Vielleicht erinnert sich noch jemand daran, dass ich beim ersten ScienceBlogs-Schreibwettbewerb 2015 auch mit einem Beitrag angetreten war. Mein Thema war das Risiko – was es ist, wie man es beschreibt und was man tun kann, um es zu reduzieren (vielleicht schreibe ich darüber auch mal hier eine kleine Serie).
Angefangen hatte ich mit einem kurzen Beispiel, das illustrieren sollte, warum es schwierig ist, Risiken einzuschätzen und, dass unser Gefühl dafür kein verlässlicher Maßstab ist. Im Weiteren führte ich aus, mit welchen Mitteln man sich darum bemüht, Risiken zu identifizieren (schwierig genug) und quantifizieren (wirklich schwierig).
Wenn man eine Anlage plant, muss man sich mit den Risiken beschäftigen, die von ihr ausgehen können. Parallel zur gesamten eigentlichen Planung läuft zu diesem Zweck der SHE-Prozess. EHS[1] ist die Abkürzung für den englischen Begriff “Environment, Health and Saefety”. Die deutsche Übersetzung dafür ist SGU – “Sicherheit, Gesundheit und Umweltschutz”.
Im Zuge des EHS- bzw. SGU-Prozesses – im Folgenden bleibe ich beim englischen Begriff – werden die von der Anlage ausgehenden Risiken im Normalbetrieb und bei abweichenden Betriebszuständen (z.B. Reinigung, An- und Abfahren, Not-Abschaltung, usw.) möglichst vollständig erfasst und häufig[2] entsprechend der beiden wichtigen Größen Schadensausmaß und Schadenseintritts-Wahrscheinlichkeit in Klassen eingeteilt.
An dieser Stelle will ich gar nicht so sehr darauf eingehen, wie man das en detail macht. Ich möchte aber anmerken, dass EHS-Management heute eine große Rolle bei Planung, Bau und Betrieb von Anlagen spielt und wir, die wir Anlagen planen und bauen, uns dessen voll bewusst sind. Augen, Hände und andere wichtige Körperteile stehen uns nur in begrenzter Zahl zur Verfügung. Und jeder von uns hat großes Interesse, den Arbeitstag mit derselben Anzahl zu beschließen, wie sie oder er ihn begonnen hat. Ich sage oft, dass die Zeiten vorbei sind, in denen schwere Unfälle zum industriellen Alltag halt irgendwie dazu gehörten. Natürlich ereignen sie sich auch heute noch, aber wir nehmen sie nicht mehr einfach hin, sondern versuchen sie aktiv zu vermeiden – Und das sehr erfolgreich. So erfolgreich, dass das Gros der Unfälle mit Ausfallzeit für Arztbesuche, Regeneration, usw. heute gar nicht mehr die Montage- und Instandhaltungsleute verursachen, sondern Leute wie ich, die überwiegend am Schreibtisch sitzen. Das ist kein Witz.
Das soll nicht verschleiern, wie schrecklich schwere Unfälle für alle Betroffenen sind. Menschen, die bei Unfällen sterben oder schwer verletzt werden, sind danach nie wieder da bzw. nie wieder die alten. Unfälle schlagen körperliche und seelische Wunden, sie verursachen Leid und sie wären erschreckend oft völlig vermeidbar gewesen, wenn man einen Sauberen EHS-Prozess durchgeführt hätte.
Denn im Zuge dessen sitzen nicht nur Vertreter aller Gewerke am Tisch, die die fragliche Anlage planen und bauen, sondern auch externe Sachkundige, z.B. von TÜV oder EXIDA, da sitzen Behördenvertreter und evtl. Leute von NGOs. Wird eine Anlage nach einem bekannten Prozess gebaut und man hat damit Erfahrene Leute zur Hand, läd man die gegebenenfalls auch mit dazu. Im Zuge jeder Planung kommen vermutlich nie so viele einzelnen Disziplinen an einen Tisch, wie während des SHE-Prozesses.
1. Gefahren identifizieren
Zweifellos muss man erst mal wissen, was eigentlich gefährlich sein kann. Dazu stellt man sich viele Fragen, schreibt erst mal alles auf, sammelt: Welche Stoffe werden eingesetzt – sind sie brennbar, ätzend, giftig? Wie reagieren sie mit einander – können sie explodieren, polymerisieren, ausgasen und dabei Gifte freisetzen? Welche Maschinen gibt, welche Gefahren gehen von ihnen aus – ist die Maschine eigensicher oder gibt es besonders unsichere Betriebszustände, muss sie besonders aufgestellt, abgeschottet und verriegelt werden? Wie viele und welche Handeingriffe sind nötig und werden Menschen evtl. dadurch gefährdet? Wenn in Teilanlage A die Kühlung ausfällt, kann dann ein Kessel in Teilanlage F überhitzen – wenn ja, was passiert dann und wenn nein, warum nicht? Überhaupt: wenn etwas ungefährlich, warum geht dann keine Gefahr davon aus – weil höchstens ein bisschen lauwarmes Wasser auf die Erde fließt oder weil der Kessel stark genug ist, dem Explosionsdruck stand zu halten? Was muss man bei Bau und Betrieb beachten – ist die Anlage groß und unübersichtlich, ist sie klein und eng? Wie sind die Fluchtwege ausgeführt, wie sind sie beleuchtet? Noch Tausend andere Fragen…
Von meiner Gartenbewässerung gehen natürlich keine ungewöhnlichen Gefahren aus. Wenn man den EHS-Prozess ernst nimmt, kann man aber zwei potentielle Gefahrenquellen identifizieren: Eine Druckerhöhungspumpe (also eine Maschine) und unter Druck stehendes Wasser. Beides in diesem Fall nicht allzu wild – haben viele daheim. In einer Chemieanlage hat man aber häufig mit anderen Stoffen als Wasser zu tun, von denen dann ganz andere Gefahren ausgehen.
2. Das Risiko abschätzen
Wenn man glaubt, alle potentiellen Gefahrenquellen identifiziert zu haben, überlegt man, auf welche Weise der unsichere Zustand eintreten kann. Man entwickelt Szenarien und bewertet sie in Bezug auf Schadensausmaß und Schadenseintritts-Wahrscheinlichkeit. Insbesondere muss man unterscheiden, ob es nur zu wirtschaftlichem oder auch Personenschaden kommen kann. Wirtschaftlicher Schaden ist eine Frage der Abwägung von Kosten. Personenschaden muss mit allen Mitteln so unwahrscheinlich gemacht werden wie möglich – da gibt es keine Diskussion. Je größer der potentielle Schade und je wahrscheinlicher sein Eintreten, desto aufwändiger werden die Gegenmaßnahmen.
Ein Schadensszenario für meine Anlage könnte sein:
Leckage in der Druckseite der P100, Druckschalter schaltet Pumpe unplanmäßig ein. Infolge dessen Wassereinbruch im Anbau mit Benetzung umstehender Personen, Beschädigung von Boden, Wänden und Inventar. Bei längerer Dauer Gefahr der Überflutung des Anbaus. Erheblicher Wirtschatflicher Schaden.
Risiko wird eingeschätzt mit 10.000 € Sachschaden durchschnittlich alle 20 Jahre[3].
In diesen paar Zeilen steckt viel Information. Meine Pumpe schaltet sich automatisch ein, wenn man den Han aufdreht, weil dann der Druck auf ihrer Druckseite sinkt. So funktionieren viele Gartenpumpen. Wenn jetzt an irgendeiner Stelle ein Rohr platzt oder ein Riss sich bildet, dann würde sie sich ebenfalls einschalten und so lange fördern, wie sie kann. Das wäre natürlich völlig unprogrammgemäß. In diesem Fall hätte ich nur mit wirtschaftlichem Schaden in evtl. großer Höhe zu rechnen. Der Schadensfall kommt nicht sehr häufig vor, aber der Schaden wäre groß – deswegen ist auch das Risiko nicht gerade klein. Ich sollte also schon etwas tun – ich muss aber nicht!
Würde meine Gartenpumpe unter sonst gleichen Bedingungen siedende Salpetersäure fördern, wäre das Risiko ein ganz anderes: Wasser macht nur nass, Salpetersäure tut richtig weh. Den Tod von Menschen ohne Gegenmaßnahmen in kauf zu nehmen ist nicht akzeptabel – in diesem Fall muss man etwas tun.
3. Gegenmaßnahmen festlegen
Gegenmaßnahmen dienen der Risikoreduktion. Durch sie will man das Risiko auf ein annehmbares Maß senken. Es ist eine Binsenweisheit, dass absolute Sicherheit nicht möglich ist. Risikomanagement ist ein Geschäft voller Unwägbarkeiten, ein Spiel mit Wahrscheinlichkeiten und Was-Wäre-Wenn-Situationen. Das schlägt sich in der Fachsprache wieder. Was genau annehmbar heißt, schneit nicht vom Himmel. Sterbliche Menschen müssen darüber entscheiden. Sie berufen sich dabei auf Erfahrungswerte und bewährte Praxis – und sind sich bei jedem Schritt darüber bewusst, dass sie das Risiko nur reduzieren, aber nicht aus der Welt schaffen können.
Während des EHS-Prozesses legt man oft keine detaillierten Gegenmaßnahmen fest, sondern bestimmt für jedes Szenario die Qualität, die die Gegenmaßnahme mindestens haben muss. Ausgedrückt wird diese durch den Risikoreduktionsfaktor.
Wenn die Risikoabschätzung aber z.B. wie oben ergibt, dass alle 20 Jahre mit einem Sachschaden von 10.000 € zu rechnen ist, dann ist das in meinen Augen ein bisschen zu hoch, um annehmbar zu sein. Als einziges Mitglied des EHS-Teams entscheide ich, dass ich mit einem Risiko von 100 € Schaden alle 20 Jahre bzw. 10.000 € alle 2.000 Jahre sehr viel besser leben kann, also die Gegenmaßnahme einen Risikoreduktionsfaktor von 100 bringen muss. Jetzt kann ich entweder Maßnahmen ergreifen, um das Schadensausmaß zu reduzieren oder, um die Schadenseintritts-Wahrscheinlichkeit zu senken.
4. Die Maßnahmen umsetzen
Da nur mit wirtschaftlichem Schaden zu rechnen ist, darf die Risikoreduktion natürlich nicht sehr viel kosten.
Ich rüste meine Pumpe mit einem Grenzwertgeber aus, der detektiert, wenn Wasser aus dem Fußboden steht. So was gibt’s für 50 € zu kaufen. Das ist schon mal was anderes als 10.000 €. Das ist eine Maßnahme der Funktionalen Sicherheit: Ich überwache die Anlage kontinuierlich und schalte sie notfalls aus.
Zusätzlich baue ich um die Pumpe und den Grenzwertgeber herum eine Tanktasse, um das ausfließende Volumen im Schadensfall so zu begrenzen, dass von ihm kein großer Schaden ausgehen kann. Insbesondere ist die Tanktasse so hoch, dass austretendes Wasser bei Versagen des Grenzwertgebers den Elektromotor überflutet und die Pumpe damit sicher ausschaltet. Schade drum, aber immer noch besser als ein Wasserschaden. Das ist eine Maßnahme zur eigensicheren bzw. selbstbegrenzenden Auslegung der Anlage: Ich baue sie schon so, dass gefährliche Zustände nicht möglich sind bzw. sich selbst begrenzen.
Und als Gürtel zu den Hosenträgern kontrolliere ich als organisatorische Maßnahme regelmäßig per Augenschein den ordnungsgemäßen Zustand der Anlage.
Mit diesen Maßnahme glaube ich, das Risiko auf ein erträgliches Maß reduzieren zu können. Da nur wirtschaftlicher Schaden abgesichert wird, muss ich keine besonderen Anforderungen an die Ausführung der Maßnahmen stellen. Müsste ich Personenschäden vermeiden, wären strenge Richtlinien und umfangreiche Normen zu beachten, die eingesetzten Geräte und Baustoffe müssten geprüft und zertifiziert sein, ich selbst müsste die nötige Sachkunde nachweisen, usw.
Insbesondere habe ich nicht nachgewiesen, dass die Sicherheitseinrichtung wirklich den geforderten Risikoreduktionsfaktor bringt. Wäre meine Gartenbewässerung müsste ich dafür einen rechnerischen Nachweis führen, dessen Grundlage die Ausfallraten der verwendeten Geräte sind. Die Hersteller ermitteln diese Raten in umfangreichen Versuchen bzw. lassen sie von benannten Stellen, wie der PTB ermitteln.
5. Regelmäßig kontrollieren
In der Industrie gibt es kein fire-and-forget. Alle Maßnahmen der Risikoreduktion müssen regelmäßig von Fachpersonal geprüft und die Ergebnisse dokumentiert werden. Und nicht nur diese: Auch die Maßnahmen selbst – ob sie überhaupt sinnvoll waren, ob es nicht etwas besseres gibt, etc. – sollten immer wieder hinterfragt werden.
Es ist nicht damit getan, sich ein Mal Gedanken über die Sicherheit der Anlage zu machen und sie dann 100 Jahre zu betreiben. Oben habe ich geschrieben, dass Erfahrung die Grundlage des Risikomanagements ist und Erfahrung baut man viel schneller auf, wenn man das, was man einst entschieden, geplant und gebaut hat in regelmäßigen Abständen, z.B. alle 5 Jahre, evaluiert.
Dann kommen noch mal alle Verantwortlichen zusammen, setzen sich an einen großen Tisch und gehen den gesamten Prozess noch mal mit dem Betreiber der Anlage durch. Erstaunlicherweise finden sich dabei dann immer eine Menge neuer Risiken. Aber das kann viele Gründe haben…
[1] Die Reihenfolge der Wörter kann auch anders sein: SHE, HSE, HES,… das macht jede Firma/Organisation ein bisschen anders. Gemeint ist aber immer dasselbe.
[2] Es gibt noch andere Methoden, aber diese ist in der chemischen Industrie am weitesten verbreitet.
[3] Siehe hierzu: Risiko
https://www.arbeitssicherheit.de/de/html/fachbeitraege/anzeigen/1184/Kennzahlen-im-Arbeitsschutz—Teil-II/
Kommentare (2)