การดำเนินการและการแทรกแซงของผู้ปฏิบัติงานในระบบความปลอดภัยเชิงฟังก์ชัน

องค์ประกอบมนุษย์ยังคงมีบทบาทสำคัญในการกำหนดความปลอดภัยของกระบวนการ

ระบบอัตโนมัติยังคงพัฒนาอย่างต่อเนื่องในโรงกลั่น โรงไฟฟ้า หน่วยเคมี และสถานีชายฝั่งทะเล แต่ผู้ปฏิบัติงานที่มีประสบการณ์ยังคงเป็นตัวแปรที่มีอิทธิพลมากที่สุดในความปลอดภัยของโรงงาน การตัดสินใจของพวกเขาสามารถหยุดการลุกลามก่อนที่ระบบอัตโนมัติจะตอบสนอง หรือโดยไม่ตั้งใจทำให้เกิดสภาวะกระบวนการที่เป็นอันตราย

วิศวกรรมความปลอดภัยเชิงฟังก์ชันสมัยใหม่ไม่ถือว่าการมีปฏิสัมพันธ์ของมนุษย์เป็นเรื่องรองอีกต่อไป มาตรฐานสากลกำหนดให้การกระทำของผู้ปฏิบัติงานเป็นปัจจัยที่วัดได้ภายในกระบวนการตรวจสอบ SIL การคำนวณ LOPA และการจัดการวงจรชีวิตความปลอดภัย

รูปที่ 1 ความสัมพันธ์ของเวลาความปลอดภัยกำหนดว่าการตอบสนองของผู้ปฏิบัติงานสามารถป้องกันการลุกลามได้อย่างมีประสิทธิภาพหรือไม่

ทำไมการกระทำของผู้ปฏิบัติงานจึงสำคัญในการประเมิน SIL

การศึกษาความปลอดภัยเชิงฟังก์ชันจะแยกแยะระหว่างการกระทำของผู้ปฏิบัติงานที่สร้างสภาวะอันตรายกับการแทรกแซงที่ป้องกันการลุกลาม ความแตกต่างนี้มีผลโดยตรงต่อการคำนวณการลดความเสี่ยงและเป้าหมาย SIL ที่จำเป็น

ในทางปฏิบัติ ผู้ปฏิบัติงานในห้องควบคุมอาจเริ่มต้นความเบี่ยงเบนผ่านการเรียงลำดับวาล์วผิด การเปิดใช้งานบายพาส หรือการตอบสนองล่าช้า ในทางกลับกัน ผู้ปฏิบัติงานคนเดียวกันนี้อาจทำหน้าที่เป็นเกราะป้องกันโดยการตอบสนองต่อสัญญาณเตือนหรือเริ่มต้นกระบวนการปิดเครื่องด้วยตนเอง

สถานการณ์เหล่านี้ดูเหมือนจะคล้ายกันในเชิงปฏิบัติการ แต่ได้รับการปฏิบัติอย่างแตกต่างกันอย่างมากภายในมาตรฐาน IEC 61511 และวิธีการ CCPS LOPA

การกระทำของผู้ปฏิบัติงานกับการแทรกแซงของผู้ปฏิบัติงาน

การกระทำของผู้ปฏิบัติงานมักเป็นไปโดยเจตนาและตามขั้นตอน อาจเกี่ยวข้องกับการเริ่มต้นอุปกรณ์ การยืนยันเงื่อนไขอนุญาต หรือการสั่งปิดฉุกเฉิน การแทรกแซงมักเกิดขึ้นหลังจากที่สภาวะผิดปกติเกิดขึ้น

ตัวอย่างเช่น การกดปุ่ม ESD แบบฮาร์ดไวร์จะกลายเป็นส่วนหนึ่งของฟังก์ชันความปลอดภัยเอง การตอบสนองต่อสัญญาณเตือนอุณหภูมิสูงก่อนที่สภาวะวิกฤติจะเกิดขึ้นอาจถือเป็นชั้นป้องกันอิสระ

ความท้าทายทางวิศวกรรมอยู่ที่การกำหนดว่ามีเวลาที่เพียงพอ ความเป็นอิสระ และความน่าเชื่อถือสำหรับการตอบสนองของมนุษย์หรือไม่

เมื่อความผิดพลาดของมนุษย์กลายเป็นเหตุการณ์เริ่มต้น

IEC 61511 กำหนดเหตุการณ์เริ่มต้นว่าเป็นความเบี่ยงเบนที่ทำให้กระบวนการเคลื่อนเข้าสู่สภาวะอันตราย ความผิดพลาดของมนุษย์มักตรงตามคำนิยามนี้

วาล์วบายพาสที่เปิดผิดวิธี การแทนที่การบำรุงรักษาที่ไม่เหมาะสม หรือความล้มเหลวในการคืนค่าอินเตอร์ล็อกหลังการทดสอบ ทั้งหมดนี้สามารถสร้างความต้องการกระบวนการต่อระบบป้องกันได้

ในการศึกษาระดับ LOPA การกระทำเหล่านี้จะได้รับความถี่ของเหตุการณ์เริ่มต้น (IEF) ความถี่ที่กำหนดสะท้อนว่าความผิดพลาดของมนุษย์เฉพาะอาจเกิดขึ้นได้บ่อยเพียงใดในระหว่างการดำเนินงานของโรงงาน

ความน่าเชื่อถือของมนุษย์ไม่เคยคงที่

ประสิทธิภาพของผู้ปฏิบัติงานเปลี่ยนแปลงภายใต้ความเครียด ความเหนื่อยล้า การจัดการการแจ้งเตือนที่ไม่ดี หรือภาระงานสูง เนื่องจากความแปรปรวนนี้ การศึกษาด้านความปลอดภัยจึงใช้สมมติฐานที่ระมัดระวังเกี่ยวกับความน่าเชื่อถือของมนุษย์

ขั้นตอนที่ง่ายและฝึกฝนมาอย่างดีอาจมีความถี่ในการเริ่มต้นต่ำ การแทรกแซงที่ซับซ้อนในสภาวะการทำงานผิดปกติจะได้รับค่าที่สูงขึ้นอย่างมีนัยสำคัญ

รูปที่ 2 การกระทำของมนุษย์มีอิทธิพลต่อทั้งเหตุการณ์เริ่มต้นและการตอบสนองป้องกันภายในการศึกษาด้านความปลอดภัย

โรงงานที่ใช้ระบบควบคุมแบบกระจายรุ่นเก่ามักเผชิญกับความเสี่ยงด้านปัจจัยมนุษย์เพิ่มเติมเนื่องจากการแจ้งเตือนล้นและการจัดวาง HMI ที่ไม่สอดคล้องกัน หลายโรงงานที่อัปเกรดแพลตฟอร์มเก่าในปัจจุบันจึงผสานรวม ระบบควบคุม DCS สมัยใหม่เพื่อปรับปรุงการจัดลำดับความสำคัญของการแจ้งเตือนและการมองเห็นของผู้ปฏิบัติงาน

ผู้ปฏิบัติงานสามารถได้รับเครดิตเป็นชั้นป้องกันอิสระได้หรือไม่?

การแทรกแซงด้วยตนเองอาจได้รับการพิจารณาเป็น IPL ได้เฉพาะภายใต้เงื่อนไขที่เข้มงวด การตอบสนองต้องเป็นอิสระจากสาเหตุที่เริ่มต้น เกิดขึ้นภายในเวลาความปลอดภัยของกระบวนการที่มีอยู่ และปฏิบัติตามขั้นตอนการปฏิบัติงานที่ได้รับการยืนยัน

มาตรฐานเช่น ISA TR84 และคำแนะนำของ CCPS มักจำกัดเครดิต IPL แบบแมนนวลเนื่องจากประสิทธิภาพของมนุษย์มีความไม่แน่นอนโดยธรรมชาติ ในหลายโรงงาน ปัจจัยลดความเสี่ยงสูงสุดที่ยอมรับได้สำหรับการตอบสนองของผู้ปฏิบัติงานยังคงอยู่ที่ 10

เวลาความปลอดภัยของกระบวนการกำหนดความเป็นไปได้

เวลาความปลอดภัยของกระบวนการที่มีอยู่กำหนดว่าการแทรกแซงของผู้ปฏิบัติงานเป็นไปได้จริงหรือไม่ หากผู้ปฏิบัติงานมีเวลาหลาย นาทีในการตอบสนองต่อความเบี่ยงเบนของกระบวนการ การตอบสนองด้วยตนเองอาจยังคงยอมรับได้

หากกระบวนการถึงสภาวะไม่ปลอดภัยภายในไม่กี่วินาที ระบบอัตโนมัติจะเป็นสิ่งจำเป็น โปรแกรมฝึกอบรมที่สมจริงไม่สามารถรับประกันการแทรกแซงด้วยมือที่ประสบความสำเร็จอย่างสม่ำเสมอในช่วงเวลาตอบสนองที่สั้นมากได้

ความแตกต่างนี้อธิบายว่าทำไมระบบกังหันความเร็วสูง แอปพลิเคชันการจัดการเครื่องเผาไหม้ และการป้องกันคอมเพรสเซอร์จึงพึ่งพาแพลตฟอร์มความปลอดภัยเฉพาะมากขึ้นแทนที่จะพึ่งพาการแทรกแซงตามขั้นตอนเพียงอย่างเดียว

การปิดระบบด้วยมือภายในขอบเขตของ SIF

วิศวกรหลายคนจัดประเภทการปิดระบบด้วยมือผิดเป็นเหตุการณ์เริ่มต้น ในความเป็นจริง การเปิดใช้งานการปิดระบบฉุกเฉินโดยเจตนามักเป็นส่วนหนึ่งของ SIF เอง

มาตรฐาน IEC 61511 ระบุชัดเจนว่าเมื่อการกระทำด้วยมือเริ่มต้นฟังก์ชันความปลอดภัย องค์ประกอบสนับสนุนทุกอย่างจะอยู่ภายในขอบเขตของ SIF ซึ่งรวมถึงปุ่มกด สายไฟ ตัวแก้ปัญหาเชิงตรรกะ ขั้นตอนของผู้ปฏิบัติงาน และข้อกำหนดการฝึกอบรม

พิจารณาการเพิ่มความดันของเครื่องปฏิกรณ์ที่ตรวจพบก่อนถึงเกณฑ์ตัดอัตโนมัติ ผู้ปฏิบัติงานอาจสังเกตเห็นการรั่วไหลผิดปกติและเปิดใช้งานการปิดระบบด้วยมือก่อนที่จะเกิดการลุกลาม

ในสถานการณ์นี้ ผู้ปฏิบัติงานไม่ได้สร้างอันตราย การกระทำนี้ช่วยลดความเสี่ยงอย่างแข็งขันและจึงเป็นส่วนหนึ่งของการออกแบบฟังก์ชันความปลอดภัย

รูปที่ 3 ความสามารถในการปิดระบบด้วยมือมักทำงานเป็นส่วนหนึ่งของฟังก์ชันเครื่องมือความปลอดภัยโดยรวม

สถานที่ที่ใช้ตัวควบคุมความปลอดภัยแบบบูรณาการ เช่น ระบบความปลอดภัย Triconex มักจะติดตั้งเส้นทางปิดระบบแบบฮาร์ดไวร์เฉพาะเพื่อลดการพึ่งพาชั้นควบคุมกระบวนการมาตรฐาน

การเชื่อมต่อการกระทำของมนุษย์กับการคำนวณ LOPA

การวิเคราะห์ LOPA แปลงสถานการณ์การปฏิบัติงานเป็นความสัมพันธ์ความเสี่ยงเชิงตัวเลข ความถี่ของข้อผิดพลาดของมนุษย์ ประสิทธิภาพ IPL และความถี่เหตุการณ์เป้าหมายร่วมกันกำหนดความสมบูรณ์ที่จำเป็นของ SIF

ในโครงการปฏิบัติจริง ความผิดพลาดของผู้ปฏิบัติงานมักกำหนดความถี่ที่เกิดความต้องการป้องกัน ระบบความปลอดภัยจึงให้การลดความเสี่ยงที่จำเป็นเพื่อให้บรรลุความถี่เหตุการณ์ที่ยอมรับได้

รูปที่ 4 การกระทำของมนุษย์มีผลต่ออัตราความต้องการเริ่มต้นและระดับความสมบูรณ์ของ SIF ที่จำเป็น

วิศวกรรมความเป็นจริงภายในโรงงานปฏิบัติการ

การศึกษาความปลอดภัยในโลกจริงไม่ค่อยล้มเหลวเพราะคณิตศาสตร์เพียงอย่างเดียว แต่ล้มเหลวเมื่อสมมติฐานเกี่ยวกับประสิทธิภาพของผู้ปฏิบัติงานไม่สมจริงจริงๆ

วิศวกรบางครั้งประเมินคุณภาพการตอบสนองสัญญาณเตือนไม่ถูกต้องโดยไม่พิจารณาภาระงาน เหตุการณ์พร้อมกัน หรือความล่าช้าในการสื่อสารในสภาวะผิดปกติ IPL ที่ถูกต้องตามทฤษฎีอาจล้มเหลวในการปฏิบัติหากสภาพแวดล้อมห้องควบคุมมีภาระเกินไป

ประเด็นนี้ชัดเจนขึ้นเมื่อโรงงานเร่งอัตราการผลิตสูงขึ้นด้วยโมเดลบุคลากรที่น้อยลง

ความปลอดภัยเชิงฟังก์ชันเน้นมนุษย์มากขึ้นเรื่อยๆ

ขั้นตอนถัดไปของการพัฒนาความปลอดภัยเชิงฟังก์ชันจะเน้นหนักที่ปฏิสัมพันธ์ระหว่างมนุษย์กับเครื่องจักรมากกว่าฮาร์ดแวร์เพียงอย่างเดียว การปรับสัญญาณเตือน การออกแบบ HMI ที่เหมาะสมกับสรีรศาสตร์ และการสนับสนุนการตัดสินใจของผู้ปฏิบัติงานตอนนี้มีผลต่อประสิทธิภาพความปลอดภัยเท่ากับเซ็นเซอร์และตัวแก้ปัญหาเชิงตรรกะ

สถาปัตยกรรม SIS สมัยใหม่ได้รวมการวินิจฉัยเชิงทำนาย การควบคุมการเลื่อนสัญญาณเตือน และระบบแนะนำผู้ปฏิบัติงานไว้แล้ว อย่างไรก็ตาม ผู้ปฏิบัติงานที่มีประสบการณ์ยังคงให้การตัดสินใจที่ระบบอัตโนมัติไม่สามารถเลียนแบบได้เต็มที่ในสภาวะกระบวนการที่ไม่แน่นอน

แนวโน้มของอุตสาหกรรมชัดเจน: ระบบอัตโนมัติจัดการความเร็วและความสม่ำเสมอ ขณะที่ผู้ปฏิบัติงานให้เหตุผลปรับตัวในเหตุการณ์ผิดปกติ

ความคิดเห็นของผู้เขียน

การศึกษาหลายครั้งเกี่ยวกับ SIL ยังประเมินพฤติกรรมมนุษย์ในสภาวะการทำงานผิดปกติอย่างต่ำเกินไป การกำหนดสมมติฐานการตอบสนองของผู้ปฏิบัติงานในแง่ดีอาจลดต้นทุนโครงการในตอนแรก แต่จะนำความเสี่ยงในการดำเนินงานที่ซ่อนเร้นมา

สถานที่ที่ต้องการความน่าเชื่อถือสูงควรสงวนการแทรกแซงด้วยมือสำหรับสถานการณ์ที่ตอบสนองช้าและการดำเนินงานที่มีความต้องการต่ำ กระบวนการที่มีผลกระทบรุนแรงต้องการการป้องกันอัตโนมัติที่ได้รับการสนับสนุนโดยขั้นตอนผู้ปฏิบัติงานที่มีวินัย ไม่ขึ้นอยู่กับพวกเขา

กลยุทธ์ความปลอดภัยที่แข็งแกร่งที่สุดผสมผสานการทำงานอัตโนมัติ ปรัชญาการดำเนินงานที่ชัดเจน การจัดการสัญญาณเตือนที่สมจริง และการพัฒนาความสามารถของผู้ปฏิบัติงานอย่างต่อเนื่อง

Oliver Grant | นักวิเคราะห์ความปลอดภัยเชิงฟังก์ชันอาวุโส

Oliver Grant มีประสบการณ์มากกว่า 14 ปีในด้านวิศวกรรมความปลอดภัยของกระบวนการ การตรวจสอบ SIL และการบูรณาการระบบปิดการทำงาน ประวัติของเขารวมถึงโครงการวงจรชีวิตความปลอดภัยที่เกี่ยวข้องกับแพลตฟอร์ม Honeywell, Yokogawa, Emerson DeltaV, HIMA และ Rockwell Automation ในโรงกลั่น LNG และโรงไฟฟ้า