CONTROL BANDING VOOR VEILIGHEID, EEN KWALITATIEF INSTRUMENT VOOR RISICO PREVENTIE?

Transcriptie

1 CONTROL BANDING VOOR VEILIGHEID, EEN KWALITATIEF INSTRUMENT VOOR RISICO PREVENTIE? Paul Swuste Sectie Veiligheidskunde, Technische Universiteit Delft, e: Paper voor het NVVK congres, april 2007 INTRODUCTIE Verticale verplaatsing van lasten is een gevaarlijke activiteit. Dit is het gevolg van de doorgaans grote massa s van de lasten en de kraaninstallaties. Ongevallen met kranen zijn spectaculair en de media laten de gevolgen met enige regelmaat zien, bijvoorbeeld op Discovery Channel, waar een kraanongeval met Big Blue in de US enige bekendheid gekregen. Deze kraan is neergestort tijdens de plaatsing van een 400 ton zware dakconstructie op stadion in aanbouw. Gezien het gewicht van de last betrof het hier een gigantische installatie, waar weinig meer van overbleef. Drie metaalwerkers kwamen om, toen hun hijsbak waarin zij stonden te wachten om het dak te bevestigen, geraakt werd door de neerstortende giek. Het onderzoek naar het ongeval wees naar een directe oorzaak; een plotseling optredende windvlaag, waardoor lading ging slingeren met extreme torsiekrachten op de giek als gevolg. Ook een achterliggende oorzaak kwam naar voren, een extra hoge productiedruk wegens een achterstand op de planning. Achteraf is vast te stellen dat ongevalscenario s niet serieus zijn genomen en slechts een ondergeschikte rol hebben gespeeld bij het besluit de hijswerkzaamheden uit te voeren. Of meer in algemene termen geformuleerd, dat scenario s en centrale gebeurtenissen geen actieve rol hebben gespeeld in het operationele veiligheidsmanagement systeem. In deze presentatie wordt de vraag gesteld of een kwalitatief instrument binnen de arbeidsveiligheid bruikbaar is om bovenstaande en andere ongevallen te voorkomen. Daarbij wordt verwezen naar een instrument binnen de arbeidshygiëne, dat bekend staat onder de term Control Banding. Control Banding is ontwikkeld voor chemische stoffen en maakt op een eenvoudige manier een risico bepaling, gebaseerd op zogenaamde R (risico)-zinnen, vandaar de term banding. Dit banding principe wordt ook gebruikt om blootstellingscenario s en oplossingen en maatregelen vast te stellen. De gebruikte hoeveelheden en de mate waarin de chemische stof tot emissie kan leiden zijn daarbij de determinanten van deze scenario s. Het instrument heeft de nodige kritiek gekregen; blootstelling is te ingewikkeld om kwalitatief te bepalen en de oplossingen met betrekking tot gevaarlijke stoffen in de chemie komen niet veel verder dan de traditionele oplossingen als ventilatie, algemeen of gericht en verschillende mogelijkheden van omkasting van de bron. Maar toch is de combinatie van een risicobepaling, gekoppeld aan oplossingen een zeer sterk punt van het instrument. Om die reden hebben een aantal nationale en supra-nationale organisaties het initiatief ondersteund, waaronder de International Occupational Hygiene NVVK Jubileumcongres april Sessie G Swuste 1 van 7

2 Association (IOHA), de World Health Organisation (WHO), de International Labour Office (ILO) en het National Institute of Occupational Safety and Health (NIOSH). De vraag naar een vergelijkbaar instrument voor de arbeidsveiligheid wordt besproken aan de hand van presentaties van ongevalscausaliteit. De meest bekende presentatie staat bekend onder de allerdaagse naam van vlinderdas. De modellen worden toegelicht aan de hand van enkele voorbeelden uit de bouw; vallen van hoogten en het verticaal verplaatsten van lasten. ONGEVALSMODELLEN Grafische presentaties van ongevalsoorzaken bestaan al enige decennia. De meest bekende is het eenvoudige, lineaire model van Heinrich uit 1931; het domino model. Hierin worden ongevallen voorgesteld als een lineaire sequentie van oorzaken en effecten, met menselijke fouten en mechanische of fysische gevaren als belangrijkste componenten. In de jaren 90 van de vorige eeuw werd met het Tripod model de aandacht gevestigd op zogenaamde latente condities. Deze latente condities zijn nauw geassocieerd met technologische systemen binnen complexe organisatie, voorzien van een zogenaamde defence-in-depth; meerdere lagen van barrières om ongevallen en rampen te voorkomen. Latente condities zijn altijd aanwezig binnen complexe organisaties en leiden tot falen van barrières. Voorbeelden van latente condities zijn een slecht ontwerp van een installatie of van een proces, afwezige of beperkt onderhoud, werkprocedures die niet uit te voeren zijn, een gebrekkig uitgevoerde automatisering, trainingsprogramma s die niet adequaat zijn etc (figuur 1). Figuur 1 Eenvoudige presentatie van latente condities De latente condities kunnen voor jaren sluimerend aanwezig zijn voordat ze, gecombineerd met locale omstandigheden en actieve fouten (verkeerde acties), een vrije doorgang voor een ongevalscenario kunnen creëren. Bij ongevallen en rampen wordt de schuldvraag vaak beperkt tot de actieve fouten, die vlak voor de gebeurtenis is of zijn gemaakt. Ook figuur 1 geeft aan, dat de grootste bedreiging niet het geïsoleerde menselijk handelen net NVVK Jubileumcongres april Sessie G Swuste 2 van 7

3 voorafgaande aan het ongeval of de ramp is (in de figuur weergegeven met verkeerde actie ), maar de opeenstapeling van latente condities binnen het bedrijf. Menselijke fouten worden daarmee niet zozeer als oorzaak maar veel eerder als consequentie gezien. Vlinderdas De vlinderdas is al meer een model en bestaat uit een combinatie van een foutenboom en een gebeurtenissen boom, gegroepeerd rond een centrale gebeurtenis (figuur 2). Dit model dankt zijn naam aan de presentatie en geeft het een nadere verfijning van oorzaken van ongevallen weer. Figuur 2 Vlinderdas model De centrale gebeurtenis staat in het model in het centrum en vertegenwoordigt verlies van beheersing ; de energie inhoud van het gevaar komt vrij. Verschillende scenario s kunnen leiden tot deze gebeurtenis. Een scenario beschrijft de factoren en omstandigheden die leiden tot de centrale gebeurtenis. Na de centrale gebeurtenis volgen de zogenaamde effectscenario s. Deze scenario s monden uit in verschillende vormen van schade en doorgaans voltrekken de effectscenario s zich binnen een zeer korte tijd, seconden of minder. In het model staan barrières, die verhinderen dat scenario s zich kunnen ontwikkelen. Deze barrières vormen het centrum van het managementsysteem, daar het managen van barrières de sleutel is voor het managen van veiligheid. De blokjes in de figuur 2 zijn de zogenaamde primaire barrières. Falende primaire barrières leiden tot de centrale gebeurtenis en kunnen bestaan uit falende hardware barrières of uit inadequaat menselijk handelen. Behalve de primaire barrières bestaan er ook de zogenaamde managementfactoren, die bij falen geen centrale gebeurtenis veroorzaken, maar de kwaliteit van de primaire barrières bepalen. Voorbeelden van managementfactoren zijn procedures, vakbekwaamheid van werknemers, training, inspectie en onderhoud en regels voor conflicten tussen veiligheid en andere bedrijfsdoelen. De managementfactoren maken een integrale beoordeling van management systemen mogelijk, inclusief de menselijke factor. Anders dan bij het rechtergedeelte van de NVVK Jubileumcongres april Sessie G Swuste 3 van 7

4 vlinderdas kan het lang duren voordat een gevaar zich manifesteert in een centrale gebeurtenis. De scenario s zijn een belangrijk onderdeel van het vlinderdasmodel. Deze scenario s kunnen leiden tot zowel ongevallen met geringe schade als ongevallen met majeure schade. Dit onderscheid is belangrijk. Doorgaans wordt aangenomen dat de gevolgen van scenario s voor een belangrijk deel door kans worden bepaald. Dat wil zeggen dat kleinere en grote ongevallen of rampen uit dezelfde scenario s kunnen voortkomen. De welbekende ongevallendriehoek van Heinrich is op deze aanname gebaseerd. Recente studies binnen veiligheidskunde laten een heel ander geluid horen. Verschillen in gevolgen van ongevallen kunnen begrepen worden uit een verschil in ongevalscenario s. De energie inhoud van het gevaar, die na een centrale gebeurtenis vrijkomt, bepaalt in hoge mate de gevolgen van een scenario. Deze constatering is zeer relevant voor de type maatregelen die genomen moeten worden. Als centrale gebeurtenissen van lichtere ongevallen niet bijdragen aan ernstige ongevallen, dan heeft het weinig zin om ernstige ongevallen te voorkomen door de kleinere ongevallen aan te pakken. In Nederland is het vlinderdas model recent gebruikt binnen het project Versterking Arbeidsveiligheid van het Ministerie van Sociale zaken en Werkgelegenheid, als onderdeel van WORM (Workplace Occupational Risk Model). Binnen dit project zijn ongevallen van de registratie van de Arbeidsinspectie geanalyseerd over een periode van 6 jaar. Ook zijn audit toepassingen op basis van dit model ontwikkeld. VERTICAAL VERPLAATSEN VAN LASTEN Centrale gebeurtenissen tijdens hijsactiviteiten Nader onderzoek van de centrale registratie van de Arbeidsinspectie heeft inzicht gegeven in de verschillende centrale gebeurtenissen die tijdens hijsactiviteiten voorkomen. Tabel 1 laat de dominante positie zien van last instabiliteit, danwel tijdens het aanhaken van de last, danwel tijdens het transport. Centrale gebeurtenis tijdens hijsactiviteiten (n = 174) % Instabiliteit lading 72 Contact met tegengewicht, of giek 11 Instabiliteit kraan 7 Instabiliteit hijsgereedschap 5 Instabiliteit giek 3 Rest 2 Tabel 1 Centrale gebeurtenissen hijsactiviteiten NVVK Jubileumcongres april Sessie G Swuste 4 van 7

5 Contact met contragewicht of giek zijn centrale gebeurtenissen die tijdens kraanactiviteiten, als mensen geraakt worden door deze bewegende delen van de kraan. De andere centrale gebeurtenissen, zoals instabiliteit van de kraan door een instabiele ondergrond, brekende hijskabel, of mechanisch falen van de giek gebeuren minder frequent door de technologische ontwikkeling van kranen. De falende barrières tijdens lastinstabiliteit zijn samengevat in tabel 2. In deze tabel is een onderscheid gemaakt tussen primaire barrières en management factoren. De primaire barrière faalt, als de last niet correct is aangehaakt, of beveiligd, Dat kan het gevolg zijn van brekende hijskettingen. Falende barrières, instabiliteit last Primaire barrières (hardware) Management factoren Incorrect aanhaken last, falende hijsgereedschap Falende lastbeveiliging, killer haken Falende lastbeveiliging, prioriteitstelling Falende lastbeveiliging, deskundigheid Locatie fout, communicatie Externe condities, prioriteitstelling (big blue) Tabel 2 Falende primaire barrières en management factoren bij instabiliteit last De zogenaamde killer haak is een haak zonder lastbeveiliging. Bij de managementfactoren komt de eerder genoemde prioriteitstelling naar voren, het aanhaken is onder tijds- en productiedruk te snel en onzorgvuldig gebeurd. Deskundigheid slaat op de gebrekkige deskundigheid van de werknemer, die de lading aanhaakt en onvoldoende primaire barrières kan installeren. Bij de locatie fout bevindt het slachtoffer zich binnen het kraanbereik en de communicatiefout verwijst naar een gebrekkige communicatie tussen kraanmachinist en werknemer. DISCUSSIE In de introductie staat de vraag centraal of een banding principe bruikbaar is binnen de arbeidsveiligheid. Voor een antwoord zal eerst worden teruggegaan naar de besproken ongevalsmodellen, die een aantal grootheden definiëren; gevaar, centrale gebeurtenis, gevolgen, scenario en barrières. Gevaar wordt wel omschreven als een intrinsieke eigenschap van een situatie, een activiteit, een proces, een stof of een installatie. Verschillen in gevaar worden doorgaans bepaald door NVVK Jubileumcongres april Sessie G Swuste 5 van 7

6 het energie niveau van het gevaar en door de blootstellingsfrequentie; hoe vaak het gevaar zich voordoet. Een centrale gebeurtenis staat gelijk aan de fase van verlies van beheersing, het is een ongewenste gebeurtenis, waarbij de energie van het gevaar ongecontroleerd vrijkomt. Een centrale gebeurtenis kan tot gevolgen, of schade leiden aan mensen, milieu, materiaal, materieel. Ook schade aan de bedrijfsreputatie kan hieronder vallen. Scenario s zijn van oudsher de ingrediënten van fouten- en gebeurtenissenboom analyses en geven een beschrijving van de gebeurtenissen of condities die, beginnend bij een afwijking van een beschouwde situatie, via een centrale gebeurtenis tot gevolgen of schade aanleiding geven. Een scenario heeft een bepaalde waarschijnlijkheid, waarmee aangegeven wordt hoe waarschijnlijk het is dat een scenario zich ontrolt. De omvang van de gevolgen, of een scenario slechts geringe schade geeft of dat er sprake is van een ramp met meerdere dodelijke ongevallen, wordt vooral bepaald door het energieniveau van het gevaar en daarmee de omvang van de centrale gebeurtenis. En algemeen wordt aangenomen dat ongevallen met geringe schade zich volgens andere typen scenario s voltrekken dan de majeure ongevallen. Barrières zijn de technische maatregelen en menselijke interventies, die de ontwikkeling van scenario s kunnen stoppen of beïnvloeden. Bij falen kunnen scenario s zich ontwikkelen. Bij barrières wordt een onderscheid gemaakt tussen primaire barrières, die bij falen centrale gebeurtenissen kunnen veroorzaken en managementfactoren, die de kwaliteit van de primaire barrières bepalen. Management factoren hebben een directe relatie met het veiligheidsmanagement systeem. De technische maatregelen kunnen passief zijn (wanddikte van een reactorvat), of actief, bijvoorbeeld automatische afsluiters. Voor de verschillende grootheden uit ongevalsmodellen bestaan reeds typeringen en classificeringen, die opgevat kunnen worden als een banding principe. Vergelijkbaar aan de R (risico) zinnen bestaan er ook er ook S (safety) zinnen. Aan de S zinnen zit echter een belangrijke beperking. Deze zinnen hebben slechts betrekking op gevaarlijke stoffen en geven een indicatie hoe veilig met deze stoffen om te gaan. Voor gevaarlijke stoffen is de S zin indeling bruikbaar als gevaarsindeling. Echter de bovengenoemde omschrijving van gevaar omvat veel meer dan alleen stoffen. Als gevaar opgevat wordt als energie, dan is een classificering bruikbaar die ook bij een zogenaamde Energie analyse wordt toegepast en onderscheid maakt tussen typen energie, zoals kinetisch, potentieel, rotatie, elektrisch etc. Verder bestaan binnen het veiligheidskundige vakgebied een aantal semi-kwantitatieve instrumenten om tot een risico bepaling te komen. Risico wordt daarbij opgevat als een rekengrootheid en in haar meest simpele vorm opgevat als een combinatie van een ongewenst (gezondheids)gevolgen en een waarschijnlijkheid van optreden van deze gevolgen. De waarschijnlijkheden en de effecten worden in een beperkt aantal groepen ingedeeld en voorzien van een waarde. Door de getallen eenvoudigweg te vermenigvuldigen ontstaat er een risico score, die gebruikt kan worden om risico s onderling te vergelijken. Omdat het schatten van waarschijnlijkheden ingewikkeld is zijn ook varianten aanwezig NVVK Jubileumcongres april Sessie G Swuste 6 van 7

7 waarbij de kansen worden opgesplitst. Eerst wordt een blootstellingsfrequentie geschat, de kans dat een gevaar zich voordoet, en vervolgens de waarschijnlijkheid dat een scenario een bepaald gevolg heeft. In variaties op deze instrumenten worden soms parameters toegevoegd die nauw samenhangen met het aspect kans. Voorbeelden zijn het aantal mensen dat is blootgesteld aan het risico en de mate waarin een risico kan worden beheerst of afgewend. De algemene term, waaronder deze instrumenten bekend staan, is Relative Ranking, ook wel Rapid Ranking genoemd. De risicoscore gebruikt geen typering van centrale gebeurtenissen of van scenario s, daar de berekening slechts betrekking heeft op één scenario. Een indeling in centrale gebeurtenissen en bijbehorende scenario s is gewenst omdat deze kunnen differentiëren in de type maatregelen of barrières. Voor centrale gebeurtenissen lijkt dat relatief eenvoudig. De informatie uit de ongevalsregistratie van de Arbeidsinspectie is hiervoor te gebruiken. Deze indeling in centrale gebeurtenissen zou bedrijfstakspecifiek gemaakt moeten worden, om recht te doen aan werkzaamheden en activiteiten die binnen de betreffende bedrijfstak. Voor een indeling in scenario s is gebruik te maken van de ontwerptechnische analyse en dan vooral het productieprincipe. Het principe geeft een omschrijving van het werktuigbouwkundige principe dat is toegepast, typeert de gebruikte energiebron en de type bediening. Met deze informatie zijn scenario s in te delen, die vergelijkbaar zijn met de indeling van de handelingen uit de Stoffenmanager. Een indeling van maatregelen of barrières levert nog de meeste problemen op, hoewel de primaire hardware barrières zich nog betrekkelijk eenvoudig in een vergelijkbare indeling laten plaatsten als het arbeidshygiënische triplet: emissie transmissie immissie. Dat ligt veel minder eenvoudig met managementfactoren of de latente condities. Nader onderzoek zal moeten uitwijzen hoe deze grootheden onderdeel kunnen worden van het instrument. CONCLUSIE Kwalitatieve of semi-kwantitatieve instrumenten voor risico bepaling bestaan al lang, maar een directe koppeling met maatregelen, zoals in het Control Banding instrument is betrekkelijk uniek en een zeer sterk punt van het instrument. Binnen de arbeidshygiëne vindt de beheersing van blootstelling pas plaats nadat de centrale gebeurtenis, de emissie van de gevaarlijke stof, heeft plaatsgevonden. Binnen de arbeidsveiligheid zijn barrières zowel voorafgaande als na de centrale gebeurtenis actief. Hierdoor hebben de barrières en dan vooral de managementfactoren een directe relatie met het veiligheidsmanagementsysteem en zijn deze factoren belangrijke parameters voor risicopreventie. Een kwalitatief of semi-kwantitatief instrument voor de arbeidsveiligheid, gebaseerd op banding principes lijkt in principe mogelijk, daar voor de meeste grootheden van ongevalsmodellen al classificeringen bestaan. Een nader punt van onderzoek is de incorporatie van management factoren in het instrument. NVVK Jubileumcongres april Sessie G Swuste 7 van 7