Các Hành Động và Can Thiệp của Người Vận Hành trong Hệ Thống An Toàn Chức Năng

Yếu Tố Con Người Vẫn Định Hình An Toàn Quy Trình

Hệ thống tự động hóa tiếp tục phát triển tại các nhà máy lọc dầu, nhà máy điện, đơn vị hóa chất và cơ sở ngoài khơi. Tuy nhiên, các người vận hành có kinh nghiệm vẫn là một trong những biến số ảnh hưởng lớn nhất đến an toàn nhà máy. Quyết định của họ có thể ngăn chặn sự leo thang trước khi tự động hóa phản ứng, hoặc vô tình kích hoạt các điều kiện quy trình nguy hiểm.

Kỹ thuật an toàn chức năng hiện đại không còn xem tương tác con người là yếu tố phụ. Các tiêu chuẩn quốc tế hiện định nghĩa hành động của người vận hành là những yếu tố có thể đo lường trong việc xác minh SIL, tính toán LOPA và quản lý vòng đời an toàn.

Hình 1. Mối quan hệ thời gian an toàn xác định liệu phản ứng của người vận hành có thể ngăn chặn hiệu quả sự leo thang hay không.

Tại Sao Hành Động Của Người Vận Hành Lại Quan Trọng Trong Đánh Giá SIL

Các nghiên cứu an toàn chức năng phân biệt giữa hành động của người vận hành tạo ra điều kiện nguy hiểm và sự can thiệp ngăn chặn sự leo thang. Sự phân biệt này ảnh hưởng trực tiếp đến các phép tính giảm rủi ro và mục tiêu SIL cần thiết.

Trong thực tế, một người vận hành phòng điều khiển có thể gây ra sai lệch thông qua việc sắp xếp van sai, kích hoạt bypass hoặc phản ứng chậm. Ngược lại, cùng người vận hành đó cũng có thể đóng vai trò như một rào chắn bảo vệ bằng cách phản ứng với cảnh báo hoặc tự tay khởi động quy trình ngừng hoạt động.

Những kịch bản này có vẻ tương tự về mặt vận hành, nhưng được xử lý rất khác nhau trong các phương pháp IEC 61511 và CCPS LOPA.

Hành Động Của Người Vận Hành So Với Sự Can Thiệp Của Người Vận Hành

Hành động của người vận hành thường mang tính chủ ý và theo quy trình. Nó có thể bao gồm khởi động thiết bị, xác nhận các điều kiện cho phép hoặc kích hoạt lệnh ngừng khẩn cấp. Một sự can thiệp thường xảy ra sau khi điều kiện bất thường phát triển.

Ví dụ, nhấn nút nhấn ESD được kết nối cứng trở thành một phần của chức năng an toàn. Phản ứng với cảnh báo nhiệt độ cao trước khi điều kiện mất kiểm soát phát triển có thể được xem là một lớp bảo vệ độc lập.

Thách thức kỹ thuật nằm ở việc xác định liệu có đủ thời gian, tính độc lập và độ tin cậy để con người phản ứng hay không.

Khi Sai Lầm Con Người Trở Thành Sự Kiện Khởi Đầu

IEC 61511 định nghĩa sự kiện khởi phát là sự sai lệch đưa quy trình đến điều kiện nguy hiểm. Lỗi con người thường đáp ứng định nghĩa này.

Van bypass mở sai, ghi đè bảo trì không đúng cách hoặc không khôi phục các khóa liên động sau khi kiểm tra đều có thể tạo ra yêu cầu quy trình đối với các hệ thống bảo vệ.

Trong các nghiên cứu LOPA, các hành động này được gán tần suất sự kiện khởi phát (IEF). Tần suất được gán phản ánh mức độ thường xuyên một lỗi con người cụ thể có thể xảy ra trong quá trình vận hành nhà máy.

Độ Tin Cậy Của Con Người Không Bao Giờ Ổn Định

Hiệu suất của người vận hành thay đổi dưới áp lực, mệt mỏi, quản lý cảnh báo kém hoặc điều kiện tải công việc cao. Do sự biến đổi này, các nghiên cứu an toàn áp dụng các giả định thận trọng về độ tin cậy của con người.

Các quy trình đơn giản và được luyện tập tốt có thể có tần suất khởi phát thấp. Các can thiệp phức tạp trong điều kiện vận hành bất thường nhận giá trị cao hơn đáng kể.

Hình 2. Hành động của con người ảnh hưởng đến cả sự kiện khởi phát và phản ứng bảo vệ trong các nghiên cứu an toàn.

Các nhà máy sử dụng hệ thống điều khiển phân tán cũ thường đối mặt với các rủi ro yếu tố con người bổ sung do quá tải cảnh báo và bố cục HMI không nhất quán. Nhiều cơ sở nâng cấp nền tảng cũ hiện tích hợp hệ thống hệ thống điều khiển DCS hiện đại để cải thiện ưu tiên cảnh báo và khả năng quan sát của người vận hành.

Người Vận Hành Có Thể Được Tính Là Lớp Bảo Vệ Độc Lập Không?

Can thiệp thủ công chỉ có thể được xem là một IPL dưới các điều kiện nghiêm ngặt. Phản ứng phải độc lập với nguyên nhân khởi phát, xảy ra trong thời gian an toàn quy trình có sẵn và tuân theo các quy trình vận hành đã được xác thực.

Các tiêu chuẩn như ISA TR84 và hướng dẫn của CCPS thường giới hạn tín dụng IPL thủ công vì hiệu suất con người vốn không nhất quán. Ở nhiều cơ sở, hệ số giảm rủi ro tối đa được chấp nhận cho phản ứng của người vận hành vẫn là 10.

Thời Gian An Toàn Quy Trình Xác Định Tính Khả Thi

Thời gian an toàn quy trình có sẵn xác định liệu sự can thiệp của người vận hành có thực tế hay không. Nếu người vận hành có vài phút để phản ứng với sự sai lệch trong quy trình, phản ứng thủ công có thể vẫn được chấp nhận.

Nếu quy trình đạt đến điều kiện không an toàn trong vài giây, tự động hóa trở nên bắt buộc. Không có chương trình đào tạo thực tế nào có thể đảm bảo can thiệp thủ công thành công trong khoảng thời gian phản ứng cực ngắn.

Sự phân biệt này giải thích tại sao các hệ thống tua-bin tốc độ cao, ứng dụng quản lý đốt và bảo vệ máy nén ngày càng phụ thuộc vào các nền tảng an toàn chuyên dụng thay vì chỉ can thiệp theo quy trình.

Hành động ngắt thủ công bên trong phạm vi SIF

Nhiều kỹ sư phân loại sai các hành động ngắt thủ công là sự kiện khởi tạo. Thực tế, việc kích hoạt ngắt khẩn cấp có chủ ý thường là một phần của chính SIF.

IEC 61511 rõ ràng quy định rằng khi hành động thủ công khởi tạo một chức năng an toàn, mọi yếu tố hỗ trợ đều thuộc phạm vi SIF. Điều này bao gồm nút nhấn, dây điện, bộ giải logic, quy trình vận hành và yêu cầu đào tạo.

Xem xét sự tăng áp suất phản ứng được phát hiện trước khi đạt ngưỡng ngắt tự động. Người vận hành có thể nhận ra rò rỉ bất thường và kích hoạt ngắt thủ công trước khi tình trạng leo thang.

Trong tình huống này, người vận hành không tạo ra mối nguy hiểm. Hành động này chủ động giảm rủi ro và do đó thuộc về thiết kế chức năng an toàn.

Hình 3. Khả năng ngắt thủ công thường hoạt động như một phần của chức năng thiết bị an toàn tổng thể.

Các cơ sở sử dụng bộ điều khiển an toàn tích hợp như hệ thống an toàn Triconex thường triển khai các đường ngắt cứng riêng biệt để giảm sự phụ thuộc vào các lớp điều khiển quy trình tiêu chuẩn.

Kết nối hành động của con người với các phép tính LOPA

Phân tích LOPA chuyển đổi các kịch bản vận hành thành các mối quan hệ rủi ro số. Tần suất lỗi con người, hiệu suất IPL và tần suất sự kiện mục tiêu cùng quyết định mức độ toàn vẹn cần thiết của SIF.

Trong các dự án thực tế, lỗi của người vận hành thường xác định tần suất xảy ra yêu cầu bảo vệ. Hệ thống an toàn sau đó cung cấp mức giảm rủi ro cần thiết để đạt được tần suất sự kiện chấp nhận được.

Hình 4. Hành động của con người ảnh hưởng đến tỷ lệ yêu cầu khởi tạo và mức độ toàn vẹn SIF cần thiết.

Thực tế kỹ thuật bên trong các nhà máy vận hành

Các nghiên cứu an toàn thực tế hiếm khi thất bại chỉ vì toán học. Chúng thất bại khi các giả định về hiệu suất người vận hành trở nên không thực tế.

Kỹ sư đôi khi đánh giá quá cao chất lượng phản ứng cảnh báo mà không xem xét khối lượng công việc, các sự kiện đồng thời hoặc độ trễ truyền thông trong điều kiện bất ổn. Một IPL hợp lý về mặt lý thuyết có thể sụp đổ về mặt vận hành nếu môi trường phòng điều khiển bị quá tải.

Vấn đề này trở nên rõ ràng hơn khi các nhà máy thúc đẩy sản lượng cao hơn với mô hình nhân sự tinh gọn hơn.

An toàn chức năng ngày càng tập trung vào con người

Giai đoạn tiếp theo của phát triển an toàn chức năng sẽ tập trung nhiều vào tương tác người-máy thay vì chỉ phần cứng. Hợp lý hóa cảnh báo, thiết kế HMI công thái học và hỗ trợ quyết định cho người vận hành hiện ảnh hưởng đến hiệu suất an toàn không kém gì cảm biến và bộ giải logic.

Kiến trúc SIS hiện đại đã tích hợp chẩn đoán dự đoán, kiểm soát hoãn cảnh báo và hệ thống hướng dẫn người vận hành. Tuy nhiên, người vận hành có kinh nghiệm vẫn cung cấp sự đánh giá mà tự động hóa không thể hoàn toàn tái tạo trong các điều kiện quy trình không chắc chắn.

Xu hướng ngành rõ ràng: tự động hóa xử lý tốc độ và sự nhất quán, trong khi người vận hành cung cấp lý luận thích ứng trong các sự kiện bất thường.

Ý kiến tác giả

Nhiều nghiên cứu SIL vẫn đánh giá thấp sự phức tạp của hành vi con người trong các điều kiện vận hành bất thường. Việc gán các giả định phản ứng lạc quan của người vận hành có thể giảm chi phí dự án ban đầu, nhưng lại tạo ra rủi ro vận hành tiềm ẩn.

Các cơ sở theo đuổi độ tin cậy cao hơn nên dành can thiệp thủ công cho các tình huống phản ứng lâu và các hoạt động yêu cầu thấp. Các quy trình có hậu quả nghiêm trọng đòi hỏi hành động bảo vệ tự động được hỗ trợ bởi các quy trình vận hành kỷ luật, không phụ thuộc vào người vận hành.

Chiến lược an toàn mạnh mẽ nhất kết hợp tự động hóa, triết lý vận hành rõ ràng, quản lý cảnh báo thực tế và phát triển năng lực liên tục cho người vận hành.

Oliver Grant | Chuyên viên phân tích An toàn chức năng cao cấp

Oliver Grant có hơn 14 năm kinh nghiệm trong kỹ thuật an toàn quy trình, xác minh SIL và tích hợp hệ thống ngừng hoạt động. Kinh nghiệm của ông bao gồm các dự án vòng đời an toàn liên quan đến các nền tảng Honeywell, Yokogawa, Emerson DeltaV, HIMA và Rockwell Automation trong các cơ sở lọc dầu, LNG và phát điện.