إجراءات وتدخلات المشغل في أنظمة السلامة الوظيفية

العنصر البشري لا يزال يشكل سلامة العمليات

تستمر أنظمة الأتمتة في التطور عبر المصافي، محطات الطاقة، الوحدات الكيميائية، والمنشآت البحرية. ومع ذلك، يظل المشغلون ذوو الخبرة أحد أكثر المتغيرات تأثيرًا في سلامة المنشأة. قراراتهم يمكن أن توقف التصعيد قبل استجابة الأتمتة، أو تؤدي عن غير قصد إلى ظروف عملية خطرة.

لم تعد هندسة السلامة الوظيفية الحديثة تعامل التفاعل البشري كاعتبار ثانوي. الآن تعرف المعايير الدولية إجراءات المشغل كمساهمات قابلة للقياس ضمن تحقق SIL، حسابات LOPA، وإدارة دورة حياة السلامة.

الشكل 1. تحدد علاقات توقيت السلامة ما إذا كانت استجابة المشغل يمكن أن تمنع التصعيد بفعالية.

لماذا تهم إجراءات المشغل في تقييمات SIL

تفرق دراسات السلامة الوظيفية بين إجراءات المشغل التي تخلق ظروفًا خطرة والتدخلات التي تمنع التصعيد. هذا التمييز يؤثر مباشرة على حسابات تقليل المخاطر والأهداف المطلوبة لمستوى سلامة الوظيفة (SIL).

من الناحية العملية، قد يبدأ مشغل غرفة التحكم انحرافًا من خلال تسلسل صمامات غير صحيح، تفعيل التجاوز، أو استجابة متأخرة. وعلى العكس، قد يعمل نفس المشغل كحاجز حماية من خلال الاستجابة للإنذارات أو بدء إجراءات الإيقاف يدويًا.

تبدو هذه السيناريوهات متشابهة من الناحية التشغيلية، لكنها تُعامل بشكل مختلف تمامًا داخل منهجيات IEC 61511 و CCPS LOPA.

إجراء المشغل مقابل تدخل المشغل

عادةً ما يكون إجراء المشغل متعمدًا وإجرائيًا. قد يشمل تشغيل المعدات، تأكيد الأذونات، أو تفعيل أمر الإيقاف الطارئ. عادةً ما يحدث التدخل بعد تطور حالة غير طبيعية.

على سبيل المثال، الضغط على زر ESD السلكي يصبح جزءًا من وظيفة السلامة نفسها. الاستجابة لإنذار درجة الحرارة العالية قبل تطور ظروف الخروج عن السيطرة قد تؤهل كطبقة حماية مستقلة.

التحدي الهندسي يكمن في تحديد ما إذا كان هناك وقت كافٍ، واستقلالية، وموثوقية لاستجابة الإنسان.

عندما يصبح الخطأ البشري الحدث المبدئي

تعرف IEC 61511 الحدث المبدئي على أنه الانحراف الذي يدفع العملية نحو حالة خطرة. غالبًا ما يفي الخطأ البشري بهذا التعريف.

يمكن لصمام تجاوز مفتوح بشكل غير صحيح، تجاوز صيانة غير مناسب، أو فشل في استعادة الأقفال بعد الاختبار أن تولد جميعها طلبات عملية على أنظمة الحماية.

في دراسات LOPA، تتلقى هذه الإجراءات تردد حدث مبدئي (IEF). يعكس التردد المعين مدى تكرار حدوث خطأ بشري معين بشكل واقعي أثناء تشغيل المنشأة.

موثوقية الإنسان ليست ثابتة أبدًا

يتغير أداء المشغل تحت الضغط، التعب، سوء إدارة الإنذارات، أو ظروف عبء العمل العالي. بسبب هذا التغير، تطبق دراسات السلامة افتراضات محافظة على موثوقية الإنسان.

قد تحمل الإجراءات البسيطة والمتمرنة جيدًا ترددات بدء منخفضة. تتلقى التدخلات المعقدة خلال ظروف التشغيل غير الطبيعية قيمًا أعلى بكثير.

الشكل 2. تؤثر الإجراءات البشرية على كل من الأحداث المبدئية والاستجابات الوقائية ضمن دراسات السلامة.

تواجه المنشآت التي تشغل أنظمة تحكم موزعة قديمة غالبًا مخاطر إضافية متعلقة بالعامل البشري بسبب فيضان الإنذارات وتخطيطات واجهة المستخدم غير المتسقة. العديد من المنشآت التي تقوم بترقية المنصات القديمة تدمج الآن أنظمة التحكم الموزع الحديثة لتحسين أولوية الإنذارات ورؤية المشغل.

هل يمكن اعتماد المشغلين كطبقات وقائية مستقلة؟

قد يكون التدخل اليدوي مؤهلاً كطبقة وقائية مستقلة فقط تحت شروط صارمة. يجب أن تظل الاستجابة مستقلة عن السبب المبدئي، وتحدث ضمن وقت سلامة العملية المتاح، وتتبع إجراءات تشغيل معتمدة.

تحدد المعايير مثل ISA TR84 وإرشادات CCPS عادةً حدًا ائتمانيًا يدويًا للطبقات الوقائية المستقلة لأن أداء الإنسان بطبيعته غير متسق. في العديد من المنشآت، يظل الحد الأقصى لعامل تقليل المخاطر المقبول لاستجابة المشغل 10.

وقت سلامة العملية يحدد الجدوى

الوقت المتاح لسلامة العملية يحدد ما إذا كان تدخل المشغل واقعيًا. إذا كان لدى المشغلين عدة دقائق للرد على انحراف في العملية، قد يظل الاستجابة اليدوية مقبولة.

إذا وصلت العملية إلى ظروف غير آمنة خلال ثوانٍ، يصبح الأتمتة أمرًا إلزاميًا. لا يمكن لأي برنامج تدريب واقعي أن يضمن باستمرار نجاح التدخل اليدوي خلال نوافذ استجابة قصيرة جدًا.

توضح هذه التفرقة سبب اعتماد أنظمة التوربينات عالية السرعة، تطبيقات إدارة الموقد، وحماية الضواغط بشكل متزايد على منصات أمان مخصصة بدلاً من التدخل الإجرائي فقط.

أفعال الإيقاف اليدوي داخل حدود وظيفة الأمان

يخطئ العديد من المهندسين في تصنيف أفعال الإيقاف اليدوي كأحداث مبدئية. في الواقع، غالبًا ما يشكل تفعيل الإيقاف الطارئ المتعمد جزءًا من وظيفة الأمان نفسها.

تنص المواصفة IEC 61511 بوضوح على أنه عندما يبدأ الفعل اليدوي وظيفة أمان، فإن كل عنصر داعم ينتمي إلى حدود وظيفة الأمان. يشمل ذلك أزرار الضغط، الأسلاك، محولات المنطق، إجراءات المشغل، ومتطلبات التدريب.

اعتبر زيادة ضغط المفاعل التي يتم اكتشافها قبل الوصول إلى عتبة الإيقاف التلقائي. قد يتعرف المشغل على تسرب غير طبيعي ويفعل الإيقاف يدويًا قبل حدوث التصعيد.

في هذا الوضع، لا يخلق المشغل الخطر. الفعل يقلل المخاطر بنشاط ولذلك ينتمي إلى تصميم وظيفة الأمان.

الشكل 3. قدرة الإيقاف اليدوي غالبًا ما تعمل كجزء من وظيفة الأمان المؤتمتة الشاملة.

تستخدم المنشآت التي تعتمد على وحدات تحكم أمان متكاملة مثل أنظمة أمان Triconex غالبًا مسارات إيقاف تشغيل مخصصة ومثبتة صلبًا لتقليل الاعتماد على طبقات التحكم في العمليات القياسية.

ربط الأفعال البشرية بحسابات LOPA

تحليل LOPA يحول السيناريوهات التشغيلية إلى علاقات مخاطر رقمية. تحدد ترددات الأخطاء البشرية، أداء طبقات الحماية المستقلة (IPL)، وترددات الأحداث المستهدفة معًا سلامة وظيفة الأمان المطلوبة.

في المشاريع العملية، غالبًا ما تحدد أخطاء المشغل مدى تكرار حدوث الطلب الوقائي. ثم توفر أنظمة الأمان تقليل المخاطر اللازم لتحقيق ترددات أحداث مقبولة ومتحملة.

الشكل 4. تؤثر الأفعال البشرية على معدلات الطلب المبدئية ومستويات سلامة وظيفة الأمان المطلوبة.

الهندسة الواقعية داخل المنشآت التشغيلية

نادراً ما تفشل دراسات السلامة الواقعية بسبب الرياضيات فقط. تفشل عندما تصبح الافتراضات حول أداء المشغل غير واقعية.

يُبالغ المهندسون أحيانًا في تقدير جودة استجابة الإنذارات دون مراعاة عبء العمل، أو الأحداث المتزامنة، أو تأخيرات الاتصال أثناء ظروف الاضطراب. قد ينهار IPL النظري عمليًا إذا أصبح بيئة غرفة التحكم محملة بشكل زائد.

أصبح هذا الأمر أكثر وضوحًا مع دفع المصانع لزيادة معدلات الإنتاج مع نماذج توظيف أقل.

السلامة الوظيفية أصبحت أكثر تركيزًا على الإنسان

ستركز المرحلة التالية من تطوير السلامة الوظيفية بشكل كبير على التفاعل بين الإنسان والآلة بدلاً من الأجهزة فقط. تؤثر ترشيد الإنذارات، وتصميم واجهة المستخدم المريح، ودعم قرار المشغل الآن على أداء السلامة بقدر تأثير المستشعرات وحلول المنطق.

تدمج هياكل SIS الحديثة بالفعل التشخيص التنبؤي، والتحكم في تأجيل الإنذارات، وأنظمة إرشاد المشغل. ومع ذلك، لا يزال المشغلون ذوو الخبرة يقدمون حكمًا لا يمكن للأتمتة تكراره بالكامل أثناء ظروف العملية غير المؤكدة.

الاتجاه الصناعي واضح: تتولى الأتمتة السرعة والاتساق، بينما يوفر المشغلون التفكير التكيفي أثناء الأحداث غير الطبيعية.

رأي المؤلف

لا تزال العديد من دراسات SIL تقلل من تعقيد السلوك البشري أثناء ظروف التشغيل غير الطبيعية. قد يؤدي تعيين افتراضات استجابة متفائلة للمشغل إلى تقليل تكلفة المشروع في البداية، لكنه يُدخل مخاطر تشغيلية خفية.

يجب على المنشآت التي تسعى إلى موثوقية أعلى أن تحتفظ بالتدخل اليدوي للحالات التي تتطلب استجابة طويلة والعمليات ذات الطلب المنخفض. تتطلب العمليات ذات العواقب العالية إجراء حماية تلقائية مدعومة بإجراءات مشغل منظمة، وليس الاعتماد عليها.

تجمع أقوى استراتيجيات السلامة بين الأتمتة، وفلسفة تشغيل واضحة، وإدارة إنذارات واقعية، وتطوير مستمر لكفاءة المشغل.

أوليفر غرانت | محلل أول للسلامة الوظيفية

يتمتع أوليفر غرانت بخبرة تزيد عن 14 عامًا في هندسة سلامة العمليات، والتحقق من SIL، وتكامل أنظمة الإيقاف. تشمل خلفيته مشاريع دورة حياة السلامة التي تتضمن منصات Honeywell وYokogawa وEmerson DeltaV وHIMA وRockwell Automation عبر مرافق التكرير والغاز الطبيعي المسال وتوليد الطاقة.