الخلاصة

  • يتعامل نموذج STAMP الذي وضعته Leveson مع السلامة بوصفها خاصية للنظام الاجتماعي التقني بكامله، لا مجرد حصيلة موثوقية أجزائه.
  • تبحث STPA استباقياً عن أفعال التحكم الخطرة وأسبابها؛ وتراجع CAST بعد وقوع الخسارة كيف سمح هيكل التحكم بها.
  • لا تتنبأ الأداتان بكل حادث ولا تحلان محل اختبار المكوّنات؛ تتوقف فائدتهما على حدود التحليل ودقة المعلومات وتنفيذ القيود.

لنتخيل نظاماً آلياً يرفض أمراً بالكبح لأن مستشعراً يشير إلى وضع تشغيل مختلف. قد يكون المستشعر قد نقل قراءته بدقة، والبرنامج قد نفذ شرطه كما كُتب، والمشغّل قد اتبع الإجراء. ينشأ الخطر من التقاء هذه الأفعال في لحظة لا يمثل فيها الشرط الحالة الفعلية. البحث عن قطعة مكسورة لن يفسر لماذا عُلّق فعل ضروري للسلامة على تصور قابل للخطأ.

يعرّف MIT Nancy Leveson بأنها أستاذة في هندسة الطيران والفضاء والنظم، تشمل أبحاثها سلامة البرمجيات والتنظيم والتفاعل بين الإنسان والآلة. اقترحت في دراسة صدرت عام 2002 نموذجاً للحوادث يستند إلى نظرية النظم والتحكم، ويدعو إلى التعلم من البنى التقنية والاجتماعية بدلاً من الاكتفاء بتحديد المخطئ. ثم عرض كتابها Engineering a Safer World الصادر عام 2012 نموذج STAMP، أي نموذج الحوادث والعمليات القائم على نظرية النظم.

تسأل الموثوقية عما إذا كان المكوّن يؤدي وظيفته المحددة. وتسأل السلامة عما إذا كان النظام المتفاعل يمنع خسارة لا يمكن قبولها، مثل إصابة شخص. قد يسبب عطل جزء حادثاً بالطبع، ولا يستبعد STAMP ذلك. لكن الأجزاء السليمة قد تتفاعل على نحو خطر: أمر مناسب في وضع تشغيل يصبح مضراً في وضع آخر؛ وقد تصدر جهتان تعليمات متعارضة، أو تصل معلومة الحالة بعد فوات الوقت. لذلك لا تثبت اختبارات موثوقية الأجزاء وحدها سلامة الكل.

تختلف الخسارة عن الخطر. الخسارة نتيجة غير مقبولة، أما الخطر فهو حالة في النظام يمكن أن تقود إليها في ظروف معينة. يحدد قيد السلامة ما يجب منعه أو الحفاظ عليه. يسمح هذا التمييز بالتصرف قبل وقوع الضرر، شرط أن ترسم حدود النظام بصدق. فالمشغّل وفريق الصيانة والإدارة والجهة الرقابية قد يكونون جزءاً من آلية إبقاء القيد سارياً، لا مجرد أطراف خارج الجهاز.

في حلقة التحكم يرسل المتحكم فعل تحكم إلى العملية المتحكم فيها ثم يتلقى تغذية راجعة. قد يكون المتحكم إنساناً أو برنامجاً أو مؤسسة. ويعتمد على نموذج للعملية، أي تصوره لحالتها وسياقها. إذا تأخرت بيانات المستشعر أو لم يصل تقرير الصيانة أو اختلفت الفرق حول معنى وضع التشغيل، انفصل هذا التصور عن الواقع. عندئذ قد يكون القرار منطقياً وفق المعلومات المتاحة للمتحكم، لكنه يخرق قيد السلامة فعلياً.

يصنف دليل STPA، الذي ألفته Leveson مع John P. Thomas، أفعال التحكم غير الآمنة في أربع صور: تقديم فعل يخلق خطراً، وعدم تقديم فعل مطلوب، وتقديمه مبكراً أو متأخراً أو بترتيب خاطئ، والاستمرار فيه أكثر من اللازم أو إيقافه قبل الأوان. السياق هو الفيصل، لا اسم الأمر. وبعد التصنيف يجب تتبع التغذية الراجعة ونموذج العملية والصلاحيات وضغوط العمل التي جعلت الفعل ممكناً.

STAMP نموذج سببي وليس تحليلاً مكتملاً. تستخدمه STPA قبل الخسارة: تحدد الخسائر والأخطار والقيود، وترسم هيكل التحكم، وتستخرج الأفعال غير الآمنة وسيناريوهات أسبابها، ثم تحول النتائج إلى متطلبات تصميم وتشغيل. لا تكفي رسوم المربعات والأسهم وحدها. أما CAST فتبدأ من حدث وقع بالفعل، وتراجع قرارات مستويات التحكم والمعلومات التي امتلكتها وأسباب عدم صمود القيود. يوضح فهرس أدلة MIT الفرق بين التحليل الاستباقي والتعلم اللاحق للحادث.

ينبغي أيضاً ضبط نسب الفضل العلمي. صاغت Leveson نموذج STAMP وقادت برنامجاً بحثياً ممتداً. شارك Thomas في تأليف دليل STPA وتعليم تطبيقه. توثق ورش MIT عمل William Young في التطبيقات الأمنية، وShem Malmquist في تعليم CAST، وCody Fleming في تحليل مراحل التصور الأولى. ويضم فهرس المنشورات أبحاثاً متصلة شارك فيها Nicolas Dulac وJoel Cutcher-Gershenfeld. كما يقوم النهج على تراث أقدم في نظرية النظم والتحكم وعلى مساهمات مجتمع السلامة الأوسع.

لهذه الأدوات حدود. لا تحصي STPA جميع التفاعلات المستقبلية، ولا تستعيد CAST معلومات لم تُسجل. تتوقف قيمة النتائج على حدود النظام المختارة والأدلة ومشاركة أصحاب الخبرة وتنفيذ التعديلات في التصميم والصلاحيات. وتظل هندسة الموثوقية ضرورية عندما يحدث عطل حقيقي في جزء ما. إسهام Leveson هو بيان أن ذلك لا يكفي وحده لتفسير سلامة النظام.

المصادر