اقدامات و مداخلات اپراتور در سامانه‌های ایمنی عملکردی

عنصر انسانی همچنان ایمنی فرایند را شکل می‌دهد

سامانه‌های اتوماسیون همچنان در پالایشگاه‌ها، نیروگاه‌ها، واحدهای شیمیایی و تأسیسات فراساحلی تکامل می‌یابند. بااین‌حال، اپراتورهای باتجربه همچنان یکی از تأثیرگذارترین متغیرها در ایمنی کارخانه هستند. تصمیم‌های آن‌ها می‌تواند پیش از واکنش اتوماسیون، از تشدید وضعیت جلوگیری کند یا ناخواسته شرایط خطرناک فرایندی ایجاد کند.

مهندسی ایمنی عملکردی مدرن دیگر تعامل انسانی را ملاحظه‌ای ثانویه تلقی نمی‌کند. استانداردهای بین‌المللی اکنون اقدامات اپراتور را به‌عنوان عوامل قابل‌اندازه‌گیری در راستی‌آزمایی SIL، محاسبات LOPA و مدیریت چرخه عمر ایمنی تعریف می‌کنند.

شکل ۱. روابط زمانی ایمنی تعیین می‌کنند که آیا واکنش اپراتور می‌تواند به‌طور مؤثر از تشدید وضعیت جلوگیری کند یا خیر.

چرا اقدامات اپراتور در ارزیابی‌های SIL اهمیت دارند

مطالعات ایمنی عملکردی میان اقدامات اپراتور که شرایط خطرناک ایجاد می‌کنند و مداخلاتی که از تشدید وضعیت جلوگیری می‌کنند، تمایز قائل می‌شوند. این تمایز مستقیماً بر محاسبات کاهش ریسک و اهداف SIL موردنیاز تأثیر می‌گذارد.

از نظر عملی، اپراتور اتاق کنترل ممکن است از طریق ترتیب نادرست باز و بسته‌کردن شیرها، فعال‌سازی بای‌پس یا واکنش با تأخیر، باعث ایجاد انحراف شود. در مقابل، همین اپراتور می‌تواند با واکنش به هشدارها یا آغاز دستی رویه‌های توقف، به‌عنوان یک سد حفاظتی نیز عمل کند.

این سناریوها از نظر عملیاتی مشابه به نظر می‌رسند، اما در روش‌شناسی‌های IEC 61511 و LOPA از دیدگاه CCPS به‌طور کاملاً متفاوتی با آن‌ها برخورد می‌شود.

اقدام اپراتور در برابر مداخله اپراتور

اقدام اپراتور معمولاً عمدی و مبتنی بر رویه است. این اقدام ممکن است شامل راه‌اندازی تجهیزات، تأیید مجوزهای لازم یا فعال‌کردن فرمان توقف اضطراری باشد. مداخله معمولاً پس از ایجاد یک وضعیت غیرعادی رخ می‌دهد.

برای مثال، فشردن شستی ESD سیم‌کشی‌شده به بخشی از خودِ عملکرد ایمنی تبدیل می‌شود. واکنش به هشدار دمای بالا پیش از ایجاد شرایط فرار فرایندی ممکن است به‌عنوان یک لایه حفاظت مستقل محسوب شود.

چالش مهندسی در تعیین این است که آیا زمان، استقلال و قابلیت اطمینان کافی برای واکنش انسانی وجود دارد یا خیر.

وقتی خطای انسانی به رویداد آغازگر تبدیل می‌شود

IEC 61511 رویداد آغازگر را انحرافی تعریف می‌کند که فرایند را به سمت یک وضعیت خطرناک سوق می‌دهد. خطای انسانی اغلب با این تعریف مطابقت دارد.

باز کردن نادرست یک شیر بای‌پس، اعمال نامناسب اورراید تعمیراتی یا بازنگرداندن اینترلاک‌ها پس از آزمایش، همگی می‌توانند باعث ایجاد تقاضا از سامانه‌های حفاظتی فرایند شوند.

در مطالعات LOPA، به این اقدامات یک بسامد رویداد آغازگر (IEF) اختصاص داده می‌شود. بسامد تعیین‌شده نشان می‌دهد که یک خطای انسانی مشخص تا چه اندازه ممکن است به‌طور واقع‌بینانه در طول بهره‌برداری از واحد رخ دهد.

قابلیت اطمینان انسانی هرگز ثابت نیست

عملکرد اپراتور تحت تأثیر استرس، خستگی، مدیریت ضعیف آلارم‌ها یا حجم کاری زیاد تغییر می‌کند. به همین دلیل، مطالعات ایمنی برای قابلیت اطمینان انسانی فرضیات محافظه‌کارانه‌ای اعمال می‌کنند.

رویه‌های ساده و تمرین‌شده ممکن است بسامدهای آغازگری پایینی داشته باشند. مداخلات پیچیده در شرایط غیرعادی بهره‌برداری، مقادیر به‌مراتب بالاتری دریافت می‌کنند.

شکل ۲. اقدامات انسانی هم بر رویدادهای آغازگر و هم بر پاسخ‌های حفاظتی در مطالعات ایمنی تأثیر می‌گذارند.

واحدهایی که با سامانه‌های کنترل توزیع‌شده قدیمی کار می‌کنند، اغلب به‌دلیل هجوم آلارم‌ها و چیدمان‌های ناهماهنگ رابط انسان و ماشین با خطرات اضافیِ عوامل انسانی مواجه‌اند. بسیاری از تأسیسات که پلتفرم‌های قدیمی خود را ارتقا می‌دهند، اکنون سامانه‌های کنترل DCS مدرن را برای بهبود اولویت‌بندی آلارم‌ها و دید اپراتور یکپارچه می‌کنند.

آیا می‌توان اپراتورها را به‌عنوان لایه‌های حفاظتی مستقل در نظر گرفت؟

مداخله دستی تنها در شرایط سخت‌گیرانه می‌تواند به‌عنوان یک IPL پذیرفته شود. پاسخ باید از علت آغازگر مستقل بماند، در مدت‌زمان ایمنی فرایندِ در دسترس رخ دهد و از رویه‌های عملیاتی اعتبارسنجی‌شده پیروی کند.

استانداردهایی مانند ISA TR84 و راهنمایی‌های CCPS معمولاً اعتباردهی به لایه حفاظتی مستقلِ دستی (IPL) را محدود می‌کنند، زیرا عملکرد انسان ذاتاً ناپایدار است. در بسیاری از تأسیسات، بیشترین ضریب کاهش ریسک پذیرفته‌شده برای پاسخ اپراتور همچنان ۱۰ است.

زمان ایمنی فرایند امکان‌پذیری را تعیین می‌کند

زمان ایمنی فرایندِ در دسترس تعیین می‌کند که مداخله اپراتور تا چه حد واقع‌بینانه است. اگر اپراتورها چند دقیقه برای واکنش به انحراف فرایند فرصت داشته باشند، پاسخ دستی همچنان می‌تواند قابل‌قبول باشد.

اگر فرایند ظرف چند ثانیه به شرایط ناایمن برسد، استفاده از خودکارسازی الزامی است. هیچ برنامه آموزشی واقع‌بینانه‌ای نمی‌تواند موفقیت مداخله دستی را در بازه‌های زمانی بسیار کوتاه پاسخ، به‌طور مستمر تضمین کند.

این تمایز توضیح می‌دهد که چرا سیستم‌های توربین پُرسرعت، کاربردهای مدیریت مشعل و حفاظت از کمپرسور، به‌طور فزاینده‌ای به‌جای مداخله صرفاً رویه‌ای، به سکوهای اختصاصی ایمنی متکی هستند.

اقدامات قطع دستی در محدوده SIF

بسیاری از مهندسان به‌اشتباه اقدامات قطع دستی را رویدادهای آغازگر طبقه‌بندی می‌کنند. در واقع، فعال‌سازی عمدی قطع اضطراری اغلب بخشی از خود SIF را تشکیل می‌دهد.

استاندارد IEC 61511 به‌روشنی بیان می‌کند که وقتی اقدام دستی یک عملکرد ایمنی را آغاز می‌کند، هر عنصر پشتیبان باید در محدوده SIF قرار گیرد. این عناصر شامل شستی‌ها، سیم‌کشی، حل‌کننده‌های منطقی، رویه‌های اپراتوری و الزامات آموزشی هستند.

افزایش فشار راکتور را در نظر بگیرید که پیش از رسیدن به آستانه تریپ خودکار شناسایی می‌شود. اپراتور ممکن است نشت غیرعادی را تشخیص دهد و پیش از تشدید وضعیت، قطع اضطراری را به‌صورت دستی فعال کند.

در این وضعیت، اپراتور خطر را ایجاد نمی‌کند. این اقدام به‌طور فعال ریسک را کاهش می‌دهد و بنابراین باید در طراحی عملکرد ایمنی گنجانده شود.

شکل ۳. قابلیت قطع دستی اغلب به‌عنوان بخشی از عملکرد کلی ایمنی ابزاردقیق‌شده عمل می‌کند.

تأسیسات مجهز به کنترل‌کننده‌های یکپارچه ایمنی مانند سیستم‌های ایمنی Triconex اغلب مسیرهای اختصاصی قطع اضطراری سیم‌کشی‌شده را برای کاهش وابستگی به لایه‌های متعارف کنترل فرایند پیاده‌سازی می‌کنند.

پیوند دادن اقدامات انسانی به محاسبات LOPA

تحلیل LOPA سناریوهای عملیاتی را به روابط عددی ریسک تبدیل می‌کند. تواتر خطاهای انسانی، عملکرد IPL و تواترهای هدف رویداد، در مجموع یکپارچگی موردنیاز SIF را تعیین می‌کنند.

در پروژه‌های عملی، اشتباهات اپراتور اغلب تعیین می‌کنند که یک تقاضای حفاظتی با چه تواتری رخ دهد. سپس سیستم‌های ایمنی کاهش ریسک لازم را برای دستیابی به تواترهای قابل‌قبول و قابل‌تحمل رویداد فراهم می‌کنند.

شکل ۴. اقدامات انسانی بر نرخ‌های تقاضای آغازگر و سطوح یکپارچگی موردنیاز برای SIF تأثیر می‌گذارند.

واقعیت مهندسی در واحدهای در حال بهره‌برداری

مطالعات ایمنی در دنیای واقعی به‌ندرت فقط به دلیل ریاضیات شکست می‌خورند. آن‌ها زمانی شکست می‌خورند که فرضیات درباره عملکرد اپراتور غیرواقع‌بینانه شوند.

مهندسان گاهی کیفیت پاسخ‌گویی به هشدارها را بدون در نظر گرفتن حجم کاری، رویدادهای هم‌زمان یا تأخیرهای ارتباطی در شرایط اختلال بیش‌ازحد برآورد می‌کنند. اگر محیط اتاق کنترل بیش‌ازحد بارگذاری شود، یک IPL که از نظر نظری معتبر است ممکن است در عمل از کار بیفتد.

با تلاش کارخانه‌ها برای دستیابی به نرخ‌های تولید بالاتر با الگوهای نیروی انسانی کم‌تعدادتر، این مسئله بیشتر نمایان شده است.

ایمنی عملکردی بیش‌ازپیش انسان‌محور می‌شود

مرحله بعدی توسعه ایمنی عملکردی، بیش از آنکه صرفاً بر سخت‌افزار متمرکز باشد، بر تعامل انسان و ماشین تمرکز خواهد داشت. منطقی‌سازی هشدارها، طراحی ارگونومیک HMI و پشتیبانی از تصمیم‌گیری اپراتور اکنون به اندازه حسگرها و حل‌کننده‌های منطقی بر عملکرد ایمنی تأثیر می‌گذارند.

معماری‌های مدرن SIS هم‌اکنون تشخیص‌های پیش‌بینانه، کنترل تعلیق هشدارها و سامانه‌های راهنمایی اپراتور را یکپارچه می‌کنند. بااین‌حال، اپراتورهای باتجربه همچنان در شرایط نامطمئن فرایندی، قضاوتی ارائه می‌دهند که اتوماسیون نمی‌تواند به‌طور کامل جایگزین آن شود.

روند صنعت روشن است: اتوماسیون سرعت و ثبات را مدیریت می‌کند، در حالی که اپراتورها در رویدادهای غیرعادی استدلال تطبیقی ارائه می‌دهند.

دیدگاه نویسنده

بسیاری از مطالعات SIL هنوز پیچیدگی رفتار انسان در شرایط بهره‌برداری غیرعادی را دست‌کم می‌گیرند. تعیین فرضیات خوش‌بینانه درباره پاسخ اپراتور ممکن است در ابتدا هزینه پروژه را کاهش دهد، اما ریسک عملیاتی پنهانی ایجاد می‌کند.

تأسیسات متقاضی قابلیت اطمینان بالاتر باید مداخله دستی را به سناریوهای دارای زمان پاسخ طولانی و عملیات‌های کم‌تقاضا محدود کنند. فرایندهای دارای پیامدهای شدید به اقدام حفاظتی خودکار، با پشتیبانی رویه‌های منضبط اپراتوری، نیاز دارند؛ نه اینکه به آن‌ها وابسته باشند.

قوی‌ترین راهبردهای ایمنی، اتوماسیون، فلسفه بهره‌برداری شفاف، مدیریت واقع‌بینانه هشدارها و توسعه مستمر شایستگی اپراتورها را با هم ترکیب می‌کنند.

الیور گرانت | تحلیلگر ارشد ایمنی عملکردی

الیور گرانت بیش از ۱۴ سال تجربه در مهندسی ایمنی فرایند، راستی‌آزمایی SIL و یکپارچه‌سازی سامانه‌های خاموش‌سازی دارد. پیشینه او شامل پروژه‌های چرخه عمر ایمنی با پلتفرم‌های Honeywell، Yokogawa، Emerson DeltaV، HIMA و Rockwell Automation در تأسیسات پالایشگاهی، LNG و تولید برق است.