إجراءات المشغّل والتدخلات في أنظمة السلامة الوظيفية

لا يزال العنصر البشري يشكّل سلامة العمليات

تواصل أنظمة الأتمتة تطورها في المصافي ومحطات الطاقة والوحدات الكيميائية والمنشآت البحرية. ومع ذلك، يظل المشغّلون ذوو الخبرة أحد أكثر المتغيرات تأثيرًا في سلامة المنشآت. فقد توقف قراراتهم التصعيد قبل أن تتفاعل الأتمتة، أو تتسبب عن غير قصد في إطلاق ظروف تشغيل خطرة.

لم تعد هندسة السلامة الوظيفية الحديثة تتعامل مع التفاعل البشري باعتباره اعتبارًا ثانويًا. إذ تحدد المعايير الدولية الآن إجراءات المشغّلين بوصفها عوامل قابلة للقياس ضمن التحقق من SIL، وحسابات LOPA، وإدارة دورة حياة السلامة.

الشكل 1. تحدد العلاقات الزمنية للسلامة ما إذا كانت استجابة المشغّل قادرةً على منع التصعيد بفعالية.

لماذا تهم إجراءات المشغّلين في تقييمات SIL

تميّز دراسات السلامة الوظيفية بين إجراءات المشغّلين التي تُنشئ ظروفًا خطرة والتدخلات التي تمنع التصعيد. ويؤثر هذا التمييز مباشرةً في حسابات خفض المخاطر وأهداف مستوى سلامة العملية (SIL) المطلوبة.

من الناحية العملية، قد يتسبب مشغّل غرفة التحكم في بدء انحراف من خلال التتابع غير الصحيح للصمامات، أو تفعيل التجاوز، أو التأخر في الاستجابة. وعلى العكس، قد يعمل المشغّل نفسه أيضًا كحاجز وقائي من خلال الاستجابة للإنذارات أو بدء إجراءات الإيقاف يدويًا.

تبدو هذه السيناريوهات متشابهة من الناحية التشغيلية، لكنها تُعامَل بطرق مختلفة جدًا ضمن منهجيات IEC 61511 وCCPS LOPA.

إجراء المشغّل مقابل تدخل المشغّل

عادةً ما يكون إجراء المشغّل مقصودًا وإجرائيًا. وقد يتضمن تشغيل المعدات، أو تأكيد شروط السماح، أو تفعيل أمر إيقاف الطوارئ. أما التدخل فعادةً ما يحدث بعد تطور حالة غير طبيعية.

على سبيل المثال، يصبح الضغط على زر إيقاف الطوارئ (ESD) الموصّل سلكيًا جزءًا من وظيفة السلامة نفسها. وقد تُعدّ الاستجابة لإنذار ارتفاع درجة الحرارة قبل تطور ظروف الانفلات طبقةَ حماية مستقلة.

يكمن التحدي الهندسي في تحديد ما إذا كان هناك وقت كافٍ واستقلالية وموثوقية كافية للاستجابة البشرية.

عندما يصبح الخطأ البشري الحدثَ المُطلِق

تعرّف IEC 61511 الحدث البادئ بأنه الانحراف الذي يدفع العملية نحو حالة خطرة. وكثيرًا ما يستوفي الخطأ البشري هذا التعريف.

يمكن أن يؤدي فتح صمام تجاوز بطريقة غير صحيحة، أو تفعيل تجاوز صيانة بشكل غير سليم، أو عدم إعادة تفعيل أنظمة التعشيق بعد الاختبار، إلى توليد طلبات على أنظمة الحماية في العملية.

في دراسات تحليل طبقات الحماية (LOPA)، تُسنَد إلى هذه الإجراءات تكراريةُ حدثٍ بادئ (IEF). وتعكس التكرارية المعيّنة مدى واقعية حدوث خطأ بشري محدد أثناء تشغيل المنشأة.

موثوقية البشر ليست ثابتة أبدًا

يتغير أداء المشغّل تحت تأثير الضغط أو الإرهاق أو سوء إدارة الإنذارات أو ارتفاع عبء العمل. ولهذا التباين، تطبق دراسات السلامة افتراضات تحفظية بشأن موثوقية البشر.

قد تكون للإجراءات البسيطة والمُتدرَّب عليها جيدًا تكرارات بدء منخفضة. أما التدخلات المعقدة أثناء ظروف التشغيل غير الطبيعية فتُسنَد إليها قيم أعلى بكثير.

الشكل 2. تؤثر الإجراءات البشرية في كل من الأحداث البادئة والاستجابات الوقائية ضمن دراسات السلامة.

غالبًا ما تواجه المنشآت التي تشغّل أنظمة تحكم موزعة قديمة مخاطر إضافية مرتبطة بالعوامل البشرية بسبب إغراق الإنذارات وعدم اتساق تخطيطات واجهة الإنسان والآلة (HMI). وتدمج العديد من المنشآت التي تُحدّث المنصات القديمة الآن أنظمة تحكم موزعة (DCS) حديثة لتحسين ترتيب أولويات الإنذارات وتعزيز وضوح المعلومات أمام المشغّلين.

هل يمكن احتساب المشغّلين كطبقات حماية مستقلة؟

قد يُعتد بالتدخل اليدوي باعتباره طبقة حماية مستقلة (IPL) فقط في ظل شروط صارمة. إذ يجب أن تظل الاستجابة مستقلة عن السبب البادئ، وأن تحدث خلال زمن السلامة المتاح للعملية، وأن تتبع إجراءات تشغيل مُعتمدة.

تحد المعايير مثل ISA TR84 وإرشادات CCPS عادةً من احتساب طبقة الحماية المستقلة (IPL) اليدوية، لأن أداء البشر غير متسق بطبيعته. وفي العديد من المنشآت، يظل أقصى عامل مقبول لخفض المخاطر عند استجابة المشغّل هو 10.

زمن السلامة للعملية يحدد الجدوى

يحدد زمن السلامة المتاح للعملية ما إذا كان تدخل المشغّل واقعيًا. فإذا كان لدى المشغّلين عدة دقائق للاستجابة لانحراف في العملية، فقد تظل الاستجابة اليدوية مقبولة.

إذا وصلت العملية إلى ظروف غير آمنة خلال ثوانٍ، تصبح الأتمتة إلزامية. ولا يمكن لأي برنامج تدريب واقعي أن يضمن باستمرار نجاح التدخل اليدوي خلال نوافذ الاستجابة القصيرة للغاية.

يوضح هذا التمييز سبب اعتماد أنظمة التوربينات عالية السرعة، وتطبيقات إدارة الحارق، وحماية الضواغط بصورة متزايدة على منصات سلامة مخصصة بدلًا من التدخل الإجرائي وحده.

إجراءات الإيقاف اليدوي داخل حدود SIF

يُصنّف العديد من المهندسين إجراءات الإيقاف اليدوي تصنيفًا خاطئًا باعتبارها أحداثًا ابتدائية. لكن في الواقع، غالبًا ما يشكّل التفعيل المتعمد للإيقاف الطارئ جزءًا من وظيفة SIF نفسها.

تنص المواصفة IEC 61511 بوضوح على أنه عندما يبدأ إجراء يدوي وظيفةَ سلامة، فإن كل عنصر داعم يندرج ضمن حدود SIF. ويشمل ذلك أزرار الضغط، والأسلاك، ووحدات حل المنطق، وإجراءات المشغّلين، ومتطلبات التدريب.

لنفترض اكتشاف ارتفاع في ضغط المفاعل قبل بلوغ عتبة الفصل التلقائي. قد يتعرف المشغّل على تسرب غير طبيعي ويفعّل الإيقاف يدويًا قبل تصاعد الوضع.

في هذه الحالة، لا يتسبب المشغّل في الخطر. بل يقلل الإجراء المخاطر بنشاط، ولذلك يندرج ضمن تصميم وظيفة السلامة.

الشكل 3. غالبًا ما تعمل إمكانية الإيقاف اليدوي كجزء من الوظيفة الآلية للسلامة الشاملة.

غالبًا ما تطبق المنشآت التي تستخدم وحدات تحكم متكاملة للسلامة، مثل أنظمة السلامة Triconex، مسارات إيقاف مخصصة موصّلة توصيلًا سلكيًا مباشرًا لتقليل الاعتماد على طبقات التحكم القياسية في العمليات.

ربط الإجراءات البشرية بحسابات LOPA

يحوّل تحليل LOPA السيناريوهات التشغيلية إلى علاقات مخاطر رقمية. وتحدد تكرارات الأخطاء البشرية، وأداء طبقات الحماية المستقلة (IPL)، وتكرارات الأحداث المستهدفة مجتمعةً مستوى السلامة المطلوب للوظيفة الآلية للسلامة (SIF).

في المشاريع العملية، غالبًا ما تحدد أخطاء المشغّلين مدى تكرار حدوث طلب وقائي. وتوفر أنظمة السلامة بعد ذلك خفض المخاطر اللازم لتحقيق تكرارات أحداث مقبولة وقابلة للتحمل.

الشكل 4. تؤثر الإجراءات البشرية في معدلات الطلب الابتدائي ومستويات سلامة الوظائف الآلية المطلوبة.

الواقع الهندسي داخل المنشآت العاملة

نادراً ما تفشل دراسات السلامة الواقعية بسبب الرياضيات وحدها. بل تفشل عندما تصبح الافتراضات المتعلقة بأداء المشغلين غير واقعية.

يبالغ المهندسون أحيانًا في تقدير جودة الاستجابة للإنذارات من دون مراعاة عبء العمل، أو الأحداث المتزامنة، أو تأخيرات الاتصال أثناء ظروف الاضطراب. وقد تنهار طبقة الحماية المستقلة IPL الصحيحة نظريًا من الناحية التشغيلية إذا أصبحت بيئة غرفة التحكم مثقلة بالأعباء.

أصبحت هذه المسألة أكثر وضوحًا مع سعي المصانع إلى رفع معدلات الإنتاج مع نماذج تشغيل تعتمد على فرق عمل أقل عددًا.

السلامة الوظيفية تتمحور بصورة متزايدة حول الإنسان

سيركز الطور التالي من تطوير السلامة الوظيفية بدرجة كبيرة على التفاعل بين الإنسان والآلة، لا على الأجهزة وحدها. وتؤثر الآن مواءمة الإنذارات، وتصميم واجهات HMI المراعي للعوامل البشرية، ودعم قرارات المشغلين في أداء السلامة بقدر تأثير المستشعرات وحلالات المنطق.

تدمج بنيات SIS الحديثة بالفعل التشخيصات التنبؤية، والتحكم في حجب الإنذارات، وأنظمة إرشاد المشغلين. ومع ذلك، لا يزال المشغلون ذوو الخبرة يقدمون حكمًا لا تستطيع الأتمتة محاكاته بالكامل أثناء ظروف العمليات غير المؤكدة.

الاتجاه في القطاع واضح: تتولى الأتمتة السرعة والاتساق، بينما يوفر المشغلون التفكير التكيفي أثناء الأحداث غير الطبيعية.

رأي الكاتب

لا تزال العديد من دراسات SIL تقلل من تعقيد السلوك البشري أثناء ظروف التشغيل غير الطبيعية. وقد يؤدي افتراض استجابات متفائلة من المشغلين إلى خفض تكلفة المشروع في البداية، لكنه يُدخل مخاطر تشغيلية خفية.

ينبغي للمنشآت الساعية إلى تحقيق موثوقية أعلى أن تحصر التدخل اليدوي في السيناريوهات ذات زمن الاستجابة الطويل والعمليات منخفضة الطلب. وتتطلب العمليات ذات العواقب الجسيمة إجراءً وقائيًا تلقائيًا تدعمه إجراءات تشغيل منضبطة، لا أن تعتمد عليها.

تجمع أقوى استراتيجيات السلامة بين الأتمتة، وفلسفة تشغيل واضحة، وإدارة واقعية للإنذارات، وتطوير مستمر لكفاءة المشغلين.

أوليفر غرانت | محلل أول لسلامة الوظائف

يتمتع أوليفر غرانت بخبرة تزيد على 14 عامًا في هندسة سلامة العمليات، والتحقق من SIL، وتكامل أنظمة الإيقاف. وتشمل خبرته مشاريع دورة حياة السلامة التي تتضمن منصات Honeywell وYokogawa وEmerson DeltaV وHIMA وRockwell Automation في منشآت التكرير والغاز الطبيعي المسال وتوليد الطاقة.