De complexiteit van procesveiligheid
Terugblik op Zevende process safety Congres
Traditiegetrouw vond in mei het Process Safety Congress plaats. Dagvoorzitter Tijs Koerts opende voor een volle zaal en startte een interessante dag met inhoudelijk sterke presentaties rond procesveiligheid. Diverse sprekers belichtten het thema in zowel plenaire als parallelle sessies en benadrukten de complexiteit van procesveiligheid, die van zóveel factoren afhangt.
Leren uit verleden
Heel wat maatregelen en oplossingen die de afgelopen decennia zijn ontwikkeld met het oog op een verhoogde procesveiligheid, zijn gebaseerd op ongelukken of bijna-ongelukken. Het is en blijft dus belangrijk om kennis en ervaring uit het verleden te delen om er lessen uit te trekken. De organisatie van het Process Safety Congress besprak binnen de plenaire sessies dan ook bekende grotere incidenten waarvan onderzoek inmiddels de oorzaak aan de oppervlakte heeft gebracht.
productiviteit boven veiligheid
De eerste presentatie van Joe Maenen betrof de explosie op het olieproductieplatform Piper Alpha in 1988. Maenen zelf was een van ongeveer 60 mensen die de ramp overleefden door in de zee te springen. Daarentegen kwamen 167 collega's om het leven, waarmee de Piper Alpha toen de grootste ramp op een offshore olieplatform was.
Maenen: "Een ramp van deze omvang is het gevolg geweest van verschillende foutieve, of toch op z'n minst discutabele, beslissingen en acties die samenhingen met organisatiecultuur. Hierin is productiviteit boven veiligheid gesteld, wat betekent dat deze ramp het gevolg was van niets meer dan de hebzucht van de operator."
"De Piper Alpha-ramp was het gevolg van foutieve of toch discutabele beslissingen die samenhingen met organisatiecultuur"
"Enkele voorbeelden zijn fouten in het personeelsbeheer, onvolkomenheden in het systeem van werkvergunningen, en fouten bij inspectiewerkzaamheden en onderhoud."
Gevaar van Risiconormalisatie
De plenaire afsluiter van het symposium betrof een lezing over een grotere brand in een schakelmanifold op de Shell-raffinaderij in Singapore. Nils Bosma, general manager HSSE External Affairs bij Shell: "Gelukkig vielen er geen zwaargewonden of doden, maar de case is erg interessant vanwege de complexiteit van de bijdragende factoren en de eenvoud van de uiteindelijke oplossing."
"Heel kort samengevat, is de brand ontstaan bij het legen van een naftapijpleiding. Door een zeer ongelukkige samenloop van omstandigheden kon een flensverbinding in een bewegende slang in aanraking komen met een vaste pijpleiding. De onbedoeld opgebouwde statische elektriciteit kon ontladen en veroorzaakte de brand, gevolgd door verschillende explosies van andere leidingen."
Dit type incident werd gevoed door risiconormalisatie: gedurende vele jaren werd dit type werk uitgevoerd volgens het plan dat ook in dit geval goedkeuring kreeg. Maar in vele gevallen wel telkens met kleine aanpassingen. Zo ontstaat er onbedoeld een onjuist beeld van een nieuwe veiligheidsnorm. Het ging immers altijd goed.
Eigenlijk moet je bij complexe incidenten terug naar de basis. In dit geval zou je tot de conclusie komen dat je geen leidingen met ontvlambaar materiaal naar de open lucht moet willen legen. Houd je systeem gesloten. Dan kan er geen vermenging met (buiten)lucht ontstaan en is er ook geen kans op ontbranding; ook niet bij de aanwezigheid van een al dan niet bekende ontstekingsbron.
procesveiligheid verhogen
In de parallelsessies kwamen verschillende tools en procedures aan bod die procesveiligheid kunnen bevorderen. Kleine deeloplossingen, die echter in alle gevallen door de sprekers in het grotere geheel werden geplaatst.
Onder meer Arjan Kroon van Kader gaf in zijn presentatie aan dat het toepassen van instrumentele beveiliging (conform de IEC61511 – SIL-methodiek) niet het gewenste effect geeft als daarbij geen rekening wordt gehouden met de drie P's: People, Procedures en Paperwork.
"De zwakste schakel bepaalt hoe sterk een barrière is. Daarom is Functional Safety Management belangrijk in elke fase van de Safety Lifecycle"
Kroon geeft aan: "Zonder Management of Functional Safety stelt de IEC61511 dat er geen SIL-claim kan worden gemaakt, en de beoogde risicoreductie door een instrumentele beveiliging niet wordt gehaald. De zwakste schakel bepaalt uiteindelijk hoe sterk een barrière is, wat aangeeft dat Functional Safety Management belangrijk is in elke fase van de Safety Lifecycle."
barrièremanagement bij tata steel
Samen met Daan Bergwerff van Resilium (adviesbureau dat ondersteunt in de implementatie van onder meer barrièremanagement in procesveiligheid) vertelde HSSE-procesveiligheidsspecialist Niels Hollaar (Tata Steel) over de implementatie van BowtieServer in IJmuiden. Met behulp van bowties en daarin geïdentificeerde barrières wordt er een antwoord gegeven op de vragen:
- Begrijpen we wat er kan misgaan in onze processen? Weten we welke onze grootste risico's zijn?
- Kennen we de veiligheidsbarrières die onze risico's moeten beheersen?
- Weten we of de barrières ook functioneren wanneer we ze nodig hebben?
Daan Bergwerff: "Barrières zijn systemen of procedures die ontworpen zijn om afwijkingen te voorkomen of eventueel te detecteren en interpreteren, om vervolgens handmatig in te grijpen. We zijn in dat kader verder ingegaan op het borgen van het functioneren van de barrières in de dagelijkse praktijk. Alles gericht op het doel om doorlopend te kunnen beoordelen of de voorwaarden van een barrière op orde zijn voor een veilige operatie."
Hoe belangrijk deze controle is, bleek uit de presentatie van Joost de Witt. Hij besprak een incident binnen Tata Steel waarbij een brandbaar gasmengsel in een proceskolom explodeerde.
"Zoals bij veel incidenten bleek ook hier dat diverse barrières hadden gefaald en dat deze voornamelijk betrekking hadden op standaard werkprocessen zoals Management of Change, Permit to Work, planning en communicatie. Om nog meer focus te krijgen op gewenst gedrag, introduceerde Tata Steel vijf 'key commitments', die nu breed geïmplementeerd zijn en waarvan de eerste successen reeds zichtbaar zijn." Deze commitments zijn:
- Ik bescherm mijzelf en anderen.
- Ik werk volgens afgesproken regels en procedures.
- Ik beoordeel risico's.
- Ik geef het goede voorbeeld.
- Ik benoem onveilige situaties.
Veiligheidsbladen alleen volstaan niet
Hervé Vaudrey van Dekra hield een lezing over veiligheidsbladen als paspoort van chemische stoffen. Een praktisch verhaal met als hoofdboodschap dat deze databladen niet per definitie correct zijn. Ook hierin kunnen inhoudelijke fouten of tegenstrijdigheden sluipen én treden er soms vertaalfouten op. Houd het boerenverstand er dus bij. Databladen volstaan niet om procesveiligheid te garanderen; echte veiligheid gaat dieper en verder.
Hima Benelux ging in op het testen en controleren van het safety-systeem (SIS) in alle fasen van de lifecycle.
Tino Vande Capelle en Clemens van Wiggen gaven aan: "Ongevallen hebben oorzaken die in verschillende fasen van de levenscyclus ontstaan. Om incidenten zoveel mogelijk te voorkomen, ben je verplicht om tests, verificaties, validaties e.d. uit te voeren én te documenteren."
"De praktijk leert dat nog lang niet iedereen zich daaraan houdt. Om dit te vereenvoudigen, ontwikkelde Hima een 'Smart Safety Test Tool' bedoeld om functionaliteiten automatisch te testen. Die maakt het mogelijk om meer goed geplande en gestructureerde tests in minder tijd uit te voeren, wat uiteindelijk resulteert in meer veiligheid."
Hazop automatiseren
Ook de presentatie van Vopak was gericht op een tool die helpt om werk voor veiligheid meer efficiënt en effectief uit te voeren. Jaco van der Leeden vertelde over het belang om bij de opslag van bijvoorbeeld brandstoffen regelmatig Hazop-studies (Hazard and Operability) uit te voeren. Belangrijk, maar ook tijdrovend.
"Daarom introduceerden wij de eerste nieuwe Hazop-typicals. Met deze tool automatiseren we het Hazop-proces gedeeltelijk en voorzien we de Hazop-teams van een krachtig hulpmiddel om voor identieke situaties niet steeds te hoeven bepalen welke de toepasselijke logica is en welke argumenten wel en niet geldig zijn. Daarbij creëren we voor de belangrijkste Hazop-scenario's per scenario Hazop-typicals waarbij de kennis en ervaring van experts op een gestructureerde manier beschikbaar komt voor alle Vopak-terminals. Dit zal naar verwachting zowel de kwaliteit als de snelheid van onze Hazops verbeteren."
alarmmanagement vereist leiderschap
Bij de presentatie van Versatec, tot slot, stond het thema alarmmanagement centraal. Wouter van der Waa schetste dat alarmmanagement door de tijd heen sterk is geëvolueerd door technische ontwikkelingen. "Controlekamers werden in het verleden gestuurd door pneumatische (perslucht) controlesystemen die alarmen geven bij het overschrijden van bijvoorbeeld drukken of temperaturen en die het procesverloop weergaven op kleine chartrecorders. Operators hadden hierdoor een goede feeling met het proces."
"Een nadeel was het feit dat uitbreiding van de controlemiddelen ruimte en geld kostte. Deze nadelen verdwenen met de introductie van DCS-systemen, maar hadden een ander belangrijk eigen nadeel: operators kregen te maken met een groot aantal getallen op hun scherm, verloren de feeling met het proces én het overzicht. Omdat het bovendien heel eenvoudig was om alarmen te creëren, ontstond er een grote hoeveelheid aan alarmen, de neiging om deze te negeren en uiteindelijk een grotere kans op incidenten."
"Met deze inzichten zijn er alweer nieuwe technische verbeteringen doorgevoerd die het aantal alarmen verminderen en operators de 'feeling' met het proces teruggeven. Maar om het écht te laten slagen, heb je drie dingen nodig: leiderschap, leiderschap en leiderschap. Iemand die zich verantwoordelijk voelt voor het alarmmanagement en ervoor zorgt dat alle alarmen worden afgewerkt en gedocumenteerd. Zonder deze leider verwateren dingen in hoog tempo en ben je al snel terug in een controlekamer vol audio- en visuele alarmen waar het overzicht volledig is verdwenen en incidenten zich onder je ogen voltrekken zonder dat je je hiervan bewust bent."
