Bedieneraktionen und Eingriffe in funktionalen Sicherheitssystemen

Der menschliche Faktor prägt weiterhin die Prozesssicherheit

Automatisierungssysteme entwickeln sich in Raffinerien, Kraftwerken, Chemieanlagen und Offshore-Einrichtungen kontinuierlich weiter. Dennoch gehören erfahrene Bediener nach wie vor zu den einflussreichsten Variablen für die Anlagensicherheit. Ihre Entscheidungen können eine Eskalation stoppen, bevor die Automatisierung reagiert, oder unbeabsichtigt gefährliche Prozesszustände auslösen.

Die moderne Technik der funktionalen Sicherheit betrachtet die Interaktion des Menschen nicht mehr als nachrangigen Aspekt. Internationale Normen definieren Bedienerhandlungen inzwischen als messbare Beiträge innerhalb der SIL-Verifizierung, der LOPA-Berechnungen und des Sicherheitslebenszyklusmanagements.

Abbildung 1. Zeitliche Sicherheitsbeziehungen bestimmen, ob eine Bedienerreaktion eine Eskalation wirksam verhindern kann.

Warum Bedienerhandlungen bei SIL-Bewertungen wichtig sind

Studien zur funktionalen Sicherheit unterscheiden zwischen Bedienerhandlungen, die gefährliche Zustände verursachen, und Interventionen, die eine Eskalation verhindern. Diese Unterscheidung beeinflusst unmittelbar die Berechnungen zur Risikominderung und die erforderlichen SIL-Ziele.

In der Praxis kann ein Bediener in der Leitwarte durch eine falsche Ventilsequenzierung, das Aktivieren einer Umgehung oder eine verzögerte Reaktion eine Abweichung auslösen. Derselbe Bediener kann umgekehrt auch als Schutzbarriere dienen, indem er auf Alarme reagiert oder Abschaltverfahren manuell einleitet.

Diese Szenarien erscheinen aus betrieblicher Sicht ähnlich, werden innerhalb der Methoden IEC 61511 und CCPS LOPA jedoch sehr unterschiedlich behandelt.

Bedienerhandlung versus Bedienerintervention

Eine Bedienerhandlung ist typischerweise beabsichtigt und verfahrensbasiert. Sie kann das Starten von Ausrüstung, das Bestätigen von Freigabebedingungen oder das Aktivieren eines Notabschaltbefehls umfassen. Eine Intervention erfolgt normalerweise, nachdem sich ein anormaler Zustand entwickelt hat.

Beispielsweise wird das Drücken eines fest verdrahteten ESD-Drucktasters selbst Teil der Sicherheitsfunktion. Die Reaktion auf einen Hochtemperaturalarm, bevor sich ein Durchgehen entwickelt, kann als unabhängige Schutzebene gelten.

Die technische Herausforderung besteht darin, festzustellen, ob ausreichend Zeit, Unabhängigkeit und Zuverlässigkeit für eine menschliche Reaktion vorhanden sind.

Wenn menschliches Versagen zum auslösenden Ereignis wird

IEC 61511 definiert ein auslösendes Ereignis als die Abweichung, die einen Prozess in Richtung eines gefährlichen Zustands bewegt. Menschliches Versagen erfüllt diese Definition häufig.

Ein fälschlicherweise geöffnetes Bypassventil, eine unsachgemäße Wartungsüberbrückung oder das Versäumnis, Verriegelungen nach einem Test wiederherzustellen, kann jeweils Schutzsysteme mit Prozessanforderungen beaufschlagen.

In LOPA-Studien wird diesen Handlungen eine Häufigkeit auslösender Ereignisse (IEF) zugewiesen. Die zugewiesene Häufigkeit gibt an, wie oft ein bestimmter menschlicher Fehler während des Anlagenbetriebs realistischerweise auftreten kann.

Die menschliche Zuverlässigkeit ist niemals konstant

Die Leistung des Bedienpersonals verändert sich unter Stress, Ermüdung, unzureichendem Alarmmanagement oder hoher Arbeitsbelastung. Aufgrund dieser Variabilität verwenden Sicherheitsanalysen konservative Annahmen zur menschlichen Zuverlässigkeit.

Einfache und gut eingeübte Verfahren können niedrige Auslösehäufigkeiten aufweisen. Komplexe Eingriffe während anomaler Betriebsbedingungen erhalten deutlich höhere Werte.

Abbildung 2. Menschliche Handlungen beeinflussen sowohl auslösende Ereignisse als auch Schutzreaktionen im Rahmen von Sicherheitsanalysen.

Anlagen mit älteren Leitsystemen sehen sich aufgrund von Alarmüberflutung und uneinheitlichen HMI-Layouts häufig zusätzlichen Risiken im Bereich der menschlichen Faktoren ausgesetzt. Viele Anlagen, die ihre veralteten Plattformen modernisieren, integrieren inzwischen moderne DCS-Leitsysteme, um die Alarmpriorisierung und die Übersichtlichkeit für das Bedienpersonal zu verbessern.

Können Bediener als unabhängige Schutzebenen angerechnet werden?

Ein manueller Eingriff kann nur unter strengen Bedingungen als IPL gelten. Die Reaktion muss unabhängig von der auslösenden Ursache bleiben, innerhalb der verfügbaren Prozesssicherheitszeit erfolgen und validierten Betriebsverfahren folgen.

Normen wie ISA TR84 und die Leitlinien des CCPS begrenzen die Anrechnung manueller IPL in der Regel, da die menschliche Leistungsfähigkeit naturgemäß inkonsistent ist. In vielen Anlagen bleibt der maximal akzeptierte Risikominderungsfaktor für Bedienerreaktionen bei 10.

Die Prozesssicherheitszeit bestimmt die Machbarkeit

Die verfügbare Prozesssicherheitszeit bestimmt, ob ein Eingreifen des Bedienpersonals realistisch ist. Wenn das Bedienpersonal mehrere Minuten Zeit hat, auf eine Prozessabweichung zu reagieren, kann eine manuelle Reaktion weiterhin akzeptabel sein.

Wenn der Prozess innerhalb von Sekunden unsichere Bedingungen erreicht, wird Automatisierung zwingend erforderlich. Kein realistisches Schulungsprogramm kann während extrem kurzer Reaktionsfenster dauerhaft eine erfolgreiche manuelle Intervention gewährleisten.

Diese Unterscheidung erklärt, warum Hochgeschwindigkeitsturbinen, Brennermanagement-Anwendungen und der Verdichterschutz zunehmend auf dedizierte Sicherheitsplattformen statt ausschließlich auf verfahrensbasierte Eingriffe setzen.

Manuelle Abschalthandlungen innerhalb der SIF-Grenzen

Viele Ingenieure klassifizieren manuelle Abschalthandlungen fälschlicherweise als auslösende Ereignisse. Tatsächlich ist die gezielte Aktivierung einer Notabschaltung häufig Bestandteil der SIF selbst.

IEC 61511 stellt eindeutig fest, dass bei der Auslösung einer Sicherheitsfunktion durch eine manuelle Handlung jedes unterstützende Element innerhalb der SIF-Grenzen liegt. Dazu gehören Drucktaster, Verdrahtung, Logiksolver, Bedienerverfahren und Schulungsanforderungen.

Betrachten wir einen Anstieg des Reaktordrucks, der erkannt wird, bevor die Schwelle für die automatische Auslösung erreicht ist. Ein Bediener kann eine ungewöhnliche Leckage erkennen und vor einer Eskalation manuell die Abschaltung aktivieren.

In dieser Situation verursacht der Bediener die Gefährdung nicht. Die Handlung reduziert das Risiko aktiv und gehört daher zur Auslegung der Sicherheitsfunktion.

Abbildung 3. Die Möglichkeit zur manuellen Abschaltung ist häufig Teil der gesamten sicherheitsinstrumentierten Funktion.

Anlagen, die integrierte Sicherheitssteuerungen wie Triconex-Sicherheitssysteme einsetzen, implementieren häufig dedizierte festverdrahtete Abschaltpfade, um die Abhängigkeit von standardmäßigen Prozessleitebenen zu verringern.

Verknüpfung menschlicher Handlungen mit LOPA-Berechnungen

Die LOPA-Analyse überführt Betriebsszenarien in numerische Risikobeziehungen. Häufigkeiten menschlicher Fehler, die Leistungsfähigkeit unabhängiger Schutzebenen (IPL) und angestrebte Ereignishäufigkeiten bestimmen gemeinsam die erforderliche Integrität der SIF.

In praktischen Projekten bestimmen Bedienerfehler oft, wie häufig eine Schutzanforderung auftritt. Sicherheitssysteme sorgen dann für die erforderliche Risikominderung, um akzeptable tolerierbare Ereignishäufigkeiten zu erreichen.

Abbildung 4. Menschliche Handlungen beeinflussen die Häufigkeit auslösender Anforderungen und die erforderlichen SIF-Integritätslevel.

Technische Realität in laufenden Anlagen

Sicherheitsstudien aus der Praxis scheitern selten allein an der Mathematik. Sie scheitern, wenn Annahmen über die Bedienerleistung unrealistisch werden.

Ingenieure überschätzen mitunter die Qualität der Alarmreaktion, ohne Arbeitsbelastung, gleichzeitige Ereignisse oder Kommunikationsverzögerungen während Störzuständen zu berücksichtigen. Eine theoretisch gültige IPL kann betrieblich versagen, wenn die Leitstandumgebung überlastet wird.

Dieses Thema ist sichtbarer geworden, da Anlagen höhere Produktionsraten mit schlankeren Personalmodellen anstreben.

Funktionale Sicherheit wird zunehmend menschenzentriert

Die nächste Phase der Entwicklung der funktionalen Sicherheit wird sich stark auf die Mensch-Maschine-Interaktion statt ausschließlich auf die Hardware konzentrieren. Alarmrationalisierung, ergonomisches HMI-Design und Entscheidungsunterstützung für Bediener beeinflussen die Sicherheitsleistung inzwischen ebenso stark wie Sensoren und Logiksolver.

Moderne SIS-Architekturen integrieren bereits vorausschauende Diagnostik, die Steuerung der Alarmsperrung und Systeme zur Bedienerführung. Erfahrene Bediener liefern jedoch weiterhin ein Urteilsvermögen, das die Automatisierung bei unsicheren Prozessbedingungen nicht vollständig nachbilden kann.

Der Branchentrend ist eindeutig: Die Automatisierung übernimmt Geschwindigkeit und Konsistenz, während Bediener bei anomalen Ereignissen anpassungsfähige Entscheidungen treffen.

Meinung des Autors

Viele SIL-Studien unterschätzen nach wie vor die Komplexität menschlichen Verhaltens während anomaler Betriebsbedingungen. Optimistische Annahmen zur Reaktionsfähigkeit der Bediener können die Projektkosten zunächst senken, führen jedoch zu verborgenen betrieblichen Risiken.

Anlagen, die eine höhere Zuverlässigkeit anstreben, sollten manuelle Eingriffe auf Szenarien mit langen Reaktionszeiten und Betriebszustände mit niedriger Anforderungsrate beschränken. Prozesse mit schwerwiegenden Folgen erfordern automatische Schutzmaßnahmen, die durch disziplinierte Bedienerverfahren unterstützt werden, statt von ihnen abhängig zu sein.

Die wirkungsvollsten Sicherheitsstrategien kombinieren Automatisierung, eine klare Betriebsphilosophie, ein realistisches Alarmmanagement und die kontinuierliche Weiterentwicklung der Bedienerkompetenz.

Oliver Grant | Senior-Analyst für funktionale Sicherheit

Oliver Grant verfügt über mehr als 14 Jahre Erfahrung in der Prozesssicherheitstechnik, der SIL-Verifizierung und der Integration von Abschaltsystemen. Sein Hintergrund umfasst Projekte über den gesamten Sicherheitslebenszyklus mit Plattformen von Honeywell, Yokogawa, Emerson DeltaV, HIMA und Rockwell Automation in Raffinerien, LNG-Anlagen und Kraftwerken.