Wenn der Sensor Mist misst und der Schein trügt
Wie scheinbar normale Anlagenzustände zu Unfällen führen können
Die Steuerung verfahrenstechnischer Anlagen basiert in der Regel auf der Messung von Prozessgrößen, beispielsweise Temperatur, Druck, Menge bzw. Füllstand oder bestimmten Stoffeigenschaften. Die Verarbeitung der durch Sensoren ermittelten Informationen im Prozessleitsystem, die Anzeige der Daten in der Messwarte bzw. am Steuerstand sowie die daraus abgeleitete automatische oder manuelle Betätigung von Ventilen oder Pumpen sind die Grundlage jeglicher Produktionsprozesse. In der Regel funktioniert das hervorragend, aber in einigen Situationen kann das auch mal schief gehen, wie die nachfolgenden Unfallberichte zeigen.
Zwei wichtige Punkte sind vorab zu anzumerken. Zum ersten: die Fallbeispiele pointieren aus Platzgründen die Ursachen und lassen manche Aspekte außer Acht, die bei der Erstellung des Sicherheitskonzeptes sehr wohl bedacht waren bzw. zu einer falschen Einschätzung der Situation beigetragen haben. Zum zweiten: hinterher ist man immer schlauer, und die Fehler anderer hätte man in der gleichen Situation möglicherweise selbst auch gemacht. Der „hindsight bias“, die Verzerrung der Einschätzung aus der Blickrichtung des Ereignisses zurück, wird einfachen Schuldzuweisungen nicht gerecht.
Fehlerhafte Temperaturmessung (Fall 1)
In einem Reaktionsbehälter betrug trotz voller Heizleistung die Innentemperatur gemäß Anzeige nur 100 Grad, dennoch beobachtete das Bedienpersonal vor Ort, dass das vorgelegte Lösemittel Toluol heftig siedete, was einer Temperatur von 110,6 Grad entsprechen musste. Der Reaktionsansatz wurde abgekühlt und nach der Ursache für die Falschanzeige gesucht.
Es stellte sich heraus, dass die Temperaturmesssonde unmittelbar zuvor gewartet worden war. Der Messfühler befand sich aus Korrosionsschutzgründen in einem Schutzrohr, das mit einem Wärmeübertragungsmedium gefüllt werden musste. Aus unbekannten Gründen war hierfür jedoch nicht wie vorgeschrieben Thermalöl (mit einem hohen Siedepunkt) verwendet worden, sondern Wasser. Weil das Schutzrohr nicht hermetisch dicht verschlossen war, begann das Wasser während des Aufheizvorgangs bei 100 Grad zu sieden, was zu der konstanten (Fehl-) Anzeige führte.
Fehlerhafte Temperaturmessung (Fall 2)
Bei der Dichtheitsprüfung einer Anlage wurde eine Leckage festgestellt. Die Undichtigkeit wurde in einer langen Rohrleitung vermutet, die mittels zweier getrennter Begleitheizungen beheizt wurde. Um die Stelle mit dem Loch zu finden, wurde eine der beiden Begleitheizungen ausgeschaltet und die Isolierung des Rohrleitungsstückes entfernt.
Die Begleitheizung war jedoch nicht komplett stromlos geschaltet worden und bei der Lecksuche wurden versehentlich auch einige Thermoelemente an der noch in Betrieb befindlichen Begleitheizung abisoliert. Da durch die Entfernung der Wärmeisolierung eine niedrigere Temperatur gemessen wurde, erhöhte die Regelung die Heizleistung auf 100 Prozent. Hierdurch wurden die Rohrleitung und die Isolierung auf über 300 Grad erhitzt und die Isolierung geriet durch die Selbstentzündung von Verunreinigungen in Brand. Das Feuer konnte sofort gelöscht werden, es entstand kein weiterer Schaden.
Fehlerhafte Druckmessung
Nach der Befüllung eines Tanks mit einer Fehlcharge musste dieser gereinigt werden. Als Wartungspersonal den Tank öffnete, flog durch den Restdruck im Tank plötzlich die schwere Klappe weg, drei Mitarbeiter kamen dabei ums Leben.
Durch die Befüllung mit Off-Spec-Produkt war es zu einer Verstopfung der Entlüftungsleitung gekommen, dadurch erhöhte sich der Druck im Tank. Das vorhandene Manometer registrierte den Druckanstieg nicht, weil die Zuleitung ebenfalls verstopft war.
Fehlerhafte Standmessung
Am Hybridverdampfer einer Ammoniak-Kälteanlage wurden Wartungsarbeiten ausgeführt. Dabei wurde eine Füllstandsmessung ausgewechselt, die als Überfüllsicherung diente.
Bei Wiederinbetriebnahme der Anlage blieb aus Unachtsamkeit die Absperrarmatur in der Leitung zwischen Hybridverdampfer und Füllstandsmessung geschlossen, wodurch die Abschaltfunktion außer Kraft gesetzt wurde. So kam es bei der Befüllung der Anlage zu einer Überfüllung des Hybridwärmeaustauschers mit flüssigem Kältemittel und in der Folge zu einem Gewaltbruch am Verdichter. Dadurch trat Ammoniak aus, wodurch 15 Personen verletzt wurden.
Fehlerhafte Mengenmessung
Zur Synthese eines Zwischenproduktes sollten in einem Reaktionsbehälter bei Raumtemperatur mehrere Komponenten vorgelegt und bei laufendem Rührer zunächst über einen begrenzten Zeitraum gasförmiges Kohlendioxid mit einem Durchfluss von rund 100 Liter pro Minute durch das Gemisch geperlt werden. Die gewünschte Reaktion, die anschließend durch Zugabe von Wasserstoffperoxid gestartet wurde, erforderte eine ausreichende Konzentration an gelöstem Kohlendioxid, das als so genannter Phasen-Transfer-Katalysator wirkt.
Am Ereignistag musste der Kohlendioxid-Durchflussmesser ausgetauscht werden. Dabei unterlief dem Wartungspersonal ein Fehler: der neue Durchflussmesser wies andere Messeinheiten auf als der vorherige. Daher betrug der reale Durchfluss nur acht Liter pro Minute und kam es nicht zu der gewünschten Reaktion, da die Kohlendioxidkonzentration zu gering war. Dies führte wiederum dazu, dass sich das Wasserstoffperoxid im Reaktionsgemisch anreicherte.
Als das Bedienpersonal am Ende der Dosierung des Wasserstoffperoxids bemerkte, dass die Temperatur nicht wie erwartet anstieg, erhitzte es den Reaktor über die Heizschlangen. Dadurch wurde die Zersetzung des Wasserstoffperoxids initiiert und es kam zu einer durchgehenden Reaktion. Temperatur und Druck stiegen stark an und drei Tonnen des Reaktionsgemisches traten über die Belüftungsleitung aus. Das Gemisch konnte im Abwassersammelbecken aufgefangen und ordnungsgemäß entsorgt werden. Es wurde niemand diesem Gemisch ausgesetzt und es erfolgte auch keine werksexterne Verschmutzung.
Fehlerhafte pH-Messung
In einem Rührbehälter wurde eine saure Suspension bestimmungsgemäß mit Natronlauge neutralisiert, um metallische Verunreinigungen im basischen Milieu als Hydroxide auszufällen. Die Zugabe der Natronlauge erfolgte über ein betriebliches Leitungsnetz und wurde bei Erreichen des voreingestellten pH-Wertes automatisch beendet. Zum Schutz der empfindlichen pH-Sonden und zur Gewährleistung einer korrekten pH-Wert-Erfassung wurden die Sonden bei einem Behälterfüllstand unter 25 % automatisch in Service-Stellung gefahren, wo sie mit Spülflüssigkeit feucht gehalten wurden.
Am Ereignistag wurde das Aktivieren der pH-Sonden vergessen und sie verblieben in der Service-Stellung. Das Prozessleitsystem (PLS) konnte nicht unterscheiden, ob der Messwert der pH-Sonden dem realen Prozesswert oder dem der Spülflüssigkeit entsprach. Der inaktive Zustand der pH-Sonden war nicht als Störung definiert, so dass diese Stellung nicht im Alarmbereich des PLS angezeigt wurde. Die Strichfahrweise der Messsonden wurde so nicht bemerkt. Dies führte zu einer deutlichen Überdosierung an Natronlauge, was zu einer chemischen Reaktion mit Bildung von Wasserstoff führte.
Durch den resultierenden Druckanstieg platzte bei etwa 25 bar Druck der Behälter auf und der Inhalt strömte wie durch eine Düse aus. Der dadurch hervorgerufene Impuls riss den ganzen Behälter aus seiner Verankerung, er durchschlug eine massive Betonwand und Teile flogen weit verstreut über das Werksgelände. Zugleich entzündete sich der austretende Wasserstoff und es kam zu einer heftigen Explosion. Da die Mitarbeiter, die sich im Gefahrenbereich aufgehalten hatten, die Gefahr rechtzeitig bemerkten, konnten sie sich in Sicherheit bringen, so dass kein ernsthafter Personenschaden entstand.
Fazit
Die korrekte Bestimmung von Messgrößen hat eine zentrale Bedeutung für die Sicherheit verfahrenstechnischer Anlagen. Mögliche Ursachen für Fehlmessungen sollten im Sicherheitskonzept hinterfragt und die Steuerungskette mit Sensor, Verarbeitung und Aktor gegebenenfalls in sicherheitsgerichteter Funktion ausgeführt werden. Insbesondere bei Wartungsarbeiten ist darauf zu achten, dass die Funktion der Messwertaufnehmer nicht beeinträchtigt wird. Das Anlagenpersonal sollte sensibilisiert werden, unplausible Anzeigen unverzüglich zu melden.
Eine Frage bitte
Weitere Artikel
Warum integriertes Projektmanagement gefragt ist
Durch die Reduzierung von Projektmanagement und Entwicklungszeit bei Kapitalprojekten ist es möglich 15 bis 30 Prozent an Kosten zu sparen
Statische und dynamische Materialbeanspruchung von Ex…
Druckfest gekapselte Gehäuse müssen bei der Zertifizierung einer Prüfung auf Druckfestigkeit unterzogen werden
PLP NZ feiert 45 Jahre mit R. STAHL
Vor 45 Jahren kamen ebenfalls drei Dinge zusammen: R. STAHL, PLP (Electropar Ltd) und die Bereitschaft, eine innovative neue…
Kontaktöffnungs-Entladungen in einem zündfähigen H2-Luft-Gemisch
Für den sicheren Betrieb der Wasserstofftechnologie, als ein Basisbaustein für die Energiewendepolitik der Bundesrepublik, sind…
Notlicht-Sicherheitsbeleuchtung
Zentralbatterieanlagen als Sicherheitsbeleuchtungsanlagen bieten einen sicheren Schutz bei Ausfall der Spannungsversorgung
Digitale Unterstützung der Sichtprüfung mittels Deep Learning
Großes Potenzial, die Fehlerquote bei Sichtprüfungen zu reduzieren, liegen in dem Einsatz von Deep Learning Modellen. Durch eine…
Blitz- und Überspannungsschutz eigensicherer Messkreise
Der Betreiber hat die Pflicht, die Explosionsgefahr seiner Anlage zu beurteilen und er muss sicherstellen, dass alle Mindestvorschriften…
Ex Baugruppen Teil 1
Die Diskussion um sogenannte Ex-Baugruppen ist so alt wie die EU-ATEX-Richtlinie, also mittlerweile fast 20 Jahre
Wie R. STAHL TRANBERG die Digitalisierungsanforderungen der…
Digitalisierung und die Einbindung von Daten und Lösungen spielen heutzutage eine wichtige Rolle in der Schifffahrt und der maritimen…
Das „PTB Ex Proficiency Testing Scheme”
Das PTB Ex PTS hat sich inzwischen als wichtiges Werkzeug für den Kompetenz- und Leistungsnachweis der Ex-Prüflaboratorien weltweit…
Nicht-Elektrischer Explosionsschutz
Für Hersteller explosionsgeschützter Produkte und Betreiber von explosionsgefährdeten Anlagen sind Kenntnisse im Bereich des…
Zertifizierung in Südafrika
Die Zertifizierung in Südafrika hat bestimmte Schlüsselunterschiede zur internationalen Zertifizierung, z.B. IECEx oder ATEX
Globale Konformitätsbewertung mit dem IECEx-System
Das Technische Komitee (TC) 31 ist bei IEC eine Arbeitsgruppe mit der Aufgabe, ein weltweites Konformitätsbewertungssystem für…
Konformitätsbewertung in den Vereinigten Staaten
Im Gegensatz zur internationalen IEC/IECEx–Gemeinde und zur Europäischen Union stellt sich die Konformitätsbewertungslandschaft in den USA…
25 Jahre Zoneneinteilung in den USA
Im Bereich des Explosionsschutzes wurde mit der Veröffentlichung des Artikels 505 im National Electrical Code (NEC®) von 1996 ein großer…
Eine Fundgrube an Industrieerfahrung
Er löst damit Thorsten Arnhold ab, der dem IECEx in den letzten sechs Jahren vorstand
„Ex-citing“ Future durch Wasserstoff
Bis auf wenige Ausnahmen, die auf der Wirkung der Gravitation und der Radioaktivität beruhen, ist Wasserstoff die Quelle der meisten…
Zertifizierung für Ex-Produkte
Zum 01. Oktober 2020 müssen die meisten in China verkauften Ex-Produkte durch eine neue CCC-Ex-Produktzertifizierung und -Kennzeichnung…
Auszug ExInfo-NL 03/2020
Neue TRGS 720: Änderungen gegenüber der TRBS 2152/TRGS 720 in einem Dokument dargestellt
LNG - Mittelfristig der entscheidende Energieträger auf dem Weg…
LNG steht für Liquified Natural Gas, also Erdgas, welches durch Tiefkühlen auf -162 °C verflüssigt wird und dabei um den Faktor 1/600 seines…