Het identificeren van scenario’s¶

De rol van scenario’s in Planop¶

Scenario’s worden in Planop gebruikt om risico’s te omschrijven en maatregelen te specificeren. Men kan een scenario zien als een eenheid van informatie over procesrisico’s. Hiermee bedoelen we dat in elk scenario een specifiek probleem wordt beschreven. De scope van een scenario is dus beperkt:

het kadert binnen één van de acht veiligheidsfuncties;
het is gekoppeld aan één welbepaalde sectie uit de Site Breakdownstructuur;
het beschrijft één specifiek probleem (voor de betrokken sectie en kaderend binnen de betrokken veiligheidsfunctie).

Deze beperkte scope maakt dat elk scenario relatief kort en eenvoudig kan zijn, terwijl het toch heel precies een welbepaald probleem beschrijft. Door de beperkte scope zijn de scenario’s gemakkelijker op te stellen en gemakkelijker leesbaar. Daartegenover staat dat voor het beschrijven van de risico’s van een procesinstallatie (en dus voor het documenteren van de beheersmaatregelen) doorgaans een groot aantal scenario’s nodig zijn. Dit grote aantal scenario’s wordt echter beheersbaar gehouden door de structuur waarin de scenario’s zijn opgenomen in Planop. Die structuur wordt in de eerste plaats gevormd door de Site Breakdownstructuur die opgebouwd is uit secties waaraan de scenario’s gekoppeld zijn. Binnen elke sectie zijn de scenario’s verder opgedeeld volgens de veiligheidsfuncties en binnen elke veiligheidsfunctie volgens categorieën die door de gebruiker zelf kunnen gedefinieerd worden. Elk scenario heeft tenslotte een naam waarmee het scenario in de overzichtslijsten verschijnt en die door de gebruiker vrij kan gekozen worden.

Activeer een veiligheidsfunctie¶

De meest aangewezen manier om scenario’s te identificeren, is door te werken per veiligheidsfunctie, d.w.z. om de aandacht tijdens een Planop-sessie te concentreren op één bepaalde veiligheidsfunctie. Dit heeft een aantal voordelen.

Ten eerste sluit deze werkwijze wellicht het beste aan bij de bestaande praktijk. In de inleiding hebben we uitgelegd dat bepaalde groepen van maatregelen het voorwerp uitmaken van aparte studies. De veiligheidsfuncties die gedefinieerd werden in Planop zijn niet meer dan een manier om structuur te brengen in deze diverse studies. De analyse van elke veiligheidsfunctie vergt ook een specifieke expertise en een specifieke aanpak. Zoals hierna wordt toegelicht, zijn de initiële oorzaken en de eindgebeurtenissen van de scenario’s specifiek voor elke veiligheidsfunctie. Werken in eenzelfde veiligheidsfunctie bevordert dus een meer consequente aanpak en voorkomt dat men voortdurend moet omschakelen tussen verschillende benaderingen.

Ten tweede zal het optimale niveau in de breakdownstructuur waaraan men scenario’s koppelt, in belangrijke mate bepaald worden door de veiligheidsfunctie. Het is dus efficiënter om voor een bepaalde veiligheidsfunctie de vraag te stellen: “Op welk niveau in de breakdownstructuur definieer ik mijn scenario’s?”, dan voor elke sectie alle veiligheidsfuncties te overlopen en telkens de vraag te stellen: “Is het zinvol om voor deze veiligheidsfunctie een scenario te definiëren?”

Daarom biedt Planop de mogelijkheid om een bepaalde veiligheidsfunctie te activeren. Dat kan door op de naam van de veiligheidsfunctie te klikken (weergegeven als groene knoppen rechts in het scherm). In onderstaand voorbeeld is de veiligheidsfunctie Degradatie van omhullingen beheersen geactiveerd. Dit zorgt ervoor dat in een aantal schermen automatisch deze veiligheidsfunctie geselecteerd wordt. Het blijft echter steeds mogelijk om deze selectie te veranderen (ook al is de veiligheidsfunctie actief).

Geactiveerde veiligheidsfunctie

Kies een sectie¶

De volgende stap is de keuze van de sectie waarvoor men de veiligheidsfunctie gaat analyseren. Hieronder geven we een aantal richtlijnen per veiligheidsfunctie.

De keuze van de sectie waaraan men scenario’s koppelt, is echter niet onherroepelijk. Men kan op eenvoudige wijze een scenario verplaatsen naar een andere sectie, ook wanneer deze sectie zich op een hoger of een lager niveau in de breakdownstructuur bevindt.

Als men twijfels heeft omtrent het niveau in de Site Breakdownstructuur waarop men een bepaalde veiligheidsfunctie het best onderzoekt, kan men steeds vertrekken van het laagste niveau. Als men dan een scenario (met bijhorende beveiligingslagen) definieert waarvan men meent dat het eigenlijk geldig is voor een volledige tak in de breakdownstructuur, dan kan men het scenario verplaatsen naar de sectie die deze tak omvat.

Het is in dit verband ook nuttig om te wijzen op de mogelijkheid om te werken met scopes. Scopes zijn willekeurige verzamelingen van secties. Een scope kan men gebruiken om een bepaald scenario te koppelen aan een groep van secties die niet samen onder eenzelfde tak in de Site Breakdownstructuur vallen. Stel bijvoorbeeld dat er op een site verschillende atmosferische opslagtanks voorkomen, die echter verspreid zijn over verschillende installaties en dus niet samen onder één sectie vallen in de breakdownstructuur. Men kan deze opslagtanks dan verzamelen in één scope “opslagtanks” en aan deze scope scenario’s koppelen die gemeenschappelijk zijn voor alle opslagtanks in de scope. Een alternatief is dat men aan elke opslagtank apart dit scenario koppelt.

Richtlijnen voor het kiezen van secties bij het onderzoek van een veiligheidsfunctie¶

Processtoringen beheersen¶

Kies secties die overeenkomen met individuele procesapparaten (of zelfs onderdelen van de procesapparaten), zoals men zou doen bij het uitvoeren van een HAZOP-studie.

Degradatie van omhullingen beheersen¶

Kies secties waarin min of meer uniforme degradatiefenomenen aan bod komen. Voor corrosie is dit sterk afhankelijk van de constructiematerialen en de aanwezige stoffen. De overgang van één constructiemateriaal naar een ander, is dus een logische grens tussen twee secties die apart bestudeerd worden in de veiligheidsfunctie Degradatie van omhullingen beheersen.

Wanneer men a priori moeilijk kan inschatten in welke sectie de degradatiefenomenen gelijkaardig zijn, kan men de analyse starten op hetzelfde niveau als voor het beheersen van storingen.

Stelt men na het onderzoek van een aantal secties vast dat de degradatiescenario’s (en bijhorende maatregelen) hetzelfde zijn, dan kan men overwegen om ze op een hoger niveau te plaatsen in de breakdownstructuur. Dit heeft als voordeel dat men niet dezelfde scenario’s moet herhalen. We herinneren eraan dat in een sectie alle scenario’s van bovenliggende secties ook worden weergegeven (zie Secties).

Sommige bedrijven werken met zogenaamde corrosieloops. Dergelijke loops kan men laten samenvallen met bepaalde secties, of men kan gebruik maken van scopes. In een scope met bijvoorbeeld als naam “corrosieloop XYZ” kan men alle secties aanduiden die deel uit maken van de corrosieloop.

Vrijgezette hoeveelheden beperken¶

Maatregelen voor het beperken van vrijzettingen worden meestal genomen voor de volgende types van procesapparaten:

tanks (zowel in een opslagzone als in een productiezone)
procestoestellen (torens, reactoren, …)
pompen en compressoren
warmtewisselaars
verlaadposten voor vrachtwagens, treinwagons of schepen.

De criteria om lekbeperkende maatregelen te nemen, houden in veel gevallen ook rekening met de aard van de gevaarlijke stoffen, evenals met de hoeveelheden en de condities van druk en temperatuur waarbij ze aanwezig zijn.

Het is bij de studie van deze veiligheidsfunctie dus belangrijk om een selectie te maken van die onderdelen die in aanmerking komen om lekbeperkende maatregelen te nemen. Wij raden aan om te starten onderaan in de breakdownstructuur. Overloop de onderdelen op het laagste niveau en stel de vraag: “Is het aangewezen of niet om lekbeperkende maatregelen te treffen?” Stel daarna de vraag op een hoger niveau in de breakdownstructuur. Misschien zijn er een aantal procesapparaten die ieder op zich niet voldoende gevarenpotentieel vertegenwoordigen om lekbeperkende maatregelen te verantwoorden maar die samen een groter geheel vormen waarvoor dergelijke maatregelen wel aangewezen zijn.

Verspreiding na vrijzetting beheersen¶

Maatregelen voor het beheersen van de verspreiding, zoals inkuipingen, opvangvloeren met een afvoersysteem, watergordijnen, worden meestal genomen voor verschillende procesapparaten in een bepaalde zone. In dat geval is het aangewezen om de verspreidingsscenario’s met bijhorende beveiligingslagen te koppelen aan de sectie in de breakdownstructuur die met deze zone overeenkomt.

In bepaalde gevallen worden maatregelen genomen om de verspreiding te beheersen voor een enkel apparaat, bijvoorbeeld een aparte inkuiping of lekbak onder een pomp, een opvangvloer onder een verlaadplaats, een gebouw rond een opslagtank (met een zeer toxische stof).

Ontstekingsbronnen vermijden¶

Maatregelen om ontsteking te vermijden kunnen zowel heel algemeen zijn (en dus van toepassing op een grote sectie of zelfs op een hele installatie), als zeer specifiek voor een bepaald toestel of een bepaalde taak.

Het gebruik van explosieveilig elektrisch materiaal, overeenkomstig de indeling in zones, is een voorbeeld van een algemene maatregel die doorgaans geldt voor een groot deel van de installatie of zelfs voor de installatie in haar geheel. Men kan het gebruik van explosieveilig materiaal in een Planop-studie invoeren als beveiligingslaag bij een scenario dat hoort bij een sectie die overeenkomt met dat deel van de installatie (of de site) waar explosieveilig elektrisch materiaal gebruikt wordt. Alle onderliggende secties “erven” dan dit scenario.

Maatregelen om vonken ten gevolge van elektrostatische oplading te voorkomen, zijn doorgaans dan weer zeer specifiek voor een bepaald apparaat of een bepaalde werkpost. Denk bijvoorbeeld aan maatregelen als:

het aarden van vrachtwagens bij de lossing;
het dragen van antistatische kledij (in combinatie met voldoende geleidende vloeren) bij de uitvoering van bepaalde taken (al kan dat natuurlijk ook een algemene maatregel zijn in een onderneming);
het aarden van vaten tijdens de vulling met ontvlambare stoffen.

Brandschade beperken¶

Deze veiligheidsfunctie is uiteraard alleen relevant voor secties die blootgesteld kunnen worden aan een externe brand.

Maatregelen ter bescherming tegen brand worden niet alleen genomen voor individuele procesapparaten (bv. opslagtanks), maar ook voor draagstructuren, kabelgoten of de werknemers (bv. dragen van brandbestendige kledij).

Als men alle apparaten in een draagstructuur verzamelt in één sectie in de breakdownstructuur, kan het volstaan om eenmaal, bij deze sectie, een scenario te definiëren waarin deze draagstructuur wordt blootgesteld aan een brand. Een alternatief is dat men voor elk procesapparaat een scenario definieert waarin de bijhorende draagstructuur wordt blootgesteld aan brand.

De sectie waaraan men een scenario over de blootstelling van een werknemer aan brand koppelt, is afhankelijk van het risico en van de maatregelen. Indien het risico op blootstelling gelijk is voor een bepaald deel van de site en als in dat deel bijvoorbeeld het dragen van brandbestendige kledij een algemeen voorschrift is, kan men een scenario over de blootstelling van werknemers aan brand koppelen aan een sectie in de breakdownstructuur die overeenkomt met deze zone.

Beschermen tegen explosies¶

Maatregelen voor de bescherming tegen explosies worden doorgaans genomen op het niveau van de gebouwen op de site. Voor het onderzoeken van deze veiligheidsfunctie is het dus nodig om de gebouwen ook op te nemen in de breakdownstructuur en er scenario’s aan te koppelen waarin ze worden blootgesteld aan een representatieve explosie.

Blootstelling na vrijzetting beperken¶

Maatregelen tegen blootstelling worden meestal genomen op het niveau van een individuele werknemer. Specifieke maatregelen zoals ademhalingsbescherming of zuurbestendige pakken worden voorgeschreven bij de uitvoering van bepaalde taken waarbij gevaarlijke stoffen kunnen vrijkomen. Deze scenario’s waarin de uitvoerder van bepaalde taken (bv. het laden en lossen van een vrachtwagen) specifieke bescherming moet dragen, worden logischerwijze gekoppeld aan de sectie waar die taken moeten uitgevoerd worden (bv. de betrokken verlaadpost).

Gebruik de suggestielijst¶

Voor elke veiligheidsfunctie zijn suggestielijsten voorzien. Deze suggestielijsten bevatten typescenario’s. Het is aanbevolen (zeker als beginnende Planop-gebruiker) om de suggestielijsten te gebruiken.

Selectie veiligheidsfunctie en scope

Selectie scenario’s uit suggestielijst

Het dialoogscherm laat toe de veiligheidsfunctie te selecteren waaraan men een scenario wenst toe te voegen. Daarna wordt de suggestielijst weergegeven voor de betrokken functie. Hierin zijn de namen van de typescenario’s opgenomen. Door te klikken op de namen worden meer details over het scenario opgeroepen, meer bepaald de oorzakenboom. Het gebruik van de suggestielijsten houdt in dat men de typescenario’s overloopt, desnoods consulteert, en dat men ze aanvinkt wanneer ze relevant worden geacht voor de sectie die onderzocht wordt. De geselecteerde typescenario’s kan men dan kopiëren naar de betrokken sectie.

De gekopieerde typescenario’s zijn uiteraard slechts een eerste aanzet in het opstellen van de scenario’s voor de betrokken sectie. De naam en de oorzakenboom zullen in bijna alle gevallen aangepast moeten worden (zowel de gebeurtenissen als de beveiligingslagen). In ieder geval moeten de concrete maatregelen gedefinieerd worden die invulling geven aan de beveiligingslagen. We herinneren eraan dat beveiligingslagen worden genoemd naar de functie die ze vervullen of de actie die wordt uitgevoerd. Functies en acties zijn abstracte begrippen. Om deze functies of acties te laten uitvoeren zijn concrete maatregelen nodig.

Om de oorzakenboom te wijzigen, zijn de volgende bewerkingen mogelijk:

het toevoegen van een nieuwe oorzaak bij een gebeurtenis uit de oorzakenboom (bij meerdere oorzaken worden ze automatisch via een OF-poort gecombineerd);
het wijzigen van de logica van poorten (een OF-poort veranderen in een EN-poort en omgekeerd);
het toevoegen van een nieuw gevolg bij een gebeurtenis;
het toevoegen van een nieuwe beveiligingslaag;
het hernoemen van gebeurtenissen en beveiligingslagen;
het verwijderen van gebeurtenissen en beveiligingslagen.

In de suggestielijst zijn de scenario’s ingedeeld volgens een categorie. Die categorieën worden bij het kopiëren van typescenario’s van de suggestielijst naar de Planop-studie overgenomen, maar kunnen eveneens veranderd worden. Het volstaat om in het tabblad Omschrijving in het veld Categorie een andere tekst te typen.

Bijkomende scenario’s definiëren¶

De suggestielijsten van scenario’s hebben niet de pretentie om volledig te zijn en om alle mogelijke (type)scenario’s te bevatten voor elke veiligheidsfunctie. Het is daarom belangrijk om zich de vraag te stellen of er nog extra scenario’s kunnen toegevoegd worden, bovenop de geselecteerde typescenario’s.

Een hulp hierbij vormen de categorieën van de scenario’s: men kan zich telkens de vraag stellen: zijn er nog scenario’s binnen deze categorie die zich kunnen voordoen?

Het is ook belangrijk om scenario’s toe te voegen die in andere studies werden geïdentificeerd, zoals in HAZOP-studies of bij de analyse van ongevallen en incidenten. De bedoeling is immers om in Planop een volledig overzicht aan te leggen van de risico’s en de maatregelen.

Indien een nieuw scenario wordt toegevoegd, moeten uiteraard alle informatievelden van het scenario zelf ingevuld worden.

Nieuw scenario

De velden Naam, Categorie en Omschrijving werden hierboven reeds behandeld.

Het onderste veld heeft in elke veiligheidsfunctie een andere naam en is de eindgebeurtenis van het scenario. Het is met andere woorden het eerste element van de oorzakenboom. Dit veld is enkel nodig als eerste aanzet van de oorzakenboom, nadien kan de eindgebeurtenis van de oorzakenboom nog gewijzigd worden. Men kan hiervoor de bewerkingen gebruiken die hierboven reeds opgesomd werden.

De keuze van de eindgebeurtenis en de initiële oorzaken in een scenario is afhankelijk van de veiligheidsfunctie. Het is de bedoeling dat het scenario de veiligheidsfunctie omsluit. De eindgebeurtenis is typisch datgene wat men via de veiligheidsfunctie wil vermijden. De initiële oorzaak is typisch een gebeurtenis die de veiligheidsfunctie aanspreekt. Het is aangewezen om de scenario’s kort en eenvoudig te houden. Onderstaande tabel geeft richtlijnen omtrent de eindgebeurtenissen en de initiële oorzaken voor de verschillende veiligheidsfuncties. We raden gebruikers ook aan om, vooraleer zelf nieuwe scenario’s in te voeren, voldoende voorbeelden van scenario’s te bekijken, in de suggestielijsten voor de verschillende veiligheidsfuncties of in voorbeelden die men vindt op de Planop-website.