Der Schalter von Goldsboro – oder wie sicherheitsgerichtete Technik eine nukleare Katastrophe verhinderte

In den letzten drei Jahren habe ich immer wieder mal einen Beitrag zu einem meiner Steckenpferde geschrieben: der Kerntechnik aus Sicht eines kerntechnischen Laien – der ich nun mal bin – und auch heute soll es wieder darum gehen. Aber nur vordergründig. Zunächst eine kleine Geschichte aus dem Kalten Krieg.

Am 24. Januar 1961 brach ein amerikanischer B-52-Bomber nahe der Stadt Goldsboro in North Carolina in der Luft auseinander und verlor dabei zwei MK-39-Wasserstoffbomben mit einer nominellen Sprengkraft von je 3,8 MT TNT. Eine wurde größtenteils intakt am Boden stehend gefunden, ihr Fallschirm verheddert in einem Baum, die andere zerschellte auf einem Feld. Bei der Untersuchung zeigte sich, dass beide Waffen einige Schritte der Armierungssequenz durchlaufen hatten, aber in beiden Fällen wurde die tatsächliche Explosion durch die Sicherheitseinrichtung verhindert. Diese Sicherheitseinrichtung war der von Pilot und Bombenschütze zu bedienende MC-772 Safe/arm-Switch – der Schalter von Goldsboro.

Abb.1: Am Morgen nach dem Crash: Weapon No. 1 steht praktisch unbeschädigt neben einem Baum. Möglicherweise hatte nur der MC-772 Safe/arm-Switch die Zündung verhindert.
Quelle: Sandia National Laboratories

Je nach Lesart der offiziellen Berichte und der sich darauf berufenden Literatur war die thermonukleare Explosion damals unmöglich gewesen oder nur knapp verhindert worden. Ich tendiere zu einer ambivalenten Haltung, denn die Einschätzungen der Experten sind nicht einheitlich und ich kenne zu viele Beispiele für Verkettungen unglücklicher Umstände, die zu Katastrophen geführt haben. Dass keine Gefahr bestanden haben soll widerspricht meinem Bauchgefühl. In allen Fällen sind sich die Autoren aber einig, dass der MC-772 von ausschlaggebender Bedeutung war. Im Fall der ersten Bombe, die üblicherweise Weapon No. 1 genannt wird und fast aufrecht mit der Nase im Dreck stehend vorgefunden wurde, war es möglicherweise tatsächlich nur der MC-772, der das Auslösen der letzten Schritte der Zündsequenz verhindert hat.

Man muss sich vorstellen, wie – aus Sicht der Bombe – sich dieser Unfall darstellte: Im Flug sind die Bomben durch allerlei Bolzen und Splinte gesichert, die beim Abwurf herausgezogen werden. So soll verhindert werden, dass ein Unfall die Waffe scharf schalten kann. Als der Bomber auseinanderbrach geschah das in einer Weise, die die Splinte aus Bombe No. 1 wie bei einem normalen Abwurf herauszog. Die Bombe war frei, ihr internes Environmental Detection System, ein Schutzsystem, dass durch Messung der Umgebungsbedingungen feststellt, ob eine Zündung plausibel erscheint, sagte ihr anhand von Parametern wie Beschleunigung und Luftdruck, dass sie falle. Wie beim scharfen Abwurf löste sie den Fallschirm aus; während sie zu Boden schwebte liefen ihre elektrischen Systeme hoch, wurden die thermischen Hochspannungsbatterien aktiviert, um die Zündkondensatoren zu laden – als sie auf dem Boden aufschlug versuchte sie zu zünden.

Der MC-772 safe/arm-Switch

Abb.2: Der MC-772 safe/arm-Switch. Der Schalter von Goldsboro.
Quelle: Sandia National Laboratories

Über die genaue Funktion des MC-772 ist nicht viel bekannt, aber die wenigen öffentlich zugänglichen Informationen lassen einigermaßen plausible Abschätzungen zu.

Betrachten wir zunächst Abb.2: Dieses Photo wurde von den Sandia National Laboratories, einem führenden Entwickler und Produzenten amerikanischer Kernwaffen für einen internen und mittlerweile öffentlich zugänglichen Lehrfilm erstellt, es ist also mit großer Wahrscheinlichkeit authentisch. Was sofort auffällt ist die massive Bauweise. Das Gehäuse des MC-772 besteht aus ungewöhnlich dickem Stahl, Ober- und Unterteil sind mit vier dicken Schrauben verbunden. Alle Teile wirken groß und sehr robust. Das ist offensichtlich nicht einfach ein Lichtschalter.

Sofort ins Auge fällt die Trommel auf der Oberseite, die mit grünen “S“-Feldern und (mindestens) einem roten “A“-Feld beschriftet ist. In offiziellen Berichten wird oft von einer Indikator-Trommel gesprochen, die die Stellung des Schalters zeigt. Wahrscheinlich ist diese Trommel damit gemeint. S stünde dann für Safe(sicher) und A für Armed(scharf). Für die Aufgabe, zwischen der sicheren und armierten Stellung hin- und herzuschalten erscheint es unnötig und sogar unsicher, alternierend S– und A-Felder auf der Trommel zu haben. Ich denke es ist nicht unplausibel davon auszugehen, dass der Schalter ein einzelnes ca. 30 ° großes A-Feld und ein 330 ° großes S-Feld hat. Für das Bild wurde er dann in die A-Stellung gebracht. Es ist durchaus denkbar, dass noch weitere Felder für unterschiedliche Stellungen auf der Trommel angezeichnet sind, aber aus dem Bild ist das nicht ersichtlich.

Der Indikator muss nicht mit dem eigentlichen Schaltelement identisch sein. Über den internen Aufbau des MC-772 ist nichts weiteres bekannt, allerdings wird er manchmal als Rotating Switch (Drehschalter) bezeichnet. Es ist daher nicht unplausibel anzunehmen, dass das Schaltelement in gleicher Weise funktioniert: In diesem Fall wäre unter dem A-Feld der Indikatortrommel ein Kontakt und auf einer gegenüberliegenden Platte ein weiterer. In der korrekten Stellung würden die Kontakte sich berühren und den Stromkreis schließen. Es ist durchaus möglich, dass sich beide Platten gleichzeitig bewegen und die Anordnung nicht mit den Feldern auf der Indikatortrommel korrespondiert, um Manipulation von außen zu erschweren. In der Tat stand die Indikatortrommel von Weapon No. 2, die ungebremst auf dem Boden aufschlug, weil sich ihr Fallschirm nicht öffnete in der A-Position, obwohl spätere Untersuchungen zeigten, dass das eigentliche Schaltelement in der S-Position verblieben war.

Der Schalter hat keine von außen sichtbaren Bedienelemente. Die Indikatortrommel hat keine Riffelung, die den Fingern Halt geben könnte und wirkt zu massiv, um sie einfach zu drehen. Nirgendwo scheint ein Werkzeug angesetzt werden zu müssen. Und die Berichte sagen, dass der Pilot und zusätzlich noch der Bombenschütze selbst über verplombte Schalter an ihren Plätzen den MC-772 aktivieren mussten. Daraus lässt sich schließen, dass der MC-722 fernbedient wird, vermutlich direkt elektrisch. Ein pneumatischer Antrieb erscheint möglich, aber wegen der kleinen Abmessungen unwahrscheinlich. Dann gibt es zwei Möglichkeiten: Ein Elektromotor dreht den Schalter aus einer Ruheposition, definiert als 0 °, in die A-Position bei nahezu 360 ° – diese Variante wird von Michael Maggelet^[1] bestätigt. In mehreren Blogposts spricht er davon, dass der Schalter von der S– in die A-Position gedreht wird, wenn er für drei aufeinanderfolgende Sekunden mit 28V/3A versorgt wird. Die exakte Angabe “28V/3A für drei aufeinanderfolgende Sekunden”, die er immer wieder benutzt, ist interessant und könnte darauf hinweisen, dass der Schalter nur dann schließt, wenn diese Bedingungen erfüllt sind. Zum Schließen des Schalters ist offensichtlich nicht einfach irgendeine, sondern eine genau definierte Aktion mit einem unverwechselbaren Schaltsignal erforderlich.

Es könnte tatsächlich auch ein Hinweis auf eine zweite Möglichkeit sein: ein Schrittmotor dreht den Schalter, gegebenenfalls beide Teile des Schaltelements, aus ihrer Ruheposition um einen ganz bestimmten Winkel in die A-Position. Letzteres wäre besonders bemerkenswert, weil dann der Schalter nicht einfach durch schließen des Stromkreises zum Motor in die A-Position gebracht werden könnte, sondern der Stromkreis einen genau definierten Zeitraum geschlossen werden und der Motor genau die richtige Anzahl Impulse erhalten müsste. Dass dieser Zustand durch einen Unfall wie den von Goldsboro herbeigeführt werden kann, ist sehr unwahrscheinlich. Um einen solchen Schalter in die A-Position zu bringen, wären Fehler im Gesamtsystem oder Fehlbedienung durch mindestens zwei unabhängige Crewmitglieder (Pilot und Bombenschütze) nötig.

Es wäre dann sogar durchaus denkbar, dass der MC-772 bei Aktivierung durch Pilot und Bombenschütze nicht einfach nur einen Kontakt schließt, sondern mehrere Kontakte auf dem Schaltelement angeordnet sind, die in der richtigen Reihenfolge und zur richtigen Zeit geschlossen werden müssen, um verschiedene Stufen der Zündsequenz auszulösen. Das Signal zum Weiterschalten könnte der MC-772 durch Rückmeldung von den durch ihn geschalteten Systemen bekommen. Ein Beispiel: Teil des Hochfahrens der Bombe ist die Injektion von Tritium aus einem separaten Behälter. Bei Aktivierung der Sequenz erreicht der Sicherheitsschalter irgendwann die dafür vorgesehene Position, das Tritium wird injiziert. Das Ende des Injektionsvorgangs wird von der Steuerung erkannt und daraufhin ein Signal ausgelöst, dass den Sicherheitsschalter in die richtige Position für die nächste Aktion dreht. Wenn alle Schritte richtig ausgeführt wurden, zeigt die Indikatortrommel das A-Feld – die Bombe ist scharf.

Das sind natürlich alles Spekulationen, aber so groß können die Unterschiede zwischen zwei Geräten sind, die man beide Schalter nennt und die gedacht sind, das elektrische Licht im Wohnzimmer ein- und auszuschalten oder Wasserstoffbomben sicher für den Anwender zu machen.