6 – Felelősség az egymással összefonódó rendszerekben – Verantwortung in verflochtenen Systemen

1. 2003. augusztus 14-én, keleti nyári időszámítás szerint délután 3:05-kor a FirstEnergy Harding-Chamberlin nevű, Ohio államban található nagyfeszültségű távvezetéke üzemen kívül került, ezzel megszakítva a Cleveland és Akron felé vezető áramellátási útvonalat.

2. A várt riasztás nem jelent meg a vezérlőteremben.

3. A riasztásfeldolgozó már aznap délután korábban sem jelenítette meg megfelelően az eseményeket, és az üzemeltetők még nem tudták, hogy éppen abban a pillanatban, amikor a megbízható riasztásra a legnagyobb szükség volt, a hálózatról alkotott képük hiányos volt.

4. Az áram továbbra is áramlott.

5. Átterelődött más vezetékekre, miközben az azokért felelős személyek különböző kijelzőkről, különböző hívások alapján és egy összekapcsolt rendszer különböző részeiről dolgoztak, amelynek elektromos kapcsolatai átléptek a szervezeti határaikat.

6. Körülbelül egy órával később az üzemzavarok láncreakcióként terjedtek el az Egyesült Államok északkeleti részén és Ontarióban.

7. A becslések szerint 50 millió ember élt az érintett területen.

8. Az áramkimaradás egy egyszerű, de nehezen megválaszolható kérdést vet fel: ki volt a felelős, amikor senki sem tartotta az egész hálózatot egyetlen kézben, mégis sokan feleltek a fontos részekért?

9. A vezeték kiesése fizikai esemény volt; a hiányzó riasztás pedig információs jellegű.

10. Egyik sem magyarázza önmagában, hogy egy helyi zavar hogyan nőtt ki regionális áramkimaradássá.

11. Ahhoz, hogy értelmet nyerjen ez a folyamat, szem előtt kell tartanunk a felelősség többféle formáját anélkül, hogy azokat egyetlen vádba összevonjuk, ami elhomályosítaná, hogy a meghibásodások hogyan erősítették egymást.

12. A FirstEnergy üzemeltette az ohiói hálózatot, ahol a probléma kialakult.

13. A regionális megbízhatósági tanácsnak, az ECAR-nak külön szerepe volt annak felülvizsgálatában, hogy tagjainak gyakorlata megfelelő-e.

14. A MISO-nak, a regionális megbízhatósági koordinátornak szüksége volt az egyes üzemeltetők határait átívelő körülményekről alkotott áttekinthető képre, mivel egy vállalat területén bekövetkező probléma veszélyeztetheti egy másik által üzemeltetett vezetékeket.

15. Ezek a határok a szervezetek számára fontosak voltak, de az áram az összekötő vezetékeken haladt.

16. A két ország közös vizsgálata később négy okcsoportot azonosított, kezdve a FirstEnergy rendszerének gyenge pontjainak nem megfelelő értékelésével.

17. A FirstEnergy nem elemezte kellőképpen a feszültségstabilitást Cleveland és Akron környékén, az ECAR pedig nem vizsgálta függetlenül az általa alkalmazott kritériumokat, így mind az üzemeltető, mind a regionális felügyelő rendelkezésére állt a terület sebezhetőségének nem megfelelő értékelése.

18. Ez a gyengeség már a délutáni első figyelmeztetés előtt is fennállt.

19. Előfordulhat, hogy egy hálózat képes kielégíteni a szokásos igényeket, de mégsem rendelkezik elegendő tartalékkal ahhoz, hogy a következő berendezéskiesést biztonságosan elnyelje, különösen akkor, ha a korábbi tanulmányok elmulasztották felismerni a terület feszültségtámogatásának gyenge pontját.

20. A megbízható működés ezért olyan tanulmányoktól függ, amelyeket jóval azelőtt készítenek el, hogy bármely üzemeltető sürgős beavatkozásra kényszerülne.

21. A második okcsoport a FirstEnergy-nek a romló helyzetre vonatkozó felismerésével kapcsolatos volt.

22. Riasztó- és naplózó szoftvere röviddel 14:14 után meghibásodott, még azelőtt, hogy a későbbi vezetékkimaradások élesebben rávilágítottak volna a veszélyre, miközben más berendezési problémák máris bonyolították a délutáni helyzetet.

23. A riasztás arra szolgál, hogy felhívja a figyelmet egy változásra, nem pedig annak megértésének helyettesítésére.

24. Ebben az esetben a riasztások hiánya önmagában megnyugtató csendnek tűnhetett.

25. Voltak más jelek és külső bejelentések is, de ezek nem álltak össze egyértelmű diagnózissá a meghibásodott kijelzőn, ahol egy hiányzó riasztás miatt egy rendellenes esemény jelentéktelennek tűnhetett.

26. A vizsgálat utólag rekonstruálta ezt az eseménysort a feljegyzések és a meghallgatások alapján.

27. Az eseménysorozat idővonala nem volt olyan képernyő, amelyet bármelyik operátor elolvashatott volna 15:05-kor.

28. Ez a különbség központi jelentőségű a méltányos ítélet meghozatalához.

29. Feltehetjük a kérdést, hogy mit kellett volna egy szervezetnek intéznie egy meghibásodott felügyeleti eszköz észlelése érdekében anélkül, hogy úgy tennénk, mintha a személyzete ismerte volna minden olyan tényt, amelyet később a naplófájlokból, interjúkból és részletes szimulációkból sikerült kideríteni.

30. A műszaki személyzet 3:08-kor újraindította a szervert, abban a hitben, hogy a rajta futó folyamatok újra működnek, miközben a riasztási funkció továbbra is leállt állapotban volt, és a vezérlőterem továbbra is megbízható eseményfolyam nélkül működött.

31. Nem erősítették meg a vezérlőteremmel, hogy a riasztások valóban eljutnak-e azokhoz, akiknek szükségük van rájuk.

32. A befejezettként rögzített javítás nem azonos azzal, hogy a funkciót a használati helyen tesztelték.

33. Ez a hiányosság szervezeti és technikai jellegű is: az eszköz állapotára vonatkozó információknak át kellett jutniuk a támogató személyzet és az üzemeltetők között, majd össze kellett vetni őket azzal, amit az üzemeltetők ténylegesen láttak.

34. A harmadik okcsoport az átviteli folyosók mentén helyezkedett el.

35. A növényzetkezelés nem volt megfelelő, és több vezeték is érintkezésbe került a fákkal, amikor azok az elektromos terhelés alatt meghajlottak.

36. A fákkal való érintkezés kézzelfogható okot ad a vizsgálatnak, de egyetlen fa nem magyarázhatja meg a két országra kiterjedő áramkimaradást, hacsak a magyarázat nem ad választ arra is, hogy miért nem sikerült időben felismerni és megfékezni az egymást követő kieséseket.

37. Amint egy vezeték kiold, az általa szállított áramnak másik útvonalat kell választania, ha a hálózat továbbra is ki akarja elégíteni a keresletet, és ez az útvonal már eleve a saját határainak közelében lehet.

38. Ezek az új áramlások megterhelhetik a szomszédos vezetékeket és csökkenthetik a feszültségtartást, így az egymást követő kiesések egyre súlyosabb következményekkel járnak, mivel a rendszer fennmaradó útvonalai a kereslet egyre nagyobb részét viselik.

39. A karbantartás befolyásolja a kiesés kialakulásának valószínűségét; a felügyelet és a beavatkozás pedig azt, hogy a kiesés terjed-e tovább.

40. A negyedik csoport a FirstEnergy vezérlőtermén kívüli valós idejű diagnosztikával foglalkozott.

41. A MISO állapotbecslője – egy olyan eszköz, amely összehangolta a méréseket a hálózat modelljével – a délután nagy részében nem tudott megbízható automatikus értékeléseket nyújtani, így a koordinátor gyengébb alapokkal rendelkezett a területén felmerülő veszélyek megítéléséhez.

42. Ennek egyik oka az volt, hogy a vezetékállapotra vonatkozó információk nem jutottak el a modellhez a kialakított automatikus kapcsolaton keresztül.

43. Miután egy korábbi problémát kijavítottak, az eszköz automatikus működését nem kapcsolták vissza, és egy későbbi állapoteltérés ismét megakadályozta a megbízható értékelést, amikor egy újabb áramkimaradás nem felelt meg a modell hálózati képének.

44. Az elemzés végül délután 4:04-kor tért vissza a teljesen automatikus működéshez, nagyjából két perccel a láncreakció kezdete előtt.

45. Ez nem tette a MISO-t a FirstEnergy vezetékeinek tulajdonosává.

46. Ez azt jelentette, hogy az intézménynek, amelynek feladata a megbízhatóság átfogóbb szemlélete, hiányzott az egyik eszköz ahhoz, hogy ezt a képet kialakítsa, amikor arra szükség volt, annak ellenére, hogy az áram áthaladt az általa figyelemmel kísérendő határokon.

47. Egy szobában ülő üzemeltető észlelhet egy vezeték kioldását; egy máshol tartózkodó koordinátor túlterhelt áramlásokat észlelhet; egy szomszédos közüzemi vállalat aggasztó jelentést kaphat, anélkül, hogy bármelyik kijelzőn látható lenne, hogyan illeszkednek össze ezek a megfigyelések.

48. Minden egyes részlet igaz lehet, miközben a teljes kép veszélyesen késve alakul ki.

49. Az ilyen rendszerben a felelősség magában foglalja annak biztosítását, hogy a részletek továbbadódjanak, egymással összevetésre kerüljenek, és hogy a beavatkozásra rendelkezésre álló idő alatt a cselekvésre jogosult személy haladéktalanul intézkedjen.

50. Ez a megkülönböztetés nem szünteti meg az egyéni kötelességeket.

51. Érthetővé teszi őket: egy személy felelősségre vonható egy elérhető feladatért anélkül, hogy olyan ismereteket tulajdonítanának neki, amelyeket semmilyen műszer vagy hívás nem szolgáltatott, vagy elítélnék azért, mert nem vette észre a nyomozók későbbi rekonstrukcióját.

52. Ugyanez a korlát érvényes a másik irányban is.

53. Az a kijelentés, hogy senkinek sem volt teljes áttekintése a helyzetről, nem menti fel azt az intézményt, amelynek feladata volt olyan csatornákat létrehozni, amelyek révén elegendően jó áttekintés biztosítható.

54. A hivatalos vizsgálat működési és szervezeti hiányosságokat, valamint az akkor hatályos megbízhatósági szabályok megsértését tárta fel.

55. Ez a megállapítás meggyőzőbb, mint az a homályos állítás, miszerint az áramkimaradás elkerülhetetlen volt.

56. Szűkebb körű, mint egy bírósági ítélet, amely minden ebből eredő veszteségért személyes jogi felelősséget ró ki.

57. Az ok, a kijelölt feladat, a szabályszegés és a felelősség különböző kérdésekre ad választ.

58. A vezeték és a fa közötti érintkezés segít megmagyarázni, mi történt elektromos szempontból.

59. A karbantartási követelmény azt a kérdést veti fel, kinek volt jogosultsága és oka megakadályozni ezt az érintkezést; a szabályszegés azt a kérdést veti fel, hogy teljesült-e egy meghatározott szabvány, ami szűkebb kérdés, mint az, hogy kinek kell fizetnie az összes ebből eredő veszteségért.

60. A felelősség megállapításához külön jogi vizsgálatra lenne szükség a kötelességek, a bizonyítékok és a jogorvoslatok tekintetében.

61. A megkülönböztetés azért fontos, mert az áramszünet olyan embereket érintett, akiknek gyakorlatilag nem volt lehetőségük ellenőrizni az átviteli folyosót vagy tesztelni a vezérlőterem riasztóit, noha mindkettőre támaszkodtak a mindennapi életük fenntartásához.

62. A háztartások szakemberekre támaszkodtak az alapvető kapcsolatok működésének fenntartásában.

63. Az, hogy ezt a munkát szakemberekre bízták, nem mentesítette a lakosságot a következmények alól.

64. Egy ekkora hálózatban a felelősségnek azokhoz a hatáskörökhöz kell kapcsolódnia, amelyekkel az emberek ténylegesen rendelkeznek: a berendezések karbantartása, a figyelmeztetések értelmezése, a régiók közötti koordináció, valamint olyan működőképes szabályok megállapítása, amelyek meghatározzák, mikor kell a aggodalmat beavatkozássá alakítani.

65. A délután folyamán inkább részleges figyelmeztetések érkeztek, mint egyetlen hiteles üzenet.

66. A szomszédos üzemeltetők a FirstEnergy-t hívták a vezetékproblémák miatt, míg a feszültségi problémákról és az ügyfelek áramkimaradásairól szóló jelentések más csatornákon érkeztek, így a vezérlőterem rendelkezésére álló információk szétszórtak voltak, és néha nehezen volt összeegyeztethetők.

67. Néhány hívás még a Harding–Chamberlin-i utazás előtt érkezett; mások pedig azt követően, ahogy a helyzet romlott.

68. Mivel a riasztási és kijelzési problémák elhomályosították a helyi helyzet egyes részeit, egy külső jelentés ellentmondhatott annak, amit az irányítóterem kijelzői mutattak, így az üzemeltetőknek el kellett dönteniük, hogy a bejelentés vagy a műszereik vezetnek-e félre.

69. Egy ilyen ellentmondást érdemes kivizsgálni, de ez nem feltétlenül tárja fel automatikusan az okát.

70. A jelentés megállapította, hogy a FirstEnergy vezérlőtermében csak körülbelül 15:45-kor ismerték fel egyértelműen a lehetséges vészhelyzetet, miután a többszörös vezetékvesztés már megnehezítette a helyzet ellenőrzését.

71. Addigra a rendezett reagálásra rendelkezésre álló időkeret már szűkülni kezdett.

72. A MISO-nak hiányzott továbbá a szélesebb hálózatra vonatkozó időszerű, megbízható automatikus elemzés, és a közvetlen adatkapcsolatain kívüli vezetékekre vonatkozó információk továbbra is hiányosak maradtak, ami korlátozta a szervezet képességét arra, hogy az egyes jelentéseket regionális riasztássá alakítsa.

73. Ennek eredményeként eltérés alakult ki az elektromos változások sebessége és az intézményi megértés sebessége között.

74. Az elektromos áramok azonnal reagálnak, ha egy útvonal megszűnik; a szervezeteknek észlelniük, összehasonlítaniuk, jóváhagyniuk és közölniük kell a helyzetet, mielőtt az emberek beavatkozhatnának, és minden lépés időt igényel, amit egy terhelt hálózat nem biztos, hogy megad.

75. Éppen ezért nem elegendő az egyes hibák felsorolása.

76. A hibák közötti veszélyes összefüggés abban állt, hogy a karbantartási mulasztások terhelést okoztak, míg a diagnosztikai hibák késleltették azt a reagálást, amely megakadályozhatta volna a helyzetet, így több kezelhető probléma egy egymást gyorsító eseménysorozattá alakult.

77. A nyomozók későbbi modellje megállapította, hogy a kritikus vezetékvesztés előtt a Cleveland–Akron térségben végrehajtott gyors terheléscsökkentés elkerülhette volna a szélesebb körű láncreakciót, feltéve, hogy azt elég korán elrendelték és végrehajtották.

78. A terheléscsökkentés azt jelenti, hogy átmenetileg csökkentik a kereslet egy részét, hogy a fennmaradó hálózat képes legyen ellátni a többit.

79. Ez valódi helyi költségeket rótt volna a fogyasztókra, beleértve azokat is, akiknek az áramellátása egyébként biztosított lett volna.

80. A vizsgálók által vizsgált alternatíva egy sokkal nagyobb, ellenőrizhetetlen áramkimaradás volt, nem pedig egy költségmentes korrekció.

81. Egy hihető vészhelyzeti intézkedéshez még mindig szükség volt egy elismert kiváltó okra, egy felhatalmazott döntéshozóra és egy olyan tervre, amelyet időben végre lehetett hajtani, annak ellenére, hogy nem állt rendelkezésre teljes körű információ arról, milyen súlyossá válhat a zavar.

82. Egy üzemeltető nem tud mindhárom elemet rögtönözni, miután a hálózat már elkezdett szétesni.

83. Még egy megalapozott műszaki lehetőség is elérhetetlenné válhat, ha azok, akik felhatalmazással rendelkeznek annak alkalmazására, túl későn kapnak figyelmeztetést.

84. Itt lép be az intézményi kialakítás az ok-okozati láncba.

85. Az előre kidolgozott szabályok jelzik a koordinátornak, mikor kell intézkedést kérnie, míg a megosztott adatokból kiderül, hogy a kérelem feltételei valóban fennállnak-e, lehetővé téve egy nehéz helyi áldozat megfontolását egy szélesebb körű meghibásodás bekövetkezte előtt.

86. Sem a szabályok, sem az adatok nem helyettesíthetik a nyomás alatt hozott döntést.

87. Lehetővé teszik a döntéshozatalt, mielőtt minden választás a szolgáltatás kiesésére adott reakcióvá válna.

88. A láncreakció azonban nem volt egyenletes az összekapcsolt régió egész területén.

89. Amikor New England elszakadt New Yorktól, New England nagy része és Kanada tengerparti tartományai megőrizték a szolgáltatást, mert az új villamosenergia-szigeten a termelés és a kereslet elég közel állt egymáshoz ahhoz, hogy egyensúlyban legyenek.

90. Maga a leválás nem garantálta a túlélést; kimenetele attól függött, hogy milyen egyensúly alakult ki véletlenül.

91. Québecben csak kis mértékű hatások jelentkeztek, amit elősegítettek a nagyfeszültségű egyenáramú összeköttetések, amelyek megvédték a rendszerét a máshol bekövetkezett súlyos frekvenciaingadozásoktól.

92. Ezek az eredmények korlátokat szabnak annak az állításnak, miszerint az összekapcsolt rendszereknek együtt kell meghibásodniuk.

93. Nem támasztják alá azt, hogy minden régiónak el kellene szigetelnie magát.

94. Az összeköttetés általában lehetővé teszi a régiók számára, hogy áramot cseréljenek és egymást támogassák, míg kockázatai attól függenek, hogy milyen útvonalakon és védelmi rendszereken keresztül terjedhetnek a zavarok, valamint attól, hogy az üzemeltetők milyen gyorsan ismerik fel a saját határaikon túli terhelést.

95. New England egyensúlya és Québec összeköttetései megmutatják, hogy bizonyos műszaki megoldások hogyan korlátozhatják a károkat bizonyos körülmények között.

96. Ezek a példák alig mondanak valamit bárki erkölcsi értékéről.

97. Arra is rávilágítanak, hogy a felelősséget miért nem lehet kizárólag a „sötétség térképéből” visszamenőlegesen levezetni.

98. Előfordulhat, hogy két üzemeltető hasonló szakmai kötelezettségeket teljesít, mégis eltérő fizikai körülményekkel szembesül, amikor egy hiba terjed.

99. Ezzel szemben egy szerencsés határ nem bizonyítja, hogy egy üzemeltető tervezése és felügyelete megfelelő volt.

100. Az eredmények fontosak, de inkább a vizsgálat alapjául szolgáló bizonyítékok, mintsem a magatartásra vonatkozó végleges ítéletek.

101. Az áramkimaradás után a két ország közös munkacsoportja azt javasolta, hogy a megbízhatósági szabványokat tegyék kötelezővé és végrehajthatóvá, a be nem tartás esetén szankciókkal.

102. Ez az ajánlás a szabályok akkori jogi erejének hiányosságára irányult; nem szabad úgy értelmezni, mintha 2003-ban már minden döntést szankciók szabályoztak volna.

103. A jelentés emellett jobb rendszermodelleket, fejlettebb adatcserét és egyértelműbb kommunikációt szorgalmazott riasztások és vészhelyzetek során, hogy a következő figyelmeztetést megbízható helyzetképpel lehessen összehasonlítani, és késedelem nélkül tovább lehessen adni.

104. Minden javaslat a helyzet felmérésétől a megfigyelésen át a döntésig tartó lánc egy-egy különböző szakaszában fellépő hiányosságot célozott meg.

105. Egy modell csak akkor hasznos, ha tükrözi, mely vonalak vannak ténylegesen üzemben.

106. A figyelmeztetés csak akkor segít, ha eljut valakihez, aki felismeri annak jelentését, és meg tudja tenni vagy kérni a következő lépést, különösen akkor, ha a legátfogóbb rálátással rendelkező személyek nem az érintett vonalakat üzemeltetik.

107. Egy végrehajtható szabvány csak akkor segít, ha követelményeit a tényleges működés alapján ellenőrizni lehet, és nem csupán elvként rögzítik.

108. Ezeket a kapcsolatokat előre le lehet tesztelni, beleértve azt is, hogy mi történik, ha egy felügyeleti eszköz észrevétlenül meghibásodik.

109. Ekkor felmerül a kérdés, hogy ki veszi észre a rendellenességet, és hogyan jut el ez az információ az irányítóterembe.

110. Az ilyen felkészülés nem követeli meg, hogy egyetlen személy irányítsa az egész kontinentális hálózatot.

111. Megköveteli a kijelölt felelősségi köröket azokon az átkötési pontokon, ahol egy jel egyébként megakadhat, jelentését megváltoztathatja, vagy cselekvési jogosultság nélkül érkezhet meg, valamint azt, hogy ellenőrizhető legyen, hogy a címzett valóban megkapta-e azt.

112. Minden szerepkör hatályának elég egyértelműnek kell lennie ahhoz, hogy egy esemény után alapos vizsgálatot lehessen végezni, és elég rugalmasnak ahhoz, hogy az esemény alatt is támogassa az együttműködést, amikor egy szomszédos szolgáltató előbb észlelheti a veszélyt, mint a helyi irányítóterem.

113. Ha minden szervezet feltételezi, hogy egy másik szervezet figyeli a határt, akkor a határ vakfolttá válik.

114. Ha minden szervezet a saját ismeretein túl próbál irányítani, az összehangolás zavarossá válhat.

115. A feladat az, hogy összekapcsoljuk a korlátozott szakértelmet anélkül, hogy úgy tennénk, mintha ezek a korlátok eltűnnének.

116. Ez az összeköttetés a későbbi nyomozók számára is nyomon követhető útvonalat biztosít az első figyelmeztetéstől a válaszul meghozott döntésig.

117. Nyom nélkül a kudarcot egy névtelen rendszerre lehet fogni; nyom esetén viszont lehetőség nyílik arra, hogy megkérdezzük: mely információk álltak rendelkezésre, hol szakadt meg az információáramlás, és milyen intézkedés maradt még megvalósítható.

118. Délután 3:05-kor a hiányzó riasztás egy hiányzó láncszem volt ezen az útvonalon.

119. A vezetékek továbbították a zavart, míg az az üzenet, amely segíthetett volna az embereknek felismerni annak jelentését, nem jutott el vele együtt, felfedve ezzel a határt az elektromos kapcsolat és az emberi koordináció között.

120. A felelősség ott kezdődik, ahol valakit megbíznak azzal, hogy ezt az átmenetet láthatóvá tegye, és addig tart, amíg a következő személy cselekedni tud.

1. Am 14. August 2003 um 15:05 Uhr Eastern Daylight Time fiel die Hochspannungsleitung „Harding-Chamberlin“ von FirstEnergy in Ohio aus, wodurch eine Stromleitung unterbrochen wurde, die Cleveland und Akron mit Strom versorgt hatte.

2. Der erwartete Alarm erschien nicht in der Leitwarte.

3. Der Alarmprozessor hatte bereits früher am Nachmittag aufgehört, Ereignisse korrekt anzuzeigen, und die Disponenten wussten noch nicht, dass ihr Überblick über das Netz gerade in dem Moment unvollständig war, in dem eine zuverlässige Warnung am wichtigsten war.

4. Der Strom floss weiter.

5. Er wurde auf andere Leitungen umgeleitet, während die für diese Leitungen Verantwortlichen an unterschiedlichen Bildschirmen, mit unterschiedlichen Anrufen und in unterschiedlichen Teilen eines vernetzten Systems arbeiteten, dessen elektrische Verbindungen ihre organisatorischen Grenzen überschritten.

6. Etwa eine Stunde später kam es im Nordosten der Vereinigten Staaten und in Ontario zu einer Kettenreaktion von Ausfällen.

7. Schätzungsweise 50 Millionen Menschen lebten in dem betroffenen Gebiet.

8. Der Stromausfall wirft eine einfache Frage auf, die schwer zu beantworten ist: Wer war verantwortlich, wenn niemand das gesamte Netz in einer Hand hielt, aber viele Menschen für wichtige Teile davon zuständig waren?

9. Der Ausfall der Leitung war ein physisches Ereignis; der fehlende Alarm war ein informatives.

10. Keines von beiden allein erklärt, wie sich eine lokale Störung zu einem regionalen Stromausfall ausweitete.

11. Um diese Ausweitung nachzuvollziehen, müssen wir verschiedene Arten von Verantwortung im Blick behalten, ohne sie zu einem einzigen Vorwurf zusammenzufassen, der verschleiern würde, wie sich die Fehler gegenseitig verstärkten.

12. FirstEnergy betrieb das Netz in Ohio, in dem sich die Störung entwickelte.

13. Der regionale Zuverlässigkeitsrat ECAR hatte eine eigenständige Rolle bei der Überprüfung, ob die Praktiken seiner Mitglieder angemessen waren.

14. MISO, ein regionaler Zuverlässigkeitskoordinator, benötigte einen aussagekräftigen Überblick über die Bedingungen, die über die Grenzen einzelner Betreiber hinausgingen, da Störungen im Gebiet eines Unternehmens die von einem anderen betriebenen Leitungen gefährden konnten.

15. Diese Grenzen waren für die Organisationen von Bedeutung, doch der Strom floss über die verbundenen Leitungen.

16. Die binationale Untersuchung identifizierte später vier Ursachengruppen, beginnend mit einer unzureichenden Bewertung der Schwachstellen im System von FirstEnergy.

17. FirstEnergy hatte die Spannungsstabilität im Raum Cleveland und Akron nicht ausreichend analysiert, und ECAR hatte die verwendeten Kriterien nicht unabhängig hinterfragt, sodass sowohl der Netzbetreiber als auch seine regionale Prüfstelle nur über unzureichende Erkenntnisse zur Anfälligkeit des Gebiets verfügten.

18. Diese Schwachstelle bestand bereits vor der ersten Warnung am Nachmittag.

19. Ein Netz kann seinen normalen Bedarf decken und dennoch nicht über genügend Spielraum verfügen, um den nächsten Ausfall von Anlagen sicher abzufangen, insbesondere wenn frühere Studien eine Schwachstelle in der Spannungsstabilität des Gebiets übersehen haben.

20. Ein zuverlässiger Betrieb hängt daher von Studien ab, die lange bevor ein Betreiber mit einem dringenden Problem konfrontiert wird, durchgeführt werden.

21. Die zweite Gruppe von Ursachen betraf das Verständnis von FirstEnergy hinsichtlich der sich verschlechternden Situation.

22. Die Alarm- und Protokollierungssoftware fiel kurz nach 14:14 Uhr aus – noch vor den späteren Leitungsausfällen, die die Gefahr deutlicher in den Fokus rückten, und während andere Anlagenprobleme den Nachmittag bereits erschwerten.

23. Ein Alarm dient dazu, die Aufmerksamkeit auf eine Veränderung zu lenken, ist jedoch kein Ersatz dafür, diese zu verstehen.

24. In diesem Fall konnte das Fehlen von Alarmen an sich wie beruhigendes Schweigen wirken.

25. Es gab zwar andere Anzeichen und Anrufe von außen, doch diese fügten sich nicht zu einer klaren Diagnose auf einem beschädigten Display zusammen, auf dem ein fehlender Alarm ein ungewöhnliches Ereignis als unauffällig erscheinen lassen konnte.

26. Die Untersuchung rekonstruierte diesen Ablauf nachträglich anhand von Aufzeichnungen und Befragungen.

27. Diese Zeitleiste war kein Bildschirm, den ein einzelner Bediener um 15:05 Uhr hätte ablesen können.

28. Dieser Unterschied ist für eine faire Beurteilung von zentraler Bedeutung.

29. Wir können fragen, was eine Organisation hätte veranlassen müssen, um ein ausgefallenes Überwachungsinstrument zu erkennen, ohne so zu tun, als hätten ihre Mitarbeiter alle Fakten gekannt, die später aus Protokollen, Befragungen und detaillierten Simulationen gewonnen wurden.

30. Das technische Personal startete um 3:08 Uhr einen Server neu, in der Annahme, dass die darauf gehosteten Prozesse wieder liefen, während die Alarmfunktion weiterhin blockiert war und die Leitstelle ohne einen verlässlichen Ereignisstrom weiterarbeitete.

31. Sie hatten sich nicht bei der Leitstelle vergewissert, dass die Alarme tatsächlich die Personen erreichten, die sie benötigten.

32. Eine als abgeschlossen protokollierte Reparatur ist nicht dasselbe wie eine am Einsatzort getestete Funktion.

33. Diese Lücke ist sowohl organisatorischer als auch technischer Natur: Informationen über den Zustand des Tools mussten zwischen Supportmitarbeitern und Bedienern weitergegeben und anschließend anhand dessen überprüft werden, was die Bediener tatsächlich sehen konnten.

34. Die dritte Gruppe von Ursachen lag entlang der Übertragungskorridore.

35. Die Vegetationspflege war unzureichend, und mehrere Leitungen kamen mit Bäumen in Kontakt, als sie unter der elektrischen Last durchhingen.

36. Der Kontakt mit Bäumen liefert der Untersuchung eine greifbare Ursache, aber ein einzelner Baum kann keinen Stromausfall erklären, der sich über zwei Länder erstreckt, es sei denn, die Darstellung erklärt auch, warum aufeinanderfolgende Ausfälle nicht rechtzeitig erkannt und eingedämmt wurden.

37. Sobald eine Leitung ausfällt, muss der von ihr transportierte Strom eine andere Route nehmen, damit das Netz den Bedarf weiterhin decken kann – und diese Route ist möglicherweise bereits nahe an ihren eigenen Grenzen.

38. Diese neuen Stromflüsse können benachbarte Leitungen belasten und die Spannungsstabilität verringern, wodurch jeder nachfolgende Ausfall schwerwiegendere Folgen hat als der vorherige, da die verbleibenden Pfade des Systems einen zunehmenden Anteil des Bedarfs tragen.

39. Wartungsmaßnahmen beeinflussen die Wahrscheinlichkeit eines auslösenden Ausfalls; Überwachung und Maßnahmen beeinflussen, ob sich ein Ausfall ausbreitet.

40. Die vierte Gruppe betraf die Echtzeitdiagnose außerhalb der Leitwarte von FirstEnergy.

41. Der Zustandsschätzer von MISO, ein Tool, das Messwerte mit einem Modell des Netzes abglich, konnte einen Großteil des Nachmittags keine zuverlässigen automatischen Bewertungen liefern, wodurch der Koordinator eine schwächere Grundlage für die Beurteilung von Gefahren in seinem Gebiet hatte.

42. Eine Ursache waren Informationen zum Leitungsstatus, die das Modell über eine etablierte automatische Verbindung nicht erreichten.

43. Nachdem ein früheres Problem behoben worden war, wurde der automatische Betrieb des Tools nicht wieder aktiviert, und eine spätere Statusabweichung verhinderte erneut eine fundierte Einschätzung, als ein weiterer Ausfall nicht mit dem Netzbild des Modells übereinstimmte.

44. Die Analyse kehrte schließlich um 16:04 Uhr zum vollautomatischen Betrieb zurück, etwa zwei Minuten bevor die Kettenreaktion einsetzte.

45. Dies machte MISO nicht zum Eigentümer der Leitungen von FirstEnergy.

46. Es bedeutete, dass der Institution, die mit einer umfassenderen Sicht auf die Versorgungssicherheit betraut war, eines der Mittel fehlte, um sich diese Sicht zu verschaffen, als es darauf ankam – obwohl Strom über die Grenzen hinweg floss, die sie überwachen musste.

47. Ein Operator in einem Raum könnte eine Leitungsabschaltung bemerken; ein Koordinator an anderer Stelle könnte überlastete Stromflüsse erkennen; ein benachbartes Versorgungsunternehmen könnte einen beunruhigenden Bericht erhalten, ohne dass ein einzelnes Display Aufschluss darüber gibt, wie diese Beobachtungen zusammenhängen.

48. Jedes einzelne Fragment kann wahr sein, während das Gesamtbild gefährlich verspätet bleibt.

49. Die Verantwortung in einem solchen System umfasst es, dafür zu sorgen, dass die Fragmente weitergeleitet, miteinander abgeglichen und von einer handlungsbefugten Person umgehend Maßnahmen ergriffen werden, solange das Zeitfenster für ein Eingreifen noch offen ist.

50. Diese Unterscheidung hebt die individuellen Pflichten nicht auf.

51. Sie macht sie verständlich: Eine Person kann für eine in ihrer Reichweite liegende Aufgabe zur Rechenschaft gezogen werden, ohne dass ihr Wissen zugeschrieben wird, das kein Instrument und kein Anruf liefern konnte, oder dafür verurteilt zu werden, dass sie die spätere Rekonstruktion der Ermittler nicht erkannt hat.

52. Die gleiche Grenze gilt auch in die andere Richtung.

53. Die Behauptung, dass kein Einzelner den vollständigen Überblick hatte, kann keine Institution entschuldigen, die eigentlich dafür sorgen sollte, dass ein ausreichend guter Überblick möglich war.

54. Die amtliche Untersuchung berichtete von betrieblichen und organisatorischen Mängeln sowie Verstößen gegen die damals geltenden Zuverlässigkeitsvorschriften.

55. Diese Feststellung ist aussagekräftiger als die vage Behauptung, der Stromausfall sei unvermeidbar gewesen.

56. Sie ist enger gefasst als ein Gerichtsurteil, das für jeden daraus resultierenden Schaden eine persönliche rechtliche Haftung zuweist.

57. Ursache, zugewiesene Pflicht, Regelverstoß und Haftung beantworten unterschiedliche Fragen.

58. Der Kontakt einer Leitung mit einem Baum hilft dabei, die elektrischen Vorgänge zu erklären.

59. Eine Wartungsvorschrift fragt danach, wer die Befugnis und den Grund hatte, diesen Kontakt zu verhindern; ein Regelverstoß fragt danach, ob ein definierter Standard eingehalten wurde – was eine enger gefasste Frage ist als die, wer für alle daraus resultierenden Verluste aufkommen soll.

60. Die Haftung würde eine eigene rechtliche Untersuchung hinsichtlich Pflichten, Beweisen und Rechtsbehelfen erfordern.

61. Die Unterscheidung ist von Bedeutung, da der Stromausfall Menschen betraf, die keine praktische Möglichkeit hatten, einen Übertragungskorridor zu inspizieren oder die Alarmanlagen eines Kontrollraums zu testen, obwohl sie sich auf beides verließen, um ihr normales Leben zu ermöglichen.

62. Die Haushalte waren auf Fachleute angewiesen, um die funktionierenden Verbindungen aufrechtzuerhalten.

63. Die Übertragung dieser Arbeit an Fachleute entband die Öffentlichkeit nicht von den Konsequenzen.

64. In einem so großen Netz muss die Verantwortung an die Befugnisse geknüpft sein, über die die Menschen tatsächlich verfügen: Wartung der Anlagen, Interpretation von Warnungen, regionenübergreifende Koordination und Festlegung praktikabler Regeln, die festlegen, wann aus Besorgnis ein Eingreifen werden sollte.

65. Am Nachmittag gab es eher vereinzelte Warnungen als eine einzige verbindliche Meldung.

66. Benachbarte Betreiber meldeten FirstEnergy Leitungsstörungen, während Berichte über Spannungsprobleme und Stromausfälle bei Kunden über andere Kanäle eingingen, sodass die der Leitstelle zur Verfügung stehenden Informationen verstreut und manchmal schwer in Einklang zu bringen waren.

67. Einige Anrufe gingen der Fahrt von Harding und Chamberlin voraus; andere folgten, als sich die Lage verschlechterte.

68. Da Alarm- und Anzeigefehler Teile der lokalen Lage verschleierten, konnte ein externer Bericht im Widerspruch zu dem stehen, was die Leitstelle anzuzeigen schien, was die Mitarbeiter zwang, zu entscheiden, ob der Anruf oder ihre Instrumente irreführend waren.

69. Ein solcher Widerspruch verdient eine Untersuchung, offenbart jedoch nicht automatisch dessen Ursache.

70. Der Bericht stellte fest, dass im Kontrollraum von FirstEnergy erst gegen 15:45 Uhr eine mögliche Notfallsituation klar erkannt wurde, nachdem mehrere Leitungsausfälle die Situation bereits schwerer kontrollierbar gemacht hatten.

71. Zu diesem Zeitpunkt hatte sich das Zeitfenster für eine geordnete Reaktion bereits verengt.

72. MISO fehlte zudem eine zeitnahe, zuverlässige automatische Analyse des gesamten Netzes, und Informationen über Leitungen außerhalb seiner unmittelbaren Datenverbindungen blieben unvollständig, was seine Fähigkeit einschränkte, einzelne Meldungen in eine regionale Warnung umzuwandeln.

73. Das Ergebnis war eine Diskrepanz zwischen der Geschwindigkeit der elektrischen Veränderungen und der Geschwindigkeit des institutionellen Verständnisses.

74. Elektrische Ströme reagieren sofort, wenn ein Pfad verschwindet; Organisationen müssen dies bemerken, vergleichen, genehmigen und kommunizieren, bevor Menschen eingreifen können, und jeder Schritt kostet Zeit, die ein belastetes Netz möglicherweise nicht gewährt.

75. Deshalb reicht eine Auflistung einzelner Fehler nicht aus.

76. Die gefährliche Wechselwirkung zwischen ihnen bestand darin, dass Versäumnisse bei der Instandhaltung Belastungen verursachten, während Versäumnisse bei der Diagnose die Reaktion verzögerten, die diese möglicherweise hätte eindämmen können, wodurch aus mehreren beherrschbaren Problemen eine sich beschleunigende Kettenreaktion wurde.

77. Das spätere Modell der Ermittler ergab, dass eine schnelle Lastreduzierung im Raum Cleveland-Akron vor dem Ausfall einer kritischen Leitung die umfassendere Kettenreaktion hätte abwenden können – vorausgesetzt, sie wäre früh genug angeordnet und durchgeführt worden.

78. Lastreduzierung bedeutet, einen Teil des Bedarfs vorübergehend zu drosseln, damit das verbleibende Netz den Rest versorgen kann.

79. Dies hätte den Kunden vor Ort echte Kosten verursacht, auch denjenigen, deren Stromversorgung ansonsten gesichert gewesen wäre.

80. Die von den Ermittlern untersuchte Alternative war ein weitaus größerer, unkontrollierter Stromausfall, keine kostenfreie Korrekturmaßnahme.

81. Eine plausible Notfallmaßnahme erforderte dennoch einen anerkannten Auslöser, einen befugten Entscheidungsträger und einen Plan, der rechtzeitig umgesetzt werden konnte – trotz unvollständiger Informationen darüber, wie schwerwiegend die Störung werden könnte.

82. Ein Netzbetreiber kann nicht alle drei Elemente improvisieren, nachdem das Netz bereits zu zerfallen beginnt.

83. Selbst eine solide technische Option kann unzugänglich bleiben, wenn die dazu befugten Personen eine Warnung zu spät erhalten.

84. An dieser Stelle kommt die institutionelle Gestaltung in die Kausalkette ins Spiel.

85. Vorab festgelegte Regeln können einem Koordinator signalisieren, wann er Maßnahmen anfordern muss, während gemeinsam genutzte Daten zeigen können, ob die Bedingungen für diese Anforderung tatsächlich eingetreten sind, sodass ein schwieriges lokales Opfer in Betracht gezogen werden kann, bevor es zu einem großflächigen Ausfall kommt.

86. Weder Regeln noch Daten ersetzen das Urteilsvermögen unter Druck.

87. Sie ermöglichen eine Beurteilung, bevor jede Entscheidung zu einer Reaktion auf einen Ausfall wird.

88. Dennoch verlief die Kaskade nicht in der gesamten verbundenen Region einheitlich.

89. Als sich New England von New York trennte, blieb der Stromversorgungsbetrieb in weiten Teilen von New England und den kanadischen Maritimen Provinzen aufrechterhalten, da sich Erzeugung und Nachfrage in ihrer neuen Strominsel nahe genug lagen, um sich auszugleichen.

90. Die Trennung an sich garantierte kein Überleben; ihr Ausgang hing von dem Gleichgewicht ab, das zufällig bestehen blieb.

91. Québec war nur von geringen Auswirkungen betroffen, unterstützt durch Hochspannungs-Gleichstromverbindungen, die sein Netz vor den starken Frequenzschwankungen in anderen Gebieten schützten.

92. Diese Ergebnisse setzen der Behauptung Grenzen, dass verbundene Netze gemeinsam ausfallen müssen.

93. Sie belegen nicht, dass sich jede Region isolieren sollte.

94. Durch die Vernetzung können Regionen normalerweise Strom austauschen und sich gegenseitig unterstützen, während ihre Risiken von den Pfaden und Schutzvorrichtungen abhängen, über die Störungen übertragen werden können, sowie davon, wie schnell die Betreiber Belastungen jenseits ihrer eigenen Grenzen erkennen.

95. Das Gleichgewicht in Neuengland und die Verbindungen in Québec zeigen, wie bestimmte technische Vorkehrungen unter bestimmten Bedingungen Schäden begrenzen können.

96. Sie sagen wenig über den moralischen Wert einer Person aus.

97. Sie zeigen auch, warum Verantwortung nicht allein anhand der Karte der Stromausfälle rückwirkend abgeleitet werden kann.

98. Zwei Betreiber können ähnliche berufliche Verpflichtungen erfüllen und dennoch mit unterschiedlichen physikalischen Bedingungen konfrontiert sein, wenn sich ein Fehler ausbreitet.

99. Umgekehrt beweist eine glückliche Grenze nicht, dass die Planung und Überwachung eines Netzbetreibers solide waren.

100. Ergebnisse sind wichtig, aber sie sind eher Anhaltspunkte für weitere Untersuchungen als endgültige Urteile über das Verhalten.

101. Nach dem Stromausfall empfahl die binationale Arbeitsgruppe, Zuverlässigkeitsstandards verbindlich und durchsetzbar zu machen, mit Sanktionen bei Nichteinhaltung.

102. Diese Empfehlung bezog sich auf eine Schwäche in der damaligen Rechtskraft der Vorschriften; sie sollte nicht so verstanden werden, als hätte diese Sanktionsregelung bereits im Jahr 2003 jede Entscheidung geregelt.

103. Der Bericht forderte außerdem bessere Systemmodelle, einen verbesserten Datenaustausch und eine klarere Kommunikation bei Warnungen und Notfällen, damit die nächste Warnung mit einem verlässlichen Lagebild abgeglichen und unverzüglich weitergeleitet werden könne.

104. Jeder Vorschlag zielte auf eine andere Lücke in der Kette zwischen Zustand, Beobachtung und Entscheidung ab.

105. Ein Modell ist nur dann nützlich, wenn es widerspiegelt, welche Leitungen tatsächlich in Betrieb sind.

106. Eine Warnung hilft nur, wenn sie jemanden erreicht, der ihre Bedeutung erkennt und den nächsten Schritt unternehmen oder anfordern kann – insbesondere dann, wenn die Personen mit dem umfassendsten Überblick nicht die betroffenen Leitungen betreiben.

107. Ein durchsetzbarer Standard ist nur dann hilfreich, wenn seine Anforderungen anhand des Betriebs überprüft werden können und nicht lediglich als Zielsetzung abgelegt werden.

108. Diese Verknüpfungen können im Voraus getestet werden, einschließlich der Frage, was passiert, wenn ein Überwachungsinstrument stillschweigend ausfällt.

109. Es stellt sich dann die Frage, wer dieses Schweigen bemerkt und wie diese Feststellung die Leitstelle erreicht.

110. Eine solche Vorbereitung erfordert nicht, dass eine einzige Person das gesamte kontinentale Stromnetz befehligt.

111. Sie erfordert klar definierte Zuständigkeiten an Schnittstellen, an denen ein Signal andernfalls unterbrochen werden, seine Bedeutung ändern oder ohne Handlungsbefugnis ankommen könnte, sowie eine Möglichkeit, zu überprüfen, ob der beabsichtigte Empfänger es tatsächlich erhalten hat.

112. Der Umfang jeder Rolle sollte klar genug sein, um eine Nachprüfung nach einem Vorfall zu ermöglichen, und flexibel genug, um die Zusammenarbeit während eines Vorfalls zu unterstützen – etwa wenn ein benachbartes Versorgungsunternehmen eine Gefahr möglicherweise früher erkennt als die lokale Leitstelle.

113. Wenn jede Organisation davon ausgeht, dass eine andere die Grenze überwacht, wird diese Grenze zu einem toten Winkel.

114. Wenn jede Organisation versucht, über den Horizont ihres eigenen Wissens hinaus zu steuern, kann Koordination in Verwirrung umschlagen.

115. Die Aufgabe besteht darin, begrenztes Fachwissen zu vernetzen, ohne so zu tun, als würden diese Grenzen verschwinden.

116. Diese Vernetzung bietet späteren Ermittlern zudem einen nachvollziehbaren Weg von der ersten Warnung bis zur daraufhin getroffenen Entscheidung.

117. Ohne eine solche Spur kann ein Versagen einem anonymen System angelastet werden; mit einer solchen Spur wird es möglich, zu fragen, welche Informationen verfügbar waren, wo sie endeten und welche Maßnahmen noch durchführbar waren.

118. Um 15:05 Uhr war der fehlende Alarm eine Lücke in diesem Pfad.

119. Die Leitungen leiteten die Störung weiter, während die Nachricht, die den Menschen geholfen hätte, ihre Bedeutung zu erkennen, nicht mitgeliefert wurde, wodurch eine Grenze zwischen elektrischer Verbindung und menschlicher Koordination offenbart wurde.

120. Verantwortung beginnt dort, wo jemand damit beauftragt ist, diese Grenze sichtbar zu machen, und dauert an, bis die nächste Person handeln kann.