บทเรียนจากภัยพิบัติ Piper Alpha ปี 1988

คืนวันที่ 6 กรกฎาคม ค.ศ. 1988 แท่นผลิต Piper Alpha ในทะเลเหนือเกิดการรั่วของไฮโดรคาร์บอนและการจุดติด เหตุขยายอย่างรวดเร็วผ่านอุปกรณ์กับท่อซึ่งเชื่อมต่อกัน คน 167 คนเสียชีวิต ภัยพิบัติครั้งนี้กลายเป็นจุดเปลี่ยนของการกำกับความปลอดภัยนอกชายฝั่งสหราชอาณาจักร และยังถูกใช้สอนงานในโรงกลั่น ปิโตรเคมี โรงแยกก๊าซ และโรงงานกระบวนการทั่วโลก

คำอธิบายแบบสั้นมักบอกว่า “ใบอนุญาตทำงานหาย จึงเปิดปั๊มที่กำลังซ่อม” ประโยคนี้จำง่ายแต่บีบระบบหลายชั้นให้เหลือความผิดพลาดจุดเดียว รายงานการไต่สวนสาธารณะของ Lord Cullen และคู่มือ HSG250 ของ Health and Safety Executive หรือ HSE แสดงว่า การส่งข้อมูลเรื่องวาล์วนิรภัยที่ถอดออกไม่สำเร็จเป็นส่วนสำคัญ ทว่าเหตุร้ายแรงเกิดขึ้นได้เพราะการแยกชั่วคราว ระบบใบอนุญาต การส่งมอบกะ การรับรู้สภาพอุปกรณ์ การออกแบบ การป้องกันอัคคีภัย การตอบโต้ และ inventory จากส่วนเชื่อมต่อต่างอ่อนตัวพร้อมกัน

การอ่านกรณีนี้อย่างรับผิดชอบจึงต้องแยกสามเรื่อง ได้แก่ สิ่งที่เกิดในคืนนั้น ข้อค้นพบของการไต่สวน และบทเรียนที่องค์กรวันนี้นำไปใช้ การกล่าวถึง HSE ในบทนี้เป็นแนวทางกับหลักฐานของสหราชอาณาจักร ไม่ใช่ข้อกฎหมายไทย ส่วนการประยุกต์ในประเทศไทยต้องตรวจข้อกฎหมายที่ใช้กับกิจการ สาร เครื่องจักร อาคาร และใบอนุญาตของสถานที่นั้นโดยตรง

งานสองงานบนอุปกรณ์ชุดเดียวกัน

Piper Alpha มีปั๊ม condensate สองชุดสำหรับการเดินระบบ ในวันที่เกิดเหตุ ปั๊มชุดหนึ่งมีงานบำรุงรักษาแยกกันสองงาน งานแรกเกี่ยวกับตัวปั๊ม ส่วนอีกงานถอด pressure safety valve หรือ PSV 504 ไปตรวจซ่อม ช่องเปิดที่ตำแหน่งวาล์วได้รับการปิดชั่วคราวด้วย blind flange แต่สภาพนั้นไม่ได้มีความแข็งแรงเท่าการคืนวาล์วและระบบสู่สภาพพร้อมใช้งาน

งานทั้งสองมีเอกสารควบคุมคนละใบและดำเนินโดยคนต่างกลุ่ม เมื่อกะกลางวันสิ้นสุด งานที่วาล์วนิรภัยยังไม่เสร็จ ข้อมูลสำคัญนี้ไม่ได้ไปถึงคนควบคุมกะกลางคืนอย่างน่าเชื่อถือ HSE HSG250 ใช้กรณีนี้ชี้ว่า การส่งมอบระหว่างผู้ปฏิบัติการกับหัวหน้าบำรุงรักษาล้มเหลวในการสื่อว่า PSV 504 ถูกถอดและยังไม่ได้ติดกลับ

ต่อมา ปั๊มที่กำลังเดินมีปัญหา ทีมกะกลางคืนจึงต้องพิจารณานำปั๊มสำรองกลับมาใช้ เอกสารที่ค้นพบทำให้เข้าใจว่างานบนตัวปั๊มเสร็จหรืออยู่ในสภาพที่เริ่มได้ แต่ข้อมูลของ PSV ซึ่งอยู่คนละระดับหรือคนละจุดจัดเก็บไม่ปรากฏต่อผู้ตัดสินใจ การเริ่มปั๊มจึงอัดไฮโดรคาร์บอนไปยังส่วนซึ่งยังปิดชั่วคราว เกิดการรั่วและเมฆไอไวไฟก่อนจุดติด

บทเรียนข้อแรกคือ ต้องเก็บใบอนุญาตอย่างเป็นระบบและนิยาม “ขอบเขตอุปกรณ์” ให้เห็นงานทุกใบ การแยกทุกจุด และสถานะการคืนระบบพร้อมกัน คนที่จะเริ่มเครื่องต้องตรวจได้ว่ามีงานใดแตะ pump, driver, valve, relief path, instrument, electrical supply หรือท่อร่วม แม้เอกสารออกโดยคนละหน่วย

ใบอนุญาตทำงานคือการสื่อสารสถานะ

ใบอนุญาตทำงานไม่ได้สร้างความปลอดภัยด้วยลายเซ็น หน้าที่ของมันคือทำให้ผู้ควบคุมพื้นที่ ผู้อนุมัติ ผู้ปฏิบัติงาน และคนเดินระบบเห็นงาน อันตราย การแยก ระยะเวลา และเงื่อนไขคืนมอบตรงกัน HSE ระบุหลักว่าใบอนุญาตเป็นวิธีสื่อสารระหว่างฝ่ายบริหาร ผู้ควบคุมโรงงาน และผู้ทำงาน รวมทั้งต้องเชื่อมงานที่สัมพันธ์กันและจัดการงานค้างข้ามกะ

ระบบที่ใช้เลข tag เดียวต่อใบแต่ค้นความสัมพันธ์ไม่ได้มีช่องโหว่ ควรทำ equipment hierarchy จากหน่วยผลิตลงถึง system, package และ component เมื่อเปิด permit ที่จุดหนึ่ง ระบบหรือบอร์ดต้องแสดง conflict กับงานบนอุปกรณ์ต้นน้ำ ปลายน้ำ ระบบป้องกัน และพลังงานร่วม ผู้อนุมัติต้องเห็น simultaneous operations ก่อนเซ็น ไม่รอให้คนปฏิบัติงานบังเอิญคุยกัน

สถานะ “งานหยุดชั่วคราว” ต้องเข้มเท่างานที่กำลังทำ ระบุว่าส่วนใดถูกถอด ช่องเปิดปิดด้วยอะไร isolation อยู่ที่ใด กุญแจหรือ blind ใครควบคุม พื้นที่ได้รับการกั้นอย่างไร และห้ามเดินระบบใด หากการปิดชั่วคราวรับได้เพียงความดันศูนย์ ต้องแสดงข้อจำกัดใน control room และที่อุปกรณ์ ไม่ใช้ป้ายเล็กซึ่งอาจหลุดหรือมองไม่เห็น

หลักการปิดใบอนุญาตและส่งมอบสภาพงานมีรายละเอียดต่อใน หลักการปิดใบอนุญาตและส่งมอบสภาพงาน แม้ตัวอย่างจะต่างประเภทงาน แต่แกนเดียวกันคือ ผู้รับมอบต้องตรวจสภาพจริงก่อนคืนอำนาจให้การเดินระบบ

การส่งมอบกะต้องมีการยืนยันกลับ

สมุดกะที่บอกเพียงสิ่งที่เกิดไปแล้วอาจไม่แสดงระเบิดเวลาที่รอกะถัดไป การส่งมอบที่ดีต้องเน้น plant status, abnormal condition, inhibited alarm, override, equipment unavailable, outstanding permit, temporary repair และการตัดสินใจที่ยังค้าง คนส่งเตรียมข้อมูล คนรับถามและตรวจ แล้วทั้งสองยืนยันความเข้าใจร่วมกัน

HSE แนะนำให้ส่งมอบแบบพบหน้า ใช้ทั้งวาจาและลายลักษณ์อักษร เป็นการสื่อสารสองทาง และให้คนรับ cross-check เมื่อรับหน้าที่ สำหรับงานข้ามกะ ผู้รับผิดชอบกะใหม่ควรลงนามรับความต่อเนื่องของ permit หลังเดินดูจุดสำคัญตามความเสี่ยง การส่งอีเมลหรือวางแฟ้มไว้ไม่เท่ากับการรับมอบ

ออกแบบ handover board ให้เรียงตามหน่วยและอุปกรณ์ ไม่เรียงตามเลขเอกสารเพียงอย่างเดียว ใช้สถานะที่แยก active, suspended, awaiting test, mechanically complete, ready for hand-back และ closed พร้อมเวลา ผู้รับผิดชอบและข้อจำกัด การใช้สีช่วยมองได้ แต่ต้องมีข้อความสำหรับคนตาบอดสีและกรณีพิมพ์ขาวดำ

ทดสอบคุณภาพด้วยการสุ่มถามกะรับว่า อุปกรณ์ใดห้ามเริ่ม ระบบป้องกันใด unavailable และงานใดอาจกระทบการเดินเครื่อง หากตอบต่างจากบอร์ด ต้องแก้กระบวนการ ไม่ควรลงโทษคนที่เปิดเผยช่องว่าง การส่งมอบเป็นกิจกรรม safety-critical จึงต้องจัดเวลาให้พ้นจากช่วงโทรศัพท์ งานอนุมัติ และ alarm จำนวนมาก

การแยกชั่วคราวต้องออกแบบตามผลลัพธ์เมื่อผิดพลาด

blind flange, spade, spectacle blind, double block and bleed หรือการถอด spool มีระดับความมั่นคงและวิธีตรวจต่างกัน การเลือกต้องอิงสาร ความดัน อุณหภูมิ ระยะเวลา ตำแหน่ง และผลหากมีคนเปิดวาล์วผิด การขันชั่วคราวเพื่อกันสิ่งสกปรกในระบบที่ depressurised ไม่ควรถูกตีความเป็น pressure containment

ทะเบียน isolation ควรเชื่อม permit และ P&ID แสดงชนิด จุด ตำแหน่ง normal state ผู้ติด ผู้ตรวจ เวลา และงานที่พึ่งพา isolation เดียวกัน การคืน isolation หนึ่งจุดต้องตรวจว่า permit อื่นยังใช้จุดนั้นอยู่หรือไม่ กุญแจหลายเจ้าของและ group lockbox ช่วยรักษาความเป็นเจ้าของ แต่ต้องมีขั้นตอนเมื่อกะเปลี่ยน คนออกไซต์ หรือเกิดฉุกเฉิน

temporary modification ต้องมีเจ้าของ อายุ และเส้นทางยกระดับ หากหมดอายุแล้วระบบยังจำเป็น ต้องทบทวนความเสี่ยงใหม่ ไม่ต่อวันอัตโนมัติ ป้ายภาคสนาม ฐานข้อมูล และแบบต้องตรงกัน การเดินตรวจควรค้นหา blank, hose, bypass, jumper และ scaffold ที่กระทบอุปกรณ์ ไม่รอเพียงรายการจากสำนักงาน

เหตุเริ่มเล็กแต่ปริมาณสารที่เชื่อมต่อทำให้ใหญ่

หลังการจุดติด เหตุ Piper Alpha ไม่ได้กินเฉพาะสารบริเวณปั๊ม ท่อจากแท่นอื่นที่เชื่อมต่อยังมี inventory และพลังงานซึ่งสามารถไหลเข้าสู่พื้นที่เกิดเหตุ การตัดสินใจหยุดการส่งจากระบบร่วมและการ depressurise จึงเป็นส่วนสำคัญของการจำกัดการลุกลาม องค์กรต้องกำหนดอำนาจหยุดข้ามหน่วยไว้ก่อนเกิดเหตุ เพราะในนาทีจริง ผู้จัดการแต่ละแห่งอาจกังวลผลกระทบการผลิตหรือรอคำยืนยัน

ทำแผนที่ maximum credible inventory แยกจากยอดคงเหลือเฉลี่ย รวมท่อระยะไกล separator vessel และ return path วิเคราะห์ว่า ESD valve ปิดแล้วสารค้างด้านใดยังไหลได้ ใช้เวลาเท่าใด วาล์วทนไฟและ actuator อยู่รอดหรือไม่ และ blowdown ระบายไปจุดที่ปลอดภัยเพียงใด คำว่า isolated บนหน้าจอควรได้รับการพิสูจน์จากตำแหน่งวาล์วกับ pressure trend

การวิเคราะห์ domino effect ต้องรวม fire, explosion, smoke, structural failure และ loss of utilities ห้องควบคุม จุดรวมพล เรือกู้ภัย ระบบไฟฉุกเฉิน และสายสื่อสารไม่ควรพึ่งโครงสร้างหรือบริการชุดเดียวกับพื้นที่ซึ่งอาจเสียหาย การแบ่ง fire zone มีคุณค่าเมื่อผนัง ประตู penetration และโครงสร้างเหมาะกับโหลดที่คาด รวมแรงระเบิด ไม่ใช้ fire rating แทน blast resistance โดยอัตโนมัติ

ระบบดับเพลิงต้องพร้อมในช่วงซ่อมบำรุง

อุปกรณ์ป้องกันอัคคีภัยมักถูก isolate ระหว่างงานซ่อม ล้าง หรือดำน้ำ หากระบบ deluge, detector, fire pump หรือ ESD บางส่วน unavailable ต้องมีกระบวนการ impairment management ประเมินความเสี่ยง ลด inventory หยุดงานจุดติด เพิ่ม fire watch และกำหนดเวลาคืนระบบ ผู้มีอำนาจต้องเห็น impairment หลายรายการพร้อมกัน เพราะแต่ละรายการอาจยอมรับได้ลำพังแต่รวมกันเกินเกณฑ์

การทดสอบต้องวัด performance ปลายทาง ไม่เพียงเห็นปั๊มหมุน ตรวจแรงดันและ flow ที่ nozzle สภาพหัวจ่าย วาล์ว และพื้นที่ครอบคลุมภายใต้สภาพลม รวมไฟสำรองกับการควบคุมจากตำแหน่งปลอดภัย ผลทดสอบผิดปกติต้องเชื่อมกับข้อจำกัดการเดินระบบทันที

ในไทย พระราชบัญญัติความปลอดภัยฯ มาตรา 8 วางหน้าที่ให้นายจ้างบริหาร จัดการ และดำเนินการด้านความปลอดภัยให้เป็นไปตามมาตรฐานที่กฎหมายกำหนด รวมทั้งให้ลูกจ้างปฏิบัติตามหลักเกณฑ์ สำหรับโรงงานกระบวนการ ความรับผิดชอบนี้ต้องแปลงเป็นเจ้าของ barrier และเกณฑ์อนุญาตเดินเครื่อง ไม่หยุดที่การมีเอกสารตรวจประจำปี

สัญญาณเล็กต้องเชื่อมถึงความเสี่ยงเหตุใหญ่

การรั่วซึมเล็ก การทดสอบที่เลื่อนซ้ำ alarm ซึ่งดังบ่อย หรือ permit ที่ปิดย้อนหลังอาจถูกมองเป็นปัญหาหน้างานทั่วไป หากแต่ละหน่วยแก้เฉพาะอาการ องค์กรจะไม่เห็นว่าหลายสัญญาณกำลังแตะ barrier ชุดเดียวกัน ฐานข้อมูลเหตุผิดปกติจึงควรผูกกับ equipment tag, failure mechanism และ major accident scenario ไม่จัดหมวดตามแผนกเพียงอย่างเดียว

near miss ที่ไม่มีผู้บาดเจ็บควรได้รับระดับการสอบสวนตามศักยภาพของผล ไม่ใช่ผลที่เกิดขึ้นจริงเพียงครั้งนั้น ไฮโดรคาร์บอนรั่วแล้วไม่ติดไฟยังบอกถึง loss of containment การหาแหล่งจุดติดไม่พบไม่ทำให้ barrier การกักเก็บกลับมาแข็งแรง ทีมควรตรวจว่าปริมาณสูงสุด การตรวจจับ การแยก และการระบายจะทำงานอย่างไรหากจุดติดเกิดเร็วหรือช้ากว่าเดิม

สร้างเวทีทบทวนสัญญาณรายสัปดาห์ที่ operations, maintenance, inspection และ process safety ดูข้อมูลร่วมกัน เลือกประเด็นจากความเสี่ยง ไม่เลือกเฉพาะจำนวนงานค้าง เปิดพื้นที่ให้ผู้ปฏิบัติงานเล่าความยุ่งยากของขั้นตอนโดยไม่ถูกตีความว่าเป็นการยอมรับผิด ข้อมูลความคลาดเคลื่อนเล็กในวันนี้อาจเป็นโอกาสสุดท้ายในการตัดลำดับเหตุวันหน้า

การอพยพต้องมีทางเลือกเมื่อเส้นทางหลักหายไป

เหตุใหญ่ทำลายแสง ทางเดิน บันได การประกาศ และจุดรวมพลได้พร้อมกัน แผนจึงต้องให้คนตัดสินใจจากสัญญาณกับสภาพจริง รู้เส้นทางสำรอง จุดหลบควัน อุปกรณ์หนีภัย และวิธีนับคนเมื่อระบบอิเล็กทรอนิกส์ล่ม สำหรับสถานที่โดดเดี่ยว เช่น แท่นกลางทะเล เรือหรืออุปกรณ์สละสถานที่ต้องเข้าถึงได้จากหลายทิศและใช้งานได้ภายใต้ไฟกับควันตาม scenario

ผู้บัญชาการเหตุควรมีเกณฑ์ประกาศ abandon, shelter หรือ evacuation และอำนาจสั่งหยุดระบบเชื่อมต่อ การฝึกต้องเปลี่ยนจุดต้นเหตุ ปิดเส้นทางหนึ่ง ลดกำลังทีม และจำลองสื่อสารขาด ไม่ซ้อมด้วยเส้นเดิม เวลาเดิม และคำตอบที่ทุกคนรู้ล่วงหน้า

กฎสารเคมีไทยกำหนดให้สถานประกอบกิจการตามเกณฑ์มีแผนปฏิบัติการเหตุฉุกเฉิน ปรับแผนให้ทันสมัย และฝึกซ้อมอย่างน้อยปีละครั้ง เมื่อเกิดรั่ว ฟุ้ง ไฟไหม้ หรือระเบิด นายจ้างต้องให้คนหยุดงาน ออกจากรัศมีอันตราย ให้ผู้เกี่ยวข้องระงับเหตุ และเตือนประชาชนหากอาจได้รับผลกระทบ โรงงานจึงควรซ้อมทั้งการตัดสินใจและการเชื่อมกับภายนอก

จากการตรวจตามข้อไปสู่การยืนยันชั้นป้องกัน

audit ที่ถามว่ามี procedure, permit และ training หรือไม่ อาจได้คำตอบครบทั้งที่ระบบหน้างานเปราะ ควรเปลี่ยนคำถามเป็น barrier assurance เช่น สุ่มอุปกรณ์หนึ่งชุดแล้วตาม permit ทุกใบ isolation ทุกจุด alarm override และ temporary repair ให้ครบ ทดสอบว่ากะใหม่บอกสถานะตรงกัน และให้ผู้เดินเครื่องพิสูจน์เงื่อนไขก่อน start

ตัวชี้วัดล่วงหน้าควรรวม permit ที่แขวนข้ามกะ isolation เกินอายุ safety-critical maintenance overdue เวลา impairment ระบบดับเพลิง alarm override การรั่ว hydrocarbon และ corrective action ที่ยังไม่ปิด แยกตามความสำคัญ ไม่รวมเป็นจำนวนเดียวจนรายการวิกฤตถูกกลบด้วยงานเล็ก

ผู้นำควรลงพื้นที่ดูงานจริง โดยถามว่า barrier ใดป้องกัน major accident วันนี้ barrier ใด degraded และใครมีอำนาจหยุด หลีกเลี่ยงการชมเฉพาะวันที่ไม่มีอุบัติเหตุ เพราะ low-frequency event อาจเงียบขณะเงื่อนไขอันตรายสะสม การไม่มีการบาดเจ็บส่วนบุคคลไม่ได้ยืนยันว่า process containment แข็งแรง

แบบทดสอบเจ็ดข้อสำหรับโรงงานวันนี้

1. เมื่อค้น tag ของปั๊มหรือถังหนึ่งตัว ระบบแสดง permit, isolation, override และ temporary repair ที่เกี่ยวข้องครบหรือไม่
2. กะรับสามารถบอกอุปกรณ์ห้ามเดินและเหตุผลได้ตรงกับสภาพสนามหรือไม่
3. blind ทุกตัวมีพิกัด วัสดุ การขัน และการตรวจเหมาะกับแรงดันที่อาจเกิดหรือไม่
4. ถ้า ESD ปิด inventory ในท่อกับหน่วยเชื่อมต่อจะยังไหลเข้าพื้นที่นานเท่าใด
5. ระบบดับเพลิงส่วนใด degraded และเงื่อนไขชดเชยยังทำงานจริงหรือไม่
6. หากห้องควบคุมหรือทางหนีหลักใช้ไม่ได้ คนจะรับคำสั่งและออกทางใด
7. ผู้จัดการกะมีอำนาจหยุดหน่วยเชื่อมต่อโดยไม่รอการอนุมัติหลายชั้นหรือไม่

ให้ทีมเลือกคำตอบซึ่งมีหลักฐานภายในหนึ่งกะ หากต้องใช้ความจำของคนใดคนหนึ่งหรือรวบรวมหลายวัน นั่นคือความล่าช้าที่อาจเกิดในคืนฉุกเฉิน นำผลไปสร้าง action ที่ระบุ barrier, owner, due date, interim control และวิธียืนยันหลังแก้

ความทรงจำที่มีคุณค่าต้องเปลี่ยนวิธีเดินระบบ

Piper Alpha เตือนว่าเหตุใหญ่ไม่ได้รอให้ทุกอย่างเสียพร้อมกันแบบเห็นชัด งานซ่อมธรรมดา ใบอนุญาตสองใบ การส่งมอบหนึ่งช่วง และความจำเป็นต้องรักษาการผลิตสามารถเรียงตัวเป็นเส้นทางสู่การรั่ว เมื่อเกิดไฟ inventory กับโครงสร้างที่เชื่อมกันจะกำหนดขนาดผลลัพธ์

องค์กรจึงควรใช้กรณีนี้ตรวจระบบควบคู่กับกิจกรรมรำลึก เริ่มจากอุปกรณ์ safety-critical หนึ่งชุด ทำ walkdown ร่วมระหว่าง operations, maintenance, process safety และ emergency response แล้วตามสถานะจากสนามถึงห้องควบคุม หากข้อมูลใดไม่ตรง ให้ถือเป็นสัญญาณของ barrier ที่ต้องซ่อม การส่งมอบที่ชัด การแยกที่พิสูจน์ได้ และอำนาจหยุดระบบร่วมช่วยให้บทเรียนปี 1988 ปกป้องคนในกะคืนนี้ได้