De veiligheid van industriële installaties is zonder twijfel toegenomen, maar rampen blijven gebeuren. Nieuwe methoden kunnen helpen risico’s verder te verkleinen, maar absolute zekerheid bestaat niet, zegt prof.dr.ir. Hans Pasman, de nestor van de risicoanalyse. ‘Om het publiek voor je te winnen is vertrouwen doorslaggevend.’

De afgelopen vijftig jaar is het beoordelen van en omgaan met risico’s van moderne industriële installaties een serieuze vakdiscipline geworden, die zijn vruchten heeft afgeworpen. ‘Het is een stuk veiliger geworden. Dat komt door betere ontwerpen en materialen, doordat veiligheid intrinsiek is ingebouwd, en door veel innovaties die de risico’s op ongelukken hebben verminderd’, zegt prof.dr.ir. Hans Pasman. Die positieve ontwikkeling is ook terug te vinden in de statistieken van persoonlijke ongevallen. ‘Het aantal gemiste werkdagen op een bedrijf door een ongeval gaat al decennia stelselmatig omlaag, terwijl het aantal industriële installaties enorm is toegenomen.’

Soms gaat het jaren goed, en dan is er die klap

Toch is er iets geks aan de hand, waar Pasman ook geen eenvoudige verklaring voor heeft. ‘Kijk je naar grote rampen, dan lijkt het wel of daar weinig aan verandert. Soms gaat het twintig jaar goed en dan ineens is er een enorme klap. Het ene jaar zijn er meer ongelukken, dan zijn het er weer minder – er valt geen peil op te trekken. Je kunt dus ook niet zeggen dat het er stelselmatig minder worden. Kennelijk horen rampen er nog steeds bij.’

‘Dankzij onze risicokennis de industrie stukken veiliger geworden, tegelijkertijd is de acceptatie van risico’s door de samenleving haast evenredig afgenomen’

De 78-jarige Pasman geldt als een autoriteit op het gebied van veiligheid en risicobeoordeling van de chemische en procesindustrie. Hij is emeritus hoogleraar van de TU Delft en was vanaf het midden van de jaren zeventig tot begin van deze eeuw voorzitter van diverse werkgroepen op het gebied van veiligheid en risicoanalyse, onder meer van de Europese Federatie van Chemische Ingenieurs. Momenteel is hij hoogleraar aan het Mary Kay O’Connor Process Safety Center van de Texas A&M University. Afgelopen jaar publiceerde hij het overzichtswerk Risk Analysis and Control for Industrial Processes – Oil, Gas and Chemicals. A System Perspective for Assessing and Avoiding High Consequence, Low Probability Events.


Horten en stoten

De vorderingen die zijn gemaakt, schrijft Pasman vooral toe aan meer kennis. Zo is er meer bekend over wat er met stoffen en bij reacties kan misgaan en wat de bijbehorende effecten zijn, zijn er betere methoden om risico’s te inventariseren, en is er meer aandacht voor de rol van het management van de veiligheidscultuur binnen een bedrijf. Ook het anders ontwerpen van industriële installaties heeft veel aan de veiligheid bijgedragen, met name de automatisering van de procescontrole. ‘In de jaren zestig werden we geconfronteerd met grote rampen en was er veel milieuvervuiling. Dat leidde ertoe dat mensen geen nieuwe industriële installaties meer wilden, ook al zou dat de economie en de werkgelegenheid ten goede komen. Er moest dus iets gebeuren. Sindsdien is er, uiteraard met horten en stoten, het nodige bereikt (zie kader ‘Denken over veiligheid’). Maar we zijn er nog niet en moeten zelfs oppassen dat wat is bereikt niet door onze vingers glipt.’

‘Er wordt regelmatig te veel geknepen op de veiligheidsmarges en –procedures’

Bij dat laatste doelt Pasman op verschillende tendensen. ‘Zo hebben bedrijven te maken met enorme concurrentiedruk, waardoor ze steeds meer op de kosten moeten letten, terwijl installaties veel complexer zijn geworden. Het gevolg is dat er regelmatig wordt geknepen op de veiligheidsmarges en -procedures. Dat zag je bijvoorbeeld duidelijk terug bij de ramp met het boorplatform Deepwater Horizon in de Golf van Mexico.’


Marktdenken

De rol van de overheid is ook veranderd. ‘Onder invloed van het marktdenken en pleidooien voor een terugtredende overheid is daar veel kennis verloren gegaan. Dat heeft niet alleen invloed op de kwaliteit van de inspecties, maar betekent ook dat er minder sturing is op het ontwikkelen van verdere verbetering van de veiligheid van industriële installaties.’ Pasman ziet dat ook terug in de aandacht voor het vakgebied. ‘Aan de TU Delft is het nog wel gelukt een hoogleraarschap Veiligheid in stand te houden inclusief het meer recent opgekomen aspect van beveiliging.’

‘Voor de oudere generatie is veiligheid een denkwijze geboren uit ervaring, de nieuwe generatie moet het allemaal uit een boek leren’

Wat verder speelt, is het verdwijnen van de generatie die binnen en buiten bedrijven het huidige veiligheidssysteem in gang heeft gezet. ‘Bij hen was veiligheid een denkwijze geboren uit ervaring, de nieuwe generatie moet het allemaal uit een boek leren.’ Pasman wil nadrukkelijk niet overkomen als de mopperhoogleraar die vreest dat nieuwe generaties zijn vakgebied te grabbel gooien. ‘Nogmaals, de industrie is een stuk veiliger geworden. En bedrijven hebben zo langzamerhand donders goed in de gaten dat een ramp niet alleen voor het personeel en bedrijfseconomisch een enorme klap kan beteken, maar dat ook de maatschappelijke impact zwaar telt en het bedrijf tot de rand van de afgrond kan brengen. Kijk maar in wat voor lastig parket BP terecht is gekomen.’ Er is dus een intrinsieke motivatie om zo veilig mogelijk te werken, maar, en daar wil Pasman zeker ook op wijzen, er is ook druk de andere kant op. ‘Hoe de balans doorslaat, zal per situatie verschillen.’


Statistiek

Tegelijk wijst Pasman erop dat er weliswaar veel is bereikt, maar dat er ook nog grote onzekerheden zijn. ‘Een van de belangrijke instrumenten om risico’s te inventariseren is het opstellen van scenario’s, het je indenken van een reeks van gebeurtenissen en vervolgens nagaan wat de daarbij behorende risico’s zijn. Het punt is alleen dat het vaststellen van die scenario’s ontzettend moeilijk is. Ik maak het vaak mee dat er zich rampen voordoen die eerder niet in een scenario zijn beschreven.’ Een voorbeeld is de ontploffing van de styreen- en propyleeninstallatie van Shell in Moerdijk, nu twee jaar geleden. ‘De fatale reacties die daar optraden, waren niet in een scenario voorzien.’ Er bestaan ook nog geen methodieken om de kwaliteit van de selectie van scenario’s te verbeteren of die selectie te kunnen toetsen. ‘We moeten het nu vooral hebben van ervaring en creatief denken.’ Een achterliggend fundamenteel probleem is dat rampen zich gelukkig sporadisch voordoen. Daardoor is er meteen ook weinig of geen gevalideerde statistiek over de waarschijnlijkheid van gebeurtenissen. Faalkansen zijn onzeker.

‘Neem mensen mee in je analyse, je onzekerheden, en verschuil je niet achter het hanteren van een abstract risicogetal’

Pasman gebruikt sinds zijn pensionering – ‘je hebt dan niet meer de druk van de dagelijkse beslommeringen’ – zijn tijd om op dat vlak de risicowetenschap vooruit te helpen. ‘Er is een bepaalde tak van de waarschijnlijkheidsleer, de zogeheten Bayesiaanse statistiek met oorzaak-gevolgnetwerken. Die blijken enorm krachtig om met waarschijnlijkheden om te gaan. Het sterke ervan is vooral dat kansen voortdurend zijn te herzien op basis van nieuw beschikbare informatie. En dat is precies wat we bij het omgaan met risico’s nodig hebben. Een operator merkt bijvoorbeeld op een gegeven moment dat de installatie zich anders gedraagt dan verwacht. De Bayesiaanse aanpak helpt dan om in te schatten wat die onverwachte gebeurtenissen kunnen betekenen voor het risico.’

Voor Pasman was het zich eigen maken van die statistiek een flinke kluif. ‘Ik merk dat de meeste senior veiligheidsdeskundigen er niet aan willen. Maar de software om ermee te werken ontwikkelt zich, ook met het oog op big data, razendsnel. Dat zie ik ook aan de papers die ik nog steeds review. De helft daarvan komt op dit ogenblik uit China, waar veiligheid en risicoanalyse hoog op de agenda zijn gezet.’


Dagelijks gebruik

Pasman voorziet in het veiligheidsdomein een doorbraak van geavanceerde systemen. ‘We krijgen straks een directe koppeling tussen de veiligheidsanalyse van een installatie en de signalen in de controlekamer.’ Nu komt het nog vaak genoeg voor dat die veiligheidsanalyse ergens in het archief ligt, terwijl de mensen in de controlekamer op zijn best weten dat die ooit is gemaakt, door een van buiten ingehuurd team. ‘De toekomst is dat die veiligheidsanalyse in de praktijk wordt gebruikt. Heb je een abnormale situatie, dan kan de hele oorzaak-gevolgstructuur van de veiligheidsanalyse je helpen om snel te kijken wat er aan de hand is. Het automatisch koppelen van de veiligheidsanalyse aan het dagelijks gebruik van de installatie biedt veel ontwikkelingsruimte om de veiligheid van installaties verder te verbeteren. En het mooie ervan is dat als de operator dingen ziet gebeuren die niet in een scenario zijn beschreven, dat dan de risico-input is te verbeteren.’

‘Risico’s zijn een soort nieuw taboe in de samenleving geworden, terwijl het onmogelijk is om risico’s uit de bannen’

Een andere nieuwe loot aan de veiligheidsboom is het zogeheten resilient ontwerpen, zorgen dat een installatie weerbaar is voor afwijkingen in het proces en daardoor niet gelijk uit de bocht vliegt. ‘Vroeger kenden we het inbouwen van een veiligheidsmarge, vaak een op ervaring gebaseerde factor waarmee de dikte van een wand of de draagkracht van een constructie werd vermenigvuldigd voor de zekerheid. Maar met behulp van moderne ontwerpsoftware is die veiligheidsmarge gaandeweg aan het verdwijnen, ook vanwege kostenbesparing. Het gevolg is dat dat de kwetsbaarheid van installaties vergroot. Je ziet nu dat het resilient ontwerpen van processen ook bij de industriële veiligheid in opkomst is. Je gaat nu dus bewust ontwerpen op het inbouwen van een bepaalde veiligheidsmarge, niet zozeer gebaseerd op ervaring, maar veel meer op analyse, op het begrijpen waarom op die plek die bepaalde marge nodig is.’


Minder acceptatie van risico’s

In zijn nieuwste boek schrijft Pasman uitvoerig over de maatschappelijke acceptatie van risico’s. ‘Het gekke is: we zijn het hele risicodenken begonnen omdat burgers geen ongelukken meer wilden, en ondertussen is dankzij onze risicokennis de industrie ook stukken veiliger geworden, maar de acceptatie van risico’s door de samenleving is haast evenredig afgenomen. Risico’s zijn een soort nieuw taboe in de samenleving geworden, terwijl het onmogelijk is om risico’s uit de bannen.’

‘Roepen dat de kans klein is dat er iets heel ergs gebeurt, zegt ook iets over de prioriteit die je er kennelijk aan geeft. Mensen voelen dat haarscherp aan’

Een sluitend antwoord op deze paradox heeft Pasman niet, maar hij heeft er wel een aantal scherpe observaties over. De eerste is dat de mensen die zich met risicoanalyse bezighouden, zich volgens hem slecht weten te verstaan met het publiek dat geen risico’s wil. ‘Het begint er al mee dat het publiek intuïtief denkt en kijkt naar de potentie van een ramp, naar de mogelijk effecten. Daarom willen ze geen kernenergie; je kunt de schadelijke radioactiviteit niet zien. Maar de risicoanalist kijkt rationeel naar de kansen en concludeert: zet die kerncentrale maar naast mij neer, dat is veiliger dan het gebruik van een ladder. De redenering risico is kans maal effect, dus een hoge kans en een klein effect levert een gelijk risico op als een kleine kans en een groot effect. Maar die redenering gaat er bij het publiek niet in. Dat zegt: een groot effect wil ik niet, hoe klein de kans ook is. Daar wringen beide werelden.’


Andere formule

Pasman pleit daarom voor een andere risicoformule, namelijk risico is effect maal onzekerheid. Het kan vandaag gebeuren, morgen of pas in de eeuwigheid, maar er is onzekerheid. En dus moet de ingenieur duidelijk maken wat hij allemaal doet om die onzekerheid zo veel mogelijk weg te nemen, met kennis, beschermingsmaatregelen enzovoorts. Realiseer je ook dat als je roept dat de kans dat er iets ergs gebeurt klein is, je ook iets zegt over de prioriteit die je er kennelijk aan geeft. Mensen voelen dat haarscherp aan.’

‘Er doen zich heel veel rampen voor die eerder niet in een risicoscenario zijn beschreven’

Wat Pasman in ieder geval heeft geleerd, is dat open communicatie met degenen die met de risico’s te maken krijgen, erg belangrijk is. ‘Je kunt, zoals bij de CO2-opslag in Barendrecht is gebeurd, wel zeggen dat je alles hebt laten uitzoeken en dat het allemaal binnen de veiligheidsnormen blijft, maar daarmee red je het niet. Want dan krijg je vragen als hebben jullie daar en daar wel aan gedacht, waardoor er weer allerhande andere scenario’s op tafel komen. En laten we wel wezen, elke risicoanalyse heeft zijn onzekerheden, juist ook bij het selecteren van die scenario’s. Met die onzekerheid zul je dus ook iets moeten. Neem mensen mee in je analyse en je onzekerheden, zodat er meer gevoel ontstaat voor je risicoaanpak. Verschuil je niet achter het hanteren van een abstract getal.’ 

Denken over veiligheid

In de jaren zestig waren er in Nederland diverse branden en explosies, ook gepaard gaand met gifverspreiding, onder meer bij de trichloorfenolfabriek van Philips-Duphar in Amsterdam, de kunstmestfabriek van Delta Chemie in Vlaardingen, een gaswolkexplosie bij een tank van Shell op Pernis, en explosies bij nog midden in steden gevestigde bedrijven. Het hele risicodenken bestond nog niet.

De eerste stap in het risicodenken was kennis over explosies, branden en de verspreiding van gifwolken: wat is er nodig voor chemische stoffen of voor gas-, dampen stofwolken om tot een explosie te geraken? Een belangrijke mijlpaal in de opkomst van het risicodenken in Nederland was een eerste nationale symposium in 1969 over veiligheid.
Gaandeweg breidde die kennis zich uit en ontwikkelde zich het domein van de technische veiligheid, verbeterde ontwerpen van processen en verbeterde materialen om die explosies te voorkomen en ruimtelijke ordening om effecten draaglijk te maken. In de tweede helft van de jaren zeventig werd in Nederland de eerste technische risicoanalyse gemaakt van zes bedrijven in de Rijnmond door een Britse organisatie, de zogenoemde COVO-studie (Contactorgaan Veiligheid Omwonenden). Pas het volgende decennium kwam de menselijke factor als risicofactor in beeld. Dat werd deels ingegeven door de industrie die zich realiseerde dat het maken van fouten bij de bediening van een installatie, gebrek aan kennis en het niet leren van eerdere incidenten, flinke repercussies kan hebben voor de productie. Het management werd zich van zijn rol in veiligheid ook meer bewust.

De ramp met het Noordzee-productieplatform Piper Alpha in 1988, waarbij 167 mensen de dood vonden en die was te wijten aan een aaneenschakeling van verkeerde beslissingen en acties, leidde begin jaren negentig tot de introductie van het safety management system: welke maatregelen neemt de leiding van een bedrijf om veilig opereren te waarborgen? Het toenemende veiligheidsinzicht gekoppeld aan concrete maatregelen en als maar dalende persoonlijke ongevalscijfers gaf eind jaren negentig voeding aan de gedachte dat het met de veiligheid wel goed zat, zo herinnert veiligheidsdeskundige prof.dr.ir. Hans Pasman zich. Maar dat bleek een grote vergissing. Er was een grote explosie in 1998 bij de Longford-aardgasfabriek in Australië en later in 2005 een explosie bij de BP-raffinaderij in Texas, waarbij falende veiligheidsprocedures en gebrek aan veiligheidsmanagement als oorzaken werden aangewezen.

Het besef drong toen door dat het hebben van safety management onvoldoende waarborgen bood, dat er indicatoren op de kwaliteit nodig waren. Net zoals aan omzet en winst valt af te lezen hoe een bedrijf economisch presteert, moest dat ook met de veiligheid kunnen. Om die indicatoren te ontwikkelen werd gebruikgemaakt van de expertise van de nucleaire industrie. Het gebeurde trouwens wel meer dat voor de veiligheid van industriële installaties gebruik werd gemaakt van expertise uit de nucleaire industrie. Vanzelfsprekend was dat overigens niet, omdat het twee volkomen van elkaar gescheiden werelden waren. Zo gaf de ramp met de kerncentrale van Tsjernobyl in 1986 de aanleiding voor de introductie van een nieuw begrip in het risicodenken: de veiligheidscultuur binnen een bedrijf. Het gaat er daarbij niet alleen om dat het management veiligheid organiseert, het moet op elk moment ieders handelen mede bepalen. Nu is cultuur lastig te meten, want iemand kan wel zeggen dat hij gemotiveerd is om veilig te werken, maar dat zegt verder niets. Daarom wordt er gewerkt met het veiligheidsklimaat in een bedrijf, dat wel met indicatoren is aan te geven.

De nieuwste stap in het risicodenken is aangeven hoe je aan de hand van zwakke signalen een onverwachte dreiging kunt afwenden, hoe organisatie en installatie op zo’n dreiging zijn aan te passen, en hoe weerbaar een installatie is, mocht zich een eventuele ramp voordoen. Kan er ergens iets fout lopen zonder dat de gehele installatie de lucht in gaat, weet het bedrijf eventuele explosies en brand snel onder controle te krijgen, kan het bedrijf nadien de productie weer snel opstarten? Maar het toepassen van deze zogeheten resilience benadering staat nog in de kinderschoenen.