Doch mit des Geschickes Mächten ist kein ew ger Bund zu flechten. Das Lied von der Glocke (Friedrich Schiller )

Transkript

1 Risiko 8 Doch mit des Geschickes Mächten ist kein ew ger Bund zu flechten. Das Lied von der Glocke (Friedrich Schiller ) 8.1 Risiko- und Sicherheitsanalysen im Überblick In der modernen Technik, die u. a. durch die Nutzung der Kernkraft, den Betrieb komplexer Prozessanlagen und die Luft- und Raumfahrt charakterisiert ist, lässt sich Versagen nur schwerlich tolerieren, da es mit weitreichenden Folgen verbunden sein kann. Diese können wirtschaftlicher Natur sein wie ungeplante Stillstände oder Zerstörung von Anlagen oder in einer Gefährdung von Mensch und Umwelt bestehen. Störfälle ereignen sich trotz der Vielzahl von Maßnahmen, die in den vorangehenden Kapiteln beschrieben wurden. Das liegt daran, dass technische Maßnahmen und menschliche Eingriffe zur Verhinderung von Störfällen nicht vollkommen sein können, sondern mit einer gewissen Wahrscheinlichkeit versagen. Dies ist auch der Grund für das Barrierenkonzept der Sicherheit, das im Abschn. 4.2 vorgestellt wurde. Deshalb ist die Sicherheit von Anlagen schon während der Planung ein wichtiger Gesichtspunkt. Dies gilt insbesondere für Anlagen, die der Störfallverordnung [1] unterliegen. Für diese Anlagen ist u. a. ein Sicherheitsbericht zu erstellen. Gemäß der nicht mehr gültigen, aber keinesfalls obsoleten Zweiten Allgemeinen Verwaltungsvorschrift [2] zur Störfallverordnung kommen für die zugrunde liegenden Analysen Methoden wie das PAAG-Verfahren [3], die Ausfalleffektanalyse [4], die Ereignisablaufanalyse [5] oder die Fehlerbaumanalyse [6, 7] infrage. Die genannten Methoden werden ausführlich im Kap. 9 behandelt; sie dienen schwerpunktmäßig der Identifizierung möglicher Störfälle und dem Auffinden von Schwachstellen in der Auslegung der Anlage. Sie unterscheiden U. Hauptmanns, Prozess- und Anlagensicherheit, DOI: / _8, Springer-Verlag Berlin Heidelberg

2 264 8 Risiko D 1 I 1 I 2 Ereignisablaufdiagramm Kategorie k 1 Kategorie k 2 E 1 Häufigkeit Risiko zur Schadensart 1 A 1 A 2 I 3 Umfang & 1 F 3 A 3 E 2 Häufigkeit Umfang Risiko zur Schadensart 2 D 1 F 1 F 2 Fehlerbaum Kategorie k n E n Häufigkeit Risiko zur Schadensart m Umfang auslösende Ereignisse D 1,...,D k Merkmale Ereignisabläufe Expositionsabläufe Schaden und Risiko Abb. 8.1 Schematische Darstellung der Risikoermittlung (nach [8]) sich durch Verfahrensweise (z. B. induktiv oder deduktiv) und Detaillierungsgrad. Vor allem aber ist zwischen qualitativen und quantitativen Vorgehensweisen zu unterscheiden. Dabei ist anzumerken, dass sämtliche Methoden zunächst einmal qualitativ sind und dass sie erst durch die Zuordnung von Wahrscheinlichkeiten, sofern das betreffende Verfahren dies erlaubt, zur quantitativen Methode werden. Zur Quantifizierung eignen sich dabei insbesondere die Ereignisablaufanalyse und die Fehlerbaumanalyse. Bei Störfällen in technischen Systemen handelt es sich um seltene Ereignisse. Deshalb lässt sich ihr Risiko im allgemeinen nicht direkt aus der Betriebserfahrung ableiten und dann auf die Zukunft zu übertragen, wie dies beispielsweise bei der Abschätzung der Anzahl zu erwartender Arbeitsunfälle möglich ist. Stattdessen werden technische Risiken üblicherweise nach einer Vorgehensweise ermittelt, die man Risikoschätzung anhand von Detailkenntnissen nennt. Abbildung 8.1 zeigt den zugehörigen Ablauf, ausgehend vom auslösenden Ereignis bis hin zur Ermittlung von Schaden und Risikozahlen. Man unterscheidet vier Schritte: (1) Ereignisabläufe (2) Merkmale (3) Expositionsabläufe (4) Schaden und Risiko Der erste Schritt Ereignisabläufe befasst sich mit denkbaren Ereignisabläufen, auch Szenarien genannt, und der Ermittlung der zugehörigen erwarteten Häufigkeiten (Beispiel: Chlorfreisetzung durch Rohrversagen infolge Überdrucks mit einem Erwartungswert der Häufigkeit (erwartete Häufigkeit) von 10 6 a 1 ). Ausgangspunkt sind dabei auslösende Ereignisse, die in der Regel im Versagen einer betrieblichen Komponente bestehen (hier: Komponentenausfall, der den Überdruck verursacht hat). Diese führen zum Störfall, falls sie sich nicht durch die Überwachungs- und Schutzeinrichtungen der Anlage

3 8.1 Risiko- und Sicherheitsanalysen im Überblick 265 beherrschen lassen. Welche Überwachungs- und Schutzeinrichtungen benötigt werden und wie sich ihre Funktion bzw. ihr Ausfall auf den Ereignisablauf auswirken, ist ebenfalls Gegenstand der Untersuchung der Ereignisabläufe. Der zweite Schritt Merkmale beinhaltet die Anfangs- und Randbedingungen für die Auswirkungen des Ereignisablaufs auf Beschäftigte und Bevölkerung (Beispiel: Leckquerschnitt: 10 cm 2, Freisetzungshöhe 10 m), die sinnvollerweise zu Kategorien (Leckagen, Brand etc.) zusammengefasst werden. Dabei sind die Randbedingungen normalerweise stochastischer Natur, d. h. man kann allenfalls angeben, mit welcher Wahrscheinlichkeit das vorangehend charakterisierte Leck eintritt. Diese wird in der Regel nicht gleich 1 sein, wie man bei der deterministischen Vorgehensweise unterstellt. Andere Leckgrößen und -lagen sind selbstverständlich möglich. Die beiden genannten Schritte stellen die anlagentechnische Untersuchung dar. Diese erfolgt zunächst qualitativ, wozu Methoden wie das PAAG-Verfahren (Abschn ) und die Ausfalleffektanalyse (Abschn ) herangezogen werden können. Das Ergebnis der Untersuchung wird dann in Form von Ereignisablaufdiagrammen ( event trees ) und Fehlerbäumen ( fault trees ) dargestellt. Dabei werden die Ereignisverkettungen, die zu den verschiedenen Endpunkten der Ereignisabläufe (z. B. Leckagen unterschiedlicher Größe) systematisch aufgeführt, so dass sie anschließend mit Hilfe von Zuverlässigkeitskenngrößen für das Versagen technischer Komponenten und menschliche Fehlhandlungen mit Wahrscheinlichkeiten belegt werden können. Ergebnis sind dann erwartete Häufigkeiten der einzelnen Kategorien k 1,..., k n in der Abb Endet die Untersuchung hier, so spricht man von einer probabilistischen Sicherheitsanalyse (PSA), deren hauptsächliches Ziel darin besteht, etwaige Schwachstellen in der Anlagenauslegung aufzufinden und sie wirkungsvoll zu beheben. Zur probabilistischen Risikoanalyse (PRA) gelangt man, wenn auch die Abschätzung der Störfallfolgen, d. h. die nachfolgend aufgeführten Schritte, durchgeführt werden. Der dritte Schritt Expositionsabläufe beschreibt, wie das schädliche Agens (hier: Chlor) auf das Schutzgut einwirkt (Beispiel: Ausbreitungsrechnung mit dem Ziel, festzustellen, wie viele Menschen in der Umgebung für welche Zeit welchen Chlorkonzentrationen ausgesetzt sind; dabei können Maßnahmen wie der Verbleib in Gebäuden oder Evakuierung berücksichtigt werden). Der vierte Schritt Schaden und Risiko beinhaltet zunächst den Schaden, d. h. die Auswirkungen des Störfalls (Beispiel: x Tote infolge der Chlorexposition, y Fälle schwerer Chlorakne). Zur Ermittlung des Risikos werden dann Schaden und erwartete Eintrittshäufigkeit miteinander verbunden (Beispiel: x 10 6 a 1 Tote infolge Chlorfreisetzung, y 10 6 a 1 Fälle schwerer Chlorakne). Die Ermittlung der Störfallfolgen wird im Kap. 10 behandelt; sie erfordert die Modellierung zahlreicher Phänomene, wie Ausströmvorgänge, atmosphärische Ausbreitung oder Wärmestrahlung von Bränden. Hinzu kommen Beziehungen, welche die Intensität der Exposition des Menschen oder der Umwelt in Wahrscheinlichkeiten für bestimmte Schadensumfänge umrechnen. Dazu werden häufig Probit-Beziehungen herangezogen (siehe Abschn und Anhang B).

4 266 8 Risiko Die verwendeten Rechenmethoden sind diejenigen, die auch in der deterministischen Analyse benutzt werden. Der Unterschied besteht darin, dass stochastische Randbedingungen, die realitätsnäher sind, für die Rechnungen verwandt werden. Beispielsweise wird anstelle einer festgelegten Leckgröße ein ganzes Spektrum behandelt, wobei den unterschiedlichen Größen entsprechende erwartete Eintrittshäufigkeiten zugeordnet werden. Oder statt eine bestimmte Wetterlage der Ausbreitung toxischer Stoffe zugrundezulegen, werden verschiedene mit ihren entsprechenden Eintrittswahrscheinlichkeiten berücksichtigt. Dies ist sinnvoll, da ja der Moment der Freisetzung und die dann vorherrschende Wetterlage nicht im Voraus bekannt sind. Die vorangehend skizzierten Analysen kommen auch nicht ganz ohne Festlegungen und Vereinfachungen aus, wie dies bei deterministischen Analysen unabdingbar ist. Allerdings sind sie im Allgemeinen realitätsnäher; ihr Umfang hängt dann davon ab, welche Schwerpunkte oder Tiefe (Detaillierungsgrad) den Analysen zugrundegelegt werden. Die PSA dient dem Ziel, die erwarteten Häufigkeiten des Versagens technischer Systeme zu ermitteln und Wege zu weisen, diese herabzusetzen; sie ergänzt zunehmend das herkömmliche Vorgehen bei der Sicherheitsauslegung. Dies gilt in besonderem Maße für den Bereich der Kerntechnik, in dem die Sicherheit praktisch sämtlicher Anlagen weltweit probabilistisch untersucht wurde. Die periodische Sicherheitsüberprüfung in der Bundesrepublik [9] mit dem zugehörigen Leitfäden [10, 11] weist probabilistischen Sicherheitsanalysen einen festen Platz bei der Sicherheitsbeurteilung von Kernkraftwerken zu. Inzwischen sind sämtliche deutsche Anlagen nach dieser Methode untersucht worden. Für Prozessanlagen sind ebenfalls eine Reihe probabilistischer Sicherheitsuntersuchungen durchgeführt worden [12 17]. In Risikostudien wird, wie bereits erwähnt, die Ermittlung der Eintrittshäufigkeit von Schadensereignissen mit Hilfe von Ereignisablauf- und Fehlerbaumanalysen ergänzt durch die Abschätzung ihrer Folgen. Dies sind bei Kernreaktoren radioaktive Freisetzungen und bei Prozessanlagen im Allgemeinen Brände, Explosionen oder Freisetzungen toxischer Stoffe, deren Auswirkungen auf Mensch und Umwelt ermittelt werden. Vorgehensweise und Ergebnisse solcher Untersuchungen für Kernreaktoren werden eingehend in [18] und für Prozessanlagen in den nachfolgenden Kap. 9 und 10 beschrieben. In Tab. 8.1 sind einige Studien aufgeführt, die wesentlich zur Entwicklung der Methoden beigetragen haben. Im Gegensatz zu den zahlreichen Risikostudien, die beispielsweise in den Niederlanden [19], Frankreich [20] und der Schweiz [21] im Rahmen der Genehmigung von Prozessanlagen durchgeführt wurden und werden, sind sie öffentlich zugänglich. Der Ablauf einer Risikoanalyse wird nachfolgend noch einmal mit Hilfe des sogenannten Bow-tie (Fliege als Krawatte) Diagramms in Abb. 8.2 gezeigt. Dies wird häufig in der Literatur verwendet. Da es bislang keine deutsche Bezeichnung gibt, wird es hier in Anlehnung an die französische Bezeichnung noeud de papillon Schmetterlingsdiagramm genannt. Die linke Seite der Abb. 8.2 symbolisiert die detaillierte Ereignisablauf- und Fehlerbaumanalyse der anlagentechnischen Systeme, während die rechte Seite die Ereignisablaufanalysen für die Störfallfolgen und die Auswirkungen auf Mensch, Umwelt und wertvolle Sachgüter darstellt.

5 8.1 Risiko- und Sicherheitsanalysen im Überblick 267 auslösende Ereignisse und ihre Eintrittshäufigkeiten Barrierenwirksamkeiten und Ereignisabläufe innerhalb der Anlage unerwünschte(s) Ereignis(se) verursacht durch die Anlage Störfallfolgen Risiko probabilistische Sicherheitsanalyse (PSA) bedingte Häufigkeit(en) des oder der unerwünschten Ereignisse(s) (Kategorien) bedingte Wahrscheinlichkeiten für die Störfallfolgen Abb. 8.2 Schmetterlingsdiagramm zum Überblick über eine vollständige Risikoanalyse Wie bereits erwähnt, können Analyseumfang und tiefe unterschiedlich sein. Wird nur der linke Teil des Schmetterlingsdiagramms untersucht, so haben wir es mit einer probabilistischen Sicherheitsanalyse zu tun, deren Ergebnis die erwarteten Häufigkeiten für den Eintritt der unerwünschten Ereignisse sind. In diesem Falle sollen Schwachstellen und sicherheitstechnische Unausgewogenheiten aufgedeckt sowie Wege zur Abhilfe gewiesen werden. Dies ist der arbeitsintensivste Teil der Untersuchung. Wesentliches Werkzeug probabilistischer Sicherheitsuntersuchungen ist die Fehlerbaumanalyse. Sie beruht darauf, das Versagen eines Systems deduktiv auf den Ausfall seiner Teilsysteme und deren Versagen wiederum auf den Ausfall ihrer Komponenten zurückzuführen. Das Ergebnis der Überlegungen wird im Fehlerbaum dargestellt, der die logischen Verknüpfungen zwischen dem Ausfall der Komponenten des Systems und seinem Versagen wiedergibt. Dabei werden im Allgemeinen lediglich zwei Zustände zur Beschreibung von System und Komponenten zugelassen: Funktionieren und Ausfall. Diese Zustände stellen sich mit gewissen Wahrscheinlichkeiten ein. Die Versagenswahrscheinlichkeit des Systems folgt dann aus der mathematischen Auswertung des Fehlerbaums auf der Grundlage der Ausfallwahrscheinlichkeiten der Komponenten und der Wahrscheinlichkeiten für das Auftreten umgebungsbedingter Gefährdungen sowie von Fehlbedienungen durch den Menschen. Da das Funktionieren oder Versagen eines technischen Systems von den Werten der physikalischen und chemischen Parameter wie Temperaturen, Drücke und Stoffkonzentrationen des in ihm ablaufenden Prozesses abhängt, stellt die Modellierung mit Hilfe eines Fehlerbaums eine Vereinfachung dar. Diese Vereinfachung hat aber den Vorteil, dass die Verbindungen der einzelnen Komponenten des Systems und die Auswirkungen ihres Versagens auf den Gesamtprozess dargestellt werden können.

6 268 8 Risiko Tab. 8.1 Risikostudien, die wesentlich zur Entwicklung der Methode der Behandlung technischer Risiken beigetragen haben Studie Amerikanische Sicherheitsstudie für Kernkraftwerke ( Rasmussen-Studie ) (1975) [22] NUREG-1150 (1989) [23] Deutsche Risikostudie Kernkraftwerke (Phase A und B) (1979) [24] und (1990) [25] Canvey Island Studie (1978) [26] Rijnmond-Studie (1982) [27] Gegenstand Druckwasser- und Siedewasserreaktoren amerikanischer Bauart mehrere amerikanische Druck- und Siedewasserreaktoren Kernkraftwerk Biblis B (Druckwasserreaktor) Chemieanlagenkomplex an der Thurrock Gegend (Großbritannien) Chemieanlagen in der Rheinmündung (Niederlande) Die Fehlerbaumanalyse ist ein vollständiges Verfahren; sie liefert bei konsequenter Anwendung alle Ereigniskombinationen, die zum Versagen führen. Grenzen sind nicht vom Verfahren her gesetzt, sondern nur durch die Kenntnis und Sorgfalt des Anwenders. Dabei ist es selbstverständlich, dass keine Phänomene aufgedeckt werden können, die zum Zeitpunkt der Analyse noch unbekannt sind. Die Vorgehensweise, die beispielsweise in den Niederlanden im Rahmen des Genehmigungsverfahrens für Prozessanlagen angewandt wird, legt den Schwerpunkt auf die Störfallfolgen (rechter Teil der Abb. 8.2). Die anlagentechnische Untersuchung wird ersetzt durch die Angabe erwarteter Häufigkeiten für den Verlust des Stoffeinschlusses. Diese Häufigkeiten müssen dann neben den spontanen Ausfällen Ausfälle aller Ausfallarten abdecken, beispielsweise Überdruck, zu hohe Temperatur, Korrosion usw. Dadurch werden die Fehlerbaumanalysen der technischen Systeme ersetzt. Eine solche Untersuchung nennt man risikobasiert. Nachfolgend werden einige Versagensmechanismen, die zum Verlust des Stoffeinschlusses führen können, genannt: Korrosion von innen (z. B. selektiv, lokal, Spannungsrißkorrosion, Dehnungskorrosion, flächiger Abtrag), Korrosion von außen (Witterungseinflüsse, Tropfenleckage aus benachbarten Systemen, Kontaktkorrosion, Reibkorrosion, Verletzung von Schutzschichten), Wechselbeanspruchung (mechanisch und thermisch), Bedienungs- und Handhabungsfehler (z. B. fehlerhaftes Öffnen von Armaturen, fehlerhafte Verschraubungen, falsches Dichtungsmaterial etc.), Gefährdung durch Wartungs- und Reparaturarbeiten, mechanische Einwirkungen (Handhabung, Transport, abstürzende Lasten, Montage etc.), Überlastungen durch Über- oder Unterdruck aufgrund von Systemfehlfunktionen. Die Tab. 8.2 und 8.3 machen Angaben zu erwarteten Versagenshäufigkeiten von Behältern und Rohrleitungen, wie sie in risikobasierten Untersuchungen verwendet werden.

7 8.1 Risiko- und Sicherheitsanalysen im Überblick 269 Tab. 8.2 Erwartete Häufigkeiten für Freisetzungen in 10 6 a 1 [28] (vor Benutzung sollten die Fußnoten aus [28] beachtet werden) Apparat schlagartige Freisetzung des gesamten Inhalts kontinuierliche Freisetzung des gesamten Inhalts innerhalb von 10 Min Druckbehälter 0,5 0,5 10 Prozessbehälter (Änderung der physikalischen Eigenschaften) Reaktorbehälter (Änderung der chemischen Eigenschaften) kontinuierliche Freisetzung aus einem Loch mit 10 mm Durchmesser Tab. 8.3 Erwartete Häufigkeiten für Freisetzungen in 10 6 m 1 a 1 [28] (vor Benutzung sollten die Fußnoten aus [28] beachtet werden) Komponente Rohrfernleitung; nominaler Durchmesser <75 mm Rohrfernleitung; 75 nominaler Durchmesser 150 mm Rohrfernleitung; nominaler Durchmesser >150 mm Versagen des vollen Rohrquerschnitts (Ausströmen aus beiden Enden) 1 5 0,3 2 0,1 0,5 Leck mit einem Durchmesser von 10 % des nominalen Durchmessers; Maximum 50 mm Die Leckgrößen sind der Ausgangspunkt für die Störfallfolgenrechnungen. Verbindet man deren Ergebnis mit den entsprechenden erwarteten Häufigkeiten des Leckeintritts, so gelangt man zum Risiko. Sicherheit hat es mit stochastischen Ereignissen zu tun (beispielsweise dem Eintrittszeitpunkt eines Störfalls) und stochastischen Randbedingungen (z. B. dem Wetter zum Zeitpunkt des Störfalleintritts). Dies zusammen mit Kenntnismängeln bezüglich der Phänomene, die zu behandeln sind, und Mängeln bei Modellen und deren Eingangsdaten führt zu Unsicherheiten, die oftmals durch Sicherheitsfaktoren ausgeglichen werden, und zu Vorgehensweisen, die auf Konventionen beruhen. Darauf wurde bereits im Kap. 1 hingewiesen. Entsprechend den beiden Elementen des Risikos werden im Kap. 9 die Methoden der qualitativen und quantitativen anlagentechnischen Untersuchung behandelt, deren Ergebnis die erwarteten Häufigkeiten für die Kategorien in der Abb. 8.1 sind. Daran schließen sich im Kap. 10 die Verfahren zur Ermittlung des Schadensumfangs. Die Kap. 11 und 12 behandeln zwei wichtige Anwendungen, nämlich die funktionale Sicherheit und die Bestimmung angemessener Abstände zwischen Industrieanlagen und Bebauung.

8 270 8 Risiko 8.2 Riskogrenzwerte Da es bei industriellen Tätigkeiten mit Gefahrenpotential eine völlige Risikofreiheit nicht geben kann, stellt sich die Frage, ob das ermittelte Risiko ausreichend gering ist. Dies wird oftmals durch die Frage Wie sicher ist sicher genug in Perspektive gesetzt. Es bedarf also eines Maßstabs, an dem das Ergebnis einer Risikountersuchung gemessen wird. Dieser kann unterschiedliche Verbindlichkeitsgrade haben. Es kann sich um Vorgaben handeln, die der untersuchende Ingenieur sich setzt, innerhalb eines Unternehmens festgelegt werden, von einer Behörde zur Beurteilung genutzt werden, durch staatlichen Verwaltungsakt bestimmt werden, vom Parlament eines Landes beschlossen werden. Da es keinerlei naturgesetzliche Risikogrenze gibt, orientiert man sich bei der Wahl oftmals an gemessenen und gesellschaftlich tolerierten Werten, beispielsweise der Häufigkeit von Arbeitsunfällen oder der Häufigkeit von Krebsfällen, und legt das tolerierbare Risiko aus industriellen Tätigkeiten um eine oder zwei Zehnerpotenzen niedriger fest. Überlegungen, die zu solchen Grenzwerten führten, werden in [29] im Einzelnen dargestellt. Die Grenzwerte können auf mehreren Ebenen formuliert werden. Sie können beispiels weise die Versagenswahrscheinlichkeit von Sicherheitsbarrieren, die erwartete Häufigkeit des Auftretens des unerwünschten Ereignisses oder das Risiko betreffen, wobei bei letzterem noch zu unterscheiden ist zwischen dem Risiko für eine einzelne Person und Gruppen der Bevölkerung. Anstelle von Anforderungen an die Versagenswahrscheinlichkeit benutzt man neuerdings Risikowerte, von denen man auf Anforderung an die Versagenswahrscheinlichkeit der Sicherheitsbarrieren zurückschließt. Dies erfolgt im Rahmen der funktionalen Sicherheit, die im Kap. 12 ausführlich dargestellt wird. In der Bundesrepublik gibt es bislang keine Risikogrenzwerte für technische Anlagen, an denen ermittelte Risiken zu messen wären. Andere Staaten in Europa nutzen aber schon seit langem Grenzwerte, die allerdings unterschiedliche Verbindlichkeitsgrade haben und mit unterschiedlichen Rechtswirkungen verbunden sind (vgl. [30]). Den größten Grad an Verbindlichkeit haben die Grenzwerte in den Niederlanden, die auf einem Beschluss des Parlaments beruhen. Risikogrenzwerte müssen stets im Zusammenhang mit der Vorgehensweise der Risikoermittlung gesehen werden. Das Ausmaß der Konservativität, das Detail etc. bei der Ermittlung von Risiken beeinflussen das errechnete Ergebnis (siehe Kap. 9 und 10). Der

9 8.2 Riskogrenzwerte 271 Gleichbehandlung wegen erfordert die Anwendung von Risikogrenzwerten eine weitgehend vereinheitlichte, durch Konventionen getragene Vorgehensweise. Dies ist beispielsweise in den Niederlanden durch den Einsatz des Rechnerprogramms PHAST [31] gewährleistet, in dem die zu benutzenden Analysemethoden programmiert und zahlreiche Eingabeparameter gesetzt sind ( default values ). Bei Risiken wird unterschieden zwischen dem Individualrisiko ( individual risk ), d. h. der erwarteten jährlichen Häufigkeit für eine Person, einen Schaden zu erleiden, und dem Kollektiv- oder Gruppenrisiko ( societal risk ). Letzteres gibt die erwartete Häufigkeit dafür an, dass mehr als eine bestimmte Anzahl von Personen zu Schaden kommen. Als Schadensart wird im Allgemeinen der Tod genommen, aber man kann natürlich auch das Risiko bleibender Gesundheitsschäden, Umwelt- oder Sachschäden ermitteln. Darüber hinaus verwendet man noch das ortsbezogene Risiko ( location risk ), das unabhängig davon ist, ob sich eine Person an dem Ort befindet oder nicht. Zum Individualrisiko gelangt man dann, wenn das ortsbezogene Risiko mit dem Anteil der Tagesstunden multipliziert wird, die eine Person an dem Ort verbringt, für den das Risiko ermittelt wird. Des Weiteren lassen sich auch Risiken wie das Risiko von Flächen- oder Gewässerkontamination ermitteln. Dafür hat beispielsweise die Schweiz Grenzwerte (siehe Abb. 8.4). Darüber hinaus wird unterschieden zwischen dem Risiko für Beschäftigte und der Bevölkerung im Allgemeinen (außerhalb der Grenzen des Betriebsbereichs) Individualrisiko Eine für Deutschland neue Entwicklung auf dem Gebiet von Risikogrenzwerten stellt der Beschluss des Ausschusses Gefahrstoffe (AGS) dar. Er sieht folgende stoffübergreifende Risikogrenzen für Tätigkeiten mit krebserzeugenden Gefahrstoffen vor [32]. Sie gelten für das individuelle Todesfallrisiko. Akzeptanzrisiko: übergangsweise von 4 : spätestens ab 2018 von 4 : Unterhalb dieser Werte wird ein Risiko akzeptiert. Liegt ein Risiko oberhalb dieser Werte, so wird es unter Einhaltung von Maßnahmen toleriert, die in einem Maßnahmenkatalog spezifizierten sind, sofern es unterhalb des Toleranzrisikos von 4 : 1000 liegt. Ein Risiko oberhalb des Toleranzrisikos ist nicht tolerabel. Die Risiken beziehen sich auf eine Arbeitslebenszeit von 40 Jahren bei einer kontinuierlichen arbeitstäglichen Exposition. Die Festlegung erfolgte unter handlungsorientierten Gesichtspunkten und ist eng an ein gestuftes Maßnahmenkonzept zur Risikominderung gebunden. Nachfolgend werden einige Grenzwerte für Risiken von Industrieanlagen angegeben. In Großbritannien gelten folgende Werte:

10 272 8 Risiko Tab. 8.4 Grenzwerte für Risiken in verschiedenen Staaten Staat Grenzwert für das Individualrisiko in 10 6 a 1 Niederlande 1 für Neuanlagen 10 für bestehende Anlagen Schweiz (Kanton Zürich) 10 Großbritannien <1 kein Handlungsbedarf 100 bis 1 Handlungsbedarf unter der Maßgabe so gering wie vernünftigerweise durchführbar (ALARP) maximal tolerierbares Risiko am Arbeitsplatz: 10 3 /a maximal tolerierbares Risiko für die Öffentlichkeit: 10 4 /a allgemein akzeptiertes Risiko: 10 6 /a Weitere Werte sind in der Tab. 8.4 angegeben Kollektivrisiko Das zulässige Kollektiv-, Gesellschafts- oder Gruppenrisiko wird üblicherweise nach der folgenden Beziehung festgelegt R = h x n (8.1) In Gl. (8.1) ist h die jährliche Häufigkeit des Eintretens des Schadensereignisses und x der mit diesem Ereignis verbundene Schadensumfang (z. B. Anzahl von Toten); n ist der Risikoaversionsfaktor, der üblicherweise >1 gewählt wird. Dadurch wird das Schadensausmaß stärker gewichtet, was insbesondere bei Katastrophen mit vielen Toten ins Gewicht fällt. In den Niederlanden gilt die in Abb. 8.3 gezeigte Beziehung für die Grenzwerte. Der Risikoaversionsfaktor beträgt in diesem Falle n = 2. In der Schweiz (Kanton Zürich, aber auch z. B. Basel Landschaft) gelten die in Abb. 8.4 aufgeführten Grenzwerte. Es ist ersichtlich, dass in Abb. 8.4 zwischen drei Bereichen unterschieden wird, nämlich tragbar (auch akzeptabel, neuerdings oftmals tolerabel genannt, da kein Risiko akzeptabel ist). Übergangsbereich: hier müssen innerhalb bestimmter Fristung Nachrüstungsmaßnahmen erfolgen. Dabei wird das Prinzip ALARP ( as low as reasonably practicable, so gering wie vernünftigerweise durchführbar ), das Kosten-Nutzenerwägungen beinhaltet, angewandt. nicht tragbar (keine Genehmigungsfähigkeit).

11 8.2 Riskogrenzwerte 273 Erwartete jährliche Häufigkeit für > N Tote 1,0E ,0E ,0E ,0E ,0E ,0E ,0E ,0E ,0E ,0E - 11 Akzeptables Kollektivrisiko Kollektivrisiko oberhalb des Akzeptanzwertes Anzahl von Toten N Abb. 8.3 Niederländisches Kriterium für Gruppenrisiko (nach [19]) Beurteilungskriterien gem. StFV Häufigkeit (pro Jahr / Einheit) schwere Schädigung nicht tragbar Übergangsbereich Ausmasswert tragbar 0 0,1 0,2 0,3 0,4 0,5 0,6 0,7 0,8 0,9 1 Tote (10 Verletzte = 1 Todesopfer) Oberflächengewässer (Mio m 3 ) 0, Oberflächengewässer (km 2 ) 0, Trinkwasser (m 3 /min) Ausgefallene Fördermenge 0,5 2,5 12,5 62,5 Abb. 8.4 Risikogrenzwerte im Kanton Zürich (freundlicherweise zur Verfügung gestellt [33]) Solange es keine offiziellen Werte in Deutschland gibt, schlägt der Verfasser vor, für das Individualrisiko den Wert für Neuanlagen in den Niederlanden, d. h a 1, und für das Kollektivrisiko die Grenzen, die in der Schweiz gelten, zu verwenden. Letztere hat die Störfallkommission auch in ihrem Gutachten zur Erweiterung des Flughafens Frankfurt benutzt [34].

12 274 8 Risiko Abb. 8.5 Isorisikolinien in der Umgebung eines Standorts (DSM Geleen) (aus [19] mit freundlicher Genehmigung) Abb. 8.6 Komplementäre Häufigkeitsverteilung für das Kollektivrisiko verursacht durch das Versagen einer Rohrfernleitung (Ergebnis der Fallstudie 10.3 im Kap. 10) Erwartete jährliche Häufigkeit für > N Tote 1,0E ,0E ,0E ,0E ,0E ,0E ,0E ,0E - 10 Niederländische Grenzkurve für das Kollektivrisiko Anzahl an Toten N

13 8.2 Riskogrenzwerte 275 Beispiel 8.1 Ermittlung des Risikoaversionsfaktors in der Schweiz Um den Risikoaversionsfaktor zu ermitteln, nimmt man zwei Punkte aus der Risikokurve der Abb. 8.4 heraus und wendet die Gl. (8.1) an. Lösung Beispielsweise ergibt die Kurve für 10 Todesopfer 10 7 a 1 und für 1000 Todesopfer a 1. Daraus folgt: R = h 1 x n 1 = h 2 x n 2 Nach Einsetzen der Zahlenwerte erhält man n = n oder 10 4 = 100 n woraus n = 2 folgt 8.3 Darstellung von Risiken Neben der Angabe von Zahlenwerten, werden bildliche Darstellungen des Risikos verwendet. So zeigt Abb. 8.5 das ortsbezogene Risiko eingetragen in eine Landkarte. Um die untersuchte Anlage herum ergeben sich Linien, für die jeweils dasselbe Risiko gilt, die sogenannten Isorisikolinien. Kollektivrisiken werden durch sogenannte komplementäre Häufigkeitsverteilungen dargestellt. Diese geben die erwartete Häufigkeit, dafür an, dass ein Schaden größer als ein bestimmter vorgegebener Wert eintritt. Beispielsweise sieht man in Abb. 8.6 die erwartete Häufigkeit (auf der Ordinate) dafür, dass mehr als N Tote (auf der Abszisse) durch Versagen einer Erdgasfernleitung, das in der Fallstudie 10.3 im Kap. 10 behandelt wird, verursacht werden. Literatur 1. Zwölfte Verordnung zur Durchführung des Bundes-Immissionsschutzgesetzes (Störfall-Verordnung-12.BImSchV) In der Fassung vom 8. Juni 2005 (BGBl. I, S 1598) 2. Zweite Allgemeine Verwaltungsvorschrift zur Störfall-Verordnung (2. StörfallVwV) vom 27. Apr 1982 (GMBl. 1982, S 205) 3. Risikobegrenzung in der Chemie PAAG-Verfahren (HAZOP) (1990) Internationale Sektion der IVSS für die Verhütung von Berufsunfällen und Berufskrankheiten in der chemischen Industrie, Heidelberg 4. DIN EN 60812: (2006) Analysetechniken für die Funktionsfähigkeit von Systemen Verfahren für die Fehlzustandsart- und -auswirkungsanalyse (FMEA) (IEC 60812:2006). Deutsche Fassung EN 60812: DIN 25419: Ereignisablaufanalyse; Verfahren, graphische Symbole und Auswertung 6. DIN : Fehlerbaumanalyse; Methode und Bildzeichen

14 276 8 Risiko 7. DIN : Fehlerbaumanalyse; Handrechenverfahren zur Auswertung eines Fehlerbaumes 8. Hauptmanns U, Herttrich M, Werner W (1987) Technische Risiken Ermittlung und Beurteilung. Springer, Berlin; erweiterte und verbesserte Ausgabe: Hauptmanns U, Werner W (1991) Engineering risks evaluation and valuation. Springer, Berlin 9. Geschäftsstelle der Reaktorsicherheitskommission (1988) Abschlußbericht über die Ergebnisse der Sicherheitsüberprüfung der Kernkraftwerke in der Bundesrepublik Deutschland durch die RSK Empfehlung der Reaktorsicherheitskommission (RSK) vom 23. November Bundesamt für Strahlenschutz (Hrsg) (2005) Facharbeitskreis Probabilistische Sicherheitsanalyse für Kernkraftwerke, Methoden zur probabilistischen Sicherheitsanalyse für Kernkraftwerke, BfS-SCHR-37/05, Salzgitter, Oktober Bundesamt für Strahlenschutz (Hrsg) (2005) Facharbeitskreis Probabilistische Sicherheitsanalyse für Kernkraftwerke, Daten zur probabilistischen Sicherheitsanalyse für Kernkraftwerke, BfS-SCHR-38/05, Salzgitter, Oktober Nielsen D, Platz O, Kongsø HE (1977) Reliability analysis of a proposed instrument air system, Risø -M-1903, Roskilde/Dänemark 13. Hauptmanns U (1980) Fault tree analysis of a proposed ethylene vaporization unit. Ind Eng Chem Fundam 19(3): Hauptmanns U, Yllera J, Sastre H (1982) Safety analysis for the ammonia-air mixing system of a plant for the production of nitric acid. J Chem Eng Jpn 15(4): Hauptmanns U, Sastre H (1984) Safety analysis of a plant for the production of vinyl acetate. J Chem Eng Jpn 17(2): Hauptmanns U et al (1985) Ermittlung der Kriterien für die Anwendung systemanalytischer Methoden zur Durchführung von Sicherheitsanalysen für Chemieanlagen, GRS-59, Köln 17. Hauptmanns U (1995) Untersuchungen zum Arbeitsschutz bei An- und Abfahrvorgängen einer Nitroglycol-Anlage. Chem Ing Tech 67(2): (1983) PRA procedures guide a guide to the performance of probabilistic risk assessments for Nuclear Power Plants NUREG/CR-2300, Bd 1, 2. US Nuclear Regulatory Commission, Washington, DC 19. Bottelberghs PH (2000) Risk analysis and safety policy developments in the Netherlands. J Hazard Mater 71: Arrêté du 29/09/05 relatif à l évaluation et à la prise en compte de la probabilité d occurrence, de la cinétique, de l intensité des effets et de la gravité des conséquences des accidents potentiels dans les études de dangers des installations classées soumises à autorisation, (JO n 234 du 7 Octobre 2005), Frankreich 21. Verordnung über den Schutz vor Störfällen (Störfallverordnung, StFV) vom 27. Februar 1991 (Stand am 1. Juni 2012), SR , Schweiz 22. Reactor safety study an assessment of accident risks in US commercial nuclear power plants. WASH-1400 (NUREG-75/014), Severe accident risks: an assessment for five US nuclear power plants. NUREG-1150, Bd 1, Dezember 1990; Bd 2, Januar GRS (1979) Deutsche Risikostudie Kernkraftwerke. Eine Untersuchung zu dem durch Störfälle in Kernkraftwerken verursachten Risiko. GRS, Köln 25. GRS (1990) Deutsche Risikostudie Kernkraftwerke-Phase B. GRS, Köln 26. Health and Safety Executive (1978) Canvey: an investigation of potential hazards from operations in the Canvey Island, Thurrock Area, London 27. Risk analysis of six potentially hazardous industrial objects in the Rijnmond area a pilot study. A report to the Rijnmond Public Authority, Dordrecht, Holland/Boston, USA/London, England, 1982

15 Literatur VROM (Hrsg) (2005) Guidelines for quantitative risk assessment, CPR 18E, The Hague, Dezember Kumamoto H (2007) Satisfying safety goals by probabilistic risk assessment. Springer, London 30. Arnold J, Niehoff A (2005) Vergleichendes Gutachten: Praxis bei der Ermittlung von Risiken in Betrieben nach der Seveso-II-Richtlinie in Europa und entsprechenden Betrieben in Nordamerika. DNV, Essen, Oktober PHAST Risk (formerly SAFETI) (2007) DNV, Trondheim 32. Bekanntmachung 910 Risikowerte und Exposition-Risiko-Beziehungen für Tätigkeiten mit krebserzeugenden Gefahrstoffen (Bekanntmachung zu Gefahrstoffen), (GMBl. Nr. 43/44 vom 1. Sept 2008, S 883; 12. Jan 2010, S 210) 33. Hansen J (2013) AWEL Amt für Abfall, Wasser, Energie und Luft Abt. Abfallwirtschaft und Betriebe Zugegriffen: 29. Okt 2012