11. ​การควบคุม ​ไม่​ใช่​ส่วนประกอบ — ​การปรับ​กรอบ​แนวคิด​ของ Leveson

​ความล้มเหลว​ของ​แบบจำลอง​ความน่าเชื่อถือ​ของ​ส่วนประกอบ

​ความปลอดภัย​เป็นปัญหา​ด้าน​การควบคุม ​ไม่​ใช่​ปัญหา​ด้าน​ความน่าเชื่อถือ ​กรอบ​นี้​หนังสือ Engineering a Safer World ​ปี 2012 ​โดย Nancy Leveson ​เป็น​ผู้​วาง​ไว้ ​วิศวกรรม​ความปลอดภัย​แบบ​ดั้งเดิม​มัก​พึ่ง​เทคนิค​อย่าง FMEA ​หรือ FTA ​เพื่อ​ระบุ​ภยันตราย ​แต่​เทคนิค​เหล่านี้​มอง​ความล้มเหลว​ของ​ส่วนประกอบ​ทีละ​ชิ้น​เป็นหลัก Nancy Leveson ​จาก MIT ​โต้แย้ง​ว่า​กระบวนทัศน์​นี้​จำกัด​ตั้งแต่​ราก ​เพราะ​มัน​มองข้าม​อุบัติเหตุ​ที่เกิด​จาก​ปฏิสัมพันธ์​ที่​ไม่​ปลอดภัย​ระหว่าง​ส่วนประกอบ​ที่ทำงาน​สมบูรณ์​ทุก​ชิ้น ​ใน​ระบบ​ซับซ้อน​ที่พึ่ง​ซอฟต์แวร์​หนัก ​ไม่​มี​อะไร​แตก​หรือ​พัง​ใน​เชิงกายภาพ​ตาม​ความหมาย​เดิม ​แต่​ระบบ​ยัง​เข้าสู่​สถานะ​ไม่​ปลอดภัย​ได้​ผ่าน​ข้อผิดพลาด​ทาง​ตรรกะ ​มุมมอง​ใหม่​นี้​บังคับ​ให้​ทิ้ง​สมมติฐาน​เดิม ​ที่ว่า​ถ้า​ทุก​ชิ้น​ทำงาน​ถูกต้อง ​ระบบ​ทั้งหมด​ย่อม​ปลอดภัย​ไป​เอง

STAMP ​และ​หลักฐาน​ของ​การควบคุม

​วิธี​ที่​มอง​การควบคุม​จับ​ปฏิสัมพันธ์​เชิง​ระบบ​ที่​วิธี​มอง​ชิ้นส่วน​พัง​จับ​ไม่​ได้ ​หลักฐาน​อยู่​ใน​การศึกษา​ปี 2018 ​ที่​ตีพิมพ์​ใน Software Quality Journal ​ต้นทาง​ของ​วิธี​นั้น​คือ STAMP ​ที่ Leveson ​พัฒนา​ขึ้น​เพื่อ​แก้​ข้อจำกัด​ของ​การวิเคราะห์​ความล้มเหลว​ราย​ชิ้น ​เป็นแนว​ทาง​เชิงทฤษฎี​ระบบ​ที่​มอง​ความปลอดภัย​เป็นปัญหา​ด้าน​การควบคุม ​มี​วงจร​ป้อน​กลับ​อยู่​ข้างใน ​ทีม​ของ Sulaman ​ใช้​ทั้ง FMEA ​และ STPA ​กับ​ระบบ​ป้องกัน​การชน​ด้านหน้า ​เพื่อ​วัด​ว่าแต่​ละ​วิธี​ได้ผล​แค่​ไหน ​ทั้งสอง​วิธี​หา​ภยันตราย​เจอ​ร่วมกัน 13 ​รายการ ​นี่​พิสูจน์​ว่า​ทั้งคู่​มี​จุดร่วม​ใน​การจับความ​เสี่ยง​พื้นฐาน​ของ​ระบบ ​แต่ STPA ​เผย​ปัจจัย​เชิง​สาเหตุ​ออกมา​ละเอียด​กว่า ​รวมถึง​สาเหตุ​จาก​ซอฟต์แวร์​และ​การสื่อสาร ​กรอบ​ความล้มเหลว​ราย​ชิ้น​ของ FMEA ​พลาด​ทั้งหมด​นี้​ไป​ตลอด​กระบวนการ​วิเคราะห์ ​แบบจำลอง​ดั้งเดิม​มองหา​แต่​ชิ้นส่วน​ฮาร์ดแวร์​ที่​เสีย ​ปฏิสัมพันธ์​เชิง​ระบบ​จึง​ล่องหน​สำหรับ​มัน

​ขีดจำกัด​ของ​ความเหนือกว่า​เชิง​ระเบียบวิธี

​ไม่​มี​วิธี​ใด​เหนือ​อีก​วิธี​อย่าง​เด็ดขาด​สำหรับ​การวิเคราะห์​ความปลอดภัย ​นั่น​คือ​ข้อสรุป​ของ​การเปรียบ​เทียบ​ปี 2018 ​โดย​ทีม​ของ Sulaman ​เอง ​และ​เป็น​เหตุผล​ที่​ผล​เปรียบเทียบ​นี้​ยัง​เป็นที่​ถกเถียง ​ผู้เขียน​ตั้ง​ข้อสังเกต​ว่า​ภยันตราย​บางราย​การพบ​เฉพาะ​ใน FMEA ​ทั้งสอง​วิธี​จึง​เสริม​กัน ​ไม่​ใช่​วิธี​หนึ่ง​เข้ามา​แทน​อีก​วิธี​ทั้งหมด ​นอกจากนี้ STPA Handbook (2018) ​โดย Leveson ​และ Thomas ​ยอมรับ​เอง​ว่า STPA ​กินเวลา​ของ​นักวิเคราะห์​มากกว่า ​และ​ต้อง​ฝึก​เฉพาะทาง​ก่อน​จึง​จะ​ใช้ได้​ผล

​ตัวอย่าง: FMEA ​กับ STPA ​ต่างกัน​เหมือน​การตรวจ​ว่า​ยาง​แบน​หรือไม่ ​กับ​การไล่​ตรรกะ​ซอฟต์แวร์​ที่​ซับซ้อน​ซึ่ง​คุม​ระบบ​พวงมาลัย​อัตโนมัติ

​คำตัดสิน. ​ความปลอดภัย​เป็นปัญหา​ด้าน​การควบคุม ​แต่ STPA ​ในทางปฏิบัติ​ต้อง​ลงเวลา​มาก ​และ​ไม่​ได้​ทำให้​วิธี​ดั้งเดิม​ที่​มอง​ราย​ชิ้น​ล้าสมัย​ไป​แต่อย่างใด

​จะ​พลิก​คำตัดสิน​ได้​เมื่อ: ​การวิเคราะห์​อภิ​มาน​ในอนาคต​พบ​ว่า STPA ​หา​ภยันตราย​ที่ FMEA ​หา​เจอ​ได้​ครบ​ทุกราย​การอย่าง​สม่ำเสมอ ​และ​ลด​เวลา​รวม​ของ​นักวิเคราะห์​ที่​ต้อง​ใช้​เพื่อ​การรับรอง​ความปลอดภัย​ลง​ด้วย

​แหล่ง​อ้างอิง. 2012 · Leveson, N.G., "Engineering a Safer World: Systems Thinking Applied to Safety" — MIT Press Open Access · 2018 · Sulaman, S.M., Beer, A., Felderer, M. & Höst, M., "Comparison of the FMEA and STPA safety analysis methods – a case study" — diva-portal.org