Het afval van allerlei raffinageprocessen belandt in een verzamelvat. Bovenop een waterige olie-emulsie drijft een laag met vluchtige koolwaterstoffen. Een stoomspiraal verwarmt langzaam de onderste laag. Na zo’n tien dagen zijn de dichtheid van de onderste laag en de stroperigheid ervan afgenomen. Gestimuleerd door de opstijgende dampbellen, mengen de lagen zich. De vluchtige bestanddelen kunnen nu ineens verdampen. Het is vrijwel windstil. De nevel verspreidt zich in de lucht buiten de tank en vindt een ontstekingsbron. Een geweldige explosie volgt, alsof er zo’n veertig ton trotyl ontploft. Op kilometers afstand sneuvelen de ramen. De typische krater ontbreekt echter.
Eind jaren zestig vond zo’n dampwolkexplosie plaats. De oorzaak was in nevelen gehuld. Vergelijkbare explosies in 1974 in Engeland en in 1975 bij DSM in Beek maakten duidelijk dat er sprake was van een nieuw fenomeen.
Kunstmest
In de jaren zestig nam het aantal ongelukken in de proceschemie toe. Bovendien groeide het inzicht dat veel onschuldig lijkende chemische stoffen gevaarlijk waren. Procesingenieurs hadden behoefte aan een systematische aanpak van het veiligheidsprobleem. Goede testmethoden waren nodig, ervaringen moest men vastleggen en installaties moesten technisch betrouwbaarder worden.
Er ontbrak veel kennis over de oorzaak van ontploffingen. Zeer lastig was dat sommige stoffen zich bij experimenten in een laboratorium onschuldiger gedragen dan wanneer er sprake is van grote hoeveelheden of grotere containers. Dat geldt voor de kunstmest ammoniumnitraat, maar ook voor sommige explosieve gas-lucht- of stof-luchtmengsels. Een stof is bijvoorbeeld veel gevaarlijker als een ‘explosieve’ verbranding plotseling overgaat in de veel heftigere detonatie. Bij een gaswolk leek dit lange tijd uitgesloten, want proeven op kleine schaal lieten dit nooit zien…
Dampwolkexplosie
Het onderzoek aan dampwolkexplosies ging in 1975 snel van start bij TNO en andere Europese instituten en in de Verenigde Staten. Onderzoekers staken in de woestijnen van Nevada en Californië grote ballonnen gevuld met brandbare gassen aan. Dat gaf prachtige vlammen, maar nooit een echte explosie of drukgolf. Nu, na bijna 25 jaar onderzoek, weten we wat er speelt, al is het nog steeds niet voor een bepaalde situatie simpel met redelijke nauwkeurigheid voorspelbaar.
Gaswolkexplosie
Het onderzoek aan dampwolkexplosies ging in 1975 snel van start bij TNO en andere Europese instituten en in de Verenigde Staten. Onderzoekers staken in de woestijnen van Nevada en Californië grote ballonnen gevuld met brandbare gassen aan. Dat gaf prachtige vlammen, maar nooit een echte explosie of drukgolf. Nu, na bijna 25 jaar onderzoek, weten we wat er speelt, al is het nog steeds niet voor een bepaalde situatie simpel met redelijke nauwkeurigheid voorspelbaar.
Gaswolkexplosie
Gasexplosies waren tot rond 1975 alleen bekend als een explosie van een brandbaar gas- en luchtmengsel in een gesloten ruimte. Methaan (aardgas) en LPG en benzinedamp zijn brandbaar als ze voldoende maar ook weer niet te veel lucht bevatten. Een vlam breidt zich vanuit een ontsteekpunt min of meer bolvormig uit. In een gesloten ruimte wordt de druk daarbij acht keer zo groot. Is de ruimte niet op zo’n druk berekend, dan barst deze met een klap uit elkaar. De explosie in zo’n ruimte is ‘opgesloten’. Is het gas daarentegen vrij, zoals bij benadering in een elastische ballon, dan zetten de hete verbrandingsproducten achter het vlamfront uit zonder dat de druk merkbaar oploopt.
Drukgolven
Hoe konden toch in de vrije ruimte drukgolven ontstaan? Het Prins Maurits Laboratorium van de onderzoeksorganisatie TNO lukte het in 1982 om in open terrein bij de ontbranding van propaandamp echte drukgolven te laten ontstaan, zij het nog zwak. De onderzoekers hadden op de Mosselbank aan de Westerschelde bij Terneuzen betonnen rioolbuizen geplaatst in het pad van de uitbreidende vlam. Deze obstakels veroorzaakten wervelingen in het gas dat de vlam, door de uitzettende, hete verbrandingsproducten, voor zich uitduwt. De wervelingen gaven een vlamversnelling, die weer leidde tot heftiger turbulenties. In een chemisch bedrijf met al zijn leidingen, vaten, tanks en muurtjes zijn genoeg obstakels aanwezig.
We kunnen nog onmogelijk met zekerheid voorspellen wat zal gebeuren als er in een bedrijf een grote hoeveelheid brandbaar gas, damp of nevel ontsnapt. Wel kunnen we inmiddels de grenzen veel beter aangeven en aanbevelingen doen hoe men bij een gasontsnapping drukopbouw kan vermijden.
Avonturieren
Veiligheid begint met je goed voor de geest te halen wat er mis kan gaan. We hebben veel geleerd van wat er in het verleden is misgegaan. Na het bekijken van de eigenschappen van de chemische stoffen, de reacties en de installatie, volgt de vraag: ‘hoe kan een ongeluk gebeuren?’
Risicoanalyse, zo luidde midden jaren zeventig het nieuwe toverwoord in de procesindustrie. Risicoanalyse moest explosies, branden en milieuverontreinigingen voorkomen. Loss Prevention en risicoanalyse ontstonden beide in de ingenieursgemeenschap. Waar het vakgebied Loss Prevention naar buiten toe nooit zo’n opgeld heeft gedaan, namen de buitenwereld en de politiek de risicoanalyse snel over. Risico’s analyseren is echter niet zo eenvoudig. Het is avonturieren in risicoland.
Restrisico
Risicoanalytische methoden zijn ontwikkeld voor de techniek van kernenergie en vliegtuigontwerp, en toegepast bij de Deltawerken en in de procesindustrie. In de deterministische benadering vergroot de ingenieur bij twijfel aan bijvoorbeeld de sterkte eenvoudigweg de veiligheidsmarge (bijvoorbeeld alles dubbeldik maken). Bij de probabilistische benadering bepaalt hij eerst de kans dat het verkeerd loopt en besluit vervolgens of een tegenmaatregel opweegt tegen de inspanning.
In de diverse ingenieurswetenschappen speelt langzamerhand de probabilistische aanpak een belangrijke rol. Dat voorkomt kostbare maar onnodige vaste veiligheidsmarges, al moet men dan wel een restrisico accepteren. Inmiddels is de methodiek zover ontwikkeld dat hij inzetbaar is als een praktisch gereedschap, ofschoon op de diverse aspecten nog veel te verbeteren blijft.
Kans
Voor de risicoanalyse is het meest wezenlijke het rekenen met kans maal gevolg – hoe vaak komt het voor maal hoe groot zijn de kosten daarvan. Je weet echter niet of een ongeluk vandaag zal gebeuren of pas over een eeuw, als de installatie allang is afgebroken. Als het gemiddelde eenmaal in de miljoen jaar is, dan is het over tien jaar nog steeds onwaarschijnlijk. Toch kan het elk ogenblik gebeuren.
Statistiek heeft waarde bij grote aantallen. Gaat het om het uitvallen van één enkel kritisch onderdeel (zoals een veiligheidsklep of gewoon een buisleiding) waarvan er veel in het bedrijf zijn, dan geeft de kansberekening de betrouwbaarheid van het geheel aan. Bovendien weet je dat een onderdeel dat het eens in de honderdduizend jaar begeeft, minder goed is dan een type dat eens in de miljoen jaar defect raakt.
Willekeur
Twintig jaar rekenen aan de potentiële gevolgen van lekkages en andere problemen in de chemische industrie heeft enorm veel kennis gegenereerd. Wat gebeurt er als een gas onder druk uit een reservoir spuit, vloeibaar gemaakt ammoniak vrijkomt, ijskoude vloeistoffen wegstromen of een benzinereservoir overstroomt? Hoe snel verspreiden de stoffen zich, hoe snel verdampen ze, hoe groot wordt de wolk, hoe snel trekt het weg, wat is de verspreiding in grond en water, kan de wolk in brand vliegen of exploderen, wat is de giftigheid? Inmiddels is een berg aan informatie over oorzaken en gevolgen verzameld in naslagwerken en computermodellen.
Helaas is vanuit de Europese Unie de stimulans voor het vakgebied in kracht afgenomen. Na de zoveelste grootschalige proef moet het blijkbaar maar bekend zijn. Als wetenschapper sta je eigenlijk pas aan het begin. Het soms nogal gestileerde en eenvoudige model kan immers nog uitgroeien tot de vele variaties en ogenschijnlijke willekeur van een reëel scenario.
Kansschattingen vormen het grootste struikelblok in de risicoanalyse voor een chemisch bedrijf. Op basis van een ruime ervaring kunnen we nog schatten hoe groot de kans is dat een pijpleiding of een tank openbarst. Een corrosieproces kunnen we dankzij moderne inspectiemethoden meten. Het bekijken van afsluiters, pompen en andere onderdelen op bezwijk- en defectkans, is al een stuk moeilijker. Wat de kwantitatieve risicoanalyse slecht toepasbaar maakt, is het onvoorspelbare menselijke gedrag. Iemand is afwezig, reageert te laat of weet niet of zij een schakelaar nu wel heeft omgezet.
Maandagmorgen
Daarnaast gaat het om de betekenis van de kansschattingen. Wat stelt zo’n gemiddelde faalkans voor? Is er een betrouwbaarheidsinterval vastgesteld en wat is de spreiding? Barsten al die leidingen na dezelfde tijd onder druk te hebben gestaan of doet de een het na twee jaar en de ander na honderd? Dan is er nog de mogelijkheid van vooroordelen; gebeuren ongelukken altijd op maandagmorgen, treden ze bij voorkeur in een nieuwe installatie op of juist in een heel oude? Lastige vragen, maar het onderzoek binnen Loss Prevention vordert.
Hoe veilig is veilig genoeg? In 1982 kondigde de Europese Unie de Seveso-richtlijn af. In Seveso, een dorp iets ten noorden van Milaan, trad zes jaar eerder in een reactor een wegloopreactie op. Er zijn duizendeneen mogelijkheden waarom zo’n reactie begint, variërend van een defecte of verstopte koeling tot een menselijke vergissing. Er barstte een breekplaat en een witte wolk ontsnapte. Daaruit zette zich een kleine hoeveelheid van een van de giftigste stoffen zich op de bodem af: TCDD (2,3,7,8-tetrachloor-dibenzo- p-dioxine), de veroorzaker van chlooracne. Dit ongeluk veroorzaakte veel consternatie. De nationale wetgevingen moesten gaan voldoen aan de Europese Seveso-richtlijn. Er volgde een ‘explosie’ van wetgeving op het gebied van veiligheid en milieu. Inmiddels is Seveso II uitgevaardigd.
Hazop
Er zijn diverse gereedschappen waarmee we in Loss Prevention een proces tegen het licht kunnen houden. Allereerst zijn er de ongevalsdatabanken, ofwel de verzamelde kennis van (bijna)-ongelukken en rampen in het verleden. HAZOP, hazard and operability study, is een storingsanalyse waarbij betrokken werknemers met een teamleider alle mogelijke problemen en gevolgen proberen te bedenken. Voor een snelle scan zijn er indexmethoden, zoals de Dow brand- en explosie-index of de chemische blootstellingsindex. Daarmee schatten we op basis van stofeigenschappen en omgevingsfactoren hoe gevaarlijk iets is.
In een gebeurtenisboom, met allerlei vervelende zaken aan de uiteinden van de takken, geven we de kansen op ongewenste gevolgen weer als er, bij de wortel van de boom, een klep hapert of een gevaarlijke vloeistof lekt. Bomen met neerhangende takken, de foutenbomen, laten bijvoorbeeld zien hoe de kans dat een reactor explodeert door een wegloopreactie, het product is van de faalkansen van diverse systemen en veiligheidsmechanismen.
Dankzij al die gereedschappen maken we tegenwoordig redelijk betrouwbare inschattingen en verkrijgen we een risicocijfer dat zeker op een vergelijkingsbasis bruikbaar is. We moeten echter op onze hoede blijven, of zoals Jean de la Fontaine, de fabeltjesdichter, schreef: “Het wantrouwen is de moeder der veiligheid.”
Bij de indeling van ongelukken in gevolgenklassen houdt men rekening met zowel de gevolgen voor mensen binnen en buiten het bedrijf, als met milieu en de financiële gevolgen.
Een risicomatrix helpt om na te gaan hoe men de veiligheid vergroot. Zowel beperken van de gevolgen als reduceren van de frequentie dragen bij aan een grotere veiligheid.
Zodra de risico’s bekend zijn, kan de ingenieur werken aan het beperken daarvan. Dit geldt voor nieuwe en voor bestaande processen. In een risicomatrix zetten we langs de ene as de grootte van de schade, bijvoorbeeld van een schade van tienduizend Euro naar honderdmiljoen. De andere as toont de kans van eens in de tien jaar naar eens in de miljoen jaar. In de schade verrrekenen we ook de gederfde inkomsten als gevolg van ongevallen. Storingen waarbij vanwege de veiligheid de installatie moet worden stilgelegd en kleinere ongevallen brengen ieder voor zich niet veel schade mee, maar cumulatief tellen deze in dit opzicht meestal zwaarder dan de schade van dat ene grote ongeval.
Risico’s in bedrijven moeten worden beheerst. Veiligheid, gezondheid en milieu staan op één lijn met rentabiliteit en kwaliteit. Dat moet het uitgangspunt van de bedrijfsleiding zijn. Dit betreft vanzelfsprekend allereerst de grote procesrisico’s vanwege hun potentieel vérstrekkende gevolgen. Procesveiligheid, persoonlijke veiligheid, ordelijkheid en milieubescherming móéten. Het is een kwestie van cultuur.
Beschermingslagen-ui
Een populair concept in de Loss Prevention is de beschermingslagen-ui. In het hart ervan zit de reactor of een andere gevarenbron. Daaromheen bevinden zich de ene na de andere laag aan actieve en passieve beschermingen. Voor iedere laag weten we hoeveel die het risico terugbrengt en hoeveel die kost. In een grafiek van risico tegen kosten volgt welke oplossingen kosteneffectief zijn en in welke situaties aanvaardbare risico’s ontstaan. Als deze benadering meer praktisch wordt gemaakt en de bijbehorende getallen gemakkelijker kunnen worden afgeleid, zal de methode veel breder kunnen worden ingezet.
Voor voldoende veiligheid is één beschermingslaag meestal onvoldoende; er zijn meer lagen nodig. Optimalisering- en beslissingsmatrices kunnen aangeven hoeveel lagen voldoende zijn. Doorgaans blijkt dat van niets naar een kleine maatregel veel helpt, van een kleine naar een middelgrote al minder en van middelgroot naar groot weinig meer bijdraagt. De wet van de verminderende meeropbrengst gaat hier op.
Twee nieuwe aandachtspunten bij het beperken van risico’s zijn veiligheidssystemen en onderhoud. Zodra er iets dreigt mis te lopen, leggen moderne automatische veiligheidssystemen installaties stil of brengen ze in een veilige toestand. Ze bestaan uit sensoren die bijvoorbeeld druk, temperatuur of niveau waarnemen, een microprocessor/computer en één of meer actuatoren, bijvoorbeeld een snelle schuifafsluiter.
Al is zo’n automatisch veiligheidssysteem doorgaans betrouwbaarder dan een mens, toch kan het falen. Daarom moeten dergelijke systemen voldoen aan strenge eisen. Bij de op een na hoogste risicoklasse – vereist als mensen kunnen verongelukken of enorme milieu- of gezondheidsgevaren optreden – mag een systeem dat slechts af en toe in actie hoeft te komen hooguit een op de duizend keer falen. Een systeem dat continu functioneert, mag het nog niet eens in de tien miljoen werkuren begeven. Voor het halen van de betrouwbaarheid kan desnoods het nodige in drievoud worden uitgevoerd.
Nieuw ontwerp
Ondanks alle vooruitgang is voor de ingenieur nog steeds de wet van Murphy van kracht: “Alles wat mis kan lopen, loopt een keer mis”. Met databanken en computersimulaties kunnen we tegenwoordig eerst van alles uitproberen en bekijken. Het adagium ‘Scheppend denken, schouwend doen’ is hierop volop van toepassing.
De conceptuele ontwerpmatrix is ruim gevuld met items waarop iedereen moet letten en waar een verbetering wenselijk is. Een aantal sleutelwoorden over inherent veiliger produceren: maak de processen intensiever, vervang stoffen, beperk effecten, en vooral: houdt vanaf het begin met de factor mens rekening! Naarmate een procesontwerp vordert, moeten de veilig-heids-, gezondheids- en milieuzorganalyses in meer detail worden verricht. De grote bedrijven brengen dergelijke review-procedures inmiddels reeds in praktijk. Computersimulatiemiddelen bieden daarbij uitkomst. Dit zal weer de behoefte aan onderliggende informatie over chemische en fysische parameters aanwakkeren.