umwelt-online: KAS-50 - Merkblatt - Beurteilung der sicherheitstechnischen Relevanz von Modifikationen in verfahrenstechnischen Anlagen (1)

KAS-50 - Merkblatt - Beurteilung der sicherheitstechnischen Relevanz von Modifikationen in verfahrenstechnischen Anlagen
Ausschuss Ereignisauswertung (AS-ER)

(Stand: Juni 2019 von der KAS verabschiedet)
(Quelle: www.kas-bmu.de)

Die Kommission für Anlagensicherheit (KAS) ist ein nach § 51a Bundes-Immissionsschutzgesetz beim Bundesministerium für Umwelt, Naturschutz und nukleare Sicherheit gebildetes Gremium.

Ihre Geschäftsstelle ist bei der GFI Umwelt - Gesellschaft für Infrastruktur und Umwelt mbH in Bonn eingerichtet.

Anmerkung:
Dieses Werk wurde mit großer Sorgfalt erstellt. Dennoch übernehmen der Verfasser und der Auftraggeber keine Haftung für die Richtigkeit von Angaben, Hinweisen und Ratschlägen sowie für eventuelle Druckfehler. Aus etwaigen Folgen können daher keine Ansprüche gegenüber dem Verfasser und/oder dem Auftraggeber gemacht werden.

Dieses Werk darf für nichtkommerzielle Zwecke vervielfältigt werden. Der Auftraggeber und der Verfasser übernehmen keine Haftung für Schäden im Zusammenhang mit der Vervielfältigung oder mit Reproduktionsexemplaren.

Nach § 51a Abs. 2 Bundes-Immissionsschutzgesetz (BImSchG) soll die Kommission für Anlagensicherheit (KAS) gutachtlich Möglichkeiten zur Verbesserung der Anlagensicherheit aufzeigen.

Die dazu durchgeführte Erfassung und Auswertung sicherheitsbedeutsamer Ereignisse durch die Kommission für Anlagensicherheit hat das Ziel, Erkenntnisse zum sicheren Betrieb von Anlagen zu gewinnen, um sie zu verbreiten und deren Umsetzung in der Praxis zu ermöglichen. Dadurch sollen ähnliche Ereignisse künftig vermieden und der Stand der Sicherheitstechnik, des technischen Regelwerkes und des Sicherheitsmanagements weiter entwickelt werden.

Bei der Auswertung von Ereignisberichten sind in einigen Fällen Gemeinsamkeiten bezüglich Ursachen, Auswirkungen oder Ereignisart festgestellt worden. Ereignisse mit gemeinsamen Merkmalen wurden zu Schwerpunktthemen zusammengefasst.

Das Merkblatt "Beurteilung der sicherheitstechnischen Relevanz von Modifikationen in verfahrenstechnischen Anlagen" basiert auf Vorkommnissen in Prozessanlagen, bei denen Modifikationen an Anlageteilen, Fahrweisen und Rezepturen keinem ausreichenden Änderungsmanagement unterzogen worden waren und in der Folge zu (Beinahe-) Ereignissen geführt haben. Den durchgeführten Modifikationen ist gemeinsam, dass sie als unwesentlich bzw. sicherheitstechnisch geringfügig (fehl-) eingeschätzt wurden und in mehreren Fällen kurzfristig (bzw. zur Beseitigung einer Produktionsstörung unter gefühltem zeitlichem Druck) durchgeführt wurden.

Das Merkblatt richtet sich insbesondere an Anlagenbetreiber sowie an Personen, die unmittelbar am Betriebsgeschehen beteiligt sind und Verantwortung für die Anlagensicherheit tragen, beispielsweise Verfahrensentwickler, Betriebsleiter, Störfallbeauftragte, betriebliche Führungskräfte wie Meister und Schichtführer sowie Verantwortliche in der Instandhaltung. Diese sollen auf mögliche Gefahren für Menschen und Umwelt hingewiesen und für besondere Gefahrenschwerpunkte sensibilisiert werden.

Das Merkblatt stellt eine zusätzliche Informationsquelle für den sicheren Betrieb und die Instandhaltung von Anlagen dar. Es ist sinngemäß auch auf Läger, Technika und Laboratorien anzuwenden, in denen Verfahren erforscht und entwickelt werden.

Das Merkblatt geht nicht näher auf rechtlich verpflichtende Aspekte (z.B. Anzeige- oder Genehmigungsverfahren nach BImSchG) ein. Diese sind unabhängig von dem Merkblatt in jedem Einzelfall vom Betreiber zu prüfen. Bei Betrieben, die unter die Störfall-Verordnung fallen, regelt das Sicherheitsmanagementsystem die Festlegung und Anwendung von Verfahren zur Planung von Änderungen bestehender Anlagen oder Verfahren oder Auslegung einer neuen Anlage oder eines neuen Verfahrens. Im anhängenden Checklistenbeispiel sind diese Verpflichtungen beispielhaft berücksichtigt.

Ziel des Merkblattes ist es, Verantwortliche und Ausführende vor Modifikationen durch

dahingehend zu sensibilisieren, dass von dem Vorhaben Auswirkungen auf das Sicherheitskonzept der Anlage, des Verfahrens oder der Arbeitsweisen ausgehen können und deshalb in ihrer möglichen Tragweite richtig eingeschätzt werden müssen. Die im Anhang dargestellte Checkliste stellt beispielhaft eine Hilfestellung zur schnellen Erstbeurteilung der sicherheitstechnischen Relevanz von Modifikationen in Anlagen dar.

Der Einsatz der Checkliste soll dabei zur Sensibilisierung dienen, dass für Modifikationen umfassende Kenntnisse erforderlich sind bzw. dass auch ein vermeintlicher 1:1-Austausch von Anlagenteilen hinterfragt werden sollte. Die aufgeführten Beispiele geben hierfür Zeugnis.

Modifikationen im Sinne dieses Merkblattes sind alle Maßnahmen, die einen Einfluss auf den sicheren Ablauf des Verfahrens haben können. Hierunter fallen z.B.:

Sicherheitstechnische Kenngrößen sind quantitative oder qualitative Aussagen über Stoff - und Reaktionseigenschaften, die für eine Beurteilung der Gefährlichkeit chemischer Stoffe und Reaktionsgemische sowie für die Festlegung konstruktiver, technischer und organisatorischer Schutzmaßnahmen maßgebend sind. Sicherheitstechnische Kenngrößen geben Aufschluss über mögliche Brand- und Explosionsgefahren sowie über das Reaktionsverhalten der Stoffe und stellen somit eine wesentliche Grundlage für ein angemessenes Sicherheitskonzept dar. Unerwünschte Ereignisse beim Umgang mit explosionsfähigen, brennbaren oder thermisch empfindlichen Stoffen sind oft darauf zurückzuführen, dass entsprechende Eigenschaften nicht ausreichend untersucht bzw. unbekannt waren (siehe hierzu auch Merkblatt R003 der BG RCI).

Sicherheitskultur ist die Gesamtheit aller Einstellungen und Verhaltensmerkmalen bei einzelnen Personen, Gruppen sowie ganzen Organisationen (Betrieben), wie mit Fragen zur Sicherheit umgegangen wird und wie diese ihrer Priorität entsprechende Aufmerksamkeit erhalten, bei spontanen Modifikationen z. B durch eine hinterfragende Grundhaltung bzw. konservative Entscheidungsfindung. Sie unterliegt einem ständigen Entwicklungs- bzw. Anpassungsprozess'.

Einführendes Beispiel für die sicherheitstechnische Relevanz von Modifikationen in verfahrenstechnischen Anlagen

In einem Rührbehälter wurde ein bekanntermaßen thermisch instabiles Zwischenprodukt aus einer gelösten Komponente und einem kontrolliert hinzu dosierten Feststoff hergestellt. Das Sicherheitskonzept des Rührbehälters basierte darauf, die Temperatur der vorgelegten Lösung auf maximal 60 °C zu begrenzen. Das Reaktionsgemisch wurde deshalb ausschließlich mit Warmwasser im Behältermantel beheizt. Bei Überschreitung des Temperaturwertes wurde die Zufuhr des Warmwassers und der Einsatzstoffe automatisch unterbrochen. Aufgrund der vorliegenden sicherheitstechnischen Untersuchungen des Reaktionsgemisches war damit der Abstand zur Zersetzungstemperatur ausreichend bemessen.

Im betrieblichen Alltag blieben beim Dosieren des Feststoffes Produktreste an der feuchten Wandung kleben. Zur Verbesserung der Prozessführung wurde an dem Rohr der Feststoffdosierung nachträglich eine Dampf-Begleitheizung installiert, um zu erreichen, dass die Wandung trocken bleibt. Der Ablauf der Dampfleitung wurde mit dem Warmwasserkreislauf des Heizmantels verbunden.

Eines Tages kam es völlig unerwartet zu einer Explosion, durch den darauf folgenden Brand wurden mehrere Mitarbeiter verletzt. Es entstand ein Sachschaden in Millionenhöhe. Durch einen unbemerkt geschlossenen Kugelhahn in der Warmwasser-Ablaufleitung war es zu einer Rückströmung des Dampfes in den Heizmantel des Behälters gekommen. Die erhöhte Temperatur löste die Zersetzung des Zwischenproduktes aus.

Bei der Modifikation fehlte eine konsequente Betrachtung der Eigenschaften der eingesetzten Produkte (thermisch instabil), der zusätzlich eingeführten Wärmequelle

(Begleitheizung), die Annahme der potenziellen Störung "Kugelhahn zu" und die sich daraus ergebenden Konsequenzen (Überschreiten der Zersetzungstemperatur mit anschließender Explosion und Folgebrand).

Vorgehensweise zur Beurteilung der sicherheitstechnischen Relevanz von Modifikationen in verfahrenstechnischen Anlagen

Das Erkennen der Gefahrenpotenziale, die infolge der Modifikation neu entstehen können, ist der Schlüsselschritt bei der Beurteilung aller Änderungen. Die Absicht, eine Modifikation vorzunehmen, muss stets hinterfragt werden, um bei potenziellen Auswirkungen auf die Sicherheit der Anlage das Vorhaben im Rahmen eines Management of Change (MOC) Prozesses, einer detaillierten systematischen Gefahrenanalyse (z.B. mittels PAAG/HAZOP) zu unterziehen.

Dieser erste Schritt, zu erkennen, ob und wieweit eine Modifikation, auch wenn diese unbedeutend erscheint, Einfluss auf die Sicherheit haben könnte, kann beispielsweise in einem Screeningverfahren mittels der dargestellten Checkliste (siehe Anhang) durchgeführt werden. Diese wurde von einem Unternehmen speziell für vermeintlich kleinere oder wenig komplexe Modifikationen und Änderungen entwickelt, die beispielsweise aufgrund betrieblicher Störungen möglichst kurzfristig realisiert werden sollen. Die Checkliste ersetzt somit nicht das MOC, sondern wird diesem als zusätzliche Filterfunktion vorangestellt, damit erkannt werden kann, ob eine Notwendigkeit für die Anwendung des MOC besteht. Zu einem MOC gehören:

Mit Hilfe der Checkliste werden alle relevanten Themenkomplexe abgefragt. Dabei ist es wichtig, dass die gestellten Fragen ehrlich und valide beantwortet werden. Falls gemäß der Checkliste ein Sicherheitsgespräch erforderlich ist oder eine der Fragen nicht oder nur mit Unsicherheiten beantwortet werden kann, muss eine detaillierte Gefahrenanalyse erfolgen bevor die Modifikation durchgeführt werden kann.

Für durchzuführende Modifikationen muss das Weisungsrecht im Rahmen betrieblicher Abläufe dokumentiert (Stellenbeschreibung, Delegationsschreiben), kommuniziert (Unterweisung) und entsprechend umgesetzt sein (Sicherheitsmanagementsystem).

Dazu gehören insbesondere folgende Elemente einer positiven gelebten Sicherheitskultur:

Zur Vermeidung von HF-Emissionen wurde in einer Anlage zur Synthese eines fluorierten Kohlenwasserstoffes eine zusätzliche Rückspülleitung installiert, um Fremdgase, die bei der Aktivierung des eingesetzten Katalysators erforderlich waren, mit Prozessgas verdrängen zu können. Bei der Inbetriebnahme dieser Leitung kam es zu einer Explosion mit Totalverlust der Syntheseanlage.

Nach Prüfung des Sicherheitsdatenblattes war man davon ausgegangen, dass der als Prozessgas verwendete Fluorkohlenwasserstoff unbrennbar sei, da im Sicherheitsdatenblatt stand "Bildet unter Normalbedingungen keine zündfähigen Gemische". Die "Normalbedingungen", unter denen sicherheitstechnischen Kenngrößen in der Regel ermittelt werden, sind 1 barabs, 20 °C sowie Luft in der atmosphärischen Zusammensetzung. Allerdings wurde die Prozessanlage beim bestimmungsgemäßen Betrieb mit einem Überdruck von 7-8 bar und Temperaturen bis 400 °C betrieben.

Bei der Übertragung der sicherheitstechnischen Kenngrößen wurde nicht berücksichtigt, dass die Explosionsgrenzen sich bei Änderung der Randbedingungen - hier Druck und Temperatur - erheblich verschieben können. Gleiches gilt im Übrigen auch für einen erhöhten Sauerstoffanteil in der Atmosphäre. Bei der Verwendung sicherheitstechnischer Kenngrößen in einem Sicherheitskonzept muss darauf geachtet werden, ob die genutzten Daten unter Betriebsbedingungen noch aussagekräftig sind.

Bedingt durch eine Unterbrechung im Produktionsprozess - eine Förderpumpe war ausgefallen - musste ein ausreagierter Reaktionsansatz eines neuartigen Polyesters länger als geplant bei Temperaturen bis 300 °C flüssig gehalten werden. Nach zwei Tagen kam es zu einer Gasentwicklung und zu einem Brand in der Anlage.

Da sich der neue Polyester von den bekannten Analogen nur durch um eine CH₂-Gruppe kürzere Kettenlänge unterschied, ging man bei der Entscheidung, den Polyester länger bei der hohen Temperatur zu belassen, davon aus, dass die thermische Stabilität vergleichbar sei. Bei dem Analogieschluss wurde nicht berücksichtigt, dass durch die Strukturänderung ein Zerfallsprozess, der zur Bildung von Acetaldehyd führt, ermöglicht wurde. Der gebildete Acetaldehyd hat eine Zündtemperatur von nur 135 °C und entzündete sich beim Austritt an der heißen Oberfläche des Reaktors.

Zum Eintrag von Hydroxylaminhydrochlorid war vorgesehen, den rieselfähigen Feststoff mittels Vakuum-Saugförderung in den Reaktionsbehälter zu dosieren. Aufgrund einer Änderung des Lieferanten war es erforderlich, auf die Schnelle eine Förderschnecke einzusetzen, da mit dem nun klebrigen Produkt eine Saugförderung nicht möglich war. Beim Aufheizen auf Reaktionstemperatur kam es zu einem unerklärlichen Temperatur- und Druckanstieg. Der Ansatz musste verworfen werden.

Man war davon ausgegangen, dass die Schneckenförderung eine gleichwertige Alternative zur Saugförderung sei. Es wurde bei der Umstellung des Förderprinzips nicht berücksichtigt, dass beim Transport mit einer Förderschnecke es immer zu einem intensiven Kontakt zwischen Medium und Metalloberfläche kommt, der metallische Verunreinigungen im Förderprodukt zur Folge haben kann. Im vorliegenden Fall hatte das eingetragene Eisen den katalytisch begünstigten Zerfall des Hydroxylaminhydrochlorids ausgelöst.

Ein 1000 m³ großer Lagerbehälter wurde zur Verschrottung vorbereitet. Dazu wurde er mit Wasser gespült und mit Wasserdampf "ausgekocht". Bei einem einsetzenden Gewitterregen nach dem Reinigungsschritt wurde die Wandung des Behälters eingebeult und deformiert.

Zur Vermeidung von Geruchsbelästigungen während des Ausdampfens hatte jemand in guter Absicht spontan die offenen Flansche mit Aluminiumfolie abgedeckt.

Durch den heftigen Gewitterregen kühlte sich der Behälter plötzlich stark ab. Dadurch kondensierte der Wasserdampf an der Behälterinnenwand, ohne dass durch die abgedeckten Flansche im gleichen Maße Luft von außen nachströmen konnte. Der Behälter wurde durch den Unterdruck stark eingebeult.

Die Auswirkungen, die sich durch Schwankungen der Umgebungsbedingungen auf die Temperatur- und Druckverhältnisse im Innern des Behälters ergeben, waren beim Abdecken nicht bedacht worden.

An einem Dieselaggregat brach ein Feuer aus. Ein Beschäftigter bemerkte einen brennenden Treibstoffstrahl über dem Motor und leitete die notwendigen Notfallmaßnahmen ein, das Feuer wurde schnell durch die CO₂-Löschanlage gelöscht. Niemand wurde verletzt.

An dem Motor war die metallische Verschraubung der Treibstoffzufuhr zur einfacheren Montage an drei von vier Einspritzstellen durch Gummischläuche ersetzt worden.

Einer der Schläuche versagte und führte zu einer Leckage. Treibstoff sprühte auf heiße Motorteile, die als Zündquelle wirkten.

Bei der Änderung war nicht die Bedeutung des ursprünglichen Designs berücksichtigt worden. So wurde der Einfluss der Änderung nicht verstanden.

Ein Filter auf der Saugseite einer Pumpe verstopfte häufig. Deswegen sollte der Druck des Filters in der Messwarte angezeigt werden. Hierzu wurde eine Leitung mit einem Drucktransmitter eingebaut. Nach einigen Jahren riss die Leitung auf und brennbares Material trat in die Atmosphäre aus. Dieses entzündete sich, woraus sich ein Brand entwickelte, der den ganzen Betrieb zerstörte.

Um die Einbauzeit gering zu halten, hatte man einen Abzweig an der vorhandenen Leitung für die örtliche Druckanzeige gewählt, um hier einen Drucktransmitter einzusetzen. Da es eilig und die Änderung nicht auf Dauer bestimmt war, nahm man eine dünner ausgeführte Verrohrung in Kauf.

Der Einbau der Messleitung, die starken Vibrationen ausgesetzt war, entsprach nicht den Standards (Werksnormen), wurde aber als befristete Installation akzeptiert. Nachdem die Ursache für die Filterverstopfungen beseitigt worden war, brauchte man die befristete Installation des Drucktransmitters samt Verrohrung nicht mehr; doch diese wurden nie entfernt. Als "temporäre" Einrichtung wurde dem Transmitter weder Aufmerksamkeit noch Inspektion/Wartung zuteil. Die Modifikation wurde später nicht im Sinne eines MOC überprüft.

Die Auswirkungen, die aus einer nichtspezifikationsgerechten Auslegung und besonderen Betriebsbedingungen resultieren, wurden aufgrund der zeitlichen Befristung nicht hinterfragt. Befristete Modifikationen benötigen genauso wie dauerhafte Modifikationen eine gründliche Gefahrenanalyse.

Ein nicht mehr benötigter Rohrleitungsabschnitt in einer Raffinerie wurde bei einer Anlagenänderung außer Betrieb genommen.

Nach einer Kälteperiode trat über den stillgelegten Abschnitt Propan aus und entzündete sich. Der anschließende Brand verletzte vier Menschen, die Raffinerie stand lange still.

Die ungenutzte Rohrleitung war nicht demontiert und nicht durch Steckscheiben, sondern nur mittels geschlossener Armaturen vom laufenden Prozess abgetrennt worden, was als ausreichend angesehen wurde. Das im Prozess verarbeitete flüssige Propan enthielt Spuren von Wasser. Eine Verunreinigung im Sitz einer der Armaturen verhinderte, dass diese vollständig schließen konnte. Es drang wasserhaltiges Propan in den ungenutzten Rohrleitungsabschnitt ein und sammelte sich an einer tiefer gelegenen Stelle. Während der Kälteperiode gefror das Wasser, dehnte sich aus und verursachte einen Riss in der Leitung. Als es wieder wärmer wurde und das Eis schmolz, trat Propan aus dem laufenden Prozess durch die undichte Armatur und den Riss in der Leitung ins Freie. Es bildete sich eine große Gaswolke, die zündete.

Die Kombination technischer Unzulänglichkeiten (in diesem Fall die intern undichte Armatur), stofflicher Besonderheiten (Spuren von Wasser im Propan) und der Situation (Leitungsverlauf und Einfluss der Witterungsbedingungen) führten zu einer Fehleinschätzung der Änderung "Stilllegung der Rohrleitung".

Interne Ereignisdatenbank der KAS bei der BAM Bundesanstalt für Materialforschung und -prüfung.

IVSS, Sektion Chemie: Instandhaltung und Änderungen. Besondere Gefährdungen und Risiken bei Prozessanlagen (ISSA-04, http://downloadcenter.bgrci.de/shop/ivss)

MAHB-Bulletin: Management of Change
(https://minerva.jrc.ec.europa.eu/en/shorturl/minerva/managementofchangefinalv1formatted.pdf)

*) Diese Definition ist angelehnt an eine Definition der Reaktorsicherheitskommission (RSK) von 2002 und entsprechend ergänzt. Sie ist eine Kurzfassung der Definition aus dem Bericht KAS-7.