Değişim Yönetimi (MOC): Proses Güvenliğinin Aşil Topuğu Üzerine Teknik Bir Analiz

Bir önceki kapsamlı Proses Güvenliği Yönetimi (PSM) incelememizde, PSM’in 14 temel elemanını bir sistem olarak ele almıştık. Ancak bu 14 halkalı zincirde, tekrar tekrar kırıldığı kanıtlanmış, katastrofik faciaların çoğunda kök neden olarak karşımıza çıkan bir halka vardır: Değişim Yönetimi (MOC – Management of Change).

Büyük endüstriyel kazalar nadiren “normal” operasyon sırasında meydana gelir. Neredeyse her zaman, “anormal” bir durumun (bakım, arıza, devreye alma) veya daha da kötüsü, “normalleştirilmiş bir sapmanın” (normalization of deviance) sonucudurlar.

İşte MOC, bu “normal”den sapmayı yöneten bilimsel süreçtir. Bu makale, MOC’un neden bir “evrak işi” olmadığını, aksine bir tesisin hayatta kalmasını sağlayan temel bir analitik metodoloji olduğunu, teknik tanımlamaları ve trajik vaka çalışmalarıyla ortaya koyacaktır.

Bölüm 1: MOC’un Akademik Tanımı ve Kapsamı – “Değişim” Nedir?

Proses Güvenliği’nde MOC, OSHA 1910.119(l) standardında açıkça tanımlanmıştır. Buna göre MOC, “proses kimyasalları, teknoloji, ekipman ve prosedürlerdeki değişikliklerin ve tesisin kendisindeki değişikliklerin (personel değişiklikleri hariç) tamamını kapsayan yazılı bir prosedürdür.” (OSHA, 1992).

Ancak bu yasal tanım, sahadaki en kritik akademik ayrımı gizler. Çoğu EHS profesyoneli, MOC’u sadece “büyük” değişiklikler için uygular. Oysa en büyük tehlike, küçük görünen değişikliklerdedir.

1.1. “Aynısıyla Değiştirme” (Replacement In-Kind – RIK) Kavramı

Bir MOC prosedürünün işlerliğini belirleyen ilk filtre budur.

• Aynısıyla Değiştirme (RIK): Bir ekipmanın, orijinal teknik özelliklere (specifications) birebir uyan bir yedeği ile değiştirilmesidir. (Örn: 5 bar’lık A marka paslanmaz vanayı, yine 5 bar’lık B marka paslanmaz vanayla değiştirmek). RIK, genellikle MOC gerektirmez.
• Aynısı Olmayan Değişim (Not-In-Kind): Orijinal tasarımdan en ufak bir sapma içeren her şeydir. Bu, MOC gerektiren asıl alandır.

1.2. “Değişim” Olarak Kabul Edilmesi Gereken Alanlar (Kapsam)

Bir Değişim Yönetimi MOC süreci, şu kategorilerdeki “Aynısı Olmayan” (Not-In-Kind) tüm değişiklikleri yakalamak zorundadır:

1. Ekipman Değişiklikleri: Vana tipi, boru çapı, pompa kapasitesi, farklı bir metalurjiye sahip conta, yazılım veya alarm set-point değişikliği.
2. Proses Değişiklikleri: Basınç, sıcaklık, akış hızı veya konsantrasyon limitlerinin değiştirilmesi.
3. Hammadde Değişiklikleri: Farklı bir tedarikçiden gelen (spesifikasyonları çok az farklı olsa bile) kimyasal veya hammadde.
4. Prosedür Değişiklikleri: İşletme veya bakım talimatlarındaki değişiklikler.
5. Tesis Değişiklikleri: Yeni bir yapı eklemek, havalandırmayı değiştirmek.
6. Geçici Değişiklikler (Temporary Changes): Bu, faciaların bir numaralı nedenidir. Bakım için geçici bir “bypass” hattı çekmek, bir güvenlik sistemini geçici olarak köprülemek (bypass).

Bölüm 2: Vaka Çalışmaları – MOC Neden Başarısız Olur?

MOC’un teorisi basit, ancak uygulaması felaketlerle doludur. Neden?

2.1. Vaka 1: Flixborough, UK (1974) – “Geçici Değişim”in Felaketi

Tarihteki en “klasik” MOC başarısızlığıdır.

• Olay: Nypro kimya tesisinde, reaktörlerden birinde çatlak tespit edilir. Üretime devam etmek için, bu reaktör “bypass” edilerek (devre dışı bırakılarak), diğer reaktörler arasına geçici bir boru (dog-leg pipe) takılır. Bu geçici boru 2 ay sonra yırtılır, 30 ton Siklohekzan salınır ve patlar. 28 ölü.
• MOC Analizi (Kök Neden):
  • Teknik Analiz Eksikliği: O geçici boru, kalifiye bir mühendis tarafından tasarlanmamıştı. Stres ve basınç hesaplamaları yapılmamıştı (sadece tebeşirle yere çizilmişti).
  • Prosedürel İhlal: Bu bariz “Aynısı Olmayan Değişim” (Not-In-Kind) için hiçbir MOC süreci işletilmedi.
  • Değişimin Kapsamı: Bu “geçici” değişikliğin, prosesin bütünlüğünü nasıl etkileyeceğine (örn: borudaki körüklerin yanal gerilime dayanamayacağı) dair hiçbir analiz yapılmadı.
• Akademik Çıkarım: Flixborough, “geçici” değişikliklerin, “kalıcı” değişikliklerden daha tehlikeli olabileceğini ve aynı (hatta daha fazla) mühendislik titizliği gerektirdiğini kanıtlamıştır (Kletz, 2001).

2.2. Vaka 2: BP Texas City, ABD (2005) – “Sinsi Değişim” (Creep)

PSM makalemizde bu faciayı “Liderlik İflası” olarak incelemiştik. Şimdi MOC merceğinden bakalım.

• Olay: Devreye alma (PSSR) sırasında Isomerization ünitesindeki Raffinate Splitter kulesinin aşırı dolması ve patlaması. 15 ölü.
• MOC Analizi (Kök Neden):
  • Prosedürel Değişim: Üniteyi devreye alma prosedürü, maliyet ve zaman baskısı nedeniyle değiştirilmişti. Orijinal prosedürün gerektirdiği güvenlik kontrolleri (örn: seviye doğrulama) atlanmıştı. Bu prosedür değişikliği için MOC işletilmedi.
  • Ekipman Değişikliği: Kritik seviye alarmı ve göstergesi yıllardır arızalıydı. Bu durum “normalleştirilmişti”. Arızalı bir ekipmanla çalışmaya devam etme kararı, fiili (de-facto) bir “prosedür değişikliğidir” ve MOC gerektirir.
  • Sinsi Değişim (Management of “Creep”): BP Texas City’deki asıl sorun “ani” bir değişimden çok, yıllar içinde biriken yüzlerce küçük, belgelenmemiş sapmaydı (normalization of deviance). Alarm set-point’lerinin operatörler tarafından sürekli değiştirilmesi, bakım prosedürlerinin atlanması gibi “sinsi değişimler” birikerek, James Reason’ın modelindeki tüm “İsviçre Peyniri” deliklerini oluşturdu (Baker, 2007).

Bölüm 3: Bilimsel Metodoloji – Sağlam (Robust) Bir MOC Süreci Nasıl Olmalı?

Bir “kağıt parçası”ndan ibaret olmayan, “yaşayan” bir Değişim Yönetimi MOC süreci, sadece “form doldurmak” değil, analitik bir “soru sorma” sürecidir.

3.1. Tetikleyiciler: Değişimi Yakalamak

Süreç, sahadaki en küçük “normalden sapma” talebini bile yakalayacak kadar hassas olmalıdır. “Geçici” (Temporary) veya “Acil” (Emergency) değişiklikler için ayrı, ancak daha az titiz olmayan, daha hızlı bir MOC yolu tanımlanmalıdır.

3.2. Teknik Değerlendirme ve Risk Analizi (Sürecin Kalbi)

MOC formunun sorması gereken temel sorular şunlardır:

1. Teknik Temel: Bu değişiklik neden yapılıyor?
2. Etki Analizi: Bu değişiklik, Sağlık, Güvenlik ve Çevre (HSE) üzerinde yeni bir tehlike yaratıyor mu veya mevcut bir riski artırıyor mu?
3. Proses Tehlike Analizi (PHA) Güncellemesi: Bu değişiklik, mevcut PHA (HAZOP vb.) analizimizi geçersiz kılıyor mu? Yeni bir PHA gerekiyor mu?
4. Proses Güvenlik Bilgisi (PSI) Etkisi: P&ID çizimleri, prosedürler, SDS’ler, ekipman spesifikasyonları güncellenmeli mi?
5. Bariyer Analizi (Bow-Tie): Bu değişiklik, Bow-Tie modelimizdeki mevcut “önleyici” veya “hafifletici” bariyerlerden herhangi birini (örn: bir alarm, bir vana) zayıflatıyor veya devre dışı bırakıyor mu?

3.3. Onay Hiyerarşisi

Değişimin risk seviyesine göre, onayı kimin vereceği net olmalıdır. Basit bir prosedür değişikliğini Vardiya Amiri onaylarken, bir reaktörün basınç set-point değişikliğini Tesis Müdürü ve Proses Güvenliği Mühendisi birlikte onaylamalıdır. Onaylayanlar, değişimin tüm sonuçlarını anladıklarından ve sorumluluğu aldıklarından emin olmalıdır.

3.4. Uygulama, İletişim ve Eğitim

Değişiklik onaylandıktan sonra, ilgili tüm personel (operatörler, bakımcılar, yükleniciler) değişiklik hakkında eğitilmelidir. P&ID’ler, talimatlar ve diğer belgeler değişiklik uygulanmadan önce güncellenmelidir.

3.5. Kapatma ve PSSR (Devreye Alma Öncesi Güvenlik Değerlendirmesi)

Bu, MOC ile PSSR arasındaki kritik bağdır. Bir MOC talebi, değişiklik fiziksel olarak uygulandıktan sonra “kapanmaz”. Değişikliğin doğru uygulandığı, tüm belgelerin güncellendiği, eğitimlerin verildiği ve sistemin güvenli olduğunun kontrol edildiği PSSR tamamlandığında kapanır.

Bölüm 4: EHS Lideri Olarak Analiz – Neden MOC’u Atlarız?

MOC süreçlerinin varlığına rağmen neden Flixborough veya BP Texas City gibi facialar yaşanıyor? Neden EHS Liderleri ve operasyon ekipleri bu süreci atlıyor?

1. “Bürokrasi” Algısı: MOC, “üretimi yavaşlatan, gereksiz bir evrak işi” olarak görüldüğünde, atlatılması gereken bir engele dönüşür. Bu, Bradley Eğrisi’nde Aşama 2 (Kurala Bağımlı) kültürün bir göstergesidir.
2. Yetkinlik Eksikliği: Değişimi analiz edecek (örn: bir PHA yapacak) yetkinlikte mühendis veya EHS uzmanının olmaması.
3. Üretim Baskısı (Hız): “Hemen devreye almalıyız” baskısı, PSSR veya MOC gibi “durduran” süreçlerin aceleye getirilmesine veya atlanmasına neden olur.
4. “Sinsi Değişim” (Creep) Körlüğü: Yıllar içinde biriken küçük sapmaların (normalleşen alarm hataları, atlanan bakımlar) birer “değişim” olarak algılanmaması.

MOC, Bir Tesisin Bağışıklık Sistemidir

Sonuç olarak, Değişim Yönetimi MOC süreci, yüksek tehlikeli bir tesisin “bağışıklık sistemi” olarak görülmelidir. Görevi, tesise giren “yabancı” (yeni, değiştirilmiş) bir unsuru tespit etmek, onu analiz etmek ve eğer tehlikeliyse, tesise zarar vermeden önce onu nötralize edecek “bariyerler” (kontroller) oluşturmaktır.

Bağışıklık sistemi zayıfladığında veya “sinsi” bir değişikliği (creep) tanıyamadığında, sistem enfeksiyona (kaza) açık hale gelir. Bir EHS Lideri olarak bizim görevimiz, bu bağışıklık sisteminin tavizsiz, bilimsel ve analitik bir titizlikle çalışmasını sağlamaktır.

---

Referanslar

1. Baker, J. A., et al. (2007). The Report of the BP U.S. Refineries Independent Safety Review Panel. BP p.l.c.
2. Kletz, T. (2001). “The Flixborough Cyclohexane Disaster.” Learning from Accidents (3rd Edition). Oxford: Gulf Professional Publishing.
3. Mannan, S. (Ed.). (2012). Lees’ Loss Prevention in the Process Industries (4th Edition). Oxford: Butterworth-Heinemann.
4. OSHA (U.S. Department of Labor, Occupational Safety and Health Administration). (1992). 29 CFR 1910.119(l) – Management of Change. Washington, D.C.
5. Reason, J. (1997). Managing the Risks of Organizational Accidents. Aldershot: Ashgate Publishing.