安全工程

安全工程程度的工程科學。安全工程和系統工程、工業工程及其子領域系統安全工程密切相關。安全工程可確保一個生命關鍵系統的行為符合需求，甚至可能在部份零件損壞時仍可符合需求。簡介.安全工程的主要目標是管理風險，消除風險或降低到可以接受的水準。風險是由失效事件機率及其結果嚴重性所組合而成。例如特定失效結果的嚴重性可能是人員傷亡、財產損失，也可能只是讓人困擾，沒有其他影響。失效事件機率可能是頻繁、有時發生或是很少發生。失效的可接受程度和上述二者有關，而失效事件機率會比其結果嚴重性要難預測，因為有許多因素會造成失效，例如機械失效、環境因素以及操作錯誤。安全工程設法減少失效的頻率，並確保一旦失效發生時，其後果不致於造成人員傷亡。例如橋樑設計可乘載的最大荷重可以大於會透過的最大卡車重量，這就減少了橋樑超載的可能性。許多橋樑都設計有冗餘的荷重結構，因此即使有其中一個結構元素失效，可以由其他結構來荷重，這就減少了橋樑超載結果的嚴重性。理想上，安全工程是從系統設計初期就開始了，安全工程師會考慮在哪些情形下可能會發生哪些不想要出現的事件，及有關事故風險的計劃。若在設計初期可能會在設計規格提出安全緩解的需求，針對既有的設計或是正在服務的產品則會修改設計，提高系統的安全性。有可能是完全消除某一種類的，也有可能只是降低事故的風險。常常安全工程師被賦與的任務是證明某個既有的系統是安全的，而不是去更改設計，若是在開發後期甚至完成後才發現顯著的安全問題，其矯正措施可能會相當昂貴，可能是大量金錢的支出，甚至是造成人員傷亡或是環境的破壞。有些機構不是採用上述傳統的方式，而是用積極及已驗證可行流程的觀點來處理安全工程，此觀點稱為系統安全。系統安全的理念可以適用在複雜系統及關鍵系統，像是商業客機、複雜武器系統、太空船、鐵路及運輸系統、航管系統以及其他工業上的複雜系統及關鍵系統。這種系統安全的方法及技術是藉由主要工程紀律及設計團隊的組合，在設計過程中可以預防、消除及控制危害及風險。由於現代的系統中，越來越多的機能是由軟體來控制，因此軟體安全也是快速成長的領域之一。軟體可以使系統更加安全，但也可能使系統處於一個危險的狀態。系統安全及軟體安全都是安全工程領域中的一部份，其概念是藉由許多不同種類的來識別危害、確認危害、驗證計，並且評估在系統認證之前，是否需要指定新的安全功能或程式，策略性地降低風險到可接受的程度。有時降低風險不只是設計階段的考量，也可以適用在保養階段。在安全工程及可靠度工程中有有關。對於大型的複雜系統，依照失效分析可能會有數百個到上千個保養的方式。其保養可能是根據各零件的基本條件。以可靠性為中心的保養會根據每項保養對安全性、任務準備度、操作準備度及失效時維修成本上的風險貢獻加以分析，最後會將所有的保養規劃在固定的保養時間內進行。規劃的過程可能會增加複雜性，因為可能將某項保養的週期加長，因此提高了風險，但是也將另一項保養的週期縮短，因此降低風險，其結果會是綜合性的保養計劃，目的在減少操作時的風險，並確保其操作準備度及可用性都在可接用的水準。分析技術.分析技術可以分為二種：非量化的及量化的，二種方法的目的都是找出系統層級的危害及個別零件失效之間的關係。非量化方法著重在回答「哪一個零件一定要失效，才會造成系統危害？」，量化方法則是估計失效機率、失效頻率及後果嚴重性。傳統上，安全分析技術主要是隻靠安全工程師的技能及專業意見。最近十多年來以模型為基礎的技術越來越受到注意。和傳統的作法不同，模型為基礎的技術試圖藉由系統的某種模型推導失效和危害之間的因果關係。傳統的安全工程分析技術.二個最常見的安全工程分析技術分別是失效模式與影響分析及故障樹分析。二個技術都是設法找出問題，並設法對抗失效，就像所做的一様。報告也稱為核反應爐安全報告，是1974年由美國原子能委員會提出的報告，也是最早用這類技術完整分析商用核電廠的研究。失效模式與影響分析.失效模式與影響分析是一個由下往上的、歸納式的分析方式，在二十世紀40年代後期，美國空軍正式採用了FMEA。失效模式與影響分析可以應用在機能層級或元件層級。機能層級的失效模式與影響分析中，會識別系統及裝置中每一個機能的失效模式，一般會配合機能方塊圖進行。元件層級的失效模式與影響分析則是識別每一個零件的失效模式。找到失效模式後，會描述失效模式帶來的影響，根據機能或零件的失效率及失效模式指定其機率。軟體的失效很難量化，而且會影響硬體的失效模式多半不會影響軟體，像溫度、壽命及製造變異會影響電阻的特性，但不會影響軟體的特性。二個有相同影響的失效模式可以合併，並在失效模式與影響分析中簡述。若和嚴重性分析合併時，失效模式與影響分析會變成失效模式效應與關鍵性分析，簡稱FMECA。故障樹分析.故障樹分析之間的邏輯關係。最底層的基本事件藉由邏輯閘一直連結到最上層的不希望發生事件。其目的是識別是否可以完全避免最上層事件的發生，或是使最上層事件的發生機率降低，並驗證是否有達到安全目的。故障樹和成功樹在邏輯上恰好相反，因此可以由成功樹配合德摩根定律推導，而成功樹又和有直接關係。故障樹分析可以是定性分析，也可以是量化分析。若沒有失效及事件機率的資訊，定性的故障樹可以用最小割集來分析。若任何一個最小割集中包括了某一個單一的基本事件，表示最上層的事件會因為一個基本事件而造成。量化的故障樹一般會計算最上層事件的機率，一般需要像電腦軟體的協助．像開發的或是的CAFTA。有些產業會同時應用故障樹及。事件樹是從不希望發生的初始事件開始，往下確認是否會造成其他系統的事件。每多考慮一個事件，事件樹就會多一個節點，往下有分枝，以及各分支的事件發生的機率。因此可以看初始事件會衍生的其他事件以及發生的機率。安全認證.在一個透過安全的系統中，每109小時連續運轉的平均失效次數不能大於1。一般西方的核反應爐、醫療裝置及商用航空器是以此等級進行認證。相較於失效時帶來的人員傷亡，這些產品認證衍生的費用是合理的。避免失效.若是識別出一個失效模式，可以在系統中加入額外的裝置或冗餘裝置，以緩和失效的影響。例如核反應爐中有危險的輻射，而且失控的核反應會產生大量熱量，會造成堆芯熔毀，也會熔化周圍的物質。因此核反應爐有緊急的爐心冷卻設施使爐心的溫度下降，有遮蔽層避免釋放輻射，也有工程屏障避免放射物質外洩。一般在安全關鍵系統中，若出現單一事件或單一零件失效，不會產生災難式的失效模式。大多數生物的器官都有冗餘，例如多個器官、二個手及二個腳等。針對失效，多半可以設計失效轉移或是冗餘來處理，整合在整個系統中。安全和可靠度.安全和可靠度不同。醫療裝置會設計成具有失效安全的特性，若一個醫療裝置失效，仍然會保持在安全的狀態，而且醫生會設法找到其他的替代方案。但若飛機的飛行控制系統失效，很可能會沒有替代方案。電力系統網路在設計時需同時考量安全及可靠度。電信系統主要是考量可靠度，但若施打緊急電話時，就需考量安全性的問題。安全性和可靠度之間的關係可以用來描述。零件可靠度、可用度，以及任務成功機率或失敗機率。可靠度分析的範圍比安全性分析的範圍要廣，因為可靠度分析也會考慮非關鍵性的失效。而在安全性分析中，可以接受非關鍵性系統有較高的失效率。一般而言，安全性無法只從零件的可靠度來達到。一般會希望災難性失效的機率只有每小時10−9次，但這也只有像電阻器或電容器等非常簡單的元件才有這麼低的失效率。一般有上千或上萬個零件的複雜系統，其平均故障間隔約在10,000到100,000小時之間，代表其故障率是每小時10−4至10−5次。若某個系統失效是災難性的，要達到失效率每小時10−9次的實務作法是利用冗餘的方式。若有二個相同功能，但有獨立失效模式的冗餘系統，每個系統的MTBF為100,000小時，因為二個系統都失效時，整個系統才會失效，其失效率可以到每小時10−10次。若是系統中不太可能增加裝置，比較可行方式是設計成是固有失效安全的系統，也就是讓系統的失效模式不會是災難式的。固有失效安全的概念常用在醫療裝置、交通及軌道訊號、通訊裝置及安全裝置中。典型的作法是調整系統，使得常見的失效模式可以用安全的方式停機在設計選擇中將消除危害因素列為最優先的專案。有些系統因為需要持續的可用性，無法作到失效安全。例如在飛行中引擎失去推力是非常危險的，此情形下需要使用冗餘、或是復原程式等作法。這也可以讓系統較不容易受到一些變異的影響，包括可靠度預測誤差或是個別零件品質造成的不確定性等。另一方面，在確保系統層級的可靠度上，失效偵測及修正，以及共因失效的避免變得越來越重要遏制失效.在實務上也會用遏制或隔離的方式處理失效。像在管路中，常用隔離閥來隔離可能會損壞或需要定期保養的元件。所有遏制系統的目的都是提供方法可以緩解失效的影響。甚至有時故障隔離是指可以隔離偵測到的失效，因此可以將系統復原成未失效的狀態。隔離水準可以用來顯示哪些失效可以復原（一般是用安裝可更換冗餘的模組，在失效時立刻切換到其他未失效的模組。