© StonePictures/Shutterstock.com
Teil 1: Systemische Denkmuster in Organisationen

Fatale Ergebnisse - trotz guter Absichten


„Auch das Beste stiftet, falsch verwendet, ein Unheil an, das seine Herkunft schändet“ sagte einmal Shakespeare. Als Generalisierung könnte man es so formulieren, dass uns die Geschichte lehrt, dass wir Menschen regelmäßig, mit Inbrunst und guter Absicht die Komplexität systemischer Herausforderungen verkennen. Doch wir können aus der Geschichte lernen, um vernetzte Wirkzusammenhänge und Regelkreisläufe wahrzunehmen und zu verstehen.

Es ist alles sehr kompliziert, auch wenn es zunächst einmal nicht kompliziert aussieht. Insbesondere plötzliche Systemschwankungen haben immer wieder große und kleine Organisationen in zahlreichen politischen, ökonomischen und technologischen Situationen völlig überrascht. Selbst wenn diese Systemschwankungen schon spürbar waren, wurden sie oftmals ignoriert, verdrängt oder kleingeredet. Egal, ob es um die Abhängigkeiten von Lieferketten oder um die Einschätzung sich anbahnender Nuklearkatastrophen wie in Tschernobyl geht: Menschen sind nicht besonders gut in systemischem, nichtlinearem Denken.

Eine kurze Einführung in Siedewasserreaktoren

Beim Katastrophenreaktor von Tschernobyl handelte es sich um einen Graphit-moderierten Siedewasserreaktor mit einem positiven Void-Koeffizienten, was für die Abfolge der Ereignisse noch wichtig sein wird. Wasser wird durch die Hitzeentwicklung der Kernspaltung verdampft, und dieser Dampf treibt eine Generatorturbine an. Graphit-moderierte Reaktoren werden im Niedriglastbereich (< 20 % der möglichen Leistung) instabil, es können lokale Strahlungsmaxima auftreten, die zu einer ungewollten, exponentiell steigenden Kernspaltung führen. Der positive Void-Koeffizient bedeutet, dass sich die Leistung des Reaktors erhöht, wenn weniger Kühlflüssigkeit vorhanden ist, z. B. wenn sich Blasen im Wasser bilden. Das Wasser dient als „Moderator“ oder vereinfacht gesagt als Neutronenabsorber und damit als „Bremser“ der Kernspaltung. Jedes für sich führt zu einem sich selbst verstärkenden und aufschaukelnden System, wie wir sehen werden.

Eine Abfolge von Fehlschlüssen führte zur Nuklearkatastrophe

Zynischerweise wurde der Unfall durch ein Experiment zur Verbesserung der Sicherheit ausgelöst, in dem man beweisen wollte, dass die Reaktorturbinen beim Abschalten noch genug Reststrom bis zum Anspringen des Notstromsystems liefern [1]: Die Mannschaft beginnt damit, den Reaktor auf 25 % der Leistung herunterzufahren (darunter ist es aus obigen Gründen verboten) und danach das Notkühlsystem abzukoppeln, damit es den Versuch nicht beeinträchtigt. Zwischenzeitlich weist die Energiebehörde in Moskau aber an, den Reaktor noch einige Stunden länger auf Last laufen zu lassen und erst danach mit dem Test zu beginnen. Das Notkühlsystem vor Beginn des Tests wieder anzukoppeln, wird jedoch vergessen (Fehler Nr. 1). Die Operateure wollen nun die Leistung manuell auf 25 % bringen und übersteuern dabei, sodass die Leistung auf 1 % fällt. Das ist Fehler Nr. 2 und ein Klassiker beim Missverstehen von Regelkreisen: Anstelle des Prozesses wird der aktuelle Zustand (Leistung) des Prozesses reguliert. Wenn sich im Prozess eine Verzögerung (Delay) zwischen Regelungsvorgang und Zustand ergibt, neigen Menschen zum Über- bzw. Untersteuern. Das ist ein ähnliches Phänomen wie in Duschen, die quasi immer zu heiß oder zu kalt sind: Das eiskalte Wasser schockiert, und daher drehen wir noch etwas mehr am Regler, als es notwendig wäre. Bis der Durchfluss des Warmwassers sich erhöht hat, dauert es ein paar Sekunden, und wir korrigieren nach. Wenn dann endlich das heiße Wasser kommt, tendieren wir dazu, eventuell unter einem kurzen Fluch, den Regler wieder zurückzustellen.

Der Operator weiß um die Gefahr, versucht zu korrigieren, kann aber den Reaktor nur auf 7 % Leistung stabilisieren. Warum? Bei diesem Reaktortyp reichert sich bei einer Leistungsreduktion Xenon im Reaktorkern an, das die für die Kernspaltung benötigten Neutronen stark absorbiert. Zusätzlich zum Delay des Regelkreises kam also noch ein weiterer, selbstverstärkender Faktor hinzu. Bis hierher wurde bereits gegen Sicherheitsrichtlinien verstoßen. Wie kann das sein? Die Operateure sind erprobt und gut ausgebildet. Ein Grund ist die Unterschätzung einer drohenden exponentiellen Leistungszunahme, ein weiterer die falsche Sicherheit, in der sich die Operateure wiegen. Sie haben zuvor schon öfter kleine Sicherheitsverstöße begangen und wurden dafür belohnt (aus systemischer Sicht, nicht wörtlich), weil sie dadurch bestimmte Aufgaben rascher und einfacher durchführen konnten. Das ist so ähnlich wie Autofahrer, die in einer Kurve überholen und meinen: „Die Kurve bin ich schon tausendmal gefahren und kenne sie blind.“ Passiert dann ein Unfall, hat das oftmals fatale Folgen.

Zurück zum Reaktor: Im nächsten Schritt werden zusätzlich Pumpen (in Summe alle acht) eingeschaltet, um den Reaktor besser zu kühlen. Auch das ist verboten – erlaubt sind maximal sechs Pumpen (Fehler Nr. 3). Hier wird eine weitere Rückkopplung übersehen: Durch den vermehrten Durchfluss (siehe: positiver Void-Koeffizient), verringert sich die Leistung und das System entfernt als Gegenmaßnahme selbstständig „Bremsen“ (Steuerstäbe oder Graphitbremsstäbe). Steuerstäbe absorbieren Neutronen und bremsen damit die Kernspaltung. Eine Sicherheitsvorrichtung, die bei fallendem Dampfdruck den Reaktor abschaltet, wurde manuell deaktiviert (Fehler Nr. 4). Im Reaktor waren jetzt nurmehr sechs bis acht Steuerstäbe, weit unter der vorgeschriebenen Anzahl. Das Testprogramm wird aber unverdrossen fortgeführt und ein Zuflussventil zu einer Generatorturbine, wie im Testplan vorgesehen, abgeschaltet. Die zugehörige automatische Sicherheitsabschaltung wird – diesmal „bewusst“, im Sinne des Testplans – abgeschaltet (Fehler Nr. 5, „absichtlich“). Durch das Schließen des Ventils erhöht sich die Temperatur weiter, es entstehen mehr Blasen und dadurch mehr Leistung im Reaktor (positiver Void-Faktor: Weniger Wasser fü...

Neugierig geworden?

Angebote für Teams

Für Firmen haben wir individuelle Teamlizenzen. Wir erstellen Ihnen gerne ein passendes Angebot.

Das Library-Modell:
IP-Zugang

Das Company-Modell:
Domain-Zugang