Pasman Process Safety Boek

51edpusGD1LGraag wijs ik de lezers van dit blog op een recent verschenen, zeer compleet boek over Process Safety. Auteur: Hans Pasman. In Nederland is hij buiten de wetenschappelijke wereld van Process Safety wellicht minder bekend (ten onrechte). Toch was/is hij al decennia de stuwende kracht achter het internationaal verder brengen van Process SafHans_Pasmanety. Als directeur van TNO Explosie veiligheid, als hoogleraar aan de TU Delft en in momenteel in Texas (klik hier). Maar vooral als medeoprichter en voorzitter van de Working Party on Loss Prevention van de European Federation of Chemical Engineering (EFCE). Hij was 18 jaar voorzitter (tot 2004). In 2016 wordt voor de 15e keer (in Freiburg) het driejaarlijks Loss Prevention Symposium gehouden. Hans is lid van het scientific committee. Samen waren we lid van de Adviesraad Gevaarlijke Stoffen.

Tot zover enige informatie over de auteur. Hij is waarschijnlijk de enige die een dergelijk boek kan schrijven. Ik heb niet eerder een dergelijk compleet boek over Proces Safety gezien. Het is een Engelstalig boek (470 pagina’s) met als titel:

Risk Analysis and Control for Industrial Processes – Gas, Oil and Chemicals.

Ondertitel: ‘A System Perspective for Assessing Low-probablity, High-Consequence Events’

Uitgegeven door Elsevier . De tekst op de achterzijde begint met een perfect advies in een mooie oneliner:

‘Make safety a long-term investment against risk’

‘The book covers safety regulations, history and trends, industrial disasters, safety problems, safety tools, and capital and operational costs versus the benefits of safety, all supporting project decision processes’.

Het boek geeft een compleet beeld van de stand van zaken van risico analyse voor de proces industrie. Het geeft een historisch overzicht én de wetenschappelijke ontwikkelingen zoals bv Bayesiaanse Netwerken, toegepast in LOPA studies. Alles uitgewerkt in voorbeelden. Twee recente rampen worden in detail beschreven en geanalyseerd: Deepwater Horizon (BP, Golf van Mexico, 2010)) en Fukushima (Japan, 2011). De analyse is vooral gefocust op de ‘deeper causes’: achterliggende systeem- en organisatie fouten. Nog een kleine greep: HAZOP/ FMEA, QRA, ongevalsanalyse instrumenten, human factors, resilience (‘veerkracht’), Cost of accidents, risico receptie/ communicatie etc. etc.

Zeer aanbevolen! Aangegeven doelgroep: ‘Safety professionals and consultants, risk analysts, process safety academics, engineering professionals’

Het boek kan uitgebreid worden ingezien bij Google books. Klik hier 

 

Geplaatst in Incidentanalyse, Risicoanalyse | Tags: , | Een reactie plaatsen

Tripod analyse van treinbotsing Tilburg

IMG_0072Op vrijdag 6 maart 2015 botst om circa 16:45 uur een reizigerstrein van NS Reizigers tegen een stilstaande, onder andere met gevaarlijke stoffen, beladen goederentrein van DB Schenker te Tilburg Goederen. Over deze botsing heb ik eerder een blog geschreven over de lakse en foutieve wijze waarop met de situatie van het vrijkomen van butadieen werd omgegaan. Nu is een onderzoeksrapport van de Inspectie Leefomgeving en Transport  (ILT) verschenen, zie hier. Ik heb de oorzaken analyse bekeken en ‘gevangen’ in een Tripod boom. Conclusie: De ILT analyse zit goed in elkaar, maar..

Tripod analyse op basis van het ILT onderzoek

Botsing Tilburg boom 3

Klik hier voor de duidelijk leesbare Tripod boom   (pdf).

Korte beschrijving oorzaken volgende de Tripod analyse (zie figuur, pdf).

Wat is er gebeurd?

De botsing is veroorzaakt doordat de reizigerstrein een stoptonend sein passeert en dan op de goederentrein botst, die niet vrij van een wissel staat (rechterdeel Tripod boom). Hoe kan het dat de trein niet vrij van de wissel staat? De trein is te lang voor het zijspoor waarop deze staat (linkerdeel boom). Twee ongewenste gebeurtenissen dus (de rode vakjes): goederentrein staat niet vrij en de botsing.

Hoe had dit voorkomen moeten worden? (drie falende barrières)

  1. De handleiding van DB Schenker over het communiceren met Prorail over de treinlengten. Mede omdat deze handleiding niet duidelijk is (bv of locomotieven moeten worden meegeteld) is een verkeerde treinlengte doorgegeven. Dat werd ook in de hand gewerkt door een praktijk van veelvuldig ‘last minute’ treinsamenstelling wijzigingen. Zie de figuur over hoe deze omstandigheden (‘preconditions’) bij de falende barrière (handleiding) zijn opgenomen. De Tripod analyse wijdt deze preconditions aan een niet adequaat Veiligheidsmanagement systeem bij DB Schenker (geel vakje).
  2. Rood sein. De machinist is door het rode sein gereden, met name door een verkeerd verwachtingspatroon: de trein vertrekt daar altijd met een geel sein, ongeacht wel/ niet stoppen bij het volgende sein. Dat is een duidelijke precondition voor het rijden door rood. Dit was reeds een lange praktijk, hoe kan dit? Wie is daarvoor verantwoordelijk, waarom is dit niet eerder opgemerkt en aangepast? Als structurele, achterliggende latente fout benoem ik dit als een onvoldoende risico bewustzijn bij Prorail en NS Reizigers (geel vakje)
  3. Kopbuffers van de reizigerstrein. Het type trein (Mar’64) heeft geen buffers en kon daardoor makkelijker schade veroorzaken aan de goederentrein (buffers absorberen energie). Precondition: een ander type trein was hier voorzien (DDZ4), met buffers. Dit was een wijziging die niet op risico is onderzocht (is wel standaard vereiste in de industrie). Latente fout: Onvoldoende risico analyse praktijk bij NS Reizigers. De focus is meer gericht op ‘punctualiteit’ dan op veiligheid (geel vakje).

Zoals gezegd, de ILT analyse ziet er gedegen uit. Jammer dat de belangrijke, structurele achterliggende factoren (latente fouten in de verschillende organisaties) niet duidelijk genoemd worden of helemaal ontbreken. Ik hoop en vermoed dat deze nog belicht gaan worden in het lopende onderzoek van de Onderzoeksraad.

Jammer dat intussen DB Schenker zijn eigen rol relativeert door vooral te wijzen naar de menselijke fout van een eigen medewerker en de menselijke fout van de machinist (info van omroep Brabant). Dat geeft weinig vertrouwen in structurele verbetering:

DB Schenker Rail: menselijke fout
Het bedrijf geeft toe een fout te hebben gemaakt. “Het was een menselijke fout dat de trein niet goed stond, omdat we één van onze twee it-systemen niet van de juiste informatie hadden voorzien”, zegt woordvoerder Jelle Rebbers tegen Omroep Brabant. “Maar de primaire fout lag bij de machinist. Hij zag het rode sein niet, zoals ook in het rapport staat. Hij heeft routinematig gereden, onvoldoende opgelet en is door rood gegaan. En we hebben juist rode seinen om dit soort gevaren te voorkomen.”

 

 

Geplaatst in Incidentanalyse | Tags: , , | Een reactie plaatsen

Losliggende tegels

VNCI foto trapIn 2006 is de VNCI begonnen met het analyseren van ongevallen met verzuim. De cijfers van 2014 zijn nu bekend. En weer zijn de cijfers lager.  Dat is mooi, maar ik heb daar al eerder kanttekeningen bij gemaakt (zie mijn blog daarover). Nu beweerden boze tongen dat de ongevalscijfers zo laag zijn dat er niets meer van valt te leren. Op verzoek van de VNCI heb ik daarover een kritisch geluid laten horen (u kent mij..). Zie het artikel daarover dat in het oktobernummer van het Chemiemagazine is verschenen (een link staat hieronder).

De kern is dat van ieder ongeval te leren valt als je dat wilt. Kleine (of bijna) incidenten (hoe weinig ook) zijn natuurlijk geen uitzondering. Er zijn (bijna) altijd achterliggende factoren in de organisatie die je dan op het spoor komt. Daarmee voorkom je meer en andere ongevallen. En wat belangrijker is: de meer serieuze ongevallen.

Artikel CM – LTI incidenten – okt 2015

 

 

Geplaatst in Incidentanalyse, LTI ongevallen, verzuimongevallen, VNCI | Tags: , , | Een reactie plaatsen

Ongemakkelijk

139unease1600x1200Wordt  ‘Chronic Unease’ (vrij vertaald: permanente ongemakkelijkheid, in dit verband met betrekking tot veiligheid) de nieuwe hype in veiligheidsland? Aanleiding voor deze blog is dat de manager van Shell Moerdijk het als element van het verbeterplan noemde, na de explosie.

Eens in de zoveel jaar zie je het gebeuren: op symposia, in publicaties, z.g. nieuwe loten aan de veiligheidsstam. Bijvoorbeeld met betrekking tot human factors, veiligheidscultuur (de Hearts & Minds (H&M) ladder!) en meer recent ook bv LOPA. Stuk voor stuk zaken die er toe doen, maar door de hype status het risico lopen doodgeknuffeld te worden. Zo is er bijna geen rapport over veiligheid in de industrie te vinden waar de H&M ladder niet instaat, meestal is niet duidelijk waarom. Zo wordt de uit de VS komen overwaaien LOPA methode voor risico analyse hier gretig omarmd, vaak zonder dat de benodigde kennis en ervaring aanwezig is. Dit kan leiden tot schijnveiligheid, voor de bühne ziet het er indrukwekkend uit, maar de toepassing valt vaak buiten het gebruikskader van de methode.

Chronic unease

10416671_654512981298882_452590928_nDe (potentieel) nieuwe hype is ‘chronic unease’. Ik ben het al een paar keer tegengekomen in veiligheidscultuur rapportages. Het werd ook genoemd door de Shell Moerdijk General Manager Paul Buijsingh in een interview het VNCI Magazine van augustus 2015. Dit uiteraard in verband met de explosie die daar heeft plaatsgevonden en het rapport van de Onderzoeksraad voor Veiligheid (OVV) dat is gepubliceerd. De directe oorzaak van de explosie is dat de katalysator reageerde met ethylbenzeen in de opwarmfase. Dit leidde uiteindelijk tot een runaway explosie. Het feit dat Shell niet wist niet dat deze reactie van een nieuwe katalysator kon plaatsvinden wordt door de OVV bekritiseerd. Het is niet voor niets dat Management of Change (MOC) zo’n belangrijk onderdeel is van het VBS.

Buijsingh noemt 3 elementen van het verbeter programma voor de komende jaren: discipline, leiderschap en ‘chronic unease. Discipline is duidelijk. Leiderschap vult hij in als’ hoe goed weet het leiderschapsteam of het in de fabriek ook echt goed is?’. Heel goed, dit is een belangrijke sleutel voor veiligheid. Weten hoe het zit, tijd nemen je er in te verdiepen, de mensen serieus nemen. Maar dan het derde punt: ‘chronic unease’. Even wat achtergrond:

Culture ladderWaar komt de term oorspronkelijk vandaan? In eerste instantie kom je dan  toch weer bij James Reason uit. In zijn boek uit 1997 hanteert hij de term ‘intelligent wariness’: slimme waakzaamheid, bedachtzaamheid. Vergelijkbaar met chronic unease. Meer specifiek komt deze term uit de Hearts & Minds methode en wordt genoemd bij de top van de ladder: een ‘Generative Culture’‘This state of “chronic unease” reflects a belief that despite all efforts, errors will occur and that even minor problems can quickly escalate into system-threatening failures.’ De term Chronic Unease wordt graag gebezigd, vanwege de allerhoogste status op de cultuurladder (zie de afbeelding).

Chronic UneaseWie heeft de Hearts & Minds methode ontwikkeld? Inderdaad:  Shell (de olie/ gas exploratie hoek). De methode wordt echter zeker niet Shell breed gehanteerd. Wel bijvoorbeeld door Shell Pipelines.  Zie de afbeelding (API conferentie in de VS in 2012). Lees de powerpoint presentatie van Shell Pipelines. Blijkbaar is de term/ methode nu (pas) geland in Moerdijk.

Management of Change (MOC)

Wel of geen Chronic Unease  in Moerdijk, elementair was/is natuurlijk het volgen van de MOC eisen uit het VBS in het kader van BRZO. Als dat goed was gedaan was het probleem in de opwarmfase met de nieuwe katalysator aan het licht gekomen. Dat geeft een ‘ongemakkelijk’ gevoel. Chronic Unease: OK, is essentieel als overall houding. Echter,  het implementeren en borgen van alle VBS elementen is elementair en komt op de eerste plaats.

 

Geplaatst in Veiligheidscultuur | Tags: , , | Een reactie plaatsen

Heeft een operator bovenmenselijke gaven?

Onrealistisch gebruik van faalkansen

Dit blog bevat gedetailleerde pdf met recent voorgeschreven faalfrequenties/ -kansen en voorwaarden. Het advies is om deze te gebruiken.

Superhuman-EnduranceIn risicoanalyses krijgt een mens, meer specifiek een operator van procesinstallaties, vaak alle credits. De risicoanalist heeft een groot vertrouwen in de mensheid. De operator maakt nauwelijks fouten bij het opereren van de installatie. En als het dan toch misgaat, dan grijpt hij onverbiddellijk en snel in om onheil te voorkomen. Kortom, verdere risicoreductie is met zo’n operator niet nodig! Geen automatisch ingrijpende beveiliging want de operator grijpt wel in. Het risico is al verwaarloosbaar klein.

In mijn werk krijg ik regelmatig risicoanalyses onder ogen voor review. Op dit moment gaat het veelal om LOPA (Layer of Protection Analysis) studies. Een LOPA is een risicoanalyse methodiek die wordt gebruikt om de noodzakelijke betrouwbaarheid van beveiligingen vast te stellen. Immers: hoe hoger het risico, hoe betrouwbaarder de beveiliging zou moeten zijn. In Nederland is dit actueel voor m.n. overvul beveiligingen op bovengrondse tanks met brandbare stoffen (PGS 29).  De wijze waarop het falen van de operator in de risicoanalyse is opgenomen wijst vaak naar de hierboven genoemde bovenmenselijke eigenschappen, hij is praktisch onfeilbaar. Maakt vrijwel nooit fouten bij bv het oplijnen van een tank om die te gaan vullen vanuit een schip. En als overvulling dreigt dan kan hij dat met zijn bovenmenselijke gaven bijna altijd nog afwenden. Met zulke operators is het risico op overvullen van de tank al direct aanvaardbaar laag en is geen verdere risicoreductie nodig met bv een overvulbeveiliging.  Jammer dat zulke operators alleen op papier bestaan!

Praktijk gebruik faalkansen ‘human error’

Standaard zitten op een tank een hoog niveau (voor)alarm en een hoog-hoog alarm (bij nog hoger niveau). Op beide alarmen kan/ moet de operator ingrijpen om overvullen van de tank te voorkomen. Volgens PGS 29 moet er bij hoog-hoog een onafhankelijke, automatisch ingrijpende beveiliging zijn. Hiervan moet de betrouwbaarheid (SIL) worden vastgesteld. Bij een onrealistisch gebruik van faalkansen van de operator blijven er ten onrechte geen eisen over voor de betrouwbaarheid van de beveiliging en is het risico te hoog. Anders gezegd: de installatie is dan niet voldoende beveiligd. Vaak ontbreken de voorwaarden voor de gehanteerde faalkansen zoals die hieronder genoemd worden.

Voorschriften faalkansen operator

Er is veel gepubliceerd over faalkansen voor mensen in verschillende situaties. De reden dat ik er nu over schrijf (naast mijn ervaringen in de reviews) is dat er recent een goed overzicht is verschenen via een publicatie van de CCPS (zie hier mijn eerdere blog daarover). Hier geef ik nu de faalkansen zoals die in die publicatie (internationale consensus) worden geadviseerd.

De hier gegeven pdf bevat (al of niet legale) scans uit het CCPS boek met de te gebruiken faalkansen voor een operator (klik)

Human Error data LOPA CCPS

Korte samenvatting:

1. Faalfrequentie operator bij het uitvoeren van een reguliere taak.

  • Routine taak, uitgevoerd 1x per week of meer:  1/jr (dus ieder jaar gaat het een keer mis). Zie tabel 4.3.

Toelichting: vaak doen: meer bedreven. Echter meer gelegenheden om een fout te maken en meer routine (minder bewust uitvoeren taak). Er worden eisen gesteld aan de omstandigheden (taak niet complex, gedocumenteerd etc.).

  • Uitvoering taak 1x/ maand tot 1x /week:  0,1/jr

Toelichting: zie pdf document tabel 4.4.

2.  Faalkans van een operator bij ingrijpen bij een dreigend scenario.

  • Standaard: P= 0,1, echter alleen onder strikte voorwaarden (zie tabel 5.46)
  • Onder nog striktere voorwaarden: P= 0,01.  Zie tabel 5.47

 

Geplaatst in Risicoanalyse | Tags: , , , | Een reactie plaatsen

Gevaren spoortransport: Butadieen/ LPG gevaar

viareggio 1Ik kom nog even terug op de treinbotsing bij Tilburg (6 maart j.l) waarbij een Butadieen spoorketelwagen werd aangereden, met als gevolg een klein lek. De risico’s voor de omgeving hiervan werden nogal gebagatelliseerd (brandbaar, lijkt op benzine). In mijn vorige blog gaf ik aan dat de risico’s echter eerder met LPG vergeleken moeten worden en dus veel groter zijn.

Misschien goed om te laten zien hoe dramatisch een spoorwegongeval met dit soort onder druk vloeibaar gemaakte gassen kan aflopen. In 2009 vielen er in Viareggio (Italie) 22 doden door het vrijkomen van LPG uit een ontspoorde ketelwagen. In dit geval was de gaswolk de boosdoener. De vloeibare LPG (maar ook Butadieen) gaat bij vrijkomen vrijwel onmiddellijk in damp over. Het betreft een zwaar gas (zwaarder viareggio 18dan lucht) en verspreidt zich dus mede onder invloed van de zwaartekracht (en atmosferische omstandigheden). Een dergelijke gaswolk is zo mogelijk nog gevaarlijker dan een BLEVE (vuurbal van de ketelwagen), omdat deze op grotere afstanden nog slachtoffers kan maken. En dat is precies wat is gebeurd in Viareggio. Op de foto hierboven is goed de zwartgeblakerde route te zien die de gaswolk heeft afgelegd. In eerste instantie het spoor volgend, maar uiteindelijk naar links afbuigend een woonwijk in. Daar is de gaswolk uiteindelijk ontstoken. In deze wijk vielen alle slachtoffers.

Waarom is er geen BLEVE opgetreden? Een BLEVE had kunnen plaatsvinden bij een
klein(er) gat, een snel(lere) ontsteking en een langdurige brand van het uitstromende
LPG op/ rond de lekgeslagen wagon. Nu hebben de wagons relatief kort in een
relatief minder intensieve brand verkeerd. Had een BLEVE grotere gevolgen kunnen
hebben? Dat is niet zeker, in ieder geval was de andere kant van de spoorlijn dan
ook getroffen geweest (daar was wel veel minder bebouwing). Met mogelijke domino effecten hadden in geval van een BLEVE meerdere wagons getroffen kunnen worden.

Tot slot nog een opmerking over de regelgeving rond BLEVE vrije treinen. Een ‘BLEVE vrije trein’ is een goederentrein die zo is samengesteld dat er geen brandbare vloeistof wagons (zoals benzine) naast een LPG/ Butadieen ketelwagen zijn geplaatst. Volgens informatie was de trein in Tilburg op deze wijze samengesteld (blijkbaar kan ook in zo’n trein een Butadieen wagon achteraan de trein geplaatst worden (aanrijdgevoelige plek). Onbegrijpelijk). Verder is de term ‘BLEVE vrij’ misleidend. Een publicatie nav Tilburg van branch organisatie spreekt over een kans nul op een (warme) BLEVE (door brand):

Het verladend en vervoerend bedrijfsleven stelt treinen die gevaarlijke stoffen vervoeren zodanig samen dat een ‘warme BLEVE’  niet kan plaatsvinden.

Lees hier het hele stuk van EVO, VNCI en KNV.

De kans op een warme BLEVE is echter nog zeer reëel. Die wordt weliswaar kleiner, maar hoeveel is de vraag. Belangrijk punt hier is dat uit de casuïstiek blijkt dat BLEVE’s meestal ontstaan door een brand van de (eigen) inhoud van de betreffende spoorketelwagen en niet door ‘benzine’ wagons ernaast. Het berekend risico voor het spoortransport is dus te laag. Je baseren op risicorekenen met gebruikmaken van onduidelijke aannamen met betrekking tot de kansen en gevolgen is sowieso tricky. Het geeft schijnveiligheid.

Lees hier verder over Viareggio en de veiligheid van spoortransport gevaarlijke stoffen (o.a. Basisnet) in een artikel uit Petrochem (2009) waarin met name  Henk Bril (Sabic) aan het woord is:  Petrochem Viareggio 2009

Geplaatst in Uncategorized | Een reactie plaatsen

Butadieen is NIET vergelijkbaar met benzine!



Gisteren (6 maart 2015) vond een treinbotsing plaats bij Tilburg. Zie foto. Personen trein botst op een goederentrein, meer specifiek op een ketelwagen. Zichtbaar is dat het gaat om een ketelwagen voor het vervoer van onder druk vloeibaar gemaakt gas. Zo’n gas is LPG, maar in dit geval wordt gesteld dat het gaat om Butadieen. 

In de (sociale) media wordt steeds maar weer gemeld dat er geen gevaar is, butadieen zou vergelijkbaar zijn met benzine! Verbazingwekkend en gevaarlijk als ook de hulpverlenende instanties er zo over denken. Butadieen heeft een kookpunt van – 4,4 C, benzine + 80 C. Ter vergelijking: Het kookpunt van LPG is afhankelijk van de mix (propaan en butaan) en ligt maar iets lager dan die van butadieen (zeg rond – 10 C). 

Tilburg is ontsnapt aan een brandbare en explosieve gaswolk en/ of een BLEVE.

Geplaatst in Uncategorized | Een reactie plaatsen

Eindelijk: Nieuw LOPA boek

0470343850De LOPA methode (Layer of Protection Analysis) wordt in toenemende mate gehanteerd voor risicoanalyse in het kader het bepalen van een Safety Integrity Level (SIL). In Nederland bv voor overvul beveiligingen in het kader van PGS 29.

LOPA is komen overwaaien uit de VS. Het ‘standaardboek’ over de methode en te gebruiken faalgegevens is uitgegeven door de Center for Chemical Process Safety (CCPS) in de VS. Het boek dateert van 2001. Het was vooral een beschrijving van de methode, niet compleet en deels niet in lijn met de huidige inzichten. In 2014 is er al wel een aanvullend LOPA boek verschenen bij de CCPS over ‘Enabling conditions’ en Conditional Modifiers’ voor gebruik in een LOPA studie. Wat nog ontbrak is een beschrijving/ verdieping van de te beschouwen (LOC) scenario’s/ frequenties  alsmede van de Layers of Protection (LOD’s) die in de methode IPL’s worden genoemd (Independent Protection Layers).  Na veertien jaar is er deze maand (februari 2015) dan eindelijk een Guideline daarvoor verschenen.

De drie CCPS boeken vormen tezamen een zeer aan te bevelen en in feite noodzakelijke LOPA kennis set voor mensen die een LOPA analyse willen uitvoeren. De kwaliteit van de LOPA’s die in Nederland worden uitgevoerd is zodanig dat verlangd zou moeten worden dat de analyse wordt uitgevoerd volgens deze ‘standaard’ werken:

  1. 9781118777930_cover.indd LOPA boek 1Layer of Protection Analysis, simplified Process Risk Assessment; CCPS, 2001 (klik hier)
  2. Guidelines for: Enabling conditions and Conditional M0difiers in LOPA; CCPS, 2014 (klik hier)
  3. Guidelines for: Initiating events and Independent Protection Layers in LOPA; CCPS, februari 2015 (klik hier)

Het is niet de bedoeling om hier de LOPA methode uit de doeken te doen (een andere keer wellicht). Maar hieronder even een stapsgewijze aanpak van LOPA. Deze stappen zijn  keurig beschreven in boek 2.

Stap 1/2:
Scenario selectie criteria: voor welke scenario’s wordt een LOPA uitgevoerd. Vanuit HAZOP studies of anderszins worden de scenario’s voor LOPA geselecteerd.
Stap 3:
Bepaal de begingebeurtenis van het scenario (‘Initiating Event, IE’) en de frequentie ervan.
Stap 4:
Bepaal de IPL’s (Independent Protection Layers) en schat de faalkans (Probability of Failure on Demand, PFD).
Stap 5:
Bereken de frequentie van de gevolgen van het scenario met inachtname van de gegevens in de vorige stappen. In feite is nu een gereduceerd (met de IPL’s) risico vastgesteld.
stappen 6/7
Toets het gereduceerde risico aan een acceptatie criterium. Indien het risico niet aanvaardbaar is een grotere risico reductie nodig (bv hoger SIL).

De inhoudsopgave van boek 3 met betrekking tot frequenties van de scenario’s (IE’s) en met betrekking tot PFD van de in het boek opgenomen IPL’s heb ik gekopieerd. Die zijn hieronder weergegeven (pdf, klikken).

LOPA tabel IE

LOPA tabel IPL 1

LOPA tabel IPL 2

Geplaatst in Risicoanalyse | Tags: , , | Een reactie plaatsen

Tripod analyse treinramp Wetteren

wetteren foto1In een vorige blog heb ik de oorsprong van het ‘Swiss Cheese Model (SCM)’ besproken. Het is een opstapje naar de Tripod incidentanalyse methode, waarin ook barrières (beveiligingen) gehanteerd worden.  Recent is het onderzoeksrapport verschenen van de treinongeval in Wetteren (ook eerder besproken, klik hier). Deze twee zijn mooi te combineren. Op basis van het officiële onderzoeksrapport van de treinramp bij Wetteren heb ik een simpele Tripod analyse structuur opgezet waarin drie falende barrières zijn opgenomen die het ontsporen van de trein hadden moeten voorkomen. Tevens ook een missende barrière: een automatisch ingrijpend systeem om te remmen. Het thans aanwezige TBL1+ systeem grijpt niet in onder deze omstandigheden (geen rood sein, 40 km/u). Vergelijk met het Nederlandse ATB systeem. Pas in 2019 zal het ECTS systeem zijn geïnstalleerd dat wel ingrijpt. Tot die tijd blijft het systeem dus kwetsbaar voor onveilige handelingen van machinisten. Zie de figuur hieronder. Klik hier voor een leesbare Tripod pdf versie: wetteren (dan doorklikken op wetteren).

wetteren

In het onderzoeksrapport wordt ook gebruik gemaakt van het SCM ‘barrière’ model:

Wetteren Reason

Kern is dat de trein te hard reed (84 km/u ipv de voorgeschreven 40 km/u) bij het passeren van een wissel bij het overgaan van tegenspoor naar normaal spoor (tegenspoor was nodig ivm werkzaamheden). Kern is ook dat dit werd veroorzaakt door ‘fouten’ van de machinist, waardoor alle drie de barrières zijn doorbroken. Een Tripod analyse is in zo’n geval bij uitstek geschikt om na te gaan hoe dat kan. Wat waren de achtergronden in de organisatie/ de beveiligingen die dit mogelijk hebben gemaakt? De machinist doet dit immers niet zo maar, zijn eigen veiligheid is bovendien ook in het geding.

Het officiële onderzoek kwam tot de volgende, terechte conclusie: Een groot deel van de spoorwegveiligheid rust op de schouders van de machinist.

Dit maakt de kans op dit soort ongevallen substantieel. Dat is ook de reden dat er in het onderzoek en in de Tripod analyse nog een 4e, missende barrière is opgenomen: een automatisch ingrijpende remming van de trein, los van de actie van de machinist. Op dit spoor zal dat systeem (ECTS) echter pas naar verwachting in 2019 geïnstalleerd zijn.

Mijn conclusie vanuit de Tripod analyse: Spoorwegveiligheid heeft in België niet de prioriteit die het zou moeten hebben. Stelselmatig wordt de keuze gemaakt voor de treinenloop en de kosten beperking (Tripod Basis Risico Factor: ‘Incompatible goals’). Waar heb ik dat meer gehoord? In Nederland is het niet anders. Zie de diverse rapporten van de Onderzoeksraad voor Veiligheid. Intussen houden we onze ‘fingers crossed’. We beseffen onvoldoende dat de risico’s bij het transport van gevaarlijke stoffen aanzienlijk groter zijn dan bv. de risico’s van Chemiepack en Odfjell samen.

 

Samenvatting onderzoek (Onderzoeksorgaan voor Ongevallen en Incidenten op het Spoor (OOIS)

Op zaterdag 04 mei 2013 omstreeks 01u58 ontspoort de goederentrein Z44601 tussen Schellebelle en Wetteren. De goederentrein voert een rit uit van Kijfhoek (Nederland) over Gent-Zeehaven (België) met als eindbestemming Terneuzen (Nederland). De trein is samengesteld uit twee locomotieven en 18 wagons.

Wetteren foto2

Seinbeeld (zie figuur) voor snelheidsvermindering
Bij de ingang van het station van Dendermonde komt de machinist een sein tegen (RX-W6) dat een Groen Geel Horizontaal seinbeeld vertoont. Dat betekent dat een remming moet worden ingezet zodanig dat de trein bij het volgende sein (FX-W6) max. 40 km/u rijdt. De remming wordt echter niet ingezet door de machinist maar hij geeft wel aan dat hij dat gaat doen en het sein heeft begrepen: hij ‘kwitteert’ het Memor beveiligingssysteem. Er blijft dan een lamp in de cabine branden die hem eraan herinnert. Als hij niet zou hebben gekwitteerd zou het Memor systeem een noodremming hebben ingezet en zou het ongeval niet hebben plaatsgevonden.

De trein wordt naar het tegenspoor geleid omwille van werken in uitvoering verderop op het normaalspoor. De machinist rijdt langsheen de werken aan de linkerzijde van het spoor en kruist vervolgens het volgende sein (FX-W6) dat een knipperend groen seinbeeld vertoont met twee vast brandende aanduidingen: een witte keper “V” en een wit cijfer “4”. Dit seinbeeld geeft aan dat het regime verandert, dit is de overgang van tegenspoor naar normaalspoor, en herinnert aan de instructie dat de snelheid waarbij dit moet gebeuren 40km/h is. Ter hoogte van sein FX-W.6 is de snelheid van de trein ongeveer 84 km/u. 77 Meter na het sein FX-W.6, rijdt de trein over wissels terug op het normaalspoor. In de wisselzone ontsporen de 7 eerste wagons van de trein. Zeker drie tankwagens worden tijdens de ontsporing doorboord. Op dat ogenblik heeft de machinist geen enkel element dat aangeeft wat de reden van de opgelegde snelheidsvermindering is.

Achterliggende aspecten

De machinist heeft bij de aanvang van zijn werkdag geen informatie over de aanwezigheid van werkzaamheden in Schellebelle ontvangen van zijn opdrachtgever en heeft geen weet van de reden waarom hij op tegenspoor moet rijden.

Het verwachte gedrag van de machinist is:
• het kwitteren van het beperkende seinbeeld via de Memor;
• conform de procedures van de spoorwegonderneming een vertraging inzetten om aan een snelheid van 40km/h te komen bij het eerstvolgende sein;
• aandacht houden op de omgeving.

Deze verwachtingen laten geen ruimte voor fouten en hierdoor rust een groot deel van de spoorwegveiligheid op de schouders van de bestuurder.

Zie de Tripod boom hierboven.

Download hier het volledige onderzoeksrapport.

 

 

 

 

 

Geplaatst in Incidentanalyse | Tags: , , , , , , , | Een reactie plaatsen

Bhopal, 30 jaar later: Procesveiligheid aspecten (pdf)

64 pag

MIC ontsnapt uit tank 610 (voorgrond). De scrubber (links achter is buiten gebruik) evenals de flare tower (rechts achter). Het MIC verspreidt zich in de woonwijk via een vent pijp bovenop de scrubber.

Op woensdag 3 december 2014 is het al weer 30 jaar geleden. En ongeveer 29 jaar geleden dat ik op de Union Carbide (UC) plant in Bhopal onderzoek deed (voor zover dat ter plaatse lukte).

Aantal slachtoffers volgens de staat Madhya Pradesh: 3787 doden en duizenden gewonden van ernstige aard.

Een plaatselijke Bhopal journalist (Raajkumar Keswani):
“Bhopal, to me, is just not a story. It’s something about my family, my friends, my town, my people and me. Hence when I think of Bhopal, it’s all about the killing of my friends, neighbors, acquaintances and fellow Bhopalis.

Wat gebeurde er op maandag 3 december 1984?
00.15 uur – Een snelle drukstijging wordt gesignaleerd evenals een lek bij de Vent Gas Scrubber (VGS), via de Relief Valve Vent Header.
00.30 uur – De overdrukbeveiliging van de Methyl IsoCyanaat (MIC) tank functioneert: de breekplaat barst en de veiligheidsklep opent (figuur 7) en grote hoeveelheden damp stromen uit in de omgeving (op 30,5 meter hoogte). De drukindicatie is buiten zijn bereik (max. 3,8 bar). Het gebied rond de tank is warm en de betonnen omhulling schudt. De loogpomp van de VGS wordt gestart, er komt echter geen loogcirculatie op gang. De VGS operator weigerde ter plaatse polshoogte te nemen wanneer hij niet vergezeld werd. Dit vanwege reeds aanwezige dampen. Er is niemand gegaan.
00.40 uur – Er ontstaat paniek onder de medewerkers op de plant. Ze vluchten in bovenwindse richting.
01.30 uur – 02.30 uur – De veiligheidsklep op de opslagtank sluit.

De avond ervoor was er water in de MIC tank gekomen, resulterend in een runaway reactie. UC zegt: sabotage. Feit is dat het ontwerp en operatie van de  installatie inherent onveilig waren. In mijn boek met een beschrijving van de ramp en het onderzoek geef ik daarvan diverse voorbeelden. Eén concreet voorbeeld hier aan de hand van de originele tekening (P&ID) van de installatie.

Lees het hoofdstuk hierover in mijn boek: De procesveiligheidsproblematiek in Bhopal

73 pag

Voorbeeld:zie de figuur. In een destillatie kolom (links) wordt het MIC gewonnen als ‘overhead’ (top) product. De damp moet daartoe gecondenseerd worden met een (brine/ water) koeler (horizontaal, midden boven). Een lekkage van deze koeler kan leiden tot contaminatie van MIC met water, en dat moet dus ten alle tijde voorkomen worden. Om een lekkage te detecteren is een temperatuur verschil meting (TDRA) opgenomen in het ontwerp (meet een startende reactie met water in de leiding naar de MIC opslagtank). Deze is echter nooit geïmplementeerd.

Ter info: In 2013 is het boek in een Engelstalige versie in India uitgegeven. Dit is ook te koop op Amazon: Klik hier.

Geplaatst in Incidentanalyse | Tags: , , | Een reactie plaatsen