Die Kommission für Anlagensicherheit (KAS) ist ein nach § 51a Bundes-Immissionsschutzgesetz beim Bundesministerium für Umwelt, Naturschutz, Bau und Reaktorsicherheit gebildetes Gremium.

Ihre Geschäftsstelle ist bei der GFI Umwelt - Gesellschaft für Infrastruktur und Umwelt mbH in Bonn eingerichtet.

Anmerkung:

Dieses Werk wurde mit großer Sorgfalt erstellt. Dennoch übernehmen Verfasser und Auftraggeber keine Haftung für die Richtigkeit von Angaben, Hinweisen und Ratschlägen sowie für eventuelle Druckfehler. Aus etwaigen Folgen können daher keine Ansprüche gegenüber Verfasser und/oder Auftraggeber geltend gemacht werden.

Dieses Werk darf für nichtkommerzielle Zwecke vervielfältigt werden. Auftraggeber und Verfasser übernehmen keine Haftung für Schäden im Zusammenhang mit der Vervielfältigung oder mit Reproduktionsexemplaren.

1. Einleitung

1.1 Ausgangssituation

Beschäftigte verhalten sich im Fall einer plötzlich eintretenden Notfallsituation oft nicht so, wie sie es gelernt haben, wie es von ihnen zu erwarten wäre, wie sie selbst es von sich erwartet hätten. Dies wird aus der Analyse katastrophaler Ereignisse wie Seveso, Bhopal, Longford, Texas City, Buncefield oder Deepwater Horizon besonders deutlich.

Aus Untersuchungen zum Verhalten von Menschen in komplexen Situationen geht hervor, dass durch den mit der Notfallsituation verbundenen Stress die Fähigkeit deutlich herabgesetzt werden kann, die Situation zu meistern und die "drohende Katastrophe" zu verhindern. Das klare, nüchterne Denken sowie das Erfassen und Analysieren der Situation verläuft nicht so, wie in der normalen Arbeitssituation. Wenn zusätzlich die technische Anlage und die Bedienung zu komplexe Anforderungen stellen, erschwert dies das Bewältigen der Notfallsituation.

Das nebenstehende Bild zeigt eine missverständliche Rettungswegbeschilderung. Während der Pfeil nach rechts zeigt, werden die flüchtenden Personen textlich dazu aufgefordert sich links zu halten. Bei einem Zwischenfall in Großbritannien kam es aufgrund eines solchen Hinweisschildes zu mehreren Toten, da es zu viel Informationsverarbeitung für die unter Zeitdruck stehenden Flüchtenden erforderte. Von Menschen in Notfallsituationen kann nicht erwartet werden, dass sie die Situation spontan überblicken oder ein solches Schild mit widersprüchlichen Anweisungen verstehen. Denn die Notfallsituation ist angstbesetzt und die Gefühle spielen für das Handeln in einem sehr viel größeren Ausmaß eine Rolle als in der normalen betrieblichen Situation.

1.2 Aufgabenstellung

In ihrer 23. Sitzung am 25./26. Juni 2012 hat die Kommission für Anlagensicherheit beschlossen, einen Leitfaden "Besondere Anforderungen an Sicherheitstechnik und Sicherheitsorganisation zur Unterstützung von Anlagenpersonal in Notfallsituationen unter besonderer Berücksichtigung des Leitfadens KAS- 20" [1] zu erstellen.

Der Leitfaden soll Empfehlungen formulieren und Handlungshilfen dafür bereitstellen, den Dreiklang der Anlagensicherheit "Technik - Organisation - Personal" für die betriebliche Notfallsituation so zu gestalten, dass diese Situation einerseits möglichst nicht zu einer Katastrophe führt und andererseits das Anlagenpersonal so unterstützt wird, dass es in der Lage ist, sicheres Arbeitshandeln in der emotional belastenden Notfallsituation an den Tag zu legen.

1.3 Anwendungsbereich und Zielsetzung des Leitfadens

Der Leitfaden richtet sich in erster Linie an Unternehmen mit Betriebsbereichen, die unter den Anwendungsbereich der Störfall-Verordnung [2] fallen. Die ausgesprochenen Empfehlungen sollten in angemessener Weise auch in Betrieben berücksichtigt werden, die nicht der Störfall-Verordnung unterliegen.

Der Leitfaden soll den Betrieben dabei helfen, sich auf Notfallsituationen besser vorzubereiten, um sich anbahnende Unfälle oder Störfälle rechtzeitig in den Griff zu bekommen bzw. mögliche Auswirkungen soweit wie möglich zu begrenzen.

Auch kleine und mittlere Betriebe sollten sich auf die in diesem Leitfaden betrachteten Situationen vorbereiten. Dies gilt insbesondere für die Punkte Training und Aufbau einer angemessenen Notfallorganisation.

Zielgruppen des Leitfadens sind alle betrieblichen Stellen, die an der Vorbereitung auf und der Bewältigung von Notfallsituationen beteiligt sein können, wie z.B. der Betrieb selbst, die Anlagenplaner/innen, das Sicherheitsmanagement oder der Krisenstab. Ggf. finden auch Hersteller/innen von verfahrenstechnischen Anlagen Anregungen für die Gestaltung von Anlagen, die auch in Notfallsituationen sicher bedienbar bleiben. Betriebsbeauftragten, Sachverständigen, Aufsichtsbehörden und Sachversicherern kann der Leitfaden eine Arbeitshilfe zur Wahrnehmung ihrer spezifischen Aufgaben sein.

2. Charakteristik von Notfallsituationen

2.1 Definition

Als Notfallsituation wird in diesem Leitfaden eine Situation verstanden, die außer Kontrolle geraten und zu einem Störfall im Sinne der Störfall-Verordnung führen könnte oder bereits geführt hat.

Abb. 1: Vom Normalbetrieb zum Notfall (in Anlehnung an [3])

Zur Beschreibung von Anforderungen an Sicherheitstechnik und -organisation ist es erforderlich, die Notfallsituation zu charakterisieren. Denn je nach Situation müssen Technik und Organisation unterschiedlich ausgeprägt bzw. so gestaltet sein, dass sie in den unterschiedlichen Situationen belastbar sind und das Anlagenpersonal entsprechend unterstützen.

Tab. 1: Mögliche Dimensionen von Notfallsituationen

Die Reaktionen und Maßnahmen einer Organisation (eines Betriebsbereichs) müssen auf die jeweilige Notfallsituation angepasst werden.

2.2 Merkmale von Notfallsituationen

In einer Notfallsituation sehen sich die handelnden Personen zunächst einer kritischen Situation gegenüber, die u.a. für sie durch folgende Charakteristika gekennzeichnet sein kann [4]:

• Informationsflut (z.B. Meldeschwall) und teilweise Intransparenz der Information (unklare Meldetexte, widersprüchliche Anzeigen etc.)
• Zeitverzögerungen (Auswirkungen von Handlungen sind nicht direkt sichtbar)
• Irreversibilität (z. T. sind Entwicklungen unumkehrbar)
• fehlende bzw. unzureichende Standards / Anweisungen zum Beherrschen der Situation
• Vielzahl von Schnittstellen mit anderen Personen und technischen Systemen
• Eigendynamik und Wechselwirkungen, d. h. gegenseitige Beeinflussung von Systemen oder Komponenten.

Aus diesen Situationscharakteristika entsteht Stress für die Beteiligten, der durch mögliche bzw. befürchtete Folgen noch verstärkt wird.

Zudem müssen die Beteiligten in Notfallsituationen oft unter folgenden erschwerenden Bedingungen handeln:

• Zeitdruck: Die zur Verfügung stehende Zeit begrenzt die Möglichkeiten der Analyse, des Planens, Handelns und des Reflektierens. ("Zeitdruck ist der Feind des Denkens").
• Risiko und Gefahr: Es müssen Entscheidungen unter Unsicherheit getroffen werden, d. h. man weiß nicht, ob die erwünschten Effekte eines geplanten Eingriffs eintreffen. Falsche Entscheidungen können weit reichende Folgen haben.
• Gefühle: Angst und Hilflosigkeit können die Handelnden geradezu überwältigen und logisches Denken außer Kraft setzen.
• Stress: Stress heißt, die Aktivierung steigt, der Organismus bereitet sich auf Höchstleistungen vor, die Wahrnehmung wird fokussiert. Überforderung / mögliche Schockzustände (physiologische Reaktionen) sind eine drohende Gefahr.

Deshalb erscheint die Situation häufig nicht mehr beherrschbar und kann zu objektiv falschen Handlungen führen.

Aus Sicht der Handelnden muss die Notfallsituation mit dem daraus erwachsenden Erfordernis der Selbstregulation erfolgreich bewältigt werden.

3. Handeln und Reflektieren in der Notfallsituation

3.1 Verhalten von Beteiligten

Nicht alle Personen verhalten sich in einer Notfallsituation so, wie sie es gelernt haben oder wie sie es in einer Normalsituation tun würden, trotz vorhandener Sicherheitstechnik und -organisation. Stattdessen zeigen sie aufgrund der vorher genannten Situationsmerkmale (Kap. 2.2) folgende Verhaltensweisen [5]:

• Reaktionszeiten verlangsamen sich deutlich ¹.
• Selbstreflektionen im Sinne der Kontrolle der eigenen Handlungen (= Rekapitulieren, Überprüfen der Zielerreichung, Fehlerentdeckung) reduzieren sich deutlich.
• Das Vorgehen ist weniger systematisch, stattdessen wird gedanklich hin und hergesprungen, ohne einen Punkt zu Ende zu denken und Ziele werden weniger konkret; d. h. es kommt mehr und mehr zu unverbundenen Einzelhandlungen und Entscheidungen werden vermieden.
• Mit steigender Fehlerzahl wächst das Anwenden von Stereotypen, d. h. derselbe (falsche) Gedankengang wird wieder und wieder ausgeführt, Personen "verbeißen" sich in eine einzige Hypothese und ignorieren gegenteilige / der Hypothese widersprechende Informationen.(Beispiel: Obwohl ich immer mehr Stoff zuführe, kommt die Reaktion nicht in Gang; also muss ich noch mehr Stoff zuführen).
• Man will die Gefahrensituation (zu) schnell hinter sich bringen; man überlegt nicht mehr, welche Umstände zu beachten sind, bevor Entscheidungen getroffen werden. Das heißt, die Risikobereitschaft steigt, man will die aussichtslose Gefahrensituation "um jeden Preis" meistern, auch mit immer mehr Regelverstößen; das Ziel heiligt die Mittel; was verboten und was erlaubt ist, ist nicht mehr wichtig.

Personen, die erfolgreich in Notfallsituationen handeln und reflektieren, zeigen hingegen allgemein folgende Handlungsmuster auf [5], [6]:

• Sie nehmen sich mehr Zeit für die Situationsanalyse und lassen sich vom Zeitdruck weniger beeinflussen.
• Sie können besser ihre Handlungen planen und deren Ergebnisse kontrollieren, weil sie ein stimmiges und nahezu vollständiges mentales Modell der Situation haben, d. h. dass sie ein inneres Bild oder Schema haben, das Vorstellungen über Ursachen, Effekte und Zusammenhänge zwischen einzelnen (Anlagensystem-) Komponenten enthält und mit dem sie ihr Handeln planen.
• Sie unterscheiden Informationssammlung und Handlungsentscheidung deutlich voneinander. Erst wenn sie ein Gesamtbild der Situation gewonnen haben, entscheiden sie, was zu tun ist.
• Sie greifen weniger häufig in das System ein und sind zurückhaltender bei der Dosierung des Eingriffs (kein Aktionismus).

Das Arbeiten im Team kann die Schwierigkeiten im Umgang mit der Notfallsituation ebenfalls verschärfen. Die einzelne Person kann in der Gruppe auf die Bedrohung durch die Situation dann folgendermaßen reagieren [7], [8]:

• Übersteigerte Selbstsicherheit hinsichtlich der eigenen Annahmen und Handlungen sowie eine Risikoverschiebung (risk shift), bei der das Team risikofreudiger als jede Einzelperson wird.
• Selbstzensur, Ausgrenzung von warnenden und mahnenden Gruppenmitgliedern.
• Eingeschränkte Berücksichtigung von möglichen Entscheidungsalternativen und Hypothesen.
• Verschiebung von Verantwortung und Nichttreffen von Entscheidungen.

Besonders anfällig können Gruppen sein, die sich aufgrund bisheriger Erfolge als unverwundbar und als Elite erleben.

Weitere Schwierigkeiten können aus dem Verhältnis zwischen Führungskräften und den handelnden Personen erwachsen.

Führung ist in Normalsituationen effizient, wenn Führungsverhalten, Führungserwartungen und Aufgabenerfordernis aneinander angepasst sind, d. h. Beziehungspflege, soziale Distanz, Entscheidungsautonomie, Verbindlichkeit von Planungen und Kommunikationsstil so ablaufen wie erwartet.

In Notfallsituationen ist Führungshandeln häufig verändert gegenüber der Normalsituation, so dass Standards der Unternehmenskultur verletzt werden können, was zu Irritationen, Missverständnissen und Schwierigkeiten führen kann, wie beispielsweise [9]:

• Führungskräfte können verunsichert und entscheidungsunfähig werden, wenn Beschäftigte Respektbezeugungen auslassen.
• Beschäftigte können sich beleidigt zurückziehen, weil die Führungskraft einen harschen Befehlston anschlägt.
• Beschäftigte können bei gefordertem selbständigem und entschlossenem Handeln überfordert sein, wenn sie im Normalbetrieb keinerlei Entscheidungsautonomie haben.

In der Notfallsituation kann unterschiedliches Führungsverhalten erfolgreich sein: sowohl eigenverantwortliches als auch ein anweisungsgebundenes Handeln der Beschäftigten kann vorgegeben werden.

In kritischen Situationen wird von Führungskräften verlangt, den Überblick zu behalten und sich nicht in operative Details einzumischen, wie es beispielsweise "Patriarchen" gem. tun. Wie die Schwierigkeiten, die aus der Notfallsituation für entschlossenes systematisches Handeln erwachsen, aufzeigen, sollten dem Anlagenpersonal bereits im Vorfeld und zur Vorbereitung auf eventuelle Notfallsituationen Handlungsmuster und Verhaltensvorschläge an die Hand gegeben werden, um sich erfolgreich in Notfallsituationen zu verhalten. Beispiele hierfür sind in Kapitel 3.2 zu finden.

3.2 Verbesserung der Handlungskompetenz

Erfolgreiches Handeln in Notfallsituationen setzt einen systematischen Ablauf voraus, dessen einzelne Schritte in Trainings und Simulationen geübt werden können.

Die umseitige Abbildung 2 zeigt eine mögliche Schrittfolge.

Bei der Bewältigung von Notfallsituationen spielen nicht nur Kognitionen (z.B. Denken oder Wissen), sondern auch Emotionen (z.B. Angst) und Handlungsmotive (z.B. Eigenrettung) eine Rolle. Die meisten Trainings konzentrieren sich auf Wissensaufbau und Verhaltensübungen, so dass Emotionen und Motive ausgeblendet bleiben. Für eine erfolgreiche Bewältigung der Notfallsituation ist es aber auch wichtig, dass diese Situation zumindest teilweise erlebt und reflektiert wird, damit die Einzelnen auf ihre Reaktionen vorbereitet sind. Notfallsimulationen bieten diese Möglichkeit.

Auch während der Notfallsituation können Intransparenz, Dynamik und Unsicherheit der Situation ein Umschalten der Strategie erfordern, statt sich ggf. vorschnelles Handeln aufzwingen zu lassen. Wenn beispielsweise ein akuter Handlungsdruck besteht, ist zunächst eine Option zu wählen, die die Sicherheitslage verbessert und möglichst weitere Zeitreserven bringt (sogenannte noregret-Entscheidung). Dieses Umschalten kann am ehesten durch eine Person erfolgen, die sich gewissermaßen außerhalb des Geschehens und Handelns stellen kann (z.B. besondere/r Notfallmanager/in, Mitglied der Einsatzleitung, Betriebsleiter/in eines Nachbarbetriebes)

Insofern ist einer klugen Rollenzuweisung des Personals für die Notfallsituation besonderes Augenmerk zu schenken. Günstig erweist sich auch, wenn sich die beteiligten Personen aus der Zusammenarbeit kennen, da sie nur so geteiltes Wissen (Wissen über die Gruppenmitglieder wie Kompetenzen, Aufgabenverteilung, Verantwortlichkeiten, entsteht nur aus der Erfahrung der Zusammenarbeit) entwickeln konnten [10].

Abb. 2: Ablaufschritte für die Reaktion auf die Notfallsituation

In Notfallsituationen müssen in der Regel Entscheidungen unter hoher Unsicherheit und mit Zeitdruck getroffen werden. Fehlentscheidungen können katastrophale Folgen haben. Für Piloten und Pilotinnen wurde die FORDEC-Methode zur strukturierten Entscheidungsfindung in kritischen Situationen entwickelt, die analog für Gefahrensituationen in technischen Anlagen angewandt werden kann [11]. Entscheidungen sollen so robuster gegen vorschnelle - und damit gegebenenfalls unangemessene - Impulse und Gefühlseinflüsse werden.

Die Buchstaben FORDEC bezeichnen die einzelnen Schritte, die zur Entscheidungsfindung führen, und bedeuten im Einzelnen:

Tab. 2: FORDEC-Schritte

Die Vermittlung von erforderlichen Kompetenzen für Notfallsituationen soll in Trainingsmaßnahmen für die Beschäftigten erfolgen. Daher sollten Trainings für das Nicht-Planbare folgende Inhalte berücksichtigen [12]:

• Teambildung und Aufrechterhalten der Funktionsfähigkeit des Teams auch bei starkem Handlungsdruck und Misserfolgen.
• Verfahren für Entscheidungen unter Unsicherheit und Zeitdruck ( Anhang 1, Anlage 1).
• Führungsverhalten in der kritischen Situation, flexible Handhabung der Führungserfordernisse.
• Wissen um die typischen Fehler und Fallstricke beim Handeln unter Unbestimmtheit und Zeitnot wie eingeschränkte Hypothesenbildung, Vernachlässigen der Handlungskontrolle (siehe Kapitel 3.1).
• Wissen um die Mechanismen (und Fehlertendenzen) bei der Lagebeurteilung unter der Bedingung unzureichender und unzuverlässiger Informationen und Methoden des konstruktiven Umgangs mit informationeller Überlastung.
• Einsicht in die persönlichen Reaktionsmuster bei Stress und emotionaler Belastung sowie Stressreduktion.
• Methoden für die Entwicklung eines gemeinsamen Situationsverständnisses.

Das Ziel des Trainings von Anlagenpersonal sowie Führungskräften ist die Vorbereitung zur erfolgreichen Bewältigung von Notfallsituationen, damit die Beschäftigten und Teams einerseits belastbarer werden und so andererseits erfolgreicher reagieren.

Die in den Trainings vermittelten Inhalte sollten in Simulationen von Notfallsituationen verfestigt werden.

In Kapitel 6.3 werden beispielhaft verschiedene Trainingsmöglichkeiten genannt, die das richtige Verhalten zur Bewältigung von Notfallsituationen schulen. Der Leitfaden KAS-20 [1] enthält in Anhang II Beispiele für Lernzielkataloge zu oben genannten Inhalten.

4. Prozess zur Erlangung eines sicheren Anlagenbetriebs

Die bisher beschriebenen Elemente zum erfolgreichen Handeln in Notfallsituationen müssen in einem generellen Prozess zur Erreichung, Aufrechterhaltung und Verbesserung der Anlagensicherheit eines Betriebsbereiches eingebettet sein.

Ziel eines Unternehmensprozesses muss die systematische Verhinderung von Störfällen in einem kontinuierlichen Verbesserungsprozess sein.

Ein solcher Prozess folgt dem systematischen Managementkonzept des kontinuierlichen PLAN-DO-CHECK-ACT Kreisprozesses (PDCA Zyklus).

Der Prozess " Anlagensicherheit" beginnt in der Entwurf- bzw. Designphase schon vor Bau und Inbetriebnahme einer Anlage und endet nie.

Abb. 3: Prozess zur Erreichung, Aufrechterhaltung und Verbesserung der Anlagensicherheit (in Anlehnung an [13])

Sicheres Design ("PLAN") bedeutet, dass bereits in der Designphase festgelegt wird, was mit welchen chemischen oder physikalischen Verfahren in der Anlage produziert werden soll. Gleichzeitig werden alle Prozessparameter, die einzuhaltenden rechtlichen Rahmenbedingungen und die anzuwendenden Technischen Regeln (Stand der Technik und der Sicherheitstechnik) festgelegt (Technik und Organisation). Dies ist für alle Betriebsphasen erforderlich. Damit wird sichergestellt, dass die Anlage nach dem Stand der Technik und der Sicherheitstechnik gebaut und betrieben wird.

Dies geschieht in einem systematischen Prozess, in dem auch die Berücksichtigung und Realisierung aller Anforderungen an Umweltschutz, Arbeitssicherheit und Anlagensicherheit durch die Einschaltung der entsprechenden Expertinnen und Experten für Umweltschutz, Arbeitssicherheit und Anlagensicherheit von vorne herein sichergestellt wird. Dazu trägt auch die Beauftragtenorganisation bei. Diese sorgt dafür, dass Betriebsbeauftragte, befähigte Personen, andere Expertinnen und Experten sowie Sachverständige für ihre Fachgebiete sicherstellen, dass beim Design und bei der Auslegung von Anlagen und Anlagenteilen alle relevanten Regelungen bekannt sind und berücksichtigt werden. Hierzu werden auch industrie- und anlagenspezifische Normen und Standards und Best Practices als Knowhow Basis zur Verfügung gestellt.

Weiterer wesentlicher Schritt zur Erreichung eines sicheren Designs sind Gefahren-, Gefährdungs- und Auslegungsanalysen (z.B. FMEA ², HAZOP ³/PAAG ⁴, usw.), die bereits in der Auslegungsphase vor Inbetriebnahme durchgeführt werden, und die letztendlich alle störfallverhindernden und störfallbegrenzenden technischen und organisatorischen Maßnahmen festlegen. So legen sie auch die Einstufung der sicherheitsrelevanten Ausrüstungen fest. Die Umsetzung und Realisierung der Maßnahmen geschieht dann im Rahmen des Projektmanagement (siehe auch "Check" Schritt Sichere Technik)

Sichere Produktion ("DO") bedeutet die Umsetzung aller zuvor festgelegten Standards unter Einhaltung aller Vorgaben. Dies gilt sowohl beim kontinuierlichen Betrieb der Anlagen als auch bei An- oder Abfahren, sowohl bei Normalbetrieb, als auch bei Störungen. Es wird sichergestellt, dass die Produktion unter beherrschten und kontrollierten Bedingungen abläuft und auch etwaige Störungen beherrscht werden. Hier sind für die Produktion notwendige Vorgaben zu machen und zu dokumentieren.

Vorgaben müssen z.B. gemacht werden zum:

• Umgang mit Risiken,
• An- und Abfahren und Normalbetrieb von Anlagen,

Verhalten bei Abweichungen und Störungen,

• Melden und Untersuchen von Ereignissen und Unfällen,
• Verhalten bei Störfällen (siehe Notfallplan) und Notfallsituationen.

Sichere Technik ("CHECK") bedeutet, dass alle Produktions anlagen regelmäßig Instand gehalten werden. Dazu werden die Anlagen nach den Regeln der Technik und der Sicherheitstechnik und den Auflagen über die regelmäßigen wiederkehrenden Prüfungen, Inspektionen und Instandhaltungsmaßnahmen unterzogen. Es wird sichergestellt, dass die Instandhaltung der Anlagen so erfolgt, dass der Stand von Technik und Sicherheitstechnik überwacht und aufrechterhalten wird. Sichere Technik wird sichergestellt durch dokumentierte Vorgaben zur Durchführung von Projekten und Instandhaltung.

Sichere Organisation ("CHECK") bedeutet, dass sichergestellt wird, dass auch die Organisation regelmäßig überprüft wird. Außerdem muss nachgewiesen werden, dass die Organisation für die ihr gestellten Aufgaben geeignet, zweckmäßig und effizient ist. So wird geprüft, ob die Organisation auch auf neue Aufgaben und Herausforderungen vorbereitet wird. Sichere Organisation bedeutet, dass notwendige Vorgaben in den entsprechenden Dokumenten und Anweisungen im Rahmen des Sicherheitsmanagementsystems (SMS) dokumentiert sind. Die Überprüfung des SMS auf Aktualität, Richtigkeit und Einhaltung erfolgt durch die verschiedenen Audits und Reviews.

Im Rahmen von Sicherer Technik und Sicherer Organisation geht es auch um das Lernen aus Fehlern. Hierzu sind verschiedene Prozesse zu etablieren, so dass sichergestellt ist, dass Fehler erkannt und gemeldet, sie nicht wiederholt, sondern korrigiert und in Zukunft vermieden werden.

Sichere Änderungen (auch "Management of Change", MoC) ("ACT") bedeutet, dass eine Produktions anlage und die zugehörige Organisation ständig parallel zur Weiterentwicklung des Standes der Technik und der Sicherheitstechnik verbessert, oder entsprechend geänderten, produktionstechnischen oder gesellschaftlichen oder wirtschaftlichen Notwendigkeiten angepasst wird. Solche Änderungen müssen einem kontrollierten Prozess unterliegen (Systematisches Änderungsmanagement; "Management of Change"). In der Regel sind dazu Änderungen an der bestehenden Technik oder Organisation notwendig. Solche Änderungen müssen unter beherrschten und kontrollierten Bedingungen (siehe auch Sicheres Design und Sichere Technik und Sichere Organisation) ablaufen, um unsichere Situationen und Zustände zu vermeiden.

Die hierzu notwendigen Vorgaben sind vor allem im Rahmen der Regelungen zum "Management of Change" und Vorgaben zur Durchführung von Reparaturen und Änderungen festzulegen. Außerdem muss bei der Durchführung der Arbeiten vor Ort ein striktes Freigabeverfahren ("Permit to Work") angewendet werden.

5. Anforderungen an die Technik

5.1 Sicherheitsgerichtetes Anlagendesign

Die störfallverhindernden und auswirkungsbegrenzenden Maßnahmen zur Anlagensicherheit müssen in einem systematischen Prozess festgelegt, umgesetzt, überprüft und ständig verbessert werden. Dazu sollte ein Prozess, wie beispielhaft in Kapitel 4 dargestellt, im Unternehmen etabliert sein und regelmäßig durchgeführt werden.

Die Festlegung von sicherheitstechnischen und organisatorischen Maßnahmen erfolgt durch die Umsetzung von Stand der Technik und Stand der Sicherheitstechnik und im Rahmen von Gefahrenanalysen wie FMEA, HAZOP / PAAG, Fehlerbaumanalyse, Checklistenverfahren. Angestrebt werden sollte eine weitgehend eigensichere Auslegung und Prozessführung der Anlagen eines Betriebsbereiches nach dem Prinzip der Inhärenten Sicherheit:

Inhärente Sicherheit ist ein Prinzip, das im Rahmen eines systematischen Risikomanagements in allen Phasen von Design, Bau, Betrieb, Instandhaltung und Änderungen von Betriebsbereichen angewendet werden sollte. Die wesentlichen Prinzipien und Strategien von Inhärenter Sicherheit sind hier stichwortartig zusammengefasst [14]:

• Substitution (Substitution)
  Gefährliche Substanzen werden durch weniger gefährliche ersetzt.
• Minimierung (Intensification)
  Die Menge gefährlicher Substanzen in allen Anlagenteilen wird soweit wie möglich reduziert.
• Verminderung (Attenuation)
  Gefährliche Substanzen werden unter möglichst einfachen Rahmenbedingungen bearbeitet.
• Begrenzung (Limitation)
  Prozessdesign und Prozessbedingungen werden so geändert, dass ein eventueller Störfall weniger gravierende Auswirkungen hätte.
• Vereinfachung (Simplification)
  Prozessdesign und Prozessbedingungen werden möglichst so vereinfacht, dass daraus resultierende Fehler möglichst vermieden werden.

Da eine eigensichere Prozessführung in der Regel nicht vollständig möglich ist, resultieren letztendlich aus der spezifischen Gefahrenanalyse in einem Betriebsbereich auch die spezifischen, sicherheitstechnischen Maßnahmen. Prinzipielle Überlegungen und Prinzipen sind dabei zu berücksichtigen und angepasst auf die realen Verhältnisse im jeweiligen Betriebsbereich anzuwenden. Typische sicherheitstechnische Überlegungen und Prinzipien sind:

Schutz gegen einzelne Fehler und Ausfälle: Redundanzprinzip

Redundanz bedeutet, dass technische Sicherheitseinrichtungen aus mehreren gleichen und voneinander unabhängigen Teilsystemen bzw. Komponenten bestehen und davon mehr installiert sind, als zur Ausführung der Sicherheitsfunktion benötigt werden (z.B. zwei statt einer Pumpe). Damit wird gewährleistet, dass auch bei einem unterstellten Ausfall einzelner Komponenten die verbleibenden die Sicherheitsfunktion mit ausreichender Wirksamkeit ausführen können.

Damit die Funktionsfähigkeit der Sicherheitseinrichtungen nicht von einem zufälligen Versagen eines beliebigen einzelnen Systemteils abhängt, findet bei der Auslegung von Sicherheitseinrichtungen das Einzelfehlerkonzept (das heißt die Annahme, dass eine Sicherheitseinrichtung ausfallen kann) Anwendung.

• Ein Einzelfehler liegt vor, wenn ein Systemteil der Sicherheitseinrichtungen seine Funktion bei Anforderung (auch probability failure on demand, PFD) nicht erfüllt.
• Einzelfehler an aktiven Einrichtungen sind grundsätzlich ohne Einschränkungen in den Sicherheitseinrichtungen des Anwendungsbereiches zu unterstellen. Aktive Systemteile sind z.B. Pumpen, Ventile, Messumformer, Signalgeber.
• Die Unterstellung von Einzelfehlern an passiven Sicherheitseinrichtungen führt letztendlich zu einer Entmaschung redundanter Systemteile. Dies ist nicht zu unterstellen, wenn nachgewiesen ist, dass Auslegung und Fertigung so erfolgten, dass die Systemteile mit hinreichenden Reserven gegen alle Anforderungsfälle ausgelegt sind. Passive Systemteile sind z.B. Rohrleitungen, Behälter, geschlossene Rückschlagklappen.

Schutz gegen systematische Fehler und gemeinsam verursachte Ausfälle: Diversitätsprinzip

Diversität bedeutet, dass unterschiedliche Wirkungsprinzipien und Konstruktionen zum Einsatz kommen, damit im Anforderungsfall nicht alle redundanten Einrichtungen eines Sicherheitssystems aufgrund einer gemeinsamen Fehlerursache versagen (z.B. Auslösung einer Sicherheitsfunktion durch physikalisch unterschiedliche Grenzwerte, z.B. Temperatur oder Druck).

Schutz gegen übergreifende Fehler: Räumliche Trennung, baulicher Schutz, Entkopplung

• Durch räumliche Trennung redundanter Sicherheitseinrichtungen oder durch bauliche Schutzmaßnahmen wird Vorsorge getroffen, dass z.B. bei Brand oder Überflutung ausreichend viele Teilsysteme funktionsfähig bleiben.
• Durch Entkopplung der elektrischen Sicherheitseinrichtungen untereinander wird erreicht, dass selbst bei Überspannungen nach Kurzschluss oder Blitzschlag keine Folgeschäden auftreten oder ausreichend viele redundante elektrische Teilsysteme funktionsfähig bleiben. Eine konsequente Trennung von Betriebs- und Sicherheitssystemen verhindert, dass sich Fehler in den Betriebssystemen negativ auf die Funktion der Sicherheitssysteme auswirken können.

Schutz gegen den Ausfall von Hilfsenergie: sicherheitsgerichtetes Ausfallverhalten ("Fail-Safe-Prinzip")

Bei einer Konstruktion nach diesem Prinzip führen Fehler selbsttätig zu Schutzaktionen. Bei einem Stromausfall fallen z.B. Fail-Safe-Armaturen in einen vorab definierten sicheren Zustand, z.B. AUF oder ZU.

Schutz gegen Fehlhandlungen: Automatisierung

Um zu vermeiden, dass das Betriebspersonal unter zu großem Zeitdruck zu viele Entscheidungen treffen muss, können Maßnahmen zur Beherrschung von kritischen oder Notfallsituationen automatisiert werden, so dass für bestimmte, vorgedachte Situationen keine weiteren Eingriffe des Betriebspersonals mehr nötig sind, z.B. automatische Abschaltung bei einer zu hohen Reaktortemperatur.

Für weitere Hinweise und Informationen wird auf den SFK-Leitfaden GS-33 "Schritte zur Ermittlung des Standes der Sicherheitstechnik" [15] hingewiesen.

5.2 Anlagensteuerung und Alarmmanagement

Zur Beherrschung von allen Betriebszuständen, insbesondere zur Vermeidung und Bewältigung von Notfallsituationen, sind bei der Gestaltung der Anlagen und der Mensch-Maschine-Schnittstelle die ergonomischen Grundsätze nach DIN EN ISO 26800 [16], 6385 [17], 11064 [18] und 10075-2 [19] zu beachten und nach DIN EN ISO 9241 [20] zur Dialoggestaltung folgende Kriterien zu berücksichtigen:

• Aufgabenangemessenheit: Anlagenpersonal wird unterstützt, seine Arbeitsaufgabe effizient zu erledigen d. h. keine unnötigen Informationen, Hervorheben von wichtigen Informationen, Anpassen der Ein- und Ausgabe, unnötige Dialogschritte vermeiden etc. Zum schnellen Erkennen von Abweichungen zum Sollzustand des Prozesses und Entscheiden von nachfolgenden Handlungsschritten sollten die sicherheitsrelevanten Prozessgrößen aufgabenangemessen hervorgehoben dargestellt und deren (ggf. auch prognostischen) Trendverläufe gut erkennbar sein ( Anhang 1, Anlage 2).
• Selbstbeschreibungsfähigkeit: Jeder Dialogschritt ist durch Rückmeldung unmittelbar verständlich. Das Anlagenpersonal weiß, in welchem Dialog und an welcher Stelle es sich befindet, welche Handlungen es unternehmen und wie es sie ausführen kann. Zur Selbstbeschreibungsfähigkeit ist eine transparente Darstellung von Prozessgrößen und Prozessebenen vorzusehen z.B. durch:
  • Eindeutige Zuordnung von Anlagenkomponenten, Bedienelementen und Anschlüssen (einschließlich redundanter Kodierung in der Anlage vor Ort), insbesondere bei parallel geschalteten Komponenten
  • Möglichkeit zum Einholen von weiteren Informationen zur Zuordnung und ggf. Korrektur der Ansteuerungen
  • Systemrückmeldungen nach Eingaben, Prozessschritten etc.
• Erwartungskonformität: Der Dialog ist konsistent und entspricht den Merkmalen bzw. Erwartungen des Anlagenpersonals. Entsprechend der Erwartungskonformität ist auf eine konsistente Dialogführung bei der Prozessführung und während Betriebsstörungen zu achten - ohne Unterschiede zu überdecken. Redundante Messinstrumente mit unterschiedlichen Skalen und Ausgabeeinheiten (auch bei Instrumenten vor Ort) sind zu vermeiden.
• Steuerbarkeit: Das Anlagenpersonal ist in der Lage, einen Dialog zu starten sowie Richtung und Geschwindigkeit zu beeinflussen (Unterbrechen des Dialogs, Wechseln der Anwendung etc.).
• Fehlertoleranz: Das beabsichtigte Arbeitsergebnis kann trotz fehlerhafter Eingaben entweder mit keinem oder geringem Korrekturaufwand durch das Anlagenpersonal erreicht werden. Generell sollte die Anlage fehlertolerant ausgelegt werden beispielsweise durch eindeutige Fehlermeldungen und Korrekturmöglichkeiten.

Zur weiteren Unterstützung des Anlagenpersonals in der Notfallsituation sind insbesondere folgende Punkte zu berücksichtigen:

• Routinevorgänge automatisieren,
• Identifizierung von Systemfehlern ermöglichen und unterstützen,
• Entscheidungs- und Auswahlhilfen bereitstellen.

Zur ergonomischen Gestaltung von Leitwarten finden sich ausführliche Empfehlungen in z.B. [21].

Generell sollte die Gestaltung der Alarmsysteme so vorgenommen werden, dass jeder Alarm das Personal warnt, informiert und leitet. Dafür ist es notwendig, dass jeder einzelne Alarm eindeutig die aufgetretene Situation identifiziert und eine konsistente Nachrichtenstruktur enthält, Fehlalarme selten auftreten, das Personal nicht belastet wird (bekannte Begriffe, konsistente Abkürzungen aus Betriebsunterlagen, kein Auswendiglernen, kein Alarmschwall, ausreichende Reaktionszeit), es eine einfache und vorgeschriebene Bedienerreaktion für jeden einzelnen Alarm gibt und das Bedienpersonal entsprechend ausgebildet ist [22], [23], [24].

Um dies zu erreichen, haben sich die folgenden Vorgehensweisen bewährt:

• Alarmgruppierung
• Filterung bei der Alarmgenerierung hinsichtlich der Alarmverarbeitung (maximale Alarmrate, Festlegung einer Bearbeitungsreihenfolge der Alarme)
• Erstwertmeldung und Folgealarmunterdrückung
• Alarmpriorisierung nach den Kriterien a) potenzielle Auswirkungen und b) zur Verfügung stehende Zeitspanne, um eingreifen zu können (5 % hohe Priorität, 15 % mittlere und 80 % niedrige; farbliche oder akustische Kennzeichnung der Alarmpriorität)
• Alarmdarstellung (farblich, blinkend, akustisch, konsistent, nach Priorität)
• situationsbedingte Alarmunterdrückung, z.B. während des Anfahrens einer Anlage.

Zur Überprüfung der Optimierungsmöglichkeiten des Alarmsystems sind im Anhang 1, Anlage 3 Fragen aufgeführt.

6. Anforderungen an die Organisation

6.1 Aspekte einer Sicherheitskultur

Die Kultur des Unternehmens spielt auch bei der Bewältigung von Notfallsituationen eine wichtige Rolle. Wie einzelne Beschäftigte in der Notfallsituation reagieren, hängt auch von der Sicherheitskultur des Unternehmens ab. Eine hinterfragende Grundhaltung der Beschäftigten und eine entsprechend konservative Entscheidungsfindung in Sicherheitsfragen werden stark von dem Vorbild der Führungskräfte geprägt. Die Wahrscheinlichkeit steigt, dass die Beschäftigten auch in der Notfallsituation angemessen reagieren, wenn die Führungskräfte als Vorbild agieren. Sie sollen z.B. vereinfachende Erklärungen ablehnen bzw. hinterfragen und auch kleinere Abweichungen von Regeln oder Prozessen ernstnehmen. Der Fokus auf kleinere Abweichungen kann ebenfalls dazu führen, dass "Vorboten" von Notfallsituationen als solche erkannt werden und die Organisation wirkungsvoll gegensteuern kann [25].

Die Beschäftigung mit Fehlern im Sinne einer Fehlerkultur, d. h. keine Suche von Schuldigen sondern Ursachenklärung und Lernen, stellt eine wesentliche Voraussetzung für eine "Lernende Organisation" dar. Systematisierte Meldungen von Fehlern, Abweichungen und Beinahe-Ereignissen beispielsweise in internen Berichtssystemen sowie deren Analyse im Hinblick auf zugrundeliegende Ursachen helfen potenzielle Schwachstellen zu identifizieren und Gegenmaßnahmen zu entwickeln. Durch ein solches Vorgehen wird die Fähigkeit einer Organisation verbessert, die Situation schnell und zutreffend zu analysieren und auf Veränderungen zu reagieren.

Positive Sicherheitskultur ist durch einen wertschätzenden Umgang miteinander gekennzeichnet, der auf offener Kommunikation und Einbeziehung aller aufbaut und somit Ausgrenzungen einzelner Beschäftigter vermeidet. Offene Kommunikation bedeutet auch, dass jeder einzelne Beschäftigte mit Sorgen oder Fragen zu den Vorgesetzten oder Kollegen gehen kann, ohne Sanktionen fürchten zu müssen, und in seinem Anliegen ernst genommen wird.

6.2 Aspekte einer sicherheitsgerichteten Organisation

Damit sich Beschäftigte in Notfallsituationen entsprechend verhalten können (Kap. 2) und die in Kap. 4 und 5 beschriebenen Prozesse reibungslos ablaufen, muss die Organisation über angemessene Organisationsprinzipien verfügen. Diese beinhalten die zweckmäßige Gestaltung von z.B. Organisationsstruktur, Kongruenz von Aufgabe, Kompetenz und Verantwortung sowie Leitungsspanne. Die Organisationsstruktur umfasst die Aufbau- und Ablauforganisation. Organisationale Merkmale, durch die die Organisation robust für Notfallsituationen wird, helfen der Organisation ebenfalls, Notfallsituationen zu vermeiden, besser zu bewältigen bzw. schneller zur Normalsituation zurückzukehren.

Hier ist zunächst die Ausgewogenheit zwischen Kompetenzen und Befugnissen einerseits und
Aufgaben und Verantwortung andererseits zu nennen. Das bedeutet beispielsweise, dass Beschäftigte ohne Befugnisse nicht verantwortlich für Entscheidungen sind bzw. gemacht werden können.

Auch die Leitungs- oder Führungsspanne, d. h. die Zahl der einer Führungskraft untergeordneten Beschäftigten spielt eine wichtige Rolle und soll von der Organisation sinnvoll festgelegt werden. Die Führungsspanne wird z.B. durch folgende Faktoren beeinflusst:

• Komplexität der Aufgaben
• Interdependenz (wechselseitige Abhängigkeit) der Aufgaben
• Gleichartigkeit der Aufgaben
• Technologie
• Kommunikationssystem
• Qualifikation der Führungskräfte
• Qualifikation der untergeordneten Beschäftigten
• Komplexität und Hierarchieaufbau des Unternehmens [26], [27]

Wichtig ist ebenfalls, dass die Organisation ihre Ziele ausbalanciert, so dass nicht aufgrund von Produktionsdruck Sicherheit nebensächlich wird. Es ist zu vermeiden, dass in Managementsystembeschreibungen die Bedeutung von Sicherheitszielen betont, im Alltag jedoch nur Indikatoren für wirtschaftliche Ziele erhoben werden. Auch in die Leistungsbewertung müssen beide Ziele einfließen, so dass die Ausbalancierung der Ziele ermöglicht wird [28], [29], [8].

Die Organisation muss sich auf eine mögliche Notfallsituation vorbereiten. Dazu gehört eine Planung für die Notfallsituation. Mit dieser sollen Organisations- und Aufgabenverteilung eindeutig festgeschrieben sowie klare Regeln für Handlungen und Verhalten gegeben werden.

Auch das Aufstellen von Entscheidungsregeln sowie die Festlegung von Entscheidungskompetenzen in Notfallsituationen sollte geplant werden (Beispielhaft kann hier FORDEC [11], Kap. 3.2 angeführt werden).

Zur Vorbereitung auf Notfallsituationen sind die vorhandenen Ausrüstungsgegenstände und Hilfsmittel einer kritischen Betrachtung zu unterziehen. Da die Notfallsituation in der Regel von den Beteiligten als Stress erlebt wird (s. Kap. 2.2), sollten alle Aspekte, die zusätzliche mentale Kapazitäten erfordern, minimiert werden. Dafür ist eine ergonomische Gestaltung von Anzeigen wichtig, z.B. sollten die wichtigsten Parameter in entsprechender Größe und Farbe hervorgehoben werden (s. Kap. 5) oder beispielsweise Schlauchanschlüsse farbig gekennzeichnet werden. Im Anhang 1, Anlage 4 sind Beispiele für eine besonders gelungene Gestaltung dargestellt.

Arbeitsanweisungen sollen folgende Anforderungen erfüllen [30]:

• Informationen sollen nach ihrer Art wie Anforderungen, Arbeitsschritte etc. gruppiert werden.
• Die notwendigen Handlungsschritte sollen in kurzen, nummerierten Aufzählungen entsprechend ihres auszuführenden Ablaufs dargestellt sein, z.B. 1: Öffnen des Ventils xy, 2: Öffnen des Ventils yz und nicht 1: Öffnen des Ventils yz nachdem Ventil xy geöffnet wurde.
• Ein Handlungsschritt soll mit einem Verb beginnen und es soll nur einer pro Schritt genannt werden. Handlungsschritte müssen präzise und eindeutig genannt werden, Formulierungen wie annähernd oder geeignet sollen vermieden werden.
• Das Personal soll keine mentalen Rechenoperationen wie Kopfrechnen oder wie schriftliches Addieren vollziehen müssen.
• Warnungen oder Sicherheitsanforderungen sollen hervorgehoben werden.
• Der Text soll durch klare Überschriften strukturiert werden.
• Die Verwendung von Passiv oder doppelten Verneinungen soll vermieden werden.
• Der Sprachgebrauch soll konsistent, an den Anwender angepasst sein. Wenn Abkürzungen oder spezifische technische Begriffe genannt werden, müssen sie erklärt und in allen Unterlagen konsistent verwendet werden.

Das Abarbeiten von Arbeitsschritten kann ggf. durch Checklisten erleichtert werden, die entsprechend vorbereitet werden sollen (s. Anhang 1, Anlage 5). Anweisungen für den Notfall sollten kurz, präzise und einfach verständlich sein sowie sich auf das Wesentliche beschränken. Hilfreich ist es, solche für typische Ausfallszenarien (u.a. von Strom und Kühlung) auch in Papierform griffbereit zu haben.

Bei der Planung ist auch zu berücksichtigen, ob in der Notfallsituation ggf. verschiedene Aufgaben von mehreren Personen gleichzeitig durchgeführt werden sollen. Ist dies der Fall, müssen die Arbeitsanweisungen mindestens in entsprechender Anzahl vorhanden sein. Weiterhin ist zu prüfen, ob einzelne Handlungsschritte an entfernten Orten durchgeführt werden müssen, auch dort sollten dann Anweisungen vorhanden sein, bzw. die entsprechenden Seiten als "Mitnahmeexemplar" gestaltet werden. Sollen Hilfsmittel, Komponenten oder Anlagenteile verwendet werden, die nicht täglich gebraucht werden, sind Abbildungen in den Anweisungen eine geeignete Gedächtnisstütze für die Handelnden.

Als absolut notwendig hat sich das Vorhalten von aktuellen Telefonlisten, Melde- und Alarmierungslisten erwiesen (s. Anhang 1, Anlage 6).

6.3 Notfallmanagement Technische Einsatzleitung, Krisenstab

Im Folgenden werden verschiedene Aspekte und Besonderheiten der Notfallorganisation anhand von Beispielen aus größeren chemischen Betrieben beschrieben.

Für KMU gelten aber entsprechende Anforderungen und sollten in angemessener Weise umgesetzt werden. So erscheint es z.B. als gute Praxis, dass Betriebe, die nicht über entsprechende eigene Ressourcen verfügen, sich mit den entsprechenden externen Kräften (z.B. Behörden, Feuerwehren, Katastrophenschutzbehörden, usw.) zusammensetzen und für eventuelle Notfälle ein gemeinsames Vorgehen im Sinne des hier beschriebenen vereinbaren (siehe auch VCI-Leitfaden [31], Musterkonzept für die Notfallplanung, LANUV NRW [32]).

Strukturelle Aspekte

Zur Umsetzung der entsprechenden gesetzlichen Regelungen (u.a. StörfallV) und zur Vorbereitung auf eventuelle Notfallsituationen wird empfohlen, folgenden Aufgaben spezifisch benannten Stellen in der Organisation zuzuweisen, präventiv zu üben und zu überprüfen. Diese sollten auch im Rahmen eines Notfallmanagements dokumentiert und im Ereignisfall abgearbeitet werden:

• Konzeptionelle und redaktionelle Bearbeitung von Alarm- und Gefahrenabwehrplänen (AGAP),
• Erstellen und Fortschreiben der für die Standortsituation notwendigen praktischen und juristischen Regelungen,
• Umsetzung geänderter gesetzlicher Rahmenbedingungen für den Standort,
• Organisation und Betreuung der Störungszentrale, Aufbau eines Krisenstabes,
• Organisation der bereichs- oder gesellschaftsübergreifenden Standortbereitschaften,
• Koordination des Vorgehens aller Beteiligten bei Schadensbewältigungen und Sicherstellung einer geordneten Kommunikation mit Behörden, Nachbarschaft und Presse,
• Aufarbeitung der Ereignisursachen.

Dazu sind auf betrieblicher und behördlicher Seite Organisationseinheiten (Stäbe) einzurichten. Sie setzen sich i.d.R. aus einer operativen ("technischen") Einsatzleitung (TEL) und einem administrativorganisatorischen Stab (Krisenstab) zusammen. Diese Stäbe sind eine besondere Organisationsform, die keine ständigen Einrichtungen sind und ereignisabhängig für einen begrenzten Zeitraum nach einem vorbestimmten Organisationsplan gebildet und besetzt werden.

Die Technische Einsatzleitung leitet und verantwortet die Maßnahmen der operativen Gefahrenabwehr und wird durch die Werk- oder die öffentliche Feuerwehr gestellt. Sie ist für die unmittelbaren Maßnahmen am Einsatzort und die Kommunikation zu externen Gefahrenabwehrorganisationen sowie zum Krisenstab verantwortlich.

Mitglieder der technischen Einsatzleitung sind Führungskräfte der internen Gefahrenabwehrorganisation, d. h. zum Beispiel der Werkfeuerwehr und der Werksicherheit. In Betrieben, die nicht über eine Werkfeuerwehr verfügen, liegt die Führung der Technischen Einsatzleitung bei der für die Gefahrenabwehr zuständigen Behörde. In Katastrophenfällen gilt dies auch bei Unternehmen mit eigener Werkfeuerwehr.

Unabhängig von der Verfügbarkeit einer Werkfeuerwehr sollten Betrieb und Behörde jeweils einen Krisenstab einrichten. Den Krisenstäben des Betriebes obliegt die Koordination unterstützender Maßnahmen für die Gefahrenabwehr, sie verantworten die Kommunikation nach innen und außen und vertreten das Unternehmen gegenüber Behörden und Öffentlichkeit. Sie werden von Personen mit Schlüsselqualifikationen (siehe unten) besetzt, unter der Leitung einer verantwortlichen Person mit Führungserfahrung, um auch unter Druck schnelle Entscheidungen treffen zu können.

Ein typischer Stab setzt sich zusammen aus Werksleiter oder Werksleiterin, Ereignismanager oder Ereignismanagerin sowie Personen aus den Funktionsbereichen Kommunikations- und Öffentlichkeitsarbeit, Gesundheit, Sicherheit und Umwelt.

Außerdem ist eine Vertretung des betroffenen Bereiches hinzuzuziehen, die Aussagen zu den Anlagen und Stoffen treffen kann.

Alle diese Funktionen sind in einer kontinuierlichen 24/7-Bereitschaft vorzuhalten.

Die Unternehmensleitung (zum Beispiel CEO ⁵) sollte auf keinen Fall die Führung des Krisenstabes übernehmen. Ihre Aufgabe liegt eher in der Bewältigung der verschiedenen Schnittstellen zu den Stakeholdern (zum Beispiel Kunden, Öffentlichkeit).

Die Befugnisse eines Krisenstabes im Ereignisfall sind in einer Vereinbarung mit den produzierenden Bereichen zu regeln:

• Zutrittsrechte, "Schlüsselgewalt" (wird zum Beispiel über den Werkschutz ausgeübt).
• Befugnis zur Lastveränderung / Abstellung von Produktions anlagen.
• Recht, bei Ereignissen im Rahmen des Stoff- und Energieverbundes Kürzungen vorzunehmen.
• Weisungsbefugnis gegenüber Mitgliedern anderer Bereiche oder Gesellschaften.
• Erlaubnis, erste Sachverhalte über betroffene Bereiche möglichst abgestimmt im Rahmen der Gefahrenabwehr an Behörden und Öffentlichkeit weiterzugeben.

Des Weiteren sind folgende Regeln für die Gestaltung von Krisenstäben einzuhalten [33]:

• Krisenstäbe agieren zurückgezogen, vorzugsweise in einer nicht öffentlich zugänglichen Einsatzzentrale, nicht aber vor Ort.
• Der Krisenstab ist ein Beratungs- und Koordinierungsgremium, das im Fall einer Krise die Führung der Notfall- und Krisenorganisation übernimmt sowie Entscheidungen eines Funktionsträgers vorbereitet und unterstützt.
• Der Krisenstab hat eine klar strukturierte und hierarchisch aufgebaute Organisationsform (ähnlich wie beim Militär). Die Mitglieder sollen Funktionen übernehmen, die sie im Normalbetrieb haben, allerdings muss jedes Mitglied bereit sein, auch andere Aufgaben zu übernehmen. Im Krisenstab sollen auch Mitglieder vertreten sein, die erfahren im Umgang mit Behörden, Presse und der Öffentlichkeit sind.

In der umseitigen Tabelle 3 sind die typischen, zum Teil auch parallel zu bewältigenden Aufgaben des Krisenstabs dargestellt.

Entscheidend sind Festlegungen über die personelle Besetzung des Krisenstabs, der Krisenstabsräume, der Prozesse und der Kommunikationstechnik. Daher sind schriftliche Funktionsbeschreibungen mit Aufgaben, Verantwortlichkeiten, Kompetenzen und Schnittstellen notwendig. Es ist darauf zu achten, dass konkurrierende Doppelaufgaben vermieden werden.

Der Krisenstab kann und soll externe Unterstützung für folgende Aufgaben einholen, falls diese notwendig sind und nicht im Unternehmen geleistet werden können:

• Psychologische Betreuung von Beteiligten und Betroffenen,
• Betrieb eines Call-centers für die Öffentlichkeit,
• Daten-Management,
• Logistik, Transporte, Unterkunft,
• Kommunikation.

Tab. 3: Typische Aufgaben des Krisenstabs

In komplexen Werken oder Chemieparks benötigt der Krisenstab für die Erfüllung seiner Aufgaben Informationen aus den Betrieben:

Angaben über Stoffe und Produkte z.B. aus:

• Sicherheitsdatenblättern in der neuesten Fassung,
• Kurzbewertungen (s. Anhang 1, Anlage 7)
• Zur Ereignisbewältigung benötigte Informationen zur baulichen und verfahrenstechnischen Änderung von Anlagen und Gebäuden sowie Änderungen der Brand- und Gefahrenmelde anlagen, Löschanlagen etc.,
• Zugangs- und Zutrittsveränderungen (Schranken, Tore, Zäune, Schlüsselsysteme),
• Personallisten.

Es ist ein Krisenstabsraum einzurichten, der mit der geeigneten Technik für das Krisenmanagement ausgestattet ist. Hier ist zu überlegen, welche Technik, z.B. Kommunikationsmittel, redundant ausgelegt sein soll und für welche eine Notstromversorgung zu planen ist. Es ist dafür zu sorgen, dass die Technik regelmäßig geprüft und ggf. Instand gehalten wird. Die Verwendung der technischen Hilfsmittel sollte geschult werden. Die Schnittstellen zu anderen Organisationen / Stäben sind zu planen und geeignetes Personal ist vorzuhalten.

Mitglieder von Krisenstäben müssen über die individuellen Kompetenzen:

• Kommunikationskompetenz,
• Kritikfähigkeit, Kooperativität und Vertrauen,
• Entscheidungsfähigkeit,
• Problemlösekompetenz,
• Ressourcen und Grenzen der eigenen Person kennen,
• unter emotionaler Belastung arbeiten

sowie über organisatorisch strategische Fähigkeiten verfügen:

• Informationsverarbeitung und -integration,
• Definition von Handlungsschwerpunkten,
• Strukturen und Mechanismen der Zusammenarbeit,
• Methoden der Entscheidungsfindung,
• flexible Anpassung an die Umstände, d. h. Mitglieder von Krisenstäben müssen über vertiefte Kompetenzen verfügen (vgl. Tabelle 1 des Leitfadens KAS- 20 "Kompetenzen bezüglich menschlicher Faktoren im Rahmen der Anlagensicherheit" [1]).

Führungskräfte müssen flexibel führen, beispielsweise während einer sehr dynamischen Lage direktiv, aber in Vor- und Nachbereitung offen und integrativ.

Mitglieder von Krisenstäben sollen daher Personen sein, die die oben genannten Kompetenzen aufweisen, eine langjährige belastungserprobte Erfahrung im Umgang mit Ereignissen, mit komplexen Fragestellungen, mit interdisziplinär zusammengesetzten Teams und im Umgang mit Behörden- und Pressevertretern haben. Sie sollten sich im Regelwerk im Bereich Umweltschutz, Sicherheit, Gesundheit und Qualität auskennen (zum Beispiel Meldeverpflichtungen nach Störfall-Verordnung oder Betriebssicherheitsverordnung).

Schulung

Da sich die Notfallsituation grundlegend von der Normalsituation unterscheidet (s. Kap. 2.2) und fehlende Vorbereitung zu Fehlern und Scheitern führen kann, wie im Kap. 3.2 dargestellt wurde, sollten regelmäßige Schulungen durchgeführt werden. Auch Übungen im Sinne von Simulationen sollten in regelmäßigen Abständen trainiert werden. Beispielsweise können folgende Übungen abwechselnd durchgeführt werden [33], [34], [12]:

• Alarmierungsübungen,
• Training zur Steigerung der Nachrichtenklarheit,
• Planbesprechung/Planübung,
• Stabsübungen,
• Krisenstabstraining,
• Stabsrahmenübungen,
• Strategische Krisenmanagementübungen,
• Übungen für Teilfunktionen,
• Vollübungen / Simulationen.

Sehr aktuell ist die Nutzung von virtueller Realität für Unfallsimulatoren, die in Verbindung mit dem Simulator des Prozessleitsystems auch für das Notfalltraining von Anlagenpersonal genutzt werden können [35], [36]. Außerdem hat es sich als äußerst hilfreich erwiesen, mit den Mitgliedern von Krisenstäben Medientrainings durchzuführen. Diese Trainings werden kommerziell angeboten.

Neben der Schulung / Übung an sich ist deren kritische Begleitung und Bewertung ebenso wichtig. Nur aus dieser kann gelernt werden, was verbessert werden muss, wo Schwierigkeiten liegen, welche Schnittstellen nicht ausreichend geplant waren etc. Nur durch ein kontinuierliches Lernen aus diesen Erfahrungen ist das Unternehmen für den Ernstfall vorbereitet.

Auch kleinen und mittleren Betrieben wird empfohlen, mit örtlichen Feuerwehren, Behörden und Polizei Übungen durchzuführen.

7. Sicherheitsmanagementsystem

Unternehmen, die als Betriebsbereich der Störfall-Verordnung unterliegen, müssen über ein Sicherheitsmanagementsystem (SMS) im Sinne der Störfall-Verordnung [2] verfügen. Die Anforderungen, welche ein SMS erfüllen muss, werden im Anhang III der Störfall-Verordnung beschrieben.

Die in den vorherigen Kapiteln dieses Leitfadens beschriebenen besonderen Anforderungen an Sicherheitstechnik und Sicherheitsorganisation zur Unterstützung von Anlagenpersonal in Notfallsituationen sind in die Struktur eines SMS einzubinden.

Die umseitige Tabelle gibt einen Anhaltspunkt dafür, in welchen Bereichen / Prozessen des SMS eines Betriebsbereiches sich diese Anforderungen wiederfinden könnten. Der Bereich / Prozess, in welchem sich Regelungen zu den Anforderungen der einzelnen Kapitel dieses Leitfadens am wahrscheinlichsten finden, ist mit einem vollen Punkt gekennzeichnet, die ungefüllten Punkte markieren weitere mögliche Prozesse. Die erste Zeile der Tabelle orientiert sich am KAS-19-Leitfaden "Überarbeitung und Zusammenführung der Leitfäden SFK-GS-23 und -24 zum Konzept zur Verhinderung von Störfällen und zum Sicherheitsmanagementsystem" (insbes. Anlage 3 des KAS-19-Leitfadens) [37].

Tab. 4: Zuordnung der Anforderungen des SMS zu den Kapiteln des Leitfadens

8. Literatur

[1] KAS-20 (2011). Leitfaden des Arbeitskreises Menschliche Faktoren. Kompetenzen bezüglich menschlicher Faktoren im Rahmen der Anlagensicherheit. (Betreiber, Behörden und Sachverständige). http://www.kasbmu.de/publikationen/kas/KAS20.pdf

[2] Zwölfte Verordnung zur Durchführung des Bundes-Immissionsschutzgesetzes (Störfall-Verordnung - 12. BImSchV); Fassung vom 08. Juni 2005 (BGBl. I S. 1598), die durch Artikel 1 der Verordnung vom 14. August 2013 (BGBl. I S. 3230) geändert worden ist.

[3] ASM Consortium Guidelines (2008). Effective Operator Display Design. Pepared by: ASM Joint R&D Consortium Peter Bullemer, Dal Vernon Reising, Catherine Burns, John Hajdukiewicz, and Jakub Andrzejewski, USA.

[4] Hofinger, G. (2007). Fehler und Fallen beim Entscheiden in kritischen Situationen, in S. Strohschneider (Hrsg.), Entscheiden in kritischen Situationen, S. 115-136. Frankfurt: Verlag für Polizeiwissenschaft.

[5] Dörner, D. (1989). Die Logik des Misslingens - Strategisches Denken in komplexen Situationen. Reinbeck: Rowohlt.

[6] Schaub, H. & Strohschneider, S. (1992). Die Auswirkungen unterschiedlicher Problemlöseerfahrung auf den Umgang mit einem unbekannten komplexen Problem. Zeitschrift für Arbeits- und Organisationspsychologie 36, 117-126.

[7] Janis, I.L. (1972). Victims of groupthink: A psychological study of foreignpolicy decisions and fiascoes. Boston: Houghton Mifflin.

[8] Hopkins, A. (2012) Disastrous decisions. The human and 24raining24ional causes of the Gulf of Mexico blowout. CCH Australia Limited

[9] Strohschneider, S. (2008). Führung im kulturellen Kontext, in C. Buerschaper & S. Starke (Hrsg.) Führung und Teamarbeit in kritischen Situationen, S.41-53. Frankfurt: Verlag für Polizeiwissenschaft.

[10] Badke-Schaub, P. (2008). Teamarbeit und Teamführung: Erfolgsfaktoren für sicheres Handeln. In C. Buerschaper & S. Starke (Hrsg.): Führung und Teamarbeit in kritischen Situationen, S. 3-19. Frankfurt: Verlag für Polizeiwissenschaft.

[11] Hörmann, H.-J. (1995). FOR-DEC. A prescriptive model for aeronautical decision making. In R. Fuller, N. Johnston, N. McDonald (Eds.): Human Factors in Aviation Operations. Proceedings of the 21 st Conference of the European Association for Aviation Psychology (EAAP), (Vol. 3), (pp. 17-23). Aldershot Hampshire, Avebury Aviation.

[12] Strohschneider, S. (2007). Krisenstabstraining: Das Nicht-Planbare vorbereiten.In S. Strohschneider (Hrsg.): Entscheiden in kritischen Situationen, S. 97-112. Frankfurt: Verlag für Polizeiwissenschaft.

[13] Herrmann, J., Schwiederowski, C. & Ruddat, A. (2012). Plant and Process Safety, 8. Management of Safety in the Chemical and Petrochemical Industry. Ullmann's Encyclopedia of Industrial Chemistry. http://onlinelibrary.wiley.com/doi/10.1002/14356007.q20q07/full

[14] Kletz, T. A. & Amyotte, P. (2010). Process plants: a handbook for inherently safer design. (2nd edition. Boca Raton: Taylor & Francis Group.

[15] SFK-GS-33 (2002). Leitfaden. Schritte zur Ermittlung des Standes der Sicherheitstechnik. http://www.kasbmu.de/publikationen/sfk/sfkgs33.pdf

[16] DIN EN ISO 26800 (2011). Ergonomie - Genereller Ansatz, Prinzipien und Konzepte.

[17] DIN EN ISO 6385 (2004). Grundsätze der Ergonomie für die Gestaltung von Arbeitssystemen.

[18] Reihe DIN EN ISO 11064 (Nr. 1-7) (2000-2008). Ergonomische Gestaltung von Leitzentralen.

[19] DIN EN ISO 10075-2 (2000). Ergonomische Grundlagen bezüglich psychischer Arbeitsbelastung, Teil 2: Gestaltungsgrundsätze.

[20] DIN EN ISO 9241-110 (2006). Ergonomie der Mensch-System-Interaktion - Teil 110: Grundsätze der Dialoggestaltung.

[21] Bockelmann, M.; Nachreiner, F. & Nickel, P. (2012). Bildschirmarbeit in Leitwarten - Handlungshilfen zur ergonomischen Gestaltung von Arbeitsplätzen nach der Bildschirmarbeitsverordnung. F 2249. Dortmund: Bundesanstalt für Arbeitsschutz und Arbeitsmedizin.

[22] Namur (2005). Worksheet NA 102. Alarmmanagement. AK 2.9, Dezember 2005.

[23] EEMUA (2007). Alarm Systems: A Guide to Design, Management and Procedurement. EEMUA Publication No 191. The Engineering Equipment and Materials Users Association: London.

[24] DIN EN 62682 (2013 - Entwurf). Alarmmanagement in der Prozessindustrie.

[25] Weick, K.E. & Sutcliffe, K. (2007). Managing the unexpected: Resilient performance in an age of uncertainty. 2nd edition. San Francisco: Wiley & Sons.

[26] Springer Gabler Verlag (Hrg.) (online). Gabler Wirtschaftslexikon, Stichwort:
Leitungsspanne.
http://wirtschaftslexikon.gabler.de/Archiv/8736/leitungsspanne-v8.html

[27] Staehle, W. (1991). Management (6. Auflage). München: Franz Vahlen.

[28] KAS-7 (2008). Bericht des Arbeitskreises Texas City. Empfehlungen der KAS für eine Weiterentwicklung der Sicherheitskultur. Lehren nach Texas City 2005. http://www.kasbmu.de/publikationen/kas/KAS7.pdf

[29] HSE (2006). Developing process safety indicators. A stepby-step guide for chemical and major hazard industries. London: HSE.

[30] McGrath, B. (2008). Programme for the Assessment of NDT in Industry, PANI 3 [ Report No. RR6171. Health and Safety Executive. http://www.hse.gov.uk/research/rrpdf/rr617.pdf

[31] VCI-Leitfaden Notfallmanagement - Gefahrenabwehr, 2010. https://www.vci.de/Downloads/128427-Leitfaden%20Notfallmanagement.pdf

[32] Landesumweltamt Nordrhein-Westfalen (2004). Merkblätter Band 45: Musterkonzept für die Notfallplanung. http://www.1anuv.nrw.de/veroeffentlichungen/merkbl/merk45/merk45web.pdf

[33] BMI (2011). Schutz kritischer Infrastrukturen - Risiko- und Krisenmanagement. Leitfaden für Unternehmen und Behörden. http://www.bmi.bund.de/Shared Docs/Downloads/DE/Broschueren/2008/Leitfaden Schutz kritischer Infrastrukturen.pdf; jsessionid="x'9A3CBCF642E53E2AC3241A740EFB9" C1F.2 cid364? blob="publication" File

[34] Gomez, E. A. (2008). Crisis Response Communication Management: Increasing Message Clarity with Training over Time, in F. Fiedrich & B. van de Walle (Hrsg.): Proceedings of the 5 th International Conference on Information Systems for Crisis Response and Management ISCRAM2008, 368-375.

[35] Manca, D., Brambilla, S., & Colombo, S. (2013) Bridging between virtual reality and accident simulation for training of processindustry operators. Advances in Engineering Software 55, 1-9.

[36] Brambilla, S. & Manca, D. (2011) Recommended features of an industrial accident simulator for the training of operators. Journal of Loss Prevention in the Process Industries 24, 344-355.

[37] KAS-1 9 (2011). Leitfaden des Arbeitskreises "Überarbeitung und Zusammenführung der Leitfäden SFK-GS-23 und -24" zum Konzept zur Verhinderung von Störfällen und zum Sicherheitsmanagementsystem. 2. überarbeitete Fassung. http://www.kasbmu.de/publikationen/kas/KAS19.pdf

.

.

.

.

Bei der Inspektion des Betriebsbereiches (BB) wird ein zweimaliges Aufsuchen der Leitwarte angestrebt: Ein erstes Bekanntmachen mit der Situation, danach die Bearbeitung der Fragenliste und anschließend eine vertiefte Prüfung in der Leitwarte.

A. Management/Organisation

1. Gibt es schriftlich festgelegte Betriebsstrategien/Unternehmensstandards zu Alarmen (dokumentierten Prozess Alarmmanagement)?
2. Berücksichtigen diese spezifisch auch An- und Abfahrvorgänge?
3. Gibt es für Erweiterungen bzw. Veränderungen des Alarmsystems einen strukturierten Ablauf (management of change)? Werden die Anlagenbediener/innen mit eingebunden?
4. Wie ist die Schnittstelle zwischen Alarmmanagement und Gefahrenanalysen (z.B. HAZOP-Studien) gestaltet? Wie werden die Ergebnisse der Gefahrenanalyse im Alarmmanagement umgesetzt (Gefahrenanalysen führen z.B. oft dazu, dass viele Alarme als "Schnelllösung" installiert werden)?
5. Wie werden die Auswirkungen der Alarme auf die Gesamtbelastung (einschließlich Handlungsabfolgen bei Alarmen) der Anlagenbediener/innen berücksichtigt?
6. Wie sind die Schnittstellen zwischen den Prozessen "Alarmmanagement" und "Ereignisuntersuchungen" bzw."kontinuierliche Verbesserungsprozess" gestaltet?
7. Gab es schon einmal Betriebsstörungen oder Beinahe-Unfälle, bei denen die Anlagenbediener/innen Alarme nicht wahrgenommen oder falsch auf Alarme reagiert haben?

B. Alarmgestaltung und Organisation

1. Was verstehen die Beschäftigten des BB unter "Alarm"? ⁷
2. Wie viele Alarme gibt es? Welches sind die sicherheitsrelevanten Alarme?
3. Wie viele Alarme treten bei normalem Betrieb auf?
4. Wie viele Alarme treten bei einer Störung der Anlage auf?
5. Wie viele ständig auftretende Alarme gibt es?
6. Sind die Anzeigen in der Leitwarte gut gestaltet und einfach zu verstehen?
7. Welche dokumentierte Verfahrens- und Arbeitsanweisungen zum Umgang mit Alarmen gibt es und welche Handlungsabläufe beinhalten diese (z.B. zu sicherheitsrelevanten Alarmen und zur Alarmweiterleitung)?
8. Welche Schulungen zum Umgang mit Alarmen gibt es (Einsichtnahme in die Dokumentation)?
9. Wissen die Verantwortlichen was sie bei jedem Alarm zu tun haben?
10. Gibt es die Möglichkeit, dass Fehlalarme auftreten, werden viele (Fehl-)Alarme in schneller Abfolge bestätigt oder werden regelmäßig auftretende akustische Alarme (zunehmend) ignoriert?
11. Werden die Anlagenbediener/innen manchmal mit Alarmfluten konfrontiert und wie wird damit umgegangen?
12. Ist die Alarmpriorisierung hilfreich für den/die Anlagenbediener/in?

C. Alarmübertragung

1. Wie erfolgt die Alarmübertragung zwischen Anlage und Leitwarte?
2. Wie erfolgt die Alarmübertragung zu Dritten?

.

Gelungene Gestaltung

Stellungsmarkierungen an Handhähnen
(rot = geschlossen; grün = geöffnet)

Quelle: Clariant Produkte (D) GmbH

Löscheinrichtung

Quelle: Clariant Produkte (D) GmbH

Klare Handlungsanweisung

Quelle: Clariant Produkte (D) GmbH

.

.

Meldekette
(Quelle: Alarm- und Gefahrenabwehrplan Industriepark Höchst )

Quelle: Clariant Produkte (D) GmbH

.

Stoffinformation / Kurzbewertung

1. Allgemeine Angaben

1.1 Beschaffenheit

Wasserhelle bis gelbliche rauchende Flüssigkeit mit stechendem Geruch (30-37 %ige wässrige Lösung).

Farbloses, ätzendes, beständiges und unbrennbares Gas mit stechendem Geruch (99 %iges Produkt).

1.2 Zusammensetzung / Reinheit

Das technische Produkt ist eine 30-37 %ige Lösung in Wasser.

Das 99%ige Produkt liegt handelsüblich verflüssigt in Druckbehältern vor.

1.3 Verwendung

Als starke anorganische Säure spielt Salzsäure in der chemischen Industrie und in an- deren Industriezweigen eine vielfältige Rolle.

0,1-0,5 %ige Salzsäure ist im Magensaft des Menschen und der höheren Tiere vorhanden.

2. Physikalisch-chemische Daten

3. Toxikologie

Die starke lokale Reiz- und Ätzwirkung der Substanz steht im Vordergrund, weitere Untersuchungen zu unvollständig charakterisierten Gefahrenmerkmalen sind daher nicht vordringlich. Da Chlorwasserstoff (Gas) in den Wassertröpfchen der Luft oder im Feuchtigkeitsfilm von Schleimhäuten rasch zu Salzsäure (Lösung) dissoziiert, werden unvollständig untersuchte Endpunkte durch Chlorwasserstoff-Daten ergänzt.

• Eine Studie weist verdünnte Salzsäure nach einmaliger oraler Aufnahme als gesundheitsschädlich aus.
• Salzsäure verursacht Verätzungen und birgt die Gefahr ernster Augenschäden. Verdünnte Salzsäure ist als reizend anzusehen.

Nach Erfahrungen am Menschen verursacht Salzsäure Reizungen und Verätzungen an Haut und Schleimhäuten. Chlorwasserstoff reizt und schädigt ebenfalls Haut, Augen und Atmungsorgane. Im Vergleich zu allen getesteten Tierarten ist der Mensch gegenüber der Reizwirkung nach inhalativer Aufnahme von Chlorwasserstoff deutlich empfindlicher.

• Wegen der Ätzwirkung wurden keine Untersuchungen zur möglichen haut- sensibilisierenden Wirkung durchgeführt.
• Chlorwasserstoff kann bei wiederholter inhalativer Aufnahme hoher Dosierungen nach Untersuchungen an der Maus schwere Schädigungen der Atemwege und den Tod der Tiere verursachen. Eine länger andauernde Verabreichung kann in niedrigeren Dosisbereichen lokale Schleimhautschäden verursachen, die jedoch von den Tieren überlebt werden.
• Salzsäure zeigt an Bakterien keine erbgutverändernden Eigenschaften. In Tests an Säugerzellen sind allerdings Chromosomenveränderungen aufgetreten. Da andere anorganische Säuren vergleichbare Effekte zeigen, ist dieser Befund eher auf eine unspezifische Säurewirkung, als auf eine substanztypische Ursache zurückzuführen.
• Im Langzeitversuch an der Ratte wirkt Chlorwasserstoff bei inhalativer Aufnahme nicht krebserzeugend.
• Im Tierversuch fanden sich Hinweise auf eine fruchtschädigende Wirkung von Chlorwasserstoff im Bereich von Dosen, die für die Elterntiere giftig sind.
• Salzsäure wurde von der IARC - Working Group in "Group 3 (Nicht klassifizierbar in Bezug auf krebserzeugende Wirkung beim Menschen) eingestuft.
• Bei epidemiologischen Studien wird vereinzelt über das Auftreten eines erhöhten Lungenkrebsrisikos berichtet. Ein eindeutiger Zusammenhang zwischen der Entstehung von Tumoren beim Menschen und einer Salzsäureexposition ist daraus nicht abzuleiten.

Bei Arbeitern, die einen Teil ihrer Arbeitszeit Chlorwasserstoffkonzentrationen ausgesetzt waren, die über dem MAK-Wert lagen, wird über Schäden an den Schneide- zähnen berichtet.

• Die Toxizität des Gases und des Aerosols sind ähnlich.

4. Ökotoxizität

Die toxische Wirkung für aquatische Organismen wird hauptsächlich durch den pH-Wert der wässrigen Lösung bestimmt und beginnt unterhalb von pH 6. Ebenfalls von Relevanz ist die Hitzeentwicklung bei der Reaktion mit Wasser. Nach Neutralisation ist nur noch die relativ geringe Schadwirkung der entstehenden Salze vorhanden.

5. Verhalten in der Umwelt

Salzsäure vermischt sich bei Austritt in Wasser vollständig mit ihm und bildet auch noch in starker Verdünnung ätzende Mischungen.

Die Flüssigkeit verdampft unter Nebelbildung, dieser ist schwerer als Luft und schlägt sich auf Boden und Gegenstände nieder. Ein Transport in das Grundwasser ist möglich, wenn die Säure nicht mittels der Bodeninhaltsstoffen neutralisiert wird.

Aus Wasser ist Salzsäure stark flüchtig.

Das Gas bildet mit feuchter Luft stark korrosiven weißen Salzsäurenebel.

Eine Anreicherung in Organismen, im Boden, im Wasser, im Sediment oder in der Luft ist nicht zu erwarten.

.

1) Bei Einfachreaktionen (das Aufleuchten eines Signals soll einen bestimmten Tastendruck auslösen) beträgt die Reaktionszeit mindestens 100-150 ms, bei Wahlreaktionen (auf mehrere Anzeigen soll jeweils spezifisch reagiert werden) mit 3 empfangenen Reizen mindestens 225 ms, bei einer überraschenden komplexen Störsituation in Leitwarten 60.000 ms.

2) Fehlzustandsart- und -auswirkungsanalyse (Failure Mode and Effects Analysis)

3) Hazard and Operability Study

4) Prognose von Störungen, Auffinden von Ursachen, Abschätzen von Auswirkungen, Gegenmaßnahmen bewerten

5) Geschäftsführer oder Geschäftsführerin (Chief Executive Officer

6) Die Fragenliste wurde auf Grundlage des HSE Informationsblattes Nr. 6 "Besserer Umgang mit Alarmen" erstellt.

7) NAMUR Arbeitsblatt NA 102, Def. Alarm: Meldung, die eine unverzügliche Reaktion des Operators erfordert. Reaktion kann dabei z.B. ein Bedieneingriff, erhöhte Aufmerksamkeit oder das Veranlassen weiterer Untersuchungen bedeuten.

ENDE