Multiple Safety Barriers｜特殊氣體鋼瓶維修的多層安全屏障設計

09-02｜Multiple Safety Barriers｜特殊氣體鋼瓶維修的多層安全屏障設計

特殊氣體鋼瓶維修中，

最危險的安全觀念之一是：

「只要這一步不要出錯就好了。」

因為任何單一：

Operator
（作業人員）

Label
（標籤）

Tool
（工具）

Inspection
（檢查）

Machine
（設備）

或：

Procedure
（程序）

都有可能失效。

因此成熟的安全系統不應建立在：

One Perfect Barrier
（一道永遠不失效的屏障）

之上，

而應建立：

Multiple Safety Barriers
（多層安全屏障）。

也就是：

第一道屏障失效
↓
第二道仍可攔截

第二道也失效
↓
第三道仍有機會發現

直到危害真正發生之前，

盡可能存在：

Independent Opportunity to Detect or Stop
（獨立發現或停止異常的機會）。

這就是本篇要建立的核心觀念。

一、什麼是 Safety Barrier？

Safety Barrier
（安全屏障）

可以理解為：

用來：

Prevent
（預防）

Detect
（偵測）

Control
（控制）

或：

Stop
（停止）

危害或錯誤向後發展的措施。

它不一定是一個實體零件。

Safety Barrier 可以是：

設備

機械結構

工具設計

標籤

紀錄

檢查

程序

人員判斷

或：

獨立驗證。

因此：

Barrier
≠
Only Physical Guard
（安全屏障不只是實體護罩）

任何能夠：

Break the Error Chain
（切斷錯誤鏈）

的控制措施，

都可能成為安全系統中的一層 Barrier。

二、為什麼不能只依賴一道屏障？

假設一支鋼瓶的安全完全依賴：

Status Label
（狀態標籤）。

只要標籤貼錯，

後面的所有人都可能得到錯誤資訊。

如果系統另外還有：

Work Record Verification
（作業紀錄確認）

以及：

Pressure Confirmation
（壓力確認），

即使標籤失效，

後面仍有：

Independent Detection Opportunity
（獨立偵測機會）。

因此：

One Barrier Failure
（一道屏障失效）
≠
Immediate Incident
（立即形成事故）

前提是：

後面還存在其他有效屏障。

三、多層安全屏障不是重複做同一件事

Multiple Safety Barriers

不是單純：

「同樣的檢查做三次。」

真正有價值的是：

不同屏障使用不同方式，

去攔截不同類型的失效。

例如：

Label
（標籤）

提供：

Status Information
（狀態資訊）。

Work Record
（作業紀錄）

提供：

Traceability
（可追溯性）。

Pressure Confirmation
（壓力確認）

則直接確認：

Physical Condition
（實際物理狀態）。

三者目的相關，

但偵測原理不同。

因此：

Three Checks
（做三次檢查）
≠
Three Independent Barriers
（三道獨立屏障）

是否真正獨立，

要看：

Failure Mechanism
（失效機制）

是否不同。

四、本網站將 Safety Barrier 分成五類

為了方便 CylinderTech

後續案例分析，

可以將維修現場的 Safety Barrier

整理成五個主要類型：

Process Barrier
（製程屏障）

Information Barrier
（資訊屏障）

Engineering / Physical Barrier
（工程／實體屏障）

Detection Barrier
（偵測屏障）

Human Barrier
（人員屏障）

這不是 DOT / PHMSA 的官方分類，

而是本網站為：

Maintenance Analysis
（維修分析）

與：

Knowledge Management
（知識管理）

建立的分類架構。

五、Process Barrier｜製程屏障

Process Barrier
（製程屏障）

是透過：

Work Sequence
（作業順序）

Procedure
（程序）

Approval
（核准）

Hold Point
（停留／確認點）

或：

Process Separation
（流程區隔）

避免錯誤進入下一站。

例如：

鋼瓶必須完成前段處理，

確認符合進入維修階段的條件後，

才能送入：

Maintenance Area
（維修區）。

這本身就是：

Process Barrier。

如果這一道失效，

未完成前段處理的鋼瓶

就可能進入維修流程。

因此：

Procedure Exists
（有程序）
≠
Process Barrier Worked
（程序屏障成功）

還必須確認程序：

Was Actually Followed
（確實被執行）。

六、Information Barrier｜資訊屏障

Information Barrier
（資訊屏障）

包括：

Label
（標籤）

Tag
（吊牌／標示）

Work Record
（作業紀錄）

Cylinder Identification
（鋼瓶識別）

Status Marking
（狀態標記）

以及：

System Record
（系統紀錄）。

它們的主要功能是：

讓下一位作業人員知道：

What Is This?
（這是什麼？）

What Has Been Done?
（已經做過什麼？）

What Is Its Current Status?
（目前狀態是什麼？）

但是：

Information Barrier

有一個重要限制：

Information
（資訊）
≠
Physical Reality
（實際物理狀態）

因此：

Label Says Cleaned
（標籤顯示已完成處理）
≠
Cylinder Physical Condition Automatically Verified
（鋼瓶實際狀態自動被確認）

這也是為什麼不能只依賴標籤。

七、Engineering / Physical Barrier｜工程與實體屏障

Engineering / Physical Barrier
（工程／實體屏障）

是利用：

Design
（設計）

Geometry
（幾何結構）

Guard
（防護結構）

Interlock
（連鎖）

Dedicated Tool
（專用工具）

或其他實體方式，

降低錯誤發生的可能。

它最大的優點是：

不完全依賴人員每次都做出正確判斷。

例如：

某個零件如果透過結構設計，

使錯誤工具不容易接觸，

就比：

「提醒大家不要碰到」

多了一層：

Design-based Protection
（設計型防護）。

八、Neriki PRD 防護結構就是實際例子

本維修現場實際接觸的部分：

Neriki Valve
（Neriki 瓶閥）

在 PRD 周圍具有：

Metal Guard Structure
（金屬防護結構）。

這個結構使 PRD 外側部位：

不容易被一般工具直接接觸。

從 Safety Barrier 的角度，

它可以理解為：

Physical Access Restriction
（實體接近限制）

以及：

Design-based Poka-Yoke
（設計型防錯）。

這與：

「規定作業人員不要碰到 PRD」

屬於不同層次。

前者：

Design Tries to Prevent the Error
（設計本身降低錯誤機會）

後者：

Person Must Remember Not to Make the Error
（依賴人員記得不要犯錯）

兩者可以同時存在。

九、Rotarex 實際案例可以用來理解 Barrier 差異

本維修現場實際接觸並拍攝的部分：

Rotarex Valve
（Rotarex 瓶閥）

其 PRD 外側六角部位

相較於前述 Neriki 實例：

Tool Accessibility
（工具接近性）

較為直接。

這不代表：

Rotarex Valve Is Unsafe
（Rotarex 瓶閥不安全）。

真正代表的是：

不同 Valve Design
（瓶閥設計）

可能需要不同的：

Risk Control Strategy
（風險控制策略）。

當：

Physical Access Restriction
（實體接近限制）

較少時，

其他屏障的重要性可能提高。

例如：

Tool Selection
（工具選擇）

Component Identification
（零件識別）

Tool Clearance
（工具間隙確認）

Post-work Inspection
（作業後檢查）。

因此：

Different Design
（不同設計）
→
Different Barrier Combination
（不同安全屏障組合）

而不是：

Different Design
→
Safe / Unsafe
（直接判斷安全／不安全）。

十、Tool Control 也是一道 Barrier

本維修現場在部分瓶閥／PRD 相關作業中，

限制：

Adjustable Wrench
（活動扳手）

並使用：

Specified Fixed-size Wrench
（指定固定尺寸扳手）。

這是一種：

Tool / Process Barrier
（工具／製程屏障）。

目的不是：

「活動扳手一定會造成事故。」

而是降低：

Wrong Tool Fit
（工具配合不當）

Slipping
（滑脫）

Unexpected Contact
（非預期接觸）

Wrong Component Engagement
（誤作用於其他零件）

以及：

Tool Interference
（工具干涉）

的可能性。

因此：

Approved Tool
（核准工具）

本身就是：

Error-reduction Barrier
（降低錯誤的屏障）。

十一、但是 Fixed-size Wrench 也不是完美屏障

即使使用：

Fixed-size Wrench

仍然可能：

選錯尺寸

接觸錯誤零件

操作角度不當

與鄰近零件干涉

或：

工具本身狀態異常。

因此：

Fixed-size Wrench
≠
Zero Risk

Correct Tool Size
（正確工具尺寸）
≠
Correct Component Confirmed
（已確認正確零件）

這也是 Multiple Safety Barriers

存在的原因。

工具控制後面仍需要：

Component Identification
（零件識別）

＋

Clearance Check
（間隙確認）

＋

Post-work Inspection
（作業後檢查）。

十二、Detection Barrier｜偵測屏障

Detection Barrier
（偵測屏障）

的目的不是：

阻止錯誤發生，

而是：

在錯誤已經存在後，

盡早把它發現。

例如：

Pressure Confirmation
（壓力確認）

Leak Check
（洩漏檢查）

Gauge Inspection
（量規檢查）

Visual Inspection
（目視檢查）

Record Cross-check
（紀錄交叉確認）

以及：

Post-work Inspection
（作業後檢查）。

它們都可能屬於：

Detection Barrier。

這類屏障非常重要，

因為現實中：

Prevention Can Fail
（預防措施可能失效）。

十三、Pressure Confirmation 是典型 Detection Barrier

06-05 案例中，

未完成前段處理的鋼瓶

進入了維修流程。

代表前面的某些：

Process / Information Barrier

沒有成功阻止它。

但是後續：

Pressure Confirmation

發現：

Unexpected / Residual Cylinder Pressure
（非預期／殘留鋼瓶壓力）。

因此：

Pressure Confirmation

在這個事件中就是：

Detection Barrier。

它沒有讓上游錯誤消失，

但是成功提供：

Another Opportunity to Detect the Hazard
（另一個發現危害的機會）。

十四、Human Barrier｜人員屏障

最後一道非常重要的屏障是：

Human Barrier
（人員屏障）。

人員可以：

Recognize
（辨識）

Question
（提出疑問）

Compare
（比較）

Stop
（停止）

Report
（回報）

以及：

Escalate
（升級處理）。

06-06 的：

Label / Record Mismatch

就是典型例子。

即使：

Wrong Label

已經存在，

維修人員仍然沒有：

Blindly Trust the Label
（盲目相信標籤）。

而是發現：

Information Does Not Match
（資訊不一致）

並：

Stop Work。

這就是：

Human Barrier Worked
（人員屏障成功）。

十五、Human Barrier 很重要，但不能成為唯一屏障

如果事故調查最後只得到：

「提醒作業人員注意。」

通常代表安全改善仍然很弱。

因為：

Be More Careful
（更加小心）

完全依賴：

Memory
（記憶）

Attention
（注意力）

Experience
（經驗）

以及：

Individual Judgment
（個人判斷）。

人會：

疲勞

分心

誤判

忘記

或：

缺乏經驗。

因此：

Training
（教育訓練）

很重要，

但最好不要成為：

Only Barrier
（唯一屏障）。

十六、一道好的 Barrier 應盡量不依賴上一道 Barrier

假設：

Label

與：

Work Record

其實都是由：

同一個人

在同一時間

依同一份資料輸入。

如果原始資料錯誤，

兩者可能：

Simultaneously Wrong
（同時錯誤）。

此時看起來有：

Two Checks
（兩個檢查）

實際上可能只有：

One Information Source
（一個資訊來源）。

這就是：

Common Cause Failure
（共同原因失效）

的概念。

因此真正的：

Independent Barrier
（獨立屏障）

最好使用不同：

Information Source
（資訊來源）

Detection Method
（偵測方法）

或：

Physical Principle
（物理原理）。

十七、Independent Check 的真正意義

Independent Check
（獨立檢查）

不是：

第二個人再看一次第一個人的答案。

更理想的方式是：

第二道檢查可以：

Independently Determine the Condition
（獨立判定狀態）。

例如：

Label Says Process Complete
（標籤顯示程序完成）

是一道資訊。

Pressure Confirmation
（壓力確認）

則是直接取得：

Physical Evidence
（物理證據）。

因此兩者具有較高：

Independence
（獨立性）。

十八、PRD Missing Component 案例的 Barrier 分析

06-02 案例中，

發生：

PRD Missing Burst Disc
（PRD 缺少 Burst Disc）

並造成大量氣體釋放。

這類事件可以用 Barrier 思維重新分析。

可能需要的安全屏障包括：

Correct Part Identification
（正確零件識別）

↓

Component Completeness
（零件完整性）

↓

Assembly Verification
（組裝確認）

↓

Independent Check
（獨立確認）

↓

Final Inspection / Test
（最終檢查／測試）

如果只依賴：

「組裝人員記得放入所有零件。」

那就是：

Single Human Barrier
（單一人員屏障）。

而：

Multiple Verification Opportunities
（多重確認機會）

能降低：

Missing Component

一路流到最終使用階段的機會。

十九、Exterior Appearance 不是完整性屏障

PRD 外觀看起來：

Complete
（完整）

不代表：

Internal Components
（內部零件）

一定完整。

因此：

Exterior Visual Inspection
（外觀目視檢查）

對某些 Failure Mode

可能不是足夠有效的：

Detection Barrier。

這就是 Barrier Analysis

需要問的問題：

Can This Barrier Actually Detect This Failure Mode?
（這道屏障真的能發現這個故障模式嗎？）

如果答案是：

No

就不能把它算成：

有效的防線。

二十、Barrier 必須對應 Failure Mode

安全屏障不是：

越多越好

就一定有效。

真正重要的是：

Barrier
（屏障）

是否能對應：

Failure Mode
（故障模式）。

例如：

Plug Gauge
（塞規）

可以提供：

Thread Dimensional / Fit Information
（螺紋尺寸／配合資訊）。

但是它不能單獨證明：

Leak Tightness
（洩漏密封性）。

因此：

Plug Gauge Pass

不是：

Neck Leak Detection Barrier

的完整替代品。

同樣：

Leak Test Pass

也不能完整判斷：

Thread Profile
（牙型狀態）。

所以：

Different Failure Mode
→
Different Detection Barrier

這會在 09-03：

Gauge Pass ≠ Cylinder Accepted

進一步說明。

二十一、Barrier 存在不代表 Barrier 有效

公司可能有：

SOP

Checklist

Label

Inspection

Training。

但真正需要問的是：

Does It Actually Prevent or Detect the Failure?
（它真的能預防或發現這個失效嗎？）

例如：

Checklist 上有一個勾選欄，

但是：

沒有明確檢查內容

沒有人確認

沒有紀錄

或：

所有人習慣直接打勾。

這個 Barrier

雖然：

Exists on Paper
（紙面存在）

但可能：

Weak in Practice
（實際效果很弱）。

因此：

Barrier Exists
≠
Barrier Effective
（屏障存在不等於屏障有效）

二十二、事故後不要只增加 Checklist

事故發生後，

最容易採取的措施是：

「Checklist 再增加一欄。」

但如果根本問題是：

Tool Can Physically Contact the Wrong Component
（工具可以直接接觸錯誤零件），

增加 Checklist

可能仍然只是：

Administrative Control
（管理控制）。

如果可以從：

Design
（設計）

Tool Geometry
（工具幾何）

Physical Guard
（實體防護）

或：

Fixture
（治具）

降低接觸可能，

通常是不同層次的 Barrier。

因此事故改善應該問：

Can We Prevent the Error by Design?
（能否從設計避免錯誤？）

而不只是：

Can We Remind the Operator Again?
（能否再提醒作業人員一次？）

二十三、Preventive Barrier 與 Detection Barrier 要一起存在

Preventive Barrier
（預防屏障）

目的：

Prevent Failure
（避免失效發生）。

Detection Barrier
（偵測屏障）

目的：

Detect Failure After It Exists
（失效存在後把它發現）。

例如：

Specified Fixed-size Wrench
（指定固定尺寸扳手）

可以屬於：

Preventive Barrier。

而：

Post-work PRD Inspection
（作業後 PRD 檢查）

可以屬於：

Detection Barrier。

兩者一起使用，

比只依賴其中一個更完整。

因此：

Prevent
＋
Detect

通常比：

Prevent Only

更具有韌性。

二十四、Multiple Barriers 不代表可以降低每一道要求

這也是容易產生的誤解。

不能因為：

「後面還有檢查。」

就認為：

前面的程序可以隨便。

例如：

後面有 Pressure Confirmation

不能成為：

前站狀態管理失效

可以被接受的理由。

同樣：

最後有 Leak Test

不能成為：

前面 Thread Inspection

可以省略的理由。

因此：

Backup Barrier Exists
（存在備援屏障）
≠
Primary Barrier Can Be Ignored
（主要屏障可以忽略）

每一道 Barrier

仍然應完成自己的功能。

二十五、Barrier Failure 也是重要資料

如果一件事故或 Near Miss

成功穿過三道屏障，

直到第四道才被發現，

真正值得研究的不只是：

「第四道做得很好。」

還包括：

Why Did Barrier 1 Fail?
（第一道為何失效？）

Why Did Barrier 2 Fail?
（第二道為何失效？）

Why Did Barrier 3 Fail?
（第三道為何失效？）

這樣才能找出：

System Weakness
（系統弱點）。

因此 Good Catch 紀錄中，

可以增加：

Failed Barrier
（失效屏障）

以及：

Successful Barrier
（成功屏障）。

二十六、Failure Mode Database 可以加入 Barrier 資訊

未來 09-05 建立：

Failure Mode Database
（故障模式資料庫）

時，

每一個 FM ID

除了：

Failure Mode

Location

Observed Condition

Cause Status

之外，

還可以加入：

Preventive Barrier
（預防屏障）

Detection Barrier
（偵測屏障）

Failed Barrier
（失效屏障）

Successful Barrier
（成功屏障）。

例如：

FM-012
Status Label / Record Mismatch

Preventive Barrier：

Status Control
（狀態管理）

Detection Barrier：

Record Cross-check
（紀錄交叉確認）

Successful Barrier：

Technician Verification
（技術人員確認）

如此資料庫就不只是：

「發生過什麼問題。」

而是開始回答：

「我們靠什麼把問題攔下來？」

二十七、建立 Barrier Map

對重要作業，

可以建立：

Barrier Map
（安全屏障圖）。

例如瓶閥維修流程：

Cylinder Identification
（鋼瓶識別）
↓
Process Status Verification
（製程狀態確認）
↓
Record Verification
（紀錄確認）
↓
Pressure Confirmation
（壓力確認）
↓
Component Identification
（零件識別）
↓
Approved Tool
（核准工具）
↓
Tool Clearance
（工具間隙）
↓
Maintenance Work
（維修作業）
↓
Post-work Inspection
（作業後檢查）
↓
Applicable Final Verification
（適用最終確認）

每發生一件：

Incident

Near Miss

Good Catch

就可以回到這張圖，

確認：

Which Barrier Failed?
（哪一道失效？）

Which Barrier Worked?
（哪一道成功？）

二十八、Barrier 的目標不是追求「零錯誤的人」

真正成熟的安全系統

不應假設：

People Never Make Mistakes
（人永遠不會犯錯）。

而應假設：

Mistakes Are Possible
（錯誤可能發生）

然後設計：

How Will We Prevent It?
（如何預防？）

If Prevention Fails, How Will We Detect It?
（預防失效後如何發現？）

If Detection Occurs, How Will We Stop It?
（發現後如何停止？）

因此：

Safety
（安全）

不是：

Perfect Operator
（完美作業人員）

而是：

Resilient System
（具有韌性的系統）。

二十九、本篇的重要判斷觀念

One Barrier
（一道屏障）
≠
Complete Safety System
（完整安全系統）

More Checks
（更多檢查）
≠
Independent Barriers
（獨立屏障）

Label
（標籤）
≠
Physical Condition
（實際物理狀態）

Procedure Exists
（程序存在）
≠
Procedure Was Followed
（程序確實執行）

Barrier Exists
（屏障存在）
≠
Barrier Effective
（屏障有效）

Fixed-size Wrench
（固定尺寸扳手）
≠
Zero Risk
（零風險）

Physical Guard
（實體防護）
≠
Zero Risk
（零風險）

Exposed PRD
（PRD 相對暴露）
≠
Unsafe Valve
（不安全瓶閥）

Exterior Complete
（外觀看起來完整）
≠
Internal Components Confirmed
（內部零件已確認完整）

Backup Barrier Exists
（存在備援屏障）
≠
Primary Barrier Can Be Ignored
（主要屏障可以忽略）

Human Barrier
（人員屏障）
≠
Only Barrier
（唯一屏障）

Checklist Added
（增加檢查表）
≠
Root Risk Eliminated
（根本風險已消除）

Good Catch
（良好攔截）
≠
System Has No Weakness
（系統沒有弱點）

真正完整的安全架構是：

Prevent
（預防）
＋
Detect
（偵測）
＋
Stop
（停止）
＋
Verify
（確認）
＋
Learn
（學習）

三十、相關文章

・06-01｜誤拆 PRD 造成大量氣體洩漏事故

・06-02｜PRD Burst Disc 遺漏事故

・06-05｜未完成前段處理鋼瓶與 Pressure Confirmation

・06-06｜Status Label / Record Mismatch Good Catch

・06-07｜瓶閥安裝後 PRD 鬆動案例

・07-04｜Pressure Test Panel

・07-06｜Fixed-size Wrench、Adjustable Wrench 與 PRD 防錯設計

・09-01｜Stop Work 與 Good Catch

・09-03｜Gauge Pass ≠ Cylinder Accepted

・09-04｜Observed Condition、Direct Cause 與 Root Cause

・09-05｜Failure Mode Database

・09-06｜新人異常判斷與技術知識傳承

注意事項

本文所使用的 Process Barrier（製程屏障）、Information Barrier（資訊屏障）、Engineering / Physical Barrier（工程／實體屏障）、Detection Barrier（偵測屏障）及 Human Barrier（人員屏障）分類，主要用於 CylinderTech 的維修安全分析與知識管理，不代表 DOT / PHMSA 的統一法定分類。

不同 Valve、PRD、Cylinder、Tool、Equipment 與 Process 具有不同設計與風險條件，本文所述 Barrier Example（屏障案例）不能直接視為所有設備的通用要求。

本文提及 Neriki 與 Rotarex 的 PRD 結構差異，僅描述本維修現場實際接觸及拍攝之特定瓶閥實例，不代表各品牌所有型號均採用相同設計，也不構成品牌安全性排名。

實際安全屏障應依設備設計、製造商資料、公司核准程序、適用法規、氣體危害及現場 Risk Assessment（風險評估）建立。

本文不提供特殊氣體鋼瓶洩壓、排放、PRD 拆裝、瓶閥拆卸或其他危險操作程序。

最後更新：2026-09-30