Pasman Process Safety Boek

51edpusGD1LGraag wijs ik de lezers van dit blog op een recent verschenen, zeer compleet boek over Process Safety. Auteur: Hans Pasman. In Nederland is hij buiten de wetenschappelijke wereld van Process Safety wellicht minder bekend (ten onrechte). Toch was/is hij al decennia de stuwende kracht achter het internationaal verder brengen van Process SafHans_Pasmanety. Als directeur van TNO Explosie veiligheid, als hoogleraar aan de TU Delft en in momenteel in Texas (klik hier). Maar vooral als medeoprichter en voorzitter van de Working Party on Loss Prevention van de European Federation of Chemical Engineering (EFCE). Hij was 18 jaar voorzitter (tot 2004). In 2016 wordt voor de 15e keer (in Freiburg) het driejaarlijks Loss Prevention Symposium gehouden. Hans is lid van het scientific committee. Samen waren we lid van de Adviesraad Gevaarlijke Stoffen.

Tot zover enige informatie over de auteur. Hij is waarschijnlijk de enige die een dergelijk boek kan schrijven. Ik heb niet eerder een dergelijk compleet boek over Proces Safety gezien. Het is een Engelstalig boek (470 pagina’s) met als titel:

Risk Analysis and Control for Industrial Processes – Gas, Oil and Chemicals.

Ondertitel: ‘A System Perspective for Assessing Low-probablity, High-Consequence Events’

Uitgegeven door Elsevier . De tekst op de achterzijde begint met een perfect advies in een mooie oneliner:

‘Make safety a long-term investment against risk’

‘The book covers safety regulations, history and trends, industrial disasters, safety problems, safety tools, and capital and operational costs versus the benefits of safety, all supporting project decision processes’.

Het boek geeft een compleet beeld van de stand van zaken van risico analyse voor de proces industrie. Het geeft een historisch overzicht én de wetenschappelijke ontwikkelingen zoals bv Bayesiaanse Netwerken, toegepast in LOPA studies. Alles uitgewerkt in voorbeelden. Twee recente rampen worden in detail beschreven en geanalyseerd: Deepwater Horizon (BP, Golf van Mexico, 2010)) en Fukushima (Japan, 2011). De analyse is vooral gefocust op de ‘deeper causes’: achterliggende systeem- en organisatie fouten. Nog een kleine greep: HAZOP/ FMEA, QRA, ongevalsanalyse instrumenten, human factors, resilience (‘veerkracht’), Cost of accidents, risico receptie/ communicatie etc. etc.

Zeer aanbevolen! Aangegeven doelgroep: ‘Safety professionals and consultants, risk analysts, process safety academics, engineering professionals’

Het boek kan uitgebreid worden ingezien bij Google books. Klik hier 

 

Geplaatst in Incidentanalyse, Risicoanalyse | Tags: , | Een reactie plaatsen

Tripod analyse van treinbotsing Tilburg

IMG_0072Op vrijdag 6 maart 2015 botst om circa 16:45 uur een reizigerstrein van NS Reizigers tegen een stilstaande, onder andere met gevaarlijke stoffen, beladen goederentrein van DB Schenker te Tilburg Goederen. Over deze botsing heb ik eerder een blog geschreven over de lakse en foutieve wijze waarop met de situatie van het vrijkomen van butadieen werd omgegaan. Nu is een onderzoeksrapport van de Inspectie Leefomgeving en Transport  (ILT) verschenen, zie hier. Ik heb de oorzaken analyse bekeken en ‘gevangen’ in een Tripod boom. Conclusie: De ILT analyse zit goed in elkaar, maar..

Tripod analyse op basis van het ILT onderzoek

Botsing Tilburg boom 3

Klik hier voor de duidelijk leesbare Tripod boom   (pdf).

Korte beschrijving oorzaken volgende de Tripod analyse (zie figuur, pdf).

Wat is er gebeurd?

De botsing is veroorzaakt doordat de reizigerstrein een stoptonend sein passeert en dan op de goederentrein botst, die niet vrij van een wissel staat (rechterdeel Tripod boom). Hoe kan het dat de trein niet vrij van de wissel staat? De trein is te lang voor het zijspoor waarop deze staat (linkerdeel boom). Twee ongewenste gebeurtenissen dus (de rode vakjes): goederentrein staat niet vrij en de botsing.

Hoe had dit voorkomen moeten worden? (drie falende barrières)

  1. De handleiding van DB Schenker over het communiceren met Prorail over de treinlengten. Mede omdat deze handleiding niet duidelijk is (bv of locomotieven moeten worden meegeteld) is een verkeerde treinlengte doorgegeven. Dat werd ook in de hand gewerkt door een praktijk van veelvuldig ‘last minute’ treinsamenstelling wijzigingen. Zie de figuur over hoe deze omstandigheden (‘preconditions’) bij de falende barrière (handleiding) zijn opgenomen. De Tripod analyse wijdt deze preconditions aan een niet adequaat Veiligheidsmanagement systeem bij DB Schenker (geel vakje).
  2. Rood sein. De machinist is door het rode sein gereden, met name door een verkeerd verwachtingspatroon: de trein vertrekt daar altijd met een geel sein, ongeacht wel/ niet stoppen bij het volgende sein. Dat is een duidelijke precondition voor het rijden door rood. Dit was reeds een lange praktijk, hoe kan dit? Wie is daarvoor verantwoordelijk, waarom is dit niet eerder opgemerkt en aangepast? Als structurele, achterliggende latente fout benoem ik dit als een onvoldoende risico bewustzijn bij Prorail en NS Reizigers (geel vakje)
  3. Kopbuffers van de reizigerstrein. Het type trein (Mar’64) heeft geen buffers en kon daardoor makkelijker schade veroorzaken aan de goederentrein (buffers absorberen energie). Precondition: een ander type trein was hier voorzien (DDZ4), met buffers. Dit was een wijziging die niet op risico is onderzocht (is wel standaard vereiste in de industrie). Latente fout: Onvoldoende risico analyse praktijk bij NS Reizigers. De focus is meer gericht op ‘punctualiteit’ dan op veiligheid (geel vakje).

Zoals gezegd, de ILT analyse ziet er gedegen uit. Jammer dat de belangrijke, structurele achterliggende factoren (latente fouten in de verschillende organisaties) niet duidelijk genoemd worden of helemaal ontbreken. Ik hoop en vermoed dat deze nog belicht gaan worden in het lopende onderzoek van de Onderzoeksraad.

Jammer dat intussen DB Schenker zijn eigen rol relativeert door vooral te wijzen naar de menselijke fout van een eigen medewerker en de menselijke fout van de machinist (info van omroep Brabant). Dat geeft weinig vertrouwen in structurele verbetering:

DB Schenker Rail: menselijke fout
Het bedrijf geeft toe een fout te hebben gemaakt. “Het was een menselijke fout dat de trein niet goed stond, omdat we één van onze twee it-systemen niet van de juiste informatie hadden voorzien”, zegt woordvoerder Jelle Rebbers tegen Omroep Brabant. “Maar de primaire fout lag bij de machinist. Hij zag het rode sein niet, zoals ook in het rapport staat. Hij heeft routinematig gereden, onvoldoende opgelet en is door rood gegaan. En we hebben juist rode seinen om dit soort gevaren te voorkomen.”

 

 

Geplaatst in Incidentanalyse | Tags: , , | Een reactie plaatsen

Losliggende tegels

VNCI foto trapIn 2006 is de VNCI begonnen met het analyseren van ongevallen met verzuim. De cijfers van 2014 zijn nu bekend. En weer zijn de cijfers lager.  Dat is mooi, maar ik heb daar al eerder kanttekeningen bij gemaakt (zie mijn blog daarover). Nu beweerden boze tongen dat de ongevalscijfers zo laag zijn dat er niets meer van valt te leren. Op verzoek van de VNCI heb ik daarover een kritisch geluid laten horen (u kent mij..). Zie het artikel daarover dat in het oktobernummer van het Chemiemagazine is verschenen (een link staat hieronder).

De kern is dat van ieder ongeval te leren valt als je dat wilt. Kleine (of bijna) incidenten (hoe weinig ook) zijn natuurlijk geen uitzondering. Er zijn (bijna) altijd achterliggende factoren in de organisatie die je dan op het spoor komt. Daarmee voorkom je meer en andere ongevallen. En wat belangrijker is: de meer serieuze ongevallen.

Artikel CM – LTI incidenten – okt 2015

 

 

Geplaatst in Incidentanalyse, LTI ongevallen, verzuimongevallen, VNCI | Tags: , , | Een reactie plaatsen

Ongemakkelijk

139unease1600x1200Wordt  ‘Chronic Unease’ (vrij vertaald: permanente ongemakkelijkheid, in dit verband met betrekking tot veiligheid) de nieuwe hype in veiligheidsland? Aanleiding voor deze blog is dat de manager van Shell Moerdijk het als element van het verbeterplan noemde, na de explosie.

Eens in de zoveel jaar zie je het gebeuren: op symposia, in publicaties, z.g. nieuwe loten aan de veiligheidsstam. Bijvoorbeeld met betrekking tot human factors, veiligheidscultuur (de Hearts & Minds (H&M) ladder!) en meer recent ook bv LOPA. Stuk voor stuk zaken die er toe doen, maar door de hype status het risico lopen doodgeknuffeld te worden. Zo is er bijna geen rapport over veiligheid in de industrie te vinden waar de H&M ladder niet instaat, meestal is niet duidelijk waarom. Zo wordt de uit de VS komen overwaaien LOPA methode voor risico analyse hier gretig omarmd, vaak zonder dat de benodigde kennis en ervaring aanwezig is. Dit kan leiden tot schijnveiligheid, voor de bühne ziet het er indrukwekkend uit, maar de toepassing valt vaak buiten het gebruikskader van de methode.

Chronic unease

10416671_654512981298882_452590928_nDe (potentieel) nieuwe hype is ‘chronic unease’. Ik ben het al een paar keer tegengekomen in veiligheidscultuur rapportages. Het werd ook genoemd door de Shell Moerdijk General Manager Paul Buijsingh in een interview het VNCI Magazine van augustus 2015. Dit uiteraard in verband met de explosie die daar heeft plaatsgevonden en het rapport van de Onderzoeksraad voor Veiligheid (OVV) dat is gepubliceerd. De directe oorzaak van de explosie is dat de katalysator reageerde met ethylbenzeen in de opwarmfase. Dit leidde uiteindelijk tot een runaway explosie. Het feit dat Shell niet wist niet dat deze reactie van een nieuwe katalysator kon plaatsvinden wordt door de OVV bekritiseerd. Het is niet voor niets dat Management of Change (MOC) zo’n belangrijk onderdeel is van het VBS.

Buijsingh noemt 3 elementen van het verbeter programma voor de komende jaren: discipline, leiderschap en ‘chronic unease. Discipline is duidelijk. Leiderschap vult hij in als’ hoe goed weet het leiderschapsteam of het in de fabriek ook echt goed is?’. Heel goed, dit is een belangrijke sleutel voor veiligheid. Weten hoe het zit, tijd nemen je er in te verdiepen, de mensen serieus nemen. Maar dan het derde punt: ‘chronic unease’. Even wat achtergrond:

Culture ladderWaar komt de term oorspronkelijk vandaan? In eerste instantie kom je dan  toch weer bij James Reason uit. In zijn boek uit 1997 hanteert hij de term ‘intelligent wariness’: slimme waakzaamheid, bedachtzaamheid. Vergelijkbaar met chronic unease. Meer specifiek komt deze term uit de Hearts & Minds methode en wordt genoemd bij de top van de ladder: een ‘Generative Culture’‘This state of “chronic unease” reflects a belief that despite all efforts, errors will occur and that even minor problems can quickly escalate into system-threatening failures.’ De term Chronic Unease wordt graag gebezigd, vanwege de allerhoogste status op de cultuurladder (zie de afbeelding).

Chronic UneaseWie heeft de Hearts & Minds methode ontwikkeld? Inderdaad:  Shell (de olie/ gas exploratie hoek). De methode wordt echter zeker niet Shell breed gehanteerd. Wel bijvoorbeeld door Shell Pipelines.  Zie de afbeelding (API conferentie in de VS in 2012). Lees de powerpoint presentatie van Shell Pipelines. Blijkbaar is de term/ methode nu (pas) geland in Moerdijk.

Management of Change (MOC)

Wel of geen Chronic Unease  in Moerdijk, elementair was/is natuurlijk het volgen van de MOC eisen uit het VBS in het kader van BRZO. Als dat goed was gedaan was het probleem in de opwarmfase met de nieuwe katalysator aan het licht gekomen. Dat geeft een ‘ongemakkelijk’ gevoel. Chronic Unease: OK, is essentieel als overall houding. Echter,  het implementeren en borgen van alle VBS elementen is elementair en komt op de eerste plaats.

 

Geplaatst in Veiligheidscultuur | Tags: , , | Een reactie plaatsen

Heeft een operator bovenmenselijke gaven?

Onrealistisch gebruik van faalkansen

Dit blog bevat gedetailleerde pdf met recent voorgeschreven faalfrequenties/ -kansen en voorwaarden. Het advies is om deze te gebruiken.

Superhuman-EnduranceIn risicoanalyses krijgt een mens, meer specifiek een operator van procesinstallaties, vaak alle credits. De risicoanalist heeft een groot vertrouwen in de mensheid. De operator maakt nauwelijks fouten bij het opereren van de installatie. En als het dan toch misgaat, dan grijpt hij onverbiddellijk en snel in om onheil te voorkomen. Kortom, verdere risicoreductie is met zo’n operator niet nodig! Geen automatisch ingrijpende beveiliging want de operator grijpt wel in. Het risico is al verwaarloosbaar klein.

In mijn werk krijg ik regelmatig risicoanalyses onder ogen voor review. Op dit moment gaat het veelal om LOPA (Layer of Protection Analysis) studies. Een LOPA is een risicoanalyse methodiek die wordt gebruikt om de noodzakelijke betrouwbaarheid van beveiligingen vast te stellen. Immers: hoe hoger het risico, hoe betrouwbaarder de beveiliging zou moeten zijn. In Nederland is dit actueel voor m.n. overvul beveiligingen op bovengrondse tanks met brandbare stoffen (PGS 29).  De wijze waarop het falen van de operator in de risicoanalyse is opgenomen wijst vaak naar de hierboven genoemde bovenmenselijke eigenschappen, hij is praktisch onfeilbaar. Maakt vrijwel nooit fouten bij bv het oplijnen van een tank om die te gaan vullen vanuit een schip. En als overvulling dreigt dan kan hij dat met zijn bovenmenselijke gaven bijna altijd nog afwenden. Met zulke operators is het risico op overvullen van de tank al direct aanvaardbaar laag en is geen verdere risicoreductie nodig met bv een overvulbeveiliging.  Jammer dat zulke operators alleen op papier bestaan!

Praktijk gebruik faalkansen ‘human error’

Standaard zitten op een tank een hoog niveau (voor)alarm en een hoog-hoog alarm (bij nog hoger niveau). Op beide alarmen kan/ moet de operator ingrijpen om overvullen van de tank te voorkomen. Volgens PGS 29 moet er bij hoog-hoog een onafhankelijke, automatisch ingrijpende beveiliging zijn. Hiervan moet de betrouwbaarheid (SIL) worden vastgesteld. Bij een onrealistisch gebruik van faalkansen van de operator blijven er ten onrechte geen eisen over voor de betrouwbaarheid van de beveiliging en is het risico te hoog. Anders gezegd: de installatie is dan niet voldoende beveiligd. Vaak ontbreken de voorwaarden voor de gehanteerde faalkansen zoals die hieronder genoemd worden.

Voorschriften faalkansen operator

Er is veel gepubliceerd over faalkansen voor mensen in verschillende situaties. De reden dat ik er nu over schrijf (naast mijn ervaringen in de reviews) is dat er recent een goed overzicht is verschenen via een publicatie van de CCPS (zie hier mijn eerdere blog daarover). Hier geef ik nu de faalkansen zoals die in die publicatie (internationale consensus) worden geadviseerd.

De hier gegeven pdf bevat (al of niet legale) scans uit het CCPS boek met de te gebruiken faalkansen voor een operator (klik)

Human Error data LOPA CCPS

Korte samenvatting:

1. Faalfrequentie operator bij het uitvoeren van een reguliere taak.

  • Routine taak, uitgevoerd 1x per week of meer:  1/jr (dus ieder jaar gaat het een keer mis). Zie tabel 4.3.

Toelichting: vaak doen: meer bedreven. Echter meer gelegenheden om een fout te maken en meer routine (minder bewust uitvoeren taak). Er worden eisen gesteld aan de omstandigheden (taak niet complex, gedocumenteerd etc.).

  • Uitvoering taak 1x/ maand tot 1x /week:  0,1/jr

Toelichting: zie pdf document tabel 4.4.

2.  Faalkans van een operator bij ingrijpen bij een dreigend scenario.

  • Standaard: P= 0,1, echter alleen onder strikte voorwaarden (zie tabel 5.46)
  • Onder nog striktere voorwaarden: P= 0,01.  Zie tabel 5.47

 

Geplaatst in Risicoanalyse | Tags: , , , | Een reactie plaatsen

Gevaren spoortransport: Butadieen/ LPG gevaar

viareggio 1Ik kom nog even terug op de treinbotsing bij Tilburg (6 maart j.l) waarbij een Butadieen spoorketelwagen werd aangereden, met als gevolg een klein lek. De risico’s voor de omgeving hiervan werden nogal gebagatelliseerd (brandbaar, lijkt op benzine). In mijn vorige blog gaf ik aan dat de risico’s echter eerder met LPG vergeleken moeten worden en dus veel groter zijn.

Misschien goed om te laten zien hoe dramatisch een spoorwegongeval met dit soort onder druk vloeibaar gemaakte gassen kan aflopen. In 2009 vielen er in Viareggio (Italie) 22 doden door het vrijkomen van LPG uit een ontspoorde ketelwagen. In dit geval was de gaswolk de boosdoener. De vloeibare LPG (maar ook Butadieen) gaat bij vrijkomen vrijwel onmiddellijk in damp over. Het betreft een zwaar gas (zwaarder viareggio 18dan lucht) en verspreidt zich dus mede onder invloed van de zwaartekracht (en atmosferische omstandigheden). Een dergelijke gaswolk is zo mogelijk nog gevaarlijker dan een BLEVE (vuurbal van de ketelwagen), omdat deze op grotere afstanden nog slachtoffers kan maken. En dat is precies wat is gebeurd in Viareggio. Op de foto hierboven is goed de zwartgeblakerde route te zien die de gaswolk heeft afgelegd. In eerste instantie het spoor volgend, maar uiteindelijk naar links afbuigend een woonwijk in. Daar is de gaswolk uiteindelijk ontstoken. In deze wijk vielen alle slachtoffers.

Waarom is er geen BLEVE opgetreden? Een BLEVE had kunnen plaatsvinden bij een
klein(er) gat, een snel(lere) ontsteking en een langdurige brand van het uitstromende
LPG op/ rond de lekgeslagen wagon. Nu hebben de wagons relatief kort in een
relatief minder intensieve brand verkeerd. Had een BLEVE grotere gevolgen kunnen
hebben? Dat is niet zeker, in ieder geval was de andere kant van de spoorlijn dan
ook getroffen geweest (daar was wel veel minder bebouwing). Met mogelijke domino effecten hadden in geval van een BLEVE meerdere wagons getroffen kunnen worden.

Tot slot nog een opmerking over de regelgeving rond BLEVE vrije treinen. Een ‘BLEVE vrije trein’ is een goederentrein die zo is samengesteld dat er geen brandbare vloeistof wagons (zoals benzine) naast een LPG/ Butadieen ketelwagen zijn geplaatst. Volgens informatie was de trein in Tilburg op deze wijze samengesteld (blijkbaar kan ook in zo’n trein een Butadieen wagon achteraan de trein geplaatst worden (aanrijdgevoelige plek). Onbegrijpelijk). Verder is de term ‘BLEVE vrij’ misleidend. Een publicatie nav Tilburg van branch organisatie spreekt over een kans nul op een (warme) BLEVE (door brand):

Het verladend en vervoerend bedrijfsleven stelt treinen die gevaarlijke stoffen vervoeren zodanig samen dat een ‘warme BLEVE’  niet kan plaatsvinden.

Lees hier het hele stuk van EVO, VNCI en KNV.

De kans op een warme BLEVE is echter nog zeer reëel. Die wordt weliswaar kleiner, maar hoeveel is de vraag. Belangrijk punt hier is dat uit de casuïstiek blijkt dat BLEVE’s meestal ontstaan door een brand van de (eigen) inhoud van de betreffende spoorketelwagen en niet door ‘benzine’ wagons ernaast. Het berekend risico voor het spoortransport is dus te laag. Je baseren op risicorekenen met gebruikmaken van onduidelijke aannamen met betrekking tot de kansen en gevolgen is sowieso tricky. Het geeft schijnveiligheid.

Lees hier verder over Viareggio en de veiligheid van spoortransport gevaarlijke stoffen (o.a. Basisnet) in een artikel uit Petrochem (2009) waarin met name  Henk Bril (Sabic) aan het woord is:  Petrochem Viareggio 2009

Geplaatst in Uncategorized | Een reactie plaatsen

Butadieen is NIET vergelijkbaar met benzine!



Gisteren (6 maart 2015) vond een treinbotsing plaats bij Tilburg. Zie foto. Personen trein botst op een goederentrein, meer specifiek op een ketelwagen. Zichtbaar is dat het gaat om een ketelwagen voor het vervoer van onder druk vloeibaar gemaakt gas. Zo’n gas is LPG, maar in dit geval wordt gesteld dat het gaat om Butadieen. 

In de (sociale) media wordt steeds maar weer gemeld dat er geen gevaar is, butadieen zou vergelijkbaar zijn met benzine! Verbazingwekkend en gevaarlijk als ook de hulpverlenende instanties er zo over denken. Butadieen heeft een kookpunt van – 4,4 C, benzine + 80 C. Ter vergelijking: Het kookpunt van LPG is afhankelijk van de mix (propaan en butaan) en ligt maar iets lager dan die van butadieen (zeg rond – 10 C). 

Tilburg is ontsnapt aan een brandbare en explosieve gaswolk en/ of een BLEVE.

Geplaatst in Uncategorized | Een reactie plaatsen