PAAG-Verfahren

Das PAAG-Verfahren beschreibt eine systematische Vorgehensweise zum Auffinden möglicher Abweichungen und Störungen in Systemen aller Art. Etabliert hat sich die Methode, die identisch mit dem HAZOP-Verfahren (von englisch Hazard and Operability) ist, insbesondere als Instrument der Sicherheitstechnik in der Prozess-, Pharma- und Petrochemie. Das Akronym PAAG steht dabei für die vier Schritte Prognose (systematische Suche möglicher Abweichungen und Störungen), Auffinden der Ursachen (Ermitteln der Ursachen innerhalb des untersuchten Systems), Abschätzen der Auswirkungen (Ermitteln der logischen Folgen der Abweichung), Gegenmaßnahmen (Bewerten vorhandener Maßnahmen und Entscheidung über angemessene weitere Gegenmaßnahmen). Charakteristisch für das Verfahren ist der Ablauf als ein methodisches, gelenktes Brainstorming in einer Gruppe von Experten verschiedener Fachrichtungen.

Grundzüge des PAAG-/HAZOP-Verfahrens

Ziel des Verfahrens

Ziel von PAAG/HAZOP ist es, mögliche Abweichungen vom bestimmungsgemäßen Betrieb eines Systems aufzudecken, die jeweiligen Ursachen und Auswirkungen zu benennen (und gegebenenfalls zu bewerten) sowie geeignete Maßnahmen zur Verhinderung der Szenarien festzulegen. Zentraler Baustein des Verfahrens ist die Anwendung so genannter Leitworte, mittels derer die Abweichungen und Störungen „generiert“ werden.

Leitworte des PAAG-Verfahrens und ihre Erläuterung

Leitwort	Erläuterung
Nein oder nicht	Die Sollfunktion wird nicht erfüllt oder findet nicht statt
Mehr	Quantitativer Zuwachs von Prozessgrößen, etwas erfolgt zu viel
Weniger	Quantitative Abnahme von Prozessgrößen, etwas geschieht zu wenig
Sowohl als auch	Zusätzlich zum bestimmungsgemäßen Prozess geschieht noch etwas anderes
Teilweise	Die Sollfunktion wird nur unvollständig erfüllt bzw. einzelne Teile der Sollfunktion sind nicht vollständig vorhanden
Umkehrung	Etwas geschieht in umgekehrter Richtung oder in umgekehrter Reihenfolge
Anders als	Elemente der Sollfunktion werden durch etwas anderes ersetzt

Die Studie wird immer von einer interdisziplinären Gruppe bearbeitet, deren Teilnehmende aus unterschiedlichen Fachbereichen stammen (bei verfahrenstechnischen Anlagen typischerweise aus der Produktion bzw. der Verfahrensentwicklung, der Mess- und Regeltechnik, der Ingenieurtechnik und Sicherheitsexperten). Somit können unterschiedliche Gesichtspunkte und Erfahrungen berücksichtigt werden. Geleitet wird die Studie von einer möglichst unabhängigen Moderation; hinzu kommt die Protokollführung, die ggf. in Personalunion mit einer den vorgenannten Rollen sein kann.

Vorgehensweise

Eine Sicherheitsbetrachtung nach PAAG/HAZOP läuft üblicherweise in folgenden vier Schritten ab:

Prognose von Abweichungen

Im ersten Schritt gilt es, mögliche Abweichungen vom bestimmungsgemäßen Betrieb des betrachteten Verfahrens vorherzusagen. Hierzu wird der zu untersuchende Prozess oder das System zunächst in überschaubare „Funktionseinheiten“ gegliedert und der bestimmungsgemäße Betrieb jeder einzelnen Funktionseinheit detailliert als „Sollfunktion“ beschrieben.

Beispiel für eine Sollfunktion

Dosiere mittels der Pumpe P003 innerhalb einer Stunde 25 kg Katalysatorlösung (30%ig) bei 80 °C in den drucklosen Behälter R001.

Ein Prozess kann dabei viele Dutzend bis hin zu Hunderten von Sollfunktionen umfassen. Entsprechend ist der Zeitbedarf für die Studie zu planen. Gegebenenfalls lässt sich die detaillierte Betrachtung auf sicherheitsrelevante Anlagenteile eingrenzen. Zur Prognose der Abweichungen wird jede dieser Sollfunktionen mit den genannten Leitworten verknüpft.

Beispiele für die Anwendung der Leitworte auf die Sollfunktion

Leitwort	Erläuterung	Beispiele
NEIN/NICHT	Die Sollfunktion wird nicht erfüllt oder findet nicht statt	Die Katalysatorlösung wird nicht zugegeben.
MEHR	Quantitativer Zuwachs von Prozessgrößen, etwas erfolgt zu viel	Es werden mehr als 25 kg Katalysatorlösung zugegeben. Die Zugabe dauert länger als eine Stunde. Die Zugabe erfolgt bei einer Temperatur über 80 °C. In dem Reaktor herrscht bei der Zugabe Überdruck.
WENIGER	Quantitative Abnahme von Prozessgrößen, etwas geschieht zu wenig	Es werden weniger als 25 kg Katalysatorlösung zugegeben. Die Zugabe dauert weniger als einer Stunde. Die Zugabe erfolgt bei einer Temperatur unter 80 °C. In dem Reaktor herrscht bei der Zugabe Unterdruck.
SOWOHL ALS AUCH	Zusätzlich zum bestimmungsgemäßen Prozess geschieht noch etwas anderes	Es wird zusätzlich zur Katalysatorlösung auch noch Rost eingetragen (dies könnte einen stärkeren katalytischen Effekt bedeuten). Es wird zusätzlich eine inhibierende Verunreinigung eingetragen. Es wird zusätzlich zum Reaktor R001 auch noch Reaktor R002 befüllt. Die Katalysatorlösung gelangt (aufgrund einer Leckage) zusätzlich zum Reaktor 001 auch noch in die Umgebung.
TEILWEISE	Die Sollfunktion wird nur unvollständig erfüllt bzw. einzelne Teile der Sollfunktion sind nicht vollständig vorhanden	In der Katalysatorlösung fehlt das Lösemittel. In der Katalysatorlösung fehlt der Katalysator.
UMKEHRUNG	Etwas geschieht in umgekehrter Richtung oder in umgekehrter Reihenfolge	Aus dem Behälter R001 wird Katalysatorlösung entnommen. Die Zugabe der Katalysatorlösung erfolgt vor bzw. nach den anderen Prozessschritten
ANDERS ALS	Elemente der Sollfunktion werden durch etwas anderes ersetzt	Zugabe eines anderen Stoffes anstelle der Katalysatorlösung. Zugabe des Katalysators in einen anderen Behälter als R001. Zugabe auf eine andere Weise als mit Dosierpumpe P003.

Hinweis: die verschiedenen Szenarien werden jeweils einzeln und unabhängig voneinander betrachtet.

Auffinden der Ursachen

Das Expertenteam sucht auf der Basis von Prozesskenntnissen und eigenen Erfahrungen nach (organisatorischen und technischen) Ursachen, die dem jeweiligen Szenario zugrunde liegen könnten. Dabei gilt grundsätzlich die Annahme, dass in der Anlage bereits vorhandene Gegenmaßnahmen (z. B. Überfüllsicherungen, Sicherheitsventile, Betriebsanweisungen) zunächst nicht berücksichtigt werden.

Zuordnung möglicher Ursachen zu den Abweichungen

Abweichung	Ursachen (beispielhaft)
...	...
mehr als 25 kg Katalysatorlösung zugegeben	Falsche Mengenvorgabe in der Rezeptur. Falsche Mengenvorwahl am Zähler. Mehrfachzugabe infolge fehlender Dokumentation. Kein automatisches Abschalten der Pumpe.
...	...

In der Praxis wird häufig zusätzlich eine (semiquantitative) Bewertung der Eintrittswahrscheinlichkeit vorgenommen.

Abschätzen der Auswirkungen

Das Expertenteam überlegt bzw. berechnet auf der Basis der Prozesskenntnisse die möglichen Auswirkungen, die aus jedem Szenario hervorgehen könnten. Auch hier werden vorhandene Gegenmaßnahmen zunächst nicht berücksichtigt.

Zuordnung möglicher Auswirkungen zu den Abweichungen

Abweichung	Auswirkungen (beispielhaft)
...
mehr als 25 kg Katalysatorlösung zugegeben	Beschleunigung der Reaktion → Verstärkte Wärmeproduktion, die durch die vorhandene Kühlung nicht abgeführt werden kann → Temperaturanstieg in der Reaktionsmasse → Erreichen der Zersetzungstemperatur → Druck- und Temperaturanstieg über die Auslegungsgrenzen des Reaktors → Behälterversagen mit Austritt von gesundheitsschädlichem Produkt und entzündlichem Lösemittel → Gesundheitsgefahr für Beschäftigte und Dritte sowie Explosionsgefahr.
...

In der Praxis wird häufig zusätzlich eine (semiquantitative) Bewertung des Schadensausmaßes vorgenommen.

Gegenmaßnahmen

Das Expertenteam legt für die identifizierten sicherheitsrelevanten Szenarien auf Basis der Erkenntnisse und der technischen Realisierbarkeit eintrittsverhindernde und gegebenenfalls schadensbegrenzende Maßnahmen fest. Hier kann jetzt auf bereits vorhandene Einrichtungen und Anweisungen verwiesen werden, sofern diese bei den diskutierten Schadensverläufen als wirksam und ausreichend angesehen werden. Die geforderte Zuverlässigkeit (Wirksamkeit) der zu treffenden Maßnahmen wird sich dabei an der Schwere der Auswirkungen und der Wahrscheinlichkeit für das Wirksamwerden der Ursachen orientieren.

Dokumentation

Die Dokumentation der PAAG-/HAZOP-Studie erfolgt üblicherweise in tabellarischen Formblättern, entweder mittels der üblichen Bürosoftware oder mittels kommerzieller Programme. Typischerweise werden Spalten für Nummerierung, Abweichungen, Ursachen, Auswirkungen, Bewertung, Maßnahmen und Bemerkungen angelegt. Manche Unternehmen differenzieren stärker, so dass auch Formblätter mit 30 oder mehr Spalten existieren. In den Zeilen werden dann die verschiedenen Szenarien dokumentiert.

Beispiel für eine Tabelle zur Dokumentation

Nummer	Abweichung	Ursachen	Auswirkungen	Bewertung	Maßnahmen	Einstufung	Bemerkungen

Modifikationen und Erweiterungen des PAAG-/HAZOP-Verfahrens

Modifikationen

In vielen Unternehmen werden die klassischen Leitworte für die praktische Anwendung in konkrete Fragestellungen „übersetzt“, indem mögliche Abweichungen aus der Kombination von Leitworten und Prozessparametern definiert werden.

Konkretisierung der Leitworte

Leitwort Parameter	Nein	Mehr	Weniger	Umkehrung	anders als / sowohl als auch / teilweise
Stoff					Falscher Stoff / verunreinigter Stoff
Menge bzw. Mengenstrom	kein	zu viel	zu wenig
Temperatur		zu hoch	zu niedrig
Druck		zu hoch	zu niedrig
Zeitraum bzw. Zeitdauer		zu lange	zu kurz
Zeitpunkt				Falsche Reihenfolge	Falscher Zeitpunkt
Ort bzw. Weg				Falsche Richtung	Falscher Ort / Leckage
Reaktion	keine	zu heftig	zu träge	Zersetzung statt Synthese	Falsche Reaktion / Nebenreaktion / unvollständige Reaktion
Hilfsenergien	Ausfall	zu wenig	zu viel	Produkt in Hilfsmediensystem	Falsche Medien / verunreinigte Medien
...

Die aufgezeigten Kombinationen aus Leitwort und Parameter werden dann direkt als Abweichungen für den Beginn der Diskussion genommen. Je nach Unternehmen werden unterschiedlich differenzierte und damit unterschiedlich umfangreiche Fragenkataloge eingesetzt. Eine Vollständigkeit der Betrachtung ergibt sich jedoch nicht aus der Zahl der Aspekte (eine große Zahl kann für die Diskussion im Team sogar kontraproduktiv werden), sondern aus der Erfahrung und Routine der Moderation.

In einigen Unternehmen gibt es auch gegenläufige Vorgehensweisen: die Beschränkung auf vier Leitworte (nein, mehr, weniger, anders als), anhand derer die Diskussion gesteuert wird. Auch in diesem Fall sind Erfahrung und Routine der Moderation maßgeblich für den Erfolg der Studie.

Erweiterungen

Das PAAG/HAZOP-Verfahren dient originär dazu, Szenarien für Abweichungen und Störungen zu entwickeln und zu beschreiben. In der Praxis wird das PAAG-Verfahren daher üblicherweise mit risikobewertenden Methoden (z. B. ZHA, FMEA, LOPA, Risikograph) verknüpft und dabei als Instrument der Gefahrenidentifizierung verwendet, da diesen Methoden keine so umfassende Suche nach Szenarien vorgeschaltet ist. Es ist daher die Kombination der Methoden, die die Qualität einer Sicherheitsbetrachtung auszeichnet.

Historie des PAAG-/HAZOP-Verfahrens

Die Anfänge bei ICI

Als das britische Unternehmen ICI in den frühen 1960er Jahren plante, Anlagen für eine neue Generation von Pflanzenschutzmitteln zu bauen, stand man vor der Herausforderung, sehr giftige Zwischenprodukte und gefährliche Prozessschritte beherrschen zu müssen. Daher beschloss man, ein fundamental neues Verfahren für die Überprüfung des Anlagen- und Prozessdesigns zu entwickeln. Die bei der Planung involvierten Abteilungen sollten nicht nur auf das von ihnen zu verantwortende Gewerk schauen, sondern gemeinsam einen Blick auf mögliche Abweichungen des bestimmungsgemäßen Prozesses werfen, die entsprechenden Ursachen hierfür finden und die potenziellen Auswirkungen beschreiben. „Critical Examination“ nannte man dieses Vorgehen, bei dem anhand von „Guide Words“ jeder einzelne Prozessparameter des Verfahrens hinterfragt wurde.

Zwei Erfahrungen wurden bei diesem Vorgehen gemacht: erstens, dass mittels dieser Methodik eine ganze Reihe von Planungsfehlern aufgedeckt wurden, die mit der üblichen Routine nicht gefunden worden waren. Zweitens, dass dieses Vorgehen zwar erfolgreich, aber auch ausgesprochen aufwändig war und sich somit nicht grundsätzlich auf alle Neuplanungen anwenden ließ.

Eine Verbesserung der Methode gelang 1967 in der Petrochemischen Division der ICI. Die Anwendung der „Guide Words“, die bisher auf die rein verbale Prozessbeschreibung beschränkt geblieben war, erfolgte nun in Kombination mit den R&I-Schemata (Rohrleitungs- und Instrumentierungsfließbilder) des Prozesses. Und die Dokumentation beschränkte sich ausschließlich auf erforderliche Änderungen oder offene Fragen. Diese „Flowsheet Method“ beschleunigte das Vorgehen etwa um einen Faktor zehn und führte dazu, dass HAZOP-Studien nun routinemäßig bei den verschiedensten Anlagetypen zum Einsatz kamen.

1970 übernahm die Pharmazeutische Division der ICI das HAZOP-Verfahren. Eingeführt wurden der „study leader“, der die systematische Untersuchung managte, und die Unterstützung durch einen technischen Sekretär, der die gefundenen Ergebnisse tabellarisch protokollierte. Dies lenkte die Diskussion und förderte die Kreativität des Teams, so dass diese Rollenverteilung als eine maßgebliche Verbesserung empfunden wurde. Zugleich wurde das Verfahren auch erstmals auf Batch-Prozesse angewandt und manuelle Tätigkeiten des Bedienpersonals einbezogen.

Mit diesen organisatorischen Änderungen war der Durchbruch der Methodik gelungen. Auf Basis der Modifikationen begann man 1975 bei ICI Schulungen durchzuführen, um alle bestehenden und neuen Anlagen mit der Methode sicherheitstechnisch überprüfen zu können. Der hierzu geschriebene ICI-interne Report über die „Hazard and Operability Studies“ wurde 1977 von der Chemical Industry Association veröffentlicht. Parallel wurden auch Seminare angeboten, um die praktische Anwendung des Verfahrens zu trainieren. Chemetics International Company, der kanadische Ableger der Ingenieurabteilung der ICI, übersetzte die Broschüre in zahlreiche Sprachen und sorgte mit entsprechenden Schulungen für eine weltweite Verbreitung der Methode.

HAZOP wird im deutschsprachigen Raum zu PAAG

Im März 1980 wurde von der Sektion Chemie der Internationalen Vereinigung für Soziale Sicherheit (IVSS) die erste deutschsprachige Broschüre zum PAAG-Verfahren herausgegeben. Das Heft war die wortgetreue Übersetzung der 1977 erschienenen HAZOP-Broschüre „A Guide to Hazard and Operability Studies“ der britischen Chemical Industries Association und trug den reißerischen Titel „Der Störfall im chemischen Betrieb“. Im Mai 1980 veranstaltete dann die Berufsgenossenschaft Chemie (heute BG RCI) unter Leitung der ICI-Experten die erste Schulungsveranstaltung zu der Methode. Die Teilnehmer des Seminars kamen zum überwiegenden Teil von den bekannten Firmen der deutschen Großchemie und dem Anlagenbau, aber von Anfang an waren auch zahlreiche Behördenvertreter an einer Seminarteilnahme interessiert. Denn wenige Tage nach der Veranstaltung wurde am 27. Juni 1980 von der Bundesregierung die 12. Verordnung zur Durchführung des Bundes-Immissionsschutzgesetzes verabschiedet – die Störfall-Verordnung, aus der zwei Jahre später auf europäischer Ebene die so genannte Seveso-Richtlinie hervorging. Danach waren entsprechende Betriebe angehalten, im Rahmen einer Sicherheitsanalyse den Nachweis zu führen, dass „eine Gemeingefahr infolge einer Störung des bestimmungsgemäßen Betriebes“ ausgeschlossen werden konnte. Und spätestens als am 27. April 1982 die Zweite Allgemeine Verwaltungsvorschrift zur Störfall-Verordnung (2. StörfallVwV) explizit das PAAG-Verfahren als eine der Methoden aufzählte, um die Forderung nach einer systematischen Vorgehensweise zu erfüllen, war eine breite Akzeptanz des Verfahrens erreicht.

Seitens der Sektion Chemie der Internationalen Vereinigung für Soziale Sicherheit (IVSS) wird die Broschüre regelmäßig aktualisiert und fortgeschrieben.

Weiterentwicklung von PAAG und HAZOP in der Prozessindustrie

Ab den 1990er Jahren wurden die in den Betrieben der chemischen Industrie verwendeten Einrichtungen der Mess-, Steuerungs- und Regelungstechnik zunehmend auch zur Beherrschung von Prozessabweichungen im Sinne der Anlagensicherung genutzt. Seitens der Normenarbeitsgemeinschaft für Meß- und Regeltechnik in der chemischen Industrie (NAMUR, seit 2005 Interessengemeinschaft Automatisierungstechnik der Prozessindustrie e.V.) wurde hierfür der Risikograph entwickelt, der die Klassifizierung der so genannten Schutzeinrichtungen ermöglichte, deren Verfügbarkeit über die der Betriebs- und Überwachungseinrichtungen hinausging. Insbesondere in den angelsächsischen Ländern kam etwa zeitgleich der Ansatz der Risikomatrix auf, der ebenfalls eine Bewertung des von Prozessanlagen ausgehenden Gefahrenpotenzials ermöglichte. Beide Vorgehensweisen nutzen häufig das PAAG-/HAZOP-Verfahren zur Findung kritischer Szenarien.

Neben HAZOP entstand die Methode HAZID zur vorgelagerten Gefahrenidentifizierung (Hazard Identification), um eine Abschätzung zu ermöglichen, in welchem Umfang überhaupt Risiken zu erwarten sind und entsprechend die Tiefe des HAZOP anzupassen, und das Werkzeug HAZAN zur Gefahrenbewertung (Hazard Analysis), um Anforderungen an das Schutzkonzept anzupassen. Eine entsprechende Broschüre von Trevor Kletz erläutert das Vorgehen. Ähnliche Instrumente wurden in Deutschland in Ergänzung zum PAAG entwickelt, wobei firmenspezifische Lösungen die Regel waren. Praktische Erfahrungen mit der HAZOP-Methodik trugen Industriekollegen in einer Schrift des Europäischen Prozesssicherheitszentrums EPSC (European Process Safety Centre) zusammen, die aufzeigt, dass einige der ursprünglichen Ideen wie beispielsweise das Anwenden aller Leitworte auf alle Elemente der Sollfunktion keine Verbesserung der Qualität, dagegen eine aufgeblähte Diskussion und Dokumentation bedeuteten.

Bei der Nutzung des PAAG-Verfahrens hat sich ebenfalls viel getan und die Kombination von PAAG als Methode der Gefahrenidentifikation mit den bewertenden Instrumenten Risikomatrix, Risikograph, FMEA (Fehlermöglichkeiten- und Einfluss-Analyse) oder LOPA (Layers of Protection Analysis) sind heute gang und gäbe.

Literatur

• IEC 61882. Hazard and operability studies (HAZOP studies) – Application guide. 2001, International Electrotechnical Commission (IEC), Geneva.