اقدامات و مداخلات اپراتور در سیستم‌های ایمنی عملکردی

عنصر انسانی همچنان شکل‌دهنده ایمنی فرایند است

سیستم‌های اتوماسیون در پالایشگاه‌ها، نیروگاه‌ها، واحدهای شیمیایی و تأسیسات فراساحلی همچنان در حال پیشرفت هستند. با این حال، اپراتورهای باتجربه یکی از تأثیرگذارترین عوامل در ایمنی کارخانه باقی می‌مانند. تصمیمات آن‌ها می‌تواند قبل از واکنش اتوماسیون از تشدید جلوگیری کند یا به طور ناخواسته شرایط خطرناک فرایند را ایجاد نماید.

مهندسی ایمنی عملکردی مدرن دیگر تعامل انسانی را به عنوان یک ملاحظه ثانویه نمی‌داند. استانداردهای بین‌المللی اکنون عملیات اپراتور را به عنوان عوامل قابل اندازه‌گیری در تأیید SIL، محاسبات LOPA و مدیریت چرخه عمر ایمنی تعریف می‌کنند.

شکل ۱. روابط زمانی ایمنی تعیین می‌کند که آیا واکنش اپراتور می‌تواند به طور مؤثر از تشدید جلوگیری کند یا خیر.

چرا عملیات اپراتور در ارزیابی‌های SIL اهمیت دارد

مطالعات ایمنی عملکردی بین عملیات اپراتور که شرایط خطرناک ایجاد می‌کند و مداخلاتی که از تشدید جلوگیری می‌کند تمایز قائل می‌شوند. این تمایز مستقیماً بر محاسبات کاهش ریسک و اهداف SIL مورد نیاز تأثیر می‌گذارد.

از نظر عملی، یک اپراتور اتاق کنترل ممکن است با ترتیب نادرست شیرها، فعال‌سازی دور زدن یا پاسخ تأخیری باعث انحراف شود. در مقابل، همان اپراتور می‌تواند به عنوان یک سد حفاظتی با پاسخ به هشدارها یا شروع دستی فرایندهای خاموشی عمل کند.

این سناریوها از نظر عملیاتی مشابه به نظر می‌رسند، اما در داخل استانداردهای IEC 61511 و روش‌های CCPS LOPA به طور بسیار متفاوتی برخورد می‌شوند.

عملیات اپراتور در مقابل مداخله اپراتور

عملیات اپراتور معمولاً عمدی و رویه‌ای است. ممکن است شامل راه‌اندازی تجهیزات، تأیید مجوزها یا فعال‌سازی فرمان خاموشی اضطراری باشد. مداخله معمولاً پس از بروز شرایط غیرعادی رخ می‌دهد.

برای مثال، فشار دادن دکمه فشاری ESD سیم‌کشی شده به خودی خود بخشی از عملکرد ایمنی می‌شود. پاسخ به هشدار دمای بالا قبل از توسعه شرایط فرار ممکن است به عنوان یک لایه محافظتی مستقل محسوب شود.

چالش مهندسی در تعیین این است که آیا زمان، استقلال و قابلیت اطمینان کافی برای واکنش انسان وجود دارد یا خیر.

وقتی خطای انسانی به رویداد آغازین تبدیل می‌شود

استاندارد IEC 61511 رویداد شروع‌کننده را انحرافی تعریف می‌کند که فرآیند را به سمت شرایط خطرناک سوق می‌دهد. خطای انسانی اغلب این تعریف را برآورده می‌کند.

باز شدن نادرست شیر بای‌پس، لغو نگهداری نامناسب یا عدم بازیابی قفل‌ها پس از آزمایش همگی می‌توانند تقاضاهای فرآیندی بر سیستم‌های حفاظتی ایجاد کنند.

در مطالعات LOPA، این اقدامات فرکانس رویداد شروع‌کننده (IEF) دریافت می‌کنند. فرکانس اختصاص داده شده نشان می‌دهد که یک خطای انسانی خاص چقدر واقع‌بینانه ممکن است در طول عملیات کارخانه رخ دهد.

قابلیت اطمینان انسانی هرگز ثابت نیست

عملکرد اپراتور تحت استرس، خستگی، مدیریت ضعیف هشدار یا شرایط بار کاری بالا تغییر می‌کند. به دلیل این تغییرپذیری، مطالعات ایمنی فرضیات محافظه‌کارانه‌ای را برای قابلیت اطمینان انسانی اعمال می‌کنند.

روش‌های ساده و تمرین‌شده ممکن است فرکانس شروع پایینی داشته باشند. مداخلات پیچیده در شرایط عملیاتی غیرعادی مقادیر بسیار بالاتری دریافت می‌کنند.

شکل ۲. اقدامات انسانی هم رویدادهای شروع‌کننده و هم پاسخ‌های حفاظتی را در مطالعات ایمنی تحت تأثیر قرار می‌دهد.

کارخانه‌هایی که از سیستم‌های کنترل توزیع‌شده قدیمی استفاده می‌کنند، اغلب با ریسک‌های اضافی عوامل انسانی به دلیل سیل هشدارها و چیدمان نامنظم HMI مواجه‌اند. بسیاری از تأسیسات که پلتفرم‌های قدیمی را به‌روزرسانی می‌کنند، اکنون سیستم‌های کنترل DCS مدرن را برای بهبود اولویت‌بندی هشدارها و دید اپراتور ادغام می‌کنند.

آیا می‌توان به اپراتورها به عنوان لایه‌های حفاظتی مستقل اعتبار داد؟

مداخله دستی تنها تحت شرایط سختگیرانه ممکن است به عنوان IPL شناخته شود. پاسخ باید مستقل از علت شروع‌کننده باشد، در زمان ایمنی فرآیند موجود رخ دهد و مطابق با روش‌های عملیاتی تأیید شده باشد.

استانداردهایی مانند ISA TR84 و راهنمایی CCPS معمولاً اعتبار IPL دستی را محدود می‌کنند زیرا عملکرد انسانی ذاتاً ناپایدار است. در بسیاری از تأسیسات، حداکثر ضریب کاهش ریسک پذیرفته شده برای پاسخ اپراتور همچنان ۱۰ باقی می‌ماند.

زمان ایمنی فرآیند قابلیت‌پذیری را تعریف می‌کند

زمان ایمنی فرآیند موجود تعیین می‌کند که آیا مداخله اپراتور واقع‌بینانه است یا خیر. اگر اپراتورها چند دقیقه برای واکنش به انحراف فرآیند داشته باشند، پاسخ دستی ممکن است قابل قبول باقی بماند.

اگر فرآیند در عرض چند ثانیه به شرایط ناامن برسد، اتوماسیون اجباری می‌شود. هیچ برنامه آموزشی واقع‌بینانه‌ای نمی‌تواند به طور مداوم مداخله دستی موفق را در پنجره‌های پاسخ بسیار کوتاه تضمین کند.

این تمایز توضیح می‌دهد که چرا سیستم‌های توربین با سرعت بالا، برنامه‌های مدیریت مشعل و حفاظت کمپرسور به طور فزاینده‌ای به پلتفرم‌های ایمنی اختصاصی وابسته‌اند نه فقط مداخله رویه‌ای.

اقدامات خاموش‌شدن دستی در داخل محدوده SIF

بسیاری از مهندسان به اشتباه اقدامات خاموش‌شدن دستی را به عنوان رویدادهای آغازین طبقه‌بندی می‌کنند. در واقع، فعال‌سازی عمدی خاموش‌شدن اضطراری اغلب بخشی از خود SIF است.

استاندارد IEC 61511 به وضوح بیان می‌کند که وقتی اقدام دستی عملکرد ایمنی را آغاز می‌کند، هر عنصر پشتیبانی‌کننده در محدوده SIF قرار دارد. این شامل دکمه‌های فشاری، سیم‌کشی، حل‌کننده‌های منطقی، رویه‌های اپراتور و نیازهای آموزشی است.

افزایش فشار راکتور را در نظر بگیرید که قبل از رسیدن به آستانه قطع خودکار تشخیص داده می‌شود. اپراتور ممکن است نشت غیرعادی را شناسایی کرده و قبل از تشدید، خاموش‌شدن دستی را فعال کند.

در این وضعیت، اپراتور خطر را ایجاد نمی‌کند. این اقدام به طور فعال ریسک را کاهش می‌دهد و بنابراین در طراحی عملکرد ایمنی قرار می‌گیرد.

شکل ۳. قابلیت خاموش‌شدن دستی اغلب به عنوان بخشی از عملکرد کلی ابزار ایمنی عمل می‌کند.

تأسیساتی که از کنترل‌کننده‌های ایمنی یکپارچه مانند سیستم‌های ایمنی Triconex استفاده می‌کنند، اغلب مسیرهای خاموش‌شدن سخت‌افزاری اختصاصی را برای کاهش وابستگی به لایه‌های کنترل فرآیند استاندارد پیاده‌سازی می‌کنند.

اتصال اقدامات انسانی به محاسبات LOPA

تحلیل LOPA سناریوهای عملیاتی را به روابط عددی ریسک تبدیل می‌کند. فرکانس خطاهای انسانی، عملکرد IPL و فرکانس‌های هدف رویداد به طور جمعی یکپارچگی مورد نیاز SIF را تعیین می‌کنند.

در پروژه‌های عملی، اشتباهات اپراتور اغلب تعیین می‌کند که تقاضای حفاظتی با چه فرکانسی رخ می‌دهد. سیستم‌های ایمنی سپس کاهش ریسک لازم را برای رسیدن به فرکانس‌های قابل تحمل قابل قبول فراهم می‌کنند.

شکل ۴. اقدامات انسانی بر نرخ‌های تقاضای آغازین و سطوح یکپارچگی مورد نیاز SIF تأثیر می‌گذارد.

واقعیت مهندسی در داخل کارخانه‌های عملیاتی

مطالعات ایمنی در دنیای واقعی به ندرت فقط به دلیل ریاضیات شکست می‌خورند. آن‌ها زمانی شکست می‌خورند که فرضیات درباره عملکرد اپراتور غیرواقعی شود.

مهندسان گاهی کیفیت پاسخ به هشدار را بدون در نظر گرفتن بار کاری، رویدادهای همزمان یا تأخیرهای ارتباطی در شرایط بحرانی بیش از حد برآورد می‌کنند. یک IPL از نظر نظری معتبر ممکن است در عمل اگر محیط اتاق کنترل بیش از حد بارگذاری شود، فرو بریزد.

این مسئله با افزایش نرخ تولید و کاهش نیروی انسانی در کارخانه‌ها بیشتر نمایان شده است.

ایمنی عملکردی به طور فزاینده‌ای انسان‌محور می‌شود

فاز بعدی توسعه ایمنی عملکردی بیشتر بر تعامل انسان و ماشین تمرکز خواهد داشت تا فقط سخت‌افزار. منطقی‌سازی هشدار، طراحی ارگونومیک HMI و پشتیبانی تصمیم‌گیری اپراتور اکنون به اندازه حسگرها و حل‌کننده‌های منطقی بر عملکرد ایمنی تأثیر می‌گذارند.

معماری‌های مدرن SIS هم‌اکنون تشخیص پیش‌بینی، کنترل تعلیق هشدار و سیستم‌های راهنمایی اپراتور را یکپارچه کرده‌اند. با این حال، اپراتورهای باتجربه هنوز قضاوتی ارائه می‌دهند که اتوماسیون نمی‌تواند به طور کامل در شرایط نامطمئن فرایند جایگزین کند.

روند صنعت واضح است: اتوماسیون سرعت و ثبات را مدیریت می‌کند، در حالی که اپراتورها در رویدادهای غیرعادی استدلال تطبیقی ارائه می‌دهند.

نظر نویسنده

بسیاری از مطالعات SIL هنوز پیچیدگی رفتار انسانی در شرایط عملیاتی غیرعادی را دست‌کم می‌گیرند. فرضیات خوش‌بینانه درباره پاسخ اپراتور ممکن است در ابتدا هزینه پروژه را کاهش دهد، اما ریسک عملیاتی پنهانی ایجاد می‌کند.

تأسیساتی که به دنبال قابلیت اطمینان بالاتر هستند باید مداخله دستی را برای سناریوهای پاسخ طولانی و عملیات با تقاضای کم محفوظ نگه دارند. فرایندهای با پیامدهای بالا نیازمند اقدام حفاظتی خودکار با پشتیبانی از رویه‌های منضبط اپراتور هستند و نباید به آن‌ها وابسته باشند.

قوی‌ترین استراتژی‌های ایمنی ترکیبی از اتوماسیون، فلسفه عملیاتی شفاف، مدیریت هشدار واقع‌بینانه و توسعه مداوم مهارت‌های اپراتور است.

اولیور گرانت | تحلیل‌گر ارشد ایمنی عملکردی

اولیور گرانت بیش از ۱۴ سال تجربه در مهندسی ایمنی فرایند، تأیید SIL و یکپارچه‌سازی سیستم‌های توقف دارد. سابقه او شامل پروژه‌های چرخه عمر ایمنی با استفاده از پلتفرم‌های Honeywell، Yokogawa، Emerson DeltaV، HIMA و Rockwell Automation در صنایع پالایش، LNG و تولید برق است.