การดำเนินการและการแทรกแซงของผู้ปฏิบัติงานในระบบความปลอดภัยเชิงหน้าที่

องค์ประกอบด้านมนุษย์ยังคงกำหนดทิศทางความปลอดภัยของกระบวนการ

ระบบอัตโนมัติยังคงพัฒนาอย่างต่อเนื่องในโรงกลั่น โรงไฟฟ้า หน่วยกระบวนการเคมี และสถานประกอบการนอกชายฝั่ง อย่างไรก็ตาม ผู้ปฏิบัติงานที่มีประสบการณ์ยังคงเป็นหนึ่งในตัวแปรที่มีอิทธิพลมากที่สุดต่อความปลอดภัยของโรงงาน การตัดสินใจของพวกเขาอาจหยุดการลุกลามได้ก่อนที่ระบบอัตโนมัติจะตอบสนอง หรืออาจกระตุ้นสภาวะกระบวนการที่เป็นอันตรายโดยไม่ได้ตั้งใจ

วิศวกรรมความปลอดภัยเชิงหน้าที่สมัยใหม่ไม่ถือว่าปฏิสัมพันธ์ระหว่างมนุษย์เป็นเพียงข้อพิจารณารองอีกต่อไป ปัจจุบันมาตรฐานสากลกำหนดให้การดำเนินการของผู้ปฏิบัติงานเป็นปัจจัยที่วัดผลได้ภายในการทวนสอบ SIL การคำนวณ LOPA และการจัดการวงจรชีวิตความปลอดภัย

รูปที่ 1 ความสัมพันธ์ด้านเวลาของความปลอดภัยเป็นตัวกำหนดว่า การตอบสนองของผู้ปฏิบัติงานสามารถป้องกันการลุกลามได้อย่างมีประสิทธิผลหรือไม่

เหตุใดการดำเนินการของผู้ปฏิบัติงานจึงมีความสำคัญในการประเมิน SIL

การศึกษาความปลอดภัยเชิงหน้าที่แยกแยะระหว่างการดำเนินการของผู้ปฏิบัติงานที่ก่อให้เกิดสภาวะอันตราย กับการแทรกแซงที่ป้องกันการลุกลาม ความแตกต่างนี้ส่งผลโดยตรงต่อการคำนวณการลดความเสี่ยงและเป้าหมาย SIL ที่ต้องการ

ในทางปฏิบัติ ผู้ปฏิบัติงานในห้องควบคุมอาจเป็นผู้เริ่มต้นความเบี่ยงเบนผ่านการจัดลำดับการเปิด-ปิดวาล์วที่ไม่ถูกต้อง การเปิดใช้งานการบายพาส หรือการตอบสนองล่าช้า ในทางกลับกัน ผู้ปฏิบัติงานคนเดียวกันอาจทำหน้าที่เป็นแนวกั้นป้องกันได้ด้วยการตอบสนองต่อสัญญาณเตือนหรือเริ่มขั้นตอนการหยุดเครื่องด้วยตนเอง

สถานการณ์เหล่านี้ดูคล้ายกันในเชิงปฏิบัติการ แต่ได้รับการปฏิบัติแตกต่างกันอย่างมากภายใต้วิธีการของ IEC 61511 และ CCPS LOPA

การดำเนินการของผู้ปฏิบัติงานกับการแทรกแซงของผู้ปฏิบัติงาน

การดำเนินการของผู้ปฏิบัติงานโดยทั่วไปเป็นการกระทำโดยเจตนาและเป็นไปตามขั้นตอน ซึ่งอาจรวมถึงการเริ่มเดินเครื่อง การยืนยันเงื่อนไขอนุญาต หรือการสั่งหยุดฉุกเฉิน โดยทั่วไปการแทรกแซงจะเกิดขึ้นหลังจากสภาวะผิดปกติพัฒนาแล้ว

ตัวอย่างเช่น การกดปุ่มกด ESD แบบเดินสายตรงจะกลายเป็นส่วนหนึ่งของฟังก์ชันความปลอดภัยเอง การตอบสนองต่อสัญญาณเตือนอุณหภูมิสูงก่อนที่สภาวะการเพิ่มขึ้นอย่างควบคุมไม่ได้จะเกิดขึ้น อาจถือเป็นชั้นการป้องกันอิสระได้

ความท้าทายทางวิศวกรรมอยู่ที่การพิจารณาว่า มีเวลา ความเป็นอิสระ และความน่าเชื่อถือเพียงพอสำหรับการตอบสนองของมนุษย์หรือไม่

เมื่อความผิดพลาดของมนุษย์กลายเป็นเหตุการณ์เริ่มต้น

IEC 61511 ให้คำจำกัดความเหตุการณ์เริ่มต้นว่าเป็นความเบี่ยงเบนที่ผลักดันกระบวนการไปสู่สภาวะอันตราย ข้อผิดพลาดของมนุษย์มักเป็นไปตามคำจำกัดความนี้

วาล์วบายพาสที่เปิดผิด การข้ามระบบเพื่อบำรุงรักษาอย่างไม่ถูกต้อง หรือการไม่คืนสถานะอินเตอร์ล็อกหลังการทดสอบ ล้วนสามารถก่อให้เกิดความต้องการให้ระบบป้องกันทำงานในกระบวนการได้

ในการศึกษา LOPA การดำเนินการเหล่านี้จะได้รับค่าความถี่ของเหตุการณ์เริ่มต้น (IEF) ความถี่ที่กำหนดสะท้อนว่าข้อผิดพลาดเฉพาะของมนุษย์อาจเกิดขึ้นจริงบ่อยเพียงใดระหว่างการเดินระบบ

ความน่าเชื่อถือของมนุษย์ไม่เคยคงที่

ประสิทธิภาพของผู้ปฏิบัติงานเปลี่ยนแปลงไปภายใต้ความเครียด ความเหนื่อยล้า การจัดการสัญญาณเตือนที่ไม่ดี หรือภาระงานสูง ด้วยเหตุนี้ การศึกษาด้านความปลอดภัยจึงใช้สมมติฐานเชิงอนุรักษ์นิยมเกี่ยวกับความน่าเชื่อถือของมนุษย์

ขั้นตอนที่เรียบง่ายและผ่านการฝึกฝนมาอย่างดีอาจมีความถี่ในการก่อเหตุเริ่มต้นต่ำ การแทรกแซงที่ซับซ้อนระหว่างสภาวะการทำงานผิดปกติจะได้รับค่าความถี่ที่สูงกว่ามาก

รูปที่ 2 การดำเนินการของมนุษย์มีอิทธิพลทั้งต่อเหตุการณ์เริ่มต้นและการตอบสนองเชิงป้องกันภายในการศึกษาด้านความปลอดภัย

โรงงานที่ใช้ระบบควบคุมแบบกระจายรุ่นเก่ามักเผชิญความเสี่ยงด้านปัจจัยมนุษย์เพิ่มเติมจากสัญญาณเตือนจำนวนมากเกินไปและรูปแบบ HMI ที่ไม่สอดคล้องกัน ปัจจุบันโรงงานหลายแห่งที่ปรับปรุงแพลตฟอร์มเดิมได้ผสานรวม ระบบควบคุม DCS สมัยใหม่ เพื่อปรับปรุงการจัดลำดับความสำคัญของสัญญาณเตือนและการมองเห็นข้อมูลของผู้ปฏิบัติงาน

ผู้ปฏิบัติงานสามารถได้รับเครดิตเป็นชั้นป้องกันอิสระได้หรือไม่

การแทรกแซงด้วยตนเองอาจมีคุณสมบัติเป็นชั้นป้องกันอิสระ (IPL) ได้เฉพาะภายใต้เงื่อนไขที่เข้มงวด การตอบสนองต้องเป็นอิสระจากสาเหตุเริ่มต้น เกิดขึ้นภายในเวลาความปลอดภัยของกระบวนการที่มีอยู่ และเป็นไปตามขั้นตอนการปฏิบัติงานที่ผ่านการตรวจสอบยืนยันแล้ว

มาตรฐานต่าง ๆ เช่น ISA TR84 และแนวทางของ CCPS มักจำกัดการให้เครดิตชั้นป้องกันอิสระ (IPL) แก่การดำเนินการด้วยตนเอง เนื่องจากประสิทธิภาพของมนุษย์มีความไม่สม่ำเสมอโดยธรรมชาติ ในโรงงานหลายแห่ง ค่าปัจจัยลดความเสี่ยงสูงสุดที่ยอมรับได้สำหรับการตอบสนองของผู้ปฏิบัติงานยังคงอยู่ที่ 10

เวลาความปลอดภัยของกระบวนการกำหนดความเป็นไปได้

เวลาความปลอดภัยของกระบวนการที่มีอยู่เป็นตัวกำหนดว่าการแทรกแซงของผู้ปฏิบัติงานทำได้จริงหรือไม่ หากผู้ปฏิบัติงานมีเวลาหลายนาทีในการตอบสนองต่อความเบี่ยงเบนของกระบวนการ การตอบสนองด้วยตนเองอาจยังคงเป็นทางเลือกที่ยอมรับได้

หากกระบวนการเข้าสู่สภาวะไม่ปลอดภัยภายในเวลาไม่กี่วินาที ระบบอัตโนมัติจึงเป็นสิ่งจำเป็น ไม่มีหลักสูตรฝึกอบรมใดที่สมจริงพอจะรับประกันได้อย่างสม่ำเสมอว่าผู้ปฏิบัติงานจะสามารถแทรกแซงได้สำเร็จภายในช่วงเวลาตอบสนองที่สั้นมาก

ความแตกต่างนี้อธิบายว่าเหตุใดระบบกังหันความเร็วสูง การใช้งานระบบจัดการหัวเผา และการป้องกันคอมเพรสเซอร์ จึงพึ่งพาแพลตฟอร์มความปลอดภัยเฉพาะมากขึ้น แทนการพึ่งพาการดำเนินการตามขั้นตอนเพียงอย่างเดียว

การดำเนินการสั่งหยุดด้วยมือภายในขอบเขตของ SIF

วิศวกรจำนวนมากจัดประเภทการสั่งหยุดการทำงานด้วยมืออย่างไม่ถูกต้องว่าเป็นเหตุการณ์เริ่มต้น แต่ในความเป็นจริง การเปิดใช้งานการหยุดฉุกเฉินโดยเจตนามักเป็นส่วนหนึ่งของ SIF เอง

IEC 61511 ระบุไว้อย่างชัดเจนว่า เมื่อการดำเนินการด้วยมือเป็นตัวเริ่มฟังก์ชันความปลอดภัย องค์ประกอบสนับสนุนทุกส่วนต้องอยู่ภายในขอบเขตของ SIF ซึ่งรวมถึงปุ่มกด การเดินสาย อุปกรณ์แก้ตรรกะ ขั้นตอนปฏิบัติงานของผู้ปฏิบัติงาน และข้อกำหนดด้านการฝึกอบรม

พิจารณากรณีที่ตรวจพบความดันในเครื่องปฏิกรณ์เพิ่มขึ้นก่อนถึงเกณฑ์ทริปอัตโนมัติ ผู้ปฏิบัติงานอาจสังเกตเห็นการรั่วไหลผิดปกติและสั่งหยุดการทำงานด้วยมือก่อนที่เหตุการณ์จะลุกลาม

ในสถานการณ์นี้ ผู้ปฏิบัติงานไม่ได้เป็นผู้ก่อให้เกิดอันตราย การกระทำนั้นช่วยลดความเสี่ยงโดยตรง จึงถือเป็นส่วนหนึ่งของการออกแบบฟังก์ชันความปลอดภัย

รูปที่ 3 ความสามารถในการสั่งหยุดด้วยมือมักทำงานเป็นส่วนหนึ่งของฟังก์ชันเครื่องมือวัดเพื่อความปลอดภัยโดยรวม

โรงงานที่ใช้ตัวควบคุมความปลอดภัยแบบผสานรวม เช่น ระบบความปลอดภัย Triconex มักติดตั้งเส้นทางหยุดการทำงานแบบเดินสายถาวรโดยเฉพาะ เพื่อลดการพึ่งพาชั้นควบคุมกระบวนการมาตรฐาน

การเชื่อมโยงการกระทำของมนุษย์เข้ากับการคำนวณ LOPA

การวิเคราะห์ LOPA แปลงสถานการณ์การปฏิบัติงานให้เป็นความสัมพันธ์ของความเสี่ยงเชิงตัวเลข ความถี่ของข้อผิดพลาดโดยมนุษย์ ประสิทธิภาพของ IPL และความถี่เป้าหมายของเหตุการณ์ ล้วนร่วมกันกำหนดระดับความสมบูรณ์ที่ SIF จำเป็นต้องมี

ในโครงการจริง ความผิดพลาดของผู้ปฏิบัติงานมักเป็นตัวกำหนดความถี่ที่เกิดความต้องการให้ระบบป้องกันทำงาน จากนั้นระบบความปลอดภัยจะจัดให้มีการลดความเสี่ยงที่จำเป็นเพื่อให้ได้ความถี่ของเหตุการณ์ที่ยอมรับได้และอยู่ในเกณฑ์ทนได้

รูปที่ 4 การกระทำของมนุษย์ส่งผลต่ออัตราการเกิดเหตุเริ่มต้นและระดับความสมบูรณ์ที่จำเป็นของ SIF

ความเป็นจริงทางวิศวกรรมภายในโรงงานที่กำลังเดินเครื่อง

การศึกษาความปลอดภัยในโลกจริงแทบไม่ล้มเหลวเพราะคณิตศาสตร์เพียงอย่างเดียว แต่ล้มเหลวเมื่อสมมติฐานเกี่ยวกับประสิทธิภาพของผู้ปฏิบัติงานไม่สอดคล้องกับความเป็นจริง

วิศวกรมักประเมินคุณภาพการตอบสนองต่อสัญญาณเตือนสูงเกินจริง โดยไม่คำนึงถึงภาระงาน เหตุการณ์ที่เกิดขึ้นพร้อมกัน หรือความล่าช้าในการสื่อสารระหว่างสภาวะที่กระบวนการปั่นป่วน IPL ที่ถูกต้องในทางทฤษฎีอาจล้มเหลวในทางปฏิบัติ หากสภาพแวดล้อมในห้องควบคุมมีภาระงานมากเกินไป

ประเด็นนี้เห็นได้ชัดเจนยิ่งขึ้นเมื่อโรงงานต่าง ๆ ผลักดันอัตราการผลิตให้สูงขึ้นภายใต้รูปแบบการจัดบุคลากรที่กระชับมากขึ้น

ความปลอดภัยเชิงหน้าที่มุ่งเน้นมนุษย์มากขึ้นเรื่อย ๆ

ระยะถัดไปของการพัฒนาความปลอดภัยเชิงหน้าที่จะมุ่งเน้นอย่างมากที่ปฏิสัมพันธ์ระหว่างมนุษย์กับเครื่องจักร มากกว่าฮาร์ดแวร์เพียงอย่างเดียว การจัดกลุ่มและปรับเหตุผลของสัญญาณเตือน การออกแบบ HMI ตามหลักการยศาสตร์ และระบบสนับสนุนการตัดสินใจของผู้ปฏิบัติงาน ล้วนมีอิทธิพลต่อสมรรถนะด้านความปลอดภัยในระดับเดียวกับเซ็นเซอร์และตัวแก้สมการตรรกะ

สถาปัตยกรรม SIS สมัยใหม่ผสานรวมการวินิจฉัยเชิงคาดการณ์ การควบคุมการพักสัญญาณเตือน และระบบแนะนำผู้ปฏิบัติงานไว้แล้ว อย่างไรก็ตาม ผู้ปฏิบัติงานที่มีประสบการณ์ยังคงให้วิจารณญาณที่ระบบอัตโนมัติไม่สามารถทดแทนได้อย่างสมบูรณ์ในสภาวะกระบวนการที่ไม่แน่นอน

แนวโน้มของอุตสาหกรรมมีความชัดเจน: ระบบอัตโนมัติรับผิดชอบด้านความรวดเร็วและความสม่ำเสมอ ขณะที่ผู้ปฏิบัติงานให้เหตุผลเชิงปรับตัวระหว่างเหตุการณ์ผิดปกติ

ความคิดเห็นของผู้เขียน

การศึกษา SIL จำนวนมากยังคงประเมินความซับซ้อนของพฤติกรรมมนุษย์ระหว่างสภาวะการเดินเครื่องผิดปกติต่ำเกินไป การตั้งสมมติฐานว่าผู้ปฏิบัติงานจะตอบสนองได้อย่างรวดเร็วเกินจริงอาจลดต้นทุนโครงการได้ในระยะแรก แต่ก่อให้เกิดความเสี่ยงด้านการปฏิบัติงานที่ซ่อนอยู่

โรงงานที่ต้องการความน่าเชื่อถือสูงขึ้นควรสงวนการแทรกแซงด้วยมือไว้สำหรับสถานการณ์ที่มีเวลาตอบสนองนานและการปฏิบัติงานที่มีความต้องการต่ำ กระบวนการที่มีผลกระทบรุนแรงต้องอาศัยการดำเนินการป้องกันโดยอัตโนมัติ ซึ่งได้รับการสนับสนุนจากขั้นตอนการปฏิบัติงานที่มีวินัย ไม่ใช่การพึ่งพาขั้นตอนเหล่านั้น

กลยุทธ์ด้านความปลอดภัยที่แข็งแกร่งที่สุดผสานระบบอัตโนมัติ ปรัชญาการเดินเครื่องที่ชัดเจน การจัดการสัญญาณเตือนที่สอดคล้องกับสภาพจริง และการพัฒนาความสามารถของผู้ปฏิบัติงานอย่างต่อเนื่อง

Oliver Grant | นักวิเคราะห์ความปลอดภัยเชิงหน้าที่อาวุโส

Oliver Grant มีประสบการณ์มากกว่า 14 ปีในด้านวิศวกรรมความปลอดภัยของกระบวนการ การทวนสอบ SIL และการบูรณาการระบบหยุดการทำงานฉุกเฉิน โดยมีประสบการณ์ในโครงการวงจรชีวิตด้านความปลอดภัยที่ใช้แพลตฟอร์ม Honeywell, Yokogawa, Emerson DeltaV, HIMA และ Rockwell Automation ในโรงกลั่น โรงงาน LNG และโรงไฟฟ้า