Tindakan dan Intervensi Pengendali dalam Sistem Keselamatan Berfungsi

Unsur Manusia Masih Membentuk Keselamatan Proses

Sistem automasi terus berkembang di kilang penapisan, loji janakuasa, unit kimia dan kemudahan luar pesisir. Namun, pengendali berpengalaman kekal sebagai salah satu pemboleh ubah paling berpengaruh dalam keselamatan loji. Keputusan mereka boleh menghentikan peningkatan keadaan sebelum automasi bertindak balas atau secara tidak sengaja mencetuskan keadaan proses yang berbahaya.

Kejuruteraan keselamatan berfungsi moden tidak lagi menganggap interaksi manusia sebagai pertimbangan sekunder. Piawaian antarabangsa kini mentakrifkan tindakan pengendali sebagai penyumbang yang boleh diukur dalam pengesahan SIL, pengiraan LOPA dan pengurusan kitar hayat keselamatan.

Rajah 1. Hubungan masa keselamatan menentukan sama ada tindak balas pengendali dapat mencegah peningkatan keadaan dengan berkesan.

Mengapa Tindakan Pengendali Penting dalam Penilaian SIL

Kajian keselamatan berfungsi membezakan antara tindakan pengendali yang mewujudkan keadaan berbahaya dengan intervensi yang menghalang peningkatan keadaan. Perbezaan ini secara langsung mempengaruhi pengiraan pengurangan risiko dan sasaran SIL yang diperlukan.

Dari segi praktikal, pengendali bilik kawalan boleh mencetuskan penyimpangan melalui urutan injap yang salah, pengaktifan pintasan atau tindak balas yang tertangguh. Sebaliknya, pengendali yang sama juga boleh berfungsi sebagai penghalang perlindungan dengan memberi tindak balas kepada penggera atau memulakan prosedur penutupan secara manual.

Senario ini kelihatan serupa dari segi operasi, tetapi dilayan dengan cara yang sangat berbeza dalam metodologi IEC 61511 dan CCPS LOPA.

Tindakan Pengendali Berbanding Intervensi Pengendali

Tindakan pengendali biasanya disengajakan dan mengikut prosedur. Tindakan ini mungkin melibatkan menghidupkan peralatan, mengesahkan permisif atau mengaktifkan arahan penutupan kecemasan. Intervensi biasanya berlaku selepas keadaan luar biasa berkembang.

Sebagai contoh, menekan butang tekan ESD berwayar keras menjadi sebahagian daripada fungsi keselamatan itu sendiri. Memberi tindak balas kepada penggera suhu tinggi sebelum keadaan lari kawalan berlaku mungkin layak dianggap sebagai lapisan perlindungan bebas.

Cabaran kejuruteraan terletak pada penentuan sama ada masa, kebebasan dan kebolehpercayaan yang mencukupi tersedia untuk tindak balas manusia.

Apabila Kesilapan Manusia Menjadi Peristiwa Pencetus

IEC 61511 mentakrifkan peristiwa pencetus sebagai penyimpangan yang menggerakkan proses ke arah keadaan berbahaya. Ralat manusia sering memenuhi definisi ini.

Injap pintasan yang dibuka secara tidak betul, penggantian penyelenggaraan yang tidak wajar, atau kegagalan memulihkan interlok selepas ujian semuanya boleh menghasilkan permintaan proses terhadap sistem perlindungan.

Dalam kajian LOPA, tindakan ini menerima kekerapan peristiwa pencetus (IEF). Kekerapan yang ditetapkan mencerminkan kekerapan ralat manusia tertentu yang mungkin berlaku secara realistik semasa operasi loji.

Kebolehpercayaan Manusia Tidak Pernah Tetap

Prestasi operator berubah akibat tekanan, keletihan, pengurusan penggera yang lemah, atau beban kerja yang tinggi. Oleh sebab kebolehubahan ini, kajian keselamatan menggunakan andaian konservatif terhadap kebolehpercayaan manusia.

Prosedur yang mudah dan kerap diamalkan mungkin mempunyai kekerapan pencetus yang rendah. Campur tangan yang kompleks semasa keadaan operasi tidak normal menerima nilai yang jauh lebih tinggi.

Rajah 2. Tindakan manusia mempengaruhi kedua-dua peristiwa pencetus dan tindak balas perlindungan dalam kajian keselamatan.

Loji yang menggunakan sistem kawalan teragih lama sering menghadapi risiko faktor manusia tambahan akibat lambakan penggera dan susun atur HMI yang tidak konsisten. Banyak kemudahan yang menaik taraf platform legasi kini mengintegrasikan sistem kawalan DCS moden untuk meningkatkan keutamaan penggera dan keterlihatan operator.

Bolehkah Tindakan Operator Diiktiraf sebagai Lapisan Perlindungan Bebas?

Campur tangan manual mungkin layak sebagai IPL hanya di bawah syarat yang ketat. Tindak balas tersebut mestilah bebas daripada punca pencetus, berlaku dalam tempoh masa keselamatan proses yang tersedia, dan mengikut prosedur operasi yang disahkan.

Piawaian seperti ISA TR84 dan panduan CCPS biasanya mengehadkan pengiktirafan kredit IPL manual kerana prestasi manusia sememangnya tidak konsisten. Di banyak kemudahan, faktor pengurangan risiko maksimum yang diterima untuk tindak balas operator masih kekal pada 10.

Masa Keselamatan Proses Menentukan Kebolehlaksanaan

Masa keselamatan proses yang tersedia menentukan sama ada campur tangan operator adalah realistik. Jika operator mempunyai beberapa minit untuk bertindak balas terhadap penyimpangan proses, tindak balas manual mungkin masih boleh diterima.

Jika proses mencapai keadaan tidak selamat dalam beberapa saat, automasi menjadi wajib. Tiada program latihan yang realistik dapat menjamin intervensi manual yang berjaya secara konsisten dalam tempoh tindak balas yang amat singkat.

Perbezaan ini menjelaskan sebab sistem turbin berkelajuan tinggi, aplikasi pengurusan pembakar dan perlindungan pemampat semakin bergantung pada platform keselamatan khusus dan bukannya campur tangan prosedur semata-mata.

Tindakan Pematian Manual dalam Sempadan SIF

Ramai jurutera tersilap mengelaskan tindakan pematian manual sebagai kejadian pencetus. Sebenarnya, pengaktifan pematian kecemasan secara sengaja sering menjadi sebahagian daripada SIF itu sendiri.

IEC 61511 menyatakan dengan jelas bahawa apabila tindakan manual memulakan fungsi keselamatan, setiap elemen sokongan tergolong dalam sempadan SIF. Ini termasuk butang tekan, pendawaian, penyelesai logik, prosedur pengendali dan keperluan latihan.

Pertimbangkan peningkatan tekanan reaktor yang dikesan sebelum ambang trip automatik dicapai. Pengendali mungkin mengenal pasti kebocoran luar biasa dan mengaktifkan pematian secara manual sebelum keadaan menjadi lebih buruk.

Dalam situasi ini, pengendali tidak mencipta bahaya. Tindakan tersebut mengurangkan risiko secara aktif dan oleh itu tergolong dalam reka bentuk fungsi keselamatan.

Rajah 3. Keupayaan pematian manual kerap beroperasi sebagai sebahagian daripada keseluruhan fungsi berinstrumentasi keselamatan.

Kemudahan yang menggunakan pengawal keselamatan bersepadu seperti sistem keselamatan Triconex sering melaksanakan laluan pematian berwayar keras khusus untuk mengurangkan kebergantungan pada lapisan kawalan proses standard.

Menghubungkan Tindakan Manusia dengan Pengiraan LOPA

Analisis LOPA menukarkan senario operasi kepada hubungan risiko berangka. Kekerapan kesilapan manusia, prestasi IPL dan kekerapan kejadian sasaran secara kolektif menentukan integriti SIF yang diperlukan.

Dalam projek praktikal, kesilapan pengendali sering menentukan kekerapan permintaan perlindungan berlaku. Sistem keselamatan kemudiannya menyediakan pengurangan risiko yang diperlukan untuk mencapai kekerapan kejadian yang boleh diterima dan ditoleransi.

Rajah 4. Tindakan manusia mempengaruhi kadar permintaan pencetus dan tahap integriti SIF yang diperlukan.

Realiti Kejuruteraan dalam Loji yang Sedang Beroperasi

Kajian keselamatan dunia sebenar jarang gagal disebabkan matematik semata-mata. Kajian tersebut gagal apabila andaian tentang prestasi pengendali menjadi tidak realistik.

Jurutera kadangkala melebihkan kualiti tindak balas terhadap penggera tanpa mengambil kira beban kerja, kejadian serentak atau kelewatan komunikasi semasa keadaan gangguan. IPL yang sah secara teori mungkin gagal dari segi operasi jika persekitaran bilik kawalan menjadi terlalu terbeban.

Isu ini menjadi lebih ketara apabila loji meningkatkan kadar pengeluaran dengan model penugasan kakitangan yang lebih ramping.

Keselamatan Fungsian Semakin Berpusatkan Manusia

Fasa seterusnya pembangunan keselamatan fungsian akan memberi tumpuan besar kepada interaksi manusia-mesin dan bukan perkakasan semata-mata. Rasionalisasi penggera, reka bentuk HMI ergonomik dan sokongan keputusan pengendali kini mempengaruhi prestasi keselamatan sama pentingnya dengan sensor dan penyelesai logik.

Seni bina SIS moden sudah mengintegrasikan diagnostik ramalan, kawalan penangguhan penggera dan sistem panduan pengendali. Walau bagaimanapun, pengendali berpengalaman masih memberikan pertimbangan yang tidak dapat ditiru sepenuhnya oleh automasi dalam keadaan proses yang tidak menentu.

Trend industri adalah jelas: automasi mengendalikan kelajuan dan konsistensi, manakala pengendali menyediakan penaakulan adaptif semasa kejadian tidak normal.

Pandangan Penulis

Banyak kajian SIL masih memandang rendah kerumitan tingkah laku manusia semasa keadaan operasi tidak normal. Andaian yang terlalu optimistik tentang tindak balas pengendali mungkin mengurangkan kos projek pada peringkat awal, tetapi ia memperkenalkan risiko operasi tersembunyi.

Kemudahan yang mengejar kebolehpercayaan lebih tinggi harus mengehadkan campur tangan manual kepada senario yang memerlukan masa tindak balas panjang dan operasi permintaan rendah. Proses berakibat besar memerlukan tindakan perlindungan automatik yang disokong oleh prosedur pengendali yang berdisiplin, bukannya bergantung padanya.

Strategi keselamatan yang paling kukuh menggabungkan automasi, falsafah operasi yang jelas, pengurusan penggera yang realistik dan pembangunan kecekapan pengendali secara berterusan.

Oliver Grant | Penganalisis Keselamatan Fungsian Kanan

Oliver Grant mempunyai pengalaman lebih 14 tahun dalam kejuruteraan keselamatan proses, pengesahan SIL dan penyepaduan sistem penutupan. Latar belakang beliau merangkumi projek kitar hayat keselamatan yang melibatkan platform Honeywell, Yokogawa, Emerson DeltaV, HIMA dan Rockwell Automation di kemudahan penapisan, LNG dan penjanaan kuasa.