Fehler Eins

111 Wie Unfälle entstehen

13Kapitel 1
Verkettung von Fehlern

Die Challenger-Katastrophe

Der 28. Januar 1986 endete in einem Fiasko für die NASA.

Es war ein ungewöhnlich kalter Tag in Florida. Ein Blizzard hatte kalte Luft vom Norden bis an die Atlantikküste in Florida getragen. Die Temperaturen sanken bis auf -4° C. An den Geräten der Startrampe hingen lange Eiszapfen. Und das ausgerechnet an dem Tag, als die 25. Spaceshuttle-Mission starten sollte, mit besonderer Beladung an Bord. Die Lehrerin Christa McAuliffe sollte als erste Zivilistin mitfliegen, um aus dem Weltall Unterricht zu geben. Dies war mehr eine PR-Mission, um die amerikanische Bevölkerung wieder für die NASA und ihre Aufgaben zu begeistern.

AUF DEM WEG IN DIE KATASTROPHE:

LETZTER START DES SPACESHUTTLES CHALLENGER

FOTO: NASA

14Der Start wurde schon vorher dreimal verschoben. Jedesmal gab es unterschiedliche Gründe, um den Start kurzfristig abzusagen. Zweimal spielte das Wetter nicht mit, ein anderes Mal gab es ein Warnsignal einer nicht verschlossenen Außenklappe, was sich später als Fehlwarnung herausstellte.

Das öffentliche Interesse war groß, ebenso groß war aber auch der Druck, der auf dem Spaceshuttle Program Manager lastete, das Challenger Spaceshuttle endlich starten zu lassen. Die Besucher, Zuschauer und Presse wie auch die amerikanische Öffentlichkeit wurden schon mehrfach vertröstet. Die Kamerateams und mit ihnen Millionen Menschen an Fernsehern weltweit warteten.

Um 11:38 Uhr, die Außentemperatur betrug noch 2°Celsius, startete das Spaceshuttle Challenger zu seiner Weltraum-Mission. Die Triebwerke zündeten wie geplant und die Challenger hob mit 121 Tonnen Startgewicht ab. Die ersten 60 Sekunden lief alles nach Plan und die Kameras verfolgten den Start in den klaren Morgenhimmel über Cape Canaveral. Dann plötzlich, 73 Sekunden nach dem Abheben, explodierte das Spaceshuttle in einem großen Feuerball, übertragen live und in Farbe über Kameras millionenfach ins Fernsehen. Es herrschte Totenstille. Der NASA-Kommentator sagte sichtlich geschockt: „Offensichtlich haben wir eine gravierende Fehlfunktion.“

Sieben Astronauten verloren ihr Leben. Die Crew hatte keine Überlebens­chancen bei dieser Explosion.

Der amerikanische Präsident, Ronald Reagan, beauftragte eine Untersuchungskommission mit der Aufarbeitung der Challenger-Katastrophe. Der Untersuchungsbericht umfasste 170.000 Seiten und zeigte äußerst anschaulich, wie sich die Fehlerkette entwickeln konnte und unweigerlich zu dem Unglück führen musste.

Die primäre Ursache lag in den Gummidichtungen der beiden Hauptraketen (Booster), die links und rechts an dem Spaceshuttle montiert waren. Die Dichtungen sollten das Austreten von Treibstoff verhindern.

Die Gummidichtungen waren jedoch fehleranfällig. Fast genau ein Jahr zuvor kam es beim Start des Spaceshuttle Discovery bereits zum Gasaustritt an den Dichtungen. Der Hersteller der Booster-Raketen, Morton-Thiokol Inc., untersuchte den Vorfall und führte weitere Tests durch. Dabei fanden die Ingenieure heraus, dass die Dichtungen spröde und rissig wurden, sobald die Temperatur unter 10° Celsius lag. In einem Memo schrieb einer der Ingenieure: „Wir befürchten dass unter diesen Umständen die Raketen versagen könnten.“

Wie aber kam es, dass trotz dieser Erkenntnisse der Challenger-Start nicht verhindert wurde?

15Die Startfreigabe eines Spaceshuttle durchlief immer einen vierstufigen Prozess. Dieser Prozess sollte die Sicherheit erhöhen, denn nur wenn alle Stufen erfolgreich durchlaufen wurden, durfte eine Mission starten.

Die erste Stufe, die Ebene IV, berücksichtigte die Hersteller der verschiedenen Einzelbauteile. Sie alle mussten „grünes Licht“ geben, bevor die nächste Stufe, Ebene III ihr Okay geben konnte. Die Ebene III waren die NASA-Manager, die für die unterschiedlichen Untersysteme verantwortlich waren. Anschließend wurde auf Ebene II geprüft, ob sämtliche Sub- und Untersysteme zusammenhängend einsatzbereit waren. Die letzte Stufe war die Ebene I. Es war die Ebene der Mission-Manager der Nasa, die für die gesamte Mission ihre Zustimmung geben mussten. Erst wenn alle Stufen abgeschlossen waren, durfte ein Spaceshuttle starten.

Am Abend zuvor, rund 15 Stunden vor dem verhängnisvollen Start, gab es eine entscheidende Konferenz zwischen der NASA (Ebene III) und dem Team des Raketenherstellers Morton Thiokol (Ebene IV). Die beiden ­Thiokol-Ingenieure Boisjoly und Thompson erläuterten die unkalkulierbaren Risiken beim Start unter 10°C Außentemperatur. Die NASA-Manager waren entsetzt: „Der Abend vor einem Start ist ein verdammt schlechter Zeitpunkt, um sich neue Kriterien einfallen zu lassen. Mein Gott, was glauben Sie, wann wir starten sollten, erst im April?“

Die Stimmung zwischen dem Thiokol- und NASA-Team war auf dem Tiefstpunkt. Die Konferenz wurde für 30 Minuten unterbrochen. Der ebenfalls anwesende Geschäftsführer von Morton Thiokol, Jerald Mason, war verzweifelt. Seit Monaten hatte er Anschlussaufträge mit der NASA verhandelt und nun befürchtete er, dass zwei übervorsichtige Ingenieure das alles zunichtemachen könnten. Er fragte in die Runde: „Bin ich der Einzige, der bereit ist zu fliegen?“ Daraufhin schaute er die beiden Bedenkenträger an und sagte: „Jetzt ist der Zeitpunkt, Ihren Ingenieurshut abzulegen und Ihren Managementhut aufzusetzen!“ Die beiden Ingenieure verstummten. Sie dachten sich, dass das Problem mit den Dichtungsringen der NASA ja seit Monaten bekannt sei, und beließen es dabei.

Als die Konferenz zwischen Morton Thiokol und NASA wieder aufgenommen wurde, erläuterte der Vorstand des Raketenherstellers Joe Kilminster: „Wir sind mittlerweile zu einer anderen Einschätzung des Risikos gekommen. Wir halten den Start für vertretbar.“ Die verantwortlichen NASA-Manager der Prüfebene III waren erleichtert und meldeten, dass der Hersteller keine Einwände mehr hätte. Die Risiken der Dichtungsringe wurden danach bis zum verhängnisvollen Start nicht mehr erwähnt.

In der Nacht, als die Entscheidung für den Start getroffen wurde, lag die Temperatur bei –4°C und damit weit unterhalb der als kritisch betrachteten 10°C. 16Damit nahm die verhängnisvolle Kette ihren Lauf. Die Dichtungsringe an den Boosterraketen wurden spröde. Als die Challenger abhob und Richtung Weltraum flog, rissen die Dichtungen und große Mengen Treibstoff konnten austreten. Er entzündete sich am Abgasstrahl und führte zur Explosion der Rakete. Das Spaceshuttle Challenger brach auseinander. Knapp sechs Wochen später fanden Bergungsmannschaften die Leichen der sieben Astronauten. Drei der Besatzungsmitglieder hatten noch Zeit, um ihren Sauerstoff für den Notausstieg zu aktivieren. Möglicherweise lebten sie noch, als die Kapsel auf der Wasseroberfläche aufschlug.

Ihre Mission dauerte 73 Sekunden. Die Verkettung der Fehler, die zu dieser Katastrophe führten, begann aber viel früher, lange bevor es lebensgefährlich wurde.

Dieses Buch soll Ihnen helfen, Fehlerketten zu erkennen, den „FEHLER EINS“ rechtzeitig zu identifizieren und damit Katastrophen wie das Challenger-Unglück zu verhindern.

Katastrophen

Es gab in der Geschichte der Menschheit viele gravierende Unglücke, die am Ende einer Fehlerkette standen:

• Untergang Titanic (1911)
• Katastrophe von Bhopal (1984)
• Challenger-Explosion (1986)
• Nuklearkatastrophe von Tschernobyl (1986)
• Untergang der Kursk (12. August 2000)
• BP Deepwater Horizon (2010)

Und das ist nur ein kleiner Auszug aus der langen Liste der Unglücke und von Menschen verursachten Katastrophen.1