Hoe geloofwaardig is een ramp?

Hoe geloofwaardig is een ramp?
W. Botjes, Regionale brandweer Breda
[email protected]
Een methode om te komen tot gefundeerde ongevalsscenario’s voor de rampenbestrijding
Dit onderzoek is uitgevoerd als onderdeel van de postdoctorale mastercourse Management of
Safety, Health, and Environment (MoSHE) van de Technische Universiteit Delft.
Samenvatting
In een onderzoek bij twee Brzo-bedrijven is onderzocht hoe adequaat de voorgeschreven
methode (de QRA volgens CPR 18 ) de relevante scenario’s voor de rampenbestrijding
genereert. Gebleken is dat uit de QRA weliswaar de maximale effectscenario’s, bezien vanuit
één insluitsysteem volgen. Echter escalatiescenario’s worden door de methode niet
beschouwd.
Om te beoordelen in hoeverre nog sprake is van ‘geloofwaardige’ scenario’s is vervolgens
gekeken naar de kwaliteit van de technische en organisatorische maatregelen en welke
invloed dit heeft op de kans van optreden van het ongeval. Bij beschouwing op het
microniveau (mens en techniek) blijkt dat beide bedrijven kunnen aantonen dat voldoende
technische en organisatorische maatregelen zijn getroffen. De kansrekening van de QRA
toont ook zeer lage kansen van optreden van de rampscenario’s. De kans staat echter los van
het aantal en de kwaliteit van de preventieve LOD’s (barrières). De QRA gaat namelijk uit
van generieke faalkansen. Voor enkele repressieve LOD’s geeft de QRA wel faalkansen.
Volgens de literatuur kan de kans op ongevallen juist heel klein worden gemaakt als de
organisatie (mesoniveau) op orde is. Aan de hand van een beoordeling van het
Veiligheidsbeheerssysteem blijkt dit bij één van casusbedrijven zeker niet het geval te zijn.
Ook stelt de literatuur dat op macroniveau (systeem) beschouwd er sprake kan zijn van een
‘complex’ en ‘strak gekoppeld’ systeem. Dit blijkt het geval te zijn bij de tweede casus.
Volgens de theorie van Perrow zijn in dat geval ongevallen nooit helemaal uit te sluiten.
Als conclusie van het onderzoek geldt dat in het kader van de rampenbestrijding er extra
aandacht nodig is voor escalatie (of ook wel domino-effecten). Een volgens het onderzoek
gefundeerde methode om bepaalde scenario’s toch los te laten door ze als ongeloofwaardig
aan te merken, dient gebaseerd te zijn op een toetsing op alle drie van belang zijnde niveaus
(micro- meso- en macro). Dit in tegenstelling tot de kansrekening van de QRA (volgens CPR
18) waarbij feitelijk geen toetsing plaats vindt van het management functioneren en het
systeem.
Inleiding
Het algemeen beleid van de Gemeentelijke en Regionale brandweer Breda is het afgelopen
jaren sterk bepaald door landelijke beleidsontwikkelingen. In mei 2000 werd Enschede
getroffen door een explosie bij het vuurwerkbedrijf SE Fireworks. In Volendam vond direct
na de jaarwisseling ’00/‘01 een brand plaats in café De Hemel. De onderzoeken naar deze
rampen hebben een groot aantal knelpunten van uiteenlopende aard aan het licht gebracht. Dit
heeft voor het rijk geleid tot een groot aantal actiepunten, beschreven in de zogenaamde
kabinetsstandpunten Oosting en Alders.
In Breda heeft dit geleid tot het opstellen van actieplannen met betrekking tot de aanpak van
het handhavingsbeleid. Op regionaal niveau is een project Regionale Versterking Proactie en
Preventie opgestart met als doel een gezamenlijke aanpak van de actiepunten uit de
kabinetsstandpunten. Voor de brandweer betekent dit dat zij haar aandacht nog meer zal
moeten richten op de eerste twee items van de veiligheidsketen:
proactie – preventie – preparatie – repressie – nazorg
Bovenstaande items behoren alle vijf tot de kerntaken van de brandweer. Met betrekking tot
externe veiligheid gaat het bij pro-actie en preventie vooral om advisering bij
ruimtelijkeordeningsprojecten en de Wm-vergunningverlening. De brandweer dient hierbij
een toetsing uit te voeren van de mogelijkheden van de rampenbestrijding en de
zelfredzaamheid van burgers bij een zwaar ongeval.
Met betrekking tot industriële veiligheid loopt hier nog doorheen het Besluit Risico’s Zware
Ongevallen 1999 [Brzo 1999] als belangrijk deel van de Nederlandse implementatie van de
Europese Seveso II-richtlijn. Het Brzo heeft voor de brandweer invloed op de gehele
veiligheidsketen. Als één van de drie kernactoren (bevoegd gezag Wet milieubeheer,
Arbeidsinspectie en Brandweer) dient zij inzicht te verwerven in de mogelijke risico’s,
toezicht uit te oefenen op bedrijven en de nodige activiteiten te ontplooien om de gevolgen
van een eventueel ongeval te beperken. Voor de brandweer is hierbij de cruciale vraag of de
geloofwaardige ongevalscenario’s die maatgevend zijn voor de bedrijfsbrandweer, passen
binnen de bestrijdingsmogelijkheden van de gemeentelijke brandweer. Zo niet dan heeft de
brandweer met behulp van artikel 13 van de Brandweerwet een hard instrument om het bedrijf
te verplichten tot aanvullende maatregelen. Als geen repressieve inzet meer mogelijk is of als
deze niet het gewenste effect heeft, spreekt men over een rampscenario. De overheid dient
zich hierop ook voor te bereiden. Van veiligheidsrapport(VR)-plichtige bedrijven moet een
rampbestrijdingsplan opgemaakt worden. Ook hierbij doet zich de vraag voor wat nu
gefundeerde rampscenario’s zijn om je op voor te bereiden.
Probleemstelling
Volgens de brandweerwetgeving dient men rekening te houden met het grootst geloofwaardig
ongeval en niet altijd met het grootst mogelijk ongeval. Het gevolg is telkens weer een
discussie over de geloofwaardigheid van ongevallen. Harde criteria hiervoor ontbreken in de
wetgeving. De term ‘geloofwaardig’ drukt ontegenzeggelijk toch weer iets van een kans uit.
Ondanks dat de brandweer eigenlijk alleen van het effect wenst uit te gaan, zullen ook hier
keuzes gemaakt moeten worden. Maatregelen treffen voor het ‘worst case’-scenario is vaak
een uiterst kostbare zaak en zou kunnen betekenen dat aandacht voor kleinere maar meer
geloofwaardige scenario’s naar de achtergrond verdwijnt. Dit laatste kan natuurlijk niet de
bedoeling zijn. Aan de andere kant blijken telkens weer ‘onmogelijke ongelukken’ op te
treden. Indien naderhand blijkt dat het scenario niet voorzien was, wordt eveneens gewezen
naar de brandweer. Maar waar houdt de ‘worst case’-benadering op? Als gevolg van
bijvoorbeeld sabotage of een vliegtuigcrash op een chemisch bedrijf zijn enorme
rampscenario’s te bedenken. Dit houdt niet op bij de effecten van het falen van het grootste
insluitsysteem; het scenario welke bij BRZO-bedrijven momenteel veelal automatisch als
grootst geloofwaardig (en maatgevend) rampscenario wordt aangenomen.
De centrale vraag van het onderzoek luidde:
Hoe kan de brandweer een gefundeerde invulling geven aan haar selectie van geloofwaardige
scenario’s bij risicovolle bedrijven?
Methoden en technieken
Om te komen tot een beantwoording van de centrale vraag is eerst via een literatuurstudie
gekeken naar de oorzaken van rampen. Gezocht is in hoeverre technische en organisatorische
maatregelen ongevallen kunnen uitsluiten (en dus iets zeggen over de geloofwaardigheid).
De theorie is vervolgens in een praktisch onderzoek getoetst bij een tweetal Brzo-bedrijven.
Hierbij is het grootste rampscenario volgens de kwantitatieve risicoanalyse onder de loep
genomen. De volgende twee subvragen zijn hierbij gesteld:
1. Hoe adequaat genereert de voorgeschreven methode (de QRA volgens CPR 18) de
relevante scenario’s?
2. Wat is de kwaliteit van de technische en organisatorische barrieres en welke invloed heeft
dit op de kans?
De twee onderzochte bedrijven betroffen een opslagdepot voor minerale aardolieproducten
(zie luchtfoto einde artikel) en een chemisch bedrijf met een procesinstallatie voor
lichtontvlambare gassen. Juist deze twee casussen zijn gekozen omdat het hier gaat om
bedrijven die qua complexiteit van de processen te karakteriseren zijn als de twee uitersten uit
het Brzo-werkveld (zie hiervoor ook het resultaat van de systeembeoordeling in tabel 1). Bij
beide bedrijven speelde bovendien met het bedrijf een heftige discussie of bepaalde scenario’s
nog wel of niet geloofwaardig zijn. Zo ja, dan betekent dit dat extra repressieve maatregelen
dienen te worden getroffen. Zie figuur 1 voor de zogenaamde Bow-Tie of vlinderdasmodel
[Goossens, 2000]. De Bow-Tie geeft op een eenvoudige manier alle van belang zijnde
aspecten van een ongevalscenario weer. In het praktisch onderzoek zijn deze stap voor stap
doorlopen. De geloofwaardigheid werd hierbij getoetst door te kijken naar de kwaliteit van de
aanwezige technische en organisatorische maatregelen en wat voor invloed dit heeft op de
kans van optreden van het ongeval.
repressieve
LOD's
preventieve
LOD's
g
e
v
a
a
r
maatregelen ter voorkoming van incidenten
e
f
f
e
c
t
e
n
Ongeval
( LOC )
maatregelen om effecten te beperken
*Toelichting: Gevaarsaspecten kunnen via verschillende routes / foutenpaden leiden tot een ongeval, ook wel
aangeduid als Loss of Containment (LOC). Technische maatregelen of menselijk handelen kunnen deze route
onderbreken. Ze vormen als het ware de barrières, ook wel aangeduid met Lines of Defence (LOD’s), die dienen te
voorkomen dat de LOC optreedt. De rechter kant van de ‘vlinderdas’ staat voor het effect. Hier kunnen menselijk
handelen (bijv. een brandweer) of technische maatregelen (bijv. een sprinkler) nog iets doen aan de grootte van het
effect. Men spreekt van represieve LOD’s.
Figuur 1: Het Bow-Tie- of vlinderdasmodel
Literatuurstudie
Een drietal niveaus blijken een rol te spelen bij de verklaring van optreden van rampen:
1. Microniveau: Menselijk en/of technisch falen staat centraal.
2. Mesoniveau: Niet zozeer menselijk falen, maar organisatorisch falen ligt ten grondslag
aan rampen. Met name de omstandigheden (bijv. de veiligheidscultuur) die aan een
rampsituatie vooraf gaat, staat centraal.
3. Macroniveau: Ook wel bekend als de systeembenadering. Hierbij blijkt ook het karakter van de
procesgang van invloed. Naarmate een systeem een hogere mate van interactieve complexiteit heeft en
de koppeling binnen het systeem strakker is, neemt de kans op rampen en ongevallen toe [Perrow,
1999].
Op alle drie niveaus worden aanbevelingen gegeven hoe de kans op ongevallen sterk kan
worden verlaagd. Ondanks alle maatregelen wordt echter zowel op microniveau (Wagenaar
spreekt van ‘impossible accidents’), als op mesoniveau (Reason spreekt over ‘fallacy of
defence in depth’) als op macroniveau (Perrow spreekt over ‘normal accidents’)
geconcludeerd dat ongevallen nooit voor de volle 100% zijn uit te sluiten.
Resultaten praktisch onderzoek
Niveau
Methode
Opslagdepot voor minerale aardolieproducten
Chemisch bedrijf met
lichtontvlambare gassen
een
procesinstallatie
voor
Bepaling van
grootste effectscenario volgens
QRA [CPR 18]
Het betreft hier het scenario van catastrofaal falen van de grootste
benzinetank. Hierbij wordt uitgegaan van directe ontsteking hetgeen
leidt tot een tankputbrand. De effectafstand voor 1% letaliteit als
gevolg van stralingswarmte bedraagt 90 meter en reikt ruimschoots
over de buiten de terreingrens liggende kantoorpanden (zie luchtfoto).
Het betreft hier het scenario van catastrofaal falen van een opslagtank met tot
vloeistof verdicht propaan (maximaal 35 ton). De tank staat buiten het
procesgebied. De effectafstand voor 1% letaliteit, zowel m.b.t. overdruk (615m)
als voor straling (585m) reikt over de openbare weg (geen gebouwen). De qua
effect tweede grootste rampscenario betreft het falen van een (droog)kolom in
de procesinstallatie.
Foutenboom
Aan de hand van de generieke foutenbomen volgens AVRIM zijn voor Idem
volgens
AVRIM- een 11-tal directe oorzaken (waaronder menselijke fout) de
methodiek [CPR 20] onderliggende (basis-)oorzaken geïnventariseerd. Per beschouwde
situatie zijn één of meerdere LOD’s (barrières) gespecificeerd.
Effectenboom
Micro (mens
en techniek)
Het catastrofaal falen van een tank leidt alleen tot een tankputbrand
als ontsteking plaatsvindt. Overdruk-effecten zijn niet waarschijnlijk.
Enkel als de uitdampende k1-stof ingesloten kan raken zal bij een
vertraagde ontsteking een gaswolkexplosie (met overdruk-effecten)
kunnen ontstaan.
De (instantaan) faalfrequentie van een enkelvoudig omhulde
atmosferische tank wordt algemeen gesteld op 5*10-6/y ( 5 keer per
Kansrekening
volgens QRA [CPR miljoen jaar). De kans op directe ontsteking wordt gesteld op 0,065.
De kans op vertraagde ontsteking is afhankelijk van geïdentificeerde
18]
ontstekingsbronnen binnen de explosiegrenscontouren. Hiermee kan
de kans op een tankputbrand berekend worden op 8*10-7/y. Indien
een stationaire blusvoorzieningen aanwezig is (bij beschouwde bedrijf
niet het geval) wordt gerekend met een faalkansfactor van 0,05. Dit
zou een kans op een tankputbrand geven van 4*10-8/Y.
Verschillende effecten zijn mogelijk. Het catastrofaal falen van de opslagtank
met tot vloeistof verdicht propaan heeft bij directe ontsteking een BLEVE tot
gevolg. Bij achterwege kan een vertraagde ontsteking leiden tot een
gaswolkexplosie met overdrukeffecten. Een gaswolkexplosie kan ook optreden
als gevolg van een falende droogkolom of bij kleinere lekkages in de
procesinstallatie. Directe ontsteking leidt veelal tot een gaswolkontbranding
(flashfire) zonder overdrukeffecten.
De (instantaan) faalfrequentie van een drukvat wordt algemeen gesteld op 5*
10-7 /y (5 keer in de 10 miljoen jaar). De kans op lekkages is overigens veel
groter. Hier gaat het om faalfrequenties van bijvoorbeeld 5*10-4 /y bij een
pomp of 5*10-4 /y bij een warmtewisselaar. Bij berekening wordt vervolgens
gerekend met faalkansen van de effectgerichte LOD’s. De kans op directe
ontsteking is hierbij een generieke waarde (=0,1). De mogelijkheid van
vertraagde ontsteking wordt bepaald door een inventarisatie van
ontstekingsbronnen (buiten de installatie daar het binnen gezoneerd gebied
betreft). Voor het falen van de stationaire blusinstallatie geldt een faalkansfactor
van 0,05.
Escalatie-effecten
mogelijk?
Niveau
Meso
(organisatie)
Methode
Beoordeling van
Veiligheidbeheerssysteem (VBS) via
NIVRIM [Goossens,
1999]
De omliggende tanks staan in een brandende tankput. Bij achterwege
blijven van een brandweerinzet of bij het falen van stationaire
blusvoorzieningen zullen ook de overige tanks gaan falen. Betreffende
blussing blijkt zowel door het bedrijf als door de overheidsbrandweer
niet uitgevoerd te kunnen worden. De QRA berekent het escalatieeffect niet.
Opslagdepot voor minerale aardolieproducten
Chemisch bedrijf met een procesinstallatie voor
lichtontvlambare gassen
VBS-element
Beoordeling
VBS-element
Beoordeling
1.
2.
REDELIJK
SLECHT
1.
2.
GOED
REDELIJK
SLECHT
SLECHT
REDELIJK
SLECHT
SLECHT
3.
4.
5.
6.
7.
3.
4.
5.
6.
7.
Organisatie en personeel
De identificatie van de gevaren en
beoordeling van de risico’s
Toezicht op uitvoering
Wijzigingen
Planning noodsituaties
Toezicht op prestaties
Audits en beoordeling
In een opslagtank zijn slechts drie processtappen te onderscheiden:
Vullen met benzine – stationaire fase (geen in- of output) – legen van
benzine.
Macro
(systeem)
Theorie Perrow
[1999]
Daar de propaanopslagtank ver buiten het procesgebied staat opgesteld is
escalatie niet waarschijnlijk. Dit in tegenstelling tot het scenario van catastrofaal
falende (droog)kolom. Als gevolg van de drukeffecten kunnen omliggende
insluitsystemen mee-falen. Ook kleinere lekkages kunnen in theorie tot een
dergelijk scenario escaleren. Bij stralingseffecten (in geval van
gaswolkontbranding) kunnen stationaire blusvoorzieningen verdere escalatie
voorkomen. De QRA berekent de mogelijke effecten bij escalatie niet.
Organisatie en personeel
De identificatie van de gevaren en beoordeling van
de risico’s
Toezicht op uitvoering
Wijzigingen
Planning noodsituaties
Toezicht op prestaties
Audits en beoordeling
GOED
REDELIJK
GOED
REDELIJK
REDELIJK
De procesinstallatie is een voorbeeld van een complex interactief systeem
(hoewel het ook lineaire aspecten kent zoals de volgorde in de reactiesectie)
dat bestaat uit honderden eenheden en verschillende subsystemen. Een
voorbeeld van een complex systeem volgens Perrow zijn de warmtewisselaars
Mate van interactie: Lineair
die enerzijds warmte onttrekken aan een reactor en deze warmte vervolgens
Mate van koppeling: Strak/los
elders gebruiken om gas te verwarmen (zogenaamde ‘common-mode’
structuur). De volgorde in het proces is belangrijk en hangt in hoge mate met
Hier doet zich een lichte vorm van koppeling voor: Het starten van een elkaar samen. Er is sprake van een strak gekoppeld systeem:
Mate van interactie: Complex
los- of leeghandeling zonder vrijgave van de ontvangende tank kan Mate van koppeling: Strak
weliswaar leiden tot opstoppingen in het systeem echter dit zal niet snel leiden tot een LOC daar de ontwerpdruk van de slangen en
leidingen groter is dan de persdruk van de pomp. Een significante Bovenstaande geldt niet voor de propaantanks. Deze staan buiten het
vorm van koppeling wordt wel geschetst door de reële mogelijkheid procesgebied en zijn volledig los te opereren van de procesinstallatie. De
van overvullen. Het niet tijding (handmatig) stopzetten van de lossing procesgang komt hier feitelijk overeen met de procesgang van een opslagtank.
zal de tank doen overlopen.
Concusies
Uit de resultaten van het onderzoek is gebleken dat de via de QRA geselecteerde scenario’s
niet het aspect van escalatie meenemen. Wel geborgd is dat het maximaal effectscenario
bezien vanuit één insluitsysteem wordt meegenomen. Geconcludeerd wordt dan ook dat bij
deze twee casussen de QRA slechts ten dele alle relevante rampscenario’s heeft gegeneerd.
Bij beschouwing van de scenario’s op het microniveau (mens en techniek) blijkt dat beide
bedrijven kunnen aantonen dat voldoende technische en organisatorische maatregelen zijn
getroffen. De kansrekening volgens CPR 18 toont ook zeer lage kansen van op optreden van
de rampscenario’s. De kans staat echter los van het aantal preventieve LOD’s. De QRA gaat
namelijk uit van generieke faalkansen voor LOC’s (ongevallen). Geconcludeerd wordt dan
ook dat bij de casussen geen relatie bestaat tussen de kans en het aantal en kwaliteit van de
LOD’s. Voor enkele repressieve LOD’s geeft de QRA wel faalkansen.
Op mesoniveau (organisatie) beschouwd blijkt dat in het geval van het overslagdepot het
veiligheidsbeheerssysteem (VBS) nog onvoldoende is geïmplementeerd. De op microniveau
geïdentificeerde LOD’s zijn dan ook onvoldoende geborgd. In geval van de chemische
procesinstallatie betreft het op macroniveau (systeem) beschouwd een ‘strak gekoppeld’ en
‘complex’ systeem. Volgens de theorie van Perrow zijn hier ongevallen nooit helemaal
uitgesloten.
Discussie
Het blijkt dat volgens de literatuur en bij de behandelde casussen het niet mogelijk is om voor
100% uit te sluiten dat de gevaarlijke stof kan vrijkomen. Echter ook is gebleken dat de kans
wel heel erg klein gemaakt kan worden. Dit blijkt zeker het geval te zijn als de organisatie op
mesoniveau beschouwd op orde is. De vraag is / blijft of optreden van het scenario in dat
geval nog wel geloofwaardig is? Hiermee komen we tot de kern. Wat is nog geloofwaardig en
wat niet? Een vraag die niet zomaar wetenschappelijke valt te beantwoorden. Het heeft meer
te maken met persoonlijke perceptie. Een vraag van; hoe hoog leg jij de lat? Antwoord hierop
is meer een maatschappelijk vraagstuk waarover de politiek een beslissing moet nemen.
In de praktijk zien we echter dat nu al wel ergens een grens wordt getrokken. Dit moet
natuurlijk ook wel als je je toch ergens op wilt voorbereiden. Een aantal extreme oorzaken
(bijv. sabotage of natuurrampen) en bijvoorbeeld het onafhankelijk van elkaar gelijktijdig
falen van twee (of meer) insluitsystemen wordt veelal niet beschouwd. Blijkbaar is hiervan nu
al de algemene consensus dat dit niet meer geloofwaardig is. De aard en hoeveelheid LOD’s
spelen echter verder geen rol: Er wordt bij de selectie van het rampscenario als het ware
vanuit gegaan dat alle LOD’s falen. Op grond van het praktisch onderzoek en de behandelde
literatuur is deze insteek te verantwoorden. Hieruit is namelijk gebleken dat hoe klein ook er
altijd een restrisico over blijft. De genoemde lat wordt in de praktijk op dit moment dan ook
zeer hoog gelegd. Het komt er feitelijk op neer dat optreden van het ‘grootste effect’-scenario
binnen één insluitsysteem altijd geloofwaardig is en dus sowieso ook hierop de effectgerichte
maatregelen dienen te worden afgestemd (brandpreventief, repressief of in het kader van de
rampenbestrijding).
Voorgesteld wordt om in bepaalde gevallen toch verder te gaan met het als ongeloofwaardig
aanmerken bij voldoende preventie. Dit is wat volgens de auteur ook het beste tegemoet komt
aan de geest van de Nederlandse veiligheidswetgeving. Deze berust op risico’s (kans x effect)
en niet enkel op het effect. De traditionele brandweerinsteek van ‘kans = 1’ en zorg maar voor
effectgerichte maatregelen zou dan ook afgezwakt moeten worden. Een volgens het
onderzoek gefundeerde methode om bepaalde scenario’s toch los te laten door ze als
ongeloofwaardig aan te merken, dient gebaseerd te zijn op een toetsing op alle drie van belang
zijnde niveaus (micro, meso en macro). Dit in tegenstelling tot enkel een toetsing aan de
QRA.
Hierbij vindt immers geen toetsing plaats van het management functioneren en het systeem.
De aanwezigheid van voldoende geborgde repressieve LOD’s maakt optreden van het
rampscenario uiteraard nog ongeloofwaardiger. Dit laatste kan eventueel zelfs afgedwongen
via een aanwijzing van een bedrijfsbrandweer via de artikel 13-procedure. Als criterium voor
het voldoende geborgd zijn, zou kunnen gelden de aanwezigheid een gecertificeerd blus- en
brandmeldsysteem. Voor een bedrijfsbrandweer dienen vanuit de overheid minimale eisen te
worden gesteld aan de opleiding en beschikbaarheid.
Vertaald naar de casussen betekent dit dat in de huidige situatie bij de opslagdepot voor
minerale aardolieproducten alle geïdentificeerde ongevalsscenario’s, inclusief de escalatie, als
geloofwaardig beschouwd dient te worden. In geval van de chemische procesinstallatie kan de
aandacht in kader van de rampenbestrijding beter uitgaan naar het escalatiescenario in de
procesinstallatie. Dit betreft immers een veel geloofwaardiger scenario dan die van BLEVE
van de propaantank; het scenario wat volgens de huidige werkwijze maatgevend zou zijn.
Referenties
Botjes, W.A., 2003, Hoe Geloofwaardig is een ramp? Een methodiek voor het genereren van
gefundeerde ongevalsscenario’s in kader van de rampenbestrijding en voor de aanwijzing van
een bedrijfsbrandweer. Eindscriptie postdoctorale opleiding Management of Safety Health
and Environment. Technische Universiteit Delft.
Duin, M.J. van, (1992), Van Rampen Leren, Een vergelijkend onderzoek naar lessen uit
spoorwegongevallen, hotelbranden en industriële ongelukken, Haagse drukkerij en
uitgeversmaatschappij, Den Haag.
Goossens, L.H.J., (2000), Risk Assessment and Evalutation Techniques, reader module 2
MoSHE-opleiding Delft TopTech
Perrow, C., (1999). Normal accidents: Living with High-Risk Technologies, Princeton
University Press, New Jersey.
Reason, J., (1998) Managing the Risks of Organisational Accidents, University of
Manchester, UK.
Wagenaar, W.A., Groenewegen, J., (1986), Accidents at sea: multiple causes and impossible
consequences, in: International Journal of Man-Machine Studies, 27, p. 587-598..
Richtlijn voor kwantitatieve risicoanalyse ‘Paarse boek’ CPR 18
Staatsblad 1999 234: Besluit Risico’s Zware Ongevallen
Rapport Informatie-eisen Brzo’99, CPR 20
Luchtfoto: Opslagdepot voor minerale aardolieproducten