Wenn eine Anlage außer Betrieb geht, entsteht schnell ein trügerisches Gefühl von Sicherheit. Die Produktion steht, Maschinen laufen nicht mehr und der betriebliche Druck nimmt ab.
Doch genau in dieser Phase kann sich das Risikoprofil grundlegend verändern.
Ein aktueller Fall aus West Virginia zeigt das sehr deutlich: In einem Chemiebetrieb kam es während Reinigungs- und Stilllegungsarbeiten zu einer chemischen Reaktion, bei der hochgiftiger Schwefelwasserstoff entstand. Zwei Beschäftigte starben, zahlreiche weitere Personen wurden behandelt. Die Anlage befand sich bereits im Prozess der Schließung. citeturn360687search1turn360687search4
Die zentrale Erkenntnis daraus lautet:
Stilllegung bedeutet nicht Stillstand des Risikos.
Im Gegenteil: Während Rückbau, Reinigung, Entleerung und Dekontamination entstehen häufig Betriebszustände, die im normalen Produktionsbetrieb überhaupt nicht vorgesehen sind.
Warum Stilllegungen sicherheitstechnisch besonders kritisch sind
Im Normalbetrieb kennen Betreiber ihre Prozesse meist sehr genau.
- Stoffströme sind definiert.
- Rohrleitungen haben festgelegte Funktionen.
- Behälter werden innerhalb bestimmter Betriebsgrenzen betrieben.
- Mess- und Sicherheitssysteme sind auf diese Zustände abgestimmt.
- Bei einer Stilllegung verändert sich dieses System.
- Behälter werden entleert.
- Leitungen geöffnet.
- Chemikalien zusammengeführt.
- Reststoffe umgepumpt.
- Anlagen werden gespült.
- Teile werden demontiert.
- Temporäre Schläuche und Pumpen kommen zum Einsatz.
Damit entstehen neue Stoff- und Energieflüsse.
Und genau diese können neue Gefahren erzeugen.
Ein aktueller Fall zeigt die Gefahr
Beim Vorfall bei Catalyst Refiners in West Virginia befand sich der Standort in einer Phase der Reinigung, Dekontamination und Stilllegung. Nach ersten Informationen wurde bei Arbeiten an einem Tank Salpetersäure mit einer weiteren Substanz vermischt. Dabei entstand Schwefelwasserstoff.
- Schwefelwasserstoff ist besonders gefährlich.
- Das Gas ist hochtoxisch und kann Menschen bereits in kurzer Zeit handlungsunfähig machen.
- Gleichzeitig ist es brennbar.
- Gerade in geschlossenen oder schlecht belüfteten Bereichen kann dadurch innerhalb weniger Sekunden eine lebensgefährliche Situation entstehen.
- Die Untersuchungen zum konkreten Ereignis laufen noch. Deshalb wäre es falsch, bereits endgültige Aussagen über Verantwortlichkeiten oder Ursachen zu treffen.
Was der Fall jedoch sehr deutlich zeigt, ist eine grundlegende Herausforderung jeder Stilllegung:
Chemikalien verlieren ihre Gefährlichkeit nicht, nur weil die Produktion beendet wurde.
Reststoffe werden schnell unterschätzt
Ein Behälter, der „leer“ ist, ist technisch nicht automatisch gefahrlos.
In Leitungen, Pumpen, Armaturen und Toträumen können weiterhin Stoffreste vorhanden sein.
Diese können
- giftig,
- brennbar,
- oxidierend,
- ätzend,
- reaktiv oder
- umweltgefährlich
sein.
Noch kritischer wird es, wenn Stoffe, die im Normalbetrieb streng voneinander getrennt waren, während der Entsorgung oder Reinigung erstmals miteinander in Kontakt kommen.
Eine Entsorgungsleitung oder ein Sammelbehälter kann dadurch plötzlich zu einem neuen Reaktionssystem werden.
Das ist ein Punkt, der in Stilllegungsprojekten häufig unterschätzt wird.
Der Normalbetrieb hilft als Referenz nur begrenzt
Ein häufiger Denkfehler lautet:
„Wir kennen die Anlage seit vielen Jahren.“
Das stimmt möglicherweise.
Aber die Anlage im Stilllegungsbetrieb ist sicherheitstechnisch nicht dieselbe Anlage wie im Produktionsbetrieb. Die bekannten Betriebsgrenzen gelten nicht automatisch weiter. Auch vorhandene Sicherheitsfunktionen können während des Rückbaus schrittweise außer Betrieb genommen werden.
Ein Beispiel:
Im normalen Betrieb überwacht eine Gaswarnanlage einen Prozessbereich.
Während des Rückbaus wird die elektrische Anlage teilweise abgeschaltet.
Gleichzeitig werden Leitungen geöffnet und Chemikalien umgepumpt.
Damit steigt möglicherweise das Freisetzungsrisiko genau in dem Moment, in dem ein Teil der ursprünglichen Überwachung nicht mehr zur Verfügung steht.
Aus Sicht des Safety Engineering ist deshalb jede wesentliche Stilllegungsphase ein neuer Betriebszustand.
Stilllegung braucht eine eigene Gefährdungsbeurteilung
Eine bestehende Gefährdungsbeurteilung des Normalbetriebs reicht für ein Decommissioning häufig nicht aus.
Vor Beginn der Arbeiten sollte systematisch betrachtet werden:
- Welche Stoffe befinden sich noch in der Anlage?
- Welche Stoffkombinationen können während Reinigung oder Entsorgung entstehen?
- Wo gibt es Restmengen oder Toträume?
- Welche Energien sind noch gespeichert?
- Welche Sicherheitseinrichtungen werden außer Betrieb genommen?
- Welche temporären Leitungen, Pumpen oder Behälter werden verwendet?
- Welche Bereiche können durch toxische oder brennbare Gase gefährdet werden?
- Welche Mess- und Alarmierungssysteme bleiben aktiv?
- Welche persönliche Schutzausrüstung ist erforderlich?
- Wie funktioniert die Rettung bei einer Freisetzung?
Diese Fragen sollten beantwortet sein, bevor der erste Behälter geöffnet oder die erste Leitung getrennt wird.
Management of Change gilt auch beim Rückbau
Management of Change wird häufig mit neuen Maschinen oder geänderten Produktionsverfahren verbunden.
Doch auch die Stilllegung einer Anlage ist eine massive Veränderung.
Eigentlich sogar eine Serie vieler einzelner Veränderungen.
- Eine Pumpe wird entfernt.
- Eine Rohrleitung erhält eine temporäre Verbindung.
- Ein Sicherheitssystem wird abgeschaltet.
- Ein Behälter bekommt eine neue Funktion als Sammelbehälter.
- Ein Stoff wird über einen Weg entsorgt, der ursprünglich nie dafür vorgesehen war.
Jede dieser Maßnahmen kann neue Risiken erzeugen.
Deshalb gehört Änderungsmanagement / Management of Change auch in die Stilllegungsplanung.
Die zentrale Frage lautet:
Welche ursprüngliche Sicherheitsannahme gilt nach diesem Arbeitsschritt nicht mehr?
Stoffverträglichkeit muss neu bewertet werden
Besondere Aufmerksamkeit verdient die chemische Verträglichkeit.
Im Normalbetrieb sind Stoffe meist in festgelegten Prozessschritten voneinander getrennt.
Während Reinigung und Entsorgung können diese Grenzen verschwinden.
Ein Abwassertank etwa wird möglicherweise als einfache Sammelstelle betrachtet.
Tatsächlich kann er zu einem chemischen Reaktor werden, wenn unterschiedliche Reststoffe darin zusammengeführt werden.
Daher sollten für alle vorgesehenen Reinigungs- und Entsorgungswege zumindest folgende Punkte geprüft werden:
- Säure-Base-Reaktionen
- Oxidations- und Reduktionsreaktionen
- Bildung toxischer Gase
- Bildung brennbarer Gase
- starke Wärmeentwicklung
- Polymerisation oder Zersetzung
- Reaktion mit Wasser
- Reaktion mit Reinigungsmitteln
Ein Sicherheitsdatenblatt allein beantwortet diese Fragen oft nicht vollständig.
Entscheidend ist die Kombination der tatsächlich vorhandenen Stoffe.
Gasdetektion ist während der Stilllegung besonders wichtig
Bei Freisetzungen toxischer oder brennbarer Stoffe können Menschen die Gefahr häufig nicht rechtzeitig erkennen.
Schwefelwasserstoff ist dafür ein klassisches Beispiel.
Obwohl das Gas in niedrigen Konzentrationen einen charakteristischen Geruch besitzt, darf der Geruchssinn niemals als Warnsystem verwendet werden.
Bei höheren Konzentrationen kann die Geruchswahrnehmung beeinträchtigt werden.
Deshalb muss vor Arbeiten mit möglicher Gasfreisetzung festgelegt werden:
- welche Stoffe gemessen werden,
- mit welchen Messgeräten,
- wo gemessen wird,
- wer misst,
- welche Alarmgrenzen gelten,
- welche Maßnahmen beim Alarm einzuleiten sind.
Auch kontinuierliche persönliche Gaswarngeräte können erforderlich sein.
Dabei gilt:
Messen ist nur dann eine Schutzmaßnahme, wenn auf den Messwert eine klar definierte Handlung folgt.
Die Rettung muss vor Beginn der Arbeiten geplant sein
Ein weiteres wesentliches Thema ist die Notfallorganisation.
Bei toxischen Gasfreisetzungen besteht eine besondere Gefahr:
Kollegen versuchen spontan zu helfen und geraten selbst in die kontaminierte Atmosphäre.
Dadurch können aus einem Unfall innerhalb kürzester Zeit mehrere Opfer entstehen.
Vor Beginn kritischer Stilllegungsarbeiten muss deshalb klar sein:
- Wer darf einen Gefahrenbereich betreten?
- Welche Atemschutzausrüstung steht zur Verfügung?
- Wie wird eine verletzte Person gerettet?
- Wie wird alarmiert?
- Wer stoppt angrenzende Arbeiten?
- Wie erfolgt die Kommunikation mit Feuerwehr und Rettungsdienst?
Ein Notfallplan darf nicht erst entstehen, wenn der Alarm bereits ausgelöst wurde.
Auch Fremdfirmen brauchen das vollständige Lagebild
Stilllegungen werden häufig mit externen Spezialfirmen durchgeführt.
Das ist grundsätzlich sinnvoll.
Doch Fremdfirmen kennen die Historie einer Anlage nicht in derselben Tiefe wie langjährige Betriebsangehörige.
Sie wissen möglicherweise nicht,
- welche Stoffe früher in einer Leitung geführt wurden,
- welche Umbauten stattgefunden haben,
- welche Behälter miteinander verbunden sind,
- welche Altlasten vorhanden sind,
- welche Sicherheitseinrichtungen bereits deaktiviert wurden.
Deshalb ist Fremdfirmenmanagement / Contractor Safety während einer Stilllegung besonders wichtig.
Ein Arbeitsauftrag reicht nicht.
Externe Beschäftigte brauchen ein aktuelles Bild über den tatsächlichen Anlagenzustand.
Dokumentation wird während der Stilllegung noch wichtiger
Eine Produktionsanlage besitzt normalerweise Fließbilder, Anlagenpläne und Betriebsanweisungen.
Beim Rückbau verändert sich dieser Zustand beinahe täglich.
- Eine Leitung, die gestern noch verbunden war, ist heute getrennt.
- Ein Behälter wurde bereits entleert.
- Eine Sicherheitseinrichtung ist außer Betrieb.
- Eine temporäre Leitung wurde hinzugefügt.
Wenn diese Veränderungen nicht dokumentiert werden, arbeiten unterschiedliche Teams möglicherweise mit unterschiedlichen Informationen.
Das ist ein erhebliches Risiko.
Ein Stilllegungsprojekt braucht deshalb einen aktuellen und eindeutig dokumentierten Anlagenzustand.
Stilllegung ist ein Safety-Engineering-Projekt
Eine sichere Anlagenstilllegung ist kein reines Demontageprojekt.
Sie verbindet mehrere Fachbereiche:
- Prozesssicherheit / Process Safety
- Arbeitsschutz / Occupational Safety
- Gefahrstoffmanagement / Chemical Safety
- Explosionsschutz
- Umweltmanagement / Environmental Management
- Fire protection
- Maintenance
- Notfallmanagement
- Compliance Management
- Fremdfirmenkoordination
Genau deshalb eignet sich das Thema besonders gut, um den Unterschied zwischen klassischer Einzelbetrachtung und modernem Sicherheitstechnik / Safety Engineering sichtbar zu machen.
Die entscheidende Frage lautet nicht:
„Ist die Anlage noch in Betrieb?“
Sondern:
„Welche Gefahren sind in diesem konkreten Zustand noch vorhanden – und welche neuen Gefahren entstehen durch die Stilllegung selbst?“
Was Betreiber vor einer Stilllegung prüfen sollten
Eine strukturierte Vorbereitung sollte mindestens folgende Punkte umfassen:
- Stoffinventar aktualisieren
Welche Stoffe und Restmengen befinden sich tatsächlich noch in der Anlage? - Stoffverträglichkeit bewerten
Welche Reaktionen sind bei Reinigung, Vermischung oder Entsorgung möglich? - Gespeicherte Energien identifizieren
Druck, Temperatur, elektrische Energie, potenzielle Energie und chemische Energie müssen berücksichtigt werden. - Stilllegungsphasen definieren
Jeder wesentliche Rückbauschritt verändert das Risikoprofil. - Management of Change anwenden
Änderungen müssen sicherheitstechnisch bewertet und freigegeben werden. - Gas- und Atmosphärenüberwachung planen
Messverfahren, Alarmwerte und Reaktionen müssen festgelegt sein. - Sicherheitssysteme bewusst außer Betrieb nehmen
Schutzfunktionen dürfen nicht unkontrolliert verschwinden. - Fremdfirmen koordinieren
Alle Beteiligten benötigen denselben aktuellen Informationsstand. - Notfall- und Rettungsplanung festlegen
Rettungsmaßnahmen müssen vor Arbeitsbeginn praktisch durchführbar sein. - Dokumentation laufend aktualisieren
Der tatsächliche Anlagenzustand muss jederzeit nachvollziehbar bleiben.
Die unternehmerische Perspektive
Stilllegung wird häufig primär als Kosten- und Terminprojekt betrachtet.
- Wie schnell können wir die Anlage räumen?
- Wie teuer ist die Demontage?
- Wann kann das Gebäude anderweitig genutzt oder verkauft werden?
Diese Fragen sind wirtschaftlich nachvollziehbar.
Doch ein schweres Ereignis während der letzten Wochen einer Anlage kann jahrzehntelange Folgen haben:
- Personenschäden.
- Umweltschäden.
- Behördenverfahren.
- Haftungsfragen.
- Sanierungskosten.
- Reputationsschäden.
Eine Anlage, die keinen wirtschaftlichen Wert mehr produziert, kann also weiterhin erhebliche Risiken und Verpflichtungen erzeugen.
Aus unternehmerischer Sicht ist eine strukturierte Stilllegung deshalb kein zusätzlicher Sicherheitsaufwand.
Sie ist Risikomanagement / Risk Management für die letzte Phase des Anlagenlebenszyklus.
Die letzte Betriebsphase verdient dieselbe Aufmerksamkeit wie die erste
Bei neuen Anlagen investieren Unternehmen viel Aufwand in Planung, Inbetriebnahme und Sicherheitsprüfungen.
Am Ende des Lebenszyklus wird diese Aufmerksamkeit manchmal reduziert.
Das ist ein Fehler.
Gerade während Reinigung, Entleerung, Umbau und Demontage verändern sich Prozesse besonders schnell.
Systemgrenzen verschwinden.
Schutzfunktionen werden deaktiviert.
Stoffe werden auf neuen Wegen bewegt.
Menschen führen Arbeiten aus, die im normalen Betrieb niemals vorgesehen waren.
Der aktuelle Vorfall in West Virginia zeigt, wie ernst diese Phase genommen werden muss. Die endgültigen Ursachen werden vom U.S. Chemical Safety Board noch untersucht; gesichert ist bislang, dass das tödliche Ereignis während Reinigungs- und Decommissioning-Arbeiten auftrat und eine chemische Reaktion Schwefelwasserstoff freisetzte. citeturn360687search1
Die wichtigste Botschaft für Betreiber lautet deshalb:
Eine Anlage wird nicht automatisch sicherer, nur weil sie nicht mehr produziert.
Eine sichere Stilllegung muss geplant, bewertet, überwacht und dokumentiert werden.
Denn gutes Safety Engineering begleitet eine Anlage nicht nur während ihres Betriebs.
Es begleitet sie bis zum letzten sicheren Arbeitsschritt.
