Betrouwbaarh eid
van het
Sluitproces van
Beweegbare
Waterkeringen
Het
G
ebruik van Exp
er tmen
in
g
bij het
Bepalen
van d
e
B
etrouwbaarheid
t
en aanz ien van
Technisch
Fal en ,
Men
selijk
Falen en Fa
len
doo
r
Tijd
gebrek
libliotheek TU Delft
\~I
IIIIIII11\111IIIIIIIII
I'
C 0003814854
2414
405
"VBBM Report Series
WBBM
Department of Mathematics and Computer Science Delft Universityof Technology
Room ET 05.040 Mekelweg 4
2628 CD Delft, The Netherlands Phone +31 15 278 16 35 Fax +31 15 278 72 55
Betrouwbaarheid
van het
Sluitpro
ces
van Beweegbare
Waterkeringen
Het
Gebruik
van Exp
er tmening
bij het
Bep alen van de
Betrouwbaarheid
t
en
aanzien
van Technisch
Fal en
,
Mens elijk
Fal en en Fal
en
door Tijdgebrek
N.P.van EIst
The WBBM Report Seriesis published by:
Delft Univers ity Press Mekelweg4 2628 CD Delft , The Net herla nds Phone +31 1527832 54 Fax +31 15278 16 61 Edito rs: Tim
J
.
Bedford Roger M.Cooke Hans van MaarenMiehielA. Odijk
Departmentof Mathematic s andComputer Scïence
Delft University ofTechnology
CIP-GEGEVENS KONINKLIJKE BIBLIOTHEEK DEN HAAG
van Eist , N.P.
Betrouwbaarheid van het Sluit proces van Beweegbare Waterk erin gen- Het Gebru ik van
Exp ertmening bij het Bep alen van de Betrouwbaarh eid ten aanzienvan Techn isch Falen, MenselijkFalen en Falen door Tijdgebrek / N.P. van Eist - Delft : Delft University Press.
- 111. - (WBBM Report Seri es35)
ISBN 90-407-1490-8
NUGI 841
Trefw.: Expertmening ,Risicoanalyse,Waterkering
Copyright @1997 by WBBM,Delft University of Techn ology
No part of this book may be reproduc ed in any form by print, photoprint, microfilm or any ot her means, withou t written permission from the pub lisher: Delft Univers ity Press, Mekelweg 4, 2628 CD Delft ,The Netherla nds.
Inhoudsopgave
1 Inleiding
2 Betrouwbaarheid en het sluitproces 2.1 Enkele begrippen van het sluitproces 2.2 Betrouwbaar heid van het sluitp roces
2.2.1 Opmer king .
3 Huidige beoordelingsprocedure
3.1 Beschrij ving huidige beoordelingsprocedure . 3.1.1 Voor- en nadelen huidige beoordelingsprocedure 3.1.2 Opmerkingen
3.2 Nieuwe modellen 3.3 Conclusie . . . . 4 Sluitingsprocedure
4.1 Algemene beschrijving van het sluitp roces 4.1.1 Waarschuwingsfase
4.1.2 Mobilisatiefase 4.1.3 Sluitingsfase . . . 4.2 Herst elmogelijkheden . . 4.2.1 Bemandekering . 4.2.2 Onbem andekering 4.3 Mogelijke faaloorzaken 5 Menselijk falen
5.1 Inleiding . . . .. . . . .
5.1.1 Modelmenselijkfalen. . . . . 5.1.2 Classificatie menselijk efout en 5.1.3 Perform an ce Shap ing Factors (P SF's)
5.1.4 Menselijkebetrouwbaarheiden het sluitproces
5.2 THE RP .
5.2. 1 THE RP - methode .
5.2.2 Voor- en nadelenTHE RP voorde sluitingsprocedure
1 3 3 4 5 7 7 9 9 10 10 11 11 13 14 16 16 16 17 17 19 19
2
0
2
0
21 21 2222
245.:3 SLIM .
5.3.1 SLINI-met hode .
5.:3.2 Voor- en nad elen SLIM voor desluitingsprocedure
5.4 HCR .
5.4. 1 HeR Corre lat ie methode .
5.4.2 Voor- en nadelen HCR-techniek voor de sluit ings proce d ure. 5.5 Gebruikte me thode voor men selijkfalen
5.5.1 Mogelijkeverdelingen . 5.5.2 Bepalen verdelingbenodigde tijd 6 Expertmenin g
6.1 Inleidin g . . . . 6.2 Het klassieke model . 6.2.1 Inleiding . . .
6.2.2 Kwantielschattingen
6.2.3 Inform a t ie,calibrat ieen combinatie. 6.2.4 Infor m a t ie .
6.2.5 Calibrati e .
6.2.6 Wegen van de ex pe rts
6.3 Uitgevoe rde ex pe r t rne ningonderzoe k . 6.:3.1 Opbouw expe rt me ningonde rzoek
6.3.2 Resultaten .
6.:3.3 Combinati e scha t t inge nexpe r ts 6.3.4 Opmerkingen verlooponder zoek
6.:3..') Aanbevelingen .
7 Mo d e l
7.1 Inleiding .
7.2 Waarschuwingsfase .
7.2.1 Faalkans waarschuwingsfase 7.2.2 Benodigde tijd waarschuwingsfase
7.3 Mobilisat iefase .
7.3.1 Faalkans mobilisatiefas e . 7.3.2 Benodigde tijd mobilisatiefase
7.4 Sluit ings fase .
7.4.1 Faalkans sluit ings fase .
7.4.2 Benodigde tijd sluitingsfase
7.5 Slu itproces .
7.5.1 Faalkans sluitproces . 7.5.2 Benodigde tijd sluitproces 7.6 Sluitproces, lange MBT .
7.6.1 Faalkans sluitproces, lange MBT 7.6.2 Benodigde tijd sluitproces, lange MBT
11
24
2.') 26 27 2729
29
:30 :31 33 33 333
4
3
4
:34 3.') :36 37 :38 :3840
42
44
44
45 4546
47
48
48
49
52 54 55 5758
59 596
0
6
0
6
0
8 Resultaten
8.1 Inleiding. . . .
8.2 Waarschuwingsfase .
8.2.1 Faalkans waarschuwingsfase 8.2.2 Benodigde tijd waarschuwingsfase
8.3 Mobilisatiefase .
8.3.1 Faalkans mobilisatiefase . . . 8.3.2 Benodigde tijd mobilisat iefase
8.4 Sluitingsfase .
8.4.1 Faalkans sluitingsfase . 8.4.2 Benodigde tijd sluit ingsfase
8.5 Sluitproces .
8.5.1 Faalkans sluitproces door technischen/of mense lijk falen 8..5.2 Faalkans sluitproces door tijdgebr ek .
8.6 Sluit proces, lange MBT .
8.6.1 Faalkans sluitp roces door technischen/ofmenselij k falen 8.6.2 Faalkans sluitprocesdoor tijdgebrek.
8.7 Voorbeeld kering .
8.8 Vergelijkingstandaardbeoordelingsprocedure
8.9 Conclusie . . .
8.10 Aanbevelingen. 9 Conclusie
9.1 Belangrijkstefaktoren faalkans .
9.1.1 Technischen/ofmenselijk falen 9.1.2 Faalkans door tijdgebrek .. .. 9.2 Vergelijkingstandaardbeoordelingsprocedure
9.3 Conclusie . . . 9.4 Aanbevelingen . Samenvatting
A Resultaten - overzicht
A.1 Waarschuwingsfase .
A.1.1 Eerste waarschuwingsket en 0scha kels . A.1.2 Eerstewaarschuwingskete n 1scha kel
A.1.3 Eerste waarsc huwingskete n 2scha kels.
A.2 Mobilisatiefase .
A.2.1 Eén persoonoproepen, één persoon nodig A.2.2 Twee personen oproepen, tweepersonen nodig A.2.3 Twee personen oproepen, één persoon nodig A.2.4 Opmerking A.3 Sluitingsfase . 61 61 62 62 63 63 63 64 64 64 65 66 66 67 68 68 69 69 70 71 73 75 75 75 76 77 77 78 83 85 85 85 86 86 90 90 90 91 91 92
A.:3.1 Sluitingafslui tmidd el . A.:3.2 Sluitingkering .
AA Sluitproces .
AA.l Faalkansdoor techni sch en/of men selijkfalen
AA.2 Faalkansdoor tijdgebrek .
A..S Sluitproces. lange MBT .
A..S.l Faalkans door technisch en lof mens elijk fal en
A.5.2 Faalkans door tijdgebrek .
B Experts IV
94
9.598
101 102 114 114 11.S 123Verantwoording
Dit rapport is geschreven in hetkad ervande tweejarige postd oct oral eopleiding'Wiskundige Behe ers- en Beleid sm od ellen ' aan de TU Delft. Het beschr even onde rzoek is uitgevoerd inopdrac ht van deafdelin gWat erk erenvan de Dien st Weg- en Wat erbouwkunde(DWW) van Rijkswat erstaat teDelft .
De exame ncom missie best ond uit :
Prof. dr. R.M. Cooke, Technische Univers ite it Delft Dr. T.J. Bedford,Technische Universi te it Delft Ir. R.E.Jorissen ,Dienst Weg- en Waterb ouwku nde Ir. D.C.M. Klaassen , Dien st Weg- en Water bouwkunde Dr. H. van Maaren , Techn ische Universiteit Delft
Mijn dankgaat allereerstuitnaar RichardJorissen en Dani ëlleKlaassen vandeDWW voor de plezierige begeleidin g enalleuit leg over de'Wereld van het Waterk eren'. Daarnaast wil ikalleexpe rts dieaanhet expert me ningonde rzoe k hebb en meegewerkt vanhar tebed ank en . Zon der hen was ergeen data en dus ookgeenmode lgeweest.
Verd er wil ik mijn begeleid ers van de TU Delft ,Tim Bedford en Roger Cooke, beda nken voor de ent housiasteonde rste uningenalleaan- enopme rkinge n dievan grote waa rde zij n geweest voor zowel het expe rt me ningonderzoekals de risico-ana lyse.
Tot slot wil ik ook alle TwAIO's en andere collega's zeker niet verget en en bedanken voor degezelligheid enste un.
Nicolevan Eist Delft, mei 1997
Afkortingen
AP EM EMN HEPHK
HRA LP MBT MHW MSW RC SVSD TAW Automatische Peilstok Elektrische MotorElektrische Motor met Noodgenerator Human Error Probability
Handkracht
Human ReliabilityAssessment Af te Lezen Peilstok
Maximaal Beschikbare Tijd Maatgevend Hoogwater
Monitoring Systeem Waterhoogten Rang Correlatie
Stormvloedwaarschuwingsdienst
Faalkansen en benodigde tijd
F.4DFA M
FaktieteTug F aTTF
As
FbeTeikl FbeTeik2 Fbeslis FdoOT(n) Fext.abn Fext.n orm F m etdFM
FobstakelF
s
Fsp FIV Hobstakel TaktieteTug T aTT TAS! TonbeTeik TbeTeik Tbeslis TdoOT( n) T m eld,TM
TobstakelTs
TspTw
Faalkans van een aandrijfsysteem
Faalkans van de sluiti ng vaneen afsluitmiddel
Faalkans van een akt ie na ontb reke nterugmelding
Faalkans van het op de keri ng arriveren
Faalkans van het alarmeringssysteem
Faalkans bereikbaarheid van eerst aangewezen persoon
Faalkans bereikbaarheid van niet eerst aangewezen persoon Faalkans beslissing functionaris
Faalkans doorgeven melding met waarschuwings keten van n schakels
Faalkans van externe instantie in abnormale situatie Faalkans van externe instantiein normale situatie Faalkans van het niet doorgeven van een melding Faalkans mobilisatiefase
Kans op obstakel Faalkans sluitingsfase
Faalkans sluiting kering door technisch en/of falen Faalkans waarschuwingsfase
Herstelkans bij een obstakel
Tijd diegewacht wordt op een terugmelding
Tijd nodigom op de kering te arriveren
Tijd nodig voor opmerken hoogwat er met het alarmeringssysteem
Tijd waarna iem and onbereikbaar wordt verklaard
Tijd waarna iemand bereikt wordt
Tijd nodig voorbeslissing functi onaris
Tijd nodig voor het doorgeven meldin g met waar schuwingsket en va nn scha kels
Tijd nodig voor het doorgeven vaneen melding
Tijd nodig voor de mobilisa t iefase
Tijd nodig voor verwijde re nobstakel
Tijd nodig voor sluit ingsfase
Tijd nodig voor sluitingsfase Tijd nodig voorwaarsc huwi ngsfase
Hoofdstuk 1
Inleiding
Nederland zoals het nu is,kan niet bestaan zonde r haar dijken en dammen, die niet alleen als beschermingdien en tegen de zee,maar ook tegen (te) hoogwat erop derivier en . Zonder deze bescherming zou het grootste ged eelte van Nede rla nd regelm ati gonder wat er st aan en dus onbe woonba ar zij n.
Om een goede bescherming tegen het water te kunnen creë ren, is Nede rla nd in 5:3 dijkringgebi ed en1 verdee ld. Het beheer van de dijken , dammen, sluize n en coupures is
in handen van de vers chillende waterschappen in Neder landen Rijkswat erstaat.. De wa-ter schappen zij n verantwoordelijk voor het beh eer en onderhoud van de keringen en de kwalitei t en kwantitei tvan deregionalewateren. Deprovinci es zijn toezichthoud ersen het Rijk heeft ,middelsRijkswaterstaat, desupervisie. Deministervan Verkeer en Waterstaat is ver antwoording verschuldigd aan het parlement over alle aspekten van het waterkeren en-beheren.
Om deveiligh eid tekunnengaranderen zij n voor hetontwerp ,aanlegen beheer van wa-terk eringen richtlijnenopgesteld door de Techni scheAdviescommissievoor Waterk eringen (TAW) . Het werkorgaan van het TAW is ondergebracht bij de Dienst Weg- en Water
-bouwkunde (DW W) van Rijkswater staat. Er zij n richtlijnen opgesteld voor rivierd ijk en , duin en , zee- en meerdijken en bijzondere wat erk erend e const ruct ies, waa rond er ook de beweegb ar e waterk eringen vallen .
In hetgeval van beweegbarewaterk eringenisniet alleen het mogelijkebezwijk enof falen van de kering van belang voor de veiligheid, maar ook het mogelijke niet op tijd sluiten van de kering gegeven de noodzaak. Ter beoordeling van dit laatste aspekt wordt in deze richtlijnen de wettelijk toegestane maximale faalkans per jaar ten gevolge van het niet
sluiten gegeven , alsmede een standaardbeoordelingsprocedure om de faalkans van kering tebepalen.
Het is voor debeheerdersvan iederebeweegbarewaterkering een wettelijkeverplichting om iedere5 jaar aan tetonen dat aan de faalkans-eis gebaseerd op deze richtlijnenvoldaan wordt. Hiertoe hoeft niet de in de richtlijn gegev en beoordelingsprocedure gebruikt te word en ,maar magookeen ged etailleerd erisico-analyse uitgevoerd worden. Voordegrote 1Een gebied dat door een stelsel van wat erkerin gen en/of hoge gronden (gebied niet bedr eigd door overst rom ing) beveiligd moetworden tegenoverstroming
en bijzond er ebeweegb ar ekeringen , zoals deOoster seheld ekeri ng en dekeri ng in de Nieuwe
Waterw eg wordt dan ook alt ijd een apa rt e risico-an alyse uitge voer d.
De huidige, door deTAW opgest eld e sta ndaar d beoorde lings p roce dure lijkt echter niet toer eik end. Recen t e onde rzoe ken [:3]en [19] hebben aangetoon d da t de faktoren tijdgebrek en men selijkfalen welli ch t niet voldoe nde worden meegen om en.
Dit rapport heeft als doel een model op te ste llen voor een eventuele nieu we (verbe -terde) beoor deli ngsprocedure die de faalkan s van een keri ng be paal t. De belangrij kste voorwaarden hierbij zij n ten eerste dat de genoe mde faktor en tij dgebrekenmense lijkfalen worden meegenomen en ten tweede dat het mod el en dus ook de beoordeli ngsproced ure
bruikbaar zijn voor devers chill endebeweegbare wat erk eringen. Bovendi en moet het model
zo gemakkelijk toep asb aa r zij n dat hetdoor dewa ters ch app en kan worden gebruikt zonder
hulp van bijvoorb eeld DWW ofeenexte rn adv iesbureau.
In hoofdstuk 2 wordt eers t ingegaan op de algeme ne aspe kten van beweegbare
wa-terkeringen , het sluit proces en de betrouwbaarheid. Vervolgen s wordt in hoofdstuk 3 de
huidige beoord elin gsp rocedure besproken en worden twee rapp or ten
(
[3],
[19]) die ingaanop enkele tekor tk omingen van de huidige beoordeling sprocedure, kort besproken. Hierna
wordt in hoofd stuk 4 het sluit p roces uitvoeri g besproken, waa r bij het proces schematisch wordt weer gegeven en dever schill end emogelijkhed en besp roke nword en . Omdat menselijk
falen een belangrijk aandee l heeft in hetmogelijkefalenvan het sluit proces, wordt in hoofd-stuk 5ingegaan op men selijkfalen en worden enigebelan grijk e technieken om de kans op
menselijk falente bepal enbesproken. Dezetechniekenhebben echter betr ek king op de
nu-clea ire sector,zoda ter voor gekoze n isom expe rt me ningte gebru iken. Expe rtmeningin het
algem een en de resultaten van het uitgevo erd e expe rt me ningo nde rzoe k worden in h oofd-st uk 6 besproken . Het ontwikkeld emod elis tenslotte gegeven in hoofd stuk 7. De faalkans is bepaald met behulp van Monte-Carlosimulati e,de resul tat en hier van zijngegeven in
hoofdstuk 8en bijlage A. Inhoofdstuk 9 worden tensl ot t e enkele conclusiesgetrokken en
aanb evelin gen geda a n.
Hoofdstuk 2
Betrouwbaarheid en het
sluit proces
In dit hoofdstuk wordt eerst uitgelegd welkebegrippen van belang zijn voor de betrouw -baarheid en vervolgens wanneer een kering voldoende betrouwbaar is.
2.1
Enkele begrippen van het sluit proces
Bij het bepalen van de betrouwbaarheid van een afsluitmiddel zijn er drie begrippen van belang (zie tevens figuur 2.1) :
1. de open keerhoogte- de kruinhoogte van de waterkering bij geopend afsluitmiddel. 2. het open keerpeil>de maximale waterstand die veilig gekeerd kan worden bij geopend
afsluitmiddel.
3. het sluitpeil- de waterstand waarb ij begonnen moet worden met de sluiting van het afsluitmiddel.
Het sluitprocesfaalt ind ien het afsluitm idde lniet gesloten is èn de waterstand boven de open keerhoogte stijgt. Dit leidt direct tot het falen van de waterkering.
Er zijn vierhoofdtypen van beweegba re keringente onderscheide n :
buitenwaterstand alsluitmiddel
...- ---.. ..- ..- - -.- kerendehoogte MHW· · · ·
k I r--...u.._,
I
'
-
open keerhoogte open eerpei .._ .1. Te sluite n bij wate rsta nde n hoger dan het sluitpeil
De afsluitm idde len staan in begin sel open en word en uitslu itend bij hoge wat er-stande n gesloten . Dit bet reft onder ande re kleppenk er ingen, stormvloed keringen,
keerslui zen , coupures, afsluitbare duiker s en schuts luize n met aparte hoogwa
ter-deuren ,waarbij de voor het schu tproces gebru ikte afsluitmidde len niet (voldoende)
hoogwaterk erend zij n.
2. Te open en op aanvraag
De afsluitmiddelen zij n in beginsel gesloten, en worden op aanvraag geopend . Dit betreftonderanderespuislui zen, inlaat sluizen ensomm ige keersluizen. Bijeen goede
bedi eningsprocedurewordt de kans dat het afsluitmiddelbijeen tehoge water st and
geopend zalworden verwaarloosbaar klein geacht.
3. Altijd geslot en
In allegevallen is ersprake van een gesloten afsluitmiddel. Dit betreft schut slui zen,
waarbij de voor het schutproces gebruikte afsluitmiddelen voldoend e hoogwater
ke-rend zijn. In dit geval hoeven er vanuit de waterk erend e functi e geen eisen aan de
betrouwbaarheid van de sluit ing gesteld teworden.
4. Te sluiten bij calamitei te n
De afsluit m iddele nzij n in princip eook bij hoogwater geope nden worden uits luitend in geval van een calam ite it gesloten. Dit betreft onde rande re pijpleidi ngkr uisingen entunnels. Deaanleidingtot sluitenis in dit geval niet een tehogebuitenwater st and,
maareen calamiteit, zoals bijvoorbeeld een breuk in de pijpleiding oftunne l. Hettoet senvan debetrouwbaarheidvan het sluitprocesisalleennodigbijwaterkeringen van typ e 1 : te sluiten bij water standen hoger dan het sluit peil. Wanneer in het vervolg wordt gesproken over beweegbarewaterkeringenwordendanook steeds wat erkeringen van
dit type bedoeld, tenzijanders vermeld.
2.2
Betrouwbaarheid van het sluitproces
Een kering heet voldoende betrouwbaar alsde kans op overstroming (bij gesloten keri ng )
in een jaarkleiner is dan de normfreq uentie fnorm énals de kans op falen van dekering bij
een waterstand kleinerdan het MHW in een jaar (Pj a) kleiner is dan çnsfnorm , metÇns de faalruimte-factor voor sluiting (vast te stellen door TAW). In de Leidraad is gekozen voor Çns
=
0.1. Bij beweegbare waterkeringen wordt hierbij aangenomen dat falen bijeen waterstand lager dan het MHW alleen veroorzaaktwordt door het falen van hetsluitproces.De faalkans per jaar van een beweegbarewaterk eringten gevolge van het niet (tijdig) sluite n gegevendenoodzaak! (Pja) wordt enerzijdsgegeven door het aan tal keren perjaar
1Eigenlijkisfaalkansperjaar geengoedeterm. Bedoeld wordtdefaalfr equ entie (per jaar ).
dat dekering gesloten moetwordenen anderzijds door dekansop het niet (tijdig) geslot en zijn van de afsluitmiddelen per vraag om sluiting(Pns) :
met nj het (verwachte) aantal keren perjaa r dat de keringgesloten moet worden en niet degehele kering faalt, m.a.w. het aantal keren dat de (buitenwaterstand
+
waakhoogte)de ope n keerhoogtevan dekeringoverschrijdt, maar kleineris dan de MHW
methdrde open keerhoogtevan debeweegbarekeri ng,hde buitenwaterstand,W waakhoogte, hdk de dijktafelhoogteen I de indicatorfunct ie. De waakhoogte W is evena lsde buitenwa
-terstand heen stochastische variabele, maa r omdat de variat ies in de waakh oogten klei n zijn,worden deze vervangen doordeterminist ischewaarden. Perdefinit iegeldt :
MHW hdk - WA/HW
hdr - Wok
met hdk de dijktafelhoogte en WMHW de rekenwaarde waakhoogte bij MHW en gesloten afsluit.middel,hok het open keerpeilenWok de waakhoogte bijhok en geopend afsluitmiddel.
Er geld t dan :
nj ~ IElhok$h$ MHW
~ IEh>hok - fnorm
met fnorm de overschrijdingsfrequentievan de MHW. Voor een betrouwbare beweegbare
kering moet gelden dat :
P
ja:S
çnsfnormmet Çnsde faalruimte-factorvoor sluitingen fnorm de normfrequentie,dus:
Het doel van dit rapport is om een mode l te ontwikkelen dat de faalkans
P
ns van het sluitproces bepaalt op grond van de eigenschap pen van een kering.2
.2.1
Opmerking
Merk op datbij deze formuleringvoor demaxim aaltoegest anefaalkans beweegbar ek erin-gen met een lage sluitfreq uentie (nj) een duide lij k hogere faal kan s per sluit ing mogen hebben . De toegestane faalkans per sluiti ng is voor enkele waarden vannjgegeven in tabel
2.1met fnorm = 10-4 en Çns
= 0.1. Hierui t kan opgemerktworden dat bijeen beweegbare kering, waarvan de open keerhoogte dezelfdeoverschrijd ingsfrequentieheeft alshet MHW, het sluitproces een maximalefaalkan s van 0.1 mag hebben (terwijlde gehele beweegbare waterkering en dus ook de sluitingdaarvan infeiteoverbod ig is).
10 4 0.1 1 10 5
10-3 10-2 2 0..5.10-5
10-2 10-3 .5 0.2.10-5
0.1 10-4 10 10-6
0..5 2.10-5 100 lO-ï
Tabel2.1: Maximaal toegestanefaalkans per sluiting bijverschillendesluit freq uent ies
Hoofdstuk 3
Huidige beoordelingsprocedure
Dit hoofdst uk bespreekt de huidige standaardbeoordelingsprocedure om de faalkans van het sluitproces te bepalen . Verder wordt kort ingegaan op de modellen uit [3] en [19].
3.
1
Beschrijving huidige beoordelingsprocedure
De huidige procedure gaat uit van de foutenboom infiguur 3.1. De kans dat het
afsluit-Figuur 3.1: Foutenboom behorend bij falen sluitingbeweegbare kering
middel niet tijdig gesloten is, gegeven de noodzaak tot sluiten (Pn s ) ,wordt bepaald aan de hand van een vragenlijst. De vragenlijst is in vierdelen verdeeld, overeenkomstig de vier subbomen van de foutenboom :
1. Falen hoogwater-alarmeringssysteem (HAS) 2. Falen mobilisatie (M 0 B)
3. Bedieningsfout (BED) 4. Technisch falen (STO)
Deze subbomen zijn gegeven in figuur 3.2. Aan de hand van deze vragenlijst worden voor de subbomen scores toegekend aan de basisgebeurtenissen en vervolgens de scores
Figuur3.2: Subbomen falen beweegbare kering
E
i,i
= 1,..,4 voor iedere subboom bepaald . De kans dat beweegbare kering niet sluit gegeven de noodzaak wordt dan bepaald als :met
Ei
de score van de topgebeurtenis in subboomi.De in deze methode gebruikte rekenregelsvoor de foutenboom zijn eenvoudig: • De ka ns op de basisgebeurtenisse n word t bep aald als lO-s
, met s de score toegekend met de vragenlijst.
• Een OF-poort komt overeen met nem en van het rrurumurn van de scores van de onderligge ndegebeurtenissen, wat neerk om t ophet nemen van de max imalefaalkans. • Een EN-poort kom t overee n met het som meren van de scores van deonderli ggende
gebeurtenisse n, wa t neerkom t op het ver meni gvuld igenvan defaalkan sen.
3.1.1
Voor- en nadelen huidige beoordelingsprocedure
Voordelen
• Het gebruiksgemak .
• Het model is volledigopzichzelf staand. Nade len
• Het tijdsaspekt wordt niet meegenomen : voor de gehele sluitings procedure is een maximale tijd beschikbaar, die o.a. bepaald wordt door de stijgsnelheid van het water.
• Mense lij k falen wordt onvoldoe nde meegenom en.
• BijOF-poor ten wordt een niet- conserv ati everekenregel gebrui kt. • Een moti vati e voor dekeu zevan debelangrijk e parameters ont bree kt. • De kans en op debasisgeb eurteni ssen zij n altijd machten van 10.
3.1.2
Opmerkingen
Bij een kwan ti t at ieve bescho uwing va n de scoretab ellen gelde n de volgende maximale scores:
o falen hoogwa ter al a rmeringssysteem (HAS) o fal en van de mobilisatie(MO B)
o falen door bedieningsfout (BED) o falen door een technischestoring (STO)
El ~ 10
E2
~4 E3 ~4 El ~ 3.5Hierui t volgt voor de bet rouwbaarheid dat de best haal bare Pn s = 10-3.s is bij de
aan-wezigheid van een tweede keermiddel , voor de sluitfrequent ie nj moet dan gelden nj ~
1O- 1.S. Bij de aanwezigheid maar één keermiddel geldt een maximalescore
E4
~ 2..5, ermoet dan gelde n dat 11j ~ 10-2.s
3.2
Nieuwe modellen
In
deze sectie worden kort twee modellen ([3],[19]), die de faalkans van het sluitprocesbepalen besproken,waarbij het eerste modelvooral ingaatop het tijdsaspe kt enhet tweede
model op menselijk falen.
Het model in [3] neemt het tijdsaspekt expliciet mee in de bep aling van de faalkans en verd er wordt in zeer bep erkte mate rekeninggehouden met menselijk falen (THE RP). Het model is opgesteld aan de hand van de algemen e sluit ingsprocedure in [16]. Het
model simuleert (een vereenvoudigdevorm van) de algem en e sluiti ngsprocedure met behul p
van Monte-Carlo simulatie. De verdeling voor de tijd die nodig is voor de verschillende handelingen wordt bepaald m.b.v. expert mening. Uit het rapport blijkt dat falen door
tijdgebrekeen duidelijk niet te verwaarlozen aandeel in detotalekans op falen heeft . Het
model is echter niet op zichzelfstaand, zo maakt het bijvoorb eeld gebruik van gegevens
uit THERP. Bovendien ishet modelniet algem een toep asbaar.
Het model in [19] is ontwikkeld vanuit de observatie dat enerzijds de invloed van het
mens elijk handelen op de betrouwbaarheid van het sluiti ngsp roces van een beweegbare
waterkering zeer groot isen dat anderzijd sweini gaand acht isbest eed aan menselij k falen.
Dit model gebruikt eveneens de algem en e sluit ingsproce d ure in [16]als basis. Voor het
bepalenvan de faalkansPn s wordentweemethoden gegeven :met behulpvanexpertmening en met behulpvan THERP.
Uit het rapport blijkt dat deinvloed van mens elijk falen op de totalefaalkansgroot is.
Het model is echter niet opzichzelf staand,zo moet en gegevens uitdeLeidraad enTHERP worden gebruikt. Bovendi enis het modelniet algem een toe pasbaar.
3.3
Conclusie
Het huidige TAW-model is het enige model dat geheel opzichze lfst aaten algem een
toepas-baar is. Het schiet op twee punten echter tekort : zowel het tijdsaspekt als menselijk
falen worden onvoldoende meegenomen,hier tegenover staatechte r degemakkelijket
oepas-baarheid. Bij de ontwikkeling van het nieuwe model moet zowel met het tijdsasp ek t als met het menselijk falen rekening gehouden worden.
Hoofdstuk 4
Sluitingsproeedure
In dit hoofdstuk wordt eerst een algemeenbeeldvan de sluitingsp roce duregeschetst, waar-bijde algemene sluitingsp rocedure in [16]alsuitgangspuntdient. Ook de eventueleherstel
-mogelijkheden komen hierbij aan bod. Vervolgens worden enkele karakteristi eke punten
genoemd die van belang zijn voor het wel/niet slagen van de procedure.
4.1
Algemene beschrijving van het sluitproces
Het sluiten van een beweegbare kering gaat volgens een voorgeschreven procedure die geheel of gedeeltelijk de volgende algemene procedure volgt. De procedure begint zodra een waterpeil gemeten of voorspeld wordt dat hoger ligt dan het signaleringspeil en eindigt wanneer het waterpeil het maximalepeil bereiktheeft waarbij nog gesloten kan worden! of de kering geslotenis. Het sluitproces faalt indien de kering niet gesloten is bijoverschrijding van het maximale peil voor sluiting.
Het proces is in verschillende fasen verdeeld, gebaseerd op de peilen dieachtereenvolgens in het waterverloop optreden, zie figuur 4.1. De beschikbare tijd hangt dus af van de tijd die verstrijkt tussen het bereiken van het signaleringspeil en het maximalepeil dat gekeerd kan worden en dus van de stijgsnelheid van het water. De volgendefasen kunnen achtereenvolgensonderscheiden worden :
• Waarschuwingsfase
Deze fase begint zodra ereen buitenwat er st and gemeten ofvoorspeld wordt die hoger isdan het signaler ingspeilen eindigt zodra het besluit tot mobilisatie is genomen . • Mobilisaiiejase
Dezefase begint zodra tijdens de waarschu wingsfase besloten is tot mobilisatieover te gaan en eindigtwanneerbesloten wordt met de slu itingte begin nen,of dat sluiting niet nodigis.
buitenwaterstand
MHW1 - - - - -- - - 1
openkeerhoogte / '
open keerpeilf--- --7I' sluitpeil '" signaleringspe il
~
L...J'---'--'---'-- ---'-_..L....I f----j mobilisatie H sluiting I I kerin g ges loten1----1
opening Figuur4.1: Waterverloop openingspeil keringopen lijd I1 • SluitingsfaseDezefase begint zodra tijdensde mobilisatiefasebesloten is tot sluiting over tegaan en eindigt wanneer de kering geslote n is, of het maximale peilwaarbij gesloten kan worden, bereikt is.
Binnen de procedurezijn alt ijdde volgende personen en/ofinst anties te onderscheiden:
• Ontvanger- De ontvanger is een inst ant ie die24 uur per dag,iedere dag van de week operationeel is.De ontvanger is altij d ber eikbaar voor de Stormvloed Waarschuwings -dienst (SVSD2
) of beschikt over het MonitoringSysteem Waterhoogten (MSW). Een
dergelijke inst ant ie treft menaan in een continu bezette meld-/regelkamervan een waterschapofgemeente ofin een alarm cen t rale van politieof brandweer.
• Functionaris - Ieman d van de Centrale Post , bijvoorbeeld het hoofd van een wa-terschapsdist rict of chefvan de technische dienst van waterschap of gemeente. De functi onaris is bevoegd de waar schuwingsfase te beëind igen zonder verdere aktie te onde rne me nofom de Centrale Postin par aath eid te brengen doorhet oproepen van de daartoe aange wezen per sonen en het oproe pen tot het bemannen vande kering.
• Cent rale Post - De regelkam erbijhoogwat er ,hier beraadt men zich op de eventuele verdere akties. De Cent ra le Post (waartoe dus ook de functi onaris behoort) IS
bevoegd om de sluit ingsprocedure zonder verd ere aktiesafte breken.
Verder is het belan grijk voor het verloop van het sluitproces of de kering wel of niet volledigbemand is bij aanvang van het sluitproces . Bij de aanwezigheid van een voltallige bemann ingis er nam elijk geen mobilisatiefasenod ig. Het is daarom belang rijk de volgende veelgebruikteclassificatievan keringennad er te beschouwen :
2De afkorting kom t van de oude benam ingStorm vloed Seindienst.
• KlasseA - De beweegbare kering is permanent bemand en in gesloten toestand altijd
veilig waterkerend.
• KlasseB- De beweegbare kering is niet permanent bemand en in gesloten toestand altijd veilig waterkerend,ook indien de bemanning afwezig is.
• Klasse C- De beweegbare kering is niet permanent bemand en in gesloten toestand niet veilig waterkerend indien de bemanning afwezig is.
• Klasse D - De beweegbare ker ing is onbemand en moet bij hoog water gesloten worden.
• Klass e E - De beweegbare keringis onbemanden wordt bij hoog water automatisch gesloten .
De laa t st e klasse, klasse E, is niet van bela ng voor dit onderzoek . De overige vier
klassenkunnennu met betrekking tot het sluit proces als volgt ingedeeld worden :
1. Dekeringis voltalligbemand. Deze situat ie ka n optreden bij keringenvan klasse A, Ben C.
2. De kering is onbemand of niet voltallig bemand en dient bemand te worden. Deze situatieka n optreden bij keringen van klasse C en D.
Van alle klassen A - D kan de kans bepaald worden op het voltalligbemand(Pbem) en op het niet voltallig bemand of onbemand(Ponb)zijn bijeen overschrijding van het signaler ingspeil.
Deze kansen worden bepaald door het aantal uur per dag en het aantal dagen per week dat de kering voltalligbemand is. De faalkans van het sluitproces wordt dan bepaald als:
Het sluitproces wordt nu in de volgen de paragravenstapsgewijs per fase beschreven.
4
.1.1
Waarschuwingsfase
1. Het opmerk en van het over schrijden van het signaleringsp eil , bijvoorbeeld door de SVSDof via het MSW.
2. Het waarschuwenvan defunct ion a ris. Hierbijis het aantalscha kels tussende waarne
-mendeinst ant ie (bijvoor bee ld SVSD) en de functionarisvan belang. Indiendefu nc-tionaris niet direkt door de SVSDof via het MSW gewaarschuwd word t , is er m
ini-maal één schakel nl. de Ontvanger. Dit is schematisch weergegeven in figuur 4.2.
Overschrijdenvanhel signaleringspeil WAARSCHUWINGSFASE
functionaris
BeginMobilisati e/ ase
Signaleringspeil is opgemerkt:
waarschuwenvan functionaris
Figuur4.2: Waarschu wingsfase
4.1.2
M
ohilisatiefase
3. Nadat de functi onaris gewaarschuwd is,neem t hijde beslissingom wel/niet door te gaan met de slu itingsprocedure. Indi en hij besluit tot sluitingover te gaan en de
kering nietvolt all ig bemand is, moeten de volgende akt iesgenomen worden
Mobili sat ie van de Storingsdienst'' (voor eventuelestoringen).
Mobilisati eKoeriersd ienst (voor controlerend ehandelingen en assistentie van de
Storingsd ien st ).
Mobilisati e van de benodigde exte rne inst anties".
Volledig ebemanning van de Cent rale Post.
Mobilisatievan de bemanning. Dit is schem at isch weergegeven in figuur4.3.
3Vaa kzaler éénstoringsdienst zij n voormeerd erekerin gen .
"Bijvoorbeeldeen kraan ver hu ur bedrijfvoor het plaatsenvan schotbal ken. 14
Storingsdienstkan maatregelen treffen
om eventuele storingente verhelpen
BeginMobilisatiefase
Controlerende handelingen en
eventueleassistentie
aanmonteurs
Mobilisatievande bemanning
De kering is volled ig bemand en ingelicht
BeginSluitingsfase
Figuur 4.3: Mobili satiefase
SLUITINGSFASE
I
Voorbereiding voor een ILI----==.:..:..::c.:=::..:..:,:~~=--O'Veilige sluiting
•
(
Bruikbaarheid van de
J
diverse installatiestesten
I
.,
Niet allesokee
I
+ Reparatie ( MobilisatieStoringsdienst]
I
Storingsdienstop keringI
l
I
allesokeeI
( De keringword tJ
gesloten Sluitingis voltooidI
STOP"
Eventuele terug,-1 melding aanCP)
Figuur 4.4: Sluitingsfase4.1.3
Sluitingsfase
4. Voorbereidingen voor een veilige sluiting : testen op bruikbaarheid diverse in
stal-laties, bij problemen moet de Storingsdienst opgeroepen worden voor de eventuele
reparaties. Bijhet bereiken van het sluitpei lwordt de kering gesloten.
7. Sluitingvoltoo id . Eventueleterugmeld ingaan de Centrale Post.
Dit is schematisch weergegeven in figuur 4.4
4.2
Herstelmogelijkheden
Bij een falen van de waarschuwingsfase kan soms een andere procedure op gang komen waardoorde ker ing alsnog tijdigwordt gesloten .
4.2
.1
Bemande kering
Inhet geval van bemandekering kunnen de volgende situaties optreden.
1. Het signaleringspei l bij de ker ing word t overschreden, maarde bemanning en fu nc-tionariszij n nogniet gewaarsc huwd . Er zijn nutwee mogelijkhed enteonderscheid en: (a) Defuncti onarismerkt een aktueleover schrijdingop (bij voorb eeld via hetMSW). (b) Debemanningop dekerin gmerktop dat het signaleringspeil overschredenwordt
en neemtvervolgen s cont ac t op met defuncti onari s.
2. Hetsluitpeil wordt ter plaats e van de keringoverschreden en de bemanning is nog niet gewaarschuwd of de functionaris heeft beslot en de procedure af te breken (de bemanning heeft deoverschrijding van het signaleringspeil dus niét opgem erkt ). Er zijn nu driemogelijkhed en teonderscheiden:
(a) De bemanning merkt de overschrijding niet op.
(b) De bemanning op de kering merkt op dat het sluitpeiloverschreden wordt en neemt contact op met de functionaris. Er zijn vervolgens meerderemogelijkh e-den te onderscheid en :
• Er is voldoend e bemanningaanwezig om tot sluit ing over te gaan, hierbij moet wel opgem erkt worden dater geen exte rne instanties e.d. of reser ve-bemanningsleden gemobilisee rd zijn.
• Er is niet voldoend e bemanning aanwezig om tot sluit ing over te gaan. Er moet direktextra bemanninggemobiliseerd worden.
4.2.2
O
nb e m ande ker
ing
In het geval van onbemandekerin gkunnen de volgendesituat ies optred en.
1. Het signaleringspeil bij de kering wordt over schr eden , maar de bemanning en fun c-tionaris zijn nog niet gewaarschuwd,er zijn nu tweemogelijkheden te onder scheiden : (a ) De functionarismerkteen aktuele overschrijdingop (bijvoorbeeld via het MSW) of de functionaris wordt - via een geregelde procedure- op een andere mani er gewaarschuwd (beschikt niet over MSW).
(b) De functionaris wordt niet gewaarschuwd.
4
.3
Mogelijke faaloorzaken
De belangrijkste oorzaken van een falen van het sluitproceszijn nu :
• Een niet tijdig te herstellen falen van de waterkering zelf, veroorzaakt door bijvoor -beeld:
- Een defektaan het bewegingswerk ,een kapottemotor, niet werkende loopbaan etc.
Een niet aanwez igzijn van he t afsluitmidde l door reparatie. Een blokkad e door eenschip, ijs ofauto.
Geen stroomtoelevering
Een defekt afsluitmidde l, bijvoorbeeld door aanvaring.
• Een falen door een beslissin gsfout. Binnen één van de fases voorafgaand aan de sluit ing isdefoutebeslissing genome n dat eenslu it ing niet nodigis en deze beslissing isniet her st eld (waa rbijgeen herst eloptr eed t voor het sluitpei lwordt overschreden).
• Het falen van één van dewaa rschuwingen , oproe pe nof inlichtin gen tijdensde proce-dure voorafgaand aan de werk elijk e sluit ing (waarbij geen her stel optreedt voor het sluit pe il wordt overs chr ed en).
• Tijdgeb rek. Het sluit proces wordt niet binnen de maxim aalbeschik bar etijd (MBT) afgerond. Geen van dereed suitgevo erdewaarschu wingen en handelin gen is verkeerd uitgevoerd (of niet hersteld) ,maar eris reeds zoveeltijdverstre kendat het sluitpeil overschrede n is,terwijl nog niet het hele sluit p roces afgero nd is.
Hoofdstuk 5
Menselijk falen
Het sluit proces iseen proces van vers chillendehand elin gen en beslissingen die achte
reen-volgens door verschillende men sen uitgevoerd moet en worden. Het wel/ni et slage n van
deze hand elin gen en beslissin gen is vangrote invloed op het uiteind elijk ewel/ni et slagen
van het sluit proces. Met ande re woorden : de kans op men selijk falen heeft een grote invloed op de faa lkans van het sluit proces. De stud ie die zich bezig hou dt met menselijk
falen noeme n we Human Reliabili tyAssessm ent (HRA).
In dit hoofdstuk zal ik daar om kort wat in het algemeenover HRA en men selijk falen vertellen. Ver volgen s zal ik een driet al bekend e HRA-techn ieken uit de literatuur b e-spreken. Als laa tst e zal ik de methode beschrij ven die in dit rapp ort gebruikt is om de
kan s op men selijk falen te bepalen.
5.1
Inleiding
HRA is ontstaan vanu it de observat ie dat bij het bepalen van de betrouwbaarh eid van een systee m zeker ook de mogelijkheid tot mens elijk falen beschouw d moet word en. Zo zijn menselijk efouten van grote invloed geweest bij ernst igeongelukken als bijvoorb eeld
ThreeMile Island", Tsjern obyl" , Bhop al'' en de Heraid of FreeEnterprise". Sommige van de hierbij gemaakte fouten waren bijna onmogelijk te voorsp ellen , ande re hadd en echter voorspeld en misschien wel voorkomen kunnen worden.
Ineerst e instantiewerdhetmen selijkhandelen en dusook het menselijkfalen beschouwd 11979,ongeluk metkern centrale.
21986,eenongeval metdekern centralemet alsgevolg tientallendirekt edod en,verm oedelijkduizend en
latent edod en en gewond en.
31984, ontsnapping vaneen wolkmethyl-isocyanaatmet alsgevolg meerdan 2500doden en meerdan
tienduiz end en gewond en : meer dan 200.000mensen hadd en medische behand eling nodig en meer dan
70.000mensenmoest engeëvacueerd word en.
41987,kaps eizenvandeveerb oot metals gevolg 180 dod en ,veroorzaakt dooreen nietgeslot enluik.De
matr oosdiedeluikenhad moet en sluite nsliep,door slecht managem ent werd bovendi enhet geslote nzijn
van deluikenniet gecont roleerden werd vert rokkenzonder dat bekendwas ofdeluiken wel/nietgeslote n
alshet functi oner en en falen van hardware com ponente n. Demenswerd hierbij dus als een
passiefcomponent beschouwd dat reag eertop stimuli. Inde prak tijk bleek echter da t de
kritieke men selijke handelinge n en dus ook fouten veelalgeen routin em atigehand elin ge n zij n , maar vaakjuist een beslissings- en probleemoplossendeaard hebben . Om dezereden
is het niet alleen van belang te bepalen welk e fouten gemaa kt kunnen worde n, maar ook
het waarom. Het blijkt namelijk dat veel men selijkefouten het gevolg zijn van
manage-ment en organisatorische faktoren en gebre ken. De primaire doelen van zij n daa rom he t
identificeren, kwantificerenen reduceren van menselijkfalen.
Voor eengoede identi fica ti e van menselijkefalen is een model voor men selijk falen
ont-wikkeld. Verderis een goedeclassificatievan demogelijkefouten nodi g, zonde reen cl
assifi-cati eishet bijvoorbeeld nietgoed mogelijk om verschillende HEP-waa rden te verge lijken . Alslaatste is het va n belangdiefaktoren te identificer en ,die het wel/ni et slagen van een
handelingbeïnvloeden.
5.
1. 1
Model men
selijk
falen
Het isbelangrijk omeerst op te merkendat alle menselijkefouten een na tuurlijk gevolg van
het menselijk gedrag zijn : ofwel het zijn akt ies die in het algem een goed gaan maarsoms
falen ofwel het zij n strategieën die inhet algemeenwerk en maarsoms mis gaan . Een m
en-selijke fout is dus niets anders daneen menselijkeaktie zodat eengoed modelvan mense lijk gedrag ook dewaarschijnlijkemenselijkefouten zo u moet en kunnen onde rsc heiden.
Bij mens elijk efouten worden devolgend edrie basistyp en onde rsc he iden :
1. slips en lapses - bijvoorbeeldde verkeerd eknop indrukken, of een st a p vergeten . Dit
zijn 'onopzet telijke' fouten/handelingen.
2. mistakes - bijvoorbeeldbewust een knop indrukkendooreen verkeerde interpretatie
vaneen gebeurtenis . Dit zij n 'be wuste' fouten /handelingen.
3. violations- bijvoorbeeld bewust niet de helevoorgeschreven procedure volgen. Dit
zij n 'bewuste' fouten/ ha nde lingen met een risico-element .
Hetbekend st e en meestgebr uikte modelbinnende HRA is het skil!-, rule-enkno wledge
based beha viour model van Rasmuss en ([14]), zie figuur 5.1. Op het skill-based niveau
wordt aangenomendat deuitvoeringvan een taak wordt gecontroleerddoor bekend e, vaste
gedragspatronen. Op het rule-based niveau wordt aangenomen dat de uitvo ering va neen taakvereist dat na een bewust e selektieen toepassing van regels. Op het knowledge-based
niveau vereist de uitvoering van een taak gebeurtenis-specifiek gedrag, zoals bijvoor beeld
probleemoplossen,doelstelling en planning.
5.1.2
Classificatie menselijke fouten
De meest bekendeclassificatieis als volgt:• Error of omission - het niet uitvoeren van een akti e.
20
Knowledge BasedBehaviour Rule Based Behaviour Skill Based Behaviour Input door waarneminge.d. aktie
Figuur .5.1: Mod el Rasmu ssen voor men selijk ged rag
• Error of commission - het niet goed uit voer en van een taa k, bijvoorbeeld III de
verkeerde volgorde, of te vroeg, of te laa t.
• Extraneous error- het uitvoeren van een verkeerde (niet vereiste) taak .
5.1.3
Performance Shaping Factors (PSF
's
)
Mensen zijn bij het uitvoeren van handelingen onder hev igaan eengroot aantal faktoren die hun prestatie beïnvloeden . Voorbeelde n van dergelijk e fa ktoren zijn tra in ing, mot i-vatie en stress. Dezefak tor en worden de Performa nceShaping Fact ors (PSF's)genoemd.
De PSF 's kunnen in verschillen decateg o rieënonde rverdeeld word en : interne, externe en stressor fak t oren . Int ern efak t or en zij n bijvoorbeeld mot ivati e , train ing enerva ring. Ex-terne faktoren zijn bijvoorbeeld de verl icht ingen de aanwezige procedures en instructies.
De st ressor faktoren zij n de faktor en die st ress beïnvloeden , zoals bijvoorbeeld werkdruk , ver moeidheiden tempera t uurext re me n.
5.1.4
Menselijke betrouwbaarheid en het sluitproces
Duidelijk is dat voor het wel /ni et slage n van het slui t proces het menselijk handelen van groot belang is. De uit te voer en handelingen en beslissin gen zij n in het algemeen niet moeilijk en fouten zijn in het algemee n herstelbaar.
Om de men selijk e bet rou wbaarheid van eensysteem te bepalen zij n een aa ntal tec h-nieken ont wikkeld . Een driet al bekende techni eken: THERP, SLIM en HeR word en daaro m besch reven en beoordeeldop hun toep asb aarh eid op het sluit proce s.
5.2
THERP
THERP staat voor Teclinique[or Human Reliability Error Rate Predi eti en. De techniek isont wikkeld door Swain en Gut tm ann (198:3 )en istotop heden de meest gebruiktetech -niek om men selijk e betrouwb aarheid te bep alen. De techniek is gebaseerd op database van HEP - waard en. Deze dat ab ase maak t THERP tot een unieke techniek binnen de
HRA-techn ieken. THERP gebru ikt bomen en afha nkelij kheidom de menselijkefouten te
modelleren, vergelijkbaar met de 'gewone' risico-analyses en met PSF's die het wel/niet slagen van handelingen vaneen operatorbeïnvloeden. THERP istot op heden de meest ge -bruiktetechni ekten eerste vanwegededatabase van HEP-waarden enten tweedevanwege
de 'eng ineering'-aanpa k.
5.2.
1
THERP
-
m
ethode
De volgen de vijf belan grijk e sta ppe n worden onderscheiden:
1. Bepaaldebelangrijk efaalmogelijkh eden van het sys tee m.
Deze hebben betrekking op die systeemhandelin gen die beïn vloed kunnen worden
door mens elijk efouten waarvoor dekans bepaald moet worde n. Wanneer de analyse
onde rdee l uitmaakt van een risico- an alys e,is hetmogelijk er wijs bekend welke men -selijk ehandelingen kritiek zij nen daarom gedet aillee rd gean alyseerd moeten worden en welkemenselijkehandeling en geen grote impact hebben op het systeem.
2. Bepaal en analyseer de mens elijk e handeling en die van invloed ::ijn op belangr ij ke faalmogelijkh eden van het syst eem
In deze st ap moet een gedetailleerdetaak-analys e en een analyse van de menselijke fouten uitgevoerd worden. Voor ied ere stap die in de taak-analyse onderscheiden
wordt, moeten de mogelijke fouten bepaald worden , waarbij errors of omission en
errors ofcam m issiononderscheiden worden. Ook de mogelijk eher stelmogelijk heden
moeten aangegeven worden omdat dezede faalkans kunnen beïnvl oeden.
Om de menselijke handelingen en fouten te representeren , gebruikt THER P de Hu
-manRelia bility Event Tree (HRAET).Dit is eengrafische beschrijving vaneen taak in taakstappen : iedere knoop (taak) is een binair beslissing spunt (de taa k-st a p slaagt wel/niet). Op deze manier kan, wanneer taken als een HRAE T beschreven zijn en voor de taak-stap de kans van slagen bekend is, de betrouwba arh eid vande
een taak bepaald worden. Een voorbeeld van een HRAET is gegeven in figuur 5.2.
Hierin wordt onderscheid gemaakt tusse n de mogelijkheid dat de taak een parall el
systeemis, d.w.z. dat één van de taken A en Bgoed uitgevo erd moet worden en de
mogelijkheid dat de taak een serie-systeem is, d.w.z. dat alleb ei de taken A en B goed uitgevoerd moet en worden.
Ser ie-systeem Parallel-systeem S S F F S S A blA BIA F F Uitvoerenvanachtereenvo lgens twee taken:taak'A' entaak'B'
a kanssuccesvolle uitvoering taak' A'
A kansnietsuccesvolleuitvoeri ngtaak'A'
bla kans succesvolle uitvoer ing taak'B', gegevena Bla kans nietsuccesvolleuitvoeringtaak'B', gegeven a blA kans succesvolle uitvoe ringtaak'B', gegeven A BIA kansnietsuccesvo lle uitvoeringtaak 'B' ,gege ven A S geheelsucces
F geheelfalen
Serie systeem
P(S )
=
a (bla)P(F ) = 1-a(bla)=a(Bla)+ A(bIA)+ A(B IA)
Parallel systeem
P(S ) I-A(BIA) P(F )
=
A(BIA)Figuur 5.2: Voorbee ld HRAET
3. Het toekenne n en scha tten van de relevant efaalkans en
De kan sop falen van een taak wordt bepaald aan de hand van de instap 2 gec on-st rueerde HRAET 's. Hier toemoet en HEP-waard en aan de faal-t akk en toegekend worden ,dezekunnen op de volgende manieren afgeleid worden :
• Met behulpvan dedatabank in het THERP-handboek
• Met behulp van deopgeslagen data van eerde re ongelukken /incidenten
• Met behulp van een simulator • Met behulp van expe rt mening
Devoornaamstebron vangegevens isde databank uit het THERP-handboek .
4. Bepaal de invloed van menselij k falen op het sys tee m falen.
5. Eventuele aanbeveling en voor verander ingen aan hetsyst eem en dan gelden de faal-kansen
De hierboven beschreven methode is alleen geschikt voor fouten vaneen laag cognitief
niveau . THERP biedt ook een mod el om de kan s op falen bij hand eli ngen op een hoger cognit ief niveau te kwant ificere n. De kan sen die hierbij gebruikt worden zijn echter niet gebasee rdop'bes taa nde' data (zoal sdedata-bank )maa r opexpe rt-me ning . Defouten die beschou wd worden, bet reffen handelin gen in de cont roiroo m van een ke rn cent rale na een abnor ma le geb eurteni s. Bij de expe rtsc hatt inge n werd eenvast scenario voor de bemanning
van de controiroom gebr uikt, waarin bijvoorbeeld vastge legd is na hoe veel min uten een
tweede ope ra to r in de cont ro!roomarr iveert.
5.
2.2
Voor
-
en nadelen THERP voor de sluitingsprocedure
Voordelen THERP
• De gedeta illee rdheiden uitvoer igh eid van de meth od eis aan te passen aan de mate
waarin de ver schill end etaken worden onder verd eeld insubtaken .
• Demethodeis gema kkel ij kin te passen ineen risico-analyse die gebruikmaakt van
fouten- ofgebe ur te nissenbome n.
• Alle fouten, faktoren en evt. aann am en die beschouwd word en, zijn duidelij k en
kunnen daarom gema kkelij k beoord eeld word en.
• THERP biedtdemogelijkheidom data vanande re bronnen danhetTHERP-ha nd boek te gebr uiken.
Nadelen
• THERP is minder geschikt voor het eval ueren van diagno se-fou ten en fou ten op het
knowledge-based level (d.w.z. fouten in handelingen waarover in significa nte mate
bewu st moet worden nagedacht ) omdat het belangrijkst e aspek t van THER P, de
datab ank, hiervoor geen geschiktegegeven s bevat.
• Tijd wordt allee n meegenomen bij het bepal en van de kans op falen bij ha ndeli ngen va n een hoger cognit ief niveau. Er kan echte r niet gemakkelijk een verd eling voor
de benodigde tijd voor een handeling worden afgeleid. De gegeven relat ie tussen de faalkans en de tijd is bovendien zeer spec ifiek voor de nucleai re sector. Het is
dan ook maar de vraag of de gegevens van het THERP-handb oek wel b ruikbaar/-representatiefzijn.
5.3
SLIM
SLIM staat voor Success Likelibood Index Meihoden is ineers te instan ti e ont wikkelddoor
Embrey et al. (1984) voor ee n projekt van de US NuclearRegulatory Commiss ion. SLIM
maakt gebruik van Decision Analysis technieken. Het uitgang spunt van de techni ek isdat de HEP-waarden afha ngen van het gecombineerde effekt van de verschillendePSF's.
Een systematischaanpak wordt gevolgd om de PSF's voor bepaalde groep van taken
te bepalen, deze taken worden vervolgens op grond van de PSF's geëvalueerd waarbij
het relatieve gewicht (belangrijkheid) van de ver schill end e PSF's wordt bepaald aan de
hand va n expert me ning. Op grond van dezeevaluatie wordt voor iedere taak een Succes
Lik elihoedLndex (SLf)bepaald. Op basis van tweereferent iet a ken kan vervolgens deHEP
-waarde van de taken in de groep bepaald worden .
5.3.1
SLIM
-methode
De SLIM-proce dure is als volgt:
1. Het deji nièren van detoestanden en de ver zam elin gen van tak en.
Het zorgv u ld igdefiniëren van de versc hillendetaken diedoor de expe rts geëvalueerd
moeten worden. Vervolgens worden de takenin groepen verdeelddoor takendie door dezelfde PSF's beïnv loed worden,samen te nemen.
2. Het elicite ren van de PSF's.
Experts wordt gevraagdvoor welke PSF 's de taken in een groep verschillenen wat de uitersten voor de desbetreffende PSF zijn. Het is hierbijnoodzakelijk dat dezePSF's onafhankelijkzij n, d.w.z. dat niet twee min of meerdezelfd ePSF's zoals bijvoorbeeld
tijdsdruk en stressbeschouwd worden.
3. Het scoren van detaken op de PSF-schaal.
De taken worden voor de geëliciteerde PSF's opeen schaalvan 1-9 gescoord. Binnen
dezelfde groep van taken (zoals in stap 1 bepaald) moeten de scores voor een PSF van een taak in verhouding zijn tot de scores voor diezelfde PSF van alleandere taken.
4. Ideale punt elicitatie en schalen van de scores.
Voor elke groep van taken wordt door de expert voor iedere geëliciteerde PSF de 'ideale' score bepaald, d.w.z. de waar de waarbijeen taakde grootste kans vanslagen heeft. Vervolgens worde n allescores geschaald naar de afstand tot dit ideale punt,
de dichtst bijzijndescorekrijgt waarde 1en de vers te waa rd e O.
5. Het bereken en van de SLI
Voor ieder e taak wor dt de SLIals volgt bepaald:
n SLIj
=
L
RijWii= l
met SLIj de SLIvoor taakj, i
=
1,..,n de mogelijke PSF's, Rij de score voor de ie6. Hel bereken en van de HE P-waarden
De HE P - waard e wordt nualsvolgt bepaald :
log HEP = Cl •SLl
+
bmet a en bconstante n. Om de constante n Clen bte bepalen, moeten er minimaal
twee taken waarvandeHEP -waa rd ebekendis (de referentietaken), gebruikt worden.
7. Reduct ie
Daar de HE P -waarden alsfunctie van de PSF 's berekend worden is het mogelijk om te bekijken wat er met HEP-waarden gebeurt bij het veranderen van PS F's.
5.3.2
Voor
-
en nadelen SLIM voor de sluitingsprocedure
Voordelen
• Het effekt van een verande ring III de PSF 's op de HE P-waarde kan gemakkelijk bepaald wor den.
• De taak hoeft niet opgedeeldte worde n in allerlei subtaken.
Nadelen
• Referen ti et aken zij n nodi g.
• Het logari tmische verband tussen de HEP-waar den ende SU-waardezou beter
on-derst eund moeten worde n door em pirischeenexpe rime nteledata.
• De experts moeten veel doen : de belang rijke PSF 's en de bijbehorende uiterste
waarden bep alen , de PSF's van alle taken scoren en bovendien voor iedere groep taken het ideale punt bepalen.
• De method e kwantifi ceer t allee n de HEP-waarde , maar geeft geen model om de
tot ale HEP-waa rd e van een taak opged eeld insub taken te bepalen . Foutenbomen zijnechtereen voorde han d liggen de en goed te gebruiken methode.
• Het tijdsaspekt. Tijd wordt alleen als PSF meegenomen, het is echter niet mogelijk om eenverde lingvoor de benodigde tij dsduur afte leiden.
5.4
HeR
HCR staat voor Human Cognit ive Reliability. Detechni ekisontwikkelduit debeho eft e aa n eenem pirisch gebaseerd modeldat demenselijkebetrouwbaarheid bepaaltin noodsituaties waarin binnen een bep aald e tijd met een passend eakti e gereagee rd moet worden.
De techniekkwantificeertdekansopeen non-respon s e('ni et reager en' )aan dehand van
drie tijd -b etrouwbaarh eid correlaties (TRCs),over eenkomstigde drie cog nit ieve niveau s:
skill-, rule- en knowledgebased. Met behulp van dezecorrelatieskan de kans opeen non
-response gerelateerd worden aan de beschikbare tijd. Drie mogelijke PSF's : erva ring, stress en kwaliteit van de interfac e(hoe gemakkelijk is het instrumentarium af te lezen) worden hierbij meegenomen.
5.4
.1
HCR C
orre lat ie
m
et ho de
DeHCR-techniek is gebaseerd op het gebruik van eencurvediede relatieweergeeft tussen dekans dat er niet gereageerd wordt binnen de vereistetijdspanna aanvang vaneenincident (non-response) en demedi aan benodigde tijd voor een reacti e. Hierbij wordt aangenomen dat de benodigde tijd de som is van de tijd die nodig is om de noodzaak van aktieop te merken,om tot een aktietebeslissenen de aktieuit tevoeren. Verder wordt aangenomen dat de relaties tussen dekans op een non-response en tijd ver schiltvoor de driecognitieve niveaus. De tijd die in deze relatiegebruikt wordt, is de genormaliseerdetijd, dit is het quotiënt van het beschikbaretijdspanen de medi aan benodigde tijd.
Bij het toepassen van detechni ekmoet eerst bepaald wordenwelkesituatiesbeoordeeld moetenworden. Vervolgen swordt van iedere situatiehetcognitieveniveau bepaald en moet demediaanbenodigde tijd bepaald worden. Hiernawordt debeschikbaretijdspan bepaald en de genormaliseerd e tijd ber ekend . De kans op non-response wordt vervolge ns uit een HCR-curvé (zie figuur .5.3) afgelezen . Merk op dat als de beschikbare tijdspan gelij k is aan de mediaan benodigd e tijd, de kans op non-response bij een skill-based, rule-based en knowledge-based vereist eresponsegelijk is, namelijk0.14.
Dekans op non-responseis de kans dat binnende beschikbaretijd niet wordt opgemerkt dat een response nodig is of binnen de beschikbare tijd na det ectieniet gereageerd wordt. Om de HEP-waarde van een handeling te bepalen moet de kans op non-response nog gecombineerd worden met de kans op falen door bijvoorbeeld een foute diagnose van de situatie, slips of lapses. De procedure ziet er stapsgewijs alsvolgt uit:
1. Het bepalen en identificeren van de sit ua ties waarvan de menselijke betrouw baarheid
bepaald moet worden.
Het bepalen van de mogelijke situaties waarvoor de kans op non-response bepaald moet worden .
2. Het vastst ellen van het cognitieveniveau van de vereiste taken. 5TimeReliabilityCorrelations
lO'=-... ~---...
Beschikbare tip.genormaliseerd
Figuur .5.:3: HeR-curve
Om het cognitieve niveau van de vereisteresponsevast te stellen is een logischeboom ontwikkeld waarvan de blader en het cognit ieve niveau weergeven.
3. Het bepalen van de mediaan benodigde tijd
Dit kan aan de hand van bijvoorbeeld vansim ula t ie-da t a, expe rt me ninge nof inter -views met het personeel.
4. Het aanpassen van de mediaan benodigdetijd aan de situatiespecifieke P5F 's.
Dit gebeurt door de PSF's te scoren en de mediaan benodigde tijd met de bij be-horende coëfficiënt te vermenigvuldigen. Een tabel van coëffi ciënten wordt in de techniek gegeven.
5. Het bepalen van de beschikbaretijdspan voor ieder mogelijk esituatie.
Dit kan aan de hand van bijvoorbeeldeerdere incidenten ofexpert mening. 6. Kwantificeren van de kans op non-response
Hiertoe moet eerst de genormaliseerde tijd berekend worden. De kans op non -response wordt vervolgens bepaald op basis van de genormaliseerdetijden de HCR
-curve.
7. Bepalen HEP-waarde
Aan de hand van bijvoorbeeldeenfoutenboomwaarin dekans op non-responseword t ingevoerd kan de HEP-waarde bepaald worden, waarbij ander e bijdragen aan de
HEP-waarden, zoals bijvoorbeeldde kans opfoute diagnose, met een andere methode bepaald moeten worden.
5.4.2
Voor- en nadelen HeR-techniek voor de
sluitingsproce-dure
Vo o rd e le n
• Het tijdsaspekt. HC R beschouwt de beschikbare tijd expliciet als een mogelijke oorzaak va n falen.
• Alledrie de cognit ieve niveau s worde n beschouwd.
Nadelen
• De techniek is geen volled ige techn iek, maar bepaal t allee n de kan s op een n on-response. Om de totale HE P-waar de te bepalen, moeten nog andere methode n ge-bruikt worden .
• De geldigheid van de HC R-curve. Een non-res ponse ka n veroorzaakt wor den door het nietopmerkendat eenresponse nodig is en doorhet niet op tijdkunnen besluiten tot de juiste response. Het is de vraag of deze twee oorzaken dezelfdecurvelever en , oftewel of de curve niet afhankelijk is van een eventuele domin a nt ie van één van deze twee oorzaken. Verder is uit expe rimenten gebleken dat de techniek bijzonder gevoelig is voor de schattingen van de beschikbare tijd (de HC R-curve is een vrij steile curve).
• De HCR-correlatieszijn ontwikkeldvoorde nucleairesector met data uitde nucleaire sector. He t is daarom onwaarschijnlijk dat de parameters van de HCR-curve ook representatiefzijn voorhet slu it ings proces.
5.5
Gebruikte methode voor menselijk falen
Geen van hiervoor besproken tech nieken is opzichze lfgeschiktom de men selijk ebetr ouw -baarhe idvan hetsluit pr oces temodeller en. De eers teen meest gebru ikte techni ek , THE R P, isniet geschikt omd a t de databank waa rschij nlij k niet represen tati efis. Verd er is THE R P mindergeschikt voor fou ten bijha ndelin gen vaneen hoger cogn it ief niveau en isde methode niet in staat het tijdsaspe kt te mode llere n. De tweede techniek,SLIM, heeft als groots te nadeel da t er referent ieta ken nodi g zij n. Daarn aast bied t ook deze methode geen goede mogelijkhei dom het tijdsaspektmee te nemen. Dederde en laa t ste techn iek,HCR, is geen volledigetechnieken de TRC-curveis ontw ikkeldvóóren met behulp vánde nuclea ire sek-tor. HCRis echter welde enige techniekdie tijdgebrekals faaloor zaak expliciet meeneemt. Het is daarom belangrij kom de voor- en nadelenvan deze methode nader te onderzoeken.
De voornaamste bezwar en tegen de HCR-methode betr effen de geldighei d van de drie
TRC' s. He t is niet erg aa nne me lij k dat alle akties van het zel fde cognit ieve nivea u door
éénze lfde TRC ger epresenteerd kunnen worden enerzij n uitzond eringen bekend ([14],[1]). Ook is het onwaarschijnlijk dat een niet reag er en door een (te) lan gza me ver werking van
de beschikbar einforma ti e en dooreen (te ) laat opmerk envan de nood zaak tot een reaktie dezelfd e curve oplevert. Het is daarom onduidelijk of de TRC's van toepassing zij n op sit uat ies die gedo m inee rd worden door één van deze twee mogel ijk hede n ([14]). Verder is
de exac te liggin g van de drie TRC-curven niet bekend , zodat het be te r zou zijn om voor
ieder cognit ief niveau een familie van TRC-c urven te geven dan slechts één individ uele
curve ([1]). Een laatste nadeel voor eengebr uik bij het sluit proces is dat de parameters
van de curve bepaald zij n met da ta uit de nucleaire sector en dus waarsch ijnl ijk niet
representatiefvoor het sluit proces zij n.
Het grote voordeel van de techni ek is dat de tijdsduur expliciet word t gemode lleerd door het gebruikvan deTRC-curven. Met behulpvaneen TRC kaneenverde lingworde n opgest eld voor de tijd die een bepaalde cognitieve aktie of beslissin g vergt. De in de
literatuur gebruikte verdelin gen om TRC 's te modeller en zij n de Wei bull ver del ing (zoals de HCR-methode en de daarop gebaseerdeTRC 's ) en de lognorm ale verdeling.
Eer st wordt daarom ingegaan op de Weibull en de logn or male verde ling . Vervolgens
worden enkele mogelijkheden om de parameter s van deze verde lingen met behulp van e
x-pertmening te schat ten. Alslaatste wordt dan uitgelegd welkemeth ode gebruikt is.
5.5.1
Mogelijke verdelingen
Weibullverdeling
Binnen derisico-analyse wordt de2en 3 paramet er-Weibullverdelin g veelgebrui kt om de
leven sduurvan componenten te modeller en. De cum ula t ieveverde lingvoor de levensduur (CD Fï
) wordt in het 2-pa ra me te r geval gegeven door:
Als de com ponent een periode IQ voor het begin van de observat iep eri od e heeft geleefd wordt I vervangen wordt door I - IQen we sp re ken dan van een 3-par ameter Wei bull ver-deling.
De in de HCR methode gebruikte Weibullverdeling is een :3-paramet er Weibull
verde-ling :
(
~
-y )
P
'
P(t)= e-----;;r-met
P
(t )
dekans opeen non-responsebijeen beschikbare tijdi,T
1/ 2,de mediaan benodigdetijden dewaarden voor deparamet ers I" {3'en
17'
in tabel 5.1([15]).tCumulativeDistribution Function
llJveau (3' "/ skill 1.2 O.i rule 0.9 0.6 knowledge 0.8 0..5
1/
OAOi 0.601 0.i91Tab el .5. 1: Waard e par ameter sTRC'sin de HCR-methode
Lognormale verdeling
De lognormal everd elin gwordt ook gebruikt om delevensduur temodelleren. De s tochas-tische grootheid Theet LN(Jl,a) lognormaal verd eeld als Y
=
In T normaal verd eeld is.Dedichtheidsfunctievan T isdan als volgt :
1 1(!!!..!.=)'
f(t)
=
.j2iate-' GBij deTRC-curven gebaseerd op een lognormaleverd eling wordt dekans op een respon se
bijeen beschikbare tijd
t
gegeven door de CDF.5.5.2
Bepalen verdeling benodigde tijd
Ervan uitgaande dat de tijdsduur,die een bepaalde aktie of beslissing van een hoger cog -niti ef niveau ver gt, een Weibull- , of lognormale verdelin g heeft , moet voor de akties en beslissingen in het sluit proces dejuiste verdelin g opgest eld worden . Wegen s het gebrek aan data ligt het gebrui k van expe rt me n ing voor dehand.
Het is echt erniet mogelijk omexpe rts direkt de param et ers van deWeibull- of lo
gnor-maleverd eling te laten scha tten, daar dit voor de expe rt geen waarneemba re groot hede n
zijn . Enkelemogelijk emethoden zijn dan als volgt:
• Per expe rt worden twee of drie kwantielpun ten geélicitee rd." Aan de hand van de
door de expe rts geschatte kwantielpunten wordt een TRC gefit (door de geschatte kwantielpunten kan precies één curve gefit worden) .
• Per expert worden 3 kwantielpunten (5%-, .50%- en 95%- kwantiel) geëliciteerd .
Vervolgens wordt het minimaal informatie crite rium t.o.v. de uniforme verdeling
gebruikt om de verdeling te bepalen.
• Aan de hand van post-processing. Aan de hand vanexpert mening moeten de onbe-kende parameters van de verdeling bepaald worden. Het is echter niet mogelijk om deze parameters direkt te eliciteren, omdat dezevoor de expe rt s niet waarneembaar zijn. Om nu toch de parameters te bepalen wordt in enkele punten de waarde van
de verdeling geëliciteerd. Aan de hand van dezeschattingen wordt dan een verdeling voor de onbekendeparamet er bepaald.
8In het geval van een \Veibullverd eling met twee par am et ers of een lognormale verd eling moet en tweekwantielpunten geëlicit eerd word en en in het geval van een Weibullverd eling met 3 paramet ersdrie kwantielpunten .
Deeerst emethodeishet meestgeschiktvoor het bepal en van de tijdsd uu r bijde cognit ieve handelin gen in de sluit ingsproced ure. De method e maak t gebru ik van de informatie dat
het type verdel ing (Weibull- oflognormaal )be kend is en de expertshoeven niet bijzonder
veel of moeil ijk we rk te ver richt en . De tweed e method e is het meest geschikt voor de
handeling en dieniet vaneen hoog cognit ief niveau zij n. Dederd e meth odeis niet geschikt omdat voor ver schill end e de tijdsduren kan sen geëlicitee rd moeten worden. Kansen zijn echter niet goed waarneembaar " en boven di en is er geen goede da ta beschikbaar om de expe rts te calibre re n.
Om defaalkans en benodigdetijd van dever schill end ehandelin gen in het sluit proceste
bepalen is daar om een expe rt me ningo nde rzoek uitgevoerd . Afhan kelijk van het cognitief
nivea u van dehand elin g word t vervolgen sde eers te of de tweede methodegebruikt om een verde lingte bep alen .
9Men moet dan denken aaneen vraagals "Beschouwdesit uatie dat ueen meldingvanhoog water binnenkrijgt waarna u vervolgensde bem anningmoet waarschuwen.hoeveelkeervande 100keer dat dit gebeurt denktu dat debemanning binnen5 minutendooruop dehoogt eisgesteld,geef het5%-,
50%-en95%- kwantiel."
