Üzemeltetői műveletek és beavatkozások a funkcionális biztonsági rendszerekben

Az emberi tényező továbbra is alakítja a folyamatbiztonságot

Az automatizálási rendszerek folyamatosan fejlődnek a finomítókban, erőművekben, vegyi üzemekben és tengeri létesítményekben. Mégis a tapasztalt operátorok maradnak az egyik legbefolyásosabb tényező a létesítmény biztonságában. Döntéseik megállíthatják a helyzet súlyosbodását az automatizálás reagálása előtt, vagy akaratlanul veszélyes folyamatállapotokat idézhetnek elő.

A modern funkcionális biztonságtechnika már nem kezeli az emberi interakciót másodlagos szempontként. A nemzetközi szabványok az operátori műveleteket mérhető hozzájárulóként definiálják a SIL ellenőrzésben, LOPA számításokban és a biztonsági életciklus menedzsmentben.

1. ábra. A biztonsági időzítési kapcsolatok meghatározzák, hogy az operátori válasz hatékonyan meg tudja-e akadályozni a helyzet súlyosbodását.

Miért fontosak az operátori műveletek a SIL értékelésekben

A funkcionális biztonsági tanulmányok megkülönböztetik azokat az operátori műveleteket, amelyek veszélyes állapotokat hoznak létre, és azokat a beavatkozásokat, amelyek megakadályozzák a helyzet súlyosbodását. Ez a különbségtétel közvetlenül befolyásolja a kockázatcsökkentési számításokat és a szükséges SIL célokat.

Gyakorlatban egy irányítótermi operátor hibás szelep sorrenddel, megkerülő aktiválással vagy késleltetett válasszal indíthat el egy eltérést. Ugyanakkor ugyanaz az operátor védelmi gátként is szolgálhat, ha riasztásokra reagál vagy kézzel indítja el a leállítási eljárásokat.

Ezek a forgatókönyvek működés szempontjából hasonlónak tűnnek, de az IEC 61511 és a CCPS LOPA módszertanokban nagyon eltérően kezelik őket.

Operátori művelet kontra operátori beavatkozás

Az operátori beavatkozás általában szándékos és eljáráskövető. Magában foglalhatja a berendezés indítását, engedélyek megerősítését vagy vészleállítási parancs aktiválását. A beavatkozás általában rendellenes állapot kialakulása után történik.

Például egy vezetékes ESD nyomógomb megnyomása maga a biztonsági funkció része lesz. Egy magas hőmérsékletű riasztásra adott válasz a kontrollálhatatlan állapotok kialakulása előtt független védelmi rétegnek minősülhet.

A műszaki kihívás annak meghatározása, hogy van-e elegendő idő, függetlenség és megbízhatóság az emberi reakcióhoz.

Amikor az emberi hiba válik az indító eseménnyé

Az IEC 61511 az indító eseményt úgy definiálja, mint az eltérést, amely egy folyamatot veszélyes állapot felé mozdít el. Az emberi hiba gyakran megfelel ennek a definíciónak.

Egy helytelenül nyitott kerülő szelep, nem megfelelő karbantartási felülbírálás vagy a zárolások teszt utáni visszaállításának elmulasztása mind folyamatigényeket generálhat a védelmi rendszerek felé.

A LOPA tanulmányokban ezek a cselekvések indító esemény gyakoriságot (IEF) kapnak. A hozzárendelt gyakoriság azt tükrözi, hogy egy adott emberi hiba milyen gyakran fordulhat elő reálisan az üzem működése során.

Az emberi megbízhatóság soha nem állandó

Az operátori teljesítmény változik stressz, fáradtság, rossz riasztáskezelés vagy magas munkaterhelés esetén. E változékonyság miatt a biztonsági tanulmányok konzervatív feltételezéseket alkalmaznak az emberi megbízhatóságra.

Az egyszerű és jól begyakorolt eljárások alacsony indítási gyakoriságot hordozhatnak. A bonyolult beavatkozások rendellenes működési körülmények között jelentősen magasabb értékeket kapnak.

2. ábra. Az emberi cselekvések befolyásolják mind az indító eseményeket, mind a védelmi válaszokat a biztonsági tanulmányokban.

Az idősebb elosztott vezérlőrendszereket használó üzemek gyakran további emberi tényező kockázatokkal néznek szembe a riasztási túlterhelés és az inkonzisztens HMI elrendezések miatt. Sok létesítmény, amely régi platformokat frissít, most modern DCS vezérlőrendszereket integrál a riasztások prioritásának és az operátori láthatóságnak a javítása érdekében.

Lehetnek-e az operátorok független védelmi rétegeknek elismerve?

A kézi beavatkozás csak szigorú feltételek mellett minősülhet IPL-nek. A válasznak függetlennek kell maradnia az indító okoktól, a rendelkezésre álló folyamatbiztonsági időn belül kell megtörténnie, és érvényesített működési eljárásokat kell követnie.

Az olyan szabványok, mint az ISA TR84 és a CCPS iránymutatásai általában korlátozzák a kézi IPL hitelt, mivel az emberi teljesítmény inherensen változó. Sok létesítményben az operátori válaszra elfogadott maximális kockázatcsökkentési tényező továbbra is 10.

A folyamatbiztonsági idő meghatározza a megvalósíthatóságot

A rendelkezésre álló folyamatbiztonsági idő határozza meg, hogy a kezelői beavatkozás reális-e. Ha a kezelőknek több percük van reagálni egy folyamateltérésre, a kézi beavatkozás még elfogadható lehet.

Ha a folyamat másodpercek alatt eléri a veszélyes állapotokat, az automatizálás kötelezővé válik. Egyetlen reális képzési program sem garantálhatja következetesen a sikeres kézi beavatkozást az extrém rövid válaszidő alatt.

Ez a megkülönböztetés magyarázza, hogy a nagy sebességű turbinarendszerek, az égőkezelő alkalmazások és a kompresszorvédelem miért támaszkodik egyre inkább dedikált biztonsági platformokra a pusztán eljárásbeli beavatkozás helyett.

Kézi leállítási műveletek a SIF határain belül

Sok mérnök tévesen azonosítja a kézi leállítási műveleteket indító eseményként. Valójában a szándékos vészleállítás aktiválása gyakran maga a SIF része.

Az IEC 61511 egyértelműen kimondja, hogy amikor kézi beavatkozás indít biztonsági funkciót, minden támogató elem a SIF határain belül van. Ez magában foglalja a nyomógombokat, a vezetékezést, a logikai megoldókat, az operátori eljárásokat és a képzési követelményeket.

Vegyünk egy reaktor nyomásnövekedést, amelyet az automatikus leállítási küszöb elérése előtt észlelnek. Az operátor felismerheti a rendellenes szivárgást, és kézzel aktiválhatja a leállítást az eszkaláció előtt.

Ebben az esetben az operátor nem hozza létre a veszélyt. A cselekvés aktívan csökkenti a kockázatot, ezért a biztonsági funkció tervezésén belül helyezkedik el.

3. ábra. A kézi leállítási képesség gyakran a teljes biztonsági műszaki funkció részeként működik.

Az olyan létesítmények, amelyek integrált biztonsági vezérlőket használnak, mint például a Triconex biztonsági rendszerek, gyakran dedikált, vezetékes leállítási útvonalakat alkalmaznak a szabványos folyamatvezérlési rétegektől való függőség csökkentésére.

Az emberi cselekvések összekapcsolása a LOPA számításokkal

A LOPA elemzés az üzemeltetési forgatókönyveket numerikus kockázati összefüggésekké alakítja. Az emberi hibák gyakorisága, az IPL teljesítménye és a cél eseménygyakoriságok együttesen határozzák meg a szükséges SIF integritást.

Gyakorlati projektekben az operátori hibák gyakran meghatározzák, milyen gyakran fordul elő védelmi igény. A biztonsági rendszerek ezután biztosítják a szükséges kockázatcsökkentést az elfogadható eseménygyakoriság eléréséhez.

4. ábra. Az emberi cselekvések befolyásolják az indító igények gyakoriságát és a szükséges SIF integritási szintjeit.

Műszaki valóság az üzemelő létesítményekben

A valós biztonsági tanulmányok ritkán buknak meg pusztán a matematikai számítások miatt. Akkor buknak meg, amikor a kezelői teljesítményről alkotott feltételezések irreálisak lesznek.

A mérnökök néha túlbecsülik a riasztásra adott válasz minőségét anélkül, hogy figyelembe vennék a munkaterhelést, az egyidejű eseményeket vagy a kommunikációs késéseket zavaros helyzetekben. Egy elméletileg érvényes IPL működésképtelenné válhat, ha az irányítóterem környezete túlterheltté válik.

Ez a kérdés egyre láthatóbbá vált, ahogy az üzemek magasabb termelési szintekre törekednek kevesebb személyzettel.

A funkcionális biztonság egyre inkább emberközpontúvá válik

A funkcionális biztonság következő fejlesztési szakasza erősen az ember-gép interakcióra fog összpontosítani, nem csupán a hardverre. A riasztások racionalizálása, az ergonómikus HMI tervezés és a kezelői döntéstámogatás mostanra ugyanolyan mértékben befolyásolja a biztonsági teljesítményt, mint az érzékelők és a logikai megoldók.

A modern SIS architektúrák már integrálják az előrejelző diagnosztikát, a riasztás elhalasztásának szabályozását és a kezelői irányítási rendszereket. Azonban a tapasztalt kezelők még mindig olyan ítélőképességet biztosítanak, amelyet az automatizálás nem tud teljesen helyettesíteni bizonytalan folyamatfeltételek között.

Az iparági trend egyértelmű: az automatizálás kezeli a sebességet és a következetességet, míg a kezelők adaptív érvelést nyújtanak rendellenes események során.

Szerzői vélemény

Sok SIL tanulmány még mindig alábecsüli az emberi viselkedés összetettségét rendellenes működési körülmények között. Az optimista kezelői válaszfeltételezések alkalmazása kezdetben csökkentheti a projekt költségeit, de rejtett működési kockázatot vezet be.

A megbízhatóság növelésére törekvő létesítményeknek a manuális beavatkozást hosszú válaszidős helyzetekre és alacsony igényű műveletekre kell fenntartaniuk. A magas következményű folyamatok automatikus védelmi intézkedéseket igényelnek, amelyeket fegyelmezett kezelői eljárások támogatnak, nem pedig azok függvényei.

A legerősebb biztonsági stratégiák ötvözik az automatizálást, a világos működési filozófiát, a reális riasztáskezelést és a folyamatos kezelői kompetenciafejlesztést.

Oliver Grant | Vezető funkcionális biztonsági elemző

Oliver Grant több mint 14 éves tapasztalattal rendelkezik a folyamatbiztonsági mérnökség, a SIL-ellenőrzés és a leállítási rendszerek integrációja terén. Háttérmunkája biztonsági életciklus-projekteket foglal magában, amelyek során Honeywell, Yokogawa, Emerson DeltaV, HIMA és Rockwell Automation platformokat használt finomító, LNG és energiatermelő létesítményekben.