ถังน้ำมันดีเซล 500,000 ลิตรใน Data Center ปลอดภัยแค่ไหน? เมื่อระบบสำรองไฟฟ้ากลายเป็นความเสี่ยงที่ต้องออกแบบอย่างเป็นระบบ

เมื่อประเทศไทยกำลังดึงดูดการลงทุน Data Center และ AI Data Center ขนาดใหญ่ เรามักพูดถึงคำว่า “ความมั่นคงทางไฟฟ้า” ว่า Data Center จำเป็นต้องมีไฟฟ้า 24 ชั่วโมง และเมื่อไฟฟ้าจากระบบ Utility ขัดข้อง ต้องมี UPS และเครื่องกำเนิดไฟฟ้าสำรองเข้ามาทำงานทันที

แต่มีอีกคำถามหนึ่งที่แทบไม่ถูกพูดถึงในสังคม

ถ้า Data Center มีเครื่องกำเนิดไฟฟ้าดีเซลจำนวนมาก แล้วน้ำมันดีเซลเหล่านั้นถูกเก็บไว้ที่ไหน?

Data Center ขนาดใหญ่สามารถมีเชื้อเพลิงสำรองระดับหลายแสนลิตร เพื่อให้เครื่องกำเนิดไฟฟ้าสามารถเดินระบบต่อเนื่องได้ในกรณีไฟฟ้าหลักขัดข้องเป็นเวลานาน

หากสมมติ Data Center แห่งหนึ่งมีคลังเชื้อเพลิงรวมประมาณ 500,000 ลิตร ปริมาณดังกล่าวไม่ใช่เพียง “ถังน้ำมันสำรอง”

แต่คือระบบพลังงานขนาดใหญ่ที่มีทั้งความสำคัญต่อความต่อเนื่องของบริการ และความเสี่ยงด้านอัคคีภัย สิ่งแวดล้อม และความปลอดภัยในเวลาเดียวกัน

ดังนั้นโจทย์ของวิศวกรจึงไม่ใช่เพียง “เก็บน้ำมันอย่างไรให้เพียงพอ?” แต่ต้องตอบให้ได้ว่า “หากถังหนึ่งรั่ว ปั๊มหนึ่งเสีย หรือเกิดเพลิงไหม้ในพื้นที่หนึ่ง Data Center ทั้งแห่งจะยังสามารถเดินต่อได้หรือไม่?”

นี่คือเหตุผลที่ระบบเชื้อเพลิงของ Data Center ควรถูกมองเป็นส่วนหนึ่งของ Critical Infrastructure ไม่ต่างจาก UPS, Transformer หรือ Cooling System

 

มีน้ำมันสำรองมาก ไม่ได้แปลว่ามีความมั่นคงมาก

สมมติ Data Center ต้องการน้ำมันสำรอง 500,000 ลิตร วิธีง่ายที่สุดอาจเป็นการสร้างถังขนาดใหญ่เพียงใบเดียว

ในแง่ปริมาณ เชื้อเพลิงเพียงพอ แต่ในแง่ Reliability นี่อาจกลายเป็น Single Point of Failure หากถังเดียวเกิดการรั่ว ไฟไหม้ หรือจำเป็นต้องหยุดเพื่อบำรุงรักษา ระบบสำรองทั้งหมดอาจสูญเสียเชื้อเพลิงพร้อมกัน

แนวคิดที่เหมาะสมกว่าคือการแบ่งระบบออกเป็นหลาย Train

ตัวอย่างเช่น ถัง 4 ใบ ใบละ 125,000 ลิตร รวม 500,000 ลิตร แบ่งเป็น Fuel Train A: A1 + A2 และ Fuel Train B: B1 + B2 หลักคิดไม่ใช่แค่มีถังหลายใบ แต่คือ Train A และ Train B ต้องสามารถทำงานได้อย่างอิสระจากกัน ถ้าเกิดเหตุใน A ระบบ B ต้องไม่ล้มตามไปด้วย

นี่คือแนวคิดของ 2N Fuel Architecture

 

2N ไม่ใช่การซื้อของซ้ำสองชุด

คำว่า 2N มักถูกเข้าใจว่า “ของเดิมมีหนึ่งชุด ก็ซื้อเพิ่มอีกหนึ่งชุด” แต่ในงาน Data Center ความหมายที่แท้จริงลึกกว่านั้น

หากมีถังน้ำมันสองชุด แต่ใช้ Pump ตัวเดียวกัน ก็ยังไม่ใช่ 2N ที่แท้จริง หากมี Pump สองชุด แต่ใช้ PLC Controller เดียวกัน PLC ก็ยังเป็น Single Point of Failure

หาก A และ B แยกถังกัน แต่เดินท่อน้ำมันอยู่ใน Trench เดียวกัน ไฟไหม้หรืออุบัติเหตุเพียงครั้งเดียวอาจตัดระบบทั้งคู่ หรือหากมี Bund A และ Bund B แต่ระบายน้ำมันลง Common Sump เดียวกัน น้ำมันที่รั่วจาก Train หนึ่งอาจแพร่ไปสู่อีก Train ได้

ดังนั้น 2N ที่แท้จริงต้องคิดถึงอย่างน้อย 3 เรื่อง

• Independence - ระบบต้องไม่พึ่งอุปกรณ์วิกฤตร่วมกัน
• Segregation - ต้องแยกพื้นที่และเส้นทางทางกายภาพ
• และ Common-mode Failure - ต้องถามว่ามีเหตุเดียวอะไรที่ทำให้ทั้ง A และ B ล้มพร้อมกันได้

ความมั่นคงจึงไม่ได้เกิดจาก “จำนวนอุปกรณ์” แต่เกิดจาก สถาปัตยกรรมของระบบ

Bund ไม่ใช่แค่กำแพงล้อมถังน้ำมัน

พื้นที่รอบถังเชื้อเพลิงจะมีโครงสร้างกักเก็บของเหลวหรือ Bund เพื่อป้องกันน้ำมันรั่วกระจายออกนอกพื้นที่ แต่สำหรับ Data Center ที่ต้องการ Resilience สูง Bund มีหน้าที่มากกว่านั้น

ควรแยก Bund A ออกจาก Bund B เพื่อให้การรั่วหรือเพลิงไหม้จากถังหนึ่ง Train ไม่สามารถแพร่ไปสู่อีก Train ได้ง่าย พื้นและผนังต้องทนน้ำมันและไม่รั่วซึม

ความจุของ Bund ต้องเพียงพอรองรับของเหลวตาม Design Scenario รวมถึงต้องพิจารณาน้ำฝน น้ำดับเพลิง และปริมาตรที่อุปกรณ์ภายในกินพื้นที่อยู่ด้วย

สิ่งสำคัญคือ Drain Valve ไม่ควรเปิดทิ้งไว้ เพราะถ้าเกิดน้ำมันรั่ว ระบบกักเก็บที่ดีที่สุดก็ไม่มีประโยชน์ หากน้ำมันสามารถไหลออกจาก Bund ผ่านท่อระบายน้ำได้ทันที

ดังนั้นจุด Drain จึงควรอยู่ในสถานะ Normally Closed และต้องมีกระบวนการตรวจสอบก่อนระบายออก

ปั๊มสำรองก็ต้องสำรองจริง

ระบบถ่ายน้ำมันจาก Tank Farm ไปยัง Generator ไม่ควรใช้ Pump เพียงตัวเดียว แต่ละ Fuel Train ควรมีลักษณะ N+1 หมายความว่า หากระบบต้องใช้ Pump จำนวน N ตัวเพื่อรองรับโหลด ก็ต้องมีอย่างน้อยอีกหนึ่งตัวเป็น Standby เมื่อ Duty Pump เสีย Standby Pump สามารถเข้าทำงานได้ แต่มีรายละเอียดสำคัญมาก

หากเกิด Fire Alarm หรือ Emergency Shutdown ในพื้นที่นั้น ระบบต้องไม่สั่ง Standby Pump ขึ้นมาทำงานอัตโนมัติจนกลายเป็นการ “ปั๊มน้ำมันเพิ่มเข้าไปในกองไฟ” นี่คือเหตุผลที่ระบบ Fuel Control ต้องทำงานร่วมกับ Fire Detection และ Emergency Shutdown หรือ ESD อย่างเป็นระบบ

ท่อน้ำมันคืออีกจุดที่มักถูกมองข้าม

ถังน้ำมันอาจแข็งแรงมาก แต่เหตุรั่วจำนวนมากสามารถเกิดจาก

• ท่อ
• Flange
• Valve
• Pump Seal
• Flexible Connection
• หรือจุดรับน้ำมันจากรถ Tanker

ดังนั้นระบบ Data Center ขนาดใหญ่ควรพิจารณาใช้ Double-contained Piping หรือระบบท่อที่มีชั้นป้องกันและตรวจจับการรั่วได้

เส้นทาง A และ B ควรแยกจากกัน และต้องมี Isolation Valve ที่สามารถเข้าถึงจากจุดปลอดภัยได้ ถ้าท่อ A รั่ว ต้องสามารถตัด A โดยไม่ต้องหยุด B

หลักการนี้สำคัญมาก เพราะเป้าหมายของ Fire Safety ใน Data Center ไม่ได้มีเพียง “ดับไฟ” แต่ยังต้องจำกัดเหตุให้อยู่ในพื้นที่เล็กที่สุดเท่าที่เป็นไปได้

ต้องหยุดน้ำมันก่อนที่จะต้องดับไฟ

ระบบป้องกันอัคคีภัยที่ดีที่สุดคือ ไม่ปล่อยให้เชื้อเพลิงออกมาจนเกิดไฟตั้งแต่แรก จึงต้องมีหลายชั้นของการป้องกัน เริ่มจาก

• Tank Level Monitoring
• High Level Alarm
• Independent High-High Level Trip
• Leak Detection
• Flow Imbalance
• Pressure Monitoring
• Hydrocarbon Sensor
• และ Emergency Shutdown

โดยเฉพาะ Overfill Protection ไม่ควรใช้ Sensor ตัวเดียวทำทั้ง Alarm และ Trip เพราะหาก Sensor ตัวนั้นเสีย การป้องกันทั้งสองระดับจะเสียพร้อมกัน แนวทางที่แข็งแรงกว่าคือ High Level ทำหน้าที่เตือน แต่ High-High Level ใช้อุปกรณ์หรือ Logic อิสระเพื่อสั่งหยุดการเติม นี่คือหลัก Independent Protection Layer

Emergency Shutdown ต้อง “ตัดเฉพาะจุด” ก่อนตัดทั้งระบบ

หากเกิดน้ำมันรั่วหรือเพลิงไหม้ใน Fuel Train A การตอบสนองที่เหมาะสมอาจเป็นหยุด Pump A ปิด Isolation Valve A หยุด Unloading เข้า A แจ้ง Fire Alarm และเริ่มระบบดับเพลิงของ Zone A แต่ Train B ควรยังทำงานต่อได้ ตราบใดที่ไฟยังไม่ได้ลุกลามหรือสร้างอันตรายต่อพื้นที่ B

นี่คือแนวคิด Selective Isolation เพราะถ้า ESD เพียงปุ่มเดียวตัดระบบน้ำมันทั้ง Data Center ทุกครั้งที่เกิดเหตุเล็ก ๆ ในจุดหนึ่ง

เราอาจสร้างระบบที่ปลอดภัยด้านหนึ่ง แต่ทำให้ Generator ทั้งหมดหยุดจน Data Center ดับ ระบบที่ดีจึงต้องสร้างสมดุลระหว่าง Safety กับ Availability

ระบบดับเพลิงต้องไม่กลายเป็น Single Point of Failure เสียเอง

Tank Farm ขนาดใหญ่ต้องมี Fire-water System ที่ออกแบบตาม Scenario จริง

ระบบที่เหมาะสมอาจประกอบด้วย

• Fire-water Tank
• Fire Pump
• Ring Main
• Hydrant
• Monitor
• Water Spray Cooling
• และ Foam System ตามความจำเป็นของแต่ละโครงการ

คำว่า Ring Main สำคัญมาก เพราะแทนที่จะเดินท่อน้ำดับเพลิงจากจุดต้นทางไปปลายทางเพียงเส้นเดียว ระบบจะเดินเป็นวง หากท่อช่วงหนึ่งถูกตัดเพื่อบำรุงรักษาหรือเสียหาย น้ำยังสามารถไหลมาจากอีกด้านหนึ่งได้

ระบบ Fire Pump เองก็ควรมี Redundancy เช่น Electric Fire Pump Diesel Fire Pump และ Jockey Pump พร้อมจัดตำแหน่งไม่ให้เหตุเพลิงไหม้เดียวกับ Tank Farm ทำลาย Pump ทั้งหมด ไม่เช่นนั้นเราจะมีสถานการณ์ที่ย้อนแย้งมาก คือ มีระบบดับเพลิง แต่ไฟไหม้ครั้งเดียวทำให้ระบบดับเพลิงใช้งานไม่ได้

น้ำดับเพลิงต้องคำนวณจาก “สถานการณ์ที่เลวร้าย” ไม่ใช่เดาตัวเลข

การกำหนดถังน้ำดับเพลิงไม่ควรคิดเพียงว่า “Data Center ขนาดนี้ควรมีน้ำกี่ลูกบาศก์เมตร” แต่ต้องสร้าง Fire Scenario เช่น ถังรั่วและเกิด Pool Fire ใน Bund A รถ Tanker ไฟไหม้ที่ Fuel Unloading Bay Pump Seal รั่วและเกิด Spray Fire

น้ำมันเติมล้นลงระบบระบายน้ำ Generator หรือ Day Tank เกิดไฟไหม้พร้อม Utility Outage หรือไฟจากถังหนึ่งกำลังแผ่รังสีความร้อนไปยังถังข้างเคียง จากนั้นจึงคำนวณว่า ต้องใช้ Hydrant เท่าใด ต้อง Cooling ถังข้างเคียงเท่าใด ต้องใช้ Foam หรือไม่ ต้องจ่ายน้ำนานกี่ชั่วโมง และหาก Pump หลักเสีย ระบบยังมีแรงดันเพียงพอที่จุดไกลที่สุดหรือไม่

นี่คือ Hydraulic Calculation ระบบ Fire Protection ของ Data Center จึงเป็นงานวิศวกรรม ไม่ใช่การซื้ออุปกรณ์ตามรายการแล้วนำมาติดตั้ง

Foam ไม่ได้จำเป็นเพราะเห็นคำว่า 500,000 ลิตรเพียงอย่างเดียว

อีกเรื่องที่ต้องระวังคือการสรุปว่า “มีน้ำมัน 500,000 ลิตร ดังนั้นต้องติด Foam Deluge ทั้งหมด”

การเลือกระบบโฟมต้องพิจารณาหลายปัจจัย

• ชนิดของน้ำมัน
• รูปแบบถัง
• ขนาดถัง
• พื้นที่ Bund
• ระยะห่างระหว่างถัง
• Fire Scenario
• ตำแหน่งสิ่งปลูกสร้างรอบข้าง
• และความสามารถของหน่วยดับเพลิง

หากผลการวิเคราะห์กำหนดว่าต้องใช้ Foam จึงคำนวณ Application Rate, Foam Concentrate, Discharge Duration และ Reserve Quantity ตาม Design Basis

อีกเรื่องที่สำคัญมากขึ้นเรื่อย ๆ คือผลกระทบด้านสิ่งแวดล้อมของสารดับเพลิง ดังนั้นการเลือก Foam ต้องพิจารณาทั้ง Fire Performance และ Environmental Compatibility ควบคู่กัน

เครื่องดับเพลิงมือถือ ไม่ได้มีไว้ดับ Tank Farm Fire

เครื่องดับเพลิงแบบมือถือมีความสำคัญสำหรับเหตุเริ่มต้น เช่นเพลิงขนาดเล็กในห้อง Pump หรือพื้นที่ทำงาน แต่ต้องเข้าใจว่า Portable Fire Extinguisher ไม่สามารถแทน Fixed Fire Protection System สำหรับ Pool Fire ขนาดใหญ่ได้

ตำแหน่งติดตั้งควรให้พนักงานสามารถหยิบใช้ได้โดยไม่ต้องเดินเข้าหาเพลิง นี่เป็นรายละเอียดเล็ก ๆ ที่มีผลต่อชีวิตจริง เพราะการติดถังดับเพลิงไว้ “ใกล้จุดเสี่ยงที่สุด” อาจฟังดูดี แต่ถ้าต้องเดินผ่านไฟเพื่อไปหยิบ ถังนั้นก็แทบไม่มีประโยชน์

AI Data Center ทำให้เรื่อง Fuel Safety สำคัญขึ้น

Data Center แบบดั้งเดิมต้องการไฟฟ้าต่อเนื่องอยู่แล้ว แต่ AI Data Center ยิ่งมี Power Density สูงขึ้น GPU Cluster ขนาดใหญ่สามารถมีโหลดระดับหลายสิบหรือหลายร้อยเมกะวัตต์ หาก Utility ขัดข้อง Generator Plant จึงต้องรองรับโหลดจำนวนมหาศาล

นั่นหมายความว่า Fuel Storage และ Fuel Transfer System กลายเป็น Infrastructure ที่มีความสำคัญมากขึ้นตามไปด้วย

Data Center อาจลงทุน Generator จำนวนมาก แต่ถ้า Fuel System มี Single Point of Failure Generator ทั้งหมดก็ไม่มีความหมาย จึงควรคิดระบบเป็นห่วงโซ่ Fuel Storage → Fuel Transfer → Generator → UPS → Server/GPU ทุกจุดต้องมี Reliability ที่สอดคล้องกัน

ต้องทดสอบ “เหตุผิดปกติ” ไม่ใช่ทดสอบเฉพาะตอนทุกอย่างปกติ

Data Center ที่ดีไม่ควรตรวจรับเพียงว่า Pump Start ได้หรือไม่ Valve เปิดได้หรือไม่ Fire Alarm ดังหรือไม่ แต่ต้องทดสอบสถานการณ์ที่อุปกรณ์บางชิ้น “ไม่ยอมทำตามคำสั่ง” เช่น

• Sensor เสีย
• Valve ค้าง
• Pump ไม่ Start
• Control Power หาย
• Communication ขาด
• Fire-water Pressure ต่ำ
• หรือ Train A เกิดเหตุพร้อมกับ Utility Outage

ระบบต้องผ่านทั้ง Factory Acceptance Test, Site Acceptance Test และ Integrated Systems Test ตามความเหมาะสม

สิ่งที่สำคัญที่สุดคือ Cause-and-Effect Matrix 

กล่าวคือ เมื่อเกิดเหตุ A ระบบใดต้องหยุด? Valve ใดต้องปิด? Pump ใดต้อง Start? Alarm ไปที่ไหน? และ Train B ต้องทำอะไร?

หากคำตอบเหล่านี้ไม่มีอยู่ก่อนเกิดเหตุ ผู้ปฏิบัติงานจะต้องตัดสินใจเองในช่วงเวลาที่มีความกดดันสูงที่สุด

Cybersecurity ก็สามารถทำให้ระบบเชื้อเพลิงล้มได้

ในยุค Data Center ระบบ Fuel Management ไม่ได้เป็น Mechanical System เพียงอย่างเดียว

• Tank Level
• Pump
• Valve
• ESD
• Alarm
• และ Fire Protection จำนวนมากเชื่อมเข้ากับ PLC, SCADA หรือ Building Management System

ดังนั้น Common-mode Failure ไม่ได้มีเพียงไฟไหม้ น้ำท่วม หรือแผ่นดินไหว แต่รวมถึง Cyberattack และ Control System Failure หาก PLC ตัวเดียวควบคุม Pump ทั้ง A และ B หรือ Network Failure จุดเดียวทำให้ Valve ทุกตัวไม่สามารถสั่งงานได้

ระบบ 2N ทางกลก็อาจไม่มีความหมาย นี่คือเหตุผลที่ Data Center ยุคใหม่ต้องคิด Physical Safety + Functional Safety + Cybersecurity เป็นระบบเดียวกัน

ความปลอดภัยกับความต่อเนื่องของบริการไม่จำเป็นต้องขัดกัน

มีความเข้าใจว่า Fire Safety มักต้อง “Shut Everything Down” ในขณะที่ Data Center ต้องการ “Keep Everything Running” แต่จริง ๆ แล้วสองเป้าหมายสามารถอยู่ร่วมกันได้

หากออกแบบ Isolation Zone อย่างถูกต้อง เมื่อ A เกิดเหตุ A ถูกตัด B เดินต่อ เมื่อเหตุลุกลามข้ามขอบเขต ระบบจึงค่อยยกระดับไปสู่ Site-wide Emergency Shutdown

หลักสำคัญคือ ไม่ควรรักษา Availability จนกระทบต่อชีวิตและความปลอดภัย แต่ก็ไม่ควรออกแบบ Safety System ที่เหตุเล็กในจุดเดียวทำให้ Data Center ทั้งแห่งล้มโดยไม่จำเป็น นี่คือความหมายของ Resilience

Data Center ที่ปลอดภัยไม่ได้วัดจากจำนวนถังดับเพลิง

เมื่อประเทศไทยกำลังพยายามเป็น Data Center Hub ของภูมิภาค ประเด็นเรื่องระบบเชื้อเพลิงสำรองควรได้รับความสำคัญมากขึ้น เพราะ Data Center ระดับหลายสิบหรือหลายร้อยเมกะวัตต์ไม่ได้เป็นเพียงอาคาร IT แต่เป็นโครงสร้างพื้นฐานพลังงานขนาดใหญ่

การมีน้ำมันสำรอง 500,000 ลิตรช่วยสร้าง Energy Resilience แต่หากออกแบบไม่ดี ปริมาณเชื้อเพลิงเดียวกันก็สามารถกลายเป็น Concentrated Risk ได้

สิ่งที่ประเทศไทยควรให้ความสำคัญจึงไม่ใช่เพียงว่า Data Center มีเชื้อเพลิงสำรองกี่ชั่วโมง แต่ต้องถามต่อว่า ถังแยกกันจริงหรือไม่? Pump มี Redundancy หรือไม่? ท่อ A และ B เป็นอิสระหรือไม่? Bund แยกกันหรือไม่? ระบบ ESD ตัดเฉพาะพื้นที่ได้หรือไม่? Fire-water System ยังทำงานได้เมื่อไฟดับหรือไม่? Control System มี Single Point of Failure หรือไม่?

และเมื่อเกิดเหตุจริง อีก Fuel Train สามารถจ่ายน้ำมันให้ Generator ต่อได้จริงหรือไม่? เพราะสำหรับ Data Center น้ำมันสำรองไม่ได้มีไว้เพียงเพื่อให้ Generator เดินต่อ แต่ต้องถูกออกแบบให้ แม้ระบบเชื้อเพลิงบางส่วนเกิดเหตุ ระบบที่เหลือก็ยังสามารถรักษาความปลอดภัยและความต่อเนื่องของ Compute ได้พร้อมกัน

นี่คือเหตุผลว่า ทำไมการออกแบบ Fuel Storage ของ AI Data Center จึงต้องก้าวจากแนวคิดง่าย ๆ เรื่อง “มีถังน้ำมันสำรอง” ไปสู่ “Resilient Fuel Infrastructure” ที่คิดทั้ง Reliability, Fire Safety, Environmental Protection และ Common-mode Failure ตั้งแต่วันแรกของการออกแบบ