Wie Fehler bei Instandhaltungsarbeiten das Sicherheitskonzept aushebeln können

Ein defek­ter Tem­per­atur­füh­ler in einem Reak­tions­be­häl­ter soll durch ein gle­ich­es Mod­ell aus­ge­tauscht wer­den. Egal, wen man fragt: Das ist kein Fall für das Man­age­ment of Change (MOC), da es sich um einen 1:1‑Austausch han­delt. Aber: in ein­er dem Autor bekannten
Sit­u­a­tion wur­den vom Instand­hal­ter zwar der iden­tis­che Tem­per­atur­füh­ler einge­baut, aber ein ander­er Schrauben­typ zur Fix­ierung ver­wen­det: Statt der zuvor genutzten Edel­stahlschrauben wur­den Mess­ingschrauben genutzt. Somit kam das Reak­tion­s­gemisch beim näch­sten Ansatz mit Bunt­met­allen in Kon­takt, was eine uner­wün­schte Neben­reak­tion katalysierte. Die kleine Änderung – andere Schrauben – war nicht als solche erkan­nt und bew­ertet worden.

„Nicht für jede Änderung braucht es ein MOC, ander­er­seits kann kein MOC jede Änderung im Betrieb erfassen“ — auf Basis dieser These wer­den nach­fol­gend vier ver­schiedene Kat­e­gorien von Änderun­gen dif­feren­ziert und die Prob­lem­stel­lung aufgezeigt.

Der 1:1‑Austausch

Der Ersatz „Gle­ich­es durch Gle­ich­es“ ist ein Stan­dard­pro­cedere für Instand­hal­tungs- und Betrieb­sper­son­al. Da keine Änderung erfol­gt, die mit neuen oder verän­derten Gefahren oder Gefahren­poten­zialen ver­bun­den ist, braucht es auch kein MOC. So weit, so klar. Lei­der geschieht es immer wieder, dass bei dem „1:1‑Austausch“ unbe­merkt Pan­nen passieren, wie das fol­gende Beispiel zeigt:

• Das getauschte Durch­flussmess­gerät: In einem Betrieb war das Durch­flussmess­gerät für die Dosierung ein­er Reak­tion­skom­po­nente defekt. Ein Mitar­beit­er der Instand­hal­tungsabteilung tauschte das Gerät gegen einen anderen Durch­flussmess­er aus. Bei dem nach­fol­gen­den Pro­duk­tion­sansatz kam es zu ein­er uner­wartet hefti­gen Reak­tion. Das neue Gerät war für einen anderen Stoff kalib­ri­ert gewe­sen, was zu ein­er Fehldosierung führte.

Das Ereig­nis geschah, weil von einem Aus­tausch iden­tis­ch­er Aggre­gate aus­ge­gan­gen wurde. Somit ist dieses Szenario nicht Bestandteil eines Änderungs­man­age­ments, son­dern eigentlich ein Fehler, der auch nicht mit tech­nis­chen Gegen­maß­nah­men zu ver­hin­dern ist. Diesen unbe­wussten Änderun­gen kann nur eine Sen­si­bil­isierung des Betrieb­sper­son­als ent­ge­gengestellt werden.

Der „Quasi‑1:1‑Austausch“

Manch­mal kommt es vor, dass bei einem Aus­tausch von Kom­po­nen­ten bewusst Mod­i­fika­tio­nen vorgenom­men wer­den. Diese ver­meintlichen „Min­i­malän­derun­gen“ wer­den nicht sel­ten spon­tan real­isiert und entsprin­gen einem Bedürf­nis, schnell etwas für die Aufrechter­hal­tung des Betriebes zu tun. Dabei wird aber die Trag­weite der Auswirkun­gen unterschätzt.

• Die aus­ge­tauscht­en Verbindung­steile: An einem Diese­lag­gre­gat brach ein Feuer aus. Ein Beschäftigter bemerk­te den bren­nen­den Treib­stoff­s­trahl und leit­ete die notwendi­gen Not­fall­maß­nah­men ein, das Feuer wurde schnell durch die CO2 ‑Löschan­lage gelöscht. Nie­mand wurde ver­let­zt. Doch warum brach das Feuer aus? An dem Motor war die met­allis­che Ver­schraubung der Treib­stof­fzu­fuhr zur ein­facheren Mon­tage an drei von vier Ein­spritzstellen kurz­er­hand durch Gum­mis­chläuche erset­zt wor­den. Ein­er der Schläuche ver­sagte und führte zu ein­er Leck­age. Treib­stoff sprühte auf heiße Motorteile, die als Zündquelle wirkten.

Das Ereig­nis geschah, weil Men­schen sich prinzip­iell zwar Änderun­gen, nicht aber der damit ver­bun­de­nen Kon­se­quen­zen bewusst sind. Der Umbau hätte im Rah­men eines Änderungs­man­age­ments tiefer­ge­hend hin­ter­fragt wer­den müssen, auch wenn die neue Sit­u­a­tion nur zu schein­bar unwesentliche Änderun­gen führt. Hier ist der Ansatzpunkt für die Sicher­heitsabteilung, zu ein­er Sen­si­bil­isierung des Pla­nungs- wie des Betrieb­sper­son­als beizu­tra­gen und auf die kon­se­quente Ein­hal­tung eines MOC-Prozess­es zu drängen.

Thomas Car­lyle, 1795–1881: Der schlimm­ste aller Fehler ist, sich keines solchen bewusst zu sein.

Die geplante Änderung mit ungeplanten Auswirkungen

Tragis­che Kon­se­quen­zen gibt es, wenn Änderun­gen bewusst vorgenom­men und geplant wer­den, aber die Trag­weite der Auswirkun­gen falsch eingeschätzt wird.

• Die neu instal­lierte Rück­spülleitung: Zur Ver­mei­dung von Emis­sio­nen wurde in ein­er Anlage zur Syn­these eines flu­o­ri­erten Kohlen­wasser­stoffes eine zusät­zliche Rück­spülleitung instal­liert, um beim Anfahren die Atmo­sphäre im Inneren der Anlage mit Prozess­gas ver­drän­gen zu kön­nen. Bei der Inbe­trieb­nahme dieser Leitung kam es zu ein­er Explo­sion mit Totalver­lust der Syntheseanlage.

Nach Prü­fung des Sicher­heits­daten­blattes war man davon aus­ge­gan­gen, dass der als Prozess­gas ver­wen­dete Flu­o­rkohlen­wasser­stoff unbrennbar sei, da im Sicher­heits­daten­blatt stand: „Bildet unter Nor­malbe­din­gun­gen keine zünd­fähi­gen Gemis­che“. Die „Nor­malbe­din­gun­gen“, unter denen sicher­heit­stech­nis­chen Ken­ngrößen in der Regel ermit­telt wer­den, sind 1 bar, 20 °C sowie Luft in der atmos-phärischen Zusam­menset­zung. Allerd­ings wurde die Prozes­san­lage mit einem Über­druck von etwa 7 bar und Tem­per­a­turen bis 400 °C betrieben. Bei der Über­tra­gung der sicher­heit­stech­nis­chen Ken­ngrößen wurde nicht berück­sichtigt, dass die Explo­sion­s­gren­zen sich bei Änderung der Randbe­din­gun­gen – hier Druck und Tem­per­atur – erhe­blich ver­schieben kön­nen. Bei der Ver­wen­dung sicher­heit­stech­nis­ch­er Ken­ngrößen in einem Sicher­heit­skonzept muss darauf geachtet wer­den, ob die genutzten Dat­en unter Betrieb­s­be­din­gun­gen noch aus­sagekräftig sind.

Das Ereig­nis geschah, weil die Änderung zwar durch­dacht und geplant war, die Auswirkun­gen auf den Prozess aber auf falschen Annah­men beruht­en. Hier ist der Ansatzpunkt für die Sicher­heitsabteilung, darauf hinzuwirken, dass Experten bei der Pla­nung hinzuge­zo­gen wer­den und der Prozess des MOC mit­tels intern­er Vor­gaben – Stich­wort Sicher­heits­man­age­mentsys­tem – struk­turi­ert abgewick­elt wird.

Hil­fre­ich kann dabei eine Check­liste sein, wie sie beispiel­sweise in dem Leit­faden KAS-50 „Beurteilung der sicher­heit­stech­nis­chen Rel­e­vanz von Mod­i­fika­tio­nen in ver­fahren­stech­nis­chen Anla­gen“ (siehe ganz unten) oder in der Broschüre „Instand­hal­tung und Änderun­gen: Beson­dere Gefährdun­gen und Risiken bei Prozes­san­la­gen“ (siehe „Nüt­zliche Links“ ganz unten) dargestellt ist. Weit­ere Aspek­te find­en sich beispiel­sweise in dem Bul­letin des Sicher­heit­szen­trums der Europäis­chen Union (MAHB) zum The­ma „Man­age­ment of Change“ (siehe „Nüt­zliche Links“ ganz unten).

„Eine der häu­fi­gen Ursachen für Unfälle und auch von Stör­fällen ist das fehlende oder nicht aus­re­ichende Ver­ständ­nis für die Bedeu­tung von Änderun­gen. Oft wird eine Änderung nicht als solche wahrgenom­men. Dies kann passieren, wenn Änderun­gen schle­ichend stat­tfind­en, oder wenn die Sicher­heit­srel­e­vanz ein­er Änderung nicht erkan­nt wird.“ So die Kom­mis­sion für Anla­gen­sicher­heit, ein Berater­gremi­um beim Bun­desmin­is­teri­um für Umwelt, Naturschutz und nuk­leare Sicher­heit. „Für die sichere Durch­führung von Änderun­gen ist es zu allererst wichtig, festzustellen, ob die geplanten Änderun­gen in ein­er Anlage oder betrieblichen Abläufen Auswirkun­gen auf das real­isierte Sicher­heit­skonzept haben. Um diese Beurteilung durch­führen zu kön­nen, ist es notwendig, sich einen Überblick über die Kon­se­quen­zen eines Ein­griffs zu ver­schaf­fen.“ (Zitat aus KAS-19, „Leit­faden zum Konzept zur Ver­hin­derung von Stör­fällen und zum Sicher­heits­man­age­mentsys­tem“, siehe „Nüt­zliche Links“ Seite 18).

Gut gedacht, schlecht gemacht: Wenn der Mensch das MOC überlistet

Selb­st wenn eine Änderung der Anlage oder der Prozess­führung nach allen Regeln der Kun­st geplant und konzip­iert wurde, bedeutet dies noch nicht, dass keine Ereignisse in diesem Kon­text passieren kön­nten. Denn zwis­chen Pla­nung und Inbe­trieb­nahme ste­ht der Men­sch – mit seinen Stärken und Schwächen.

• Die aus­gewech­selte Füll­standsmes­sung: Am Ver­dampfer ein­er Ammo­ni­ak-Käl­tean­lage wur­den Wartungs- und Instand­hal­tungs­maß­nah­men aus­ge­führt. Unter anderem wurde eine Füll­standsmes­sung aus­gewech­selt, die als Über­füll­sicherung diente. Bei Wieder­in­be­trieb­nahme der Anlage blieb aus Unacht­samkeit die Absper­rar­matur in der Leitung zwis­chen Ver­dampfer und Füll­standsmes­sung geschlossen, wodurch die Abschalt­funk­tion außer Kraft geset­zt wurde. So kam es bei der Befül­lung der Anlage zu ein­er Über­fül­lung des Wärmeaus­tausch­ers mit flüs­sigem Käl­temit­tel und in der Folge zu einem Gewalt­bruch am Verdichter. Dadurch trat Ammo­ni­ak aus, wodurch zahlre­iche Per­so­n­en ver­let­zt wurden.

Das Ereig­nis geschah, weil bei der Arbeit Fehler gemacht und diese nicht erkan­nt wur­den. Hier ist ein effek­tives Sicher­heits­man­age­mentsys­tem gefordert, das auch die Phase der Umset­zung und Inbe­trieb­nahme im Blick haben muss. Hier sind wir wieder beim Leit­faden KAS-19: „Wie wird die Durch­führung von Änderun­gen kon­trol­liert? Ist die vorge­se­hene Änderung in der geplanten Art und Weise durchge­führt wor­den? Sind die notwendi­gen Anweisun­gen angepasst wor­den und alte schriftliche Unter­la­gen entsprechend einge­sam­melt beziehungsweise beseit­igt worden?“

Flankierende Kon­trollen vor, während und nach der Arbeit sind von großer Bedeu­tung. Darüber hin­aus ist zu bedenken: Änderun­gen an Anla­gen kön­nen zeit­in­ten­siv sein, ins­beson­dere wenn bauliche Maß­nah­men davon betrof­fen sind. So müssen für die Zeit der Arbeit­en manch­mal Pro­vi­sorien geschaf­fen oder wesentliche Anla­gen­teile außer Betrieb genom­men wer­den, was als Änderung des bes­tim­mungs­gemäßen Betriebes zu sicher­heit­stech­nis­chen Prob­le­men führen kann und deshalb ein­er eige­nen Gefährdungs­beurteilung bedarf. Daher sind auch für Pro­vi­sorien und tem­poräre Änderun­gen die Fragestel­lun­gen des MOC anzuwenden.

Zusammenfassung

Ein „Man­age­ment of Change“ zur Pla­nung von Änderun­gen ist sin­nvoll und angezeigt und nicht zulet­zt auch für Betrieb­s­bere­iche nach Stör­fal­lV expliz­it gefordert. Dabei muss man sich jedoch stets vor Augen halten:

• Nicht jede Änderung im Prozess wird durch ein MOC abgedeckt (hierzu zählen die Fehler beim 1:1‑Austausch),
• Nicht bei jed­er Änderung ist den Beteiligten bewusst, dass diese unter das MOC fall­en müsste (hierzu zählen die „Quasi‑1:1‑Austauschsituationen“),
• Nicht jede nach MOC durchge­führte Änderung garantiert voll­ständi­ge Sicher­heit (hierzu zählen die falsch bew­erteten Randbe­din­gun­gen und schlampig (fehler­haft) durchge­führten Maßnahmen).

Grund­sät­zlich gilt aber auch: Nach einem Ereig­nis ist es immer ein­fach­er, rück­blick­end bestürzt festzustellen, was für schlechte Voraus­sagen getrof­fen wor­den waren. Oder in den Worten von Georg Christoph Licht­en­berg (1742–1799): „Jed­er Fehler erscheint unglaublich dumm, wenn andere ihn bege­hen.“

Foto: privat

Autor: Dr. Joachim Sommer

Mitar­beit­er im Refer­at Anla­gen- und Ver­fahrenssicher­heit bei der Beruf­sgenossen­schaft Rohstoffe und chemis­che Indus­trie (BG RCI) und Mit­glied der Kom­mis­sion für Anla­gen­sicher­heit (KAS)

E‑Mail: Joachim.Sommer@bgrci.de