Hành động và can thiệp của người vận hành trong các hệ thống an toàn chức năng

Yếu tố con người vẫn định hình an toàn quy trình

Các hệ thống tự động hóa tiếp tục phát triển tại các nhà máy lọc dầu, nhà máy điện, phân xưởng hóa chất và cơ sở ngoài khơi. Tuy nhiên, những người vận hành giàu kinh nghiệm vẫn là một trong những biến số có ảnh hưởng lớn nhất đến an toàn nhà máy. Quyết định của họ có thể ngăn chặn sự leo thang trước khi hệ thống tự động phản ứng, hoặc vô tình kích hoạt các điều kiện quy trình nguy hiểm.

Kỹ thuật an toàn chức năng hiện đại không còn xem tương tác của con người là yếu tố thứ yếu. Các tiêu chuẩn quốc tế hiện nay xác định hành động của người vận hành là những yếu tố có thể đo lường trong quá trình xác minh SIL, tính toán LOPA và quản lý vòng đời an toàn.

Hình 1. Mối quan hệ về thời gian an toàn quyết định liệu phản ứng của người vận hành có thể ngăn chặn sự leo thang một cách hiệu quả hay không.

Vì sao hành động của người vận hành quan trọng trong đánh giá SIL

Các nghiên cứu an toàn chức năng phân biệt giữa những hành động của người vận hành tạo ra điều kiện nguy hiểm và những sự can thiệp ngăn chặn sự leo thang. Sự phân biệt này ảnh hưởng trực tiếp đến các tính toán giảm rủi ro và các mục tiêu SIL cần thiết.

Về thực tế, người vận hành phòng điều khiển có thể khởi phát một sai lệch do thực hiện sai trình tự van, kích hoạt chức năng bỏ qua hoặc phản ứng chậm. Ngược lại, chính người vận hành đó cũng có thể đóng vai trò là một hàng rào bảo vệ bằng cách phản ứng với cảnh báo hoặc chủ động thực hiện các quy trình dừng máy thủ công.

Các tình huống này có vẻ tương tự về mặt vận hành, nhưng được xử lý rất khác nhau trong các phương pháp luận IEC 61511 và LOPA của CCPS.

Hành động của người vận hành so với sự can thiệp của người vận hành

Hành động của người vận hành thường mang tính chủ ý và theo quy trình. Hành động này có thể bao gồm khởi động thiết bị, xác nhận các điều kiện cho phép hoặc kích hoạt lệnh dừng khẩn cấp. Sự can thiệp thường xảy ra sau khi một tình trạng bất thường đã phát triển.

Ví dụ, việc nhấn nút nhấn ESD đấu dây cứng trở thành một phần của chính chức năng an toàn. Ứng phó với cảnh báo nhiệt độ cao trước khi điều kiện mất kiểm soát phát triển có thể được xem là một lớp bảo vệ độc lập.

Thách thức kỹ thuật nằm ở việc xác định liệu có đủ thời gian, tính độc lập và độ tin cậy để con người ứng phó hay không.

Khi sai sót của con người trở thành sự kiện khởi phát

IEC 61511 định nghĩa sự kiện khởi phát là sự sai lệch khiến quy trình tiến đến tình trạng nguy hiểm. Lỗi của con người thường đáp ứng định nghĩa này.

Một van bypass bị mở không đúng cách, việc vô hiệu hóa để bảo trì không phù hợp hoặc không khôi phục các liên động sau khi kiểm tra đều có thể tạo ra các nhu cầu tác động lên hệ thống bảo vệ.

Trong các nghiên cứu LOPA, những hành động này nhận một tần suất sự kiện khởi phát (IEF). Tần suất được chỉ định phản ánh mức độ thường xuyên mà một lỗi cụ thể của con người có thể xảy ra trên thực tế trong quá trình vận hành nhà máy.

Độ tin cậy của con người không bao giờ cố định

Hiệu suất của người vận hành thay đổi khi chịu căng thẳng, mệt mỏi, quản lý cảnh báo kém hoặc khối lượng công việc cao. Do tính biến thiên này, các nghiên cứu an toàn áp dụng những giả định thận trọng về độ tin cậy của con người.

Các quy trình đơn giản và được thực hành thành thạo có thể có tần suất khởi phát thấp. Những can thiệp phức tạp trong điều kiện vận hành bất thường nhận các giá trị cao hơn đáng kể.

Hình 2. Hành động của con người ảnh hưởng đến cả sự kiện khởi phát và phản ứng bảo vệ trong các nghiên cứu an toàn.

Các nhà máy vận hành hệ thống điều khiển phân tán cũ thường phải đối mặt với những rủi ro bổ sung liên quan đến yếu tố con người do tình trạng tràn ngập cảnh báo và bố cục HMI không nhất quán. Nhiều cơ sở đang nâng cấp các nền tảng cũ hiện tích hợp hệ thống điều khiển DCS hiện đại để cải thiện việc phân loại mức độ ưu tiên của cảnh báo và khả năng quan sát của người vận hành.

Có thể ghi nhận người vận hành là các lớp bảo vệ độc lập không?

Can thiệp thủ công chỉ có thể được xem là một IPL khi đáp ứng các điều kiện nghiêm ngặt. Phản ứng phải độc lập với nguyên nhân khởi phát, diễn ra trong thời gian an toàn sẵn có của quy trình và tuân theo các quy trình vận hành đã được xác nhận.

Các tiêu chuẩn như ISA TR84 và hướng dẫn của CCPS thường hạn chế việc ghi nhận mức giảm rủi ro từ IPL thủ công vì hiệu suất của con người vốn không nhất quán. Tại nhiều cơ sở, hệ số giảm rủi ro tối đa được chấp nhận đối với phản ứng của người vận hành vẫn là 10.

Thời gian an toàn của quy trình quyết định tính khả thi

Thời gian an toàn sẵn có của quy trình quyết định liệu việc can thiệp của người vận hành có khả thi hay không. Nếu người vận hành có vài phút để phản ứng với sự sai lệch của quy trình, phản ứng thủ công vẫn có thể được chấp nhận.

Nếu quy trình đạt đến điều kiện không an toàn trong vài giây, tự động hóa trở nên bắt buộc. Không chương trình đào tạo thực tế nào có thể luôn bảo đảm can thiệp thủ công thành công trong các khoảng thời gian phản hồi cực ngắn.

Sự phân biệt này giải thích tại sao các hệ thống tua-bin tốc độ cao, các ứng dụng quản lý đầu đốt và hệ thống bảo vệ máy nén ngày càng phụ thuộc vào các nền tảng an toàn chuyên dụng thay vì chỉ can thiệp theo quy trình.

Hành động dừng thủ công bên trong ranh giới SIF

Nhiều kỹ sư phân loại không chính xác các hành động dừng thủ công là sự kiện khởi phát. Trên thực tế, việc chủ động kích hoạt dừng khẩn cấp thường là một phần của chính SIF.

IEC 61511 nêu rõ rằng khi hành động thủ công khởi tạo một chức năng an toàn, mọi thành phần hỗ trợ đều thuộc ranh giới SIF. Điều này bao gồm nút nhấn, hệ thống dây dẫn, bộ giải quyết logic, quy trình vận hành và các yêu cầu đào tạo.

Hãy xem xét trường hợp áp suất lò phản ứng tăng được phát hiện trước khi đạt ngưỡng ngắt tự động. Người vận hành có thể nhận biết rò rỉ bất thường và kích hoạt dừng thủ công trước khi tình hình leo thang.

Trong tình huống này, người vận hành không tạo ra mối nguy. Hành động đó chủ động giảm rủi ro và do đó thuộc phạm vi thiết kế của chức năng an toàn.

Hình 3. Khả năng dừng thủ công thường hoạt động như một phần của toàn bộ chức năng thiết bị đo lường an toàn.

Các cơ sở sử dụng bộ điều khiển an toàn tích hợp như hệ thống an toàn Triconex thường triển khai các tuyến dừng khẩn cấp đấu dây cứng chuyên dụng để giảm sự phụ thuộc vào các lớp điều khiển quy trình tiêu chuẩn.

Kết nối hành động của con người với các phép tính LOPA

Phân tích LOPA chuyển đổi các kịch bản vận hành thành các mối quan hệ rủi ro dạng số. Tần suất lỗi của con người, hiệu suất của các lớp bảo vệ độc lập (IPL) và tần suất sự kiện mục tiêu cùng nhau quyết định mức độ toàn vẹn cần thiết của SIF.

Trong các dự án thực tế, sai sót của người vận hành thường quyết định tần suất phát sinh yêu cầu bảo vệ. Sau đó, các hệ thống an toàn cung cấp mức giảm rủi ro cần thiết để đạt tần suất sự kiện có thể chấp nhận được.

Hình 4. Hành động của con người ảnh hưởng đến tần suất phát sinh yêu cầu và mức độ toàn vẹn cần thiết của SIF.

Thực tế kỹ thuật trong các nhà máy đang vận hành

Các nghiên cứu an toàn trong thực tế hiếm khi thất bại chỉ vì phép toán. Chúng thất bại khi các giả định về hiệu suất của nhân viên vận hành trở nên thiếu thực tế.

Đôi khi các kỹ sư đánh giá quá cao chất lượng phản ứng với cảnh báo mà không tính đến khối lượng công việc, các sự kiện xảy ra đồng thời hoặc độ trễ giao tiếp trong điều kiện sự cố. Một lớp bảo vệ độc lập (IPL) hợp lệ về mặt lý thuyết có thể sụp đổ trong vận hành nếu môi trường phòng điều khiển bị quá tải.

Vấn đề này trở nên rõ rệt hơn khi các nhà máy thúc đẩy tốc độ sản xuất cao hơn với mô hình bố trí nhân sự tinh gọn hơn.

An toàn chức năng ngày càng lấy con người làm trung tâm

Giai đoạn phát triển tiếp theo của an toàn chức năng sẽ tập trung nhiều vào tương tác người–máy thay vì chỉ phần cứng. Việc hợp lý hóa cảnh báo, thiết kế HMI công thái học và hỗ trợ quyết định cho nhân viên vận hành hiện ảnh hưởng đến hiệu suất an toàn nhiều không kém cảm biến và bộ giải quyết logic.

Các kiến trúc SIS hiện đại đã tích hợp chẩn đoán dự đoán, kiểm soát tạm ẩn cảnh báo và hệ thống hướng dẫn nhân viên vận hành. Tuy nhiên, các nhân viên vận hành giàu kinh nghiệm vẫn đưa ra phán đoán mà tự động hóa không thể tái tạo hoàn toàn trong những điều kiện quy trình chưa chắc chắn.

Xu hướng của ngành rất rõ ràng: tự động hóa đảm nhiệm tốc độ và tính nhất quán, còn nhân viên vận hành cung cấp khả năng suy luận thích ứng trong các sự kiện bất thường.

Quan điểm của tác giả

Nhiều nghiên cứu SIL vẫn đánh giá thấp mức độ phức tạp của hành vi con người trong các điều kiện vận hành bất thường. Việc đưa ra các giả định lạc quan về phản ứng của nhân viên vận hành có thể giúp giảm chi phí dự án ban đầu, nhưng lại tạo ra rủi ro vận hành tiềm ẩn.

Các cơ sở hướng đến độ tin cậy cao hơn nên dành can thiệp thủ công cho những tình huống có thời gian phản hồi dài và các hoạt động theo nhu cầu thấp. Những quy trình có hậu quả nghiêm trọng cần hành động bảo vệ tự động, được hỗ trợ bởi các quy trình vận hành chặt chẽ chứ không phụ thuộc vào chúng.

Các chiến lược an toàn hiệu quả nhất kết hợp tự động hóa, triết lý vận hành rõ ràng, quản lý cảnh báo thực tế và phát triển năng lực nhân viên vận hành liên tục.

Oliver Grant | Chuyên viên phân tích an toàn chức năng cấp cao

Oliver Grant có hơn 14 năm kinh nghiệm về kỹ thuật an toàn quy trình, thẩm tra SIL và tích hợp hệ thống dừng khẩn cấp. Nền tảng chuyên môn của ông bao gồm các dự án vòng đời an toàn sử dụng nền tảng Honeywell, Yokogawa, Emerson DeltaV, HIMA và Rockwell Automation tại các cơ sở lọc dầu, LNG và phát điện.