แผน ไว้ และ ลด ความ ล้ม เหลว ใน ช่วง ที่ มี ความ ยุ่ง ยาก มาก ขึ้น

การ วิเคราะห์ แบบ จําลอง และ การ ใช้ อุปกรณ์ ไม่ ได้

เวลาที่จะเรียนรู้วิธีจัดการความล้มเหลว ไม่ใช่ระหว่างการจําลองความล้มเหลว การจําลองความสูงและผลกระทบต่าง ๆ เช่น การใช้ฮาร์ดแวร์ในระบบ (HIL) ให้ผลการทดสอบผู้ดําเนินการและวิศวกรในการปฏิบัติกับเหตุการณ์ที่มีระดับความต่าง ๆ กัน เทคโนโลยีที่หายาก เช่น [FLT: 0] การจําลองและการวิเคราะห์ทิศทาง (FMETA) จัดให้วิธีการระบุตําแหน่งความล้มเหลวที่มีแนวโน้มจะเกิดขึ้น และประเมินความเสี่ยงที่จะเกิด (PR) นี้ กระตุ้นการปรับปรุงและตอบสนองอย่างเจาะจง

การ ฝึก อบรม ด้าน บุคลากร และ การ อ่าน หนังสือ ทาง จิตวิทยา

การ ฝึก อบรม ทาง เทคนิค เพียง อย่าง เดียว ไม่ เพียง พอ ผู้ ทํา งาน ต้อง ฝึก อบรม ใน การ ตัดสิน ใจ ภาย ใต้ ความ กดดัน เทคนิค การ จัด การ ด้าน ทรัพยากร (CRM) ที่ ปรับ ตัว จาก การ บิน ได้ ผล มาก ใน การ จัด การ กับ ระบบ ทาง การ แพทย์ และ อุตสาหกรรม โครงการ เหล่า นี้ เน้น เรื่อง การ สื่อ ความ, ความ เป็น ผู้ ใหญ่, และ การ รู้ ถึง สภาพ การณ์ เป้า หมาย คือ สร้าง ทีม ที่ สามารถ รับมือ กับ ความ ไม่ แน่นอน และ ความ แม่นยํา ของ อุปกรณ์ การ ตอบ รับ ที่ ได้ รับ การ สนับสนุน ให้ ทํา ตาม แม้ แต่ ภาย ใต้ ความ กดดัน อย่าง หนัก

บทบาท ของ การ จัด การ และ ส่วน ร่วม ของ ผู้ ใช้

ส่วนเชื่อมต่อคือสะพานระหว่างเครื่องควบคุมมนุษย์กับเครื่อง ในช่วงเวลาที่เกิดวิกฤต การเชื่อมต่อที่ออกแบบไม่ดี อาจเกิดความแตกต่างระหว่างการแทรกแซงและภัยพิบัติ

มาตรฐานเช่น [FLT: 0] ANSI/ISA-18.2 สําหรับกระบวนการอุตสาหกรรมและ IEC 601-1-8 ให้แนวทางทางการแพทย์, การจัดลําดับ, การกระตุ้น, การเปิดฉาก, และการแสดงสัญญาณเตือน สิ่งสําคัญคือ "น้ํา ท่วม" ซึ่งสามารถท่วมผู้ดําเนินการระหว่างโรงงานย่อยหรือกระบวนการทางการแพทย์ที่ซับซ้อน ระบบสมัยใหม่ใช้ระบบเตือนภัยและลดสัญญาณรบกวนจากสัญญาณรบกวนระหว่างการเริ่มระบบ, หรือระบบควบคุมสูงอื่น ๆ ที่ช่วยเพิ่มจุดสนใจข้อมูลสําคัญได้มากที่สุด

การ เรียน รู้ จาก ผู้ ที่ ไม่ รู้ จัก: ราก สาเหตุ ของ การ วิเคราะห์

เมื่อ เกิด ความ ล้ม เหลว องค์การ ต้อง ถือ ว่า นั่น เป็น โอกาส ที่ จะ ได้ เรียน รู้.

การวิเคราะห์ต้นไม้พิมพ์ผิด (FTA) และแผนภาพที่ก่อให้เกิดผลได้ เป้าหมายของ RCA ไม่ใช่การกําหนดความผิด แต่เป็นการระบุช่องว่างของระบบที่ช่วยให้ความล้มเหลวเกิดขึ้น มันเป็นช่องว่างของการฝึกหรือไม่? การออกแบบหรือข้อผิดพลาด? การดูแลหรือการบํารุงรักษา? แต่ละคนจะแก้ปัญหาและป้องกันการปฏิบัติการ (CAT) การดําเนินงานด้านคอมพิวเตอร์อย่างแน่นหนา (FT) การปฏิบัติการของระบบคอมพิวเตอร์ [FLLL1] เป็นกุญแจสําคัญของระบบปิดระบบทุกวันนี้

ความ ไม่ เสมอ ภาค ใน การ ออก แบบ: นอก เหนือ จาก ความ ยุ่งเหยิง

การ ยืดหยุ่น แท้ ไม่ ได้ หมาย ถึง การ ออก แบบ ที่ เรียบ ง่าย แต่ หมาย ถึง การ ทํา ให้ ความ สามารถ ของ ผู้ อื่น เสื่อม เสีย ไป อย่าง น่า ทึ่ง แทน ที่ จะ ประสบ กับ การ หยุด ชะงัก อย่าง น่า หายนะ.

ตัวอย่างเช่น ระบบการบินแบบต่อสายที่มีระบบควบคุมหลายระบบ สามารถทนกับความล้มเหลวได้หลายครั้ง และยังคงบินต่อไป แม้ในอุปกรณ์ทางการแพทย์ จะหมายถึงการเปลี่ยนจากอัลกอริทึมที่ปรับตัวได้อย่างซับซ้อน

สรุป: การ สร้าง วัฒนธรรม แห่ง การ กลับ ใจ

การล้มเหลวทางเทคนิคในอุปกรณ์ปิดวงจรปิดนั้นหลีกเลี่ยงไม่ได้ แต่ภัยพิบัติมักไม่เกิดขึ้น ความแตกต่างมักอยู่ในการเตรียมการและการตอบสนองของทีมที่ดําเนินการอยู่ โดยเข้าใจโหมดความล้มเหลวทั่วไป -- จากการตรวจสอบการลอยตัวและการกระตุ้นของตัวตรวจจับ

เป้า หมาย ที่ แท้ จริง ไม่ ใช่ แค่ การ ซ่อม อุปกรณ์ หลัง จาก ที่ เครื่อง ยนต์ หัก แต่ เพื่อ เสริม ความ เข้ม แข็ง แก่ ระบบ ทั้ง สิ้น.