A kezelő műveletei és beavatkozásai a funkcionális biztonsági rendszerekben
A kezelői döntések továbbra is kritikus tényezőt jelentenek a funkcionális biztonság teljesítményében. Ez a cikk azt vizsgálja, hogyan sorolják az IEC 61511 ...
Az emberi tényező továbbra is alakítja a folyamatbiztonságot
Az automatizálási rendszerek folyamatosan fejlődnek a finomítókban, erőművekben, vegyipari üzemekben és tengeri létesítményekben. A tapasztalt kezelők azonban továbbra is az üzembiztonság egyik legnagyobb hatású tényezői. Döntéseikkel megállíthatják az eszkalációt, mielőtt az automatika reagálna, vagy akaratlanul veszélyes technológiai állapotokat idézhetnek elő.
A modern funkcionálisbiztonság-mérnökség már nem kezeli az emberi interakciót másodlagos szempontként. A nemzetközi szabványok ma már a kezelői műveleteket mérhető tényezőkként határozzák meg a SIL-ellenőrzésben, a LOPA-számításokban és a biztonsági életciklus kezelésében.
1. ábra. A biztonsági időzítési összefüggések határozzák meg, hogy a kezelői reagálás hatékonyan megakadályozhatja-e az eszkalációt.
Miért fontosak a kezelői műveletek a SIL-értékelésekben?
A funkcionális biztonsági vizsgálatok különbséget tesznek a veszélyes állapotokat létrehozó kezelői műveletek és az eszkalációt megakadályozó beavatkozások között. Ez a különbségtétel közvetlenül befolyásolja a kockázatcsökkentési számításokat és a szükséges SIL-célértékeket.
Gyakorlati szempontból a vezérlőtermi kezelő helytelen szelepsorrenddel, egy áthidalás aktiválásával vagy késedelmes reagálással eltérést idézhet elő. Ugyanakkor ugyanez a kezelő védelmi gátként is szolgálhat, ha riasztásokra reagál vagy manuálisan elindítja a leállítási eljárásokat.
Ezek a forgatókönyvek üzemeltetési szempontból hasonlónak tűnnek, az IEC 61511 és a CCPS LOPA módszertanai azonban teljesen eltérően kezelik őket.
Kezelői művelet és kezelői beavatkozás
A kezelői művelet jellemzően szándékos és eljárásalapú. Magában foglalhatja a berendezés indítását, az engedélyezési feltételek megerősítését vagy egy vészleállítási parancs aktiválását. A beavatkozás általában egy rendellenes állapot kialakulása után történik.
Például egy vezetékezett ESD-nyomógomb megnyomása magának a biztonsági funkciónak a részévé válik. Ha a kezelő a magas hőmérsékletre figyelmeztető riasztásra még a termikus elszabadulás kialakulása előtt reagál, az független védelmi rétegnek minősülhet.
A mérnöki kihívás annak meghatározása, hogy rendelkezésre áll-e elegendő idő, függetlenség és megbízhatóság az emberi beavatkozáshoz.
Amikor az emberi hiba indító eseménnyé válik
Az IEC 61511 a kezdeményező eseményt olyan eltérésként határozza meg, amely a folyamatot veszélyes állapot felé mozdítja el. Az emberi hiba gyakran megfelel ennek a meghatározásnak.
A tévesen megnyitott bypass-szelep, a nem megfelelő karbantartási felülbírálás vagy a reteszelések tesztelés utáni visszaállításának elmulasztása egyaránt védelmi rendszeri beavatkozási igényt idézhet elő.
A LOPA-vizsgálatokban ezekhez a műveletekhez kezdeményező esemény gyakoriságot (IEF) rendelnek. A hozzárendelt gyakoriság azt tükrözi, hogy egy adott emberi hiba reálisan milyen gyakran fordulhat elő az üzem működése során.
Az emberi megbízhatóság soha nem állandó
A kezelői teljesítmény stressz, fáradtság, nem megfelelő riasztáskezelés vagy nagy munkaterhelés esetén megváltozik. Emiatt a biztonsági vizsgálatok konzervatív feltételezéseket alkalmaznak az emberi megbízhatóságra.
Az egyszerű és begyakorolt eljárásokhoz alacsony kezdeményezési gyakoriság tartozhat. A rendellenes üzemállapotokban végzett összetett beavatkozásokhoz lényegesen magasabb értékeket rendelnek.
2. ábra. Az emberi műveletek a biztonsági vizsgálatok során egyaránt befolyásolják a kezdeményező eseményeket és a védelmi válaszokat.
A régebbi elosztott vezérlőrendszereket üzemeltető üzemeknek gyakran további emberi tényezőből eredő kockázatokkal kell szembenézniük a riasztási áradat és a következetlen HMI-elrendezések miatt. A régi platformokat korszerűsítő létesítmények közül sok modern DCS vezérlőrendszereket integrál a riasztások priorizálásának és a kezelői áttekinthetőség javítása érdekében.
Beszámíthatók-e a kezelők független védelmi rétegként?
A manuális beavatkozás csak szigorú feltételek mellett minősülhet IPL-nek. A reakciónak függetlennek kell maradnia a kiváltó októl, a rendelkezésre álló folyamatbiztonsági időn belül kell megtörténnie, és validált üzemeltetési eljárást kell követnie.
Az olyan szabványok, mint az ISA TR84, valamint a CCPS iránymutatásai általában korlátozzák a manuális IPL beszámítását, mivel az emberi teljesítmény természetéből fakadóan következetlen. Sok létesítményben a kezelői reakcióra elfogadott maximális kockázatcsökkentési tényező továbbra is 10.
A folyamatbiztonsági idő határozza meg a megvalósíthatóságot
A rendelkezésre álló folyamatbiztonsági idő határozza meg, hogy reális-e a kezelői beavatkozás. Ha a kezelőknek több percük van reagálni a folyamat eltérésére, a manuális válasz továbbra is elfogadható lehet.
Ha a folyamat néhány másodpercen belül veszélyes állapotot ér el, az automatizálás kötelezővé válik. Egyetlen reális képzési program sem képes megbízhatóan garantálni a sikeres kézi beavatkozást rendkívül rövid reagálási időablakok esetén.
Ez a különbségtétel magyarázza, hogy a nagysebességű turbinarendszerek, az égővezérlési alkalmazások és a kompresszorvédelmi rendszerek miért támaszkodnak egyre inkább dedikált biztonsági platformokra a pusztán eljárásalapú beavatkozás helyett.
Kézi leállítási műveletek a SIF határain belül
Sok mérnök tévesen kezdeményező eseményként sorolja be a kézi leállítási műveleteket. A valóságban a szándékos vészleállítás aktiválása gyakran magának a SIF-nek a részét képezi.
Az IEC 61511 egyértelműen kimondja, hogy amikor egy biztonsági funkciót kézi beavatkozás indít el, minden támogató elem a SIF határain belülre tartozik. Ide tartoznak a nyomógombok, a vezetékezés, a logikai megoldók, az operátori eljárások és a képzési követelmények is.
Tegyük fel, hogy a reaktornyomás növekedését még az automatikus kioldási küszöbérték elérése előtt észlelik. Az operátor felismerheti a rendellenes szivárgást, és manuálisan aktiválhatja a leállítást, mielőtt a helyzet súlyosbodna.
Ebben a helyzetben az operátor nem idézi elő a veszélyt. A beavatkozás aktívan csökkenti a kockázatot, ezért a biztonsági funkció kialakításának részét képezi.
3. ábra. A kézi leállítási lehetőség gyakran az átfogó biztonsági műszeres funkció részeként működik.
Az olyan integrált biztonsági vezérlőket használó létesítmények, mint a Triconex biztonsági rendszerek, gyakran külön, vezetékes leállítási útvonalakat alkalmaznak a hagyományos folyamatirányítási rétegektől való függés csökkentésére.
Az emberi tevékenységek összekapcsolása a LOPA-számításokkal
A LOPA-elemzés az üzemeltetési forgatókönyveket numerikus kockázati összefüggésekké alakítja. Az emberi hibák gyakorisága, az IPL-ek teljesítménye és a célként meghatározott eseménygyakoriságok együttesen határozzák meg a SIF szükséges integritását.
A gyakorlati projektekben az operátori hibák gyakran meghatározzák, milyen gyakran következik be egy védelmi igénybevétel. A biztonsági rendszerek ezután biztosítják az elfogadható, tolerálható eseménygyakoriság eléréséhez szükséges kockázatcsökkentést.
4. ábra. Az emberi tevékenységek befolyásolják a kezdeményező események igénybevételi gyakoriságát és a szükséges SIF-integritási szinteket.
A mérnöki valóság működő üzemekben
A valós biztonsági vizsgálatok ritkán buknak el pusztán a matematika miatt. Akkor vallanak kudarcot, amikor a kezelői teljesítményre vonatkozó feltételezések irreálissá válnak.
A mérnökök néha túlbecsülik a riasztásokra adott válaszok minőségét, miközben nem veszik figyelembe a munkaterhelést, az egyidejű eseményeket vagy az üzemzavarok alatti kommunikációs késedelmeket. Egy elméletileg érvényes IPL működésképtelenné válhat, ha a vezérlőtermi környezet túlterheltté válik.
Ez a kérdés láthatóbbá vált, ahogy az üzemek karcsúbb személyzeti modellek mellett törekednek a magasabb termelési ütemre.
A funkcionális biztonság egyre inkább emberközpontú
A funkcionális biztonság fejlesztésének következő szakasza nagyrészt az ember-gép interakcióra, nem pedig önmagában a hardverre fog összpontosítani. A riasztások racionalizálása, az ergonomikus HMI-tervezés és a kezelői döntéstámogatás ma már ugyanannyira befolyásolja a biztonsági teljesítményt, mint az érzékelők és a logikai végrehajtók.
A modern SIS-architektúrák már integrálják az előrejelző diagnosztikát, a riasztások ideiglenes elnyomásának vezérlését és a kezelői útmutató rendszereket. A tapasztalt kezelők azonban továbbra is olyan ítélőképességet biztosítanak, amelyet az automatizálás bizonytalan folyamatfeltételek mellett nem képes teljes mértékben reprodukálni.
Az iparági tendencia egyértelmű: az automatizálás a sebességet és a következetességet biztosítja, míg a kezelők rendellenes események során alkalmazkodó gondolkodást nyújtanak.
Szerzői vélemény
Számos SIL-vizsgálat továbbra is alábecsüli az emberi viselkedés összetettségét rendellenes üzemállapotok során. Az optimista kezelői válaszfeltételezések kezdetben csökkenthetik a projekt költségeit, de rejtett üzemeltetési kockázatot vezetnek be.
A nagyobb megbízhatóságra törekvő létesítményeknek a kézi beavatkozást a hosszú válaszidejű helyzetekre és az alacsony igénybevételű üzemállapotokra kell korlátozniuk. A súlyos következményekkel járó folyamatok automatikus védelmi beavatkozást igényelnek, amelyet fegyelmezett kezelői eljárások támogatnak, nem pedig azok helyettesítenek.
A legerősebb biztonsági stratégiák ötvözik az automatizálást, az egyértelmű üzemeltetési filozófiát, a reális riasztáskezelést és a kezelői kompetenciák folyamatos fejlesztését.
Oliver Grant | Vezető funkcionális biztonsági elemző
Oliver Grant több mint 14 éves tapasztalattal rendelkezik a folyamatbiztonsági mérnöki munkában, a SIL-ellenőrzésben és a leállító rendszerek integrációjában. Háttere olyan biztonsági életciklus-projekteket foglal magában, amelyekben Honeywell, Yokogawa, Emerson DeltaV, HIMA és Rockwell Automation platformokat alkalmaztak finomítókban, LNG-létesítményekben és energiatermelő üzemekben.
