Sicherheitsindikator

Sicherheitsindikator ist ein aus der Betriebserfahrung abgeleiteter Parameter einer Sicherheitseigenschaft des Systems.

Der Parameter wird aus der Häufigkeit, mit der eine Sicherheitseigenschaft des Systems in Erscheinung tritt, ermittelt. Stör- und Unfallereignisse geben Aufschluss darüber, wie ein System ausfallen kann (hinsichtlich Art, Umfang und Ursache des Schadens).

Eigenschaften und Bedeutung von Sicherheitsindikatoren

Sicherheitsindikatoren stellen heute für die Sicherheitsmanagement-Systeme in allen risikorelevanten Systemen (wie Kerntechnik, Chemie und in Verkehrssystemen: Luftfahrt, Schiff, Bahn, Kraftfahrzeug) ein wesentliches und notwendiges Werkzeug dar. Sie sind nach aus dem Betrieb leicht ableitbar und als quantitative Größen in ihrer Bedeutung unzweideutig und überprüfbar. Sie vermitteln dem Sicherheitsmanagement ein klares Bild über den Sicherheit-Status des Systems.

Die Trendverfolgung der Indikatoren über Störungen – im Vorfeld von Unfällen – gibt der Betriebsführung Hinweise auf mögliche Verschlechterungen des Systems, worauf Korrekturmaßnahmen eingeleitet werden können. (Leading indicators / Potential accident fore-runners).

Die Trendverfolgung der Unfallereignisse vergleichbarer Systeme gibt einer Betriebsführung Aufschluss über die allgemeinen Unfallrisiken des Systems und seiner Veränderungen, ob ein Lernprozess aufgrund der Unfallerfahrung stattgefunden hat und welche Maßnahmen dabei wirksam waren (Lagging indicators).

Anhand der Unfallverursacher können gezielt Verbesserungsmaßnahmen eingeleitet werden. Sie stellen gleichermaßen eine Quelle für die Auswahl wesentlicher Indikatoren im Vorfeld von Unfällen dar (Leading indicators). Das ergibt sich aus dem Umstand, dass die Mehrzahl der ermittelten Unfallursachen sich aus einer Verkettung von einzelnen Störungen im System zusammensetzen, wobei die einzelne Störung in der Regel sicherheitstechnisch unbedeutend ist (vgl.).

In der Finanzwirtschaft kommen die Indikatoren in entsprechender Weise zur Anwendung und werden wie folgt definiert:

• Leading indicators sind Indikatoren, die sich verändern, bevor sich die Finanzwirtschaft als Ganzes verändert.
• Lagging indicators sind Indikatoren, die sich verändern, nachdem sich die Finanzwirtschaft als Ganzes verändert hat.

Ein grundlegendes Management-Axiom besagt, dass man nicht managen kann, was nicht messbar ist. Es ist daher notwendig, für jedes System einen Satz von messbaren Systemleistungsgrößen (performance outcomes) zu definieren, um beurteilen zu können, ob das System sich tatsächlich so verhält, wie es geplant, entworfen und genehmigt wurde.

Nach ist eine gute Gesundheits- und Sicherheitsleistung (Health and safety performance H&S) eines Unternehmens ein guter Indikator für ein gutes Management.

Die Leistung des Managements ist selbst anhand von Indikatoren überprüfbar, wie durch H&S-Audits, Training, die Einbeziehung der Belegschaft in die Unternehmenspolitik und deren Ziele sowie durch regelmäßige Überprüfungen der Sicherheitskultur. Die Berichterstattung des Managements über die Unternehmensleistung und deren Ziele stellt einen Schlüsselindikator des Managements (Reporting indicator). In wird jedoch darauf hingewiesen, dass noch wenig Klarheit darüber besteht, welche Indikatoren die wichtigsten sind.

Zur Erweiterung des Erfahrungsstandes über den einzelnen Unternehmensbereich hinaus werden in den verschiedenen Branchen (wie Luftverkehr, Schifffahrt, Kernkraftwerke) nationale und internationale statistische Erhebungen über die Unfallereignisse und deren Ursachen durchgeführt (Lagging indicators).

Anwendungen von Sicherheitsindikatoren

Luftfahrt

In der zivilen Luftfahrt werden seit 1960 die weltweit auftretenden Unfälle hinsichtlich ihrer Unfallursachen mit dem Ziel untersucht, Wiederholungen von Unfällen der gleichen Art zu verhindern und die Sicherheitsmaßnahmen zu verbessern (Lagging indicators). Die Auswertungen der Unfallursachen zeigen in der Regel eine Verkettung von Ereignissen, die auch die Analyse der Unfallursachen in der Regel schwierig gestalten.

Die statistischen Auswertungen der jährlichen Unfallzahlen in der zivilen Luftfahrt von 1960 bis 1970 zeigen eine deutliche Abnahme der Unfallrate, die auf einen entsprechenden Lernprozess in der Sicherheitstechnik hinweist. Von 1991 bis 2010 fällt die Unfallrate nur noch geringfügig von ca. 1,5 auf 0,5 Ereignissen pro 1 Mill. Starts und Jahr ab. Die Anzahlen der aufgetretenen Unfalltoten schwanken dagegen von Jahr zu Jahr beträchtlich von weniger als 5 bis zu 1300 Toten und ohne erkennbaren zeitlichen Trend.

Die in ermittelten Unfallraten werden durchgehend auf die Starts der Flugzeuge normiert, mit der Begründung, dass die Unfallhäufigkeit mit Anzahl der Flugbewegungen und weniger mit der Flugdauer korreliert ist. Das leitet sich daraus ab, dass die Unfallrate viel stärker durch die Start- und Landephase als durch die Dauer des Reisefluges (Anteil 11 % in 2001 bis 2010) bestimmt wird. Der Bezug der Unfallrate auf die Flugstunde würde danach keine realistischen Unfallzahlen ergeben.

Zur Untersuchung der verschiedenen Einflussgrößen, werden die Unfallereignisse nach folgenden Kategorien aufgeschlüsselt, so z. B. nach Art der Luftfahrzeuge (Linie, Charter, Fracht), Flugzeugtyp, der Flugphase (Start, Reiseflug, Landen, Flugplatz) sowie nach Schadenskategorien, wie Verlust der Flugkontrolle, Brennstoffverlust, Feuer / Rauch, Abkommen von der Start- und Landebahn, System- und Komponentenfehler, Vogelschlag.

Die Unfallstatistik zeigt besondere Ausprägungen für folgende Kategorien:

• ältere Flugzeugtypen gegenüber neueren Maschinen,
• Start- und Landephase gegenüber dem Reiseflug,
• Verlust Flugkontrolle,
• Kollision / Beinahe-Kollision mit Landschaftsobjekten,
• Abkommen des Flugzeuges von der Landebahn.

Luftfahrt in Deutschland

Für die zivile Luftfahrt in Deutschland gibt die (Bundesstelle für Flugunfalluntersuchung) BFU Jahresberichte „Unfälle und schwere Störungen beim Betrieb ziviler Luftfahrzeuge“ heraus. Die statistischen Unfalldaten aller Luftfahrzeuge (Flugzeuge, Hubschrauber, Segelflugzeuge) in Deutschland zeigen über einen Zeitraum von 1991 bis 2008 mit ca. 40 Unfalltoten pro Jahr einen annähernd konstanten Verlauf. Eine Korrelation mit dem sich verändernden Bestand an Luftfahrzeugen oder der Gesamtzahl der Flugbewegungen wird nicht gegeben.

Flugplatz-Management

Zur sicherheitstechnischen Bewertung der Betriebsabläufe eines Flugplatzes durch das Sicherheitsmanagement werden in die folgenden Sicherheitsindikatoren genannt (Leading indicators):

• Verletzung der Verkehrsregeln auf dem Flugplatz
• unautorisiertes Personal auf dem Flugfeld
• Störungen und Unfälle auf dem Flugfeld (betreffend Personal, Flugzeug oder Flugfeldeinrichtungen)
• Instandsetzung von Fahrwegschäden durch Fremdeinwirkung
• Schäden durch Vogelschlag
• Schäden an Warnmarkierungen
• Unterbrechung der Hauptstromversorgung
• Eingeschränkte Verfügbarkeit des Beleuchtungssystems
• Ausfall von Signaleinrichtungen
• Eingeschränkte Alarmbereitschaft der Feuerwehr
• Eingeschränkte Verfügbarkeit der Brandschutzeinrichtungen
• Unzureichend qualifiziertes Brandschutz-Personal.

Kerntechnik

Zur Erfassung des Sicherheits- bzw. Risikozustandes eines Kernkraftwerkes (KKW) in seiner Gesamtheit empfiehlt die IAEA einen umfassenden Satz von Sicherheitsindikatoren (SI) zu verwenden (Leading indicators). Für die Ableitung der SI stellen die Modelle der Risikoanalyse, die die Ausfallstrukturen der Systeme abbilden, eine geeignete Grundlage dar.

Tschechien

Im tschechischen KKW Dukovany wurde entsprechend der Empfehlung der IAEA ein SI-System installiert, das insgesamt 184 der von WANO und IAEA empfohlenen Indikatoren enthält. Die SI über die jeweils aktuellen Zustände der Komponenten werden anhand von vier Farben (Werte-Bereiche) angezeigt:

• Grün: Exzellent
• Weiß: normal
• Gelb: Warnung
• Rot: unzulässig

USA

Die amerikanische Sicherheitsbehörde NRC hat für laufende Überwachung der Kernkraftwerke in den USA ein computerbasiertes Sicherheitsindikatoren-Programm (Reactor Oversight Process) erstellt, das vom Personal des jeweiligen KKW ausgeführt. Die erfassten Ergebniszustände der SI werden der NRC vierteljährlich berichtet, die diese wiederum in veröffentlicht.

Die in den KKW zur Anwendung kommenden SI leiten sich aus der Struktur der Risikoanalyse des jeweiligen KKWs ab (Cornerstones of Safe Operation) und sind wie folgt gegliedert:

• Störfall-auslösende Ereignisse (Initiating Events) – Systeme und Komponenten, die bei Ausfall den Einsatz von Sicherheitssystemen notwendig machen, um einen Reaktorunfall zu vermeiden.
• Sicherheitssysteme (Mitigating Systems) – Systeme und Komponenten, die im Fall eines störfallauslösenden Ereignisses zum Einsatz kommen.
• Barriere-Systeme (Barrier Integrity) – Komponenten, die den drei Sicherheitseinschlüssen des radioaktiven Inventars des KKW zugeordnet sind:
  • die Brennstabhüllen, die die Uranbrennstoff-Tabletten (Pallets) einschließen;
  • der Reaktorprimärkreis, der die Brennelemente im Reaktorkern umschließt und
  • der Reaktorsicherheitsbehälter (Containment), der den Primärkreis umschließt.
• Notfallbereitschaft (Emergency Preparedness) – Notfallmaßnahmen, die im Fall eines Unfalls geplant sind, Ergebnisse der Notfallübungen.
• Strahlenschutz des Personals (Occupational Radiation Safety) – Maßnahmen und Einrichtungen zur Begrenzung der Strahlenexpositionen des Personals.
• Strahlenschutz der Bevölkerung (Public Radiation Safety) – Maßnahmen und Einrichtungen zur Begrenzung der Radioaktivitätsabgabe aus dem KKW.
• Sicherung (Security) – Maßnahmen und Einrichtungen zur Abwehr von Sabotage, Alkohol- und Drogenkonsum.
• Leistungsfähigkeit des Personals (Human performance).
• Sicherheitsbewusstsein des Personals (Management attention to safety and workers' ability to raise safety issues) – Sicherheitsbewusstsein am Arbeitsplatz.
• Problem-Lösungs-Findungen (Finding and fixing problems) – Das Managementprogramm zur Problemlösung.

Der aktuelle Zustand der erfassten Größen wird anhand von vier Farben („Color-coded performance indicators“) angezeigt:

• Grün: Zustand der Komponente ist einwandfrei,
• Weiß: geringfügige sicherheitstechnische Abweichung,
• Gelb: mäßige sicherheitstechnische Abweichung,
• Rot: erhebliche sicherheitstechnische Abweichung.

Südkorea

Für die KKW in Südkorea wurden SI-Programme nach dem Vorbild der NRC erarbeitet. Grundlage für die Festlegung der SI ist hier auch die Probabilistische Sicherheitsanalyse (PSA) der koreanischen KKW.

Chemie

Nach der OECD fällt der Aufsichtsbehörde eines Chemiewerkes bei der Einführung und Anwendung von Sicherheitsindikatoren-Programmen zur Vorsorge gegen Chemieunfälle durch das Unternehmen eine wichtige Rolle zu. Die Behörde soll die behördlichen Rahmenbedingungen für die Anwendung der SI schaffen sowie die SI selbst bei Eintritt eines Unfalles zur Verbesserung des eigenen Informationsstandes nutzen, wie zur Warnung und Evakuierung der umliegenden Bevölkerung, zum Einsatz der Polizei, Feuerwehr und weiterer Notfalldienste.

Der SI wird nach als eine messbare Größe verstanden, die Einblicke in das Sicherheitskonzept einer Anlage ermöglicht, was durch andere Verfahren nicht direkt möglich ist. Es werden zwei wesentliche Arten der SI unterschieden:

• Activities indicators: Soll die Aktionen und Maßnahmen des Managements aufzeigen, die dazu dienen, das Anlagenrisiko zu reduzieren (Leading indicators).
• Outcome indicators: Soll aufzeigen, inwieweit die vom Management eingeleiteten Maßnahmen die Wahrscheinlichkeit von Störungen, Unfällen und Verletzungen senken (Lagging indicators).

Pipeline-Systeme

Zur Ertüchtigung des Sicherheit des kanadischen Pipeline-Netzes und zum Schutz der Umwelt hat das kanadische „National Energy Board“ (NEB) 2011 ein Safety Performance Indicators (SPI)-Programm initiiert. Das Pipeline-Netz, das der statistischen Auswertung unterliegt, umfasste 2000: 39.193 km Rohrleitungslänge, 2008: 40.760 km und 2009: 62.607 km.

Die erfassten Hauptgruppen der SPI betreffen (Lagging indicators):

• Anzahl Unfall-Tote
• Anzahl Unfall-Verletzte
• Anzahl Pipeline-Brüche
• Anzahl Pipeline-Leckagen (≤1,5 m³ und >1,5 m³)
• Menge der Gasfreisetzungen
• Managementdefizite als Mitverursacher von Unfallverletzungen.

Die jährliche Anzahl der Rohrleitungsbrüche in der Zeit von 1991 bis 2009 schwankt zwischen Null und 6 Ereignissen, bei einem Durchschnittswert von ca. 2 Ereignissen pro Jahr. 2009 erreichte die Rate wieder einen Maximalwert von 5 Ereignissen, der z. T. auf die deutliche Erweiterung des Pipeline-Netzes in diesem Jahr zurückgeführt wird. Der größte Anteil der Schadensursachen für den Rohrbruch (65 %) wird durch Korrosionen der Metallwand hervorgerufen.

Diagramm: Anzahl der Rohrleitungsbrüche pro Jahr

Die Anzahl der Pipeline-Leckagen in der Zeit von 2000 bis 2009 werden im Durchschnitt für die Leckgrößen (≤1,5 m³) mit 37 und (>1,5 m³) mit 5 Ereignissen pro Jahr angegeben, ohne erkennbaren Trend im Erfassungszeitraum.

Zur Bewertung und Verbesserung des Sicherheitsprogramms des Pipeline-Managements und des Ausbildungsstandes des Personals wurden die Schadensereignisse mit Unfallverletzten im Zeitraum von 2000 bis 2009 nach folgenden Ursachenmerkmalen untersucht und in zwei Gruppen unterteilt (Werte in Klammern – Anzahl der festgestellten Ursachenmerkmale im Erfassungszeitraum):

Direkte Ursachen:

• Ungeeignete Positionierung (4)
• Ungeeignete Anordnung (6)
• Ungeeignete Anwendung von Werkzeugen und Einrichtungen (4)
• Unterlassene Warnung (1)
• Ungenügende Absicherung (4)
• Fehlerhafte Anwendung von Prozeduren (1)
• Gefährliche Arbeitsbedingungen (1)
• Ungeeignete Kennzeichnung (1).

Grundlegende Ursachen:

• Ungeeignete Führung und Überwachung (3)
• Ungeeignete Werkzeuge und Einrichtungen (4)
• Ungeeignete Arbeitsrichtlinien (3)
• Ungeeignetes Engineering (2)
• Fehlerhafte Beurteilung / Einschätzung (5)
• Ungenügender Kenntnisstand (3)
• Ungenügende Motivation (2).