مدیریت هشدارهای فرآیندی و پیشگیری از سیل آلارم (Alarm Flood) مطابق ISA 18.2: اولویت‌بندی، ریشه‌یابی آلارم‌های کاذب و جلوگیری از سردرگمی اپراتور

مقدمه: چرا سیل آلارم، قاتل خاموش اتاق کنترل است؟

Problem: خطای مرگبار — نادیده گرفتن بار آلارم و توزیع نامتوازن اولویت‌ها

رایج‌ترین و مرگبارترین خطای سرپرستان و روسای نوبت‌کاری در اتاق‌های کنترل تأسیسات نفت و گاز ایران، بی‌توجهی به «بار آلارم» (Alarm Load) و توزیع نامتوازن اولویت‌هاست. طبق ISA 18.2، یک اپراتور در شرایط عادی نباید بیش از ۱ آلارم در هر ۱۰ دقیقه دریافت کند — معادل حدود ۱۵۰ آلارم در روز. در شرایط بحرانی، این عدد نباید از ۱۰ آلارم در ۱۰ دقیقه فراتر رود.

در تأسیسات ایران، به‌دلیل پیکربندی نامناسب DCS، نبود عقلانی‌سازی آلارم (Alarm Rationalization) و فرسودگی سنسورها، نرخ آلارم در شرایط عادی گاه به ۵۰ تا ۱۰۰ آلارم در ساعت می‌رسد. این بدان معناست که اپراتور در هر دقیقه با یک یا دو هشدار مواجه است و توانایی تشخیص آلارم حیاتی از مزاحم را از دست می‌دهد.

Agitate: زنجیره خسارت‌های ناشی از سیل آلارم

سیل آلارم یک دومینو تخریبی فعال می‌کند. در گام اول، اپراتور دچار بی‌حسی آلارم (Alarm Desensitization) می‌شود — یعنی به‌تدریج به هشدارها بی‌توجه می‌کند. در گام دوم، آلارم‌های ایستا (Standing Alarms) که ساعت‌ها فعال می‌مانند، فضای نمایشگر را اشغال کرده و آلارم‌های جدید را پنهان می‌کنند.

آلارم‌های لرزان (Chattering Alarms) که به‌دلیل نوسان سیگنال حول حد آلارم، در هر ثانیه فعال و غیرفعال می‌شوند، بار پردازشی سیستم را افزایش داده و صدای آلارم را به یک نویز پس‌زمینه تبدیل می‌کنند. در نهایت، در لحظه بحران واقعی، اپراتور در میان صدها آلارم مزاحم، آلارم حیاتی را از دست می‌دهد و حادثه‌ای فاجعه‌بار رخ می‌دهد.

تاریخ صنعت نفت جهان، نمونه‌های تلخی از این پدیده دارد. در فاجعه Milford Haven (۱۹۹۴، پالایشگاه Texaco در ولز)، اپراتورها در ۱۱ دقیقه منتهی به انفجار، با ۲۷۵ آلارم بمباران شدند. انفجار ۲۰ تن هیدروکربن، خسارت گسترده و تلفات جانی به همراه داشت. هیئت ایمنی بریتانیا در گزارش خود، تعداد زیاد آلارم‌ها و طراحی ضعیف سیستم هشدار را به‌عنوان علل اصلی حادثه معرفی کرد.

Solve: راهکار مهندسی — چارچوب چهارمرحله‌ای مدیریت آلارم طبق ISA 18.2

راهکار ریشه‌ای، پیاده‌سازی یک چرخه عمر کامل مدیریت آلارم طبق ISA 18.2 است. مرحله اول به تدوین فلسفه آلارم (Alarm Philosophy) اختصاص دارد — سندی که اصول طراحی، اولویت‌بندی و مدیریت آلارم را تعیین می‌کند. مرحله دوم شامل شناسایی و عقلانی‌سازی آلارم (Alarm Identification and Rationalization) است که در آن هر آلارم بر اساس پنج معیار ISA 18.2 ارزیابی می‌شود: غیرعادی بودن، داشتن پیامد، نیاز به اقدام، مرتبط بودن و منحصربه‌فرد بودن.

مرحله سوم به طراحی پایه آلارم (Basic Alarm Design) و تعیین پارامترهایی مانند تأخیر زمانی (Time Delay)، باند مرده (Deadband) و اولویت (Priority) اختصاص دارد. مرحله چهارم شامل پایش عملکرد (Performance Monitoring) و تحلیل مستمر نرخ آلارم، تعداد سیل‌ها و توزیع اولویت‌هاست.

اولویت‌بندی آلارم‌ها در اتاق کنترل طبق ISA 18.2

توزیع توصیه‌شده اولویت آلارم‌ها

ISA 18.2 یک توزیع مشخص برای اولویت آلارم‌ها توصیه می‌کند. در یک سیستم سه‌سطحی (Low, Medium, High)، توزیع بهینه به این شرح است: حدود ۸۰٪ آلارم‌ها در سطح Low (آگاهی)، ۱۵٪ در سطح Medium (اقدام سریع) و ۵٪ در سطح High (اقدام فوری). در سیستم چهارسطحی، سطح Highest کمتر از ۱٪ آلارم‌ها را شامل می‌شود.

این توزیع بر اساس اصل «اولویت‌های بالاتر کمتر استفاده می‌شوند» طراحی شده است. اگر توزیع فعلی تأسیسات شما انحراف چشمگیری از این اعداد داشته باشد — مثلاً ۴۰٪ آلارم‌ها در سطح High باشند — اپراتور نمی‌تواند تفاوت بین «فوریت واقعی» و «هشدار عادی» را تشخیص دهد.

روش‌های اولویت‌بندی: ماتریس ریسک و زمان پاسخ

اولویت هر آلارم از ترکیب دو عامل تعیین می‌شود: شدت پیامد (Consequence Severity) و زمان مجاز برای پاسخ (Available Response Time). ماتریس اولویت‌بندی ISA 18.2، این دو عامل را در یک جدول ماتریسی ترکیب می‌کند. آلارمی که پیامد فاجعه‌بار (Multiple Fatalities) و زمان پاسخ کمتر از ۱ دقیقه دارد، در بالاترین اولویت قرار می‌گیرد. آلارمی با پیامد جزئی و زمان پاسخ بیش از ۳۰ دقیقه، در پایین‌ترین اولویت قرار می‌گیرد.

کدگذاری بصری و شنیداری اولویت‌ها

کدگذاری اولویت باید به‌گونه‌ای باشد که اپراتور در یک نگاه، مهم‌ترین آلارم را تشخیص دهد. طبق ISA 18.2، از رنگ (قرمز برای High، زرد برای Medium، آبی یا سفید برای Low) و صدا (صدای متمایز برای هر سطح اولویت) استفاده می‌شود. نکته حیاتی این است که کدگذاری باید در همه شرایط نوری اتاق کنترل — از جمله نور کم شب — قابل تشخیص باشد.

ریشه‌یابی آلارم‌های کاذب (Nuisance Alarms)

تعریف آلارم کاذب طبق ISA 18.2

ISA 18.2 آلارم کاذب را به‌عنوان آلارمی تعریف می‌کند که معیارهای پنج‌گانه آلارم معتبر را برآورده نمی‌کند. این معیارها عبارتند از: (۱) شرایط غیرعادی باشد، (۲) پیامد داشته باشد، (۳) نیاز به اقدام اپراتور داشته باشد، (۴) مرتبط با وضعیت فعلی باشد، (۵) منحصربه‌فرد باشد و با آلارم دیگر همپوشانی نداشته باشد.

آلارم کاذب می‌تواند به‌صورت مکرر (Repeating)، لرزان (Chattering)، گریزان (Fleeting) یا ایستا (Standing) ظاهر شود. آلارم لرزان به‌دلیل نوسان سیگنال حول حد آلارم، در هر ثانیه فعال و غیرفعال می‌شود. آلارم گریزان در کمتر از چند ثانیه فعال و غیرفعال می‌شود و اپراتور فرصت واکنش ندارد. آلارم ایستا ساعت‌ها یا روزها فعال می‌ماند و فضای نمایشگر را اشغال می‌کند.

ریشه‌های اصلی آلارم‌های کاذب در تأسیسات ایران

بر اساس مطالعات میدانی در تأسیسات نفتی ایران، پنج ریشه اصلی برای آلارم‌های کاذب شناسایی شده است. ریشه اول، فرسودگی سنسورها است. سنسورهای فشار، دما و سطح که عمر مفید آن‌ها به پایان رسیده، سیگنال نویزی تولید می‌کنند که منجر به آلارم‌های لرزان می‌شود.

ریشه دوم، پیکربندی نامناسب حد آلارم است. حد آلارم‌ها اغلب بدون تحلیل دینامیک فرآیند و تنها بر اساس مقادیر طراحی اولیه تنظیم شده‌اند. در نتیجه، حد آلارم در محدوده نوسان عادی فرآیند قرار می‌گیرد و آلارم به‌طور مداوم فعال می‌شود. ریشه سوم، نبود تأخیر زمانی و باند مرده است. ISA 18.2 استفاده از تأخیر زمانی (حداقل ۲-۵ ثانیه) و باند مرده (حداقل ۲٪ اسپن) را برای جلوگیری از آلارم‌های ناشی از نویز توصیه می‌کند.

ریشه چهارم، آلارم‌های همپوشان (Redundant Alarms) است. وقتی آلارم «سطح بالا» و «سطح بسیار بالا» برای یک پارامتر تعریف شده باشد، در شرایط بحرانی هر دو فعال می‌شوند و اپراتور را سردرگم می‌کنند. ISA 18.2 توصیه می‌کند که تنها آلارم با شدیدترین وضعیت اعلام شود. ریشه پنجم، آلارم‌های مربوط به تجهیزات خارج از سرویس است. وقتی یک پمپ یا مبدل برای تعمیرات ایزوله می‌شود، آلارم‌های مربوط به آن باید به‌طور خودکار سرکوب شوند.

جلوگیری از سردرگمی اپراتور در حوادث ناگهانی

سرکوب آلارم (Alarm Suppression) بر اساس حالت عملیاتی

ISA 18.2 سه نوع سرکوب آلارم را تعریف می‌کند. سرکوب بر اساس حالت عملیاتی (Suppression Based on Operating Mode): وقتی واحد در حالت راه‌اندازی (Startup) یا توقف (Shutdown) است، آلارم‌هایی که فقط در حالت کار عادی (RUN) معنا دارند، به‌طور خودکار سرکوب می‌شوند.

سرکوب آلارم‌های فرعی (Suppression of Subsidiary Alarms): وقتی یک آلارم سطح بالاتر فعال می‌شود، آلارم‌های سطح پایین‌تر که پیامد منطقی آن هستند، سرکوب می‌شوند. برای مثال، وقتی آلارم «قطع ESD» فعال می‌شود، آلارم «فشار پایین مخزن» که پیامد طبیعی ESD است، سرکوب می‌گردد.

سرکوب آلارم‌های تکراری (Suppression of Redundant Alarms): وقتی آلارم‌های همپوشان مانند «فشار بالا» و «فشار بسیار بالا» وجود دارند، تنها آلارم شدیدتر اعلام شده و سایرین سرکوب می‌شوند.

شلف کردن آلارم (Alarm Shelving)

شلف کردن آلارم یک مکانیزم موقت و کنترل‌شده است که به اپراتور اجازه می‌دهد آلارم‌های مزاحم شناخته‌شده را برای مدت محدود (معمولاً حداکثر ۸ ساعت) از نمایشگر حذف کند. طبق ISA 18.2، آلارم‌های شلف‌شده باید در یک نمایشگر جداگانه قابل مشاهده باشند و پس از انقضای مدت، به‌طور خودکار به حالت فعال بازگردند.

شلف کردن باید در یک لاگ رسمی ثبت شود و نیازمند تأیید سرپرست باشد. استفاده نادرست از شلف کردن — یعنی شلف کردن دائمی آلارم‌های مهم — می‌تواند به فاجعه منجر شود. در فاجعه BP-Husky، برخی آلارم‌های حیاتی به‌طور نامناسب شلف شده بودند و اپراتور از وضعیت واقعی مخزن نفتا بی‌خبر ماند.

جدول مقایسه: دیدگاه تئوریک در برابر واقعیت عملیاتی

تحلیل کدها و استانداردهای فنی حاکم

ISA 18.2 — مدیریت سیستم‌های آلارم برای صنایع فرآیندی

ANSI/ISA-18.2-2016 مرجع اصلی مدیریت آلارم است. این استاندارد چرخه عمر کامل مدیریت آلارم را تعریف می‌کند که شامل مراحل زیر است: تدوین فلسفه آلارم، شناسایی آلارم، عقلانی‌سازی آلارم، طراحی پایه، طراحی پیشرفته، پیاده‌سازی، راه‌اندازی، بهره‌برداری، نگهداری، پایش و ممیزی. ISA 18.2 الزام می‌کند که عقلانی‌سازی آلارم یک فرآیند مداوم و اجباری باشد، نه یک پروژه یک‌باره.

طبق ISA 18.2، هر آلارم معتبر باید پنج معیار را برآورده کند: غیرعادی بودن، داشتن پیامد، نیاز به اقدام، مرتبط بودن و منحصربه‌فرد بودن. آلارمی که این معیارها را برآورده نکند، باید حذف یا اصلاح شود. ISA 18.2 همچنین الزام می‌کند که سیستم کنترل قابلیت شلف کردن آلارم و سرکوب آلارم را داشته باشد.

IEC 62682 — مدیریت سیستم‌های آلارم

IEC 62682 نسخه بین‌المللی ISA 18.2 است که در سال ۲۰۱۴ منتشر شد. این استاندارد چارچوب چرخه عمر مشابهی را تعریف می‌کند و در سال ۲۰۲۴ در حال بازنگری بر اساس ویرایش ۲۰۱۶ ISA 18.2 است. IEC 62682 در بخش ۹ الزامات پایش عملکرد را تعیین می‌کند و در بخش ۱۰ الزامات ممیزی سیستم آلارم را ارائه می‌دهد.

EEMUA 191 — راهنمای طراحی و مدیریت سیستم‌های آلارم

EEMUA 191 (ویرایش چهارم، نوامبر ۲۰۲۴) راهنمای جامع طراحی، مدیریت و خرید سیستم‌های آلارم است. این استاندارد توسط کاربران سیستم‌های آلارم در صنعت تدوین شده و مکمل ISA 18.2 محسوب می‌شود. EEMUA 191 اهداف عملکردی مشخصی تعیین می‌کند: حداکثر ۱۰ آلارم در ۱۰ دقیقه اول یک اختلال بزرگ و میانگین کمتر از ۱ آلارم در ۱۰ دقیقه در حالت پایدار.

API RP 1167 — مدیریت آلارم در خطوط لوله

API RP 1167 استاندارد مدیریت آلارم برای سیستم‌های SCADA خطوط لوله است. این استاندارد الزامات مشابه ISA 18.2 را برای خطوط لوله تعیین می‌کند و شامل راهنمای اولویت‌بندی، سرکوب و پایش عملکرد است.

استانداردهای نفت ایران (IPS و HSE-MS)

IPS-E-SF-110 در بخش ۴ الزامات طراحی سیستم‌های ایمنی و حفاظتی شامل مدیریت آلارم را تعیین می‌کند. HSE-MS وزارت نفت به‌عنوان چارچوب بالادستی، الزامات پایش عملکرد آلارم و ممیزی دوره‌ای را تعیین می‌کند. طبق این استانداردها، هر تأسیسات باید فلسفه آلارم مکتوب داشته باشد و نرخ آلارم و توزیع اولویت به‌طور مستمر پایش شود.

مطالعه موردی: سیل آلارم و فاجعه BP-Husky

Situation — وضعیت اولیه

پالایشگاه BP-Husky در Toledo، Ohio، در ۲۰ سپتامبر ۲۰۲۲ در حال فرآورش نفتا از یک مخزن تحت فشار بود. سیستم کنترل توزیع‌شده (DCS) پالایشگاه به‌دلیل پیکربندی نامناسب و نبود عقلانی‌سازی آلارم، نرخ بالای آلارم‌های مزاحم تولید می‌کرد. اپراتورهای اتاق کنترل در شیفت شب با بار آلارم بالایی مواجه بودند.

Task — بحران پیش‌آمده

در بازه ۱۲ ساعته پیش از حادثه، ۳,۷۱۲ آلارم در DCS ثبت شد. اپراتورها در سیل عظیمی از هشدارها غرق شده بودند و نتوانستند آلارم‌های مربوط به سرریز نفتا را از میان آلارم‌های مزاحم تشخیص دهند. در ساعت ۱۸:۰۶، نفتا از مخزن سرریز کرد و به سیستم گاز سوختی نفوذ کرد. ابر بخار قابل اشتعال تشکیل شد و در تماس با منبع اشتعال، انفجار رخ داد.

Action — مداخلات انجام‌شده و یافته‌های CSB

• گزارش CSB: هیئت ایمنی شیمیایی آمریکا (CSB) حادثه را بررسی و سیل آلارم را به‌عنوان یکی از علل اصلی معرفی کرد
• توصیه به ISA: CSB به ISA توصیه کرد که اهداف عملکردی برای تحلیل سیل آلارم کوتاه‌مدت به ISA 18.2 اضافه شود
• یافته کلیدی: اپراتورها قادر به تشخیص آلارم حیاتی در میان ۳۷۱۲ آلارم نبودند
• خسارت مالی: ۵۹۷ میلیون دلار
• تلفات جانی: دو کارگر جان باختند

Result — درس‌آموخته‌ها

درس‌آموخته‌های کلیدی: نخست، سیل آلارم یک پدیده ساده نیست — یک تهدید مستقیم برای ایمنی جان انسان‌هاست. دوم، نرخ آلارم باید به‌طور مستمر پایش شود و در صورت تجاوز از حد مجاز، اقدام اصلاحی فوری انجام گیرد. سوم، عقلانی‌سازی آلارم باید به‌عنوان یک فرآیند مداوم و اجباری در نظر گرفته شود، نه یک پروژه یک‌باره. چهارم، ISA 18.2 نیازمند تقویت با اهداف عملکردی برای سیل آلارم کوتاه‌مدت است — توصیه‌ای که CSB به‌طور رسمی ارائه کرد.

سوالات تخصصی مصاحبه‌های استخدامی و ارتقای شغلی

سوال ۱: تعریف دقیق سیل آلارم طبق ISA 18.2 چیست و چه تفاوتی با بار آلارم بالا دارد؟

پاسخ: طبق ISA 18.2، سیل آلارم (Alarm Flood) وضعیتی است که در آن نرخ آلارم از ۱۰ آلارم در ۱۰ دقیقه فراتر رود و تا زمانی ادامه یابد که نرخ به کمتر از ۵ آلارم در ۱۰ دقیقه کاهش یابد. این تعریف کمی و مشخص است. بار آلارم بالا (High Alarm Load) یک وضعیت مزمن است که در آن نرخ آلارم به‌طور مداوم از حد توصیه‌شده (۱ آلارم در ۱۰ دقیقه) بیشتر است، اما به حد سیل نمی‌رسد.

تفاوت اصلی در شدت و مدت است. سیل آلارم یک رویداد حاد و کوتاه‌مدت است که معمولاً با یک اختلال فرآیندی همراه است. بار آلارم بالا یک وضعیت مزمن است که به‌تدریج اپراتور را دچار بی‌حسی می‌کند. هر دو وضعیت خطرناک هستند و نیازمند اقدام اصلاحی فوری هستند.

سوال ۲: پنج معیار ISA 18.2 برای یک آلارم معتبر چیست و چگونه می‌توان از آن‌ها برای حذف آلارم‌های کاذب استفاده کرد؟

پاسخ: پنج معیار ISA 18.2 برای آلارم معتبر عبارتند از: (۱) غیرعادی بودن: آیا شرایط واقعاً غیرعادی است یا در محدوده عملیاتی نرمال قرار دارد؟ (۲) داشتن پیامد: آیا عدم اقدام منجر به پیامد ایمنی، زیست‌محیطی یا اقتصادی می‌شود؟ (۳) نیاز به اقدام: آیا اپراتور باید اقدام مشخصی انجام دهد یا آلارم خودبه‌خود رفع می‌شود؟ (۴) مرتبط بودن: آیا آلارم به وضعیت فعلی عملیاتی مرتبط است؟ (۵) منحصربه‌فرد بودن: آیا آلارم تکراری یا همپوشان با آلارم دیگر نیست؟

برای حذف آلارم‌های کاذب، هر آلارم موجود را با این پنج معیار ارزیابی کنید. اگر آلارمی حتی یکی از معیارها را برآورده نکند، باید حذف، اصلاح یا سرکوب شود. این فرآیند، عقلانی‌سازی آلارم نامیده می‌شود و طبق ISA 18.2 باید به‌طور مداوم انجام شود.

سوال ۳: تفاوت بین شلف کردن آلارم و سرکوب آلارم چیست و هر کدام چه محدودیت‌هایی دارند؟

پاسخ: شلف کردن آلارم (Alarm Shelving) یک مکانیزم موقت و اپراتور-محور است که به اپراتور اجازه می‌دهد آلارم‌های مزاحم شناخته‌شده را برای مدت محدود (معمولاً حداکثر ۸ ساعت) از نمایشگر حذف کند. آلارم‌های شلف‌شده باید در یک نمایشگر جداگانه قابل مشاهده باشند و پس از انقضا به‌طور خودکار بازگردند. محدودیت اصلی این است که شلف کردن نیازمند قضاوت اپراتور است و ممکن است به‌طور نادرست برای آلارم‌های مهم استفاده شود.

سرکوب آلارم (Alarm Suppression) یک مکانیزم خودکار و سیستم-محور است که بر اساس منطق از پیش تعریف‌شده (مانند حالت عملیاتی، آلارم فرعی یا آلارم تکراری) عمل می‌کند. سرکوب نیازی به دخالت اپراتور ندارد و بنابراین از خطای انسانی مصون است. محدودیت اصلی این است که اگر منطق سرکوب نادرست تعریف شود، ممکن است آلارم‌های مهم سرکوب شوند.

جدول طلایی: پنجره‌های عملیاتی و حدود بحرانی مدیریت آلارم

تکلیف و سناریوی محاسباتی/تحلیلی پایان درس

جمع‌بندی: مدیریت آلارم، خط قرمز بین تمرکز و سردرگمی

مدیریت آلارم و پیشگیری از سیل آلارم (Alarm Flood) در اتاق‌های کنترل تأسیسات نفت و گاز ایران، یک ضرورت ایمنی و عملیاتی است. سیل آلارم — که طبق ISA 18.2 با نرخ بیش از ۱۰ آلارم در ۱۰ دقیقه تعریف می‌شود — اپراتور را در لحظه بحران واقعی ناتوان می‌کند و به فجایع انسانی و اقتصادی منجر می‌شود. فاجعه BP-Husky با ۳,۷۱۲ آلارم در ۱۲ ساعت و فاجعه Milford Haven با ۲۷۵ آلارم در ۱۱ دقیقه، نمونه‌های تلخی از این واقعیت هستند.

سه اصل اساسی مدیریت آلارم عبارتند از: نخست، عقلانی‌سازی مداوم آلارم بر اساس پنج معیار ISA 18.2 (غیرعادی بودن، داشتن پیامد، نیاز به اقدام، مرتبط بودن، منحصربه‌فرد بودن). دوم، توزیع صحیح اولویت‌ها طبق توزیع توصیه‌شده (~۸۰٪ Low، ~۱۵٪ Medium، ~۵٪ High). سوم، پایش مستمر عملکرد آلارم و اقدام اصلاحی در صورت انحراف از حدود مجاز.

استانداردهای ISA 18.2، IEC 62682، EEMUA 191، API RP 1167 و IPS-E-SF-110 چارچوب فنی این مدیریت را تعیین می‌کنند. در تأسیسات نفتی ایران، پیشگیری از فاجعه بعدی نیازمند تعهد سازمانی به عقلانی‌سازی آلارم، پیاده‌سازی سرکوب حالت عملیاتی، و آموزش مستمر اپراتورهاست. اتاق کنترل نه یک مکان پر از آلارم، بلکه یک مکان تمرکز بر آلارم‌های حیاتی است. مدیریت آلارم، خط قرمز بین تمرکز اپراتور و سردرگمی اوست.