1 · ส่วนเผื่อคืออะไร
วิศวกรที่ต้องเซ็นชื่อรับรองคานตัวหนึ่ง รู้ภาระที่คานจะต้องรับ รู้กำลังของวัสดุโดยประมาณ แล้วยังเหลือคำถามอีกข้อที่การคำนวณไม่ตอบให้ คือจะใส่ความแข็งแรงเกินไปเท่าไรจึงจะพอ
ส่วนเผื่อคือคำตอบของคำถามนั้น มันคือความแข็งแรงที่ใส่เกินจากภาระที่คาดไว้ และตัวเลขที่บอกว่าเกินเท่าไรไม่ได้ลอยมา มีคนตั้ง มีปีที่ตั้ง และมีเหตุผลที่ตรวจได้ ภาคนี้ไล่ตัวเลขนั้นกลับไปหาต้นทาง
สิ่งที่ทำให้วิธีนี้ทำงานได้มีเงื่อนไขข้อเดียว ทุกกรณีในภาคนี้อยู่ในโลกที่สิ่งที่มาทำลายไม่ได้อ่านแบบ — ลม น้ำหนัก เชือกที่ล้า ไฟ แผ่นดินไหว ลมไม่รู้ว่าเสาต้นไหนบางที่สุด มันพัดใส่ทั้งอาคารเท่ากันหมด และเพราะมันไม่รู้ การใส่เผื่อเข้าไปอีกหน่อยจึงได้ผล
ค่าความปลอดภัย · 1858–1940s
ในปี 1858 W. J. M. Rankine พิมพ์ A Manual of Applied Mechanics ฉบับแรก ตำราที่วางสัดส่วนความปลอดภัยบนฐานของความเค้นให้วิศวกรอังกฤษ ปัญหาที่ตำราเล่มนั้นแก้ไม่ใช่การคำนวณ คนยุคนั้นคำนวณคานเป็น ปัญหาคือไม่มีใครรู้ว่าเหล็กหล่อก้อนตรงหน้าแข็งแรงเท่าค่าเฉลี่ยในตารางหรือเปล่า
คานเหล็กหล่อในยุคนั้นจึงถูกออกแบบด้วย factor of safety เท่ากับ 4 บนค่า ultimate tensile strength เฉลี่ย 93 N/mm² จนได้ความเค้นดัดที่ยอมให้ 23 N/mm² เลข 4 ไม่ได้มาจากสมการไหน มันคือที่ว่างที่วิศวกรกันไว้ให้สิ่งที่เขายังไม่รู้
Hansson แจงว่าตัวคูณตัวเดียวนี้รับอะไรไว้บ้าง มีห้าอย่าง: ภาระสูงกว่าที่คาด วัสดุด้อยกว่าที่คาด ทฤษฎีของกลไกวิบัติที่ไม่สมบูรณ์ กลไกวิบัติที่ยังไม่รู้จัก และคนคำนวณหรือออกแบบผิด สองข้อแรกคือความแปรปรวนของโลก สามข้อหลังคือความไม่รู้ของวิศวกร
ทั้งห้าข้อมาจากฝั่งเดียวกันหมด ไม่มีข้อไหนเป็นภาระที่เลือกลงตรงจุดที่บางที่สุด นั่นคือเหตุผลที่เลขตัวเดียวพอ — ไม่มีใครยืนอยู่อีกฝั่งคอยดูว่ามันถูกตั้งไว้เท่าไร
ต้นกำเนิดของตัวเลขนี้ แหล่งสองแหล่งไม่ตรงกัน และภาคนี้พิมพ์ทั้งสอง Isaac Elishakoff ย้อนแนวคิดไปถึงปี 1729 ในตำราป้อมปราการของ Bernard Forest de Bélidor ส่วน Sven Ove Hansson ระบุว่าการใช้ factor of safety อย่างชัดแจ้งครั้งแรกสุดที่รู้กันอยู่ในทศวรรษ 1860 ข้ออ้างที่ว่า Rankine เป็นผู้ใช้คำนี้คนแรกตามบันทึกของ OED ตรวจไม่ได้ในรอบค้นคว้านี้
ชื่อที่ตรงกว่าสำหรับตัวคูณนี้มีคนเสนอไว้แล้ว Alasdair Beal ตั้งชื่อบทความปี 2001 ใน The Structural Engineer ว่า "Factors of Ignorance?" ส่วนคำกล่าวที่ว่า Alfred Pugsley เป็นผู้บัญญัติวลีนี้ ไม่มีแหล่งใดยืนยัน สิ่งที่ Pugsley ทำจริงคือบทความปี 1951 ใน Journal of the Institution of Civil Engineers และเหรียญทองของ Institution of Structural Engineers ปี 1968 สำหรับปรัชญาความปลอดภัยที่มองโครงสร้างเป็นความน่าจะเป็นของการวิบัติ
ตัวเลขของเหล็กในอังกฤษเป็นซากสงคราม BS 449 ปี 1932 ใช้ตัวคูณราว 2 สำหรับคานเหล็ก ฉบับแก้ไขเดือนพฤศจิกายน 1939 ลดเหลือ 1.6 "as an emergency measure" พร้อมข้อความว่าให้สิ้นผลหกเดือนหลังสงครามยุติ คำว่า emergency measure บอกอายุของตัวเองไว้ในตัว แล้วปี 1948 มันถูกทำให้ถาวรที่ 1.65–1.7 และอยู่อย่างนั้นตลอดยุค permissible-stress design
เครื่องบินเดินคนละทางแต่ลงเอยแบบเดียวกัน ตัวเลข 1.5 ถูกตั้งขึ้นทีละส่วน ปี 1930 US Air Corps ใช้ 1.5 กับภาระออกแบบของหางเครื่องบินก่อน เดือนมีนาคม 1934 Revision G ของ Handbook of Instructions for Airplane Design ทำให้มันเป็นข้อกำหนดทั่วไป และปัจจุบันอยู่ใน 14 CFR 25.303 ผู้เขียนประวัติของตัวเลขนี้ที่ NASA สรุปเองว่ามันไม่มีต้นกำเนิดเดียว "much like the rules of baseball"
ตัวเลข 1.5 ตั้งใจให้ครอบคลุมสามอย่าง: ภาระใช้งานที่เกินขีดออกแบบ ตัวโครงสร้างโก่งเกินขีดจำกัด และชิ้นส่วนที่บางกว่าที่คำนวณแต่ยังอยู่ในพิกัดยอมรับ มันไม่ครอบคลุมความผิดพลาดในการวิเคราะห์โครงสร้าง และราคาของมันวัดได้ ลดจาก 1.5 เป็น 1.4 ประหยัดน้ำหนักโครงสร้างได้ 4%
ตัวเลขฉุกเฉินที่เขียนวันหมดอายุไว้ในตัวเอง กลายเป็นตัวเลขถาวร ตัวเลขของเครื่องบินที่ไม่มีต้นกำเนิดเดียว กลายเป็นกฎหมาย ทั้งสองตัวอยู่ได้เพราะสิ่งที่มันกันอยู่ไม่เคยเปลี่ยนวิธีเล่น
สิ่งที่กรณีนี้สอน: ก่อนเชื่อตัวคูณใด ให้เขียนรายการห้าข้อของ Hansson ไว้ข้างมัน แล้วขีดว่าตัวคูณนั้นถูกตั้งขึ้นเพื่อรับข้อไหน — ข้อที่ไม่ได้ขีดคือส่วนที่ไม่ได้เผื่อ
เบรกลิฟต์ของโอทิส · 1853
ปัญหาของแท่นยกที่ห้อยอยู่กับเชือกมีข้อเดียว คือเชือกขาด และทางแก้ที่ตรงที่สุดคือทำเชือกให้หนาขึ้น เชือกที่หนาขึ้นกันได้เฉพาะเหตุที่คิดออกแล้วเท่านั้น
สิ่งที่ Elisha Otis ทำไม่ใช่อย่างนั้น เขาปล่อยให้เชือกขาดต่อไปตามเดิม แล้วไปจัดการกับอีกด้านหนึ่งแทน คือทำให้การขาดของเชือกไม่สำคัญ
วันศุกร์ที่ 5 พฤษภาคม 1854 สมุดบัญชีของ Otis บันทึกรับเงิน 100 ดอลลาร์ค่า "one model hoist machine" ส่งไปยัง New York Crystal Palace อาคารที่สร้างขึ้นในปี 1853 เพื่อเลียนแบบงานแสดงใหญ่ของลอนดอน
อาคารนั้นเปิดวันที่ 4 กรกฎาคม 1853 และขาดทุน ต้นปี 1854 สมาคมเจ้าของจัดโครงสร้างใหม่ ตั้ง P. T. Barnum เป็นประธาน ปิดอาคารตั้งแต่ 15 เมษายน แล้วเปิดใหม่วันที่ 4 พฤษภาคม ด้วยแผนกเครื่องจักรที่ขยายใหญ่ขึ้นและเดินด้วยไอน้ำ วันที่ 5 พฤษภาคม Barnum ประกาศรางวัลเหรียญทองมูลค่า 1,000 ดอลลาร์สำหรับสิ่งประดิษฐ์ที่มีประโยชน์ที่สุดแห่งปี และเหรียญละ 100 ดอลลาร์อีกห้าเหรียญ
บันทึกร่วมสมัยชิ้นแรกคือ New York Tribune วันที่ 30 พฤษภาคม 1854 มันเล่าว่านักประดิษฐ์ขึ้นลงบนแท่นยก และ "occasionally cuts the rope by which it is supported"
กลไกที่เขาตัดเชือกให้ดูนั้นเรียบง่ายจนน่าหงุดหงิด The Practical Mechanic's Journal ของอังกฤษ ฉบับกรกฎาคม 1854 อธิบายมันและพิมพ์ภาพแรก เสาไม้ตั้งมีฟันเฟืองเรียงเป็นแถวเหมือนฟันเลื่อย แผ่นเบรกถูกสปริงแข็งดันให้อยากเกาะฟันนั้นอยู่ตลอดเวลา และสิ่งเดียวที่รั้งมันไว้คือแรงตึงของเชือกที่ดึงขึ้นไป พอเชือกขาด แรงตึงหายไปพร้อมกัน สปริงจึงได้ทำในสิ่งที่มันอยากทำมาตลอด
บทความเดียวกันถูกพิมพ์ซ้ำใน Dinglers Polytechnisches Journal ของเยอรมนี เดือนธันวาคม 1854 พร้อมข้อสังเกตว่าอุปกรณ์แบบเดียวกันมีใช้ในปล่องลิฟต์มานานแล้ว Charles Otis ลูกชาย บันทึกในปี 1911 ว่าแท่นนั้นเคลื่อนขึ้นลงได้ราว 30–40 ฟุต
ตำนานที่เล่ากันตายไปหลายเรื่องในรอบค้นคว้านี้ สองเรื่องที่หนักที่สุดเป็นแบบนี้ เรื่องแรก มันไม่ใช่การแสดงครั้งเดียวในบ่ายวันหนึ่ง คำว่า occasionally ในข่าวของ Tribune บอกเองว่าเป็นนิทรรศการต่อเนื่องหลายสัปดาห์ ตัดเชือกซ้ำแล้วซ้ำอีก จึงไม่มีวันที่เดียวให้อ้าง เรื่องที่สอง ประโยค "All safe, gentlemen, all safe" ไม่มีแหล่งร่วมสมัยไหนบันทึก Lee Gray ผู้ค้นเอกสารเหล่านี้สรุปว่าเรื่องเล่าฉบับที่รับกันมา "relies more on faith and trust in the storytellers than on actual evidence"
สิ่งที่ยืนยันได้คือคำสั่งซื้อเริ่มเข้ามาต้นเดือนมิถุนายน 1854 และลิฟต์โดยสารเชิงพาณิชย์ตัวแรกเปิดใช้ในนิวยอร์กวันที่ 23 มีนาคม 1857 ข้ออ้างว่าการสาธิตนี้ทำให้ตึกสูงเป็นไปได้ เป็นการตีความของนักประวัติศาสตร์ ไม่ใช่ข้อเท็จจริงที่มีแหล่ง
เบรกตัวนี้ไม่เคยถามว่าเชือกขาดเพราะอะไร มันรออยู่อย่างเดียวคือแรงตึงที่หายไป นั่นแปลว่ามันกันเหตุที่ Otis เองยังคิดไม่ถึงได้ด้วย และเชือกที่ล้าไม่เคยเลือกเวลาขาดให้ตรงกับตอนที่สปริงติดขัด
สิ่งที่กรณีนี้สอน: ตัดเชือกเองต่อหน้าคนดู และตัดซ้ำ — อุปกรณ์นิรภัยที่ยังไม่เคยถูกสั่งให้ทำงานจริง ยังไม่ใช่อุปกรณ์นิรภัย
จากตัวคูณเดียว สู่ตัวคูณแยกส่วน · LRFD
ตัวคูณตัวเดียวใช้ได้ดีจนถึงวันที่มีคนอยากแก้มัน ในเลขตัวนั้นไม่มีใครชี้ได้ว่าส่วนไหนเผื่อไว้ให้ลม ส่วนไหนเผื่อไว้ให้คอนกรีตที่เทไม่ได้เรื่อง และเมื่อแยกไม่ออก ก็ปรับทีละส่วนไม่ได้ ต้องขยับทั้งก้อนหรือไม่ขยับเลย
ในปี 1986 AISC พิมพ์ Load and Resistance Factor Design Specification for Structural Steel Buildings ฉบับแรก หกสิบสามปีหลังสเปกฉบับแรกของสถาบันเดียวกันในปี 1923 ที่ใช้ตัวคูณตัวเดียวหารความเค้นวิบัติ
วิธีเดิมชื่อ Allowable Stress Design เอาความเค้นที่วัสดุรับได้หารด้วยตัวเลขเดียว แล้วเทียบความเค้นที่คำนวณได้กับผลหารนั้น ภาระต่างชนิดถูกจัดการอย่างหยาบ เช่นชิ้นส่วนสะพานตรวจภาระตายรวมภาระจรที่ 100% ของค่ายอมให้ และภาระตายรวมลมที่ 125%
LRFD เปลี่ยนสองอย่าง ภาระแต่ละชนิดได้ตัวคูณของตัวเอง ภาระตายต่ำ ภาระจร ลม หิมะ สูง เพราะแต่ละอย่างแปรปรวนไม่เท่ากัน และมี resistance factor ลดกำลังที่คำนวณได้ลง เพื่อรับความแปรปรวนของวัสดุ ของสมมติฐานที่ใช้คำนวณ ของงานประกอบและงานติดตั้ง จุดเทียบย้ายจากความเค้นไปเป็นกำลัง
สิ่งที่เปลี่ยนคือวิธีทำบัญชี ไม่ใช่ยอดในบัญชี ตัวคูณย่อยชุดแรกไม่ได้ถูกคำนวณขึ้นใหม่จากสถิติการวิบัติ มันถูกหารออกมาจากเลขตัวเดิม แล้วขยับให้ผลไม่เท่าเดิมพอดี
คอนกรีตไปก่อน แรงผลักคือวัสดุขาดแคลนในยุโรปหลังสงคราม ACI ปี 1963 ผลักงานออกแบบคอนกรีตจาก Working Stress ไป Ultimate Strength และปี 1971 ลดวิธีเดิมเป็น "alternate method" AISC ออก ASD ฉบับสุดท้ายปี 1989 และรวมสองวิธีไว้ในเล่มเดียวปี 2005 ฝั่งสะพาน AASHTO ผ่านขั้นกลางชื่อ Load Factor Design ปี 1973 พิมพ์ LRFD ฉบับแรกปี 1994 และหยุดปรับปรุงฉบับ ASD หลังปี 2002
ที่มาของตัวคูณย่อยอยู่ในบันทึกที่วิชาชีพไม่ได้โฆษณา Beal บันทึกจาก W. B. Cranston ว่าคณะกรรมการ CP110 ของอังกฤษปี 1972 อยากได้ตัวคูณที่ derive จากสถิติ แต่ข้อมูลไม่มี จึงเอา 1.8 ของ CP114 มาแยกส่วน ตัวคูณด้านภาระ 1.5 คูณด้วยตัวคูณด้านวัสดุ 1.2 ได้ 1.8 พอดี คือเท่าโค้ดเดิมทุกประการ และนั่นคือสิ่งที่คณะกรรมการไม่เอา "but the complexity of the new code would then have seemed pointless" จึงตั้ง 1.6 สำหรับภาระจร 1.4 สำหรับภาระตาย และ 1.15 สำหรับวัสดุ คำนำของ CP110 เองรับว่าข้อมูลสถิติที่เกี่ยวข้องมีไม่พอ และค่าที่ใช้ "based on current practice"
ฝั่งเหล็กเดินซ้ำรอยเดียวกัน ร่างโค้ดปี 1981 ตั้งตัวคูณด้านวัสดุที่ 1.075 เพื่อให้ผลใกล้ BS 449 วิศวกรปฏิเสธโค้ดที่ซับซ้อนขึ้นแต่ไม่ประหยัดขึ้น BS 5950 จึงลดตัวคูณด้านวัสดุเหลือ 1.0 เมื่อ BSI ถอน BS 8110 ในปี 2010 มันยังใช้ตัวคูณย่อยที่ตั้งไว้ชั่วคราวเมื่อปี 1972 Eurocode 0 ปี 2002 หมวด C4 ระบุว่าวิธีความน่าจะเป็นเต็มรูปแบบ "are seldom used" เพราะขาดข้อมูล และฐานทั่วไปของตัวคูณย่อยคือ "calibration to a long experience of building tradition"
บัญชีที่ละเอียดขึ้นไม่ใช่ของเปล่าประโยชน์ ความแปรปรวนของภาระถูกเขียนลงชัดและแก้ได้ทีละตัวแล้ว แต่บัญชีแบบนี้ทำได้เพราะภาระไม่ตอบสนองต่อวิธีที่มันถูกลงบัญชี ลมไม่แรงขึ้นเพราะตัวคูณของมันถูกตั้งไว้สูง
สิ่งที่กรณีนี้สอน: เจอตัวคูณย่อยชุดไหน ให้คูณกลับเป็นเลขเดียวแล้วเทียบกับโค้ดรุ่นก่อน — ถ้าเท่ากัน ตัวเลขนั้นถูกแบ่ง ไม่ได้ถูก derive
fail-safe กับ fail-secure
คนที่ลงบันไดหนีไฟแล้วพบว่าลงต่อไปไม่ได้ เหลือทางเดียวคือกลับเข้าชั้น ประตูบานนั้นต้องยอมให้เขาเข้า และประตูบานเดียวกันนั้นเองเป็นประตูกันไฟ หน้าที่ของมันคือกลอนให้แน่นไม่ให้ไฟลามเข้าปล่องบันได
International Building Code ฉบับปี 2024 สั่งให้ล็อกไฟฟ้าบนประตูบันไดหนีไฟปลดเมื่อไฟดับ ส่วน NFPA 80 สั่งให้ electric strike บนประตูกันไฟล็อกเมื่อไฟดับ — ประตูบานเดียว ข้อบังคับสองข้อ ทิศตรงข้าม
นิยามตาม Lori Greene แห่ง Allegion: fail safe คือปลดล็อกฝั่งเข้าเมื่อไฟดับ ต้องจ่ายไฟเพื่อล็อก fail secure คือล็อกฝั่งเข้าเมื่อไฟดับ ต้องจ่ายไฟเพื่อปลด ทั้งสองคำพูดถึงฝั่งที่มีกุญแจ ไม่ใช่ฝั่งคนอยู่ข้างใน ผลิตภัณฑ์ส่วนใหญ่ให้ออกได้เสรีทั้งสองแบบ คนข้างในบิดมือจับหรือดันคานแล้วออกได้เสมอ
ชื่อทั้งสองตั้งจากมุมของไฟฟ้า ไม่ใช่มุมของคนที่ยืนอยู่หน้าประตู และคำถามที่ชื่อทั้งสองไม่ถามเลยคือ ไฟดับเพราะอะไร
ประตูบันไดหนีไฟคือจุดที่ข้อบังคับชนกันจริง ล็อกฝั่งบันไดต้องเป็น fail safe เพราะคนที่กลับเข้าชั้นไม่ได้คือคนที่ติดอยู่ในปล่อง แต่ NFPA 80 กำหนดให้ electric strike ที่ติดบนชุดประตูกันไฟเป็น fail secure เพราะประตูต้องกลอนแน่นเมื่อไฟไหม้ ทางออกคือไม่ใช้ electric strike ใช้ล็อกไฟฟ้าเชิงกลแบบ fail safe, trim แบบ fail safe บน fire exit hardware หรือแม่เหล็กไฟฟ้า
Greene แยกให้ชัดว่า electric lock บนประตูกันไฟไม่ถูกบังคับให้ fail secure มีแต่ electric strike เท่านั้น เธอเขียนถึงด้านตรงข้ามของความผิดพลาดว่า electric strike แบบ fail secure ที่ขังคนไว้ในปล่องบันได "is one of the most dangerous code violations a building can have"
ตัวฮาร์ดแวร์ปิดทางเลือกไปแล้วครึ่งหนึ่ง แม่เหล็กไฟฟ้ามีแต่แบบ fail safe เพราะไม่มีไฟก็ไม่มีแรงยึด และเพราะมันไม่ให้ทางออกเสรีในตัว โค้ดจึงบังคับอุปกรณ์ปลดแยกต่างหาก ทั้งปุ่มข้างประตู สัญญาณเพลิงไหม้ และไฟดับ ส่วน electric latch retraction มีแต่แบบ fail secure กลอนจะยื่นออกเมื่อไฟหาย
IBC 2024 กำหนดให้ล็อกบันไดแบบ fail safe ปลดเมื่อได้สัญญาณจากศูนย์บัญชาการดับเพลิง เมื่อสัญญาณเพลิงไหม้ทำงานในพื้นที่ที่บันไดนั้นรับใช้ และเมื่อไฟฟ้าของระบบล็อกดับ delayed egress คือการซื้อเวลาต่อความขัดแย้งนี้ตรงๆ แหล่งรองระบุว่าประตูต้องเปิดภายใน 15 วินาทีหลังคนพยายามออก ตัวเลขนี้ตรวจกับตัวบท NFPA 101 ไม่ได้ในรอบค้นคว้านี้
Greene ปิดท้ายด้วยข้อเตือนที่พลิกด้าน: ผลิตภัณฑ์ fail safe จะปลดล็อกทุกครั้งที่มีสัญญาณเพลิงไหม้หรือไฟดับ "which is an obvious security risk" อ่านรายการเงื่อนไขปลดล็อกอีกครั้งแล้วจะเห็นว่าทุกข้อเป็นเงื่อนไขที่สร้างขึ้นได้ ไฟไหม้ไม่เลือกเวลา ส่วนสวิตช์มีคนกด
สิ่งที่กรณีนี้สอน: ก่อนเลือกล็อกไฟฟ้าทุกตัว เขียนลงกระดาษว่าเมื่อไฟดับมันอยู่ในสถานะไหน และใครบ้างที่ทำให้ไฟดับได้ — แล้วอ่านสองคำตอบนั้นเทียบกับข้อบังคับทุกข้อที่ประตูบานนั้นอยู่ใต้
การป้องกันหลายชั้น · INSAG-10, 1996
ป้อมที่มีคูน้ำ กำแพงนอก กำแพงใน และหอคอย ไม่ได้ถูกสร้างขึ้นเพื่อกันข้าศึกให้ขาด มันถูกสร้างเพื่อถ่วงเวลา ทุกชั้นที่ข้าศึกต้องผ่านคือเวลาที่ฝ่ายในได้เพิ่ม และสมมติฐานของป้อมมีข้อเดียว คือข้าศึกต้องผ่านทีละชั้น
ในปี 1996 International Nuclear Safety Advisory Group ของ IAEA พิมพ์ INSAG-10 Defence in Depth in Nuclear Safety และวางการป้องกันของโรงไฟฟ้านิวเคลียร์ไว้ห้าระดับในตารางเดียว ชื่อถูกยืมมาจากป้อม และสมมติฐานถูกยืมมาด้วย
คำนี้เป็นศัพท์ทหาร Thomas Wellock นักประวัติศาสตร์ของ NRC สืบว่ากองทัพฝรั่งเศสและเยอรมันในสงครามโลกครั้งที่หนึ่งคิดยุทธวิธีชื่อ defense in depth เพื่อกันข้าศึกทะลุแนวหน้า ด้วยระบบสนามเพลาะและจุดแข็งที่ซ้อนกันลึกหลายชั้น
เข้าสู่วิชานิวเคลียร์ทางโครงการแมนฮัตตัน ผู้รับผิดชอบเตาปฏิกรณ์ผลิตพลูโทเนียมที่ Hanford กลัวหายนะที่ปล่อยรังสีด้วยความรุนแรงระดับระเบิด จึงวาง "lines of defense" หลายแนว: ผู้ควบคุมที่ฝึกมา แท่งเชื้อเพลิงที่ผนึก กำแพงกำบัง ระบบหล่อเย็นและไฟฟ้าสำรอง และตัวสำรองของระบบดับเตาสำรอง ที่ถึงขั้นทำลายเตาเพื่อรักษาชีวิตผู้ควบคุม เรียกด้วยศัพท์ทหารอีกคำว่า last ditch
หลังสงคราม คณะกรรมการความปลอดภัยของ AEC จัดแนวเหล่านี้เป็นสามหน้าที่ คือคุณสมบัติที่ทำให้เตาปลอดภัยในตัว สิ่งกีดขวางทางกายภาพเช่นอาคารคลุม และระบบเชิงรุกเพื่อดับและหล่อเย็น วลี defense in depth ปรากฏครั้งแรกราวปี 1958 ในงานสกัดพลูโทเนียมที่ Hanford และปี 1965 Glenn Seaborg ประธาน AEC ใช้มันในจดหมายถึงสภาคองเกรสสำหรับเตาปฏิกรณ์พลเรือน
INSAG-10 จัดห้าระดับตามลำดับ: หนึ่ง กันไม่ให้เครื่องเดินผิดปกติหรือขัดข้อง ด้วยแบบที่เผื่อไว้และงานก่อสร้างคุณภาพสูง สอง ควบคุมสภาพผิดปกติและตรวจจับความขัดข้อง สาม ควบคุมอุบัติเหตุภายในฐานออกแบบ สี่ ควบคุมสภาพรุนแรงและบรรเทาผลของอุบัติเหตุรุนแรง ห้า บรรเทาผลทางรังสีเมื่อสารกัมมันตรังสีรั่วออกมาก ด้วยแผนฉุกเฉินนอกโรงไฟฟ้า ย่อหน้า 21 ระบุเงื่อนไขที่ทุกระดับต้องมีก่อน คือ appropriate conservatism, quality assurance และ safety culture
สองย่อหน้าที่รับน้ำหนักทั้งรายงานคือ 22 กับ 23 ย่อหน้า 22: ความขัดข้องเดี่ยวที่ระดับใดระดับหนึ่ง หรือแม้ความขัดข้องหลายจุดในมากกว่าหนึ่งระดับ ต้องไม่ลามไปทำลายระดับถัดไป และ "the independence of different levels of defence is a key element" ย่อหน้า 23 ปิดข้ออ้างที่คนชอบใช้ที่สุด คือการมีหลายระดับ "does not justify continued operation in the absence of one element"
แล้วรายงานก็เขียนข้อยกเว้นของตัวเองไว้ที่ย่อหน้า 27 ไฟ น้ำท่วม แผ่นดินไหว อาจทำลายหลายระดับพร้อมกัน เพราะมันทั้งก่อสถานการณ์อุบัติเหตุ และทำลายเครื่องมือรับมือในคราวเดียว ห้าระดับเป็นอิสระต่อกันได้ ก็ต่อเมื่อสิ่งที่มากระทบไม่ได้เลือกกระทบทุกระดับพร้อมกัน
รายงานฉบับนี้รู้ข้อนั้น และตั้งชื่อสิ่งที่ทำได้ไว้สามอย่าง ทั้งสามอย่างเป็นธรรมชาติ
สิ่งที่กรณีนี้สอน: นับชั้นป้องกันแล้ว ให้เขียนข้างแต่ละชั้นว่าอะไรทำให้มันล้มพร้อมชั้นอื่น — สองชั้นที่ล้มด้วยเหตุเดียวกัน นับเป็นชั้นเดียว
ชีสสวิส · 1990
แผ่นชีสเรียงซ้อนกันโดยแต่ละแผ่นมีรู คือสิ่งที่คนจำได้จากแบบจำลองนี้ และเป็นสิ่งที่มาถึงหลังสุด ข้อเสนอที่อยู่ใต้ภาพนั้นไม่ใช่เรื่องของแผ่นกั้น มันเป็นเรื่องของเวลา
วันที่ 12 เมษายน 1990 Philosophical Transactions of the Royal Society B เล่ม 327 พิมพ์บทความของ James Reason เรื่อง "The contribution of latent human failures to the breakdown of complex systems" หน้า 475–484 ชื่อบทความคือข้ออ้างทั้งหมด เส้นแบ่งที่เขาเสนอคือระหว่าง active failures ที่ปลายแหลม เห็นทันที กับ latent conditions ที่ถูกวางไว้นานก่อนหน้าโดยคำตัดสินใจ แบบ และสภาพองค์กร แล้วนอนนิ่งรอ ในปีเดียวกัน Cambridge University Press พิมพ์ Human Error ของเขา ฉบับที่ติดป้ายแบบจำลองนี้ด้วยคำว่า defence in depth อย่างชัดแจ้ง
แบบจำลองไม่ได้เกิดในปีเดียว Justin Larouzée และ Jean-Christophe Le Coze สืบว่ามันถูกพัฒนาต่อเนื่องราวสิบปีเป็นหลายขั้น และได้รับอิทธิพลโดยตรงจาก John Wreathall ภาพที่ทุกคนจำได้จึงเป็นผลปลายทางของกระบวนการนั้น ไม่ใช่จุดตั้งต้น
ข้ออ้างของแบบจำลองมีเท่านี้ แต่ละแผ่นคือแนวป้องกันหนึ่งชั้นที่หยุดเหตุไม่พึงประสงค์ได้ รูคือจุดอ่อนของแต่ละชั้น และรูเหล่านั้นเปลี่ยนขนาดกับตำแหน่งอยู่ตลอด ระบบล้มเมื่อรูในหลายแผ่น "momentarily align" เปิดเส้นทางที่ Reason เรียกว่า trajectory of accident opportunity ความบกพร่องในชั้นเดียวไม่ทำให้อันตรายเกิดจริง เพราะยังมีชั้นอื่น แบบจำลองนี้จึงเป็นข้อโต้แย้งต่อจุดล้มเดี่ยว
คำที่แบกน้ำหนักทั้งภาพคือ momentarily รูเรียงตรงกันเพราะบังเอิญ และมันขยับเอง
คำวิจารณ์ถูกรวบรวมไว้ใน Safety Science เล่ม 126 ปี 2020 โดย Larouzée และ Le Coze มีสี่ข้อหลัก มันถูกจัดอยู่ในตระกูลแบบจำลองเชิงเส้น และถูกมองว่าไม่เป็นระบบ ลดทอนสาเหตุของอุบัติเหตุจนง่ายเกิน มันบอกเป็นนัยว่าอันตรายเดินเป็นเส้นตรงผ่านแผ่นกั้นที่เรียงเป็นระเบียบ มันไม่ให้กลไก — รูไม่มีคำอธิบายว่าเกิดจากอะไร เชื่อมกับปัจจัยองค์กรหรือปัจเจกอย่างไร และข้อที่หนักที่สุด "the weakness of the SCM is that it is irrefutable by standard scientific methods"
Reason เองก็กังวลว่ามันถูกใช้กว้างและตายตัวเกินไป จนคนไล่หาสาเหตุที่ห่างจากเหตุการณ์ทั้งเวลาและสถานที่มากเกินควร ผู้วิจารณ์ทั้งสองไม่ได้ทิ้งมัน พวกเขาสรุปว่ามันยังใช้ได้เพราะฐานคิดเชิงระบบและการใช้งานต่อเนื่องในอุตสาหกรรมความเสี่ยงสูง แล้วเรียกร้องทางเลือกที่รวมข้อมูลเชิงประจักษ์ งานภาคปฏิบัติ และภาพเข้าด้วยกัน
รูที่ขยับเองแล้วมาเรียงตรงกันในวันหนึ่ง คือสิ่งที่แบบจำลองนี้อธิบายได้ ส่วนรูที่ถูกขยับ มันไม่มีคำเรียก
สิ่งที่กรณีนี้สอน: วาดแผ่นชีสเมื่อไร ให้เขียนข้างแต่ละรูว่าอะไรทำให้มันขยับ — รูที่ไม่มีสาเหตุเขียนกำกับคือภาพวาด ไม่ใช่แบบจำลอง
อุบัติเหตุปกติ · 1984
อุบัติเหตุมักจบลงด้วยการหาคนที่ทำผิดในนาทีนั้น ข้อเสนอของ Charles Perrow คืออุบัติเหตุบางประเภทไม่มีนาทีนั้นให้หา เพราะรูปร่างของระบบเป็นตัวผลิตมันขึ้นมาเอง
ในปี 1984 Basic Books พิมพ์ Normal Accidents: Living with High-Risk Technologies ของเขา นักสังคมวิทยาแห่ง Yale ห้าปีหลังอุบัติเหตุ Three Mile Island ปี 1979 ที่เขาบรรยายว่า "unexpected, incomprehensible, uncontrollable and unavoidable"
ข้อเสนอมีสองแกน ประโยคของเขาเอง: "If interactive complexity and tight coupling — system characteristics — inevitably will produce an accident, I believe we are justified in calling it a normal accident, or a system accident"
แกนแรก interactive complexity ระบบที่ความขัดข้องสองจุดขึ้นไปทำปฏิกิริยากันในแบบที่ผู้ออกแบบไม่ได้ตั้งใจและไม่ได้คาด ผู้ควบคุมมองไม่ออกในทันที แกนที่สอง tight coupling ชิ้นส่วนพึ่งพากันแน่นและผูกกันด้วยเวลา จุดหนึ่งเปลี่ยน จุดอื่นเปลี่ยนตามเร็ว จนระบบไม่มีโอกาสฟื้น ถ้อยคำนิยามสองข้อนี้เรียบเรียงจากแหล่งรอง ไม่ใช่ประโยคจากหน้าหนังสือ เงื่อนไขที่สามคือศักยภาพหายนะ ระบบที่ "take the lives of hundreds of people in one blow" ได้
จุดที่สำคัญกับเรื่องส่วนเผื่อคือข้อนี้ ความซับซ้อนอย่างเดียวรอดได้ ปฏิกิริยาที่ไม่คาดคิดระหว่างความขัดข้องไม่กลายเป็น normal accident เมื่อมีเวลาพอจะแก้ก่อนถึงจุดวิกฤต ส่วนเผื่อของ Perrow คือเวลา และ tight coupling คือสิ่งที่เอาเวลาไป
เขาไปไกลกว่านั้นในปี 2004 ตามที่ Scott Sagan สรุปใน Organization & Environment เดือนมีนาคมปีเดียวกัน ว่าความซ้ำซ้อนลดความน่าเชื่อถือได้สามทาง: อุปกรณ์นิรภัยสำรองทำให้ระบบซับซ้อนขึ้นจึงพลาดง่ายขึ้น ความซ้ำซ้อนทำให้คนโยนความรับผิดชอบให้กัน และมันเปิดทางให้แรงกดดันด้านผลผลิตดันระบบให้เดินเร็วขึ้นแต่ปลอดภัยน้อยลง ข้อสรุปเชิงนโยบายของเขาคือระบบที่ซับซ้อน ผูกแน่น และมีศักยภาพหายนะ ควรถูกออกแบบใหม่ทั้งหมด หรือเลิกใช้
ข้อสรุปแบบนั้นมีคนค้าน และข้อถกเถียงยาวที่ตามมาตั้งอยู่บนสมมติฐานที่ไม่มีฝ่ายไหนหยิบขึ้นมาตรวจ คือความขัดข้องมาถึงโดยไม่มีใครเลือกให้มันมา คำถามที่เหลือจึงมีแค่ว่าองค์กรจับมันทันหรือไม่
ฝ่ายค้านมาจาก Berkeley Todd LaPorte, Gene Rochlin และ Karlene Roberts ศึกษาองค์กรที่เดินเทคโนโลยีอันตรายโดยมีอุบัติเหตุน้อยกว่าที่ทฤษฎีทำนาย เรือบรรทุกเครื่องบิน หอควบคุมจราจรทางอากาศ โรงไฟฟ้านิวเคลียร์ บทความของ LaPorte กับ Consolini ปี 1991 ชื่อ "Working in Practice But Not in Theory" และชื่อนั้นคือข้อเสนอทั้งหมด
Scott Sagan ทดสอบสองทฤษฎีกับระบบบัญชาการอาวุธนิวเคลียร์สหรัฐใน The Limits of Safety ปี 1993 LaPorte ตอบในปี 1994 ด้วยบทความชื่อ "A Strawman Speaks Up" และสองฝ่ายยังเถียงกันด้วยว่าระบบนั้นซับซ้อนหรือเป็นเส้นตรง
ทางตันเป็นเรื่องวิธี Perrow ชี้ว่าฝ่าย HRO เลือกตัวอย่างจากผลลัพธ์ คือศึกษาแต่องค์กรที่ยังไม่ล้ม ฝ่ายตรงข้ามชี้กลับว่าทฤษฎีของ Perrow อธิบายความล้มเหลวได้ทุกครั้งเมื่อมองย้อนหลัง กรณีศึกษาของแต่ละฝ่ายมีค่าผลลัพธ์เดียวกันหมด จึงพิสูจน์ผิดไม่ได้ทั้งคู่
Shrivastava, Sonpar และ Pazzaglia เสนอในปี 2009 ว่าสองทฤษฎีมองปรากฏการณ์เดียวกันคนละช่วงเวลา หนังสือเล่มนี้ถูกอ้างอิงใน SSCI/SCI กว่า 1,000 ครั้งภายในปี 2003 และ Nick Pidgeon ประเมินมันใน Nature ปี 2011 สถานะปัจจุบันคือยังไม่จบ
สองฝ่ายเถียงกันเรื่องเดียว คือองค์กรจับความขัดข้องทันหรือไม่ ไม่มีฝ่ายไหนถามว่าถ้าความขัดข้องเลือกเวลามาเอง เวลาที่เป็นส่วนเผื่อจะเหลือเท่าไร
สิ่งที่กรณีนี้สอน: ก่อนเพิ่มอุปกรณ์สำรองชิ้นใด ให้เขียนว่ามันเพิ่มปฏิกิริยาระหว่างชิ้นส่วนกี่คู่ และเอาเวลาไปจากขั้นไหน — ถ้ามันผูกระบบแน่นขึ้น มันไม่ใช่ส่วนเผื่อ
ท่าที่เอาไปใช้ได้: ทุกตัวเลขส่วนเผื่อที่เจอ ให้ตามไปหาเอกสารที่ตั้งมัน ไม่ใช่ตำราที่อ้างมัน แล้วอ่านหาสองอย่าง: มันเผื่อรายการไหนของความไม่รู้ และมันถูกแบ่งมาจากเลขเดิมหรือถูก derive ใหม่
จะพลิกคำตัดสินของภาคนี้ได้เมื่อ: มีใครแสดงบันทึกการปรับเทียบของโค้ดโครงสร้างระดับชาติฉบับใดฉบับหนึ่ง ที่ตัวคูณย่อยถูก derive จากสถิติการวิบัติจริง และค่าที่ได้ไม่ทวนซ้ำตัวคูณรวมของโค้ดรุ่นก่อน
แหล่งของภาคนี้:
- Wikipedia, Factor of safety — https://en.wikipedia.org/wiki/Factor_of_safety
- Hansson, Safety Factors, Encyclopedia of Science, Technology, and Ethics — https://www.encyclopedia.com/science/encyclopedias-almanacs-transcripts-and-maps/safety-factors
- Beal, A history of the safety factors, The Structural Engineer 89(20), 2011 — https://anbeal.co.uk/safetyfactorhistory.html
- Beal, Factors of Ignorance?, The Structural Engineer 79(20), 2001 — https://www.istructe.org/journal/volumes/volume-79-(published-in-2001)/issue-20/factors-of-ignorance/
- Pugsley, Concepts of Safety in Structural Engineering, 1951 — https://www.icevirtuallibrary.com/doi/abs/10.1680/ijoti.1951.12755
- Rankine, A Manual of Applied Mechanics, 1858 — https://archive.org/details/manualappmecha00rankrich
- 14 CFR 25.303, Factor of safety — https://www.ecfr.gov/current/title-14/chapter-I/subchapter-C/part-25/subpart-C/subject-group-ECFRea44cbb3048b817/section-25.303
- Zipay, Modlin & Larsen, The Ultimate Factor of Safety for Aircraft and Spacecraft, NASA — https://ntrs.nasa.gov/api/citations/20150003482/downloads/20150003482.pdf
- Gray, Elisha Otis' "Improved Elevator", Elevator World — https://elevatorworld.com/article/elisha-otis-improved-elevator/
- Gray, Elisha Otis at Crystal Palace, part 2, Elevator World — https://elevatorworld.com/article/elisha-otis-at-crystal-palace-part-2/
- EDN, 1st commercial elevator starts running, March 23, 1857 — https://www.edn.com/1st-commercial-elevator-starts-running-march-23-1857/
- Pierce, The Evolution of Structural Design Specifications in the United States, STRUCTURE, 2015 — https://www.structuremag.org/article/the-evolution-of-structural-design-specifications-in-the-united-states/
- Greene, Decoded: Fail Safe vs. Fail Secure – When and Where? — https://idighardware.com/2023/10/decoded-fail-safe-vs-fail-secure-when-and-where/
- Greene, Decoded: Quick Tips – Delayed Egress — https://idighardware.com/2014/10/decoded-quick-tips-delayed-egress/
- Henderson Engineers, Door Locking Requirements in NFPA 101 — https://www.hendersonengineers.com/insight_article/door-locking-requirements-in-nfpa-101/
- IAEA INSAG-10, Defence in Depth in Nuclear Safety, 1996 — https://www-pub.iaea.org/MTCD/Publications/PDF/Pub1013e_web.pdf
- Wellock, Defense in Depth – A War for Safety, NRC — https://www.nrc.gov/reading-rm/basic-ref/students/history-101/defense-in-depth
- Wikipedia, Defence in depth (non-military) — https://en.wikipedia.org/wiki/Defence_in_depth_(non-military)
- Reason, The contribution of latent human failures to the breakdown of complex systems, 1990 — https://royalsocietypublishing.org/doi/10.1098/rstb.1990.0090
- Larouzée & Le Coze, Good and bad reasons: The Swiss cheese model and its critics, Safety Science 126, 2020 — https://www.sciencedirect.com/science/article/pii/S0925753520300576
- Larouzée & Le Coze, open-access deposit — https://ineris.hal.science/ineris-03318305v1/document
- Wikipedia, Normal Accidents — https://en.wikipedia.org/wiki/Normal_Accidents
- Perrow, Normal Accidents, Princeton University Press — https://www.jstor.org/stable/j.ctt7srgf
- LaPorte & Consolini, Working in Practice But Not in Theory, JPART 1(1), 1991 — https://academic.oup.com/jpart/article-abstract/1/1/19/978459
- Sagan, The Limits of Safety, 1993 — https://press.princeton.edu/books/paperback/9780691021010/the-limits-of-safety
- Sagan, Learning from Normal Accidents, Organization & Environment, 2004 — https://web.archive.org/web/20040714202943/http://iis-db.stanford.edu/pubs/20276/sagan_oe_dec03.pdf
- Shrivastava, Sonpar & Pazzaglia, Normal Accident Theory versus High Reliability Theory, Human Relations, 2009 — https://journals.sagepub.com/doi/10.1177/0018726709339117
- Pidgeon, In retrospect: Normal accidents, Nature 477, 2011 — https://doi.org/10.1038/477404a