إجراءات المشغل والتدخلات في أنظمة السلامة الوظيفية

العنصر البشري لا يزال يشكل سلامة العمليات

تستمر أنظمة الأتمتة في التطور عبر المصافي، محطات الطاقة، الوحدات الكيميائية، والمنشآت البحرية. ومع ذلك، يظل المشغلون ذوو الخبرة من أكثر المتغيرات تأثيرًا في سلامة المنشأة. قراراتهم يمكن أن توقف التصعيد قبل استجابة الأتمتة، أو تؤدي عن غير قصد إلى ظروف عملية خطرة.

لم يعد هندسة السلامة الوظيفية الحديثة تعامل التفاعل البشري كاعتبار ثانوي. تحدد المعايير الدولية الآن إجراءات المشغل كمساهمات قابلة للقياس ضمن تحقق SIL، حسابات LOPA، وإدارة دورة حياة السلامة.

الشكل 1. تحدد علاقات توقيت السلامة ما إذا كانت استجابة المشغل يمكن أن تمنع التصعيد بفعالية.

لماذا تهم إجراءات المشغل في تقييمات SIL

تفرق دراسات السلامة الوظيفية بين إجراءات المشغل التي تخلق ظروفًا خطرة والتدخلات التي تمنع التصعيد. هذا التمييز يؤثر مباشرة على حسابات تقليل المخاطر والأهداف المطلوبة لمستوى سلامة الوظيفة (SIL).

عمليًا، قد يبدأ مشغل غرفة التحكم انحرافًا من خلال تسلسل صمامات خاطئ، تفعيل التجاوز، أو استجابة متأخرة. وعلى العكس، قد يعمل نفس المشغل كحاجز حماية من خلال الاستجابة للإنذارات أو بدء إجراءات الإيقاف يدويًا.

تبدو هذه السيناريوهات متشابهة من الناحية التشغيلية، لكنها تُعامل بشكل مختلف تمامًا داخل منهجيات IEC 61511 و CCPS LOPA.

إجراء المشغل مقابل تدخل المشغل

عادةً ما يكون إجراء المشغل متعمدًا وإجرائيًا. قد يشمل تشغيل المعدات، تأكيد الأذونات، أو تفعيل أمر الإيقاف الطارئ. عادةً ما يحدث التدخل بعد تطور حالة غير طبيعية.

على سبيل المثال، الضغط على زر ESD السلكي يصبح جزءًا من وظيفة السلامة نفسها. الاستجابة لإنذار درجة الحرارة العالية قبل تطور ظروف الخروج عن السيطرة قد تؤهل كطبقة حماية مستقلة.

التحدي الهندسي يكمن في تحديد ما إذا كان هناك وقت كافٍ واستقلالية وموثوقية لاستجابة الإنسان.

عندما يصبح الخطأ البشري الحدث المبدئي

تعرف IEC 61511 الحدث المبدئي بأنه الانحراف الذي يدفع العملية نحو حالة خطرة. غالبًا ما يفي الخطأ البشري بهذا التعريف.

يمكن لصمام تجاوز مفتوح بشكل غير صحيح، أو تجاوز صيانة غير مناسب، أو فشل في استعادة الأقفال بعد الاختبار أن تولد جميعها طلبات عملية على أنظمة الحماية.

في دراسات LOPA، تتلقى هذه الأفعال تردد حدث مبدئي (IEF). يعكس التردد المعين مدى تكرار حدوث خطأ بشري معين بشكل واقعي أثناء تشغيل المنشأة.

موثوقية الإنسان ليست ثابتة أبدًا

يتغير أداء المشغل تحت الضغط، والإرهاق، وسوء إدارة الإنذارات، أو ظروف عبء العمل العالي. بسبب هذا التغير، تطبق دراسات السلامة افتراضات محافظة على موثوقية الإنسان.

قد تحمل الإجراءات البسيطة والمتمرنة جيدًا ترددات بدء منخفضة. تتلقى التدخلات المعقدة خلال ظروف التشغيل غير الطبيعية قيمًا أعلى بكثير.

الشكل 2. تؤثر الأفعال البشرية على كل من الأحداث المبدئية والاستجابات الوقائية ضمن دراسات السلامة.

تواجه المنشآت التي تشغل أنظمة تحكم موزعة قديمة غالبًا مخاطر إضافية متعلقة بالعامل البشري بسبب فيضان الإنذارات وتخطيطات واجهة المستخدم غير المتسقة. العديد من المنشآت التي تقوم بترقية المنصات القديمة تدمج الآن أنظمة تحكم موزعة حديثة DCS control systems لتحسين أولوية الإنذارات ورؤية المشغل.

هل يمكن اعتماد المشغلين كطبقات وقائية مستقلة؟

قد يكون التدخل اليدوي مؤهلاً كطبقة وقائية مستقلة فقط تحت شروط صارمة. يجب أن تظل الاستجابة مستقلة عن السبب المبدئي، وتحدث ضمن وقت السلامة المتاح للعملية، وتتبع إجراءات تشغيل معتمدة.

تحدد معايير مثل ISA TR84 وإرشادات CCPS عادةً حدًا ائتمانيًا يدويًا للطبقات الوقائية المستقلة لأن أداء الإنسان بطبيعته غير متسق. في العديد من المنشآت، يظل الحد الأقصى لعامل تقليل المخاطر المقبول لاستجابة المشغل 10.

وقت السلامة في العملية يحدد الجدوى

يحدد وقت السلامة المتاح ما إذا كان تدخل المشغل واقعيًا. إذا كان لدى المشغلين عدة دقائق للرد على انحراف في العملية، فقد يظل الاستجابة اليدوية مقبولة.

إذا وصلت العملية إلى ظروف غير آمنة خلال ثوانٍ، يصبح الأتمتة أمرًا إلزاميًا. لا يمكن لأي برنامج تدريب واقعي أن يضمن باستمرار نجاح التدخل اليدوي خلال نوافذ استجابة قصيرة جدًا.

تفسر هذه الفروق سبب اعتماد أنظمة التوربينات عالية السرعة، وتطبيقات إدارة الموقد، وحماية الضواغط بشكل متزايد على منصات أمان مخصصة بدلاً من التدخل الإجرائي فقط.

أفعال الإيقاف اليدوي داخل حدود وظيفة الأمان

يخطئ العديد من المهندسين في تصنيف أفعال الإيقاف اليدوي كأحداث مبدئية. في الواقع، غالبًا ما يشكل تفعيل الإيقاف الطارئ المتعمد جزءًا من وظيفة الأمان نفسها.

تنص المواصفة IEC 61511 بوضوح على أنه عندما يبدأ الفعل اليدوي وظيفة أمان، فإن كل عنصر داعم ينتمي إلى حدود وظيفة الأمان. يشمل ذلك أزرار الضغط، الأسلاك، محولات المنطق، إجراءات المشغل، ومتطلبات التدريب.

افترض زيادة ضغط المفاعل تُكتشف قبل الوصول إلى عتبة الإيقاف التلقائي. قد يلاحظ المشغل تسربًا غير طبيعي ويفعل الإيقاف يدويًا قبل تفاقم الوضع.

في هذا الوضع، لا يسبب المشغل الخطر. بل يقلل الفعل من المخاطر بنشاط، ولذلك ينتمي إلى تصميم وظيفة الأمان.

الشكل 3. غالبًا ما تعمل قدرة الإيقاف اليدوي كجزء من وظيفة الأمان المؤتمتة الشاملة.

تستخدم المنشآت التي تعتمد على وحدات تحكم أمان متكاملة مثل أنظمة أمان Triconex غالبًا مسارات إيقاف تشغيل مخصصة ومثبتة صلبًا لتقليل الاعتماد على طبقات التحكم في العمليات القياسية.

ربط الأفعال البشرية بحسابات LOPA

تحليل LOPA يحول السيناريوهات التشغيلية إلى علاقات مخاطر رقمية. تحدد ترددات الأخطاء البشرية، وأداء طبقات الحماية المستقلة (IPL)، وترددات الأحداث المستهدفة معًا سلامة وظيفة الأمان المطلوبة.

في المشاريع العملية، غالبًا ما تحدد أخطاء المشغل مدى تكرار حدوث طلب الحماية. ثم توفر أنظمة الأمان تقليل المخاطر اللازم لتحقيق ترددات أحداث مقبولة ومتحملة.

الشكل 4. تؤثر الأفعال البشرية على معدلات الطلب المبدئية ومستويات سلامة وظائف الأمان المطلوبة.

الهندسة الواقعية داخل المنشآت التشغيلية

نادراً ما تفشل دراسات السلامة الواقعية بسبب الرياضيات فقط. تفشل عندما تصبح الافتراضات حول أداء المشغل غير واقعية.

يُبالغ المهندسون أحيانًا في تقدير جودة استجابة الإنذار دون مراعاة عبء العمل، أو الأحداث المتزامنة، أو تأخيرات الاتصال أثناء ظروف الاضطراب. قد ينهار IPL النظري عمليًا إذا أصبح بيئة غرفة التحكم مثقلة.

أصبح هذا الأمر أكثر وضوحًا مع دفع المصانع لمعدلات إنتاج أعلى مع نماذج توظيف أقل.

السلامة الوظيفية أصبحت تركز بشكل متزايد على الإنسان

ستركز المرحلة التالية من تطوير السلامة الوظيفية بشكل كبير على التفاعل بين الإنسان والآلة بدلاً من الأجهزة فقط. تؤثر ترشيد الإنذارات، وتصميم واجهة المستخدم المريح، ودعم قرار المشغل الآن على أداء السلامة بقدر تأثير المستشعرات وحلول المنطق.

تدمج هياكل SIS الحديثة بالفعل التشخيص التنبؤي، والتحكم في تأجيل الإنذارات، وأنظمة إرشاد المشغل. ومع ذلك، لا يزال المشغلون ذوو الخبرة يقدمون حكمًا لا يمكن للأتمتة تكراره بالكامل أثناء ظروف العمليات غير المؤكدة.

الاتجاه الصناعي واضح: تتولى الأتمتة السرعة والاتساق، بينما يوفر المشغلون التفكير التكيفي أثناء الأحداث غير الطبيعية.

رأي المؤلف

لا تزال العديد من دراسات SIL تقلل من تعقيد السلوك البشري أثناء ظروف التشغيل غير الطبيعية. قد يؤدي تعيين افتراضات استجابة متفائلة للمشغل إلى تقليل تكلفة المشروع في البداية، لكنه يُدخل مخاطر تشغيلية خفية.

يجب على المنشآت التي تسعى إلى موثوقية أعلى أن تحتفظ بالتدخل اليدوي للسيناريوهات ذات الاستجابة الطويلة والعمليات ذات الطلب المنخفض. تتطلب العمليات ذات العواقب العالية إجراء حماية تلقائية مدعومة بإجراءات مشغل منضبطة، وليس الاعتماد عليها.

تجمع أقوى استراتيجيات السلامة بين الأتمتة، وفلسفة تشغيل واضحة، وإدارة إنذارات واقعية، وتطوير مستمر لكفاءة المشغل.

أوليفر جرانت | محلل سلامة وظيفية أول

يتمتع أوليفر جرانت بخبرة تزيد عن 14 عامًا في هندسة سلامة العمليات، والتحقق من SIL، وتكامل أنظمة الإيقاف. تشمل خلفيته مشاريع دورة حياة السلامة التي تتضمن منصات Honeywell وYokogawa وEmerson DeltaV وHIMA وRockwell Automation عبر مرافق التكرير والغاز الطبيعي المسال وتوليد الطاقة.