Действия и намеси на оператора във функционалните системи за безопасност

Човешкият фактор продължава да определя безопасността на технологичните процеси

Системите за автоматизация продължават да се развиват в рафинерии, електроцентрали, химически производства и офшорни съоръжения. Въпреки това опитните оператори остават сред най-влиятелните фактори за безопасността на предприятието. Техните решения могат да спрат ескалацията, преди автоматизацията да реагира, или непреднамерено да предизвикат опасни условия в процеса.

Съвременното инженерство на функционалната безопасност вече не разглежда човешкото взаимодействие като второстепенен фактор. Международните стандарти вече определят действията на оператора като измерими фактори при проверката на SIL, изчисленията по LOPA и управлението на жизнения цикъл на безопасността.

Фигура 1. Времевите зависимости за безопасност определят дали реакцията на оператора може ефективно да предотврати ескалация.

Защо действията на оператора са важни при оценките на SIL

Проучванията на функционалната безопасност разграничават действията на оператора, които създават опасни условия, от намесите, които предотвратяват ескалацията. Това разграничение пряко влияе върху изчисленията за намаляване на риска и необходимите целеви нива SIL.

На практика операторът в пулта за управление може да предизвика отклонение чрез неправилна последователност на превключване на клапани, активиране на байпас или забавена реакция. Същевременно същият оператор може да служи и като защитна бариера, като реагира на аларми или ръчно задейства процедури за изключване.

Тези сценарии изглеждат сходни от оперативна гледна точка, но се разглеждат по съвсем различен начин в методологиите IEC 61511 и CCPS LOPA.

Действие на оператора спрямо намеса на оператора

Действието на оператора обикновено е преднамерено и процедурно. То може да включва стартиране на оборудване, потвърждаване на разрешаващи условия или активиране на команда за аварийно изключване. Намесата обикновено се случва след възникване на ненормално състояние.

Например натискането на хардуерно свързан ESD бутон става част от самата функция за безопасност. Реакцията на аларма за висока температура, преди да се развият условия за неконтролирано протичане на реакцията, може да се квалифицира като независим защитен слой.

Инженерното предизвикателство е да се определи дали са налице достатъчно време, независимост и надеждност за реакция от страна на човека.

Когато човешката грешка се превърне в инициращо събитие

IEC 61511 определя първоначалното събитие като отклонението, което насочва процеса към опасно състояние. Човешката грешка често отговаря на това определение.

Неправилно отворен байпасен клапан, неправилно зададено заобикаляне при поддръжка или невъзстановяване на блокировките след изпитване могат да породят сработвания на защитните системи в процеса.

В изследванията LOPA тези действия получават честота на първоначално събитие (IEF). Определената честота отразява колко често конкретна човешка грешка може реалистично да възникне по време на експлоатацията на предприятието.

Човешката надеждност никога не е постоянна

Представянето на оператора се променя при стрес, умора, лошо управление на алармите или високо работно натоварване. Поради тази променливост изследванията на безопасността прилагат консервативни допускания за човешката надеждност.

Простите и добре отработени процедури могат да бъдат свързани с ниска честота на първоначални събития. Сложните намеси при ненормални работни условия получават значително по-високи стойности.

Фигура 2. Човешките действия влияят както върху първоначалните събития, така и върху защитните реакции в рамките на изследванията на безопасността.

Предприятията, които използват по-стари разпределени системи за управление, често се сблъскват с допълнителни рискове, свързани с човешкия фактор, поради претоварване с аларми и непоследователни оформления на HMI. Много предприятия, които надграждат наследени платформи, вече интегрират съвременни DCS системи за управление, за да подобрят приоритизирането на алармите и видимостта за операторите.

Могат ли операторите да бъдат признати за независими защитни слоеве?

Ръчната намеса може да се квалифицира като IPL само при строги условия. Реакцията трябва да е независима от първопричината, да се осъществи в рамките на наличното време за безопасна реакция на процеса и да следва валидирани работни процедури.

Стандарти като ISA TR84 и насоките на CCPS обикновено ограничават признаването на ръчната IPL, тъй като човешкото представяне по своята същност е непостоянно. В много предприятия максимално приеманият фактор за намаляване на риска при реакция на оператора остава 10.

Времето за безопасна реакция на процеса определя осъществимостта

Наличното време за безопасна реакция на процеса определя дали намесата на оператора е реалистична. Ако операторите разполагат с няколко минути за реакция при отклонение в процеса, ръчната реакция може да остане приемлива.

Ако процесът достигне небезопасни условия в рамките на секунди, автоматизацията става задължителна. Никоя реалистична програма за обучение не може постоянно да гарантира успешно ръчно вмешателство при изключително кратки прозорци за реакция.

Това разграничение обяснява защо високоскоростните турбинни системи, приложенията за управление на горелки и защитата на компресори все повече разчитат на специализирани платформи за безопасност, а не само на намеса съгласно процедури.

Действия за ръчно изключване в границите на СФБ

Много инженери неправилно класифицират действията за ръчно изключване като иницииращи събития. В действителност умишленото задействане на аварийно изключване често е част от самата СФБ.

IEC 61511 ясно посочва, че когато ръчно действие задейства защитна функция, всеки поддържащ елемент принадлежи към границите на СФБ. Това включва бутони, окабеляване, логически решаващи устройства, операторски процедури и изисквания за обучение.

Да разгледаме повишаване на налягането в реактор, регистрирано преди достигане на прага за автоматично изключване. Операторът може да разпознае необичайно изтичане и ръчно да задейства изключването, преди да настъпи ескалация.

В тази ситуация операторът не създава опасността. Действието активно намалява риска и следователно принадлежи към проектното решение на защитната функция.

Фигура 3. Възможността за ръчно изключване често функционира като част от цялостната инструментална защитна функция.

Инсталациите, използващи интегрирани контролери за безопасност като системите за безопасност Triconex, често внедряват специално предназначени жични пътища за аварийно изключване, за да намалят зависимостта от стандартните слоеве за управление на процеса.

Свързване на човешките действия с изчисленията по LOPA

Анализът LOPA преобразува експлоатационните сценарии в числови зависимости на риска. Честотите на човешките грешки, характеристиките на независимите защитни слоеве и целевите честоти на събитията заедно определят необходимия интегритет на СФБ.

В реални проекти грешките на операторите често определят колко често възниква защитна заявка. След това системите за безопасност осигуряват необходимото намаляване на риска за постигане на приемливи допустими честоти на събитията.

Фигура 4. Човешките действия влияят върху честотата на възникване на защитни заявки и необходимите нива на интегритет на СФБ.

Инженерната реалност в работещи производствени инсталации

Проучванията на безопасността в реални условия рядко се провалят само заради математиката. Те се провалят, когато допусканията за представянето на операторите станат нереалистични.

Инженерите понякога надценяват качеството на реакцията при аларми, без да отчитат натоварването, едновременните събития или закъсненията в комуникацията по време на аварийни ситуации. Теоретично валиден IPL може да се окаже оперативно неефективен, ако средата в контролната зала бъде претоварена.

Този проблем стана по-видим, тъй като предприятията се стремят към по-високи производствени темпове с по-оптимизирани модели на персонал.

Функционалната безопасност все повече се фокусира върху човека

Следващият етап от развитието на функционалната безопасност ще се съсредоточи основно върху взаимодействието човек–машина, а не само върху хардуера. Рационализацията на алармите, ергономичният HMI дизайн и системите за подпомагане на операторските решения вече влияят върху ефективността на безопасността също толкова, колкото сензорите и логическите решаващи устройства.

Съвременните архитектури на SIS вече интегрират прогнозна диагностика, управление на временното скриване на аларми и системи за насочване на операторите. Опитните оператори обаче все още осигуряват преценка, която автоматизацията не може напълно да възпроизведе при несигурни условия на процеса.

Тенденцията в индустрията е ясна: автоматизацията осигурява бързина и последователност, а операторите предоставят адаптивна преценка при ненормални събития.

Мнение на автора

Много SIL проучвания все още подценяват сложността на човешкото поведение при ненормални експлоатационни условия. Оптимистичните допускания за реакцията на операторите може първоначално да намалят разходите по проекта, но създават скрит оперативен риск.

Съоръженията, стремящи се към по-висока надеждност, трябва да запазят ръчната намеса за сценарии с дълго време за реакция и операции с ниска честота на търсене. Процесите с високи последствия изискват автоматично защитно действие, подкрепено от дисциплинирани операторски процедури, а не зависещо от тях.

Най-силните стратегии за безопасност съчетават автоматизация, ясна експлоатационна философия, реалистично управление на алармите и непрекъснато развитие на компетентностите на операторите.

Оливър Грант | Старши анализатор по функционална безопасност

Оливър Грант има над 14 години опит в инженерингa на безопасността на процесите, верификацията на SIL и интеграцията на системи за аварийно изключване. Опитът му включва проекти по жизнения цикъл на безопасността с платформите Honeywell, Yokogawa, Emerson DeltaV, HIMA и Rockwell Automation в рафинерии, съоръжения за втечнен природен газ и електроцентрали.