BilagA (pdf, nyt vindue) - borger.dk

frinet.dk
  • No tags were found...

BilagA (pdf, nyt vindue) - borger.dk

Bilag AA Katalog oversikkerhedsforanstaltningerA KATALOG OVER SIKKERHEDSFORANSTALTNINGER 1FORMÅL 3A.1 ORGANISATORISKE SIKKERHEDSFORANSTALTNINGER 3A.1.1 Arbejdsinstrukser til drift 4A.1.2 Inspektion og test af sikkerhedskomponenter 4A.1.3 Systematisk forebyggende vedligehold 4A.1.4 Inspektion inden opstart 5A.1.5 Arbejde på installationen gennemføres af kompetente personer 5A.1.6 Uddannelse af personale 5A.1.7 Instruktion af chauffører og fremmede håndværkere 5A.1.8 Arbejdstilladelser 6A.1.9 Frekvent (daglig) inspektion af rør og installation 6A.1.10 Døgnbemandet central alarm panel 7A.1.11 Indendørs placering af ammoniak beholdere 7A.1.12 Styring af ergonomi og menneske/maskine interface 8A.1.13 Styring af design og ændringer 8A.1.14 Logbog 9A.1.15 Dokumentation 9A.1.16 Beredskabsplan 10A.1.17 Trykprøvning af slanger til ammoniak 10A.1.18 Foreskrevne køreveje 11A.1.19 Håndtering af farlige stoffer (ADR) 11A.2 FOREBYGGENDE BARRIERER 12A.2.1 Påkørselssikring 13A.2.2 Uafhængig frostsikring i kondensator 13A.2.3 Uafhængig frostsikring i varmevekslere (isvandsanlæg,sekundær/indirekte system med glycol-vand eller saltvand) 14A.2.4 Brandmelder og brandbekæmpelse af begyndende brand 15A.2.5 Brandbeskyttelse af rum med ammoniakinstallationer 15A.2.6 Lynafledere 15A.2.7 Afskærmning mod sollys 16A.2.8 Hegn og adgangskontrol 16A.2.9 Overvågning af området og runderinger 17A.2.10 Aflåste rum og aflåst kontrolsystem 17A.2.11 Blokering af tankbil ved hjælp af klodser 18A.2.12 Startspærre på tankbil 18A.2.13 Break-away kobling 19A.2.14 Selvlukkende ventiler ved olieaftapning m.fl. 19A.2.15 Højniveauswitch på beholdere 20A.2.16 Kompressorsikring mod højt afgangstryk og -temperatur 21A.2.17 Højtryksalarm og -nedlukning 22A.2.18 Trykaflastningsventil (evt. overløbsventil) 231


A.3 BEGRÆNSENDE BARRIERER 23A.3.1 Rørbrudsventil på tankbil (excess flow valve) 24A.3.2 Énvejsventil på påfyldningsstuds 25A.3.3 Nødstop 26A.3.4 Koncentrationsdetektering i lukkede rum (høj niveau) 27A.3.5 Rørbrudsdetektering ved hjælp af lavtryksdetektering 28A.3.6 Énvejsventil 29A.3.7 Automatiske afspærringsventiler 29A.3.8 Rørbrudsventiler (Excess flow valves) installeret på beholdere,kompressorer og pumper 30A.3.9 Rørbrudsflanger (flow restrictor) installeret på beholdere,kompressorer og pumper 31A.3.10 Spildbakke under beholdere 31A.3.11 Afdækning af ammoniakpøl 32A.3.12 Vandgardiner 33A.3.13 Koncentrationsdetektering i sekundært kredsløb 34REFERENCER 342


FormålFormålet med dette katalog er at byde på et overblik over mulige organisatoriskeog tekniske (forebyggende og begrænsende) sikkerhedsforanstaltninger.Mange af disse vil være normal praksis i virksomheden – kataloget giver mulighedfor både at identificere tilstedeværende sikkerhedsforanstaltninger (for at de kanopføres som sådan i sikkerhedsdokumentet) og forslag til ekstrasikkerhedsforanstaltninger.En del af sikkerhedsforanstaltninger kan betragtes som ”god praksis” og er nævntog beskrevet i standarder som NEN378. Hvis der er kendskab til en reference istandarder er disse nævnt, og i disse tilfælde vil beskrivelsen, specifikationer ogkrav i standarder (især NEN378) eller andre dokumenter (PGS13) i almindelighedvære mere detaljeret end i dette katalog.Der hvor kataloget refererer standarder eller andre dokumenter, vil dissestandarder eller dokumenter (især EN378 og ofte definere nærmere og meredetaljerede krav til barrieren end nævnt i nedenstående beskrivelser.Hvis der ved en sikkerhedsforanstaltning er henvist til en standard eller lovkravmå dette opfattes som at den pågældende foranstaltning repræsenterer almindeliggod praksis.A.1 Organisatoriske sikkerhedsforanstaltningerOrganisatoriske sikkerhedsforanstaltninger består af organisatoriske tiltag i formaf rutiner, procedurer, instrukser og planlagte aktiviteter med henblik på at sikre atinstallationens tekniske tilstand holdes ved lige og at der undgås fejl ved betjeningeller reparation.Mange af de nævnte organisatoriske tiltag vil være implementeret i de flestevirksomheder.3


BetegnelseA.1.1 Arbejdsinstrukser til driftSikkerhedsforanstaltningensfunktionArbejdsinstrukserne skal indeholde instrukser ellerinformation vedr.:- Årsager til almindelige fejl og afhjælpendeforanstaltninger;- Forholdsregler for at forhindre frysning af vand isystemkomponenter;- Forholdsregler ved løft og transport af dele afinstallationen;- Ammoniak som arbejdsmedium;- Nødstopprocedurer;- Det maksimalt tilladte tryk;- Antændelighed og toksicitetsdata for ammoniak;- Henvisning til beredskabsplan, herunderbeskyttelsesforanstaltninger, førstehjælp og procedurer fornødsituationer, såsom lækager, ild, eksplosion;- Procedurer ved gasalarm;- Udnævnelsen af kompetente personer ansvarlig for drift oghåndtering af nødsituationer;Fejlmuligheder o Arbejdsinstruktioner er ikke fuldstændigeo Personalet er ufuldstændig instrueret i brug afarbejdsinstruktionerneBaggrund/reference PGS13Effektivitet Denne foranstaltning forventes at være implementeretBetegnelseA.1.2 Inspektion og test afsikkerhedskomponenterSikkerhedsforanstaltningensfunktionUdstyr som ikke anvendes rutinemæssigt under normal driftskal testes for korrekt virkning med jævne mellemrum,typisk på 6 til 12 måneder. Når der er konstateret fejl, skalfejlen rettes hurtigst muligtFejlmuligheder o Inspektionsinterval overskredeto Ingen opfølgende korrigerende vedligeholdBaggrund/reference Lovpligtigt eftersyn af trykbærende udstyr (BEK 100)EN 378-4Effektivitet Inspektionsinterval står i direkte relation medfejlsandsynlighed ved tilkald af sikkerhedsfunktionen. Detforventes at foranstaltningen er implementeretBetegnelseA.1.3 Systematisk forebyggende vedligeholdSikkerhedsforanstaltningensfunktionFor at opretholde systemets integritet skal det foretagesforebyggende vedligehold efter installatørens/leverandørensanvisninger.Fejlmuligheder o Der er ikke en plan for forebyggende vedligeholdo Planen for forebyggende vedligehold følges ikkeBaggrund/reference EN 378-4 afsnit 5.1Effektivitet Denne foranstaltning forventes at være implementeret4


BetegnelseA.1.4 Inspektion inden opstartSikkerhedsforanstaltningensfunktionOpstartsinspektion skal sikre at installationen, ændringer ogreparationer er korrekt gennemført, og at installationen er ioverensstemmelse med dokumentationen. Tests skal sikre atkomponenter og forbindelser mellem komponenter er tætteog har den fornødne styrke.Fejlmuligheder o Ingen forskrift for opstartinspektiono Inspektion gennemføres ikke/ikke tilstrækkeligtBaggrund/reference EN 378-2 afsnit 6.3 beskriver test ved opstart afinstallationen. Fokus er på første gangs opstart, men detanbefales at gennemføre de beskreven tests og inspektionerogså efter reparationer, udskiftninger eller ved ændringer idertil passende omfangEffektivitetDenne foranstaltning forventes at være implementeretBetegnelseA.1.5 Arbejde på installationen gennemføres afkompetente personerSikkerhedsforanstaltningensfunktionDet skal sikres at ændringer og reparationer af installationengennemføres korrekte og i overensstemmelse med gældende(lov)krav og standarder.Dertil tillades kun autoriserede installatører til at udførearbejde på installationer, som ændringer og reparationer,som kræver ”åbning” af installationenFejlmuligheder o Ikke autoriserede personer foretager reparationer afinstallationenBaggrund/reference BEK 100, EN 378, PGS 13Effektivitet Denne foranstaltning forventes at være implementeretBetegnelseA.1.6 Uddannelse af personaleSikkerhedsforanstaltningensfunktionDet skal sikres, at personalet som er ansvarlig for dagligdrift, overvågning og inspektion, har den fornødnekompetencerNyt personale skal have den fornødne grunduddannelse.Nyt personale skal instrueres sikker håndtering afinstallationen, både for normal drift og i afvigende(nød)situationerNyt personale skal instrueres i et grundlæggende kendskabtil og brug af installationens dokumentationDet skal sikres at kompetencen af det eksisterende personalevedligeholdes og opdateres.Fejlmuligheder o Utilstrækkelig systematisk instruks af personaleo Manglende grunduddannelseBaggrund/reference EN 378-4 afsnit 4.1.1, PGS 13Effektivitet Denne foranstaltning forventes at være implementeretBetegnelseA.1.7 Instruktion af chauffører og fremmedehåndværkere5


SikkerhedsforanstaltningensfunktionDet skal sikres, at andet personale på virksomhedeninstrueres for at forebygge fejl eller skade påkøleinstallationen. Det vedrører som minimum:o instruks i trafikveje og –regler (som maksimalhastighed og parkering)o regler om arbejdstilladelser, brug af værktøj (løft,hejs)o adgang til og adfærd i rum/steder hvor der erinstalleret køleudstyro nødplanenFejlmuligheder o Fremmed personale utilstrækkeligt informeret og erikke opmærksom på særlige farer vedammoniakanlægBaggrund/reference -Effektivitet Denne foranstaltning forventes at være implementeretBetegnelseA.1.8 ArbejdstilladelserSikkerhedsforanstaltningensfunktionEt arbejdstilladelsessystem sikrer, at der foretages denødvendige aktioner i korrekte rækkefølge for at sikre, atarbejdet kan gennemføres sikkert, inklusive kontrolpunkteraf supervisor eller lignende.Det indeholder som minimum aktiviteten nævnt i EN 378-4afsnit 5.3.1 and E.3Disse tilladelser gælder alle personer på virksomhedensområde.Fejlmuligheder o Arbejde foretages uden formel arbejdstilladelseoArbejdstilladelse afgives uden kritisk gennemgangaf arbejdet og sikkerhedBaggrund/reference -Effektivitet Denne foranstaltning forventes at være implementeretBetegnelseA.1.9 Frekvent (daglig) inspektion af rør oginstallationSikkerhedsforanstaltningensfunktionFrekvente runderinger gennemføres for at identificere tilløbtil lækager eller andre sikkerhedskritiske hændelser. Derkontrolleres som minimum for:o tæthed af rør, ventiler, flanger og pakningero olielækage ved pumper og kompressorero isdannelse på komponenter, især kølereo væske niveauer i beholdere (når disse er udstyretmed visuelle niveaumålere)o temperatur på pumper og kompressorer, inkl. lejerog pakningero At flugtveje er frie og i god standFejlmuligheder o Runderinger foretages ikke (altid)o Runderinger foretages ikke i alle rum/stedero Ingen opfølgning på konstaterede afvigelserBaggrund/reference -Effektivitet Ved begyndende udslip kan en rundering bruges til atstandse udvikling til en større hændelse. Da risikoanalysen6


ikke håndterer lækagen på mindre end 1 mm diameter, vildette dog ikke have indflydelse på risikoanalysens resultatBetegnelseA.1.10 Døgnbemandet central alarm panelSikkerhedsforanstaltningensfunktionEt døgnbemandet alarm panel skal sikre at der til enhver tidreageres på afvigelser og nødsituationer. Hviskontrolrummet til køleinstallationen ikke er døgnbemandetkan det centrale panel placeres hos portvagt eller lignendefunktion, hvis portvagten er tilstrækkeligt instrueret ihåndtering af alarmerne. Det er også foreskrevet at der skaltilkaldes kompetente personer, og at disse er til stede inden60 minutter. Automatiske SMS eller nødopkald systemerkan bruges.Fejlmuligheder o Panel er ikke bemandeto Utilstrækkelig opfølgning på alarmBaggrund/reference EN 378-3, afsnit 7.4, PGS13Effektivitet Denne foranstaltning betragtes som at være en del afeffektiviteten af beredskabsplanen.BetegnelseA.1.11 Indendørs placering af ammoniakbeholdereSikkerhedsforanstaltningensfunktionBeholdere (især receiver) udgør installationens største risikofor store uheld. Ved indendørs placering ydes en visbeskyttelse og forsinkelse mod at ammoniak spredes iomgivelsen.Indendørs placering vil også mindske omfang af en eventuelvæskepøl, se også barrieren spildbakke under beholdere(A.3.10)Fejlmuligheder o Rummet er for lille i forhold til udslip at det har envæsentlig effektBaggrund/reference -EffektivitetVejledningens forenklede spredningsmodel kan tage højdefor effekten af indendørsplacering hvis udslippet ikke er forstor i forhold til rummets omfang. Se også effektivitet afbarrieren spildbakke under beholdere (A.3.10)7


BetegnelseA.1.12 Styring af ergonomi og menneske/maskineinterfaceSikkerhedsforanstaltningensfunktionErgonomien skal sikre, at installationen kan betjeneshensigtsmæssig, med mindst mulig risiko for fejl, og at allekomponenter kan betjenes og vedligeholdes på mindstbesværlig måde. Det indeholder at bl.a.:o betjeningspaneler og ventiler er indenforalmindeligt rækkevidde fra faste gulveo komponenter som skal inspiceres ellervedligeholdes, er tilgængelige med tilstrækkeligplads til bevægelse og flugtmulighederFejlmuligheder o Manuelle afspærringsventiler er udenfor rækkeviddeo Fejl ved reparation af komponenter på sværttilgængelige stederBaggrund/reference EN 378-2 (delvis)Effektivitet Effektiviteten kan ikke vurderesBetegnelseA.1.13 Styring af design og ændringerSikkerhedsforanstaltningensfunktionDet skal sikres, at risikoen ved installationen til enhver tidskal være så lavt som muligt i overensstemmelse medgældende krav og viden. En systematisk håndtering afændringer tager også hensyn til tidligere erfaringer medhenblik på at forebygge fejl og gentagelse af fejl.Trykbærende anlæg skal udformes, installeres ogvedligeholdes i overensstemmelse med bestemmelser fortrykbærende anlæg (BEK 100)Der skal forefindes dokumentation som viser til enhver tidinstallationens opbygning og instrumenteringÆndringer skal udarbejdes og installeres af dertil godkendtepersoner.Ændringer skal registreres i installationens logbogFejlmuligheder o Der findes ikke en systematisk håndtering afændringero Ændringer gennemgås ikke med henblik på risikofor fejlo Der findes ingen opsamling af erfaringer, fejl ogfejlrettelser (logbog)o Ændringer og deres berettigelse dokumenteres ikkeo Dokumentationen opdateres ikkeBaggrund/reference BEK 100, PGS 13, EN 378-2Effektivitet Denne foranstaltning forventes at være implementeret8


BetegnelseA.1.14 LogbogSikkerhedsforanstaltningensfunktionDen driftsansvarlige virksomhed skal vedligeholde enlogbog for hver køleinstallation.Logbogen oprettes af installatørenI logbogen registreres følgende:o Vedligeholds og reparationsarbejdeo Mængder af ammoniak som er påfyldt eller aftappeto Ændringer i og udskiftninger af komponentero Resultater af alle periodiske test og inspektionervedr. installationens komponenter;o Længere stilstandsperioderFejlmuligheder o Logbog forefindes ikkeo Manglende registreringerBaggrund/reference EN 378-2 afsnit 6.4.3.5; PGS13Effektivitet Denne foranstaltning forventes at være implementeretBetegnelseA.1.15 DokumentationSikkerhedsforanstaltningensfunktionDokumentation skal sikre at personale til enhver tid haradgang til essentielle oplysninger af installationen.Dokumentationen skal omfatte følgende:o Leverandørens Installationshåndbog (EN 378-2,afsnit 6.4.3.2; PGS13)o Proces og instrumenteringsdiagrammer (P&ID) (EN378-2 afsnit 6.4.3.4)Fejlmuligheder o Dokumentation ikke tilgængeligo Dokumentation ikke opdateretoBaggrund/reference EN 378-2EffektivitetPersonalet har utilstrækkeligt kendskab meddokumentationenDenne foranstaltning er relateret til personalets kompetence.Denne foranstaltning forventes at være implementeret9


BetegnelseA.1.16 BeredskabsplanSikkerhedsforanstaltningensfunktionBeredskabsplanen skal bl.a. indeholde instrukser ofinformationer vedr.:- Alarmering af det lokale beredskab (brandvæsenet m.fl.)- Redning og evakuering af personale, herunder tætning afopholdsrum (ventilation, døre og vinduer)- Information og instruktion af omkringboende mht.beskyttelse, redning og eventuel evakuering.- udpegelse af ansvarlige personer- tilkald af kompetente personer (indenfor 60 min ifølge EN378)- Bekæmpelse af udslip- Tilstedevær og anvendelse af personlige værnemidler- Måder at bekæmpe ammoniakudslip påI forbindelse med beredskabsplanen skal virksomhedensørge for tilstrækkelig materiale, herunder pulverslukkereved alle ind- og udgange af maskinrum, og eventuelleisolerende tæpper til afdækning af flydende ammoniak.En eller flere vindvisere placeres for at identificere densikreste flugtvej.Fejlmuligheder o Beredskabsplan er ufuldstændigo Personalet er utilstrækkeligt instrueret omberedskabsplaneno Der gennemføres ingen beredskabsøvelserBaggrund/reference EN 378Effektivitet Konkrete sikkerhedsbarrierer til bekæmpelse af udslipbehandles separat. I almindelighed forventes, at beredskabetvil være i stand til at begrænse udslip til højst en timesvarighedBetegnelseA.1.17 Trykprøvning af slanger til ammoniakSikkerhedsforanstaltningensfunktionSlanger til påfyldning af ammoniak testes inden brug for atsikre at de har den fornødne styrke og tæthedFejlmuligheder o Slanger er ikke afprøvet med støre sandsynlighedfor brud og lækageBaggrund/reference -EffektivitetEffekt af denne foranstaltning baseres på en personligvurdering – der er ikke inkluderet generiske fejlfrekvenserfor trykslanger i vejledningen10


BetegnelseA.1.18 Foreskrevne kørevejeSikkerhedsforanstaltningensfunktionKøreveje for forskellige køretøjer (inklusive tankbiler,lastbeiler og gaffeltrucks) er præciseret og markeret påvejoverfladen for at undgå kollision med køleinstallationeneller køretøjer som transporterer ammoniak. Fremmedechauffører instrueres i kørselsreglerFejlmuligheder o Markeringer ikke tydelig (ikek vedligehold)Baggrund/referenceEffektivitetoMarkeringen overholdes ikkeEffekt af denne foranstaltning baseres på en personligvurdering – der er ikke inkluderet generiske fejlfrekvenserfor kollision i vejledningenBetegnelseA.1.19 Håndtering af farlige stoffer (ADR)SikkerhedsforanstaltningensfunktionVed håndtering og transport af farlige stoffer somammoniak skal forskrifter, dokumentation som fx ADRoverholdes for at mindske risikoen for fejl under transportog oplag, herunder beredskabets indgreb ved uheld.Mængde og placering af flasker eller beholdere med farligestoffer, herunder ammoniak, skal styres.Fejlmuligheder o Transport af ammoniak dokumenteresutilstrækkeligto Oplag af ammoniak dokumenteres utilstrækkeligt –ringe kendskab til lagring og placering af fxgasflaskerBaggrund/referenceEffektivitetEN378-4 (delvis)Denne foranstaltning forventes at være implementeret11


A.2 Forebyggende barriererEffektiviteten i form af fejlsandsynlighed ved tilkald (Probability of Failure onDemand – PFD) rapporteres i form af barrierepoint som beskrevet i MP112: 2point svarer til en PFD på ca. 0,1; 4 point til en PFD på 0,01, osv. Der hvor dernævnes ”højst SIL3” menes at den pågældende elektriske/elektroniske/elektroniskprogrammerbare (E/E/PE) systemers pålidelighed er i overensstemmelse med ensikkerhedsintegritetsniveau (Safety Integrity Level), og at den skal opfyldekravene i IEC 61508 og 61511 for at opnå et bestemt SIL. SIL1 svarer til 2barrierepoint, SIL 2 til 4 point, osv.Hvis en barriere består af en kombination af et E/E/PE system og et andet(hardware) system, fx en ventil eller sensor, er barrierens effektivitet det laveste afde to pointtal.12


BetegnelseA.2.1 PåkørselssikringDetektering -Diagnose -AktionForhindrer at køretøjer på afveje rammer faste ogmidlertidige (tank bil, slanger, flasker) dele af installationenBarrierefunktion At forhindre at køretøjer på afveje gøre skade påinstallaionenBarrieretype PERMANENT PASSIV BARRIEREUdløsende Køretøj på afvejehændelseFejlmuligheder Påkørselssikring er for svag/ eller lille i forhold til detkøretøj som rammer sikringeneventuelle følger Skade på Påkørselssikring (skalved succesfuld inspekteres/repareres/erstattes)indgrebBaggrund/reference -EffektivitetHvis alle udendørs installationer på jordniveau i nærhedenaf trafik er beskyttet ved hjælp af korrekt dimensioneredesikringer må der regnes med en forebyggede effektivitetsvarende til 6-8 point. Dette gælder også beskyttelse af deleaf rørbroer og den vandrette del hvis denne er lavere end dethøjeste køretøj på området (inklusiv last).BetegnelseA.2.2 Uafhængig frostsikring i kondensatorDetektering Temperaturswitch i kølevand i kondensatorDiagnoseE/E/PE – sammenligning mellem målt temperatur ogsetpunktAktionStop indsprøjtning af kølevand i kondensator – aftapning afkølevand fra kondensator til kølevandsreservoir og/ellerBarrierefunktion At forhindre isdannelse i kondensatoren med sprængningaf rør som følgeBarrieretype AUTOMATISERET INDGREB (E/E/PE SYSTEM)Udløsende hændelse For lavt temperatur i kølevandFejlmuligheder o Fejl i E/E/PE systemo uhensigtsmæssig placering af sensorEventuelle følger Reduceret effektivitet af kondensator (kun luftkøling)ved succesfuldtindgrebBaggrund/reference -Effektivitet Effektiviteten må indregnes i de scenarier som vedrørersprængning af rør pga. isdannelse i kondensator og kræverat barrieren ikke er en del af processtyrings ogovervågningssystemet.Effektiviteten er afhængig af pålidelighed af sensor ogE/E/PE system og kan højst være SIL 3 (6 point). En ikkeredundanttemperaturswitch (PT100) har en pålidelighed påhøjst 4 point (RELBASE).13


BetegnelseA.2.3 Uafhængig frostsikring i varmevekslere(isvandsanlæg, sekundær/indirekte system medglycol-vand eller saltvand)Detektering Temperaturswitch i sekundært kredsløbDiagnoseE/E/PE – sammenligning mellem målt temperatur ogsetpunktAktionAfspær varmeveksler i primær kredsløb (afbryd køling)Barrierefunktion At forhindre isdannelse i varmeveksler med sprængning afrør som følgeBarrieretype AUTOMATISERET INDGREB (E/E/PE SYSTEM)Udløsende hændelse For lavt temperatur i sekundært kredsløbFejlmuligheder o Fejl i E/E/PE systemo Uhensigtsmæssig placering af sensorEventuelle følger Ingen køling i varmevekslerved succesfuldtindgrebBaggrund/reference -Effektivitet Effektiviteten må indregnes i de scenarier som vedrørersprængning af rør pga. isdannelse i varmevekslere ogkræver at barrieren ikke er en del af processtyrings ogovervågningssystemet.Effektiviteten er afhængig af pålidelighed af sensor ogE/E/PE system og kan højst være SIL 3 (6 point). En ikkeredundanttemperaturswitch (PT100) har en pålidelighed påhøjst 4 point (RELBASE).Notér at ved glykol/vand eller saltvand systemer skalglykol hhv. salt indhold inspiceres regelmæssigt for at sikrefrysepunktet i forhold til frostsikringens setpunkt.14


BetegnelseA.2.4 Brandmelder og brandbekæmpelse afbegyndende brandDetektering Brandmelder/BranddetektorDiagnoseBrand i nærheden af ammoniakinstallationAktionAlarmering af personale og brandvæsen med efterfølgendebrandbekæmpelse med pulverslukkere, skum eller inert gas(slukning med vand i områder med ammoniakinstallationerskal overvejes nøje)Barrierefunktion At forebygge at brand kan føre til lækage afammoniakinstallationBarrieretype MENNESKELIGT INDGREB EFTER ALARMUdløsende hændelse Brand i nærheden af ammoniakinstallationFejlmuligheder o Fejl i brandmeldero Ikke i stand til at slukke brandenEventuelle følger Mindre brandskadeved succesfuldtindgrebBaggrund/reference EN 378-3 (sprinklerinstallation er ikke tilladt i maskinrum)Pulverslukkere skal være til rådighed ved indgange tilmaskinrummetEffektivitet Scenarier som involverer brand i nærheden afammoniakinstallation, inklusive i maskinrummet, kannedsættes i forventet frekvens for de områder/rum hvorbrandmeldere er monteret. Effektiviteten er afhængig afmuligheden til at slukke brande og kan være højst 3 point.BetegnelseA.2.5 Brandbeskyttelse af rum medammoniakinstallationerDetektering -Diagnose -AktionAfskærmer rum med ammoniakinstallationer modpåvirkning af varme og brandBarrierefunktion At forebygge at brand kan føre til lækage afammoniakinstallationBarrieretype PERMANENT PASSIV BARRIEREUdløsende Brand udenfor rum af ammoniakinstallationhændelseFejlmuligheder o Brandmodstand er for lille i forhold til brandensintensitet eller varighedEventuelle følger Mindre brandskadeved succesfuldtindgrebBaggrund/reference EN 378-? (tjek) PGS13Effektivitet Scenarier som involverer brand i nærheden, men udenfor,rum med dele af ammoniakinstallationen, kan nedsættes iforventet frekvens hvis disse rum er forsynet medbrandvægge og -døre. Effektiviteten kan være 4-6 point.BetegnelseA.2.6 Lynafledere15


Detektering -Diagnose -AktionAfleder strøm fra lyn til jord udenom følsommeinstallationerBarrierefunktion At forhindre at strøm fra lynnedslag skaderammoniakinstallationen med lækage som muligkonsekvensBarrieretype PERMANENT PASSIV BARRIEREUdløsende hændelse LynnedslagFejlmuligheder o Lynnet rammer installationen i stedet for aflederenEventuelle følger Ingen eller begrænsede skaderved succesfuldtindgrebBaggrund/reference -Effektivitet Scenarier som beskriver konsekvensen af lynnedslag kannedsættes i forventet frekvens. Afhængig af antal og tæthedaf lynafledere er effektiviteten 2 til højst 4 point.BetegnelseA.2.7 Afskærmning mod sollysDetektering -Diagnose -AktionAfskærmer komponenter mod direkte sollysBarrierefunktion At forhindre at dele af installationen (tankbil, gasflasker,receiver, rør) bliver for varm og fører til for højt overtrykeller for meget udvidelse af væske.Barrieretype PERMANENT PASSIV BARRIEREUdløsende hændelse Sollys(er mest relevant for midlertidig lagring eller driftsstop)Fejlmuligheder o utilstrækkelig afskærmning eller isoleringEventuelle følger -ved succesfuldtindgrebBaggrund/reference -Effektivitet Effektiviteten må bero på en individuel vurdering hvisdette scenario er relevant.BetegnelseDetekteringDiagnoseAktionBarrierefunktionBarrieretypeUdløsendehændelseA.2.8 Hegn og adgangskontrolVagtpersonale/reception eller elektroniske låse (kortlæser)Genkendelse af uvedkommende personerAfvisning af adgang af uvedkommende personerAt forebygge at uvedkommende personer kan nærme sigammoniakinstallationenPERMANENT PASSIV BARRIERE (Hegn)AUTOMATISERET INDGREB (E/E/PE SYSTEM)(kortlæser)SITUATIONSBESTEMT MENNESKELIGT INDGREB(vagt/reception)Forsøg til indtrængning16


Fejlmuligheder o Forcering af hegn (for lavt, ”for nemt”)o Falsificering af adgangskorto Adgang tilladt pga. falske oplysninger om ærindero UopmærksomhedEventuelle følger (evt. politianmeldelse)ved succesfuldtindgrebBaggrund/reference -Effektivitet Effektiviteten er afhængig af mange faktorer. I lyset afusikkerhed om hvor ofte der foretages forsøg på sabotage vildet være svært at indregne effektiviteten i risikoanalysenBetegnelseA.2.9 Overvågning af området og runderingerDetektering Vagtpersonale eller teknisk personaleDiagnoseGenkendelse af uvedkommende personerAktionTilkald af politi og pågribe af uvedkommende personerBarrierefunktion At forebygge at uvedkommende personer kan nærme sigammoniakinstallationenBarrieretype SITUATIONSBESTEMT MENNESKELIGT INDGREBUdløsende hændelse Forsøg til indtrængningFejlmuligheder o Uopmærksomhedo Tidsrum mellem runderingerEventuelle følger Politianmeldelse, evt. forebyggende driftsstopved succesfuldtindgrebBaggrund/reference -Effektivitet Effektiviteten er afhængig af mange faktorer. I lyset afusikkerhed om hvor ofte der foretages forsøg på sabotagevil det være svært at indregne effektiviteten irisikoanalysenBetegnelseA.2.10 Aflåste rum og aflåst kontrolsystemDetektering -Diagnose -AktionAdgang nægtetBarrierefunktion At forebygge at uautoriserede personer kan forstyrre driftenaf ammoniakinstallationenBarrieretype MIDLERTIDIG PASSIV BARRIERE (fysisk lås)AUTOMATISERET INDGREB (E/E/PE SYSTEM) (EDBsystem)UdløsendehændelseForsøg til indtrængning(dette gælder også forsøg på indtrængning til EDB system,enten on-site eller, hvis systemet er tilsluttet internet, offsite)Fejlmuligheder o Glemt at låseo Indbrudo Falsk nøgleEventuelle følgerved succesfuldt-oHacking eller virus17


indgrebBaggrund/reference -Effektivitet Effektiviteten er afhængig af mange faktorer. I lyset afusikkerhed om hvor ofte der foretages forsøg på sabotage vildet være svært at indregne effektiviteten i risikoanalysen.Systemet vil have lidt effektivitet vedr. scenarier omuautoriserede ændringer af setpunkterBetegnelseA.2.11 Blokering af tankbil ved hjælp af klodserDetektering -Diagnose -AktionForhindrer tankbilens bevægelseBarrierefunktion At forhindre at tankbilen bevæger sig mens slanger er kobletpå.Barrieretype MIDLERTIDIG PASSIV BARRIEREUdløsendehændelseFejl på tankbilens bremser + eksterne kræfter på tankbil(skråning eller ekstern påvirkning)Fejlmuligheder o Glemt at placereo Utilstrækkelig i forhold til kræfterneEventuelle følger -ved succesfuldtindgrebBaggrund/reference -Effektivitet I tilfælde der findes procedure om placering af klodser måder regnes med en effektivitet på 3 point for scenarier somvedrører bevægelse af tankbilen under losning.BetegnelseA.2.12 Startspærre på tankbilDetektering Tilkobling af slangeDiagnoseForsøg på kørsel mens bilen er tilkobletAktionForhindrer tankbilens bevægelseBarrierefunktion At forhindre at føreren vil køre tankbilen mens slanger erpåkobletBarrieretype AUTOMATISERET INDGREB (E/E/PE SYSTEM)Udløsende Kørsel af tankbil mens slangen er tilkoblethændelseFejlmuligheder o Fejl i E/E/PE systemEventuelle følger -ved succesfuldtindgrebBaggrund/reference -Effektivitet Der regnes med en effektivitet på 4 point for scenarier somvedrører kørsel af tankbilen mens slangen er tilkoblet.18


BetegnelseA.2.13 Break-away koblingDetektering Mekanisk: for store kræfter på slangen/kobling vil brydesikkerhedsbolte som holder koblingen sammenDiagnoseMekanisk: Koblingen er skilt adAktionMekanisk: indvendige anordninger spærrer hverkoblingsdelBarrierefunktion At forhindre udslip når der påføres for store kræfter påslangen, fx når tankbilen kører mens slangen er koblet påBarrieretype HARDWARE INDGREBUdløsende hændelse Kørsel af tankbil mens slangen er tilkoblet eller andenhændelse hvor slangen belastes, fx ved anden eksternpåvirkningFejlmuligheder o Koblingen brydes ikke (brud opstår andetsteds)o Koblingen lukker ikke tætEventuelle følger Koblingen skal repareresved succesfuldtindgrebBaggrund/reference -Effektivitet Der regnes med en effektivitet på højst 2 point for scenariersom vedrører kørsel af tankbilen mens slangen er tilkoblet(estimeret pga. lighed med énvejsventiler).BetegnelseA.2.14 Selvlukkende ventiler ved olieaftapningm.fl.Detektering Mekanisk: ingen betjeningDiagnoseMekaniskAktionMekanisk: uden aktiv betjening lukkes ventilenBarrierefunktion At forhindre at indhold fra installation udslippes vedfejlagtig betjening af studser som ved aftapning af olie, m.fl.Barrieretype HARDWARE INDGREBUdløsende Fejl ved olieaftapning m.fl.hændelseFejlmuligheder o Lukningsmekanisme udløses ikke (fx knækketfjeder)o Ventilen lukker ikke tæto Mekanismen tilsidesættesEventuelle følgerved succesfuldt-(Mekanismen anvendes hver gang studsen bliver betjent)indgrebBaggrund/reference EN 378-2EffektivitetDer regnes med en effektivitet på 2 til højst 3 point forscenarier som vedrører fejlbetjening eller manuelt åbning afstudser (estimeret pga. lighed med envejsventiler)19


BetegnelseA.2.15 Højniveauswitch på beholdereDetektering Hardware: niveauswitchDiagnoseHardware/software: niveau overskrider høj niveau (HH)AktionE/E/PE: Driftstop (ESD): installationen standses i sikkerttilstandBarrierefunktion At forbygge overfyldning af beholdere for at forebyggeovertryk (receiver) eller væske i kompressor(pumpegeholder)Barrieretype AUTOMATISERET INDGREB (E/E/PE SYSTEM)Udløsende hændelse For høj niveau i beholderFejlmuligheder o fejl i niveauswitcho fejl i E/E/PE systemo Forkert setpunktEventuelle følger Installation standsesved succesfuldtindgrebBaggrund/reference (EN 378-2 kræver en niveauindikator på receivere som kanafspærres)Effektivitet Der regnes med en effektivitet på højst SIL 3 (6 point) forE/E/PE delen for scenarier som vedrører overfyldning afbeholdere. Ikke-redundante niveauswitches har enpålidelighed svarende til 3 til 4 point.20


BetegnelseA.2.16 Kompressorsikring mod højt afgangstryk og-temperaturDetektering Tryk- og/eller temperaturswitch og på kompressorensafgangssideDiagnoseE/E/PE: Tryk eller temperatur højere end setpunktetAktionE/E/PE: Kompressor standsesBarrierefunktion At forhindre at tryk eller temperatur overskriderkompressorens specifikationer og forhindrer svigt afkompressor. Denne funktion er ofte en integreret ogdedikeret beskyttelsessystem på hver kompressor (fx”UNISAB”) som standser kompressoren ved:o for højt afgangstryk og sugetryko for høj afgangstemperatur og sugetemperaturo overbelastning af kompressorBarrieretype AUTOMATISERET INDGREB (E/E/PE SYSTEM)Udløsende For højt tryk eller temperatur på kompresorens afgangssidehændelseFejlmuligheder o fejl i E/E/PE system inklusiv sensorero Forkert setpunktEventuelle følger Kompressor standsesved succesfuldtindgrebBaggrund/reference EN 378-2: Sikkerhedsswitches som bruges til sikring modovertryk må ikke anvendes til processtyring og-overvågning.(Hvis kompressorsikring anvendes som tryksikring for heleinstallationen skal setpunktet være i overensstemmelse medinstallationens maksimal tilladte tryk PS)Effektivitet Der regnes med en effektivitet på højst SIL 3 (6 point) forE/E/PE delen for scenarier som vedrører for højt tryk ogtemperatur ved kompressorens afgangsside. Notér atbeskyttelse mod høj temperatur, tryk og overbelastning erofte integreret og ikke må håndteres som adskilte,uafhængige barrierer. Ikke-redundante trykswitches har enpålidelighed svarende til ca. 4 point (OREDA); En ikkeredundanttemperaturswitch (PT100) har en pålidelighed påhøjst 4 point (RELBASE).21


BetegnelseA.2.17 Højtryksalarm og -nedlukningDetektering Højttrykswitch (HH) på højtryksiden (receiver)DiagnoseE/E/PE: Tryk højere end setpunktetAktionE/E/PE: Alarmering af personale og installationen standses isikker tilstandBarrierefunktion At forhindre at tryk overskrider systemets maksimaletilladte tryk (”PS” i EN 378)Barrieretype AUTOMATISERET INDGREB (E/E/PE SYSTEM)Udløsende For højt tryk eller temperatur systemets højtryksidehændelseFejlmuligheder o fejl i E/E/PE system inklusiv sensorero Forkert setpunktEventuelle følgerved succesfuldtInstallationen standses i sikker tilstand (kompressorer ogpumper)indgrebBaggrund/reference EN 378-2: Sikkerhedsswitches som bruges til sikring modovertryk må ikke anvendes til processtyring og-overvågning.Installationer som er forsynet med aflastningsventiler skalvære forsynet med højtryksswitches med et lavere setpunktend aflastningsventiler.(Hvis kompressorsikring (A.2.16) anvendes som tryksikringaf installation i stedet for, skal setpunkt forkompressorsikring være i overensstemmelse medinstallationens maksimal tilladte tryk PS)Effektivitet Der regnes med en effektivitet på højst SIL 3 (6 point) forE/E/PE delen for scenarier som vedrører for højt tryk. Ikkeredundantetrykswitches har en pålidelighed svarende til ca.4 point (OREDA)22


BetegnelseA.2.18 Trykaflastningsventil (evt. overløbsventil)Detektering Mekanisk: For højt tryk i ventilDiagnoseMekanisk: Højt tryk overskrider setpunktAktionMekanisk: Ventilen åbnesBarrierefunktion At beskytte installationen mod et tryk højere ned detmaksimalt tilladte tryk (PS)Barrieretype HARDWARE INDGREBUdløsende Tryk i installation overskrider PS + 10%hændelseFejlmuligheder o Ventil åbner ikkeo Setpunkt forkerto Ventil lukker ikke igen (sikkerhedsfunktion ergennemført, men udslip vil fortsætte)Eventuelle følgerved succesfuldtindgrebVed udslip til det fri vil dette føre til et nyt scenario medudslip af ammoniak fra aflastningsventilen. (Anvendventilens mindste hul til beregning af udslipsrate.Udslipsmængden baseres på forventet tid til manueltstandsning (nødstop) af installation)Hvis trykaflastning er udformet med afgang til lavtryksside(overløbsventil) vil der ikke være udslipsscenario vedsuccesfuldt indgreb.Baggrund/reference EN 378-2: afsnit 6.2.6 foreskriver hvornår, hvor og hvordanaflastningsventiler eller overløbsventiler skal anvendesEffektivitet Effektiviteten må indregnes i de scenarier som vedrører forhøjt tryk i installationen og der må regnes med eneffektivitet på 4 point (OREDA)A.3 Begrænsende barriererEffektiviteten i form af fejlsandsynlighed ved tilkald (Probability of Failure onDemand – PFD) rapporteres i form af barrierepoint som beskrevet i MP112: 2point svarer til en PFD på ca. 0,1; 4 point til en PFD på 0,01, osv. Der hvor der ieffektiviteten nævnes ”højst SIL3” menes at den pågældendeelektriske/elektroniske/elektronisk programmerbare (E/E/PE) systemerseffektivitet er i overensstemmelse med en Sikkerhedsintegritetsniveau (SafetyIntegrity Level), og at den skal opfylde kravene i IEC 61508 og 61511 for at opnået bestemt SIL. SIL1 svarer til 2 barrierepoint, SIL 2 til 4 point, osv.Hvis en barriere består af en kombination af et E/E/PE system og et andet(hardware) system, fx en ventil eller sensor, er barrierens effektivitet det laveste afde to pointtal.23


BetegnelseA.3.1 Rørbrudsventil på tankbil (excess flowvalve)Detektering Mekanisk: ved for stor flow gennem ventilen stigerdifferenstrykketDiagnoseMekanisk: Differenstrykket er større end setpunktetAktionMekanisk: Differenstrykket vil udløse lukning affjederbetjent stempel i ventilenBarrierefunktion At forhindre at indhold af tankbil slippes ud vedslangebrudBarrieretype HARDWARE INDGREBUdløsende hændelse Brud af slange eller anden komponent nedstrøms afventilenFejlmuligheder o Lukningsmekanisme udløses ikke (flow for lille)o Ventilen lukker ikke tæto Hvis der er overtryk på anden side af slangen, somikke er beskyttet (skal kombineres medenvejsventil på påfyldningsstuds (A.3.2))Eventuelle følgerved succesfuldtindgrebSpredning af ammoniak med begrænset udslipsmængde(indhold af den sprængte slange) i forhold til detubegrænsede udslip. Barrieren fører til en opdeling afkonsekvenser i en begrænset og et ubegrænset (indhold fratankbil) scenario. Hvis der er overtryk på anden side afslangen, som ikke er beskyttet (skal kombineres medenvejsventil på påfyldningsstuds)Baggrund/reference -EffektivitetDer regnes med en effektivitet på 2 til højst 3 point(RELBASE) for scenarier som vedrører slangebrud ikombination med envejsventil på påfyldningsstuds (A.3.2)24


BetegnelseA.3.2 Énvejsventil på påfyldningsstudsDetektering Mekanisk: flow i forkert retningDiagnoseMekaniskAktionMekanisk: omvendt differenstryk vil udløse lukning afventilenBarrierefunktion At forhindre at indhold fra installation udslippes vedslangebrudBarrieretype HARDWARE INDGREBUdløsende hændelse Brud af slange eller anden komponent modstrøms afventilenFejlmuligheder o Lukningsmekanisme udløses ikke (flow for lille)o ventilen lukker ikke tæto Hvis tankbilens side ikke er beskyttet, forhindrerdenne foranstaltning ikke udslip fra tankbil (skalkombineres med rørbrudsventil på tankbil (A.3.1))Eventuelle følgerved succesfuldtindgrebSpredning af ammoniak med begrænset udslipsmængde(indhold af den sprængte slange) i forhold til detubegrænsede udslip. Barrieren fører til en opdeling afkonsekvenser i en begrænset og et ubegrænset (indhold fralavtrykssiden af installationen) scenario.Baggrund/reference -EffektivitetDer regnes med en effektivitet på 2 til højst 3 point(RELBASE) for scenarier som vedrører slangebrud ikombination med rørbrudsventil på tankbil (A.3.1)25


BetegnelseA.3.3 NødstopDetektering Operatør eller medarbejder detekterer væsentlig afvigelse(udslip, vibration, støj) i installationens drift.DiagnoseOperatør eller medarbejder bestemmer at situationen kanmedføre fare.AktionTryk nødstop – Nødstop bevirker at:o Lyd og lys alarm i overvågningscentral udløseso Alarm til advarsel af personale i potentielt truedeområder udløseso Alarm videregives til kompetent personale (SMSmessaging eller hotline opkald)o kompressorer og pumper standses (installationenbringes til sikker tilstand)o tilstedeværende automatiske afspærringsventilerlukkes, eventuelle overløbsventiler placeres isikker position.o mekanisk ventilation i maskinrum startesBarrierefunktion 1. at begrænse eskalering af en driftsafvigelse,herunder at begrænse udslipsmængden vedstandsning af installation og afspærring afkomponenter2. at initiere beredskabsplanenBarrieretype SITUATIONSBESTEMT MENNESKELIGT INDGREBUdløsende hændelse Alvorlig fejl i installation, herunder væsentlig udslip afammoniak, som bemærkes ved almindelig menneskelig(sensorisk) observationFejlmuligheder o Situation opdages ikke (ingenoperatør/medarbejder til stede - detekteringsfejl)o Operatør indser ikke situationens alvorlighed(diagnosefejl)o Fejl i en eller flere dele af nødstopssystemet, somgør at én eller flere aktioner ikke udføres(hardware fejl)Eventuelle følgerved succesfuldtindgrebI tilfælde af udslip vil udslipsmængden kunne begrænses tilindholdet af den fejlede komponent mellem automatiskeafspærringsventiler. Barrieren fører til en opdeling afkonsekvenser i et begrænset og et ubegrænset scenarioBaggrund/reference EN 378-2EffektivitetPga. usikkerhed i effektiviteten af manuel detektering ogdiagnose indregnes denne barriere i risikoanalysen højstmed 2 point26


BetegnelseA.3.4 Koncentrationsdetektering i lukkede rum(høj niveau)Detektering Signal fra én ammoniakdetektorDiagnose Overskridelse af højt niveau 30 000 ppm (EN 378-3 §8.7)Aktion(Som ved nødstop:)o Lyd og lys alarm i overvågningscentral udløseso Alarm til advarsel af personale i potentielt truedeområder udløseso Alarm videregives til kompetent personale (SMSmessaging, hotline opkald eller lignende)o kompressorer og pumper standses (installationenbringes til sikker tilstand)o tilstedeværende automatiske afspærringsventilerlukkes, eventuelle overløbsventiler placeres i sikkerposition.o mekanisk ventilation i maskinrum startesBarrierefunktion Ved udslip i det overvågede rum:1. at begrænse udslipsmængden ved standsning afinstallation og afspærring af komponenter2. at initiere beredskabsplanenBarrieretype AUTOMATISERET INDGREB (E/E/PE SYSTEM)Udløsende Koncentration af ammoniak overskrider høj niveauhændelseFejlmuligheder o Fejl i E/E/PE systemo uhensigtsmæssig placering af detektor (der skalmonteres mindst 2 detektorer per rum: én detektorskal placeres højt, og hvor væske/to-fase udslip kanfinde sted skal der placeres én detektor lavt)Eventuelle følgerved succesfuldtindgrebSpredning af ammoniak med begrænset udslipsmængde iforhold til det ubegrænsede udslip. Barrieren fører til enopdeling af konsekvenser i en begrænset og et ubegrænsetscenarioBaggrund/reference EN 378-2PGS13 foreskriver mindste 2 detektorer i maskinrummet ogmindst 1 i hver rum hvor der er placeret en ammoniakkomponent (fx en køler)EffektivitetEffektiviteten må indregnes i de scenarier som vedrørerudslip i overvågede rum og fra de komponenter hvor udslipkan begrænses ved hjælp af afspærring eller standsning afkompressorer/pumper. Effektiviteten er afhængig afpålidelighed af sensor og nødstopssystemet og kan højstvære SIL 3 (6 point). Ikke-redundante gassensorer har enpålidelighed svarende til ca. 3 point (OREDA).Der kan være flere detekteringsmekanismer som vil udløseovennævnte aktioner. Samtlige pointsum for disse barrieremå ikke overskride pålidelighed af det tekniske system (SIL3, 6 point)27


BetegnelseA.3.5 Rørbrudsdetektering ved hjælp aflavtryksdetekteringDetektering Lavttrykswitch (LL) på afgangside af kompressor og/ellerpumperDiagnoseE/E/PE: detektering af trykfald i installationen pga. (større)lækage/brud ved at tryk er lavere end setpunkt (ved normaldrift – deaktiveres ved stop og start)AktionE/E/PE: Alarmering af personale, standsning afinstallationen (kompressorer og pumper) og lukning afeventuelle automatiske afspærringsventiler (A.3.7)Barrierefunktion At begrænse udslip ved større lækager/brud ved afspærringaf beholdereBarrieretype AUTOMATISERET INDGREB (E/E/PE SYSTEM)Udløsende hændelse For højt tryk eller temperatur systemets højtryksideFejlmuligheder o Fejl i E/E/PE system inklusiv sensorero Forkert setpunkto Trykfald for lille ved mindre lækagerEventuelle følgerved succesfuldtindgrebSpredning af ammoniak med begrænset udslipsmængde iforhold til det ubegrænsede udslip. Barrieren fører til enopdeling af konsekvenser i en begrænset og et ubegrænsetscenario. Hvis der ikke er installeret automatiskeafspærringsventiler, må der indregnes tilbagestrømning vedbestemmelse af den begrænsede udslipsmængde (effektenvil være begrænset).Baggrund/reference -EffektivitetEffektiviteten må indregnes i de scenarier som vedrørerudslip fra komponenter/rør på afgangssiden afkompressorer og pumper. Eventuelle installeredeAutomatiske afspærringsventiler (A.3.7) indgår i barrieren(barriererne må ikke tælles dobbelt). Der regnes med eneffektivitet på højst SIL 3 (6 point) for E/E/PE delen. Ikkeredundantetrykswitches har en pålidelighed svarende tilca. 4 point (OREDA)28


BetegnelseA.3.6 ÉnvejsventilDetektering Mekanisk: flow i forkert retningDiagnoseMekaniskAktionMekanisk: omvendt differenstryk vil udløse lukning afventilenBarrierefunktion At forhindre tilbagestrømning af ammoniak i tilfælde afbrud eller lækageBarrieretype HARDWARE INDGREBUdløsende hændelse Brud af komponent modstrøms af ventilenFejlmuligheder o Lukningsmekanisme udløses ikke (flow for lille)o Ventilen lukker ikke tætDenne barriere forhindrer ikke udslip gennem brud/lækagefra anden sideEventuelle følgerved succesfuldtindgrebSpredning af ammoniak med begrænset udslipsmængde(kun indhold af den sprængte rør) i forhold til detubegrænsede udslip. Barrieren fører til en opdeling afkonsekvenser i en begrænset og et ubegrænset scenario.Baggrund/reference -EffektivitetDer regnes med en effektivitet på 2 til højst 3 point(RELBASE)BetegnelseA.3.7 Automatiske afspærringsventilerDetektering Nødstop eller ammoniakdetektorer eller anden detekteringaf lækage eller udfald af strøm (fail safe)DiagnoseKonstatering af lækage eller udfald af strømAktionAfspærring af komponenter fra hinanden for at forhindre atudslipsmængde begrænses til ammoniak indholdet af denskadede komponent. Svartiden af afspærringsventiler skalvære mindre end 15 s (PGS13).Barrierefunktion At begrænse udslipsmængde til ammoniak indholdet af denskadede komponent og at forhindre at indholdet af andrekomponenter også slipper udBarrieretype AUTOMATISERET INDGREB (E/E/PE SYSTEM)Udløsende hændelse Lækage i en komponentFejlmuligheder o Fejl i E/E/PE systemo Ventil lukker ikkeo Ventiler lukker for langsomtEventuelle følgerved succesfuldtindgrebSpredning af ammoniak med begrænset udslipsmængde iforhold til det ubegrænsede udslip. Barrieren fører til enopdeling af konsekvenser i en begrænset og et ubegrænsetscenarioBaggrund/reference EN 378-2 annex A: EN 378-2 foreskriver at komponentermed et indhold af mere end 3000 kg kan afspærres vedhjælp af fjernstyrede ventiler.Installationen med mere end 3000 kg skal have enautomatisk (fjernstyret) ventil monteret på sugesiden afpumperne.Dele af anlægget som kan afspærres skal være forsynetmed trykaflastning for at forhindre konsekvenser afindespærring af væske.Effektivitet Effektiviteten må indregnes i de scenarier som vedrører29


udslip fra de komponenter hvor udslip kan begrænses vedhjælp af afspærring og hvis der forefindes en pålideligdetektering. Detekteringen i form afkoncentrationsdetektering (A.3.4) ellerrørbrudsdetektering (A.3.5) indgår i denne barriere (dvs.disse barrierer må ikke tælles dobbelt). Effektiviteten erafhængig af pålidelighed af E/E/PE system (højst SIL 3) ogaf afspærringsventilerne (højst 4 point, OREDA)BetegnelseA.3.8 Rørbrudsventiler (Excess flow valves)installeret på beholdere, kompressorer ogpumper(kombineres med énvejsventiler på indstrømningsside afbeholdere)Detektering Mekanisk: ved for stor flow gennem ventilen stigerdifferenstrykketDiagnoseMekanisk: Differenstrykket er større end setpunktetAktionMekanisk: Differenstrykket vil udløse lukning affjederbetjent stempel i ventilenBarrierefunktion At begrænse udslip ved større lækager/brud ved afspærringaf beholdereBarrieretype HARDWARE INDGREBUdløsende hændelse Større lækager eller brud i rør mellem komponenterFejlmuligheder o Lukningsmekanisme udløses ikke (flow for lille)o Ventilen lukker ikke tæto Anden side af bruddet er ikke beskyttet mod(tilbage) strømningEventuelle følgerved succesfuldtindgrebSpredning af ammoniak med begrænset udslipsmængde(indhold af det sprængte rør) i forhold til det ubegrænsedeudslip. Barrieren fører til en opdeling af konsekvenser i enbegrænset og et ubegrænset scenario.Baggrund/reference -EffektivitetEffektiviteten må indregnes i de scenarier som vedrørerudslip fra komponenter/rør på mellem de beskyttedekomponenter. Der regnes med en effektivitet på 2 til 3point (RELBASE)30


BetegnelseA.3.9 Rørbrudsflanger (flow restrictor) installeretpå beholdere, kompressorer og pumperDetektering -Diagnose -AktionMekanisk: flangen begrænser flow gennem installationenBarrierefunktion At begrænse udslipshastighed ved større lækager/brudBarrieretype PERMANENT PASSIV BARRIEREUdløsende hændelse Større lækager eller brud i rør mellem komponenterFejlmuligheder o Restriktionen er for lille for at være effektivEventuelle følgerved succesfuldtindgrebSpredning af ammoniak med begrænset udslipsrate iforhold til det ubegrænsede udslip.Barrieren begrænser ikke udslipsmængden.Baggrund/reference -EffektivitetBetegnelseEffektiviteten må indregnes i konsekvensanalysen ved atreducere hullets maksimale diameter til diameteren afflangens åbning.A.3.10 Spildbakke under beholdereDetektering -Diagnose -AktionBegrænser spredning af ammoniakpølBarrierefunktion At begrænse fordampning af ammoniak ved at begrænsepølens areal og varmetilførselBarrieretype PERMANENT PASSIV BARRIEREUdløsende hændelse Udslip af ammoniak væske eller sprøjt fra beholdereFejlmuligheder o Væske- eller sprøjtstråle rammer udenfor bakkeno Bakken er for lilleo Bakken svigtero Bakkens afløb er åbento Opsamlet regnvand stimulerer fordampningEventuelle følgerved succesfuldtindgrebPølens areal begrænses, som begrænser fordampningsraten(udslipsraten). En begrænset pøl er nemmere at håndtere ogyderlige foranstaltninger, som afdækning med dedikeredeisolerende tæpper eller skum kan gennemføres.Baggrund/reference EN 378-3 og PGS13PGS13 foreskriver at spildbakker skal være beskyttet modregn (halvtag) medmindre der er procedurer ogforanstaltninger til at dræne regnvandet under styredeforhold.Effektivitet Vejledningens forenklede spredningsmodel kan ikke tagehensyn til begrænsning af pølen, men integreredespredningsmodeller (PHAST, EFFECTS) kan vise effekt afspildbakken. Afhængig af spildbakkens udformning må derregnes med relativ store fejlsandsynligheder (retning afsprøjt er ukendt). Maskinrummets areal kan opfattes somspildbakke hvis opkanten, dørtærskler og afløb (normaltlukket) er udformet dertil.31


BetegnelseA.3.11 Afdækning af ammoniakpølDetekteringDiagnoseAktionBarrierefunktionBarrieretype(Der anvendes skum eller dedikerede, isolerende tæpper.Barrieren forudsætter at beredskabspersonale bærerbeskyttelsesdragter. Isolerende tæpper kan også bruges til atmindske fordampning fra sprøjt ved at forhindre blandingmed luft)Menneskelig observationMenneskelig vurderingMenneskeligt indgrebAt begrænse fordampning fra ammoniakpøl ved at mindskekontakt med luftMENNESKELIGT INDGREB EFTER PERSONLIGVURDERING ELLER BEREDSKABAmmoniakpølUdløsendehændelseFejlmuligheder o Afdækning er ikke tilstrækkeligo Ved brug af skum stimulerer vandindholdet i skumekstra fordampningo Varmetilførsel fra jord overhersker afdampningo Personalet/brandmænd kommer til skadeEventuelle følger Fordampningsraten nedsættes efter beredskabet harved succesfuldt gennemført indgrebetindgrebBaggrund/referenceEffektivitet(video fra daværende ”Hydro Safety Academy”,Landskrona)Indgrebets effektivitet er svært at inkludere i risikoanalysen:indgrebet finder først sted efter nogen tid, og sandsynlighedfor succesfuldt indgreb afhænger af mange faktorer ogvurderes ikke at være højere end 1 point32


BetegnelseA.3.12 VandgardinerDetektering Manuelt eller automatisk detektering af lækage ellerkoncentrationDiagnoseAmmoniak i det fri (evt. i kombination med vindretning)AktionUdløser vandgardinBarrierefunktion At mindske koncentration af ammoniakgas i luft tilbeskyttelse af omgivelsenBarrieretype AUTOMATISERET INDGREB (E/E/PE SYSTEM)og/ellerMENNESKELIGT INDGREB EFTER ALARMUdløsende Udslip af ammoniakgas til omgivelsehændelseFejlmuligheder o Vandgardin ikke udløsto Vandgardin for lille; for lille kapacitet; forkertplaceret i forhold til vindretningo Vand på væskepøl stimulerer fordampningEventuelle følgerved succesfuldtindgrebMængde af ammoniak mindskes og vandgardin stimulererblanding med luft, og dermed reduceres koncentrationen iluftenBaggrund/reference -EffektivitetEffektiviteten er i høj grad afhængig af udslipsraten iforhold til vandgardinets kapacitet. Avancerede EDBberegningerviser at optimale forhold kan 40-60% afammoniakken fjernes. Detaljerede analyser er nødvendigefor at retfærdiggør effekten af (og investeringen i) etvandgardin. Almindelige spredningsmodeller (PHAST,EFFECTS) kan ikke beregne effekt af vandgardiner.33


BetegnelseA.3.13 Koncentrationsdetektering i sekundærtkredsløbDetektering Ammoniakdetektor i sekundært kredsløb (vand eller glykol)DiagnoseOverskridelse af grænse for ammoniakkoncentrationAktionKoncentrationsdetektering i sekundært kredsløb skal ifølgeEN-378-3 udløse alarm:o i maskinrummeto i kontrolrummetDen øvrige respons kan ifølge EN-378 være manuel:o Advarsel af personale i potentielt truede områdero Alarm videregives til kompetent personale (SMSmessaging, hotline opkald eller lignende)o kompressorer og pumper standses (installationenbringes til sikker tilstand)o tilstedeværende automatiske afspærringsventilerlukkes, eventuelle overløbsventiler placeres i sikkerposition.o mekanisk ventilation i maskinrum startesBarrierefunktion Ved lækage i varmeveksler:1. at begrænse udslipsmængde ved standsning afinstallation og afspærring af komponenter2. at initiere beredskabsplanen (se EN 378 for krav tilalarmering af personale i rum med køleelementer)Barrieretype AUTOMATISERET INDGREB (E/E/PE SYSTEM)/Udløsende Koncentration af ammoniak overskrider høj niveauhændelseFejlmuligheder o Fejl i E/E/PE system inklusiv detektorEventuelle følgerved succesfuldtindgrebSpredning af ammoniak med begrænset udslipsmængde iforhold til det ubegrænsede udslip. Barrieren fører til enopdeling af konsekvenser i en begrænset og et ubegrænsetscenarioBaggrund/reference EN 378-2 afsnit 6.2.6.8, EN 378-3 (Afsnit 8.7)EffektivitetReferencerEffektiviteten må indregnes i de scenarier som vedrørerudslip i varmeveksler mellem primært og sekundærtkredsløb hvor udslip kan begrænses ved hjælp af afspærringeller standsning af kompressorer/pumper. Effektiviteten erafhængig af pålidelighed af sensor og nødstopssystemet ogkan højst være SIL 3 (6 point) for E/E/PE delen. Ikkeredundantesensorer har en pålidelighed svarende til ca. 3point (vurderet i lighed med gassensorer) Hvis respons ermanuelt, kan effektiviteten ikke overstige 3 point[1] EN 378 Refrigerating systems and heat pumps, Safety and environmentalrequirements. EN 378-1:2008 Part 1: Basic requirements, definitions,classification and selection criteria; EN 378-2:2008+A1:2009 Part 2: Design,construction, testing, marking and documentation; EN 378-3:2008 Part 3:Installation site and personal protection; EN 378-4:2008 Part 4: Operation,maintenance, repair and recovery.34


[2] OREDA: SINTEF, Offshore Reliability Data Handbook, 5 th Edition, 2009, DetNorske Veritas (DNV), Høvik, Norway.[3] PGS13 Ammoniak als koudemiddel in koelinstallaties en warmtepompen(Ammoniak som kølemiddel i køleinstallationer og varmepumper, påhollandsk) Publicatiereeks Gevaarlijke Stoffen 13:2009 versie 1.0 (2-2009),www.publicatiereeksgevaarlijkestoffen.nl[4] RELBASE: J.R.Taylor , Hazardous Materials Release and AccidentFrequencies for Process Plant, Volume I, Background, Data Sources, andSafety Equipment Failure Rates, Version 2 Issue 1, May 2006 (distribueretden 17. dec. 2009 ved IDA RISK arrangement vedr. risikoanalyse)35

More magazines by this user
Similar magazines