Thread by @VeroWendland

Ein #Tschernobylthread. Die gerade laufende @ZDF-Doku, bei der ich beratend mitgearbeitet habe, warf einige Fragen auf, die wie immer kompliziert sind. Hier versuche ich eine Antwort, die nicht zu technisch wird. zdf.de/dokumentation/…
1/29

Die Frage: War das nun menschliches Versagen oder ein schlechter Reaktor? In meiner Habil (die den Autoren der Doku vorlag) habe ich eine „soziotechnische“ Unfall-Analyse von Tschernobyl gemacht. In diesem Ansatz gibt es eine Maschinen-, eine Norm- & eine Human Factor-Ebene.
2/29

https://twitter.com/sobieski11/status/1652588315030306817

Ein KKW ist ein soziotechnisches System, in dem die Handlungsträger Mensch (das Personal) & Maschine (hier: der RBMK) innerhalb eines Normengerüsts agieren, das von der menschlichen Kultur (zB der Art & Weise, Entscheidungen hierarchisch oder autonom zu organisieren -
3/29

oder Hierarchien zu unterlaufen) und von geschriebenen Normen (zB das kerntechnische Regelwerk, das Betriebshandbuch) festgelegt wird. Wenn man diese Ebenen integriert betrachtet, kann man Ursachen (root cause) & beitragende Faktoren (contributors) unterscheiden:
4/29

1) root cause: Konstruktive (Abschaltsystem) & Auslegungsmängel (Kernauslegung / positiver Void-Koeffizient, Reaktorschutz) des RBMK, die den Reaktor in bestimmten seltenen Betriebszuständen instabil machten & sichere Unterkritikalität nicht in jedem Zustand gewährleisteten.
5/29

Auch war für solche Umstände nicht immer einen automatischer Reaktorschutz-Eingriff vorgesehen. All das war übrigens ein Verstoß gegen das damals in der Sowjetunion geltende kerntechnische Regelwerk, aber die Mängel wurden falsch eingeschätzt o heruntergespielt.
6/29

2) contributor Mensch: Operator bringt mit Bedienungsfehler den Reaktor in instabilen Zustand im Schwachlastbereich (ein inhärenter Mangel des RBMK), der zum Ausgangspunkt der Unfallsequenz wird. Er würgt den Reaktor fast ab. Um ihn wieder hochzuziehen,
7/29

zieht er fast alle Steuerstäbe auf Obere Endstellung, was aber nur möglich ist, weil keine Reaktorschutzfunktion (< Stab-min im Kern = Reaktorabschaltung) ihn daran hindert. Damit bereitet er d Feld f eine besonders starke Auswirkung eines Nebeneffektes des Abschaltsystems,
8/29

das wegen seiner hybriden Konstruktion aus Absorber- und Moderatorteil zu positiven Reaktivitätseffekten in der unteren Reaktorhälfte beiträgt - *wenn* alle Stäbe aus OE eingeworfen werden. Dh der Faktor Mensch bringt den Faktor Konstruktionsmangel nach vorne.
9/29

3) contributor Norm: ein Normsystem der Befehls- und Gehorsamskultur, der Kompartmentalisiering und Geheimnistuerei verhindert, dass Entscheidungen kritisch hinterfragt werden & das Wissen über die Schwächen des RBMK, das bei Atomaufsicht und Konstruktionsinstituten
10/29

bekannt ist, nach unten zu d Schichtmannschaften durchgestellt wird, die die Anlage fahren. Ein BHB hat Grauzonen gerade noch erlaubter Schalthandlungen, die d Reaktorfahrern trügerische Sicherheit verschaffen.
Es gab auch direkte Verstöße (Absperrung d Notkühlsystems zur
11/29

Verhinderung unerwünschter Kalteinspeisung beim Test; Zuschaltung aller 8 Hauptkühlmittelpumpen), aber die hatten keinen Beitrag zur Unfallsequenz. Sie waren nur ein Symptom für die Sicherheitskultur des Nichthinterfragens von Vorgesetzten & insofern von Bedeutung.
12/29

Man kann die contributor-Kreise auch weiterziehen und sagen, ein Beitrag war auch die sowjetische Mangelwirtschaft, die einen notorischen Strommangel hatte, weswegen die Kraftwerke unter der Knute des Lastverteilers standen.
13/29

Das wiederum bedeutete, dass der im Abfahrprozess in die Revision befindliche Block Tschernobyl-4 für einen Tag ungeplant auf 50% Leistung gehalten wurde, was wiederum bedeutete, dass nicht die eigentlich dafür vorgesehene Schicht den Testlauf für die Notstromversorgung
14/29

durchführte, in dessen Rahmen der Unfall geschah. Daher saß in der Nachtschicht des 26.4. 1986 ein unerfahrener Reaktorfahrer am Pult, dem das Malheur des Leistungseinbruchs passierte, mit dem die Unfallsequenz begann.
15/29

In 🇩🇪KKW wird die Anlage für die Revision aus d Lastverteilung abgemeldet, dh der LV kann keine Eingriffe in den Abfahrprozess machen; auch im Leistungsbetrieb liegt die Letztentscheidung, ob die Anlage auf Anforderung Lastfolge fährt o nicht, immer bei der Schichtleitung.
16/29

Die Frage „menschliches Versagen oder schlechte Maschine?“ kann also gar nicht so eindeutig beantwortet werden, man muss eine Systemanalyse machen, und hier kann man konstatieren: Tschernobyl-4 ist am 26.4.86 als soziotechnisches System „umgekippt“,
17/29

weil zu viele Stressfaktoren auf ihm lagen. Doch die sowjetischen Behörden wollten diesen Eindruck, es könne am System liegen, vermeiden. Daher wurde alle Schuld auf das angebliche menschliche Versagen, ja sträfliche „Herumspielen“ des Personals am Reaktor geschoben.
18/29

So wurde es auch der IAEA übermittelt, und die westlichen Atomlobbies nahmen das zum Ausgangspunkt ihrer Behauptung, Tschernobyl sei ein Unfall des Sozialismus gewesen, wo mangelhafte Ausbildung und schlechte Maschinen die Regel seien.
19/29

Erst 1990 bewertete eine weitere sowjetische Untersuchungskommission den Unfall neu - und richtig - in der oben dargestellten Weise: Hauptursache seien Konstruktionsfehler, wegen derer menschliche Fehlhandlungen dann erst die Anlage auf die unsichere Seite kippen ließen.
20/29

Gut konstruierte Kernkraftwerke fallen aber bei Bedienungsfehlern auf die sichere Seite.
Die Version vom „Herumspielen“ einer schlecht ausgebildeten Mannschaft hat sich bis heute besonders im Westen selbst in Fachkreisen gehalten, obwohl sie grob vereinfachend ist.
21/29

Die Reaktorsicherheits-Forschung hat sich aber auf diesem antisowjetischen Bias nicht ausgeruht, sondern sich nach Tschernobyl einige Gedanken über die Interaktionen an der Mensch/Maschine/Norm-Schnittstelle gemacht und danach erst neue Ansätze für eine gute
22/29

Sicherheitskultur entwickelt, zu der eine selbsthinterfragende Haltung, eine Hinterfragung von Autoritätsurteilen genauso gehört wie das Konstruieren von fail-safe-Systemen.
23/29

Man kann übrigens konstatieren, dass auch die „westlichen“ Reaktorunfälle TMI und Fukushima soziotechnisch bzw envirosoziotechnisch erklärbar sind.
24/29

In TMI-2, einem Druckwasserreaktor, gab es wie in Tschernobyl Schwächen der Anlage in Verbund m menschlichen Fehlern: defektes Druckhalter-Abblaseventil, dessen Zustand (Hängenbleiben in AUF-Stellung als Ursache des Kühlmittelverlusts) nicht erkannt wurde, weil die Anzeige
25/29

nur den Zustand des elektromagnetischen Antriebs, aber nicht die reale Endstellung der Armatur abbildete, und weil die Reaktorfahrer den zweiten Indikator, die Temperatur in der Abblaseleitung, als eine übliche Undichtigkeit interpretierten.
26/29

Und warum taten sie das? Weil das Abblaseventil anders als bei uns ein Stellglied der Primärkreisregelung war & öfters mal muckte; keine gute Idee bei einem Sicherheitssystem, das eigentlich der Druckabsicherung dienen soll.
27/29

In Fukushima wiederum interagierte eine Systemschwäche der Atomaufsicht, die eine zu schwache Flutauslegung der Anlage aus veralteter Genehmigungspraxis nicht sanktionierte, mit einer schlechten Betriebskultur und
28/29

Defiziten b anlageninternen Notfallschutz. Daher war d Anlage nicht f d in d Region vorkommenden Tsunami-Höhen abgesichert, vitale Systeme wie d Notstromversorgung waren nicht flutgesichert. So gesehen war Tschernobyl überall, aber anders, als die Anti-AKW-Bewegung meint.
29/29

Nachtrag zum Tweet 27/29 über TMI-2: 1 grober Verstoß kam dazu, nämlich eine versehentlich nach Revision liegengebliebene Absperrung des Dampferzeuger-Notspeisesystems, das, wenn verfügbar, das System vor Druckanstieg und Ansprechen des (defekten) Abblaseventils bewahrt hätte.➡️

Man hat daraus in 🇩🇪die Konsequenz gezogen, Schließsysteme für sicherheitsrelevante Armaturen einzuführen. Wer schonmal in einem AKW war: das sind die mit den roten Handrädern. Die werden in Sollstellung verriegelt und den Schlüssel kann man nur dann abziehen. ➡️

Die Schlüssel werden auf der Warte bei der Wache aufbewahrt, dh wenn einer fehlt, wissen wir sogleich: Armatur checken! Vorm Anfahren gibt es nicht nur das Abarbeiten der üblichen kilometerlangen Armaturen-Stellungslisten, sondern auch Schlüssel-Appell.