Ein Risikoszenario ist eine definierte Wenn-Dann-Beziehung, die anhand eines bestimmten unsicheren Zustands, der durch eine nicht näher bestimmte Ursache hervorgerufen wird, ein spezielles Risiko beschreibt, das von einer Anlage oder Maschine ausgeht. Szenarien sind für das Risikomanagement von großer Bedeutung. Um zu verstehen, was das bedeutet, betrachten wir zunächst eine ganz einfache Anlage: Ein Reaktionsbehälter R 1000 wird über zwei Zuläufe mit den Einsatzstoffen beschickt. Die Zuläufe können über die Ventile V1 und V2 geschlossen werden, das Reaktionsprodukt wird am Boden über das Ventil V3 abgezogen. Die Reaktion ist exotherm, deswegen wird der Behälter gekühlt. Kühlwasser wird in einen Kühlmantel geleitet und im Rücklauf[1] durch das Ventil V4 geregelt. Druck, Füllstand und Temperatur des Behälters werden über die Messungen P (engl.: pressure = Druck), L (engl.: level = Stand) und T (engl.: temperature = Temperatur) gemessen. Was es mit U, V5 und Y auf sich hat, wird gleich erklärt.
Abb. 1: Eine ganz einfache Anlage
Die Verfahrenstechnische Sollfunktion wird folgendermaßen beschrieben: Durch den Zulauf V1 wird eine bestimmte Menge Einsatzstoff-1 dosiert – wir sagen, sie wird vorgelegt – bis die Standmessung L einen bestimmten Wert zeigt, dann wird V1 geschlossen. Anschließend wird durch den Zulauf V2 eine bestimmte Menge Einsatzstoff-2 zu dosiert, ebenfalls gemessen über die Standmessung L. Dadurch wird die Reaktion gestartet, der Temperatursensor T registriert einen Temperaturanstieg und regelt entsprechend den Kühlwasserdurchfluss über den Öffnungsgrad des Ventils V4. Durch die Reaktion steigt der Druck im Reaktor, das wird durch die Druckmessung P registriert und überwacht. Entstehendes Abgas wird über eine kleine Leitung zum Abgaswäscher geleitet. Irgendwann ist die Reaktion zu Ende, die Temperatur ist gesunken, das Produkt wird über das Ventil V3 abgezogen. Dazu wird eine Fassabfüllanlage eingesetzt.
Aus Sicht des Risikomanagements stellt sich nun die Frage: Was kann schiefgehen?
Versetzen wir uns in folgende Situation: Ein großer Raum mit hellen Wänden, schwach beleuchtet, an der Wand eine Projektionsfläche, an der Decke ein Projektor, der das Anlagenbild an die Wand wirft. Ein langer Tisch, ein Duzend Stühle, Kladden, Kaffeetassen. Und ein Duzend Leute in Hemdsärmeln, die sich Gedanken machen. Das ist die Situation, wie sie sich jemandem darstellt, der die Tür zu einer Risikomanagement-Sitzung öffnet. Die Fakultäten sind alle versammelt: Projektmanagement, Verfahrenstechnik, Maschinentechnik, Prozessleittechnik, Experten für Anlagensicherheit und vielleicht noch andere. Wie gehen sie vor?
Das erste Szenario: Dosierung versagt
Natürlich fällt der Blick sofort auf den Kern des Gefahrenpotentials: eine exotherme Reaktion, die offenbar so stark ist, dass sie aktiv gekühlt werden muss. Ist die Kühlung sicherheitsrelevant, d.h. kann die Temperatur über die Auslegung des Behälters steigen? Die Experten sind sich uneins: Eigentlich nicht, aber…! Die Reaktion läuft dann sicher ab, wenn nur wenig Einsatzstoff vorgelegt wird. Dann sind die Mengen so klein, dass der Reaktor bzw. der gefüllte Kühlmantel die Energie aufnehmen kann, auch wenn kein neues Kühlmedium nachfließt. Man muss also die Mengen der Einsatzstoffe begrenzen. Wie gut ist die Füllstandsmessung, wie gut die Ventile? Beides muss funktionieren: Der Stand muss sicher gemessen und die Zuläufe sicher geschlossen werden. Wie oft kann man damit rechnen, dass das nicht klappt und zu viel Einsatzstoff vorgelegt wird? Die Experten wälzen ihre Unterlagen, schätzen anhand von Herstellerangaben und Erfahrungswerten ab: Für den einzelnen Reaktor in der Größenordnung alle paar 10 Jahre. Für unsere Begriffe ist das schon ziemlich oft – wir haben viele Reaktoren. Und bedeutet gleichzeitig, dass wir uns im Bereich niedriger Anforderungsraten für das auszulegende Schutzsystem bewegen.
Was kann schlimmstenfalls passieren? Sind Menschen ständig oder öfter in der Nähe der Anlage? Eigentlich nicht, aber…! Die Anlage muss, wie jede Chemieanlage, begangen, überprüft und gewartet werden. Trotz aller Technik sind Augen, Ohren und Gefühl der erfahrenen Anlagenbediener nicht zu ersetzen. Mindestens ein Mal am Tag wird ein Kontrollgang gemacht, mindestens alle paar Wochen die Geräte überprüft. Und dann muss vielleicht ein ganz anderer Anlagenteil in der Nähe repariert werden. Was, wenn gerade dann, wenn die Handwerker zugange sind, der R 1000 explodiert? Das Schadensausmaß eines Unfalls ist ziemlich klar: es kann Verletzte geben, vielleicht sogar Schwerverletzte. Kann es Tote geben? Das kommt darauf an, wie schlimm die Explosion sein kann. Wenn der Reaktor total zerknallt, ja; wenn er nur reißt, wahrscheinlich nicht. Seit vielen Jahren werden Apparate und Rohre nach der Leak-Before-Break-Philosophie gefertigt: Schweißnähte reißen zunächst auf kleiner Strecke auf, bevor der ganze Apparat explosiv zerknallt. Gehört der R1000 zu dieser Kategorie? Schwierig – eigentlich müsste er vom Alter her schon so gebaut sein, aber wissen wir es genau? Im Zweifel gehen wir auf Nummer sicher.
Letzte Kommentare