ATEX & Process Safety congres 2017 Risicobepaling door LOPA 13 juni 2017 9-6-2017
Herman Jansen Process Safety Consultant Consiltant BV TÜV Certified Functional Safety Expert Facilitator HAZOP / SIL / LOPA studies Uitvoeren SIL verificaties Leiden van HAZOP / LOPA / SIL workshops Docent HKV PHOV Utrecht T 06 53 71 93 79 E jansen@consiltant.com 2003 2011: Process Safety Consultant (TNO) SSC 1983 2003: Instrumentation Engineer Lummus-Global 3
Programma 1. Procesveiligheidsprincipe 2. Layer Of Protection Analysis (afk. LOPA) methodiek 3. Voorbeeld 4. Samenvatting 4
Inleidend voorbeeld: Lossing van benzeen Volgens contract wordt iedere week bij een bedrijf een lading benzeen gelost in T-1. De chauffeur rijdt naar de losplaats, sluit de slang aan, opent de afsluiter en lost de benzeen. Na een overvul-incident wordt dit proces door het bedrijf geanalyseerd. De bevindingen worden opgeschreven. N1 N2 DN50 LI-1 Benzeen opslagtank T-1 TI-1 P-1 150 N3 5
Eén van de worksheets: Overvullen van T-1 Analyse lossen in T-1 Lossen van benzeen in de opslagtank AFWIJKING OORZAAK GEVOLG VOORZIENINGEN ACTIES 1 Overvullen van T-1. Productiestop in voorafgaande week waardoor geen benzeen werd afgenomen. Dat komt circa 2x per jaar voor Overvullen T-1. Benzeen stroomt via de losplaats in het riool. Gezondheidsproblemen Mogelijk brand en/of explosie LI-1; Chauffeur zal lossing stoppen als niveau hoog is. 1.Plaats tank en pomp in lekbak. 2.Breng hoog niveau beveiliging aan. 3.Lossen onder supervisie van field operator. Milieubelastend 4.Vervoerder afmelden als tank nog vol is. 6
Inleidend voorbeeld: Lossing van benzeen Door de bewustwording van de potentiële gevaren en de pragmatisch bepaalde maatregelen neemt de veiligheid toe! LS-2 DN50 DN50 N1 N4 N2 LI-1 Benzeen opslagtank T-1 TI-1 P-1 XV-100 150 N3 Aardsysteem 7
Gevarenidentificatie HAZOP Methodiek opgezet in 1974 door Bert Lawley van ICI. Wordt in de industrie op grote schaal toegepast (o.a. bij de BRZO bedrijven). 8
HAZOP worksheet HAZOP studie lossing tolueen Node: Opslagtank T-1 AFWIJKING OORZAAK GEVOLG VOORZIENINGEN ACTIES 1 Niveau Logistieke Meer fout Overvullen van nog gevulde opslagtank. Vrijkomen benzeen. Veiligheidsissue. Milieu issue LI-1. Chauffeur zal lossing stoppen als niveau hoog is. Onafhankelijke overvulbeveiliging implementeren. Enkele andere belangrijke afwijkingen; Blootstelling Meer Passende PBM s en dampretourleiding Druk Meer Explosie door statische oplading vonk Compositie - Anders dan Een andere stof wordt gelost. Stroming - Omgekeerd Niet nageblazen voor ontkoppelen. 9
Wie doet de analyse en hoe gaat dat? Maintenance engineer Operator Voorzitter/ notulist Veiligheidsk undige Proces technoloog Instr. engineer Chauffeur Vervoerder Valk uil: Onvoldoende deskundigheid tijdens brainstormsessie(s) 10
HAZOP/LOPA brainstormproces Fatsoensregels in acht nemen. Er dient vrijheid van denken te zijn. Methodiek volgen, maar onderbuikgevoelens nooit negeren. Near-misses meenemen in de analyse. Er moet gediscussieerd worden. Regelmatig pauzeren (iedere 1½ a 2 uur). 11
Principe Procesveiligheid Inventarisatie: Zijn er gevaren / ongewenste situaties? Bij gevaar/ongewenste situatie: Wat is het risico? Indien nodig: Risicoreductie En: Verificaties & validatie risico reducerende maatregelen Borging in een management systeem (bv. VBS) 12
Ontwerp tekeningen P&ID s Procesveiligheid methodiek Ontwerpen van beveiliging Bv. SIL 1 Wat kan er misgaan? Hoe erg is het? Gevaarsidentificatie bv. met HAZOP studie LOC scenario s Risicobepaling bv. met LOPA Bv. RR=10 is nodig SIL verificatie Bouw en Validatie P&ID = Piping and Instrumentation Diagram LOC = Loss Of Containment LOPA = Layer Of Protection Analysis SIL = Safety Integrity Level 13
Waarborging procesveiligheid 14
Wat is risico? Waarvan moet het risico bepaald worden? Risico is de combinatie van Ernst van de gevolgen en de Waarschijnlijkheid van voorkomen Met name de Loss of Containment scenario's (stoffen komen uit de installatie, bv. stoom, gas, methanol, door explosie, drukopbouw, overvulling, erosie). Eventueel Eventueel 15
Risicobepaling t.b.v. Risicobeheersing Beveiligd kan worden door; 1.Inherent te beveiligen of Operator Beveiligingen Inst./ mech. Regelsysteem Proces installatie 2.Mechanisch (breekplaat, veerveiligheid) of instrumenteel beveiligen of 3. Interlock in regelsysteem 4. Procedurele beveiliging, bv. operator reageert op een alarm. 16
Risicobeheersing Er is geen verplichte methodiek. Er is (nog) geen verplichte normstelling. 10-1 10-2 10-3 10-4 10-5 10-6 per jaar I n c i d e n t f r e q u e n t i e 17
Risicomatrix 1 1x per y 10-1 /y 10-2 /y 10-3 /y 10-4 /y Onacceptabel risico 18
Risicomatrices 2 en 3 As Low As ALARP Reasonably Practicable Het ALARP principe is prima. Echter in de praktijk pakt het wel eens anders uit 19
Risicograaf Eens per 1 a 10 jaar LZ C1 (licht gewond) P1(kan ontsnappen) F1 P2 (niet ontsnapp.) C2 (zwaar gewond) P1 F2 P2 F1 (< 3 uur/dag aanwezig) C3 (2-5 doden) F2 ( > 3 uur/dag aanwezig) C4 > 5 doden W3 W2 W1 a - - 1 a - 2 1 a 2 1 a 3 2 1 3 2 1 4 3 2 na 4 3 SIL risico niveau s SIL = Safety Integrity Level 20
Wat is SIL? SIL (Safety Integrity Level-1/2/3/4) geeft de (gewenste) betrouwbaarheid weer van instrumentele beveiligingen 10.000 1.000 Risico Reductie factor 100 10 1 SIL a SIL 1 SIL 2 SIL 3 SIL 4 ALARP Veiligheidskritisch! ALARP = As Low As Reasonably Practicable SIL = Safety Integrity Level 21
SIL normen Nucleaire sector IEC 61513 Machine sector IEC 62061 ISO 13849 IEC 61508 2 e edition IEC 61511 2 e edition Uitgave 2016 Uitgave juni 2010 EN 50129 Spoorwegen ISO 26262 Auto industrie IEC 50156 Branders Procesindustrie 22
Ontwikkeling procesveiligheid 23
LOPA Center for Chemical Process Safety (USA) ISBN 0-8169- 0811-7 24
LOPA Layer of Protection Analysis LOPA: 1. Model opstellen 2. Kwantificeren 25
IC Initiating Events Basic Process Control System instr. loop failure 10 1 /y Regulator failure 10 1 /y Pump seal failure 10 1 /y Cooling water failure 10 1 /y Piping leak (10% section) 100 m 10 3 /y Gasket/packing blowout 10 2 /y Safety valve opens spuriously 10 2 /y Crane load drop 10 4 /lift Lightning strike 10 3 /y Large external fire (aggregate causes) 10 2 /y Operator failure (routine procedure) 10 2 / opport. 26
IC PFD & risicoreductie Reële LOD 0<PFD<1 LOD is 100% perfect PFD=0 Als de Layer Of Protection van de 10x, het potentiële gevaar 9x voorkomt, en 1x niet dan; -Is de faalkans (Probability of Failure on Demand)=10% -Ofwel de risicoreductie RR= 10 PFD = 0,1 LOD is niet van toepassing PFD=1 27
Layers Of Protection PFD RR Dijk Voorkomt spill 0.01 1 10 2 Blast-wall Reduceert gevolgen explosie 0.001 1 10 3 Flame Arrestor Voorkomt vlam-terugslag 0.01 1 10 2 28
Layers Of Protection PFD RR Veerveiligheid Laat druk af 0.01 100 Breekplaat Laat druk af 0.01 100 Terugslagklep Voorkomt terugstromen 0.1 10 Procesregelsysteem Interlock 0.1 10 SIL 1 beveiliging Instrumentele beveiliging <0.1 >10 SIL 2 beveiliging Instrumentele beveiliging <0.01 >100 SIL 3 beveiliging Instrumentele beveiliging <0.001 >1000 SIL 4 beveiliging Instrumentele beveiliging <10-4 >10 4 29
Layer Of Protection PFD RR Menselijk ingrijpen Simpele actie waarbij de mens voldoende tijd heeft voor correctieve actie 0.1 10 30
Conditional Modifiers 1. Time at risk Pt= Gevaar is niet altijd aanwezig. 2. Aanwezigheid mensen Pp= Waarschijnlijkheid dat mensen aanwezig zijn in effect gebied 3. Ontstekingswaarschijnlijkheid Pi=1,0: Ontsteking is waarschijnlijk Pi=0,1: Ontsteking is niet waarschijnlijk (bv. mede door ATEX) Pi=0,01: Ontsteking is onwaarschijnlijk 4. Kwetsbaarheid Pv= Waarschijnlijkheid dat de geselecteerde ernst zal optreden 31
LOPA Formule IE [PFD a PFD b Pt Pp Pi Pv] < RTC Risico reductie door Independent protection layers Risk Tolerance Criterion Max. incident frequentie, door bedrijf te bepalen. Waarschijnlijkheid van voorkomen van het Initiating Event Conditional Modifiers Pt = Time at risk Pp = People present Pi = Ignition probability Pv = Vulnerability 32
LOPA van het voorbeeld DN50 LS-2 DN50 N1 N4 N2 LI-1 Benzeen opslagtank T-1 TI-1 P-1 XV-100 150 Aardsysteem Is de LS-2 overvulbeveiliging wel echt nodig en als dat zo is, hoe betrouwbaar moet deze dan zijn? N3 33
LOPA van het voorbeeld Stofeigenschappen benzeen C 6 H 6, kleurloze vloeistof met typerende geur, kookpunt: 80 C, smeltpunt: 6 C, Brand/explosiegevaar Vlampunt: -11 C Minimum ontstekingsenergie: 0.2 mj Zeer brandgevaarlijk, damp met lucht explosief. Kans op ontsteking op afstand. Relatieve dichtheid van verzadigd damp/luchtmengsel (lucht = 1): 1.2 Elektrostatische oplading door stromen, roeren en verpompen. Blootstelling: Een voor de gezondheid gevaarlijke concentratie in de lucht kan door verdamping van deze stof bij ca. 20 C vrij snel worden bereikt. De stof kan worden opgenomen in het lichaam door inademing van de damp en via de huid. Kankerverwekkend. Kan schade toebrengen aan de erfelijke eigenschappen Inademen: Hoofdpijn, duizeligheid, misselijkheid, toevallen, bewusteloosheid. Huid: Roodheid kan leiden tot eczeem Milieu: Schadelijk voor het watermilieu met langdurige gevolgen. 34
LOPA m.b.t. risicomatrix van het bedrijf Onacceptabel risico 35
Voorbeeld Analyse lossen in T-1 Lossen van benzeen in de opslagtank AFWIJKING OORZAAK GEVOLG VOORZIENINGEN ACTIES 1 Niveau Productiestop in LI-1; Chauffeur zal 1.Plaats tank en voorafgaande lossing stoppen als pomp in lekbak. Meer week. niveau hoog is. Eens per half jaar. Overvullen T-1. benzeen stroomt via de losplaats in het riool. Gezondheidsproblemen Ernst 3 Mogelijk brand en/of explosie Ernst 4. Milieubelastend Risico reductie=1 omdat LI-1 nooit gecontroleerd wordt en niet zeker is of chauffeur niveau in de gaten houdt. 2.Breng hoog niveau beveiliging aan. 3.Lossen onder supervisie van field operator. 4.Vervoerder afmelden als tank nog vol is. 36
Voorbeeld 37
Voorbeeld 38
LOPA van het voorbeeld LS-2 Fieldoperator LS-2 Ontstekingskans Fieldoperator De LS-2 beveiliging moet voldoen aan de eisen van SIL 1 met een RR>20. 39
Layers Of Protection Andere benamingen: barrières, Level Of Defence, Independed Protection Layer Effectief Als de betreffende Layer Of Protection functioneert, treedt het ongewenste effect niet op Onafhankelijk De Layer Of Protection is onafhankelijk van de Initiating Cause en overige Layers Of Protection Aantoonbare risicoreductie Periodiek zal geconfirmeerd moeten worden dat de Layer Of Protection effectief is bv. door periodieke tests 40
Procesregelsysteem en interlocks The BPCS is a relatively weak independent protection layer, as there is usually; - Little redundancy in the components, - Limited built-in testing capability, and - Limited security against unauthorized changes to the internal program logic. The limited security arrangements are particularly important when considering the effectiveness of the BPCS as an IPL. Human error (in modifying logic, bypassing alarms and interlocks, etc.) can significantly degrade the anticipated performance of BPCS systems. 41
Procesregelsysteem Approach A LOP is onafhankelijk van initiating event en andere LOP s. Dus als Initiating event falen regeling is waarbij BPCS deel van uitmaakt van de regeling, dan kan BPCS geen IPL meer zijn Deze approach is duidelijk en sluit volgens de CCPS aan bij de werkelijkheid; Deze heeft de voorkeur boven Approach B Approach B Twee LOP s mogelijk in het BPCS. Sensoren/final elements niet aansluiten op dezelfde in/uitgangskaarten, modulaire opbouw BPCS, competente programmeur(s) en toegangsautorisatie 42
Voorbeelden van niet-lop s Training en certificering Speelt mogelijk rol bij risicoreductie door Operator. Procedures Tests en inspectie Onderhoud Communicatie Tekens (signs) Spelen mogelijk rol bij risicoreductie door Operator. Is relevant onderdeel van risicoreductie van LOP s. Beïnvloedt risicoreductie van LOP s. Is onderdeel van sommige LOP s. Beïnvloedt mogelijk risicoreductie van LOP s. Info beschikbaar en begrepen Is basis eis bij procesveiligheid. 43
Samenvatting LOPA is een uitstekende methode om risico s te beheersen. Uit te voeren door een multidisciplinair team van specialisten. LOPA is simplified : voorkeur voor machten van 10. Iedere risicoreductie van 10 of meer moet effectief, onafhankelijk en aantoonbaar zijn (bv. periodiek testen). Voorzichtig zijn toekennen van risicoreductie aan de mens. Maximaal 1x het regelsysteem (met RR=10) erbij betrekken. 44
HAZOP/LOPA/SIL trainingen HAZOP studie 14 juni 2017 en 2 oktober 2017 LOPA en SIL classificatie 15 juni 2017 en 3 oktober 2017 Initiating event Oorzaak van incident Bv. eens per jaar Instrumentele beveiliging Bv. risicoreductie: 10 Veerveiligheid Bv. risicoreductie: 100 Aanwezigheid mensen Bv. risicoreductie: 10 Onafhankelijke Layers Of Protection Conditional Modifiers Incident Gevolg: mogelijk dode beveiliging Incident frequentie: Eens per 10.000 jaar, dit moet lager zijn dan wat vereist is. SIL verificatie en SIF validatie 16 juni 2017 en 4 oktober 2017 I: I: 24V 24V Safety PLC DI DO module module Dank voor uw aandacht! 45