Действия и интервенции на оператора в системи за функционална безопасност

Човешкият фактор все още оформя безопасността на процесите

Автоматизационните системи продължават да се развиват в рафинерии, електроцентрали, химически инсталации и офшорни съоръжения. Въпреки това опитните оператори остават една от най-влиятелните променливи за безопасността на съоръжението. Техните решения могат да спрат ескалацията преди автоматизацията да реагира или неволно да предизвикат опасни процесни условия.

Съвременното инженерство на функционалната безопасност вече не третира човешкото взаимодействие като второстепенно. Международните стандарти сега определят действията на операторите като измерими фактори в проверката на SIL, изчисленията на LOPA и управлението на жизнения цикъл на безопасността.

Фигура 1. Времевите отношения за безопасност определят дали реакцията на оператора може ефективно да предотврати ескалация.

Защо действията на операторите са важни при оценките на SIL

Изследванията по функционална безопасност правят разлика между действия на оператор, които създават опасни условия, и интервенции, които предотвратяват ескалация. Тази разлика пряко влияе върху изчисленията за намаляване на риска и изискваните цели за SIL.

На практика оператор в контролна зала може да предизвика отклонение чрез неправилна последователност на клапаните, активиране на заобикаляне или забавен отговор. Обратно, същият оператор може да служи и като защитна бариера, реагирайки на аларми или ръчно инициирайки процедури за спиране.

Тези сценарии изглеждат подобни от оперативна гледна точка, но се третират много различно в методологиите IEC 61511 и CCPS LOPA.

Действие на оператор срещу интервенция на оператор

Действието на оператор обикновено е умишлено и процедурно. То може да включва стартиране на оборудване, потвърждаване на разрешения или активиране на команда за аварийно спиране. Интервенцията обикновено се случва след възникване на необичайно състояние.

Например, натискането на твърдо свързан бутон за ESD става част от самата защитна функция. Реагирането на аларма за висока температура преди да се развият неконтролируеми условия може да се квалифицира като независим защитен слой.

Инженерното предизвикателство е да се определи дали съществува достатъчно време, независимост и надеждност за човешката реакция.

Когато човешката грешка става инициатор на събитието

IEC 61511 дефинира иницииращо събитие като отклонение, което придвижва процеса към опасно състояние. Човешката грешка често отговаря на това определение.

Неправилно отворен байпасен клапан, неправилно заобикаляне при поддръжка или неспособност за възстановяване на интерлоки след тестване могат всички да генерират процесни изисквания към защитните системи.

В LOPA изследвания тези действия получават честота на иницииращо събитие (IEF). Присвоената честота отразява колко често конкретна човешка грешка може реалистично да се случи по време на работа на завода.

Човешката надеждност никога не е постоянна

Изпълнението на оператора се променя под стрес, умора, лошо управление на алармите или при високо натоварване. Поради тази променливост, изследванията по безопасност прилагат консервативни предположения за човешката надеждност.

Прости и добре практикувани процедури могат да имат ниски честоти на иницииране. Сложните намеси при необичайни работни условия получават значително по-високи стойности.

Фигура 2. Човешките действия влияят както на иницииращите събития, така и на защитните реакции в рамките на изследванията по безопасност.

Заводите, работещи със стари разпределени системи за управление, често се сблъскват с допълнителни рискове, свързани с човешкия фактор, поради наводняване с аларми и непоследователни оформления на HMI. Много съоръжения, които обновяват наследствени платформи, сега интегрират модерни DCS системи за управление, за да подобрят приоритизирането на алармите и видимостта за оператора.

Могат ли операторите да бъдат признати като независими защитни слоеве?

Ръчната намеса може да се квалифицира като IPL само при строги условия. Реакцията трябва да остане независима от причината за иницииране, да се случи в наличното процесно времево резервиране и да следва валидирани оперативни процедури.

Стандарти като ISA TR84 и насоките на CCPS обикновено ограничават кредита за ръчни IPL, тъй като човешкото изпълнение е по своята същност непостоянно. В много съоръжения максималният приет фактор за намаляване на риска при реакция на оператор остава 10.

Процесното времево резервиране определя осъществимостта

Наличният процесен времеви резерв определя дали намесата на оператор е реалистична. Ако операторите имат няколко минути за реакция при отклонение в процеса, ръчната намеса може да остане приемлива.

Ако процесът достигне опасни условия за секунди, автоматизацията става задължителна. Няма реалистична програма за обучение, която да гарантира успешно ръчно вмешателство при изключително кратки времеви прозорци за реакция.

Това разграничение обяснява защо високоскоростните турбинни системи, приложенията за управление на горелки и защитата на компресори все повече разчитат на специализирани платформи за безопасност, а не само на процедурна намеса.

Действия за ръчно изключване в границата на SIF

Много инженери неправилно класифицират действията за ръчно изключване като иницииращи събития. Всъщност умишленото активиране на аварийно изключване често е част от самия SIF.

IEC 61511 ясно посочва, че когато ръчно действие инициира защитна функция, всеки поддържащ елемент принадлежи към границата на SIF. Това включва бутоните, окабеляването, логическите решаващи устройства, процедурите за оператори и изискванията за обучение.

Помислете за повишаване на налягането в реактора, открито преди достигане на автоматичния праг за изключване. Операторът може да разпознае необичайно изтичане и ръчно да активира изключването преди ескалация.

В тази ситуация операторът не създава опасността. Действието активно намалява риска и следователно принадлежи към дизайна на защитната функция.

Фигура 3. Възможността за ръчно изключване често функционира като част от цялостната защитна инструментална функция.

Обекти, използващи интегрирани контролери за безопасност като системи за безопасност Triconex, често прилагат специализирани твърдо свързани пътища за изключване, за да намалят зависимостта от стандартните слоеве за управление на процеса.

Свързване на човешките действия с изчисленията на LOPA

Анализът LOPA преобразува оперативните сценарии в числови рискови връзки. Честотите на човешки грешки, изпълнението на IPL и целевите честоти на събитията заедно определят необходимия интегритет на SIF.

В практическите проекти грешките на оператора често определят колко често възниква защитна заявка. След това системите за безопасност осигуряват необходимото намаляване на риска, за да се постигнат приемливи честоти на събития.

Фигура 4. Човешките действия влияят върху честотата на иницииране на заявки и необходимите нива на интегритет на SIF.

Инженерна реалност в работещи съоръжения

Реалните изследвания по безопасност рядко се провалят само заради математиката. Те се провалят, когато предположенията за представянето на операторите станат нереалистични.

Инженерите понякога надценяват качеството на реакцията на алармите, без да вземат предвид натоварването, едновременните събития или забавянията в комуникацията при нарушени условия. Теоретично валиден IPL може да се срине оперативно, ако средата в контролната зала стане претоварена.

Този проблем стана по-видим, тъй като заводите се стремят към по-високи производствени нива с по-ограничен персонал.

Функционалната безопасност става все по-човекоцентрична

Следващата фаза на развитие на функционалната безопасност ще се съсредоточи силно върху взаимодействието човек-машина, а не само върху хардуера. Рационализацията на алармите, ергономичният дизайн на HMI и подпомагането на решенията на операторите вече влияят на безопасността толкова, колкото и сензорите и логическите решаващи устройства.

Модерните архитектури на SIS вече интегрират предсказваща диагностика, контрол на отлагането на аларми и системи за насочване на операторите. Въпреки това, опитните оператори все още предоставят преценка, която автоматизацията не може напълно да възпроизведе при несигурни процесни условия.

Тенденцията в индустрията е ясна: автоматизацията осигурява скорост и последователност, докато операторите предоставят адаптивно разсъждение при аномални събития.

Мнение на автора

Много SIL изследвания все още подценяват сложността на човешкото поведение при аномални експлоатационни условия. Оптимистичните предположения за реакцията на операторите може първоначално да намалят разходите по проекта, но въвеждат скрит оперативен риск.

Обектите, стремящи се към по-висока надеждност, трябва да запазят ръчната намеса за сценарии с дълга реакция и операции с ниско търсене. Процесите с високи последици изискват автоматично защитно действие, подкрепено от дисциплинирани процедури за операторите, а не зависещо от тях.

Най-силните стратегии за безопасност съчетават автоматизация, ясна експлоатационна философия, реалистично управление на алармите и непрекъснато развитие на компетенциите на операторите.

Оливър Грант | Старши анализатор по функционална безопасност

Оливър Грант има над 14 години опит в инженерството по безопасност на процесите, верификация на SIL и интеграция на системи за спиране. Неговият опит включва проекти за жизнения цикъл на безопасността, свързани с платформите Honeywell, Yokogawa, Emerson DeltaV, HIMA и Rockwell Automation в рафинерии, LNG и електроцентрали.