Eingreifen des Bedieners in die Funktionale Sicherheit: Das Gleichgewicht zwischen menschlichem Handeln und Systemintegrität

In modernen Verfahrensanlagen bestimmt die Wechselwirkung zwischen menschlichen Bedienern und automatisierten Steuerungssystemen die Sicherheitslage. Während digitale Systeme wie SPS- und DCS-Technologien Routineaufgaben übernehmen, bieten menschliche Bediener die Flexibilität, die für komplexe Entscheidungen erforderlich ist. Die Einbindung menschlichen Handelns in die funktionale Sicherheit erfordert jedoch ein genaues Verständnis darüber, wann ein Bediener als Risikofaktor oder als Schutzbarriere fungiert.

Die Rolle der Bediener im Risikomanagement definieren

Fachleute der Industrie verwenden oft die Begriffe „Handlung“ und „Eingriff“ synonym, doch sie stellen unterschiedliche Konzepte in der Sicherheitsanalyse dar. Eine Bedienerhandlung ist typischerweise ein proaktiver Schritt innerhalb eines Verfahrens. Im Gegensatz dazu ist ein Bedienereingriff eine reaktive Maßnahme zur Abwendung einer sich entwickelnden Gefahr.

Die Unterscheidung dieser Rollen ist für die Schutzschichtanalyse (LOPA) und die Bestimmung des erforderlichen Sicherheitsintegritätsniveaus (SIL) für eine sicherheitsgerichtete Funktion (SIF) unerlässlich. Eine falsche Zuordnung dieser Rollen führt zu ungenauen Berechnungen des Risikominderungsfaktors (RRF) und kann dazu führen, dass eine Anlage unzureichend geschützt bleibt.

Wenn menschliches Versagen als auslösendes Ereignis wirkt

Nach IEC 61511 ist ein auslösendes Ereignis (IE) jeder Fehler, der einen Prozess in einen gefährlichen Zustand treibt. Wenn ein Bediener einen Fehler macht, etwa ein falsches Handventil öffnet oder eine Startfolge nicht einhält, wird er zur Ursache der Anforderung.

In quantitativen Risikoabschätzungen wird diesen Fehlern eine Häufigkeit des auslösenden Ereignisses (IEF) zugewiesen. Basierend auf Branchendaten von CCPS und Exida liegt die typische Häufigkeit für einen bedeutenden menschlichen Fehler bei 0,1 pro Jahr. Das bedeutet, dass Sicherheitsingenieure mit einer durch Menschen verursachten Anforderung an das Sicherheitssystem etwa alle zehn Jahre rechnen. Da diese Handlung die Gefahr verursacht, kann sie im gleichen Szenario nicht als Schutzschicht angerechnet werden.

Kriterien für manuelle unabhängige Schutzschichten

Bediener können als unabhängige Schutzschicht (IPL) anerkannt werden, wenn sie eine Gefahrenkette erfolgreich unterbrechen. Es müssen jedoch strenge Kriterien erfüllt sein, um diese Anerkennung zu erhalten. Der Eingriff muss unabhängig sein, das heißt, die Person, die reagiert, darf nicht dieselbe sein, die den Fehler verursacht hat.

Außerdem muss der Bediener über ausreichend Prozesssicherheitszeit (PST) verfügen. Wenn ein Reaktor in 30 Sekunden einen kritischen Zustand erreicht, der Bediener aber fünf Minuten benötigt, um ein Handventil zu erreichen, bietet das menschliche Element keine Risikominderung. Normen empfehlen allgemein, dass ein Bedienereingriff nur dann als gültige IPL zählt, wenn die verfügbare PST mindestens 15 bis 20 Minuten beträgt, um Alarmwahrnehmung und physische Bewegung zu ermöglichen.

Integration manueller Handlungen in die SIF-Schleife

In einigen Automatisierungsarchitekturen umfasst eine sicherheitsgerichtete Funktion (SIF) eine manuelle Auslösungskomponente, wie einen „Hand-Off-Auto“-Schalter oder einen Not-Aus-Taster (ESD). Nach IEC 61511-2 wird der Bediener Teil der Sicherheitsschleife, wenn eine manuelle Handlung zur Auslösung einer SIF erforderlich ist.

In diesem Zusammenhang müssen der Taster, die Verkabelung, der Logikrechner und die Schulung des Bedieners gemeinsam validiert werden. Die Zuverlässigkeit der SIF hängt dann von der Analyse der menschlichen Zuverlässigkeit (HRA) ab. Wenn der Bediener den Knopf nicht drückt, versagt die gesamte SIF. Deshalb werden manuelle SIFs aufgrund der inhärenten Schwankungen menschlicher Leistung unter Stress selten mit einem höheren SIL als SIL 1 bewertet.

Berechnung des Ziel-SIL anhand von Bedienerdaten

Bei LOPA-Berechnungen bestimmen wir die Ziel-PFD (Ausfallwahrscheinlichkeit bei Anforderung) für eine SIF, indem wir die IEF und vorhandene IPLs bewerten. Betrachten wir ein Szenario, bei dem ein Tanküberlauf zu einem giftigen Austritt führt. Liegt die IEF für Bedienerfehler bei 0,1/Jahr und die tolerierbare Ereignishäufigkeit (TEF) bei 0,001/Jahr, benötigt das System einen Gesamt-Risikominderungsfaktor von 100.

Wenn ein Hochpegelalarm eine IPL mit einer PFD von 0,1 bereitstellt, muss der verbleibende Schutz durch eine automatisierte SIF erfolgen. Die Berechnung ($10^{-3} / (0.1 \times 0.1) = 0.1$) zeigt, dass eine SIL 1 SIF erforderlich ist, um die Sicherheitslücke zu schließen. Dieser mathematische Ansatz stellt sicher, dass menschliche Einschränkungen objektiv in der Anlagenplanung berücksichtigt werden.

Steigerung der menschlichen Zuverlässigkeit durch bessere Schnittstellengestaltung

Um die Wirksamkeit von Bedienereingriffen zu maximieren, muss die Ergonomie des Leitstands Priorität haben. Ein leistungsfähiges Mensch-Maschine-Bedienfeld (HMI) reduziert die geistige Belastung und verhindert „Alarmmüdigkeit“. Wenn ein DCS zu viele Alarme mit niedriger Priorität anzeigt, können Bediener das kritische Signal übersehen, das eine Katastrophe verhindert.

Erkenntnis des Autors: Nach meiner Erfahrung streben die robustesten Sicherheitssysteme nicht an, den Bediener zu ersetzen, sondern ihn zu unterstützen. Während die Automatisierung in Geschwindigkeit und Gleichmäßigkeit glänzt, fehlt ihr das „Situationsbewusstsein“ eines erfahrenen Bedieners. Daher sollte das Ziel der funktionalen Sicherheit sein, schnelle Reaktionen zu automatisieren und den Bedienern klare, umsetzbare Daten für langsamer verlaufende Entwicklungen bereitzustellen.