Interwencja operatora w bezpieczeństwie funkcjonalnym: równoważenie działania człowieka i integralności systemu

We współczesnych zakładach przemysłowych interakcja między operatorami a zautomatyzowanymi systemami sterowania kształtuje krajobraz bezpieczeństwa. Podczas gdy systemy cyfrowe, takie jak technologie PLC i DCS, zajmują się rutynowymi zadaniami, operatorzy zapewniają elastyczność niezbędną do podejmowania złożonych decyzji. Jednak włączenie działań ludzkich do bezpieczeństwa funkcjonalnego wymaga dokładnego zrozumienia, kiedy operator jest czynnikiem ryzyka, a kiedy barierą ochronną.

Określenie roli operatorów w zarządzaniu ryzykiem

Specjaliści z branży często używają terminów „działanie” i „interwencja” zamiennie, choć oznaczają one różne pojęcia w analizie bezpieczeństwa. Działanie operatora to zazwyczaj krok proaktywny w ramach procedury. Natomiast interwencja operatora to reakcja podjęta w celu złagodzenia rozwijającego się zagrożenia.

Rozróżnienie tych ról jest niezbędne dla analizy warstw ochronnych (LOPA) oraz określenia wymaganego poziomu integralności bezpieczeństwa (SIL) dla funkcji bezpieczeństwa (SIF). Błędne przypisanie tych ról prowadzi do nieprecyzyjnych obliczeń współczynnika redukcji ryzyka (RRF), co może skutkować niedostateczną ochroną zakładu.

Kiedy błąd ludzki działa jako zdarzenie inicjujące

Zgodnie z normą IEC 61511, zdarzenie inicjujące (IE) to każda awaria, która popycha proces w kierunku stanu niebezpiecznego. Gdy operator popełnia błąd, na przykład otwiera niewłaściwy zawór ręczny lub nie przestrzega sekwencji uruchomienia, staje się źródłem zapotrzebowania na działanie systemu.

W ilościowych ocenach ryzyka przypisujemy tym błędom częstotliwość zdarzenia inicjującego (IEF). Na podstawie danych branżowych z CCPS i Exida typowa częstotliwość poważnego błędu ludzkiego wynosi 0,1 rocznie. Oznacza to, że inżynierowie bezpieczeństwa spodziewają się wywołania przez człowieka zapotrzebowania na system bezpieczeństwa raz na dekadę. Ponieważ to działanie powoduje zagrożenie, nie można go uznać za warstwę ochronną w tym samym scenariuszu.

Kryteria dla ręcznych niezależnych warstw ochronnych

Operatorzy mogą być uznani za niezależną warstwę ochronną (IPL), jeśli skutecznie przerwą sekwencję zagrożenia. Jednak aby uzyskać takie uznanie, muszą zostać spełnione surowe kryteria. Interwencja musi być niezależna, co oznacza, że osoba reagująca nie może być tą samą, która spowodowała błąd.

Dodatkowo operator musi dysponować wystarczającym czasem na reakcję (PST). Jeśli reaktor osiąga stan krytyczny w 30 sekund, a operator potrzebuje pięciu minut, aby dotrzeć do zaworu ręcznego, czynnik ludzki nie zapewnia żadnej redukcji ryzyka. Normy zazwyczaj sugerują, że interwencja operatora jest uznawana za ważną IPL tylko wtedy, gdy dostępny czas na reakcję wynosi co najmniej 15 do 20 minut, co pozwala na rozpoznanie alarmu i fizyczne działanie.

Włączanie działań ręcznych do pętli SIF

W niektórych architekturach automatyki przemysłowej funkcja bezpieczeństwa (SIF) zawiera element ręcznego uruchomienia, taki jak przełącznik „Ręczny-Auto” lub przycisk awaryjnego wyłączenia (ESD). Zgodnie z IEC 61511-2, jeśli do uruchomienia SIF wymagana jest ręczna akcja, operator staje się częścią samej pętli bezpieczeństwa.

W tym kontekście przycisk, okablowanie, sterownik logiczny oraz szkolenie operatora muszą być zweryfikowane łącznie. Niezawodność SIF zależy wtedy od analizy niezawodności człowieka (HRA). Jeśli operator nie naciśnie przycisku, cały SIF zawodzi. W związku z tym ręczne SIF rzadko otrzymują ocenę wyższą niż SIL 1 ze względu na zmienność ludzkich zachowań pod presją.

Obliczanie docelowego SIL na podstawie danych operatora

W obliczeniach LOPA określamy docelowe PFD (prawdopodobieństwo awarii na żądanie) dla SIF, oceniając IEF i istniejące IPL. Rozważmy scenariusz, w którym przepełnienie zbiornika prowadzi do toksycznego wycieku. Jeśli IEF dla błędu operatora wynosi 0,1/rok, a dopuszczalna częstotliwość zdarzenia (TEF) to 0,001/rok, system wymaga całkowitego współczynnika redukcji ryzyka równego 100.

Jeśli alarm wysokiego poziomu zapewnia jedną IPL z PFD równym 0,1, pozostałą ochronę musi zapewnić zautomatyzowany SIF. Obliczenie ($10^{-3} / (0.1 \times 0.1) = 0.1$) wskazuje, że potrzebny jest SIF o poziomie SIL 1, aby wypełnić lukę bezpieczeństwa. To matematyczne podejście gwarantuje obiektywne uwzględnienie ograniczeń ludzkich w projekcie zakładu.

Poprawa niezawodności człowieka poprzez lepszy projekt interfejsu

Aby zmaksymalizować skuteczność interwencji operatora, należy priorytetowo traktować ergonomię stanowiska sterowania. Wysokiej jakości projekt HMI (interfejs człowiek-maszyna) zmniejsza obciążenie poznawcze i zapobiega „zmęczeniu alarmami”. Gdy DCS wyświetla zbyt wiele alarmów o niskim priorytecie, operatorzy mogą przeoczyć sygnał krytyczny, niezbędny do zapobieżenia katastrofie.

Wskazówka autora: Z mojego doświadczenia wynika, że najsilniejsze systemy bezpieczeństwa nie dążą do zastąpienia operatora, lecz do jego wsparcia. Automatyka przewyższa człowieka pod względem szybkości i powtarzalności, ale brakuje jej „świadomości sytuacyjnej” doświadczonego operatora. Dlatego celem bezpieczeństwa funkcjonalnego powinno być automatyzowanie szybkich reakcji przy jednoczesnym dostarczaniu operatorom jasnych, użytecznych danych dotyczących wolniej rozwijających się trendów.