Valkuilen bij procesveiligheid

Transcriptie

1 Het risico van LOPA en SIL Classificatie Valkuilen bij procesveiligheid NVVK Veiligheidscongres 2009 Chris Pietersen Safety Solutions Consultants BV

2 Chris Pietersen Directeur SSC (voorheen : TNO SSC) > TU Delft, Shell (Process Control) > 25 jaar in veiligheid, TNO senior Research Fellow > Ongevals analyse (incl. Bhopal, Mexico LPG) > Lid Adviesraad Gevaarlijke Stoffen (AGS) > HVK: Leider Module Industriële Veiligheid >SSC: Life Cycle Process Safety: Consultant for the Process Industry.

3 Proces Veiligheid Technisch: HAZOP, SIL, LOPA, QRA Organisatorisch Veiligheid Management, Leren van ongevallen Cultuur Safety Culture Maturity (SCM) Gedrag

4 Internationale SIL Standards: NEN- EN- IEC 61508/ Risk Based Approach - Evalueer het Risico van een (HAZOP) scenario - Bepaal de noodzakelijke Risico reductie (SIL) - Ontwerp of Verifieer het Risico beheers systeem - Implementeer in het Safety Management Systeem Safety Integrity Level (SIL)

5 Mogelijke valkuilen (1) De kwaliteit van de HAZOP studie Team samenstelling/ ervaring As built tekeningen Project budget/ planning De risico analyse competentie van het team Kans/ gevolgen bepaling (vrijkomen gevaarlijke stoffen) (On) afhankelijkheden in oorzaken en beheers maatregelen/ systemen

6 Mogelijke valkuilen (2) De SIL verificatie: Functionaliteits check (on) afhankelijkheden PFD berekeningen (Probability of Failure on Demand) Safety management van een SIL beveiliging Plan, Do, Check, Act benadering Procedures en Workinstructies

7 De noodzaak van een instrumentele (SIL) beveiliging Het risico van het overvullen van een tank Voorbeelden Buncefield explosie (UK): Overvullen van een opslagtank (December 2005) Texas City ramp: Overvullen van een destillatie kolom (Maart 2005) Mexico City LPG Ramp: Overvullen van een LPG opslag bol (November 1984)

8 Overvullen Tank 912 Buncefield Depot 11 December 2005 > Vullen (vanuit een pijpleiding) met motorfuel ( m3/hr) > Start vullen tank: hr, overvullen/vrijkomen: 5.20 hr > Explosie: hr > Automatische Overvul beveiliging faalde (levelswitch): IEC 61511: Reliability of (overfill) protection system (SIL) > Grootste probleem: Safety Management, geen risk based benadering toegepast.

9 Explosie Texas Raffinaderij, 23 Maart 2005 Langdurig overvullen van de raffinate splitter in de isomerisatie sectie tijdens startup (gesloten afvoer) Opening Relief valves naar de Blowdown drum en Loss of Containment (200 m3) via de ventstack op 36 meter hoogte. Explosie en brand, tijdelijke trailers: 15 doden/ >170 gewonden

10 Texas aspecten Inherente Veiligheid: vent naar atmosfeer Voorgestelde wijziging: niet geïmplementeerd Post disaster reaction industrie: SIL overvulbeveiliging! IEC 61508: altijd eerst inherente veiligheid beschouwen Veiligheid geregelde systeem (ontwerp); Dan pas risico reductie met SIL HAZOP van de start-up niet uitgevoerd Algemene praktijk; alleen voor het continue proces IEC 61508: A systematische Gevaarsidentificatie van de gehele bedrijfsvoering is noodzakelijk voordat SIL wordt toegepast.

11 Inherente Veiligheid, voorbeeld SIL Runaway reactie killing systeem Venting op een onveilige plek (dak)

12 Mexico City LPG depot 19 November 1984 Overvullen van een LPG bol

13 Gevolgen van overvullen 500 doden BLEVE fenomeen Geen HAZOP Geen MOC Geen overvul beveiliging

14 NEN- EN- IEC 61508/ SIL benadering Identificeer de gevaren HAZOP studie Evalueer de risico s van de gevaren : Risico matrix, Risico graaf, Layer Of Protection Analysis (LOPA) Bepaal de noodzaak voor risico reductie : Vergelijk met een risico acceptatie niveau: Hoe veilig is veilig genoeg? Bepaal het vereiste SIL van de SIS (Safety Instrumented System), bv overvulbeveiliging Verifieer of voldaan wordt aan de SIL eisen

15 Overvul voorbeeld HAZOP: overvullen kan leiden tot een explosie: 1 dode gas liquid from Unit 100 Separator V1 LT LC liquid from Recovery unit P-01 CV liquid

16 Risico reductie overvul scenario: Resultaat SIL 1 Gevolgen? Mensen Ontsnappen aanwezig? mogelijk? Team eisen Bedrijfs risico beleid Frequentie van optreden? W3 W2 W1 C1 a - - Start C2 F1 F2 P1 P2 P1 P2 1 a a 2 1 a C3 F F C4 na 4 3

17 Voorgestelde overvul beveiliging liquid from Unit 100 clos e XV-01 stop high level signal gas Separator V1 LT 1 LT 2 L C 2 Liquid from Recovery unit P-01 CV-02 4 verificatie eisen: liquid Functionaliteit Onafhankelijk van regeling Architectuur Faalkans (PFD)

18 Vaak uitsluitend Faalkans (PFD) bepaling SIL 1: PFD < 10-1 (PFD=Probability of Failure on Demand) I I PLC PFD SIS = PFD Sens + PFD Is + PFD PLC + PFD valve + PFD pump PFD ½ λ DU T λ = faalfrequentiei/hr T= test interval

19 PFD berekening Level transmitter λ DU = 6, / hsource: Sintef Isolator λ DU = 1, / hsource: Exida MCC relais λ DU = 2, / hsource: Sintef Solenoid valve λ DU = 9, / hsource: Sintef Valve+ actuator λ DU = 2, / hsource: Exida PLC PFD = 5, Source: TÜV Prooftest interval T 4 year Resultaat: PFD SIS = 7, PFD < 10-1; Conclusie: SIL 1 faalkans eis is OK Remarks: SIL verificatie beperkt tot rekenen! Faalkansen worden niet systematisch verzameld

20 LOPA aspect: IPL? Falen niveau regeling: Falen V7 PSV 1 Oorzaken: IC1: Falen niveau transmitter IC2: Opening van de handklep HV-1 HP Mogelijke Protection Layers, IPL s): V1 LC-1 Relief valve V7: PSV-7 60 barg PSV Laag niveau alarm van LC-1 7 Operator training/ procedure: actie na alarm Separator LCV-1 Condensate LC Vessel V7 10 barg HV-1

21 LOPA resultaat PSV: 0,01 Is de operator een IPL? IC1: falen van de LC regeling: Frequentie: 0,1 /yr? Frequency correction: - Presence of the risk(ptr): 1,0 - exposure (Pp): 0,5 - Ignition (Pi): 1,0 - Vulnerability human: 1,0 Total: 0,5* 10-3 /yr Falen V7 (LOC) PSV: 0,01 Operator: 0,1 Totaal: 1,3* 10-3 /yr IC2: Operator error: Frequentie: 0,8 /yr Frequency correction: - Presence of the risk(ptr): 1,0 - exposure (Pp): 1,0 - Ignition (Pi): 1,0 - Vulnerability human: 1,0 Total: 0,8* 10-3 /yr

22 SIL met LOPA LOC frequentie: 1,3 * 10-3 /yr Gevolgen : 5 doden Acceptatie criterium: 10-6 /yr Vereiste SIL: PFD SIS = 10-6 / 1,3 * 10-3 = 0,8* 10-3 (PFD SIS = 10-6 / 0,85 * 10-3 = 1,2* 10-3 with operator IPL) Resultaat: PFD < 10-3 SIL 3 (Resultaat: PFD < 10-2 SIL 2 met operator IPL) Operator is meestal geen beveiliging (IPL)!

23 Conclusies Het SIL concept (inclusief het gebruik van LOPA) wordt vaak onterecht beperkt tot SIL Classificatie and PFD berekening. Gevaar: De SIL/ LOPA benadering wordt een doel op zich. De volgende problemen zijn besproken: De tendens om te beveiligen (in plaats van inherent veiliger) De competentie van het HAZOP/ SIL/ LOPA team De onterechte afhankelijkheid van operators Te grote focus op berekeningen, de belangrijke zaken worden erdoor uit het oog verloren. Het gebrek aan implementatie van HAZOP/ SIL/ LOPA in het Safety Management Systeem. Het gevaar bestaat dat de veiligheidstandaards en risico analyse methoden contraproductief worden. De effectiviteit voor veiligheid dient voortdurend gemonitored te worden.