Działania i interwencje operatora w systemach bezpieczeństwa funkcjonalnego

Czynnik ludzki nadal kształtuje bezpieczeństwo procesowe

Systemy automatyki nadal ewoluują w rafineriach, elektrowniach, instalacjach chemicznych i obiektach offshore. Jednak doświadczeni operatorzy pozostają jedną z najważniejszych zmiennych wpływających na bezpieczeństwo zakładu. Ich decyzje mogą zatrzymać eskalację, zanim zareaguje automatyka, lub nieumyślnie wywołać niebezpieczne warunki procesu.

Współczesna inżynieria bezpieczeństwa funkcjonalnego nie traktuje już interakcji człowieka jako kwestii drugorzędnej. Normy międzynarodowe definiują obecnie działania operatora jako mierzalne czynniki uwzględniane w weryfikacji SIL, obliczeniach LOPA i zarządzaniu cyklem życia bezpieczeństwa.

Rysunek 1. Zależności czasowe bezpieczeństwa określają, czy reakcja operatora może skutecznie zapobiec eskalacji.

Dlaczego działania operatora mają znaczenie w ocenach SIL

Analizy bezpieczeństwa funkcjonalnego rozróżniają działania operatora, które powodują powstanie warunków niebezpiecznych, od interwencji, które zapobiegają eskalacji. To rozróżnienie bezpośrednio wpływa na obliczenia redukcji ryzyka i wymagane docelowe poziomy SIL.

W praktyce operator sterowni może wywołać odchylenie wskutek nieprawidłowej sekwencji przestawiania zaworów, aktywacji obejścia lub opóźnionej reakcji. Z drugiej strony ten sam operator może również pełnić funkcję bariery ochronnej, reagując na alarmy lub ręcznie inicjując procedury wyłączenia.

Scenariusze te wyglądają podobnie z operacyjnego punktu widzenia, lecz w metodykach IEC 61511 i CCPS LOPA są traktowane zupełnie inaczej.

Działanie operatora a interwencja operatora

Działanie operatora jest zazwyczaj zamierzone i proceduralne. Może obejmować uruchomienie urządzeń, potwierdzenie warunków zezwalających lub aktywację polecenia awaryjnego wyłączenia. Interwencja zwykle następuje po wystąpieniu nieprawidłowego stanu.

Na przykład naciśnięcie przewodowego przycisku ESD staje się częścią samej funkcji bezpieczeństwa. Reakcja na alarm wysokiej temperatury, zanim rozwiną się warunki rozbiegania procesu, może zostać uznana za niezależną warstwę ochrony.

Wyzwanie inżynieryjne polega na ustaleniu, czy w przypadku reakcji człowieka dostępny jest wystarczający czas oraz czy reakcja jest niezależna i niezawodna.

Gdy błąd człowieka staje się zdarzeniem inicjującym

Norma IEC 61511 definiuje zdarzenie inicjujące jako odchylenie, które kieruje proces w stronę stanu niebezpiecznego. Błąd ludzki często spełnia tę definicję.

Nieprawidłowo otwarty zawór obejściowy, niewłaściwe obejście zabezpieczenia podczas konserwacji lub brak przywrócenia blokad po testach mogą powodować wystąpienie zapotrzebowania procesu na działanie systemów ochronnych.

W analizach LOPA tym działaniom przypisuje się częstość zdarzeń inicjujących (IEF). Przypisana częstość odzwierciedla to, jak często konkretny błąd ludzki może realistycznie wystąpić podczas eksploatacji zakładu.

Niezawodność człowieka nigdy nie jest stała

Skuteczność operatora zmienia się pod wpływem stresu, zmęczenia, niewłaściwego zarządzania alarmami lub dużego obciążenia pracą. Z powodu tej zmienności w analizach bezpieczeństwa stosuje się konserwatywne założenia dotyczące niezawodności człowieka.

Proste i dobrze przećwiczone procedury mogą wiązać się z niską częstością zdarzeń inicjujących. Złożone interwencje w trakcie nietypowych warunków pracy otrzymują znacznie wyższe wartości.

Rysunek 2. Działania człowieka wpływają zarówno na zdarzenia inicjujące, jak i reakcje ochronne w ramach analiz bezpieczeństwa.

Zakłady korzystające ze starszych rozproszonych systemów sterowania często mierzą się z dodatkowymi zagrożeniami związanymi z czynnikami ludzkimi z powodu zalewu alarmów i niespójnych układów HMI. Wiele zakładów modernizujących starsze platformy integruje obecnie nowoczesne systemy sterowania DCS, aby usprawnić priorytetyzację alarmów i widoczność dla operatorów.

Czy operatorów można uznać za niezależne warstwy ochrony?

Interwencja ręczna może zostać uznana za IPL wyłącznie pod rygorystycznymi warunkami. Reakcja musi pozostać niezależna od przyczyny inicjującej, nastąpić w dostępnym czasie bezpiecznego przebiegu procesu oraz przebiegać zgodnie ze zwalidowanymi procedurami operacyjnymi.

Normy takie jak ISA TR84 oraz wytyczne CCPS zazwyczaj ograniczają uwzględnianie ręcznych IPL, ponieważ skuteczność człowieka jest z natury niespójna. W wielu zakładach maksymalny akceptowany współczynnik redukcji ryzyka dla reakcji operatora nadal wynosi 10.

Czas bezpiecznego przebiegu procesu określa wykonalność

Dostępny czas bezpiecznego przebiegu procesu określa, czy interwencja operatora jest realistyczna. Jeśli operatorzy mają kilka minut na reakcję na odchylenie procesu, reakcja ręczna może pozostać akceptowalna.

Jeśli proces w ciągu kilku sekund osiąga niebezpieczne warunki, automatyzacja staje się obowiązkowa. Żaden realistyczny program szkoleniowy nie może konsekwentnie zagwarantować skutecznej ręcznej interwencji w niezwykle krótkich oknach czasowych reakcji.

To rozróżnienie wyjaśnia, dlaczego szybkie układy turbinowe, zastosowania związane z zarządzaniem palnikami oraz zabezpieczenia sprężarek coraz częściej zależą od dedykowanych platform bezpieczeństwa, a nie wyłącznie od interwencji proceduralnej.

Ręczne działania związane z wyłączeniem awaryjnym w granicach SIF

Wielu inżynierów błędnie klasyfikuje ręczne działania związane z wyłączeniem awaryjnym jako zdarzenia inicjujące. W rzeczywistości celowe uruchomienie wyłączenia awaryjnego często stanowi część samej SIF.

Norma IEC 61511 jasno stwierdza, że gdy działanie ręczne uruchamia funkcję bezpieczeństwa, każdy element pomocniczy należy do granic SIF. Obejmuje to przyciski, okablowanie, układy logiczne, procedury operatorskie i wymagania szkoleniowe.

Rozważmy wzrost ciśnienia w reaktorze wykryty przed osiągnięciem progu automatycznego wyłączenia. Operator może rozpoznać nietypowy wyciek i ręcznie uruchomić wyłączenie, zanim dojdzie do eskalacji.

W tej sytuacji operator nie powoduje zagrożenia. Działanie aktywnie zmniejsza ryzyko i dlatego należy je uwzględnić w projekcie funkcji bezpieczeństwa.

Rysunek 3. Możliwość ręcznego wyłączenia awaryjnego często działa jako część całej funkcji bezpieczeństwa.

Instalacje wykorzystujące zintegrowane sterowniki bezpieczeństwa, takie jak systemy bezpieczeństwa Triconex, często stosują dedykowane, przewodowe ścieżki wyłączenia awaryjnego, aby ograniczyć zależność od standardowych warstw sterowania procesem.

Łączenie działań człowieka z obliczeniami LOPA

Analiza LOPA przekształca scenariusze operacyjne w liczbowe zależności ryzyka. Częstości błędów ludzkich, skuteczność IPL oraz docelowe częstości występowania zdarzeń wspólnie określają wymaganą integralność SIF.

W praktycznych projektach błędy operatora często określają, jak często występuje zapotrzebowanie na zadziałanie zabezpieczenia. Systemy bezpieczeństwa zapewniają następnie niezbędną redukcję ryzyka, aby osiągnąć akceptowalne, tolerowane częstości występowania zdarzeń.

Rysunek 4. Działania człowieka wpływają na częstość występowania zapotrzebowania inicjującego oraz wymagane poziomy integralności SIF.

Rzeczywistość inżynieryjna wewnątrz działających instalacji

Rzeczywiste analizy bezpieczeństwa rzadko zawodzą wyłącznie z powodu matematyki. Zawodzą, gdy założenia dotyczące sprawności operatora stają się nierealistyczne.

Inżynierowie czasami przeceniają jakość reakcji na alarmy, nie uwzględniając obciążenia pracą, jednoczesnych zdarzeń ani opóźnień w komunikacji podczas zakłóceń procesu. Teoretycznie prawidłowa IPL może zawieść w praktyce, jeśli środowisko sterowni zostanie przeciążone.

Kwestia ta stała się bardziej widoczna, gdy zakłady dążą do wyższych wskaźników produkcji przy mniejszej liczbie pracowników.

Bezpieczeństwo funkcjonalne staje się coraz bardziej skoncentrowane na człowieku

Kolejny etap rozwoju bezpieczeństwa funkcjonalnego będzie w dużej mierze koncentrować się na interakcji człowiek–maszyna, a nie wyłącznie na sprzęcie. Racjonalizacja alarmów, ergonomiczny projekt HMI oraz wspomaganie decyzji operatora wpływają obecnie na poziom bezpieczeństwa w takim samym stopniu jak czujniki i solwery logiczne.

Nowoczesne architektury SIS już integrują predykcyjną diagnostykę, sterowanie odkładaniem alarmów oraz systemy wspomagania operatora. Jednak doświadczeni operatorzy nadal zapewniają osąd, którego automatyka nie jest w stanie w pełni odtworzyć w warunkach niepewnej pracy procesu.

Trend w branży jest wyraźny: automatyka zapewnia szybkość i spójność działania, a operatorzy dostarczają elastycznego rozumowania podczas zdarzeń nietypowych.

Opinia autora

W wielu analizach SIL nadal nie docenia się złożoności ludzkiego zachowania w warunkach nieprawidłowej pracy. Przyjęcie optymistycznych założeń dotyczących reakcji operatora może początkowo obniżyć koszt projektu, ale wprowadza ukryte ryzyko operacyjne.

Zakłady dążące do większej niezawodności powinny rezerwować ręczną interwencję dla scenariuszy wymagających długiego czasu reakcji oraz operacji o niskim zapotrzebowaniu. Procesy o poważnych konsekwencjach wymagają automatycznego działania ochronnego wspieranego zdyscyplinowanymi procedurami operatorskimi, a nie od nich zależnego.

Najskuteczniejsze strategie bezpieczeństwa łączą automatykę, jasno określoną filozofię prowadzenia ruchu, realistyczne zarządzanie alarmami oraz ciągły rozwój kompetencji operatorów.

Oliver Grant | Starszy analityk bezpieczeństwa funkcjonalnego

Oliver Grant ma ponad 14 lat doświadczenia w inżynierii bezpieczeństwa procesowego, weryfikacji SIL oraz integracji systemów wyłączania awaryjnego. Jego doświadczenie obejmuje projekty związane z cyklem życia bezpieczeństwa, wykorzystujące platformy Honeywell, Yokogawa, Emerson DeltaV, HIMA i Rockwell Automation w zakładach rafineryjnych, instalacjach LNG oraz elektrowniach.