1. AUTOMAZIONE SICURA DI PROCESSO CHIMICO
UN CASE STUDY
INTRODUZIONE
Il processo preso in considerazione è la polimerizzazione del monomero cloruro di vinile nel PVC. Il case study si basa
su un processo ben noto che tratta una sostanza il VCM che è infiammabile e produce prodotti tossici in combustione
inoltre è un noto cancerogeno. Il processo si basa un impianto semicontinuo costituito da diversi reattori con tempi di
10 ore di polimerizzazione. Il cuore del processo è un reattore cstr agitato meccanicamente dove il calore di reazione
viene rimosso con acqua di raffreddamento in camicia e dove la reazione avviene in reattori multipli in parallelo in
modo che si opera in modalità semicontinua. Se il reattore ha subito azioni di manutenzione dopo l’ultimo batch ,questo
deve essere bonificato dall’aria per minimizzare l’ossidazione del monomero che produce HCl che può portare a
corrosione del recipiente.In altro modo il primo step è trattare il reattore con una soluzione antifouling per prevenire la
polimerizzazione sulle pareti.
Quindi il VCM liquido viene caricato al reattore. Un iniziatore (perossido liquido) è disciolto nel monomero. Poiché
questo composto si può decomporre è immagazzinato a bassa temperatura in bunker speciali. Piccole quantità sono
prelevate per l’uso comune. Il perossido è introdotto in un piccolo ricevitore per assicurarsi che solo la quantità corretta
è utilizzata.
Dopo che l’iniziatore è aggiunto il reattore è riscaldato con acqua calda e portato alla temperatura di reazione.
L’agitazione è necessaria per sospendere il monomero nell’acqua usata per controllare il calore di reazione e per fini di
qualità del prodotto. Poiché la reazione è esotermica acqua di raffreddamento circola nella camicia del reattore. La
reazione si dice finita quando la pressione diminuisce indicando che la maggior parte del monomero ha reagito. Il
polimero è scaricato ed inviato a valle del reattore per ulteriori trattamenti(recupero monomero,
strippaggio,asciugatura).
IDENTIFICAZIONE DEI PERICOLI
Il primo passo nello sviluppo del processo è identificare i parametri di processo,definire i pericoli per la sicurezza e per
l’impatto ambientale e ricercare soluzioni per un processo più sicuro.Per tale fine sono necessarie le informazioni circa
le caratteristiche di pericolo delle sostanze coinvolte e dei prodotti. Comunque le condizioni di reazione e l’iniziatore
devono essere attentamente scelte per assicurarsi che la velocità di reazione sia adeguatamente controllata e siano
prevenuti i fenomeni di runa way mentre si garantisce la qualità e la produttività.La scelta cade sulla polimerizzazione
in acqua ma ciò richiede l’uso di piccole quantità di pericolosi iniziatori la cui sicurezza va valutata.
In questo caso i principali pericoli sono associati all’infiammabilità e alla tossicità dei prodotti di combustione del
monomero VCM.Come primo passo è utile fare una disamina degli incidenti occorsi negli anni:
nel 1961 in un impianto di PVC in Giappone un incidente in cui morirono 4 persone fu dovuto allo scarico del batch da
un reattore sbagliato cosicché del monomero non reagito fu rilasciato in impianto che conteneva reattori in parallelo. I
vapori di VCM furono innescati da una scintilla di qualche macchinario con conseguente esplosione. In un altro
incidente un lavoratore aprì per sbaglio un passoduomo di un reattore in servizio con fuoriuscita di grosse quantità di
monomero che si incendiarono e portarono alla morte dell’addetto alla manutenzione. In un altro incidente un operatore
caricò il reattore di monomero con la valvola di fondo aperta. Altri incidenti sono occorsi durante la manutenzione di
una pompa di VCM a causa della presenza di contaminazione del perossido ,oppure ci fu un rilascio di VCM da uno
scrubber a causa di problemi di manutenzione ad una valvola otturata con conseguente ignizione e morte di operatori.
Pertanto i pericoli si possono sintetizzare in :
Jet fire:un aperdita da un sistema in pressione che brucia e forma un getto di fuoco che impinge altre apparecchiature
(un getto da un buco di 2 “ produce jet-fire di circa 10 metri)
Flash –fire:un rilascio di un liquido in pressione produce vapori infiammabili che viaggiano verso una sorgente di
agnizione.
Pool fire:un rilascio di liquido forma una pozza che brucia con fiamme che possono esser alte due,tre volte la larghezza
della pozza
Bleve:un recipiente pressurizzato pieno di monomero esposto a fuoco esterno può cedere dovuto a debolezza
metallurgica,un tale evento porta alla formazione di una palla di fuoco.Le valvole di sicurezza non prevengono i Bleve.
Esplosion:la perdita di gas in ambiente confinato porta in presenta di sorgente di innesco ad esplosione.
Hydraulic Failure:Sovra riempimento di un recipiente con successiva espansione del liquido dovuto a riscaldamento
può portare al collasso del recipiente.
Stress corrosion failure:aria nel sistema può portare alla presenza di HCl che può portare ad una perdita dell’integrità
meccanica.
Toxic Combustion products:la combustione del monomero porta alla presenza di fosgene,HCl,CO insieme ad altre
sostanze tossiche.
Runaway polimerization:la polimerizzazione se non ben controllata può portare a sovrapressione e rottura del reattore.

2. Un rilascio di 27000 Kg di monomero (contenuto del reattore) potrebbe produrre una nuvola di vapori con aerosol che
porterebbe avere la forma di un pancake e che può raggiungere i 450 metri interessando le aree esterne allo
stabilimento.
DEFINIZIONE DEL PROCESSO
Gli step operativi sono così sintetizzati:
Pre evacuazione dell’aria:se il reattore è stato in manutenzione va rimosso l’ossigeno dell’aria per problemi di qualità
del prodotto e per l’integrità meccanica del reattore (Corrosione)
Preparazione del reattore:il rettore vuoto è lavato con acqua,provato per le perdite se il passoduomo è stato apero e
trattato con antisporcante.
Carico acqua demineralizzata: un carico controllato di acqua è immesso nel reattore.Un eccesso può portare a
sovraccarico,un difetto può portare a problemi di qualità e problemi di runaway.Tutti gli altri additivi sono aggiunti.
Carica del monomero:un carico accurato del monomero è fatto.
Riscaldamento del reattore:l’iniaziatore è aggiunto dal suo ricevitore,il reattore è riscaldato fino alla temperatura a cui
comincia la reazione (5 C sotto la temperatura di regime)
Reazione:il riscaldamento è tolto,si fa passare acqua di raffreddamento nella camicia si controlla la temperatura di
polimerizzazione
Terminazione:quando la pressione nel reattore si abbassa significa che non c’è più monomero da reagire e il batch è
scaricato
Scarico reattore:il reattore è scaricato alle unità a valle,per prevenire il deposito del polimero sul fondo l’agitatore è
tenuto in marcia.Il monomero è recuperato per il suo riutilizzo in reazione.
Ci sono altri due sistemi che sono utilizzati in fase di emergenza:
Shortstop chemical:un agente che termina la polimerizzazione del batch.Comunque l’agitazione è necessaria per una
buona distribuzione del shortstop per fermare rapidamente la polimerizzazione.In caso di mancato funzionamento
dell’agitatore il shortstop deve essere aggiunto in 2 minuti per poter utilizzare ancora i moti di agitazione dl liquido in
reazione. Come back-up si usa abbassare la pressione nel reattore per generare delle bolle che mantengono in agitazione
il reattore.
Automatic depressurization:in caso di reazione incontrollata ,il sistema può essere tenuto sotto controllo con una
depressurizzazione del reattore e scarico dei vapori.Il calore di vaporizzazione rimuove il calore di reazione.
HAZARD ASSESSMENT
Si riporta di seguito una tabella con una lista di eventi incidentali e le relative strategie di prevenzione.
N Evento iniziale Deviazione di processo Variabile di processo
interssata
prevenzione
1 Il controllo dell’acqua
di raffreddamento
fallisce
La perita di controllo porta a
runaway
Bassa portata CW
Alta temp.reat.
Alta press.reat.
Add.shortstop
Acqua di
raffreddamento in
emergenza
Depressurizzazione
reattore(interlock)
PSV
2 Mancanza agitazione
batch
Ridotto raffreddamento,non
uniformità di reazione porta a
runaway
Amperaggio motore
basso
Alta temp raet.
Alta press reat.
Add shortstop
Depress.reat.
psv
3 Manacanza EE Perdita agitazione,runaway Motore agitatore off
Bassa CW
Alta temp
Alta press
Add shortstop
Depres.reat.
PSV
4 Pompa di
raffreddamento ferma,
Perdita di raffreddamento con
runaway
Bassa portata CW
Alta temp
Alta pres
Turbina a vapore sulla
pompa
Ad shortstop
Depres reat.

3. PSV
5 Errore carico nella
ricetta,eccesso carico
iniziatore
Alta concentrazione dell’inizatore
causa runaway
Alta carica
Alto peso
Alta press.
Add shortstop
Depress reatt
(interblocco)
PSV
6 Sistema di controllo
errore
sovrariempimento
reattore
Il reattore diventa pieno
all’aumento della
temperatura,possibile danno
idraulico,rilascio di monomero
all’esterno
Alto peso
Alto livello
Alta pressione
Confronta peso con la
ricetta (inteblocco)
Depres reat.
PSV
7 Malfunzionamento
controllo temperatura
,surriscaldamento
reattore in fase di
riscaldamento
Alta temperatura porta a runaway Alta temp
Alta pressione
Add shortstop
Acqua di raffred in
emergenza
(interblocco)
Depress. Reat
PSV
8 Tenuta del reattore
fuori uso
Possibile fuoriuscita di monomero
dalla tenuta
alta pressione nella
tenuta
rilevatori fumi su
impianto
Ventilazione
addizionale intorno alla
tenuta
Depres. Reattore per
alta pressione tenuta
(interblocco)
Si può pensare alla seguente strategia di prevenzione:
A)per trattare gli scenari di runaway dove l’agitatore è in marcia (N 1,4,5,7) si può proporre la seguente sequenza:
• Ad alta temperatura o pressione si attiva la massima portata dell’acqua di raffreddamento (Interblocco) e si
allerta l’operatore con allarme
• Se la temperatura e la pressione continuano a crescere l’operatore attiva l’aggiunta del shortstop
• Se nemmeno questo metodo ferma la reazione un “alto-alto allarme” sulla temperatura e pressione e il sistema
di interblocco depressurizza il reattore
B)per runaway che avvengono per agitatore non in marcia (N 2,3) altre protezioni in aggiunta a quelle del caso A sono:
• La perdita di agitazione viene indicata per basso amperaggio all’operatore da un allarme e dopo l’aggiunta del
shortstop un depressurizzazione è richiesta per miscelare il shortstop alla massa.(il sistema di
depressurizzazione è di back-up al controllo del runaway)
C) Basso o non presenza di acqua di raffreddamento : si usano le stesse sicurezza del caso A ,in aggiunta se la bassa
portata è causata dalla perdita di potenza elettrica,l’operatore è allertato dall’allarme di bassa portata e agisce inserendo
la turbina a vapore sulla pompa.
D)Sovraccarico di acqua o monomero:può portare a sovra riempimento del reattore con danno idraulici. Questo danno
è evitato se c’è un interblocco tra le celle di peso del reattore con allarme di alto peso e il sistema di riscaldamento del
reattore. Un back up è fornito con un interblocco “alto-alto” livello di pressione che attiva le valvole di
depressurizzazione in emergenza.
E)Rottura tenuta agitatore:questo può causare pericolose fuoriuscite di monomero. Questo è protetto con interblocco
alta pressione tenuta agitatore e depressurizzazione in emergenza.
F) Poiché il shortstop è così importante per controllare i runaway un interblocco è inserito per assicurarsi della
disponibilità del shortstop,tale interblocco non permette il carico di monomero se il livello del shortstop nel suo
recipiente è basso e se non è presente azoto di pressurizzazione.
ANALISI EVENTI INCIDENTALI
Evento 1: Mancanza acqua raffreddamento

4. Questo evento inizia un runaway che può diventare catastrofico.La protezione è il shortstop e le valvole di sicurezza.
Evento 2:fuori servizio agitatore
L’evento inizia un runaway simile all’evento 1 eccetto che è richiesta la depressurizzazione per miscelare il shortstop
nella massa del reattore,con mancanza di agitazione la massima portata di raffreddamento è insufficiente a fermare il
runaway così l’interblocco di depressurizzazione è l’unico efficace.
Evento 3:Mancanza Energia elettrica:stesse considerazione come evento 2
Evento 4:fuori servizio pompa raffreddamento
Questo evento è simile all’evento 1 eccetto che l’operatore può fermare il runaway solo azionando la turbina sulla
pompa dedicata o aggiungendo il shortstop.
Evento 5:carica doppia dell’iniziatore
Questo evento porta ad un runaway energico con alte velocità di reazione e sviluppo di calore anche se il
raffreddamento è funzionante.Sia le PSV che il sistema interblocco di depressurizzazione sono indicati per questo
evento,cosi come l’aggiunta del shortstop.
Evento 6:Sovra riempimento del reattore
Questo evento può portare alla fuoriuscita pericolosa di monomero. Con il numero alto di batch all’anno tale evento è
molto probabile .L’interblocco e l’allarme di alto peso,livello sulle celle peso si ritiene sufficiente. L’interblocco di
depressurizzazione e’ efficace.
Evento 7:Sovra riscaldamento del reattore
Questo evento porta a runaway simile all’evento 1.Efficaci sistemi di prevenzione sono l’interblocco con acqua di
raffreddamento di emergenza e la depressurizzazione.
Evento 8:Fuori servizio tenuta reattore
Lo speciale design della tenuta riduce la fuoriuscita del monomero. La ventilazione addizionale è sufficiente per
minimizzare il rischio e la bassa presenza di operatori sull’impianto riduce il rischio.
DESIGN DI UN SISTEMA DI CONTROLLO
Un sistema di controllo elettronico (PID control ,PLC,DCS)è scelto per le seguenti ragioni:
• L’impianto è costituito da molti reattori
• La control room è in posizione remota
• Le valvole on off hanno gli switch con la posizione indicata
• Le operazioni dalla control room riducono la presenza degli operatori sull’impianto
• Input elettronici sono utili per la gestione delle ricette
• È possibile fare una analisi dei dati confrontati con quelli di campo
Stazione operativa
Gli operatori nella control room hanno accesso a molta strumentazione tramite console per fare una analisi del
processo,per fare analisi di problem solving,controllo dello stato delle variabili,analisi di trend,analisi degli allarmi
Selezione dei sensori
Livello nei reattori:si sceglie un livello radar che può essere montato all’esterno del reattore.Il sistema è montato per
monitorare le fasi di carico e scarico reattore.Un livello interno sarebbe meno desiderabile perché opererebbe dentro una
massa agitata e soggetta ai sistemi di lavaggio con acqua ad alta pressione. Eliminare un ingresso nel reattore è
importante da la natura cancerogeno del monomero.
Temperatura:La temperatura è misurata da sono RDT dentro guaine in modo da facilitare lo sfilamento della
termocoppia. Il pozzetto è dotato di indicatore di pressione per indicare eventuali perdite sul pozzetto.

5. Pressione:Il sistema primario è costituito da un trasmettitore di pressione con tenuta a diaframma.
Portata:per caricare il monomero si utilizzano flussometri a turbina che hanno adeguate caratteristiche di affidabilità ed
inoltre permettono una integrazione del volume passato.
Peso:celle di carico sono fornite ad ogni reattore per fornire un indiretta indicazione del livello e indicazione delle
quantità caricate.
Corrente agitatore:un sensore di corrente è fornito per indicazione agitatore in marcia
Selezione elementi finali
Le valvole sono selezionante in base alle loro caratteristiche per minime perdite nell’ambiente e in secondo luogo per
minimizzare l’accumulo di polimero. Valvole a sfera o a farfalla con alta tenuta di chiusura sono selezionate.
Selezione del controller
Il sistema più in uso è un DCS perché i transitori sono relativamente bassi e un normale DCS è sufficiente per
l’applicazione.
Procedure amministrative per mantenere l’integrità
Può essere necessario condurre un FAT (factory acceptance Test) sul sistema di controllo del DCS.Una procedura per
valicare la logica di controllo del sistema risulta necessaria compresa la analisi della sequenza di controllo della
reazione a batch.Delle SOP (standard operating procedures) verranno fornite agli operatori in cui sono descritte tutte le
fasi di processo,come funzionano i controlli di processo (setpoint,allarmi di processo,limiti di temperatura e
pressione,range durante la reazione ,quali azioni intraprendere in caso di scostamento)
Una conferma dell’operatore che l’azione è stata presa deve essere necessaria prima di passare ad un prossimo step di
processo.Procedure di emergenza che descrive cosa deve fare quando i parametri critici sono in allarme.Un altra
procedura deve essere emessa in modo che in caso di uptodate del sosftware non sia compromessa la sicurezza. Tale
procedura deve contenere:
• Revisione base per la decisione di upgrade
• Rendere subito disponibile copie di back-up del sistema corrente di software
• Operazioni di processo sono fermate durante il periodo di validazione
• Tutti le pagine grafiche sono validate come corrette
• Le logiche di controllo sono testate verso i criteri di design
• I limiti di controllo di temperatura e pressione sono sempre operativi
• Tutti i cambi sono comunicati al personale operativo che deve capire l’entità del cambio
Una procedura formale deve esserci in tutti i casi in cui sono richieste revisioni,approvazioni,cambi di
documentazione.Master copy di tutta la configurazione di sistema deve essere tenuta e posta in luogo sicuro per l’uso
in caso di totale rottura del sistema.
Una revisione schedulata deve essere prevista.
Procedure sugli intreblocchi
Una procedura di impianto deve affermare che nessun interblocco può esser bypassato durante il tempo richiesto di
reazione. Nessun allarme va bypassato in ogni momento del processo. Qualsiasi calibrazione della strumentazione va
fatta con processo non in opera.La procedura deve prevedere che se ci sono anomalie nell’interblocco l’operatore deve
proceder allo shutdown dell’impianto. La procedura non deve permettere nessuna modifica ai parametri di processo e
agli interblocchi se prima non è stata sufficientemente approvata e se prima non sia stata condotta un analisi hazop o
FMEA.
La procedura deve permette l’accesso ai sistemi di interblocchi con password solo a persone autorizzate che conosce il
sistema e il suo funzionamento. Tutte le attività di manutenzione sui sistemi di controllo e interblocco devono esser
documentate indicando il problema iniziale,l’identificazione delle cause,e l’implementazione della soluzione con
indicazione della persona responsabile.La procedura deve prevedere che una workstation è configurate per il sistema di
controllo e un'altra per gli interblocchi. Un test funzionale dovrebbe essere condotto sugli interblocchi prima di metterli
in servizio e a intervalli regolari. Il sistema di test deve validare i seguenti punti:

6. • Le operazioni e range degli input incluso i dispositivi primari e i moduli di input degli inteblocchi
• La logica delle operazioni associata a ogni input device
• I set point di tutti gli input e la posizione di contatto degli switch
• Gli allarmi con le loro funzioni
• La funzione di tutti gli output agli elementi finali di controllo
• L’azione corretta degli elementi finali di controllo (valvole,attuatori)
• Qualsiasi variabile o output che indica lo stato di processo dell’impianto
• La versione software aggiornata
• Se l’azione del sistema in mancanza di energia (EE,aria strumenti) è corretta
Altre procedure
L’addestramento del personale all’uso del software deve esser condotto prima di mettere in marcia l’impianto e deve
essere ripetuto in caso di modifiche.
La documentazione sul sistema software corrente deve essere aggiornata,qualsiasi modifica va documentata.
Un audit va fatto sul sistema di controllo e un follow up va implementato.L’audit deve comprendere:
• Revisione di tutte le modifiche fatte sin dall’ultimo audit o verifica
• Revisione di tutti i problemi occorsi al software
• Verifica dei functional checks del sistema fatti annualmente
• Verifica che tutta la documentazione ufficiale è in ordine
• Verifica che le persona sappiano usare correttamente il software
• Verifica che quanto progettato è stato realizzato
• Verifica di procedure di emergenza comprese le periodi simulazioni
Riferimenti bibliografici:
1)guidelines for safe automation of chemical processes –CCPS-Aiche

7. • Le operazioni e range degli input incluso i dispositivi primari e i moduli di input degli inteblocchi
• La logica delle operazioni associata a ogni input device
• I set point di tutti gli input e la posizione di contatto degli switch
• Gli allarmi con le loro funzioni
• La funzione di tutti gli output agli elementi finali di controllo
• L’azione corretta degli elementi finali di controllo (valvole,attuatori)
• Qualsiasi variabile o output che indica lo stato di processo dell’impianto
• La versione software aggiornata
• Se l’azione del sistema in mancanza di energia (EE,aria strumenti) è corretta
Altre procedure
L’addestramento del personale all’uso del software deve esser condotto prima di mettere in marcia l’impianto e deve
essere ripetuto in caso di modifiche.
La documentazione sul sistema software corrente deve essere aggiornata,qualsiasi modifica va documentata.
Un audit va fatto sul sistema di controllo e un follow up va implementato.L’audit deve comprendere:
• Revisione di tutte le modifiche fatte sin dall’ultimo audit o verifica
• Revisione di tutti i problemi occorsi al software
• Verifica dei functional checks del sistema fatti annualmente
• Verifica che tutta la documentazione ufficiale è in ordine
• Verifica che le persona sappiano usare correttamente il software
• Verifica che quanto progettato è stato realizzato
• Verifica di procedure di emergenza comprese le periodi simulazioni
Riferimenti bibliografici:
1)guidelines for safe automation of chemical processes –CCPS-Aiche