شکست امن

در مهندسی، **شکست امن** یک ویژگی یا روش طراحی است که در صورت بروز یک نوع علل شکست خاص، ذاتاً به گونه‌ای پاسخ می‌دهد که کمترین آسیب را به سایر تجهیزات، محیط زیست یا افراد وارد می‌کند. برخلاف ایمنی ذاتی برای یک خطر خاص، «ایمن بودن سیستم» به این معنی نیست که خرابی غیرممکن یا غیرمحتمل است، بلکه به این معنی است که طراحی سیستم از عواقب ناایمن خرابی سیستم جلوگیری می‌کند یا آن را کاهش می‌دهد؛ یعنی اگر زمانی که یک سیستم «شکست امن» از کار بیفتد، حداقل به همان اندازه سالم باقی می‌ماند که قبل از شکست وجود داشت. از آنجایی که بسیاری از انواع خرابی امکان‌پذیر است، آنالیز حالت و اثرات شکست برای بررسی حالت‌های خرابی و توصیه طراحی و روش‌های ایمنی استفاده می‌شود.

برخی از سیستم‌ها را هرگز نمی‌توان در برابر خرابی ایمن کرد، زیرا در دسترس بودن مداوم مورد نیاز است. افزونگی، تاب‌آوری خطا، یا برنامه احتیاطی برای این حالت‌ها استفاده می‌شود (مثلاً چندین موتور مستقل با کنترل و تغذیه سوخت).

## مثال‌ها
### مکانیکی یا فیزیکی
چپ|بندانگشتی| شیر کنترل کروی با محرک دیافراگم پنوماتیک. چنین دریچه ای را می‌توان طوری طراحی کرد که در صورت از بین رفتن هوای فعال، با استفاده از فشار فنر از کار بیفتد.
مثال‌ها عبارتند از:
* درهای ضد حریق کرکره‌ای که توسط سیستم‌های هشدار ساختمان یا آشکارسازهای دود محلی فعال می‌شوند، باید بدون توجه به قدرت، به‌طور خودکار بسته شوند. در صورت قطع برق، درب ضد حریق سیم پیچی نیازی به بسته شدن ندارد، اما باید در صورت دریافت سیگنال از سیستم‌های هشدار ساختمان یا آشکارسازهای دود، قابلیت بسته شدن خودکار را داشته باشد. ممکن است از یک پیوند قابل ذوب حساس به دما برای باز نگه داشتن درهای آتش‌نشانی در برابر جاذبه یا فنر بسته‌کننده استفاده شود. در صورت آتش‌سوزی، پیوند ذوب می‌شود و درها را آزاد می‌کند و آنها بسته می‌شوند.
* برخی از ارابه‌های بار فرودگاه نیاز دارند که فرد سوئیچ ترمز دستی یک سبد را همیشه نگه دارد. اگر سوئیچ ترمز دستی آزاد شود، ترمز فعال می‌شود و با فرض اینکه تمام قسمت‌های دیگر سیستم ترمز به درستی کار می‌کنند، گاری متوقف می‌شود؛ بنابراین، الزامات نگه داشتن ترمز دستی هم مطابق با اصول «ایمنی خرابی» عمل می‌کند و هم به خرابی ایمن سیستم کمک می‌کند (اما لزوماً تضمین نمی‌کند). این نمونه ای از *[[کلید مرد مرده]]* است.
* چمن زن‌ها و برف خورها دارای یک اهرم دستی هستند که باید همیشه پایین نگه داشته شود. اگر آزاد شود، چرخش تیغه یا چرخنده را متوقف می‌کند. این همچنین به عنوان کلید *مرد مرده عمل می‌کند*.
* ترمزهای بادی در قطارهای راه‌آهن و ترمزهای هوایی در کامیون‌ها وجود دارند. ترمزها با فشار هوای ایجاد شده در سیستم ترمز در موقعیت خاموش نگه داشته می‌شوند. در مورد کامیون‌ها اگر خط ترمز شکافته شود، یا واگنی جدا شود، فشار هوا از بین می‌رود و ترمزها اعمال می‌شود، یا در قطارها توسط یک مخزن هوای داخلی اعمال می‌شود. رانندگی با کامیون با نشتی جدی در سیستم ترمز هوا غیرممکن است. (کامیون‌ها همچنین ممکن است از کلاه گیس برای نشان دادن فشار کم هوا استفاده کنند)
* درب‌های موتوری - در صورت قطع برق می‌توان دروازه را با دست و بدون نیاز به میل لنگ یا کلید باز کرد. با این حال، از آنجایی که عملاً به هر کسی اجازه می‌دهد از دروازه عبور کند، *از* طراحی خرابی ایمن استفاده می‌شود: در قطع برق، دروازه را فقط می‌توان با یک لنگ دستی باز کرد که معمولاً در یک منطقه امن یا زیر قفل و کلید قرار می‌گیرد. . هنگامی که چنین دروازه ای دسترسی وسایل نقلیه به خانه‌ها را فراهم می‌کند، از یک طرح ایمن استفاده می‌شود، جایی که در باز می‌شود تا امکان دسترسی آتش‌نشانی فراهم شود.
* شیرهای ایمنی - دستگاه‌های مختلفی هستند که با سیالات کار می‌کنند از فیوزها یا شیرهای ایمنی به عنوان مکانیزم‌های شکست امن استفاده می‌کنند.

بندانگشتی| سیگنال‌های سمافور راه‌آهن «توقف» یا «احتیاط» یک بازوی افقی است، «تخلیه برای ادامه» ۴۵ درجه به سمت بالا است، بنابراین خرابی کابل محرک بازوی سیگنال را تحت فشار جاذبه آزاد می‌کند.
* یک سیگنال سمافور راه‌آهن به‌طور ویژه طراحی شده است که در صورت شکسته شدن کابل کنترل‌کننده سیگنال، بازو به موقعیت «خطر» بازمی‌گردد و سیگنال غیرفعال از عبور قطار جلوگیری می‌کند.
* سوپاپ‌های ایزوله سازی و شیرهای کنترلی که به عنوان مثال در سیستم‌های حاوی مواد خطرناک استفاده می‌شوند، می‌توانند به گونه‌ای طراحی شوند که در صورت از دست دادن نیرو، به عنوان مثال با نیروی فنر، بسته شوند. این به عنوان شکست بسته شده در صورت از دست دادن قدرت شناخته می‌شود.
* یک آسانسور دارای ترمزهایی است که از لنت ترمز، توسط کشش کابل آسانسور جلوگیری می‌کند. اگر کابل پاره شود، کشش از بین می‌رود و ترمزها روی ریل‌های شفت می‌چسبند تا کابین آسانسور سقوط نکند.
* تهویه مطبوع خودرو – کنترل‌های یخ زدایی برای عملکرد دمپر دیورتر و برای همه عملکردها به جز یخ زدایی نیاز به خلاء دارند. اگر خلاء از کار بیفتد، یخ زدایی همچنان در دسترس است.

### برقی یا الکترونیکی
مثال‌ها عبارتند از:
* بسیاری از دستگاه‌ها توسط فیوزها، مدارشکن‌های قدرت یا مدارهای محدود کننده جریان از اتصال کوتاه محافظت می‌شوند. قطع برق در شرایط اضافه بار از آسیب یا تخریب سیم کشی یا دستگاه‌های مدار به دلیل گرمای بیش از حد جلوگیری می‌کند.
* اویونیک با استفاده از افزونگی برای انجام محاسبات مشابه از افزونگی ماجولار سه‌گانه استفاده می‌کند. نتایج متفاوت نشان دهنده یک نقص در سیستم است.
* کنترل‌های درایو به سیم و هدایت پرواز برقی مانند سنسور موقعیت شتاب‌دهنده معمولاً دارای دو پتانسیومتر هستند که در جهت مخالف خوانده می‌شوند، به طوری که حرکت کنترل باعث می‌شود که یکی بالاتر و دیگری معمولاً به همان اندازه پایین‌تر شود. عدم تطابق بین دو قرائت نشان دهنده ایراد در سیستم است و واحد فرمان موتور اغلب می‌تواند استنباط کند که کدام یک از دو قرائت معیوب است.
* کنترل‌کننده‌های چراغ راهنمایی به جای نمایش سیگنال‌های متعارض بالقوه خطرناک، مثلاً نشان دادن سبز در همه جهات، از یک *واحد نظارت بر تضاد* برای شناسایی خطاها یا سیگنال‌های متضاد استفاده می‌کنند و یک تقاطع را به سیگنال خطای تمام چشمک‌زن تغییر می‌دهند.
* حفاظت خودکار از برنامه‌ها یا سیستم‌های پردازشی در هنگام شناسایی خرابی سخت‌افزار رایانه یا نرم‌افزار رایانه در یک سیستم رایانه ای. یک مثال کلاسیک تایمر سگ نگهباناست. شکست امن (رایانه) را ببینید.
* عملیات کنترل یا عملکرد کنترلی که از عملکرد نامناسب سیستم یا شکست فاجعه بار در صورت نقص مدار الکترونیکی یا خطای اپراتور جلوگیری می‌کند. به عنوان مثال، مدار مسیر ایمن که برای کنترل سیگنال‌های بلوک راه آهناستفاده می‌شود. این واقعیت که یک کهربای چشمک‌زن در بسیاری از خطوط راه‌آهن نسبت به کهربای جامد راحت‌تر است، نشانه‌ای از خرابی است، زیرا رله، در صورت کار نکردن، به تنظیمات محدودتری برمی‌گردد.
* بالاست گلوله آهن روی بثی‌سکف رها می‌شود تا زیردریایی بتواند به سمت بالا حرکت کند. بالاست توسط آهنرباهای الکتریکی در جای خود نگه داشته می‌شود. اگر برق قطع شود، بالاست آزاد می‌شود و زیردریایی سپس به محل امن صعود می‌کند.
* بسیاری از طرح‌های واکنشگاه‌های هسته‌ای دارای میله‌های کنترل جذب نوترون هستند که توسط آهن‌رباهای الکتریکی معلق هستند. اگر قدرت قطع شود، تحت گرانش به درون هسته می‌افتند و با جذب نوترون‌های مورد نیاز برای ادامه شکافت، واکنش زنجیره‌ای را در چند ثانیه متوقف می‌کنند.
* در خودکارسازی صنعتی، مدارهای دزدگیر معمولاً " معمولاً بسته " هستند. این تضمین می‌کند که در صورت قطع شدن سیم، زنگ هشدار فعال می‌شود. اگر مدار به‌طور معمول باز بود، خرابی سیم تشخیص داده نمی‌شد و سیگنال‌های هشدار واقعی را مسدود می‌کرد.
* معمولاً می‌توان سنسورهای آنالوگ و محرک‌های مدوله‌کننده را نصب کرد و سیم‌کشی کرد که خرابی مدار منجر به خواندن خارج از محدوده شود - به حلقه فعلی مراجعه کنید. به عنوان مثال، یک پتانسیومتری که موقعیت پدال را نشان می‌دهد ممکن است فقط از ۲۰٪ تا ۸۰٪ از محدوده کامل خود حرکت کند، به طوری که قطع یا کوتاه شدن کابل منجر به خواندن ۰٪ یا ۱۰۰٪ شود.
* در سیستم‌های کنترل، سیگنال‌های بسیار مهم را می‌توان توسط یک جفت سیم مکمل ( و ) حمل کرد. فقط حالت‌هایی که دو سیگنال مخالف هستند (یکی زیاد و دیگری کم) معتبر هستند. اگر هر دو بالا یا پایین باشند، سیستم کنترل می‌داند که مشکلی در سنسور یا سیم‌کشی اتصال وجود دارد. حالت‌های خرابی ساده (سنسور مرده، سیم‌های قطع یا قطع شده) به این ترتیب شناسایی می‌شوند. یک مثال می‌تواند یک سیستم کنترلی باشد که هر دو کلید (مدار) معمولاً باز (NO) و کلید (مدار) معمولاً بسته (NC) یک کلید (مدار) انتخابگر SPDTرا در برابر مشترک می‌خواند و قبل از واکنش به ورودی آنها را از نظر انسجام بررسی می‌کند.
* در سیستم‌های کنترل تهویه مطبوع، عملگرهای مکانیکی که دمپرها و شیرها را کنترل می‌کنند، ممکن است برای جلوگیری از یخ زدن کویل‌ها یا گرم شدن بیش از حد اتاق‌ها، ایمن باشند. محرک‌های پنوماتیکی قدیمی‌تر ذاتاً در برابر خرابی ایمن بودند، زیرا اگر فشار هوا در مقابل دیافراگم داخلی از کار بیفتد، فنر تعبیه‌شده محرک را به موقعیت اصلی خود می‌برد – البته موقعیت خانه باید موقعیت «امن» باشد. محرک‌های الکتریکی و الکترونیکی جدیدتر به اجزای اضافی (فنجره‌ها یا خازن‌ها) نیاز دارند تا به‌طور خودکار محرک را در صورت از دست دادن توان الکتریکی به موقعیت اصلی هدایت کنند.
* کنترل گرهای منطقی برنامه پذیر (PLC). برای ایجاد یک PLC ایمن در برابر خرابی، سیستم برای متوقف کردن درایوهای مرتبط نیازی به انرژی ندارد. به عنوان مثال، معمولاً توقف اضطراری یک تماس معمولاً بسته است. در صورت قطع برق، برق مستقیماً از سیم پیچ و همچنین ورودی PLC حذف می‌شود. از این رو، یک سیستم شکست امن است.
* اگر یک تنظیم کننده ولتاژ خراب شود، می‌تواند تجهیزات متصل را از بین ببرد. یک اهرم (مدار) با اتصال کوتاه منبع تغذیه به محض تشخیص اضافه ولتاژ از آسیب جلوگیری می‌کند.

### ایمنی رویه ای
[چپ|بندانگشتی| یک هواپیما [پس‌سوز|پس سوز خود را روشن می‌کند تا در هنگام فرود متوقف شده روی یک ناو هواپیمابر، قدرت کامل خود را حفظ کند. اگر فرود متوقف شده با شکست مواجه شود، هواپیما می‌تواند با خیال راحت دوباره بلند شود.]]
همچنین دستگاه‌ها و سیستم‌های فیزیکی می‌توانند رویه‌های بی‌خطر ایجاد کنند تا در صورت انجام نشدن یا انجام نادرست رویه، هیچ اقدام خطرناکی حاصل نشود. مثلا:
* مسیر فضاپیما - در طی ماموریت‌های اولیه برنامه فضایی آپولو به ماه، فضاپیما در مسیر بازگشت آزاد قرار گرفت. - اگر موتورها در قرار گرفتن در مدار ماه از کار می‌افتادند، سفینه با خیال راحت به زمین بازمی‌گشت.
* خلبان هواپیمایی که بر روی یک ناو هواپیمابر فرود می‌آید، در هنگام تاچ داون، دریچه گاز را به قدرت کامل افزایش می‌دهد. اگر سیم‌های مهار کننده نتوانند هواپیما را بگیرند، می‌تواند دوباره بلند شود. این نمونه ای از تمرین شکست امن است.
* در سیگنال‌دهی راه‌آهن، سیگنال‌هایی که برای قطار مورد استفاده فعال نیستند، باید در موقعیت «خطر» قرار گیرند. موقعیت پیش فرض هر سیگنال مطلق کنترل شده «خطر» است و بنابراین یک اقدام مثبت است - تنظیم سیگنال‌ها برای «تخلیه» - قبل از عبور قطار لازم است. این عمل همچنین تضمین می‌کند که در صورت نقص در سیستم سیگنال دهی، سیگنال دهنده ناتوان، یا ورود غیرمنتظره قطار، هرگز سیگنال «واضح» اشتباه به قطار نشان داده نخواهد شد.
* به مهندسان راه‌آهن دستور داده می‌شود که سیگنال راه‌آهنی که جنبه گیج‌کننده، متناقض یا ناآشنا را نشان می‌دهد (مثلاً یک سیگنال نور رنگی که دچار خرابی الکتریکی شده است و اصلاً نوری را نشان نمی‌دهد) باید به‌عنوان «خطر» تلقی شود. به این ترتیب راننده به شکست ایمنی سیستم کمک می‌کند.

## اصطلاحات دیگر
دستگاه‌های شکست امن (ضدخطا) به عنوان دستگاه‌های *پوکا یوکه نیز شناخته می‌شود.* پوکا یوکه، یک اصطلاح زبان ژاپنی، توسط شینگئو شینگو، یک متخصص کیفیت ابداع شد. «ایمن برای شکست» به طرح‌های مهندسی عمران مانند پروژه اتاق برای رودخانه در هلند و طرح رودخانه تیمز 2100 که استراتژی‌های سازگاری انعطاف‌پذیر یا سازگاری با تغییرات اقلیم را در بر می‌گیرد که آسیب را فراهم می‌کند و آن را محدود می‌کند. اگر حوادث شدیدی مانند سیل‌های ۵۰۰ ساله رخ دهد.

### شکست امن و شکست امنیت
شکست و شکست امنیت مفاهیم متمایز هستند. شکست امن به این معنی است که یک دستگاه در صورت از کار افتادن جان یا دارایی خود را به خطر نمی‌اندازد. شکست امنیت*،* *همچنین شکست بسته* نامیده می‌شود، به این معنی که دسترسی یا داده‌ها در یک نقص امنیتی به دست اشتباه نمی‌افتد. گاهی اوقات رویکردها راه حل‌های متضادی را پیشنهاد می‌کنند. به عنوان مثال، اگر ساختمانی آتش بگیرد، سیستم‌های شکست امن برای اطمینان از فرار سریع قفل درها را باز می‌کنند و به آتش‌نشانان اجازه می‌دهند داخل شوند، در حالی که شکست امنیت درها را برای جلوگیری از دسترسی غیرمجاز به ساختمان قفل می‌کند.

نقطه مقابل شکست بسته، شکست باز نامیده می‌شود.

### شکست فعال عملکردی
شکست فعال عملکرد را می‌توان بر روی سیستم‌هایی نصب کرد که دارای درجه افزونگی بالایی هستند، به طوری که می‌توان یک شکست واحد از هر قسمت از سیستم را تحمل کرد (شکست فعال عملکردی) و می‌توان خرابی دوم را تشخیص داد - در این مرحله سیستم خودش را تغییر می‌دهد. خاموش (جدا کردن، شکست منفعل). یکی از راه‌های انجام این کار نصب سه سیستم یکسان و یک منطق کنترل است که مغایرت‌ها را تشخیص می‌دهد. نمونه ای برای این امر بسیاری از سیستم‌های هواپیما، از جمله سیستم‌های ناوبری اینرسی و لوله‌های پیتوت هستند.

### نقطه شکست امن
در طول جنگ سرد، «نقطه شکست امن» اصطلاحی بود که برای بمب افکن‌های هسته ای فرماندهی استراتژیک هوایی آمریکا، درست خارج از حریم هوایی شوروی، بدون بازگشت استفاده می‌شد. در صورت دریافت دستور حمله، بمب افکن‌ها موظف بودند در نقطه ایمن مانده و منتظر دستور تأیید دوم بمانند. تا زمانی که یکی از آنها دریافت نشد، آنها بمب‌های خود را مسلح نمی‌کردند یا ادامه نمی‌دادند. طرح این بود که از هر گونه شکست واحد فرماندهی آمریکا که باعث جنگ هسته ای شود جلوگیری کند. این مفهوم از واژه با انتشار رمان *Fail-Safe* در سال ۱۹۶۲ وارد فرهنگ لغت عمومی آمریکایی شد.

(دیگر سیستم‌های کنترل فرمان جنگ هسته ای طرح در مقابل استفاده می‌شود، شکست کشنده، که نیاز به اثبات مداوم یا منظم که یک دشمن حمله اولین ضربه رخ داده *است* برای *جلوگیری از* راه اندازی یک حمله هسته ای)

## جستارهای وابسته
* شکست سریع
* نظریه کنترل
* کلید مرد مرده
* RS-485
* تنزل زیبا
* شکست بدی
* شکست کشنده
* تاب‌آوری خطا
* IEC 61508
* اینترلاک
* طراحی عمر ایمن
* مهندسی ایمنی

## منابع

رده:ایمنی
رده:تحمل خطا
رده:دکترین نظامی
رده:سامانه‌های تحمل خطای رایانه‌ای