L'elemento umano continua a determinare la sicurezza dei processi

I sistemi di automazione continuano a evolversi nelle raffinerie, nelle centrali elettriche, nelle unità chimiche e negli impianti offshore. Tuttavia, gli operatori esperti restano una delle variabili più influenti per la sicurezza degli impianti. Le loro decisioni possono arrestare l'escalation prima che intervenga l'automazione oppure innescare involontariamente condizioni di processo pericolose.

L'ingegneria della sicurezza funzionale moderna non considera più l'interazione umana come un aspetto secondario. Gli standard internazionali definiscono ora le azioni dell'operatore come contributi misurabili nell'ambito della verifica SIL, dei calcoli LOPA e della gestione del ciclo di vita della sicurezza.

Figura 1. Le relazioni temporali della sicurezza determinano se la risposta dell'operatore può prevenire efficacemente l'escalation.

Perché le azioni dell'operatore sono importanti nelle valutazioni SIL

Gli studi sulla sicurezza funzionale distinguono tra le azioni dell'operatore che creano condizioni pericolose e gli interventi che impediscono l'escalation. Questa distinzione influenza direttamente i calcoli della riduzione del rischio e i target SIL richiesti.

In termini pratici, un operatore di sala controllo può avviare una deviazione mediante una sequenza errata delle valvole, l'attivazione di un bypass o una risposta ritardata. Al contrario, lo stesso operatore può anche fungere da barriera protettiva rispondendo agli allarmi o avviando manualmente le procedure di arresto.

Questi scenari appaiono operativamente simili, ma sono trattati in modo molto diverso nelle metodologie IEC 61511 e CCPS LOPA.

Azione dell'operatore versus intervento dell'operatore

Un'azione dell'operatore è generalmente intenzionale e procedurale. Può comportare l'avviamento di apparecchiature, la conferma delle condizioni abilitanti o l'attivazione di un comando di arresto di emergenza. Un intervento avviene solitamente dopo che si è sviluppata una condizione anomala.

Ad esempio, premere un pulsante ESD cablato diventa parte integrante della funzione di sicurezza. Rispondere a un allarme di alta temperatura prima che si sviluppino condizioni di fuga termica può qualificarsi come livello di protezione indipendente.

La sfida ingegneristica consiste nel determinare se esistano tempo, indipendenza e affidabilità sufficienti per la risposta umana.

Quando l'errore umano diventa l'evento iniziatore

La norma IEC 61511 definisce un evento iniziatore come la deviazione che porta un processo verso una condizione pericolosa. L’errore umano rientra spesso in questa definizione.

Una valvola di bypass aperta per errore, un override di manutenzione improprio o il mancato ripristino degli interblocchi dopo i test possono tutti generare richieste di intervento ai sistemi di protezione.

Negli studi LOPA, a queste azioni viene assegnata una frequenza di evento iniziatore (IEF). La frequenza assegnata riflette la frequenza con cui uno specifico errore umano può realisticamente verificarsi durante il funzionamento dell’impianto.

L’affidabilità umana non è mai costante

Le prestazioni dell’operatore cambiano in condizioni di stress, affaticamento, gestione inadeguata degli allarmi o carico di lavoro elevato. Per questa variabilità, gli studi di sicurezza applicano ipotesi conservative all’affidabilità umana.

Procedure semplici e ben praticate possono avere frequenze iniziatrici basse. Gli interventi complessi durante condizioni operative anomale ricevono valori significativamente più elevati.

Figura 2. Le azioni umane influenzano sia gli eventi iniziatori sia le risposte protettive nell’ambito degli studi di sicurezza.

Gli impianti che utilizzano sistemi di controllo distribuito meno recenti devono spesso affrontare ulteriori rischi legati ai fattori umani, dovuti alla proliferazione degli allarmi e a layout HMI incoerenti. Molte strutture che aggiornano le piattaforme legacy integrano oggi moderni sistemi di controllo DCS per migliorare la definizione delle priorità degli allarmi e la visibilità per gli operatori.

Gli operatori possono essere considerati livelli di protezione indipendenti?

L’intervento manuale può essere considerato un IPL solo a condizioni rigorose. La risposta deve rimanere indipendente dalla causa iniziatrice, verificarsi entro il tempo disponibile per la sicurezza del processo e seguire procedure operative convalidate.

Standard come ISA TR84 e le linee guida CCPS limitano generalmente il riconoscimento del credito IPL per gli interventi manuali, poiché le prestazioni umane sono intrinsecamente incoerenti. In molti impianti, il fattore massimo di riduzione del rischio accettato per la risposta dell’operatore rimane pari a 10.

Il tempo di sicurezza del processo definisce la fattibilità

Il tempo disponibile per la sicurezza del processo determina se l’intervento dell’operatore è realistico. Se gli operatori hanno diversi minuti per reagire a una deviazione del processo, una risposta manuale può rimanere accettabile.

Se il processo raggiunge condizioni non sicure nel giro di pochi secondi, l'automazione diventa obbligatoria. Nessun programma di formazione realistico può garantire costantemente il successo di un intervento manuale durante finestre di risposta estremamente brevi.

Questa distinzione spiega perché i sistemi di turbine ad alta velocità, le applicazioni di gestione dei bruciatori e la protezione dei compressori dipendono sempre più da piattaforme di sicurezza dedicate anziché dal solo intervento procedurale.

Azioni di arresto manuale all'interno dei confini della SIF

Molti ingegneri classificano erroneamente le azioni di arresto manuale come eventi iniziatori. In realtà, l'attivazione deliberata dell'arresto di emergenza spesso costituisce parte integrante della SIF.

La norma IEC 61511 stabilisce chiaramente che, quando un'azione manuale avvia una funzione di sicurezza, ogni elemento di supporto rientra nei confini della SIF. Ciò include pulsanti, cablaggio, risolutori logici, procedure operative e requisiti di formazione.

Si consideri un aumento della pressione del reattore rilevato prima del raggiungimento della soglia di intervento automatico. Un operatore può riconoscere una perdita anomala e attivare manualmente l'arresto prima che si verifichi un'escalation.

In questa situazione, l'operatore non crea il pericolo. L'azione riduce attivamente il rischio e appartiene quindi alla progettazione della funzione di sicurezza.

Figura 3. La capacità di arresto manuale opera spesso come parte della funzione strumentata di sicurezza complessiva.

Gli impianti che utilizzano controller di sicurezza integrati, come i sistemi di sicurezza Triconex, spesso implementano percorsi di arresto dedicati cablati per ridurre la dipendenza dai livelli standard di controllo del processo.

Collegare le azioni umane ai calcoli LOPA

L'analisi LOPA converte gli scenari operativi in relazioni di rischio numeriche. Le frequenze degli errori umani, le prestazioni degli IPL e le frequenze obiettivo degli eventi determinano complessivamente il livello di integrità richiesto della SIF.

Nei progetti reali, gli errori degli operatori spesso determinano la frequenza con cui si verifica una richiesta di intervento protettivo. I sistemi di sicurezza forniscono quindi la necessaria riduzione del rischio per raggiungere frequenze accettabili di eventi tollerabili.

Figura 4. Le azioni umane influenzano i tassi di richiesta iniziale e i livelli di integrità SIF richiesti.

La realtà ingegneristica all'interno degli impianti in esercizio

Gli studi di sicurezza nel mondo reale raramente falliscono soltanto a causa della matematica. Falliscono quando le ipotesi sulle prestazioni degli operatori diventano irrealistiche.

A volte gli ingegneri sovrastimano la qualità della risposta agli allarmi senza considerare il carico di lavoro, gli eventi simultanei o i ritardi di comunicazione durante le condizioni di perturbazione. Un IPL teoricamente valido può fallire sul piano operativo se l’ambiente della sala controllo diventa sovraccarico.

Questo problema è diventato più evidente con l’aumento delle produzioni negli impianti e l’adozione di modelli organizzativi con organici più ridotti.

La sicurezza funzionale è sempre più incentrata sull’uomo

La prossima fase dello sviluppo della sicurezza funzionale si concentrerà fortemente sull’interazione uomo-macchina, anziché soltanto sull’hardware. La razionalizzazione degli allarmi, la progettazione ergonomica delle HMI e il supporto alle decisioni degli operatori influenzano ora le prestazioni di sicurezza tanto quanto i sensori e i risolutori logici.

Le moderne architetture SIS integrano già diagnostica predittiva, controllo della sospensione degli allarmi e sistemi di guida per gli operatori. Tuttavia, gli operatori esperti continuano a fornire un giudizio che l’automazione non può replicare pienamente durante condizioni di processo incerte.

La tendenza del settore è chiara: l’automazione gestisce velocità e uniformità, mentre gli operatori forniscono capacità di ragionamento adattivo durante gli eventi anomali.

Opinione dell’autore

Molti studi SIL sottovalutano ancora la complessità del comportamento umano durante condizioni operative anomale. Attribuire agli operatori tempi di risposta ottimistici può ridurre inizialmente i costi del progetto, ma introduce rischi operativi nascosti.

Gli impianti che puntano a una maggiore affidabilità dovrebbero riservare l’intervento manuale agli scenari con tempi di risposta lunghi e alle operazioni a bassa richiesta. I processi ad alto rischio richiedono un’azione protettiva automatica supportata da procedure operative rigorose, non dipendente da esse.

Le strategie di sicurezza più efficaci combinano automazione, una filosofia operativa chiara, una gestione realistica degli allarmi e lo sviluppo continuo delle competenze degli operatori.

Oliver Grant | Analista senior della sicurezza funzionale

Oliver Grant vanta oltre 14 anni di esperienza nell’ingegneria della sicurezza dei processi, nella verifica SIL e nell’integrazione dei sistemi di arresto. La sua esperienza comprende progetti relativi al ciclo di vita della sicurezza che coinvolgono le piattaforme Honeywell, Yokogawa, Emerson DeltaV, HIMA e Rockwell Automation, presso impianti di raffinazione, produzione di GNL e generazione di energia.