Robusztusság és redundancia

≈ 9 perc olvasás · 1738 szó

A pótkerék évekig a csomagtartó alján lapul, semmit nem termel, amíg egyszer, egyetlen éjszaka, ki nem húz a bajból. Egy üzemben ugyanez a tartalék szivattyú, a második nyomástávadó vagy a záró biztonsági szelep. A kérdés nem az, hogy megéri-e, hanem hogy melyik tartalék véd valóban.

A robusztusság az a képesség, hogy egy rendszer előre nem jelezhető, extrém zavar alatt is működőképes marad. Fő forrása a redundancia, a tartalék kapacitás. A tartalék viszont csak akkor véd, ha más a meghibásodási módja, mint a fő elemé.

1. ábra: a túloptimalizált soros lánc egyetlen hibára összeomlik; a redundáns rétegek közül egy kieshet, a rendszer mégis működik.

Kinek szól?

Azoknak, akik a kritikus berendezések tartalékáról döntenek, vagy naponta együtt élnek a védelmi rétegek állapotával: üzemvezető · technológus · műszakvezető · HSE / folyamatbiztonsági szakember · megbízhatósági (reliability) mérnök · műszerész és karbantartó.

Tanulási célok

A cikk elolvasása után képes leszel:

megkülönböztetni az azonos és a diverz redundanciát, és néven nevezni a közös okú hibát (CCF);
három kérdéssel eldönteni, hogy egy tartalék valódi védelem-e vagy elfedett probléma;
felismerni, hol nem a redundancia a helyes válasz.

A lényeg

Robusztusság = túlélés az ismeretlennel szemben, nem pontos jóslás; a forrása a redundancia.
A túloptimalizálás törékennyé tesz: a felszámolt puffer pont a válságban hiányzik.
A tartalék csak diverzen tartalék: azonos konstrukció és karbantartás mellett közös okú hiba (CCF) fenyeget.
A LOPA független rétegei a redundancia intézményesített formája: a kritikus tartalék nem muda.

Miért számít? (a tét)

A robusztusság gyengülése nem ad hangot. Egy leszerelt tartalék vagy bypasszolt retesz után a rendszer hónapokig ugyanúgy viselkedik, a döntés pedig ügyes költségcsökkentésnek látszik. A számla akkor érkezik, amikor a ritka esemény bekövetkezik, és pont az a réteg hiányzik, amit senki nem hiányolt.

Mi ez, és honnan ered?

A gondolat N. N. Taleb Fekete Hattyú-elméletéből (The Black Swan, 2007) származik; magyar kifejtése Mérő László 2013-as Lean-konferencia-előadásában hangzott el. A kiszámítható (Átlagisztán) és a kiszámíthatatlan (Extremisztán) tartomány fogalmi kifejtését lásd a fekete-hattyu-esemeny cikkben. Extremisztánban nincs jóslás és nincs optimalizálás, „van viszont józan ész“, és nem újabb módszertan kell: maga a „módszertan“ szó is fájdalmasan átlagisztáni. Ami kell: redundancia és egyszerűség.

A két tartomány más viselkedést jutalmaz:

Átlagisztánban (a normál üzem)	Extremisztánban (a ritka, szélsőséges tartomány)
a szabálykövetés a célravezető tulajdonság	a szkeptikusság a célravezető tulajdonság
optimalizálás, előrejelzés, kifinomult technikák	redundancia, egyszerűség, alkalmazkodóképesség

Milyen redundanciáról beszélünk?

A funkcionális biztonsági szabvány (IEC 61511 / MSZ EN 61511) pontos szavakat ad arra, amit a „tartalék“ elken:

Redundancia: azonos feladatot ellátó többlet eszközök a szükségesen felül, a megbízhatóság és a rendelkezésre állás növelésére; megvalósítható ugyanolyan (azonos redundancia) vagy eltérő elemekkel (diverz redundancia).
Diverzitás: ugyanaz a funkció többféleképpen, egymástól eltérő elven megvalósítva.
Hibatűrés (fault tolerance): az egység hibák fennállása esetén is végrehajtja a kívánt funkciót. Ez a robusztusság mérnöki definíciója.
Közös okú hiba (common cause failure, CCF): olyan hiba, amely egy többcsatornás rendszer két vagy több különálló csatornájánál azonos hibákat idéz elő.

A CCF a látszat-redundancia szabványos neve: egyetlen ok (közös tápellátás, műszerlevegő, logikai vezérlő vagy karbantartási gyakorlat) viszi el a „független“ rétegeket.

2. ábra: azonos konstrukció és karbantartás mellett a tartalékok együtt esnek ki (CCF); valódi hibatűrést a diverz tartalék ad.

Miért fontos a redundancia és a robusztusság a kiszámíthatatlan (Extremisztán) rendszerekben?

Azért, mert a ritka, súlyos eseményt nem lehet megjósolni, csak túlélni, és a túlélést nem a pontos modell adja, hanem a több, egymástól független esély a megállításra. A folyamatbiztonság ezt intézményesíti: a LOPA több független védelmi réteget ír elő (BPCS-szabályozás, kritikus riasztás és kezelői beavatkozás, SIS/SIF, fizikai védelem, következménycsökkentés), mert egyetlen réteg hibája nem vezethet katasztrófához. Minél több valóban független IPL áll a láncban, annál kisebb a maradék kockázat.

Mikor tartalék, és mikor elfedett probléma?

Nem minden tartalék véd, és a különbség három kérdéssel eldönthető. A folyamatiparban ugyanis nem a készlet halmozódik fel, hanem a technológia, a mérnök, a többlet-berendezés és az üzemeltetési támogatás; a folyamatipari Lean alapműve (Floyd: Liquid Lean) szerint az erőforrás természetellenes felhalmozódása többnyire egy megoldatlan probléma jele.

Egy vegyipari üzemben (anonimizált eset) néhány szolgálatnál nem egy, hanem két tartalék szivattyú állt a fő gép mellett. Egy tartalék normális készenlét; kettő már gyanús. Az indításkori nagy viszkozitás miatt a szerelők hetente elindították a tartalékmotorokat, nehogy a rotor lapos foltot kapjon: ezzel minden héten a legsúlyosabb igénybevételnek tették ki őket, ugyanazzal a gyakorlattal mindegyiket. Ezért esett ki a fő szivattyú után rövidesen mindkét tartalék is. A megoldás nem új gép volt, hanem a tengely kézi átforgatása.

Innen jön a teszt. Egy tartalék akkor valódi redundancia, ha:

más a meghibásodási módja, mint a fő eleménél;
más a karbantartási és tesztelési gyakorlata;
a HAZOP/LOPA kreditelte IPL-ként, tehát független és auditálható.

Ha bármelyikre nem a válasz, az elem nem redundancia, hanem elfedett probléma. Ez oldja fel a lean és a folyamatbiztonság látszólagos ellentétét: nem kritikus helyen a felhalmozódás okát kell megszüntetni (pazarlás), kritikus védelmi ponton viszont megtartani és diverzzé tenni a tartalékot, mert ott nem a költséghatékonyság a mérce, hanem a kreditelt IPL és a rendelkezésre állás.

A képességi tartalék ugyanígy működik: a nagyobb folyamatképességű (excess capability) folyamat robusztusabb, mert elvisel némi különleges okú ingadozást is anélkül, hogy specifikáción kívüli terméket adna.

Folyamatipari kontextus

Seveso-üzemekben (kőolaj-feldolgozó, vegyi üzem) a robusztusság a kritikus berendezések tartalékában (tartalék biztonsági szivattyú, redundáns műszerezés, 2oo3 szavazó logika a SIS-ben) és az egyszerű, átlátható eljárásokban ölt testet.

A redundancia azonban nem csak vas. Az emberi tényezőkkel foglalkozó szakirodalom szerint az ember a szociotechnikai rendszer legrugalmasabb és legrobusztusabb eleme, aki előre nem látott helyzetre is talál megoldást; fordítva pedig az emberi megbízhatósággal szembeni elvárás lehet alacsonyabb, ha a rendszer többi eleme kompenzálni tud. A kellő létszámú, képzett és nem túlterhelt műszak ezért maga is védelmi tartalék: az egyetlen, amely improvizálni tud.

Gyakorlati rész (egy óra alatt elvégezhető)

Listázd az üzemed három legkritikusabb védelmi rétegét (IPL), és írd fel, min osztozik a tartalékával: tápellátás? műszerlevegő? logikai vezérlő? karbantartási gyakorlat? Ahol akár egy közös elem van, ott a papíron kettes redundancia a valóságban egy. Vidd be az eredményt a következő HAZOP- vagy LOPA-felülvizsgálatra.

Gyakori hibák

A hibák nagy része nem a redundancia hiányából, hanem a félreértéséből ered.

Kritikus tartalék leépítése „pazarlásként“ → előbb tedd fel rá a három kérdést.
Azonos karbantartás minden tartalékon → a hibás gyakorlat mindet egyszerre viszi el.
Komplexitás a „biztonság“ jegyében → a bonyolult védelem új, rejtett hibamódokat hoz.
A kieső tartalék rejtve marad → vidd műszakátadásba, különben észrevétlenül nő a törékenység.

Mikor NE használd? (a módszer korlátai)

A redundancia a maradék, nem kiküszöbölhető bizonytalanság ellen véd: ismert és javítható hibára a javítás az olcsóbb és robusztusabb válasz, a tartalék ilyenkor csak drágít és bonyolít.

Helyzet	Miért nem a redundancia a válasz	Mi a helyes válasz
Tervezési hiba (alulméretezés, rossz anyag)	a hibás konstrukciót duplázod	újratervezés, MOC
Ismert, javítatlan gyökérok	a tartalék elfedi, a probléma marad	ok-feltárás, near-miss-vizsgálat
Elmaradt karbantartás vagy teszt	a nem karbantartott tartalék nem indul	tesztintervallum, minősítő teszt
Közös okú hiba (CCF)	azonos réteg nem ad új esélyt	diverzitás, szétválasztás

Vidd haza (kulcsok)

Számold a független rétegeket, ne a darabszámot (két azonos tartalék egy esély).
Kérdezd meg a tartaléktól: más hibamód? más karbantartás? kreditelt IPL? Három igen kell.
Ahol nincs védelmi funkció, ott a halmozódás tünet: keresd mögötte a megoldatlan problémát.
Az egyszerűség olcsó robusztusság: minden új réteg új, rejtett hibamódot is hoz.
A kiiktatott réteget tartsd nyilván: amiről nincs bejegyzés, arról senki nem tudja, hogy hiányzik.

Önteszt

Mi a különbség az azonos és a diverz redundancia között, és melyik véd a CCF ellen?
A tartalék szivattyús esetben mi tette látszólagossá a redundanciát?
Nevezz meg két helyzetet, amelyben egy további védelmi réteg nem növeli a robusztusságot.

Hogyan jelenik meg a digitális gyakorlatban?

A robusztusság aktuális szintje abból olvasható ki, hány védelmi réteg van éppen kiiktatva. Az elv bármely jól vezetett üzemben ugyanaz: a retesz-feloldások (MOS/POS) lejárati idős nyilvántartása, a trip-tesztek esedékessége, a kieső tartalékok státusznézete és a MOC-workflow együtt mutatja meg, hány valódi rétegen áll ma a rendszer.

Kapcsolat az OPEREX-hez (műszaknapló)

A kieső tartalék (például egy átmenetileg nem üzemképes biztonsági szivattyú vagy SIF) és a retesz-feloldás (MOS/POS) műszakátadáskori rögzítése az IEC 61511 szerinti gyakorlat lényege: a kiiktatott IPL nyilvántartott, határidős és visszaellenőrzött. A műszaknaplóban (OPEREX) ez auditálhatóan megtehető; ha a kiesést nemmegfelelőségként kezelik, a bejegyzés ISO 45001 §10.2 szerinti auditnyomot is hagy.

Terminológia (HU / EN / JP)

Magyar	English	日本語	Megjegyzés
Robusztusság	Robustness	ロバスト性	működőképesség extrém zavar alatt
Redundancia	Redundancy	冗長性	szükségesen felüli, azonos feladatú eszköz
Azonos / diverz redundancia	Identical / diverse redundancy	同一冗長・多様冗長	ugyanolyan, illetve eltérő elemekkel
Diverzitás	Diversity	多様性	azonos funkció eltérő elven
Hibatűrés	Fault tolerance	耐故障性	hiba mellett is működik
Közös okú hiba	Common cause failure (CCF)	共通原因故障	két „független“ réteg egy okból esik ki
Független védelmi réteg	Independent Protection Layer (IPL)	独立防護層	a LOPA alapeleme
Retesz-feloldás	Maintenance / Process Override Switch (MOS/POS)	インターロック解除	a kiiktatott IPL nyilvántartása

GYIK

Miért teszi a túloptimalizálás törékennyé a rendszert?

Mert a hatékonyság nevében pont a látszólag fölösleges tartalékokat számolja fel, így nem marad puffer, amikor egy előre nem látott extrém esemény bekövetkezik.

Mi a különbség az azonos és a diverz redundancia között?

Az azonos redundancia ugyanolyan elemekkel épül fel, a diverz eltérő elemekkel vagy eltérő elven. Csak a diverz véd a közös okú hiba (CCF) ellen, amikor egyetlen ok (közös tápellátás, közös karbantartási gyakorlat) egyszerre viszi el az összes csatornát.

Ellentmond-e a redundancia a lean pazarláscsökkentésnek?

Csak látszólag. A kritikus biztonsági tartalék nem pazarlás, mert a ritka, súlyos eseményekkel szembeni robusztusságot adja; a semmit nem védő tartalék viszont többnyire megoldatlan probléma takarója, és ott a lean-logika a helyes.

Miért érték az egyszerűség a robusztusságban?

Mert a komplexitás kölcsönös függéseket, és ezzel új, rejtett meghibásodási módokat hoz. Az egyszerű rendszer kevésbé törékeny, és csökkenti az emberi hibából eredő szélsőséges események esélyét.

Kapcsolódó fogalmak

fekete-hattyu-esemeny · lopa-sil · hazop · near-miss · moc · muda

Következő lépés

fekete-hattyu-esemeny — Átlagisztán és Extremisztán fogalmi kifejtése.
lopa-sil — hány független védelmi réteg elég, és mikor kell SIF.
moc — hogyan ne veszítsd el a redundanciát egy „apró“ módosításon.

Hivatkozások / További olvasnivaló

IEC 61511 / MSZ EN 61511-1,-3: Funkcionális biztonság a folyamatiparban. A redundancia, a diverzitás, a hibatűrés, a CCF és a retesz-feloldás (MOS/POS) kanonikus definíciói.
Nassim Nicholas Taleb: The Black Swan. Random House, 2007 — a nagy hatású, kiszámíthatatlan események alapműve.
Raymond C. Floyd: Liquid Lean. Productivity Press, 2010 — a folyamatipari erőforrás-felhalmozódás lean értelmezése.
Karl E. Weick és Kathleen M. Sutcliffe: Managing the Unexpected. Jossey-Bass — a nagy megbízhatóságú szervezetek (HRO).