1.0 Inleiding Voor wijziging van de tunnelventilatie van de IJtunnel is een aanvraag van de omgevingsvergunning voor de activiteit bouwen ingediend.

Transcriptie

1 ONDERWERP Addendum t.b.v. aanvraag omgevingsvergunning: wijziging tunnelventilatie IJtunnel ONZE REFERENTIE C DATUM VAN Bart Duijvestijn en Charlotte Boschloo AAN Kornelis de Waard en Susanne Ritsma (Omgevingsdienst Noordzeekanaalgebied) KOPIE AAN Ron Beij (Brandweer Amsterdam-Amstelland) Ron Galesloot (Brandweer Amsterdam-Amstelland) Rein de Haas (Veiligheidsbeambte) Ruud Willersen (Teamleider verkeersleiding) 1.0 Inleiding Voor wijziging van de tunnelventilatie van de IJtunnel is een aanvraag van de omgevingsvergunning voor de activiteit bouwen ingediend. Op 18 maart jl. heeft een gesprek plaatsgevonden tussen de Brandweer (Ron Beij en Ron Galesloot) en de gemeente Amsterdam, vertegenwoordigd door Arcadis (Charlotte Boschloo en Bart Duijvestijn). In dit gesprek zijn de volgende onderwerpen aan de orde geweest: Een vraag over de faalkans van de operator (verzuim-fout) zoals gehanteerd in de QRA (1). Gevraagd is om aanvullende onderbouwing van de aangehouden faalkans voor de operator. In het rapport Definitief Ontwerp, IJtunnel te Amsterdam Tunnelventilatie & overdrukventilatie (2) is in Figuur 5 schematisch de werking van de tunnelventilatie weergegeven. De figuur schept verwarring omdat hierin verschillende bedrijfstoestanden tegelijkertijd zijn getekend. Tevens doet de figuur vermoeden dat rook nabij het tunneldak wordt afgezogen terwijl in werkelijkheid de afzuigventilatie laag gelegen is. In deze notitie wordt op de reeds ingediende stukken een nadere toelichting gegeven. Deze toelichting wordt aanvullend ingediend en maakt daarmee onderdeel uit van de vergunningaanvraag. 2.0 Nadere toelichting faalkans operator (verzuim-fout) In het QRA-model zijn verschillende parameters opgenomen waarmee de menselijke schakel op de verkeerscentrale mee wordt genomen in de berekening van het risiconiveau. Voor de modellering van het risiconiveau en de defaultwaarden van de verschillende parameters is in het achtergronddocument behorend bij het rekenmodel een toelichting gegeven. Aangegeven wordt dat default-waarden kunnen worden gekozen, maar dat bij het afwijken daarvan een aanvullende onderbouwing moet worden geleverd. Het Achtergronddocument bevat de theoretische modelbeschrijving waarbij in detail wordt ingegaan op de verschillende variabelen en parameters die in het model worden meegenomen, de onderbouwing van beschikbaar gestelde defaultwaarden en de gehanteerde rekenregels in het model. Overigens staat het de risicoanalist vrij om af te wijken de aangereikte defaultwaarden en deze aan te passen naar de specifieke tunnelsituatie. Van de analist wordt dan wel verwacht dat hij deze alternatieve waarden onderbouwt (3). Bij uitvoering van de risicoberekeningen heeft Arcadis voor specifieke parameters bewust afgeweken van de defaultwaarden omdat zij van mening is dat de modellering beter aansluit bij de specifieke situatie die geldt voor de IJtunnel. Daarbij zijn sommige parameters meer conservatief ingeschat (bijvoorbeeld het SDS-systeem waarbij een aanzienlijk hogere faalkans (0,05) wordt gehanteerd dan de defaultwaarde (0,001) en andere parameters juist minder conservatief. De faalkans van de operator is minder conservatief ingeschat. Arcadis Nederland B.V., Piet Mondriaanlaan 26, Amersfoort T +31 (0) Arcadis Nederland B.V. - Registered office: Arnhem - Registered number:

2 De defaultwaarden voor het falen van de operator zijn relatief hoog. In (4) wordt voor een verzuimfout (menselijke fout) uitgegaan van: 1*10-3 tot 3*10-3 per vraag in een situatie met checklist. 3*10-3 tot 1*10-2 per vraag in een situatie zonder checklist. Dit is aanzienlijk lager dan de faalkansen uit QRA-tunnels 2.0. De verzuimkansen (kans dat operator geen actie neemt) zijn daarom verlaagd met een factor 10. Er is gevraagd aanvullend te beargumenteren waarom dit uitgangspunt gerechtvaardigd is. In de QRA-berekening zijn de uitgangpunten gehanteerd zoals opgesomd in Tabel 1, waarin tevens de defaultwaarden zijn gegeven van QRA-tunnels. Parameter Aangehouden in basisberekening Defaultwaarde QRA-model De kans dat de operator geen (adequate) actie neemt na een detectie De kans dat de operator de calamiteitenknop niet gebruikt bij een snelle brand De kans dat de operator de calamiteitenknop niet gebruikt in overige gevallen 0,01 0,10 0,01 0,10 0,03 0,30 Tabel 1 Kansen op verzuim-fout van operator in basisberekening vs. defaultwaarden QRA-tunnels 2.0 De genoemde faalkansen in Tabel 1 hebben betrekking op onder andere de volgende acties: Het opstarten van de ventilatie. Het ontgrendelen van de vluchtdeuren (indien die vergrendeld zijn). Het afsluiten van de tunnelbuis. Het starten van het omroepbericht. In de handleiding van het model QRA-tunnels 2.0 (5) en in het achtergronddocument (3) wordt geen onderbouwing gegeven van de genoemde defaultwaarden. Het toetsen of de uitgangspunten die bij de keuze voor de defaultwaarden passend zijn is daarmee niet mogelijk. Daarom wordt in het hierna volgende in algemene termen aangegeven waarom Arcadis heeft gekozen voor de in Tabel 1 genoemde waarden in de basisberekening. In de literatuur is sinds eind jaren 70 relatief veel onderzoek gedaan naar de kans op menselijk falen (HRA, Human Reliability Analysis) en de orde van grootte die daarbij wordt gehanteerd als faalkansen in een probabilistische veiligheidsanalyse (PSA, Probabilistic Safety Assessment). Specifieke gegevens van faalfrequenties voor operators in verkeerscentrales zijn voor zover bekend niet beschikbaar. Daarbij geldt dat de specifieke inrichting van de centrale, het gebruik en de training van de operators, belangrijke parameters zijn om een inschatting te maken van de kans op een verzuimfout. Een veel gebruikt basismodel dat wordt gebruikt bij het inschatten van verzuimfouten, benaderd vanuit de psychologie, is het model van Rasmussen (6). De voorgestelde karakterisering van het verwachte menselijk gedrag is volgens Rasmussen afhankelijk van het soort activiteit: Skill-based: Als sprake is van een goed getrainde operator, die gemotiveerd is om zijn taak uit te voeren en ervaring heeft met het uitvoeren van de specifieke taak. Rule-based: Als de operator een duidelijke set procedures heeft die hij kent en goed begrijpt, die gevolgd moeten worden in een voor hem duidelijk herkenbare situatie. Knowledge-based: Als geen sprake is van voornoemde situaties. De operator moet de technische voorzieningen die de tunnel heeft op het moment dat hij moet handelen doorgronden om te bepalen welke actie nodig is. De kans op een verzuimfout neemt toe naarmate de activiteit complexer wordt. Skill-based gedrag heeft de laagste kans op een verzuimfout, knowledge-based gedrag de hoogste. Voor operators wordt daarom gestreefd om door een adequate Mens-Machine-Interface (MMI) en goede training in geval van calamiteiten zoveel mogelijk Datum: van 8

3 het skill-based gedrag na te streven. De procedures worden zoveel mogelijk gestandaardiseerd en de MMI is zo ingericht dat de operator wordt ondersteund door geautomatiseerde processen. De calamiteitenknop wordt in ieder geval wordt gebruikt bij: Incidenten met (vermoeden van) brand. Incidenten waarbij slachtoffers (doden of gewonden) zijn gevallen. Aanrijdingen waarbij betrokken voertuigen (deels) op meer dan één rijstrook staan (waardoor het incident niet kan worden gepasseerd door een voertuig van de OHD. Welk gedrag van toepassing is op de ingeschatte verzuim-fouten uit Tabel 1 kan indicatief worden afgeleid volgens het schema weergegeven in Figuur 1 (7). Figuur 1 Karakterisering van het verwachte menselijk gedrag volgens Rasmussen (7) In de figuur is in oranje onze inschatting gegeven van de activiteiten van de operator. Argumentatie van de keuzes is als volgt: Operation Routine: Nee. Een calamiteit behoort niet tot de basisroutine van de operator. Transient or operation unenbigiously understood by operator: Ja. Er is een eenduidige instructie wat te doen bij een calamiteit/stilstand (met brand). Procedure not required: n.v.t. Procedure covers case: Ja. Er is een eenduidige instructie/procedure wat te doen bij een calamiteit/stilstand (met brand). Procedure understood by personal: Ja. De procedure wordt opgeleid en getraind. Personel well practiced in use of procedure: Ja (doelstelling) / Nee. Doel is dat het personeel voldoende getraind is, zowel in theorie als op basis van de simulator. Er is vooralsnog geen objectieve data beschikbaar over het trainingsniveau. Op basis hiervan kan worden afgeleid dat voor de verkeersleiding voor incidentscenario s (met brand) in principe sprake zou moeten zijn van skill-based gedrag. Als het opleidingsniveau van de operator onvoldoende is kan sprake zijn van rule-based gedrag. De belangrijkste actie in dit geval is het indrukken van de calamiteitenknop in Datum: van 8

4 Kans op geen respons [-] geval van brand (waarmee onder andere het verkeer wordt gestopt voor de ingang van de tunnelbuis) en het bevestigen van de juiste inzet van de tunnelventilatie. Door Tiemin (8) zijn op basis van onderzoeksdata de kansen op verzuimfouten (non-response) afgezet tegen een genormaliseerde tijdsduur. De genormaliseerde tijdsduur is gedefinieerd als de verhouding van de maximaal beschikbare tijd voor het uitvoeren van de betreffende handeling gedeeld door de gemiddeld benodigde tijd. De kans op verzuim-fouten is gedifferentieerd naar de verschillende karakteriseringen volgens Rasmussen (skillbased, rule-based en knowledge-based gedrag). De door Tiemin afgeleide relaties zijn weergegeven in Figuur 2. Uit de figuur volgt duidelijk het verschil in kansen op een verzuim-fout bij de verschillende gedragstypen RWS 0.01 Knowledge-based Arcadis Skill-based Rule-based Genormaliseerde tijd (beschikbaretijd / gemiddeld benodige tijd) [-] Figuur 2 Human Cognitive Reliability (HCR) model volgens Tiemin (8) Zoals reeds aangegeven is het lastig op basis van wetenschappelijke data een uitspraak te doen over de kansen op van de verzuimfouten zoals deze gelden voor de operators van de IJtunnel. Het model van Tiemin helpt wel om aanvullend inzicht te krijgen in die kansen. In de scenarioanalyse (9) wordt een tijdsduur van 40 seconden aangehouden tussen het indrukken van de calamiteitenknop en het ontstaan van een incident met brand. Dit betreft een conservatieve schatting. Verwacht wordt dat gemiddeld genomen deze handeling eerder kan worden verricht. De verkeersleiding heeft aangegeven dat dit normaliter binnen 20 seconden zou moeten kunnen plaatsvinden. Voor een min of meer vergelijkbare afloop van de in de scenarioanalyse beschouwde brandscenario s wordt aangenomen dat binnen maximaal binnen 60 tot 90 seconden door de operator moet worden ingegrepen. Dit is afhankelijk van de ontwikkeling van de brand. Op basis van voorgaande volgt een genormaliseerde tijd: t/t sec / 20 sec 4,5 Wordt een meer conservatieve bovengrens van 1 minuut als maximale reactietijd aangehouden, dan volgt: t/t sec / 20 sec 3,0 Datum: van 8

5 In Tabel 2 zijn de bijbehorende kansen op een verzuimfout weergegeven. Genormaliseerde tijd Skill-based Rule-based Knowledge-based t/t 0.5 = 4,5 4,6 * ,6 * 10-3 (3,4 * 10-4 ) t/t 0.5 = 3,0 3,4 * ,031 (0,081) Tabel 2 Indicatie kans op 'geen respons' voor operator bij skill-based, rulebased en knowledge-based gedrag; voor de operators van de IJtunnel zal sprake zijn van skill- of rulebased gedrag Zonder hieraan absolute waarheid te hechten kan uit Tabel 2 worden afgeleid dat de door Arcadis ingeschatte kansen nog steeds relatief conservatief zijn. Een en ander is wel afhankelijk van het opleidingsniveau van de operator. Dit laatste wordt ook geconcludeerd in de kwantitatieve risicoanalyse (1): De borging van de in de basisberekening gehanteerde faalkansen in de praktijk is een belangrijk aspect voor het (werken conform het) VBP waarin dit terugkomt in procedures en het traject van opleiden, trainen en oefenen. Ten aanzien van de aangehouden kans op faalkansen van de operator zijn wij van mening dat de aangehouden waarden toepasbaar zijn onder de voorwaarde dat er adequate aandacht is voor de opleiding en training van de operators. Aanvullende overwegingen ten opzichte van de bij de bouwaanvraag reeds ingediende stukken zijn: Bovenstaande aanvullende analyse laat zien dat bij een voldoende opleidingsniveau de aangehouden faalkansen conservatief zijn. Het lijkt erop dat de (niet onderbouwde) keuze voor de defaultwaarden in QRA-tunnels 2.0, gebaseerd zijn op knowledge-based gedrag. Een situatie waarbij de operator niet specifiek is getraind op een calamiteitensituatie. Hierbij moet worden opgemerkt dat de verkeerscentrales van Rijkswaterstaat wel verschillen van de verkeerscentrale van de IJtunnel. Bij Rijkswaterstaat is de centrale bij normaal bedrijf vooral gericht op de doorstroming van het verkeer in het hele netwerk van snelwegen. In Amsterdam is de centrale vooral gericht op tunnelbeheer en de doorstroming van het verkeer rondom de tunnels. Daarmee is in de Amsterdamse verkeerscentrale mogelijk meer sprake van specifiek toezicht op de tunnels. De aannames voor de faalfrequentie van de operator wordt onderschreven door de 2nd opinion uitgevoerd door Horvat&Partners (10). Bij de bouwaanvraag voor de Michiel de Ruijtertunnel zijn - op basis van dezelfde argumenten dezelfde waarden gehanteerd. Naar onze mening is de MMI van de IJtunnel van een kwalitatief hoger niveau, waardoor lagere waarden voor de faalkans zouden kunnen worden toegepast. In het traject van Opleiding, Training en Oefening (OTO) wordt gebruikt gemaakt van een simulator waarmee de bediening van de tunnel kan worden gesimuleerd. Ter voorbereiding van de aanvraag voor de openstellingsvergunning zal in het OTO-programma worden vastgelegd dat genoemde uitgangspunten worden vastgelegd en periodiek getoetst. 3.0 Aanvullende toelichting DO-rapportage tunnelventilatie In het document IJtunnel te Amsterdam Tunnelventilatie & overdrukventilatie (2) is in Figuur 5 schematisch de werking van de tunnelventilatie weergegeven. De figuur geeft schematisch de situatie weer voor rookverspreiding bij fileverkeer en de schakeling bij normaalverkeer. Dit kan leiden tot verwarring omdat in de figuur verschillende schakelstanden van de tunnelventilatie tegelijkertijd zijn getekend. Tevens doet de figuur vermoeden dat de afzuigventilatie afzuigpunten kent ter hoogte van het tunneldak. Dit is niet juist. Bij inschakeling van de afzuigventilatie (alleen aanwezig in sectie I en II) wordt de rook via roosters in de barrier afgezogen. Om figuur 5 uit (2) te verduidelijken is in bijlage A het schakelprincipe van alle mogelijke scenario s weergeven zoals dit in het DO is beschreven in paragraaf In plaats van Figuur 5 geeft bijlage A van deze memo ter toelichting voor elke situatie het in het DO getoetste schakelprincipe. De in bijlage A opgenomen scenaro s zijn samengevat in Error! Reference source not found.. Datum: van 8

6 Uit bijlage 1 volgt dat in situaties zonder file (verkeerssituatie A) de afzuigventilatie nooit wordt ingeschakeld in de secties waar mensen aanwezig zijn. De afzuigventilatie wordt in die scenario s alleen maar gebruikt om extra onderdruk benedenstrooms te creëren waardoor het langsventilatiesysteem wordt ondersteund. Bij verkeerssituatie B is zowel bovenstrooms als benedenstrooms stilstaand of langzaam rijdend verkeer aanwezig. In de scenarioanalyse en in het DO zijn de effectiviteit van de tunnelventilatie en de bijbehorende schakelregimes onderzocht. De brandweer heeft opgemerkt dat in het DO geen CFD-simulaties zijn gerapporteerd voor branden in sectie 1 en 2 van de tunnel. In verkeerssituatie A zijn de brandscenario s in sectie 1 en 2 nooit maatgevend omdat in die secties de doorsnede van de tunnel het kleinst is, waardoor de luchtsnelheid van de langsventilatie het grootst is. Bij verkeerssituatie B (file) kan het zondermeer inschakelen van de langsventilatie leiden tot meer slachtoffers. Omdat in deze secties in afwijking van veel bestaande tunnels in Nederland afzuigventilatie aanwezig is, wordt bij brand in sectie 1 of 2 bij file, alleen in de sectie met brand de afzuigventilatie ingeschakeld. Onderzocht is of het wenselijk zou zijn in die gevallen in beide secties tegelijkertijd af te zuigen, dit bleek niet wenselijk (zie par van (2)): Bij een brand in sectie I of II wordt alleen in de sectie waarin de brand optreedt afgezogen. De andere afzuigsectie wordt niet ingeschakeld omdat wanneer beide secties worden ingeschakeld de rook ook in die ventilatiesectie getrokken zou worden. Dat is beslist onwenselijk is als aan beide zijden van de brand verkeer staat omdat daarmee dan een veel groter aantal personen in de rook zou kunnen komen te staan. Aanvullend hierop is in de 2nd opinion in afstemming met Efectis geconcludeerd: Qua afzuigdebiet zou twee secties gunstiger zijn, de stroming van de rook zou daarmee echter negatief beinvloed worden: De schakelprincipes waarvoor wordt afgezogen bij verkeerssituatie B gaan allemaal uit van géén langsventilatie. Hiermee wordt beoogd de stratificatie zo lang mogelijk te bewaren. Er is op dat moment geen beheerste langssnelheid. Er wordt alleen in de sectie boven de brand afgezogen, omdat de rook anders in één van beide richtingen getrokken zou worden, wat onwenselijk is als aan beide zijden verkeer staat. Uit Tabel 5_4 van de AVV blijkt ook dat het bij een onbeheerste langssnelheid en 100MW brand 'Praktisch niet mogelijk is' om goed af te zuigen met >250m3/s. Dit komt doordat de afzuiging dan een langssnelheid opwekt, waardoor de stratificatie van rook verstoord wordt. Datum: van 8

7 1 BIBLIOGRAFIE 1. Boschloo - van der Horst, C.S. en Duijvestijn, A.M.W. QRA IJtunnel. Amersfoort : Arcadis, 14 oktober :A. 2. Thesing, E. Definitief Ontwerp; IJtunnel te Amsterdam, tunnelventilatie & overdrukinstallatie. Baarn : Tunnel Safety Consults, 20 oktober QRA-tunnels 2.0; achtergronddocument. Utrecht : Ministerie van Infrastructuur en Milieu, 2 februari Basisrapport Waterkerende Kunstwerken en Bijzondere Constructies. sl : Technische Adviescommissie voor de Waterkeringen, Gebruikershandleiding QRA-tunnels 2.0. Utrecht : Rijkswaterstaat, Ministerie van Infrastructuur en Milieu, 12 februari Rasmussen, J. On the structure of knowledge - A morphology of mental models in a man-machine context. Roskilde, Denemarken : sn, Riso-m Case study on the use of PSA methods; Human Reliability Analysis. Vienna, Austria : International Atomic Energy Agency, april ISSN Tiemin, L., Xingkai, Z. en Gongzhi, L. Application guide for safety assessment methods. Bejing, China : Chemical Industry Press, Duijvestijn, A.M.W. en Boschloo - van der Horst, C.S. Veiligheidszorg gemeentelijke wegtunnels amsterdam scenarioanalyse IJtunnel. Amersfoort : Arcadis, 22 december Vrijling, H. Second Opinion model IJtunnel. Rotterdam : Horvat & Partners, 17 december R-002. Datum: van 8

8 BIJLAGE A: SCHAKELSCENARIO S Datum: van 8

9 Bijlage behorende bij: DO Ijtunnel te Amsterdam; Tunnelventilatie & Overdrukventilatie Ventilatie scenario's volgens paragraaf en Sectie III Sectie II Sectie I Sectie 0 LVG3c_O LVG3b_O LVG3a_O LVG0_0 LEGENDA AZG2_O AZG1_O Langsventilator UIT Langsventilator AAN LVG3b_W LVG3a_W LVG0_W AZG2_W AZG1_W afzuigventilatie UIT afzuigventilatie AAN Voorbeeld nummering per situatie Brand in : Sectie : 3 Verkeerssituatie : A Nummering : W3A Nummering Sectie III Sectie II Sectie I Sectie 0 W3A W2A W1A W0A Bijlage 1: Schakelstanden tunnelventilatie 1/4

10 Sectie III Sectie II Sectie I Sectie 0 W3B W2B W1B W0B O3A Bijlage 1: Schakelstanden tunnelventilatie 2/4

11 Sectie III Sectie II Sectie I Sectie 0 O2A O1A O0A O3B O2B Bijlage 1: Schakelstanden tunnelventilatie 3/4

12 Sectie III Sectie II Sectie I Sectie 0 O1B O0B Bijlage 1: Schakelstanden tunnelventilatie 4/4