Risicobepaling door LOPA

Transcriptie

1

2 ATEX & Process Safety congres 2017 Risicobepaling door LOPA 13 juni

3 Herman Jansen Process Safety Consultant Consiltant BV TÜV Certified Functional Safety Expert Facilitator HAZOP / SIL / LOPA studies Uitvoeren SIL verificaties Leiden van HAZOP / LOPA / SIL workshops Docent HKV PHOV Utrecht T E jansen@consiltant.com : Process Safety Consultant (TNO) SSC : Instrumentation Engineer Lummus-Global 3

4 Programma 1. Procesveiligheidsprincipe 2. Layer Of Protection Analysis (afk. LOPA) methodiek 3. Voorbeeld 4. Samenvatting 4

5 Inleidend voorbeeld: Lossing van benzeen Volgens contract wordt iedere week bij een bedrijf een lading benzeen gelost in T-1. De chauffeur rijdt naar de losplaats, sluit de slang aan, opent de afsluiter en lost de benzeen. Na een overvul-incident wordt dit proces door het bedrijf geanalyseerd. De bevindingen worden opgeschreven. N1 N2 DN50 LI-1 Benzeen opslagtank T-1 TI-1 P N3 5

6 Eén van de worksheets: Overvullen van T-1 Analyse lossen in T-1 Lossen van benzeen in de opslagtank AFWIJKING OORZAAK GEVOLG VOORZIENINGEN ACTIES 1 Overvullen van T-1. Productiestop in voorafgaande week waardoor geen benzeen werd afgenomen. Dat komt circa 2x per jaar voor Overvullen T-1. Benzeen stroomt via de losplaats in het riool. Gezondheidsproblemen Mogelijk brand en/of explosie LI-1; Chauffeur zal lossing stoppen als niveau hoog is. 1.Plaats tank en pomp in lekbak. 2.Breng hoog niveau beveiliging aan. 3.Lossen onder supervisie van field operator. Milieubelastend 4.Vervoerder afmelden als tank nog vol is. 6

7 Inleidend voorbeeld: Lossing van benzeen Door de bewustwording van de potentiële gevaren en de pragmatisch bepaalde maatregelen neemt de veiligheid toe! LS-2 DN50 DN50 N1 N4 N2 LI-1 Benzeen opslagtank T-1 TI-1 P-1 XV N3 Aardsysteem 7

8 Gevarenidentificatie HAZOP Methodiek opgezet in 1974 door Bert Lawley van ICI. Wordt in de industrie op grote schaal toegepast (o.a. bij de BRZO bedrijven). 8

9 HAZOP worksheet HAZOP studie lossing tolueen Node: Opslagtank T-1 AFWIJKING OORZAAK GEVOLG VOORZIENINGEN ACTIES 1 Niveau Logistieke Meer fout Overvullen van nog gevulde opslagtank. Vrijkomen benzeen. Veiligheidsissue. Milieu issue LI-1. Chauffeur zal lossing stoppen als niveau hoog is. Onafhankelijke overvulbeveiliging implementeren. Enkele andere belangrijke afwijkingen; Blootstelling Meer Passende PBM s en dampretourleiding Druk Meer Explosie door statische oplading vonk Compositie - Anders dan Een andere stof wordt gelost. Stroming - Omgekeerd Niet nageblazen voor ontkoppelen. 9

10 Wie doet de analyse en hoe gaat dat? Maintenance engineer Operator Voorzitter/ notulist Veiligheidsk undige Proces technoloog Instr. engineer Chauffeur Vervoerder Valk uil: Onvoldoende deskundigheid tijdens brainstormsessie(s) 10

11 HAZOP/LOPA brainstormproces Fatsoensregels in acht nemen. Er dient vrijheid van denken te zijn. Methodiek volgen, maar onderbuikgevoelens nooit negeren. Near-misses meenemen in de analyse. Er moet gediscussieerd worden. Regelmatig pauzeren (iedere 1½ a 2 uur). 11

12 Principe Procesveiligheid Inventarisatie: Zijn er gevaren / ongewenste situaties? Bij gevaar/ongewenste situatie: Wat is het risico? Indien nodig: Risicoreductie En: Verificaties & validatie risico reducerende maatregelen Borging in een management systeem (bv. VBS) 12

13 Ontwerp tekeningen P&ID s Procesveiligheid methodiek Ontwerpen van beveiliging Bv. SIL 1 Wat kan er misgaan? Hoe erg is het? Gevaarsidentificatie bv. met HAZOP studie LOC scenario s Risicobepaling bv. met LOPA Bv. RR=10 is nodig SIL verificatie Bouw en Validatie P&ID = Piping and Instrumentation Diagram LOC = Loss Of Containment LOPA = Layer Of Protection Analysis SIL = Safety Integrity Level 13

14 Waarborging procesveiligheid 14

15 Wat is risico? Waarvan moet het risico bepaald worden? Risico is de combinatie van Ernst van de gevolgen en de Waarschijnlijkheid van voorkomen Met name de Loss of Containment scenario's (stoffen komen uit de installatie, bv. stoom, gas, methanol, door explosie, drukopbouw, overvulling, erosie). Eventueel Eventueel 15

16 Risicobepaling t.b.v. Risicobeheersing Beveiligd kan worden door; 1.Inherent te beveiligen of Operator Beveiligingen Inst./ mech. Regelsysteem Proces installatie 2.Mechanisch (breekplaat, veerveiligheid) of instrumenteel beveiligen of 3. Interlock in regelsysteem 4. Procedurele beveiliging, bv. operator reageert op een alarm. 16

17 Risicobeheersing Er is geen verplichte methodiek. Er is (nog) geen verplichte normstelling per jaar I n c i d e n t f r e q u e n t i e 17

18 Risicomatrix 1 1x per y 10-1 /y 10-2 /y 10-3 /y 10-4 /y Onacceptabel risico 18

19 Risicomatrices 2 en 3 As Low As ALARP Reasonably Practicable Het ALARP principe is prima. Echter in de praktijk pakt het wel eens anders uit 19

20 Risicograaf Eens per 1 a 10 jaar LZ C1 (licht gewond) P1(kan ontsnappen) F1 P2 (niet ontsnapp.) C2 (zwaar gewond) P1 F2 P2 F1 (< 3 uur/dag aanwezig) C3 (2-5 doden) F2 ( > 3 uur/dag aanwezig) C4 > 5 doden W3 W2 W1 a a a 2 1 a na 4 3 SIL risico niveau s SIL = Safety Integrity Level 20

21 Wat is SIL? SIL (Safety Integrity Level-1/2/3/4) geeft de (gewenste) betrouwbaarheid weer van instrumentele beveiligingen Risico Reductie factor SIL a SIL 1 SIL 2 SIL 3 SIL 4 ALARP Veiligheidskritisch! ALARP = As Low As Reasonably Practicable SIL = Safety Integrity Level 21

22 SIL normen Nucleaire sector IEC Machine sector IEC ISO IEC e edition IEC e edition Uitgave 2016 Uitgave juni 2010 EN Spoorwegen ISO Auto industrie IEC Branders Procesindustrie 22

23 Ontwikkeling procesveiligheid 23

24 LOPA Center for Chemical Process Safety (USA) ISBN

25 LOPA Layer of Protection Analysis LOPA: 1. Model opstellen 2. Kwantificeren 25

26 IC Initiating Events Basic Process Control System instr. loop failure 10 1 /y Regulator failure 10 1 /y Pump seal failure 10 1 /y Cooling water failure 10 1 /y Piping leak (10% section) 100 m 10 3 /y Gasket/packing blowout 10 2 /y Safety valve opens spuriously 10 2 /y Crane load drop 10 4 /lift Lightning strike 10 3 /y Large external fire (aggregate causes) 10 2 /y Operator failure (routine procedure) 10 2 / opport. 26

27 IC PFD & risicoreductie Reële LOD 0<PFD<1 LOD is 100% perfect PFD=0 Als de Layer Of Protection van de 10x, het potentiële gevaar 9x voorkomt, en 1x niet dan; -Is de faalkans (Probability of Failure on Demand)=10% -Ofwel de risicoreductie RR= 10 PFD = 0,1 LOD is niet van toepassing PFD=1 27

28 Layers Of Protection PFD RR Dijk Voorkomt spill Blast-wall Reduceert gevolgen explosie Flame Arrestor Voorkomt vlam-terugslag

29 Layers Of Protection PFD RR Veerveiligheid Laat druk af Breekplaat Laat druk af Terugslagklep Voorkomt terugstromen Procesregelsysteem Interlock SIL 1 beveiliging Instrumentele beveiliging <0.1 >10 SIL 2 beveiliging Instrumentele beveiliging <0.01 >100 SIL 3 beveiliging Instrumentele beveiliging <0.001 >1000 SIL 4 beveiliging Instrumentele beveiliging <10-4 >

30 Layer Of Protection PFD RR Menselijk ingrijpen Simpele actie waarbij de mens voldoende tijd heeft voor correctieve actie

31 Conditional Modifiers 1. Time at risk Pt= Gevaar is niet altijd aanwezig. 2. Aanwezigheid mensen Pp= Waarschijnlijkheid dat mensen aanwezig zijn in effect gebied 3. Ontstekingswaarschijnlijkheid Pi=1,0: Ontsteking is waarschijnlijk Pi=0,1: Ontsteking is niet waarschijnlijk (bv. mede door ATEX) Pi=0,01: Ontsteking is onwaarschijnlijk 4. Kwetsbaarheid Pv= Waarschijnlijkheid dat de geselecteerde ernst zal optreden 31

32 LOPA Formule IE [PFD a PFD b Pt Pp Pi Pv] < RTC Risico reductie door Independent protection layers Risk Tolerance Criterion Max. incident frequentie, door bedrijf te bepalen. Waarschijnlijkheid van voorkomen van het Initiating Event Conditional Modifiers Pt = Time at risk Pp = People present Pi = Ignition probability Pv = Vulnerability 32

33 LOPA van het voorbeeld DN50 LS-2 DN50 N1 N4 N2 LI-1 Benzeen opslagtank T-1 TI-1 P-1 XV Aardsysteem Is de LS-2 overvulbeveiliging wel echt nodig en als dat zo is, hoe betrouwbaar moet deze dan zijn? N3 33

34 LOPA van het voorbeeld Stofeigenschappen benzeen C 6 H 6, kleurloze vloeistof met typerende geur, kookpunt: 80 C, smeltpunt: 6 C, Brand/explosiegevaar Vlampunt: -11 C Minimum ontstekingsenergie: 0.2 mj Zeer brandgevaarlijk, damp met lucht explosief. Kans op ontsteking op afstand. Relatieve dichtheid van verzadigd damp/luchtmengsel (lucht = 1): 1.2 Elektrostatische oplading door stromen, roeren en verpompen. Blootstelling: Een voor de gezondheid gevaarlijke concentratie in de lucht kan door verdamping van deze stof bij ca. 20 C vrij snel worden bereikt. De stof kan worden opgenomen in het lichaam door inademing van de damp en via de huid. Kankerverwekkend. Kan schade toebrengen aan de erfelijke eigenschappen Inademen: Hoofdpijn, duizeligheid, misselijkheid, toevallen, bewusteloosheid. Huid: Roodheid kan leiden tot eczeem Milieu: Schadelijk voor het watermilieu met langdurige gevolgen. 34

35 LOPA m.b.t. risicomatrix van het bedrijf Onacceptabel risico 35

36 Voorbeeld Analyse lossen in T-1 Lossen van benzeen in de opslagtank AFWIJKING OORZAAK GEVOLG VOORZIENINGEN ACTIES 1 Niveau Productiestop in LI-1; Chauffeur zal 1.Plaats tank en voorafgaande lossing stoppen als pomp in lekbak. Meer week. niveau hoog is. Eens per half jaar. Overvullen T-1. benzeen stroomt via de losplaats in het riool. Gezondheidsproblemen Ernst 3 Mogelijk brand en/of explosie Ernst 4. Milieubelastend Risico reductie=1 omdat LI-1 nooit gecontroleerd wordt en niet zeker is of chauffeur niveau in de gaten houdt. 2.Breng hoog niveau beveiliging aan. 3.Lossen onder supervisie van field operator. 4.Vervoerder afmelden als tank nog vol is. 36

37 Voorbeeld 37

38 Voorbeeld 38

39 LOPA van het voorbeeld LS-2 Fieldoperator LS-2 Ontstekingskans Fieldoperator De LS-2 beveiliging moet voldoen aan de eisen van SIL 1 met een RR>20. 39

40 Layers Of Protection Andere benamingen: barrières, Level Of Defence, Independed Protection Layer Effectief Als de betreffende Layer Of Protection functioneert, treedt het ongewenste effect niet op Onafhankelijk De Layer Of Protection is onafhankelijk van de Initiating Cause en overige Layers Of Protection Aantoonbare risicoreductie Periodiek zal geconfirmeerd moeten worden dat de Layer Of Protection effectief is bv. door periodieke tests 40

41 Procesregelsysteem en interlocks The BPCS is a relatively weak independent protection layer, as there is usually; - Little redundancy in the components, - Limited built-in testing capability, and - Limited security against unauthorized changes to the internal program logic. The limited security arrangements are particularly important when considering the effectiveness of the BPCS as an IPL. Human error (in modifying logic, bypassing alarms and interlocks, etc.) can significantly degrade the anticipated performance of BPCS systems. 41

42 Procesregelsysteem Approach A LOP is onafhankelijk van initiating event en andere LOP s. Dus als Initiating event falen regeling is waarbij BPCS deel van uitmaakt van de regeling, dan kan BPCS geen IPL meer zijn Deze approach is duidelijk en sluit volgens de CCPS aan bij de werkelijkheid; Deze heeft de voorkeur boven Approach B Approach B Twee LOP s mogelijk in het BPCS. Sensoren/final elements niet aansluiten op dezelfde in/uitgangskaarten, modulaire opbouw BPCS, competente programmeur(s) en toegangsautorisatie 42

43 Voorbeelden van niet-lop s Training en certificering Speelt mogelijk rol bij risicoreductie door Operator. Procedures Tests en inspectie Onderhoud Communicatie Tekens (signs) Spelen mogelijk rol bij risicoreductie door Operator. Is relevant onderdeel van risicoreductie van LOP s. Beïnvloedt risicoreductie van LOP s. Is onderdeel van sommige LOP s. Beïnvloedt mogelijk risicoreductie van LOP s. Info beschikbaar en begrepen Is basis eis bij procesveiligheid. 43

44 Samenvatting LOPA is een uitstekende methode om risico s te beheersen. Uit te voeren door een multidisciplinair team van specialisten. LOPA is simplified : voorkeur voor machten van 10. Iedere risicoreductie van 10 of meer moet effectief, onafhankelijk en aantoonbaar zijn (bv. periodiek testen). Voorzichtig zijn toekennen van risicoreductie aan de mens. Maximaal 1x het regelsysteem (met RR=10) erbij betrekken. 44

45 HAZOP/LOPA/SIL trainingen HAZOP studie 14 juni 2017 en 2 oktober 2017 LOPA en SIL classificatie 15 juni 2017 en 3 oktober 2017 Initiating event Oorzaak van incident Bv. eens per jaar Instrumentele beveiliging Bv. risicoreductie: 10 Veerveiligheid Bv. risicoreductie: 100 Aanwezigheid mensen Bv. risicoreductie: 10 Onafhankelijke Layers Of Protection Conditional Modifiers Incident Gevolg: mogelijk dode beveiliging Incident frequentie: Eens per jaar, dit moet lager zijn dan wat vereist is. SIL verificatie en SIF validatie 16 juni 2017 en 4 oktober 2017 I: I: 24V 24V Safety PLC DI DO module module Dank voor uw aandacht! 45