Die Probabilistische Sicherheitsanalyse (PSA), auch Probabilistische Risikoanalyse (PRA) genannt, untersucht die Risiken von Industrieanlagen mittels der Methoden der Wahrscheinlichkeitsrechnung und Systemanalyse.
Die drei wesentlichen Untersuchungsgegenstände der Analyse sind: Was kann versagen? Wie wahrscheinlich ist es? Was sind die Auswirkungen?
Historie der PSA Aus dem Erfahrungsstand der Zuverlässigkeitsanalyse der Neunzehnhundertfünfziger- und sechzigerjahre heraus wurde die Methode der quantitativen Risikoanalyse entwickelt. Sie bedient sich damit gleichermaßen der Methoden der Zuverlässigkeit (Technik).
Ein Pionier der quantitativen Risikobewertung war in England Frank Reginald Farmer, der 1967 mit der Risiko-Grenzkurve (auch „Farmer-Kurve“ genannt) die methodische Grundlage für die quantitative Risikobewertung industrieller Anlagen schuf.F. R. Farmer: Safety Criterion. Containment an Siting of Nuclear Power Reactors. Wien 1967. Die Risiko-Grenzkurve leitet sich aus dem Produkt von Eintrittswahrscheinlichkeit und Schadensausmaß eines Unfalls ab und legt die Überlegung zugrunde, dass, je größer das Schadensausmaß eines Unfalls ist, desto geringer die Eintrittswahrscheinlichkeit sein muss, und entsprechend umgekehrt., M. Ragheb, The Risk Assessment Methodology, 2011.
Farmer wies auch darauf hin, dass in der Risikobewertung (z. B. eines Kernkraftwerkes) das gesamte Spektrum möglicher Unfälle zu betrachten ist und nicht nur ein „größter anzunehmender Unfall“ (GAU, englisch „“ – MCA), wie es bis dahin in der Kerntechnik üblich gewesen war.
In der amerikanischen Reaktorsicherheitsstudie „WASH 1400“ von 1975nrc.gov: Reactor Safety Study: An Assessment of Accident Risks in U.S. Commercial Nuclear Power Plants, abgerufen am 10. Februar 2021. („Rasmussen-Studie“) wurden die quantitativen Unfallrisiken zweier Kernkraftwerke (KKW) erstmals umfassend analysiert. Die Ereignisbaum- und Fehlerbaumanalyse sind dabei die vorherrschenden analytischen Instrumentarien der PSA, in denen die Gesamtheit der möglichen Unfallabläufe erfasst, modelliert und quantifiziert wird. Die Fehlerbaumanalyse (vgl. Fault Tree Analysis Handbook, „Fault Tree Handbook“, W. E. Vesely, F. F. Goldberg, N. H. Roberts, D. F. Haasl, 1981, NUREG-0492.) stammt aus der Luft- und Raumfahrttechnik. Das in der PSA erstellte Risikomodell der Gesamtanlage besteht danach aus einer Vielzahl ineinander verzahnter Ereignis- und Fehlerbäume. Bei großtechnischen Anlagen wie einem Kernkraftwerk kann das Risikomodell und die dabei anfallenden großen Datenmengen nur noch mittels eines Rechenprogramms quantifiziert und qualitätsgesichert werden.
Mit der Reaktorsicherheitsstudie „WASH 1400“ erfolgte auch eine wesentliche Weiterentwicklung der Methoden der PSA: Ausfallmodelle redundanter Systeme und Komponenten mit redundanzübergreifenden Fehlern (CCF - Analyse, Common Cause Failure). Human Factor Analyse (Übernahme der Erfahrungen aus dem militärischen Bereich). Ermittlung probabilistischer Größen seltener Ereignisse, wie das Versagen von Rohrleitungen oder Behältern, das Bersten der Kraftwerks-Turbine, anlageninterne Überflutungen, Absturz schwerer Lasten, anlagenexterne Ereignisse wie Flugzeugabsturz, Erdbeben und Hochwasser.
Sie setzte damit – nicht nur in der Kerntechnik – Maßstäbe für alle weiteren Risikoanalysen. In Deutschland wurde die „Deutsche Risikostudie für Kernkraftwerke“ (PDF; 16,6 MB), Gesellschaft für Reaktorsicherheit „Deutsche Risiko-Studie Kernkraftwerke“, Bundesminister für Forschung und Technologie, Phase A: 1980, Phase B: 1989. für das KKW Biblis nach den methodischen Ansätzen von „WASH 1400“ erstellt und gilt in Deutschland als eine Referenzanalyse für Kernkraftwerke.
Risikoanalysen kommen heute in allen Industriebereichen, wie der Kerntechnik, Luftfahrt, Bahn, Schifffahrt, Chemie, Petrochemie und Staudämmen, zur Anwendung.
Bedeutende Risiko-Größen Human Factor Mit dem Unfall im amerikanischen Kernkraftwerk Three Mile Island von 1979 wurden diverse Schwächen im Bereich der Mensch-Maschine-Schnittstelle, der Personalqualifikation und des Unfallmanagements sichtbar. Das Unfallereignis löste weltweite Nachrüstungen der KKW sowie eine intensive Weiterentwicklung der Methoden zur Human Factor Analyse aus. (PDF; 2,9 MB), Methoden zur probabilistischen Sicherheitsanalyse für Kernkraftwerke, Dez. 1996, BfS-KT-16-97.
Anlageninterner Brand Im Kernkraftwerk Browns Ferry, in Alabama, USA entwickelte sich 1975 ein schwerer anlageninterner Brand, der zum Ausfall mehrerer Sicherheitssysteme führte. Der Auslöser des Brandes war eine brennende Kerze, die das Instandsetzungspersonal zur Erkennung einer Lüftungsleckage im Kabelkanal des KKW verwendet hatte. Die Risiko-Größe „anlageninterner Brand“ wurde durch dieses Ereignis deutlich, die in dieser Form bisher unterschätzt wurde. In WASH 1400 wurde das Ereignis Brand noch nicht betrachtet. Eine intensive Entwicklung der probabilistischen Brandgefahren-Analyse wurde damit eingeleitet. Sie ist heute Standard in der PSA.
Sicherheitskultur Im russischen Kernkraftwerk Tschernobyl ereignete sich 1986 der bislang schwerste Unfall in der Kernenergieerzeugung. Ausgangspunkt des Unfalls war eine Versuchsdurchführung zur Bestimmung der Sicherheitseigenschaften der Anlage, die während des Abfahrens der Anlage stattfand. Unzulänglichkeiten des Versuchsprogramms, unerwartete Bedingungen während der Versuchsdurchführung und ungeplante Eingriffe des Betriebspersonals führten in der Summe zu einer „prompt überkritischen Leistungsexkursion“ des Reaktors und damit zu seinem katastrophalen Versagen. Die Unfallursachenanalyse offenbarte erhebliche Defizite im Sicherheitsmanagement und in der Aufsicht der Anlage. Die Bedeutung des Anlagenmanagements und der Sicherheitskultur (engl. „safety culture“) auf das Anlagenrisiko wurde offenkundig.
Unfallursachenanalysen in praktisch allen anderen Industriebereichen, aber auch in der Medizin und Pharmazeutik, offenbarten gleichermaßen diese Einflussgröße. In allen Sicherheitsstandards der verschiedenen Industriebereiche finden sich heute entsprechende Anforderungen an ein Sicherheitsmanagement bzw. Risikomanagement.
Methoden zur Bewertung der Risiko-Größe „Sicherheitskultur“ existieren bislang lediglich in qualitativer Form.
Durchführung einer PSA Die PSA wird nach folgenden Arbeitsschritten erstellt: Identifikation der Gefahrenpotentiale, die in einer Anlage enthalten sind (wie Gefahrstoffe, radioaktive Spaltprodukte). Beschreibung der Sicherheitstechnik, der Maßnahmen und Barrieren, die die Gefahrenpotentiale einschließen und deren Freisetzung verhindern. Bestimmung der Störfälle, die zu einer Freisetzung der Gefahrenpotentiale führen können (störfallauslösende Ereignisse, engl. „intitiating events“). Festlegung des Spektrums der störfallauslösenden Ereignisse. Analyse der Störfallabläufe und der Wirkungsweise der Systemtechnik unter den Störfallbedingungen sowie Umsetzung der Störfallabläufe in Ereignis- und Fehlerbäume (sie bilden das probabilistische Modell in der PSA, das mit den Methoden der Wahrscheinlichkeitsrechnung quantifiziert werden kann). Ermittlung der Eingangsgrößen in das probabilistische Modell, den Zuverlässigkeitsdaten, HF-, CCF-Daten (Wahrscheinlichkeitsgrößen) und den Instandsetzungszeiten und Prüfintervallen (Zustandsänderungsgrößen) der Komponenten des Systems. Quantifizierung des probabilistischen Modells. Bewertung der Risikoergebnisse, Feststellung der führenden Risikobeiträge (Systemschwachstellen) und der möglichen risikosenkenden Maßnahmen.
Probabilistische Eingangsdaten Die probabilistischen Eingangsgrößen in der PSA sind:„Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbäumen“, März 1997, BfS-KT-18/97. Häufigkeiten der störfallauslösenden Ereignisse. Ausfallraten und Instandsetzungszeiten der Komponenten. Nichtverfügbarkeiten der Teilsysteme durch vorbeugende Instandhaltung. Fehlerraten gemeinsam verursachter Ausfälle redundanter Komponenten (CCF-Ausfälle, engl. „common cause failures“). Fehlerraten von Personalhandlungen (HF-Daten).
Die probabilistischen Eingangsdaten werden entweder aus der Betriebserfahrung der betrachteten Anlage (anlagenspezifische Daten) oder von anderen vergleichbaren Anlagen (generische Daten) übernommen.International Workshop on Reliability Data Collection, Proceedings, 1998, Budapest, Hungary (PDF; 15,5 MB), OECD-Workshops „Reliability Data Collection“, Budapest, 1998, NEA/CSNI/R(98)10, OECD/NEA, Paris. Die gewonnenen Zuverlässigkeitskenngrößen stellen zugleich Indikatoren (Sicherheitsindikatoren) für das Sicherheitsverhalten einer Anlage dar, insbesondere hinsichtlich systematischer Fehler und Alterungsprozesse. Sie geben frühzeitig Hinweise auf Defizite und Anlass für korrigierende Maßnahmen.
Unschärfe und Grenzen der Analyse Die quantitativen Ergebnisse einer probabilistischen Risikoanalyse sind generell mit Unschärfen behaftet. Es werden die folgenden Arten von Unschärfe unterschieden:
Modellunschärfe Die Abbildung des realen Systems im Risikomodell unter den Bedingungen der Störfall- oder Unfallsituationen stellt immer nur eine grobe Annäherung an die realen Abläufe dar. Simulationen von Unfallszenarien sowie die Auswertung von Unfallabläufen bei gleichartigen Systemen dienen der Verbesserung der Modellbildung.
Datenunschärfe und Parameterunschärfe Die Zuverlässigkeitskenngrößen unterliegen einerseits der „statistischen Streuung“ und anderseits der „technischen Streuung“. Die „statistische Streuung“ kann durch eine möglichst große Stichprobe reduziert werden. Die „technische Streuung“ ergibt sich aus dem Umstand, dass die zur Datenauswertung herangezogenen Komponenten in der Art und in ihrem Betriebsverhalten mit der betrachteten Komponente in der Regel nicht vollständig übereinstimmen. Die dadurch bedingte Unsicherheit ist in der Regel größer als die der „statistischen Streuung“.
Unschärfe durch unzureichenden Kenntnisstand Die Unfallerfahrung lehrt, dass der Kenntnisstand über die – in einer komplexen Industrieanlage – möglichen Störfallabläufe in der Regel unvollständig ist (vgl. Abschn. Bedeutende Risiko-Größen), d. h., dass das Risikomodell die Realität nur unvollständig wiedergibt.
Risiko-Bewertung Bewertung der absoluten Risikogröße Das quantitative Gesamtergebnis der Risikoanalyse, bestehend aus der Eintrittswahrscheinlichkeit und den Auswirkungen der untersuchten Unfallabläufe, gibt Aufschluss über die Kollektiv- und Individualrisiken der Bevölkerung in der Umgebung der Anlage. (PDF; 1,8 MB), L. Bengtsson, J. Holmberg, J. Rossi, M. Knochenhauer, Probabilistic Safety Goals for Nuclear Power Plants, May 2011, NKS-226, ISBN 978-87-7893-296-9.
Der Bewertungsansatz „MEM“ („Minimale endogene Mortalität“) basiert auf der minimalen Sterberate eines Menschen (im Lebensalter vom 5. bis zum 15. Lebensjahr) von 2·10−4/Jahr. Das zulässige Risiko soll deutlich unter diesem Wert liegen und wird mit 1·10−5/Jahr angesetzt (europäische Bahn-Norm EN 50126, 1997).
In der Luftfahrt müssen nach ARP 4761Society of Automotive Engineers: Aerospace Recommended Practice ARP4761: Guidelines and Methods for Conducting the Safety Assessment Process on Civil Airborne Systems and Equipment, Dezember 1996 und ARP 4754Society of Automotive Engineers: Aerospace Recommended Practice ARP4754: Certification Considerations for Highly-Integrated or Complex Aircraft Systems, November 1996 je nach Schweregrad der Auswirkungen eines Fehlers die folgenden Wahrscheinlichkeiten nachgewiesen werden: 10−5/Flugstunde für die Kategorie „Major“ 10−7/Flugstunde für die Kategorie „Hazardous“ bzw. „Severe Major“ 10−9/Flugstunde für die Kategorie „Catastrophic“
Vergleichende Risikobewertung Eine praktizierte Bewertung der quantitativen Risikoergebnisse ist der Vergleich mit anderen industriellen Risiken oder alternativen Anlagenkonzepten und Systemen.