ALM有些维护无法断电——联锁关闭期间，谁在盯着？

VisualPro Tech Brief

有些维护无法断电——联锁关闭期间，谁在盯着？

LOTO 无法覆盖的维护——联锁关闭期间仍然存在的四层防护，以及针对一份规程要问的五个问题

半导体设备维护安全  |  STPA 控制结构  |  VWAY 安全分析专栏

LOTO联锁旁路SEMI S2 · S10 · E30风险评估STPA

设备维护安全的基础是能量隔离：断电、上锁、挂牌。能够这样完成的维护，就是安全的维护。

问题在于无法这样做的维护。要校准 X 射线设备的剂量，就必须产生 X 射线；要调整 RF 匹配，就必须施加 RF；要重新示教晶圆搬运机器人，就必须让它动起来。有一类作业需要在设备带电时打开盖板、把手伸进去，此时平时保护作业人员的联锁会用维护钥匙有意解除。OSHA 的上锁标准本身也承认这种情况，将测试和定位列为例外（29 CFR 1910.147(f)(1)）。

在此期间，保护作业人员的已不再是联锁，取而代之的是另外四样东西。

机制样样俱全。问题只有一个：这四层防护在我们的维护规程中是否真正发挥作用，又由谁来确认？

2024年5月27日，在韩国一家半导体工厂，两名正在维护晶圆分析用 X 射线设备的作业人员受到辐射照射。其中一人手部受照 94 Sv，是皮肤及四肢年当量剂量限值（0.5 Sv）的 188 倍。

原子力安全委员会（NSSC）查明的并非故障。联锁接线已被改动，以致打开屏蔽体后 X 射线也不会被切断；而且作业是在没有辐射安全管理员参与的情况下，依据内部规程和作业人员自己的判断进行的。两名辐射安全管理员负责 694 台辐射设备。是谁、在何时、出于何种原因改动了接线，尚未查明；责任问题仍在调查之中。

本文不对责任问题表明立场，只将事故与上表对照，指出从中可以看到的情况。第③层作业许可是空缺的，第④层可见性也是空缺的。联锁处于关闭状态，而这一事实没有传达到管理体系的任何环节。接线被改动的设备看上去一切正常，作业报告中也没有可以记录这一改动的栏目。

半导体工厂并不缺少安全流程。SEMI S10 评估设备风险，HAZOP 分析工艺偏差，PTW、LOTO 和变更管理（MOC）管控维护。然而，把这些工具所提出的问题并列起来看，设备带电而联锁被解除的这段时间却不在其中任何一项之中。

以下法规细节来自韩国，但其所暴露的漏洞并不限于韩国。韩国《工作场所风险评估指南》（雇佣劳动部告示）第15条要求在进行维护和修理时开展临时再评估，但豁免已评估过的定期性、重复性作业。一旦预防性维护被归类为“定期 PM”，无论此次作业是否涉及联锁接线，再评估都可能被跳过。而《重大灾害处罚法》施行令第4条又将同一风险评估流程视为经营责任人已履行安全义务的证据。评估一旦被跳过，证据也随之缺失。

四层防护是否发挥作用，很难用检查表来回答。必须把命令到达设备的每一条路径、信息离开设备的每一条路径，全部画在一页纸上。这幅图正是 STPA（System-Theoretic Process Analysis）的第一步——控制结构。STPA 由 MIT 的南希·莱文森（Nancy Leveson）教授提出，它不把事故视为部件失效的链条，而是视为控制不当的结果，并从梳理谁控制什么、每个控制器获得哪些信息入手。

下图是将 X 射线分析设备维护构建为虚拟模型、并在 VWAY 的安全分析工具 VisualPro 中绘制的控制结构。

画出来之后，四层防护的状态便一目了然。

分析从这一页出发，追踪出 9 个不安全控制行为和 27 个损失场景。由此得出的对策并不新鲜：切换为 Offline、退出维护模式时自动恢复、按作业类型发放许可、联锁功能测试、硬接线高压切断回路。这些都是业界熟知的。STPA 所做的并不是发明对策，而是沿着命令路径，指出在哪项作业的哪个时刻缺少了哪项已知对策。

这些问题分为两组。前三个问题，EHS 明天打开规程就能核实；后两个问题则应写入设备采购规格书和 SEMI S2 评估，向设备供应商提出要求。

选一份需要设备保持带电并解除联锁的维护规程。针对这项作业，写下命令进入设备的每一条路径和信息离开设备的每一条路径，并在一页纸上用箭头把它们连起来。然后提出这五个问题。答案卡住的地方，就是四层防护中空缺的那一层。

VWAY 愿与您一起画出这一页。请发给我们一份需要解除联锁的维护规程，我们将返还控制结构以及五个问题的答案。