Die Risikomatrix sagt uns hier: Ein Ereignis alle paar Hundert Jahre bedeutet Schadenseintritts-Wahrscheinlichkeit P3, das Potential für schwere Verletzungen D2 – das resultierende Risiko laut Matrix ist MODERAT. Um ein Schutzsystem werden wir nicht herum kommen, aber es kann von relativ einfacher Beschaffenheit sein. Am Ende entscheiden wir uns dafür, die Abgasleitung, die vom Reaktor wegführt mit einer größeren Nennweite auszuführen und einen zweiten, großen Weg zum Abgaswäscher zu schaffen, der über ein Sicherheitsventil Y den Druck notfalls ablassen kann.
Das vierte Szenario: Zugang zur Fassabfüllanlage
Eine Automatische Fassabfüllanlage birgt diverse Gefahren: schwere Maschinen werden von kraftvollen Motoren mit großer Geschwindigkeit bewegt, Chemikalien werden abgefüllt, der Raum ist eng, weil kein Platz verschwendet wird. Der Zugang zum Abfüllbereich muss deswegen beschränkt werden, damit im Normalbetrieb niemand verletzt wird. Im Gegensatz zum Reaktor, bei dem die Gefahren von Unregelmäßigkeiten im Betrieb ausgehen ist die Abfüllanlage schon im Normalbetrieb gefährlich. Weil der gefährliche Zustand permanent besteht, sind wir hier im Bereich hoher Anforderungsrate. Wir müssen also mit dem Risikographen anstatt der Risikomatrix arbeiten.
Abb. 3: Und der schon bekannte Risikograph
Diese Risikographen gehen wir jetzt vom Startpunkt entlang. Zunächst müssen wir das Schadensausmaß festlegen: Besteht die Gefahr leichter oder schwerer Verletzungen? Unsere Abfüllanlage ist schon ziemlich gefährlich – ein Mensch könnte leicht von sich bewegenden Teilen getroffen und schwer verletzt werden. Also ist das Schadensausmaß S2 und wir starten den Weg nach rechts.
Jetzt kommt die nächste Frage: Besteht die Gefahr häufig oder ist sie nur von kurzer Dauer? Dazu muss man die Betriebsweise der Abfüllanlage kennen. Da sie immer nur dann läuft, wenn Produkt aus dem Reaktor abgezogen wird, läuft sie nur für eine Stunde am Tag, in allen anderen Fällen ist sie inaktiv. Und diese Stunde ist gut bekannt, denn sie gehört ja zum normalen Produktionsprozess. Also kann man sagen, dass die gefährliche Situation nur selten besteht. Wir folgen dem Weg also nach links in Richtung F1.
Wir müssen nun noch wissen: Hat der Bediener eine Chance, die Gefahr zu vermeiden, wenn sie sich manifestiert? Wahrscheinlich schon, denn die Anlage läuft erst nach kurzer Vorwarnung an. Der Mitarbeiter hat noch genug Zeit, sich zurückzuziehen. Deswegen ist hier die Entscheidung, dem Weg weiter nach links über den Pfad P1 zu folgen.
Das führt in Summe auf ein Risiko der Stufe MODERAT, das mit einer Schutzeinrichtung entsprechender Qualität abgesichert werden muss. In der ISO 13849 ist festgelegt, dass in diesem Fall eine Schutzeinrichtung mit Performance Level c vorzusehen ist, z.B. komplette Umzäunung der Abfüllanlage mit einem einzigen Zugang, der mit einem Lichtvorhang versehen ist, der die Anlage stillsetzt, solange die Zugangstür offen steht.
Abschließende Gedanken
Damit haben wir schon vier Szenarien: Stand zu hoch, Temperatur zu hoch, Druck zu hoch, unerlaubter Zutritt. Und damit soll es für das Beispiel auch genug sein – wenn man wollte (und in der Praxis müsste man sogar), könnte man auch für diese einfache Anlage die Risikobetrachtung noch wesentlich weiter treiben. In Teil 8 und 9 dieser Serie werden wir wieder auf die Szenarien zurückkommen, wenn wir konkrete Schutzmaßnahmen besprechen. Zwar wurde für jedes eine direkte Ursache angegeben, aber nur in ganz allgemeiner Weise. Warum genau eine Regelung versagt ist prinzipiell natürlich interessant, aber für die Risikoabschätzung zweitrangig. Da gilt schlicht: warum auch immer!
Das ist die Kunst beim Entwickeln von Szenarien: Auf der einen Seite müssen sie ausreichend scharf definiert sein, damit man die Anlage nicht gegen Risiken absichert, die es gar nicht gibt. Damit würde man nicht nur Zeit und Geld verschwenden, sondern den Bedienern später auch eine unnötig komplizierte Anlage übergeben, deren Komplexität an sich schon dazu führen könnte, dass unsichere Zustände entstehen, weil man die wirklich gefährlichen im Meer der Scheingefahren nicht mehr rechtzeitig erkennt. Auch Schutzsysteme haben Nebenwirkungen und dieser Punkt ist mir so wichtig, dass ich ihm einen eigenen Artikel widmen werde. Auf der anderen Seite müssen Szenarien auch so allgemein gehalten werden, dass sie die Wirklichkeit ausreichend genau abbilden.
Letzte Kommentare