11. Control, Not Components — Leveson's Reframing
11. การควบคุม ไม่ใช่ส่วนประกอบ — การปรับกรอบแนวคิดของ Leveson
The Failure of Component-Reliability Models
ความล้มเหลวของแบบจำลองความน่าเชื่อถือของส่วนประกอบ
Traditional safety engineering often relies on techniques like FMEA or FTA to identify hazards, but these methods focus primarily on individual component failures. Nancy Leveson of MIT argues that this paradigm is fundamentally limited because it ignores accidents caused by unsafe interactions between perfectly functional system components. In complex software-intensive systems, nothing physically breaks or fails in the traditional sense, yet the system can still reach an unsafe state through logic errors. The 2012 book Engineering a Safer World by Nancy Leveson establishes that safety should be reframed as a control problem rather than a reliability problem. This shift in perspective requires moving away from the assumption that if every component works correctly, the entire system will be inherently safe.
ความปลอดภัยเป็นปัญหาด้านการควบคุม ไม่ใช่ปัญหาด้านความน่าเชื่อถือ กรอบนี้หนังสือ Engineering a Safer World ปี 2012 โดย Nancy Leveson เป็นผู้วางไว้ วิศวกรรมความปลอดภัยแบบดั้งเดิมมักพึ่งเทคนิคอย่าง FMEA หรือ FTA เพื่อระบุภยันตราย แต่เทคนิคเหล่านี้มองความล้มเหลวของส่วนประกอบทีละชิ้นเป็นหลัก Nancy Leveson จาก MIT โต้แย้งว่ากระบวนทัศน์นี้จำกัดตั้งแต่ราก เพราะมันมองข้ามอุบัติเหตุที่เกิดจากปฏิสัมพันธ์ที่ไม่ปลอดภัยระหว่างส่วนประกอบที่ทำงานสมบูรณ์ทุกชิ้น ในระบบซับซ้อนที่พึ่งซอฟต์แวร์หนัก ไม่มีอะไรแตกหรือพังในเชิงกายภาพตามความหมายเดิม แต่ระบบยังเข้าสู่สถานะไม่ปลอดภัยได้ผ่านข้อผิดพลาดทางตรรกะ มุมมองใหม่นี้บังคับให้ทิ้งสมมติฐานเดิม ที่ว่าถ้าทุกชิ้นทำงานถูกต้อง ระบบทั้งหมดย่อมปลอดภัยไปเอง
STAMP and the Evidence of Control
STAMP และหลักฐานของการควบคุม
To address the limitations of component-failure analysis, Leveson developed STAMP, a systems-theoretic approach that views safety as a control problem involving feedback loops. In a 2018 study published in Software Quality Journal, Sulaman et al. applied both FMEA and STPA to a forward collision-avoidance system to measure their efficacy. The researchers found that 13 hazards were identified in common by both methods, proving that they share some ground in detecting basic system risks. However, the STPA method surfaced detailed causal factors—including software and communication-related causes—that the component-failure framing of FMEA entirely missed during the analysis process. This evidence demonstrates that a control-based method can capture systemic interactions that remain invisible to traditional models that look only for broken hardware parts.
วิธีที่มองการควบคุมจับปฏิสัมพันธ์เชิงระบบที่วิธีมองชิ้นส่วนพังจับไม่ได้ หลักฐานอยู่ในการศึกษาปี 2018 ที่ตีพิมพ์ใน Software Quality Journal ต้นทางของวิธีนั้นคือ STAMP ที่ Leveson พัฒนาขึ้นเพื่อแก้ข้อจำกัดของการวิเคราะห์ความล้มเหลวรายชิ้น เป็นแนวทางเชิงทฤษฎีระบบที่มองความปลอดภัยเป็นปัญหาด้านการควบคุม มีวงจรป้อนกลับอยู่ข้างใน ทีมของ Sulaman ใช้ทั้ง FMEA และ STPA กับระบบป้องกันการชนด้านหน้า เพื่อวัดว่าแต่ละวิธีได้ผลแค่ไหน ทั้งสองวิธีหาภยันตรายเจอร่วมกัน 13 รายการ นี่พิสูจน์ว่าทั้งคู่มีจุดร่วมในการจับความเสี่ยงพื้นฐานของระบบ แต่ STPA เผยปัจจัยเชิงสาเหตุออกมาละเอียดกว่า รวมถึงสาเหตุจากซอฟต์แวร์และการสื่อสาร กรอบความล้มเหลวรายชิ้นของ FMEA พลาดทั้งหมดนี้ไปตลอดกระบวนการวิเคราะห์ แบบจำลองดั้งเดิมมองหาแต่ชิ้นส่วนฮาร์ดแวร์ที่เสีย ปฏิสัมพันธ์เชิงระบบจึงล่องหนสำหรับมัน
The Limits of Methodological Superiority
ขีดจำกัดของความเหนือกว่าเชิงระเบียบวิธี
The 2018 comparison by Sulaman et al. remains contested because the study concluded that neither method is strictly superior to the other for safety analysis. The authors noted that some hazards were unique to FMEA, suggesting that both methods complement each other rather than one replacing the other entirely. Furthermore, the STPA Handbook (2018) by Leveson and Thomas acknowledges that STPA requires more analyst time and specific training to implement effectively.
ไม่มีวิธีใดเหนืออีกวิธีอย่างเด็ดขาดสำหรับการวิเคราะห์ความปลอดภัย นั่นคือข้อสรุปของการเปรียบเทียบปี 2018 โดยทีมของ Sulaman เอง และเป็นเหตุผลที่ผลเปรียบเทียบนี้ยังเป็นที่ถกเถียง ผู้เขียนตั้งข้อสังเกตว่าภยันตรายบางรายการพบเฉพาะใน FMEA ทั้งสองวิธีจึงเสริมกัน ไม่ใช่วิธีหนึ่งเข้ามาแทนอีกวิธีทั้งหมด นอกจากนี้ STPA Handbook (2018) โดย Leveson และ Thomas ยอมรับเองว่า STPA กินเวลาของนักวิเคราะห์มากกว่า และต้องฝึกเฉพาะทางก่อนจึงจะใช้ได้ผล
Example: Comparing FMEA to STPA is like checking for a flat tire versus analyzing the complex software logic that governs the autonomous steering system.
ตัวอย่าง: FMEA กับ STPA ต่างกันเหมือนการตรวจว่ายางแบนหรือไม่ กับการไล่ตรรกะซอฟต์แวร์ที่ซับซ้อนซึ่งคุมระบบพวงมาลัยอัตโนมัติ
Verdict. Safety is a control problem, yet the practical application of STPA requires significant time investment and does not render traditional component-based methods obsolete.
คำตัดสิน. ความปลอดภัยเป็นปัญหาด้านการควบคุม แต่ STPA ในทางปฏิบัติต้องลงเวลามาก และไม่ได้ทำให้วิธีดั้งเดิมที่มองรายชิ้นล้าสมัยไปแต่อย่างใด
Overturned if: A future meta-analysis finds that STPA consistently identifies all hazards found by FMEA while reducing the total analyst time required for safety certification.
จะพลิกคำตัดสินได้เมื่อ: การวิเคราะห์อภิมานในอนาคตพบว่า STPA หาภยันตรายที่ FMEA หาเจอได้ครบทุกรายการอย่างสม่ำเสมอ และลดเวลารวมของนักวิเคราะห์ที่ต้องใช้เพื่อการรับรองความปลอดภัยลงด้วย
Sources. 2012 · Leveson, N.G., "Engineering a Safer World: Systems Thinking Applied to Safety" — MIT Press Open Access · 2018 · Sulaman, S.M., Beer, A., Felderer, M. & Höst, M., "Comparison of the FMEA and STPA safety analysis methods – a case study" — diva-portal.org
แหล่งอ้างอิง. 2012 · Leveson, N.G., "Engineering a Safer World: Systems Thinking Applied to Safety" — MIT Press Open Access · 2018 · Sulaman, S.M., Beer, A., Felderer, M. & Höst, M., "Comparison of the FMEA and STPA safety analysis methods – a case study" — diva-portal.org