Over het vermijden van Single Fault Conditions en het nemen van passende Redundancy - maatregelen.

Transcriptie

1 Foto: Tim Colenbrander Over het vermijden van Single Fault Conditions en het nemen van passende Redundancy - maatregelen. Back-upsystemen bij duiken noodzakelijk Tim Colenbrander zelfstandig hoger veiligheidskundige In vele bedrijfstakken en sporten wordt de noodzaak van systemen bepleit. Waarom en wanneer zou een systeem nodig zijn? Hoe maak je een goede afweging? Welke oplossing kies je? Dit zijn allemaal vragen die hierbij een rol spelen. Bij het schrijven van dit artikel waren er twee dodelijke ongevallen bekend bij de schrijver over het jaar In tenminste één geval was er sprake van een zogeheten plafond : de duiker kan niet direct naar de oppervlakte. In zo n geval zijn systemen onontbeerlijk. In dit artikel wordt aan de hand van voorbeelden van duiken uitleg gegeven over de noodzaak van backupsystemen en het voorkomen van situaties, waarbij men van één enkel systeem afhankelijk is. Doel hiervan is beoordelen of een geplande duik veilig is, of veilig kan worden gemaakt, en om passende maatregelen te nemen. Duiker met plafond: in dit geval een grot. Foto: Jose de Veer Wanneer zijn systemen van belang bij duiken? Samengevat is een nodig daar waar sprake is van een zogeheten plafond, waarbij een duiker niet onmiddellijk een veilige zone kan bereiken en dus zelfredzaam moet zijn. Dit plafond kan fysiek zijn, zoals bij een grot of wrak, maar ook denkbeeldig, in de vorm van een langdurige decompressie. Bij een decompressieduik kun je fysiek wel naar boven, maar dan kan dat December 2009 I 52

2 ernstige gevolgen hebben in de vorm van decompressieziekte. Stel, we willen een diepe duik maken. Hoe minimaliseren we de kans op decompressieziekte? In dat soort gevallen wordt gebruikgemaakt van systemen, of dat nu organisatorische s betreft of apparatuur. In de technische duikwereld wordt deze apparatuur ook wel aangeduid als redundante apparatuur. Deze term kan zeer vrij vertaald overbodig betekenen. In dit artikel zal echter duidelijk gemaakt worden dat systemen allesbehalve overbodig zijn. Ze dienen om Single Fault Conditions of nog erger te voorkomen Wat is een Single Fault Condition? Een Single Fault Condition is een te voorspellen situatie waarbij het falen van één enkel systeem, onderdeel of omstandigheid kan leiden tot het ineffectief worden van het totale systeem. Feit is dat apparatuur, onderdelen en ook omstandigheden zich te allen tijde ongunstig kunnen uiten. Een voorbeeld in de organisatie bij het duiken kan zijn: het kwijtraken van je buddy; je vormt immers elkaars. Een voorbeeld van falen van een technisch onderdeel kan zijn: uitvallen van je lamp tijdens een nachtduik. Hoe voorkom je dat een Single Fault Condition ontstaat? De beste benadering wordt weergegeven in de zogeheten arbeidshygiënische strategie 1 zoals wordt toegepast in de arbeidsveiligheid. Samengevat houdt die voor duikers het volgende in (hierbij moet punt 1 als eerste worden toegepast en punt 4 als laatste): - 1. Het voorkomen van het risico door bijvoorbeeld het gebruiken van een andere duiktechniek; - 2. Afscherming door bijvoorbeeld technische maatregelen en/of ademgasbehandeling; - 3. Het beheersen van het risico door bijvoorbeeld een andere organisatie van de duik, andere duikmethoden, veilig handelen of het afschermen van de duiker aan de bron; - 1. Voorkom decompressieduiken als het doel ook anders bereikt kan worden; - 2. Duik met bijvoorbeeld nitrox (of een ander ademgas) om de kans op deco te minimaliseren; - 3. Plan herhalingsduiken met een zodanig interval dat geen decompressieduik kan ontstaan; leidt duikers goed op, bijvoorbeeld voor het gebruik van nitrox en deco-duiken; voer veiligheidsstops uit; - 4. Zorg voor een zuurstofkoffer, voldoende reserve ademgas en een noodplan als PBM, mocht het nodig zijn. Beroepsmatig kan ook worden gezorgd voor een stand-by decompressietank. Conclusie 1 Als je een duik zodanig kan worden uitgevoerd dat een specifiek risico wordt geëlimineerd, dan kan dat risico zich nooit uiten. Een Single Fault Condition kan zich bij een goed uitgevoerde bronaanpak niet voordoen. Geplande diepe duik met geplande decompressie Maar wat nu, als je bewust kiest voor een geplande diepe duik met geplande decompressie? - 1. Voorkomen is niet mogelijk; er is bewust gekozen voor een aanvaardbaar risico; - 2. Het aantal decompressiestops en de duur van deze stops kan worden beperkt door de keuze van het ademgas en het eventueel maken van gasswitches; - 3. Bij het plannen van de duik moeten alternatieve scenario s voor het maken van de stops eveneens worden gepland, mocht dat door omstandigheden noodzakelijk zijn. Het plannen van alternatieve scenario s voorkomt een Single Fault Condition. Er is immers een alternatief voor het geval dat de duik niet verloopt zoals gepland. Het buddysysteem vormt eveneens een systeem; - 4. Wanneer dit soort beschermende maatregelen het gevaar onvoldoende wegnemen moeten PBM s (persoonlijke beschermingsmiddelen) worden gebruikt. PBM s mogen alleen worden toegepast als de overige maatregelen niet uitvoerbaar zijn of onvoldoende zekerheid bieden Back-upsystemen mogen als persoonlijk beschermingsmiddel (PBM) worden beschouwd. Soms is hier een grijs gebied tussen gewone uitrusting en PBM. Denk hierbij aan een tweede duikcomputer of een tabel met horloge en dieptemeter. 1 ATC-04 Arbo themacahier; Opzetten van een beleid; persoonlijke beschermingsmiddelen; J.A.M. Jongenelen, SDU, 2000, 2e druk December 2009 I 53

3 Hoe werkt het Single Fault Condition-principe Het uitgangspunt is dat je voor kritische scenario s altijd voorkomt dat je afhankelijk wordt van één enkel systeem. Hoe kritische scenario s worden onderkend, bespreken we verderop. Als zonder systeem wordt gewerkt, leidt het falen van dat onderdeel automatisch tot falen van het gehele systeem. Het systeem is dan onbeheerst met alle gevolgen van dien. Men dient dus te bepalen of zo n risico aanvaardbaar is. enkelvoudig systeem: geen Bij één enkel systeem ontstaat de volgende situatie: dubbel systeem: enkelvoudig enkele systeem: geen Als één systeem uitvalt, is het totale overgebleven systeem afhankelijk van één enkel onderdeel van het systeem. Op dat moment ontstaat een Single Fault Condition Drie systemen: dubbele : Veilige status van werken; het systeem is Single Fault tolerant 2 of SFC-compatibel; Bij uitval van een van de systemen is duidelijk welk systeem uit valt of incorrecte waarden produceert Twee systemen: enkelvoudige Het is niet altijd mogelijk te bepalen of/welke van de twee systemen goed of slecht functioneert; (Voorbeeld afwijkende dieptemeter; als je vergelijkt met een andere dieptemeter weet je niet welke juist is. Als je met twee andere dieptemeters vergelijkt, is het aannemelijker dat de twee dieptemeters die dezelfde diepte aangeven in orde zijn.) Verhoogde paraatheid; Beperkte duikmogelijkheden (gericht op gecontroleerd afbreken van de duik of aanpassen van de planning waarbij weer een driedubbele ontstaat). Bij een dubbel systeem ontstaat de volgende situatie: drievoudig systeem: dubbele dubbel systeem: enkele enkelvoudig systeem: geen Als een systeem faalt, ben ik met twee systemen nog steeds niet afhankelijk van het falen van één enkel onderdeel in een systeem Duiker met bail out (flesje van 1 liter) als backup. Foto: Tim Colenbrander Conclusie 2 Kritische systemen zouden waar nodig minimaal drievoudig moeten worden uitgevoerd om Single Fault Condition te voorkomen. Conclusie 3 Indien een kritisch systeem de kans loopt bij falen van één enkel onderdeel in een Single Fault Condition te komen, moet de activiteit worden afgebroken Enkel system: geen Single Fault condition; Onmiddellijk (gecontroleerd) afbreken van de duik als zijnde een noodsituatie. Terug naar duiken Elke fase heeft zijn eigen aanpak. De duiker dient als volgt te handelen: 2 Single-fault tolerance: een system is single faulttolerant als geen te voorziene enkelvoudige fout, verantwoordelijk kan zijn voor het falen van het systeem, waardoor dit system onbeheersbaar wordt. December 2009 I 54

4 Hoe herken je kritische systemen? Er is nu uitleg gegeven over het dubbel of drievoudig uitvoeren van kritische systemen. Maar wanneer is sprake van een kritisch systeem? Hier volgt een overzicht van enige methoden: Er zijn nog vele andere methoden met elk hun eigen toepassinggebied. Het voert te ver om al deze methoden met voor en nadelen de revue te laten passeren in dit artikel. De schrijver zal te zijner tijd het risicobeheersmodel van de duikograaf in een artikel beschrijven GBV, ofwel gezond boeren verstand Deze vaak onderschatte beroepsgroep blinkt vooral uit in pragmatische oplossingen. In veel gevallen bepaalt de duiker zelf of een systeem kritisch is. Nadeel van deze methode is dat de perceptie een grote rol speelt in de afwegingen. Training/ervaring om inzicht te krijgen is hier zeer van belang. De range (verschillen in perceptie) is vaak groot. Wat de een gevaarlijk vindt, ervaart de ander nog niet als gevaarlijk Risicobeheersmodellen Er zijn vele soorten risicobeheersmodellen. Een bekend model waarbij een afweging gemaakt wordt tussen de kans op een ongewenste gebeurtenis, het effect van die gebeurtenis en de waarschijnlijkheid van die gebeurtenis, is de methode van Fine en Kinney: Risicobeheersing Risico s worden beheersbaar als geïdentificeerde kritische systemen worden aangepast zodat deze voldoen aan het principe van Single Fault Condition. Ter verduidelijking volgen een aantal typische voorbeelden voor duiken: - 1. Risico op falen van een kraan op een fles tijdens de duik: De literatuur kent voor zover bekend bij de schrijver geen faalproblemen tijdens de duik; Ongelukken met flessen zijn zeldzaam en gebeuren vrijwel nooit tijdens het duiken; De status van een fles is met goed onderhoud en keuringen tevoren in te schatten. Risico = Waarschijnlijkheid * blootstellingfactor * effect Deze methode wordt zeer veel toegepast, ook door niet veiligheidskundig geschoolden, zoals Jan en Janneke Doorsnee Duiker. De methode geeft kritisch of nietkritisch goed weer. De methode verloopt exponentieel, waardoor eerder een vertekend beeld ontstaat over de ernst van het risico TaakOgraaf en de afgeleide versie DuikOgraaf 3 Deze afgeleide van de Machinerichtlijn geeft een lineair verband tussen afbreukrisico (= effect), frequentie en complexiteit. De methode is goed toepasbaar door niet-veiligheidskundig geschoolden. Je moet natuurlijk wel wat van duiken weten. Voordeel van deze methode is, dat deze lineair verloopt waardoor een afgewogen beeld van de ernst van risico s wordt weergegeven. Ook worden sociale aspecten gewogen, via de vragen over communicatie. Er wordt een afweging gemaakt over: - de kans op gevolgen; - de frequentie; - de noodzaak van communicatie (communicatie maakt alles wat moeilijker) Foto: Tim Colenbrander Duiker met gescheiden automaten Gezond Boeren Verstand Als je je fles met kraan goed behandelt en netjes laat keuren, is er slechts een verwaarloosbaar risico dat het fout gaat. 3 Taak-Risico analyses binnen een sportorganisatie, toegepast op de Onderwatersport. Een methodiek voor de Richtlijn Veilig Duiken; Tim L.H. Colenbrander; KU Leuven Lucina / NOB Toepassing Kine & Finney: Risico = kans * effect * waarschijnlijkheid => risico aanvaardbaar December 2009 I 55

5 - 4. Toepassing TaakOgraaf: Lage kans dat het fout gaat, lage frequentie en communicatie niet noodzakelijk => geen vereist SFC niet kritisch Conclusie 4 Aanvaardbare, niet kritieke risico s hoeven niet Single Fault Tolerant te zijn. Maar laten we eens terug gaan naar het voorbeeld uit het begin van dit relaas: de bewuste diepe decoduik. Stel nu ook dat er door wat voor omstandigheid ook, er iets mis gaat. Redenen daarvoor zouden kunnen zijn: - 1. Falen van de ademautomaat; - 2. Veranderde omstandigheden die een ander dan het geplande decompressieprofiel noodzakelijk maken; - 3. Falen van de duikcomputer: vol water of een kapotte batterij; - 4. Missen van het deco-station, waardoor een vrije opstijging noodzakelijk is; - 5. Falen van pak of trimvest (scheur), waardoor het drijfen trimvermogen wordt beïnvloed; - 6. Niet-werkende lamp; - 7. Verlies van snorkel. Foto: Frits Claus, Kon. Landmacht Foto: Duikbedrijf Smit Duiker met helm, gereed voor werk. Een reddingvest is niet kritisch; het zou alleen maar hinderen bij het werk. De duiker is met een lijn verbonden. Conclusie 5 De aard van de duik bepaalt of een systeem kritiek is; s voor niet kritieke systemen zijn onnodig. Conclusie 6 De aard van de duik bepaalt de uitvoering/ organisatie (enkelvoudig of dubbel) van het kritieke systeem. Foto: Jose de Veer Foto: Jose de Veer Foto: Jose de Veer Duiker met helm, ademgas van de oppervlakte en noodlucht. Zijn kritische risico s altijd beheerst als wordt gebruikgemaakt van SFC? Helaas, SFC is een goede gewoonte, maar het dekt niet alle risico s af. SFC bepaalt namelijk niet welke keuzes worden gemaakt als. De keuze van de is afhankelijk van zeer veel externe factoren. Het kan zijn dat de keuze van een bepaald systeem onaanvaardbaar is, omdat het nieuwe risico s introduceert. Een bekende afweging die door duikers moet worden gemaakt, is het kerstboomfenomeen. Hoe meer men meesleept, hoe ingewikkelder het wordt. Ook wordt de kans op verstrikking groter. Elk extra onderdeel introduceert potentiële nieuwe risico s. Duiker met rebreather en een groot aantal systemen. Hier noodzaak en geen kerstboom! Duiker met scooter en diverse systemen. In het algemeen kan worden gesteld dat de eenvoudigste oplossingen vaak de beste zijn. Dit noemt men het KISS-principe: Keep it simple stupid! December 2009 I 56

6 - 3. Het falen van een systeem mag geen invloed hebben op het functioneren van andere systemen Voor een simpel duikje van 30 minuten van de kant in stromingsloos water naar 10 meter heb je echt geen rebreather nodig. Ook een decoboei is meestal overbodig. Een trimvest is echter een must en ook een dieptemeter is noodzaak. En ach, die tweede dieptemeter is hier niet kritisch. Je hebt immers ook nog je buddy. Bij een ingewikkelde grotduik met decompressiestops zijn een snorkel en decoboei van generlei waarde en kunnen zelfs hinderen. Haspels met lijnen en apparatuur om van ademgas te wisselen (gasswitch) zouden wel eens onontbeerlijk kunnen zijn. Duiker met rebreather en diverse systemen. Die afwegingen zijn precies de overwegingen die je moet maken in je planning en die worden beschreven in de richtlijn Veilig duiken. Conclusie 7 Eenvoud in s verhoogt veiligheid: KISS Eisen aan SFC Een tweede fenomeen is het toetsen van de diverse systemen aan de eisen voor SFC. Hiervoor moet een mogelijke faaloorzaak op een juiste wijze worden onderkend. Dit is geen gemakkelijke zaak Een systeem moet volledig onafhankelijk zijn van de andere systemen; - 2. Een systeem mag geen gebruikmaken van gezamenlijke systemen met het systeem waarvoor het de is. Foto: Jan Willem Bech Neem het trimvermogen als voorbeeld. Als de eerste trap van een automaat bevriest, werkt ook de inflator aan het pak niet meer. Om die reden is het raadzaam de inflator aan het pak en die aan het trimvest op een andere eerste trap aan te sluiten. De tweede is dan nog het ouderwetse met de mond opblazen Als een systeem faalt, moet dit onmiddellijk duidelijk zijn. Neem de automaat of trimvest als voorbeeld. Als die haperen, weet je het meteen. Bij meetapparatuur, zoals een dieptemeter, is het niet altijd direct duidelijk. Vergelijking met een eigen systeem of buddy maakt wel duidelijk of een systeem naar behoren werkt. Dit geldt ook voor zuurstofmeters voor bijvoorbeeld Nitrox. De organisatie van de meting zorgt hier voor het zichtbaar worden van eventuele fouten. Eén meting is geen meting! Er wordt drie keer gemeten. Een meting bij het vulstation, de eigen meting en de laatste meting aan de waterkant zouden allemaal met verschillende meters moeten worden uitgevoerd. Als er te grote verschillen zijn, is er ergens in de keten een systeem dat faalt. Moet ik nou drie zuurstofmeters aanschaffen, hoor ik al roepen Nee, je kunt het namelijk ook slim organiseren. Het vulstation heeft een meter, je hebt er zelf een en je buddy ook. Zo is de drie-eenheid weer compleet en je weet wat je meet! - 5. Een systeem werkt autonoom Hier is betreffende het duiken de vergelijking met de luchtvoorziening het meest duidelijke. Om die reden zou men bij duiken, waar dit nodig is, gebruik moeten maken van twee volledig gescheiden systemen (fles en pony; of dubbele set met 2 automaten en afsluitkraan op de brug van de kraan Een systeem is zó georganiseerd/ontworpen dat het niet kan falen door dezelfde oorzaak. Zo is volgens deze eisen een octopus of Air II ongeschikt als alternatieve luchtvoorziening. Ze zijn immers beiden afhankelijk van dezelfde eerste trap. Indien de luchtvoorziening kritisch is, dient men gebruik te maken van twee separate automaten of nog beter, een volledig gescheiden luchtvoorziening (pony; bailout etc) Ook hier is enige uitleg nodig. Een automaat zou kunnen bevriezen. Dat scenario is niet ondenkbeeldig. De basisoorzaak is echter niet de temperatuur van het water. De basisoorzaak is de constructie van de automaat waardoor deze gevoelig is voor bevriezing. Indien men als een precies gelijke automaat zou gebruiken, zou ook deze kunnen bevriezen. Het is dus aan te bevelen een anders geconstrueerde automaat als back up te nemen. December 2009 I 57

7 Conclusie 8 Back-upsystemen moeten voldoen aan de eisen voor SFC. Conclusie 9 Variatie in systemen verkleint risico s. Algehele conclusies Als een duik zodanig kan worden uitgevoerd dat een risico wordt geëlimineerd, kan een risico zich nooit uiten. Een Single Fault Condition kan zich bij een goed uitgevoerde bronaanpak niet voordoen. Plan de duik dus goed! Kritische systemen zijn minimaal drievoudig (dubbele ) uitgevoerd om Single Fault Conditions te voorkomen. Indien een kritisch systeem van een duik de kans loopt bij falen van één enkel onderdeel in een Single Fault Condition te komen, moet de duik worden afgebroken. De aard van de duik (= de uit te voeren activiteit) bepaalt of een systeem kritiek is. De aard van de duik bepaalt de uitvoering/organisatie (enkelvoudig of dubbel) van het kritieke systeem. Eenvoud in s verhoogt de veiligheid: KISS. Back-upsystemen dienen te voldoen aan de eisen voor SFC. Variatie in duiksystemen verkleint risico s. Moraal van het verhaal Wat we al wisten geldt daarom altijd: Met dank aan: - Jan Willem Bech (foto en revisiecommentaar), Technische Commissie Nederlandse Onderwatersport Bond; - Rob Postma (foto en revisiecommentaar), Technische Commissie Nederlandse Onderwatersport Bond; - Carin Bot, Nationaal Duik Centrum (bemiddeling foto Smit); - Frits Claus, inspectie voor werk en inkomen (foto s); - Jose de Veer (foto s); - Defensie Duik School Koninklijke Marine (voor foto s van de schrijver zelf). Verdere gebruikte literatuur: Grijze Gebieden; de mogelijkheden en beperkingen van het duiken in afgesloten ruimtes voor de sportduiker in het bijzonder; Jose de Veer; NOB mei Plan je duik, duik je plan; Zorg voor een noodplan; Duik nooit alleen; Trainen maakt duiken veiliger; Zorg voor een oppervlakteteam; Maak van je zelf geen kerstboom, neem dus ook weer niet meer mee dan nodig. Wat er nu bijkomt, is: Gebruik SFC waar nodig, maar altijd als er sprake is van een zogenoemd plafond ; Variatie in SFC-systemen verhoogt de veiligheid. Tim Colenbrander is als zelfstandig hoger veiligheidskundige werkzaam. Daarnaast is hij freelance teamleider bij de Raad voor Accreditatie. Ook is hij als actief reserveofficier verbonden aan de Defensie Duikschool van de Koninklijke Marine. In zijn vrije tijd is hij instructeur bij de Nederlandse Onderwatersport Bond. December 2009 I 58

8 Voorbeelden: Ademgasvoorziening bij duiken waarbij het bereiken van de oppervlakte niet direct mogelijk is: Systeem 1. Ademautomaat Systeem 2. 2de ademautomaat met separate 1e trap of een pony bottle met luchtvoorziening. (Een octopus of Air-II is geen 2de systeem, daar de 1ste trap kan falen; denk aan bevriezen.) Systeem 3. Luchtvoorziening van de buddy. Ademgasvoorziening bij duiken waarbij het bereiken van de oppervlakte direct mogelijk is: Systeem 1. Ademautomaat Systeem 2. Luchtvoorziening van de buddy Systeem 3. Oppervlakte/snorkel Ademgas bij duiken waarbij het bereiken van de oppervlakte niet direct mogelijk is: Systeem 1. Eigen ademgas Systeem 2. Organisatie: voldoende reserve ademgas 1/3 regel Hardware: pony bottles / flessen / fles op vast station System 3. Buddy en/of oppervlakteteam Ademgas bij duiken waarbij het bereiken van de oppervlakte direct mogelijk is: Systeem 1. Eigen ademgas Systeem 2. voldoende reserve-ademgas 1/3 regel Systeem 3. Oppervlakte Decompressiemethoden Systeem 1. Organisatie: planning Hardware: duikcomputer Systeem 2. Organisatie: alternatieve planning Hardware: 2de computer of duikhorloge met dieptemeter Systeem 3. Organisatie: aanwezigheid buddy en/of oppervlakteteam Hardware: systemen van buddy/tabellen Trimmen/drijfvermogen Systeem 1. Trimvest Systeem 2. Droogpak/drijfvermogen natpak Systeem 3. Afwerpen loodballast Gezichtsvermogen bij duik waar opstijgen niet direct mogelijk is: Systeem 1. Eigen duikbril Duiklamp Systeem 2. Reservebril 2de Duiklamp Systeem 3. Buddy Buddy Gezichtsvermogen bij duik waar opstijgen direct mogelijk is: Systeem 1. Eigen duikbril Duiklamp Systeem 2. Buddy Buddy Systeem 3. Kijken aan de oppervlakte Kijken aan de oppervlakte December 2009 I 59