Kezelői műveletek és beavatkozások funkcionális biztonsági rendszerekben
Az operátori döntések továbbra is kritikus tényezőt jelentenek a funkcionális biztonság teljesítményében. Ez a cikk azt vizsgálja, hogyan sorolja az IEC 61511 szabvány és a LOPA-módszertan az operá...
Az emberi tényező továbbra is alakítja a technológiai biztonságot
Az automatizálási rendszerek folyamatosan fejlődnek a finomítókban, erőművekben, vegyipari üzemekben és tengeri létesítményekben. A tapasztalt kezelők azonban továbbra is az üzembiztonság egyik legbefolyásosabb tényezői. Döntéseikkel még az automatika reagálása előtt megállíthatják az eszkalációt, vagy akaratlanul is veszélyes technológiai állapotokat idézhetnek elő.
A modern funkcionális biztonságtechnika már nem kezeli másodlagos szempontként az emberi interakciót. A nemzetközi szabványok ma már mérhető hozzájárulásként határozzák meg a kezelői műveleteket a SIL-ellenőrzésben, a LOPA-számításokban és a biztonsági életciklus kezelésében.
1. ábra. A biztonsági időzítési összefüggések határozzák meg, hogy a kezelői reakció hatékonyan meg tudja-e akadályozni az eszkalációt.
Miért fontosak a kezelői műveletek a SIL-értékelésekben?
A funkcionális biztonsági vizsgálatok különbséget tesznek a veszélyes állapotokat létrehozó kezelői műveletek és az eszkalációt megakadályozó beavatkozások között. Ez a különbségtétel közvetlenül befolyásolja a kockázatcsökkentési számításokat és az előírt SIL-célértékeket.
Gyakorlati szempontból a vezérlőtermi kezelő hibás szelepsorrenddel, egy áthidalás aktiválásával vagy késedelmes reakcióval eltérést idézhet elő. Ugyanakkor ugyanez a kezelő védelmi gátként is működhet, ha riasztásokra reagál vagy manuálisan indítja el a leállítási eljárásokat.
Ezek a helyzetek működési szempontból hasonlónak tűnnek, az IEC 61511 és a CCPS LOPA módszertanai azonban nagyon eltérően kezelik őket.
Kezelői művelet és kezelői beavatkozás
A kezelői művelet jellemzően szándékos és eljárásalapú. Magában foglalhatja a berendezés indítását, az engedélyezési feltételek megerősítését vagy egy vészleállítási parancs aktiválását. A beavatkozás általában egy rendellenes állapot kialakulása után történik.
Például a vezetékesen bekötött ESD-nyomógomb megnyomása magának a biztonsági funkciónak a részévé válik. A magas hőmérsékletre adott riasztási reakció még a termikus elszabadulási állapotok kialakulása előtt független védelmi rétegnek minősülhet.
A mérnöki kihívás annak meghatározása, hogy rendelkezésre áll-e elegendő idő, függetlenség és megbízhatóság az emberi beavatkozáshoz.
Amikor az emberi hiba kiváltó eseménnyé válik
Az IEC 61511 szabvány a kezdeményező eseményt olyan eltérésként határozza meg, amely a folyamatot veszélyes állapot felé mozdítja. Az emberi hiba gyakran megfelel ennek a meghatározásnak.
Egy helytelenül kinyitott megkerülőszelep, a nem megfelelő karbantartási felülbírálás vagy a reteszelések tesztelés utáni visszaállításának elmulasztása egyaránt működtetési igényeket támaszthat a védelmi rendszerekkel szemben.
A LOPA-vizsgálatokban ezekhez a műveletekhez kezdeményező esemény gyakoriságot (IEF) rendelnek. A hozzárendelt gyakoriság azt tükrözi, hogy egy adott emberi hiba milyen reálisan gyakran fordulhat elő az üzem működése során.
Az emberi megbízhatóság soha nem állandó
A kezelői teljesítmény stressz, fáradtság, nem megfelelő riasztáskezelés vagy nagy munkaterhelés esetén változik. Emiatt a biztonsági vizsgálatok konzervatív feltételezéseket alkalmaznak az emberi megbízhatóságra.
Az egyszerű és begyakorolt eljárásokhoz alacsony kezdeményezési gyakoriság társulhat. A rendellenes üzemállapotok során végrehajtott összetett beavatkozásokhoz lényegesen magasabb értékek tartoznak.
2. ábra. Az emberi műveletek a biztonsági vizsgálatok során mind a kezdeményező eseményekre, mind a védelmi reakciókra hatással vannak.
A régebbi elosztott irányítási rendszereket üzemeltető üzemek gyakran további emberi tényezőkkel kapcsolatos kockázatokkal szembesülnek a riasztások elárasztása és a következetlen HMI-elrendezések miatt. Számos, örökölt platformját korszerűsítő létesítmény ma modern DCS irányítási rendszereket integrál a riasztások priorizálásának és a kezelői áttekinthetőség javítása érdekében.
Beszámíthatók-e a kezelők független védelmi rétegként?
A kézi beavatkozás csak szigorú feltételek mellett minősülhet IPL-nek. A reakciónak függetlennek kell maradnia a kiváltó októl, a rendelkezésre álló folyamatbiztonsági időn belül kell megtörténnie, és validált üzemeltetési eljárást kell követnie.
Az olyan szabványok, mint az ISA TR84, valamint a CCPS útmutatásai általában korlátozzák a kézi IPL beszámítását, mivel az emberi teljesítmény természeténél fogva nem egyenletes. Sok létesítményben a kezelői reakcióra elfogadott maximális kockázatcsökkentési tényező továbbra is 10.
A folyamatbiztonsági idő meghatározza a megvalósíthatóságot
A rendelkezésre álló folyamatbiztonsági idő határozza meg, hogy reális-e a kezelői beavatkozás. Ha a kezelőknek több percük van reagálni a folyamat eltérésére, a kézi beavatkozás továbbra is elfogadható lehet.
Ha a folyamat néhány másodpercen belül nem biztonságos állapotot ér el, az automatizálás kötelezővé válik. Egyetlen reális képzési program sem garantálhatja következetesen a sikeres kézi beavatkozást rendkívül rövid válaszidő-ablakok esetén.
Ez a különbségtétel magyarázza, hogy a nagy sebességű turbinarendszerek, az égőkezelési alkalmazások és a kompresszorvédelem miért támaszkodnak egyre inkább dedikált biztonsági platformokra a pusztán eljárásalapú beavatkozás helyett.
Kézi leállítási műveletek a SIF határain belül
Sok mérnök tévesen kezdeményező eseményként sorolja be a kézi leállítási műveleteket. A valóságban a szándékos vészleállítás-aktiválás gyakran magának a SIF-nek a részét képezi.
Az IEC 61511 egyértelműen kimondja, hogy amikor kézi művelet indít el egy biztonsági funkciót, minden támogató elem a SIF határain belülre tartozik. Ide tartoznak a nyomógombok, a vezetékezés, a logikai végrehajtók, az operátori eljárások és a képzési követelmények.
Vegyünk egy olyan esetet, amikor a reaktornyomás növekedését az automatikus kioldási küszöb elérése előtt észlelik. Az operátor felismerheti a rendellenes szivárgást, és manuálisan aktiválhatja a leállítást, mielőtt a helyzet súlyosbodna.
Ebben a helyzetben az operátor nem hozza létre a veszélyt. A művelet aktívan csökkenti a kockázatot, ezért a biztonsági funkció tervezésének részét képezi.
3. ábra. A kézi leállítási lehetőség gyakran a teljes biztonsági műszeres funkció részeként működik.
Az olyan integrált biztonsági vezérlőket használó létesítmények, mint a Triconex biztonsági rendszerek, gyakran külön, vezetékes leállítási útvonalakat valósítanak meg a szabványos folyamatirányítási rétegektől való függés csökkentése érdekében.
Az emberi műveletek összekapcsolása a LOPA-számításokkal
A LOPA-elemzés az üzemeltetési forgatókönyveket számszerű kockázati összefüggésekké alakítja. Az emberi hibák gyakorisága, az IPL-ek teljesítménye és a célként meghatározott eseménygyakoriságok együttesen határozzák meg a SIF szükséges integritását.
Gyakorlati projektekben az operátori hibák gyakran meghatározzák, hogy milyen gyakran következik be védelmi igény. A biztonsági rendszerek ezután biztosítják az elfogadható tűrhető eseménygyakoriságok eléréséhez szükséges kockázatcsökkentést.
4. ábra. Az emberi műveletek befolyásolják a kezdeményező igénylési gyakoriságokat és a szükséges SIF-integritási szinteket.
Mérnöki valóság működő üzemekben
A valós biztonsági vizsgálatok ritkán kizárólag a matematika miatt vallanak kudarcot. Akkor buknak el, amikor a kezelői teljesítményre vonatkozó feltételezések irreálissá válnak.
A mérnökök néha túlbecsülik a riasztásokra adott reakciók minőségét anélkül, hogy figyelembe vennék a munkaterhelést, az egyidejű eseményeket vagy a kommunikációs késedelmeket üzemzavaros körülmények között. Egy elméletileg érvényes IPL működésképtelenné válhat, ha a vezénylőterem környezete túlterhelődik.
Ez a kérdés egyre láthatóbbá vált, ahogy az üzemek magasabb termelési ütemre törekednek karcsúbb létszámmodellek mellett.
A funkcionális biztonság egyre inkább emberközpontú
A funkcionális biztonság fejlesztésének következő szakasza jelentős mértékben az ember-gép interakcióra, nem pedig önmagában a hardverre fog összpontosítani. A riasztások racionalizálása, az ergonomikus HMI-tervezés és a kezelői döntéstámogatás ma már ugyanannyira befolyásolja a biztonsági teljesítményt, mint az érzékelők és a logikai végrehajtók.
A modern SIS-architektúrák már integrálják az előrejelző diagnosztikát, a riasztások ideiglenes elrejtésének vezérlését és a kezelői útmutatórendszereket. A tapasztalt kezelők azonban továbbra is olyan ítélőképességet biztosítanak, amelyet az automatizálás bizonytalan folyamatkörülmények között nem tud teljes mértékben reprodukálni.
Az iparági trend egyértelmű: az automatizálás a gyorsaságot és a következetességet biztosítja, míg a kezelők rendellenes események során alkalmazkodó gondolkodást nyújtanak.
A szerző véleménye
Számos SIL-vizsgálat még mindig alábecsüli az emberi viselkedés összetettségét rendellenes üzemállapotok során. Az optimista kezelői reakciófeltételezések kezdetben csökkenthetik a projekt költségeit, de rejtett üzemeltetési kockázatot vezetnek be.
A nagyobb megbízhatóságra törekvő létesítményeknek a kézi beavatkozást a hosszú reakcióidejű helyzetekre és az alacsony igénybevételű műveletekre kell korlátozniuk. A súlyos következményekkel járó folyamatok automatikus védelmi beavatkozást igényelnek, amelyet fegyelmezett kezelői eljárások támogatnak, nem pedig azok helyettesítenek.
A legerősebb biztonsági stratégiák az automatizálást, az egyértelmű üzemeltetési filozófiát, a reális riasztáskezelést és a kezelői kompetenciák folyamatos fejlesztését ötvözik.
Oliver Grant | Kiemelt funkcionális biztonsági elemző
Oliver Grant több mint 14 éves tapasztalattal rendelkezik a folyamatbiztonsági mérnöki munka, a SIL-ellenőrzés és a leállítórendszerek integrációja terén. Háttere kiterjed a Honeywell, Yokogawa, Emerson DeltaV, HIMA és Rockwell Automation platformjait alkalmazó biztonsági életciklus-projektekre finomítókban, LNG-létesítményekben és energiatermelő üzemekben.