Działania operatora i interwencje w systemach bezpieczeństwa funkcjonalnego

Czynnik ludzki nadal kształtuje bezpieczeństwo procesowe

Systemy automatyzacji nadal ewoluują w rafineriach, elektrowniach, jednostkach chemicznych i obiektach offshore. Jednak doświadczeni operatorzy pozostają jedną z najbardziej wpływowych zmiennych w bezpieczeństwie zakładu. Ich decyzje mogą zatrzymać eskalację zanim zareaguje automatyka lub nieumyślnie wywołać niebezpieczne warunki procesowe.

Nowoczesna inżynieria bezpieczeństwa funkcjonalnego nie traktuje już interakcji człowieka jako kwestii drugorzędnej. Międzynarodowe normy definiują działania operatora jako mierzalne składniki weryfikacji SIL, obliczeń LOPA i zarządzania cyklem życia bezpieczeństwa.

Rysunek 1. Relacje czasowe bezpieczeństwa określają, czy reakcja operatora może skutecznie zapobiec eskalacji.

Dlaczego działania operatora mają znaczenie w ocenach SIL

Badania bezpieczeństwa funkcjonalnego rozróżniają działania operatora, które tworzą warunki niebezpieczne, od interwencji zapobiegających eskalacji. To rozróżnienie bezpośrednio wpływa na obliczenia redukcji ryzyka i wymagane cele SIL.

W praktyce operator w pomieszczeniu kontrolnym może wywołać odchylenie przez nieprawidłową sekwencję zaworów, aktywację obejścia lub opóźnioną reakcję. Z drugiej strony ten sam operator może również pełnić rolę bariery ochronnej, reagując na alarmy lub ręcznie inicjując procedury wyłączenia.

Te scenariusze wydają się podobne operacyjnie, ale są traktowane bardzo różnie w ramach metodologii IEC 61511 i CCPS LOPA.

Działanie operatora a interwencja operatora

Działanie operatora jest zazwyczaj celowe i proceduralne. Może obejmować uruchomienie urządzenia, potwierdzenie zezwoleń lub aktywację polecenia awaryjnego wyłączenia. Interwencja zwykle następuje po wystąpieniu nieprawidłowego stanu.

Na przykład naciśnięcie twardo okablowanego przycisku ESD staje się częścią samej funkcji bezpieczeństwa. Reakcja na alarm wysokiej temperatury przed rozwojem warunków niekontrolowanych może kwalifikować się jako niezależna warstwa ochronna.

Wyzwanie inżynieryjne polega na określeniu, czy istnieje wystarczająco dużo czasu, niezależności i niezawodności dla reakcji człowieka.

Gdy błąd ludzki staje się zdarzeniem inicjującym

IEC 61511 definiuje zdarzenie inicjujące jako odchylenie, które przesuwa proces w kierunku niebezpiecznego stanu. Błąd ludzki często spełnia tę definicję.

Nieprawidłowo otwarty zawór obejściowy, niewłaściwe nadpisanie konserwacji lub brak przywrócenia blokad po testach mogą generować wymagania procesowe wobec systemów ochronnych.

W badaniach LOPA te działania otrzymują częstotliwość zdarzenia inicjującego (IEF). Przypisana częstotliwość odzwierciedla, jak często realistycznie może wystąpić konkretny błąd ludzki podczas pracy zakładu.

Niezawodność człowieka nigdy nie jest stała

Wydajność operatora zmienia się pod wpływem stresu, zmęczenia, złego zarządzania alarmami lub wysokiego obciążenia pracą. Z powodu tej zmienności badania bezpieczeństwa stosują konserwatywne założenia dotyczące niezawodności człowieka.

Proste i dobrze wyćwiczone procedury mogą mieć niską częstotliwość inicjowania. Złożone interwencje podczas nieprawidłowych warunków pracy otrzymują znacznie wyższe wartości.

Rysunek 2. Działania ludzkie wpływają zarówno na zdarzenia inicjujące, jak i reakcje ochronne w badaniach bezpieczeństwa.

Zakłady korzystające ze starszych rozproszonych systemów sterowania często napotykają dodatkowe ryzyka związane z czynnikiem ludzkim z powodu zalewu alarmów i niejednolitych układów HMI. Wiele zakładów modernizujących starsze platformy integruje teraz nowoczesne systemy sterowania DCS, aby poprawić priorytetyzację alarmów i widoczność operatora.

Czy operatorzy mogą być uznani za niezależne warstwy ochronne?

Ręczna interwencja może kwalifikować się jako IPL tylko pod ścisłymi warunkami. Reakcja musi pozostać niezależna od przyczyny inicjującej, nastąpić w dostępnym czasie bezpieczeństwa procesu i być zgodna z zatwierdzonymi procedurami operacyjnymi.

Normy takie jak ISA TR84 i wytyczne CCPS zazwyczaj ograniczają uznanie ręcznych IPL, ponieważ wydajność człowieka jest z natury niejednolita. W wielu zakładach maksymalny akceptowany współczynnik redukcji ryzyka dla reakcji operatora pozostaje na poziomie 10.

Czas bezpieczeństwa procesu definiuje wykonalność

Dostępny czas bezpieczeństwa procesu określa, czy interwencja operatora jest realistyczna. Jeśli operatorzy mają kilka minut na reakcję na odchylenie procesu, ręczna reakcja może pozostać akceptowalna.

Jeśli proces osiąga niebezpieczne warunki w ciągu kilku sekund, automatyzacja staje się obowiązkowa. Żaden realistyczny program szkoleniowy nie może konsekwentnie zagwarantować skutecznej ręcznej interwencji w tak krótkim czasie reakcji.

To rozróżnienie wyjaśnia, dlaczego systemy turbin wysokiej prędkości, aplikacje zarządzania palnikami i ochrona sprężarek coraz częściej opierają się na dedykowanych platformach bezpieczeństwa, a nie tylko na interwencji proceduralnej.

Ręczne działania wyłączające w granicach SIF

Wielu inżynierów błędnie klasyfikuje ręczne działania wyłączające jako zdarzenia inicjujące. W rzeczywistości celowe aktywowanie awaryjnego wyłączenia często stanowi część samego SIF.

Norma IEC 61511 jasno stwierdza, że gdy ręczne działanie inicjuje funkcję bezpieczeństwa, każdy element wspierający należy do granicy SIF. Obejmuje to przyciski, okablowanie, rozwiązania logiczne, procedury operatora oraz wymagania szkoleniowe.

Rozważmy wzrost ciśnienia w reaktorze wykryty przed osiągnięciem progu automatycznego wyłączenia. Operator może rozpoznać nieszczelność i ręcznie aktywować wyłączenie zanim nastąpi eskalacja.

W tej sytuacji operator nie tworzy zagrożenia. Działanie to aktywnie zmniejsza ryzyko i dlatego należy do projektu funkcji bezpieczeństwa.

Rysunek 3. Możliwość ręcznego wyłączenia często działa jako część ogólnej funkcji bezpieczeństwa.

Obiekty korzystające z zintegrowanych sterowników bezpieczeństwa, takich jak systemy bezpieczeństwa Triconex, często wdrażają dedykowane, przewodowe ścieżki wyłączania, aby zmniejszyć zależność od standardowych warstw sterowania procesem.

Łączenie działań ludzkich z obliczeniami LOPA

Analiza LOPA przekształca scenariusze operacyjne w numeryczne relacje ryzyka. Częstotliwości błędów ludzkich, wydajność IPL oraz docelowe częstotliwości zdarzeń wspólnie określają wymaganą integralność SIF.

W praktycznych projektach błędy operatorów często określają, jak często występuje żądanie ochronne. Systemy bezpieczeństwa zapewniają wtedy niezbędne zmniejszenie ryzyka, aby osiągnąć akceptowalne częstotliwości zdarzeń tolerowanych.

Rysunek 4. Działania ludzkie wpływają na częstość występowania żądań inicjujących oraz wymagane poziomy integralności funkcji bezpieczeństwa (SIF).

Inżynieria rzeczywistości wewnątrz zakładów przemysłowych

Badania bezpieczeństwa w rzeczywistych warunkach rzadko zawodzą z powodu samej matematyki. Zawodzą, gdy założenia dotyczące wydajności operatora stają się nierealistyczne.

Inżynierowie czasem przeceniają jakość reakcji na alarmy, nie biorąc pod uwagę obciążenia pracą, jednoczesnych zdarzeń czy opóźnień w komunikacji podczas sytuacji awaryjnych. Teoretycznie poprawny IPL może zawieść operacyjnie, jeśli środowisko w pomieszczeniu kontrolnym stanie się przeciążone.

Ten problem stał się bardziej widoczny, gdy zakłady dążą do wyższych wskaźników produkcji przy mniejszej liczbie personelu.

Bezpieczeństwo funkcjonalne staje się coraz bardziej skoncentrowane na człowieku

Następna faza rozwoju bezpieczeństwa funkcjonalnego będzie silnie koncentrować się na interakcji człowiek-maszyna, a nie tylko na sprzęcie. Racjonalizacja alarmów, ergonomiczny projekt HMI oraz wsparcie decyzji operatora mają teraz wpływ na wydajność bezpieczeństwa równie duży jak czujniki i rozwiązania logiczne.

Nowoczesne architektury SIS już integrują diagnostykę predykcyjną, kontrolę odkładania alarmów oraz systemy wsparcia operatora. Jednak doświadczeni operatorzy nadal podejmują decyzje, których automatyzacja nie jest w stanie w pełni odwzorować podczas niepewnych warunków procesowych.

Trend w branży jest jasny: automatyzacja zapewnia szybkość i spójność, podczas gdy operatorzy dostarczają adaptacyjne rozumowanie podczas zdarzeń nieprawidłowych.

Opinia autora

Wiele badań SIL nadal niedoszacowuje złożoność zachowań ludzkich podczas nieprawidłowych warunków pracy. Przypisywanie optymistycznych założeń dotyczących reakcji operatora może początkowo obniżyć koszty projektu, ale wprowadza ukryte ryzyko operacyjne.

Zakłady dążące do wyższej niezawodności powinny zarezerwować interwencję ręczną na scenariusze o długim czasie reakcji i operacje o niskim zapotrzebowaniu. Procesy o wysokich konsekwencjach wymagają automatycznych działań ochronnych wspieranych przez zdyscyplinowane procedury operatorów, a nie zależnych od nich.

Najskuteczniejsze strategie bezpieczeństwa łączą automatyzację, jasną filozofię operacyjną, realistyczne zarządzanie alarmami oraz ciągły rozwój kompetencji operatorów.

Oliver Grant | Starszy analityk ds. bezpieczeństwa funkcjonalnego

Oliver Grant ma ponad 14 lat doświadczenia w inżynierii bezpieczeństwa procesowego, weryfikacji SIL oraz integracji systemów awaryjnego wyłączania. Jego doświadczenie obejmuje projekty związane z cyklem życia bezpieczeństwa, wykorzystujące platformy Honeywell, Yokogawa, Emerson DeltaV, HIMA i Rockwell Automation w zakładach rafineryjnych, LNG i elektrowniach.