Startseite » Sicherheit » Sicherheitstechnik »

Wie Fehler bei Instandhaltungsarbeiten das Sicherheitskonzept aushebeln können

Wie Fehler bei Instandhaltungsarbeiten das Sicherheitskonzept aushebeln können
Ja, aber: Nutzen und Grenzen des Änderungsmanagements

Sommer_Aufmacher_AdobeStock_202126047_(1).jpg
Manche Dinge entpuppen sich nicht sofort als Fehler, und manchmal sind Fehler allzu offensichtlich. Foto: © GoodIdeas – stock.adobe.com
Anzeige
In einem Sicher­heits­man­age­mentsys­tem, so die 12. Verord­nung zum Bun­des-Immis­sion­ss­chutzge­setz („Stör­fal­lverord­nung“), ist von Betrieben unter anderem die sichere Durch­führung von Änderun­gen zu regeln. Dieser Artikel zeigt anhand von Ereignis­bericht­en, dass es oft nicht so ein­fach ist, im betrieblichen All­t­ag sicher­heit­srel­e­vante Änderun­gen als solche zu erken­nen. Zugle­ich wird verdeut­licht, dass das The­ma nicht nur in „Stör­fall­be­trieben“ von Bedeu­tung ist. Ein neuer Leit­faden der Kom­mis­sion für Anla­gen­sicher­heit gibt Hilfestellung.

Ein defek­ter Tem­per­atur­füh­ler in einem Reak­tions­be­häl­ter soll durch ein gle­ich­es Mod­ell aus­ge­tauscht wer­den. Egal, wen man fragt: Das ist kein Fall für das Man­age­ment of Change (MOC), da es sich um einen 1:1‑Austausch han­delt. Aber: in ein­er dem Autor bekannten
Sit­u­a­tion wur­den vom Instand­hal­ter zwar der iden­tis­che Tem­per­atur­füh­ler einge­baut, aber ein ander­er Schrauben­typ zur Fix­ierung ver­wen­det: Statt der zuvor genutzten Edel­stahlschrauben wur­den Mess­ingschrauben genutzt. Somit kam das Reak­tion­s­gemisch beim näch­sten Ansatz mit Bunt­met­allen in Kon­takt, was eine uner­wün­schte Neben­reak­tion katalysierte. Die kleine Änderung – andere Schrauben – war nicht als solche erkan­nt und bew­ertet worden.

„Nicht für jede Änderung braucht es ein MOC, ander­er­seits kann kein MOC jede Änderung im Betrieb erfassen“ — auf Basis dieser These wer­den nach­fol­gend vier ver­schiedene Kat­e­gorien von Änderun­gen dif­feren­ziert und die Prob­lem­stel­lung aufgezeigt.

Der 1:1‑Austausch

Der Ersatz „Gle­ich­es durch Gle­ich­es“ ist ein Stan­dard­pro­cedere für Instand­hal­tungs- und Betrieb­sper­son­al. Da keine Änderung erfol­gt, die mit neuen oder verän­derten Gefahren oder Gefahren­poten­zialen ver­bun­den ist, braucht es auch kein MOC. So weit, so klar. Lei­der geschieht es immer wieder, dass bei dem „1:1‑Austausch“ unbe­merkt Pan­nen passieren, wie das fol­gende Beispiel zeigt:

  • Das getauschte Durch­flussmess­gerät: In einem Betrieb war das Durch­flussmess­gerät für die Dosierung ein­er Reak­tion­skom­po­nente defekt. Ein Mitar­beit­er der Instand­hal­tungsabteilung tauschte das Gerät gegen einen anderen Durch­flussmess­er aus. Bei dem nach­fol­gen­den Pro­duk­tion­sansatz kam es zu ein­er uner­wartet hefti­gen Reak­tion. Das neue Gerät war für einen anderen Stoff kalib­ri­ert gewe­sen, was zu ein­er Fehldosierung führte.

Das Ereig­nis geschah, weil von einem Aus­tausch iden­tis­ch­er Aggre­gate aus­ge­gan­gen wurde. Somit ist dieses Szenario nicht Bestandteil eines Änderungs­man­age­ments, son­dern eigentlich ein Fehler, der auch nicht mit tech­nis­chen Gegen­maß­nah­men zu ver­hin­dern ist. Diesen unbe­wussten Änderun­gen kann nur eine Sen­si­bil­isierung des Betrieb­sper­son­als ent­ge­gengestellt werden.

Der „Quasi‑1:1‑Austausch“

Manch­mal kommt es vor, dass bei einem Aus­tausch von Kom­po­nen­ten bewusst Mod­i­fika­tio­nen vorgenom­men wer­den. Diese ver­meintlichen „Min­i­malän­derun­gen“ wer­den nicht sel­ten spon­tan real­isiert und entsprin­gen einem Bedürf­nis, schnell etwas für die Aufrechter­hal­tung des Betriebes zu tun. Dabei wird aber die Trag­weite der Auswirkun­gen unterschätzt.

  • Die aus­ge­tauscht­en Verbindung­steile: An einem Diese­lag­gre­gat brach ein Feuer aus. Ein Beschäftigter bemerk­te den bren­nen­den Treib­stoff­s­trahl und leit­ete die notwendi­gen Not­fall­maß­nah­men ein, das Feuer wurde schnell durch die CO2 ‑Löschan­lage gelöscht. Nie­mand wurde ver­let­zt. Doch warum brach das Feuer aus? An dem Motor war die met­allis­che Ver­schraubung der Treib­stof­fzu­fuhr zur ein­facheren Mon­tage an drei von vier Ein­spritzstellen kurz­er­hand durch Gum­mis­chläuche erset­zt wor­den. Ein­er der Schläuche ver­sagte und führte zu ein­er Leck­age. Treib­stoff sprühte auf heiße Motorteile, die als Zündquelle wirkten.

Das Ereig­nis geschah, weil Men­schen sich prinzip­iell zwar Änderun­gen, nicht aber der damit ver­bun­de­nen Kon­se­quen­zen bewusst sind. Der Umbau hätte im Rah­men eines Änderungs­man­age­ments tiefer­ge­hend hin­ter­fragt wer­den müssen, auch wenn die neue Sit­u­a­tion nur zu schein­bar unwesentliche Änderun­gen führt. Hier ist der Ansatzpunkt für die Sicher­heitsabteilung, zu ein­er Sen­si­bil­isierung des Pla­nungs- wie des Betrieb­sper­son­als beizu­tra­gen und auf die kon­se­quente Ein­hal­tung eines MOC-Prozess­es zu drängen.


Thomas Car­lyle, 1795–1881: Der schlimm­ste aller Fehler ist, sich keines solchen bewusst zu sein.


Die geplante Änderung mit ungeplanten Auswirkungen

Tragis­che Kon­se­quen­zen gibt es, wenn Änderun­gen bewusst vorgenom­men und geplant wer­den, aber die Trag­weite der Auswirkun­gen falsch eingeschätzt wird.

  • Die neu instal­lierte Rück­spülleitung: Zur Ver­mei­dung von Emis­sio­nen wurde in ein­er Anlage zur Syn­these eines flu­o­ri­erten Kohlen­wasser­stoffes eine zusät­zliche Rück­spülleitung instal­liert, um beim Anfahren die Atmo­sphäre im Inneren der Anlage mit Prozess­gas ver­drän­gen zu kön­nen. Bei der Inbe­trieb­nahme dieser Leitung kam es zu ein­er Explo­sion mit Totalver­lust der Syntheseanlage.

Nach Prü­fung des Sicher­heits­daten­blattes war man davon aus­ge­gan­gen, dass der als Prozess­gas ver­wen­dete Flu­o­rkohlen­wasser­stoff unbrennbar sei, da im Sicher­heits­daten­blatt stand: „Bildet unter Nor­malbe­din­gun­gen keine zünd­fähi­gen Gemis­che“. Die „Nor­malbe­din­gun­gen“, unter denen sicher­heit­stech­nis­chen Ken­ngrößen in der Regel ermit­telt wer­den, sind 1 bar, 20 °C sowie Luft in der atmos-phärischen Zusam­menset­zung. Allerd­ings wurde die Prozes­san­lage mit einem Über­druck von etwa 7 bar und Tem­per­a­turen bis 400 °C betrieben. Bei der Über­tra­gung der sicher­heit­stech­nis­chen Ken­ngrößen wurde nicht berück­sichtigt, dass die Explo­sion­s­gren­zen sich bei Änderung der Randbe­din­gun­gen – hier Druck und Tem­per­atur – erhe­blich ver­schieben kön­nen. Bei der Ver­wen­dung sicher­heit­stech­nis­ch­er Ken­ngrößen in einem Sicher­heit­skonzept muss darauf geachtet wer­den, ob die genutzten Dat­en unter Betrieb­s­be­din­gun­gen noch aus­sagekräftig sind.

Das Ereig­nis geschah, weil die Änderung zwar durch­dacht und geplant war, die Auswirkun­gen auf den Prozess aber auf falschen Annah­men beruht­en. Hier ist der Ansatzpunkt für die Sicher­heitsabteilung, darauf hinzuwirken, dass Experten bei der Pla­nung hinzuge­zo­gen wer­den und der Prozess des MOC mit­tels intern­er Vor­gaben – Stich­wort Sicher­heits­man­age­mentsys­tem – struk­turi­ert abgewick­elt wird.

Hil­fre­ich kann dabei eine Check­liste sein, wie sie beispiel­sweise in dem Leit­faden KAS-50 „Beurteilung der sicher­heit­stech­nis­chen Rel­e­vanz von Mod­i­fika­tio­nen in ver­fahren­stech­nis­chen Anla­gen“ (siehe ganz unten) oder in der Broschüre „Instand­hal­tung und Änderun­gen: Beson­dere Gefährdun­gen und Risiken bei Prozes­san­la­gen“ (siehe „Nüt­zliche Links“ ganz unten) dargestellt ist. Weit­ere Aspek­te find­en sich beispiel­sweise in dem Bul­letin des Sicher­heit­szen­trums der Europäis­chen Union (MAHB) zum The­ma „Man­age­ment of Change“ (siehe „Nüt­zliche Links“ ganz unten).

„Eine der häu­fi­gen Ursachen für Unfälle und auch von Stör­fällen ist das fehlende oder nicht aus­re­ichende Ver­ständ­nis für die Bedeu­tung von Änderun­gen. Oft wird eine Änderung nicht als solche wahrgenom­men. Dies kann passieren, wenn Änderun­gen schle­ichend stat­tfind­en, oder wenn die Sicher­heit­srel­e­vanz ein­er Änderung nicht erkan­nt wird.“ So die Kom­mis­sion für Anla­gen­sicher­heit, ein Berater­gremi­um beim Bun­desmin­is­teri­um für Umwelt, Naturschutz und nuk­leare Sicher­heit. „Für die sichere Durch­führung von Änderun­gen ist es zu allererst wichtig, festzustellen, ob die geplanten Änderun­gen in ein­er Anlage oder betrieblichen Abläufen Auswirkun­gen auf das real­isierte Sicher­heit­skonzept haben. Um diese Beurteilung durch­führen zu kön­nen, ist es notwendig, sich einen Überblick über die Kon­se­quen­zen eines Ein­griffs zu ver­schaf­fen.“ (Zitat aus KAS-19, „Leit­faden zum Konzept zur Ver­hin­derung von Stör­fällen und zum Sicher­heits­man­age­mentsys­tem“, siehe „Nüt­zliche Links“ Seite 18).

Gut gedacht, schlecht gemacht: Wenn der Mensch das MOC überlistet

Selb­st wenn eine Änderung der Anlage oder der Prozess­führung nach allen Regeln der Kun­st geplant und konzip­iert wurde, bedeutet dies noch nicht, dass keine Ereignisse in diesem Kon­text passieren kön­nten. Denn zwis­chen Pla­nung und Inbe­trieb­nahme ste­ht der Men­sch – mit seinen Stärken und Schwächen.

  • Die aus­gewech­selte Füll­standsmes­sung: Am Ver­dampfer ein­er Ammo­ni­ak-Käl­tean­lage wur­den Wartungs- und Instand­hal­tungs­maß­nah­men aus­ge­führt. Unter anderem wurde eine Füll­standsmes­sung aus­gewech­selt, die als Über­füll­sicherung diente. Bei Wieder­in­be­trieb­nahme der Anlage blieb aus Unacht­samkeit die Absper­rar­matur in der Leitung zwis­chen Ver­dampfer und Füll­standsmes­sung geschlossen, wodurch die Abschalt­funk­tion außer Kraft geset­zt wurde. So kam es bei der Befül­lung der Anlage zu ein­er Über­fül­lung des Wärmeaus­tausch­ers mit flüs­sigem Käl­temit­tel und in der Folge zu einem Gewalt­bruch am Verdichter. Dadurch trat Ammo­ni­ak aus, wodurch zahlre­iche Per­so­n­en ver­let­zt wurden.

Das Ereig­nis geschah, weil bei der Arbeit Fehler gemacht und diese nicht erkan­nt wur­den. Hier ist ein effek­tives Sicher­heits­man­age­mentsys­tem gefordert, das auch die Phase der Umset­zung und Inbe­trieb­nahme im Blick haben muss. Hier sind wir wieder beim Leit­faden KAS-19: „Wie wird die Durch­führung von Änderun­gen kon­trol­liert? Ist die vorge­se­hene Änderung in der geplanten Art und Weise durchge­führt wor­den? Sind die notwendi­gen Anweisun­gen angepasst wor­den und alte schriftliche Unter­la­gen entsprechend einge­sam­melt beziehungsweise beseit­igt worden?“

Flankierende Kon­trollen vor, während und nach der Arbeit sind von großer Bedeu­tung. Darüber hin­aus ist zu bedenken: Änderun­gen an Anla­gen kön­nen zeit­in­ten­siv sein, ins­beson­dere wenn bauliche Maß­nah­men davon betrof­fen sind. So müssen für die Zeit der Arbeit­en manch­mal Pro­vi­sorien geschaf­fen oder wesentliche Anla­gen­teile außer Betrieb genom­men wer­den, was als Änderung des bes­tim­mungs­gemäßen Betriebes zu sicher­heit­stech­nis­chen Prob­le­men führen kann und deshalb ein­er eige­nen Gefährdungs­beurteilung bedarf. Daher sind auch für Pro­vi­sorien und tem­poräre Änderun­gen die Fragestel­lun­gen des MOC anzuwenden.

Zusammenfassung

Ein „Man­age­ment of Change“ zur Pla­nung von Änderun­gen ist sin­nvoll und angezeigt und nicht zulet­zt auch für Betrieb­s­bere­iche nach Stör­fal­lV expliz­it gefordert. Dabei muss man sich jedoch stets vor Augen halten:

  • Nicht jede Änderung im Prozess wird durch ein MOC abgedeckt (hierzu zählen die Fehler beim 1:1‑Austausch),
  • Nicht bei jed­er Änderung ist den Beteiligten bewusst, dass diese unter das MOC fall­en müsste (hierzu zählen die „Quasi‑1:1‑Austauschsituationen“),
  • Nicht jede nach MOC durchge­führte Änderung garantiert voll­ständi­ge Sicher­heit (hierzu zählen die falsch bew­erteten Randbe­din­gun­gen und schlampig (fehler­haft) durchge­führten Maßnahmen).

Grund­sät­zlich gilt aber auch: Nach einem Ereig­nis ist es immer ein­fach­er, rück­blick­end bestürzt festzustellen, was für schlechte Voraus­sagen getrof­fen wor­den waren. Oder in den Worten von Georg Christoph Licht­en­berg (1742–1799): „Jed­er Fehler erscheint unglaublich dumm, wenn andere ihn bege­hen.


Foto: privat

Autor: Dr. Joachim Sommer

Mitar­beit­er im Refer­at Anla­gen- und Ver­fahrenssicher­heit bei der Beruf­sgenossen­schaft Rohstoffe und chemis­che Indus­trie (BG RCI) und Mit­glied der Kom­mis­sion für Anla­gen­sicher­heit (KAS)

E‑Mail: Joachim.Sommer@bgrci.de


Unfallbeispiel: Die neuen Ersatzteile an der Presse

Beim Anfahren ein­er Presse wurde der Schichtleit­er während seines Rundgangs von einem aus der Hydraulikan­lage her­auss­chießen­den Wege­sen­sor so getrof­fen, dass er eine Frak­tur am Unter­arm erlitt. Glück im Unglück: der Unfall hätte noch schlim­mer aus­ge­hen können.

Vor dem Ereig­nis war die Presse demon­tiert und gere­inigt wor­den. Einige Bauteile wur­den durch Ersatzteile erset­zt, unter anderem der Ver­schluss am Hydraulik-Zylin­der. Bei Über­prü­fung der Bauteile stellt sich her­aus, dass der neue Ver­schluss ein falsches Innengewinde aufwies. Das Ersatzteil besaß amerikanis­che Zoll­maße, während das ursprüngliche Bauteil sowie der Wege­sen­sor ein metrisches Schraubgewinde hatten.


Unfallbeispiel: Tödliche Explosion an der Pumpe

In einem Betrieb war eine Fasspumpe für die Über­führung brennbar­er Lösemit­tel von IBC’s in Lager­tanks defekt. Eine Mitar­bei­t­erin holte kurzentschlossen eine andere Fasspumpe aus dem Nach­bar­raum. Beim Abpumpvor­gang kam es zu ein­er Explo­sion, bei der die Mitar­bei­t­erin tödlich ver­let­zt wurde.

Während die ursprüngliche Pumpe für brennbare Flüs­sigkeit­en geeignet war, war die Ersatzpumpe nicht explo­sion­s­geschützt aus­ge­führt. Dies war für den bes­tim­mungs­gemäßen Ein­satzz­weck auch nicht erforder­lich gewesen.


Unfallbeispiel: Das sicherere Schauglas

In ein­er Pro­duk­tion­san­lage kon­nte der Rück­lauf aus einem Kon­den­sator durch ein Schau­glas kon­trol­liert wer­den. Die neue Betrieb­sleitung sah das Schau­glas als eine Schwach­stelle an, da die Anlage unter Druck stand. Sie ord­nete den Aus­tausch gegen eine dickere Scheibe an. Beim Anfahren kam es zu einem Pro­duk­taus­tritt, weil das Schau­glas wegge­drückt wurde.

Es wurde zwar eine dickere Scheibe einge­baut, aber die bish­eri­gen Schrauben wiederver­wen­det. Auf­grund der dick­eren Scheibe ragten die Schrauben nur noch wenige Gewindegänge in die Hal­terung. Somit war kein aus­re­ichen­der Kraftschluss gegeben.


Nützliche Links:


 

Anzeige
Newsletter

Jet­zt unseren Newslet­ter abonnieren

Meistgelesen

Jobs
Sicherheitsbeauftragter
Titelbild Sicherheitsbeauftragter 12
Ausgabe
12.2020
ABO
Sicherheitsingenieur
Titelbild Sicherheitsingenieur 1
Ausgabe
1.2021
ABO
Anzeige
Anzeige

Industrie.de Infoservice
Vielen Dank für Ihre Bestellung!
Sie erhalten in Kürze eine Bestätigung per E-Mail.
Von Ihnen ausgesucht:
Weitere Informationen gewünscht?
Einfach neue Dokumente auswählen
und zuletzt Adresse eingeben.
Wie funktioniert der Industrie.de Infoservice?
Zur Hilfeseite »
Ihre Adresse:














Die Konradin Verlag Robert Kohlhammer GmbH erhebt, verarbeitet und nutzt die Daten, die der Nutzer bei der Registrierung zum Industrie.de Infoservice freiwillig zur Verfügung stellt, zum Zwecke der Erfüllung dieses Nutzungsverhältnisses. Der Nutzer erhält damit Zugang zu den Dokumenten des Industrie.de Infoservice.
AGB
datenschutz-online@konradin.de