Methodik zur Durchführung einer Quantitativen ... · 2.2.1 Purple Book ... 2.2.3 Accident Risk Assessment Methodology for Industries – ARAMIS ..... 10 2.2.4 Methodisches Vorgehen

Methodik zur Durchführung einer Quantitativen Risikoanalyse unter Berücksichtigung des Standes der Sicherheitstechnik bei Störfall-Anlagen in Deutschland

vorgelegt von Dipl.-Ing. Yvonne Drewitz

aus Eichwalde

Fakultät III – Prozesswissenschaften der Technischen Universität Berlin

zur Erlangung des akademischen Grades

Doktorin der Ingenieurwissenschaften - Dr.-Ing. -

genehmigte Dissertation

Promotionsausschuss:

Vorsitzender: Prof. Dr.-Ing. Prof. e.h. Dr. h.c. G. Tsatsaronis (TU Berlin) Gutachter: Prof. Dr.-Ing. J. Steinbach (TU Berlin) Gutachter: Dr.-Ing. A. Acikalin (BAM) Gutachter: Dr.-Ing. B. Schalau (BAM)

Tag der wissenschaftlichen Aussprache: 05.12.2011

Berlin 2012

D83

II

Inhaltsverzeichnis

1 Einleitung und Zielsetzung ................................................................................................ 1

2 Grundlagen.......................................................................................................................... 4

2.1 Ablauf einer Risikoanalyse ............................................................................................. 4

2.2 Methoden Quantitativer Risikoanalysen ........................................................................ 7 2.2.1 Purple Book................................................................................................................ 7 2.2.2 Layer of Protection Analysis – LOPA .......................................................................... 9 2.2.3 Accident Risk Assessment Methodology for Industries – ARAMIS ........................... 10 2.2.4 Methodisches Vorgehen der Schweiz....................................................................... 12 2.2.5 Ansätze in Deutschland ............................................................................................ 13

2.3 Risikogrenzwerte bzw. Risikoakzeptanzkriterien ........................................................ 15

2.4 Zusammenfassende Bewertung der Methoden zur Quantitativen Risikoanalyse .... 18

3 Entwicklung einer Methodik zur Durchführung einer QRA in Deutschland.................. 25

3.1 Grundsätze der Methodik ............................................................................................. 25

3.2 Gefahrenanalyse ........................................................................................................... 26

3.3 Grund- und Betriebsrisiko ............................................................................................ 30 3.3.1 Berechnung der Ausfalldaten ................................................................................... 32

3.4 Szenarienentwicklung ................................................................................................... 33

3.5 Ausfalldaten für das Grund- und Betriebsrisiko ......................................................... 34 3.5.1 Grundrisiko ............................................................................................................... 34 3.5.2 Betriebsrisiko ............................................................................................................ 64

3.6 Auswirkungen von Störfallablaufszenarien ................................................................ 70 3.6.1 Verwendete Modelle zur Störfallauswirkungberechnung .......................................... 70 3.6.2 Störfallbeurteilungswerte .......................................................................................... 71 3.6.3 Probit-Funktion ......................................................................................................... 75

3.7 Zündwahrscheinlichkeit ................................................................................................ 92 3.7.1 Festlegung von Nutzungstypen ................................................................................ 93 3.7.2 Zündwilligkeit von brennbaren Stoffen ...................................................................... 98

3.8 Risikoberechnung ....................................................................................................... 108 3.8.1 Meteorologische Gegebenheiten ............................................................................ 108 3.8.2 Rechengitter ........................................................................................................... 109 3.8.3 Individualrisiko ........................................................................................................ 109 3.8.4 Gruppenrisiko ......................................................................................................... 110

III

3.9 Sicherheitsmanagementsystem ................................................................................. 111

4 Anwendung der entwickelten Methodik zur Quantitativen Risikoanalyse an Beispielanlagen............................................................................................................... 113

4.1 Vorbemerkungen ......................................................................................................... 113

4.2 Flüssiggaslagerbehälteranlage .................................................................................. 113 4.2.1 Beschreibung der Flüssiggasanlage ....................................................................... 113 4.2.2 Szenarienentwicklung der Flüssiggasanlage .......................................................... 114 4.2.3 Auswirkungsbetrachtungen der Flüssiggasanlage .................................................. 118 4.2.4 Ermittlung des Anlagenrisikos der Flüssiggasanlage .............................................. 120

4.3 Untersuchungen der Ammoniakkälteanlagen ........................................................... 140 4.3.1 Beschreibung der Ammoniakkälteanlagen.............................................................. 140 4.3.2 Szenarienentwicklung der Ammoniakanlagen ........................................................ 140 4.3.3 Auswirkungsbetrachtungen der Ammoniakkälteanlagen......................................... 141 4.3.4 Ermittlung des Anlagenrisikos der NH3-Kälteanlagen ............................................. 142

4.4 Untersuchung der Produktionsanlage für Fluorwasserstoff .................................... 157 4.4.1 Beschreibung der Fluorwasserstoffanlage .............................................................. 157 4.4.2 Szenarienentwicklung der HF-Anlage..................................................................... 158 4.4.3 Auswirkungsbetrachtungen der HF-Anlage ............................................................ 158 4.4.4 Einfluss der technischen störfallbegrenzenden Maßnahmen auf das Anlagenrisiko 160

5 Ableitung von Risikogrenzwerten ................................................................................. 164

6 Zusammenfassung und Ausblick .................................................................................. 165

6.1 Zusammenfassung ...................................................................................................... 165

6.2 Ausblick ....................................................................................................................... 168

7 Literatur ........................................................................................................................... 169

8 Anhang ............................................................................................................................ 176

IV

Abbildungsverzeichnis Abbildung 1: Ablauf einer Risikoanalyse ...................................................................................... 4 Abbildung 2: Darstellung des Individualrisikos und des Gruppenrisikos einer fiktiven Anlage

(F-N-Diagramm) nach [31] ....................................................................................... 7 Abbildung 3: Unabhängige Schutzbarrieren gegen unerwünschte Auswirkungen [38] ................. 9 Abbildung 4: Vorgehen in ARAMIS in Anlehnung an [32] ........................................................... 11 Abbildung 5: Schadensindikatoren der Schweiz [29] .................................................................. 17 Abbildung 6: Wahrscheinlichkeits-Ausmaß-Diagramm [29] ........................................................ 17 Abbildung 7: Ablauf der Methodik .............................................................................................. 25 Abbildung 8: Einhüllende Risikokontur einer Rohrleitung ........................................................... 45 Abbildung 9: Flächen ohne Risiko einer Schädigung in Abhängigkeit des Abstandes der

Leckagen ............................................................................................................ 45 Abbildung 10: Verhältnis Flächemax. Risiko zu Flächeohne Risiko in Abhängigkeit des Abstandes

der Leckagen ...................................................................................................... 46 Abbildung 11: Risikokonturen der Rohrleitungsleckagen - Leckabstand auf der Grundlage

eines 5-mm-Lecks ............................................................................................... 47 Abbildung 12: Risikokonturen der Rohrleitungsleckagen – Leckabstand auf der Grundlage

eines 22-mm-Lecks ............................................................................................. 48 Abbildung 13: Äquivalente Einfangfläche Ad für direkte Blitzeinschläge in eine freistehende

bauliche Anlage nach Dehn [83] .......................................................................... 63 Abbildung 14: Bestrahlungsstärke eines Propanlachenbrandes mit einem Durchmesser von

10 m .................................................................................................................... 76 Abbildung 15: Letalitätswahrscheinlichkeit in Abhängigkeit des Abschneidekriteriums Safe

mit variierenden Expositionszeiten ...................................................................... 77 Abbildung 16: Vergleich der Entzündungskriterien für Bekleidung [104] ..................................... 80 Abbildung 17: Letalitätswahrscheinlichkeit von Lachenbränden mit variierendem

Lachenradius in Abhängigkeit des Fluchtverhaltens ............................................ 83 Abbildung 18: Konzentrationsverlauf der Fluorwasserstofffreisetzung im Vergleich zum

AEGL-3-Wert....................................................................................................... 85 Abbildung 19: Vergleich der Probit-Funktionen für eine Fluorwasserstofffreisetzung

(Expositionszeit: 600 s) ....................................................................................... 86 Abbildung 20: Vergleich der Probit-Funktionen für eine Fluorwasserstofffreisetzung

(Expositionszeit: 3600 s) ..................................................................................... 87 Abbildung 21: Probit-Vergleich Green Book für Fluorwasserstofffreisetzungen mit

unterschiedlichen Massenströmen ...................................................................... 88 Abbildung 22: Explosionsüberdruck im Vergleich zu den Grenzwerten für Trommelfellriss

und untere Grenze für Lungenschäden ............................................................... 90 Abbildung 23: Schadenswahrscheinlichkeit Trommelfellriss ....................................................... 91 Abbildung 24: Schadenswahrscheinlichkeit Lungenschäden ..................................................... 92 Abbildung 25: Zündwahrscheinlichkeit in Abhängigkeit des Stoffeinflusses.............................. 107 Abbildung 26: Häufigkeitsverteilung der Winde für den Standort der Flüssiggasanlage ........... 119 Abbildung 27: Geschwindigkeitsverteilung der Winde für den Standort der

Flüssiggasanlage .............................................................................................. 119 Abbildung 28: Grundrisiko der Flüssiggasanlage [1/a].............................................................. 120 Abbildung 29: Betriebsrisiko der Flüssiggasanlage [1/a] .......................................................... 121

V

Abbildung 30: Anlagenrisiko (gesamt) der Flüssiggasanlage [1/a] ........................................... 122 Abbildung 31: Anlagenrisiko der Flüssiggasanlage [1/a] unter Verwendung des

Zündwahrscheinlichkeitsmodells von Cox ......................................................... 124 Abbildung 32: Anlagenrisiko der Flüssiggasanlage [1/a] ohne stoffspezifische

Unterscheidung ................................................................................................. 125 Abbildung 33: Anlagenrisiko der Flüssiggasanlage [1/a] unter Berücksichtigung der

störfallbe-grenzenden Maßnahmen durch die Feuerwehr.................................. 127 Abbildung 34: Anlagenrisiko der Flüssiggasanlage [1/a] unter Berücksichtigung der

störfallbe-grenzenden Maßnahmen durch das Betriebspersonal ....................... 127 Abbildung 35: Anlagenrisiko der Flüssiggasanlage [1/a] mit oberirdischer

Rohrleitungsführung .......................................................................................... 128 Abbildung 36: Anlagenrisiko der Flüssiggasanlage [1/a] mit oberirdischer

Rohrleitungsführung und Rohrleitungsbrücken .................................................. 129 Abbildung 37: Radius einer Propanlache, Massenstrom: 404 kg/s für 2 s ................................ 131 Abbildung 38: Anlagenrisiko der Flüssiggasanlage [1/a] mit oberirdischer

Rohrleitungsführung und -brücken, Branddurchmesser berechnet über Verdampfungsberechnung ................................................................................ 133

Abbildung 39: Anlagenrisiko der Flüssiggasanlage [1/a] auf Basis von Grenzwerten (Wärmestrahlung: 32,9 kW/m2, Lungenschäden: 0,85 bar) ............................... 135

Abbildung 40: Anlagenrisiko der Flüssiggasanlage [1/a] auf Basis von Probit Funktionen (Tod durch Wärmestrahlung von Tsao & Perry, Tod durch Lungenschäden des Green Book) ............................................................................................... 135

Abbildung 41: Anlagenrisiko der Flüssiggasbehälteranlage [1/a] unter Berücksichtigung der Fluchtmöglichkeit .............................................................................................. 137

Abbildung 42: Anlagenrisiko der Flüssiggasanlage [1/a] mit oberirdischer Rohrleitungsführung ohne Berücksichtigung der Fluchtmöglichkeit, Beurteilungskriterium: Probit-Funktion ............................................................... 138

Abbildung 43: Anlagenrisiko der Flüssiggasanlage [1/a] mit oberirdischer Rohrleitungsführung unter Berücksichtigung der Fluchtmöglichkeit ................... 139

Abbildung 44: Häufigkeitsverteilung der Winde für den Standort der NH3-Kälteanlage A ......... 141 Abbildung 45: Geschwindigkeitsverteilung der Winde für den Standort der

NH3-Kälteanlage A ............................................................................................ 141 Abbildung 46: Anlagenrisiko (gesamt) der NH3-Kälteanlage A [1/a] ......................................... 143 Abbildung 47: Anlagenrisiko (gesamt) der NH3-Kälteanlage B [1/a] ......................................... 144 Abbildung 48: Anlagenrisiko (gesamt) der NH3-Kälteanlage B [1/a] ohne Abscheider im

Freien ................................................................................................................ 145 Abbildung 49: Anlagenrisiko der NH3-Kälteanlage B [1/a] ohne sicherheitstechnische

Prüfung nach § 29 a BImSchG .......................................................................... 147 Abbildung 50: Anlagenrisiko der NH3-Kälteanlage A [1/a] auf Basis der Probit-Funktion von

Cavey [108] ....................................................................................................... 149 Abbildung 51: Anlagenrisiko der NH3-Kälteanlage A [1/a] auf Basis der Probit Funktion,

abgeleitet aus den AEGL-Werten ...................................................................... 154 Abbildung 52: Anlagenrisiko der NH3-Kälteanlage B [1/a] auf Basis der Probit Funktion,

abgeleitet aus den AEGL-Werten ...................................................................... 155 Abbildung 53: Anlagenrisiko der HF-Anlage ohne Berieselungseinrichtung [1/a]...................... 161

VI

Abbildung 54: Anlagenrisiko der HF-Anlage [1/a] mit Inbetriebnahme der Berieselungseinrichtung von Hand .................................................................... 162

Abbildung 55: Anlagenrisiko der HF-Anlage [1/a] mit Inbetriebnahme der Berieselungseinrichtung mittels Gaswarneinrichtung......................................... 163

Tabellenverzeichnis Tabelle 1: Europäische Risikogrenz- bzw. akzeptanzwerte ........................................................ 18 Tabelle 2: Übersicht der analysierten Methoden ........................................................................ 20 Tabelle 3: Zusammenstellung der Gefahrenquellen ................................................................... 27 Tabelle 4: Beispielhafte systematische Gefahrenanalyse mittels Checklistenverfahren ............. 30 Tabelle 5: Ursachen des Versagens von Rohrleitungen in der chemischen Industrie ................. 35 Tabelle 6: Ausfallhäufigkeit der Rohrleitungen nach [16] ............................................................ 35 Tabelle 7: Ausfallhäufigkeit der Rohrleitungen nach API 581 [68] .............................................. 36 Tabelle 8: Analyse der Ursachen von Leckagen in Offshore-Anlagen [63] ................................. 38 Tabelle 9: Leckagehäufigkeit von Rohrleitungen aus [59] .......................................................... 39 Tabelle 10: Modifizierte Leckagehäufigkeit von Rohrleitungen in Anlehnung an [59] .................. 40 Tabelle 11: Leckagehäufigkeit der Durchmesserklassen ............................................................ 40 Tabelle 12: Verteilung der Leckdurchmesser ............................................................................. 41 Tabelle 13: Leckannahmen bei Rohrleitungsleckagen ............................................................... 42 Tabelle 14: Leckagehäufigkeit bei Rohrleitung DN ≤ 100 ........................................................... 43 Tabelle 15: Leckagehäufigkeit bei Rohrleitung DN > 100 ........................................................... 43 Tabelle 16: Leckagehäufigkeit von Druckbehältern aus [59] ...................................................... 52 Tabelle 17: Leckagehäufigkeiten nach [61] ................................................................................ 52 Tabelle 18: Leckagehäufigkeiten Druckbehälter [18] .................................................................. 53 Tabelle 19: Leckagehäufigkeit für drucklos betriebene Lagerbehälter nach [18]......................... 54 Tabelle 20: Szenarien für ein Behälterversagen nach [16] ......................................................... 55 Tabelle 21: Vergleich Leckagehäufigkeiten Druckbehälter FRED, HBFF und Purple Book ........ 56 Tabelle 22: Verwendete Leckagehäufigkeiten an Behältern ....................................................... 58 Tabelle 23: Leckagehäufigkeiten für Pumpen nach [16] ............................................................. 59 Tabelle 24: Leckagehäufigkeit von Pumpen aus [59] ................................................................. 59 Tabelle 25: Leckagehäufigkeit von Pumpen aus [14] ................................................................. 60 Tabelle 26: Leckagehäufigkeit von Pumpen aus [62] ................................................................. 60 Tabelle 27: Leckagehäufigkeit von Pumpen für die weiteren Berechnungen .............................. 60 Tabelle 28: Leckagehäufigkeit von Verdichtern aus [59] ............................................................ 61 Tabelle 29: Leckagehäufigkeit von Verdichtern aus [14] ............................................................ 61 Tabelle 30: Leckagehäufigkeit von Verdichtern aus [62] ............................................................ 62 Tabelle 31: Relative Lage der baulichen Anlage – Umgebungskoeffizient Cd [83] ..................... 63 Tabelle 32: Versagenswahrscheinlichkeit von Armaturen aus [17] ............................................. 65 Tabelle 33: Versagenshäufigkeiten von Armaturen aus [14] ...................................................... 65 Tabelle 34: Versagenshäufigkeiten von Armaturen aus [15] ...................................................... 66 Tabelle 35: Leckagehäufigkeit für Schläuche und Gelenkarme nach [37] .................................. 67 Tabelle 36: Leckagehäufigkeit für Schläuche und Gelenkarme .................................................. 67 Tabelle 37: Versagenshäufigkeiten der Prozessleittechnik [15] .................................................. 69 Tabelle 38: Fehlerwahrscheinlichkeit bei Tätigkeiten des Personals [89] ................................... 69

VII

Tabelle 39: Übersicht der AEGL-Werte für den Stoff Ammoniak ................................................ 72 Tabelle 40: Übersicht der AEGL-Werte für den Stoff Fluorwasserstoff ....................................... 72 Tabelle 41: Schadensbilder in Abhängigkeit der Bestrahlungsstärke [97], [98], [24] ................... 73 Tabelle 42: Kritische Bestrahlungsstärken für brennbare Materialien [96] .................................. 73 Tabelle 43: Grenzwerte für Schadensbilder [99]......................................................................... 74 Tabelle 44: Grenzwerte für Schadensbilder [99]......................................................................... 74 Tabelle 45: Schadenstypen für die Ermittlung der Variable V [100] ............................................ 75 Tabelle 46: Probit-Funktionen - Tod durch Wärmeeinwirkung .................................................... 81 Tabelle 47: Probit-Konstanten für toxische Stoffe [108] .............................................................. 84 Tabelle 48: Probit-Funktionen für Personenschäden infolge von Explosionsereignissen in

Alonso [110] ............................................................................................................. 89 Tabelle 49: Übersicht der Nutzungstypen................................................................................... 96 Tabelle 50: Zoneneinteilung explosionsgefährdeter Bereiche und deren Auftreten pro Jahr ...... 97 Tabelle 51: Prozentualer Anteil von Zündquellen als Ursache von Explosionsereignissen

nach Cox [84] .......................................................................................................... 99 Tabelle 52: Übersicht der wahrscheinlichsten Zündquellen brennbarer Gemische nach

Crowl und Louvar [127] .......................................................................................... 100 Tabelle 53: Häufigkeit von Zündquellen in Prozessanlagen nach HSL [128] ............................ 100 Tabelle 54: Übersicht der Temperaturklassen brennbarer Stoffe und Betriebsmittel ................ 102 Tabelle 55: Zündung der Temperaturklassen ........................................................................... 103 Tabelle 56: Übersicht der Explosionsgruppen [130] ................................................................. 103 Tabelle 57: Stoffspezifische Faktoren ...................................................................................... 105 Tabelle 58: Zündwilligkeitsfaktoren in Abhängigkeit der Stoffgruppe ........................................ 106 Tabelle 59: Einteilung der Windgeschwindigkeitsklassen ......................................................... 109 Tabelle 60: Unerwünschte Ereignisse des Betriebsrisikos der Flüssiggasanlage ..................... 115 Tabelle 61: Unerwünschte Ereignisse des Grundrisikos der Flüssiggasanlage – Leckagen

an Druckbehältern ................................................................................................. 117 Tabelle 62: Unerwünschte Ereignisse des Grundrisikos der Flüssiggasanlage – Leckagen

an Rohrleitungen und Schläuchen ......................................................................... 117 Tabelle 63: Unerwünschte Ereignisse des Grundrisikos der Flüssiggasanlagen – Pumpen-

und Verdichterleckagen ......................................................................................... 118 Tabelle 64: Vergleich Branddauer [s] zu verschiedenen Zündzeitpunkten ............................... 132 Tabelle 65: Max. Risikowerte [1/a] der NH3-Kälteanlage A und B............................................. 144 Tabelle 66: Todeswahrscheinlichkeit bei Einsatz der AEGL-3-Werte in verschiedene Probit-

Funktionen [108] .................................................................................................... 150 Tabelle 67: Abweichung der Dosen der AEGL-3-Werte im Vergleich zur Dosis des AEGL-3-

Wertes für 60 min .................................................................................................. 152 Tabelle 68: Parameter der Probit-Funktion für Ammoniak ........................................................ 153 Tabelle 69: Schadenswahrscheinlichkeit der Probit-Funktion auf der Basis der Dosen der

AEGL-Werte für NH3 .............................................................................................. 153 Tabelle 70: Parameter der Probit-Funktion für Fluorwasserstoff und Oleum ............................ 159 Tabelle 71: Schadenswahrscheinlichkeit der Probit-Funktion auf der Basis der Dosen der

AEGL-Werte für HF ............................................................................................... 159 Tabelle 72: Schadenswahrscheinlichkeit der Probit-Funktion auf der Basis der Dosen der

AEGL-Werte für Oleum .......................................................................................... 159

VIII

Abkürzungsverzeichnis

AEGL Acute Exposure Guideline Levels ALARP as low as reasonably practicable ARAMIS Accidental Risk Assessment Methodology for Industries CPRQA Chemical Process Quantitative Risk Analysis EKW Eisenbahnkesselwagen ERPG Emergency Response Planning Guidelines ETA Event Tree Analysis EXIDA Safety Equipment Reliability Handbook FMEA Failure Mode and Effects Analysis FMECA Failure Mode and Effects and Criticality Analysis FTA Fault Tree Analysis FRED Failure Rate and Event Data for Use in risk assessment HAZOP/PAAG Hazard and Operability Study/Prognose von Störungen, Auffinden der

Ursachen, Abschätzung der Auswirkungen, Gegenmaßnahmen ableiten HSE Health & Safety Executive HSL Health & Safety Laboratory HF Fluorwasserstoff IBC Intermediate Bulk Container KAS Kommission für Anlagensicherheit KKS-Anlage Korrosionsschutzanlage LOPA Layer of Protection Analysis LUP Land Use Planning MHIDAS Major Hazard Incident Data Service (Datenbank) MIMAH Methodology for Identification of Major Accident Hazards OEG obere Explosionsgrenze OREDA Offshore Reliability Data Handbook PADHI Planning Advice for Developments near Hazardous Installations PLT Prozessleittechnik QRA Quantitative Risikoanalyse ROGA risikoorientierte Gefahrenanalyse SFK Störfall-Kommission TNO Nederlandse Organisatie voor Toegepast-Natuurwetenschappelijk

Onderzoek TKW Tankkraftwagen TRB Technische Regeln zur Druckbehälterverordnung UEG untere Explosionsgrenze SIL Safety Integrity Level SMS Sicherheitsmanagementsystem SLOT Specified Level of Toxicity

IX

Symbolverzeichnis

Symbol Beschreibung Einheit Ai mit brennbarem Stoff beaufschlagte Fläche des

Nutzungstyps i ha Cn toxische Konzentration mg/m3 DKl Strahlungsdosis zur Entzündung von Kleidung kW2s/m4 Ei Eintrittshäufigkeit eines Szenarios mit

Stofffreisetzung und anschließendem Brand, Explosion oder toxischer Gasausbreitung 1/a

H Häufigkeit 1/a i Impuls der Druckwelle bar s LC letale Konzentration mg/m3; ppm PI Individualrisiko 1/a Pef Überdruck der Druckwelle in Abhängigkeit der Körperposition zur Druckwelle bar Ps Überdruck der Druckwelle bar ̇ Bestrahlungsstärke kW/m2 ̇Safe Abschneidekriterium der Bestrahlungsstärke 1,6 kW/m2 R Risiko 1/a S Schadensausmaß ppm ta Zeitdauer, in der die Zündquelle aktiv ist min teff Expositionsdauer, effektiv während der Flucht s ti Zeit bis zur nächsten Aktivierung der Zündquelle min tk Zeitdauer des Kontaktes der Zündquelle mit dem

brennbaren Gas min tr Reaktionszeit s u Fluchtgeschwindigkeit m/s xo Entfernung vom Brandmittelpunkt m xs Entfernung vom Mittelpunkt des Brandes zum

„sicheren“ Abstand m Uci charakteristisches Windgeschwindigkeitsmaß der

Schwergaswolke (spontane Freisetzung) m/s “ 1 Zoll bzw. 1 Inch 2,54 cm

X

Verzeichnis der dimensionslosen Kenngrößen ai Wahrscheinlichkeit, dass die Zündquelle aktiv ist a Probit-Konstante b Probit-Konstante n Exponent Fak Windfaktor FEG Faktor Zündwilligkeit Explosionsgruppe Gas-Luftgemisch F Ausfallwahrscheinlichkeit FTK Faktor Zündwilligkeit Temperaturklasse Gas-Luftgemisch FRS Faktor Referenzstoff FST Faktor Stoff FZW Faktor Zündwilligkeit des Stoffgemisches QNZ Wahrscheinlichkeit der Nicht-Zündung

pi Zündpotenzial der Zündquelle PZ Zündwahrscheinlichkeit U Unverfügbarkeit Wj Wahrscheinlichkeit einer Wettersituation (Windrichtung,

Windgeschwindigkeit, Ausbreitungsklasse) WS Wahrscheinlichkeit, dass eine Person geschädigt wird WZ Wahrscheinlichkeit, dass die Gaswolke gezündet wird Y Probit-Wert Griechische Buchstaben µi Dichte der Zündquelle i 1/ ha λi Häufigkeit, mit der die Zündquelle in der Lage ist,

ein brennbares Gasgemisch zu zünden 1/min

XI

Danksagung

Die vorliegende Arbeit entstand in Zusammenarbeit mit der Bundesanstalt für Materialforschung – und prüfung, Fachgruppe II.1 „Gase, Gasanlagen“ im Zeitraum Januar 2008 bis Dezember 2011.

An dieser Stelle möchte ich allen meinen Dank aussprechen, die die Bearbeitung dieser Thematik und die Anfertigung dieser Arbeit ermöglichten.

Für die wissenschaftliche Betreuung und hilfsbereite Unterstützung bei der Erstellung dieser Arbeit bedanke ich mich bei Herrn Prof. Dr.-Ing. Jörg Steinbach, Technische Universität Berlin.

Herrn Prof. Dr.-Ing. Prof. e.h. Dr. h.c. George Tsatsaronis, Technische Universität Berlin, danke ich für den Vorsitz des Promotionsausschusses.

Herzlich bedanken möchte ich mich bei Frau Dr.-Ing. Aydan Acikalin, Bundesanstalt für Materialforschung – und prüfung, für die wertvollen Verbesserungsvorschläge zu meiner Arbeit. Durch ihre stetige Bereitschaft zu kritischen Diskussionen bereicherte sie diese Arbeit und förderte dadurch deren Weiterentwicklung.

Besonderer Dank gilt Herrn Dr.-Ing. Bernd Schalau, Bundesanstalt für Materialforschung – und prüfung für sein fortwährendes Interesse an dieser Arbeit und die vielen Anregungen weit über den Rahmen der wissenschaftlichen Betreuung hinaus. Sowohl sein Fachwissen als auch die unentwegte Motivation und das in mich gesetzte Vertrauen haben maßgeblich zum Gelingen dieser Arbeit beigetragen.

Nicht zuletzt bin ich meiner Familie und meinem Lebenspartner zu tiefsten Dank verpflichtet. Auch wenn eine Dissertation ein hohes Maß an Durchhaltevermögen, Selbstdiziplin und persönlichen Verzicht voraussetzt, wäre ohne ihre moralische Unterstützung in schwierigen Situationen diese Arbeit nicht denkbar gewesen.

Eichwalde, Dezember 2011 Yvonne Drewitz

XII

Abstract (deutsch)

Kurzfassung:

Drewitz, Yvonne Methodik zur Durchführung einer Quantitativen Risikoanalyse unter Berücksichtigung des Standes der Sicherheitstechnik bei Störfall-Anlagen in Deutschland

Zur Ermittlung und Bewertung von Risiken verfahrenstechnischer Anlagen existieren international verschiedene Vorgehensweisen, die sowohl deterministisch als auch probabilistisch geprägt sind. In Deutschland ist es geübte Praxis, die Gefährdungen von Anlagen, die der Störfall-Verordnung unterliegen, mithilfe einer deterministischen Betrachtungsweise zu beurteilen.

In mehreren Mitgliedsstaaten der EU werden dagegen Quantitative Risikoanalysen zur sicherheitstechnischen Bewertung von Anlagen eingesetzt. Für Deutschland ist nach Auffassung der Störfall-Kommission ein derartiges Vorgehen eine mögliche Ergänzung zur üblichen deterministisch geprägten Betrachtungsweise.

Die zur Verfügung stehenden Methoden und Ansätze zur Ermittlung und Bewertung des Anlagenrisikos sind sehr unterschiedlich. Diese Herangehensweisen können für Deutschland nicht uneingeschränkt übernommen werden, da die deutsche Sicherheitsphilosophie nicht abgebildet wird.

Ziel der Arbeit war deshalb, die Entwicklung einer praxisorientierten Vorgehensweise zur Durchführung einer Quantitativen Risikoanalyse, die sich durch die Kombination Methodik / Risikogrenzwert für Deutschland unter Berücksichtigung des Standes der Sicherheitstechnik auszeichnet. Die Entwicklung erfolgte aus ingenieurtechnisch-praxisorientierter Perspektive. Hierfür wurden die wesentlichen Einflussfaktoren der Quantitativen Risikoanalyse, wie z. B. die Ausfalldaten und Leckagehäufigkeiten der Anlagenteile, die Zündwahrscheinlichkeit brennbarer Stoffe sowie die Vor- und Nachteile der Beurteilungskriterien, diskutiert, Schwächen in der Modellierung der Auswirkungsbetrachtungen oder auch der Probit-Funktionen aufgezeigt und entsprechende Lösungsansätze vorgeschlagen.

Die entwickelte Methodik wurde an verschiedenen real existierenden Anlagen erprobt, die entsprechend des Standes der Technik/Sicherheitstechnik errichtet wurden und betrieben werden. Für die ausgewählten Anlagentypen ergeben sich in Abhängigkeit der verwendeten Stoffe Risikowerte an den Betriebsgrenzen im Bereich von 1*10-7 bis 5*10-6 [1/a], die im Vergleich zu europäischen und international gültigen Risikogrenzwerten akzeptable Werte darstellen.

Das im Rahmen dieser Arbeit entwickelte Konzept hält somit der internationalen Gegenüberstellung stand, wird aber gleichzeitig der deutschen Sicherheitsauffassung gerecht. Darüber hinaus steht mit dieser Methodik ein transparentes Instrumentarium für eine harmonisierte Vorgehensweise in Deutschland zur Durchführung einer Quantitativen Risikoanalyse zur Verfügung, das flexibel und praxisnah für verschiedene Anwendungsgebiete und Fragestellungen dieser nutzbar ist.

XIII

Abstract (englisch)

Drewitz, Yvonne

Method for carrying out a quantitative risk analysis taking into account current safety engineering practice for process plants in Germany

Various methods with both deterministic and probabilistic approaches are in use internationally for determining and evaluating the risks associated with process plants. The standard practice in Germany is to employ a deterministic approach when evaluating the risks associated with plants that are subject to the German Major Accident Ordinance (Störfall-Verordnung).

In contrast, in a number of EU member states quantitative risk analyses are used for the safety engineering evaluation of plants. According to the German Commission for Plant Safety (Kommission für Anlagensicherheit), this type of method can be used in Germany to supplement the standard approach, which is deterministic in nature.

There is great variation in the methods and approaches available for the determination and evaluation of plant risk. However, these approaches can only be applied to a limited extent in Germany as they do not reflect the standard safety philosophy in this country.

Accordingly, the aim of this thesis is to develop a practically oriented approach to carry out a quantitative risk analysis that is characterised by a combination of methodology and risk limit values for Germany, taking into account current safety engineering practice. This approach is developed from a practically oriented engineering perspective. Consideration is given to the main factors that influence a quantitative risk analysis such as failure data and leak frequencies for items of plant equipment, the ignition probability of flammable substances and the advantages and disadvantages of evaluation criteria. Weaknesses in the modelling of impact analyses and of probit functions are identified and corresponding improvements are proposed.

The method developed is tested on a number of real plants that were constructed and are operated in accordance with standard engineering and safety practice. Risk values at the operational limits within a range of 1*10-7 to 5*10-6 [1/a] result for the selected plant types depending on the substances present. These values are acceptable in comparison with the risk limit values that are valid in Europe and internationally.

The concept developed in the course of this thesis thus complies with international practice and is also compatible with the safety philosophy applied in Germany. This method provides a transparent instrument for achieving a harmonised approach for carrying out a quantitative risk analysis in Germany. It is flexible and practically oriented and can be used for various areas of application and for the issues that arise in these areas.

1

1 Einleitung und Zielsetzung

Zur Ermittlung und Bewertung von Risiken, die von verfahrenstechnischen Anlagen ausgehen, existieren international verschiedene Vorgehensweisen, die sowohl deterministisch als auch probabilistisch geprägt sind. In Deutschland ist es geübte Praxis, die Gefährdungen von Anlagen, die der Störfall-Verordnung [1] unterliegen, mithilfe einer deterministischen Betrachtungsweise zu beurteilen. Dabei ist in einem Sicherheitsbericht nach § 9 der Störfall-Verordnung darzulegen, dass die Gefahren von Störfällen ermittelt sowie alle erforderlichen Maßnahmen zur Verhinderung derartiger Störfälle und zur Begrenzung ihrer Auswirkungen auf Mensch und Umwelt ergriffen wurden. Die quantitative Bestimmung der Eintrittshäufigkeiten von Störfallszenarien wird jedoch nicht explizit gefordert.

In mehreren Mitgliedsstaaten der EU, wie z. B. in den Niederlanden und England, aber auch in der Schweiz, werden dagegen Quantitative Risikoanalysen (QRA) zur Bewertung von Anlagen in Genehmigungsverfahren und zur Flächennutzungsplanung eingesetzt. Hierzu wird mit quantitativen bzw. semiquantitativen Verfahren das Risiko der betrachteten Anlage durch Abschätzung der Häufigkeiten und der Auswirkungen möglicher störfallrelevanter Ereignisse ermittelt und anhand von gesellschaftlich akzeptierten Beurteilungsmaßstäben die Sicherheit der Anlage bewertet. Für Deutschland ist nach Auffassung der Störfall-Kommission (SFK-GS-41) [2] ein derartiges Vorgehen eine mögliche Ergänzung zur üblichen deterministisch geprägten Betrachtungsweise. Hierbei stellt sich die Frage, wie sich die QRA in das deutsche Störfallrecht einbinden lassen.

In Deutschland wird die sicherheitstechnische Bewertung von Anlagen u. a. mittels Gefährdungsanalysen vorgenommen. Dabei wird eine Aussage getroffen, inwiefern ausreichende Sicherheitsmaßnahmen nach §§ 4 und 5 der Störfall-Verordnung in der Anlage vorhanden sind. Ein Vergleich zwischen Sicherheitskonzepten hinsichtlich ihrer Wirksamkeit ist mit der deterministischen Vorgehensweise nicht möglich. Außerdem kann der risikominimierende Einfluss von zusätzlichen Sicherheitsmaßnahmen nicht beurteilt werden. Dies kann eine QRA leisten. Zudem können die gewonnenen Erkenntnisse einen zusätzlichen Informationsgewinn im Unterschied zu rein deterministisch geprägten Vorgehensweisen liefern.

Die Methoden und Ansätze zur Ermittlung und Bewertung des Risikos einer Anlage sind in den einzelnen europäischen Staaten sehr unterschiedlich. Diese Herangehensweisen können für Deutschland nicht uneingeschränkt übernommen werden, da die deutsche Sicherheitsphilosophie nicht abgebildet wird. In diesen Methoden werden oftmals die sicherheitstechnischen Einrichtungen in der verfahrenstechnischen Anlage nicht berücksichtigt und stattdessen nur Leckagehäufigkeiten an Anlagenteilen, wie z. B. Behältern und Rohrleitungen, betrachtet. Diese Sichtweise wird dem Stand der Sicherheitstechnik in Deutschland nicht gerecht, der nicht nur durch die Beschaffenheitsanforderungen an die Anlagenteile in Übereinstimmung mit einem entsprechenden Prüf- und Überwachungskonzept, sondern auch durch den Einsatz von PLT-Einrichtungen einen hohen Sicherheitsstandard gewährleistet. Für Deutschland muss daher eine Methodik unter Berücksichtigung der Anforderungen der Störfall-Verordnung entwickelt werden, die den Stand der Sicherheitstechnik bei Errichtung und Betrieb einer Anlage abbildet.

2

Ziel der Arbeit ist deshalb die Entwicklung einer praxisorientierten Vorgehensweise zur Durchführung einer QRA, die sich durch die Kombination Methodik / Risikogrenzwert für Deutschland unter Berücksichtigung des Standes der Sicherheitstechnik auszeichnet. Hierbei werden die folgenden Schwerpunkte untersucht:

- Für die Durchführung einer QRA werden anlagenspezifische Ausfalldaten der verfahrenstechnischen Einrichtungen benötigt. Der Mangel an Daten wird oftmals als wesentliches Hindernis für die Durchführung einer QRA genannt. Während z. B. im Bereich der Kerntechnik umfangreiche Datensammlungen [3] über die Zuverlässigkeitskenngrößen von Anlagenkomponenten zur Verfügung stehen, liegt Ähnliches für die chemische Industrie nicht vor. Ursache dafür ist, dass im Kerntechniksektor konstante Betriebsweisen mit gleicher Anlagentechnik zum Einsatz kommen, die eine Datenerhebung ermöglichen. In der chemischen Industrie weit verbreitet sind Vielzweckanlagen, in denen sehr unterschiedliche Prozesse ablaufen. Damit verbunden sind variierende Umgebungs- und Betriebsbedingungen, die die Datenerhebung sehr erschweren. Prinzipiell stehen jedoch Datenbanken zur Verfügung, denen Ausfalldaten von Anlagenkomponenten und von Prozessleittechnik entnommen werden können. Die Anwendbarkeit dieser Datensammlungen und die Übertragbarkeit auf zu betrachtende Anlagen sind jedoch kritisch zu hinterfragen, da die Zielsetzung der Datenerhebung sowie der Datenquelle sehr unterschiedlich sein kann. Vor diesem Hintergrund erscheint es sinnvoll, einen in sich konsistenten Datensatz für die Berechnungen aller Anlagentypen heranzuziehen, der im Rahmen dieser Arbeit erstellt wird.

- Neben den Ausfalldaten von Anlagenkomponenten ist insbesondere für Industrieanlagen, bei denen eine Freisetzung von brennbaren Stoffen nicht ausgeschlossen werden kann, die Zündwahrscheinlichkeit ein wesentlicher Parameter in der Risikoermittlung. Durch die Verwendung von konstanten Werten für die Zündwahrscheinlichkeit oder einfachen masse- oder massenstrombasierten Ansätzen ist eine individuelle Betrachtung der Anlagenstruktur unter Beachtung der vom Betreiber getroffenen Explosionsschutzmaßnahmen nicht möglich. Um diesem Problem Rechnung zu tragen, ist es erforderlich, ein Zündwahrscheinlichkeitsmodell zu entwickeln, welches eine Differenzierbarkeit zwischen unterschiedlichen Nutzungskonzepten des Betriebsgeländes und eine Bewertung von störfallbegrenzenden Maßnahmen ermöglicht sowie die Eigenschaften der brennbaren Stoffe berücksichtigt. Unter diesen Gesichtspunkten wird ein entsprechender Ansatz entwickelt.

3

- Für die Beurteilung von Stoff- und Energiefreisetzungen werden Auswirkungsbetrachtungen durchgeführt, wobei in Deutschland als Beurteilungskriterien Grenzwerte verwendet werden. Eine Alternative hierzu stellen sogenannte Probit-Funktionen dar, die die Wahrscheinlichkeit einer Personenschädigung in Abhängigkeit der Dosis ermitteln. Mit Hilfe dieser Vorgehensweise kann die Effektivität der störfallbegrenzenden Maßnahmen bei einer sehr geringen Expositionsdauer (<10 Minuten) aufgezeigt werden. Dies ist derzeit nicht möglich, da die Grenzwerte ab einer Expositionszeit von 10 Minuten (AEGL-Werte) festgelegt wurden. Die Erfahrungen zeigen jedoch, dass eine Vielzahl der Störfallszenarien eine kürzere Expositionsdauer besitzt. Deshalb wird im Rahmen dieser Arbeit auf der Grundlage von Vergleichsrechnungen überprüft, inwiefern die Verwendung von Probit-Funktionen im Gegensatz zu Grenzwerten qualifizierte Ergebnisse im Zusammenhang mit QRA liefern kann.

- Risikogrenzwerte liegen in Deutschland bis heute nicht vor. Darüber hinaus ist das Verständnis für Risiken bzw. die Risikowahrnehmung in Deutschland nicht besonders ausgeprägt, da nach [4] das Grundprinzip verfolgt wird, bei technischen Anlagen Sicherheitsnachweise zu verlangen, ohne einen quantitativen Bezug zu Risiken herzustellen. Die Basis zur Beurteilung von Risiken kann nur ein in gesellschaftlichen Diskussionen erzielter Konsens über tolerierbare Risiken sein, der letztendlich zu einer Ableitung von Risikogrenzwerten für Deutschland führen kann. In diesem Zusammenhang wird daher ein Risikogrenzwert für Störfall-Anlagen anhand der Ergebnisse dieser Arbeit als Diskussionsgrundlage vorgeschlagen.

Um eine Vergleichbarkeit und eine Nachvollziehbarkeit der Ergebnisse von QRA zu ermöglichen, muss eine harmonisierte Vorgehensweise zur Durchführung einer QRA in Deutschland vorliegen, die dadurch zu einer breiten Akzeptanz als probabilistisches Instrumentarium bei Betreibern und Genehmigungsbehörden führt. Dies soll die vorliegende Arbeit leisten.

4

2 Grundlagen

2.1 Ablauf einer Risikoanalyse

Das Instrument der Risikoanalyse wird international in der verfahrenstechnischen Industrie seit vielen Jahren genutzt, um das Anlagenrisiko bewerten zu können. Die immer komplexer werdenden Anlagen stellen zunehmend höhere Anforderungen an die Aussagekraft der Risikoanalysen. In der Literatur werden u. a. in Tixier [5], Khan [6] und Reniers [7] verschiedene Analysemethoden in Abhängigkeit der Zielsetzung, der Untersuchungstiefe und der verfügbaren Daten vorgestellt. Während bei qualitativen Vorgehensweisen nur das Schadensausmaß berechnet wird, werden bei quantitativen Verfahren zusätzlich die Häufigkeiten der Störfallszenarien ermittelt. Aus der Kombination der Häufigkeit (H) und des Schadensausmaßes (S) eines Störfallszenarios wird anschließend das Risiko (R) nach folgendem Zusammenhang berechnet: = (1)

Das prinzipielle Verfahren zur Durchführung einer QRA bei verfahrenstechnischen Anlagen wird im Bericht SFK-GS-41 [2] ausführlich dargestellt. Der Ablauf umfasst im Wesentlichen die in der folgenden Abbildung dargestellten Schritte.

Abbildung 1: Ablauf einer Risikoanalyse

5

In einem ersten Schritt wird der Umfang bzw. der Detaillierungsgrad der Untersuchung festgelegt sowie die Zielsetzung der QRA definiert. Dabei ist zu entscheiden, inwiefern das On-Site-Risiko (Risiko für Firmenmitarbeiter) oder Offsite-Risiko (Risiko für die Nachbarschaft) betrachtet werden soll. Daraufhin werden alle relevanten Informationen der Anlage, wie z. B. der Anlagenumgebung und des -standorts, Verfahrensbeschreibungen und -abläufe (R&I-Schemen), Art und Menge der gehandhabten Stoffe sowie Informationen zur sicherheitstechnischen Ausrüstung zusammengestellt. Anhand dieser System- und Prozessbeschreibung (Schritt 2) erfolgt die Auswahl der sicherheitsrelevanten Anlagen bzw. Anlagenteile, die einer systematischen Gefahrenanalyse unterzogen werden sollen.

Die Durchführung der systematischen Gefahrenanalyse (Schritt 3) ist ein zentraler Schritt einer QRA, da nicht erkannte Gefahren im weiteren Verlauf der QRA unberücksichtigt bleiben. Ziel ist es daher, eine umfassende Auflistung der möglichen Gefahren zu erhalten, die aus dem Betrieb der Anlage resultieren. Hierfür stehen verschiedene systematische Verfahren, wie z. B. HAZOP oder PAAG [8], Checklisten [9], FMEA [10], What-if [9], Formblätter oder Mischformen aus diesen Ansätzen, zur Verfügung. Für die einzelnen Gefahrenquellen werden die Eintrittsvoraussetzungen und die möglichen Auswirkungen ermittelt und den verhindernden Maßnahmen gegenüber gestellt. Die beispielhaft genannten Analysemethoden liefern in der Regel qualitative Aussagen. Die Methode der FMEA lässt darüber hinaus auf Grund der Bestimmung einer Risikoprioritätszahl auch quantitative Aussagen zu. Eine vergleichende Betrachtung dieser Methoden hinsichtlich ihrer Vor- und Nachteile sowie der Einsatzgebiete und Anwendungsmöglichkeiten ist u. a. in Reniers [7], [11] enthalten.

In einem nächsten Schritt erfolgt die Auswahl der Ereignisse (Schritt 4), die im weiteren Verlauf der QRA betrachtet werden. Dazu werden die analysierten Gefährdungen mit der Zielsetzung der QRA abgeglichen. Wurde die Betrachtung des Off-Site-Risikos als Ziel definiert, so werden z. B. die Ereignisse vernachlässigt, deren prognostizierte Auswirkungen auf das Betriebsgelände beschränkt bleiben.

Die Szenarienentwicklung (Schritt 5) kann mittels Ereignisbaumanalyse (Event Tree Analysis – ETA) [12] erfolgen. Hierbei handelt es sich um eine induktive Methode zur Entwicklung der möglichen Folgen bzw. Auswirkungen eines unerwünschten Ereignisses. Dabei können den einzelnen Verzweigungen des Ereignisbaums z. B. die Ausfalldaten der störfallbegrenzenden Einrichtungen und ggf. die Zündwahrscheinlichkeit zugeordnet werden.

In den nächsten Schritten der Häufigkeits- und Auswirkungsanalyse (Schritte 6 und 7) werden die Eintrittshäufigkeiten und das Schadensausmaß der unerwünschten Ereignisse ermittelt.

Die Eintrittshäufigkeit eines unerwünschten Ereignisses kann z. B. mit Hilfe der Fehlerbaumanalyse (Fault Tree Analysis – FTA) [13] anhand der Ausfalldaten der Anlagenkomponenten und der Prozessleittechnik sowie der Wahrscheinlichkeit des Auftretens eines menschlichen Fehlers durchgeführt werden. Die logische Verknüpfung der Komponenten erfolgt mittels UND- bzw. ODER-Gattern mit anschließender Berechnung auf der Grundlage der Boolschen Algebra.

Mit Hilfe dieser deduktiven Methode kann ausgehend von einem unerwünschten Ereignis auf den Fehler bzw. die Ursachen, die zu diesem Ereignis führten, geschlossen werden.

6

Auf der Basis der Ereigniseintrittshäufigkeit kann anschließend die Eintrittshäufigkeit der zu erwartenden Auswirkungen der Szenarien mittels ETA berechnet werden. Sowohl für die FTA als auch für die ETA werden Ausfalldaten benötigt. Diese können verschiedenen Datenbanken und Handbüchern, wie z. B. der OREDA-Datenbank [14], dem Safety Equipment Reliability Handbook [15], dem Purple Book [16], Lee`s [17] und dem in Belgien verwendeten Handbuch zu Fehlerhäufigkeiten [18], entnommen werden.

Für jedes entwickelte Szenario werden Auswirkungsbetrachtungen durchgeführt. Die Auswirkungen von Stoff- und Energiefreisetzungen sind im Wesentlichen toxische Emissionen, Brand und Explosion [19]. Zur Berechnung des Schadensausmaßes, insbesondere der Druckwellen, Wärmestrahlung und der Ausbreitung toxischer Stoffe, werden im Yellow Book [20], CPQRA [21] und der VDI-Richtlinie 3783 [22], [23] verschiedene Modelle und Ansätze vorgestellt.

Für die Abschätzung der Schwere des Schadensausmaßes werden in Deutschland Grenzwerte für ermittelte toxische Konzentrationen oder Dosis-Werte, Wärmestrahlungsstärken oder auch Druckeinwirkungen als Bewertungsmaßstab herangezogen. In verschiedenen Leitfäden der KAS werden Störfallbeurteilungswerte, wie z. B. für die Flächennutzungsplanung [24], empfohlen bzw. Konzepte zur Bewertung von Störfällen [25] vorgestellt. Eine weitere Möglichkeit zur Bewertung des Schadensausmaßes bilden die Probit-Funktionen, die auf Dosis-Wirkungs-Beziehungen beruhen [26]. Diese werden z. B. in den Niederlanden [16], Großbritannien und in der Schweiz [27], [28] eingesetzt.

Aus dem Schadensausmaß und der Eintrittshäufigkeit wird daraufhin das Risiko (Schritt 8) ermittelt. Zur Ermittlung von Personenrisiken wird das Individualrisiko oder auch das Gruppenrisiko [16], [21] herangezogen. Das Individualrisiko, dargestellt mit Hilfe von Iso-Risiko-Konturen (siehe Abbildung 2), gibt an, mit welcher Häufigkeit pro Jahr ein Mensch in Folge eines Störfallereignisses z. B. zu Tode kommt. Das Gruppenrisiko wird mit Hilfe eines F-N-Diagramms (frequency, number curve) abgebildet, wobei F die jährliche Eintrittshäufigkeit eines Ereignisses darstellt, nach der eine Gruppe von N Personen gleichzeitig an den Folgen dieses Ereignisses zu Tode kommt (siehe Abbildung 2). Neben Personenrisiken können zusätzlich Umweltrisiken und ökonomische Risiken [29], [30] betrachtet werden. Außerdem können so genannte Risiko-Indices, wie z. B. der Dow Fire and Explosion-Index (F&EI), Mortalitäts-Index oder der individuelle Gefährdungsindex (IHI), berechnet werden. In CPQRA [21] ist ein Überblick der verschiedenen Risiko-Indices enthalten.

7

Abbildung 2: Darstellung des Individualrisikos und des Gruppenrisikos einer fiktiven Anlage (F-N-Diagramm) nach [31]

Anschließend erfolgt die Risikobewertung (Schritt 9), indem das Risiko mit Beurteilungswerten bzw. Grenzwerten verglichen wird. Liegt das ermittelte Risiko unterhalb des Risikogrenzwertes, dann ist das von der Anlage ausgehende Risiko akzeptabel. Wird dieser Grenzwert überschritten, so sind Maßnahmen zur Risikoreduzierung (Schritt 10) durchzuführen und das Risiko erneut zu bewerten.

2.2 Methoden Quantitativer Risikoanalysen

Auf der Basis der im Kapitel 2.1 vorgestellten wesentlichen Elemente einer QRA wird in diesem Kapitel eine Auswahl unterschiedlicher Vorgehensweisen zur Ermittlung und Bewertung von Risiken verfahrenstechnischer Anlagen vorgestellt. Neben dem in den Niederlanden angewandten Verfahren (Purple Book [16]) und dem methodischen Vorgehen der Schweiz zur Risikoermittlung wird das in Europa durchgeführte Forschungsvorhaben ARAMIS (Accidental Risk Assessment Methodology for Industries) [32] erläutert. Außerdem wird das prinzipielle Verfahren der LOPA (Layer of Protection Analysis) [33] sowie in Deutschland entwickelte probabilistische Ansätze, wie z. B. das von der TÜV Rheinland Industrie Service GmbH entwickelte ROGA-Verfahren (risikoorientierte Gefahrenanalyse) [34] vorgestellt.

2.2.1 Purple Book

Das Purple Book [CPR 18] [16] beinhaltet eine relativ einfache aber vollständige und komplett vorgeschriebene Methode zur Durchführung einer QRA in den Niederlanden – für stationäre Anlagen im Teil 1 und für Gefahrguttransporte im Teil 2. Es fasst die wesentlichen Inhalte des Yellow Book [CPR 14E] [20], des Green Book [CPR16] [35] und des Red Book [CPR12E] [36] zusammen.

8

Auf der Grundlage eines Indexverfahrens werden die in einer QRA zu analysierenden Anlagenteile in Abhängigkeit der Gefahrstoffmenge und -eigenschaften und der Prozessbedingungen unter Beachtung der örtlichen Lage auf dem Betriebsgelände ermittelt.

Vorteilhaft an dieser schematischen Vorgehensweise ist, dass die im weiteren Verlauf einer QRA zu betrachtenden Anlagenteile schnell und problemlos identifiziert werden können. Als großer Nachteil wird jedoch angesehen, dass die QRA auf nur wenige Anlagenteile beschränkt bleibt und die konkreten Sicherheitseinrichtungen der Anlagen nicht berücksichtigt werden.

In einem nächsten Schritt werden für die ermittelten gefährlichen Anlagenteile die Freisetzungsszenarien (Loss of Containment Events) festgelegt. Dabei wird in allgemeine Freisetzungsszenarien bedingt durch z. B. Korrosion, Versagen von Ventilen, Konstruktions- und Herstellungsfehler, von außerhalb auf die Anlage einwirkende Freisetzungsszenarien, Freisetzungsszenarien bei Be- und Entladevorgängen sowie spezifische Freisetzungsszenarien in Abhängigkeit der Prozessbedingungen, des Anlagendesigns oder der eingesetzten Stoffe unterschieden. Bei der Festlegung der Szenarien sind nach dem Purple Book nur solche zu betrachten, deren Eintrittshäufigkeit größer als 10-8 pro Jahr ist und die zu einer 1-%igen Letalitätswahrscheinlichkeit außerhalb des Betriebsgeländes führen können. Szenarien mit einer Eintrittshäufigkeit ≤ 10-8 pro Jahr werden vernachlässigt. Dies ist in sofern plausibel, als dass diese Szenarien z. B. im weit akzeptierten Bereich unterhalb des ALARP-Bereichs liegen (siehe auch Kapitel 2.3). Somit entfällt die Erarbeitung der zeitaufwendigen Fehler- und Ereignisbäume und detaillierte Anlagenkenntnisse für die Durchführung der QRA sind nicht notwendig.

Die im Purple Book festgelegten Eintrittshäufigkeiten der Freisetzungsszenarien der Anlagenkomponenten, wie z. B. Tanks, Pumpen, Wärmetauscher und Rohrleitungen, sind als Orientierungswerte zu interpretieren, von denen in begründeten Fällen abgewichen werden kann. Sie basieren im Wesentlichen auf der COVO-Studie [37], die wiederum auf weitere Quellenangaben verweist. Ein nicht unbedeutender Anteil dieser Daten ist auf Expertenschätzungen zurückzuführen.

Nach der Festlegung der Freisetzungsszenarien mit den entsprechenden Eintrittshäufigkeiten sind die Auswirkungen in der Umgebung zu berechnen. Dazu werden Stoffkonzentration, Wärmestrahlung und Explosionsdruck in Abhängigkeit der Zeit und der Entfernung vom Freisetzungsort, auf der Basis von Probit-Funktionen ermittelt. Die zu verwendenden Modelle für die Ausbreitungsberechnungen sind im Yellow Book festgelegt worden, was eine Vergleichbarkeit der Ergebnisse erleichtert. Weiterhin wird die Zündwahrscheinlichkeit brennbarer Stoffe berücksichtigt, indem in sofortige Zündung und verzögerte Zündung unterteilt wird. Für die sofortige Zündung werden in Abhängigkeit der Art und der Menge der Freisetzung (kontinuierlich, spontan) und der Stoffeigenschaften (wenig reaktiv, stark reaktiv) Zündwahrscheinlichkeiten vorgegeben. Für die verzögerte Zündung wird ein Verfahren zur Berechnung der Zündwahrscheinlichkeiten unter Zugrundelegen von Zündquelleneigenschaften vorgestellt.

Auf der Grundlage der ermittelten Eintrittshäufigkeiten und der Auswirkungsbetrachtungen wird die Risikoermittlung durchgeführt. Dazu werden das Individual- und das Gruppenrisiko berechnet. Die abschließende Beurteilung des Risikos wird anhand von Grenzwerten (siehe

9

Ausführungen in Kapitel 2.3), die in den Niederlanden per Verordnung vorgegeben werden, vorgenommen.

2.2.2 Layer of Protection Analysis – LOPA

Mit Hilfe der semiquantitativen LOPA-Methode lässt sich eine einfache und ressourcenschonende Risikoermittlung durchführen, wobei der Fokus auf die vorhandenen Sicherheitseinrichtungen der Anlage und deren Effektivität gerichtet ist [33].

Die Methode der LOPA baut auf den Ergebnissen einer im Vorfeld durchgeführten qualitativen Gefährdungsanalyse, wie z. B. HAZOP bzw. PAAG, auf. Für die auf der Basis der HAZOP abgeleiteten Ereignisse wird jeweils nur ein unerwünschtes Ereignis pro LOPA untersucht, wobei für die weiteren Betrachtungen das Szenario mit der jeweils größten Auswirkung zugrunde gelegt wird. Für dieses Ereignis wird eine generische Eintrittshäufigkeit vorgegeben, die verschiedenen Datenbanken entnommen werden kann oder auch auf Erfahrungswerten der Firmen und Expertenmeinungen beruhen. Im Rahmen der LOPA sollen die Eintrittshäufigkeiten zu einem ganzzahligen Wert aufgerundet werden, da nur eine Größenordnung des Risikos abgeschätzt werden soll.

Somit wird in der LOPA auf die Fehlerbaumanalyse verzichtet.

Zur Verhinderung der Auswirkungen eines Szenarios werden in der LOPA voneinander unabhängige Schutzbarrieren, störfallverhindernde und störfallbegrenzende Maßnahmen angenommen (siehe Abbildung 3). Diesen werden Werte für die Versagenswahrscheinlichkeiten zugewiesen. Zur Berechnung der Eintrittshäufigkeit eines Freisetzungsszenarios wird die Häufigkeit für das unerwünschte Ereignis mit dem Produkt der Versagenswahrscheinlichkeiten der voneinander unabhängigen Schutzbarrieren multipliziert.

Abbildung 3: Unabhängige Schutzbarrieren gegen unerwünschte Auswirkungen [38]

10

Die Auswirkungen eines Szenarios und deren Schweregrad werden in Abhängigkeit der Freisetzungsmenge, Größenordnung des Schadens und der Folgekosten abgeschätzt. Hierfür stehen vier Methoden zur Verfügung, wobei qualitative bis hin zu detailliert quantitative Abschätzungen mit oder ohne Berücksichtigung der geschädigten Personen vorgenommen werden können [33]. Die Wahl der Methode, die Betrachtungstiefe sowie der Modellansätze der Ausbreitungsberechnungen bleibt jedoch dem Anwender überlassen.

Für die Ermittlung des Risikos wird die Eintrittshäufigkeit des Szenarios mit den kategorisierten Auswirkungen verknüpft.

Die Bewertung des Risikos erfolgt in Abhängigkeit der Zielsetzung und wiederum der Genauigkeit der Auswirkungsbetrachtung. Üblicherweise wird eine Matrix (Häufigkeit, Schadenskategorie) herangezogen, aus der die Notwendigkeit eventuell erforderlicher Risikoreduzierungsmaßnahmen abgelesen werden kann. Zudem kann ein maximal tolerierbarer Risikowert pro Szenario für das Individualrisiko für Beschäftigte, Fremdfirmen oder Personen außerhalb des Betriebsgeländes vorgegeben werden. Alternativ hierzu kann die erforderliche Anzahl und Qualität der Schutzbarrieren in Form von sogenannten Credits bestimmt werden. Das Ziel der Credits ist dabei die Minimierung der Eintrittshäufigkeit des betrachteten Szenarios. Dafür werden im Vorfeld jeder Schutzbarriere je nach ihrer Versagenswahrscheinlichkeit Credits zugeordnet. Des Weiteren besteht die Möglichkeit, das Risiko mehrere Szenarien mit gleichen Konsequenzen über F-N-Diagramme darzustellen.

Zusammenfassend kann ausgeführt werden, dass die semiquantitative LOPA-Methode ein sehr flexibles Verfahren ist, welches dem Anwender viele Alternativen hinsichtlich Umfang, Bearbeitungstiefe und Detaillierungsgrad der Analyse eröffnet, was das Problem der Vergleichbarkeit der Ergebnisse impliziert.

2.2.3 Accident Risk Assessment Methodology for Industries – ARAMIS

Im Rahmen des EU-Forschungsvorhabens ARAMIS (2002-2005) [32] wurde eine neue integrierte Methode zur Durchführung einer QRA für Industrieanlagen unter Berücksichtigung vorhandener qualitativer und quantitativer Ansätze in Europa entwickelt. Das Ziel dieses Projektes bestand darin, die Anforderungen der SEVESO-II-Richtlinie zur Erreichung eines einheitlichen Sicherheitsstandards in Europa durch eine Harmonisierung der Methoden zur Abschätzung von Risiken zu unterstützen.

Mit Hilfe der Gefährdungsanalyse MIMAH in der ARAMIS-Methode werden mögliche störfallrelevante Szenarien auf der Basis des Anlagenteils, des Stoffinventars und -zustands ohne Einbeziehung der Sicherheitsmaßnahmen ermittelt. Dafür wird die Anlage in generische Anlagenteile, wie z. B. atmosphärische Lagertanks, Rohrleitungen und Reaktoren, unterteilt. Zur Analyse des vorhandenen Stoffinventars werden in Anlehnung an die Seveso-II-Richtlinie hauptsächlich die R-Sätze herangezogen, was eine einfache und schnelle Orientierung ermöglicht. Anhand von festgelegten Referenzmassen für die unterschiedlichen Stoffeigenschaften, wie z. B. sehr giftig, leichtentzündlich, entzündlich usw., wird entschieden, welche Anlagenteile in die weiteren Untersuchungen einzubeziehen sind. Anhand der Einteilung

11

der Anlage in generische Anlagenteile und dem jeweils zugeordneten gefährlichen Stoffinventar (Art und Zustand) wird eine erste Übersicht der denkbaren Gefährdungen ermöglicht.

Danach erfolgt eine Verknüpfung der relevanten Anlagenteile und der stofflichen Gefährdungen auf der Grundlage zweier Matrizen (Anlagenteil/kritisches Ereignis und Stoffzustand/kritisches Ereignis). Jedem Anlagenteil können definierte kritische Ereignisse (insgesamt 12) zugewiesen werden, für die generische Fehlerbäume erstellt wurden. Die möglichen Konsequenzen des kritischen Ereignisses, wie z. B. Brand, Lachenverdunstung/-verdampfung, Lachenbrand oder Freistrahlflamme, werden wiederum mit generischen Ereignisbäumen aufgezeigt. Die generischen Fehler- und Ereignisbäume fungieren als Art Checkliste und sind durch den Anwender an die jeweilige Anlagenstruktur anzupassen, indem z. B. Verzweigungen zugefügt oder entfernt werden. Anschließend werden die Fehler- und Ereignisbäume mithilfe des kritischen Ereignisses zusammengeführt, welches jeweils die Zusammenhänge zwischen Ursache und möglichen Konsequenzen darstellt (siehe auch Abbildung 4).

Abbildung 4: Vorgehen in ARAMIS in Anlehnung an [32]

Anschließend wird der Ereignisbaum vervollständigt, indem die technischen und organisatorischen Maßnahmen für jeden Pfad des Ereignisbaums durch Bildung eines Index identifiziert und ihre Wirksamkeit abgeschätzt werden. Die technischen Maßnahmen werden auf der Grundlage ihrer Zuverlässigkeit entsprechend des Sicherheitsintegritätslevels nach DIN IEC 61511 [39] eingestuft. Eine Besonderheit von ARAMIS stellt die Bewertung der technischen und organisatorischen Maßnahmen mit Hilfe eines Sicherheitsmanagement-Faktors dar, mit dem die Ausfalldaten „korrigiert“ werden [40]. In diesen Faktor, der für jede Maßnahme separat gebildet wird, fließt die Struktur und Wirksamkeit des Sicherheitsmanagements sowie die gelebte Sicherheitskultur des Unternehmens ein, die ein Maß für die Umsetzungen von Richtlinien, Gesetze und Normen darstellt.

In einem nächsten Schritt erfolgt die quantitative Berechnung der unerwünschten Ereignisse. Zum einen kann auf generische Eintrittshäufigkeiten der unerwünschten Ereignisse zurückgegriffen werden. Liegen zum anderen betriebsspezifische Daten vor, können die jeweiligen Fehlerbäume unter Einbeziehung der Primärereignisse berechnet werden. Als

12

Datengrundlage für die Ausfallhäufigkeiten wird auf die bekannten Datensammlungen bzw. Datenbanken, wie z. B. OREDA [14], Purple Book [16], Lees [17], COVO [37], verwiesen.

Für die Auswirkungsbetrachtungen wurde ein zweistufiges Verfahren entwickelt. Die Auswirkungsbetrachtungen der ersten Stufe erfolgen qualitativ auf der Basis von Konsequenzklassen, die zur Bildung einer Risikomatrix verwendet werden. Auf der Grundlage der Risikomatrix werden die Referenzszenarien bestimmt, für die die Auswirkungsbetrachtungen der zweiten Stufe (quantitativ) durchzuführen sind. Hierbei wird auf die im Yellow Book dargestellten Auswirkungsmodelle verwiesen, wobei keine bestimmten Modellansätze verlangt werden. Als Bewertungskriterium für die Auswirkungsbetrachtungen werden in ARAMIS Grenzwerte verschiedener europäischer Länder eingesetzt, die allerdings nicht ungeprüft für Deutschland übernommen werden können. Weiterhin erscheint die Auswahl der Szenarien auf der Grundlage der Risikomatrix gut strukturiert und relativ einfach. Als problematisch wird jedoch die qualitative Einstufung der gefährlichen Phänomene in Konsequenzklassen gesehen ohne diese eingehend zu untersuchen. Jedoch besteht die Möglichkeit, sowohl Szenarien zu vernachlässigen als auch zusätzliche Szenarien zu betrachten.

Abschließend wird ein Risikoschwereindex-Level gebildet, der qualitativ mit gering, mittel, hoch und sehr hoch eingestuft werden kann. In die Risikoermittlung kann neben dem Schwereindex auch die Verletzlichkeit der Anlagenumgebung einfließen. Dies bietet die Möglichkeit, besonders gefährdete Regionen im Umfeld der Anlage zu berücksichtigen. Mit Hilfe eines GIS-Tools können die Ergebnisse der Risikobetrachtung gut visualisiert werden.

Zusammenfassend wird geschlussfolgert, dass ARAMIS ein sehr komplexes aber gut strukturiertes Verfahren darstellt. Unter Zuhilfenahme von generischen Fehler- und Ereignisbäumen wird die Eintrittshäufigkeiten von Szenarien berechnet. Auf dessen Basis kann auch ohne umfassende Anlagenkenntnisse eine QRA durchgeführt werden. Es stellt sich jedoch die Frage, inwiefern die Vorgaben als feste Struktur angesehen werden ohne die notwendigen Anpassung vorzunehmen.

2.2.4 Methodisches Vorgehen der Schweiz

Das Kontroll- und Beurteilungsverfahren zur Risikoermittlung der Schweiz ist ein zweistufiges Verfahren [29]. Die Vollzugsbehörden der Schweizer Störfallverordnung beurteilen in der ersten Stufe, inwieweit schwere Schädigungen der Bevölkerung oder der Umwelt infolge von Unfällen in Störfallanlagen zu erwarten sind. Dazu hat der Betreiber einer Anlage, die der Schweizer Störfallverordnung unterliegt, einen Kurzbericht zu erstellen, indem das Ausmaß der möglichen Schädigungen auf der Grundlage eines Worst-Case-Szenarios abgeschätzt wird. Zur Abschätzung dessen werden in der Schweiz Schadensindikatoren herangezogen, die separat für die Schädigung des Menschen, der Umwelt und für Sachschäden festgelegt wurden. Anhand dieser Schadensindikatoren kann dem abgeschätzten Schadensausmaß ein Störfallwert zugewiesen werden. Wird ein definierter Störfallwert für einen oder auch mehrere Schadensindikatoren überschritten, so wird durch die Vollzugsbehörde eine Risikoermittlung (Stufe 2) angeordnet.

13

Ziel dieser Risikoermittlung ist es, das Risiko einer möglichen Schädigung der Bevölkerung und der Umwelt infolge von Störfällen darzustellen. Hierzu wird keine einheitliche Methode vorgegeben. Es wurden jedoch Rahmenberichte für häufig vorkommende Anlagentypen, wie z. B. für Erdgashochdruckanlagen [28] und Flüssiggas-Tankanlagen [27], veröffentlicht, die als Hilfestellung für Behörden und Betreiber dienen sollen.

Demnach sind alle wichtigen Informationen über die Anlage, das Verfahren und der Anlagenumgebung zusammenzustellen und eine systematische Gefährdungsanalyse durchzuführen, wobei auf das HAZOP-Verfahren verwiesen wird.

Nach der Auswahl der relevanten Ereignisse werden in einem weiteren Schritt mit Hilfe der Fehler- und Ereignisbaumanalyse die Eintrittswahrscheinlichkeiten der unerwünschten Ereignisse und der Szenarien berechnet. In der Schweiz werden die Ausfalldaten vorgegeben, so auch im Rahmenbericht für Flüssiggas-Tankanlagen [27], die verschiedenen Quellen, wie z. B. Lees [17], entstammen. Es wird darauf hingewiesen, dass diese Daten stets zu aktualisieren sind. Liegen neuere Daten vor, so sind diese nach Rücksprache mit der Vollzugsbehörde zu verwenden.

Danach werden die Auswirkungsbetrachtungen durchgeführt. Die zur Anwendung kommenden Modelle sind z. B. in den Rahmenberichten näher erläutert. Als Beurteilungskriterium werden in erster Linie Probit-Funktionen angewendet. Die Risikoermittlung erfolgt für jeden gewählten Schadensindikator, wobei für jeden separat die Tragbarkeit des Risikos anhand des Verlaufs der Summenkurve beurteilt wird.

2.2.5 Ansätze in Deutschland

Auch in Deutschland wurden Ansätze zur Risikoermittlung und Risikobewertung entwickelt, die jedoch hauptsächlich semiquantitative Verfahren darstellen. Hier sind beispielsweise das ROGA-Verfahren [34], das Konzept zur Risikobewertung des VCI [41], [42] aber auch der Ansatz von Kuhn [43] zu nennen, die im Nachfolgenden kurz beschrieben werden.

ROGA-Verfahren

Das ROGA-Verfahren (risikoorientierte Gefahrenanalyse) [34] wurde durch die TÜV Rheinland Industrie Service GmbH entwickelt, die das prinzipielle Vorgehen der LOPA aufgreift. Dieses Verfahren beinhaltet im ersten Teil die Analyse der Gefahrenquellen, die mit dem Checklistenverfahren durchgeführt wird. Den Gefahrenquellen werden sogenannte Risikoklassen auf der Basis des Risikographens zugewiesen, wie er z. B. in der VDI/VDE 2180 [44] verwendet wird. Daraufhin werden den acht möglichen Risikoklassen die vom Betreiber getroffenen störfallverhindernden und störfallbegrenzenden Maßnahmen gegenübergestellt.

Diese technischen und organisatorischen Maßnahmen werden wiederum acht Zuverlässigkeitsklassen zugeordnet. Die Zuverlässigkeitsklassen ergeben sich z. B. für PLT-Schutzeinrichtungen auf der Grundlage der SIL-Einstufung. Druckgeräte werden in Abhängigkeit der Kategorie nach Druckgeräteverordnung den Zuverlässigkeitsklassen zugeordnet. Abschließend erfolgt die Risikobewertung, indem die jeweiligen Risikoklassen mit den Zuverlässigkeitsklassen der gegenübergestellten Sicherheitsmaßnahmen verglichen werden. Um

14

das von der Gefahrenquelle ausgehende Risiko beherrschen zu können, muss die Summe der Zuverlässigkeitsklassen mindestens der jeweiligen Risikoklasse entsprechen. Anderenfalls sind weitere Maßnahmen notwendig.

Das ROGA-Verfahren stellt im Wesentlichen eine um quantitative Gesichtspunkte erweiterte Gefahrenanalyse dar. Die Risikoermittlung erfolgt lediglich qualitativ in Form des Risikographens. Zudem ist anzumerken, dass die Zuordnung der technischen Maßnahmen in Zuverlässigkeitsklassen nicht im Detail nachvollzogen werden kann. Diese basieren auf den Erfahrungen der TÜV Rheinland Industrie Service GmbH.

Konzept zur Risikobewertung des VCI

Eine weitere semiquantitative Methode stellt das „Konzept zur Risikobewertung von Chemiestandorten mit Außenwirkungen“ des VCI [41], [42] dar. Der Anwendungsbereich dieser risikoorientieren Bewertung von Industriestandorten wird vom VCI in der Flächennutzungsplanung gesehen. Aus diesem Grund wird auch nur das Kollektivrisiko ermittelt.

Grundlage dieser Vorgehensweise ist die Annahme, dass der Stand der Sicherheitstechnik bei den Betriebsbereichen eingehalten wird, der durch Genehmigungsverfahren nach BImSchG nachgewiesen wurde.

Das Risiko einer Anlage berechnet sich aus der Multiplikation des Referenzrisikos und einer Risikozahl. Das Referenzrisiko basiert auf der Auswertung der ZEMA-Datenbank [45] für einen Zeitraum von 10 Jahren (1993-2002) und wurde mit R = 1*10-5 [1/a] ermittelt. Dieser Wert gilt als mittleres Risiko für die Beeinträchtigung von Personen in der Nachbarschaft von Betriebsbereichen.

Die Risikozahl berücksichtigt das sicherheitstechnische Niveau der Anlage sowie die Anzahl von betroffenen Personen innerhalb eines Gefährdungsbereiches. Das sicherheitstechnische Niveau wird hierbei sowohl für die technischen als auch organisatorischen Maßnahmen der Anlage mit Hilfe eines Kataloges und eines Punktesystems bewertet. Eine detaillierte Gefahrenanalyse der Anlage erfolgt nicht.

Zur Bestimmung der betroffenen Personen bzw. des Schadensausmaßes werden auf der Grundlage eines Dennoch-Störfalls die Auswirkungsradien mit den in Deutschland anerkannten Modellen berechnet und damit die Personenanzahl in diesem Bereich abgeschätzt.

Zur Bewertung des Risikos sind Grenzkurven in Abhängigkeit der Risikozahl und des sicherheitstechnischen Niveaus der Anlage vorgeschlagen worden.

Dieser Ansatz stellt eine sehr vereinfachte Abschätzung des Anlagenrisikos dar, wobei nur das Gruppenrisiko im Rahmen der Flächennutzung betrachtet wird. Hierbei werden Anlagenrisiken eines Standortes nicht kumulativ betrachtet, sondern nur ein Dennoch-Störfall einer Anlage mit dem größten Gefahrenpotenzial ohne Bezug zu dessen Häufigkeit. Inwiefern das Referenzrisiko den heutigen Stand der Technik wiedergibt, ist zu hinterfragen.

15

Ansatz nach Kuhn

In Kuhn [43] wird ein strukturierter Ansatz vorgestellt, der als Screening-Methode ausschließlich zu Vergleichszwecken von Risiken unterschiedlicher Anlagen eines Standortes oder Firmengeländes dienen soll. Dabei wird das Risiko einer Anlage auf der Basis eines Index-Verfahrens ermittelt. Der Risikowert ergibt sich aus dem Produkt des Ereignisindexes und der Auswirkungen auf verschiedene Schutzgüter.

Der Ereignisindex berücksichtigt das stoffliche Gefährdungspotenzial sowie den Prozess oder das Verfahren (internes Freisetzungspotenzial) und die Umgebung (externes Freisetzungspotenzial) der jeweiligen Anlage, wobei jeweils Vorgehen zur Gruppenbildung und Wichtung dieser Potenziale beschrieben sind und ein Punktesystem hinterlegt ist. Anlagenspezifische Sicherheitseinrichtungen fließen in die Bildung des Ereignisindexes nicht ein. Weiterhin wird in die drei Ereignisse Brand, Explosion und toxische Emission in Abhängigkeit des Gefährdungspotenzials unterschieden. Eine Angabe der jährlichen Eintrittshäufigkeit dieser Ereignisse erfolgt nicht. Diese wird grob über Sicherheitskennzahlen bewertet. Eine Sicherheitskennzahl kann z. B. bei einer brennbaren Flüssigkeit der Flammenpunkt sein. Diese Kennzahlen werden den Prozessbedingungen der Anlage gegenübergestellt und so eine Aussage über die mögliche Entzündung z. B. der brennbaren Flüssigkeit erhalten, die wiederum mit einem Punktesystem verknüpft ist.

Die Auswirkungsabschätzungen der Ereignisse beziehen sich auf Personen- Umwelt- und Sachschäden unter Beachtung der ereignisverhindernden- und -begrenzenden Sicherheitsvorkehrungen der Anlage, was als vorteilhaft gegenüber den anderen semiquantitativen Ansätzen hervorzuheben ist. Hierbei werden jedoch keine detaillierten Auswirkungsberechnungen vorgenommen, sondern eine qualitative Bewertung über gering, mittel oder hoch durchgeführt, wobei dieser Bewertung ebenfalls ein Punktesystem hinterlegt ist. Das Produkt der vergebenen Punkte ergibt den Risikowert, anhand dessen beurteilt wird, ob es sich um ein hohes bzw. niedriges Anlagenrisiko handelt. Die mit diesem Ansatz identifizierten Anlagen mit hohen Risikowerten können anschließend detailliert mit einer Quantitativen Risikoanalyse untersucht werden.

Die in Kuhn [43] vorgestellte Methode eignet sich sicherlich gut, um Anlagen mit erhöhtem Risiko mit überschaubarem Aufwand zu ermitteln. Zudem sind überschlägige Bewertungen hinsichtlich der ereignisverhindernden und -begrenzenden Sicherheitsmaßnahmen denkbar. Eine Quantitative Risikoanalyse im eigentlichen Sinne, wie in [2] ausgeführt, stellt dieses Methode allerdings nicht dar.

2.3 Risikogrenzwerte bzw. Risikoakzeptanzkriterien

Risiken, die von verfahrenstechnischen Anlagen ausgehen, werden auf der Grundlage von Risikogrenzwerten bzw. Risikoakzeptanzkriterien beurteilt, wobei hier zwischen Genehmigungsverfahren von Anlagen und der Flächennutzungsplanung unterschieden werden kann. In Deutschland sind bis dato keine derartigen Akzeptanzkriterien festgelegt worden.

Die Festlegung der Beurteilungswerte erfolgt größtenteils in einem gesellschaftlichen Diskussionsprozess. Dies führte in der niederländischen Gesetzgebung dazu, dass ein

16

Grenzwert [46] für das Individualrisiko besonders schutzwürdiger Objekte (Krankenhäuser, Schulen, Wohngebäude) (siehe Tabelle 1) sowie das höchste akzeptable Gruppenrisiko mittels einer Grenzkurve im F-N-Diagramm vorgegeben wird (siehe auch Abbildung 2).

In Großbritannien existieren sowohl für die Öffentlichkeit als auch für Firmenmitarbeiter Akzeptanzkriterien des Individualrisikos [47]. Die britische Health and Safety Executive formulierte das sogenannte ALARP-Prinzip [48] für Genehmigungsverfahren von Betrieben, die der Seveso-II-Richtlinie unterliegen. Beim ALARP-Prinzip wird ein gewisses Maß an Risiko für die Öffentlichkeit im Bereich von 10-4 bis 10-6 [1/a] als vertretbar angesehen, vorausgesetzt, dass alle möglichen Schutzmaßnahmen umgesetzt wurden (siehe Tabelle 1). Im ALARP-Bereich wird anhand einer Kosten-/Nutzungsabwägung ein vertretbares Risiko von der Aufsichtsbehörde festgelegt [48].

Im Gegensatz dazu wird für die Bauleitplanung (LUP) ein anderes Verfahren verwendet [49], in dem drei Zonen mit verschiedenen Risikoniveaus (3*10-7; 10-6; 10-5 [1/a]) festgelegt werden. Dabei wird als Bewertungskriterium die „dangerous dose“ für Wärmeeinwirkungen bzw. für toxische Einwirkungen herangezogen. Beide Bewertungskriterien fußen auf einer 1 %igen Mortalität. Die Entscheidung für oder gegen die Bauvorhaben wird zudem anhand von sogenannten Empfindlichkeitsstufen getroffenen, denen der betroffene Bereich der Baumaßnahmen zugeordnet werden kann, um die Schutzbedürftigkeit von Personen zu berücksichtigen.

In einigen europäischen Staaten, wie z. B. in Frankreich und Italien, werden ebenfalls im Bereich der Bauleitplanung risikobasierte Verfahren angewendet [50]. Detaillierte Risikogrenzwerte sind jedoch weder für Frankreich noch für Italien derzeit festgelegt worden.

In der Schweiz erfolgt die Bewertung des Risikos entsprechend der Richtlinie Beurteilungskriterien I [29] auf der Grundlage von sechs Schadensindikatoren, die in Personenschäden (Anzahl Todesopfer und Verletze), in Umweltschäden (verunreinigte unterirdische und oberirdische Gewässer, Beeinträchtigung der Bodenfruchtbarkeit) und in Sachschäden unterschieden werden (siehe Abbildung 5).

17

Abbildung 5: Schadensindikatoren der Schweiz [29]

Für jeden Schadensindikator (n1 bis n6) der zur Anwendung kommt, wird ein separates Wahrscheinlichkeits-Ausmaß-Diagramm mit entsprechender Summenkurve der Szenarien aufgestellt und die Tragbarkeit des Risikos anhand des Verlaufes der Summenkurve beurteilt (siehe auch Abbildung 6).

Abbildung 6: Wahrscheinlichkeits-Ausmaß-Diagramm [29]

18

Zusammenfassend kann festgestellt werden, dass Risikogrenzwerte bzw. –akzeptanzkriterien für die QRA im Kontext von Genehmigungsverfahren, insbesondere für Großbritannien, die Niederlande und der Schweiz definiert wurden, wobei in der Schweiz nur das Gruppenrisiko berechnet wird. Die Werte für das Individualrisiko liegen in einem ähnlichen Bereich (siehe Tabelle 1). Die Kurven des nicht akzeptablen Gruppenrisikos der Schweiz und der Niederlande sind identisch.

Darüber hinaus existieren für die Bauleitplanung Bewertungskriterien, die sehr unterschiedlich und größtenteils semiquantitativ sind und länderspezifische Auffassungen widerspiegeln.

Tabelle 1: Europäische Risikogrenz- bzw. akzeptanzwerte

Staat Risikogrenz- bzw. akzeptanzwerte für Individualrisiko

[1/a] Gruppenrisiko Arbeitnehmer

[1/a] Flächennutzungs-

planung Niederlande 10-5 für bestehende

Gebäude bzw. 10-6 für geplante Gebäude (besonders schutz-würdigen Objekten)

Grenzkurve im F-N-Diagramm

nein Individualrisiko dient als Hilfsmittel

Großbritan-nien

ALARP-Bereich zwischen 10-4 und 10-6

Diskussion: 2*10-4 [1/a] für 50 oder mehr Todesopfer

10-3 3 Zonen mit verschiedenen Risikoniveaus

Frankreich nein nein nein Risikobasierter Ansatz

Italien nein Nein nein Risikobasierter Ansatz

Schweiz nein Grenzkurve für 6 Schadens-indikatoren im Wahrscheinlichkeits-Ausmaß-Diagramm

nein nein

2.4 Zusammenfassende Bewertung der Methoden zur Quantitativen Risikoanalyse

Die Frage, welche Methodik zur Durchführung von QRA am geeignetsten ist, lässt sich nicht pauschal beantworten. Ausschlaggebend für den Aufbau, Umfang, und Detaillierungsgrad einer QRA ist in erster Linie deren Zielsetzung. Während mit vollständigen quantitativen Methoden, wie z. B. dem Purple Book, Entscheidungen in Genehmigungsverfahren oder auch der Flächennutzungsplanung getroffen werden, können mit der semiquantitativen Methode der LOPA z. B. Problemstellungen bezüglich der ausreichenden Anzahl von technischen und organisatorischen Maßnahmen für einen Prozess geklärt werden. Aus diesen verschiedenen Anwendungsbereichen resultieren Unterschiede u. a. im Arbeitsaufwand, in der Betrachtungstiefe, in der Komplexität aber auch in der Vergleichbarkeit der Ergebnisse.

19

Die vorgestellten quantitativen Ansätze der vollständigen Methoden sollen nachfolgend unter dem Blickwinkel der Anwendbarkeit in Deutschland hinsichtlich ihrer Vor- und Nachteile diskutiert werden. Dazu werden insbesondere die Schwerpunkte Gefahrenanalyse, Häufigkeitsanalyse, Auswirkungsbetrachtungen und Risikoermittlung bzw. -bewertung herangezogen (siehe Tabelle 2). Diese Schwerpunkte wurden ausgewählt, da sich hier die größeren Unterschiede im Vergleich der vollständigen Methoden einer QRA untereinander ergeben.

Tabelle 2: Übersicht der analysierten Methoden

Purple Book LOPA ARAMIS Schweizer Vorgehen

Anwendungsbereich

Ziele

Genehmigungsverfahren, Flächennutzungsplanung

Anlagensicherheit Anlagenvergleiche, Flächennutzungs- und Notfallplanung

Genehmigungsverfahren

Gefahrenanalyse Auswahl der zu betrachtenden Teilanlagen auf der Basis der Gefahrstoffmenge und -eigenschaften (Index-Verfahren)

auf der Grundlage einer im Vorfeld durchgeführten HAZOP oder PAAG

auf der Basis der Gefahrstoffmenge und R-Sätze und über festgelegte Referenzmassen erfolgt die Auswahl der zu betrachtenden Teilanlagen

Die Verwendung des HAZOP-Verfahrens wird vorgeschlagen

Häufigkeitsanalyse vorgegebene Eintrittshäufigkeiten der LOC-Ereignisse

Ausfalldaten der unerwünschten Ereignisse und der Schutzbarrieren entstammen Datenbanken, Erfahrungswerte oder Expertenwissen

generische Fehler- und Ereignisbäume, Ausfalldaten entstammen Datenbanken oder anlagenspezifischen Kenntnissen

Vorgegebene Ausfalldaten für die Fehler- und Ereignisbaumanalyse

Auswirkungsanalyse Modelle für die Auswirkungs-betrachtungen sind im Yellow Book beschrieben, Beurteilungskriterium: Probit-Funktionen

4 mögliche Methoden von rein qualitativer bis hin zu quantitativer Betrachtung

Qualitativer Ansatz zur Definition der Referenzszenarien (Risikomatrix) und quantitativer Ansatz für die Referenzszenarien

Beurteilungskriterium: Grenzwerte

Modelle für die Auswirkungsbetrachtungen sind in Rahmenberichten enthalten, Beurteilungskriterium: Probit-Funktionen

Risikoermittlung Berechnung des Individual- und Gruppenrisikos

Verknüpfung zwischen Eintrittshäufigkeit des Szenarios, Auswirkungskategorien und Schadensausmaß

Berechnung eines Schwereindex S und Verletzlichkeitsindex V (der Umgebung)

Berechnung des Gruppenrisikos

Risikobewertung Risikogrenzwerte für das Individualrisiko, Grenzkurve für das Gruppenrisiko per Verordnung vorgegeben

firmeninterner Risikotoleranzwert, Vergleich zwischen Alternativen, Expertenmeinungen

qualitative Bewertung über Schwereindex (niedrig, mittel, hoch, extrem hoch)

Grenzkurven für die Schadensindikatoren im Wahrscheinlichkeits-Ausmaß-Diagramm vorgegeben

20

21

Gefahrenanalyse

Der Ausgangspunkt der untersuchten Ansätze ist in jedem Fall eine systematische Gefahrenanalyse. Detaillierungsgrad, Genauigkeit und Tiefe der angewendeten Verfahren sind jedoch sehr unterschiedlich.

Um den Stand der Sicherheitstechnik der Anlagen in Deutschland abbilden zu können, muss die sicherheitstechnische Ausrüstung Bestandteil der Gefahrenanalyse sein. Diese bleibt im Purple Book komplett unberücksichtigt. In ARAMIS werden die sicherheitstechnischen Maßnahmen zu einem späteren Zeitpunkt, nach Ermittlung der unerwünschten Ereignisse, beachtet. Die sicherheitstechnischen Maßnahmen beeinflussen jedoch die unerwünschten Ereignisse. Zudem stellt sich die Frage, ob durch die vorherige Einteilung in Anlagenteile eventuell Gefährdungen vernachlässigt werden. Nicht identifizierte Gefahrenquellen werden im weiteren Verlauf der QRA nicht analysiert. Aus diesem Grund erscheint die Vorgehensweise der Gefahrenanalyse des Purple Book und in ARAMIS in Deutschland nicht anwendbar.

In der LOPA und bei der Schweizer Vorgehensweise wird auf Gefahrenanalysen (HAZOP, FMEA) verwiesen, die in Deutschland anerkannt und insbesondere in der chemischen Industrie etabliert sind.

Häufigkeitsanalyse

Der Mangel an anlagenspezifischen Ausfalldaten wird als wesentliches Hindernis für die Durchführung einer QRA gesehen. In den untersuchten Methoden wird unterschiedlich mit diesem Problem umgegangen. Überwiegend werden Eintrittshäufigkeiten für Szenarien bzw. unerwünschte Ereignisse beim Verzicht auf die FTA und/oder ETA vorgegeben. Anderenfalls sind Ausfalldaten für Anlagenkomponenten Bestandteil der Methoden bzw. wird auf externe Quellen und Datenbanken verwiesen.

Die Ausfalldaten der zur Verfügung stehenden Datenbanken sind jedoch kritisch zu hinterfragen. Für eine statistisch belastbare Bewertung der Ausfall- und Fehlerhäufigkeiten ist eine Vielzahl von gleichen unerwünschten Ereignissen bzw. Untersuchungen an identischen Anlagenteilen und Komponenten erforderlich. Diese Daten liegen in der Regel nicht vor. Daher wird z. B. in der CPQRA [21] ausgeführt, dass für die zu betrachtende Anlage ein entsprechender Datensatz zu erstellen ist. Dabei können anlagenspezifische, historische und generische Daten sowie Expertenwissen genutzt werden. Die CPQRA weist aber darauf hin, dass historische Daten nicht uneingeschränkt auf neue Technologien übertragbar sind. Dies gilt ebenfalls für die Ausfallhäufigkeiten der Anlagenkomponenten des Purple Book. Diese Daten basieren nach Beerens [51] auf einer Datenquelle (COVO-Studie), die ca. 25 Jahre alt ist. Verbesserte Produktionsverfahren und Erfahrung in der Materialbeschaffenheit haben die Ausfall- und Fehlerhäufigkeiten positiv beeinflusst. Eine Anpassung der Daten ist jedoch nicht erfolgt. Außerdem sind größtenteils die Datenherkunft, die Anzahl der betrachteten Unfälle und die Zielsetzung der Datensammlungen nicht bekannt. Aus diesem Grund stellen die Ausfall- und Fehlerhäufigkeiten der einzelnen Methoden keine zuverlässige Datenbasis dar.

22

Auswirkungsbetrachtungen

Für die Auswirkungsbetrachtung werden in einigen untersuchten Methoden ähnliche Ansätze genutzt. Während im Purple Book und beim Schweizer Vorgehen die Modelle für die Auswirkungsbetrachtungen vorgegeben werden, bleibt bei ARAMIS und LOPA dem Anwender die Wahl der entsprechenden Modelle überlassen. Zusätzlich kann bei LOPA zwischen verschiedenen Methoden zur Auswirkungsermittlung gewählt werden, die von einer sehr einfachen Matrixmethode bis hin zu detaillierten Auswirkungsbetrachtungen reicht. Es ist jedoch nicht sinnvoll, eine detaillierte Auswirkungsbetrachtung im Rahmen einer semiquantitativen Methode durchzuführen, die eine hohe Komplexität und eine hohe Qualifikation erfordert. Dadurch wird ein nicht erforderlicher Detaillierungsgrad wiedergegeben, der der eigentlichen Zielsetzung widerspricht. Die Datenbasis und die gewünschte Tiefe der Analyse müssen daher im Einklang stehen.

Die Auswirkungsbetrachtungen werden mit Beurteilungskriterien verknüpft, wobei im Purple Book und beim Schweizer Vorgehen Probit-Funktionen verwendet werden. In ARAMIS werden verschiedene Grenzwerte (Wärme, Überdruck und toxische Auswirkungen) einiger europäischer Staaten als Beurteilungskriterien verwendet. Hier wurden nationale Grenzwerte integriert, die eine Überprüfung der Anwendbarkeit in Deutschland erforderlich machen.

In Abhängigkeit der ausgewählten Modellansätze ist mit einem unterschiedlichen Zeitaufwand und unterschiedlichen Anforderungen an die Qualifikation des Anwenders für die Auswirkungsbetrachtungen zu rechnen. Neben den teilweise umfangreichen Berechnungen auf der Grundlage des Yellow Book, können in LOPA auch sehr einfache Abschätzungsverfahren genutzt werden. Aus diesem Grund sind große Unterschiede in der Aussagekraft der Ergebnisse denkbar. Daher wird die Vorgehensweise des Purple Book als vorteilhaft angesehen, da mit der Festlegung der Modelle eine Vergleichbarkeit der Auswirkungsbetrachtung erreicht wird.

Risikoermittlung bzw. -beurteilung

Im Purple Book werden das Individual- sowie das Gruppenrisiko zur Risikobeurteilung herangezogen, für die Risikogrenzwerte vom Gesetzgeber festgelegt wurden. Dadurch kann eine leichte Einschätzung hinsichtlich der Genehmigungsfähigkeit von Anlagen erfolgen. Jedoch ist die Berechnung des Risikowertes wesentlich detaillierter als im Vergleich zu LOPA.

Die LOPA-Methode ermöglicht auch im Schritt der Risikoermittlung verschiedene Methoden, die einen Vergleich der Ergebnisse untereinander erschwert. Zudem sind kumulierte Risikobetrachtungen kaum möglich, da immer nur einzelne Szenarien betrachtet werden. Lediglich eine Aufsummierung der Risikowerte ist bei Verwendung einer konsistenten Risikoermittlungsmethode denkbar. Des Weiteren besteht die Möglichkeit das Risiko zusätzlich über F-N-Diagramme darzustellen, wobei diese unter Vorbehalt interpretiert werden sollten, da LOPA nur eine Größenordnung des Risikos abschätzt.

23

In ARAMIS erfolgt die Risikobewertung qualitativ anhand eines Risiko-Schwereindex-Levels. Die abschließende Darstellung des Gesamtrisikos einer Anlage mittels einer GIS-Anwendung ermöglicht einen Vergleich verschiedener Risiken innerhalb von ARAMIS. Als Besonderheit von ARAMIS ist die Bewertung der Verletzlichkeit des Anlagenumfeldes in Bezug zu schützenden Objekten hervorzuheben. Nachteilig ist jedoch zu bewerten, dass sowohl der Verletzlichkeitsindex als auch der Schwereindex ohne Einheiten berechnet und qualitativ angegeben werden. Daher ist ein Vergleich mit möglicherweise vorhandenen Risikogrenzwerten, die mit einer Häufigkeitsangabe (Ereignisse pro Zeiteinheit) angegeben werden, kaum möglich.

Das Schweizer Vorgehen eröffnet die Chance, das Risiko vielfältig zu interpretieren, da neben den üblichen Personenrisiken auch Umweltschäden im Vergleich zu den anderen Ansätzen bewertet werden können. Jedoch wird neben dem Gruppenrisiko kein Individualrisiko berechnet.

Zurzeit liegen in Deutschland keine Risikogrenzwerte vor. Die international verwendeten Risikogrenzwerte sind immer im Zusammenhang mit der jeweiligen Methode der Risikoermittlung zu interpretieren. Daher bleibt es fraglich, ob diese Werte zur Definition von in Deutschland gültigen Grenzwerten herangezogen werden können. Die Grundlage zur Festlegung von Risikogrenzwerten stellt hauptsächlich ein gesellschaftlicher Diskussionsprozess dar. Nur so können die Risikogrenzwerte auch als gesellschaftlich akzeptiert angesehen werden. Infolgedessen erscheint es sinnvoll, Risikogrenzwerte als Diskussionsbasis vorzuschlagen, die mithilfe einer QRA-Methodik ermittelt wurden, die die Sicherheitsphilosophie Deutschlands widerspiegelt.

Für den Vergleich der in den Kapiteln 2.2.1 bis 2.2.4 vorgestellten Methoden zur Risikoanalyse wurden die wesentlichen Einflussfaktoren herangezogen und die Möglichkeiten und Grenzen der Verfahren dargelegt und bewertet. Im Ergebnis dieser Untersuchungen zeigen die diskutierten Ansätze sowohl Unterschiede als auch einige Gemeinsamkeiten. Zusammenfassend kann festgestellt werden, dass keine der untersuchten Methoden uneingeschränkt als mögliche Ergänzung der deterministischen Vorgehensweise in Deutschland geeignet erscheint. Aus diesem Grund ist es notwendig, eine Methodik zur Durchführung einer QRA in Deutschland zu entwickeln, die den Stand der Sicherheitstechnik der Störfall-Anlagen entsprechend abbildet.

Dabei sollte das bewährte deterministische Vorgehen, die Durchführung einer detaillierten und umfassenden Gefahrenanalyse, die Grundlage einer QRA darstellen, um die sicherheitstechnische Ausrüstung einer Anlage in die Risikoanalyse einfließen zu lassen.

Des Weiteren wird die Durchführung von Fehler- und Ereignisbaumanalysen trotz erheblichen Mehraufwands als vorteilhaft angesehen, da so nicht nur das Vorhandensein der störfallverhindernden und -begrenzenden Einrichtungen betrachtet wird, sondern auch Verknüpfungen von Ereignissen und insbesondere deren Wirksamkeit hinterfragt werden können. Hieraus resultiert (nach bisherigen Erfahrungen) zusätzlich eine Hinterfragung der systematischen Gefährdungsanalyse, die meistens nach dem Aufzählen der Schutzeinrichtungen und organisatorischen Maßnahmen endet. Zudem soll dem Problem der nicht vorhandenen anlagenspezifischen belastbaren Ausfalldaten entgegen gewirkt werden, indem ein in sich konsistenter Datensatz für die Ausfalldaten von Anlagenteilen erstellt wird. Dieser Datensatz wird

24

für die Berechnung des Risikos aller Anlagen herangezogen. Dabei wird nicht der Anspruch erhoben, „richtige“ Daten zu verwenden. Vielmehr soll damit eine Vergleichbarkeit der Risiken, die sich aus dem Betrieb der Anlage ergeben, erreicht werden.

Um die notwendige Akzeptanz einer QRA in der Praxis zu erhalten, muss sich diese durch ein vernünftiges Kosten-Nutzen-Verhältnis auszeichnen. Das bedeutet, dass eine sicherheitstechnische Bewertung der Anlagen ermöglicht werden muss und zugleich ein Informationsgewinn der Anlagen über das übliche Maß der deterministischen Betrachtung hinaus erzielt wird. Ein vertretbarer Aufwand einer QRA darf aber nicht durch einen geringeren Arbeitsaufwand zu Lasten des Informationsgewinns realisiert werden.

Deshalb wird im Folgenden eine Methodik entwickelt, die die genannten Schwerpunkte aufgreift und Lösungsansätze bietet, die der deutschen Sicherheitsphilosophie gerecht wird.

25

3 Entwicklung einer Methodik zur Durchführung einer QRA in Deutschland

3.1 Grundsätze der Methodik

Die Methodik zur Durchführung einer QRA in Deutschland soll mit der Zielsetzung einer praxisorientierten Vorgehensweise unter Berücksichtigung des Standes der Sicherheitstechnik der Anlagenkonzeption, insbesondere der störfallverhindernden und -begrenzenden Maßnahmen, entwickelt werden. Zusätzlich soll sich die Methodik durch ein vertretbares Kosten-Nutzen-Verhältnis auszeichnen. Der prinzipielle Ablauf der Methodik ist in der Abbildung 7 zusammengefasst.

Abbildung 7: Ablauf der Methodik

Die Basis dieser Methodik bildet der bisher in Deutschland etablierte deterministische Ansatz zur sicherheitstechnischen Bewertung von Anlagen. Hierzu wird u. a. eine systematische Gefahrenanalyse durchgeführt. Für die einzelnen Gefahrenquellen werden die Eintrittsvoraussetzungen und die möglichen Auswirkungen ermittelt und den verhindernden Maßnahmen gegenüber gestellt. Mit dieser Vorgehensweise wird nachgewiesen, dass der

26

Betreiber ausreichende Maßnahmen getroffen hat um seine Betreiberpflichten nach § 3 Störfall-Verordnung [1] zu erfüllen.

Aufbauend auf der systematischen Analyse der Gefahrenquellen erfolgt mit der in dieser Arbeit zu entwickelnden Methodik eine probabilistische Betrachtung der Anlage mit anschließender Risikoermittlung. Die Verknüpfung zwischen bisheriger deterministischer und neuer probabilistischer Betrachtung erfolgt anhand der systematischen Analyse.

Die Gefahrenquellen der systematischen Analyse werden gefährdungsorientiert in die zwei Gruppen des Grund- und Betriebsrisikos unterteilt. Eine detaillierte Beschreibung dieser Unterteilung erfolgt in Kapitel 3.3. Für die Bestimmung der Eintrittshäufigkeit des Grundrisikos werden standardisierte Kombinationen aus den Leckageflächen und -häufigkeiten entwickelt oder Abschätzungen auf der Grundlage von Literaturdaten vorgenommen. Dagegen wird das Betriebsrisiko auf der Basis von Fehlerbäumen in Abhängigkeit der Sicherheitskonzeption der Anlage ermittelt. Für die Ausfalldaten zur Ermittlung des Grund- und Betriebsrisikos wird ein in sich konsistenter Datensatz erarbeitet, der für die Berechnungen aller Anlagentypen herangezogen wird (siehe Kapitel 3.5). Danach wird die Szenarienentwicklung sowohl für das Grund- als auch für das Betriebsrisiko durchgeführt. Hierfür wird die Ereignisbaumanalyse genutzt.

Im Anschluss daran werden Auswirkungsbetrachtungen mit anerkannten Modellen durchgeführt, die auch im Leitfaden KAS-18 [24] enthalten sind. In Deutschland werden die Auswirkungen von Stoff- und Energiefreisetzungen mit Grenzwerten verglichen. Eine weitere Möglichkeit zur Beurteilung von Störfällen bieten Dosis-Wirkungsbeziehungen (Probit-Funktionen), die in Kapitel 3.6.3 vorgestellt und diskutiert werden.

Zur Bewertung der Zündwahrscheinlichkeit einer möglichen Freisetzung brennbarer Stoffe wird ein Modell nach Daycock [52] weiterentwickelt und an die in Deutschland vorhandenen Bedingungen angepasst (siehe Kapitel 3.7).

Abschließend wird das Risiko für die Anlagen mittels der Parameter Häufigkeit und Schadensausmaß berechnet.

3.2 Gefahrenanalyse

Betreiber von Störfallanlagen, die die Mengenschwelle des Anhangs I Spalte 5 der Störfall-Verordnung [1] überschreiten, müssen einen Sicherheitsbericht erstellen und darlegen, dass die möglichen Gefahrenquellen systematisch ermittelt wurden. Dieser deterministische Schritt bildet gleichfalls die Basis der in dieser Arbeit zu entwickelnden Methodik (siehe Abbildung 7). Im Allgemeinen können die systematischen Gefahrenanalysen den Sicherheitsberichten der Störfallanlagen entnommen werden. Diese wurden auch im Rahmen dieser Arbeit herangezogen. Lagen für die Anlagen keine oder nur unzureichende systematische Analysen vor, so wurde ein erweitertes Checklistenverfahren angewandt. Ausschlaggebend dafür ist, dass das Checklistenverfahren gut strukturiert und übersichtlich sowie einfach in der Anwendung ist.

27

Darüber hinaus eignet es sich gut für die Unterteilung in Grund- und Betriebsrisiko (siehe Kapitel 3.3)

Die Basis des erweiterten Checklistenverfahrens stellen die im Forschungsvorhaben des VdTÜV [53] zusammengestellten Gefahrenquellen dar. Dieses Verfahren wurde im Rahmen der vorliegenden Arbeit um typische Fragestellungen des PAAG-Verfahrens, wie z. B. um die Punkte, die Stofffreisetzungen infolge von gestörten Reaktionen hinterfragen, ergänzt. In der Tabelle 3 sind die generellen Gefahrenquellen sowie die auf das Anlagenteil bezogenen Gefahrenquellen ohne Anspruch auf Vollständigkeit dargestellt.

Tabelle 3: Zusammenstellung der Gefahrenquellen

Lfd. Nr.

Generelle Gefahrenquelle Auf das Anlagenteil bezogene Gefahrenquelle

1 Mechanisches Versagen des Anlagenteils

Konstruktionsfehler, Fertigungsfehler falsche Auslegung fehlerhafte Aufstellung Korrosion, Erosion, Kavitation, Schwingungen Zusatzbelastungen an Flanschen, Armaturen, Dichtungen und Messleitungen


Versagen von Wellenabdichtungen an Pumpen und Verdichtern


zu hoher Druck zu niedriger Druck eingeblockte Teilanlage


zu hohe Temperatur zu niedrige Temperatur


Lagerversagen Lösen bewegter Komponenten


falscher Aggregatzustand falsche Phase Stoffunverträglichkeit

7 Stofffreisetzung infolge gestörter Reaktion

Stoffverwechslung Stoffverunreinigung Dosiermenge zu hoch, Dosiermenge zu niedrig Mengenstrom zu groß, Mengenstrom zu klein Zeitpunkt zu früh, Zeitpunkt zu spät falsche Reihenfolge Verweilzeit zu kurz, Verweilzeit zu lang unzureichende Durchmischung Konzentration zu hoch, Konzentration zu niedrig falsche Stöchiometrie

28

Lfd. Nr.


8 Stofffreisetzung infolge gestörter Reaktion

falsche Korngröße falscher Aggregatzustand katalytische Effekte inhibierende Effekte Viskosität zu hoch, Viskosität zu niedrig Katalysatoraktivität zu gering pH-Wert zu sauer, pH-Wert zu basisch Ausfall Kühlung, Kühlung zu stark Ausfall Heizung, Heizung zu stark Ausfall Rührer, Rührer dreht zu langsam Ausfall Pumpe, Verdichter

9 Stoff geht unkontrolliert in andere Anlagenteile über

falscher Förderweg falsche Förderrichtung Erstarren, Verkrusten, Sedimentieren, Verstopfen, Verkleben, Ablagern, Kondensieren Auskristallisieren, Ausgasen, Aufschäumen, Ausflocken, Entmischen Füllstand zu hoch, Füllstand zu niedrig Rückströmen Abhebern

10 Durch menschliches Fehlverhalten geht ein Stoff unkontrolliert in andere Anlagenteile über oder wird freigesetzt

Bedienungsfehler bei der Produktion Fehler beim An- oder Abfahren der Anlage

11 Durch menschliches Fehlverhalten geht ein Stoff unkontrolliert in andere Anlagenteile über oder wird freigesetzt

Fehler bei Reparatur oder Instandhaltung Beschädigung des Anlagenteils Anfahren von Rohrbrücken

12 Bildung einer explosionsfähigen Atmosphäre innerhalb des Anlagenteils

Stoffverwechslung Undichtigkeiten Einbruch von Luft Einbruch von brennbaren/explosionsfähigen Stoffen Ausfall Vakuum Ausfall Inertisierung Menschliches Fehlverhalten bei der Prozesssteuerung Menschliches Fehlverhalten beim An- und Abfahren der Anlage

29

Lfd. Nr.


13 Zündung innerhalb oder außerhalb des Anlagenteils

heiße Oberflächen Reibung Mechanisch erzeugte Funken Flammen heiße Gase Kompression strömender Gase Chemische Reaktion Bildung entzündend wirkender Stoffe Elektrostatische Entladung Ausgleichsströme Blitzschlag Elektrische Funken Elektromagnetische Wellen Ionisierende Strahlung Ultraschall

Neben den Schutz- und Schadensbegrenzungseinrichtungen werden im Checklistenverfahren zudem Überwachungseinrichtungen berücksichtigt. Diese können zwar aus sich heraus keine Störfälle verhindern oder deren Auswirkungen mindern, wirken jedoch im Zusammenhang mit qualifiziertem Betriebspersonal daraufhin, dass das Verlassen des Normalbetriebes der sicherheitsrelevanten Anlagenteile rechtzeitig erkannt wird und Handlungen erfolgen, die eine Rückführung in diesen sicherstellen. Das Betriebspersonal kann demnach störfallverhindernde Maßnahmen ergreifen, sodass indirekt den Überwachungseinrichtungen ein störfallverhindernder Charakter zugeordnet werden kann.

In der Tabelle 4 ist beispielhaft ein Ausschnitt aus dem erweiterten Checklistenverfahren für einen Lagerbehälter einer Flüssiggaslagerbehälteranlage dargestellt. Das Checklistenverfahren ist derart aufgebaut, dass im Kopf der Tabelle die Anlage, hier Flüssiggaslagerbehälteranlage, bezeichnet wird. Die Funktionsgruppe und das Funktionselement kennzeichnen das sicherheitstechnisch bedeutsame Anlagenteil. Dabei wird beim Funktionselement der Teil der Funktionsgruppe beschrieben, der jeweils betrachtet wird. Der Flüssiggaslagerbehälter stellt somit die Funktionsgruppe dar, die in das Funktionselement Druckbehälter untergliedert wird.

Innerhalb des Funktionselements erhalten die Gefahrenquellen eine fortlaufende Nummerierung (siehe Spalte 1). Die Gefahrenquellen werden entsprechend der Tabelle 3 unterteilt in die generelle Gefahrenquelle, wie z. B. mechanisches Versagen des Funktionselements (Spalte 2), und Gefahrenquelle, die auf die Anlage bezogen werden, wie z. B. Konstruktionsfehler oder auch zu hoher Druck (Spalte 3). In der Spalte 4 werden die möglichen Auswirkungen beim Wirksamwerden der Gefahrenquelle ohne Berücksichtigung von Gegenmaßnahmen bzw. Sicherheitsvorkehrungen aufgelistet. Diese werden den Gefahrenquellen in der Spalte 5 gegenübergestellt.

30

Tabelle 4: Beispielhafte systematische Gefahrenanalyse mittels Checklistenverfahren

Anlage: Flüssiggaslagerbehälteranlage Seite 1

Funktionsgruppe: Flüssiggaslagerbehälter

Funktionselement: Druckbehälter

Lfd. Nr. (1)

Generelle Gefahrenquelle

(2)

Auf die Anlage bezogene Gefahrenquelle

(3)

Auswirkungen

(4)

Sicherheitsvorkehrungen

(5) 1.1 Mechanisches

Versagen des Funktions-elements

Konstruktions-fehler

Behälter-bersten Freisetzung von 175 t

Auslegung der Lagerbehälter nach DruckbehV / AD-Regelwerk (12,1 bar, 30 °C) unter Berücksichtigung der Zusatzlasten (Wasserbefüllung, Erddeckung, Setzungsdifferenzen) Vorprüfung durch Sachverständigen nach § 31 DruckbehV Prüfung der Statik durch Prüfstatiker Werkstoff StE 355

1.2 Mechanisches Versagen des Funktions-elements

Zu hoher Druck z. B. durch -Einschleppen von Inertgas -Einfüllen bei niedriger Außentempe-ratur und Ausdehnung

Ansprechen SV, Massenstrom: 13 kg/s oder: Behälter-bersten mit Freisetzung von 175 t

Druckbegrenzer des Behälters mit Voralarm und Unterbrechung der Befüllung 2 Sicherheitsventile mit Wechselventil (Ansprechüberdruck 12,1 bar) Füllstandüberwachung und Auslegung auf eine Temperaturdifferenz von 50 K Eingangskontrolle der EKW

3.3 Grund- und Betriebsrisiko

Die systematische Gefahrenanalyse enthält eine Zusammenstellung der möglichen Gefahrenquellen einer Anlage oder eines Anlagenteils, die in die zwei Gruppen des Grund- und Betriebsrisikos unterteilt werden. Dabei werden die Risiken, die sich aus Gefahrenquellen ergeben, die der Betreiber nur geringfügig beeinflussen kann, oder denen keine aktiven störfallverhindernden Maßnahmen entgegengesetzt werden können, in einem sog. „Grundrisiko“ zusammengefasst. Zu diesen Gefahrenquelle gehören insbesondere:

- falsche Auslegung, Konstruktionsfehler oder Fertigungsfehler von Anlagenteilen,

- Versagen von Rohrleitungen, Behältern, Pumpen und Verdichtern mit Stofffreisetzung infolge von Korrosion, Erosion, Kavitation, Schwingungen oder Verschleiß,

- Fehler bei Reparatur oder Instandhaltung,

- mechanische Beschädigung eines Anlagenteils, wie z. B. das Anfahren von Rohrbrücken.

31

Den direkt zu einem Versagen des Anlagenteils führenden Gefahrenquellen, wie z. B. zu hohe Temperatur oder Druck, kann durch aktive Betriebs- und Schutzeinrichtungen entgegen gewirkt werden. Da diese Gefahrenquellen zumeist während des Betriebs auftreten, werden sie dem sog. „Betriebsrisiko“ zugeordnet.

Die gefährdungsorientierte Unterteilung der Gefahrenquellen in Grund- und Betriebsrisiko stellt ein wichtiges Kriterium dar, um der Zielsetzung einer praxistauglichen Methodik mit einem vertretbaren Kosten-Nutzen-Verhältnis Rechnung zu tragen. Dadurch wird eine Reduzierung des Aufwands einer QRA erreicht, da die Gefahrenquellen des Grundrisikos mittels pauschaler Ansätze abgedeckt werden. Die detaillierteren Untersuchungen dieser Gefahrenquellen bewirken nur einen unwesentlichen Informationsgewinn oder können teilweise nur mit erheblichem Aufwand quantifiziert werden. Ein Beispiel hierzu ist Korrosion an einem Behälter. Beim Aufbringen des Korrosionsschutzanstrichs am Behälter können verschiedene Fehler aufgetreten sein, wie z. B. Auftragen bei zu niedriger Außentemperatur oder falsche Farbkomponenten. Die Häufigkeit dieser Fehler kann zu einem späteren Zeitpunkt nicht beurteilt werden.

Dagegen werden die Gefahrenquellen des Betriebsrisikos umfassend analysiert, wobei die anlagenspezifischen störfallverhindernden und -begrenzenden Maßnahmen berücksichtigt werden. Wird ein Behälter z. B. befüllt und kommt es in Folge von verschiedenen Fehlern zur Überfüllung, so wird das Versagen der Sicherheitseinrichtungen, wie z. B. der Druck- und Füllstandbegrenzer, hinterfragt. Die eingangs formulierte Bedingung, die konkrete Sicherheitstechnik der Anlagenkonzeption abzubilden, wird somit erfüllt.

Die Einteilung in Grund- und Betriebsrisiko erfolgt auf der Grundlage der in Tabelle 3 enthaltenen Gefahrenquellen. Die Risiken, die sich aus den in der Tabelle 3 unter Nr. 1, 2 und 11 aufgeführten Gefahrenquellen ergeben, werden als Grundrisiko zusammengefasst. Entscheidend dafür ist, insbesondere für die Gefahrenquellen der lfd. Nr. 1, dass z. B. die Konstruktions- und Fertigungsfehler sowie der Fehler der falschen Auslegung nur wenig im Einflussbereich des Betreibers liegen. Der Betreiber kann lediglich die Anforderung erfüllen, nur mit dem deutschen Regelwerk konforme Anlagenkomponenten zu errichten. Dadurch können aber Konstruktions- und Fertigungsfehler nicht quantifiziert werden. Ähnliche Probleme ergeben sich bei den Gefahrenquellen der Korrosion, Erosion, Kavitation usw. Diese Gefahrenquellen sind sehr vielschichtig und auf Grund der zumeist geringen Informationsdichte können keine detaillierten Untersuchungen der jeweiligen Ursachen und deren Quantifizierung vorgenommen werden. Zudem müsste dies für eine Vielzahl von Behältern und Rohrleitungen erfolgen, was der Zielsetzung der Methodik (praxistauglich, vertretbares Kosten-Nutzen-Verhältnis) widerspricht.

Das Versagen von Dichtungen an rotierenden Teilen von Pumpen und Verdichtern ist auf Grund von Verschleiß sehr wahrscheinlich. Daher ist ein pauschaler Ansatz zur Ermittlung der Zuverlässigkeitskenngröße in den meisten Fällen ausreichend. Sind auf Grund eines hohen Gefährdungspotenzials besondere Schutzeinrichtungen installiert, so müssen diese detailliert analysiert werden. Die unter der lfd. Nr. 11 aufgeführten Gefahrenquellen können z. B. bei Baumaßnahmen in der Anlage oder durch den Werksverkehr mit Fremdfahrzeugen (Baukräne) entstehen. Auch hier erscheint ein pauschaler Ansatz sinnvoll, da keine aktiven

32

Gegenmaßnahmen ergriffen werden können bzw. die quantitative Bewertung der Eintrittshäufigkeit von sehr vielen Einflussfaktoren bestimmt werden.

Den direkt zu einem Versagen des Anlagenteils führenden Gefahrenquellen in Nr. 3 bis 6 kann durch aktive Betriebs- und Schutzeinrichtungen entgegen gewirkt werden. Diese Gefahren-quellen treten zumeist während des Betriebs auf. Aus diesem Grund werden sie im Betriebsrisiko zusammengefasst. Die Gefahrenquellen der lfd. Nr. 7 bis 9, 12 und 13, einschließlich des menschlichen Fehlverhaltens (lfd. Nr. 10), werden ebenfalls dem Betriebsrisiko zugeordnet, da diese im engen Zusammenhang mit dem Betrieb einer Anlage stehen.

Anhand der systematischen Gefahrenanalyse liegt somit eine Zusammenstellung, sowohl der Gefährdungen durch das Vorhandensein der Anlage (Grundrisiko) als auch Gefährdungen, die durch den Betrieb der Anlagen (Betriebsrisiko) entstehen können, vor.

Anschließend erfolgt die Auswahl bzw. die Reduzierung der zu betrachtenden Fälle unter Zugrundelegen der Zielsetzung der QRA. Da im Rahmen dieser Methodikentwicklung als Zielsetzung die Bestimmung des Risikos in der Nachbarschaft (offsite-Risiko) definiert wurde, werden Gefahrenquellen, deren Auswirkungen auf das Betriebsgelände begrenzt bleiben, nicht berücksichtigt.

3.3.1 Berechnung der Ausfalldaten

Für die nach der Reduzierung vorliegenden unerwünschten Ereignisse werden die Eintrittshäufigkeiten berechnet. Während die Häufigkeiten des Grundrisikos mit pauschalen Ansätzen ermittelt werden, werden zur Berechnung des Betriebsrisikos Fehlerbäume aufgestellt. Die Anzahl der zu entwickelnden Fehlerbäume hängt dabei von der Anzahl der identifizierten Gefahrenquellen und den daraus abzuleitenden unerwünschten Ereignissen ab. Die Darstellungstiefe der Fehlerbäume wird im Wesentlichen von den verfügbaren Ausfalldaten für die Basis-Ereignisse beeinflusst. Hier ist eine sinnvolle Abwägung zwischen Aufwand und Erkenntnisgewinn durchzuführen.

Zur Berechnung von Ausfalldaten sind verschiedene mathematische Zusammenhänge veröffentlicht worden, die z. B. in der VDI 2180 [44], Kumamoto [54], Stamatelatos [55] und Meyna [56] beschrieben werden. Im Rahmen dieser Arbeit werden verschiedene Ausfalldaten, wie z. B. Unverfügbarkeiten und Ausfallwahrscheinlichkeiten, von Anlagenkomponenten und PLT-Einrichtungen verwendet. Hierbei ist zwischen reparierbaren und nicht reparierbaren Systemen oder Komponenten zu unterscheiden. Reparierbare Systeme oder Komponenten, wie z. B. PLT-Einrichtungen, führen nicht zwingend zum Ausfall eines Systems. Während einer Wartung wird überprüft, ob diese noch funktionstüchtig sind. Ist dies nicht der Fall, so werden die PLT-Einrichtungen instand gesetzt. Somit können sie nach Prüf- oder Wartungsmaßnahmen als neuwertig angesehen werden. Deshalb berechnet sich die Unverfügbarkeit z. B. von einkanaligen PLT-Einrichtungen in Abhängigkeit des Wartungsintervalls nach VDI 2180 [44] wie folgt:

33

( ) = 2 (2)

mit:

U(p) [-] Unverfügbarkeit [1/a] Ausfallrate tp [a] Prüf- bzw. Wartungsintervall

Für mehrkanalige PLT-Einrichtungen werden in VDI 2180 [44] weitere Zusammenhänge angegeben.

Im Gegensatz dazu sind nicht reparierbare Systeme oder Komponenten mit einem Systemausfall verbunden. Sie können nicht im laufenden Prozess gewartet werden, wie es z. B. bei Pumpen und Verdichtern der Fall ist. Deren Ausfallwahrscheinlichkeit berechnet sich nach folgender Formel, wobei in Abhängigkeit des betrachteten Zeitintervalls eine konstante Ausfallrate vorausgesetzt wird. ( ) = 1 −

(3)

Für sehr kleine Werte von ( < 0.1) kann die Ausfallwahrscheinlichkeit nach Stamatelatos [55] vereinfacht berechnet werden: ( ) ≅

(4)

mit:

F(t) [-] Ausfallwahrscheinlichkeit [1/a] Ausfallrate t [a] Zeitintervall

Für die Erstellung sowie die quantitative Auswertung von Fehlerbäumen stehen verschiedene rechnergestützte Programme zur Verfügung. Im Rahmen dieser Arbeit wird das ITEM-Programm [57] genutzt.

3.4 Szenarienentwicklung

Die Szenarienentwicklung des Grund- und Betriebsrisikos wird mit Hilfe der Ereignisbaumanalyse durchgeführt. Hierbei werden die Folgen beim Wirksamwerden einer Gefahrenquelle sowie deren Eintrittshäufigkeit in Abhängigkeit der Sicherheitskonzeption (störfallbegrenzende Maßnahmen) der Anlage ermittelt.

Um den Aufwand der QRA zu reduzieren, wird ein Abschneidekriterium festgelegt. Hiernach werden Szenarien mit einer Eintrittshäufigkeit < 10-8 [1/a] vernachlässigt. In Analogie zum ALARP-Prinzip [48] der HSE liegen diese Eintrittshäufigkeiten im weit akzeptieren Bereich (siehe

34

Kapitel 2.3). Zudem verfügen diese Szenarien auf Grund der geringen Eintrittshäufigkeit über einen geringen Risikobeitrag im Vergleich zu international verwendeten Risikogrenzwerten zur Genehmigung von Anlagen und sind eher für den Bereich der Katastrophenschutzplanung relevant.

3.5 Ausfalldaten für das Grund- und Betriebsrisiko

Für die weiteren Schritte zur Durchführung einer QRA werden Daten bezüglich des Ausfallverhaltens von Anlagenkomponenten benötigt. Da anlagenspezifische Daten in der Regel nicht vorliegen, werden generische Daten verwendet. Als generische Daten werden nach Hennings [11] veröffentlichte Informationen und Rohdaten bezeichnet, die auf der Basis bereits ausgewerteter Betriebserfahrungen beruhen.

Um einen Überblick über die zur Verfügung stehenden Ausfalldaten von Anlagenkomponenten und zum menschlichen Fehlverhalten zu erhalten, wurden Literaturrecherchen durchgeführt. Dabei wurden verschiedene Datenbanken, wie z. B. OREDA – Offshore Reliability Data Handbook [14], EXIDA – Safety Equipment Reliability Handbook [15], Offshore Hydrocarbon Releases Statistics [58], [59], [60], FRED – Failure Rate and Event Data for Use in Risk Assessment [61], HBFF – Handbook Failure Frequencies 2009 for Drawing up a Safety Report [18] und Veröffentlichungen, wie z. B. von Spouge [62], [63] und Hauptmanns [64], ausgewertet. In den folgenden Kapiteln werden die in der entwickelten Methodik verwendeten Ansätze für die Ausfall- oder Leckagehäufigkeiten unterschiedlicher Anlagenteile abgeleitet und beschrieben. Der Zielsetzung dieser Arbeit folgend, wird ein in sich konsistenter Datensatz zusammengestellt, um diesen für alle zu betrachtenden Anlagentypen zu verwenden.

3.5.1 Grundrisiko

3.5.1.1 Versagen von Rohrleitungen

Eine Leckage oder ein Bruch von Rohrleitungen kann durch eine Reihe von Ursachen ausgelöst werden. Wesentliche Gründe dafür sind nach Taylor [65] beispielsweise:

- Korrosion oder Erosion, - Anfahren durch Transportmittel (LKW, Krane, …), - Beschädigungen oder Fehler während der Installation, - Fehlerhafte Konstruktion der Ausdehnungselemente, - Vibration, - Überdruck oder Überhitzung usw.

Werden die Gründe verallgemeinert, die zu einem Versagen der Rohrleitungen in der chemischen Industrie führen, so kann nach Taylor [65] und Nyman [66] die folgende prozentuale Aufteilung der Ursachen vorgenommen werden:

35

Tabelle 5: Ursachen des Versagens von Rohrleitungen in der chemischen Industrie

Ursache des Versagens Anteil [%] Materialversagen (z. B. durch Überbelastung) 20,5 Korrosion (innere und äußere) 15,6 Ermüdung 3,5 Bedienfehler und inkorrekte Installation 35,4 Äußere Einwirkung 23,5 Sonstiges (z. B. Abrasion, Erosion) 1,5

Demnach stellen den größten Anteil der Fehlermöglichkeiten mit ca. 41 % die überwiegend technisch bedingten Ursachen (Überbelastung, Korrosion, Ermüdung, Sonstige) von Rohrleitungen dar. Werden die Ursachen für das Rohrleitungsversagen einzeln betrachtet, übt allerdings der Mensch den größten Einfluss aus. Mögliches menschliches Fehlverhalten (Bedienfehler, inkorrekte Installation) sowie äußere Einwirkungen (z. B. Fahrzeugunfälle) sind die Hauptursachen für das Versagen von Rohrleitungen. Diese Aussage deckt sich mit den Angaben von Taylor in [67].

In der Literatur stehen verschiedene Daten und Ansätze zur Ableitung von Rohrleitungsleckagen zur Verfügung. Hier sind beispielsweise das Purple Book [16], API 581 „Risk Based Inspection“ [68], Spouge [62],[63], Moosemiller [69], [70] und die HSE-Datenbank [59], [60] zu nennen.

Im Purple Book [16] sind auf der Grundlage der Rijnmond-Studie [37] die folgenden Ausfallhäufigkeiten für Rohrleitungen enthalten:

Tabelle 6: Ausfallhäufigkeit der Rohrleitungen nach [16]

Rohrleitungsdimension Rohrabriss [1/m*a]

Leckage der Rohrleitung [1/m*a]

DN < 75 mm 1*10-6 5*10-6

75 mm ≤ DN ≤ 150 mm 3*10-7 2*10-6

DN > 150 mm 1*10-7 5*10-7

Bei einem Rohrabriss wird im Purple Book [16] von einer Leckfläche entsprechend dem Rohrleitungsdurchmesser und einer Stofffreisetzung aus beiden Rohrteilen ausgegangen. Dagegen soll bei einer Rohrleitungsleckage der Leckdurchmesser 10 % des Nenndurchmessers der Rohrleitung, jedoch maximal 50 mm, betragen. Es wird darauf hingewiesen, dass die Eingangsdaten in Prozessanlagen ohne besondere äußere Einflüsse wie korrosionsfördernde Umgebung oder erhöhte Vibrationen ermittelt worden sind. Liegen solche Bedingungen vor, so ist ein Faktor von 3-10 auf die Ausfallraten anzuwenden.

Im Dokument API 581 „Risk Based Inspection“ wurden die in der Tabelle 7 enthaltenen Daten veröffentlicht, wobei zwischen Leckdurchmesser von einem ¼ Inch bis zu 4 Inch und in Rohrabrisse unterschieden wird. Die generischen Leckagehäufigkeiten dieser Leckgrößen

36

basieren nach Rummel [68] auf Daten der WASH-1400 aus dem Kernkraftbereich, die jedoch zu einem späteren Zeitpunkt modifiziert wurden. Mit zunehmender Rohrleitungsdimension und Leckgröße nehmen die Leckagehäufigkeiten ab, wie auch den Daten des Purple Book zu entnehmen ist.

Tabelle 7: Ausfallhäufigkeit der Rohrleitungen nach API 581 [68]

Rohrleitungsdimension Durchmesser

Leckfrequenz [1/a*m]

¼ Inch1) 1 Inch 4 Inch Rohrabriss 0,75 Inch 3,28*10-5 - - 9,84*10-7 1 Inch 1,65*10-5 - - 1,64*10-6 2 Inch 9,84*10-6 - - 1,97*10-6 4 Inch 2,95*10-6 1,97*10-6 - 2,30*10-7 6 Inch 1,31*10-6 1,31*10-6 - 2,62*10-8 8 Inch 9,84*10-7 9,84*10-7 2,62*10-7 6,56*10-8 10 Inch 6,56*10-7 9,84*10-7 2,62*10-7 6,56*10-8 12 Inch 3,28*10-7 9,84*10-7 9,84*10-8 6,56*10-8 14 Inch 3,28*10-7 8,00*10-7 7,50*10-8 6,56*10-8 16 Inch 3,28*10-7 6,56*10-7 6,56*10-8 6,56*10-8 >16 Inch 1,97*10-7 6,56*10-7 6,56*10-8 3,28*10-8

1) Inch (1 Zoll) = 2,54 cm

In Moosemiller [70] werden Leckagehäufigkeiten für 3“-Rohrleitungen (ca. DN 80) in einem Bereich von 1*10-6 bis ca. 6*10-5 [1/a*m] und für 10“-Rohrleitungen (ca. DN 250) in einem Bereich von 5*10-7 bis ca. 2*10-5 [1/a*m] angegeben, wobei nicht klar ersichtlich ist, welche Datensammlungen für diese Leckagehäufigkeiten herangezogen wurden. Darüber hinaus wird in einer weiteren Veröffentlichung von Moosemiller [69] der folgende Zusammenhang zur Berechnung von Rohrleitungsleckagen angegeben:

ℎä = 3 ∗ 10 /( ) (5)

mit:

Leckagehäufigkeit in foot per year [ft/yr] 1ft = 0,3048 m DRohr [Inch] Durchmesser Rohrleitung DLeck [Inch] Durchmesser Leck

Entsprechend der Formel 5 würde sich für eine 3“-Rohrleitung mit einem ¼“-Leck eine Leckagehäufigkeit von 4*10-6 1/ft*yr (1,2*10-5 1/a*m) ergeben, die wiederum in einem ähnlichen Bereich der angegebenen Leckagehäufigkeiten der Tabelle 6 und Tabelle 7 liegt.

37

Werden die Leckagehäufigkeiten des Purple Book und der API 581 verglichen, so ist festzustellen, dass diese in einem ähnlichen Wertebereich liegen. Beide Datensätze entstammen älteren Studien aus den Jahren 1970 bzw. 1981. Überraschenderweise zeigt das Beispiel des neueren Ansatzes von Moosemiller eine gute Übereinstimmung mit diesen Daten. Dies legt den Schluss nahe, dass die Daten des Purple Book und der API 581 durchaus zu Vergleichszwecke herangezogen werden können.

Spouge kommt nach Auswertung der Datenlage zu Ausfallhäufigkeiten von Rohrleitungen, Behältern und anderen Anlagenteilen zu der Aussage, dass die verwendeten Ausfallhäufigkeiten für Onshore-Prozessanlagen nur über eine geringe Datenbasis verfügen und im Wesentlichen Expertenmeinungen widerspiegeln [62], [63]. Im Gegensatz dazu ist er der Auffassung, dass für Offshore-Anlagen, insbesondere in Form der Offshore Hydrocarbon Releases Statistics im HID Statistics Report der HSE [59], qualitativ hochwertige Ausfallhäufigkeiten für Rohrleitungen mit Angaben zur Leckgrößenverteilung, Menge und Art des freigesetzten Mediums usw. vorliegen.

Der Vergleich in Spouge [63] zwischen den bisher verwendeten Onshore-Daten und der HSE-Datenbasis für Offshore-Anlagen ergab, dass die Offshore-Daten deutlich größere Leckagehäufigkeiten aufweisen. Spouge führt jedoch mit Hinweis auf eine Analyse der Ursachen der Offshore-Leckagen in [63] aus, dass dieser Umstand nicht auf die ungünstigeren Umgebungsbedingungen für Offshore-Anlagen zurückzuführen ist, sondern auf die schlechte Qualität der Onshore-Daten (siehe Tabelle 8). Ungünstige Umgebungsbedingungen und die daraus folgende Materialalterung werden seiner Meinung nach durch entsprechende Maßnahmen des Sicherheitsmanagementsystems ausgeglichen.

Es ist festzustellen, dass die Ursachen der Offshore-Leckagen ähnlich verteilt sind, wie die aufgeführten Ursachen der Onshore-Anlagen in Taylor [65] und Nyman [66]. Jedoch ist außerdem die Gesamtanzahl der Leckagen relevant und nicht nur deren Verteilung auf die Ursachen. Detaillierte Angaben zu Leckagehäufigkeiten in den Onshore-Anlagen sind in Spouge [63] nicht enthalten. Zudem wird im HID Statistics Report der HSE [60] als häufigste Ursache der untersuchten Ereignisse mit 32 % unangemessene Inspektionen angegeben, gefolgt von einer nicht bedarfsgerechten Auslegung der Anlagen (Designfehler) zu 30 %. Diese Ursachen deuten auf Probleme im Sicherheitsmanagementsystem hin. Insofern kann die von Spouge daraus abgeleitete Argumentation, dass die ungünstigen Umgebungsbedingungen nicht ausschlaggebend für die höheren Leckagehäufigkeiten der Offshore-Leckagen sind, nicht nachvollzogen werden.

38

Tabelle 8: Analyse der Ursachen von Leckagen in Offshore-Anlagen [63]

Ursachen Anzahl der Leckagen

Prozentualer Anteil

[%] Auslegungsfehler 321 10 Versagen des Anlagenteils Korrosion/Erosion

Mechanischer Fehler Materialfehler Andere Fehler

277 920 76 89

40

Bedienfehler und inkorrekte Installation

Fehler bei der Installation Bedienfehler Mechanische Beschädigung Andere Fehler

267 732 36 81

33

Fehler in der Prozesssteuerung

Nichtbefolgen von Betriebsanweisungen Fehlerhafte Betriebsanweisungen Andere Fehler

231 323 34

17

Auf der Basis der dokumentierten Freisetzungsmengen im Vergleich zu Berechnungen kommt Spouge in [63] zu dem Ergebnis, dass die Leckagehäufigkeiten in Abhängigkeit der Prozessbedingungen und der Sicherheitseinrichtungen festgelegt werden sollten. Der Autor definiert daher drei standardisierte Austrittszenarien:

Szenario 1: drucklose Leckage (Betriebsüberdruck < 0,01 bar),

Szenario 2: begrenzte Leckage (Druck < Betriebsdruck) und Segmentierung der Anlage bzw. begrenzte Menge durch Inhalt des Anlagenteils,

Szenario 3: vollständige Leckage (Druck ≥ Betriebsdruck), späte oder fehlende Segmentierung.

Für diese Szenarien werden Beziehungen zur Berechnung der Leckagehäufigkeiten angegeben [63]. Dabei hat Spouge auf der Grundlage der Leckagehäufigkeit eine kontinuierliche Abhängigkeit der Versagenshäufigkeit der Rohrleitungen vom Durchmesser abgeleitet. Dies erscheint bei der beschränkten Datenlage vor allem bei kleineren Durchmessern diskussionswürdig. Zudem soll für das Grundrisiko der Rohrleitungen ein Ansatz entwickelt werden, der unabhängig von Betriebsbedingungen und freigesetzter Masse gültig ist. Vor diesem Hintergrund wird der Ansatz nach Spouge zur Ableitung von Leckagehäufigkeiten für Rohrleitungen in dieser Arbeit nicht weiter berücksichtigt.

Als die zurzeit aussagefähigste Datenbasis wird in Übereinstimmung mit Spouge die HSE-Datenbank [59], [60] angesehen. Es stellt sich die Frage, wie ein geeigneter Ansatz zur Berechnung des Grundrisikos von Rohrleitungsleckagen auf der Basis der HSE-Datenbank

39

entwickelt werden kann. Dafür werden Leckagehäufigkeiten pro laufenden Meter Rohrleitung und Leckgrößen benötigt.

In einem zuvor veröffentlichten Ansatz zur Ableitung von Rohrleitungsleckagen der BAM [71] wurde die HSE-Datenbank bereits verwendet. Jedoch sind in dieser Datenbank Angaben zu Eintrittshäufigkeiten von einzelnen Leckgrößen und Rohrleitungslängen der untersuchten Anlagen nicht angegeben (siehe Tabelle 9). Deshalb konnte die benötigte Leckagehäufigkeit pro Jahr und Rohrleitungslänge nur geschätzt werden. Für diese Schätzungen wurde eine mittlere Rohrleitungsanzahl, die in einem Jahr vorhanden war, berechnet sowie eine mittlere Rohrleitungslänge festgelegt. Mit den abgeschätzten Rohrleitungslängen wurden die Leckagehäufigkeiten pro laufendem Meter für die Rohrleitungseinteilung D ≤ 3“ und 3“ < D ≤ 11“ und D > 11“ aus der HSE-Datenbank [59] berechnet. Die genaue Vorgehensweise ist in dem Bericht [71] beschrieben.

Tabelle 9: Leckagehäufigkeit von Rohrleitungen aus [59]

Rohrdurch-messer [Zoll]

System-jahre

Leckage-häufigkeit

[1/a]

Prozentualer Anteil der Leckdurchmesser [mm] < 10 10 < 25 25 < 50 50 < 75 75 < 100 ≥ 100 Keine

Angabe

D ≤ 3“* 1362467

(32 %) 2,00*10-4 0,79 0,13 0,06 0,01 0,01 0,0 0,01

3“ < D ≤ 11“ 2248577

(52 %) 5,87*10-5 0,75 0,05 0,02 0,02 0,0 0,10 0,06

D > 11“ 655519

(16 %) 5,49*10-5 0,64 0,08 0,0 0,0 0,0 0,17 0,11

* Zoll = 2,54 cm

Die so abgeleiteten Leckagehäufigkeiten erschienen im Vergleich mit den Daten der Tabelle 6 und Tabelle 7 gering. Deshalb wurden weitere Untersuchungen durchgeführt. Im Ergebnis wurde festgestellt und durch die HSE bestätigt, dass die HSE-Datenbank bereits Leckagehäufigkeiten pro laufendem Meter Rohrleitung in der Einheit [1/a*m] ausgibt, was den Veröffentlichungen [59], [60] nicht zu entnehmen ist. Die Umrechnung bezogen auf eine mittlere Rohrleitungslänge und -anzahl ist somit nicht mehr erforderlich. Daher muss dieser Ansatz an den neuen Kenntnisstand angepasst werden.

Gegen eine direkte Verwendung der Offshore-Ausfallhäufigkeiten der HSE-Datenbank spricht, dass diese nach Spouge im Vergleich zu Onshore-Ausfallhäufigkeiten wesentlich höher sind. Für Rohrleitungen aus Stahl ergeben sich nach Spouge [63] in Abhängigkeit des Rohrleitungsdurchmessers Faktoren von 10 bis 60. Deshalb schlägt Spouge vor, bei der Verwendung dieser Daten in Onshore-Anlagen entsprechende Modifikationen vorzunehmen. Auch vor dem Hintergrund der in der Tabelle 6 und Tabelle 7 aufgelisteten Leckagehäufigkeiten und des beschriebenen Ansatzes nach Moosemiller [69] wird deutlich, dass die Offshore-Ausfallhäufigkeiten der HSE-Datenbank mindestens eine Zehnerpotenz größer sind. Eine mögliche Ursache dafür könnte im Gegensatz zu Spouges Ausführungen der Einfluss der Umgebungsbedingungen auf die Leckagehäufigkeiten der Offshore-Daten sein.

40

Vor dem Hintergrund dieser Diskussionen erscheint es notwendig, die Ausfallhäufigkeiten der Rohrleitungsleckagen der HSE-Datenbank zur Anpassung und Verwendung in Onshore-Anlagen um den Faktor 10 zu reduzieren. Die so erhaltenen Daten (siehe Tabelle 10) zeigen eine gute Übereinstimmung mit den vorgestellten Literaturquellen und dem Ansatz von Moosemiller.

Tabelle 10: Modifizierte Leckagehäufigkeit von Rohrleitungen in Anlehnung an [59]

Rohrdurch-messer

[Zoll]

Leckage-häufigkeit

[1/a*m]

Prozentualer Anteil der Leckdurchmesser [mm] < 10 10 - 25 25 - 50 50 - 75 75 - 100 ≥ 100 Keine

Angabe

D ≤ 3“ 2,00*10-5 0,79 0,13 0,06 0,01 0,01 0,0 0,01

3“ < D ≤ 11“ 5,87*10-6 0,75 0,05 0,02 0,02 0,0 0,10 0,06

D > 11“ 5,49*10-6 0,64 0,08 0,0 0,0 0,0 0,17 0,11

Anhand der Tabelle 10 ist ersichtlich, dass Leckagen bei Rohrleitungen mit einem Durchmesser D ≤ 3“ (ca. DN 80) häufiger auftreten als bei den Rohrleitungen D > 3“. Die Häufigkeit bei kleinen Rohrleitungen D ≤ 3“ ist ca. eine Zehnerpotenz höher als bei den Rohrleitungen D > 3“. Dies lässt sich durch die in dem HID Statistics Report [59] aufgeführten Ursachen der Leckagen erklären, die zu 36 % auf Korrosion/Erosion/Verschleiß und zu 12 % auf Schwingungen/Ermüdungsbruch zurückgeführt werden. Bei größeren Rohrleitungen sind die Wanddicken stärker und die Massenträgheit höher, sodass eine geringere Anzahl von Leckagen plausibel ist. Bei der Aufteilung der Leckagehäufigkeit auf der Basis der Leckdurchmesser ist auffällig, dass bei den Rohrleitungen > 3“ der Anteil der Leckagen > 100 mm 10 % bzw. 17 % entspricht. Dies deutet darauf hin, dass hier nicht die in Tabelle 8 genannten Schadensursachen relevant sind, sondern eher mechanische Beschädigungen, die zu erheblichen Leckflächen führen.

Daher werden in einem ersten Schritt die Leckagehäufigkeiten im Rahmen dieser Arbeit in zwei Durchmesserklassen nach den Rohrleitungsnennweiten DN ≤ 100 und DN > 100 eingeteilt. Die Leckagehäufigkeit der Rohrleitungen DN > 100 ergibt sich aus dem Durchschnitt der Leckagehäufigkeiten der Rohrleitungseinteilungen 3“ < D ≤ 11“ und D > 11“ (siehe Tabelle 11).

Tabelle 11: Leckagehäufigkeit der Durchmesserklassen

Durchmesserklasse Leckagehäufigkeit [1/a*m]

DN ≤ 100 2,0*10-5 DN > 100 5,7*10-6

In einem weiteren Schritt werden zur Berechnung des Grundrisikos der Rohrleitungen Leckgrößen benötigt.

In dem HID Statistics Report [59] sind neben den Leckagehäufigkeiten pro Jahr zusätzlich die Verteilungen der Leckdurchmesser angegeben. Bei den Rohrleitungen mit einem Durchmesser 3“ < D ≤ 11“ und D > 11“ sind zu 6 % bzw. 11 % der Leckagen keine Informationen zu dem

41

jeweiligen Leckdurchmesser vorhanden (siehe Tabelle 9). Eine Unterscheidung der Leckgrößenverteilung in Abhängigkeit der Rohrleitungseinteilung (D ≤ 3“, 3“ < D ≤ 11“, D > 11“) erscheint daher nicht sinnvoll. Deshalb wird ein Durchschnitt der prozentualen Anteile je Leckdurchmesser gebildet. Beispielsweise ergibt sich für den Leckdurchmesser ≤ 10 mm ein durchschnittlicher Anteil von 0,73 aus den Einzelwerten 0,79, 0,75 und 0,64 der Rohreinteilung. Die Tabelle 12 fasst die berechneten durchschnittlichen Leckdurchmesseranteile zusammen.

Tabelle 12: Verteilung der Leckdurchmesser

Leckdurchmesser d

Anteil der Leckdurchmesser

d ≤ 10 mm 0,73 10 < d ≤ 25 mm 0,09 25 < d ≤ 50 mm 0,03 50 < d ≤ 75 mm 0,01 75 < d ≤ 100 mm 0,003 > 100 mm 0,09

Wie schon diskutiert, ist der Anteil von Lecks mit einem Durchmesser von >100 mm nicht mehr auf Korrosion usw. zurückzuführen, sondern eher auf mechanische Beschädigungen oder Bedienfehler und inkorrekte Installation. Diese Gefahrenquellen werden im Betriebsrisiko betrachtet und sind nicht Gegenstand des Grundrisikos der Rohrleitungen. Deshalb wird dieser Anteil nicht berücksichtigt.

Die übrigen Anteile der Leckdurchmesser können nun unter dieser Voraussetzung in erster Näherung als Exponentialfunktion Fd beschrieben werden (siehe Formel 6). Diese Exponentialfunktion wurde im Rahmen dieser Arbeit mittels einer Regressionsanalyse abgeleitet. Die Integrale für die jeweiligen Bereiche der Leckdurchmesser ergeben etwa die in dem HID Statistics Report angegeben Anteile der Leckdurchmesser:

= 0,52 , ∙ √ (6)

Bei der praktischen Durchführung einer QRA sind die Rohrleitungslängen und Nenndurchmesser der Rohrleitungen bekannt. Es muss nun für die Auswirkungsberechnungen festgelegt werden, welche Leckgrößen bei welchen Rohrleitungsdurchmessern betrachtet werden.

Bei einer Rohrleitung kann im Prinzip jeder Leckdurchmesser zwischen 1 mm (als Minimalwert festgelegt) und dem äquivalenten Rohrleitungsdurchmesser des Rohrabrisses auftreten. Bei der Festlegung einer hypothetischen Leckage an einer Rohrleitung oder einem Behälter wird im Leitfaden TAA-GS-03 [72] ein Leck-vor-Bruch-Verhalten durch den Einsatz von zähen Werkstoffen vorausgesetzt. Bei einer geschützten Verlegung außerhalb des Einwirkbereichs größerer mechanischer Belastungen sind danach keine Einwirkungen zu erwarten, die zum

42

sofortigen Totalversagen führen können. Unter Berücksichtigung der Berechnungen von Strohmeier, wie z. B. in [73], zum Risswachstum an Rohrleitungen und Behältern wird in diesem Leitfaden davon ausgegangen, dass die für ein katastrophales Versagen erforderlichen kritischen Rissgrößen so groß sind, dass sie bei Standard-Prüfungen sicher entdeckt werden, und damit der komplette Abriss von entsprechend ausgeführten, sorgfältig verlegten und überwachten Rohrleitungen nach menschlichem Ermessen auszuschließen ist.

Für die Festlegung von größeren Lecks in einer Rohrleitung wird im Leitfaden TAA-GS-03 der Ansatz von Prof. Brötz zur Berechnung einer Leckfläche verwendet mit: = 0,01

(7)

Für größere Querschnitte als DN 100 ist diese Annahme nicht mehr sinnvoll, da die sich dann ergebende Leckfläche eine unrealistische Dimension erreichen würden. Hier wird im Leitfaden TAA-GS-03 [72] durchgängig eine Leckfläche von 100 mm2 vorgeschlagen.

Der Ansatz des Brötz´schen Lecks wird für die Festlegung des maximal zu erwartenden Leckdurchmessers einer Rohrleitung herangezogen, wobei der im Leitfaden TAA-GS-03 festgelegte Maximalwert nicht verwendet wird, da bei einer QRA auch große Lecks mit geringer Eintrittshäufigkeit nicht ausgeschlossen werden sollen. Der maximale Leckdurchmesser berechnet sich somit nach

= 0,04 (8)

Theoretisch müsste das Risiko für alle möglichen Leckdurchmesser einer Rohrleitung berechnet und addiert werden. Da dies zu einem unverhältnismäßig großen Aufwand führt, werden in dieser Arbeit, die in Tabelle 13 angegebenen sechs Rohrklassen gebildet und entsprechende Rohrleitungsnennweiten zugeordnet. Für jede Rohrklasse wird der maximal zu erwartenden Leckdurchmesser nach dem Brötz´schen Ansatz berechnet. Aus dem Ansatz für die Leckgrößenverteilung Fd kann durch Integration die anteilige Häufigkeit für jede Rohrklasse berechnet werden (Tabelle 13, Spalte 4).

Tabelle 13: Leckannahmen bei Rohrleitungsleckagen

Klasse Rohrklassen DN [mm] max.

Leckdurchmesser [mm]

Anteil des Leckdurchmessers

[%] I 10; 15; 20; 25; 32; 40 5 56 II 50; 65; 80; 100 11 25 III 125; 150; 200 22 12 IV 250; 300 34 4 V 350; 400 45 2 VI 500-600 68 1

43

Anschließend kann die Leckagehäufigkeit der jeweiligen Rohrklasse berechnet werden. Um die Tatsache zu berücksichtigen, dass Rohrleitungen mit einem geringen Durchmesser größere Leckagehäufigkeiten aufweisen (siehe Tabelle 9), wird die Unterteilung in Durchmesserklassen (DN ≤ 100 und DN > 100) beibehalten.

Das bedeutet, den Rohrklassen I und II wird die Leckagehäufigkeit von 2,0*10-5 [1/a*m] und den Rohrklassen III bis VI die Leckagehäufigkeit von 5,7*10-6 [1/a*m] aus der Tabelle 11 zugewiesen. Der maximale Leckdurchmesser einer Rohrklasse aus Tabelle 13 wird mit dem jeweiligen Anteil und der zugehörigen Leckagehäufigkeit multipliziert. Dies bringt im Ergebnis die in Tabelle 14 aufgeführten Leckagehäufigkeiten für die Rohrklasse I und II.

Tabelle 14: Leckagehäufigkeit bei Rohrleitung DN ≤ 100

Rohrklasse Häufigkeit [1/a*m] I 1,1*10-5 II 5*10-6

Dieser Zusammenhang soll an einem kurzen Beispiel erläutert werden. Für die Rohrklasse I ergibt sich ein maximaler Leckdurchmesser von 5 mm, dessen Anteil mit 56 % ermittelt wurde. Die abgeleitete Leckagehäufigkeit der Rohrklasse I beträgt 2,0*10-5 [1/a*m], die mit 0,56 multipliziert wird, und somit zu einer Leckagehäufigkeit von 1,1*10-5 [1/a*m] führt.

Prinzipiell können an Rohrleitungen DN > 100 ebenfalls Lecks des Durchmessers 5 mm und 11 mm auftreten. Aus diesem Grund werden neben den Leckdurchmessern der Rohrklassen III bis VI zusätzlich die Leckdurchmesser 5 mm und 11 mm anteilig mit der Leckagehäufigkeit der Durchmesserklasse DN > 100 von 5,7*10-6 [1/a*m] multipliziert.

Für das abdeckende Leck von 22 mm der Rohrklasse III wird die Leckagehäufigkeit durch Multiplikation von 12 % und 5,7*10-6 [1/a*m] ermittelt (siehe Tabelle 15).

Tabelle 15: Leckagehäufigkeit bei Rohrleitung DN > 100

Rohrklasse Häufigkeit [1/a*m] I 3,2*10-6 II 1,4*10-6 III 6,8*10-7 IV 2,3*10-7 V 1,1*10-7 VI 5,7*10-8

Nach dem beschriebenen Ansatz müssen z. B. für eine Rohrleitung DN 150 drei Auswirkungsbetrachtungen für die Leckgrößen 5 mm, 11 mm und 22 mm durchgeführt werden. Das Risiko berechnet sich daraufhin als Summe der drei Berechnungsergebnisse unter Verwendung der Leckagehäufigkeiten für Rohrleitungen DN > 100 (Tabelle 15) und der entsprechenden Länge des gewählten Rohrleitungsabschnittes.

44

Der vorgestellte Ansatz gilt sowohl für oberirdisch als auch für unterirdisch verlegte Rohrleitungen. Jedoch werden die Szenarien für die Auswirkungsbetrachtungen der unterirdisch verlegten Rohrleitungen entsprechend des freigesetzten Stoffes angepasst. Es wird z. B. bei einer Flüssiggasanlage mit unterirdischer Rohrleitungsführung mit Flüssigphase davon ausgegangen, dass es im Fall einer Leckage nur zur diffusen Gasfreisetzung aus dem Erdboden kommt und im Gegensatz zur oberirdischen Rohrleitungsführung auf eine Lachenbildung mit anschließendem Brand verzichtet werden kann.

Darüber hinaus tritt in der Praxis zuweilen der Fall auf, dass Rohrleitungen nur temporär, wie z. B. zu Befüllungen oder Entleerungen von Behältern, genutzt werden. Leckagen können dann nur während der Betriebsphasen auftreten, wenn die Rohrleitung einen Stoff führt. Deshalb sollten die Leckagehäufigkeiten in diesem Spezialfall anteilig hinsichtlich der Ruhe- und Betriebsphasen gewichtet werden.

Für Rohrleitungen aus nichtrostendem Stahl oder Kunststoff werden die Leckagehäufigkeiten unter Berücksichtigung der Analyse der Ursachen von Leckagen in Onshore-Anlagen (siehe Tabelle 5) um 20 % reduziert. Dieser prozentuale Anteil ergibt sich aus der Summe der Korrosionen und der sonstigen Ursachen, die anschließend aufgerundet wurden.

Zudem sollte die Leckagehäufigkeit für Rohrleitungen, die abrasive bzw. besonders korrosive Medien führen, um den Faktor 2 erhöht werden.

Im Zusammenhang mit der praktischen Durchführung von QRA ergab sich die Frage, in welchem Abstand die Rohrleitungsleckagen angenommen werden müssen, um das Risiko hinreichend genau darzustellen. Im Purple Book [16] wird empfohlen, die Anzahl der betrachteten Lecks so zu wählen, dass die berechnete Risikokontur sich mit der Erhöhung der Leckanzahl nicht mehr signifikant verändert. Hierfür wird ein Abstand von 50 m zwischen 2 Lecks angegeben. Diese Segmentierung erscheint jedoch zu grob, insbesondere bei den kleineren Lecks des Rohrleitungsansatzes.

Leckagen gleicher Leckgrößen führen unter gleichen Randbedingungen zu identischen Auswirkungsradien mit einer kreisförmigen Ausprägung. Daraus folgt, dass das Risiko einer Schädigung bei einer gleichbleibenden Entfernung zur Rohrleitung etwa gleich groß sein muss. Dies ist der Fall, wenn sich die Effektradien hinreichend überlagern und eine einhüllende Risikokontur bilden (siehe Abbildung 8). Personen, die sich innerhalb der Fläche der einhüllenden Risikokontur befinden, sind somit dem Risiko einer Schädigung ausgesetzt. Die maximale Fläche, in der ein Risiko vorliegt, berechnet sich dann wie folgt: = + 2

(9)

mit:

lR [m] Länge Rohrleitung rE [m] Effektradius

45

Da prinzipiell an jedem Ort der Rohrleitung Leckagen auftreten können, steigt der Berechnungsaufwand mit der Länge der Rohrleitung. Vor dem Hintergrund eines vertretbaren Aufwandes zur Bestimmung des Anlagenrisikos muss ein Ansatz gefunden werden, um mit einer ausreichend genauen Abschätzung das Risiko, welches von Rohrleitungsleckagen ausgeht, bestimmen zu können.

Abbildung 8: Einhüllende Risikokontur einer Rohrleitung

In der Abbildung 9 sind Effektradien möglicher Leckagen in Abhängigkeit verschiedener Abstände untereinander dargestellt. Deutlich zu erkennen ist, dass die Fläche, auf der kein Risiko einer Schädigung festzustellen ist, mit der Vergrößerung des Abstandes zwischen den einzelnen Leckagen zunimmt. Dieser Fakt würde sich insbesondere bei der Ermittlung des Gruppenrisikos auswirken, da hier ein Flächenbezug zur Risikoermittlung besteht. Die Flächen zwischen der Überlappung der Effektradien und somit die Personendichte dieser Flächen würden unberücksichtigt bleiben.

Rohrleitung

Abstand: 2rE Abstand: 1rE Abstand: rE/2

Effektradius Effektradius

Fläche ohne Risiko Fläche ohne Risiko Fläche ohne Risiko

Abbildung 9: Flächen ohne Risiko einer Schädigung in Abhängigkeit des Abstandes der Leckagen

46

Um die Flächen ohne Risiko in Bezug zur Fläche der einhüllenden Risikokontur bewerten zu können, wurden diese in Abhängigkeit des Abstandes der Effektradien berechnet und ein Flächenverhältnis wie folgt gebildet:

ä ℎ ℎä = ä ℎ . − ä ℎ ä ℎ . (10)

Hierbei bedeutet ein Flächenverhältnis von 1, dass sich die Effektradien idealerweise überlappen und keine Fläche ohne Risiko vorhanden ist. Wie der Abbildung 10 zu entnehmen ist, ergibt sich insbesondere für die Abstände der Effektradien rE/8 und rE/4 ein derartiges Flächenverhältnis. Dagegen wurden bei einem Abstand von 2rE bzw. 1rE ein Flächenverhältnis im Bereich von 0,79 bzw. 0,96 ermittelt.

Das Flächenverhältnis, das bei einem Abstand der Leckagen von rE/2 ermittelt wurde, stellt mit ca. 0,99 einen vertretbaren Wert im Rahmen dieser Methodenentwicklung dar.

Abbildung 10: Verhältnis Flächemax. Risiko zu Flächeohne Risiko in Abhängigkeit des Abstandes der Leckagen

Der Einfluss der Abstände zwischen den Rohrleitungsleckagen soll an einer Vergleichsrechnung veranschaulicht werden. Als Beispiel der Risikoermittlung dienen die Rohrleitungen (DN 150) einer Flüssiggasbehälteranlage, die Propan führen. Hierbei wird angenommen, dass die Rohrleitungen oberirdisch verlaufen. Als Effektradius wird die untere Zünddistanz verwendet, die mit der VDI-Richtlinie 3783 Blatt 2 [23] berechnet wurde. Für diese Rohrleitung müssen nach dem Ansatz dieser Arbeit Auswirkungsbetrachtungen für die Leckgrößen 5 mm, 11 mm und

0,70

0,75

0,80

0,85

0,90

0,95

1,00

1/8 rE1/4 rE1/2 rE1 rE2 rE

Fläc

henv

erhä

ltnis

Abstand der Leckagen in Abhängigkeit des Effektradiuses (rE)

47

22 mm durchgeführt werden. Hierbei ergibt sich die Problematik, welcher Leckdurchmesser zur Bestimmung der Effektradien herangezogen wird. Für jede Leckgröße müsste ein separater Leckabstand verwendet werden, was zu einem unverhältnismäßigen Aufwand führt. Aus diesem Grund wurde den folgenden Berechnungen jeweils der Leckabstand des kleinsten zu berechnenden Lecks und des größten Lecks zu Grunde gelegt, um zu beurteilen, ob ein Einfluss des Leckabstands in Abhängigkeit der Leckgröße in einer Risikoermittlung festzustellen ist.

In der Abbildung 11 sind die Risikokonturen der Rohrleitungsleckagen dargestellt, wobei als Leckabstand 20 m gewählt wurden. Dies entspricht dem halben Effektradius (halbe untere Zünddistanz) des 5-mm-Lecks. Dagegen werden in Abbildung 12 die Risikokonturen der Rohrleitungsleckagen aufgezeigt, die sich bei Anwendung des Leckabstandes von rE/2 - 53 m eines Lecks mit einem Durchmesser von 22 mm ergeben.

Abbildung 11: Risikokonturen der Rohrleitungsleckagen - Leckabstand auf der Grundlage eines 5-mm-Lecks

0,00011E-051E-06

48

Abbildung 12: Risikokonturen der Rohrleitungsleckagen – Leckabstand auf der Grundlage eines 22-mm-Lecks

Anhand der Abbildung 11 und Abbildung 12 ist zu erkennen, dass die Risikokonturen auf der Basis des Leckabstandes von 53 m eine geringere Reichweite, insbesondere der Risikokontur mit einem Wert von 0,0001, hier rot markiert, aufweisen. Das ist insofern nicht überraschend, da sich die Effektradien der kleineren Lecks nicht mehr überlagern und somit der Flächenanteil, auf dem kein Risiko einer Schädigung vorliegt, steigt. Wird jedoch der halbe Effektradius des kleinsten Lecks zu Grunde gelegt, ergibt sich eine hinreichend genaue Überlagerung der kleinsten Lecks, was mit einem kleineren Leckabstand als rE/2 für die größeren Lecks einhergeht und somit zu einem Flächenverhältnis >0,99 führt. Demzufolge wird als hypothetischer Leckabstand der Effektradius rE/2 des kleinsten zu berechnenden Lecks in Abhängigkeit des Rohrleitungsdurchmessers empfohlen und im Rahmen dieser Arbeit verwendet.

Neben brennbaren Stoffen können zudem toxische Stoffe in den Rohrleitungen geführt werden. Für die Berechnung der Effektradien rE/2 toxischer Stoffe wird empfohlen, als Beurteilungskriterium den AEGL-3-Wert zugrunde zu legen. Werden Stoffe verwendet, die brennbar und toxisch sind, so sollte der Effektradius rE/2 ausgewählt werden, der zu geringeren Leckabständen führt.

3.5.1.2 Abriss von Rohrleitungen

Der Abriss von Rohrleitungen stellt nicht selten eine Gefahrenquelle dar. Deshalb soll dieser im Rahmen einer QRA betrachtet werden, wobei folgende Ursachen dafür denkbar sind:

0,00011E-051E-06

49

1. Zusatzbelastung deutlich über der Auslegung der Rohrleitung, z. B. Personen treten auf Messleitungen mit geringem Durchmesser

2. Mechanische Beschädigung der oberirdischen Rohrleitung infolge von Bautätigkeiten oder Wartungs- und Instandsetzungsarbeiten

3. Mechanische Beschädigung der Rohrleitung durch das Anfahren einer Rohrbrücke mit einem Fahrzeug

4. Mechanische Beschädigung der Rohrleitung in Füllanlagen durch Bewegung der Fahrzeuge

5. Mechanische Beschädigung der Rohrleitung durch äußere Gefahrenquellen im Sinne der Störfall-Verordnung, wie z. B. Erdbeben, Hochwasser, Flugzeugabsturz

zu 1.:

Bei Rohrleitungen mit Nennweiten DN < 15 ist eine Beschädigung durch Zusatzbelastungen nicht auszuschließen. Es wird davon ausgegangen, dass die Versagenshäufigkeit etwa in der Größenordnung der Leckagehäufigkeit der Rohrklasse II DN ≤ 100 liegt. Daher wird folgende Versagenshäufigkeit vorausgesetzt:

610*5 −=λ [1/a*m] ; DN < 15

zu 2.:

Bei Bautätigkeiten oder Wartungs- und Instandsetzungsarbeiten können durch herabfallende Gegenstände Rohrleitungen abreißen. Mit zunehmendem Durchmesser der Rohrleitungen wird dies jedoch immer unwahrscheinlicher. In dem HID Statistics Report [59] wurden Leckagen mit einem Leckdurchmesser > 100 mm an Rohrleitungen mit Durchmessern > 11“ anteilig zu 17 % ermittelt. Dies kann u. a. auf mechanische Beschädigungen der Rohrleitungen zurückzuführen sein.

Darauf aufbauend wird angenommen, dass die Versagenshäufigkeit von Rohrleitungen mit einem Durchmesser von DN 600 ca. 17 % der Leckagehäufigkeit der Rohrklasse VI DN > 100 entspricht (9,7*10-9 [1/a*m]) und für kleinere Durchmesser nach folgender Beziehung ansteigt:

2

510*1,1DN

−

=λ [1/a*m]; DN > 15 (11)

Bei erdgedeckten Rohrleitungen und Rohrleitungen außerhalb eines potenziellen Einwirkungs-bereiches von herabfallenden Gegenständen wird kein Rohrleitungsabriss unterstellt.

zu 3.:

Die Beschädigung einer Rohrbrücke durch Baufahrzeuge ist kein unbekanntes Ereignis. Im ungünstigen Fall kann es auch zu einem Rohrleitungsabriss kommen, der ebenfalls mit steigendem Rohrleitungsdurchmesser unwahrscheinlicher wird. Es wird angenommen, dass die Häufigkeit etwa um den Faktor 5 größer ist, als bei Bautätigkeiten, Wartungs- und

50

Instandsetzungsarbeiten (siehe Ausführungen zu 2.). Als Rohrleitungslänge ist hierfür die Länge der Rohrbrücken anzusetzen:

2

510*5,5DN

−

=λ [1/a*m]; DN > 15 (12)

zu 4.:

Die Wahrscheinlichkeit einer Beschädigung der Rohrleitung in Füllanlagen durch Bewegung der Fahrzeuge wird wesentlich durch die getroffenen technischen und organisatorischen Maßnahmen beeinflusst. Daher wird diese Gefahrenquelle ggf. im Rahmen des Betriebsrisikos durch Fehlerbäume betrachtet.

zu 5.:

Befindet sich eine Anlage in einem durch Erdbeben oder Hochwasser gefährdeten Bereich oder im Nahbereich eines Flughafens, so müssen Einzelfallbetrachtungen durchgeführt werden. Anregungen zur Bewertung der Eintrittshäufigkeit von Flugzeugabstürzen sind z. B. in Konersmann [74] und Balfanz [75] zu finden. Darüber hinaus sind Vorschläge zu Eintrittshäufigkeiten äußerer Gefahrenquellen, wie z. B. Hochwasser und Erdbeben, im Kapitel 3.5.1.7 dieser Arbeit enthalten.

3.5.1.3 Schläuche und Gelenkarme

Schläuche für die Befüllung und Entleerung von z. B. Druckbehältern bzw. Druckgasbehälter können ähnlich der Rohrleitungen Leckagen aufweisen. Da sich Leckagen an Schläuchen auf Grund der Gewebeeigenschaften anders verhalten werden, ist es notwendig, separate Häufigkeiten für die Schlauchleckagen abzuleiten.

In der Rijnmond Studie [37] und in Lees [17] wurden für Schläuche und Gelenkarme in Füllanlagen Leckagehäufigkeiten in Abhängigkeit der Betriebsdauer der Schläuche angegeben. In Anbetracht dessen, dass im Grundrisiko Aussagen zu Leckagehäufigkeit ohne Bezug zu Betriebsbedingungen und -stunden benötigt werden, können diese Leckagehäufigkeiten nicht verwendet werden.

In Anlehnung an die Ursachenanalyse für Rohrleitungsleckagen (siehe Tabelle 5) lassen sich die Ursachen für Leckagen an Schläuchen sicherlich größtenteils auf Materialversagen und Ermüdung zurückführen, da Korrosionen keine Fehlerursache für Schläuche darstellen.

Materialversagen kann in diesem Zusammenhang mit Fertigungsfehlern, falscher Auslegung oder auch falschem bzw. minderwertigen Material und fehlender Endprüfung des Produktes gleichgesetzt werden. All diese Fehler stellen menschliche Fehler bzw. Managementfehler dar. Es wird davon ausgegangen, dass mindestens zwei menschliche Fehler (Wahrscheinlichkeit: 0,001) gleichzeitig auftreten müssen, um eine Schlauchleckage herbeizuführen.

51

Daraus wird ein Grundrisiko von:

1*10-6 [1/a*m]

für Schläuche abgeleitet.

Außerdem wird unterscheiden, ob ein Voll- bzw. Leerschlauchsystem angewandt wird. Im Vollschlauchsystem verbleibt das Medium auch nach der Befüllung im Schlauch, sodass während des gesamten Betrachtungszeitraumes (Ruhe- und Betriebsphasen) Leckagen auftreten können. Dagegen befindet sich bei Verwendung des Leerschlauchsystems nur während des Befüllvorgangs Medium im Schlauch, sodass Leckagen nur während der Betriebsphase entstehen können. Aus diesem Grund wird die Leckagehäufigkeit der Leerschlauchsysteme entsprechend der Ruhe- und Betriebsphasen gewichtet.

Weiterhin ist zu beachten, dass im Ruhebetrieb der Vollschlauchsysteme die Ventile in den Rohrleitungen und Schläuchen geschlossen und daher die Stofffreisetzungen auf wenige Kilogramm begrenzt sind. Störfallbegrenzende Maßnahmen kommen hier nicht zum Tragen. Im Gegensatz dazu sind die störfallbegrenzenden Maßnahmen während der Betriebszeit mit Hilfe der Ereignisbaumanalyse zu berücksichtigen.

Bei Schläuchen wird auf Grund des vorliegenden Schlauchgewebes und der Betriebsdrücke aus einem kleinen Leck ein Riss entstehen. Für die Festlegung der Leck- bzw. Rissgröße wird der Ansatz nach Brötz verwendet, wobei im Gegensatz zu Rohrleitungen eine maximale Leckgröße in Abhängigkeit des Schlauchdurchmessers berechnet und nur eine Leckage pro Schlauch auf Grund der geringen Länge im Vergleich zu Rohrleitungen angenommen wird (siehe Formel 8).

3.5.1.4 Behälterleckage

Für die Versagenshäufigkeit von Behältern oder Tanks sind in der Literatur, beispielsweise in Lees [17], OREDA-Datenbank [14], Purple Book [16], HID Statistics Report [59], Canvey-Report [76], sehr unterschiedliche Angaben zu finden. Teilweise wird mit den angegebenen Versagenshäufigkeiten nicht nur das Versagen des Behälters oder des Tanks beschrieben, sondern auch die am Behälter oder Tank installierte Instrumentierung bzw. besondere Betriebsbedingungen. Abgebildet wird das katastrophale Versagen und/oder die Leckage der Behälter, wobei als mögliche Ursachen z. B. Korrosion, Materialfehler, fehlerhafte Betriebsbedingungen, mechanische Beanspruchungen (Erschütterungen, Vibrationen, usw.) sowie die Einwirkung von äußeren Ereignissen (Erdbeben, Flut, Sturm, Blitzschlag) genannt werden.

In Bush [77] wird eine in Deutschland durch den TÜV in den Jahren 1959 bis 1976 geführte Statistik zu Behälterleckagen vorgestellt, die Leckagehäufigkeiten jedoch ohne Bezug zu Leckdurchmessern angibt. Zur Zeit der Veröffentlichung ist es nach Bush die größte Datensammlung der Welt zu Druckgeräten und Grundlage vieler Veröffentlichungen. Hier wird eine durchschnittliche Leckagehäufigkeit an Behältern von 6,1*10-4 [1/a] angegeben.

In dem HID Statistics Report der HSE [59] sind Angaben über Leckagen an Druckbehältern enthalten. Hierfür wurden die Druckbehälter in mehrere Untergruppen entsprechend ihres

52

Einsatzbereiches unterteilt. Die Tabelle 16 enthält zusammengefasst die angegebene Leckgagehäufigkeit sowie eine Verteilung der Leckagen über die Leckdurchmesser. Es ist anzumerken, dass für ca. 27 % der Leckagen keine Angaben zur Leckgröße vorliegen und somit diese Daten nur wenig aussagekräftig sind.

Tabelle 16: Leckagehäufigkeit von Druckbehältern aus [59]

System-jahre

Anzahl Leckagen

Leckage-häufigkeit

[1/a]

Prozentualer Anteil der Leckdurchmesser [mm] < 10 10 < 25 25 < 50 50 < 75 75 < 100 ≥ 100 Keine

Angabe

15219 60 3,9 * 10-3 0,32 0,18 0,05 0,08 0,03 0,07 0,27

Spouge [62] gibt nach Auswertung des HID Statistics Reports und anderer Quellen eine Leckagehäufigkeit von 5*10-4 [1/a] bei Leckdurchmessern von ≥ 1 mm und 1,1*10-4 [1/a] bei Leckdurchmessern ≥ 50 mm für Prozessbehälter an. In der OREDA-Datenbank [14] ist für Behälter (allgemein) eine Leckagehäufigkeit von 2,5*10-2 [1/a] enthalten. In diesem Wertebereich liegen ebenfalls die von Hauptmanns [64] ermittelten Daten mit 2,7*10-2 [1/a] für Druckbehälter mit einem Betriebsüberdruck von 4-8 bar.

In Lees [17] wurden einige Veröffentlichungen zu Leckagehäufigkeiten von Behältern zusammengestellt. Für den Raffineriebereich sind hierbei Leckagehäufigkeiten mit 2,7*10-3 [1/a] (Prozessbehälter) und mit 1,8*10-3 [1/a] (Lagerbehälter) genannt. Für eine Anlage mit toxischen Stoffen und korrosiven Umgebungs- bzw. Betriebsbedingungen liegen die Werte ca. eine Zehnerpotenz höher.

Darüber hinaus sind in der Datenbank FRED [61] Häufigkeiten für das spontane Versagen von Behältern sowie Leckagehäufigkeiten in Abhängigkeit der Leckgrößen enthalten. Diese wurden anhand von Druckbehältern für Chlor abgeleitet. Der Mangel an aktuellen Daten zum spontanen Versagen von Chlorlagerbehältern sowie zu Leckagehäufigkeiten führte zu einem generischen Ansatz auf der Datengrundlage von Smith [78] mit folgenden Angaben (siehe Tabelle 17).

Tabelle 17: Leckagehäufigkeiten nach [61]

Leckgröße Häufigkeit [1/a] Leckgröße 6 mm 4*10-5 Leckgröße 13 mm 1*10-5 Leckgröße 25 mm 5*10-6 Leckgröße 50 mm 4*10-6 Spontane Freisetzung des Behälterinhaltes 2*10-6

Zusätzlich wurden in der HSE Fehlerhäufigkeiten für LPG-Lagerbehälter diskutiert, die letztendlich zu keinem Ergebnis führten. Ausschlaggebend dafür war nach Nussey [79], dass auf Grund von unterschiedlichen Fehlerdefinitionen bzw. nicht vollständigen Betrachtungen der möglichen Fehlerursachen die Häufigkeiten verschiedener Studien z. B. von O`Donnel [80] nicht vergleichbar waren.

53

Die Flämische Regierung hat im Jahr 1994 die AMINAL-Guideline „Handbook Failure Frequencies 1994“ herausgegebenen, die im Wesentlichen auf einer Bewertung der Daten von Smith und Warwick [78] durch DNV basieren. DNV klassifizierte die Daten in neun Fehlerursachen, wie z. B. Auslegungs- und Konstruktionsfehler und Korrosion, und drei Leckgrößenklassen (< 25 mm, 25-50 mm, 50-150 mm) sowie spontanes Versagen. Für die Leckgrößenklassen wurden äquivalente Leckdurchmesser (Deg) festgelegt und Leckagehäufigkeiten angegeben. Dieser Ansatz wurde bis zum Jahr 2009 mehrfach aktualisiert. Im „Handbook Failure Frequencies 2009 for drawing up a Safety Report“ (HBFF) [18] sind für Druckbehälter folgende Fehlerhäufigkeiten enthalten:

Tabelle 18: Leckagehäufigkeiten Druckbehälter [18]

Fehlertyp Fehlerhäufigkeit [1/Tankjahr] Lagertanks Prozesstanks

oberirdisch (inklusive Straßentankwagen,

Eisenbahnkesselwagen)

unterirdisch

kleine Lecks 0,1 < d ≤ 10 mm

Deq = 10 mm 1,2*10-5 1,2*10-4

mittlere Lecks 10 < d ≤ 50 mm

Deq = 25 mm 1,1*10-6 1,1*10-5

große Lecks 50 < d ≤ Dmax*

Deg = DL, max**

1,1*10-6 1,1*10-5

komplette Freisetzung des Behälterinhaltes innerhalb von 10 Minuten

3,2*10-7 1,0*10-7 3,2*10-6

spontane Freisetzung des Behälterinhaltes

3,2*10-7 1,0*10-7 3,2*10-6

*Dmax = maximaler Rohrleitungsdurchmesser (verbindende Rohrleitung)

**DL, max = maximaler Leckdurchmesser

Wie in Tabelle 18 aufgezeigt wird, treten an Druckbehältern kleine Leckagen um den Faktor 10 häufiger auf als mittlere und große Lecks, wobei nicht unterschieden wird zwischen oberirdischen und unterirdischen Druckbehältern. Die Häufigkeiten der kompletten Freisetzung des Behälterinhaltes innerhalb von 10 Minuten und die spontane Freisetzung des Behälterinhaltes wurde dagegen ca. eine Zehnerpotenz niedriger festgelegt.

Außerdem wird im HBFF [18] für drucklos betriebene Lagerbehälter (atmosphärische Tanks) die in Tabelle 19 aufgelisteten Leckagehäufigkeiten angegeben. Dabei wird in verschiedene Tanktypen unterteilt (Tanktyp 1: einwandig, Tanktyp 2: doppelwandig, Tanktyp 3: doppelwandig und für niedrige Temperaturen ausgelegt, Tanktyp 4: doppelwandig und gasdicht).

54

Tabelle 19: Leckagehäufigkeit für drucklos betriebene Lagerbehälter nach [18]

Fehlerhäufigkeit [1/Tankjahr] Fehlertyp Lagertanks folgender Tanktypen Prozess-

tanks 1 2 3 4 unter-irdisch

Kleine Lecks 0,1 < d ≤ 10 mm

Deq = 10 mm 2,4*10 -3

-

2,4*10 -2

Mittlere Lecks 10 < d ≤ 50 mm

Deq = 25 mm 2,2*10 -4

2,2*10-3 Große Lecks 50 < d ≤ Dmax*

Deg = DL, max**

2,2*10 -4

Komplette Freisetzung des Behälterinhaltes innerhalb von 10 Minuten 5*10 -6 5*10 -7 1,2*10 -8 1*10 -8 1,0*10 -8 5,0*10 -6 Spontane Freisetzung des Behälterinhaltes

Hinsichtlich der Leckagehäufigkeit der äquivalenten Lecks wird nicht zwischen den Tanktypen unterschieden. Lediglich bei den Szenarien „komplette Freisetzung innerhalb von 10 Minuten“ und „spontane Freisetzung des Behälterinhalts“ wird zwischen Tanktyp 1, 2 und 3 differenziert. Die mittleren und großen Lecks treten mit der gleichen Häufigkeit etwa eine Zehnerpotenz niedriger auf als die kleinen Lecks. Zusammenfassend kann ausgeführt werden, dass mit Leckagen an drucklosen Behältern nach dem HBFF [18] wesentlich häufiger zu rechnen ist als an Druckbehältern. Ausschlaggebend dafür sind sicherlich die unterschiedlichen Beschaffenheitsanforderungen.

Anzumerken ist, dass die Festlegung der Leckagehäufigkeiten der Tabelle 18 und Tabelle 19 Leckagen im Bereich des Mannlochs, der Verbindungen der Überwachungseinrichtung und der Rohrleitungen bis zum ersten Flansch (bis 10 m) abdeckt.

Werden die Leckagehäufigkeiten der Datenbank FRED [61] und des HBFF [18] verglichen, so kann eine annähernde Übereinstimmung in der Leckagehäufigkeit festgestellt werden. Dies ist insofern nicht verwunderlich, da die gleiche Datenbasis herangezogen wurde. Lediglich beim Szenario „spontane Freisetzung des Behälterinhalts“ wurde die Häufigkeit im HBFF 2009 [18] um ca. eine Zehnerpotenz reduziert.

In den Niederlanden wurden im IPO-Dokument (1994) [81] erstmals standardisierte Häufigkeiten u. a. für die spontane Freisetzung des Behälterinhalts mit 5*10-7 [1/a] sowie für die kontinuierliche Freisetzung des Behälterinhalts innerhalb von 10 Minuten bzw. über eine Leckage (50 mm) mit 2,5*10-7 [1/a] angegeben, die auf der Grundlage der COVO Studie [37] hergeleitet wurden. Die in der COVO-Studie enthaltenen Daten basieren ihrerseits wiederum auf Studien, die in den frühen

55

70er Jahren an 6 Anlagen durchgeführt wurden und deren Anwendbarkeit in der Literatur nach Beerens [51] nicht unumstritten ist. Veränderte Herstellungsvorschriften und Erfahrung in der Materialbeschaffenheit haben die Ausfall- und Fehlerhäufigkeiten der Anlagenkomponenten beeinflusst. Eine Anpassung der Daten ist jedoch nicht erfolgt.

Der ursprüngliche Ansatz des IPO-Dokuments (1994) wurde im Purple Book [16] aktualisiert, und hat die in der Tabelle 20 aufgelisteten Behälterszenarien zum Ergebnis. Dabei ist anzumerken, dass die Szenarien „kontinuierliche Freisetzung des Behälterinhalts innerhalb von 10 Minuten“ und „Leckage von 50 mm“ hinsichtlich der Häufigkeit zusammengefasst wurden.

Tabelle 20: Szenarien für ein Behälterversagen nach [16]

Spontane Freisetzung des Behälterinhaltes

[1/a]

Kontinuierliche Freisetzung des Behälterinhaltes

innerhalb von 10 Minuten [1/a]

Kontinuierliche Freisetzung über einen Leckdurch-

messer von 10 mm [1/a]

Druckbehälter zur Lagerung

5*10-7 5*10-7 1*10-5

Druckbehälter mit physikalischer Umwandlung

5*10-6 5*10-6 1*10-4

Druckbehälter mit chemischer Reaktion

5*10-6 5*10-6 1*10-4

Druckloser einwandiger Behälter

5*10-6 5*10-6 1*10-4

Der Ansatz der „kontinuierlichen Freisetzung des gesamten Behälterinhaltes innerhalb von 10 Minuten“ führt rechnerisch bei großen Lagerbehältern zu sehr großen Leckdurchmessern (z. B. Propan-Lagerbehälter 200 t: ca. 160 mm Leckdurchmesser), die gegebenenfalls größer sein können, als die Nennweiten der angeschlossenen Rohrleitungen. Dieser Ansatz erscheint fragwürdig und unrealistisch.

Die im Purple Book definierten Häufigkeiten einer „kontinuierlichen Freisetzung über einen Leckdurchmesser von 10 mm“ (Kategorie Druckbehälter zur Lagerung) ist mit der Häufigkeit einer Leckage (13 mm) der FRED-Datenbank und dem Deq 10 mm im HBFF vergleichbar (siehe Tabelle 21). Die Häufigkeiten für eine spontane Freisetzung eines Behälterinhalts des Purple Book und des HBFF sind ähnlich und liegen im Vergleich zu FRED ca. eine Zehnerpotenz niedriger.

56

Tabelle 21: Vergleich Leckagehäufigkeiten Druckbehälter FRED, HBFF und Purple Book

Leckagen Leckagehäufigkeit [1/a] FRED HBFF 2009 Purple Book

6 mm 4,0*10-5 - - 10 mm - - - 13 mm 1,0*10-5 - - 25 mm 5,0*10-6 - - 50 mm 5,0*10-6 - - Deg 10 mm - 1,2*10-5 - Deg 25 mm - 1,1*10-6 - Deg 50 mm - 1,1*10-6 - Kontinuierliche Freisetzung über einen Leckdurchmesser von 10 mm

- - 1,0*10-5

Komplette Freisetzung des Behälterinhaltes innerhalb von 10 Minuten

- 3,2*10-7 5,0*10-7

Spontane Freisetzung des Behälterinhaltes

2,0*10-6 3,2*10-7 5,0*10-7

Um die Behälterleckagen der verschiedenen Literaturquellen bewerten zu können, wurden folgende Überlegungen angestellt.

An einem Behälter können ähnlich, den Rohrleitungen, Lecks auftreten. Ausgehend von einer beispielhaften verfahrenstechnischen Anlage mit z. B. 20 Lagerbehältern für toxische Medien und der Annahme, dass Lecks mit einem Durchmesser von 6 mm, 13 mm und 25 mm an jedem Behälter auftreten, lässt sich ein überschlägiges Grundrisiko auf der Basis der Leckagehäufigkeiten aus FRED [61] berechnen. Somit ergibt sich ein Risikowert von 1,1*10-3

[1/a] für einen Menschen, der sich im Schadensradius befindet. Dieser Wert überschreitet bereits den akzeptierten Risikowert für Firmenmitarbeiter von 1*10-3 [1/a] in Großbritannien nach dem ALARP [48], wobei das Betriebsrisiko noch nicht in diese Betrachtung eingeflossen ist. Infolgedessen erscheinen die in FRED enthaltenen Daten bei näherer Betrachtung zu konservativ. Aus diesem Grund können die Daten zu Behälterleckagen nicht uneingeschränkt übernommen werden. Eine Korrektur dieser ist notwendig.

Zusätzlich müssen für die Behälterleckagen des Grundrisikos im Rahmen dieser Arbeit Leckdurchmesser festgelegt werden. Es werden ausschließlich Leckagen an Behältern oder Tanks betrachtet. Ein katastrophales Behälterversagen mit einer spontanen Freisetzung des gesamten Stoffinventars wird auf Grund des Standes der Sicherheitstechnik in Deutschland ausgeschlossen (siehe auch Leitfaden KAS-18 [24]). Betrachtungen von besonderen Ereignissen, wie z. B. einer Behälterunterfeuerung, werden ggf. im Rahmen von

57

Fehlerbaumanalysen durchgeführt. Pauschale Angaben zur Häufigkeit für ein spontanes Behälterversagen sind daher nicht erforderlich.

In Deutschland werden im Leitfaden KAS-18 Leckgrößen von DN 10 bis DN 25 unterstellt. Um eine Kompatibilität zu diesem Leitfaden herzustellen, werden die Leckgrößen DN 10 und DN 25 für Behälterleckagen herangezogen. Größere Leckannahmen als DN 25 erscheinen nicht sinnvoll, da diese eher auf mechanische Beschädigung zurückzuführen sind und somit im Betriebsrisiko betrachtet werden sollten. Als minimale Grundannahme wird nach dem Leitfaden KAS-18 [24] empfohlen, dass eine Leckage mit einem Leckdurchmesser DN 10 für die sogenannten Dennoch-Störfälle, die im Rahmen des Land-Use-Plannings herangezogen werden, nicht unterschritten wird. Im Umkehrschluss lässt sich ableiten, dass Leckagen mit einem Leckdurchmesser < 10 mm vernünftigerweise nicht ausgeschlossen werden können. Somit wird zusätzlich eine Leckage mit einer Leckgröße von 5 mm für die Behälter betrachtet.

Entsprechend der Überlegung, dass die in FRED enthaltenen Leckagehäufigkeiten für Druckbehälter zur Lagerung zu konservativ sind und Leckagen mit Leckgrößen von 25 mm relativ selten auftreten (siehe auch Tabelle 16), wird diese Leckagehäufigkeit um eine Zehnerpotenz reduziert und mit einer Leckagehäufigkeit von 5*10-7 [1/a] in dieser Arbeit gerechnet. Ausgehend von dieser Erkenntnis wird die Leckagehäufigkeit des 10-mm-Lecks, die in den aufgelisteten Datenquellen der Tabelle 21 im Bereich von 1*10-5 [1/a] liegt, gleichermaßen um den Faktor 10 reduziert und somit eine Leckagehäufigkeit von 1*10-6 [1/a] für die durchzuführenden Berechnungen verwendet. Es kann davon ausgegangen werden, dass ähnlich der Rohrleitungen die Leckagehäufigkeit mit abnehmender Leckgröße zunimmt. Daher wird für die Ableitung der Leckagehäufigkeit des 5-mm-Lecks die Leckagehäufigkeit des 10-mm-Lecks um den Faktor 10 erhöht. Somit ergibt sich eine Leckagehäufigkeit von 1*10-5 [1/a] für diese Leckgröße.

Die für die weiteren Berechnungen verwendeten Leckagehäufigkeiten sind in der Tabelle 22 zusammengefasst. Dabei wird die Unterscheidung zwischen Lager- und Prozessbehälter des Purple Book [16] übernommen. Die erhöhten Anforderungen an Prozessbehälter werden berücksichtigt, indem eine höhere Leckagehäufigkeit, um den Faktor 10, angenommen wird.

Neben Druckbehältern sind in verfahrenstechnischen Anlagen ebenfalls drucklose einwandige Behälter vorhanden. Für diese werden Leckagehäufigkeiten angenommen, die denen der Druckbehälter mit physikalischer oder chemischer Umwandlung entsprechen. Ausschlaggebend für die höhere Leckagehäufigkeit der einwandigen Behälter ist die Überlegung, dass diese z. B. bei Unterschreitung der Gefahrstoffmengenschwellen nicht als überwachungsbedürftige Anlage gelten und somit wiederkehrende Prüfungen entfallen.

58

Tabelle 22: Verwendete Leckagehäufigkeiten an Behältern

Behälter Leckagehäufigkeit [1/a] Leckdurchmesser 5 mm 10 mm 25 mm Druckbehälter zur Lagerung 1*10-5 1*10-6 5*10-7 Druckbehälter mit physikalischer oder chemischer Umwandlung

1*10-4 1*10-5 5*10-6

Druckloser einwandiger Behälter 1*10-4 1*10-5 5*10-6

In verfahrenstechnischen Anlagen können Behälter mit Flüssig- als auch Gasphase vorhanden sein. Leckagen der Gasphase führen gegenüber der Leckagen in der Flüssigphase in der Regel zu geringeren Auswirkungsradien. Werden nur die Leckagen der Gasphase mit den angegebenen Leckagehäufigkeiten der Tabelle 22 betrachtet, erfolgt eine Unterbewertung des Grundrisikos. Die ausschließliche Betrachtung der Flüssigphase-Leckagen führt dagegen zur Überwertung des Grundrisikos.

Demzufolge wird vorgeschlagen, die Häufigkeit der Lecks entsprechend des Füllstandes im Behälter zu wichten. Ist dieser nicht bekannt, kann die Leckagehäufigkeit zu je 50 % für die Flüssig- als auch für die Gasphase angenommen werden. Im konkreten Fall eines 5-mm-Lecks eines Druckbehälters zur Lagerung ist somit je eine Auswirkungsbetrachtung der Flüssigphase und der Gasphase mit einer Häufigkeit von 5*10-6 [1/a] durchzuführen.

Die Tankkraftwagen und Eisenbahnkesselwagen, wie z. B. einer Flüssiggasanlage, verfügen über Druckgasbehälter, bei denen eine Leckage nicht prinzipiell ausgeschlossen werden kann. Es wird jedoch davon ausgegangen, dass durch die regelmäßige Prüfung der Behälter bei jeder Befüllung keine großen Lecks entstehen können. Eine Rissentstehung zwischen zwei Befüllungen ist dagegen denkbar, sodass von einem Leckdurchmesser von 5 mm und einer Leckagehäufigkeit von 1*10-5 [1/a] ausgegangen wird. Da die TKW und EKW temporäre Einrichtungen der verfahrenstechnischen Anlagen darstellen, wird die Leckagehäufigkeit von 1*10-5 [1/a] anteilig auf die Entleer- bzw. Befüllzeit bezogen.

Für Behälter aus nichtrostendem Stahl und für Kunststoffbehälter werden die Leckagehäufigkeiten unter Berücksichtigung der Analyse der Ursachen von Leckagen in Onshore-Anlagen (siehe Tabelle 5) um 20 % reduziert, ähnlich der Rohrleitungsleckagen (siehe Kapitel 3.5.1.1).

Zusätzlich wird empfohlen, um die Eigenschaften des gehandhabten Stoffs nicht außer Acht zu lassen, die Leckagehäufigkeiten von Behältern mit besonders korrosiven Medien, wie z. B. Fluorwasserstoff, um den Faktor 2 zu erhöhen.

3.5.1.5 Pumpen

Ähnlich der Leckagehäufigkeiten für Behälter existieren in der Literatur verschiedene Quellen für Leckagen an Pumpen. Im Purple Book [16] wurden die folgenden (siehe Tabelle 23) Leckagehäufigkeiten für Pumpen festgelegt, wobei unterschieden wird in Abriss der größten

59

Rohrleitung und einer Leckage mit einem Leckdurchmesser von 10 % des Nenndurchmessers der Rohrleitung:

Tabelle 23: Leckagehäufigkeiten für Pumpen nach [16]

Pumpentyp Abriss der größten

Rohrleitung [1/a]

Leckage mit einem Leckdurchmesser von 10 % des Nenndurchmessers der

Rohrleitung [1/a] Pumpen ohne weitere Maßnahmen

1*10-4 5*10-4

Pumpen mit Containment 5*10-5 2,5*10-4 Spaltrohrpumpen, magnetgekuppelte Pumpen

1*10-5 5*10-5

Angaben zu Leckagen an Pumpen sind außerdem in dem HID Statistics Report der HSE [59] enthalten (Tabelle 24). Es ist festzustellen, dass die Leckagehäufigkeit für eine Pumpe ohne weitere Maßnahmen ca. eine Zehnerpotenz größer ist, als die des Purple Book. Mit Ausnahme der Kolbenpumpe mit Einfachdichtung, bei der jedoch nur eine geringe Anzahl von Systemjahren und Leckagen vorliegen, sind überwiegend Leckagen mit einem Durchmesser < 10 mm aufgetreten. Somit wird der Ansatz des Purple Book für einen Leckdurchmesser von 10 % der Rohrleitungsnennweite bestätigt.

Tabelle 24: Leckagehäufigkeit von Pumpen aus [59]

Pumpentyp Leckage-häufigkeit

[1/a]

Anteil der Leckdurchmesser [mm]

< 10 10-25 25-50 50-75 75-100 ≥ 100 Keine

Angabe

Zentrifugalpumpe, Doppeldichtung

6,0*10-3 0,83 0,13 0 0 0 0 0,04

Zentrifugalpumpe, Einfachdichtung

5,2*10-3 0,87 0,09 0,04 0 0 0 0

Kolbenpumpe, Doppeldichtung

8,1*10-3 0,8 0,1 0 0 0,1 0 0

Kolbenpumpe, Einfachdichtung

4,0*10-3 0,67 0 0 0 0,33 0 0

In der OREDA-Datenbank [14] wird zwischen Betriebsstunden der Pumpen und der Kalenderzeit unterschieden. In der Tabelle 25 sind die angegeben Leckagehäufigkeiten für Pumpen allgemein, Zentrifugalpumpen und Kolbenpumpen aufgeführt. Angaben zu den Leckdurchmessern liegen jedoch nicht vor. In dieser Datenbank sind darüber hinaus Angaben zur Leckagehäufigkeit an Pumpen in Abhängigkeit vom Einsatzbereich zu finden. Da diese Unterscheidungen entsprechend der Zielsetzung der Methodik nicht getroffen werden sollen, sind diese nicht dargestellt. Es ist wiederum festzustellen, dass die Leckagehäufigkeiten der

60

OREDA-Datenbank deutlich größer sind als in dem HID Statistics Report der HSE [59]. Eine Erklärung hierfür liegt zurzeit nicht vor.


Pumpentyp Leckagehäufigkeit

[pro 106 Std] Leckagehäufigkeit [1/a]

Betriebsdauer Kalenderzeit Kalenderzeit Pumpe, allgemein 7,07 2,38 2,08*10-2 Zentrifugalpumpe 7,04 2,25 1,97*10-2 Kolbenpumpe 10,50 6,24 5,47*10-2

Spouge [62] unterteilt die Leckdurchmesser an Pumpen in zwei Kategorien, Leckdurchmesser > 1 mm sowie > 50 mm, und gibt für diese die in der Tabelle 26 aufgeführten Eintrittshäufigkeiten der Leckagen an. Die Häufigkeiten aller Lecks (Leckdurchmesser > 1 mm) ist etwas geringer als die Angaben in dem HID Statistics Report der HSE, liegen aber in der gleichen Größenordnung.


Pumpentyp Leckagehäufigkeit [1/a] Leckdurchmesser > 1 mm Leckdurchmesser > 50 mm

Zentrifugalpumpe 1,8*10-3 2,5*10-5 Kolbenpumpe 3,7*10-3 5,2*10-4

Entsprechend der Tabelle 24 treten Leckagen überwiegend mit einem Leckdurchmesser < 10 mm. Dagegen wurden Leckagen mit einem Durchmesser > 50 mm an Pumpen selten festgestellt. Daher werden die von Spouge angegebenen Leckagehäufigkeit für Leckdurchmesser > 1mm für die weiteren Berechnungen der Leckagen an Zentrifugal- und Kolbenpumpen verwendet, zumal diese eine gute Übereinstimmung mit den Leckagehäufigkeiten des HID Statistics Report der HSE zeigen. Außerdem wird die im Purple Book [16] angeführte Leckagehäufigkeit für Spaltrohrpumpen verwendet. Die Leckagehäufigkeit liegt etwa 2 Zehnerpotenzen niedriger als bei den angegebenen Leckagehäufigkeiten von Spouge. Das ist insofern plausibel, da es bei magnetgekuppelten Pumpen keine Gehäusedurchführungen gibt. Als Leckdurchmesser werden jeweils 10 % der angeschlossenen Rohrnennweite, in Anlehnung an das Purple Book, angenommen. Die in Tabelle 27 aufgeführen Leckagehäufigkeiten werden in den zu erstellenden Datensatz aufgenommen.

Tabelle 27: Leckagehäufigkeit von Pumpen für die weiteren Berechnungen


[1/a] Zentrifugalpumpe 1,8*10-3 Kolbenpumpe 3,7*10-3 Spaltrohrpumpe, magnetgekuppelte Pumpe

5*10-5

61

3.5.1.6 Verdichter

In Analogie zu den Leckagehäufigkeiten für Pumpen sind in der Literatur Daten für Verdichterleckagen zu finden. In dem HID Statistics Report der HSE [59] sind Angaben über Leckagen an Verdichtern enthalten (siehe Tabelle 28). Es ist festzustellen, dass Leckdurchmesser bis 25 mm sowohl bei Zentrifugalverdichtern als auch bei Kolbenverdichtern auftreten. Der Schwerpunkt der Leckagen liegt jedoch im Bereich < 10 mm Leckdurchmesser.

Tabelle 28: Leckagehäufigkeit von Verdichtern aus [59]

Verdichtertyp Leckage-häufigkeit

[1/a]

Anteil der Leckdurchmesser [mm]

< 10 10 < 25 25 < 50 50 < 75 75 < 100 Keine Angabe

Zentrifugalverdichter 9,2*10-3 0,73 0,14 0 0 0 0,09 Kolbenverdichter 6,5*10-2 0,81 0,19 0 0 0 0

In der Tabelle 29 sind die in der OREDA-Datenbank [14] angegeben Leckagehäufigkeiten für Verdichter zusammengestellt, wobei wiederum zwischen Betriebsstunden und Kalenderzeit unterschieden wird. Angaben zu den Leckdurchmessern sind in dieser Datenbank nicht enthalten.


Verdichtertyp Leckagehäufigkeit

[pro 106 Std] Leckagehäufigkeit [1/a]

Betriebsdauer Kalenderzeit Kalenderzeit Verdichter, allgemein 12,34 10,26 9,0*10-2 Zentrifugalverdichter 1,59 1,24 1,1*10-2 Kolbenverdichter 45,55 36,68 3,2*10-1

Spouge [62] unterteilt, wie bei den Leckagehäufigkeiten der Pumpen, die Leckdurchmesser der Verdichter in die zwei Kategorien Leckagedurchmesser > 1 mm und > 50 mm. Die Leckagehäufigkeiten sind in der Tabelle 30 dargestellt. Die Häufigkeiten der Lecks (Leckdurchmesser > 1 mm) ist etwas geringer als die Angaben im HID Statistics Report, liegen aber in der gleichen Größenordnung. Die Kolbenverdichter weisen im Vergleich zu den Zentrifugalverdichtern in allen Literaturquellen eine größere Leckagehäufigkeit auf. Während es sich bei dem HID Statistics Report um einen Faktor 7 handelt, ergibt sich im Gegensatz dazu in der OREDA-Datenbank ein Faktor von ca. 30 und bei Spouge von 13.

62


Verdichtertyp Leckagehäufigkeit [1/a]

Leckdurchmesser > 1 mm Leckdurchmesser > 50 mm

Zentrifugalverdichter 2,0*10-3 2,0*10-6 Kolbenverdichter 2,7*10-2 1,1*10-5

In Analogie zum vorherigen Kapitel sind Leckdurchmesser > 50 mm an Verdichtern im HID Statistics Report der HSE nicht enthalten. Daher werden für die weiteren Berechnungen im Rahmen dieser Arbeit die von Spouge angegebenen Leckagehäufigkeiten für einen Leckdurchmesser > 1 mm verwendet, da diese zwar die geringen Leckagehäufigkeiten darstellen jedoch in einem Wertebereich ähnlichen der Leckagehäufigkeiten der HSE-Datenbank liegen. Es wird wieder konservativ ein Leckdurchmesser von 10 % der Rohrnennweite vorausgesetzt.

3.5.1.7 Naturbedingte Gefahrenquellen

Naturbedintge Gefahrenquellen können ebenfalls Ursachen für unerwünschte Ereignisse darstellen. In der Literatur sind verschiedene Ansatzpunkte zur Ableitung von Eintrittshäufigkeiten naturbedinger Gefahrenquellen zu finden.

Blitzeinschlag

Die Häufigkeit von Blitzeinschlägen wird in Anlehnung an das in der DIN EN 62305/VDE 0185-305 [82] beschriebene Vorgehen ermittelt. Hierfür wird ausschließlich der direkte Blitzeinschlag, der zu Brandfolgen führen kann, betrachtet. Blitze mit magnetischer Wirkung oder Blitzeinschläge in Versorgungsleitungen werden vernachlässigt.

Grundlage für die Häufigkeit der Blitzeinschläge ist die jährliche Dichte der Erdblitze Ng für das betrachtete Gebiet, die Dehn [83] entnommen werden kann. Anschließend wird die Häufigkeit direkter Blitzeinschläge ND in bauliche Anlagen nach folgendem Zusammenhang berechnet:

= ∗ ∗ (13)

mit:

Ng [km2*Jahr] Erdblitzdichte Ad [m2] äquivalente Fangfläche der freistehenden baulichen Anlage (siehe Abbildung 13) Cd Umgebungskoeffizient

63

Abbildung 13: Äquivalente Einfangfläche Ad für direkte Blitzeinschläge in eine freistehende bauliche Anlage nach Dehn [83]

Mit Hilfe des Koeffizienten Cd wird der Einfluss der Umgebung, wie z. B. der Bebauung, Geländeform und Vegetation, berücksichtigt (siehe Tabelle 31).

Tabelle 31: Relative Lage der baulichen Anlage – Umgebungskoeffizient Cd [83]

Umgebungsfaktor Cd Bauliche Anlage in einem großen Gebiet mit Gebäuden oder Objekten gleicher oder größerer Höhen (Türme, Wald…)

0,25

Bauliche Anlagen umgeben von kleineren Gebäuden 0,5 Freistehende bauliche Anlagen, keine weiteren Gebäude oder Objekte innerhalb einer Entfernung von 3H von der Anlage

1

Freistehende bauliche Anlage auf einer Bergspitze oder einer Kuppe 2

Für weiterführende Berechnungen von Blitzeinschlägen, wie z. B. in Versorgungsleitungen oder auch von Schadenswahrscheinlichkeiten durch Blitzeinschläge wird auf die DIN EN 62305/VDE 0185-305 [82] verwiesen.

Hochwasser und Überschwemmungen

Für Anlagen, die sich in einem Überschwemmungsgebiet bzw. in einem überschwemmungsgefährdeten Gebiet befinden, ist zu überlegen, inwiefern Hochwasser oder auch Flutwellen zu Gefährdungen führen können. Dabei kann in Abhängigkeit des betrachteten Hochwassers die Häufigkeit des Eintretens ermittelt werden. Ein 200-jähriges Hochwasser, verfügt z. B. über eine Häufigkeit von 0,005 [1/a], ein 500-jähriges Hochwasser dagegen über eine Häufigkeit von 0,002 [1/a].

64

Erdbeben

Für Erdbeben wird eine Häufigkeit von 0,002 [1/a] in Anlehnung an die DIN 4149 [84], deren Erdbebenzonenkarte auf einer mittleren Wiederkehrperiode von 475 Jahren basiert, vorgeschlagen.

3.5.1.8 Brand

Brände innerhalb eines Betriebsgeländes, die ausgelöst werden auf Grund von ausgetretenen brennbaren Stoffen und mit Hilfe einer entsprechend starken Zündquelle gezündet wurden, stellen im Wesentlichen ein Sekundärereignis dar. Diese werden als Auslöser für weitere unerwünschten Ereignisse im Rahmen der vorliegenden Arbeit nicht weiter betrachtet. Gründe dafür sind, dass es sich bei den betrachteten Anlagen um Anlagen handelt, die nach dem Stand der Technik errichtet und betrieben werden. Somit sind störfallbegrenzende Maßnahmen vorhanden, wie Feuerlösch- und Berieselungseinrichtungen, die z. B. die Eisenbahnkesselwagen bei Unterfeuerung kühlen und so größere Schäden mit Auswirkungsradien außerhalb des Betriebsgeländes verhindern können. Kleine Entstehungsbrände können dagegen durch das Betriebspersonal gelöscht werden, die entsprechend geschult und ausgebildet sind.

Im Gegensatz dazu können sogenannte Dominoeffekte nicht ausgeschlossen werden, d. h. Brände von Nachbargrundstücken, die auf die betrachtete Anlage eventuell überschlagen. Deshalb wird in Anlehnung an den Rahmenbericht der Schweiz [27] für Brände außerhalb des Betriebsgeländes eine Häufigkeit von 1*10-6 [1/a] angenommen, wenn sich Betriebe mit Brandlasten im Umkreis von ca. 500 m in der Nachbarschaft befinden. Diese Häufigkeit wird auf 5*10-6 [1/a] erhöht, wenn derartige Nachbarbetriebe im Umkreis von < 200 m vorhanden sind.

3.5.2 Betriebsrisiko

Neben dem Grundrisiko werden zur Ermittlung des Betriebsrisikos Ausfalldaten insbesondere für Armaturen und PLT-Einrichtungen sowie für das menschliche Fehlverhalten benötigt. In der Literatur sind wiederum verschiedene Quellen genannt, die im Folgenden analysiert und bewertet werden.

3.5.2.1 Armaturen

Nach den Angaben in dem HID Statistics Report [59] ist die Leckagehäufigkeit von Armaturen vergleichbar mit der von Rohrleitungen. Auch unter dem Aspekt von Aufwand und Nutzen wird auf eine getrennte Berücksichtigung der Leckagen an Armaturen verzichtet und davon ausgegangen, dass diese durch die Rohrleitungsleckagen abgedeckt sind. Als wesentlicher Punkt ist die Ausfallhäufigkeit der Öffnen- oder Schließfunktion der Armatur zu sehen. Dieser Wert wird für die Fehler- oder Ereignisbäume benötigt.

Lees [17] zitiert Versagenswahrscheinlichkeiten von Armaturen im Anforderungsfall aus dem Rasmussen Report [85]:

65

Tabelle 32: Versagenswahrscheinlichkeit von Armaturen aus [17]

Armaturen Versagenswahrscheinlichkeit [pro Anforderung]

Handabsperrarmatur 1*10-4 Pneumatische Absperrarmatur 3*10-4 Motorbetriebene Absperrarmatur 1*10-3 Magnetventil 1*10-3 Sicherheitsabblaseventil öffnet nicht 1*10-5 Entspannungsventil öffnet nicht 1*10-4

Zusätzlich wird in Lees eine Versagenshäufigkeit für das zu frühe Öffnen eines Sicherheitsabblaseventils von 1*10-5 [1/Std] angegeben.

In Tabelle 33 sind die in der OREDA-Datenbank [14] angegeben Versagenshäufigkeiten von Armaturen zusammengestellt, wobei nur die auf die Betriebsstunden bezogenen Werte und nicht die auf das Jahr bezogenen Werte in der Tabelle enthalten sind. In der Datenbank sind die Armaturen teilweise entsprechend ihrer Einsatzbereiche aufgeschlüsselt worden. Da ein allgemein gültiger Datensatz erarbeitet werden soll, wird die Unterscheidung entsprechend des Einsatzgebietes nicht übernommen.

Tabelle 33: Versagenshäufigkeiten von Armaturen aus [14]

Armaturen Versagenshäufigkeiten [1/Std]

Armatur (allgemein) Fehler beim Öffnen Fehler beim Schließen Fehler beim Regeln Intern undicht

5,09*10-6 2,91*10-5 9*10-7 8*10-8

Kugelhahn Fehler beim Öffnen Fehler beim Schließen Intern undicht

3,46*10-6 5.85*10-6 1,98*10-6

Absperrklappe Fehler beim Schließen Intern undicht

2,57*10-6 1,36*10-6

Druckregelventil Zu hoher Ausgangsdruck

2,11*10-6

Sicherheitsabblaseventil Öffnet nicht Undicht im geschlossenen Zustand

3,17*10-6 2,12*10-6

66

In Exida [15] sind Ausfallhäufigkeiten für eine größere Anzahl von Armaturen verschiedener Hersteller aufgelistet. Auf dieser Basis sind generische Daten für die in der Tabelle 34 dargestellten Armaturentypen berechnet worden. Es wird hierbei in normal betriebene Armaturen und in Armaturen mit regelmäßigem Test der Schließfunktion unterschieden.

Tabelle 34: Versagenshäufigkeiten von Armaturen aus [15]

Komponente Normalbetrieb [1/Std]

mit regelmäßigem Schließtest [1/Std]

Magnetventil 5,8*10-7 6*10-9 Pneumatischer Kugelhahn, harte Dichtung Fail-safe close Fail-safe open

1,48*10-6 1,75*10-6

8*10-7 8,5*10-7

Pneumatischer Kugelhahn, Weichdichtung Fail-safe close Fail-safe open

1,98*10-6 1,95*10-6

1,1*10-6 9,0*10-7

Pneumatischer Absperrklappe Fail-safe close Fail-safe open

3*10-6 2,8*10-6

1,9*10-6 1,7*10-6

Pneumatischer Schieber Fail-safe close Fail-safe open

1,23*10-6 1,03*10-6

6,3*10-7 4,3*10-7

Hydraulischer Kugelhahn Fail-safe close Fail-safe open

1,4*10-6 1,7*10-6

7,75*10-7 8,25*10-7

Elektrisch betriebener Kugelhahn Fail-safe close

5,4*10-6

-

Die Angaben in Exida stellen zurzeit den aktuellsten Datensatz dar und liegen im Bereich der OREDA-Daten. Daher werden diese für die weiteren Berechnungen verwendet.

Für Druckregelventile und Sicherheitsabblaseventile werden die Daten aus der OREDA-Datenbank [14] verwendet. Für das Öffnen eines Sicherheitsventils vor dem gewünschten Ansprechdruck, wie z. B. durch Federbruch, wird eine Versagenshäufigkeit von 1*10-7 [1/Std] angenommen, die geringer ist als die Leckagehäufigkeiten. Ausschlaggebend dafür ist, dass auf Grund der regelmäßigen Prüfung von Sicherheitsventilen ein Federbruch relativ unwahrscheinlich ist. Im Gegensatz dazu können Verstopfungen oder Fremdkörper dazu führen, dass Ventile nach einem Ansprechen nicht dicht schließen. Für das Versagen einer Berstscheibe werden dieselben Werte wie für die Sicherheitsabblaseventile vorausgesetzt.

Der OREDA-Datenbank kann entnommen werden, dass ca. 50 % der Fehler bei den Antrieben der Armaturen auftreten. Hieraus wird abgeleitet, dass die Ausfallhäufigkeiten bei handbetriebenen Absperrarmaturen ca. 50 % der Armaturen mit Hilfsenergie betragen.

67

Für Rückschlagventile und -klappen wird im BAM-Bericht [86] eine Ausfallhäufigkeit von 2,5*10-6 [1/Std] angegeben. Dieser Wert wird ebenfalls für die Bodenauslaufventile von EKW und TKW, sowie für Schlauchabrisskupplungen auf Grund der vergleichbaren Bauform angenommen.

3.5.2.2 Schläuche und Gelenkarme

In der Rijnmond-Studie [37] und in Lees [17] wurden für Schläuche und Gelenkarme in Füllanlagen Leckagehäufigkeiten in Abhängigkeit der Betriebsdauer [h] angegeben, wobei keine Unterscheidung in Leckagehäufigkeit pro Meter vorgenommen wird (siehe Tabelle 35).

Tabelle 35: Leckagehäufigkeit für Schläuche und Gelenkarme nach [37]

Schlauchtyp Leckagehäufigkeit [1/Std]

Schlauch, leicht beansprucht 4,0*10-6

Schlauch, schwer beansprucht 4,0*10-5 Gelenkarm, Leckage 3,0*10-6 Gelenkarm, Abriss 3,0*10-8

Nach derzeitigem Kenntnisstand liegen keine aktuelleren Daten vor. Da jedoch davon ausgegangen werden kann, dass verbesserte Gewebeeigenschaften die Leckagehäufigkeiten entsprechend positiv beeinflusst haben, werden die Leckagehäufigkeiten um eine Zehnerpotenz reduziert.

Für fest installierte Schläuche als Verbindungselemente von Behältern, Pumpen und Verdichtern zum Rohrleitungssystem wird davon ausgegangen, dass die Versagenshäufigkeit noch eine Zehnerpotenz geringer ist als bei den leicht beanspruchten Füllschläuchen, d. h. die Leckagehäufigkeit entspricht 4,0*10-8 [1/Std].

Folgende Leckagehäufigkeiten werden deshalb für die Schläuche und Gelenkarme in den zu erstellenden Datensatz aufgenommen:

Tabelle 36: Leckagehäufigkeit für Schläuche und Gelenkarme

Schlauchtyp Leckagehäufigkeit [1/h]



Die Entscheidung, inwiefern es sich um schwer bzw. leicht beanspruchte Schläuche handelt, sollte in Abhängigkeit der Schlauchhandhabung und der Umgebungsbedingungen erfolgen. Werden die Schlauchverbindungen z. B. über dem Boden gezogen und werden sie ohne Wetterschutz im Freien aufbewahrt, so entspricht dies einer Situation, die als „schwer beansprucht“ eingestuft werden kann. Dagegen werden Schläuche, die z. B. per Wagen zur

68

Füllanlage gefahren bzw. getragen und nicht im Freien gelagert werden als „leicht beansprucht“ angesehen.

3.5.2.3 PLT Einrichtungen

Die PLT-Einrichtungen werden gemäß der Norm DIN EN 61508 [87] in die SIL- Klassen (Safety Ingetrity Level) unterteilt. Die SIL-Klasse kann als Maß für die Wahrscheinlichkeit angesehen werden, dass eine PLT-Einrichtung die geforderte Funktion für einen bestimmten Zeitraum korrekt erfüllen kann.

Die Anforderungen an die Zuverlässigkeit, der als Schutzmaßnahme ermittelten Prozess-leittechnik, werden üblicherweise in Sicherheitsberichten durch eine qualitative Abschätzung des Risikos unter Anwendung der VDI/VDE Richtlinie 2180 [44] festgelegt. Die erforderliche Zuverlässigkeit der Schutzeinrichtung bezieht sich dabei auf die gesamte Sicherheitskette vom Sensor über die Auswerteeinheit (speicherprogrammierbare Steuerung – SPS) bis zum Aktor. Nach bisherigen Erfahrungen von Düpont und Netter [88] lässt sich die Zuverlässigkeit des Gesamtsystems wie folgt aufteilen:

Sensor 70%

SPS 10%

Aktor 20%

Heutzutage können Sensoren und SPS mit nachgewiesener Zuverlässigkeit entsprechend der SIL-Einstufung gekauft und eingesetzt werden. Für bestehende, ältere Systeme sind diese Informationen jedoch nicht vorhanden. In einer schon seit Jahren durchgeführten Initiative der NAMUR werden Information bei Betreibern zum Ausfallverhalten der PLT-Einrichtungen gesammelt. Ein Ergebnis dieser Untersuchung von Düpont und Netter [88] ist, dass betriebsbewährte, einkanalige Schutzeinrichtungen die Anforderungen nach SIL 2 erfüllen.

Für Betriebseinrichtungen wird für die weiteren Berechnungen davon ausgegangen, dass SIL 1 erfüllt wird.

Für die Aktoren (Armaturen, Ventile usw.) geben die Hersteller zunehmend Angaben zu den Ausfallhäufigkeiten an. Für bestehende Anlagen liegen jedoch keine Informationen vor. Hier werden die in Tabelle 34 aufgeführten Ausfallhäufigkeiten verwendet.

In Exida [15] sind Ausfallhäufigkeiten für eine größere Anzahl von Sensoren, Auswerteeinheiten, speicherprogrammierbaren Steuerungen usw. verschiedener Hersteller dokumentiert. Daraus abgeleitet sind generische Daten für unterschiedliche SIL Klassen berechnet worden (siehe Tabelle 37), die im Rahmen dieser Arbeit verwendet werden.

69

Tabelle 37: Versagenshäufigkeiten der Prozessleittechnik [15]

Elemente der Prozessleittechnik Versagenshäufigkeit [1/Std] SIL 1 SIL 2 speicherprogrammierbare Steuerung (SPS) 3*10-7 3*10-8 Druckbegrenzer 3,6*10-6 6*10-7 Füllstandbegrenzer 1,25*10-6 1,5*10-7 Strömungswächter 3,6*10-6 7*10-7 Temperaturbegrenzer 3,6*10-6 3*10-7 Sensor der Gaswarnanlage - 1,75*10-6 Flammendetektor - 1,8*10-6

3.5.2.4 Menschliche Zuverlässigkeit

Beim Betrieb einer Anlage, insbesondere für Wartungs- und Instandhaltungsmaßnahmen, greift das Betriebspersonal in die Anlagentechnik und in die Steuerung ein. Hierbei kann es zu Fehlern kommen, die dann ggf. Auslöser eines Störfalls werden. Um dies in den Fehlerbäumen berücksichtigen zu können, wird das menschliche Fehlverhalten entsprechend der VDI Richtlinie 4006 Blatt 2 [89] bewertet:

Tabelle 38: Fehlerwahrscheinlichkeit bei Tätigkeiten des Personals [89]

Aufgabenbeschreibung in Abhängigkeit der situations-bedingten Anforderungen und der kognitiven Belastung Fehlerwahrscheinlichkeit

Einfache und häufig durchgeführte Aufgaben bei geringem Stress und genügend zur Verfügung stehenden Zeit in gewohnten Situationen (z. B. ohne ablenkende oder störende zusätzliche Einflüsse, gute Rückmeldung)

0,001

Komplexe und häufig durchgeführte Aufgaben in gewohnten Situationen mit geringem Stress und genügend zur Verfügung stehender Zeit, wobei eine gewisse Sorgfalt bei der Durchführung notwendig ist

0,01

Komplexere und häufig durchgeführte Aufgaben in ungewohnten Situationen (z. B. ablenkende oder störende Einflüsse, unzureichende Rückmeldung), bei hohem Stress oder geringer zur Verfügung stehender Zeit

0,1

Komplexere und selten durchgeführte Aufgaben in ungewohnten Situationen (z. B. ablenkende oder störende Einflüsse, unzureichende Rückmeldung), bei hohem Stress oder geringer zur Verfügung stehender Zeit

0,3

Hochkomplexe oder sehr selten durchgeführte Aufgaben in ungewohnten Situationen (z. B. ablenkende oder störende Einflüsse, unzureichende Rückmeldung), bei sehr hohem Stress oder geringer zur Verfügung stehender Zeit

1

70

3.5.2.5 Sonstiges

Strom- und Kühlwasserausfall

Im Rahmen dieser Arbeit wird davon ausgegangen, dass ca. 15 Minuten pro Jahr der Strom ausfällt. Dies entspricht einer Ausfallwahrscheinlichkeit von ca. 2,85*10-5 [1/a]. Die gleiche Ausfallwahrscheinlichkeit wird für einen Kühlwasserausfall verwendet.

Elektromotoren

In der OREDA-Datenbank [14] ist als Versagenshäufigkeit ein Wert von 2,84*10-5 [1/Std] für Elektromotoren bei Pumpen und Verdichtern enthalten. In Lees [17] ist dagegen ein Wert für Elektromotoren allgemein von 1*10-5 [1/Std] angeben. Für das Versagen z. B. eines Gabelstablers mit Elektromotor wird der kleinere Wert verwendet.

Berieselungsanlage

Für den Ausfall von Berieselungsanlagen wird die Ausfallwahrscheinlichkeit von Sprinklersystem mit einem Wert von 4*10-2 [1/a] nach Exida [15] verwendet.

Lüftungsanlagen

Für die Lüftungsanlagen wird eine Ausfallhäufigkeit 7*10-5 [1/Std] wie die eines Zentrifugalverdichters in der OREDA-Datenbank [14] angenommen.

Im Anhang 1 dieser Arbeit befindet sich eine tabellarische Zusammenfassung der zur Anwendung kommenden Ausfalldaten.

3.6 Auswirkungen von Störfallablaufszenarien

3.6.1 Verwendete Modelle zur Störfallauswirkungberechnung

Um das Schadensausmaß im Rahmen von QRA beurteilen zu können, werden Auswirkungsbetrachtungen durchgeführt (siehe auch Schritt 7 Abbildung 1). Für die Auswirkungsbetrachtungen sind in der Literatur verschiedene Modelle zu finden. Außerdem sind verschiedene Berechnungsprogramme in unterschiedlicher Qualität verfügbar. Im Rahmen dieser Arbeit werden insbesondere Szenarien mit toxischen Auswirkungen, Druckwellen und Wärmestrahlung analysiert. Für deren Berechnung wurden die folgenden bekannten Modelle, die auch im Leitfaden KAS-18 [24] angewandt wurden, herangezogen:

- Instationäre Lachenverdampfung [90], - Gasausbreitungsberechnung mit der VDI-Richtlinie 3783 Blatt 1 [22] und 2 [23] für

verschiedene Ausbreitungsgebiete, - Multi-Energy-Modell für Gaswolkenexplosionen [20], [91], - OSRAMO II für Wärmestrahlung [92], [93].

71

Die verwendeten Modelle für die Auswirkungsbetrachtungen sind in Schalau [71] ausführlich beschrieben. Darüber hinaus wird eine Erweiterung der VDI-Richtlinie 3783 Blatt 2 verwendet, in der die Windgeschwindigkeit bei der Schwergasausbreitung berücksichtigt wird (siehe Programmbeschreibung [94]).

Die Berechnungen werden mit dem Programm ProNuSs 7 [95] durchgeführt.

3.6.2 Störfallbeurteilungswerte

In Deutschland ist es üblich, zur Beurteilung des Ausmaßes und der Schwere von Störfall-szenarien Grenzwerte für ermittelte Konzentrationen oder Dosis-Werte, Wärmestrahlung und Druckeinwirkungen als Beurteilungsmaßstab heranzuziehen. Eine weitere Möglichkeit zur Beurteilung von schädlichen Auswirkungen bilden die so genannten Probit-Funktionen. Diese werden z. B. in den Niederlanden [35], Großbritannien und in der Schweiz [28] eingesetzt. Im Gegensatz zur Verwendung von Grenzwerten wird keine eindeutige Entfernung für eine Schädigung ermittelt, sondern eine mit der Entfernung abnehmende Wahrscheinlichkeit, dass ein Teil der Bevölkerung eine bestimmte Schädigung erleidet. In den nachfolgenden Kapiteln werden beide Vorgehensweisen diskutiert.

3.6.2.1 Grenzwerte für toxische Effekte

Zur Beurteilung von toxischen Stofffreisetzungen stehen international bzw. national unterschiedliche Konzepte, wie z. B.

- das ERPG-Konzept (Emergency Response Planning Guidelines), - das AEGL-Konzept (Acute Exposure Guideline Levels), - das EEI-Konzept (Emergency Exposure Indices), - das PAC-Konzept (Protective Action Criteria), - das IDHL-Konzept (Immediately Dangerous to Life and Health), - Störfallbeurteilungswerte, - ETW (Einsatztoleranzwerte).

zur Verfügung.

In Deutschland hat der Arbeitskreis Schadstoffe (Luft) der SFK im Leitfaden SFK-GS-28 [25] untersucht, welche Konzepte als Beurteilungskriterium im Rahmen von Auswirkungs-betrachtungen geeignet sind. In diesem Leitfaden werden das ERPG-, das AEGL- und das EEI-Konzept diskutiert.

Diese Konzepte gehen von der folgenden dreistufigen Einteilung der Auswirkungen aus, die in der jeweiligen Definition der Beurteilungswerte wiederzufinden sind:

- Bereich der Wirkungslosigkeit, - Bereich erster sensorischer Effekte (Stufe 1), - Bereich nachteiliger gesundheitlicher Auswirkungen (Stufe 2), - Bereich schwerer bis hin zu tödlichen Effekten (Stufe 3).

72

Die ERPG-Werte beziehen sich auf die toxische Konzentration mit einer Expositionsdauer der Allgemeinbevölkerung von 1 Stunde und unterscheiden die folgenden Gefahrenniveaus:

ERPG-1: leichte, nachteilige gesundheitliche Auswirkungen (reversibel),

ERPG-2: unterhalb dieser Schwelle treten keine irreversiblen Schäden auf, kein Auftreten von Flucht behindernden Symptomen,

ERPG-3: unterhalb dieser Schwelle treten keine lebensbedrohlichen Effekte auf.

Die AEGL-Werte beurteilen drei verschiedene Schweregrade einer Schädigung für die fünf Expositionszeiten 10 Minuten, 30 Minuten, 1 Stunde, 4 Stunden und 8 Stunden.

Der AEGL-Wert ist die luftgetragene Stoff-Konzentration (ausgedrückt in ppm oder mg/m3), bei deren Überschreiten die allgemeine Bevölkerung bei

AEGL-1: ein spürbares Unwohlsein erleiden kann. Luftgetragene Stoffkonzentrationen unterhalb des AEGL-1-Wertes bedeuten Expositionshöhen, die leichte Geruchs-, Geschmacks- oder andere sensorische Reizungen hervorrufen können,

AEGL-2: irreversible oder andere schwerwiegende, lang andauernde Gesundheitseffekte erleiden kann oder bei denen die Fähigkeit zur Flucht beeinträchtigt sein kann,

AEGL-3: lebensbedrohliche oder tödliche Gesundheitseffekte erleiden kann.

Der Leitfaden SFK-GS-28 kommt abschließend zu der Aussage, dass das AEGL-Konzept im Vergleich zu dem ERPG-Konzept als wissenschaftlich ausgewogener zu betrachten ist. Im Gegensatz dazu werden im Leitfaden KAS-18 die ERPG-2-Werte zur Beurteilung herangezogen.

Im Rahmen dieser Arbeit werden als Grenzwerte beispielsweise für die Stoffe Ammoniak und Fluorwasserstoff die folgenden AEGL-Werte verwendet:

Tabelle 39: Übersicht der AEGL-Werte für den Stoff Ammoniak

10 min 30 min 60 min 4 h 8 h AEGL 1 (ppm) 30 30 30 30 30 AEGL 2 (ppm) 220 220 160 110 110 AEGL 3 (ppm) 2700 1600 1100 550 390

Tabelle 40: Übersicht der AEGL-Werte für den Stoff Fluorwasserstoff

10 min 30 min 60 min 4 h 8 h AEGL 1 (ppm) 1,0 1,0 1,0 1,0 1,0 AEGL 2 (ppm) 95 34 24 12 12 AEGL 3 (ppm) 170 62 44 22 22

73

3.6.2.2 Grenzwerte für Wärmestrahlung

Zur Einschätzung von Wärmestrahlungsschäden beim Menschen können entweder Grenzwerte für schädigende Wirkungen in Form von Wärmestrahlungsstärken oder die Wärmestrahlungsdosis verwendet werden. Die Grenzwerte sowie die Dosisgrenzwerte werden über die Schwere der möglicherweise auftretenden Schäden, wie z. B. Schmerzempfinden, Verbrennung der Haut 2. bzw. 3. Grades oder der Entflammbarkeit von Textilien definiert. In der Literatur ist eine Vielzahl von Angaben zu kritischen Wärmestrahlungsstärken nicht nur für die menschliche Haut sondern auch für brennbare Materialien in Seeger [96], Kuhr [97], Uelpenich [98], Leitfaden KAS-18 [24] und Lees [17] zu finden. Die Tabelle 41 enthält Angaben über die Schadensbilder der menschlichen Haut in Abhängigkeit der Bestrahlungsstärke. In der Tabelle 42 sind kritische Bestrahlungsstärken für brennbare Materialien nach Seeger [96] zusammengefasst.

Tabelle 41: Schadensbilder in Abhängigkeit der Bestrahlungsstärke [97], [98], [24]

Schadensbild menschliche Haut Bestrahlungsstärke [kW/m2]

Schmerz nach 10 bis 20 s 4 Brandblasen nach 30 s, tolerierbar bis 13 s 5 Blasen nach 10 bis 12 s 10,5 Verbrennungen des 2. Grades 27,4 bis 32,9 Verbrennungen des 3. Grades 49 bis 64,5 lebensbedrohlichen Verletzungen nach 40 s 10,5

Tabelle 42: Kritische Bestrahlungsstärken für brennbare Materialien [96]

Stoffe Bestrahlungsstärke für Selbstentzündung

[kW/m²]

Bestrahlungsstärke für Fremdentzündung

[kW/m²] ungestrichenes dunkles Holz (ofentrocken)

34 13

gestrichenes Holz (trocken) - 17 ... 25

Sperrholz - 17

ungestrichene poröse Holzfaserplatte

25 11

duroplastischer Kunststoff 84 -

Textilien (allg.) 34 -

Baumwollgewebe 24 13

Die unter dem Begriff Selbstentzündung stehenden Bestrahlungsstärken führen nach max. 15 min zu einer Selbstentzündung des Stoffes. Die geringeren Werte für die

74

Fremdentzündung geben Bestrahlungsstärken wieder, die nach einer gewissen Einwirkungszeit aus dem bestrahlten Stoff so viele Gase und Dämpfe austreiben, dass diese durch kleine Zündquellen entzündet werden können.

Im Leitfaden KAS-18 [24] wurde aus der Definition der „ernsten Gefahr“ nach Störfall-Verordnung geschlussfolgert, dass die Beeinträchtigung einer großen Anzahl von Menschen i.S. des § 2 Nr. 4b Störfall-Verordnung für die Auswahl der relevanten Toleranzwerte für die Belastung der Wärmestrahlung maßgeblich ist. Für die Wärmestrahlung ist mit einem Grenzwert von 1,6 kW/m2 die Grenze des Beginns nachteiliger Wirkungen für Menschen erreicht. Der Beurteilungswert der Wärmestrahlung ist sicherlich als sehr konservativ zu betrachten, insbesondere vor dem Hintergrund des europäischen Vergleichs (siehe Leitfaden KAS-18) und den in diesem Kapitel zusammengestellten Grenzwerten.

3.6.2.3 Grenzwerte für Druckeinwirkungen

Zur Beurteilung der Auswirkungen von Überdruck in Folge von Explosionen sind in der Literatur verschiedene Grenzwerte für Personenschäden aber auch für die Schädigung von Glasscheiben und Anlagenteilen zu finden. Die Tabelle 43 und Tabelle 44 enthalten eine Auswahl möglicher Schäden in Abhängigkeit des Explosionsüberdrucks:

Tabelle 43: Grenzwerte für Schadensbilder [99]

Schadensbild ∆p in bar Schadensbild ∆p in bar Glasbruch durch Schallwellen 0,003 Verbeulung von

Stahlblechplatten 0,075

Bruch von 10% der Scheiben 0,01 Aufreissen von Öltanks 0,215 Bruch von 75% der Scheiben 0,03 Zerstörung von

Stahlbetonwänden 0,35

Bruch von 100% der Scheiben 0,05 Umstürzen von beladenen Güterwagen

0,60

Tabelle 44: Grenzwerte für Schadensbilder [99]

Schadensbild ∆p in bar Schadensbild ∆p in bar Unangenehme Knallwirkung tiefer Frequenz

0,0015 Untere Grenze Trommelfellriss

0,175

Sehr lauter Knall 0,003 Untere Grenze für Lungenschäden

0,85

Umstoßen von Personen 0,010 Untere Grenze für ernste Lungenschäden

1,85

Druckbezogener Grenzwert für Schäden durch Spreng- und Wurfstücke

0,015 Untere Letalitätsgrenze 2,05

Für die Flächennutzungsplanung wird im Leitfaden KAS-18 als Grenzwert der Mittelwert 0,1 bar aus der irreversiblen Schädigung durch Trommelfellriss bei einem Explosionsüberdruck von

75

0,175 bar und Schäden durch z. B. zersplittertes Glas ab 0,05 bar (für 100 % Bruch) gebildet. Ein Explosionsspitzendruck von 1,85 bar (ernste Lungenschäden) stellt wiederum die Schwelle der lebensbedrohenden gesundheitlichen Auswirkungen dar, die nach § 2 Nr. 4 a Störfall-Verordnung für einen einzelnen Menschen maßgeblich ist.

3.6.3 Probit-Funktion

Die Verwendung von Probit-Funktionen im Zusammenhang mit der Beurteilung von Stofffreisetzungen ermöglicht es, in Abhängigkeit einer Dosis und der Entfernung zum Freisetzungsort die Eintrittswahrscheinlichkeit für einen bestimmten Effekt zu berechnen. Der Effekt, wie z. B. Verletzung, Tod oder auch Gebäudezerstörung, wird mit einer Variablen V ausgedrückt. Diese Variable V folgt einer Verteilung mit einem Mittelwert von 5 und einer Standardabweichung von 1. Die mathematische Beziehung zwischen Probit-Wert Y und Wahrscheinlichkeit wird nach Finney [26] mit der nachstehenden Formel ausgedrückt:

= 1√2 − 2 (14)

Der Probit-Wert Y wird mit folgender Probit-Funktion berechnet: = + (15)

Die Konstanten a und b sind Werte, die experimentell in Tierversuchen ermittelt wurden, aber auch aus Datensätzen tatsächlicher Störfälle entstammen können. Die Variable V drückt die Intensität oder die Dosis aus, die bei einer Störung oder einem Störfall zu erwarten ist.

Die Tabelle 45 enthält eine Auflistung der möglichen Gefahren, die mit Hilfe der Variable V beschrieben werden können.

Tabelle 45: Schadenstypen für die Ermittlung der Variable V [100]

Gefahr Intensität bzw. Dosis für V

Wärmestrahlung Überdruck Toxische Konzentration

∫ ̇ (4/3) dt ∆P oder ∫ ∆P dt ∫ Cn dt

(16) (17) (18)

3.6.3.1 Probit-Funktion für Wärmestrahlung

Die Auswirkungen von Wärmestrahlungseffekten infolge von Störungen bzw. Störfällen sind abhängig von der Wärmestrahlungsdosis und somit von der Bestrahlungsstärke und der Einwirkdauer. Dieser Zusammenhang wird bei den Risikoberechnungen auf der Basis der Probit-

76

Funktionen genutzt. Dabei ergibt sich die Problematik, dass sich insbesondere bei sehr langen Expositionszeiten und niedrigen Wärmestrahlungsstärken sehr große Wärmestrahlungsdosen ergeben können. Diese Betrachtungsweise könnte zur Überschätzung der Wärmestrahlungsschäden führen, da in QRA langandauernde Szenarien mit geringen Bestrahlungsstärken nicht ausgeschlossen werden sollen. Deswegen erscheint es notwendig, ein Abschneidekriterium für die Bestrahlungsstärke – ̇Safe – einzuführen, ab dem keine Wärmstrahlungsschäden bei beliebig langer Expositionszeit zu erwarten sind. Im Leitfaden KAS-18 wird als Grenze der nachteiligen Wirkung für Menschen bei beliebig langer Expositionsdauer ein Wert von 1,6 kW/m2 genannt. Dieser Wert wird als ̇Safe festgelegt und die Probit-Funktion für Wärmestrahlung wie folgt erweitert.

( ̇ − ̇ ) (19)

Um den Einfluss des Abschneidekriteriums ̇Safe zu verdeutlichen, wurden Vergleichs-rechnungen durchgeführt. Hierbei wurde ein Lachenbrand mit einem Durchmesser von 10 m unterstellt. Die Bestrahlungsstärke dieses Lachenbrandes ist in Abhängigkeit der Entfernung zum Flammenmittelpunkt in Abbildung 14 dargestellt, wobei das Modell OSRAMO-II zu Grunde gelegt wurde. Zu erkennen ist, dass die Bestrahlungsstärke von 1,6 kW/m2 nach ca. 63 m unterschritten wird. Nach Erreichen dieses sicheren Abstandes zur Flamme sind keine Wärmeschäden am Menschen zu erwarten.

Abbildung 14: Bestrahlungsstärke eines Propanlachenbrandes mit einem Durchmesser von 10 m

77

Im Vergleich dazu wurden die Letalitätswahrscheinlichkeiten des Lachenbrandes bei unterschiedlichen Expositionszeiten berechnet (siehe Abbildung 15). Insbesondere bei langen Expositionszeiten (3000 s) ist der Einfluss des Abschneidekriteriums zu erkennen. Die Berechnung ohne ̇Safe führt zu deutlich größeren Abständen bis die Letalitätswahrscheinlichkeit gegen Null sinkt. Dieser Effekt führt in den Risikoermittlungen zu größeren Ausdehnungen der Risikokonturen und somit zur Überbewertung der Wärmeschäden. Um diesem Problem Rechnung zu tragen, werden die nachfolgenden Berechnungen zu Wärmeschäden unter Berücksichtigung des ̇Safe-Kriteriums durchgeführt.

Abbildung 15: Letalitätswahrscheinlichkeit in Abhängigkeit des Abschneidekriteriums ̇Safe mit variierenden Expositionszeiten

Weiterhin werden die kritischen Wärmestrahlungsdosen durch die Fluchtmöglichkeit aus dem gefährdeten Bereich beeinflusst. Die Möglichkeit zur Flucht wird wesentlich von der Art der Wärmestrahlungsquelle beeinflusst. In der Regel wird in die Brandszenarien Feuerball, Gaswolkenbrand, Lachenbrand und Freistrahlflamme unterteilt, die sich in ihrer Dauer und Strahlungsintensität unterscheiden. Während Feuerbälle und Gaswolkenbrände eine kurze Dauer aber mittlere bis starke Strahlungsintensitäten aufweisen, sind Lachenbrände und Freistrahlflammen eher lang andauernd mit mittlerer bis hoher Strahlungsintensität. Im HSE-Bericht Nr. 97/1996 [101] wird die Dauer der Feuerballbrandszenarien mit ca. 10 bis 30 Sekunden angegeben. Bei Gaswolkenbränden erfolgt der Abbrand von der Zündquelle bis zur

78

unteren Zünddistanz nach dem HSE-Bericht Nr. 97/1996 [101] mit einer Geschwindigkeit von ca. 10-15 m/s. Somit erscheint die Betrachtung der Fluchtmöglichkeit aus der Gefahrenzone bei Feuerbällen und Gaswolkenbränden auf Grund der kurzen Dauer im Gegensatz zu Lachenbränden und Freistrahlflammen als nicht sinnvoll.

Im Green Book [35] ist ein Vorschlag zur Berechnung der kritischen Wärmestrahlungsdosis unter Berücksichtigung der Fluchtmöglichkeit aus einem gefährdeten Bereich enthalten. Dabei wird eine Expositionsdauer während der Flucht bis zum Erreichen eines sicheren Abstandes nach folgendem Zusammenhang ermittelt:

= ̇ / (20)

mit: ̇ Strahlungsstärke [kW/m2] teff Expositionsdauer, effektiv während der Flucht [s]

Die Expositionsdauer (teff) berechnet sich nach dem Green Book [35] wie folgt:

≅ + 3 5 1 − 1 + − / (21)

mit:

x0 [m] Entfernung vom Brandmittelpunkt u [m/s] Fluchtgeschwindigkeit tr [s] Reaktionszeit xs [m] Entfernung vom Mittelpunkt des Brandes zum „sicheren“ Abstand

Im Nachfolgenden werden die Einflussfaktoren zur Berechnung der Expositionsdauer teff näher erläutert.

Fluchtgeschwindigkeit

Im Rahmenbericht der Schweiz [28] wird davon ausgegangen, dass eine flüchtende Person innerhalb von 30 Sekunden eine Strecke bis 200 m zurücklegen kann. Dies entspricht einer Fluchtgeschwindigkeit von ca. 6 m/s. Im Unterschied dazu wird im Green Book [35] eine Fluchtgeschwindigkeit von 4 m/s genannt. Das HSE POOLFIRE6 Modell [102] legt dagegen eine Fluchtgeschwindigkeit von 2,5 m/s zu Grunde. Unter Anbetracht der Tatsache, dass es sich bei der betroffenen Personengruppe zumeist um die Beschäftigten der Betriebe aber auch um die normale Bevölkerung außerhalb des Betriebsgeländes handelt, erscheint die Annahme einer mittleren Fluchtgeschwindigkeit von 4 m/s plausibel, die in den nachfolgenden Berechnungen

79

vorausgesetzt wird. Die Fluchtgeschwindigkeit der Personen sollte jedoch entsprechend der vorliegenden Bedingungen angepasst werden.

Reaktionszeit

Die Reaktionszeit (tr) eines Menschen von der Realisierung der Gefahrensituation bis zur Auslösung von Aktionen wird u. a. in Ray [103] und Green Book [35] mit 5 s angegeben. Dieser Wert erscheint realistisch und wird für die Berechnungen der Expositionszeit verwendet.

Sicherer Abstand

Als „sicherer Abstand“ ist ein Abstand zu einer Wärmequelle zu definieren, bei deren Wärmestrahlung keine negativen Wirkungen auf den Menschen zu erwarten sind. Im Green Book [35] wird als Kriterium des sicheren Abstandes 1 kW/m2 vorgeschlagen. Dieser Wert ist im Vergleich zur Sonnenstrahlung im Sommer zur Mittagszeit von 1,2 kW/m2 sehr konservativ. Im Leitfaden KAS-18 [24] wird für die Wärmestrahlung der Grenzwert von 1,6 kW/m2 angegeben, der die Grenze des Beginns nachteiliger Wirkung für den Menschen darstellt. Die Entfernung, die einer Wärmestrahlung von 1,6 kW/m2 entspricht, wird im Rahmen dieser Arbeit als „sicherer Abstand“ definiert.

Bekleidungsfaktor

Durch medizinische Beobachtungen wurde festgestellt, dass Personen, deren Kleidung sich nicht entzündete, eine sehr hohe Überlebenswahrscheinlichkeit aufwiesen. Es ist nach Ray [103] davon auszugehen, dass die Bekleidung einen Schutz z. B. durch teilweise Absorption und Reflektion der Wärmestrahlung bietet. Entzündet sich die Kleidung, muss nach dem Green Book jedoch von 100 % Letalitätswahrscheinlichkeit ausgegangen werden. Ob sich die Kleidung entzündet, kann nach folgender Beziehung ermittelt werden [35]:

= ̇ (22)

mit:

DKl [kW2s/m4] Strahlungsdosis zur Entzündung von Kleidung teff [s] Expositionszeit ̇ [kW/m2] Strahlungsstärke

Diese Formel stützt sich nach dem Green Book [35] auf Experimente von Hilado und Murphy, die Entzündungstest mit Möbelstoffen durchgeführt haben. Im Ergebnis dieser Experimente wurde ein Bereich der Wärmestrahlungsdosis zwischen 2,5*104 und 4,5*104 kW2s/m4 festgestellt, der zur Entzündung der Stoffe führte. Um zu berücksichtigen, dass die Studie an schweren Möbelstoffen und nicht an typischer Bekleidung durchgeführt wurde, wird als kritischer Wert für die Entzündung von Stoffen im Green Book mit dem unteren Dosiswert von 2,5x104 kW2s/m4 gerechnet.

80

Dieser Wert wurde im HSE-Bericht [104] mit den von Hymes durchgeführten Studien und dem vom Lees definierten Wert für die Entzündung von Kleidung bei 1800 kW2s/m4 verglichen (siehe Abbildung 16).

Abbildung 16: Vergleich der Entzündungskriterien für Bekleidung [104]

In der Abbildung 16 ist zu erkennen, dass insbesondere für eine Expositionszeit von 10-30 s die Abschätzungen des Green Book konservativer sind als die von Hymes experimentell ermittelten Daten. Ab einer Expositionszeit von 10 s stellen die Grenzwerte von Lees allerdings die konservativsten Werte dar. Das Dosiskriterium der TNO scheint daher einen guten Mittelwert darzustellen, sodass die Wärmestrahlungsdosis von 2,5*104 kW2s/m4 in den folgenden Berechnungen dieser Arbeit für die Entzündung von Bekleidung verwendet wird.

Wird die Strahlungsdosis von 2,5*104 kW2s/m4 zur Entzündung der Kleidung nicht erreicht, so wird der Anteil der Todesopfer in Folge von Brandeinwirkungen bestimmt. Hierfür wird die Strahlungsdosis nach Formel 20 berechnet und in eine Probit-Funktion eingesetzt. In der Literatur sind verschiedene Probit-Funktionen zur Abschätzung der Wärmestrahlung zu finden, deren experimentelle Basis bzw. die Datenherkunft unterschiedlich diskutiert wird (siehe hierzu z. B. HSE-Bericht [101]).

Die Tabelle 46 gibt einen Überblick über die Probit-Funktionen für die zum Tod von Personen führenden Wärmeeinwirkungen.

81

Tabelle 46: Probit-Funktionen - Tod durch Wärmeeinwirkung

Modell Probit-Funktion Vulnerability Model Eisenberg et al Y = -14,9 + 2,65 x ln V (23) Tsao & Perry Revised Vulnerability Model

Y = -12,8 + 2,65 x ln V (24)

Lees’ Modell

Y = -10,7 + 1,99 x ln V’ (25) mit V’ = Φ*V Φ = 0,5 bei V < 3600 kW2s/m4 Φ = 1 bei V > 3600 kW2s/m4

Die Verwendung des Vulnerabilitätsmodells nach Eisenberg [105] zur Beurteilung der Wärmestrahlung ist weit verbreitet und wird z. B. in der Schweiz [28] oder auch in der CPQRA [21] herangezogen. Das Modell nach Eisenberg beruht auf einer Auswertung von Nuklearexplosionen, die hauptsächlich ultraviolette und sichtbare Strahlung (< 1 µm) emittieren. Dagegen setzen konventionelle Brände Strahlung im Infrarotbereich (> 1 µm) frei. In diesem Bereich weist die menschliche Haut eine höhere Absorption auf, sodass die gleiche Strahlungsdosis im Infrarotbereich größere Schäden verursacht. Darüber hinaus birgt das Modell weitere Ungenauigkeiten, die die Übertragbarkeit auf eine Durchschnittsbevölkerung in Frage stellt. Es sind z. B. keine Angaben über die Verteilung der Personen im Freien bzw. über den Bevölkerungsanteil, der durch Gebäude geschützt war, vorhanden. Weiterhin sind sicherlich Sekundärereignisse, wie z. B. Druckwellen und Gebäudeeinstürze eine weitere Todesursache neben der einwirkenden Strahlung. Diese Unterscheidung konnte jedoch auf Grund der mangelnden Informationen nicht getroffen werden. Zudem entsprach die Altersstruktur der betroffenen Personen auf Grund der Kriegszustände nicht der einer Durchschnittsbevölkerung. Diese hat jedoch großen Einfluss auf die Letalitätswahrscheinlichkeit. Im Green Book wird beispielsweise ausgeführt, dass bei einer Verbrennung von 13 % bis 17 % der Körperoberfläche bei Personen unter 45 Jahren die Letalitätswahrscheinlichkeit 0 % beträgt während diese ab 65 Jahren entsprechend ansteigt. Daher erscheint das Modell insgesamt nicht zuletzt auf Grund der vielen getroffenen Annahmen als eher unsicher.

Tsao & Perry trugen einem Kritikpunkt Rechnung und passten die Probit-Funktion nach Eisenberg [105] entsprechend infraroter Strahlung an. Dabei stützten sie sich auf Analysen von Stoll [106]. Diese Untersuchung hatte zum Ergebnis, dass die notwendige Strahlungsdosis, um Verbrennungen ersten Grades zu erzeugen, bei infraroter Strahlung 2,23 mal kleiner waren als bei UV-Strahlung. Tsao & Perry nahmen an, dass der Faktor ebenso auf die Letalitätswahrscheinlichkeit anzuwenden sei und dividierten die Probit-Funktion von Eisenberg lediglich durch den Faktor 2,23. Dies beseitigte jedoch nicht die angesprochenen Unsicherheiten des Modells nach Eisenberg. Zusätzlich ist anzumerken, dass nicht klar hervorgeht, ob der Bekleidungsfaktor speziell in der Probit-Funktion berücksichtig wird. Jedoch wird im HSE-Bericht [101] ausgeführt, dass sich die Probit-Funktion auf durchschnittlich bekleidete Personen bezieht.

An dieser Stelle ist zu erwähnen, dass die Probit-Funktion von Tsao & Perry ebenfalls im Green Book [35] zur Berechnung der Letalitätswahrscheinlichkeit des Individualrisikos genutzt wird.

82

Daneben werden weitere Probit-Funktion für Verbrennungen 1. und 2. Grades angegeben, die im Wesentlichen auf der Arbeit von Stoll [106] und Eisenberg [105] basieren.

Zur Berechnung des Gruppenrisikos wird ebenfalls die Probit-Funktion von Tsao & Perry verwendet, wobei im Unterschied zum Individualrisiko angenommen wird, dass die Personen durch ihre Kleidung vor Wärmestrahlung geschützt sind, solange diese sich nicht entzündet. Das hat zur Folge, dass ein durchschnittlich bekleideter erwachsener Mensch nur mit 20 % der Körperoberfläche der Strahlung ausgesetzt ist. Weiterhin wird im Green Book [35] davon ausgegangen, dass die Letalitätswahrscheinlichkeit bei einer Verbrennung von 20 % Körperoberfläche 14 % beträgt. Deshalb wird zur Berechnung des Gruppenrisikos der Anteil der sich im Freien aufhaltenden betroffenen holländischen Bevölkerung entsprechend reduziert, indem mit 14 % multipliziert wird. Da diesbezüglich jedoch Unterschiede zwischen den Altersgruppen bestehen, bietet das Green Book darüber hinaus die Möglichkeit, die Letalitätswahrscheinlichkeit für verschiedene Altersgruppen zu bestimmen.

Für Personen, die Schutz in Gebäuden finden, besteht nach dem Green Book keine Letalitätswahrscheinlichkeit, solange sich das Gebäude nicht entzündet. Hierfür wurde ein Grenzwert von 35 kW/m2 festgelegt. Kritisch anzumerken ist, dass auf der Grundlage des verwendeten Mortalitätscharts nach Lawrence [107] Aussagen zu Verbrennungen 2. Grades abzulesen sind. Der Reduzierfaktor zur Berechnung der betroffenen Bevölkerung im Sinne des Gruppenrisikos wird nach dem Green Book für Verbrennungen 1. bis 3. Grades verwendet. Ein Letalitätsrisiko besteht bei Verbrennung 2. Grades nur bei großflächigen Hautschäden, wie auch im HSE-Bericht [101] angemerkt wurde. Darüber hinaus stellt sich die Frage, warum bei Verwendung der gleichen Probit-Funktion zur Ermittlung der Letalitätswahrscheinlichkeit beim Individual- und Gruppenrisiko nur bei der Berechnung des Gruppenrisikos für den Anteil der sich im Freien aufhaltenden Personen von einer gesonderten Schutzwirkung der Kleidung ausgegangen wird.

Eine weitere Probit-Funktion zur Beurteilung der Wärmestrahlung wurde von Lees [17] aufgestellt. Diese basiert auf Bestrahlungsversuchen mit einer UV-Lampe und Schweinehaut. Lees berücksichtigt die Schutzwirkung von Kleidung, indem ein sogenannter Bekleidungsfaktor eingeführt wird. Dieser Bekleidungsfaktor liegt bei 0,5 für eine typisch gekleidete Bevölkerungsgruppe. Wird die Kleidung entzündet, so beträgt der Bekleidungsfaktor 1. Die Wärmestrahlungsdosis, die zur Entzündung der Kleidung führt, wird mit 1800 kW2s/m4 angenommen. Weiterhin wird davon ausgegangen, dass die Strahlung gleichmäßig auf Vorder- und Rückseite verteilt wird, sodass die Kleidung ab einer Dosis von insgesamt 3600 kW2s/m4 zündet. Es ist jedoch zu hinterfragen, warum die Strahlungsdosis verdoppelt wird, wenn schon die Entzündung der Kleidung bei 1800 kW2s/m4 möglich ist. Weiterhin ist anzumerken, dass UV-Strahlung wiederum eine höhere Strahlungsdosis benötigt, um die Schadensbilder der infraroten Strahlung zu erzeugen.

Zusammenfassend erscheint die Probit-Funktion von Lees neben der von Eisenberg nicht geeignet, die Wärmewirkung von z. B. Kohlenwasserstoffbränden zu beurteilen. Die Probit-Funktion von Tsao & Perry weist die gleichen Ungenauigkeiten wie die von Eisenberg auf,

83

ermöglicht aber die Beurteilung von Wärmestrahlungsschäden. Aus diesem Grund wird für die weiteren Risikoberechnungen (Individual- und Gruppenrisiko) zur Ermittlung der Letalitätswahrscheinlichkeit infolge von Wärmestrahlungsschäden die Probit-Funktion von Tsao & Perry verwendet. Dabei wird zur Berechnung des Gruppenrisikos, ähnlich des Ansatzes im Green Book, davon ausgegangen, dass sich im Gebäude aufhaltende Personen nicht geschädigt werden, solange sich das Gebäude nicht entzündet. Als Entzündungskriterium wird ebenfalls ein Wert von 35 kW/m2 herangezogen. Ein Reduzierfaktor, begründet durch die Schutzwirkung der Kleidung zur Ermittlung des Anteils geschädigter Personen im Freien, wird nicht eingeführt auf Grund der beschriebenen Unplausibilität. Zudem bezieht sich die Probit-Funktion von Tsao & Perry auf durchschnittlich bekleidete Personen.

Um den Einfluss der Fluchtmöglichkeit hinsichtlich der Letalitätswahrscheinlichkeit beurteilen zu können, wurden Vergleichsrechnungen für Lachenbrände infolge einer Freisetzung eines brennbaren Stoffs durchgeführt. Dabei wurde die Probit-Funktion von Tsao & Perry unter Beachtung des Entzündungskriteriums der Kleidung verwendet. Für die Vergleichsrechnungen wurden Brände einer Lache mit einem Durchmesser von 10 m, 20 m und 100 m mit unterschiedlichen Strahlungsintensitäten unterstellt. In der folgenden Abbildung sind die Letalitätswahrscheinlichkeiten in Abhängigkeit einer möglichen Flucht bzw. ohne Flucht aus dem gefährdeten Bereich dargestellt.

Abbildung 17: Letalitätswahrscheinlichkeit von Lachenbränden mit variierendem Lachenradius in Abhängigkeit des Fluchtverhaltens

84

Deutlich zu erkennen und plausibel ist, dass mit einer möglichen Flucht der betroffenen Personen der Gefährdungsbereich sowohl bei kleinen als auch bei großen Lachenradien reduziert werden kann. Der Einfluss des Fluchtverhaltens auf die Letalitätswahrscheinlichkeit wirkt sich jedoch wesentlich stärker bei großen Lachenradien aus als bei mittleren und kleineren. Dies lässt sich dadurch erklären, dass bei Lachenbränden mit einem Lachenradius von z. B. 10 m bzw. 20 m der Gefahrenbereich innerhalb von 3 bzw. 6 Sekunden bei einer angenommenen Fluchtgeschwindigkeit von 4 m/s verlassen werden kann. Im Unterschied dazu werden ca. 22 Sekunden benötigt, um sich außerhalb des Gefahrenbereiches eines Lachenbrandes mit einem Lachenradius von 100 m zu befinden. Im Ergebnis dieser Vergleichsberechnungen wird daher festgestellt, dass die Berücksichtigung des Fluchtverhaltens insbesondere bei großen Lachenbränden einen nicht zu vernachlässigenden Beitrag zur Risikoreduzierung darstellen kann, der sich in der Risikokontur deutlich bemerkbar machen könnte. Bei kleinen Lachenbränden erscheint der Einfluss der Risikoreduzierung dagegen eher minimal zu sein.

3.6.3.2 Probit-Funktion für toxische Stoffe

Die Probit-Funktionen für toxische Stoffe basieren ebenfalls auf der Dosis-Potenz-Beziehung, wobei die Dosis aus dem zeitlichen Konzentrationsverlauf nach der in Tabelle 45 angegebenen Formel berechnet wird. Dabei werden für die charakteristische Schädigung z. B. LC1- oder LC50-Werte eingesetzt. In der Literatur, z. B. im Green Book [35], CPQRA [21], Lees [17], Franks [108] sind Probit-Konstanten für die industriell häufig genutzten toxischen Gase zu finden. Da im Rahmen dieser Arbeit in den zu untersuchenden Anlagen z. B. mit den toxischen Stoffen Fluorwasserstoff und Ammoniak umgegangen wird, enthält die Tabelle 47 eine Übersicht der Probit-Konstanten für diese Stoffe.

Tabelle 47: Probit-Konstanten für toxische Stoffe [108]

Stoff Literaturquelle a b n Ammoniak IChemE 86 -35,9 1,85 2

Ten Berge 86 -49,54 2,3 2,02 Cavey 78 -51,42 2,21 2,75 ACDS92 -12,2 0,8 2 Silver & McGrath -41,86 2,26 2 Green Book [35] -15,6 1 2

Fluorwasserstoff CCPS [21] -35,87 3.354 1 Mudan 89 -48,33 4,85 1 Ten Berge 86 -7,61 0,7 1,94 USCG 80 -25,87 3,35 1 Wohlslagel et al -38,99 4,43 1 Green Book [35] -8,4 1 1,5

85

Durch die verschiedenen Verfahren zur Ermittlung der Dosis-Potenz-Beziehungen für toxische Stoffe existieren für die Stoffe Fluorwasserstoff und Ammoniak mehrere Probit-Funktionen. Der Tabelle 47 ist zu entnehmen, dass der Exponent n variieren kann. Dies ist auf die jeweiligen Berechnungsmodelle bzw. Versuchsreihen zurückzuführen. Die Konstante b ist abhängig von der Sensitivität der Tierspezies, auf deren Basis die Versuche durchgeführt wurden. Im Green Book wird ein Berechnungsverfahren für die Konstante a vorgestellt, welches als Basis den LC50-Wert aus Tierversuchen verwendet. Die so erhaltenen Konstanten werden entsprechend des Menschen z. B. im Vergleich der Inhalationsraten und Lungenvolumina umgerechnet.

Die unterschiedlichen Konstanten zur Berechnung der Probit-Funktionen für einen Stoff erschweren die Anwendung. Aus diesem Grund ist zu untersuchen, welche Ergebnisse die Probit-Funktionen im Vergleich untereinander liefern und welche als Beurteilungsmethoden in Betracht gezogen werden können.

Für die vergleichende Berechnung wurde eine Fluorwasserstoff- sowie eine Ammoniakfreisetzung von jeweils 1 kg/s für 3600 s angenommen. Da die Probit-Funktion insbesondere für die Beurteilung der störfallbegrenzenden Maßnahmen von Störfallszenarien mit einer Expositionszeit <10 Minuten herangezogen werden soll, wurde zusätzlich ein Störfallszenario mit einer Expositionszeit von 600 s unterstellt. Die Berechnung der Gasausbreitungen erfolgte auf der Grundlage der VDI-Richtlinie 3783 Blatt 1 [22] und Blatt 2 [23]. Dabei wurden eine mittlere Windgeschwindigkeit von 3 m/s, eine indifferente Temperaturschichtung sowie ein Gelände ohne Strömungshindernisse vorausgesetzt. Die Freisetzung erfolgt in Bodennähe und die Höhe des Aufschlagpunktes über Erdgleiche beträgt 2 m. Dies entspricht in etwa der Höhe einer stehenden erwachsenen Person.

Abbildung 18: Konzentrationsverlauf der Fluorwasserstofffreisetzung im Vergleich zum AEGL-3-Wert

86

Als Referenzwert wurde der AEGL-3-Wert für 10 und 60 min herangezogen, der definitionsgemäß bei Überschreitung lebensbedrohliche oder tödliche Gesundheitseffekte zur Folge hat (siehe auch Kapitel 3.5.3.1 dieser Arbeit). Der AEGL-3-Wert für 10 bzw. 60 min für Fluorwasserstoff beträgt 170 ppm bzw. 44 ppm. Diese werden in einer Entfernung zur Quelle bis ca. 750 m bzw. ca. 1100 m überschritten (siehe Abbildung 18).

In der Abbildung 19 und in der Abbildung 20 sind die Letalitätswahrscheinlichkeiten der verschiedenen Probit-Funktionen für Fluorwasserstoff der Tabelle 47 mit den unterschiedlichen Expositionszeiten dargestellt.

Abbildung 19: Vergleich der Probit-Funktionen für eine Fluorwasserstofffreisetzung (Expositionszeit: 600 s)

Die Probit-Funktionen für Fluorwasserstoff weisen sowohl im Vergleich untereinander als auch in Bezug zum Verlauf der Kurven (Steigung) sehr unterschiedliche Ergebnisse auf. Festzustellen ist jedoch, dass mit Hilfe der Probit-Funktionen geringere Abstände zur Quelle ermittelt werden, bei denen keine Letalitätswahrscheinlichkeit mehr auftritt, als es für die Unterschreitung des AEGL-3-Wertes für 10 bzw. 60 min der Fall ist. Das ist insofern plausibel, als dass die Grenzwerte wesentlich konservativer festgelegt wurden. Hierbei wird ein Wert definiert, bei dessen Unterschreiten eine Schädigung garantiert nicht eintritt. In die Festlegung eines Grenzwertes fließen verschiedene Extrapolationen und Sicherheitsfaktoren ein, die einem mehrstufigen Validierungsprozess unterliegen.

87

Abbildung 20: Vergleich der Probit-Funktionen für eine Fluorwasserstofffreisetzung (Expositionszeit: 3600 s)

Weiterhin ist ersichtlich, dass die Probit-Funktion der USCG sowohl bei einer kurzen als auch lang anhaltenden Expositionszeit die konservativsten Abstände über den größten Bereich der Letalitätswahrscheinlichkeit (bis zu 10 %) zur Quelle aufzeigt. Im Gegensatz dazu liefert die Probit-Funktion der CCPS die geringsten Abstände zum Freisetzungsort. Zudem ist auffällig, dass die Probit-Funktion für Fluorwasserstoff, insbesondere die von Ten Berge, Mudan, Green Book und Wohlslagel, scheinbar von der Expositionszeit stark beeinflusst werden, da die Anordnung in den Abbildungen (Ranking) variiert. Wird als Vergleichswert eine Letalitätswahrscheinlichkeit von 50 % herangezogen, so ergeben sich in der Reihenfolge Mudan, Ten Berge, Wohlslagel und Green Book die konservativeren Ergebnisse für eine Expositionszeit von 600 s. Für eine Expositionszeit von 3600 s werden in der Reihenfolge Ten Berge, Mudan, Green Book, Wohlslagel die konservativeren Abstände zur Quelle berechnet.

Ähnliche Ergebnisse liegen für den Vergleich der Probit-Funktionen für Ammoniak vor. Hierbei werden die konservativsten Abstände zur Quelle sowohl für die Expositionszeit von 600 s als auch 3600 s mit der Probit-Funktionen von Cavey berechnet.

Anhand der durchgeführten Vergleichsrechnungen sowohl für die Fluorwasserstofffreisetzung als auch für die Ammoniakfreisetzung können in erster Näherung keine Probit-Funktionen als unplausibel beschrieben werden. Es ist jedoch anzumerken, dass die für Fluorwasserstoff und Ammoniak angegebenen Probit-Funktionen des Green Book bzw. Purple Book auf eine maximale Expositionszeit von 30 min begrenzt sind. Dementsprechend wurden die Probit-Funktionen für diese Expositionszeit angepasst. Im Rahmen einer QRA erscheint diese Annahme im Purple Book als diskussionswürdig, da länger andauernde Freisetzungsszenarien

88

toxischer Stoffe denkbar sind und nicht ausgeschlossen werden können. Bei einer Festlegung einer maximalen Expositionszeit > 30 min würden diese Szenarien in ihren Auswirkungen unterschätzt werden. Dies ist in der Abbildung 21 ersichtlich, in denen die Vergleichsrechnungen der Probit-Funktionen des Green Book für Fluorwasserstoff mit und ohne Begrenzung der Expositionszeit für zwei unterschiedliche Massenströme dargestellt sind. Dabei wurde für den Fall „ohne Begrenzung“ konservativ eine Expositionszeit von 3600 s unterstellt.

Abbildung 21: Probit-Vergleich Green Book für Fluorwasserstofffreisetzungen mit unterschiedlichen Massenströmen

Wie anhand der Abbildung 21 ersichtlich ist, werden insbesondere für Stofffreisetzungen mit größeren Massenströmen die Auswirkungen unterschätzt. Mit Zunahme des Massenstroms wird ein deutlicher Unterschied erkennbar, der sich im Verlauf der Risikokontur durchaus bemerkbar machen und das Individualrisiko entsprechend minimieren könnte. Aus diesem Grund werden die Probit-Funktionen des Green Book für Stofffreisetzungen mit einer Emissionsdauer > 30 min als ungeeignet für die im Rahmen dieser Arbeit zu entwickelnde Methodik angesehen.

Insgesamt erscheint es schwierig, ein Auswahlkriterium für die geeignetste Probit-Funktion zur Beurteilung von toxischen Stofffreisetzungen zu finden. Insbesondere sind die Bereiche < 10 % Letalitätswahrscheinlichkeit mit großen Unsicherheiten behaftet. Derzeit wird in Deutschland die Verwendung von Grenzwerten, wie z. B. AEGL- bzw. ERPG-Werte, im Leitfaden KAS-18 [24] empfohlen. Diese Grenzwerte sind zum Schutz aller Bevölkerungsgruppen sehr konservativ festgelegt worden. Um eine Akzeptanz der Untersuchungsergebnisse auf der Basis der Probit-Funktionen zu erhalten, wird die zu konservativsten Abständen führende Probit-Funktion bei

89

einer Letalitätswahrscheinlichkeit von 50 % den weiteren Berechnungen dieser Arbeit zu Grunde gelegt. Dies ist für die Fluorwasserstofffreisetzung sowohl für kurze als auch langanhaltende Expositionszeiten die Probit-Funktion der USCG [108]. Für Ammoniakfreisetzungen stellt dies die Probit-Funktion von Cavey [108] dar. Diese werden für die Berechnungen zu Grunde gelegt.

Ein weiterer zu berücksichtigender Einflussfaktor bei der Beurteilung der toxischen Einwirkungen ist die Schutzwirkung von Gebäuden. Hierzu gibt es verschiedene Berechnungsansätze, wie z. B. im Purple Book, die Personenschäden im Zusammenhang mit Ventilationsraten im Gebäude ermitteln. Eine derartige Betrachtungsweise steht nicht im Fokus dieser Arbeit. Deshalb wird ein pauschaler Berechnungsansatz in Anlehnung an das Green Book gewählt. Für das Gruppenrisiko und speziell für den Anteil der Personen, die sich im Gebäude aufhalten, wird postuliert, dass 10 % der Personen im Gebäude infolge einer toxischen Gasfreisetzung sterben.

3.6.3.3 Probit-Funktion für Druck

In Abhängigkeit der zu bewertenden Schäden, wie z. B. Gebäudeschäden, Personenschäden oder Schäden an Anlagen, existiert in der Literatur eine Vielzahl von unterschiedlichen Probit-Funktionen für Explosionsereignisse, so z. B. im Green Book [35], CPQRA [21], Lees [17], Cozzani [109]. Zudem beschäftigen sich einige Autoren mit sekundären und tertiären Effekten einer Explosion, zu denen ebenfalls Gebäudeschäden, Glasbruch und Trümmerwurf zählen. Aus diesen Schäden resultieren wiederum mögliche Verletzungen und Todesfälle für Personen. Für diese sekundären und tertiären Effekte stehen gleichermaßen Probit-Funktionen zur Verfügung, die jedoch nicht Gegenstand dieser Arbeit sind. Der Fokus dieser Arbeit richtet sich nur auf primäre Personenschäden, wie z. B. Trommelfellriss oder auch Lungenschäden.

Die wichtigsten charakteristischen Eigenschaften einer Explosionsdruckwelle sind nach dem Green Book der maximale Überdruck, die positive Phasendauer (Zeit bis zum Erreichen des maximalen Explosionsüberdruckes) und der Impuls sowie die Entfernung zum Explosionsursprung. Diese Einflussgrößen sind in den Probit-Funktionen mit Ausnahme der Probit-Funktion für Trommelfellriss wiederzufinden. In der Tabelle 48 ist eine Auswahl der veröffentlichten Probit- Funktionen für verschiedene Personenschäden enthalten.

Tabelle 48: Probit-Funktionen für Personenschäden infolge von Explosionsereignissen in Alonso [110]

Art des Schadens Probit-Funktionen Trommelfellriss

Y1 = -12,6 + 1,524 ln Ps [TNO] Y2 = -15,6 + 1,930 ln Ps [Lees]

(26) (27)

Tod durch Schädelfraktur Y3 = 5 - 8,49 ln ((2430/Ps)+(4*108/Ps*i)) [Contini] (28) Tod durch Körpereinschlag Y4 = 5 - 2,44 ln ((7,38*103/Ps)+(1,3*109/Ps*i)) [TNO]

Y5 = 5 - 4,82 ln (40267/i) [Prugh] (29) (30)

Tod durch Lungenschäden Y6 = 5 - 5,74 ln ((4,2*105/Pef)+(1694/i)) [TNO] Y7 = 5 – 6,6 ln ((620550/Ps)+(2069/i)) [Prugh] Y8 = -77,1 + 6,91 ln Ps [Eisenberg]

(31) (32) (33)

90

Um wiederum eine Aussage bezüglich der Sinnhaftigkeit der Probit-Funktionen treffen zu können, werden Vergleichsrechnungen durchgeführt. Die nach Grenzwerten zu erwartenden Schäden am Menschen sind der Trommelfellriss bei 0,175 bar und die untere Grenze für Lungenschäden bei 0,85 bar (siehe auch Kapitel 3.5.3.2). Diese Grenzwerte werden mit den in Tabelle 48 aufgeführten Probit-Funktionen für Trommelfellriss und Lungenschäden verglichen.

Für die Vergleichsrechnung wurde ein Explosionsszenario durch Freisetzung eines brennbaren Stoffs mit einem Massenstrom von 30 kg/s für 600 s betrachtet. Mit der VDI Richtlinie 3783 Blatt 2 [23] wurde eine untere Zünddistanz von 296 m und eine explosionsfähige Masse von 1534 kg berechnet. Dabei wurde als Ausbreitungsgebiet ein ebenes Gelände ohne Hindernisse und eine Windgeschwindigkeit von 3 m/s angenommen. Mit dem Multi-Energy-Modell nach van den Berg [91] resultiert ein maximaler Explosionsüberdruck von 9,12 bar, wobei sehr konservativ die maximale Explosionsklasse von 10 angenommen wurde.

In der Abbildung 22 ist der Verlauf des Explosionsüberdruckes im Vergleich zu den Grenzwerten für Trommelfellriss und zur unteren Grenze für Lungenschäden dargestellt. Demnach treten Lungenschäden bis zu einer Entfernung von ca. 217 m und Trommelfellrisse bis zu 324 m auf.

Abbildung 22: Explosionsüberdruck im Vergleich zu den Grenzwerten für Trommelfellriss und untere Grenze für Lungenschäden

Werden zur Beurteilung des beschriebenen Explosionsszenarios die Probit-Funktionen für Trommelfellriss und Lungenschäden der Tabelle 48 herangezogen, so ergeben sich die in Abbildung 23 und Abbildung 24 dargestellten Schadenswahrscheinlichkeiten.

91

Abbildung 23: Schadenswahrscheinlichkeit Trommelfellriss

Sowohl die Probit-Funktionen von Lees als auch die des Green Book liefern eine 100 %ige Wahrscheinlichkeit für einen Trommelfellriss bis zu 180 m bzw. 220 m zur Quelle. Im Vergleich zwischen den Probit-Funktionen ist festzustellen, dass die von Lees eine konservativere Entfernung für die Unterschreitung des Trommelfellrisses ausgibt als das Grenzwertkriterium. Auf der Grundlage der Probit-Funktion des Green Book werden ähnliche Abstände in Bezug zum Grenzwert ermittelt. Vor dem Hintergrund, dass Grenzwerte eine konservative Abschätzung zur sicheren Seite darstellen, wird für die weiteren Berechnungen der Schadenswahrscheinlichkeit nicht die Probit-Funktion nach Lees verwendet, sondern die des Green Book.

Im Vergleich der Probit-Funktionen für Lungenschäden fällt auf, dass die Probit-Funktion nach Prugh zu keiner Entfernung eine 100 % Schadenswahrscheinlichkeit für Lungenschäden ausgibt. Dies ist auf Grund des hohen Explosionsüberdruckes von 9,12 bar zumindest in einem Abstand von 150 m zur Quelle zu erwarten. Die Probit-Funktion nach Eisenberg scheint im Gegensatz dazu die Auswirkungen etwas zu überschätzen, da bis zu einem Abstand von 205 m zur Quelle eine Schadenswahrscheinlichkeit von 100 % vorliegt. Demzufolge wird die Probit-Funktion für Lungenschäden des Green Book im Rahmen dieser Arbeit für Letalitätswahrscheinlichkeiten verwendet, da diese scheinbar die repräsentativeren Ergebnisse liefert.

92

Abbildung 24: Schadenswahrscheinlichkeit Lungenschäden

3.7 Zündwahrscheinlichkeit

Für die Risikoermittlung von Industrieanlagen, bei denen eine Freisetzung von brennbaren Stoffen nicht ausgeschlossen werden kann, ist die Zündwahrscheinlichkeit ein relevanter Parameter. Bei diesen Anlagen sind im Wesentlichen Brand- und Explosionsszenarien ausschlaggebend bei der Berechnung des Risikos.

In der Literatur sind verschiedene Ansätze zur Berechnung der Zündwahrscheinlichkeiten zu finden. Neben konstanten Werten für die Zündwahrscheinlichkeit werden einfache masse- oder massenstrombasierte Ansätze verwendet und teilweise zwischen sofortiger und verzögerter Zündung unterschieden. In der Veröffentlichung von Drewitz u. a. [111] wird eine vergleichende Betrachtung der Ansätze von Cox u. a. [112], Ronza u. a. [113], Daycock u. a. [114], [52], Mansfield [115] und dem Purple Book [16] vorgenommen. Als Ergebnis dieser Untersuchung wurde herausgearbeitet, dass sowohl bei der Verwendung von konstanten Werten für die Zündwahrscheinlichkeit als auch bei den masse- oder massestrombasierten Ansätzen zur Berechnung der Zündwahrscheinlichkeit die konkrete Bebauung des Betriebsbereiches, und damit die einzelnen Zündquellen, und die vom Betreiber getroffenen Explosionsschutzmaßnahmen nicht berücksichtigt werden.

Das Gleiche gilt im Prinzip für den Ansatz von Moosemiller [69], wobei jedoch die Zoneneinteilung beim prozessbasierten Ansatz per Faktor berücksichtigt werden kann. Daneben besteht die Möglichkeit, eine szenarienbasierte Analyse auf der Grundlage der Mindestzündenergie, Freisetzungsrate und einer groben Zündquellenabschätzung

93

durchzuführen, wobei bekannte Ansätze von Cox und Daycock modifiziert werden. Eine detaillierte Zündquellenbetrachtung in Abhängigkeit des Ausbreitungsgebietes der Gaswolke wird auch bei diesem Ansatz nicht vorgenommen.

Dagegen wird in der Veröffentlichung von Maschio und Milazzo [116] ein Ansatz zur Berechnung der Zündwahrscheinlichkeit, insbesondere in explosionsgefährdeten Bereichen, vorgestellt. Hierbei wird jede Zündquelle in den Zonen auf der Basis von Literaturdaten oder FTA und FMECA separat bewertet, was im Zusammenhang mit QRA für Industriebetriebe zu einem unverhältnismäßig hohen Aufwand führen würde.

Um all diesen Problemen Rechnung zu tragen, wurde in dieser Arbeit das Modell von Daycock [52] aufgegriffen und weiterentwickelt. Eine Voraussetzung für die Anwendung dieses Modells ist die Unterteilung des Betriebsgeländes in verschiedene Nutzungstypen, wie z. B. Parkplätze, Straßen, Büros oder Prozessbereiche, für die die Anzahl der Zündquellen pro Fläche und Zündquellenparameter festgelegt wurden. Zündquellenparameter sind die Zeit, in der die Zündquelle aktiv ist, sowie das Zündpotenzial einer Zündquelle. Dieses berücksichtigt, inwieweit eine Zündquelle die benötigte Energie zur Zündung einer Gaswolke aufweist.

Für die explosionsgefährdeten Bereiche der Zonen 0 und 1 wird in Daycock [52] angenommen, dass die Zündwahrscheinlichkeit vernachlässigbar ist, da die Industriebetriebe entsprechende Explosionsschutzmaßnahmen getroffen haben. Diese Zonen werden in Daycock nicht betrachtet. Dagegen wird in dem Bereich der Zone 2 das Vorhandensein einer schwachen bzw. selten auftretenden Zündquelle nicht ausgeschlossen.

3.7.1 Festlegung von Nutzungstypen

Entsprechend der Zielsetzung, die konkrete Anlagenkonfiguration und die vom Betreiber getroffenen Explosionsschutzmaßnahmen im Rahmen einer QRA berücksichtigen zu können, wurden die Nutzungstypen nach Daycock, insbesondere die der Prozessbereiche und des Parkplatzes, an die in Deutschland vorliegenden Gegebenheiten angepasst. Zudem erfolgte eine Weiterentwicklung des Modells nach Daycock entsprechend der explosionsgeschützten Bereiche der Zone 1 und 0. Zusätzlich wurden Nutzungstypen, wie gering und stark befahrene Straßen und Eisenbahnstrecke, ergänzt, die ein Betriebsgelände umgeben können (siehe auch Tabelle 49).

Es werden die folgenden Nutzungstypen unterschieden:

Prozessbereiche sind nicht als explosionsgefährdete Bereiche eingestuft und beschreiben Bereiche, in denen Maschinen und verfahrenstechnische Anlagenteile vorhanden sind. Es wird unterschieden zwischen normalen Prozessbereichen mit einer Zündquellendichte von 1/100 m² und einfachen Prozessbereichen mit einer geringeren Zündquellendichte (1/200 m²). Die von Daycock getroffene Annahme, dass in den explosionsgefährdeten Bereichen der Zonen 0 und 1 keine wirksamen Zündquellen vorhanden sein könnten, erscheint prinzipiell nicht plausibel, da auch explosionsgeschützte Einrichtungen eine Versagenswahrscheinlichkeit aufweisen. Daher erfolgt für die explosionsgefährdeten Bereiche der Zonen 0 und 1 eine Ergänzung des Modells zur Berechnung der Zündwahrscheinlichkeit.

94

Feuerungsanlagen umfassen z. B. Heizungs- und Dampfkesselanlagen sowie Öfen, wobei zwischen kontinuierlichem und diskontinuierlichem Betrieb unterschieden wird. Bei den Fackelanlagen wird ebenfalls in Abhängigkeit von der Betriebsweise getrennt zwischen Fackeln, die kontinuierlich oder relativ selten (Betriebsdauer: 60 min pro Schicht) betrieben werden. Dem Nutzungstyp Küchen/Kantinen werden auch die Pausenräume für die Mitarbeiter innerhalb von Gebäuden zugeordnet, in denen heiße Oberflächen und elektrische Einrichtungen als Zündquellen betrachtet werden. Im Bürobereich befinden sich Geräte mit schwachen Zündquellen, wie z. B. Computer, Kopierer, Lampen.

Der Nutzungstyp Parkplätze berücksichtigt als Zündquellen die Mitarbeiter- und Besucherfahrzeuge sowie die Möglichkeit des Rauchens auf dem Parkplatz. Bei Werkstraßen wird davon ausgegangen, dass auf dem Betriebsgelände im Wesentlichen nur Zulieferverkehr stattfindet und die Mitarbeiter- und Besucherfahrzeuge das Betriebsgelände nicht befahren.

Für den Nutzungstyp der gering befahrenen Straße außerhalb des Betriebsgeländes wird von 50 Fahrzeugen innerhalb einer Stunde ausgegangen, die diese befahren. Dabei können Zündquellen insgesamt für fünf Minuten wirksam sein. Im Gegensatz dazu werden für stark befahrene Straßen 500 Fahrzeuge pro Stunde als kontinuierliche Zündquelle vorausgesetzt. Unter der Annahme, dass eine zweispurige Straße eine Breite von ca. 5 m aufweist, ergibt sich für den Nutzungstyp gering befahrene Straße eine Zündquellenverteilung von 0,025 und für den Nutzungstyp stark befahrene Straße eine Zündquellenverteilung von 0,25 pro Meter.

Verlaufen in der Nähe des Betriebsgeländes Eisenbahnstrecken, so wird angenommen, dass innerhalb einer Stunde ein Zug die Strecke befährt und dabei ca. 2 Minuten als Zündquelle wirken kann. Wird angenommen, dass die Eisbahnstrecke ca. 3 m breit ist und ca. 200 Zündquellen pro Hektar vorliegen, so ergibt sich eine durchschnittliche Anzahl an Zündquellen von 0,06 pro Meter Eisenbahnstrecke.

95

Für die genannten Nutzungstypen wird die Zündwahrscheinlichkeit nach folgenden Beziehungen [52] unter Verwendung der in Tabelle 49 zusammengefassten Zündquellenparameter berechnet:

),(1),( kNZkZ tAQtAP −=

(34)

( )[ ]∑=

− −−=I

i

tpiiiikNZ

kiiepaAtAQ1

11),(ln λµ (35)

λ = 1 + (36) = + (37)

mit:

QNZ [-] Wahrscheinlichkeit der Nicht-Zündung PZ [-] Zündwahrscheinlichkeit pi [-] Zündpotenzial der Zündquelle Ai [ha] mit brennbarem Stoff beaufschlagte Fläche des Nutzungstyps i µi [1/ha] Dichte der Zündquelle i λi [1/min] Häufigkeit, mit der die Zündquelle in der Lage ist, ein brennbares Gasgemisch zu

zünden tk [min] Zeitdauer des Kontaktes der Zündquelle mit dem brennbaren Gas ta [min] Zeitdauer, in der die Zündquelle aktiv ist ti [min] Zeit bis zur nächsten Aktivierung der Zündquelle ai [ - ] Wahrscheinlichkeit, dass die Zündquelle aktiv ist

96

Tabelle 49: Übersicht der Nutzungstypen

Lfd. Nr.:

Nutzungstyp Zündquellenparameter

pi

ta [min]

ti [min]

a

λ [1/min]

µ [1/ha]

1 einfacher Prozessbereich

0,8 - - 1 0,028 50

2 normaler Prozessbereich

0,8 - - 1 0,028 100

3 Zone 2 0,05 5 25 0,167 0,0333 50 4 Zone 1 0,05 0,5 250 0,002 0,004 50 5 Zone 0 definierte Zündwahrscheinlichkeit von 10-3 6 Feuerungsanlage,

diskontinuierlicher Betrieb

1 120 360 0,25 0,0021 200

7 Feuerungsanlage, kontinuierlicher Betrieb

1 - - 1 0 200

8 Fackel, kontinuierlich 1 - 0 1 0 200 9 Fackel, selten 1 60 420 0,125 0,0021 200 10 Küchen/Kantinen 0,5 5 25 0,167 0,0333 100 11 Bürobereich 0,05 - - 1 0,056 20 12 Parkplätze 0,5 6 474 0,0125 0,0021 170 13 Werkstraßen 0,2 6 24 0,2 0,0333 20 14 Straße, gering

befahren 0,3 5 55 0,083 0,016 50

15 Straße, stark befahren 0,3 - - 1 0 500 16 Eisenbahnstrecke 1 2 58 0,083 0,016 200

Markierung blau kursiv: ergänzte Nutzungstypen; Markierung blau: angepasste Nutzungstypen

Zündwahrscheinlichkeiten in explosionsgefährdeten Bereichen

Arbeitgeber sind gemäß § 5 der Betriebssicherheitsverordnung [117] dazu verpflichtet, explosionsgefährdete Bereiche in Zonen einzuteilen und für diese Zonen spezielle Anforderungen, wie z. B. die Zündquellenvermeidung umzusetzen. Auf der Basis des Modells von Daycock [52] kann die Einteilung in die Zonen 0 und 1 nicht reflektiert werden. Daher wurde zur Abbildung der Zonen 0 und 1 im Zündwahrscheinlichkeitsmodell ein weiterer Ansatz entwickelt.

Explosionsgefährdete Bereiche werden nach der Häufigkeit und der Dauer des Auftretens gefährlicher explosionsfähiger Atmosphäre beim Normalbetrieb einer Anlage in die Zonen 0, 1 und 2 unterteilt [117]. Dabei wird die Dauer des Auftretens einer gefährlichen explosionsfähigen

97

Atmosphäre qualitativ mit ständig, gelegentlich oder selten beschrieben. In einigen Veröffentlichungen, z. B. in Energy Institute [118], Wilday [119], Markoski [120], Eberle [121], werden den Zonen Angaben über die Zeitdauer, in der eine gefährliche explosionsfähige Atmosphäre vorliegt, zugeordnet (Tabelle 50), wobei eine Abstufung der Zeitdauer zwischen den Zonen 1 und 2 von einer Zehnerpotenz vorausgesetzt wird.

Tabelle 50: Zoneneinteilung explosionsgefährdeter Bereiche und deren Auftreten pro Jahr

Zone Häufigkeit und Dauer explosionsgefährdeter Bereich nach [117]

Zeitdauer [Std./Jahr] [118]

0 ständig, über lange Zeiträume oder häufig vorhanden tEx ≥ 1000

1 gelegentlich 10 ≤ tEx < 1000 2 normalerweise nicht oder aber nur kurzzeitig 1 ≤ tEx < 10

Unter der Annahme, dass die Häufigkeit einer Explosion Hex in allen Zonen etwa gleich groß ist, muss sich die Zündwahrscheinlichkeit bei einer gleich großen beaufschlagten Fläche und gleicher Zeitdauer der Beaufschlagung auch um den Faktor 10 zwischen den Zonen 1 und 2 unterscheiden. Dies wird erreicht, indem ausgehend von den Zündparametern des Nutzungstyps „Zone 2“, die Zeitdauer, in der die Zündquelle aktiv ist, entsprechend verringert und der zeitliche Abstand, bis die Zündquelle erneut aktiv wird, vergrößert wird. Mit diesem Ansatz wird der qualitative Unterschied zwischen Geräten der Kategorie 2 und 3 [117] abgebildet.

Im Arbeitsschutz wird davon ausgegangen, dass ein Gerät der Kategorie 1, das in der Zone 0 eingesetzt wird, keine wirksame Zündquelle darstellt. Bei einer Risikobetrachtung wird dagegen davon ausgegangen, dass immer ein Restrisiko, z. B. durch Produktionsfehler, vorhanden ist. Daher ist es erforderlich auch für die Zone 0 eine Zündwahrscheinlichkeit festzulegen. Der Ansatz zur Berechnung der Zündwahrscheinlichkeit auf der Basis der Zündparameter nach Formel (34) kann für die Berechnung nicht herangezogen werden, da es bei einer ständig vorhandenen explosionsfähigen Atmosphäre demnach immer zu einer Zündung kommt. Für die Zündwahrscheinlichkeit der Zone 0 wird daher ein konstanter Wert wie folgt festgelegt.

Die Zündwahrscheinlichkeit der Zone 1 liegt in Abhängigkeit der Kontaktzeit bzw. -fläche in der Größenordnung von PZ=10-2 bis 10-1 (siehe auch Drewitz [111]). Wird wieder der Faktor 10 zwischen den Zündwahrscheinlichkeiten der Zonen 0 und 1 vorausgesetzt, so ergibt sich eine Zündwahrscheinlichkeit von PZ=10-3 für die Zone 0. Im Vergleich zur SIL-Klassifizierung der VDI/VDE 2180 [44] würde das dem Versagen einer PLT-Schutzeinrichtung gemäß SIL 3 entsprechen, die zu einer Explosion mit mehreren schwer verletzten Personen oder mindestens einer tödlich verletzten Person führen könnte. Da bei einer Behälterexplosion infolge der Zündung einer explosionsfähigen Atmosphäre solch ein Schadensausmaß nicht ausgeschlossen werden kann, stellt eine Zündwahrscheinlichkeit der Zone 0 von PZ=10-3 einen plausiblen Wert dar.

Da bei QRA immer von Störungen des bestimmungsgemäßen Betriebes mit zumeist großen Stofffreisetzungen ausgegangen wird, sind die vorgestellten Ansätze dieser Arbeit zur

98

Berechnung der Zündwahrscheinlichkeiten in explosionsgefährdeten Bereichen nicht geeignet, um Anforderungen an die Beschaffenheit von Arbeitsmitteln abzuleiten.

Der in Drewitz [111] durchgeführte Modellvergleich hat zum Ergebnis, dass die mit dem erweiterten Modell von Daycock berechneten Zündwahrscheinlichkeiten der verschiedenen Nutzungstypen untereinander plausible Werte ergeben. Es ist allerdings festzustellen, dass im Vergleich zu den Modellen von Cox und Ronza tendenziell größere Werte berechnet werden. Hierbei ist zu berücksichtigen, dass eine Gaswolke sich meistens nicht vollständig nur über einem Nutzungstyp ausbreitet, sondern sich die Zündwahrscheinlichkeit anteilig aus mehreren Nutzungstypen mit kleinen Kontaktflächen zusammensetzt. Dies führt letztendlich zu einer höheren Zündwahrscheinlichkeit.

Wie ebenfalls beim Modellvergleich in Drewitz [111] dargestellt wurde, ist die Kontaktzeit zwischen brennbarem Gas und Zündquelle ein wesentlicher Faktor bei der Berechnung der Zündwahrscheinlichkeit und kann durch störfallbegrenzende Maßnahmen beeinflusst werden. Werden im Fall einer Gasfreisetzung durch die Feuerwehr z. B. Hydroschilder zur Verringerung der Gaskonzentration aufgestellt (siehe auch Puls in [122]), oder Lachen mit Schaum abgedeckt (siehe Böke in [123]), so können die Auswirkungen der Störfälle durch Begrenzung der Massenströme und somit auch die Zündwahrscheinlichkeit verringert werden. Ein wesentlicher Nutzen des in dieser Arbeit entwickelten Zündwahrscheinlichkeitsansatzes besteht somit darin, diesen Einfluss der störfallbegrenzenden Maßnahmen auf die Zündwahrscheinlichkeit abbilden zu können.

Zusammenfassend kann ausgeführt werden, dass durch den entwickelten Zündwahrscheinlichkeitsansatz der Einfluss der konkreten Nutzung des Betriebsgeländes bei der Ermittlung des Risikos berücksichtigt wird. Dadurch kann eine Differenzierbarkeit von unterschiedlichen Nutzungskonzepten vorgenommen werden, was mit konstanten Zündwahrscheinlichkeiten und den vorliegenden einfachen masse- bzw. massestrombasierten Ansätzen nicht realisiert werden kann. Besonderes Augenmerk wird dabei auf die festgelegten explosionsgefährdeten Bereiche, sowie die umgebende Infrastruktur des Betriebsgeländes gerichtet. Dies erfordert zwar einen etwas größeren Aufwand bei der Durchführung einer Risikoanalyse, ermöglicht aber die Erstellung einer Bewertungsgrundlage für störfallverhindernde und störfallbegrenzende Maßnahmen.

3.7.2 Zündwilligkeit von brennbaren Stoffen

Die Zündwirksamkeit einer Zündquelle, d. h. die Fähigkeit zur Zündung einer explosionsfähigen Atmosphäre, hängt nach der Technischen Regel TRBS 2152 Teil 3 [124] u. a. von der Energie der Zündquelle und von den Eigenschaften der explosionsfähigen Atmosphäre (Zündwilligkeit) ab.

Das Modell nach Daycock wurde im Wesentlichen zur Berechnung der Zündwahrscheinlichkeit bei Stofffreisetzungen in LPG-Anlagen entwickelt, wobei es in gleicher Weise auch für andere Anlagen mit brennbaren Substanzen, wie z. B. Raffinerien, angewendet werden kann. Während im Modell nach Daycock die benötigte Energie der Zündquellen zur Zündung einer Gaswolke

99

einbezogen wird (siehe Parameter pi Formel 35 in Kapitel 3.7.1), werden dagegen die Eigenschaften der explosionsfähigen Atmosphäre nicht besonders betrachtet. Diese sollen im Rahmen dieser Arbeit Berücksichtigung finden. Deshalb wird im Folgenden ein Zündwilligkeitsfaktor abgeleitet. Die Zündwilligkeit eines freigesetzten Stoffes beeinflusst in erster Linie das Zündpotenzial der Zündquellen. Daher werden die ermittelten Zündwilligkeitsfaktoren FZW mit dem Zündpotenzial der Zündquelle, Faktor pi multipliziert.

In der TRBS 2152 Teil 3 werden in Nummer 4 die 13 möglichen Zündquellen, z. B. heiße Oberflächen, mechanisch erzeugte Funken, elektrische Anlagen, statische Elektrizität und Blitzschlag, beschrieben. Es stellt sich die Frage, inwiefern eine Aussage zu den Ursachen von Explosionsereignissen herausgearbeitet werden kann und sich ein Rückschluss auf bestimmte Zündquellen finden lässt.

Nach Bartknecht [125] sind als Ursachen für die Zündungen von Staub-Luftgemischen zu 30 % mechanisch erzeugte Funken zu nennen. Dagegen sind für Explosionen von brennbaren Gasen und Dämpfen nach [125] keine verlässlichen Angaben vorhanden. In Cox [84] wurden Daten verschiedener Explosionsereignisse (on-shore) brennbarer Gase und Flüssigkeiten ausgewertet, wobei zwischen geschlossenen und offenen Prozessanlagen unterschieden wird (siehe Tabelle 51). Dabei umfassen geschlossene Prozessanlagen solche Ereignisse, die auf Leckagen von Anlagekomponente basieren. In offenen Prozessanlagen wird dagegen mit brennbaren Stoffen umgegangen, die in die Atmosphäre ausdampfen oder ausgasen. Als häufigste Zündquellen werden Elektrizität, Flammen, Rauchen und heiße Oberflächen aufgeführt, wobei der Anteil der unbekannten Zündquellen bei den offenen Prozessanlagen wesentlich geringer ausfällt als bei den geschlossenen Prozessanlagen.

Tabelle 51: Prozentualer Anteil von Zündquellen als Ursache von Explosionsereignissen nach Cox [84]

Zündquelle Prozessanlagen Geschlossen

[%] Offen [%]

LPG Fire equipment 2,3 1,4 Andere Flammen 9,3 19,4 Heiße Oberflächen 11,6 14,4 Reibung 4,7 7,9 Elektrizität 9,3 21 Heiße Partikel 3,5 - Statische Elektrizität 7 7,2 Rauchen - 12,2 Selbstentzündung 8,1 1,4 Unbekannte 44,2 15,1

100

In Spencer und Rew [126] ist von Crowl und Louvar [127] eine Auflistung der wahrscheinlichsten Ursachen für Zündungen brennbarer Gemische mit einem ähnlichen Ergebnis wie in Cox [84] enthalten (siehe Tabelle 52).

Tabelle 52: Übersicht der wahrscheinlichsten Zündquellen brennbarer Gemische nach Crowl und Louvar [127]

Zündquelle Anteil [%]

Elektrizität (Kabel in Motoren) 23 Rauchen 18 Reibung 10 Überhitzte Materialien 8 Heiße Oberflächen (Boiler, Lampen) 7 Flammen 7 Funken (Verbrennung) 5 Spontane Entzündung 4 Funken durch Schweiß- und Trennarbeiten 4 Flammenüberschlag 3 Brandstiftung 3 Mechanische erzeugte Funken 2 Heiße Substanzen 2 Chemische Reaktionen 1 Statische Funken 1 Blitze 1 Sonstige 1

Die HSL vergleicht in [128] die Zündwahrscheinlichkeiten freigesetzter brennbarer Flüssigkeiten, Gase und Dämpfe im On-shore-Bereich. Die Datenbasis bildet die MHIDAS-Datenbank der AEA Technology. Auch hier wird als häufigste Zündquelle Elektrizität neben den Zündquellen Selbstentzündung und heiße Oberflächen genannt (siehe Tabelle 53).

Tabelle 53: Häufigkeit von Zündquellen in Prozessanlagen nach HSL [128]

Zündquelle Anteil [%]

Selbstentzündung 8,7 Elektrizität 9,7 Flammen 7,0 Funken durch Reibung 1,6 Heiße Oberflächen 8,7 Keine Entzündung 2,7 Unbekannte 61,6

101

Abschließend ist anzumerken, dass in allen veröffentlichten Untersuchungen ein großer Anteil unbekannter Zündquellen für Explosionsereignisse vorliegt. Es ist jedoch festzustellen, dass die Zündquelle Elektrizität hauptsächlich als Ursache für eine Zündung, gefolgt von der Zündquelle heiße Oberflächen zu nennen ist. Weitere häufig auftretende Zündquellen sind Flammen und Selbstentzündung sowie die mechanisch erzeugten Funken.

Auf der Basis der Literaturdaten lassen sich die Zündquellen unterteilen, zum einen in die durch menschliche Fehler verursachten Zündquellen, wie z. B. Rauchen und Flammen. Hier wurden eventuell Arbeitsfreigabesysteme, z. B. bei Reparatur- und Wartungsarbeiten bzw. Rauchverbote missachtet, die im Zusammenhang mit einem funktionierenden Managementsystem untersucht werden müssen. Zum anderen können technische Ausfälle von Geräten zusammengefasst werden, welche zur Funkenbildung oder zu heißen Oberflächen führen können. Selbstentzündung, die oftmals auch als Selbsterhitzung bezeichnet wird (siehe hierzu auch TRBS 2152-3 Nr. 5.14) ist größtenteils auf chemische Reaktionen mit Wärmeentwicklung zurückzuführen. Hierbei entzünden sich Stoffe, wenn die Wärmeproduktionsrate größer als die Wärmeverlustrate an die Umgebung ist. Die Zündquellen Selbstzentzündung (Selbsterhitzung), Rauchen und Flammen sollen an dieser Stelle nicht betrachtet werden. Vielmehr werden die Zündquellen, die durch technisch bedingte Geräteausfälle explosionsfähige Gemische zünden können, in den Fokus gerückt.

Im Rahmen dieser Arbeit werden deshalb zwei Zündquellenkategorien gebildet. Die Kategorie „elektrisch/mechanische Funken“ fasst Zündquellen zusammen, die durch Funkenbildung explosionsfähige Stoffgemische zünden können (Elektrizität, statische Elektrizität, Reibung, mechanisch erzeugte Funken). Die zweite Kategorie umfasst die Zündquelle „heiße Oberflächen“.

Für die weitere Modellentwicklung sind die Eintrittswahrscheinlichkeiten dieser Zündquellenkategorien von Bedeutung. Auf der Grundlage der Literaturauswertung zu den häufigsten Ursachen für Explosionen können auf Grund des Anteils unbekannter Zündquellen keine eindeutigen Eintrittswahrscheinlichkeiten der Zündquellen abgeleitet werden. Daher wird im Rahmen dieser Arbeit davon ausgegangen, dass die Zündquelle „elektrische/mechanische Funken“ mit einer Wahrscheinlichkeit von 2/3 und die Zündquelle „heiße Oberflächen“ mit einer Wahrscheinlichkeit von 1/3 als Ursache für Explosionsereignisse zu nennen sind.

Es stellt sich die Frage, wie diese Zündquellenkategorien charakterisiert werden können. Nach Brandes und Thedens [129] können den einzelnen Zündquellen Kenngrößen zugeordnet werden, um zu überprüfen, ob eine ausreichende Sicherheit mit den eingesetzten Betriebsmitteln in explosionsfähiger Atmosphäre gewährleistet werden kann.

Nach Brandes und Thedens ist für die Zündquelle „heiße Oberfläche“ die Zündtemperatur von brennbaren Stoffen ausschlaggebend. Die Zündtemperatur ist die niedrigste Temperatur einer heißen Oberfläche, bei der die Entzündung eines brennbaren Stoffs im Gemisch mit Luft auftritt. Daher werden brennbare Stoffe bzw. Betriebsmittel in Abhängigkeit ihrer Zündtemperatur bzw. der maximal auftretenden Oberflächentemperatur in Temperaturklassen eingeteilt. In der Tabelle 54 sind die Temperaturklassen mit den entsprechenden Temperaturangaben zusammengefasst.

102

Tabelle 54: Übersicht der Temperaturklassen brennbarer Stoffe und Betriebsmittel

Temperaturklasse Höchstzulässige Oberflächentemperatur der

Betriebsmittel [°C]

Zündtemperatur des brennbaren Stoffes

[°C]

T1 450 > 450 T2 300 >300 ≤ 450 T3 200 >200 ≤ 300 T4 135 >135 ≤ 200 T5 100 >100 ≤ 135 T6 85 >85 ≤ 100

Die Zündung eines explosionsfähigen Gemisches als Folge einer Störung oder eines Unfalls kann nicht ausgeschlossenen werden, wenn dieses einerseits in Anlagenbereiche gelangt, in denen betriebsmäßig höhere Oberflächentemperaturen als die Zündtemperatur des explosionsfähigen Gemisches vorliegen, oder andererseits, wenn durch einen Gerätefehler oder -ausfall die Zündtemperatur des Stoffgemisches überschritten wird.

Kenntnisse hinsichtlich der räumlichen Verteilung der Zündquellen und deren maximale Oberflächentemperaturen in dem von der Gaswolke überstrichenem Gelände liegen in der Regel nicht vor. Aus diesem Grund wird davon ausgegangen, dass die Zündquellen der unterschiedlichen Temperaturklassen gleichmäßig verteilt sind.

Außerdem wird von einer Gleichverteilung der Stoffe in den einzelnen Temperaturklassen untereinander ausgegangen, sodass eine gleichmäßige Wichtung der Temperaturklassen angenommen wird. Auf dieser Grundlage lässt sich der in Tabelle 55 dargestellte Zusammenhang ableiten.

Auf der Basis der Temperaturklassen der Gase und Zündquellen wird der Faktor Temperaturklasse (FTK) abgeleitet. Aus der angenommenen Gleichverteilung von Zündquellen in der Fläche und der Stoffe in den Temperaturklassen wird vorausgesetzt, dass mit der Temperaturklasse T1 bis T6 der Gase eine Zunahme des Einflusses auf das Zündpotenzial um jeweils 1/6 einhergeht. Dieser Faktor der Temperaturklasse trägt dem Umstand Rechnung, dass Gase von allen Zündquellen gezündet werden können, die über eine gleiche oder höhere Temperaturklasse verfügen. Demnach müsste z. B. für die Zündung eines Gases der Temperaturklasse T3 das Zündpotenzial einer Zündquelle höher sein als für ein Gas der Temperaturklasse T2. Das T3-Gas kann von den Zündquellen der Temperaturklasse T1 bis T3 gezündet werden. Im Gegensatz dazu kann eine Zündung eines T2-Gases nur von den Zündquellen der Temperaturklassen T1 und T2 erfolgen.

103

Tabelle 55: Zündung der Temperaturklassen

Temperaturklasse Zündquelle

T1 T2 T3 T4 T5 T6 Faktor Temperatur-klasse Gas

FTK Tempera- turklasse Gas T1 X 0 0 0 0 0 1/6 T2 X X 0 0 0 0 2/6 T3 X X X 0 0 0 3/6 T4 X X X X 0 0 4/6 T5 X X X X X 0 5/6 T6 X X X X X X 6/6

Für die Zündquellenkategorie „elektrisch/mechanische Funken“ wird zur Beurteilung des Einflusses auf das Zündpotenzial ebenfalls eine Kenngröße benötigt.

Nach Brandes und Thedens wird für die Zündquellen „elektrische Funken“ und „statische Elektrizität“ u. a. die Mindestzündenergie herangezogen. Dabei ist die Mindestzündenergie der Mindestwert der im Entladekreis gespeicherten Energie, die bei Entladung über eine Funkenstrecke unter optimierten Bedingungen das Brennstoff-Luft-Gemisch bei jeder Zusammensetzung des Brennstoff-Luft-Gemisches gerade noch entzündet. Brennbare Gase und Dämpfe werden daher u. a. in Abhängigkeit ihrer Mindestzündenergie in die drei Explosionsgruppen IIA, IIB, IIC eingeteilt, wobei die Zündfähigkeit und damit die Gefährdung von der Explosionsgruppe IIA nach IIC ansteigt. In der Tabelle 56 sind die Mindestzündenergien für beispielhafte Gas-Luft-Gemische der einzelnen Explosionsgruppen enthalten.

Tabelle 56: Übersicht der Explosionsgruppen [130]

Explosionsgruppe Gas-Luft-Gemisch Mindestzündenergie (MZE) [mJ]

IIA Propan-Luft-Gemisch 0,024 IIB Ethylen-Luft-Gemisch 0,082 IIC Wasserstoff-Luft-Gemisch

Acetylen-Luft-Gemisch 0,017 0,019

Im Forschungsbericht 279 der Bundesanstalt für Materialforschung und Prüfung [130] wird ausgeführt, dass die Wahrscheinlichkeit einer Zündung umso höher ist, je niedriger die Mindestzündenergie eines explosionsfähigen Gemisches ist. Somit steigt die Wahrscheinlichkeit einer Zündung von der Explosionsgruppe IIA zu IIC an.

Statistisch gesicherte Zahlenwerte für die Zündwahrscheinlichkeiten in Abhängigkeit des jeweiligen explosionsfähigen Gemisches und der Mindestzündenergie sowie den notwendigen Zündquellen lassen sich nach dem Forschungsbericht 279 nur sehr vage formulieren. Daher wurde in diesem Forschungsvorhaben untersucht, welche Zündwahrscheinlichkeiten sich bei der

104

Zündquelle „mechanisch erzeugte Funken“ auf der Grundlage von Stahl-Schlagfunken in Abhängigkeit der kinetischen Schlagenergie und der Mindestzündenergie der explosionsfähigen Atmosphäre ergeben. Ein Ergebnis dieser Untersuchungen ist, dass bei hoher kinetischer Schlagenergie von W=190 Nm eine Zündwahrscheinlichkeit der betrachteten Gas-Luft-Gemische der Explosionsgruppe IIC zu 100 % beobachtet wurde. Bei den Explosionsgruppen IIB bzw. IIA wurde eine Zündwahrscheinlichkeit von ca. 17 % bzw. 7 % ermittelt.

Auf der Grundlage dieses Ergebnisses lässt sich kein linearer Zusammenhang zwischen dem Zündpotenzial der Zündquelle und der Explosionsgruppen aufstellen. Jedoch erscheint es plausibel, auf der Basis der im Forschungsbericht 279 angegebenen Zündwahrscheinlichkeit bzw. deren Verhältnisse zueinander einen Einfluss der Explosionsgruppen auf das Zündpotenzial abzuleiten.

In Anlehnung an den Forschungsbericht 279 wird der Einfluss der Explosionsgruppe IIC auf das Zündpotenzial mit 100 % gewichtet. Unter Berücksichtigung der Tatsache, dass im Rahmen dieser Arbeit nicht nur mechanisch erzeugte Funken sondern auch die elektrisch erzeugte Funken in der Zündquellenkategorie „elektrisch/mechanische Funken“ zusammengefasst wurden, wird konservativ davon ausgegangen, dass der Einfluss der Explosionsgruppe IIB auf das Zündpotenzial der Zündquelle mit ca. 25 % und der der Explosionsgruppe IIA mit ca. 10 % gewichtet werden kann. Diese prozentualen Angaben fließen in den Faktor Explosionsgruppe (FEG) ein, der somit für die Explosionsgruppen IIC den Wert 1 annimmt und für die Explosionsgruppen IIB und IIA jeweils die Werte 0,25 und 0,1.

Weiterhin wird davon ausgegangen, dass die „elektrisch/mechanisch“ erzeugten Funken jeweils über die notwendige Zündenergie verfügen, um explosionsfähige Gemische zu zünden.

Um eine Aussage über die Zündwilligkeit von Stoffen zu ermöglichen, wird in einem ersten Schritt ein stoffspezifischer Faktor (FSt) gebildet. Grundlage dieses Faktors ist zum einen der Faktor Temperaturklasse (FTK), der die Zündquellenkategorie „heiße Oberflächen“ abbildet, und zum anderen der Faktor Explosionsgruppe (FEG), der maßgebend für die Zündquellenkategorie „elektrisch/mechanische Funken“ ist.

Wie auf der Basis der Literaturauswertung diskutiert, sind zu 1/3 die Zündquelle „heiße Oberflächen“ und zu 2/3 die Zündquelle „elektrisch/mechanische Funken“ bei den technisch bedingten Zündquellen als Ursache einer Zündung zu nennen.

Somit ergibt sich folgender stoffspezifischer Faktor FST:

= 13 × + 23 × (38)

mit :

FST [-] stoffspezifischer Faktor FTK [-] Faktor Temperaturklasse FEG [-] Faktor Explosionsgruppe

105

Nach dem in Formel 38 genannten Zusammenhang lassen sich folgende stoffspezifische Faktoren in Abhängigkeit der Stoffgruppen aus Temperaturklasse und Explosionsgruppe berechnen (siehe Tabelle 57):

Tabelle 57: Stoffspezifische Faktoren

Stoffgruppe Stoffspezifischer Faktor FST

Stoffgruppe Stoffspezifischer Faktor FST

T1 IIA 0,12 T4 IIA 0,26 T1 IIB 0,22 T4 IIB 0,38 T1 IIC 0,71 T4 IIC 0,88 T2 IIA 0,18 T5 IIA 0,29 T2 IIB 0,27 T5 IIB 0,44 T2 IIC 0,77 T5 IIC 0,93 T3IIA 0,23 T6 IIA 0,40 T3 IIB 0,33 T6 IIB 0,49 T3 IIC 0,83 T6 IIC 0,99

Zu erkennen ist, dass sich stoffspezifische Faktoren im Bereich von 0,12, z. B. für die Stoffgruppe T1 IIA, bis 0,99, z. B. für die Stoffgruppe T6 IIC, ableiten lassen. Das ist insofern plausibel, als dass sich Gase mit einer hohen Zündtemperatur (T1) und einer im Vergleich der Explosionsgruppen hohen Mindestzündenergie (IIA) schwerer zünden lassen als Gase der Temperaturklasse T6 und Explosionsgruppe IIC. Zudem ist ersichtlich, dass die Explosionsgruppe IIC auf Grund der Wichtung der Zündquelle zu 2/3 und der niedrigen Mindestzündenergie im Allgemeinen zu einem hohen stoffspezifischen Faktor führt.

Die abgeleiteten stoffspezifischen Faktoren FST können jedoch in dieser Form nicht verwendet werden. Würden diese mit dem Zündpotenzial der Formel 35 in Kapitel 3.7.1 multipliziert, würde die Zündwahrscheinlichkeit in jedem Fall reduziert werden. In Abhängigkeit der Stoffgruppen muss die Zündwahrscheinlichkeit jedoch auch zunehmen. Insofern erscheint es plausibel, einen Faktor Zündwilligkeit FZW zu finden, der sowohl eine Reduzierung als auch eine Zunahme der Zündwahrscheinlichkeit in Bezug zu den Stoffgruppen ermöglicht.

Daher wird der Faktor Zündwilligkeit unter Einführung einer Referenzstoffgruppe wie folgt gebildet: = 1 + −

(39)

mit:

FZW [-] Faktor Zündwilligkeit des Stoffgemisches FST [-] Stoffspezifischer Faktor FRS [-] Faktor Referenzstoffgruppe (0,38)

106

Im Modell nach Daycock wird Propan als Referenzstoff verwendet. Propan ist der Temperaturklasse T1 und der Explosionsgruppe IIA zuzuordnen und gilt somit als eher zündunwillig. Wird diese Kombination aus Temperaturklasse und Explosionsgruppe als Referenzstoffgruppe für den stoffspezifischen Faktor festgelegt, so ergeben sich unplausibel hohe Zündwahrscheinlichkeiten. Als Referenzstoffgruppe wurde deshalb eine Stoffgruppe mit einer mittleren Temperaturklasse T4 und der mittleren Explosionsgruppe IIB gewählt. Ihr stoffspezifischer Faktor liegt daher im mittleren Wertebereich aller stoffspezifischen Faktoren und beträgt 0,38.

Bei der Berechnung der Zündwahrscheinlichkeit unter Verwendung des Faktors Fzw, bleibt diese für die Referenzstoffgruppe unverändert. Für Stoffgruppen mit einem höheren stoffspezifischen Faktor nimmt die Zündwahrscheinlichkeit zu bzw. mit kleineren stoffspezifischen Faktoren ab. Die berechneten Zündwilligkeitsfaktoren FZW sind in der Tabelle 58 zusammengestellt.

Tabelle 58: Zündwilligkeitsfaktoren in Abhängigkeit der Stoffgruppe

Stoffgruppe Faktor Stoff FST

Faktor Zündwilligkeit FZW

Beispielstoffe

T1IIA 0,12 0,74 Propan T2IIA 0,17 0,79 n-Butan T1IIB 0,22 0,84 Stadtgas T3IIA 0,23 0,85 Benzin T4IIA 0,26 0,88 T2IIB 0,27 0,89 Acetylen T5IIA 0,29 0,90 T3IIB 0,33 0,95 T4IIB 0,38 1,00 Ethylether T6IIA 0,40 1,02 T5IIB 0,44 1,06 T6IIB 0,50 1,11 T1IIC 0,71 1,33 Wasserstoff T2IIC 0,77 1,39 T3IIC 0,83 1,44 T4IIC 0,88 1,50 T5IIC 0,93 1,55 T6IIC 0,99 1,61 Schwefelkohlenstoff

Die Zündwilligkeitsfaktoren werden mit dem Zündpotenzial multipliziert. Die um den Faktor FZW erweiterte Formel 35 in Kapitel 3.7.1 ist nachfolgend dargestellt:

107

( )[ ]∑=

− −−=I

i

tFpiiiikNZ

kii ZWeFpaAtAQ1

)( 1)(1),(ln ZWλµ

(40)

mit:

QNZ [-] Wahrscheinlichkeit der Nicht-Zündung PZ [-] Zündwahrscheinlichkeit pi [-] Zündpotenzial der Zündquelle FZW [-] Faktor Zündwilligkeit des Stoffgemisches Ai [ha] mit brennbarem Stoff beaufschlagte Fläche des Nutzungstyps i µi [1/ ha] Dichte der Zündquelle i λi [1/min] Häufigkeit, mit der die Zündquelle in der Lage ist, ein brennbares Gasgemisch zu

zünden tk [min] Zeitdauer des Kontaktes der Zündquelle mit dem brennbaren Gas ai [-] Wahrscheinlichkeit, dass die Zündquelle aktiv ist

Um den Stoffeinfluss in der Zündwahrscheinlichkeit zu verdeutlichen, wurden Vergleichsrechnungen mit verschiedenen Stoffen durchgeführt, deren Ergebnisse in Abbildung 25 dargestellt sind. Dabei wurde der Nutzungstyp Parkplatz mit einer Fläche von 2500 m2 verwendet. Die Kontaktzeit zwischen Gaswolke und Zündquelle variiert von 0 bis 3600 s.

Abbildung 25: Zündwahrscheinlichkeit in Abhängigkeit des Stoffeinflusses

0

0,1

0,2

0,3

0,4

0,5

0,6

0,7

0,8

0,9

1

0 60 300 600 900 1200 1500 1800 2100 2400 2700 3000 3300 3600

Zünd

wah

rsch

einl

ichk

eit P

z

Kontaktzeit [s]

Pz Daycock Pz Propan (T1IIA)Pz Schwefelkohlenstoff (T6IIC) Pz Wasserstoff (T1IIC)Pz Diesel (T3IIA)

108

Anhand des Zündwilligkeitsfaktors FZW lässt sich der stoffspezifische Einfluss verschiedener brennbarer Stoffe auf die Zündwahrscheinlichkeit gut abbilden. So ergibt sich nach einer Kontaktzeit von 600 s eine sehr unterschiedliche Zündwahrscheinlichkeit, die z. B. für Diesel 0,45, für Wasserstoff 0,6 und für Schwefelkohlenstoff 0,75 beträgt. Nach dem Modell von Daycock würde sich für alle Stoffe gleichermaßen eine Zündwahrscheinlichkeit von 0,5 ergeben.

Wie einleitend formuliert, finden die Eigenschaften der explosionsfähigen Atmosphäre im Modell von Daycock keine Beachtung. Mit der Ableitung des Zündwilligkeitsfaktors wurde eine Möglichkeit geschaffen, diese bei der Berechnung der Zündwahrscheinlichkeit zu berücksichtigen. Wie die überschlägigen Berechnungsergebnisse zeigen, scheint der Zündwilligkeitsfaktor FZW einen nicht zu vernachlässigenden Einfluss auf die Zündwahrscheinlichkeit auszuüben. Dieser Einfluss soll an einem weiteren Berechnungsbeispiel einer QRA im Kapitel 4.2.4.3 der Arbeit bestätigt werden.

3.8 Risikoberechnung

3.8.1 Meteorologische Gegebenheiten

Für die Gasausbreitungsberechnungen nach der VDI-Richtline 3783 Blatt 1 [22] ist die Angabe der Windgeschwindigkeit in einer Höhe von 10 m über Erdgleiche und die Festlegung der Temperaturschichtung (labile, indifferente oder stabile Schichtung) erforderlich. Diese Informationen und die relative Häufigkeit des Auftretens einer Windrichtung und -geschwindigkeit können der Ausbreitungsklassenstatistik des Deutschen Wetterdienstes entnommen werden.

In der Ausbreitungsklassenstatistik des Deutschen Wetterdienstes werden sechs Ausbreitungsklassen nach Klug / Manier unterschieden, die wie folgt für die Berechnungen nach der VDI-Richtline 3783 Blatt 1 in drei Ausbreitungsklassen zusammengefasst werden:

Labile Temperaturschichtung: Klasse IV und V

Indifferente Temperaturschichtung: Klasse III /1 und III /2

Stabile Temperaturschichtung: I und II

Die gemessenen Windgeschwindigkeiten in Anemometerhöhe (10 m über Erdgleiche) werden in der Ausbreitungsklassenstatistik des Deutschen Wetterdienstes in neun Klassen eingeteilt. Für die Gasausbreitungsrechnung wird für jede Windgeschwindigkeitsklasse eine mittlere Windgeschwindigkeit vorausgesetzt.

109

Tabelle 59: Einteilung der Windgeschwindigkeitsklassen

Klasse Windgeschwindigkeit in 10 m Höhe

< 1,4 m/s 1 m/s 1,4-1,8 m/s 1,5 m/s 1,9-2,3 m/s 2,0 m/s 2,4-3,8 m/s 3,0 m/s 3,9-5,4 m/s 4,5 m/s 5,5-6,9 m/s 6 m/s 7,0-8,7 m/s 7,5 m/s 8,5 – 10,0 m/s 9 m/s >10 m/s 12 m/s

Die Windrichtung wird in 36 Segmente unterteilt. Der erste Sektor umfasst die Windrichtungen 6° bis 15° (Wind aus nordöstlicher Richtung). Die weiteren Sektoren folgen im Uhrzeigersinn.

Für jede Ausbreitungsklasse, Windgeschwindigkeitsklasse und Windrichtung liegt eine relative Eintrittshäufigkeit vor. Um den Berechnungsaufwand moderat zu halten, wurden für jede die Windgeschwindigkeiten für alle Ausbreitungsklassen anteillig addiert und somit eine mittlere Windgeschwindigkeit berechnet. Daher werden für jedes Szenario 36 Berechnungen durchgeführt.

3.8.2 Rechengitter

Das für die Risikoanalyse zu betrachtende Gebiet wird mit einem Rechengitter überzogen. Die Gitterweite liegt bei ca. 10 x 10 m, damit die Bereiche für die Personendichte und die Nutzungsgebiete für das Zündquellenmodell ausreichend aufgelöst werden können. In jedem Gitterpunkt wird das Individualrisiko berechnet und daraus die Isolinien für das Risiko ermittelt. Für die Berechnung des Gruppenrisikos wird die Personendichte für jedes Flächenelement und der Mittelwert der Individualrisiken an den Gitterpunkten herangezogen.

3.8.3 Individualrisiko

Das Individualrisiko gibt an, mit welcher Häufigkeit ein Mensch in Folge eines Ereignisses geschädigt wird, wenn er sich eine entsprechend lange Zeit in einer Entfernung vom Freisetzungsort aufhalten würde. Die Person befindet sich nicht in einem Gebäude und ist nicht besonders gegen die Gefährdungen geschützt.

Das Individualrisiko PI berechnet sich nach Formel 41, wobei n die Anzahl der Szenarien und m die Anzahl der Wettersituationen ist. Das Individualrisiko wird für jeden Gitterpunkt berechnet.

110

P = E W W W

(41)

mit:

Ei [-] Eintrittshäufigkeit eines Szenarios und einer Stofffreisetzung mit anschließendem Brand, Explosion oder toxischer Gasausbreitung

Wj [-] Wahrscheinlichkeit einer Wettersituation (Windrichtung, Windgeschwindigkeit, Ausbreitungsklasse)

WZ [-] Wahrscheinlichkeit, dass die Gaswolke gezündet wird (bei toxischen Gasen ist Wz=1)

WS [-] Wahrscheinlichkeit, dass eine Person geschädigt wird

3.8.4 Gruppenrisiko

Das Gruppenrisiko gibt an, mit welcher Häufigkeit auf Grund eines Szenarios eine Anzahl N oder mehr Personen gleichzeitig geschädigt werden. Es wird dabei vorausgesetzt, dass ein Teil der Bevölkerung z. B. durch den Aufenthalt in einem Gebäude vor den Auswirkungen des Szenarios geschützt ist. Das Gruppenrisiko wird in einem F-N-Diagramm (in der Schweiz W-A-Diagramm) dargestellt, wobei N die Anzahl der geschädigten Personen und F die Summe der Häufigkeiten von Szenarien, die N oder mehr geschädigte Personen zur Folge haben, bedeuten.

Das Gruppenrisiko wird im Rahmen dieser Arbeit nicht verwendet. Prinzipiell kann es wie folgt berechnet werden:

Für ein Flächenelement des Rechengitters wird die Anzahl von Personen Np aus der Personendichte und der Fläche berechnet. Aus dem Anteil von Personen, die sich in Gebäuden aufhalten xin werden die Personenanzahlen in Gebäuden Nin berechnet.

N = x N (42)

Die Personenanzahl außerhalb von Gebäuden Nout berechnet sich nach

N = (1 − x )N (43)

Für ein Szenario (Index i) und eine Wettersituation (Index j) berechnet sich die Anzahl der geschädigten Personen Ni,j mit der Wahrscheinlichkeit, dass eine Person im Gebäude WSin oder im Freien WSout geschädigt wird, aus:

111

N , = W N + W N (44)

k ist hierbei die Anzahl aller Flächenelemente.

Die Häufigkeit fi,j eines Szenarios und der Wettersituation berechnet sich wie folgt:

f , = E W W (45)

mit:

Ei [-] Eintrittshäufigkeit eines Szenarios und einer Stofffreisetzung mit anschließendem Brand, Explosion oder toxischer Gasausbreitung

Wj [-] Wahrscheinlichkeit einer Wettersituation (Windrichtung, Windgeschwindigkeit, Ausbreitungsklasse)

WZ [-] Wahrscheinlichkeit, dass die Gaswolke gezündet wird (bei toxischen Gasen ist Wz=1)

Diese Berechnungen werden für alle Szenarien und Wettersituationen durchgeführt. Die F-N-Kurve wird dann durch Summation aller Eintrittshäufigkeiten der Szenarien mit einer Anzahl der geschädigten Personen ≥ N berechnet:

F = f , für N , ≥ N

(46)

Hierbei ist n die Anzahl der Szenarien und m die Anzahl der Wettersituationen.

3.9 Sicherheitsmanagementsystem

Das Sicherheitsmanagementsystem (SMS) als Bestandteil von Sicherheitsberichten beinhaltet die organisatorischen und managementspezifischen Regelungen von Betriebsbereichen. Nach heutiger Auffassung leistet das SMS neben der Anlagentechnik einen nicht zu vernachlässigenden Beitrag zum sicheren Betrieb verfahrenstechnischer Anlagen. Diese Sichtweise wird ebenfalls durch die Analyse der Unfälle der letzten Jahre bestätigt, deren Ursachen nach dem Leitfaden SFK-GS-31 (Rev.1) [131] größtenteils auf organisatorische und managementspezifische Unzulänglichkeiten zurückzuführen sind. Vor diesem Hintergrund wird

112

die Bedeutung eines leistungsfähigen SMS für die Verhinderung bzw. Reduzierung der Risiken schwerer Stör- und Unfälle ersichtlich.

Wesentliche Einflussfaktoren der Eintrittshäufigkeit der Stör- und Unfälle sind, wie die Diskussionen in den vorhergehenden Kapiteln zum Grund- und Betriebsrisiko zeigen, die Ausfalldaten von störfallverhindernde und -begrenzende Maßnahmen, wie z. B. Gaswarneinrichtungen, Prozessleittechnik, Berieselungsanlagen, bzw. Leckagehäufigkeiten der Anlagenkomponenten. Zusätzlich sind die Wahrscheinlichkeiten der menschlichen Fehlhandlungen ein nicht unbedeutender Parameter.

Den menschlichen Fehlhandlungen kann z. B. durch umfassende Schulungsmaßnahmen und Unterweisungen der Mitarbeiter und des Fremdpersonals sowie durch Arbeitsanweisungen, wie z. B. zum Umgang mit gefährlichen Stoffen und zum Verhalten bei Betriebsstörungen, entgegengewirkt werden. Außerdem können die Eintrittshäufigkeiten von Leckagen an Anlagenkomponenten oder das Ausfallverhalten von störfallverhindernden und -begrenzenden Maßnahmen durch fristgerecht wiederkehrende Prüfungen reduziert werden. Ein Beispiel hierfür stellt z. B. die Prüfung von Befüll- und Entleerschläuchen an TKW- und EKW-Stationen dar. Die in diesem Kontext vom Betreiber getroffenen Maßnahmen können das Anlagenrisiko beeinflussen und stellen darüber hinaus Grundsätze des SMS dar, die z. B. in den Schwerpunkten Organisation und Personal, Überwachung des Betriebes und der sicheren Durchführungen von Änderungen zu regeln und umzusetzen sind (siehe hierzu Anhang III der Störfall-Verordnung). Aus den genannten Gründen sollte die Leistungsfähigkeit des SMS in den Risikoberechnungen berücksichtigt werden.

Auf europäischer Ebene sind verschiedene Bewertungsverfahren veröffentlicht worden, wie z. B. Aramis [32] oder ISRS [132], die zumeist sehr komplex und zeitaufwendig sind. In Deutschland wurde das SMVP-Programm [133] als Hilfestellung zur Bewertung von SMS vom Landesamt für Natur, Umwelt, Verbraucherschutz Nordrhein-Westfalen entwickelt, das einzelne Prüfgebiete formuliert, die auf den Elementen des Anhangs III der Störfall-Verordnung beruht. Dieses Vorgehen wird im Wesentlichen in Acikalin [134] aufgegriffen. Die Umsetzung der Prüfgebiete wird mittels verschiedener Fragestellungen überprüft und mit einem Punktesytem bewertet, aus dem ein globaler Managementfaktor abgeleitet wird. Dieser Managementfaktor wird anschließend mit dem berechneten Anlagenrisiko multipliziert.

Der Vorteil dieses einfachen und pragmatischen Vorgehens liegt darin, dass es auf in Deutschland bekannte Ansätze zurückgreift, die z. B im Zusammenhang mit Inspektionen nach § 16 Störfall-Verordnung genutzt werden, was die Anwendbarkeit und die Akzeptanz erleichtert.

113

4 Anwendung der entwickelten Methodik zur Quantitativen Risikoanalyse an Beispielanlagen

4.1 Vorbemerkungen

In den weiterführenden Kapiteln wird die für Deutschland entwickelte Methodik zur Durchführung einer Quantitativen Risikoanalyse an Beispielanlagen getestet. Bei diesen Beispielanlagen handelt es sich um real existierende Anlagen, in denen mit brennbaren und/oder toxischen Stoffen umgegangen wird. Dabei wurden in der Industrie häufig auftretende Anlagentypen, wie z. B. eine Flüssiggaslagerbehälteranlage, eine Ammoniakkälteanlage und eine Produktionsanlage für toxische Stoffe, ausgewählt. Für diese Anlagen werden verschiedene Untersuchungen durchgeführt, wobei am Beispiel der Flüssiggaslagerbehälteranlage insbesondere die Einflussfaktoren einer QRA und die Praxistauglichkeit dieser Methode herausgearbeitet werden. Dagegen beschränken sich die Analysen der Ammoniakkälteanlage und der Produktionsanlage für toxische Stoffe auf schwerpunktmäßige Fragestellungen, wie z. B. die Bedeutung der sicherheitstechnischen Prüfungen nach § 29 a BImSchG oder die Wirksamkeit von störfallbegrenzenden Maßnahmen im Kontext einer QRA.

4.2 Flüssiggaslagerbehälteranlage

Für die Flüssiggasbehälteranlage (Flüssiggasanlage) werden verschiedene Risikoberechnungen mit unterschiedlichen Fragestellungen durchgeführt, wobei die folgenden Parameter die Berechnungsergebnisse wesentlich beeinflussen:

- Ausfalldaten- und Leckagehäufigkeiten der Anlagenteile, - Zündwahrscheinlichkeit, - Modellierung der Auswirkungsbetrachtungen, - Beurteilungskriterien.

Ziel dieser Berechnungen ist es zunächst, die vorgestellte Methodik im Vergleich zu den geforderten Sicherheitsabständen entsprechend der TRB 801 Nr. 25 Anlage [135] zu evaluieren. Im Anschluss daran werden durch weitere Berechnungen die Einflüsse der genannten Parameter auf die Ergebnisse der Risikoanalyse untersucht.

4.2.1 Beschreibung der Flüssiggasanlage

Bei der Flüssiggasanlage handelt es sich um eine Umschlaganlage für Flüssiggas nach DIN 51622 mit einer Lagermenge über 200 t (Gruppe D). Die Flüssiggasanlage ist im Außenbereich einer Gemeinde errichtet worden. Südlich des Betriebsgrundstücks befindet sich die Eisenbahntrasse, von der aus das Stichgleis auf das Betriebsgelände geführt wird. In nördlicher Richtung verläuft eine Kreisstraße. In direktem Anschluss daran sowie in östlicher Richtung sind landwirtschaftlich genutzte Flächen vorhanden. Westlich wird das Gelände durch einen weiteren Gewerbebetrieb begrenzt. Die nächstgelegene Wohnbebauung befindet sich in ca. 280 m in westliche Richtung.

114

Die Umschlaganlage besteht aus mehreren Anlagenteilen, die durch Rohrleitungen sowohl oberirdisch als auch unterirdisch miteinander verbunden sind. Im Einzelnen besteht die Anlage aus folgenden Komponenten:

- 7 erdgedeckte Flüssiggaslagerbehälter, - 2 Pumpen für Flüssiggas, - 1 Verdichter für Flüssiggas, - 2 Füllstellen zur Entladung von EKW (Vollschlauchsystem), - 1 Füllstelle zur Befüllung von TKW und - 1 Füllstelle zur Befüllung für Druckgasbehälter.

Weiterhin befinden sich auf dem Betriebsgelände neben einem Parkplatz sowie Sozial- und Büroräumen:

- 1 erdgedeckter Dieseltank und - 1 erdgedeckter Flüssiggaslagerbehälter zur Eigenversorgung.

Das Verfahren der Flüssiggasanlage lässt sich in die folgenden Grundoperationen gliedern:

- Entleerung der angelieferten EKW, - Lagern des Flüssiggases, - Umfüllung in TKW, - Abfüllen in Flaschen und - Lagerung der gefüllten Flaschen.

Das Gefahrenpotenzial einer Flüssiggasanlage besteht hauptsächlich in der Freisetzung von brennbarem Gas. Daher sind in der Flüssiggasanlage zur Verhinderung und Begrenzung von Freisetzungen Schutzeinrichtungen installiert. Eine detaillierte Beschreibung der Schutzeinrichtungen und der sonstigen für die Betriebssicherheit erforderlichen Einrichtungen ist Bestandteil des Sicherheitsberichts. Diese wurden der systematischen Gefahrenanalyse im Rahmen dieser Arbeit zu Grunde gelegt. Die Flüssiggasanlage erfüllt die sicherheitstechnischen Anforderungen der TRB 801 Nr. 25 Anlage [135].

4.2.2 Szenarienentwicklung der Flüssiggasanlage

Für die Flüssiggasanlage wurde die systematische Gefahrenanalyse auf der Basis des erweiterten Checklisten-Verfahrens durchgeführt. Hierfür wurde die Flüssiggasanlage in die sicherheitsrelevanten Anlagenteile Lagerbehälter, TKW-Station, EKW-Station, Pumpen- und Verdichterstation, Flaschenabfüllung, Flaschenlager und Lagerbehälter zur Eigenversorgung gegliedert, in denen z. B. auf Grund von Versagen oder Fehlfunktionen der Sicherheitseinrichtungen Gasfreisetzungen auftreten können. Dieser Schritt bildet den bisher in Deutschland etablierten deterministischen Ansatz zur sicherheitstechnischen Bewertung von Anlagen ab. Die Teilanlagen wurden auf diejenigen Gefahrenquellen hin analysiert, bei deren Wirksamwerden eine ernste Gefahr im Sinne der Störfall-Verordnung [1] auftreten kann. An

115

dieser Stelle wurde bereits zwischen den Gefahrenquellen unterschieden, die dem Grund- bzw. Betriebsrisiko zuzuordnen sind.

In einem weiteren Schritt erfolgte die Auswahl der Ereignisse, die mit Hilfe von Fehler- und Ereignisbäumen analysiert wurden. In den Fehlerbäumen wurden die störfallverhindernden Maßnahmen, wie z. B. die Redundanz von Füllstand- und Druckbegrenzer der Flüssiggaslagerbehälter, berücksichtigt, bei deren Versagen eine Gasfreisetzung nicht ausgeschlossen werden kann.

Anschließend wurden die Ereignisbäume erarbeitet, aus denen die Szenarien der QRA resultieren. Hierbei wurden die störfallbegrenzenden Maßnahmen, wie z. B. Rückschlagklappen, redundante Kugelhähne, Bodenventile oder die Gaswarnanlage, betrachtet.

Nach der Zusammenstellung der unerwünschten Ereignisse wurden ca. 49 Fehlerbäume für die Flüssiggasanlage erstellt. Nach Anwendung des Abschneidekriteriums für unerwünschte Ereignisse mit einer Eintrittshäufigkeit von < 10-8 [1/a] konnte die Anzahl für das Betriebsrisiko auf 16 reduziert werden (siehe Tabelle 60). Zusätzlich zu den unerwünschten Ereignissen des Betriebsrisikos sind die des Grundrisikos zu berechnen. Für die Leckagen aus Behältern, Rohrleitungen, Pumpen und Verdichtern wurden insgesamt 17 unerwünschte Ereignisse aufgestellt (siehe Tabelle 61 bis Tabelle 63).

Tabelle 60: Unerwünschte Ereignisse des Betriebsrisikos der Flüssiggasanlage

Nr. des unerwünschten

Ereignisses:

Beschreibung des Ereignisses

Auswirkungen Eintrittshäufigkeit [1/a]

EKW-Entladestation 1.2.1.1w5 Behälterleckage auf Grund

von Anfahren des EKW durch einen weiteren Zug

Flüssiggasfreisetzung (flüssig)

5,0*10-7

1.2.1.3w5 Behälterbersten auf Grund von Überfüllung des EKW beim Befüller und gleichzeitige Erwärmung


4,6*10-7

1.2.3.8w18 Freisetzung Flüssiggas über offene Entspannungsarmatur (DN 10)


4,5*10-4

1.2.3.9w49 Flanschleckage durch nicht sachgerechten Anschluss des Füllschlauchs

Flüssiggasfreisetzung (gasförmig)

2,7*10-8

TKW-Verladestation 1.3.3.1w51 Leckage durch Riss im

Entladeschlauch Flüssiggasfreisetzung (flüssig)

1,1*10-8

116

1.3.3.2w52 Schlauchabriss am TKW Flüssiggasfreisetzung (flüssig)

1,4*10-5


2,9*10-7


4,7*10-8

Pumpen- und Verdichterstation 1.6.1.1w37 Freisetzung Flüssiggas durch

Pumpenversagen bei druckseitig geschlossenen Armaturen


2,9*10-7

1.6.1.1w39 Freisetzung Flüssiggas durch Pumpenversagen bei saugseitig geschlossenen Armaturen


1,9*10-7

1.6.1.1w36 1.6.1.1w36-1

Freisetzung Flüssiggas durch Pumpenversagen (Flaschenfüllanlage) bei saugseitig geschlossenen Armaturen


2,7*10-6

1.6.2.2w43 Freisetzung Flüssiggas durch Verdichterversagen, Ansaugen von Flüssigphase bei z. B. überfülltem Lagerbehälter


3,0*10-6

1.6.2.2w44 1.6.2.2w47

Freisetzung Flüssiggas durch Verdichterversagen, Ansaugen von Flüssigphase bei z. B. überfülltem Lagerbehälter


5,2*10-8

1.6.2.3w45 Freisetzung Flüssiggas durch Verdichterversagen auf Grund von saugseitig geschlossenen Armaturen


1,8*10-6

Die Leckagehäufigkeiten an den EKW und TKW wurden in Abhängigkeit der Befüll- bzw. Entleerzeit gewichtet. Im Normalfall verlassen die Fahrzeuge nach dem Befüll- bzw. Entleervorgang zeitnah das Betriebsgelände, sodass eine anteilige Berechnung der Leckagehäufigkeit als sinnvoll erscheint (siehe auch Erläuterungen in Kapitel 3.5.1.4).

117

Tabelle 61: Unerwünschte Ereignisse des Grundrisikos der Flüssiggasanlage – Leckagen an Druckbehältern


Ereignisses:

Behälterleckagen Medium Leckdurchmesser/ Eintrittshäufigkeit

[1/a] LB1 7 Lagerbehälter als

Hühnengrab mit Erddeckung Flüssiggas 5 mm: 1*10-5

10 mm: 1*10-6 25 mm: 5*10-7

LB2 1 Lagerbehälter zur Eigenversorgung

Flüssiggas 5 mm: 1*10-5 10 mm: 1*10-6 25 mm: 5*10-7

EKW 1 Eisenbahnkesselwagen Flüssiggas 5 mm: 4,56*10-6 TKW 1 Tankwagen Flüssiggas 5 mm: 6,85*10-6

Die unerwünschten Ereignisse bzw. die Szenarien für die Gasphase führenden Rohrleitungen wurden in der Risikoberechnung der Flüssiggasanlage auf Grund der geringen Massenströme und den damit verbundenen geringen Auswirkungen vernachlässigt.

Tabelle 62: Unerwünschte Ereignisse des Grundrisikos der Flüssiggasanlage – Leckagen an Rohrleitungen und Schläuchen


Ereignisses:

Leckagen an Rohrleitung bzw.

Befüll-/Entleerschlauch

DN Länge Leckdurchmesser/ Eintrittshäufigkeit

[1/a]

FLK-Kat.3 Entnahmeleitung Flüssigphase

150 30 m 5 mm: 1,0*10-4 11 mm: 4,5*10-5

22 mm: 2,8 *10-5

FLK-Kat.2 TKW- und Flaschenfüllleitungen Flüssigphase

80 175 m 5 mm: 3,9*10-4 11 mm: 1,8*10-4

Schlauch TKW Ruhe

Schlauch TKW 80 6 m 9 mm: 1,9*10-6

Schlauch EKW Ruhe

Schlauch EKW 80 6 m 9 mm: 3,3*10-6

Für die Schläuche der TKW-Befüllung und EKW-Entleerung der Flüssiggasanlage (Vollschlauchsystem) wird für das Grundrisiko von einer Leckagehäufigkeit von 1*10-6 [1/a*m] ausgegangen.

Eine Zielstellung dieser Methodik war, die vorhandene Sicherheitstechnik der Anlagen abzubilden. Dazu gehört die Berücksichtigung der störfallbegrenzenden Maßnahmen auch im Grundrisiko der Schlauchleckagen. Da die störfallbegrenzenden Maßnahmen nur temporär und

118

zwar in der Betriebsphase (Befüllung/Entleerung) wirksam sind, z. B. Schließen von Ventilen, ist es notwendig, zwischen dem Ruhe- und Betriebszustand zu wichten. Auf Grund der Wichtung zwischen Ruhe- und Betriebsphase sowie der Berücksichtigung der störfallbegrenzenden Maßnahmen ergeben sich für die Szenarien der Betriebsphase sehr geringe Eintrittshäufigkeiten, sodass diese unter konsequenter Anwendung des Abschneidekriteriums nicht mehr in der QRA beachtet werden. Hierbei wird darauf hingewiesen, dass es sich um Szenarien mit einer Eintrittshäufigkeit von < 10-8 [1/a] handelt, deren Risikobeitrag sehr gering ist und die daher vernachlässigt werden können.

Bei den Leckagen des Grundrisikos der Pumpen- und Verdichter wird die Wichtung zwischen Ruhe- und Betriebsphasen der Flüssiggasanlage nicht übernommen, da die Szenarien der Ruhephase zu zu vernachlässigenden Auswirkungen, bedingt durch die geringen Freisetzungsmengen, führen. Es werden lediglich Szenarien der Betriebsphasen betrachtet.

Tabelle 63: Unerwünschte Ereignisse des Grundrisikos der Flüssiggasanlagen – Pumpen- und Verdichterleckagen


Ereignisses:

Leckagen an Pumpe oder Verdichter

Anschluss-nennweite

DN

Leckdurch-messer

Eintrittshäufigkeit [1/a]

P1 Pumpe TKW Befüllung

65 6,5 mm 8,2*10-8

P2 Pumpe Flaschenbefüllung

65 6,5 mm 8,2*10-8

V1 Kolbenverdichter 80 8,0 mm 4,4*10-5

Im Anhang 2 dieser Arbeit sind beispielhaft ein Fehler- und ein Ereignisbaum abgebildet. Da die Fehler- und Ereignisbäume real existierenden Anlagen entstammen und Betriebsgeheimnisse beinhalten, können diese nicht komplett in dieser Arbeit veröffentlicht werden. Nach entsprechender Geheimhaltungsvereinbarung und Rücksprache mit den jeweiligen Betreibern können diese im Prinzip zur Verfügung gestellt werden.

4.2.3 Auswirkungsbetrachtungen der Flüssiggasanlage

Bei Propan (C3H8) handelt es sich um ein hochentzündliches Schwergas mit einer unteren bzw. oberen Explosionsgrenze von 1,7 Vol-% bzw. 10,8 Vol-% und einer Zündtemperatur von 470 °C. Daraus resultieren für die Auswirkungsbetrachtungen hauptsächlich Brand- und Explosionsszenarien, die mit bekannten Modellen, wie sie z. B. auch im Leitfaden KAS-18 [24] verwendet wurden, berechnet werden.

Für die Schwergasausbreitung wird die VDI-Richtlinie Blatt 2 [23] herangezogen, wobei in Abhängigkeit der Bebauungssituation unterschiedliche Ausbreitungsgebiete gewählt wurden. Außerdem wird als Erweiterung der VDI-Richtlinie 3783 Blatt 2 die Windgeschwindigkeit berücksichtigt.

119

Der maximale Explosionsüberdruck in der Umgebung der Flüssiggasanlage wird mit dem Multi-Energie-Modell [91] berechnet. Auf Grund der Verdämmung der Gaswolke im Bereich der Pumpen- und Verdichterstation durch das Hühnengrab, der geringen Zündenergie und der Verblockung wird von der Explosionsklasse 5 ausgegangen. Bei den weiteren Berechnungen im restlichen Betriebsbereich wird die Explosionsklasse 3 angenommen. Zusätzlich wird davon ausgegangen, dass ein Brand im Falle einer Lachenbildung eintritt. Dabei wird die Zündwahrscheinlichkeit mit dem erweiterten Modell nach Daycock und die Wärmestrahlung mit dem Modell OSRAMO II [92], [93], [97] berechnet.

Für den betrachteten Standort der Flüssiggasanlage konnte dem Sicherheitsbericht keine Windverteilung entnommen werden. Demzufolge wurden die Berechnungen auf der Basis einer beispielhaften Windrose durchgeführt. In der Abbildung 26 sind die über die drei Ausbreitungsklassen gemittelten Häufigkeitsverteilung dargestellt. Die maximale rel. Häufigkeit einer Wettersituation (Windrichtung, Windgeschwindigkeit, Ausbreitungsklasse) beträgt ca. 1 %. Die Summation aller relativen Häufigkeiten für eine Windrichtung erreicht bei der am häufigsten auftretenden indifferenten Temperaturschichtung einen Wert von ca. 4 %. Wird über alle Ausbreitungsklassen für eine Windrichtung summiert, so wird ein Maximalwert von ca. 5 % erreicht. Zudem ist in der Abbildung 27 die Windgeschwindigkeitsverteilung für diesen Standort dargestellt.

Abbildung 26: Häufigkeitsverteilung der Winde für den Standort der Flüssiggasanlage

Abbildung 27: Geschwindigkeitsverteilung der Winde für den Standort der Flüssiggasanlage

120

4.2.4 Ermittlung des Anlagenrisikos der Flüssiggasanlage

4.2.4.1 Anlagenrisiko im Vergleich zum Sicherheitsabstand nach TRB 801 Nr. 25 Anlage

In der ersten Berechnung wurde der Vergleich des Anlagenrisikos der Flüssiggasanlage mit dem Sicherheitsabstand nach TRB 801 Nr. 25 Anlage [135] durchgeführt, um die entwickelte Methodik zu evaluieren.

Der Sicherheitsabstand nach der TRB 801 Nr. 25 Anlage [135] berechnet sich nach der VDI-Richtlinie 3783 Blatt 2 [23] aus der ungünstigsten Ausbreitungssituation, bei der die untere Zünddistanz des Gas-Luft-Gemisches unterschritten wird. Daraus lässt sich ableiten, dass Personen, die sich innerhalb der Gaswolke befinden, also der unteren Zünddistanz, durch Erstickung oder durch die Zündung der Gaswolke den Tod finden würden. Für die Risikoermittlung werden zusätzlich neben diesem Kriterium, in Anlehnung an den Leitfaden KAS-18 [24], für die Beurteilung der Wärmestrahlung der Grenzwert von 1,6 kW/m2 und für die Druckeinwirkungen der Grenzwert von 0,1 bar verwendet. Im Vergleich der Beurteilungskriterien des Sicherheitsabstandes und der Risikoberechnung untereinander ist festzustellen, dass die Risikoberechnung mit stringenteren Beurteilungskriterien durchgeführt wird und somit eine konservativere Betrachtung darstellt.

In einem ersten Schritt wurde das Grundrisiko der Flüssiggasanlage auf der Basis der in dieser Arbeit entwickelten Module, wie z. B. das weiterentwickelte Zündwahrscheinlichkeitsmodell nach Daycock, berechnet, welches in der folgenden Abbildung dargestellt ist.

Abbildung 28: Grundrisiko der Flüssiggasanlage [1/a]

121

Alle Abbildungen dieser Arbeit sind nach Norden ausgerichtet. Die abgebildeten Risikokonturen des Grundrisikos umfassen einen Bereich von 5*10-6 bis 1*10-7 [1/a], wobei die Berechnung einen maximalen Risikowert von ca. 5,6*10-5 [1/a] ergab. Erwartungsgemäß konzentrieren sich die Risiken im Bereich der Lagerbehälter sowie der EKW- und TKW-Station. Ursache dafür ist die Überlagerung der Szenarien der Druckbehälter (Lagerbehälter, EKW und TKW) und der Schlauchszenarien der EKW- und TKW-Stationen, die zu einer Addition der einzelnen Risiken führt. Die leichte Ausbreitung der Risikokonturen in nördliche Richtung ist auf die angegebene Häufigkeitsverteilung der Winde für diesen Standort zurückzuführen. Ursache für die deutlichere Ausbreitung in süd-östliche Richtung ist dagegen der Einfluss der Windgeschwindigkeit, der über den in [94] beschriebenen Windfaktor abgebildet wird. Zusätzlich zur Windverteilung ist das unterschiedliche Ausbreitungsverhalten der Schwergaswolke in Abhängigkeit der Bebauungssituation von Bedeutung. Dies wird durch die VDI-Richtlinie 3783 Blatt 2 [23] berücksichtigt, was gegenüber anderen Ausbreitungsmodellen vorteilhaft ist.

In einem weiteren Schritt wurde das Betriebsrisiko der Anlage ermittelt. Die Risikokonturen des Betriebsrisikos der Flüssiggasanlage sind in der Abbildung 29 dargestellt. Das maximale Betriebsrisiko beträgt ca. 2,4*10-4 [1/a] und ist damit ca. eine Zehnerpotenz größer als das Grundrisiko. Ausschlaggebend dafür ist, dass während des Betriebes der Flüssiggasanlage wesentlich mehr Fehlermöglichkeiten bestehen als im Vergleich zum Grundrisiko. Die Berechnungsergebnisse bestätigen somit die Erfahrungen der Praxis, dass es insbesondere bei den Befüll- und Entleervorgängen an den TKW- und EKW-Stationen störungsbedingt zu Gasfreisetzungen auf Grund von menschlichen Fehlern kommen kann.

Abbildung 29: Betriebsrisiko der Flüssiggasanlage [1/a]

122

Das Gesamtrisiko der Flüssiggasanlage (Abbildung 30) berechnet sich aus der Addition des Grund- und Betriebsrisikos. Die dargestellten Risikokonturen umfassen einen Bereich von 5*10-6 bis 1*10-7 [1/a], wobei festzustellen ist, dass an der Grenze des Betriebsbereiches im Wesentlichen ein Risiko von ca. 5*10-6 [1/a] nicht überschritten wird.

Abbildung 30: Anlagenrisiko (gesamt) der Flüssiggasanlage [1/a]

Es stellt sich die Frage, wie der Risikowert von ca. 5*10-6 [1/a] in Bezug zu bestehenden Anlagen in Deutschland einzuordnen ist. Eine Zielsetzung dieser Arbeit ist die Entwicklung einer praxisorientierten Vorgehensweise zur Durchführung einer QRA, die durch die Kombination Methodik / Risikogrenzwert den Stand der Sicherheitstechnik in Deutschland abbildet. Hieraus muss resultieren, dass aus internationaler Sicht das Anlagenrisiko der genehmigten Anlagen in Deutschland akzeptabel ist. Eine Bewertungsgrundlage hierzu bietet der in Deutschland entsprechend des technischen Regelwerkes, insbesondere der TRB 801 Nr. 25 Anlage [135], einzuhaltende Sicherheitsabstand zwischen Flüssiggasanlagen und Schutzobjekten. Dieser Sicherheitsabstand soll gewährleisten, dass bei Abweichung vom bestimmungsgemäßen Betrieb

123

keine Gefährdungen für Schutzobjekte durch die Auswirkungen einer Gaswolkenexplosion entstehen. Schutzobjekte sind dabei z. B. Wohngebäude, betriebsfremde Anlagen, Gebäude und Einrichtungen außerhalb und innerhalb des Werkgeländes, in denen sich dauernd oder regelmäßig Menschen aufhalten, und öffentliche Verkehrswege.

Nach Abschnitt 7.1.23 der TRB 801 Nr. 25 Anlage [135] wurden auf der Grundlage der anlagentechnischen Gegebenheiten Sicherheitsabstände von den lösbaren Verbindungen der Anlage, insbesondere der Entnahmeleitung der Lagerbehälter und der EKW-Station, zu Schutzobjekten von ca. 93 m bzw. 51 m berechnet, die in der Abbildung 30 als schwarze Kreise eingetragen wurden.

Dieser Abbildung ist zu entnehmen, dass sich die Risikokontur 5*10-6 [1/a] im Wesentlichen innerhalb des Kreises befindet und man somit davon ausgehen kann, dass der Sicherheitsabstand nach TRB 801 Nr. 25 Anlage für diese Anlage mindestens einen Risikowert 5*10-6 [1/a] abdeckt. Auf Grund der ähnlichen Bauformen sowie der Einhaltung von sicherheitstechnischen Anforderungen bei Errichtung und Betrieb von Flüssiggasanlagen kann dieses Ergebnis im Prinzip auf andere Anlagentypen bzw. Gruppen von Flüssiggasanlagen übertragen werden. Außerdem handelt es sich bei der betrachteten Anlage um eine Umschlagsanlage der Gruppe D, bei der im Vergleich z. B. zur der Gruppe B ein höheres Gefahrenpotenzial besteht.

In Bezug zur vorgestellten Methodik der QRA kann deshalb geschlussfolgert werden, dass der erstellte Datensatz in Kombination mit dem weiterentwickelten Zündwahrscheinlichkeitsmodell von Daycock zu plausiblen Ergebnissen führt. Das mit dieser Methodik ermittelte Risiko entspricht somit dem akzeptierten Risiko in Deutschland, das von einer Flüssiggasanlage ausgeht. Weiterhin ergibt der Vergleich des ermittelten Risikos mit den Anforderungen an den Sicherheitsabstand gemäß Technischem Regelwerk einen im Zusammenhang zu international verwendeten Risikogrenzwerten akzeptablen Wert. Insofern kann der erarbeitete Datensatz der Methodik der QRA sowie der weiterentwickelte Ansatz des Zündwahrscheinlichkeitsmodells nach Daycock für die folgenden Berechnungen verwendet werden.

4.2.4.2 Einfluss der Zündwahrscheinlichkeit auf das Anlagenrisiko

In der Flüssiggasanlage werden brennbare Stoffe gelagert und umgeschlagen. Demzufolge ist die Zündwahrscheinlichkeit im Fall einer Freisetzung dieser brennbaren Stoffe ein relevanter Parameter, der in der Risikoermittlung zu berücksichtigen ist. Das Anlagenrisiko (Abbildung 30) wurde auf der Basis des in dieser Arbeit weiterentwickelten Ansatzes zur Berechnung der Zündwahrscheinlichkeit von Daycock berechnet. Es stellt sich die Frage, inwiefern die Verwendung dieses Ansatzes auf der Basis der verschiedenen Nutzungstypen des Betriebsgeländes das Risiko beeinflusst. Vor diesem Hintergrund wurde eine Vergleichsrechnung mit dem einfachen massestrombasierten Ansatz zur Zündwahrscheinlichkeit nach Cox (siehe Beschreibung in Drewitz [111]) durchgeführt, deren Ergebnis in der Abbildung 31 dargestellt ist.

124

Abbildung 31: Anlagenrisiko der Flüssiggasanlage [1/a] unter Verwendung des Zündwahrscheinlichkeitsmodells von Cox

Anhand der Abbildung 31 ist festzustellen, dass sich der Verlauf der Risikokonturen im Bereich von 5*10-6 bis 1*10-7 [1/a] insbesondere in der Ausdehnung deutlich verändert hat. Die Ausdehnungen der Risikokonturen auf der Basis des in dieser Arbeit entwickelten Zündwahrscheinlichkeitsansatzes (siehe Abbildung 30) sind gegenüber den Berechnungen mit dem Modell nach Cox [112] größer. Diese Aussage ist auch in Bezug zu anderen Modellen übertragbar (siehe auch Drewitz [111]). Dies erscheint jedoch vor dem Hintergrund der detaillierten Erfassung der Nutzungstypen auf dem Betriebsgelände der Flüssiggasanlage, wie z. B. dem Parkplatz, der Straße und der Eisenbahntrasse, und der damit einhergehenden Zündquellenbetrachtung plausibler. Zudem werden mit dem weiterentwickelten Ansatz die Zoneneinteilungen explosionsgefährdeter Bereiche entsprechend der BetrSichV [117] in der QRA abgebildet, was letztendlich eine detailliertere und konservativere Beurteilung der Situation, als es z. B. mit dem Modell von Cox möglich wäre, darstellt.

4.2.4.3 Einfluss der Zündwilligkeit brennbarer Stoffe auf das Anlagenrisiko

Die Zündwahrscheinlichkeit brennbarer Stoffe wird nicht unerheblich von der Zündwilligkeit beeinflusst, die eine stoffspezifische Eigenschaft darstellt. Diese wird im Daycock-Modell [52] nicht berücksichtigt. Daher wurde der Zündwahrscheinlichkeitsansatz von Daycock ergänzt, wobei die Zündwilligkeit brennbarer Stoffe auf der Grundlage der jeweiligen Temperaturklasse und Explosionsgruppe berücksichtigt wird.

Vor diesem Hintergrund stellt sich die Frage, ob der in der Abbildung 25 Kapitel 3.7.2 dargestellte Einfluss der Zündwilligkeit auf die Zündwahrscheinlichkeit ebenfalls in einer QRA festzustellen

125

ist. Deshalb wird eine Berechnung durchgeführt, wobei die stoffspezifischen Parameter der Temperaturklasse und Explosionsgruppe von Propan nicht berücksichtigt werden. Das Ergebnis dieser Berechnung ist Abbildung 32 zu entnehmen.

Abbildung 32: Anlagenrisiko der Flüssiggasanlage [1/a] ohne stoffspezifische Unterscheidung

Die Risikokonturen verfügen über eine größere Ausdehnungen als die in Abbildung 30. Dies ist in erster Linie darauf zurückzuführen, dass es sich bei Propan um einen eher zündunwilligen Stoff handelt mit einer hohen Zündtemperatur (T1) und einer geringeren Zündfähigkeit, die sich aus der Explosionsgruppe IIA ergibt. Wird der Zündwilligkeitsfaktor FZW nicht angewendet, so bleibt dieser Einfluss unberücksichtigt. Dies kann letztendlich zur Überschätzung der Zündwahrscheinlichkeit und damit des Anlagenrisikos führen.

Folglich lassen sich mit Hilfe des Zündwilligkeitsfaktors FZW deutliche und plausible Unterschiede in der Zündwahrscheinlichkeit brennbarer Stoffe abbilden. Die Risikokontur 5*10-6 [1/a] verläuft somit größtenteils auf dem Betriebsgelände, was im Vergleich mit den Sicherheitsabständen nach TRB 801 Nr. 25 eine bessere Übereinstimmung liefert (siehe Abbildung 30). Außerdem können vergleichende Betrachtungen in Bezug zur Zündwahrscheinlichkeit z. B. gleicher Anlagentypen mit verschiedenen Stoffen durchgeführt werden. Dies führt zu einer besseren Differenzierbarkeit und Auflösungen in den Risikoermittlungen, was mit dem Modell nach Daycock und den einfachen massestrombasierten Modellen nicht zu leisten ist.

Zusammenfassend lässt sich aus den vorliegenden Ergebnissen ableiten, dass die getroffenen Annahmen plausibel sind. Die Weiterentwicklung des Modells von Daycock war aus ingenieurtechnischer Sicht erforderlich und praxisrelevant. Dadurch wird das weiterentwickelte Modell von Daycock in die zu erarbeitende Methodik einer QRA für Deutschland integriert, wobei

126

es flexibel in der Anwendung für unterschiedliche Anlagentypen, verwendete Stoffe und Umgebungssituation als im Vergleich z. B. zum Modell von Cox bei gleichzeitig konservativerer Beurteilung der Fragestellungen ist.

4.2.4.4 Einfluss der störfallbegrenzenden Maßnahmen auf das Anlagenrisiko

Eine weitere Stärke des Zündwahrscheinlichkeitsansatzes dieser Arbeit liegt darin, dass auf dessen Grundlage eine Bewertung der störfallbegrenzenden Maßnahmen möglich ist.

In Kapitel 3.6 dieser Arbeit wird ausgeführt, dass die Kontaktzeit zwischen brennbarem Gas und Zündquelle ein wesentlicher Faktor bei der Berechnung der Zündwahrscheinlichkeit ist, die durch störfallbegrenzende Maßnahmen beeinflusst werden kann. Werden im Fall einer Gasfreisetzung durch die Feuerwehr z. B. Hydroschilder zur Verringerung der Gaskonzentration aufgestellt [136] [123] oder Lachen mit Schaum abgedeckt [122], so können die Auswirkungen der Störfälle (Beaufschlagungsdauer, Fläche) und somit auch die Zündwahrscheinlichkeit verringert werden.

Ausgehend von der Annahme, dass die Feuerwehr nach ca. 15 min nach der Alarmierung vor Ort ist und nach weiteren 5 min mit der Einleitung störfallbegrenzender Maßnahmen beginnen kann, ist im vorliegenden Fall nur eine sehr geringe Risikoreduzierung erreicht worden (siehe Abbildung 33). Eine Erklärung dafür ist, dass bedingt durch die Anlagenkonzeption für viele Szenarien nur begrenzte Stoffmengen über eine kurze Zeit freigesetzt werden. Das Eingreifen der Feuerwehr, das oftmals in den Sicherheitsberichten als störfallbegrenzende Maßnahme beschrieben wird, ist somit kritisch zu hinterfragen. Werden dagegen, wie in Abbildung 34 dargestellt, störfallbegrenzende Maßnahmen durch das Betriebspersonal nach ca. 5 min eingeleitet, ist eine deutlichere Verringerung des Anlagenrisikos, insbesondere im Bereich der EKW-Verladestation (rote Risikokontur), festzustellen.

Durch den Einsatz der QRA kann die Wirksamkeit der störfallbegrenzenden Maßnahmen quantifiziert und damit durch den Betreiber beurteilt werden.

127

Abbildung 33: Anlagenrisiko der Flüssiggasanlage [1/a] unter Berücksichtigung der störfallbe-grenzenden Maßnahmen durch die Feuerwehr

Abbildung 34: Anlagenrisiko der Flüssiggasanlage [1/a] unter Berücksichtigung der störfallbe-grenzenden Maßnahmen durch das Betriebspersonal

5E-061E-061E-07

5E-061E-061E-07

128

4.2.4.5 Einfluss der oberirdischen und unterirdischen Rohrleitungsführung auf das Anlagenrisiko

Eine Anwendungsmöglichkeit der QRA besteht in der sicherheitstechnischen Bewertung von Auslegungsalternativen einer verfahrenstechnischen Anlage. In der Regel sind die Flüssiggaslagerbehälter und die Rohrleitungen aus Gründen des Brand- und Explosionsschutzes mit einer Erddeckung versehen bzw. unterirdisch verlegt worden, so auch in der betrachteten Flüssiggasanlage. In diesem Zusammenhang soll untersucht werden, wie sich im Gegensatz dazu eine oberirdische Rohrleitungsführung auf das Anlagenrisiko auswirken würde. Das Berechnungsergebnis kann der nachfolgenden Abbildung 35 entnommen werden.

Abbildung 35: Anlagenrisiko der Flüssiggasanlage [1/a] mit oberirdischer Rohrleitungsführung

Im Vergleich zur Abbildung 30 ergeben sich größere Ausdehnungen der Risikokonturen. Eine Erklärung dafür ist, dass infolge der oberirdischen Rohrleitungsführung sich die den Berechnungen zu Grunde liegenden Szenarien für die Auswirkungsbetrachtungen geändert haben. Bei der unterirdischen Rohrleitungsführung tritt das Flüssiggas im Fall einer Leckage gasförmig diffus aus dem Boden aus und es wird keine Lachenbildung mit anschließendem Lachenbrand vorausgesetzt. Dies ist jedoch bei den unterstellten Szenarien der oberirdischen Rohrleitungsführung der Fall.

Nicht selten gehen mit der oberirdischen Rohrleitungsführung Rohrleitungsbrücken einher. Deshalb wird in der nachfolgenden Berechnung zusätzlich angenommen, dass drei Rohrleitungsbrücken, zwei im Bereich der TKW-Station und des Hühnengrabes und eine im Bereich der EKW-Station vorhanden sind. Vor diesem Hintergrund ergeben sich die in der Abbildung 36 aufgezeigten Risikokonturen.

5E-061E-061E-07

129

Abbildung 36: Anlagenrisiko der Flüssiggasanlage [1/a] mit oberirdischer Rohrleitungsführung und Rohrleitungsbrücken

Auffällig ist, dass die Risikokonturen einen eher kreisförmigen Verlauf im Vergleich zu der Abbildung 30 bis Abbildung 32 aufweisen. Zudem sind die Ausdehnungen wesentlich größer als in den übrigen durchgeführten Berechnungen.

In dieser Risikoberechnung wurden zusätzlich Szenarien betrachtet, die sich aus dem Anfahren der Rohrleitungsbrücken oder Bautätigkeiten, insbesondere durch herabfallende Teile, ergeben könnten. Da hier sehr große Massenströme in kurzer Zeit freigesetzt werden, ergeben sich große Flüssiggaslachen, die nach Zündung zu Lachenbränden führen. Durch die großen Branddurchmesser bis teilweise 78 m ergeben sich Gefährdungsbereiche mit einem Radius von ca. 160 m bis zum Erreichen des Grenzwertes von 1,6 kW/m2. Maßgeblich hierfür sind die 3 Szenarien, die aus dem Anfahren der Rohrleitungsbrücken resultieren. Dieses Berechnungsergebnis erscheint diskussionswürdig.

Bei der Modellierung dieser Szenarien wurde davon ausgegangen, dass ein Massenstrom von 404 kg/s Propan für 2 s freigesetzt wird, der auf Grund eines 2F-Bruchs durch Anfahren einer Rohrleitung an der TKW-Station entstehen kann. Nach Austritt des Massenstroms bildet sich eine Lache, die sich bis zur minimalen Schichthöhe in Abhängigkeit des Bodenmaterials bis zur maximalen Größe ausbreitet. Diese wird entzündet und es entsteht ein Lachenbrand.

In einer ersten konservativen Herangehensweise wurde ein Modellansatz verwendet, der den maximalen Branddurchmesser aus dem Gleichgewicht zwischen zuströmenden Massenstrom

5E-061E-061E-07

130

und der Abbrandrate errechnet. Dieser wird benötigt, um den aus der Flammenfläche übertragenen Wärmestrom zu ermitteln. Die Flammenfläche wird dabei aus dem Flammendurchmesser, also dem max. Branddurchmesser und der zeitlich gemittelten Flammenhöhe, gebildet [94]. Da es sich im vorliegenden Fall um eine spontane Freisetzung handelt, kann sich kein Gleichgewicht zwischen zuströmenden Massenstrom und der Abbrandrate einstellen. Der zur Berechnung der Flammengeometrie verwendete Branddurchmesser ist somit sehr groß und führt zu einer Brandfläche von ca. 4000 m2. Diese Betrachtungsweise der Szenarien der Rohrleitungsabrisse führt zu sehr konservativen Ergebnissen, die die restlichen Ergebnisse der QRA überlagern. Demzufolge ergeben sich unrealistische Risikokonturen, die die Gesamtaussage der QRA verfälschen.

Im Unterschied dazu kann sich ein Gleichgewichtszustand zwischen Massenstrom und Abbrandrate bei einer kontinuierlichen Freisetzung einstellen, wie es bei den übrigen Szenarien der QRA der Fall ist. Hierbei ist die beschriebene Herangehensweise korrekt.

Die spontane Freisetzung eines brennbaren Stoffs mit Lachenbildung und anschließendem Lachenbrand erfordert offensichtlich eine andere Modellierung. Kommt es zu einer Stofffreisetzung, so wächst die Lache bis zur maximalen Größe an. Bei einer spontanen Freisetzung erfolgt dieser Vorgang sehr schnell. Durch die Verdampfung der Lache wird die Masse in der Lache mit der Folge reduziert, dass sich die Lache schnell verkleinert. Ausschlaggebend für den Verdampfungsmassenstrom ist die zugeführte Wärmemenge aus dem Boden, der Sonneneinstrahlung und der Umgebung. Hat sich der Boden und die Umgebung abgekühlt, sinkt auch der Verdampfungsmassenstrom. Diese zeitliche Entwicklung der Lachengröße und des Verdampfungsmassenstroms hat Einfluss auf die Zündwahrscheinlichkeit der Lache. Für die Berechnung der Zündwahrscheinlichkeit sind neben den Zündquellenparametern die mit brennbarem Gas beaufschlagte Fläche und die Zeitdauer des Kontaktes zwischen Gas und Zündquelle ausschlaggebend. Mit zunehmender Zeit und Größe der beaufschlagten Fläche durch das brennbare Medium steigt deshalb die Zündwahrscheinlichkeit. Im Gegensatz dazu ergibt sich eine geringere Zündwahrscheinlichkeit bei einer kleineren beaufschlagten Fläche. Aus diesem Grund müsste zur optimalen Modellierung dieser Fragestellung ein Modell bestehend aus einer instationären Lachenverdunstung bzw. -verdampfung, kombiniert mit einem Zündwahrscheinlichkeitsmodell, verwendet werden, um zu verschiedenen Zeitpunkten die Lachengröße und die Zündwahrscheinlichkeit berechnen zu können. Ein derartiges Berechnungsmodell liegt zurzeit nicht vor. Die Entwicklung eines solchen Berechnungsmodells sollte Gegenstand weiterer Arbeiten sein.

Um für dieses Modellierungsproblem in einem ersten Schritt eine Lösung zu bieten, kann der Branddurchmesser mit Hilfe des Lachenradiuses, der über eine instationäre Verdampfungsberechnung ermittelt wird, bestimmt werden. Grundgedanke dieser Vorgehensweise ist, dass der Branddurchmesser nicht größer sein kann als der Lachendurchmesser, abgesehen vom Windeinfluss, der den Branddurchmesser um einige Meter vergrößern kann. Das ist eine konservative Herangehensweise, da der Branddurchmesser auf

131

Grund der größeren Abbrandrate im Vergleich zum Verdampfungsmassenstrom eher kleiner sein wird.

In der Abbildung 37 ist der Radius für eine Propanlache mit einem Massenstrom von 404 kg/s für 2 s (Rohrabriss TKW-Station) dargestellt. Wie der Abbildung 37 zu entnehmen ist, ergibt sich ein Lachenradius von maximal 10 m. Wird diese Lache gezündet, kann sich demnach ein maximaler Branddurchmesser von 20 m ergeben. Unterschiedliche Zündzeitpunkte können nicht betrachtet werden. Dies wäre Bestandteil des neu zu entwickelnden Brandmodells für spontane Stofffreisetzungen. Würde die Lache z. B. nach 10 s bzw. 160 s gezündet werden, ergäbe sich ein kleinerer Branddurchmesser. Im Kontext einer konservativen Modellierung wird daher der maximale Lachendurchmesser als Branddurchmesser verwendet.

Abbildung 37: Radius einer Propanlache, Massenstrom: 404 kg/s für 2 s

In diesem Zusammenhang stellt sich die Frage, welchen Einfluss der Zündzeitpunkt der Lache auf die Brandmodellierung, insbesondere die Branddauer, ausübt.

Die Branddauer einer Lache ist ein wichtiger Parameter in Bezug zu den verwendeten Beurteilungskriterien, insbesondere bei der Verwendung der Probit-Funktionen. Sie ergibt sich, indem die Schichthöhe der Lache durch die Abbrandgeschwindigkeit dividiert wird. Während bei der Verwendung von Grenzwerten als Beurteilungskriterium die Branddauer keinen Einfluss ausübt, sondern nur die Wärmestrahlung, fließt die Branddauer in die Berechnung der

132

Wärmedosen der Probit-Funktionen ein. Dieser Zusammenhang soll am Beispiel des Rohrleitungsabrisses an der TKW-Station kurz verdeutlicht werden.

Aus dem Brandszenario des Rohrleitungsabrisses an der TKW-Station resultiert zwar eine große Brandfläche von ca. 200 m2, die sich aus dem Branddurchmesser, ermittelt über die instationäre Verdampfungsberechnung, und der Flammenhöhe berechnet. Bei einer Schichthöhe von 5 mm (Beton) ergibt sich eine Branddauer von nur ca. 15 s. Die entstehende Wärmestrahlungsstärke erreicht nur im Nahbereich des Brandes die untere Grenze für eine Verbrennung 2. Grades, die als Beginn irreversibler Schäden angesehen werden kann, unabhängig von der Branddauer. Im Gegensatz dazu ergeben sich bei der Verwendung von Dosis-Wirkungs-Beziehungen durchaus Todeswahrscheinlichkeiten bis zu einem Abstand von 25 m, was die Frage aufwirft, ob die Verwendung von Grenzwerten bei sehr kurzen Branddauern überhaupt sinnvoll ist. Eventuell werden die Auswirkungen unterschätzt. Die Untersuchungen zum Einfluss der Beurteilungskriterien im Bezug zu Brandauswirkungen werden im Kapitel 4.2.4.6 vertieft.

Bei einer spontanen Propanfreisetzung erreicht die Lache binnen weniger Sekunden, beim Beispiel des Rohrleitungsabrisses innerhalb von 20 s, ihre maximale Größe bei einer minimalen Schichthöhe (siehe auch Abbildung 37). Wird von einer sofortigen Zündung ausgegangen (< 20 s), so hat die Lache noch nicht ihre maximale Größe erreicht und die minimale Schichthöhe hat sich noch nicht eingestellt. Dies führt zu einer längeren Branddauer im Vergleich zu einer verzögerten Zündung, da hier die minimale Schichthöhe bei maximaler Ausdehnung bereits vorliegt. Zudem ist bei einer verzögerten Zündung ein Großteil des brennbaren Materials verdampft, der Lachendurchmesser entsprechend gering. Eventuell hat sich die Lache bereits aufgelöst.

Bei einer kontinuierlichen Freisetzung ergibt sich ein ähnlicher Zusammenhang. Wird bei einer kontinuierlichen Freisetzung die Zündung der Lache am Ende der Freisetzung unterstellt, so hat sich die Lache ebenfalls bis zu ihrer maximalen Lachengröße bei einer minimalen Schichthöhe ausgedehnt. Hier ergäbe sich bei einer Schichthöhe von 5 mm (Beton) und der Abbrandgeschwindigkeit von Propan (siehe Tabelle 64) eine Branddauer von 15 s. Wird dagegen eine sofortige Entzündung der Lache zu Beginn der Freisetzung vorrausgesetzt, so fließt der gesamte zu betrachtende Massenstrom noch in die Lache und die minimale Schichtdicke wäre noch nicht erreicht. Unter der Annahme, dass der zugeführte Massenstrom ungefähr der Abbrandrate entspricht, würde sich ein Gleichgewicht einstellen, was zu einer längeren Branddauer führen kann.

Tabelle 64: Vergleich Branddauer [s] zu verschiedenen Zündzeitpunkten

Zündung Lachenhöhe [mm] Abbrandgeschwindigkeit Propan [m/s]

Branddauer [s]

sofort 10 3,3150*10-4 30 verzögert 5 3,3150*10-4 15

133

Deshalb wird bei Lachen brennbarer Stoffe von einer sofortigen Zündung ausgegangen, da dies insbesondere im Zusammenhang mit der längeren Branddauer bei der Verwendung der Probit-Funktionen zu konservativeren Ergebnissen führt.

Vor dem Hintergrund dieser Überlegungen und Diskussionen wurde eine weitere Risikoberechnung durchgeführt. Für diese Berechnung wurden die Durchmesser der Lachen der Rohrbrückenabrisse an der TKW- und EKW-Station über eine instationäre Verdampfungsberechnung ermittelt, die 20 m (TKW-Station) und 8 m (EKW-Station) betragen und für die Branddurchmesser zu Grunde gelegt wurden. Wie der Abbildung 38 zu entnehmen ist, verfügen die Risikokonturen über eine geringere Ausdehnung als in der Abbildung 36. Dies ist auf die verringerten Gefährdungsbereiche der Rohrabrisse mit einem Radius von ca. 80 m (TKW-Station) bis zum Erreichen des Grenzwertes von 1,6 kW/m2 zurückzuführen.

Abbildung 38: Anlagenrisiko der Flüssiggasanlage [1/a] mit oberirdischer Rohrleitungsführung und -brücken, Branddurchmesser berechnet über Verdampfungsberechnung

Wie das Berechnungsergebnis der Abbildung 38 zeigt, ist der Einfluss der Brandszenarien auf das Anlagenrisiko nicht unerheblich. Besonderes Augenmerk gilt dabei der Modellierung insbesondere der großen Lachenbrände spontaner Freisetzungen brennbarer Stoffe. Demzufolge wird vorgeschlagen, den Durchmesser dieser Brände über eine instationäre Verdampfungs- oder Verdunstungsberechnung zu ermitteln.

Außerdem ist festzuhalten, dass dem Betreiber mit der entwickelten Methodik zur QRA ein Werkzeug zur Verfügung gestellt wird, auf dessen Grundlage eine Kosten-Risiko-Abwägung durchgeführt werden kann, inwiefern z. B. eine unterirdische Rohrleitungsverlegung sinnvoll erscheint. Diese ist zwar verbunden mit erhöhtem Aufwand für Korrosionsschutzmaßnahmen,

5E-061E-061E-07

134

wie z. B. der Betrieb und die Wartung einer KKS-Anlage. Jedoch wäre eine Vielzahl der Szenarien nicht zu betrachten, insbesondere die des Anfahrens von Rohrbrücken. Dadurch wird eine nicht zu vernachlässigende Risikoreduzierung erzielt. Im Vergleich dazu ist eine oberirdische Rohrleitungsverlegung denkbar, wenn z. B. kein Werksverkehr stattfindet.

Als Konsequenz daraus kann die QRA als Entscheidungsgrundlage z. B. für die Art der Rohrleitungsverlegung dienen, wobei die unterschiedlichen Nutzungskonzepte des Werksgeländes Berücksichtigung finden.

4.2.4.6 Einfluss der Beurteilungskriterien auf das Anlagenrisiko

Eine einleitend formulierte Zielsetzung dieser Arbeit ist die Untersuchung, inwiefern unterschiedliche Beurteilungsmaßstäbe das Anlagenrisiko beeinflussen können. Vor allem sollte analysiert werden, ob die Verwendung von Probit-Funktionen im Gegensatz zu Grenzwerten qualifiziertere Ergebnisse im Zusammenhang einer QRA liefern kann. Um eine entsprechende Diskussionsgrundlage zu erhalten, werden weitere Risikoberechnungen durchgeführt.

Als Beurteilungskriterium wird die in dieser Arbeit vorgeschlagene Probit-Funktion von Tsao & Perry verwendet (siehe Kapitel 3.6.3.1), auf deren Basis die Letalitätswahrscheinlichkeit infolge von Wärmestrahlung beurteilt werden kann. Zur Beurteilung der Druckeinwirkungen wird als Schadensmaß die Probit-Funktion „Tod durch Lungenschäden“ des Green Book [35] herangezogen (siehe Kapitel 3.6.3.3). Um den Vergleich zur Grenzwertmethodik durchführen zu können, ist es notwendig, ein gleiches Schadensmaß der Personenschäden den Berechnungen zu Grunde zu legen. Infolge dessen wird zur Beurteilung der Wärmestrahlung der Wert von 32,9 kW/m2 genutzt (siehe auch Tabelle 41). Dieser Wert ist mit Verbrennungen 2. Grades gleichzusetzen, bei denen die Gefahr besteht, dass die Auswirkungen der Wärmestrahlung zum Tode führen können. Für die Druckeinwirkung wird ein Grenzwert von 0,85 bar eingesetzt, der die untere Grenze für Lungenschäden bildet, die ebenfalls tödlich wirken können. An dieser Stelle ist anzumerken, dass die Grenzwertmethodik auf Wärmeintensitäten und die Probit-Funktion auf Dosis-Beziehungen beruhen. Die Ergebnisse der Risikoberechnungen sind den folgenden Abbildungen zu entnehmen.

135

Abbildung 39: Anlagenrisiko der Flüssiggasanlage [1/a] auf Basis von Grenzwerten (Wärmestrahlung: 32,9 kW/m2, Lungenschäden: 0,85 bar)

Abbildung 40: Anlagenrisiko der Flüssiggasanlage [1/a] auf Basis von Probit Funktionen (Tod durch Wärmestrahlung von Tsao & Perry, Tod durch Lungenschäden des Green Book)

136

Wie der Abbildung 39 und Abbildung 40 zu entnehmen ist, weisen die Risikokonturen unter Verwendung der Probit-Funktionen etwas größere Ausdehnungen, insbesondere im Bereich des Hühnengrabes (grüne Kontur) und der EKW-Entladung, auf. Dieses Ergebnis ist durchaus plausibel, da viele Szenarien der Risikoberechnung die verwendeten Grenzwerte von 32,9 kW/m2 und 0,85 bar nicht erreichen (siehe Abbildung 39). Die Grenzwertmethodik basiert auf eindeutigen Ja/Nein-Entscheidungen. Wird der gesetzte Grenzwert nicht erreicht, ergeben sich für diese Fälle keine Gefährdungsbereiche und somit auch kein Risikobeitrag. Die Expositionsdauer wird bei dieser Betrachtungsweise nicht berücksichtigt. Im Gegensatz dazu fließt in die Risikoberechnungen unter Zuhilfenahme der Probit-Funktionen die Wärmestrahlungsdosis ein, sodass sich auch bei niedrigeren Wärmestrahlungsstärken und ausreichend langen Expositionszeiten durchaus Todeswahrscheinlichkeiten ergeben können. Dieser Zusammenhang wurde im vorherigen Kapitel bereits angesprochen. Werden Grenzwerte zur Beurteilung verwendet, wird der Schaden eventuell unterschätzt oder bei kurzen Expositionszeiten auch deutlich überschätzt. Die Expositionsdauer ist somit ein wichtiger Parameter bei der Beurteilung der zu erwartenden Schäden. Je länger eine bestimmte Wärmestrahlungstärke vorliegt, umso größer ist die Wahrscheinlichkeit z. B. eine Verbrennung 2. Grades zu erhalten. Demnach liegt der Vorteil der Probit-Funktionen also hauptsächlich darin, dass diese auf Dosis-Wirkungs-Beziehungen beruhen, die die Wahrscheinlichkeit einer Personenschädigung in Abhängigkeit der Expositionsdauer, der eine Person in einer bestimmten Entfernung vom Freisetzungsort ausgesetzt ist, ermitteln. Dies ist unter Verwendung der Grenzwerte als Beurteilungskriterium nicht möglich. Dementsprechend erfolgt bei den Probit-Funktionen mit zunehmender Entfernung zum Freisetzungsort eine kontinuierliche Abnahme der Personenschäden.

Als Fazit kann festgehalten werden, dass Grenzwerte zur Absicherung des Bereiches, für den keine nachteiligen Wirkungen bei langer Expositionszeit bestehen, geeignet sind. Da QRA zumeist mit anderen Zielstellungen und Schadensausmaßen verbunden sind, sollten vorzugsweise Wärmedosen als Beurteilungskriterien verwendet werden. Hierfür bietet sich die Verwendung von Probit-Funktionen an. Werden die Risikokonturen der Abbildung 40 wiederum mit dem Sicherheitsabstand nach der TRB 801 Nr. 25 Anlage verglichen, so ist festzustellen, dass die Risikokontur 5*10-6 [1/a] sich im Wesentlichen in den Kreisen befinden und größtenteils auf dem Betriebsgelände verlaufen. Somit erscheint die Probit-Funktion nach Tsao & Perry ein probates Hilfsmittel zur Beurteilung von Wärmestrahlungsschäden zu sein. Infolgedessen wird im Rahmen dieser Methodikerstellung die Verwendung der Probit-Funktion von Tsao & Perry als Beurteilungskriterium für Wärmestrahlungsdosen vorgeschlagen.

4.2.4.7 Einfluss der Fluchtbetrachtungen auf das Anlagenrisiko im Falle eines Brandes

In Kapitel 3.6.3.1 dieser Arbeit wurde die Berücksichtigung der Flucht aus dem Gefahrenbereich im Falle eines Brandes im Zusammenhang mit den Wärmedosen diskutiert. Inwiefern ähnliche Ergebnisse im Kontext einer QRA unter Verwendung der Probit-Funktion von Tsao & Perry festzustellen sind, soll in einer weiteren Berechnung aufgezeigt werden.

137

Die wesentlichen Parameter der Wärmedosis sind die Strahlungsstärke und die Expositionsdauer. Die Expositionsdauer wiederum wird beeinflusst von der Reaktionszeit des Menschen bezüglich der Realisierung der Gefahrensituation und der Fluchtgeschwindigkeit. In den nachfolgenden Berechnungen wurden eine Reaktionszeit von 5 s und eine Fluchtgeschwindigkeit von 4 m/s eingesetzt. Darüber hinaus wird davon ausgegangen, dass die Entzündung der Kleidung, dies tritt bei einer Dosis > 2,5*104 kW2/m4s ein, der Tod von Personen zur Folge hat.

Der Abbildung 41 ist der Einfluss der Flucht aus einem Gefahrenbereich auf das Anlagenrisiko zu entnehmen.

Abbildung 41: Anlagenrisiko der Flüssiggasbehälteranlage [1/a] unter Berücksichtigung der Fluchtmöglichkeit

Es ist zu festzustellen, dass die Risikokonturen im Bereich des Hühnengrabes und der EKW-Entladestation im Vergleich zur Abbildung 40 etwas verringert wurden. Erwartet wurde jedoch eine wesentlich deutlichere Risikoreduzierung. Ausschlaggebend dafür ist, dass die überwiegende Anzahl der Szenarien nur über geringe Massenströme verfügen, bei denen davon ausgegangen wird, dass es nicht zu einer Lachenbildung mit anschließender Zündung kommt. Desweiteren verfügen die Szenarien teilweise über eine kurze Freisetzungsdauer, die letztendlich zu einer geringen Branddauer führt. Die Gefährdungsbereiche können somit schnell verlassen werden und der risikominimierende Effekt der Fluchtmöglichkeit wirkt sich nur unwesentlich aus.

5E-061E-061E-07

138

Aus diesem Grund wird eine weitere Risikoberechnung der Anlagenvariante mit oberirdischer Rohrleitungsführung mit Hilfe der Probit-Funktion von Tsao & Perry berechnet.

Wie in der Abbildung 42 dargestellt ist, sind die Gefährdungsbereiche bei dieser Anlagenvariante deutlich größer. Dies ist auf die höhere Anzahl der Brandszenarien zurückzuführen. Wird bei diesen Szenarien die Fluchtmöglichkeit berücksichtigt, so ergeben sich die in Abbildung 43 enthaltenden Risikokonturen.

Abbildung 42: Anlagenrisiko der Flüssiggasanlage [1/a] mit oberirdischer Rohrleitungsführung ohne Berücksichtigung der Fluchtmöglichkeit, Beurteilungskriterium: Probit-Funktion

5E-061E-061E-07

139

Abbildung 43: Anlagenrisiko der Flüssiggasanlage [1/a] mit oberirdischer Rohrleitungsführung unter Berücksichtigung der Fluchtmöglichkeit

Der risikomindernde Effekt der Fluchtbetrachtung ist in diesem Berechnungsbeispiel wesentlich deutlicher ausgeprägt. Ursache dafür ist, dass auf Grund der zu unterstellenden Lachenbrände mit großen Durchmessern im Unterschied zu kleinen Lachenbränden das Verlassen des gefährdeten Bereiches zum Tragen kommt. In Anbetracht dessen kann unter Berücksichtigung des Fluchtverhaltens aus einem gefährdeten Bereich und unter Verwendung der Probit-Funktion mit geringeren Ausdehnungen der Risikokonturen gerechnet werden.

In diesem Zusammenhang wird nochmals der Vorteil der Probit-Funktionen deutlich, mit einer zunehmenden Entfernung zum Freisetzungsort die Schadenswahrscheinlichkeit zu minimieren. Das Fluchtverhalten, was einen natürlichen Reflex in einer gefährlichen Situation beim Menschen darstellt, beeinflusst die Expositionsdauer und somit die Schadenswahrscheinlichkeit der Brandverletzungen bzw. Letalitätswahrscheinlichkeiten. Da die Expositionsdauer bei der Verwendung von Grenzwerten keine Rolle spielt, lässt sich der Einfluss des Fluchtverhaltens auf das Anlagenrisiko nicht abbilden. Diese Tatsache ist besonders relevant für Anlagen mit langandauernden und großen Brandszenarien, wie sie z. B. in Raffinerien und Tanklager auftreten können. Vor diesem Hintergrund werden die Fluchtbetrachtungen im Zusammenhang mit der Probit-Funktion von Tsao & Perry für die Beurteilung von Wärmestrahlungsschäden als sinnvoll und praxisrelevant erachtet und in die Methodik zur Durchführung einer QRA für Deutschland aufgenommen.

5E-061E-061E-07

140

4.3 Untersuchungen der Ammoniakkälteanlagen

Für die Ammoniakkälteanlagen (Kälteanlage) werden ebenfalls mehrere Risikoberechnungen mit verschiedenen Fragestellungen durchgeführt. Hintergrund dieser Berechnungen ist zum einen, den Einfluss der sicherheitstechnischen Prüfung nach § 29 a BImSchG auf das Anlagenrisiko darzustellen. Zum anderen soll untersucht werden, ob sich unterschiedliche Risiken in Abhängigkeit der ein- bzw. zweistufigen Verfahrensweise der Kälteanlage sowie deren Sicherheitskonzept ergeben. Zudem sollen, da es sich bei Ammoniak in erster Linie um einen toxischen Stoff handelt, ähnlich der Flüssiggasanlage vergleichende Risikobetrachtungen auf der Grundlage von Probit-Funktionen sowie der Grenzwertmethode durchgeführt werden.

4.3.1 Beschreibung der Ammoniakkälteanlagen

Die ein- und zweistufige Ammoniakkälteanlagen bestehen aus Komponenten der Kälteerzeugung, wie z. B. Verdichter, Kondensatoren, NH3-Abscheider und NH3-Pumpen, und Komponenten der Kälteverbraucher, wie z. B. Solekühler und Verdampfer für die Eiswasserbereitstellung.

Die Kälteanlage A ist als eine zweistufige Kompressionskälteanlage im Schwerkraftprinzip ausgeführt, wobei alle Anlagenkomponenten in Maschinenräumen untergebracht sind. Die wesentlichen Druckbehälter dieser Anlage sind jeweils mit zwei an ein Wechselventil angeschlossenen Sicherheitsventilen gegen mögliche Drucküberschreitungen abgesichert, die ins Freie entlasten. Im Unterschied dazu wurde die Kälteanlage B als eine einstufige Kompressionskälteanlage mit Pumpenzirkulation konzipiert, deren Verdunstungsverflüssiger und NH3-Abscheider im Freien auf dem Betriebsgelände errichtet und deren Verdichter in einem Maschinenraum aufgestellt wurden.

Das Funktionsprinzip der Anlagen besteht darin, dass zunächst gasförmiges Ammoniak verdichtet und dann dem erhitzten Gas die Kompressionswärme entzogen wird, sodass es kondensiert. Anschließend wird das verflüssigte Gas in den Verbrauchern, wie z. B. den Verdampfern, entspannt. Dabei nimmt es die für den Phasenübergang notwendige Wärme auf und kühlt so die Sole bzw. das Eiswasser ab.

Eine detaillierte Verfahrensbeschreibung der ein- und zweistufigen NH3-Kälteanlagen wurde im Projekt Infosis der BAM veröffentlicht [45].

4.3.2 Szenarienentwicklung der Ammoniakanlagen

Grundlage der Szenarienentwicklung, sowohl für die ein- als auch die zweistufige Kälteanlage, ist die systematische Gefährdungsanalyse, die mit Hilfe des erweiterten Checklisten-Verfahrens durchgeführt wurde. Die sicherheitsrelevanten Anlagenteile der Kälteanlagen bilden in der Hauptsache die verschiedenen Druckbehälter, bei denen auf Grund von z. B. Versagen oder Fehlfunktionen der Sicherheitseinrichtungen Gasfreisetzungen auftreten können. In Anlehnung an die in Kapitel 4.2.2 dieser Arbeit beschriebene Vorgehensweise wurden die Szenarien des Grund- und Betriebsrisikos der Kälteanlagen entwickelt. Da es sich bei den Druckbehältern der Kälteanlagen überwiegend um Behälter mit Flüssig- und Gasphase handelt, wurden

141

Auswirkungsbetrachtungen sowohl für die Gas- als auch für die Flüssigphase durchgeführt. Dabei wurde angenommen, dass die entsprechenden Behälter jeweils zur Hälfte mit Gas- und Flüssigphase gefüllt sind. Aus diesem Grund wurden die Leckagehäufigkeiten in Abhängigkeit der Leckgröße gewichtet (siehe auch Beschreibungen in Kapitel 3.5.1.4).

4.3.3 Auswirkungsbetrachtungen der Ammoniakkälteanlagen

Ammoniak ist ein farbloses, sehr leicht wasserlösliches, chemisch stabiles, stark ätzendes und toxisches Gas, wobei dieser Stoff insbesondere durch einen stechenden, zu Tränen reizenden Geruch gekennzeichnet ist. Es bildet mit oxidierenden Gasen, so auch mit dem Luftsauerstoff, explosionsfähige Gemische, jedoch ist die Gefahr einer Explosion (UEG 15,4 Vol-%; OEG 30,2 Vol-%) wegen der hohen Zündtemperatur von 630 °C und der Mindestzündenergie von 14 mJ nur in umschlossenen Räumen gegeben. Die Einstufung des Gases als Leicht- bzw. Schwergas ist in Abhängigkeit der Freisetzung aus der Flüssig- bzw. Gasphase vorzunehmen. Da Ammoniak bei den betrachteten Szenarien sowohl gasförmig in die Atmosphäre gelangt, wie z. B. über die Sicherheitsventile oder auch über die Maschinenraumlüftung, als auch flüssig bei Leckagen an den NH3-Abscheidern im Freien, werden Ausbreitungsberechnungen nach der VDI-Richtlinie 3783 Blatt 1 (Leichtgas) [22] und Blatt 2 (Schwergas) [23] durchgeführt. Die standortspezifischen Windhäufigkeits- bzw. Windgeschwindigkeitsverteilungen der Kälteanlage A sind in Abbildung 44 und Abbildung 45 dargestellt. Für die Kälteanlage B werden die Windrosen der Abbildung 26 und Abbildung 27 zugrunde gelegt, da für diesen Standort keine anderen Angaben zur Windverteilungen vorhanden sind.

Abbildung 44: Häufigkeitsverteilung der Winde für den Standort der NH3-Kälteanlage A

Abbildung 45: Geschwindigkeitsverteilung der Winde für den Standort der NH3-Kälteanlage A

142

4.3.4 Ermittlung des Anlagenrisikos der NH3-Kälteanlagen

4.3.4.1 Einfluss der Sicherheitskonzeption der NH3-Kälteanlagen

NH3-Kälteanlagen werden in Abhängigkeit der benötigten Kühlleistungen und u. a. auch aus energetischen und betriebswirtschaftlichen Gesichtspunkten als ein- bzw. zweistufige Anlagen konzipiert. In Kapitel 0 dieser Arbeit wurde herausgearbeitet, dass der Nutzen einer QRA u. a. im Vergleich von unterschiedlichen sicherheitstechnischen Konzepten einzelner Anlagen liegt. Deshalb wird mit der folgenden Risikoanalyse hinterfragt, ob sich unterschiedliche Risikowerte in diesem Zusammenhang für die NH3-Kälteanlagen feststellen lassen. Um wiederum das gleiche Schadensmaß in Bezug zu international verwendeten Risikogrenzwerten des Individualrisikos zu Grunde zu legen, wird der AEGL-3-Wert als Grenzwert, bei dessen Überschreitung die allgemeine Bevölkerung lebensbedrohliche oder tödliche Gesundheitseffekte erleiden kann, eingesetzt (siehe hierzu Kapitel 3.6.2.1).

In der folgenden Abbildung 46 und Abbildung 47 sind die Werksgelände der NH3-Kälteanlagen A und B dargestellt. Die Betriebsgrenzen der Firmen A und B sind als dunkle und die an der Betriebsgrenze verlaufenden öffentlichen Verkehrswege als rot gestrichelte Linien eingezeichnet. Die Wohnbebauungen im nahen Umfeld der Anlagen sind blau gekennzeichnet. Die Ammoniak-Emissionsorte sind dagegen dunkelgrau markiert.

In der Abbildung 46 sind die Risikokonturen der zweistufigen Anlage A in einem Bereich von 5*10-6 bis 1*10-7 [1/a] veranschaulicht, wobei sich für diese Anlage ein max. Risikowert von 7,9*10-3 [1/a] ergibt. Wie dieser Abbildung zu entnehmen ist, überschreiten die Risikokonturen die Betriebsgrenzen in südlicher Richtung. Dabei befindet sich die nächstgelegene größere Wohnbebauung innerhalb der Risikokontur 1*10-7 [1/a]. Da alle unerwünschten Ereignisse, insbesondere die mit Flüssigphasefreisetzung innerhalb der Maschinenräume stattfinden, wird für alle Szenarien unterstellt, dass Ammoniak als dichteneutrales Gas über die Maschinenraumlüftung bzw. über die natürliche Lüftung sowie über die Sicherheitsventile der Anlage freigesetzt wird. Deshalb ergeben sich im Wesentlichen die größten Risiken (rote Risikokontur) im Nahbereich des Maschinenhauses. Zusätzlich ist deutlich der Windeinfluss zu erkennen. Für diesen Standort wurden am häufigsten Winde aus der süd-westlichen bzw. süd-östlichen Richtung mit Windgeschwindigkeiten von 3 bzw. 4 m/s registriert. Erstaunlicherweise ergeben sich die weitläufigsten Ausdehnungen der Risikokontur in südliche Richtung bei einer sehr geringen Häufigkeit der Winde aus nord-östlicher Richtung (siehe Abbildung 44). Diese Winde sind nicht nur sehr selten, sondern verfügen zu dem über eine Windgeschwindigkeit von < 1 m/s (siehe Abbildung 45). Dadurch wird weniger Turbulenz erzeugt, die mit einer geringen Verdünnung der Gaswolke verbunden ist und letztendlich zu größeren Effektradien führt.

143

Abbildung 46: Anlagenrisiko (gesamt) der NH3-Kälteanlage A [1/a]

In der Abbildung 47 sind die für die einstufige Kälteanlage B errechneten Risikokonturen in einem Bereich von 5*10-6 bis 1*10-7 [1/a] dargestellt. Für diese Kälteanlage wurde ein max. Risikowert von 1,5*10-4 [1/a] ermittelt. Da die NH3-Abscheider im Freien aufgestellt wurden, sind neben den Leichtgasausbreitungsberechnungen aus der Maschineraumlüftung bzw. den Sicherheitsventilen auch Berechnungen der Schwergasausbreitung durchzuführen. Hierfür wurde das Ausbreitungsgebiet „hohe windparallele Wand“ der VDI-Richtlinie 3783 Blatt 2 [23] auf Grund der örtlichen Gegebenheiten verwendet.

Erwartungsgemäß ergeben sich auch hier die größeren Risiken (rote Risikokontur) im Bereich des Maschinenhauses.

144

Abbildung 47: Anlagenrisiko (gesamt) der NH3-Kälteanlage B [1/a]

Beim Vergleich der Risikokonturen der Anlagen ist überraschenderweise festzustellen, dass trotz der höheren Risikowerte des Betriebs- und des Grundrisikos der zweistufigen Anlage A (siehe Tabelle 65) bedingt durch die größere Anzahl der Druckbehälter und durch die Vielzahl der ins Freie entlastenden Sicherheitsventile, die Ausdehnungen der Risikokonturen der einstufigen Anlage B, insbesondere der Risikokontur 10-7 [1/a], wesentlich größer sind als die der Anlage A.

Tabelle 65: Max. Risikowerte [1/a] der Anlage A und B

Risiko Anlage A (zweistufig) [1/a]

Anlage B (einstufig) [1/a]

max. Gesamtrisiko 7,9*10-3 1,5*10-4 max. Grundrisiko 7,3*10-3 4,3*10-5 max. Betriebsrisiko 9,0*10-4 9,2*10-5

Die Erklärung dafür ist in der Aufstellung der Komponenten der Anlage B zu finden. Ein wesentlicher Unterschied der Anlagen besteht darin, dass die Komponenten der Anlage A ausschließlich in Maschinenräumen untergebracht sind, während die Flüssigkeitsabscheider der Anlage B auf dem Betriebsgelände im Freien errichtet wurden. Damit sind z. B. mit dem Szenario „Behälterbersten“ Flüssigphasefreisetzungen von Ammoniak verbunden, für die in der Konsequenz Schwergasberechnungen durchzuführen sind. Die Ausbreitungsberechnungen des Schwergases ergeben wesentlich größere Gefährdungsbereiche, die diese großen Ausdehnungen der Risikokonturen zur Folge haben.

5E-061E-061E-07

145

Werden die Flüssigkeitsabscheider der Kälteanlage B im Maschinenraum aufgestellt, kann eine Risikoreduzierung erzielt werden, wie die Abbildung 48 aufzeigt.

Abbildung 48: Anlagenrisiko (gesamt) der NH3-Kälteanlage B [1/a] ohne Abscheider im Freien

In Deutschland ist die Aufstellung der Flüssigkeitsabscheider im Freien nicht unüblich und entsprechend der Technischen Regeln zulässig. Wie in dem Bericht über industrielle Risiken [137] ausgeführt wird, werden im Unterschied dazu in der Schweiz und in Frankreich Flüssigkeitsabscheider im Freien als Anlagenteil mit der höchsten Ammoniakmenge kritisch betrachtet. Da die Flüssigkeitsabscheider zu erheblichen Risiken für die angrenzende Nachbarschaft führen können, wird in Frankreich z. B. im Rahmen der Bauleitplanung eine Einhausung der Abscheider gefordert. Dies scheint der richtig Ansatz im Umgang mit den betrieblichen Risiken zu sein, wie die Berechnungsergebnisse deutlich belegen.

Als Fazit dieser Untersuchung kann festgehalten werden, dass eine mehrstufige Kälteanlage nicht zwangsläufig mit größeren Risiken verbunden ist. Vielmehr ist für das Anlagenrisiko ausschlaggebend, ob die Anlagenkomponenten in einem Maschinenraum aufgestellt werden, welche Szenarien zu unterstellen und welche Auswirkungsbetrachtungen demzufolge durchzuführen sind. In diesem Zusammenhang wird nochmals der Vorteil einer QRA ersichtlich, verschiedene Sicherheitskonzepte von Anlagen vergleichen zu können, um letztendlich eine Entscheidungsgrundlage für oder gegen eine Anlagenkonzeption zu erhalten.

146

4.3.4.2 Einfluss der sicherheitstechnischen Prüfung nach § 29 a BImSchG auf das Anlagenrisiko

Die Überwachungsbehörden von genehmigungsbedürftigen Anlagen können sicherheits-technische Prüfungen nach § 29 a BImSchG [138] z. B. vor der Inbetriebnahme einer Anlage, nach wesentlicher Änderung dieser oder in regelmäßigen Abständen anordnen. Da NH3-Kälteanlagen, deren Gesamtinhalt die Mengenschwelle von 3 Tonnen überschreitet, nach dem BImSchG i. V. m. § 1 der 4. BImSchV [139] und Anhang Nr. 10.25 genehmigungsbedürftig sind, werden auch für diese Anlagen sicherheitstechnische Prüfungen nach § 29 a BImSchG durchgeführt. Diese Prüfungen werden von für das jeweilige Bundesland bekanntgegebenen Sachverständigen durchgeführt. Die Bekanntgabe der Sachverständigen nach § 29 a BImSchG ist mit der Auflage verbunden, der KAS jährlich einen Bericht vorzulegen, in dem die festgestellten sicherheitstechnisch bedeutsamen Mängel und die daraus resultierenden Folgerungen für die Anlagensicherheit zusammengefasst werden. Wie dem letzten Bericht des Ausschusses für Erfahrungsberichte der KAS [140] zu entnehmen ist, sind durchaus sicherheitstechnisch bedeutsame Mängel an Kälteanlagen festgestellt worden, insbesondere Mängel in der Prozess- und Verfahrensführung sowie bei der Ausrüstung zur Überwachung von Prozess- und Reaktionsparametern. Vor diesem Hintergrund soll gezeigt werden, inwiefern sich die sicherheitstechnischen Defizite der Kälteanlagen auch im Anlagenrisiko abbilden lassen.

Diese Fragestellung wird an der Kälteanlage B näher untersucht. Für diese Anlage wurden in der Vergangenheit sicherheitstechnische Prüfungen nach § 29 a BImSchG mit den Ergebnissen durchgeführt, dass z. B. Pumpen offener Bauart anstatt hermetisch gekapselte Pumpen verbaut waren. Zudem fehlten im Bereich der NH3-Pumpen Gaswarneinrichtungen und Schnellschlussarmaturen als störfallbegrenzende Maßnahmen. Weiterhin waren an den Flüssigkeitsabscheidern keine redundanten Überfüllsicherungen vorhanden, sodass kein ausreichender Verdichterschutz gegen Flüssigkeitsschläge bestand. Zusätzlich waren die NH3-Sammler mit ins Freie abblasenden Sicherheitsventilen versehen, bei denen die Gefahr bestand, Hochdruck-Flüssigkeit freizusetzen. Für diese aufgeführten Defizite werden in einer weiteren Risikoanalyse zusätzliche Szenarien betrachtet, die zu den in der Abbildung 49 dargestellten Risikokonturen führen.

147

Abbildung 49: Anlagenrisiko der NH3-Kälteanlage B [1/a] ohne sicherheitstechnische Prüfung nach § 29 a BImSchG

Verständlicherweise ergeben sich wesentlich größere Risikokonturen als in Abbildung 47 infolge der zusätzlichen Szenarien. Dafür sind zum einen das Fehlen der störfallbegrenzenden Maßnahmen, wie z. B. die Gaswarneinrichtung und die Schnellschlussventile, und das damit verbundene höhere Schadensausmaß der Szenarien maßgeblich. Zum anderen ist ein wesentlicher Aspekt, dass wiederum Flüssigphase-Freisetzungen im Freien mit den zusätzlichen Szenarien zu betrachten sind, die zu erheblich größeren Auswirkungsradien führen. Insofern sind die Risikokonturen plausibel und der Einfluss der sicherheitstechnischen Prüfungen auf das Anlagenrisiko offenkundig sichtbar.

In diesem Kontext wird die Bedeutung der sicherheitstechnischen Prüfung nach § 29 a BImSchG für die Anlagensicherheit nicht nur für Kälteanlagen deutlich hervorgehoben.

4.3.4.3 Einfluss der Beurteilungskriterien auf das Anlagenrisiko

Entsprechend der Zielsetzung dieser Arbeit soll der Einfluss der unterschiedlichen Beurteilungsmaßstäbe, insbesondere der Probit-Funktionen, analysiert werden. Im Kapitel 4.2.4 wurden Risikoermittlungen einer Flüssiggasanlage auf der Grundlage der Probit-Funktionen als Beurteilungsmaßstab für Wärmestrahlung und Druckeinwirkungen durchgeführt. Hierbei wurde im Rahmen der Methodikerstellung entschieden, Probit-Funktionen auf Grund der herausgearbeiteten Vorteile, insbesondere der Berücksichtigung der Dosis-Wirkung-Beziehungen bei Wärmestrahlung und deren Einfluss auf das Berechnungsergebnis, als Beurteilungsmaßstab zu verwenden.

5E-061E-061E-07

148

In Deutschland wird die Beurteilung von Freisetzungen toxischer Stoffe auf der Basis von Grenzwerten mit einem Zeitbezug, wie z. B. der AEGL-Werte, vorgenommen. Den geringsten Zeitbezug der AEGL-Werte stellen 10 Minuten dar. Die Erfahrungen zeigen jedoch, dass einige Szenarien über geringere Emissionsdauern verfügen. Zudem kann die Effektivität der gegebenenfalls eingeleiteten störfallbegrenzenden Maßnahmen, die die Emissionsdauern auf < 10 Minuten begrenzen, nicht quantifiziert und dadurch nicht beurteilt werden. Eine Extrapolation bezüglich dieser geringeren Emissionsdauer ist nicht möglich. Eine Alternative hierzu stellen die Probit-Funktionen dar, bei denen die reale Expositionszeit der Szenarien berücksichtigt wird. Wie die Untersuchungen unter Verwendung der Probit-Funktionen für die Wärmestrahlungsschäden zeigen, ergeben sich durchaus sinnvolle und vor allem praxisrelevante Ergebnisse. In diesem Zusammenhang stellt sich die Frage, inwiefern ähnliche Ergebnisse im Zusammenhang mit dem Stoff Ammoniak festgestellt und gleiche Schlussfolgerungen für die Verwendung von Probit-Funktionen als Beurteilungssmaßstab für die Freisetzung toxischer Stoffe abgeleitet werden können.

Deshalb wird in einer weiteren Risikoanalyse untersucht, wie sich die Verwendung der Probit-Funktion auf das Anlagenrisiko auswirkt. Hierbei wird die Probit-Funktion von Cavey [108] zu Grunde gelegt (siehe hierzu Kapitel 3.6.3.2).

In der Abbildung 50 sind die Risikokonturen der Kälteanlage A auf der Basis der Probit-Funktion für Ammoniak nach Cavey [108] dargestellt. Im Ergebnis dieser Berechnung wurde ein maximaler Risikowert von 5,6*10-9 ermittelt. Es wird darauf hingewiesen, dass deshalb die Risikokonturen in einem Bereich von 5*10-9 bis 1*10-10 abgebildet sind. Ein ähnliches Ergebnis lässt sich auch bei der Verwendung der Probit-Funktion von IChemE [108] feststellen. Auch vor dem Hintergrund, dass die AEGL-3-Werte konservativ festgelegt wurden und bei den Probit-Funktionen mit zunehmender Entfernung zum Freisetzungsort eine kontinuierliche Abnahme der Personenschäden zu erwarten ist, ergibt sich eine Diskrepanz im Vergleich der maximalen Risikowerte untereinander von ca. sechs Zehnerpotenzen (siehe Tabelle 65 Kälteanlage A), die diskussionswürdig sind.

149

Abbildung 50: Anlagenrisiko der NH3-Kälteanlage A [1/a] auf Basis der Probit-Funktion von Cavey [108]

Ursache für den geringen maximalen Risikowert unter Verwendung der Probit-Funktionen ist, dass Ammoniak der Kälteanlage A aus der Gasphase über die Lüftungsanlage des Maschinenraums innerhalb einer Expositionsdauer von einer Stunde in die Umgebung freigesetzt wird. Dies führt zu geringen Dosis-Werten, die letztendlich zu einer geringen Todeswahrscheinlichkeit im Umfeld der Lüftungsanlage führen. Anders wäre dies, wenn Ammoniak aus der Flüssigphase im Freien auf dem Betriebsgelände freigesetzt werden würde. Hier ergeben sich Dosis-Werte, die durchaus zu einer höheren Todeswahrscheinlichkeit und zu einem höheren maximalen Risikowert führen können, wie auch die Berechnungen in Kapitel 3.6.3.2 zeigen, die auf Flüssigphasefreisetzungen basieren.

Im Vergleich zu international verwendeten Risikogrenzwerten führt dieses Berechnungsergebnis letztendlich zu der Aussage, dass bei der Verwendung dieser Probit-Funktion kein nennenswertes Risiko von Kälteanlagen ausgeht. Bei der Verwendung der AEGL-3-Werten wurden jedoch Risikokonturen ermittelt, die weitaus größere Risiken ergaben, die zudem weit über die Betriebsgrenze hinausführen. Zudem enthält die ZEMA-Datenbank [45] meldepflichtige Ereignisse im Zusammenhang mit Ammoniakfreisetzungen, die zumindest Beeinträchtigungen für das Betriebspersonal zur Folge hatten. Aus diesem Grund erscheint die Verwendung der vorgestellten Probit-Funktionen als fragwürdig.

Werden zum Vergleich die AEGL-3-Werte für Ammoniak für die verschiedenen Expositionszeiten in die Probit-Funktionen eingesetzt, die in Kapitel 3.6.3.2 vorgestellt wurden, so ergeben sich die in Tabelle 66 enthaltenen Todeswahrscheinlichkeiten.

150

Tabelle 66: Todeswahrscheinlichkeit bei Einsatz der AEGL-3-Werte in verschiedene Probit-Funktionen [108]

Expositions-zeit [min]

AEGL-3 NH3

[mg/m3]

IChemE Ten Berge

Cavey ACDS Silver & McGrath

Green Book [35]

10 1908 0,00 0,00 0,00 5,34*10-4 0,00 7,12*10-4 30 1131 0,00 0,00 0,00 6,19*10-4 0,00 8,51*10-4 60 777 0,00 0,00 0,00 5,28*10-4 0,00 7,02*10-4 240 389 0,00 0,00 0,00 5,28*10-4 0,00 7,02*10-4 480 276 0,00 0,00 0,00 5,36*10-4 0,00 7,15*10-4

Auffällig ist, dass die überwiegende Anzahl der Probit-Funktionen keine Todeswahrscheinlichkeit für die AEGL-3-Werte ausgeben. So auch bei der Probit-Funktion von Cavey, was die Begründung für den geringen maximalen Risikowert der Abbildung 50 liefert. Die mit den Probit-Funktionen von ACDS und Green Book [35] berechneten Todeswahrscheinlichkeit liegen dagegen in einem niedrigen Bereich von 10-4. Hiernach würden die AEGL-3-Werte für Ammoniak einer Todeswahrscheinlichkeit von 10-4 entsprechen. Diese Aussage deckt sich mit dem Ergebnis der Vergleichsrechnungen zwischen AEGL-3-Wert und Probit-Funktion (siehe Abbildung 46 und Abbildung 50). Hier wurde ein ähnlicher Unterschied zwischen den maximalen Risikowerten festgestellt.

In diesem Zusammenhang wird u. a. deutlich, warum z. B. in den Niederlanden die Genehmigungsfähigkeit von Anlagen mit einem Risikogrenzwert von 10-6 [1/a] eingehalten werden kann. Wie in Kapitel 3 dieser Arbeit diskutiert, sind die Ausfallhäufigkeiten von Anlagenkomponenten im Purple Book [16] im Vergleich zu den in dieser Arbeit abgeleiteten Ausfalldaten wesentlich größer. Mit Hilfe der Probit-Funktionen ergeben sich jedoch sehr geringe Schadenswahrscheinlichkeiten toxischer Stoffe zumal die Expositionsdauer im Purple Book auf 30 Minuten beschränkt wird (siehe Ausführungen in Kapitel 3.6.3.2). Infolgedessen wird nochmals die Bedeutung der Kombination aus Ausfallhäufigkeiten und Beurteilungsmaßstab für die Methodik einer QRA und somit für die Festlegung von Risikogrenzwerten hervorgehoben. Die QRA-Methoden anderer europäischer Länder können nicht uneingeschränkt übernommen werden.

Es lässt sich feststellen, dass für die Vorgehensweise in Deutschland die vorgestellten Probit-Funktionen auf Grund der großen Diskrepanz im Vergleich zu den AEGL-3-Werten nicht zur Beurteilung des Anlagenrisikos infolge toxischer Stofffreisetzungen herangezogen werden können. Das Anlagenrisiko würde dadurch unterbewertet.

In Deutschland werden mit Hilfe der VDI-Richtlinie 3783 Blatt 1 die maximal auftretenden Konzentrationen an den Immissionsorten berechnet. Hierzu werden die Konzentrationen mit vorgegebenen Grenzwerten, die sich auf eine definierte Wirkungsdauer beziehen, verglichen und eindeutige Ja/Nein-Entscheidungen bezüglich deren Überschreitung getroffen. Dies kann im

151

Zweifelsfall dazu führen, dass kurzzeitige Peaks im Konzentrationsverlauf zu einer Überbewertung der Auswirkungen führen. Bei einigen der in der Risikoanalyse berechneten Szenarien, wie z. B. Bersten der Druckbehälter, wird der Ammoniakinhalt in wenigen Sekunden freigesetzt, was zum sprunghaften Anstieg der Ammoniakkonzentration über einen kurzen Zeitraum außerhalb des Maschinenraumes führt.

Unter Verwendung von Dosis-Wirkungs-Beziehungen wird die Expositionszeit berücksichtigt, sodass insbesondere eine Beurteilung für kurze Expositionsdauern (< 10 Minuten) ermöglicht wird.

Um die in dieser Arbeit beschriebenen Vorteile der Probit-Funktionen, insbesondere die Beurteilung der Effektivität von störfallbegrenzenden Maßnahmen, trotzdem nutzen zu können, wird im Nachfolgenden eine Probit-Funktion auf der Basis der AEGL-Werte abgeleitet. Hierbei werden die bereits toxikologisch bewerteten AEGL-Werte genutzt und deren Anwendbarkeit mit Hilfe einer Interpolationsfunktion erweitert.

Für die Probit-Funktionen ausschlaggebend ist die Dosis, die wie folgt definiert ist:

ℎ = (47)

Es wird davon ausgegangen, dass die Dosis der jeweiligen AEGL-3-Werte für die verschiedenen Expositionszeiten den gleichen Schaden, nämlich tödliche Gesundheitseffekte, bewirkt.

In einem ersten Schritt wird der Exponent n der Formel 47 ermittelt. Dies erfolgt, indem die jeweilige Dosis der AEGL-3-Werte für die 5 Expositionszeiträume unter Variation des Exponenten „n“ in einem Bereich von 1 bis 3 berechnet wird. Hierbei ergeben sich leichte Abweichungen zwischen den einzelnen Dosen der AEGL-3-Werte. Da nur ein Exponent n benötigt wird, muss eine Auswahl auf der Grundlage dieser berechneten Abweichungen erfolgen.

Hierfür werden die Abweichungen der einzelnen Dosis-Werte zu der jeweiligen Dosis des AEGL-3-Wertes für 60 min nach Formel 48 normiert.

ℎ = − 1 (48)

In den Zähler der Formel 48, Dosisvariabel , werden alle AEGL-3-Werte mit den Expositionszeiten von 10 min bis 480 min eingesetzt.

Die so berechneten Abweichungen der toxischen Dosis-Werte wurden daraufhin summiert. Eine Auswahl der nach dem in Formel 48 angegebenen Zusammenhang berechneten Abweichungen der Dosis-Werte bzw. die Summierung dieser enthält die nachfolgende Tabelle.

152

Tabelle 67: Abweichung der Dosen der AEGL-3-Werte im Vergleich zur Dosis des AEGL-3-Wertes für 60 min

Exponent n

Toxische Dosis V ∑ Abweichung 10 min 30 min 60 min 240 min 480 min

1,0 5,91*10-1 2,73*10-1 0,00 1,00 1,84 3,70 1,2 5,1*10-1 2,16*10-1 0,00 7,41*10-1 1,31 2,77 1,4 4,14*10-1 1,55*10-1 0,00 5,16*10-1 8,73*10-1 1,96 1,6 2,99*10-1 8,94*10-2 0,00 3,20*10-1 5,23*10-1 1,23 1,8 1,98*10-1 3,67*10-2 0,00 1,89*10-1 3,03*10-1 7,27*10-1 2,00 4,13*10-3 5,79*10-2 0,00 0,00 5,62*10-3 6,76*10-2 2,2 2,02*10-1 1,40*10-1 0,00 1,29*10-1 1,83*10-1 6,54*10-1 2,4 4,38*10-1 2,29*10-1 0,00 2,42*10-1 3,36*10-1 1,24 2,6 7,21*10-1 3,25*10-1 0,00 3,40*10-1 4,60*10-1 1,85 2,8 1,06 4,28*10-1 0,00 4,26*10-1 5,61*10-1 2,47 3,0 1,46 5,39*10-1 0,00 5,00*10-1 6,43*10-1 3,15

Anhand Tabelle 67 ist ersichtlich, dass sich die Abweichungen der summierten Dosen untereinander mit Zunahme des Exponenten n bis zum Erreichen eines Minimums bei einem Exponenten von n=2 verringern. Danach steigt die Abweichung wieder. Demzufolge wird der Exponent von 2 ausgewählt und für die Dosisberechnungen der Probit-Funktion herangezogen.

Anschließend werden die Konstanten a und b der Probit-Funktion ermittelt. Dies erfolgt mit Hilfe des Probit-Wertes Y, nach folgender Formel (siehe auch Ausführungen Kapitel 3.6.3):

= + ln (15)

Zur Lösung des Problems von zwei Unbekannten a und b wurden zwei Gleichungen wie folgt verwendet: = + (49) = + (50)

Auf der Basis des Probit-Wertes Y wird die Wahrscheinlichkeit, dass eine Person eine bestimmte Schädigung erleidet, nach Formel 15 (siehe Kapitel 3.6.3) berechnet. Vorteilhaft ist, dass für definierte Schadenswahrscheinlichkeiten die Probit-Werte Y bekannt sind. So entspricht z. B. der Probit-Wert 2,67 einer Schadenswahrscheinlichkeit von 1% (siehe auch Purple Book [16]). Aus diesem Grund muss in einem weiteren Schritt festgelegt werden, bei welcher toxischen Dosis V1 und V2 welche Schädigung zu erwarten ist. Deshalb wird für den Probit-Wert Y1 festgelegt, dass dieser einer Todeswahrscheinlichkeit von 1 % entspricht. Weiterhin wird für V1 festgelegt, dass bei Erreichen der Dosis des AEGL-3-Wertes für 60 Minuten eine 1 % Todeswahrscheinlichkeit

153

besteht. Ein ähnlich pragmatischer Ansatz wird in den Niederlanden zur Ableitung von Probit-Funktionen verwendet, wobei für den AEGL-3-Wert ebenfalls von einer Sterblichkeit von 1 % ausgegangen wurde [141].

Dagegen soll der Probit-Wert Y2 bzw. die Dosis V2 für einen Wert stehen, bei dem eine Schädigung in der Regel nicht mehr zu erwarten ist. Hierfür wird die Dosis des AEGL-1-Wertes für 60 Minuten verwendet. Für diesen Wert wird eine Wahrscheinlichkeit von 0,001 % definiert. Das bedeutet, dass ein Mensch von 100.000 Menschen ein spürbares Unwohlsein erleiden kann. Bei diesen Festlegungen wird allerdings nicht der Anspruch erhoben, eine korrekte toxikologische Beurteilung der Umstände wiederzugeben, sondern eine Problemlösung zu erarbeiten. In Bezug zu dem Risikokonzept des Ausschusses für Gefahrstoffe [142] für die Beurteilung von krebserzeugenden Stoffen liegt der Wert von 1*10-5 noch unterhalb der Akzeptanzschwelle im Ampelmodell für Krebsrisiko. Dieser Wert stellt somit einen akzeptablen Wert dar, nicht zuletzt vor dem Hintergrund, dass es sich beim AEGL-1-Wert um das Schadensmaß des spürbaren Unwohlseins handelt.

Aus dem AEGL-1 und AEGL-3-Wert für 60 Minuten und deren Schadenswahrscheinlichkeiten wird eine Probit-Funktion mit den folgenden Konstanten berechnet:

Tabelle 68: Parameter der Probit-Funktion für Ammoniak

a b n Ammoniak -0,6918 0,1934 2

Zur Plausibilitätsprüfung der abgeleiteten Probit-Funktion wurden die Schadenswahrscheinlichkeiten der Dosen der AEGL-Werte 1 bis 3 berechnet. Die Dosis-Werte der unterschiedlichen Expositionszeiten innerhalb einer AEGL-Stufe müssen zu ähnlichen Schadenswahrscheinlichkeiten führen. Das bedeutet, dass z. B. der AEGL-2-Wert für 10 min zu einer ähnlichen Schadenswahrscheinlichkeit wie der AEGL-2-Wert für 240 min führen sollte. Wie der Tabelle 69 zu entnehmen ist, zeigt sich insbesondere für die AEGL-3-Werte eine sehr gute Übereinstimmung. Die Schadenswahrscheinlichkeiten der AEGL-1- und -2-Werte weisen geringe Abweichungen untereinander auf, die allerdings im Zusammenhang mit einem pragmatischen Ansatz zu vernachlässigen sind. Das Hauptaugenmerk liegt bei diesem Ansatz auf den AEGL-3-Werten, um einen im Vergleich zu international verwendetem Schadensmaß gute Übereinstimmung zu erzielen. Das ist hier der Fall.

Tabelle 69: Schadenswahrscheinlichkeit der Probit-Funktion auf der Basis der Dosen der AEGL-Werte für NH3

AEGL-Wert

10 Min 30 Min 60 Min 240 Min 480 Min

1 2,41*10-5 5,85*10-5 1,00*10-4 2,79*10-4 4,55*10-4 2 4,92*10-4 1,03*10-3 1,06*10-3 1,60*10-3 2,44*10-3 3 1,00*10-2 1,03*10-2 1,00*10-2 1,00*10-2 1,00*10-2

154

Inwiefern diese Probit-Funktion auch plausible und praxistaugliche Ergebnisse im Zusammenhang einer kompletten QRA der Kälteanlagen liefern kann, wird im Nachfolgenden untersucht. Aus diesem Grund werden für die Kälteanlage A und B unter Verwendung der Probit-Funktion, abgeleitet aus den AEGL-Werten für Ammoniak, weitere Risikoanalysen durchgeführt. Die Ergebnisse sind in der Abbildung 51 und Abbildung 52 dargestellt.

Abbildung 51: Anlagenrisiko der NH3-Kälteanlage A [1/a] auf Basis der Probit Funktion, abgeleitet aus den AEGL-Werten

1E-061E-07

0

155

Abbildung 52: Anlagenrisiko der NH3-Kälteanlage B [1/a] auf Basis der Probit Funktion, abgeleitet aus den AEGL-Werten

Im Ergebnis dieser Risikoberechnungen wurde für die Anlagen A und B ein maximaler Risikowert im Bereich von 1 bis 2*10-6 [1/a] ermittelt. Deshalb wurden nur die Risikokonturen 1*10-7 bis 1*10-6 [1/a] dargestellt. Der Unterschied von ca. 2 Zehnerpotenzen der maximalen Risikowerte erscheint plausibel im Vergleich zu den in Tabelle 65 auf der Grundlage des AEGL-3-Werts berechneten Risikowerte, was unter Verwendung der Probit-Funktion von Cavey [108] nicht der Fall war. Die Eintrittshäufigkeiten der Szenarien werden neben den Wetterdaten mit der Schadenswahrscheinlichkeit der Probit-Funktionen multipliziert, was verständlicherweise zu geringeren Risikowerten führt. Im Unterschied dazu wird bei der Verwendung der Grenzwerte abgefragt, ob diese in einer bestimmten Entfernung zum Freisetzungsort erreicht werden. Die Ausdehnungen der Risikokonturen auf der Basis der Probit-Funktion sind im Vergleich zu Abbildung 46 und Abbildung 47 deshalb geringer, was auf Grund der kontinuierlichen Abnahme der Schadenswahrscheinlichkeit von Personenschäden mit der Entfernung zum Freisetzungsort zu erwarten ist. Für beide Anlagen ergeben sich die größten Risiken (rote Risikokontur) im Nahbereich der Freisetzungsorte für Ammoniak, die im Wesentlichen die Ausblaseleitungen der Sicherheitsventile und die Öffnungen der Maschinenraumlüftung sind. Darüber hinaus sind die im Freien stehenden Abscheider der Anlage B ein weiterer Emissionsort, der die Ursache für die größere Ausdehnung der roten Risikokontur im Vergleich zur Abbildung 51 darstellt.

Infolgedessen kann geschlussfolgert werden, dass sich für NH3-Kälteanlagen unter Verwendung der abgeleiteten Probit-Funktion auf Basis der AEGL-Werte, auch vor dem Hintergrund der international verwendeten Risikogrenzwerte, akzeptable und plausible Risikokonturen ergeben,

1E-061E-07

0

156

da insbesondere die Risikokontur 10-6 [1/a] hauptsächlich auf den Betriebsgeländen verläuft. Dieses Ergebnis wird auch durch die in der Zema-Datenbank [45] in den letzten 10 Jahren gemeldeten Schadensereignissen bestätigt, wobei außerhalb der Betriebsgelände von Kälteanlagen keine Personenschäden festgestellt wurden. Demzufolge können mit der auf der Basis der AEGL-Werte abgeleiteten Probit-Funktion plausiblere Ergebnisse als im Vergleich zur Probit-Funktion von Cavey ermittelt werden.

Einschränkend muss ausgeführt werden, dass die Ableitung einer Probit-Funktion auf der Basis der AEGL-Werte nicht durchgeführt werden kann, wenn keine unterschiedlichen AEGL-Werte für die drei Schweregrade festgelegt worden sind. Infolgedessen ließen sich keine unterschiedlichen Schäden bzw. Schadenswahrscheinlichkeiten für toxische Dosen festlegen.

Da dies jedoch für eine Vielzahl der in der Industrie häufig verwendeten Stoffen nicht der Fall ist, werden die Freisetzungen toxischer Medien im Rahmen dieser Arbeit mit der beschriebenen Methode zur Ableitung von Probit-Funktionen bewertet.

157

4.4 Untersuchung der Produktionsanlage für Fluorwasserstoff

In den nachfolgenden Kapiteln werden Untersuchungen an einer Produktionsanlage für die toxischen Stoffe Fluorwasserstoff und Fluorwasserstoffsäure durchgeführt. Dabei steht im Fokus dieser Untersuchungen, den Einfluss der technischen störfallbegrenzenden Maßnahmen, insbesondere der Berieselungsanlage an der EKW-Station, auf das Anlagenrisiko der Fluorwasserstoffanlage (HF-Anlage) herauszuarbeiten.

4.4.1 Beschreibung der Fluorwasserstoffanlage

Der Betriebsbereich der HF-Anlage liegt in einem Gewerbegebiet südlich einer Kleinstadt. In südlicher Richtung des Betriebsgeländes befindet sich die Eisenbahntrasse, von der aus ein Stichgleis auf das Betriebsgrundstück führt. Östlich wird das Betriebsgelände von einer hohen Böschung und in westlicher Richtung durch einen Flusslauf begrenzt. Die Entfernung zu einer einzeln gelegenen Wohnbebauung beträgt ca. 30 m und ca. 130 m zur Wohnbebauung des Ortes (siehe auch Abbildung 46).

Der Betriebsbereich der HF-Anlage besteht im Wesentlichen aus den folgenden sicherheitstechnisch relevanten Teilanlagen:

− Oleumentladung und -tanklager − HF-Produktionsanlage einschließlich Destillationsanlage − HF-Tanklager − HF- und Fluorwasserstoffsäure-Kesselwagenabfüllung − Fluorwasserstoffsäure-Tankwagenbefüllung und -entleerung − Ammoniak-Kälteanlage − Fluorwasserstoffsäure-Lagerung in IBC − Tank für 23/40-%-Fluorwasserstoffsäure.

Die HF-Anlage befindet sich im südlichen Bereich des Betriebsgeländes in einem Produktionsgebäude, das sich über mehrere Ebenen erstreckt. In der HF-Anlage wird aus Flussspat und Schwefelsäure (Oleum) Fluorwasserstoffsäure hergestellt. Die Rohstoffe werden dosiert, gemischt und in einem indirekt beheizten Drehrohrofen erfolgen Stoffumwandlungen bei 300-350 °C zu HF-Rohgas und Anhydrit. In einer Vorreinigung werden in der 1. Stufe mit Schwefelsäure als Teilstrom aus der Dosierung Staub und Wasser und in einer 2. und 3. Stufe mit Fluorwasserstoffsäure aus der Kondensation Schwefelsäure aus dem HF-Rohgas absorbiert. Gleichzeitig wird das HF-Rohgas knapp über dessen Siedepunkt (19,5 °C) mittels Sole der Ammoniak-Kälteanlage gekühlt, wobei das HF-Rohgas kondensiert und Fluorwasserstoffsäure gewonnen wird.

Anschließend wird die Fluorwasserstoffsäure (ca. 99 %ig) in die zur Destillationsanlage gehörenden Vorlagebehälter gepumpt und der Destillationskolonne zugeführt. In dieser Kolonne erfolgt die Austreibung der flüchtigen Komponenten SiF4 und SO2 über Kopf mit einem gewissen Anteil HF. Im Sumpf befindet sich Fluorwasserstoff mit einer Reinheit von 99,99 %. Dieser wird

158

über Sumpfkühler abgekühlt und in zwei Tagesbehältern zwischengelagert. Die bei der Destillation anfallenden Abgase werden in einen Absorber geleitet.

In der Mischanlage wird die Fluorwasserstoffsäure mit Brauchwasser in gewünschte Konzentrationsbereiche verdünnt und verschiedenen Behältern zugeführt.

Daraufhin kann die Fluorwasserstoffsäure in Kesselwagen verladen oder in IBC abgefüllt werden. Die IBC werden in einer Halle bis zum Abtransport gelagert.

Eine detaillierte Verfahrensbeschreibung dieser Anlagen kann dem Bericht [71] entnommen werden.

4.4.2 Szenarienentwicklung der HF-Anlage

Für die Gefährdungsanalyse wurde das erweiterte Checklistenverfahren verwendet. Wie bei allen anderen untersuchten Anlagen wurden die Fehler- und Ereignisbäume aufgestellt und auf der Grundlage des in dieser Arbeit erstellten Datensatzes berechnet. Aus der Ereignisbaumanalyse und unter Anwendung des Abschneidekriteriums resultieren die zu untersuchenden Szenarien des Grund- und Betriebsrisikos.

4.4.3 Auswirkungsbetrachtungen der HF-Anlage

Fluorwasserstoff mit einer Molmasse 20,0 g/mol und einer Siedetemperatur von 19,5 °C bei 1013 mbar ist ein sehr toxisches, nicht brennbares aber stechend riechendes Gas mit einer ätzenden Wirkung auf Schleimhäute und Haut. Zusätzlich besteht die Gefahr schwerer Augen- und Lungenschädigungen, Störungen von Stoffwechsel, Herz-Kreislauf- und Nervensystem. Infolge der starken Hygroskopie und Reaktivität nimmt gasförmiges HF aus der Luft Wasser auf, sodass sich schnell wasserhaltige HF-Aerosole bilden und von einem Schwergascharakter des Gases ausgegangen werden kann. Aus diesem Grund wird bei HF-Freisetzungen eine kombinierte Berechnung nach der VDI-Richtlinie 3783 Blatt 1 [22] und 2 [23] auf der Basis der in Abbildung 44 und Abbildung 45 dargestellten Windhäufigkeits- und Windgeschwindigkeitsverteilungen durchgeführt.

Im Betriebsbereich wird ebenfalls mit Fluorwasserstoffsäure verschiedener Konzentrations-bereiche umgegangen. Fluorwasserstoffsäure ist eine farblose, stechend riechende und sehr toxische Flüssigkeit, die ähnliche Schadensbilder wie Fluorwasserstoff bewirkt. Wird diese bei Umgebungsbedingungen freigesetzt, so ist in erster Linie von einer Lachenbildung mit anschließender Verdunstung entsprechend der Temperatur und der Konzentration der Fluorwasserstoffsäure auszugehen. Im Rahmen dieser Arbeit wird für die Gasausbreitung der Fluorwasserstoffsäure bis zu einem Konzentrationsbereich von 70 % das Blatt 1 der VDI-Richtlinie 3783 herangezogen. Fluorwasserstoffsäure mit einer Konzentration >70 % wird wie Fluorwasserstoff betrachtet.

Neben Fluorwasserstoff und -säure wird Oleum (H2S04), eine farblose, ölige, sehr viskose ätzende Flüssigkeit, in der Anlage verwendet.

159

Um ein vergleichbares Beurteilungskriterium wie für den toxischen Stoff Ammoniak zu verwenden und um die Ableitung der neuen Probit-Funktionen zu evaluieren, wurden Probit-Funktionen, wie im vorhergehenden Abschnitt beschrieben, auf der Grundlage der AEGL-Werte für die Stoffe Fluorwasserstoff und Oleum abgeleitet. Dabei wurde wiederum der Exponent n, bei dem die geringste Gesamtabweichung der Dosen der jeweiligen AEGL-3-Werte für die 5 Expositionszeiträume ermittelt wurde, gewählt. Mit Hilfe zweier Gleichungen mit zwei Unbekannten, wurden die Parameter für die HF-Probit-Funktion und für die Oleum-Funktion berechnet, die in der nachfolgenden Tabelle aufgeführt sind.

Tabelle 70: Parameter der Probit-Funktion für Fluorwasserstoff und Oleum

a b n Fluorwasserstoff 0,512 0,204 1,8 Oleum 1,388 0,055 3,7

Um wiederum die Plausibilität der Probit-Funktionen beurteilen zu können, wurden die Schadenswahrscheinlichkeiten der Dosen der jeweiligen AEGL-Werte mit Hilfe der abgeleiteten Probit-Funktion berechnet. Die Ergebnisse sind den nachfolgenden Tabellen zu entnehmen.

Tabelle 71: Schadenswahrscheinlichkeit der Probit-Funktion auf der Basis der Dosen der AEGL-Werte für HF

AEGL-Wert


1 2,21*10-5 5,66*10-5 1,00*10-4 2,96*10-4 4,94*10-4 2 8,00*10-3 5,19*10-3 5,40*10-3 5,85*10-3 8,68*10-3 3 1,41*10-2 9,60*10-3 1,00*10-2 1,08*10-2 1,55*10-2

Tabelle 72: Schadenswahrscheinlichkeit der Probit-Funktion auf der Basis der Dosen der AEGL-Werte für Oleum

AEGL-Wert


1 6,72*10-5 8,59*10-5 1,00*10-4 1,35*10-4 1,57*10-4 2 1,21*10-3 1,48*10-3 1,68*10-3 2,15*10-3 2,42*10-3 3 1,03*10-2 1,02*10-2 1,00*10-2 9,98*10-3 1,01*10-2

Auch bei den Stoffen Fluorwasserstoff und Oleum zeigen sich insbesondere bei den AEGL-3-Werten gute Übereinstimmungen in den Schadenswahrscheinlichkeiten. Die geringen Abweichungen der Schadenswahrscheinlichkeiten der AEGL-1- und -2-Werte werden vor dem Hintergrund eines pragmatischen Ansatzes zur Ableitung von Probit-Funktionen nicht weiter berücksichtigt, zumal der Schwerpunkt dieser Betrachtungen auf den AEGL-3-Werten liegt. Aus

160

diesem Grund werden die abgeleiteten Probit-Funktionen für die weiteren Berechnungen verwendet.

4.4.4 Einfluss der technischen störfallbegrenzenden Maßnahmen auf das Anlagenrisiko

Im Abschnitt 9.2.6.2 der Vollzugshilfe zur Störfall-Verordnung [19] wird ausgeführt, dass die Störfallablaufszenarien dem Nachweis dienen, dass die Betreiberpflichten des § 3 der Störfall-Verordnung [1] erfüllt sind. Diese beinhalten ebenfalls die Ermittlung der Wirksamkeit von störfallbegrenzenden Maßnahmen. Dabei sind vernünftigerweise auszuschließende Gefahrenquellen zu berücksichtigen. In vielen Sicherheitsberichten wird in der Praxis die Wirksamkeit der störfallbegrenzenden Maßnahmen nicht bewertet. Die störfallverhindernden und -begrenzenden Maßnahmen werden in der systematischen Gefahrenanalyse den Gefährdungen gegenüber gestellt. Inwieweit die störfallbegrenzenden Maßnahmen unter Berücksichtigung der Reaktionszeiten der Sicherheitseinrichtungen überhaupt sinnvoll sind, wird nicht untersucht. In der nachfolgenden Berechnung soll deshalb eine Möglichkeit für die Bewertung der störfallbegrenzenden Maßnahmen am Beispiel einer Berieselungsanlage an der EKW-Station der HF-Anlage aufgezeigt werden.

Eine Gefahrenquelle bei der Abfüllung toxischer Medien in der HF-Anlage stellt die unbeabsichtigte Freisetzung durch z. B. Schlauchabrisse dar. Schlauchabrisse bzw. Probleme an Schnelltrennkupplungen, die zu Stofffreisetzungen führten, sind nach der ZEMA-Datenbank [45] kein unbekanntes Ereignis. Vor diesem Hintergrund wurde eine Berieselungsanlage als technische störfallbegrenzende Maßnahme diskutiert, um die Ausbreitung der Gase durch Niederschlagen zu reduzieren. Wie verschiedene Veröffentlichungen, u. a. in Puls [123], belegen, sind deutliche Abschwächungen durch das Aufstellen von Wasserschleiern zu erzielen. Fthenakis gibt in [143] z. B. eine Reduzierung von HF um 96 % bei einer Windgeschwindigkeit von 5 m/s an. Diese hohe Reduzierrate ist nicht zuletzt auf die gute Wasserlöslichkeit des Fluorwasserstoffs zurückzuführen. Diese durch Fthenakis ermittelte Reduzierrate wird zur Ermittlung der Wirksamkeit für die Berieselungsanlage als störfallbegrenzende Maßnahme zu Grunde gelegt.

Derzeit ist in der HF-Anlage eine Berieselungsanlage installiert, die von Hand in Betrieb genommen werden muss, indem ein Mitarbeiter in einer Entfernung von 50 m zur EKW-Abfüllung einen Start-Taster betätigt. Eine Alternative dazu stellt die Inbetriebnahme der Berieselungsanlage mithilfe einer Gaswarnanlage dar. Um den Einfluss dieser unterschiedlichen Ansteuerung der Berieselungsanlage auf das Anlagenrisiko zu verdeutlichen, wurden verschiedene Risikoberechnungen unter Verwendung der Probit-Funktionen (siehe Tabelle 70) durchgeführt.

Der Einfluss der störfallbegrenzenden Maßnahmen, wie z. B. die Folienabdeckung oder Beschäumung einer Lache sowie das Aufstellen von Wasservorhängen, auf die unterstellten Szenarien der Risikoanalyse lässt sich in der Ereignisbaumanalyse einfach darstellen. Somit kann z. B. auf der Grundlage der reduzierten Emissionsdauer oder der Massenströme der Szenarien die Wirksamkeit der störfallbegrenzenden Maßnahmen bewertet werden.

161

Die Bewertung von Stofffreisetzungen wird in Deutschland auf der Basis von Grenzwerten, wie z. B. der AEGL-Werte, vorgenommen. Der geringste Zeitbezug der AEGL-Werte stellen 10 Minuten dar. Eine Extrapolation bezüglich einer geringeren Emissionsdauer ist bei den AEGL-Werten nicht möglich. Da jedoch die Emissionsdauern der Szenarien der beiden Risikoanalysen Inbetriebnahme der Berieselungsanlage von Hand oder durch Gaswarneinrichtung sich hauptsächlich innerhalb der ersten zwei Minuten unterscheiden, kann der Einfluss der Gaswarneinrichtung auf der Grundlage der Grenzwerte nicht dargestellt werden. Es ergibt sich kein Unterschied im Verlauf der Risikokonturen.

In einem ersten Schritt wurde das Anlagenrisiko der HF-Anlage mit der abgeleiteten Probit-Funktion für HF auf der Basis der AEGL-Werte ohne die Berieselungsanlage als technische Schutzmaßnahme berechnet. Sinn dieser Berechnung war es, den prinzipiellen Einfluss der Berieselungsanlage bewerten zu können. In Abbildung 53 ist das Anlagenrisiko der HF-Anlage ohne Berieselungsanlage dargestellt. Im Vergleich dazu beinhaltet die Abbildung 54 das Anlagenrisiko mit einer Berieselungsanlage, die von Hand in Betrieb genommen wird. Die Risikokonturen sind in einem Bereich von 5*10-6 bis 1*10-7 [1/a] abgebildet.

Abbildung 53: Anlagenrisiko der HF-Anlage ohne Berieselungseinrichtung [1/a]

162

Abbildung 54: Anlagenrisiko der HF-Anlage [1/a] mit Inbetriebnahme der Berieselungseinrichtung von Hand

Anhand der Abbildung 53 und Abbildung 54 ist ersichtlich, dass nur eine geringe Risikoreduzierung im südlichen Bereich des Firmengeländes erzielt werden kann (Abbildung 54). Ursache dafür ist, dass bei der Inbetriebnahme der Berieselungsanlage von Hand der Wasservorhang frühestens nach 70 s wirksam werden kann. Nach dieser Zeit wurde bereits ein Konzentrationsmaximum an HF in der Umgebung der EKW-Verladung ermittelt.

Wird die Berieselungsanlage allerdings über eine Gaswarnanlage angesteuert, so kann der Wasservorhang der Berieselungsanlage schon ab 30 s wirksam werden. Dies führt zu einer wesentlich größeren Risikoreduzierung, wie der Abbildung 55 entnommen werden kann. Auffällig ist, dass die blaue Risikokontur deutlich geringe Ausdehnungen aufweisen im Gegensatz zur Abbildung 54. Durch die schnellere Inbetriebnahme der Berieselungsanlage wird der Massenstrom des überwiegenden Teils der Szenarien an der EKW-Station nach 30 s reduziert.

Somit kann auf der Basis der Risikoanalyse dem Anlagenbetreiber der HF-Anlage empfohlen werden, dass die Berieselungsanlage durch eine Gaswarnanlage in Betrieb genommen werden sollte, um eine deutliche Risikoreduzierung erzielen zu können.

5E-061E-061E-07

163

Abbildung 55: Anlagenrisiko der HF-Anlage [1/a] mit Inbetriebnahme der Berieselungseinrichtung mittels Gaswarneinrichtung

Als Fazit dieser Berechnungen kann festgestellt werden, dass auf der Grundlage der im Rahmen dieser Arbeit entwickelten Methodik die Wirksamkeit der störfallbegrenzenden Maßnahmen bewertet werden kann. Somit steht dem Anlagenbetreiber ein Instrumentarium zur Verfügung, um Entscheidungen für oder gegen eine störfallbegrenzende Maßnahme, wie z. B. der Berieselungsanlage bzw. deren Betriebsweise, treffen zu können. Auf Grund der geringen Emissionsdauer vieler Szenarien (< 10 Minuten) kann diese Bewertung allerdings nur in Kombination mit Probit-Funktionen sinnvoll durchgeführt werden. Die Verwendung von Grenzwerten würde keine differenzierte Bewertung ermöglichen. In diesem Zusammenhang wird nochmals der Vorteil der Probit-Funktionen und die Notwendigkeit deren Anwendung deutlich, um Probleme der Praxis fundiert beurteilen zu können. Darüber hinaus wurde nachgewiesen, dass mittels der auf der Basis der AEGL-3-Werte abgeleiteten Probit-Funktionen qualifizierte Ergebnisse erzeugt werden können. Somit werden die Verwendung der Probit-Funktionen und der Ansatz zur Ableitung dieser in die Methodik der QRA für Deutschland aufgenommen.

164

5 Ableitung von Risikogrenzwerten

Eine Zielsetzung dieser Arbeit war es, eine praxisorientierte Vorgehensweise zur Durchführung einer QRA zu entwickeln, die sich durch die Kombination Methodik / Risikogrenzwert auszeichnet. Vor diesem Hintergrund ergibt sich die Problematik, dass derzeit keine Risikogrenzwerte für Deutschland veröffentlicht worden sind. International existieren jedoch verschiedene Risikogrenzwerte für unterschiedliche Anwendungsgebiete, die im Kapitel 2.2 dieser Arbeit vorgestellt wurden.

Prinzipiell lassen sich die Ergebnisse einer QRA mit verschiedenen Beurteilungskriterien bzw. mit verschiedenen Schadensbildern (Tod, Verletzung, Umweltschäden) kombinieren. Die in den europäischen Ländern aber auch international durchgeführten QRA basieren in der Regel auf dem Beurteilungskriterium des Todes von Personen. Somit sind die Risikogrenzwerte auch immer im Zusammenhang mit den entsprechenden Beurteilungskriterien und der jeweiligen Methodik sowie deren Zielsetzung zu interpretieren.

Zur Durchführung einer QRA, die die deutsche Sicherheitsphilosophie abbildet, wurde im Rahmen dieser Arbeit eine Methodik ebenfalls im Zusammenhang mit dem Beurteilungskriterium des Todes von Personen entwickelt, um eine Vergleichbarkeit mit international gültigen Risikogrenzwerten zu erreichen.

Im Ergebnis der Risikoanalysen wurde für Anlagen mit brennbaren Stoffen (Flüssiggasanlage) unter Verwendung des erarbeiteten Zündwahrscheinlichkeitsmodells und der Probit-Funktionen mit Fluchtbetrachtung festgestellt, dass ein Risiko von 5*10-6 [1/a] an der Betriebsgrenze überwiegend eingehalten wird. Darüber hinaus ergab der Vergleich zu dem nach Technischem Regelwerk TRB 801 Nr. 25 Anlage geforderte Sicherheitsabstand, dass sich diese Risikokontur größtenteils innerhalb dessen befindet. Nach deutscher Sichtweise entspricht somit das Risiko, welches von Flüssiggasanlagen ausgeht, einem Wert von 5*10-6 [1/a].

Für die Anlagen, die mit toxischen Stoffen umgehen, wurden unter Verwendung der in dieser Arbeit abgeleiteten Probit-Funktionen für Ammoniak, Fluorwasserstoff und Oleum unterschiedliche Risikowerte festgestellt. Für die Kälteanlagen ergab sich an den Betriebsgrenzen für die Anlage A und B ein Risikowert von 1*10-6 [1/a] bzw. 1*10-7 [1/a]. Für die HF-Anlage in Verbindung mit der Berieselungsanlage mit Inbetriebnahme von Hand wird dagegen ein etwas höherer Risikowert von 5*10-6 [1/a] an der Betriebsgrenze im Wesentlichen nicht überschritten.

Für die ausgewählten Anlagentypen ergeben sich in Abhängigkeit der verwendeten Stoffe somit Risikowerte an den Betriebsgrenzen im Bereich von 1*10-7 bis 5*10-6 [1/a], die im Vergleich zu europäischen und international gültigen Risikogrenzwerten akzeptable Werte darstellten.

165

6 Zusammenfassung und Ausblick

6.1 Zusammenfassung

In dieser Arbeit wurde eine Methodik zur Durchführung einer QRA entwickelt, die den Stand der Sicherheitstechnik in Deutschland abbildet. Die Entwicklung erfolgte aus ingenieurtechnisch-praxisorientierter Perspektive. Unter Verwendung bekannter und angewandter Prinzipien und Ansätze in der Praxis soll eine breite Akzeptanz der Methodik erzielt werden. Hierfür wurden die wesentlichen Einflussfaktoren der QRA, wie z. B. die Ausfalldaten und Leckagehäufigkeiten der Anlagenteile und Komponenten, die Zündwahrscheinlichkeit brennbarer Stoffe sowie die Vor- und Nachteile der Beurteilungskriterien, diskutiert, Schwächen in der Modellierung der Auswirkungsbetrachtungen oder auch der Probit-Funktionen aufgezeigt und entsprechende Lösungsansätze vorgeschlagen. Die wesentlichen Schritte der Methodik werden im Nachfolgenden zusammengefasst.

Aufbauend auf der systematischen Gefahrenanalyse von Sicherheitsberichten erfolgte die Einteilung der Gefahrenquellen in Grund- und Betriebsrisiko. Zur Bestimmung des Grundrisikos wurden einfache Ansätze aus standardisierten Kombinationen der Leckflächen und -häufigkeiten erarbeitet. Dies hat sich vor dem Hintergrund eines vertretbaren Aufwandes einer QRA als sehr sinnvoll herausgestellt, da somit nur die Gefahrenquellen, die der Betreiber beeinflussen kann (Betriebsrisiko), detailliert analysiert werden. Zur Ermittlung des Betriebsrisikos wurde die Fehlerbaumanalyse genutzt, in der die sicherheitstechnische Ausrüstung der Anlagen untersucht wird. Dies war eine wesentliche Zielstellung dieser Arbeit.

Die Szenarienentwicklung des Grund- und Betriebsrisikos wurde mit Hilfe der Ereignisbaumanalyse durchgeführt. Hierbei wurden die Folgen beim Wirksamwerden einer Gefahrenquelle sowie deren Eintrittshäufigkeit in Abhängigkeit der Sicherheitskonzeption (störfallverhindernde und -begrenzende Maßnahmen) der Anlage ermittelt.

Im Ergebnis hat sich die Fehler- und Ereignisbaumanalyse trotz erheblichen Mehraufwands und erforderlichen Abstraktionsvermögens im Gegensatz zur Deterministik bewährt. Der Grund dafür wird im zusätzlichen Informationsgewinn der Anlagen gesehen, da insbesondere die störfallverhindernden Maßnahmen bzw. deren Wechselwirkung hinterfragt werden.

Außerdem wurde zur Aufwandsreduzierung einer QRA ein Abschneidekriterium für Szenarien mit einer Eintrittshäufigkeit von < 10-8 [1/a] eingeführt. Diese Szenarien verfügen auf Grund der geringen Eintrittshäufigkeit über einen geringen Risikobeitrag im Vergleich zu international verwendeten Risikogrenzwerten und werden daher vernachlässigt.

Zur Bearbeitung der Fehler- und Ereignisbäume wurde ein in sich konsistenter Datensatz auf der Grundlage von Datenbankanalysen und Literaturrecherchen erstellt, der für alle Risikoberechnungen verwendet wurde. Dabei wurde nicht der Anspruch erhoben, anlagenspezifisch exakte Daten zu verwenden. Vielmehr wurde dadurch eine Vergleichbarkeit der Ergebnisse erzielt, die eine Ableitung von Risikogrenzwerten für die untersuchten Anlagentypen ermöglichte.

166

Zusätzlich wurde das Zündwahrscheinlichkeitsmodell von Daycock entsprechend der Bedingungen in Deutschland weiterentwickelt und um den Faktor der Zündwilligkeit ergänzt. So kann z. B. die Forderung der BetrSichV, eine Zoneneinteilung explosionsgefährdeter Bereiche vorzunehmen, im Zündwahrscheinlichkeitsmodell abgebildet werden. Dies war zuvor nicht zu leisten. Darüber hinaus ist die Ableitung des Zündwilligkeitsfaktors als vorteilhaft zu bewerten, da sich die Unterschiede in der Zündwilligkeit brennbarer Stoffe darstellen lassen. Diese Unterschiede beeinflussen das Anlagenrisiko nicht unerheblich, wie die Risikoberechnungen zeigten. Mit dem weiterentwickelten Zündwahrscheinlichkeitsmodell ergeben sich zwar größere Risikokonturen im Vergleich zu einfachen massestrombasierten Modellen, jedoch wird dadurch eine detailliertere und konservativere Beurteilung der Zündwahrscheinlichkeit erreicht. Zudem hat sich bestätigt, dass mit dem weiterentwickelten Zündwahrscheinlichkeitsmodell eine Differenzierbarkeit von unterschiedlichen Nutzungskonzepten des Betriebsgeländes sowie die Bewertung von störfallbegrenzenden Maßnahmen möglich sind.

Hinsichtlich der Beurteilungskriterien wurde herausgearbeitet, dass bei der Beurteilung von Wärmestrahlungen vorzugsweise Probit-Funktionen verwendet werden sollten. Diese Feststellung beruht insbesondere darauf, dass die Grenzwertmethodik auf eindeutigen Ja/Nein-Entscheidungen basiert ohne Berücksichtigung der Expositionsdauer. Die Expositionsdauer ist jedoch ein wichtiger Parameter bei der Beurteilung der zu erwartenden Schäden. Deshalb ergeben die Probit-Funktionen auch bei niedrigeren Wärmestrahlungsstärken und ausreichend langen Expositionszeiten durchaus Schadenswahrscheinlichkeiten. Dies birgt allerdings auch die Problematik, dass sich bei sehr niedrigen Wärmestrahlungsstärken und unendlich langer Expositionszeit Schadenswahrscheinlichkeiten ergeben. Deshalb wurde ein Abschneidekriterium ̇Safe von 1,6 kW/m2 eingeführt, bei dessen Unterschreitung kein Schaden zu befürchten ist.

Zudem kann mit Hilfe der Probit-Funktionen das Fluchtverhalten von Personen aus einem gefährdeten Bereich abgebildet werden. Das Fluchtverhalten beeinflusst die Expositionsdauer und somit die Schadenswahrscheinlichkeit. Der Vorteil der Probit-Funktionen liegt darin, dass sich mit diesen die Wahrscheinlichkeit einer Personenschädigung in Abhängigkeit der Expositionsdauer in einer bestimmten Entfernung zum Freisetzungsort ermitteln lässt. Dies ist unter Verwendung der Grenzwerte als Beurteilungskriterium nicht möglich. Die Probit-Funktionen liefern somit qualifiziertere Ergebnisse. Infolgedessen wird im Rahmen dieser Methodik die Verwendung der Probit-Funktion von Tsao & Perry für Wärmestrahlung und des Green Book für Druckeinwirkungen in Kombination mit den Fluchtbetrachtungen als Beurteilungskriterium vorgeschlagen.

Die Risikoanalysen unter Verwendung der in der Literatur vorgestellten Probit-Funktion für toxische Stoffe ergaben im Vergleich zu Berechnungen mit den AEGL-3-Werten unplausible Ergebnisse. Da der geringste Zeitbezug der AEGL-Werte 10 min beträgt, lassen sich störfallbegrenzende Maßnahmen, die die Emissionsdauern auf < 10 min begrenzen, nicht quantifizieren und bewerten. Unter der Anwendung der AEGL-Werte ergeben sich keine differenzierbaren Ergebnisse im Vergleich zu Probit-Funktion. Deshalb wurden mit Hilfe eines pragmatischen Ansatzes Probit-Funktionen auf der Grundlage der AEGL-Werte abgeleitet. Die Risikoberechnungen auf der Basis dieser Probit-Funktionen lieferten für die Kälteanlage und für

167

die HF-Anlage praxisrelevante und plausible Ergebnisse. Deshalb wird im Rahmen dieser Arbeit empfohlen, Probit-Funktionen entsprechend des in Kapitel 4 vorgestellten Ansatzes abzuleiten und als Beurteilungskriterium für toxische Stoffe in einer QRA zu verwenden.

Mit der entwickelten Methodik wurden verschiedene Vergleichsrechnungen durchgeführt, um sowohl die unterschiedlichen Anwendungsgebiete einer QRA aufzuzeigen als auch die Praxistauglichkeit und die Anwendbarkeit zu testen. Dabei hat sich bei den Flüssiggasanlagen, insbesondere bei der Brandberechnung infolge einer spontanen Freisetzung großer Flüssiggasmengen, herausgestellt, dass ein wichtiger Einflussfaktor in der Modellierung der Szenarien zu sehen ist. Die Anwendung eines Modellansatzes für die Berechnung des Branddurchmessers einer kontinuierlichen Freisetzung führte zu extrem konservativen Ergebnissen, die die restlichen Ergebnisse der QRA überlagerten und die Gesamtaussage der QRA verfälschten. Ein entsprechender Modellansatz zur Berechnung dieser Fragestellung liegt zurzeit nicht vor. In einem ersten Lösungsansatz wurde vorgeschlagen, für den Branddurchmesser den maximalen Lachenradius zu verwenden, der sich entsprechend einer instationären Verdampfungsberechnung ergibt. Mit dieser Vorgehensweise wurden plausible Berechnungsergebnisse erzielt.

Die entwickelte Methodik wurde an verschiedenen real existierenden Anlagen erprobt, die entsprechend des Standes der Technik errichtet wurden und betrieben werden. Für die ausgewählten Anlagentypen ergeben sich in Abhängigkeit der verwendeten Stoffe Risikowerte an den Betriebsgrenzen im Bereich von 1*10-7 bis 5*10-6 [1/a], die im Vergleich zu europäischen und international gültigen Risikogrenzwerten akzeptable Werte darstellen. Aus diesem Grund werden diese Risikowerte als Diskussionsbasis zur Ableitung von Risikogrenzwerten für Deutschland vorgeschlagen.

Als abschließendes Fazit kann festgehalten werden, dass mit dieser Methodik ein transparentes Instrumentarium für eine harmonisierte Vorgehensweise in Deutschland zur Durchführung einer QRA zur Verfügung steht, das flexibel und praxisnah für verschiedene Anwendungsgebiete und Fragestellungen einer QRA nutzbar ist. Das im Rahmen dieser Arbeit entwickelte Konzept hält der internationalen Gegenüberstellung stand, wird aber gleichzeitig der deutschen Sicherheitsauffassung gerecht. Die eingangs formulierte Zielstellung, eine Vorgehensweise zu entwickeln, die sich durch die Kombination Methodik / Risikogrenzwert auszeichnet, ist somit erfüllt.

168

6.2 Ausblick

Die im Rahmen dieser Arbeit entwickelte Methodik und die in diesem Kontext vorgeschlagenen Risikogrenzwerte für Deutschland wurden an drei verschiedenen Anlagentypen abgeleiteten. Die Methodik sollte daher an weiteren Anlagentypen getestet werden, um zusätzliche Analysenergebnisse der Diskussion der Risikogrenzwerte zugrunde legen zu können. Diese könnten Anlagen sein, die mit brennbaren und toxischen Stoffen umgehen (Raffinerien).

Darüberhinaus stellt die Berechnung des Branddurchmessers großer Flüssiggaslachen, die durch spontane Freisetzungen, wie z. B. Rohrabrisse großer Nennweiten entstehen, ein noch nicht gelöstes Problem dar. Für die optimale Modellierung dieser Fragestellung müsste ein komplexes Modell erarbeitet werden. Dieses könnte aus einer instationären Lachenverdunstung bzw. –verdampfung, kombiniert mit einem Zündwahrscheinlichkeitsmodell, bestehen, um zu verschiedenen Zeitpunkten die Lachengröße und die Zündwahrscheinlichkeit berechnen zu können. Ein derartiges Modell sollte daher Gegenstand weiterer Arbeiten sein.

Desweiteren wird es erforderlich sein, den erstellten Datensatz zukünftig entsprechend des technischen Fortschritts anzupassen und dessen Gültigkeit zu überprüfen. Hierfür erscheint es sinnvoll, neben den international zur Verfügung stehenden Datenbanken, nationale Ausfalldaten von Komponenten auf Bundesebene zu sammeln. Denkbar wäre eine Datenbank ähnlich der ZEMA-Datenbank, in der die Daten in anonymisierter Form gesammelt werden. So würden aktuelle Ausfalldaten deutscher verfahrenstechnischer Anlagen in den Datensatz aufgenommen werden.

Ein häufig in der Praxis zu Diskussionen führendes Problem ist die Einteilung der Störfallkategorien. Im Sicherheitsbericht nach § 9 der Störfall-Verordnung sind u. a. Störfallszenarien zu untersuchen und darzustellen. Dabei sind vernünftigerweise nicht auszuschließende Gefahrenquellen, Dennoch-Störfälle und exzeptionelle Störfälle zu betrachten. Die Einteilung der Störfallszenarien in diese Kategorien ist sehr subjektiv. Vor allem bei unwahrscheinlichen Ereignissen ist eine Einteilung mangels Erfahrungen selbst für Experten problematisch. Würden für diese Ereignisse Eintrittshäufigkeiten ermittelt, so würde diese Diskussion objektiviert werden. Erste Hinweise zu dieser Einteilung können z. B. der Vollzugshilfe zur Störfall-Verordnung [19] und dem Leitfaden KAS-18 [24] entnommen werden. Hiernach kann das Versagen von störfallverhindernden Vorkehrungen, wie z. B. Sicherheitsventil, Berstscheiben oder Schutzeinrichtungen der Prozessleittechnik, zu einem Dennoch-Störfall führen, wobei das alleinige Versagen einer Einrichtung dafür nicht ausreichend ist. Neben dem Versagen von Sicherheitseinrichtungen werden Dennoch-Störfälle über Leckgrößen definiert. So wird nach [24] eine Leckagefläche von 80 mm2 (entspricht DN 10) als Dennoch-Störfall im Sinne der Vollzugshilfe [19] angesehen. Das bedeutet im Umkehrschluss, dass Leckdurchmesser < DN 10 nicht mehr den Dennoch-Störfällen zuzuordnen sind. Die Erkenntnisse und Schlussfolgerungen in dieser Arbeit zu den Leckagehäufigkeiten an Behältern im Zusammenhang mit den verwendeten Leckgrößen sowie die Ausfalldaten der störfallverhindernden und -begrenzenden Einrichtungen können als Basis für die Ableitung der Eintrittshäufigkeit der Störfallkategorien in weiterführenden Arbeiten dienen.

169

7 Literatur [1] „Zwölfte Verordnung zur Durchführung des Bundes-Immissionsschutzgesetzes (Störfall-

Verordnung - 12. BImSchV)“, in der Fassung der Bekanntmachung vom 8. Juni 2005 (BGBl. I S. 1598), zuletzt geändert durch Artikel 5 Absatz 4 der Verordnung vom 26. November 2010 (BGBl. I S. 1643).

[2] Störfallkommission - Arbeitskreis Technische Systeme, Risiko und Verständigungsprozesse der Störfallkommission, „Risikomanagement im Rahmen der Störfall-Verordnung“, Bonn, Leitfaden SFK-GS-41, 2004.

[3] Facharbeitskreis Probabilistische Sicherheitsanalyse für Kernkraftwerke, Daten zur probabilistischen Sicherheitsanalyse für Kernkraftwerke. Bremerhaven: Wirtschaftsverlag NW / Verlag für neue Wissenschaft GmbH, 2005.

[4] H. Schütz, P. Wiedemann, W. Hennings, J. Mertens, und M. Clauberg, Vergleichende Risikobewertung: Konzepte, Probleme und Anwendungsmöglichkeiten. Forschungszentrum Jülich, 2004.

[5] J. Tixier, G. Dusserre, O. Salvi, und D. Gaston, „Review of 62 risk analysis methodologies of industrial plants“, Journal of Loss Prevention in the Process Industries, Bd. 15, Nr. 4, S. 291-303, 2002.

[6] F. I. Khan und S. A. Abbasi, „Techniques and methodologies for risk analysis in chemical process industries“, Journal of Loss Prevention in the Process Industries, Bd. 11, Nr. 4, S. 261-277, Juli 1998.

[7] G. L. L. Reniers, W. Dullaert, B. J. M. Ale, und K. Soudan, „Developing an external domino accident prevention framework: Hazwim“, Journal of Loss Prevention in the Process Industries, Bd. 18, Nr. 3, S. 127-138, Mai 2005.

[8] K. Bartels, H. Hoffmann, und L. R. Rossinelli, Das PAAG-Verfahren. Methodik Anwendung Beispiele. Heidelberg: M+M Druck GmbH, 2000.

[9] Guidelines for Hazard Evaluation Procedures, 2. Edition. New York: American Institute of Chemical Engineers, 1992.

[10] DIN 25448: Ausfalleffektanalyse (Fehler-Möglichkeits- und Einfluss-Analyse). Berlin: Beuth Verlag, 1999.

[11] W. Hennings, M. Madjar, R. Mock, und B. Reer, Aspekte der Risikoanalyse in der verfahrenstechnischen Industrie. Zürich: Hochschulverlag AG an der ETH Zürich, 1996.

[12] DIN 25419: Ereignisbaumanalyse Verfahren, grafische Symbole und Auswertung. Berlin: Beuth Verlag, 1985.

[13] DIN 25424 Teil 2: Fehlerbaumanalyse Handrechenverfahren zur Auswertung eines Fehlerbaums. Berlin: Beuth Verlag, 1990.

[14] Det Norske Veritas (DNV), OREDA – Offshore Reliability Data Handbook 4th Edition, 4. Aufl. Trondheim: DNV, 2002.

[15] exida, Safety Equipment Reliability Handbook - 3rd Edition, 3. Aufl. 2007. [16] Guidelines for quantitative risk assessment - Purple Book - CPR 18 E. The Hague:

Committee for the Prevention of Disaasters, 1999. [17] S. Mannan, Lees’ loss prevention in the process industries hazard identification,

assessment, and control., 3. Aufl., Bd. 1-3. Amsterdam; Boston: Elsevier Butterworth-Heinemann, 2005.

[18] The Flemish Government Environment, Nature and Energy Department Environment, Nature and Energy Policy Unit Safety Reporting Division, Handbook Failure Frequencies 2009 for drawing up a Safety Report. Brussels: J.-P. Heirman, Secretary-General Environment, Nature and Energy Department, 2009.

[19] Bundesministerium für Umwelt, Naturschutz und Reaktorsicherheit (BMU), „Vollzugshilfe zur Störfall-Verordnung vom März 2004.“, März 2004.

[20] Methods for calculation of physical effects - Yellow Book - CPR 14 E, 3. Aufl. The Hague: Committee for the Prevention of Disasters, 2005.

[21] American Institute of Chemical Engineers, Guidelines for chemical process quantitative risk analysis, 2. Aufl. New York: The Center, 2000.

170

[22] VDI-Richtlinie 3783 Blatt 1: Ausbreitung von störfallbedingten Freisetzungen - Sicherheitsanalyse. Berlin: Beuth Verlag, 1987.

[23] VDI-Richtlinie 3783 Blatt 2: Ausbreitung von störfallbedingten Freisetzungen schwerer Gase - Sicherheitsanalyse. Berlin: Beuth Verlag, 1990.

[24] Kommission für Anlagensicherheit - Arbeitsgruppe „Fortschreibung des Leitfadens SFK/TAA-GS-1“, „Empfehlungen für Abstände zwischen Betriebsbereichen nach der Störfall-Verordnung und schutzbedürftigen Gebieten im Rahmen der Bauleitplanung - Umsetzung des § 50 BImSchG“, Bonn, Leitfaden KAS 18, Nov. 2010.

[25] Störfallkommission - Arbeitskreis Schadstoffe, „Konzept zur Begründung der Konzentrationsleitwerte im Störfall des Arbeitskreises Schadstoffe (Luft) der SFK“, Bonn, Leitfaden SFK-GS-28, 1999.

[26] D. J. Finney, Probit Analysis. Cambridge: Cambridge University Press, 1971. [27] „Rahmenbericht Flüssiggas-Tanklager“, Basler und Hoffman, Ingenieure und Planer AG,

Zürich, 1992. [28] „Rahmenbericht über Sicherheit von Erdgas-Hochdruckanlagen; Revidierte Ausgabe

1997“, Schweizer Erdgaswirtschaft, Zürich, 1997. [29] Richtlinien Beurteilungskriterien I zur Störfallverordnung StFV. Bern: Bundesamt für

Umwelt, Wald und Landschaft (BUWAL), 1996. [30] S. N. Jonkman, P. H. A. J. M. van Gelder, und J. K. Vrijling, „An overview of quantitative

risk measures for loss of life and economic damage“, Journal of Hazardous Materials, Bd. 99, Nr. 1, S. 1-30, Apr. 2003.

[31] P. Bottelberghs, „Risk analysis and safety policy developments in the Netherlands“, Journal of Hazardous Materials, Bd. 71, Nr. 1-3, S. 59-84, Jan. 2000.

[32] European Commission, Joint Research Centre, Institute for the Protection and Security of the Citizen, Major Accidents Hazards Bureau, „ARAMIS Accidental Risk Assessment Methodology for Industries in the Context of Seveso II Directive - User Guide“, Dez-2004. [Online]. Available: http://mahb.jrc.it/. [Accessed: 09-Sep-2004].

[33] American Institute of Chemical Engineers, Layer of protection analysis : simplified process risk assessment. New York: Center for Chemical Process Safety of the American Institute of Chemical Engineers, 2001.

[34] F. J. Bock, K. Haferkam, J. Mistele, und A. Shahvardian, „ROGA - Eine Methode der risikoorientierten Gefahrenanalyse zur Erfüllung der Anforderungen der Störfall-Verordnung“, Technische Überwachung, Bd. 47, Nr. 10, 11/12, 2006.

[35] Methods for Calculation of Damage - Green Book - CPR16. The Hague: Commitee for the Prevention of Disasters, 2005.

[36] Methods for determining and process probabilities - Red Book - CPR 12E. The Hague: Commitee for the Prevention of Disasters, 2005.

[37] COVO Commission. Risk analysis of six potentially harzardous industrial objects in the Rijnmond area, a pilot study. A report to the public authority. Central Environment Control Agency Rijnmond, 1981.

[38] J. Börcsök, Funktionale Sicherheit : Grundzüge sicherheitstechnischer Systeme, 2. Aufl. Heidelberg: Hüthig, 2008.

[39] DIN IEC 61511-1 (VDE 0810 Teil 1), Funktionale Sicherheit - Sicherheitstechnische Systeme für die Prozessindustrie Teil 1: Allgemeines, Begriffe, Anforderungen an Systeme, Hardware und Software. Berlin: Beuth Verlag, 2004.

[40] N. Duijm und L. Goossens, „Quantifying the influence of safety management on the reliability of safety barriers“, Journal of Hazardous Materials, Bd. 130, Nr. 3, S. 284-292, März 2006.

[41] B. Schalau, P. Schmelzer, und J. Sommer, „Konzept zur Risikobewertung von Industriestandorten - Teil 1“, Technische Überwachung, Bd. 46, Nr. 4, S. 41-44, 2005.

[42] B. Schalau, P. Schmelzer, und J. Sommer, „Konzept zur Risikobewertung von Industriestandorten - Teil 2“, Technische Überwachung, Bd. 46, Nr. 5, S. 40-43, 2005.

http://mahb.jrc.it/

171

[43] I. Kuhn, „Erarbeitung einer Vorgehensweise für die Risikobewertung eines chemischen Entwicklungsstandortes gemäß EU-Seveso-II-Störfallgesetzgebung“, Wissenschaft und Technik Verlag, Berlin, 2001.

[44] VDI/VDE Richtlinie 2180 Blatt 1 - 4; Sicherung von Anlagen der Verfahrenstechnik mit Mitteln der Prozessleittechnik (PLT). Berlin: Beuth Verlag, 2007.

[45] Umweltbundesamt, „Informationssystem zum Stand der Sicherheitstechnik - infosis“. [Online]. Available: www.infosis.uba.de. [Accessed: 30-Apr-2011].

[46] „External Safety (establishments) decree. Information sheet“, the Netherlands Ministery of Housing, Spatial Planning and the Environment (VROM), 2010.

[47] Reducing Risks Protection People. Norwich: HSE Books, 2001. [48] HSE, „Guidance on as ‚low as reasonably practicable‘ (ALARP). Decisions in Control of

Major Accident Hazards (COMAH)“, 2004. [Online]. Available: www.hse.gov.uk/comah/circular/perm12.htm.

[49] „PADHI-HSE`s Land use planning Methodology“, Health and Safety Executive, Sep. 2009. [50] V. Cozzani, R. Bandini, C. Basta, und M. D. Christou, „Application of land-use planning

criteria for the control of major accident hazards: A case-study“, Journal of hazardous materials, Bd. 136, Nr. 2, S. 170–180, 2006.

[51] H. Beerens, J. Post, und P. Uijt de Haag, P.A.M., „The use of generic failure frequencies in QRA: The quality and use of failure frequencies and how to bring them up-to-date“, Journal of Hazardous Materials, Bd. 130, Nr. 3, S. 265-270, März 2006.

[52] J. Daycock und P. J. Rew, Development of a method for the determination of on-site ignition probabilities, Bd. 226. Sudbury: HSE Books, 2004.

[53] „VdTÜV-Forschungsbericht Nr. 315; Aufstellen eines Leitfadens zur Erstellung und Prüfung von Sicherheitsanalysen nach § 7 Störfall-Verordnung“, Bonn, 1990.

[54] H. Kumamoto und E. J. Henley, Probabilistic risk assessment and management for engineers and scientists, 2. Aufl. New York: IEEE Press, 1996.

[55] M. Stamatelatos, W. Vesely, J. Dugan, J. Fragola, J. Minarick, und J. Railbach, „Fault tree Handbook with Aerospace Application“. Aug-2002.

[56] A. Meyna und B. Pauli, Zuverlässigkeitstechnik: Quantitative Bewertungsverfahren, 2. Aufl. München: Carl Hanser Verlag GmbH & CO. KG, 2010.

[57] Item Toolkit Version 7.08.5. Whiteley Hampshire U.K.: ITEM Software. [58] „Offshore Hydrocarbon Releases Statistics, Offshore technology report OTO 1999 079“,

Health & Safety Executive, Jan. 2000. [59] „Offshore Hydrocarbon Releases Statistics, 2001, HID Statistics report HSR 2001 002“,

Health & Safety Executive, Merseyside, Jan. 2002. [60] „Offshore Hydrocarbon Releases Statistics, 2002, HID Statistics report HSR 2002 002“,

Health & Safety Executive, Merseyside, Feb. 2003. [61] P. Betteridge und J. Gould, „Failure Rate and Event Data for Use in risk assessment

(FRED) RISKAT“, RAS/99/20, 1999. [62] J. Spouge, „Leak Frequencies from the Hydrocarbon Release Database“, in IChemE

Symposium Series N. 151, Manchester, 2006, S. 732-747. [63] J. Spouge, „New generic leak frequencies for process equipment“, Process Safety

Progress, Bd. 24, Nr. 4, S. 249-257, Dez. 2005. [64] U. Hauptmanns, „Reliability Data for Process Plants“, Magdeburg, IAUT-AS 0103, Juli

2003. [65] J. R. Taylor, Risk Analysis for Process Plant, Piplines and Transport. London, Glasgow,

New York: E&FN Spon, 1994. [66] R. Nyman et al, „Reliability of piping System components“, Stockholm, SKI Report 95:61,

Bd. 4, 1996. [67] R. J. Taylor, „The Quality of QRA`s: Some problems and some Solutions. Private

Information“. [68] H. Rummel, „Datenlage für Leckagehäufigkeiten bei Rohrleitungen als wesentliche

Eingangs-Parameter für quantitative Risikoanalysen“, presented at the ProcessNet „Risikomanagement“, Frankfurt/Main, 2011.

http://www.infosis.uba.de

http://www.hse.gov.uk/comah/circular/perm12.htm

172

[69] M. Moosemiller, „Development of algorithms for predicting ignition probabilities and explosion frequencies“, Process Safety Progress, Bd. 29, Nr. 2, S. 155-161, Juni 2010.

[70] M. Moosemiller, „Avoiding pitfalls in assembling an equipment failure rate database for risk assessments“, Journal of Hazardous Materials, Bd. 130, Nr. 1-2, S. 128-132, März 2006.

[71] B. Schalau und Y. Drewitz, „Erstellung quantitativer Risikoanalysen für ausgewählte sächsische Betriebe mittels einer durch die BAM Bundesanstalt für Materialforschung und -prüfung entwickelten Methodik und Vergleich der Ergebnisse mit den Ergebnissen qualitativer Risikoanalysen auf Basis vorliegender Sicherheitsberichte“, Bundesanstalt für Materialforschung und -prüfung, Berlin, Abschlussbericht II-2525/2007, Nov. 2007.

[72] Arbeitskreis Novellierung der 2. Störfall-VwV, „Abschlussbericht“, Köln, TAA-GS-03, 1994. [73] K. Strohmeier, „Leckanalyse bei der Anwendung der Störfall-Verordnung“, Chemie

Ingenieur Technik, Bd. 62, Nr. 12, S. 1003-1007, Dez. 1990. [74] R. Konersmann, „Nicht wahrgenommene Risiken“, Technische Überwachung, Bd. 50, Nr.

6, S. 41-46, Juni 2009. [75] H.-P. Balfanz, M. Hein, und P. Wietfeldt, „Ermittlung der Trefferwahrscheinlichkeit durch

abstürzende Flugzeuge - Teil 1“, Technische Überwachung, Bd. 23, Nr. 3, S. 110-114, März 1982.

[76] HSE-Report, „Canvey - An Investigation of potential Hazard from Operation in the Canvey Island/Thurrock area“, Stationery Office Books, Norwich, 1978.

[77] S. H. Bush, „Statistics of Pressure Vessel and Piping Failures (Survey Paper)“, Journal of Pressure Vessel Technology, Bd. 110, Nr. 3, S. 225-233, 1988.

[78] T. A. Smith und R. G. Warwick, „A survey of defects in pressure vessels in the UK for the period 1962-1978 and its relevance to nuclear primary circuits“, International Journal of Pressure Vessels and Piping, Bd. 11, Nr. 3, S. 127-166, 1983.

[79] C. Nussey, „Failure frequencies for major failures of high pressure storage vessels at COMAH sites: A comparison of data used by HSE and the Netherlands“, Health and Safety Executive, London, Dez. 2006.

[80] I. J. O´Donnell, D. W. Phillips, und P. W. Winter, „A new Estimate of the Likelihood of spontaneous catastrophic Failure of pressurised LPG“, in Process Safety, Sharing Best Practice, Symposium Series 150, Manchester, 2004, S. 597-609.

[81] IPO Report, „Guidelines for the preparation of off-site safety industrial sites“, IPO, The Hague, Project A-73, 1994.

[82] DIN EN 62305/VDE 0185-305 Teil 1 Allgemeine Grundsätze und Teil 2 Risikomanagement. Berlin: Beuth Verlag GmbH, 2006.

[83] Dehn + Söhne - Blitzplaner, 2. Aufl. Neumarkt: Dehn + Söhne GmbH & Co. KG, 2007. [84] DIN 4149: Bauten in deutschen Erdbebengebieten. Lastenannahmen, Bemessung und

Ausführung üblicher Hochbauten. Vorgesehen als Ersatz für DIN 4149-1:1981-04 und DIN 4149-1/A1:1992-12. Berlin: Normenausschuss im Bauwesen (NABau) im DIN Deutsches Institut für Normung e. V., 2005.

[85] N. C. Rasmussen, „The AEC-Study on the estimation of risk to the public from potential accidents in nuclear power plants“, Nuclear Safety, Bd. 14, 1974.

[86] „Ermittlung sicherheitstechnischer Kriterien zur Flüssigkeitstechnologie und Herleitung geeigneter Sicherheitsstandards, Fachband 2, Vergleich der Risiken von Ober- und unterirdischer Lagerung von Flüssiggas“, Bundesanstalt für Materialforschung und -prüfung, Berlin, BMFT 01RG8402, 1988.

[87] DIN EN 61508: Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme. Berlin: Beuth Verlag, 2002.

[88] D. Düpont, L. Litz, und P. Netter, „Lokalisierung und Analyse von Fehlerquellen beim numerischen SIL-Nachweis“, atp, Bd. 2, 2008.

[89] VDI-Richtlinie 4006 Blatt 2: Menschliche Zuverlässigkeit - Methoden zur quantitativen Bewertung menschlicher Zuverlässigkeit. Berlin: Beuth Verlag GmbH, 2003.

173

[90] D. Mackay und R. S. Matsugu, „Evaporation rates of liquid hydrocarbon spills on land and water“, The Canadian Journal of Chemical Engineering, Bd. 51, Nr. 4, S. 434-439, Aug. 1973.

[91] A. C. van den Berg, „The multi-energy method - A framework for vapour cloud explosion blast prediction“, Journal of Hazardous Materials, Bd. 12, Nr. 1, S. 1-10, Dez. 1985.

[92] A. Schönbucher, D. Göck, R. Fiala, und X. Zhang, „Das experimentell valiedierte Ballen-Strahlungsmodell OSRAMO (Teil 1)“, Technische Überwachung, Bd. 33, Nr. 4, 1992.

[93] A. Schönbucher, D. Göck, R. Fiala, und X. Zhang, „Das experimentell valiedierte Ballen-Strahlungsmodell OSRAMO (Teil 2)“, Technische Überwachung, Bd. 33, Nr. 6, 1992.

[94] Dr.-Ing. Bernd Schalau, „Programmbeschreibung: Programm zur Numerischen Störfallsimulation - ProNuSs 7“, Sachverständigenbüro für Anlagensicherheit Dr.-Ing. Bernd Schalau, Berlin, Programmversion 7.18, März 2010.

[95] Dr.-Ing. Bernd Schalau, Programm zur numerischen Störfallsimulation. Berlin: Sachverständigenbüro für Anlagensicherheit Dr.-Ing. Bernd Schalau (http://www.pronuss.de).

[96] P. G. Seeger, Wärmeübertragung durch Strahlung und Konvektion bei Tankbränden als Basis für brandschutztechnische Maßnahmen. gwf-gas/erdgas 120, 1979.

[97] C. Kuhr und A. Schönbucher, „Zur Festlegung von Abständen zwischen Industrieanlagen und Schutzobjekten für das Ereignis Lachenbrand“, presented at the 6. Fachtagung Anlagen-, Arbeits- und Umweltsicherheit, Köthen, 2002.

[98] G. Uelpenich, „Freisetzung druckverflüssigter Gase, Gefährdungsbeurteilung“, Brandschutz/Deutsche Feuerwehrzeitung, S. 696-702, Okt. 1993.

[99] „Ermittlung und Berechnung von Störfallablaufszenarien nach Maßgabe der 3. Störfallverwaltungsvorschrift. Band 1: Methodischer Teil zum Erarbeiten von Störfallablaufszenarien“, Umweltbundesamt, Forschungsbericht 297 48 428 UBA-FB 000039/1, 2000.

[100] J. A. Vílchez, H. Montiel, J. Casal, und J. Arnaldos, „Analytical expressions for the calculation of damage percentage using the probit methodology“, Journal of Loss Prevention in the Process Industries, Bd. 14, Nr. 3, S. 193-197, 2001.

[101] S. Hockey und P. J. Rew, „Review of human response to thermal radiation.“, Health & Safety Executive, Sudbury, HSE Contract Research Report 97/1996, 1996.

[102] P. J. Rew und W. G. Hulbert, „Development of Pool Fire Thermal Radiation Model“, Health & Safety Executive, Sudbury, HSE Contract Research Report 96/1996, 1996.

[103] P. Raj, „A review of the criteria for people exposure to radiant heat flux from fires“, Journal of Hazardous Materials, Bd. 159, Nr. 1, S. 61-71, Nov. 2008.

[104] P. Rew, „LD50 equivalent for the effect of thermal radiation on humans“, Health & Safety Executive, Sudbury, HSE Contract Research Report 129/1997, 1997.

[105] N. A. Eisenberg, C. J. Lynch, und R. J. Breeding, „Vulnerability model. A simulation system for assessing damage resulting from marine spills. Final report“, Enviro Control Inc., Rockville, Md.(USA), 1975.

[106] A. M. Stoll und M. A. Chianta, „A method and rating system for evaluation of thermal protection“, Aerosp. Med., Bd. 40, S. 1232-1238, 1969.

[107] J. Lawrence, „The mortality of burns“, Fire Safety Journal, Bd. 17, Nr. 3, S. 205-215, 1991. [108] A. Franks, P. J. Harper, und M. Bilo, „The relationship between risk of death and risk of

dangerous dose for toxic substances“, Journal of Hazardous Materials, Bd. 51, Nr. 1-3, S. 11-34, Nov. 1996.

[109] V. Cozzani, „The quantitative assessment of domino effects caused by overpressure Part I. Probit models“, Journal of Hazardous Materials, Bd. 107, Nr. 3, S. 67-80, März 2004.

[110] F. D. Alonso, E. G. Ferradás, T. de Jesús Jiménez Sánchez, A. M. Aznar, J. R. Gimeno, und J. M. Alonso, „Consequence analysis to determine the damage to humans from vapour cloud explosions using characteristic curves“, Journal of Hazardous Materials, Bd. 150, Nr. 1, S. 146-152, Jan. 2008.

http://www.pronuss.de)

174

[111] Y. Drewitz, A. Acikalin, B. Schalau, und D. Schmidt, „Berechnung der Zündwahrscheinlichkeit freigesetzter brennbarer Stoffe im Rahmen einer quantitativen Risikoanalyse“, Technische Überwachung, Bd. 50, Nr. 9, S. 35-40, 2009.

[112] A. W. Cox, F. P. Lees, und M. L. Ang, „Classification of hazardous locations“, Institute of Chemical Engineers, Rugby, Warwickshire, 1990.

[113] A. Ronza, J. Vilchez, und J. Casal, „Using transportation accident databases to investigate ignition and explosion probabilities of flammable spills“, Journal of Hazardous Materials, Bd. 146, Nr. 1-2, S. 106-123, Juli 2007.

[114] P. Rew, H. Spencer, und J. H. Daycock, „Off-site ignition probability of flammable gases“, Journal of Hazardous Materials, Bd. 71, Nr. 1-3, S. 409-422, Jan. 2000.

[115] D. Mansfield, D. Aberdeen, S. Connolly, und M. Scanlon, „Plant specific ignition probability model and correlations for use in onshore and offshore QRA“, in IChemE Symposium series no. 151, Manchester, 2006, S. 762-776.

[116] R. Lisi, G. Maschio, und Milazzo, „Risk evaluation in workplaces characterized by potential explosion hazards“, Loss Prevention, 2010.

[117] „Verordnung über Sicherheit und Gesundheitsschutz bei der Bereitstellung von Arbeitsmitteln und deren Benutzung bei der Arbeit, über Sicherheit beim Betrieb überwachungsbedürftiger Anlagen und über die Organisation des betrieblichen Arbeitsschutzes (Betriebssicherheitsverordnung - BetrSichV)“, vom 27. September 2002 (BGBl. I S. 3777), zuletzt geändert durch Artikel 5 Absatz 7 der Verordnung vom 26. November 2010 (BGBl. I S. 1643).

[118] Energy Institute, Hrsg., Area classification code for installations handling flammable fluids : part 15 of the IP model code of safe practice in the petroleum industry., 3. Aufl. London: Energy Institute, 2005.

[119] A. Wilday u. a., „Determination of Safety Categories of Electrical Devices used in Potentially Explosive Atmospheres (SAFEC) Contract SMT4-CT98-2255“, Health & Safety Laboratory, Sheffield, HSL/2000/01, 2000.

[120] A. S. Markowski, „exLOPA for explosion risks assessment“, Journal of Hazardous Materials, Bd. 142, Nr. 3, S. 669-676, Apr. 2007.

[121] H. Eberle, „Gefährdungsbeurteilung Explosionsschutz und Explosionsschutzdokument entsprechend Betriebssicherheitsverordnung“, Landesinstitut für Arbeitsschutz und Arbeitsmedizin, Chemnitz, Arbeitsilfe Mitteilung Nr. 1/2003, Feb. 2003.

[122] J. Böke, „Experimente und Untersuchungen der Verdampfungsminderungen durch Löschschäume als Konsequenzminderungsmaßnahme bei Störfällen mit Flüssiggaslachen“, Universität Wuppertal, Wuppertal, 1994.

[123] E. Puls, „Ermittlung des Wirkungsgrades von Hydroschilden im Vergleich mit anderen technischen Vorrichtungen zur Dispersion schwerer Gase“, Universität Wuppertal, Wuppertal, 2002.

[124] „Technische Regel für Betriebssicherheit - TRBS 2152 Teil 3: Gefährliche explosionsfähige Atmosphäre -Vermeidung der Entzündung gefährlicher explosionsfähiger Atmosphäre“, GMBl. Nr. 77, S. 1583, Nov. 2009.

[125] W. Bartknecht und G. Zwahlen, Explosionsschutz. Grundlagen und Anwendungen. Springer, Berlin, 1993.

[126] H. Spencer und P.-J. Rew, „Ignition probability of flammable gases“, Health & Safety Executive, Sudbury, HSE Contract Research Report 146/1997, 1997.

[127] D. A. Crowl und J. F. Louvar, Chemical Process Safety: Fundamentals with Applications. Upper Saddle River, New Jersey: Prentice Hall, Inc., 1990.

[128] G.-R. Astbury, „Review of unidentified ignition sources of unplanned flammable releases - Comparsion of offshore and onshore data“, Health & Safety Laboratory, Buxton, Derbyshire HSL/2006/09, 2006.

[129] E. Brandes und M. Thedens, „Kenngrößen des Explosionsschutzes bei nicht atmosphärischen Bedingungen“, PTB Mitteilungen 113, Bd. 2, 2003.

[130] T. Grunewald und R. Grätz, „Ermittlung der Zündwahrscheinlichkeit mechanisch erzeugter Schlagfunken in explosionsfähigen Brenngas/Luft-Gemischen - Untersuchung der

175

Werkstoffkombination Stahl/Stahl“, Bundesanstalt für Materialforschung und -prüfung (BAM), Berlin, Forschungsbericht 279, 2007.

[131] Störfallkommission - Arbeitskreis Managementsysteme, „Arbeitshilfe zur Integration eines Sicherheitsmanagementsystems nach Anhang III der Störfall-Verordnung 2000 in bestehenden Managementsystemen“, Bonn, Leitfaden SFK-GS-31 (Rev.1), 2001.

[132] DNV Industry Solutions, „ISRS Best Practice für Sicherheits- und Nachhaltigkeitsmanagement“, 2011, Essen (http://www.dnv.de/isrs).

[133] Landesumweltamt NRW, Safety-Management-Valuation-Program. Essen: Head Storm Software GmbH, 2003.

[134] A. Acikalin, „Ein Konzept zur Bewertung der Leistungsfähigkeit des Sicherheitsmanagementsystems verfahrenstechnischer Anlagen“, Technische Überwachung, S. 45-48, Dez-2008.

[135] „Technische Regel für Druckbehälter - TRB 801 Nr. 25 Anlage: Flüssiggasbehälteranlagen“, Ausgabe Februar 1984; zuletzt geändert am 28. September 2002, BArbBl. 09/2002, S. 129.

[136] W. A. Stein und W. Humann, „Wasserschleier zum Verdünnen von Schwergaswolken“, Technische Überwachung, Bd. 32, Nr. 10, S. 355-365, Okt. 1991.

[137] T. Hackbusch, V. Blanchard, C. Ferrand, und R. Braun, „Fünfter Bericht über industrielle Risiken: Gefahrenpotential von Ammoniakkälteanlagen im grenzüberschreitenden Vergleich“, Deutsch-Französisch-Schweizerische Oberrheinkonferenz, Kehl, 2002.

[138] „Gesetz zum Schutz vor schädlichen Umwelteinwirkungen durch Luftverunreinigungen, Geräusche, Erschütterungen und ähnliche Vorgänge (Bundes-Immissionsschutzgesetz - BImSchG)“, in der Fassung der Bekanntmachung vom 26. September 2002 (BGBl. I S. 3830), zuletzt geändert durch Artikel 1 des Gesetzes vom 20. Juli 2011 (BGBl. I S. 1474).

[139] „Vierte Verordnung zur Durchführung des Bundes-Immissionsschutzgesetzes (Art. 1 d. V zur Neufassung und Änderung von Verordnungen zur Durchführung des Bundes-Immissionsschutzgesetzes)(Verordnung über genehmigungsbedürftige Anlagen - 4. BImSchV)“, in der Fassung der Bekanntmachung vom 14. März 1997 (BGBl. I S. 504), zuletzt geändert durch Artikel 5 Absatz 2 der Verordnung vom 26. November 2010 (BGBl. I S. 1643).

[140] Kommission für Anlagensicherheit - Ausschuss Erfahrungsberichte, „Auswertung der Erfahrungsberichte über Prüfungen der Sachverständigen nach § 29a BImSchG im Jahr 2008 und Veranstaltungen zum Meinungs- und Erfahrungsaustausch“, Bonn, KAS-17, Juli 2010.

[141] „Publicatiereeks Gevaarlijke Stoffen 1 - Deel 4: Schade door acute (inhalatoire) intoxicatie“, Ministerie van Verkeer en Waterstaat, The Hague, Dez. 2003.

[142] W. Pflaumbaum, „Expositionsbeurteilung bei krebserzeugenden Stoffen“, Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung, Sankt Augustin, 0314, Nov. 2010.

[143] V. M. Fthenakis, D. N. Blewitt, und W. J. Hague, „Modelling absorption and dilution of unconfined releases of hazardous gases by water curtains or monitors“, presented at the International Conference and Workshop on Modelling and Mitigating the Consequences of Accidental Releases of Hazardous Materials, New Orleans, LA (United States), Washington, DC, 1995.

http://www.dnv.de/isrs)

176

8 Anhang

Anhang 1: Zusammenstellung der verwendeten komponentenbezogenen Ausfalldaten

Alle Quellenangaben der Ausfalldaten bzw. die Begründungen zur Auswahl dieser finden sich im Haupttext in Kapitel 3.5 dieser Arbeit.

Grundrisiko

Rohrleitungsleckagen:

Leckagehäufigkeit bei Rohrleitungen DN ≤ 100

Rohrleitungs-klasse Häufigkeit [1/a*m]

I 1,1*10-5 II 5,0*10-6

Leckagehäufigkeit bei Rohrleitungen DN > 100

Rohrleitungs-klasse Häufigkeit [1/a*m]

I 3,2*10-6 II 1,4*10-6 III 6,8*10-7 IV 2,3*10-7 V 1,1*10-7 VI 5,7*10-8

Anmerkungen:

- Bei temporär genutzten Rohrleitungen sollten die Leckagehäufigkeiten anteilig zwischen Ruhe- und Betriebsphase gewichtet werden.

- Für Rohrleitungen aus nichtrostendem Stahl oder Kunststoff werden die Leckagehäufigkeiten um 20 % reduziert.

- Die Leckagehäufigkeiten für Rohrleitungen, die abrasive bzw. besonders korrosive Medien führen, sollten um den Faktor 2 erhöht werden.

Abriss von Rohrleitungen:

Fall 1: Zusatzbelastungen an Rohrleitungen DN < 15

610*5 −=λ [1/a*m]

177

Fall 2: Mechanische Beschädigung der oberirdischen Rohrleitung infolge von Bautätigkeiten

Für Rohrleitungen mit einem Durchmesser von DN 600 wird eine Versagenshäufigkeit von 9,7*10-9 [1/a*m] angenommen. Für kleinere Rohrleitungsdurchmesser (< DN 600) wird die Versagenshäufigkeit nach folgender Beziehung berechnet:

2

510*1,1DN

−

=λ [1/a*m] ; DN > 15

Fall 3: Mechanische Beschädigung der Rohrleitung durch Anfahren einer Rohrbrücke

Die Versagenshäufigkeit berechnet sich nach folgender Beziehung:

2

510*5,5DN

−

=λ [1/a*m]; DN > 15

Als Rohrleitungslänge ist hierfür die Länge der Rohrbrücken anzusetzen.

Schläuche und Gelenkarme:

Schläuche und Gelenkarme Häufigkeit [1/a*m] Schlauch 1*10-6 Gelenkarm 1*10-6

Behälterleckagen:

Behälter Leckagehäufigkeit [1/a] Leckdurchmesser 5 mm 10 mm 25 mm Druckbehälter zur Lagerung 1*10-5 1*10-6 5*10-7 Druckbehälter mit physikalischer oder chemischer Umwandlung

1*10-4 1*10-5 5*10-6

Druckloser einwandiger Behälter 1*10-4 1*10-5 5*10-6

Anmerkungen:

- Bei Behältern mit Gas- und Flüssigphase wird eine Ausbreitungsberechnung für die Flüssig- und für die Gasphase durchgeführt, wobei die Leckagehäufigkeit entsprechend des Füllstandes gewichtet wird.

- Die Tankkraftwagen (TKW) und Eisenbahnkesselwagen (EKW) verfügen über Druckgasbehälter, an denen ein Leckdurchmesser von 5 mm mit einer Leckagehäufigkeit von 1*10-5 [1/a] angenommen wird. Da die TKW und EKW temporäre Einrichtungen der verfahrenstechnischen Anlagen darstellen, wird die Leckagehäufigkeit anteilig auf die Entleer- bzw. Befüllzeit bezogen.

178

- Für Behälter aus nichtrostendem Stahl und für Kunststoffbehälter werden die Leckagehäufigkeiten um 20% reduziert.

- Die Leckagehäufigkeiten von Behältern mit besonders korrosiven Medien sollte um den Faktor 2 erhöht werden.

Pumpenleckagen:


[1/a] Zentrifugalpumpe 1,8*10-3 Kolbenpumpe 3,7*10-3 Spaltrohrpumpe, magnetgekuppelte Pumpe

5*10-5

Als Leckdurchmesser wird von 10% der angeschlossenen Rohrleitungen ausgegangen.

Verdichterleckagen:

Verdichtertyp Leckagehäufigkeit [1/a] Zentrifugalverdichter 2,0*10-3 Kolbenverdichter 2,7*10-2

Als Leckdurchmesser wird von 10% der angeschlossenen Rohrleitungen ausgegangen.

Naturbedinge Gefahrenquellen:

Blitzeinschlag

Für die Ermittlung der Häufigkeit eines direkten Blitzeinschlages mit Brandfolge wurde ein Verfahren in Abhängigkeit der örtlichen Lage und in Anlehnung an die DIN EN 62305 vorgeschlagen.

Hochwasser

In Abhängigkeit des zu betrachtenden Hochwassers kann entweder eine Häufigkeit von 0,005 [1/a] (200-jähriges Hochwasser) oder 0,002 [1/a] (500-jähriges Hochwasser) verwendet werden.

Brand

Für Brände außerhalb von Betriebsgrundstücken wird eine Häufigkeit von 1*10-6 bzw. 5*10-6 [1/a] bei Nachbarbetrieben mit Brandlasten im Umkreis von ca. 500 m bzw. < 200 m verwendet.

179

Betriebsrisiko:

Versagenshäufigkeiten von Armaturen:

Komponente Normalbetrieb [1/Std]

Mit regelmäßigem Schließtest [1/Std]

Magnetventil 5,8*10-7 6*10-9 Pneumatischer Kugelhahn, harte Dichtung Fail-safe close Fail-safe open

1,48*10-6 1,75*10-6

8*10-7 8,5*10-7

Pneumatischer Kugelhahn, Weichdichtung Fail-safe close Fail-safe open

1,98*10-6 1,95*10-6

1,1*10-6 9,0*10-7

Pneumatischer Absperrklappe Fail-safe close Fail-safe open

3*10-6 2,8*10-6

1,9*10-6 1,7*10-6

Pneumatischer Schieber Fail-safe close Fail-safe open

1,23*10-6 1,03*10-6

6,3*10-7 4,3*10-7

Hydraulischer Kugelhahn Fail-safe close Fail-safe open

1,4*10-6 1,7*10-6

7,75*10-7 8,25*10-7

Elektrisch betriebener Kugelhahn Fail-safe close

5,4*10-6

Armatur Versagenshäufigkeit [1/Std] Druckregelventil Zu hoher Ausgangsdruck

2,11*10-6

Sicherheitsabblaseventil Öffnet nicht Undicht im geschlossenen Zustand

3,17*10-6 2,12*10-6

Anmerkungen:

- Für das Öffnen eines Sicherheitsventils oder für den Bruch einer Berstscheibe vor dem gewünschten Ansprechdruck wird eine Versagenshäufigkeit von 1*10-7 [1/Std] angenommen.

- Die Ausfallhäufigkeiten bei Hand betriebenen Absperrarmaturen entspricht ca. 50% der Armaturen mit Hilfsenergie.

- Für Rückschlagventile und –klappen, Bodenauslaufventile von EKW und TKW sowie Schlauchabrisskupplungen wird eine Ausfallhäufigkeit von 2,5*10-6 [1/Std] verwendet.

180

Versagenshäufigkeiten für Schläuche und Gelenkarme:

Schlauchtyp Leckagehäufigkeit [1/Std]



Für fest installierte Schläuche als Verbindungselemente von Behältern, Pumpen und Verdichtern zum Rohrleitungssystem wird eine Versagenshäufigkeit von 4,0*10-8 [1/Std] angenommen.

Versagenshäufigkeiten der Prozessleittechnik:

Elemente der Prozessleittechnik Versagenshäufigkeit [1/Std] SIL 1 SIL 2

speicherprogrammierbare Steuerung (SPS) 3 *10-7 3 *10-8 Druckbegrenzer 3,6*10-6 6*10-7 Füllstandbegrenzer 1,25*10-6 1,5*10-7 Strömungswächter 3,6*10-6 7*10-7 Temperaturbegrenzer 3,6*10-6 3*10-7 Sensor der Gaswarnanlage - 1,75*10-6 Flammendetektor - 1,8*10-6

181

Menschliche Zuverlässigkeit - Fehlerwahrscheinlichkeit bei Tätigkeiten des Personals:

Aufgabenbeschreibung in Abhängigkeit der situationsbedingten Anforderungen und der kognitiven Belastung

Fehlerwahrscheinlichkeit

Einfache und häufig durchgeführte Aufgaben bei geringem Stress und genügend zur Verfügung stehenden Zeit in gewohnten Situationen (z. B. ohne ablenkende oder störende zusätzliche Einflüsse, gute Rückmeldung)

0,001

Komplexe und häufig durchgeführte Aufgaben in gewohnten Situationen mit geringem Stress und genügend zur Verfügung stehender Zeit, wobei eine gewisse Sorgfalt bei der Durchführung notwendig ist

0.01

Komplexere und häufig durchgeführte Aufgaben in ungewohnte Situationen (z. B. ablenkende oder störende Einflüsse, unzureichende Rückmeldung), bei hohem Stress oder geringer zur Verfügung stehender Zeit

0,1

Komplexere und selten durchgeführte Aufgaben in ungewohnten Situationen (z. B. ablenkende oder störende Einflüsse, unzureichende Rückmeldung), bei hohem Stress oder geringer zur Verfügung stehender Zeit

0,3

Hochkomplexe oder sehr selten durchgeführte Aufgaben in ungewohnten Situationen (z. B. ablenkende oder störende Einflüsse, unzureichende Rückmeldung), bei sehr hohem Stress oder geringer zur Verfügung stehender Zeit

1

Sonstige Auafallhäufigkeiten:

Strom- und Kühlwasserausfall

Für Strom- und Kühlwasserausfall wird ein Wert von 2,85*10-5 [1/a] angenommen.

Elektromotor

Für das Versagen eines Elektromotors wird ein Wert von 1*10-5 [1/Std] verwendet.

Berieselungsanlage

Für den Ausfall von Berieselungsanlagen wird die Ausfallwahrscheinlichkeit von Sprinklersystemen mit einem Wert von 4*10-2 [1/a] verwendet.

Lüftungsanlagen

Für die Lüftungsanlagen wird eine Ausfallhäufigkeit von 7*10-5 [1/Std] angenommen.

182

Anhang 2: Beispiel Fehler- und Ereignisbaum Flüssiggaslagerbehälteranlage

Unerwünschtes Ereignis: Schlauchabriss am TKW

Befüllung TKW

Event 1.3.3.2.1

Befüllung TKW 3000-mal pro Jahr

IE

Rückschlagventil

Event 1.3.3.2.2

Schnelltrennkupplung versagen

IE

menschlicher Fehler

Event 1.3.3.2.4

menschlicher Fehler Betriebspersonal

IE

Gate 5

Hemmschuh nicht vorhanden

menschlicher Fehler

Event 1.3.3.2.5

menschlicher Fehler des Betriebspersonals

IE

Gate 6

Handbremse TKW nicht angezogen

Gate 3

Wegrollen des TKW

menschlicher Fehler

Event 1.3.3.2.3

menschlicher Fehler des Betriebspersonals

IE

Gate 4

zu frühes Losfahren des TKW

Gate 2

Bew egung TKW

Gate 1

unerwünschtes Ereignis: 1.3.3.2Schlauchabriss

183

Szenario: Freisetzung Flüssigphase an der EKW-Station

jaja

ja funktioniertja funktioniert

ja funktioniertja funktioniert

neinnein

neinnein

neinnein

Bleve W=7::

Bleve W=7::

Gaswolkenexplosion W=6::

184

Anhang 3: Zusammenfassung der unerwünschten Ereignisse der Kälteanlage A

Anmerkung: Es wurden nur die unerwünschten Ereignisse tabellarisch erfasst, die Gegenstand der Quantitativen Risikoanalysen sind.

Betriebsrisiko


Ereignisses:



2.1.1.4-1w6 Behälterbersten Verdichter durch Ansaugen Flüssigphase Gasförmige

Freisetzung aus Entlüfter Maschinenraum

8,2*10-7

2.1.2.1-1w7 Behälterbersten auf Grund zu hohen Drucks (PWT)

4,9*10-7

2.1.2.1-1w8 Behälterbersten auf Grund zu hohen Drucks (PWT)

1,1*10-8

2.1.2.2-1w9 Ansprechen SV Gasförmige Freisetzung

8,8*10-4 2.1.3.2-1w11 Ansprechen SV 8,8*10-4 2.1.3.1-1w9 Behälterbersten ECO

Gasförmige Freisetzung aus Entlüfter Maschinenraum

1,8*10-8 2.1.4.1-1w12 Behälterbersten Sammler 1,2*10-7 2.1.4.2-1w13 Ansprechen SV Sammler 8,9*10-4 2.1.5.1-1w14 Ansprechen SV Flk-

Abscheider 8,8*10-4

2.1.5.2-1w15 Behälterbersten FLK-Abscheider Flüssigphasefreisetzung

2,4*10-5

2.1.7.2-1w16 Behälterbersten Verdampfer Flüssigphasefreisetzung

7,8*10-8

2.1.7.2-1w17 Ansprechen SV Verdampfer 8,8*10-4 2.1.3.2-1w18 Behälterbersten ECO Gasförmige

Freisetzung über natürliche Entlüftung

7,7*10-8 2.1.4.1-1w19 Behälterbersten Sammler 1,2*10-7 2.1.5.2-1w20 Behälterbersten FLK-

Abscheider Flüssigphasefreisetzung

2,0*10-3

2.1.7.1-1w21 Behälterbersten Verdampfer Flüssigphasefreisetzung

6,6*10-8

185

Grundrisiko - Behälterleckagen

Nr. des uner- wünschten

Ereignisses:

Behälter Medium Leckdurch-messer


B-5-FLK

6 Behälter im Maschinenraum

Flüssigphase

5 mm ML: 1,4*10-6 NL: 2,3*10-6

B-10-Flk 10 mm

ML: 1,4*10-7 NL: 2,3*10-7

B-25-Flk 25 mm

ML: 7,2*10-8 NL: 1,1*10-7

B-5-Gas 6 Behälter im Maschinenraum

Gasphase

5 mm ML: 1,4*10-6 NL: 2,3*10-6

B-10-Gas 10 mm

ML: 1,4*10-7 NL: 2,3*10-7

B-25-Gas 25 mm

ML: 7,2*10-8 NL: 1,1*10-7

B-5-Gas 6 Behälter im Maschinenraum

Gasphase (Einphasen-behälter)

5 mm ML: 2,9*10-6 NL: 4,5*10-6

B-10-Gas 10 mm

ML: 2,9*10-7 NL: 4,5*10-7

B-25-Gas 25 mm

ML: 1,4*10-7 NL: 2,3*10-7

ML: mechanische Lüftung; NL:natürliche Lüftung

Grundrisiko - Pumpen- und Verdichterleckagen


Ereignisses:

Pumpe oder Verdichter

Anschluss- Nennweite

DN

Medium Leckdurch-messer


V1-V4 Verdichterleckage 80 Gasphase 8,0 mm 1,3*10-2

186

Grundrisiko - Rohrleitungsleckagen


Ereignisses:

Rohrleitung Länge insgesamt

[m]

Leckdurchmesser Eintrittshäufigkeit [1/a]

RL-5-FLKat.3 Flüssigphase-leitung im Maschinenraum Kategorie 3

50 5 mm ML: 3,8*10-5 NL: 4,6*10-5

RL-11-FLK-Kat.3 50 11 mm ML: 1,7*10-5 NL: 2,0*10-5

RL-22-FLK-Kat.3 50 22 mm ML: 8,2*10-6 NL: 9,8*10-6

RL-5-FLK-Kat.2 Flüssigphase-leitung im Maschinenraum Kategorie 2

25 5 mm ML: 6,6*10-5 NL: 7,9*10-5

RL-11-FLk-Kat.2 25 11 mm ML: 3*10-5 NL: 3,6*10-5

RL-5-Gas-Kat.3 Gasphaseleitung im Maschinen-raum Kategorie 3

50 5 mm ML:3,8*10-5 NL: 4,6*10-5

RL-11-Gas-Kat.3 50 11 mm ML: 1,7*10-5 NL: 2,0*10-5

RL-22-Gas-Kat.3 50 22 mm ML: 8,2*10-6 NL: 9,8*10-6

RL-5-Gas-Kat.2 Gasphaseleitung im Maschinen-raum Kategorie 2

25 5 mm ML: 6,6*10-5 NL: 7,9*10-5

RL-11-Gas-Kat.2 25 5 mm ML: 3,0*10-5 NL: 3,6*10-5

187

Zusammenfassung der unerwünschten Ereignisse der Kälteanlage B

Anmerkung: Es wurden nur die unerwünschten Ereignisse tabellarisch erfasst, die Gegenstand der Quantitative Risikoanalysen sind.

Betriebsrisiko


Ereignisses:



3.1.1.4-1w1 Behälterbersten - Verdichter durch Ansaugen Flüssigphase

Gasförmige Freisetzung aus Entlüfter Maschinenraum

1,3*10-5

3.1.1.4-1w2 Behälterbersten Verdichter durch Ansaugen Flüssigphase

8,5*10-5

3.1.3.1-1w2 Behälterbersten NH3-Sammler 8,5*10-5 3.1.3.1-1w3 Behälterbersten NH3-Sammler 3,7*10-6 3.1.3.1-1w6 Behälterbersten NH3-Sammler 3,5*10-4 3.1.3.5-1w2 Freisetzung NH3 aus

Ölsammler 5,6*10-6

3.1.3.5-1w5 Freisetzung NH3 aus Ölsammler

2,7*10-7

3.1.4.2-1w1 Ansprechen SV 8,8*10-3 3.1.4.2-1w2 Ansprechen SV 8,8*10-3

Grundrisiko - Behälterleckagen Nr. des

unerwünschten Ereignisses:



B-5-FLK 2 Behälter - Abscheider im Freien

Flüssigphase 5 mm 5*10-6

B-10-Flk 10 mm 5*10-7 B-25-Flk 25 mm 2,5*10-7 B-5-Gas

Gasphase 5 mm 5*10-6

B-10-Gas 10 mm 5*10-7 B-25-Gas 25 mm 2,5*10-7 B-5-FLK

2 Behälter - NH3-Sammler im Maschinenraum

Flüssigphase

5 mm NL: 1,4*10-7 ML: 1,2*10-7

B-10-Flk 10 mm NL: 1,4*10-8 ML: 1,2*10-8

B-25-Flk 25 mm vernachlässigt B-5-Gas

Gasphase

5 mm NL: 1,4*10-7 ML: 1,2*10-7

B-10-Gas 10 mm NL:1,4*10-8 ML: 1,2*10-8

B-25-Gas 25 mm vernachlässigt Anmerkung: Annahme Füllstand im Behälter Flüssigphase/Gasphase je 50%

188

B-5-Gas-MR-1

4 Ölabscheider im Maschinen-raum

Gasphase

5 mm NL: 2,8*10-6 ML: 2,4*10-6

B-10-Gas-MR-1 10 mm NL: 2,8*10-7 ML: 2,4*10-7

B-25-Gas-MR-1 25 mm NL:1,4*10-8 ML: 1,2*10-8

Grundrisiko - Pumpen- und Verdichterleckagen


Ereignisses:

Pumpe oder Verdichter

Anschluss- Nennweite

DN

Medium Leckdurch-messer

Eintritts-häufigkeit

[1/a] V1-V4 Verdichterleckage 80 Gasphase 8,0 mm 1,7*10-4 P1-P3 Pumpenleckage 65 Gasphase 6,5 mm 1,9*10-7



Ereignisses:


[m]

Leckdurchmesser Eintrittshäufigkeit [1/a]

RL-5-FLK-Kat.2 MR

Flüssigphase-leitung im Maschinenraum Kategorie 2

50 5 mm ML: 1,3*10-4 NL: 1,5*10-4

RL-11-FLk-Kat.2 MR

50 11 mm ML: 6,1*10-5 NL: 7,0*10-4

RL-5-Gas-Kat.3 MR

Gasphaseleitung im Maschinen-raum Kategorie 3

100 5 mm ML: 7,7*10-5 NL: 8,9*10-5

RL-11-Gas-Kat.3 MR

100 11 mm ML: 3,9*10-5 NL: 1,4*10-4

RL-22-Gas-Kat.3 MR

100 22 mm ML: 1,7*10-5 NL: 1,9*10-5

RL-5-Gas-Kat.2 MR

Gasphaseleitung im Maschinen-raum Kategorie 2

50 5 mm ML: 1,3*10-4 NL: 1,5*10-4

RL-11-Gas-Kat.2 MR

50 11 mm ML: 6,1*10-5 NL: 7,0*10-4

RL-5-Gas-Kat.2 Gasphaseleitung außerhalb des Maschinenraum Kategorie 2

5 5 mm 5,5*10-5

RL-11-Gas-Kat.2 5 11 mm 2,5*10-5

189

Zusammenfassung der unerwünschten Ereignisse der HF-Anlage

Anmerkung: Es wurden nur die unerwünschten Ereignisse tabellarisch erfasst, die Gegenstand der Quantitativen Risikoanalysen sind.

Betriebsrisiko ohne Berieselungsanlage


Ereignisses:

Beschreibung des Ereignisses Auswirkungen Eintrittshäufigkeit [1/a]

4.2.2.1-1w12 Befüllung HF ohne Anschluss des EKW

2,4*10-5


7,2*10-6


3,2*10-6

4.2.2.2-1w12 Befüllung Flusssäure 70 % ohne Anschluss des EKW

1,4*10-5


4,3*10-6


1,8*10-6

4.2.2.3-1w12 Entleerung Oleum ohne Anschluss des EKW

6,9*10-6


2,1*10-6


Flüssigphase-freisetzung

9,0*10-7

4.2.2.4-1w12 Befüllung Flusssäure 40 %ohne Anschluss des EKW

6,9*10-6


2,1*10-6


9*10-7

4.2.3.1-1w1 Abriss Füllschlauch HF durch Bewegen EKW

7,3*10-6


1,1*10-6


1,3*10-6

4.2.3.2-1w1 Abriss Füllschlauch Flusssäure 70 % durch Bewegen EKW

4,2*10-6


6,0 *10-8

4.2.3.2-1w3 Abriss Füllschlauch Flusssäure 7,3*10-8

190


Ereignisses:


70 % durch Bewegen EKW 4.2.3.3-1w1 Abriss Entleerschlauch Oleum

durch Bewegen EKW 2,2*10-6

4.2.3.3-1w14 Abriss Entleerschlauch Oleum durch Bewegen EKW

3,0*10-8


3,7*10-8


2,2*10-6


3,0*10-8


3,7*10-8

4.3.1.2-1w1 Abriss Füllschlauch Flusssäure 40 % durch Bewegen TKW

2,3*10-6


Flüssigphase- freisetzung

3,2*10-8


7,2*10-8

4.3.1.4-1w1 Abriss Entleerschlauch Flusssäure 40 % durch Bewegen TKW

2,3*10-6


3,2*10-8


7,2*10-8

4.3.1.3-1w1 Abriss Entleerschlauch Oleum durch Bewegen TKW

2,3*10-6


3,2*10-8

4.3.1.3-1-w3 Abriss Entleerschlauch Oleum durch Bewegen TKW

7,3*10-8

4.5.1.1-1w1 Freisetzung HF aus IBC durch Rangierfehler

8,0*10-3

191

Betriebsrisiko mit Berieselungsanlage Inbetriebnahme per Hand


Ereignisses:



2,3*10-5


7,0*10-6


2,9*10-7


3,2*10-6


7, 0*10-6


1,4*10-5


4,1*10-6


1,7*10-7


1,8*10-6



6,9*10-6


2,1*10-6


9,0*10-7


6,9*10-6


2,1*10-6


9,0*10-7


7,3*10-6


1,2*10-6


1,1*10-7


4,6*10-8

192


Ereignisses:



4,2*10-6


7,0*10-8


6,0 *10-8


2,6*10-8


2,1*10-6


3,0*10-8


3, 710-8

4.2.3.4-1w1 Abriss Füllschlauch Flusssäure 40% durch Bewegen EKW

2,1*10-6


3,0*10-8



3,7*10-8


2,3*10-6


3,2*10-8


7,2*10-8


2,3*10-6


3,2*10-8


7,2*10-8


2,3*10-6


3,2*10-8

4.3.1.3-1-w3 Abriss Entleerschlauch Oleum durch Bewegen TKW

7,2*10-8

193


Ereignisses:



8,0*10-3

Betriebsrisiko mit Berieselungsanlage Inbetriebnahme per Gaswarnanlage


Ereignisses:



3,3*10-5


1,4*10-6


2,6*10-6


1,1*10-7


1,9*10-5


7,9*10-7


1,5*10-7


6,2*10-8


6,9*10-6



2,1*10-6

4.2.2.4-1w12 Befüllung Flusssäure 40 %ohne Anschluss des EKW

6,9*10-6


2,1*10-6


9*10-7


1,4*10-7


7,5*10-6


4,3*10-6

194


Ereignisses:



8,3*10-8


2,2*10-6


2,1*10-6


3,1*10-8


3,7*10-8


2,1*10-6


3,1*10-8


2,1*10-


2,3*10-6


3,2*10-8



7,2*10-8


2,3*10-6


3,2*10-8


7,3*10-8


2,3*10-6


3,2*10-8


7,2*10-8


8,0*10-3

195

Grundrisiko - Behälterleckagen


Ereignisses:


Eintrittshäufig-keit [1/a]

B-5 Druckbehälter zur Lagerung Anzahl: 34

Flüssigphase

5 mm 1,6*10-5

B-10 10 mm 1,6*10-6 B-25 25 mm 8,0*10-7

BX-5 Druckbehälter mit physikalischer oder

chemischer Umwandlung

Anzahl: 6

Flüssigphase

5 mm 1,6*10-4

BX-10 10 mm 1,6*10-5 BX-25 25 mm 8,0*10-6

BXX-5 Drucklose einwandige Behälter

Anzahl: 3

5 mm 1,6*10-4

BXX-10 10 mm 1,6*10-5 BXX-25 25 mm 8,0*10-6

Anmerkung: Bei den Behälterleckagen wurde die Korrosivität der Medien sowie das

Behältermaterial berücksichtigt.



Ereignisses:


[m]

Leckdurch-messer


HF-FLK-BX19-5 Kat. 2

HF Flüssigphase BX19 - Tanklager

150 5 mm 6,1*10-4

HF-FLK-BX19-11 Kat. 2

150 11 mm 2,8*10-4

HF-Säure-EKW-5 Kat. 2

Fluorwasser-stoffsäure 70 % BX4 – EKW-Station

150 5 mm 6,1*10-4

HF-Säure-EKW-11 Kat. 2

150 11 mm 2,8*10-4

HF-Dest-FLK-5 Kat. 2

HF im Freien zur Destillation

20 5 mm 6,1*10-4

HF-Dest-FLK-11 Kat. 2

20 11 mm 2,8*10-4

Documents

Methodik zur Durchführung einer Quantitativen ... · 2.2.1 Purple Book ... 2.2.3 Accident Risk Assessment Methodology for Industries – ARAMIS ..... 10 2.2.4 Methodisches Vorgehen