🛡️ Safety: Die Katastrophe von Sajano-Schuschensk aus Sicht der Prozesssicherheit

Die Anwendung des Process Safety Management (PSM) ist ein wesentlicher Bestandteil der industriellen Sicherheit gefährlicher Produktionsanlagen, vor allem solcher der Gefahrenklassen I und II.

Die Grundprinzipien des PSM sind universell. Sie lassen sich nicht nur in der chemischen Industrie erfolgreich anwenden, für die sie entwickelt wurden, sondern auch in allen anderen Branchen.

PSM ist ein organisatorisches System, das Steuerungs- und Kontrollinstrumente umfasst: Standards, Verfahren, Programme, Prüfungen, Tests, Bewertungen und Audits.

Konzeptionell besteht PSM aus 14 miteinander verbundenen Elementen (OSHA 29 CFR 1910.119), die sich grob in drei Blöcke gliedern lassen:

1. Menschen: Beteiligung der Beschäftigten; Schulung des Personals; Steuerung von Auftragnehmern; Erlaubnisscheine für Heißarbeiten; Untersuchung von Unfällen und Ereignissen; Notfallvorsorge; Audits und Prüfungen; Schutz von Geschäftsgeheimnissen.
2. Technologie: Informationen zur Prozesssicherheit; Gefahrenanalyse der Prozesse; Betriebsstandards und -verfahren; Änderungsmanagement.
3. Ausrüstung: Sicherheitsüberprüfungen vor der Inbetriebnahme; mechanische Integrität der Anlagen.

Als analytisches Instrument erlaubt PSM, weit mehr zu erkennen als die offensichtlichen Verstöße gegen bestehende Anforderungen der industriellen Sicherheit.

Der größte Vorteil des PSM besteht darin, dass es systemische Schwachstellen, die die Voraussetzungen für schwere und katastrophale Unfälle schaffen, frühzeitig erkennen und beseitigen lässt.

In diesem Zusammenhang lohnt es sich, an den größten Unfall in der Geschichte der russischen Wasserkraft zu erinnern, der sich am 17. August 2009 im Wasserkraftwerk Sajano-Schuschensk ereignete.

Bei dem Unfall kamen 75 Menschen ums Leben. Weitere 13 Beschäftigte wurden verletzt. Der wirtschaftliche Schaden betrug mehr als 7 Milliarden Rubel. Die anschließenden Kosten für den Wiederaufbau des Kraftwerks überstiegen 40 Milliarden Rubel.

Was geschah

1. Bei einer erneuten gesteuerten Leistungsreduzierung verließ Maschinensatz Nr. 2 (MS-2) den normalen Betriebsbereich und geriet in eine Zone erhöhter Schwingungen.
2. Unter dem Druck des einströmenden Wassers begann sich der Rotor des MS-2 nach oben zu bewegen, was zum Bruch der Stehbolzen der Turbinenabdeckung und zum Verlust der Dichtheit des Maschinensatzes führte.
3. Das unter Druck einströmende Wasser führte zur raschen Überflutung und Zerstörung der Maschinenhalle sowie weiterer Gebäude und Anlagen des Kraftwerks.

Die Untersuchung stellte fest, dass die unmittelbare Ursache des Unfalls der Bruch der Stehbolzen der Turbinenabdeckung des MS-2 war, als der Maschinensatz erneut in einen wegen erhöhter Schwingungen nicht empfohlenen Betriebszustand gefahren wurde.

Analysiert man die Umstände und Ursachen des Unfalls aus der PSM-Perspektive, so findet man einen ganzen Komplex systemischer Mängel im Management der Prozesssicherheit. Der Kürze halber führe ich hier nur einige der wichtigsten an, orientiert an den klassischen PSM-Elementen.

Element „Informationen zur Prozesssicherheit“

Solche Informationen lagen im Kraftwerk vor, waren aber offensichtlich unvollständig und gaben die tatsächliche Lage, die sich lange vor dem Unfall entwickelt hatte, nicht wieder.

• Es waren keine sicheren Betriebsgrenzen für die Turbine des MS-2 festgelegt, die Druckpulsationen und erhöhte Schwingungen des Maschinensatzes infolge hydrodynamischer Vorgänge ausgeschlossen hätten.
• Das System der kontinuierlichen Schwingungsüberwachung (sicherheitskritische Ausrüstung) war am MS-2 nicht in Betrieb genommen worden und wurde bei Entscheidungen über die Leistungsregelung des Maschinensatzes nicht berücksichtigt.
• Es waren keine Anforderungen an die Kontrolle der Dichtheit der Wasserturbine und der Befestigungsbaugruppen festgelegt.
• Auch eine regelmäßige zerstörungsfreie Prüfung der Stehbolzen und anderer Befestigungselemente war nicht vorgesehen.

Element „Gefahrenanalyse der Prozesse“

Aus dem Gesagten folgt, dass diese Analyse sicherheitskritische Ausrüstung sowie Steuerungs- und Sicherheitsüberwachungseinrichtungen nicht angemessen abdeckte. In der Folge entsprach das Bündel der angewandten Schutzmaßnahmen nicht mehr der realen Lage im Kraftwerk und den entstehenden Risiken.

Element „Notfallvorsorge“

• Der Plan zur Verhütung und Bewältigung von Notfällen sah kein Szenario einer Überflutung der Kraftwerksgebäude vor.
• Folglich wurden keine entsprechenden Übungen durchgeführt und keine Evakuierung von Auftragnehmern vorgesehen, auch nicht aus Geschossen unterhalb der Wasserlinie.
• Die Mittel der Betriebskommunikation und der Notfallalarmierung fielen bereits in den ersten Momenten des Unfalls aus.

Element „Betriebsstandards und -verfahren“

• Die Betriebsdokumentation legte keine Anforderungen an die Kontrolle des Zustands und der Lebensdauer der Befestigungsbaugruppen fest, die die Dichtheit des MS-2 gewährleisteten.
• Diese Kontrolle erfolgte im Rahmen der planmäßigen Arbeiten nur visuell, ohne Verfahren der zerstörungsfreien Rissprüfung.
• Bezeichnenderweise war eine obligatorische Sicherung der Muttern auf den Stehbolzen in der Betriebsdokumentation des Maschinensatzes nicht vorgesehen.

Elemente „Steuerung von Auftragnehmern“ und „Änderungsmanagement“

• Die zuvor im Kraftwerk vorhandenen Instandhaltungsbereiche wurden aufgelöst und ihr Personal in Tochtergesellschaften überführt (Outsourcing).
• Die Frage der Organisation einer verbindlichen regelmäßigen Kontrolle des technischen Zustands der Kraftwerksausrüstung blieb dabei ungeklärt.

Element „Mechanische Integrität der Anlagen“

• Die Voraussetzungen für den plötzlichen Dichtheitsverlust des Maschinensatzes Nr. 2 bestanden über lange Zeit. Davon zeugen Ermüdungsschäden in den Befestigungsbaugruppen der Turbinenabdeckung, verursacht durch Schwingungen und erhöhte Belastungen des Maschinensatzes bei den wiederholten Durchfahrten durch einen für den Betrieb nicht empfohlenen Bereich der Betriebskennlinie.
• Bei der Untersuchung dieser Befestigungsbaugruppen nach dem Unfall fanden sich an einigen Stehbolzen keine Spuren abgerissener Muttern. Das deutet darauf hin, dass die Muttern zum Zeitpunkt des Dichtheitsverlusts des MS-2 gar nicht vorhanden waren.

📌 Fazit

1. Wie so oft bildeten sich die Voraussetzungen für die Katastrophe allmählich und lange vor ihrem Beginn heraus. Eine nach der anderen entstanden sie vor den Augen der technischen Führungskräfte und des Personals, doch man maß ihnen keine Bedeutung bei. Ab einem bestimmten Punkt war der Unfall unvermeidlich und „wartete“ nur noch auf seine Stunde.
2. Alle oben aufgeführten Mängel lassen sich den systemischen Ursachen des Unfalls von Sajano-Schuschensk zuordnen.
3. Seine Grundursache ist das Fehlen eines durchdachten, systemischen Ansatzes im Management der Prozesssicherheit.
4. Eine rechtzeitige und fachkundige Anwendung der PSM-Prinzipien hätte diese Katastrophe verhindern können.
5. Eine der wichtigsten Lehren: An solchen Anlagen und anderen gefährlichen Produktionsstätten darf der PSM-Ansatz nicht ignoriert werden. Er kann und muss Teil der täglichen Managementpraxis werden.

💬 Kolleginnen und Kollegen, teilen Sie Ihre Gedanken gern in den Kommentaren! 👇