Човешкият фактор продължава да определя безопасността на процесите

Системите за автоматизация продължават да се развиват в нефтопреработвателни заводи, електроцентрали, химически производства и офшорни съоръжения. Въпреки това опитните оператори остават една от най-влиятелните променливи по отношение на безопасността на инсталациите. Техните решения могат да спрат ескалацията, преди автоматизацията да реагира, или неволно да предизвикат опасни условия в процеса.

Съвременната инженерна практика в областта на функционалната безопасност вече не разглежда човешкото взаимодействие като второстепенен фактор. Международните стандарти вече определят действията на оператора като измерими фактори при верификацията на SIL, изчисленията по LOPA и управлението на жизнения цикъл на безопасността.

Фигура 1. Времевите зависимости на безопасността определят дали реакцията на оператора може ефективно да предотврати ескалация.

Защо действията на оператора са важни при оценките на SIL

Проучванията на функционалната безопасност разграничават действията на оператора, които създават опасни условия, от намесите, които предотвратяват ескалацията. Това разграничение пряко влияе върху изчисленията за намаляване на риска и изискваните целеви нива на SIL.

На практика операторът в пулта за управление може да предизвика отклонение чрез неправилна последователност на превключване на клапани, активиране на байпас или забавена реакция. Същевременно същият оператор може да служи и като защитна бариера, като реагира на аларми или ръчно задейства процедури за изключване.

Тези сценарии изглеждат сходни от оперативна гледна точка, но в методологиите IEC 61511 и CCPS LOPA се третират по съвсем различен начин.

Действие на оператора спрямо намеса на оператора

Действието на оператора обикновено е преднамерено и процедурно. То може да включва стартиране на оборудване, потвърждаване на разрешаващи условия или активиране на команда за аварийно изключване. Намесата обикновено се извършва след възникването на ненормално състояние.

Например натискането на жичен ESD бутон става част от самата защитна функция. Реакцията на аларма за висока температура, преди да се развият условия за неконтролируемо протичане на процеса, може да се квалифицира като независим защитен слой.

Инженерното предизвикателство се състои в това да се определи дали са налице достатъчно време, независимост и надеждност за човешка реакция.

Когато човешката грешка се превърне в инициращо събитие

IEC 61511 определя иницииращото събитие като отклонението, което насочва процеса към опасно състояние. Човешката грешка често отговаря на това определение.

Неправилно отворен байпасен клапан, неправилно задействано блокиране при техническа поддръжка или невъзстановяване на блокировките след изпитване могат да създадат потребности от задействане на защитните системи в процеса.

При изследванията по LOPA на тези действия се присвоява честота на иницииращото събитие (IEF). Определената честота отразява колко често конкретна човешка грешка може реалистично да възникне по време на експлоатацията на инсталацията.

Надеждността на човешките действия никога не е постоянна

Работата на оператора се променя при стрес, умора, лошо управление на алармите или високо работно натоварване. Поради тази променливост изследванията по безопасност прилагат консервативни допускания за надеждността на човешките действия.

Простите и добре отработени процедури може да са свързани с ниска честота на иницииращи събития. При сложни намеси по време на ненормални работни условия се използват значително по-високи стойности.

Фигура 2. Човешките действия влияят както върху иницииращите събития, така и върху защитните реакции в рамките на изследванията по безопасност.

Инсталациите, работещи с по-стари разпределени системи за управление, често са изправени пред допълнителни рискове, свързани с човешкия фактор, поради претоварване с аларми и непоследователни оформления на HMI. Много съоръжения, които модернизират наследени платформи, вече интегрират модерни DCS системи за управление, за да подобрят приоритизирането на алармите и видимостта за операторите.

Могат ли операторите да бъдат признати за независими защитни слоеве?

Ръчната намеса може да се квалифицира като IPL само при строги условия. Реакцията трябва да остане независима от иницииращата причина, да се осъществи в рамките на наличното време за безопасност на процеса и да следва утвърдени работни процедури.

Стандарти като ISA TR84 и насоките на CCPS обикновено ограничават признаването на ръчната IPL, тъй като действията на хората по своята същност са непостоянни. В много инсталации максимално приемливият коефициент на намаляване на риска при реакция на оператора остава 10.

Времето за безопасност на процеса определя осъществимостта

Наличността на времето за безопасност на процеса определя дали намесата на оператора е реалистична. Ако операторите разполагат с няколко минути за реакция при отклонение в процеса, ръчната реакция може да остане приемлива.

Ако процесът достигне небезопасни условия в рамките на секунди, автоматизацията става задължителна. Никоя реалистична програма за обучение не може постоянно да гарантира успешно ръчно вмешателство при изключително кратки прозорци за реакция.

Това разграничение обяснява защо високоскоростните турбинни системи, приложенията за управление на горелки и защитата на компресори все повече разчитат на специализирани платформи за безопасност, а не само на намеса съгласно процедури.

Действия за ръчно изключване в границите на СФБ

Много инженери неправилно класифицират действията за ръчно изключване като инициращи събития. В действителност умишленото задействане на аварийно изключване често е част от самата СФБ.

IEC 61511 ясно посочва, че когато ръчно действие задейства функция за безопасност, всеки поддържащ елемент принадлежи към границите на СФБ. Това включва бутони, окабеляване, логически решаващи устройства, операторски процедури и изисквания за обучение.

Нека разгледаме повишаване на налягането в реактор, установено преди достигане на прага за автоматично изключване. Операторът може да разпознае необичайно изтичане и ръчно да задейства изключването, преди да настъпи ескалация.

В този случай операторът не създава опасността. Действието активно намалява риска и следователно принадлежи към проектното решение на функцията за безопасност.

Фигура 3. Възможността за ръчно изключване често функционира като част от цялостната инструментална функция за безопасност.

Инсталациите, използващи интегрирани контролери за безопасност, като системите за безопасност Triconex, често внедряват специално предназначени жично свързани пътища за аварийно изключване, за да намалят зависимостта от стандартните слоеве за управление на процеса.

Свързване на човешките действия с изчисленията по LOPA

Анализът LOPA преобразува експлоатационните сценарии в количествени зависимости на риска. Честотите на човешките грешки, ефективността на независимите защитни слоеве (IPL) и целевите честоти на събитията заедно определят необходимия интегритет на СФБ.

В реалните проекти грешките на операторите често определят колко често възниква потребност от задействане на защитата. След това системите за безопасност осигуряват необходимото намаляване на риска за постигане на приемливи допустими честоти на събитията.

Фигура 4. Човешките действия влияят върху честотата на възникване на опасни събития и необходимите нива на интегритет на СФБ.

Инженерната реалност в работещи производствени инсталации

Проучванията на безопасността в реални условия рядко се провалят само заради математиката. Те се провалят, когато предположенията за представянето на операторите станат нереалистични.

Инженерите понякога надценяват качеството на реакцията при аларми, без да отчитат натоварването, едновременните събития или забавянията в комуникацията по време на нарушения на нормалния режим. Теоретично валидният IPL може да се окаже оперативно неефективен, ако средата в контролната зала бъде претоварена.

Този въпрос стана по-видим, тъй като предприятията се стремят към по-високи производствени нива с по-ограничени модели на окомплектоване с персонал.

Функционалната безопасност все повече поставя човека в центъра

Следващият етап от развитието на функционалната безопасност ще се съсредоточи в значителна степен върху взаимодействието човек–машина, а не само върху хардуера. Рационализирането на алармите, ергономичният дизайн на HMI и системите за подпомагане на операторските решения вече влияят върху показателите за безопасност толкова, колкото сензорите и логическите решаващи устройства.

Съвременните архитектури на SIS вече интегрират прогнозна диагностика, управление на временното скриване на аларми и системи за насочване на операторите. Въпреки това опитните оператори все още осигуряват преценка, която автоматизацията не може напълно да възпроизведе при несигурни условия на процеса.

Тенденцията в индустрията е ясна: автоматизацията осигурява бързина и последователност, докато операторите прилагат адаптивна преценка по време на нештатни събития.

Мнение на автора

Много SIL проучвания все още подценяват сложността на човешкото поведение при нештатни експлоатационни условия. Залагането на оптимистични предположения за реакцията на операторите може първоначално да намали разходите по проекта, но създава скрит оперативен риск.

Съоръженията, които се стремят към по-висока надеждност, трябва да запазят ръчната намеса за сценарии с дълго време за реакция и операции с ниска потребност от намеса. Процесите с висок потенциал за тежки последствия изискват автоматично защитно действие, подкрепено от дисциплинирани процедури за операторите, а не зависещо от тях.

Най-ефективните стратегии за безопасност съчетават автоматизация, ясна експлоатационна философия, реалистично управление на алармите и непрекъснато развитие на компетентностите на операторите.

Оливър Грант | Старши анализатор по функционална безопасност

Оливър Грант има над 14 години опит в инженерингa на безопасността на процесите, верификацията на SIL и интеграцията на системи за аварийно изключване. Опитът му включва проекти по жизнения цикъл на безопасността, реализирани с платформите Honeywell, Yokogawa, Emerson DeltaV, HIMA и Rockwell Automation в рафинерии, съоръжения за втечнен природен газ и електроцентрали.