Czynnik ludzki nadal kształtuje bezpieczeństwo procesowe

Systemy automatyki wciąż ewoluują w rafineriach, elektrowniach, instalacjach chemicznych i obiektach offshore. Jednak doświadczeni operatorzy nadal pozostają jednymi z najbardziej wpływowych czynników wpływających na bezpieczeństwo instalacji. Ich decyzje mogą powstrzymać eskalację, zanim zareaguje automatyka, albo nieumyślnie wywołać niebezpieczne warunki procesu.

Współczesna inżynieria bezpieczeństwa funkcjonalnego nie traktuje już interakcji człowieka jako kwestii drugorzędnej. Normy międzynarodowe definiują obecnie działania operatora jako mierzalne czynniki uwzględniane podczas weryfikacji SIL, obliczeń LOPA i zarządzania cyklem życia bezpieczeństwa.

Rysunek 1. Zależności czasowe dotyczące bezpieczeństwa określają, czy reakcja operatora może skutecznie zapobiec eskalacji.

Dlaczego działania operatora mają znaczenie w ocenach SIL

W analizach bezpieczeństwa funkcjonalnego rozróżnia się działania operatora, które powodują powstanie warunków niebezpiecznych, od interwencji zapobiegających eskalacji. Rozróżnienie to bezpośrednio wpływa na obliczenia redukcji ryzyka oraz wymagane poziomy SIL.

W praktyce operator sterowni może wywołać odchylenie poprzez nieprawidłową sekwencję przestawiania zaworów, aktywację obejścia lub opóźnioną reakcję. Ten sam operator może jednak również pełnić funkcję bariery ochronnej, reagując na alarmy lub ręcznie inicjując procedury wyłączenia.

Scenariusze te wyglądają podobnie z operacyjnego punktu widzenia, lecz w metodykach IEC 61511 i CCPS LOPA są traktowane zupełnie inaczej.

Działanie operatora a interwencja operatora

Działanie operatora jest zazwyczaj zamierzone i realizowane zgodnie z procedurą. Może obejmować uruchomienie urządzeń, potwierdzenie spełnienia warunków zezwalających lub aktywację polecenia awaryjnego wyłączenia. Interwencja zwykle następuje po wystąpieniu stanu anormalnego.

Na przykład naciśnięcie przewodowego przycisku ESD staje się częścią samej funkcji bezpieczeństwa. Reakcja na alarm wysokiej temperatury, zanim rozwiną się warunki rozbiegania procesu, może zostać uznana za niezależną warstwę ochrony.

Wyzwanie inżynierskie polega na ustaleniu, czy na reakcję człowieka istnieje wystarczająco dużo czasu oraz czy reakcja ta jest wystarczająco niezależna i niezawodna.

Gdy błąd ludzki staje się zdarzeniem inicjującym

Norma IEC 61511 definiuje zdarzenie inicjujące jako odchylenie, które prowadzi proces w kierunku stanu niebezpiecznego. Błąd człowieka często spełnia tę definicję.

Nieprawidłowo otwarty zawór obejściowy, niewłaściwe obejście zabezpieczenia podczas konserwacji lub nieprzywrócenie blokad po testach mogą powodować zapotrzebowanie na działanie systemów ochronnych.

W analizach LOPA tym działaniom przypisuje się częstość zdarzeń inicjujących (IEF). Przypisana częstość odzwierciedla to, jak często konkretny błąd człowieka może realistycznie wystąpić podczas eksploatacji zakładu.

Niezawodność człowieka nigdy nie jest stała

Skuteczność operatora zmienia się pod wpływem stresu, zmęczenia, niewłaściwego zarządzania alarmami lub dużego obciążenia pracą. Z powodu tej zmienności w analizach bezpieczeństwa stosuje się konserwatywne założenia dotyczące niezawodności człowieka.

Proste i dobrze przećwiczone procedury mogą wiązać się z niską częstością zdarzeń inicjujących. Złożone interwencje w warunkach zakłóceń w pracy otrzymują znacznie wyższe wartości.

Rysunek 2. Działania człowieka wpływają zarówno na zdarzenia inicjujące, jak i na reakcje ochronne w ramach analiz bezpieczeństwa.

Zakłady eksploatujące starsze rozproszone systemy sterowania często borykają się z dodatkowymi zagrożeniami związanymi z czynnikami ludzkimi, wynikającymi z przeciążenia alarmami i niespójnych układów HMI. Wiele zakładów modernizujących starsze platformy integruje obecnie nowoczesne systemy sterowania DCS, aby usprawnić priorytetyzację alarmów i widoczność dla operatorów.

Czy operatorów można uznać za niezależne warstwy ochrony?

Ręczna interwencja może zostać uznana za IPL wyłącznie pod rygorystycznymi warunkami. Reakcja musi być niezależna od przyczyny inicjującej, nastąpić w dostępnym czasie bezpieczeństwa procesu i przebiegać zgodnie ze zwalidowanymi procedurami operacyjnymi.

Normy takie jak ISA TR84 oraz wytyczne CCPS zazwyczaj ograniczają możliwość zaliczenia ręcznej reakcji jako IPL, ponieważ działanie człowieka jest z natury niespójne. W wielu zakładach maksymalny akceptowany współczynnik redukcji ryzyka dla reakcji operatora nadal wynosi 10.

Czas bezpieczeństwa procesu określa wykonalność

Dostępny czas bezpieczeństwa procesu decyduje o tym, czy interwencja operatora jest realistyczna. Jeśli operatorzy mają kilka minut na reakcję na odchylenie procesu, ręczna reakcja może nadal być akceptowalna.

Jeśli proces w ciągu kilku sekund osiąga stan niebezpieczny, automatyzacja staje się obowiązkowa. Żaden realistyczny program szkoleniowy nie może konsekwentnie zagwarantować skutecznej ręcznej interwencji w niezwykle krótkim oknie czasowym reakcji.

To rozróżnienie wyjaśnia, dlaczego systemy szybkoobrotowych turbin, aplikacje zarządzania palnikami oraz systemy ochrony sprężarek coraz częściej opierają się na dedykowanych platformach bezpieczeństwa, a nie wyłącznie na interwencji proceduralnej.

Ręczne działania związane z wyłączeniem awaryjnym w granicach SIF

Wielu inżynierów błędnie klasyfikuje ręczne działania związane z wyłączeniem awaryjnym jako zdarzenia inicjujące. W rzeczywistości celowe uruchomienie wyłączenia awaryjnego często stanowi część samej SIF.

Norma IEC 61511 jasno stwierdza, że gdy działanie ręczne inicjuje funkcję bezpieczeństwa, każdy element wspierający należy do granic SIF. Obejmuje to przyciski, okablowanie, układy wykonujące logikę, procedury operatorskie oraz wymagania dotyczące szkoleń.

Rozważmy wzrost ciśnienia w reaktorze wykryty przed osiągnięciem progu automatycznego wyłączenia. Operator może rozpoznać nietypowy wyciek i ręcznie uruchomić wyłączenie, zanim dojdzie do eskalacji zdarzenia.

W tej sytuacji operator nie powoduje zagrożenia. Działanie aktywnie zmniejsza ryzyko, dlatego należy je uwzględnić w projekcie funkcji bezpieczeństwa.

Rysunek 3. Możliwość ręcznego wyłączenia awaryjnego często stanowi część całej funkcji bezpieczeństwa z oprzyrządowaniem.

W obiektach wykorzystujących zintegrowane sterowniki bezpieczeństwa, takie jak systemy bezpieczeństwa Triconex, często stosuje się dedykowane, przewodowe tory wyłączenia awaryjnego, aby zmniejszyć zależność od standardowych warstw sterowania procesem.

Powiązanie działań człowieka z obliczeniami LOPA

Analiza LOPA przekształca scenariusze operacyjne w liczbowe zależności ryzyka. Częstość błędów ludzkich, skuteczność warstw ochrony IPL oraz docelowa częstość występowania zdarzeń wspólnie określają wymaganą integralność SIF.

W praktycznych projektach błędy operatora często decydują o tym, jak często występuje zapotrzebowanie na zadziałanie zabezpieczenia. Systemy bezpieczeństwa zapewniają następnie niezbędną redukcję ryzyka, aby osiągnąć akceptowalną tolerowaną częstość występowania zdarzeń.

Rysunek 4. Działania człowieka wpływają na częstość zapotrzebowania na zadziałanie zabezpieczeń oraz wymagane poziomy integralności SIF.

Rzeczywistość inżynierii w działających zakładach

Rzeczywiste analizy bezpieczeństwa rzadko kończą się niepowodzeniem wyłącznie z powodu matematyki. Zawodzą wtedy, gdy założenia dotyczące wydajności operatora stają się nierealistyczne.

Inżynierowie czasami przeceniają jakość reakcji na alarmy, nie uwzględniając obciążenia pracą, jednoczesnego występowania zdarzeń ani opóźnień w komunikacji podczas zakłóceń. Teoretycznie poprawna IPL może zawieść w praktyce, jeśli środowisko sterowni zostanie przeciążone.

Problem ten stał się bardziej widoczny, gdy zakłady zaczęły dążyć do zwiększenia wydajności produkcji przy jednoczesnym ograniczaniu liczby pracowników.

Bezpieczeństwo funkcjonalne w coraz większym stopniu koncentruje się na człowieku

Kolejny etap rozwoju bezpieczeństwa funkcjonalnego będzie w dużej mierze koncentrować się na interakcji człowiek–maszyna, a nie wyłącznie na sprzęcie. Racjonalizacja alarmów, ergonomiczny projekt HMI oraz systemy wspomagania decyzji operatora wpływają obecnie na poziom bezpieczeństwa w takim samym stopniu jak czujniki i jednostki wykonujące funkcje logiczne.

Nowoczesne architektury SIS już integrują diagnostykę predykcyjną, zarządzanie czasowym wyciszaniem alarmów oraz systemy wspomagania operatora. Jednak doświadczeni operatorzy nadal zapewniają ocenę sytuacji, której automatyka nie jest w stanie w pełni odtworzyć w warunkach niepewności procesu.

Trend w branży jest wyraźny: automatyka zapewnia szybkość i spójność działania, natomiast operatorzy wykorzystują zdolność adaptacyjnego rozumowania podczas zdarzeń nieprawidłowych.

Opinia autora

W wielu analizach SIL nadal nie docenia się złożoności ludzkiego zachowania w warunkach nieprawidłowej pracy. Przyjęcie optymistycznych założeń dotyczących reakcji operatora może początkowo obniżyć koszt projektu, ale wprowadza ukryte ryzyko operacyjne.

Instalacje dążące do większej niezawodności powinny rezerwować ręczną interwencję dla scenariuszy wymagających długiego czasu reakcji oraz operacji o niskim zapotrzebowaniu. Procesy o poważnych potencjalnych skutkach wymagają automatycznego działania ochronnego wspieranego zdyscyplinowanymi procedurami operatorskimi, a nie uzależnionego od nich.

Najskuteczniejsze strategie bezpieczeństwa łączą automatykę, jasno określoną filozofię eksploatacji, realistyczne zarządzanie alarmami oraz ciągły rozwój kompetencji operatorów.

Oliver Grant | Starszy analityk bezpieczeństwa funkcjonalnego

Oliver Grant ma ponad 14 lat doświadczenia w inżynierii bezpieczeństwa procesowego, weryfikacji SIL oraz integracji systemów awaryjnego wyłączania. Jego doświadczenie obejmuje projekty związane z cyklem życia bezpieczeństwa, wykorzystujące platformy Honeywell, Yokogawa, Emerson DeltaV, HIMA i Rockwell Automation w instalacjach rafineryjnych, LNG oraz obiektach wytwarzania energii.