องค์ประกอบด้านมนุษย์ยังคงกำหนดทิศทางความปลอดภัยของกระบวนการ.charset

ระบบอัตโนมัติยังคงพัฒนาอย่างต่อเนื่องในโรงกลั่น โรงไฟฟ้า หน่วยผลิตเคมี และสถานประกอบการนอกชายฝั่ง อย่างไรก็ตาม ผู้ปฏิบัติงานที่มีประสบการณ์ยังคงเป็นหนึ่งในตัวแปรที่มีอิทธิพลมากที่สุดต่อความปลอดภัยของโรงงาน การตัดสินใจของพวกเขาอาจหยุดการลุกลามได้ก่อนที่ระบบอัตโนมัติจะตอบสนอง หรืออาจกระตุ้นให้เกิดสภาวะกระบวนการที่เป็นอันตรายโดยไม่ได้ตั้งใจ

วิศวกรรมความปลอดภัยเชิงหน้าที่สมัยใหม่ไม่ได้มองปฏิสัมพันธ์ของมนุษย์เป็นเพียงข้อพิจารณารองอีกต่อไป ปัจจุบันมาตรฐานสากลกำหนดให้การดำเนินการของผู้ปฏิบัติงานเป็นปัจจัยที่วัดผลได้ภายในการทวนสอบ SIL การคำนวณ LOPA และการจัดการวงจรชีวิตด้านความปลอดภัย

รูปที่ 1 ความสัมพันธ์ด้านเวลาของความปลอดภัยเป็นตัวกำหนดว่าการตอบสนองของผู้ปฏิบัติงานจะสามารถป้องกันการลุกลามได้อย่างมีประสิทธิภาพหรือไม่

เหตุใดการดำเนินการของผู้ปฏิบัติงานจึงมีความสำคัญในการประเมิน SIL

การศึกษาความปลอดภัยเชิงหน้าที่จะแยกแยะระหว่างการดำเนินการของผู้ปฏิบัติงานที่ก่อให้เกิดสภาวะอันตราย กับการแทรกแซงที่ป้องกันไม่ให้เหตุการณ์ลุกลาม ความแตกต่างนี้ส่งผลโดยตรงต่อการคำนวณการลดความเสี่ยงและเป้าหมาย SIL ที่จำเป็น

ในทางปฏิบัติ ผู้ปฏิบัติงานในห้องควบคุมอาจเป็นผู้เริ่มต้นความเบี่ยงเบนผ่านการจัดลำดับการเปิด-ปิดวาล์วที่ไม่ถูกต้อง การเปิดใช้งานการบายพาส หรือการตอบสนองล่าช้า ในทางกลับกัน ผู้ปฏิบัติงานคนเดิมอาจทำหน้าที่เป็นแนวกั้นป้องกันได้เช่นกัน โดยตอบสนองต่อสัญญาณเตือนหรือเริ่มขั้นตอนการหยุดเครื่องด้วยตนเอง

สถานการณ์เหล่านี้ดูคล้ายกันในเชิงปฏิบัติการ แต่ได้รับการจัดการแตกต่างกันอย่างมากภายใต้แนวทางของ IEC 61511 และ CCPS LOPA

การดำเนินการของผู้ปฏิบัติงานกับการแทรกแซงของผู้ปฏิบัติงาน

การดำเนินการของผู้ปฏิบัติงานโดยทั่วไปเป็นการกระทำโดยตั้งใจและเป็นไปตามขั้นตอน ซึ่งอาจรวมถึงการเริ่มเดินเครื่อง การยืนยันเงื่อนไขอนุญาต หรือการสั่งหยุดฉุกเฉิน โดยปกติการแทรกแซงจะเกิดขึ้นหลังจากสภาวะผิดปกติได้พัฒนาแล้ว

ตัวอย่างเช่น การกดปุ่มกด ESD แบบเดินสายตรงจะกลายเป็นส่วนหนึ่งของฟังก์ชันความปลอดภัยโดยตรง การตอบสนองต่อสัญญาณเตือนอุณหภูมิสูงก่อนที่จะเกิดภาวะควบคุมไม่ได้ อาจถือเป็นชั้นการป้องกันอิสระได้

ความท้าทายทางวิศวกรรมอยู่ที่การพิจารณาว่ามีเวลา ความเป็นอิสระ และความน่าเชื่อถือเพียงพอสำหรับการตอบสนองของมนุษย์หรือไม่

เมื่อความผิดพลาดของมนุษย์กลายเป็นเหตุการณ์เริ่มต้น

IEC 61511 นิยามเหตุการณ์เริ่มต้นว่าเป็นความเบี่ยงเบนที่ทำให้กระบวนการเคลื่อนไปสู่สภาวะอันตราย ความผิดพลาดของมนุษย์มักเป็นไปตามนิยามนี้

การเปิดวาล์วบายพาสผิด การยกเลิกระบบป้องกันระหว่างการบำรุงรักษาอย่างไม่ถูกต้อง หรือการไม่คืนระบบอินเตอร์ล็อกหลังการทดสอบ ล้วนสามารถก่อให้เกิดความต้องการให้ระบบป้องกันทำงานได้

ในการศึกษา LOPA การกระทำเหล่านี้จะได้รับค่าความถี่ของเหตุการณ์เริ่มต้น (IEF) ความถี่ที่กำหนดสะท้อนว่าข้อผิดพลาดของมนุษย์แบบใดแบบหนึ่งอาจเกิดขึ้นจริงบ่อยเพียงใดระหว่างการดำเนินงานของโรงงาน

ความน่าเชื่อถือของมนุษย์ไม่เคยคงที่

ประสิทธิภาพของผู้ปฏิบัติงานเปลี่ยนแปลงไปภายใต้ภาวะเครียด ความเหนื่อยล้า การจัดการสัญญาณเตือนที่ไม่ดี หรือภาระงานที่สูง ด้วยเหตุนี้ การศึกษาด้านความปลอดภัยจึงใช้สมมติฐานเชิงอนุรักษ์นิยมเกี่ยวกับความน่าเชื่อถือของมนุษย์

ขั้นตอนที่เรียบง่ายและผ่านการฝึกฝนมาอย่างดีอาจมีความถี่ในการก่อเหตุเริ่มต้นต่ำ การแทรกแซงที่ซับซ้อนระหว่างสภาวะการทำงานผิดปกติจะได้รับค่าความถี่ที่สูงขึ้นอย่างมีนัยสำคัญ

รูปที่ 2 การกระทำของมนุษย์มีอิทธิพลทั้งต่อเหตุการณ์เริ่มต้นและการตอบสนองเชิงป้องกันภายในการศึกษาด้านความปลอดภัย

โรงงานที่ใช้ระบบควบคุมแบบกระจายรุ่นเก่ามักเผชิญความเสี่ยงด้านปัจจัยมนุษย์เพิ่มเติมจากสัญญาณเตือนที่หลั่งไหลเข้ามาจำนวนมากและรูปแบบ HMI ที่ไม่สอดคล้องกัน ปัจจุบันโรงงานหลายแห่งที่อัปเกรดแพลตฟอร์มเดิมได้ผสานรวมระบบควบคุม DCSสมัยใหม่ เพื่อปรับปรุงการจัดลำดับความสำคัญของสัญญาณเตือนและการมองเห็นข้อมูลของผู้ปฏิบัติงาน

ผู้ปฏิบัติงานสามารถได้รับเครดิตเป็นชั้นป้องกันอิสระได้หรือไม่

การแทรกแซงด้วยตนเองอาจมีคุณสมบัติเป็น IPL ได้เฉพาะภายใต้เงื่อนไขที่เข้มงวด การตอบสนองต้องเป็นอิสระจากสาเหตุเริ่มต้น เกิดขึ้นภายในเวลาความปลอดภัยของกระบวนการที่มีอยู่ และเป็นไปตามขั้นตอนการปฏิบัติงานที่ผ่านการตรวจสอบความถูกต้องแล้ว

มาตรฐานต่าง ๆ เช่น ISA TR84 และแนวทางของ CCPS โดยทั่วไปจำกัดการให้เครดิตแก่ IPL แบบแมนนวล เนื่องจากประสิทธิภาพของมนุษย์มีความไม่สม่ำเสมอโดยธรรมชาติ ในโรงงานหลายแห่ง ค่าปัจจัยลดความเสี่ยงสูงสุดที่ยอมรับได้สำหรับการตอบสนองของผู้ปฏิบัติงานยังคงอยู่ที่ 10

เวลาความปลอดภัยของกระบวนการเป็นตัวกำหนดความเป็นไปได้

เวลาความปลอดภัยของกระบวนการที่มีอยู่เป็นตัวกำหนดว่าการแทรกแซงของผู้ปฏิบัติงานเป็นสิ่งที่ทำได้จริงหรือไม่ หากผู้ปฏิบัติงานมีเวลาหลายนาทีในการตอบสนองต่อความเบี่ยงเบนของกระบวนการ การตอบสนองด้วยตนเองอาจยังคงเป็นที่ยอมรับได้

หากกระบวนการเข้าสู่สภาวะไม่ปลอดภัยภายในเวลาไม่กี่วินาที ระบบอัตโนมัติจะเป็นสิ่งที่จำเป็น ไม่มีโปรแกรมฝึกอบรมใดที่สมจริงพอจะรับประกันได้อย่างสม่ำเสมอว่าการแทรกแซงด้วยตนเองจะประสบความสำเร็จภายในช่วงเวลาตอบสนองที่สั้นมาก

ความแตกต่างนี้อธิบายว่าเหตุใดระบบกังหันความเร็วสูง ระบบจัดการหัวเผา และระบบป้องกันคอมเพรสเซอร์ จึงพึ่งพาแพลตฟอร์มความปลอดภัยเฉพาะทางเพิ่มขึ้นเรื่อย ๆ แทนการพึ่งพาการแทรกแซงตามขั้นตอนเพียงอย่างเดียว

การสั่งหยุดด้วยมือภายในขอบเขตของ SIF

วิศวกรจำนวนมากจัดประเภทการสั่งหยุดด้วยมืออย่างไม่ถูกต้องว่าเป็นเหตุการณ์เริ่มต้น แท้จริงแล้ว การสั่งหยุดฉุกเฉินโดยเจตนามักเป็นส่วนหนึ่งของ SIF เอง

IEC 61511 ระบุไว้อย่างชัดเจนว่า เมื่อการดำเนินการด้วยตนเองเป็นผู้เริ่มต้นฟังก์ชันความปลอดภัย องค์ประกอบสนับสนุนทุกส่วนจะอยู่ภายในขอบเขตของ SIF ซึ่งรวมถึงปุ่มกด สายไฟ ชุดประมวลผลตรรกะ ขั้นตอนการปฏิบัติงาน และข้อกำหนดด้านการฝึกอบรม

ลองพิจารณากรณีที่ตรวจพบความดันในเครื่องปฏิกรณ์เพิ่มขึ้นก่อนถึงเกณฑ์ทริปอัตโนมัติ ผู้ปฏิบัติงานอาจสังเกตเห็นการรั่วไหลผิดปกติและสั่งหยุดด้วยตนเองก่อนที่สถานการณ์จะรุนแรงขึ้น

ในสถานการณ์นี้ ผู้ปฏิบัติงานไม่ได้เป็นผู้ก่อให้เกิดอันตราย การกระทำนั้นช่วยลดความเสี่ยงโดยตรง ดังนั้นจึงอยู่ภายใต้การออกแบบฟังก์ชันความปลอดภัย

รูปที่ 3 ความสามารถในการสั่งหยุดด้วยมือมักเป็นส่วนหนึ่งของฟังก์ชันเครื่องมือวัดเพื่อความปลอดภัยโดยรวม

โรงงานที่ใช้ตัวควบคุมความปลอดภัยแบบบูรณาการ เช่น ระบบความปลอดภัย Triconex มักติดตั้งเส้นทางสั่งหยุดการทำงานแบบเดินสายเฉพาะ เพื่อ ลดการพึ่งพาชั้นควบคุมกระบวนการมาตรฐาน

การเชื่อมโยงการกระทำของมนุษย์เข้ากับการคำนวณ LOPA

การวิเคราะห์ LOPA แปลงสถานการณ์การปฏิบัติงานเป็นความสัมพันธ์เชิงความเสี่ยงในรูปตัวเลข ความถี่ของข้อผิดพลาดโดยมนุษย์ ประสิทธิผลของชั้นป้องกันอิสระ (IPL) และความถี่ของเหตุการณ์เป้าหมาย ล้วนร่วมกันกำหนดระดับความสมบูรณ์ของ SIF ที่จำเป็น

ในโครงการจริง ความผิดพลาดของผู้ปฏิบัติงานมักเป็นตัวกำหนดความถี่ที่เกิดการเรียกร้องให้ระบบป้องกันทำงาน จากนั้นระบบความปลอดภัยจะจัดให้มีการลดความเสี่ยงที่จำเป็นเพื่อให้ได้ความถี่ของเหตุการณ์ที่ยอมรับได้

รูปที่ 4 การกระทำของมนุษย์ส่งผลต่ออัตราการเรียกร้องให้เริ่มทำงานและระดับความสมบูรณ์ของ SIF ที่จำเป็น

ความเป็นจริงทางวิศวกรรมภายในโรงงานที่กำลังดำเนินงาน

การศึกษาความปลอดภัยในโลกจริงแทบไม่ล้มเหลวเพราะคณิตศาสตร์เพียงอย่างเดียว แต่ล้มเหลวเมื่อสมมติฐานเกี่ยวกับประสิทธิภาพของผู้ปฏิบัติงานไม่สอดคล้องกับความเป็นจริง

บางครั้งวิศวกรประเมินคุณภาพการตอบสนองต่อสัญญาณเตือนสูงเกินจริง โดยไม่คำนึงถึงภาระงาน เหตุการณ์ที่เกิดขึ้นพร้อมกัน หรือความล่าช้าในการสื่อสารระหว่างสภาวะที่กระบวนการปั่นป่วน IPL ที่ถูกต้องในทางทฤษฎีอาจล้มเหลวในทางปฏิบัติ หากสภาพแวดล้อมในห้องควบคุมมีภาระมากเกินไป

ประเด็นนี้เห็นได้ชัดเจนยิ่งขึ้นเมื่อโรงงานต่าง ๆ ผลักดันอัตราการผลิตให้สูงขึ้นภายใต้รูปแบบการจัดกำลังคนที่กระชับกว่าเดิม

ความปลอดภัยเชิงหน้าที่มุ่งเน้นมนุษย์มากขึ้นเรื่อย ๆ

ระยะถัดไปของการพัฒนาความปลอดภัยเชิงหน้าที่จะมุ่งเน้นอย่างมากที่ปฏิสัมพันธ์ระหว่างมนุษย์กับเครื่องจักร มากกว่าฮาร์ดแวร์เพียงอย่างเดียว การจัดหมวดหมู่และปรับเหตุผลของสัญญาณเตือน การออกแบบ HMI ตามหลักการยศาสตร์ และระบบสนับสนุนการตัดสินใจของผู้ปฏิบัติงาน ล้วนมีอิทธิพลต่อประสิทธิภาพด้านความปลอดภัยในระดับเดียวกับเซนเซอร์และตัวแก้สมการตรรกะในปัจจุบัน

สถาปัตยกรรม SIS สมัยใหม่ผสานรวมระบบวินิจฉัยเชิงคาดการณ์ การควบคุมการพักสัญญาณเตือน และระบบแนะนำแนวทางแก่ผู้ปฏิบัติงานไว้แล้ว อย่างไรก็ตาม ผู้ปฏิบัติงานที่มีประสบการณ์ยังคงมีวิจารณญาณที่ระบบอัตโนมัติไม่สามารถเลียนแบบได้อย่างสมบูรณ์ในสภาวะกระบวนการที่ไม่แน่นอน

แนวโน้มของอุตสาหกรรมชัดเจนว่า ระบบอัตโนมัติจัดการเรื่องความรวดเร็วและความสม่ำเสมอ ขณะที่ผู้ปฏิบัติงานใช้เหตุผลเชิงปรับตัวเมื่อเกิดเหตุการณ์ผิดปกติ

ความคิดเห็นของผู้เขียน

การศึกษา SIL จำนวนมากยังประเมินความซับซ้อนของพฤติกรรมมนุษย์ในสภาวะการเดินเครื่องผิดปกติต่ำเกินไป การตั้งสมมติฐานในแง่ดีเกี่ยวกับการตอบสนองของผู้ปฏิบัติงานอาจช่วยลดต้นทุนโครงการในระยะแรก แต่ก็นำมาซึ่งความเสี่ยงในการปฏิบัติงานที่ซ่อนอยู่

โรงงานที่มุ่งยกระดับความน่าเชื่อถือควรสงวนการแทรกแซงด้วยตนเองไว้สำหรับสถานการณ์ที่มีเวลาตอบสนองนานและการปฏิบัติงานที่มีความต้องการต่ำ กระบวนการที่มีผลกระทบรุนแรงจำเป็นต้องอาศัยการดำเนินการป้องกันโดยอัตโนมัติ ซึ่งได้รับการสนับสนุนจากขั้นตอนการปฏิบัติงานที่มีวินัย ไม่ใช่พึ่งพาขั้นตอนเหล่านั้นเพียงอย่างเดียว

กลยุทธ์ด้านความปลอดภัยที่แข็งแกร่งที่สุดผสานระบบอัตโนมัติ ปรัชญาการเดินเครื่องที่ชัดเจน การจัดการสัญญาณเตือนที่สอดคล้องกับสถานการณ์จริง และการพัฒนาความสามารถของผู้ปฏิบัติงานอย่างต่อเนื่อง

Oliver Grant | นักวิเคราะห์ความปลอดภัยเชิงหน้าที่อาวุโส

Oliver Grant มีประสบการณ์มากกว่า 14 ปีด้านวิศวกรรมความปลอดภัยของกระบวนการ การทวนสอบ SIL และการบูรณาการระบบหยุดฉุกเฉิน ภูมิหลังของเขาครอบคลุมโครงการวงจรชีวิตด้านความปลอดภัยที่ใช้แพลตฟอร์ม Honeywell, Yokogawa, Emerson DeltaV, HIMA และ Rockwell Automation ในโรงกลั่น โรงงาน LNG และโรงไฟฟ้า