4.5 – A redundancia mint cselekvési mozgástér – Redundanz als Handlungsspielraum

1. 1970. április 13-án az Apollo 13 szolgálati moduljából oxigén szivárgott ki, miközben még messze volt a Földtől.

2. A szivárgás nem csupán a légzésre jelentett veszélyt.

3. A parancsnoki modul üzemanyagcellái a szolgálati modul oxigénjét használták fel áram és víz előállításához, így a meghibásodás a legénység szokásos ellátását, valamint a hazatéréshez szükséges levegőt is veszélyeztette.

4. A tervezett holdra szállásnak vége lett.

5. Jim Lovell, Jack Swigert és Fred Haise űrhajójához még mindig csatolva volt az Aquarius holdmodul.

6. Ezt a modult arra tervezték, hogy két embert szállítson a Holdra és vissza a parancsnoki modulhoz, nem pedig arra, hogy három embert elszállásoljon egy hosszabb, a Hold körüli utazás és a hazatérés során.

7. Az Aquariusnak azonban volt saját oxigénkészlete, akkumulátorai, vize és hajtóműve.

8. Ezek az egymást átfedő funkciók olyan lehetőséget nyújtottak a legénységnek, ami nem az Aquarius szállításának eredeti célja volt.

9. A kérdés már nem az volt, hogy a sérült parancsnoki modul képes-e fenntartani a szokásos repülést, hanem az, hogy a két összekapcsolt járművet ismeretlen sorrendben lehet-e működtetni anélkül, hogy kimerülnének a fennmaradó készleteik.

10. A NASA küldetésjelentése szerint az Aquarius a Földbe való belépés előtt röviddel még mindig biztosította az áramellátást és az életfenntartást.

11. De senki sem tudta azonnal, hogy ez az improvizált felhasználás kitart-e a visszatérésig.

12. A repülésirányítóknak és a legénységnek meg kellett állapítaniuk, mi működik még, mennyi maradt, és mely energia- és vízfelhasználásokat lehet elhalasztani anélkül, hogy veszélybe sodornák a visszatérést.

13. A parancsnoki modul utolsó üzemanyagcellája meghibásodott.

14. A kényelmi rendszerek működésének fenntartása felemésztette volna a később szükséges erőforrásokat, amikor már csak a hőpajzs és a belépési berendezések tudták volna átjuttatni a legénységet a légkörön.

15. A rendszerek nagy részét leállították.

16. Az Aquarius menedéket nyújthatott nekik repülés közben, de a végén nem tudta átvenni a parancsnoki modul szerepét.

17. A redundancia itt nem azt jelentette, hogy egy teljes második Apollo űrhajót kellett volna magukkal vinniük.

18. Azt jelentette, hogy rendelkezniük kellett egy másik módszerrel bizonyos alapvető funkciók ellátására abban az esetben, ha a szokásos módszer meghibásodott, miközben meg kellett őrizniük azt az egyetlen alkatrészt, amelynek nem volt helyettesítője.

19. Még ezt a korlátozott alternatívát is óráról órára a módosított repülési tervhez kellett igazítani.

20. A holdmodul tervezett üzemideje rövidebb volt, mint a módosított visszatérés ideje, és ellátmányát egy másik legénység és egy másik küldetés igényeihez igazították.

21. A NASA az oxigénkészletet elegendőnek ítélte; a vízzel viszont szűkösebb volt a helyzet.

22. Az energiaellátásra is figyelni kellett, mert a parancsnoki modul akkumulátorainak készen kellett állniuk a légkörbe való visszatérésre, miután hosszú ideig a normál rendszerei kikapcsolt állapotban voltak.

23. Az ellenőrzőlistán szereplő mennyiségek csak annyiban voltak fontosak, amennyire az új terv felemésztette őket.

24. Minden bekapcsolva hagyott kapcsoló elhasznált egy részét a véges készletnek, és minden módosított manővert vagy eljárást ahhoz kellett viszonyítani, amit az űrhajó még képes volt biztosítani.

25. A földi irányítók új eljárásokat írtak és teszteltek, miközben a legénység azokat alkalmazta.

26. Ez a munka összekapcsolta a fizikai kapacitást az emberi képességekkel: egy működő hajtómű csak akkor tudta megváltoztatni a pályát, ha az emberek ki tudták számítani a hajtómű-teljesítményt, be tudták állítani a járművet, és végre tudták hajtani a manővert.

27. A megoldás már a hardverben is megvolt, még mielőtt bárki is tudta volna, hogy ez a konkrét meghibásodás bekövetkezik.

28. A diagnózis, a módosított utasítások és a fennmaradt erőforrások fegyelmezett felhasználása révén ez vált a hazatérés gyakorlati útjává.

29. A szén-dioxid fájdalmasan kézzelfoghatóvá tette ezt a különbséget.

30. A holdmodul rendelkezett olyan berendezéssel, amely eltávolította a gázt a kabin levegőjéből, de a patronjai önmagukban nem voltak elegendőek három ember számára a hosszabb tartózkodás ideje alatt.

31. A parancsnoki modulban több patron volt, de azok egy másik csatlakozással rendelkező rendszerhez tartoztak.

32. Alakjuk eltért a holdmodul rendszerének nyílásaitól, így a legénységnek olyan felesleges abszorbenssel kellett beérnie, amelyet nem lehetett egyszerűen felszerelni oda, ahol szükség volt rá.

33. Az irányítók a fedélzeten már rendelkezésre álló anyagokból készítettek egy adaptert.

34. Az improvizált csatlakozás lehetővé tette, hogy a parancsnoki modul patronjai kiszolgálják azt a kabint, amelyben a legénység ekkor élt; használható csatlakozó nélkül a tartalék kapacitás kihasználatlanul maradt volna.

35. Ez a javítás egy alkalmazkodás volt, nem pedig a korlátlan rugalmasság bizonyítéka.

36. Ismert felszereléstől, hozzáférhető anyagoktól, a még kezelhető kabinlégkörtől, valamint attól függött, hogy elegendő idő állt-e rendelkezésre az utasítások eljuttatásához a legénységhez.

37. A víz másfajta korlátot jelentett.

38. A NASA beszámolója szerint ez volt a legsürgetőbb fogyóeszköz-probléma, ezért a legénység jelentősen korlátozta az ivást, miközben az űrhajó vízfogyasztását is csökkentette.

39. Az Aquarius eldobásakor még maradt némi víz.

40. Ez a maradék nem jelenti azt, hogy a beosztás felesleges lett volna, mert az irányítóknak a felszerelés teljesítményével és a még szükséges idővel kapcsolatos bizonytalanság mellett kellett döntést hozniuk.

41. Ezt a tartalékot kényelmetlenséggel, gondos figyelemmel kíséréssel és a terv módosítására való hajlandósággal szerezték meg, ahogyan a mérési értékek változtak.

42. A hideg, a korlátozott vízmennyiség és a szunnyadó parancsnoki modul nehéz újraindítása mind ugyanazon visszatérés részét képezték, amelyet a „tartalék” szó könnyednek tűnhet.

43. Az Aquarius átmeneti megoldást jelentett, nem pedig egy második célállomást.

44. A hajtómű segített kialakítani a visszatérési pályát, a kabinja életben tartotta a legénységet, majd a legénységnek vissza kellett térnie a parancsnoki modulba a légkörbe való belépéshez.

45. Minden átszálláshoz a megfelelő funkcióra volt szükség a megfelelő időben.

46. Egy reggelig kitartó tartalék haszontalan, ha az elsődleges rendszer csak másnap állítható helyre; egy olyan tartalék, amelyet a fennálló körülmények között nem lehet csatlakoztatni, ugyanolyan haszontalan lehet.

47. Az időtartam fontos volt, mert minden erőforrásnak ki kellett tartania egy meghatározott következő lépésig, különösen a parancsnoki modul újraindításáig.

48. Az Apollo 13 azt is megmutatja, hogy a redundancia egy másik célra épített alkatrészből is származhat, feltéve, hogy funkciói átfedik egymást, és korlátai kezelhetők.

49. A tartaléknak nem kell azonosnak lennie a meghibásodott alkatrésszel.

50. Valóban, az Aquarius részben azért élte túl az oxigéntartály meghibásodását, mert külön tartalékokkal rendelkezett, ahelyett, hogy teljes mértékben a szolgálati modul sérült rendszerétől függött volna.

51. Ez az elválasztás döntő jelentőségű volt, bár nem szüntette meg minden közös sebezhetőséget.

52. Mindkét kabin továbbra is egy űrhajóhoz tartozott, egy visszatérési útvonalat követett, és olyan legénységre és földi szervezetre támaszkodott, amely képes volt biztosítani a kapcsolat működését.

53. Az eset ezért egy szűkebb állítást támaszt alá, mint a „több felszerelés életeket ment” elv.

54. Egy alternatív megoldásnak elérhetőnek, kompatibilisnek, megfelelően ellátottnak kell lennie, és elégségesen különböznie kell abban, ahogyan ki van téve annak a veszélynek, amely az első meghibásodást okozta.

55. Ugyanezek a kérdések másképp jelennek meg, amikor egy veszély egyszerre több tartalék rendszert is érint.

56. 2011. március 11-én a fukusimai Daiichi atomerőműben egy földrengés megszakította az atomerőmű külső áramellátását, és az azt követő szökőár elárasztotta a kritikus berendezéseket.

57. A telephely vészhelyzeti dízelgenerátorainak kellett volna biztosítaniuk a kritikus berendezések áramellátását a külső áramellátás kimaradása után.

58. A víz azonban több generátort, áramelosztó táblát és hűtőelemet is megrongált, így ugyanaz az esemény tönkretehette mind a rendes áramellátást, mind az azt helyettesíteni hivatott berendezéseket.

59. A Nemzetközi Atomenergia-ügynökség az 1–5. blokkokban bekövetkezett teljes áramkimaradást írja le.

60. A vázlaton feltüntetett tartalék berendezések száma nem árulta el az üzemeltetőknek, hogy az áradás után valójában mennyi villamos energia juthat el a szükséges rendszerekhez.

61. A víznek nem kellett minden generátort tönkretennie ahhoz, hogy azok működését megszakítsa.

62. Egy sértetlen motor is elszigetelődhetett egy elárasztott kapcsolótábla miatt, ugyanúgy, ahogyan a szén-dioxid-patronok ellátása is megakadhatott egy nem megfelelő csatlakozó miatt.

63. Az erőműben bekövetkezett következmények sokkal súlyosabbak és jellegükben is eltérőek voltak.

64. A működő reaktorokban az áram- és hűtéskiesés hozzájárult egy súlyos balesethez, amelynek okai között szerepeltek a veszélyekkel kapcsolatos döntések, a berendezések elhelyezése és a vészhelyzeti reagálás is.

65. A generátorok számának puszta felsorolása önmagában nem ad magyarázatot erre a történetre.

66. A szűkebb értelemben vett összehasonlítás arra a pillanatra vonatkozik, amikor egy tartalékrendszert arra kérnek, hogy ugyanazok a körülmények között működjön, amelyek a támogatott rendszert működésképtelenné tették, amikor egy közös gyengeség egyszerre mindkét rendszert tönkreteheti.

67. A szökőár egyszerre több feltételezett határt is átlépett.

68. Ahol a generátorok, az elektromos kapcsolótáblák és a tengervizes hűtőberendezések egyaránt ki voltak téve az elárasztás veszélyének, a duplikált egységek nem biztosítottak teljesen független áramellátási útvonalakat, annak ellenére, hogy a berendezések rendes üzemmódban különböző feladatokat láttak el.

69. Meghibásodásaikat egy közös ok kötötte össze: egy olyan esemény, amely több, elvileg egymástól független biztonsági rendszert is működésképtelenné tehetett.

70. Ez azért fontos, mert két, ugyanazon veszélynek kitett tartalék rendszer egyidejűleg is meghibásodhat, még akkor is, ha mindkettő jól teljesít egy olyan izolált berendezés-teszten, amely nem érinti a közös csatlakozásaikat.

71. Az erőműnek még mindig volt működőképes tartaléka, ezért története több tanulsággal szolgál, mint egy teljes, egységes meghibásodásról szóló eset.

72. A 6. blokknál egy léghűtéses vészhelyzeti dízelgenerátor és a hozzá tartozó elektromos berendezések továbbra is használhatóak maradtak, mivel elhelyezkedésük védte őket az elárasztástól, amely a többi berendezést működésképtelenné tette.

73. Az említett generátor által szolgáltatott áram később az 5. blokknak is segítségére volt.

74. A NAÜ beszámolója leírja, hogy a munkások ideiglenes kábeleket kötöttek össze, és helyreállítottak egy bizonyos mértékű áramellátást a két blokk között, ami arra emlékeztet, hogy a rendelkezésre álló forrás és a ténylegesen nyújtott szolgáltatás két különálló eredmény.

75. A 6. blokk helyzetét további kedvező körülmények is jellemezték.

76. A blokk akkor leállt állapotban volt, és az IAEA megjegyzi, hogy viszonylag alacsony bomlási hője időt adott az üzemeltetőknek arra, hogy alternatív hűtést szervezzenek, miközben máshol a sérült berendezésekkel foglalkoztak.

77. Ebben a helyzetben a megmaradt generátor döntő jelentőségű volt.

78. Helytelen lenne azt a következtetést levonni, hogy egy hasonló gép máshová történő elhelyezése önmagában megakadályozta volna az 1–3. blokkokban bekövetkezett súlyos baleseteket, ahol a körülmények és a sérült csatlakozások eltérőek voltak.

79. A megmaradt generátor sem szünteti meg a helyszínen feltárt sebezhetőséget.

80. Ehelyett a blokkok közötti ellentét segít azonosítani, mi tette a tartalékot többé, mint puszta „duplikátum” címkét: a sugárterhelés, a hűtési módszer, a védett elosztórendszer és az áramszállítási útvonal.

81. A különböző kivitelek eltérő módon bukhatnak meg.

82. A léghűtés megszüntette a 6. blokk megmaradt generátorának az elárasztott tengervíz-szivattyúktól való függőségét, miközben elektromos kapcsolótáblái is elkerülték a károsodást, így a generátor kimeneti teljesítménye továbbra is rendelkezésre állt.

83. Ez a különbség csak azért volt értékes, mert az áramot fel lehetett használni.

84. Az 5. blokkhoz való ideiglenes csatlakozás ugyanazon elv szervezeti oldalát mutatja: valakinek fel kellett mérnie a berendezéseket, le kellett fektetnie a kábeleket, meg kellett valósítania a csatlakozásokat, és el kellett döntenie, hová irányítsa a korlátozott mennyiségű áramot.

85. A tartalék csak akkor kínál cselekvési lehetőséget az embereknek, ha kimenete eljuthat az ahhoz szükséges berendezésekhez.

86. A tervezők néha úgy törekszenek a függetlenségre, hogy a redundáns rendszereket egymástól távol helyezik el, az elosztásukat külön védik, vagy ugyanazon kritikus funkcióhoz különböző technológiákat alkalmaznak, de minden választásnak egy konkrét veszélyre kell választ adnia.

87. Minden intézkedés egy adott meghibásodási útvonalra vonatkozik.

88. A távolság védelmet nyújthat egy helyi árvíz ellen, ugyanakkor hosszabb kábeleket tesz szükségessé; a különböző technológiák elkerülhetik a közös hűtési igényt, ugyanakkor újabb karbantartási terhet jelentenek, amelyet az üzemeltetőknek meg kell érteniük és kezelniük kell.

89. Ezek tervezési kompromisszumok, nem pedig a biztonságot garantáló ellenőrzőlista.

90. A releváns teszt egy valószínűsíthető zavarral kezdődik, és végigköveti azt a teljes lánc mentén, az ellátás forrásától a felhasználó berendezésig.

91. Egy generátornak üzemanyagra, vezérlőkre, hűtésre, megfelelő elektromos vezetékekre és egy üzembe helyezésre képes üzemeltetőre van szüksége, így ha csak azt ellenőrizzük, hogy a motor beindul-e, a lánc nagy része tesztelés nélkül marad.

92. Egy holdmodulnak fogyóeszközökre és használható átjáróra van szüksége, amelyen az emberek át tudnak haladni, miközben az első kabinjuk áramellátása megszakad.

93. Sem egy külön doboz, sem egy külön helyiség nem teremt függetlenséget, ha a kritikus kapcsolat olyan ponton halad át, amelyet ugyanaz a zavar működésképtelenné tehet, függetlenül attól, hogy ez a pont egy kapcsolótábla vagy egy átjáró.

94. Az idő egy másik kapcsolat.

95. Egy tartalék percekre, napokra vagy még hosszabb időre is felfüggesztheti a döntést, de értéke attól függ, hogy ez az időtartam elég hosszú-e az eredeti rendszer javításához vagy egy biztonságosabb állapot eléréséhez.

96. Az Apollo 13 esetében napokig tartó visszatérésre volt szükség.

97. Az irányítók energia- és vízszámításai a tárolt készleteket lehetséges cselekvések ütemtervévé alakították, beleértve a parancsnoki modul esetleges újraindítását is, amelyhez meg kellett őrizniük az akkumulátorok energiáját.

98. Egy atomerőműben a hűtési igény a reaktor leállítása után is fennmarad.

99. A rövid ideig működő berendezések időt nyerhetnek, de nem tudnak olyan feladatot végrehajtani, amelynek időtartama meghaladja az üzemanyag-készletüket, hűtési kapacitásukat vagy a hozzáférhető ellátási útvonalat, kivéve, ha egy másik működőképes ellátóforrás időben átveszi a feladatot.

100. A rendszeres tesztelésnek ezért a csatlakozásokat és az eljárásokat kell gyakorolnia, nem csupán azt kell megerősítenie, hogy egy kihasználatlan gép elindul, mert a hasznos funkció az energiaellátás vagy más szolgáltatás biztosítása terhelés alatt.

101. Egy teszt nem tud minden vészhelyzetet reprodukálni.

102. Felfedhet egy meghibásodott átkapcsolót, egy összeférhetetlen csatlakozót, egy elavult utasítást, vagy egy olyan ellátást, amely már nem tart olyan sokáig, mint azt a kezelők feltételezik.

103. A képzés része ennek a karbantartásnak.

104. Az Apollo 13 esetében a földi csapat eljárásokat írhatott és tesztelhetett, majd elküldhette azokat a kiképzett legénységnek; ez az emberi tartalék segített a hardver egymást átfedő funkcióinak használhatóvá tételében.

105. A Fukushima Daiichi-i balesetnél az áramellátás helyreállítása a sérült helyszíni körülmények között végzett munkát igényelt.

106. Egyik példa sem támasztja alá azt a megnyugtató elképzelést, hogy az improvizáció mindig pótolni tudja a tervezési hiányosságokat, mert maga az improvizáció is időt, anyagokat, hozzáférést és felhatalmazást igényel.

107. A tartalék kapacitás fenntartásának is megvan a maga ára.

108. A hardver helyet foglal, pénzt emészt fel, ellenőrzést igényel, és olyan erőforrásokat köthet le, amelyek más veszélyek kezelésére hatékonyabban használhatók fel; ezért a helyes összehasonlítás az egyes rendelkezésre álló beruházások által csökkentett kockázatokra vonatkozik.

109. A holdmodult a tervezett leszállás céljából vitték magukkal; vészhelyzeti szerepe inkább a funkciók átfedéséből fakadt, mintsem abból, hogy költségmentes, kifejezetten erre a célra épített másolata lett volna a parancsnoki modulnak.

110. Hasonlóképpen, egy üzem sem tudja felmérni a rezilienciáját azzal, hogy a lehető legtöbb azonos generátort vásárolja meg, miközben figyelmen kívül hagyja, hol helyezkednek el a kapcsolóberendezései, és hogy azok átengedik-e az áramot egy árvíz után is.

111. A cél az, hogy meghatározott típusú károsodások esetén is megmaradjon a használható választási lehetőség, amelynek költségei és korlátai láthatóvá válnak.

112. A modularitás lehetővé teszi az egyes alkatrészek külön fejlesztését vagy cseréjét; a redundancia pedig biztosítja a szükséges funkció rendelkezésre állását, ha a szokásos útvonal meghibásodik.

113. Ennek a választásnak van egy elosztási oldala is: a legénység, az üzemeltetők és a közeli közösségek különböző következményekkel szembesülnek, ha egy tartalék késve lép működésbe, csak részben működik, vagy teljesen meghibásodik.

114. A tervet jóváhagyóknak ezért nem csupán azt kell megkérdezniük, hogy hány alternatíva szerepel a tervben, hanem azt is, hogy kik tudják azokat ténylegesen elérni és működtetni, amikor a szokásos feltételezések összeomlanak.

115. A válasz indokolhatja a többletkapacitást, egy másik helyszínt, egy védett összeköttetést vagy egy olyan eljárást, amely biztosítja a szűkös készletek tartós felhasználását.

116. Az is kiderülhet belőle, hogy a javasolt tartalék túl sok függőséget oszt meg az elsődleges útvonalával ahhoz, hogy méltán viselje ezt a nevet.

117. Az Apollo 13-as szűk átjáróját az Odyssey és az Aquarius között két, különböző feladatot ellátó jármű közötti mozgás céljából építették.

118. Az oxigénvesztés után ez a járat lett az út egy másik levegő-, energia- és hajtóerő-forrás eléréséhez.

119. Nem szélesítette ki a holdmodult, nem töltött bele vizet, és nem alakította át a kabinját visszatérő kapszulává.

120. Lehetőséget biztosított a legénységnek arra a nem tökéletes alternatívára, amelyet még mindig működőképessé tudtak tenni.

1. Am 13. April 1970 verlor Apollo 13 Sauerstoff aus seinem Servicemodul, während es sich noch weit von der Erde entfernt befand.

2. Der Verlust bedrohte mehr als nur die Atmung.

3. Die Brennstoffzellen des Kommandomoduls nutzten den Sauerstoff des Servicemoduls zur Erzeugung von Strom und Wasser, sodass der Schaden sowohl die normale Versorgung der Besatzung als auch die Luft bedrohte, die sie auf dem Heimweg benötigten.

4. Die geplante Mondlandung war vorbei.

5. Jim Lovell, Jack Swigert und Fred Haise hatten noch immer die Mondlandefähre „Aquarius“ an ihr Raumschiff angekoppelt.

6. Sie war dafür gebaut worden, zwei Personen zum Mond und zurück zum Kommandomodul zu befördern, und nicht dafür, drei Personen während einer ausgedehnten Reise um den Mond und zurück zur Erde unterzubringen.

7. Dennoch verfügte „Aquarius“ über Sauerstoff, Batterien, Wasser und einen eigenen Antrieb.

8. Diese sich überschneidenden Funktionen eröffneten der Besatzung eine Möglichkeit, die ursprünglich nicht der Grund für die Mitnahme von „Aquarius“ gewesen war.

9. Die Frage war nun nicht mehr, ob das beschädigte Kommandomodul einen normalen Flug aufrechterhalten konnte, sondern ob die beiden miteinander verbundenen Fahrzeuge in einer ungewohnten Abfolge betrieben werden konnten, ohne ihre verbleibenden Vorräte aufzubrauchen.

10. Der Missionsbericht der NASA hält fest, dass die „Aquarius“ bis kurz vor dem Wiedereintritt in die Erdatmosphäre Strom und Lebenserhaltungssysteme lieferte.

11. Doch niemand wusste sofort, ob dieser improvisierte Einsatz bis zur Rückkehr durchhalten würde.

12. Die Fluglotsen und die Besatzung mussten feststellen, was noch funktionierte, wie viel noch übrig war und welche Verbräuche von Strom und Wasser aufgeschoben werden konnten, ohne die Rückkehr zu gefährden.

13. Die letzte Brennstoffzelle des Kommandomoduls versagte.

14. Würden die Systeme nur zum Komfort weiterbetrieben, würden Ressourcen verbraucht, die später benötigt würden – wenn nur noch der Hitzeschild und die Wiedereintrittsausrüstung die Besatzung durch die Atmosphäre bringen könnten.

15. Sie schalteten den Großteil davon ab.

16. „Aquarius“ konnte ihnen während des Fluges Schutz bieten, aber es konnte die Rolle des Kommandomoduls am Ende nicht ersetzen.

17. Redundanz bedeutete hier nicht, ein komplettes zweites Apollo-Raumschiff mitzuführen.

18. Es bedeutete, eine weitere Möglichkeit zu haben, bestimmte wesentliche Funktionen in dem Moment auszuführen, in dem der übliche Weg versagte, während die eine Komponente geschont wurde, für die es keinen Ersatz gab.

19. Selbst diese begrenzte Alternative musste Stunde für Stunde am geänderten Flugplan gemessen werden.

20. Die geplante Betriebsdauer der Mondlandefähre war kürzer als die geänderte Rückreise, und ihre Vorräte waren für eine andere Besatzung und eine andere Mission ausgelegt worden.

21. Die NASA schätzte den Sauerstoffvorrat als ausreichend ein; bei Wasser war die Lage knapper.

22. Auch die Energieversorgung musste eingeplant werden, da die Batterien des Kommandomoduls nach einer langen Zeit, in der die normalen Systeme ausgeschaltet waren, für den Wiedereintritt bereit sein mussten.

23. Die Mengen auf einer Checkliste waren nur insofern von Bedeutung, als der neue Plan sie verbrauchen würde.

24. Jeder eingeschaltete Schalter verbrauchte einen Teil der endlichen Vorräte, und jedes überarbeitete Manöver oder Verfahren musste daran gemessen werden, was das Raumschiff noch leisten konnte.

25. Die Fluglotsen am Boden schrieben neue Verfahren und testeten sie, während die Besatzung sie anwendete.

26. Diese Arbeit verband die physikalischen Kapazitäten mit den menschlichen Fähigkeiten: Ein funktionierender Triebwerk konnte die Flugbahn nur dann ändern, wenn Menschen den Schub berechnen, das Raumfahrzeug ausrichten und den Manöver durchführen konnten.

27. Die Alternative existierte in der Hardware, noch bevor jemand wusste, dass dieser spezielle Ausfall eintreten würde.

28. Durch Diagnose, überarbeitete Anweisungen und den disziplinierten Einsatz der verbleibenden Ressourcen wurde sie zu einem praktikablen Weg nach Hause.

29. Kohlendioxid machte diesen Unterschied schmerzlich deutlich.

30. Die Mondlandefähre verfügte über Ausrüstung, um das Gas aus der Kabinenluft zu entfernen, doch ihre Kartuschen allein reichten für drei Personen während des verlängerten Aufenthalts nicht aus.

31. Das Kommandomodul enthielt weitere Kartuschen, doch diese gehörten zu einem System mit einem anderen Anschluss.

32. Sie hatten eine andere Form als die Öffnungen im System der Mondlandefähre, sodass die Besatzung über zusätzliches Absorptionsmaterial verfügte, das nicht einfach dort installiert werden konnte, wo es benötigt wurde.

33. Die Fluglotsen bastelten aus bereits an Bord befindlichen Materialien einen Adapter.

34. Durch diese improvisierte Verbindung konnten die Kartuschen des Kommandomoduls nun auch die Kabine versorgen, in der die Besatzung mittlerweile lebte; ohne eine brauchbare Schnittstelle wäre die Reservekapazität ungenutzt geblieben.

35. Diese Reparatur war eine Notlösung, kein Beweis für grenzenlose Flexibilität.

36. Sie hing von bekannter Ausrüstung, verfügbaren Materialien, einer noch kontrollierbaren Kabinenatmosphäre und genügend Zeit ab, damit die Anweisungen die Besatzung erreichen konnten.

37. Wasser stellte eine andere Einschränkung dar.

38. Der Bericht der NASA beschreibt es als das dringlichste Problem hinsichtlich der Verbrauchsgüter, und die Besatzung schränkte den Trinkwasserverbrauch stark ein, während sie gleichzeitig den Wasserverbrauch des Raumschiffs reduzierte.

39. Als „Aquarius“ abgeworfen wurde, war noch etwas Wasser übrig.

40. Dieser Rest bedeutet nicht, dass die Rationierung unnötig gewesen wäre, denn die Fluglotsen mussten ihre Entscheidungen unter Unsicherheit hinsichtlich der Leistungsfähigkeit der Ausrüstung und der noch benötigten Zeit treffen.

41. Der Spielraum wurde durch Unannehmlichkeiten, sorgfältige Überwachung und die Bereitschaft, den Plan anzupassen, sobald sich die Messwerte änderten, erkauft.

42. Kälte, Wasserknappheit und ein schwieriger Neustart des inaktivierten Kommandomoduls waren Teil derselben Rückkehr, die durch das Wort „Backup“ mühelos klingen lässt.

43. Die „Aquarius“ diente als Brücke, nicht als zweites Ziel.

44. Der Triebwerk trug zur Festlegung der Rückflugbahn bei, die Kabine hielt die Besatzung am Leben, und anschließend musste die Besatzung für den Wiedereintritt wieder in das Kommandomodul zurückkehren.

45. Jeder Transfer erforderte die richtige Funktion zur richtigen Zeit.

46. Eine Reserve, die bis zum Morgen reicht, ist nutzlos, wenn das Hauptsystem erst am nächsten Tag wiederhergestellt werden kann; eine, die unter den herrschenden Bedingungen nicht angeschlossen werden kann, ist möglicherweise ebenso nutzlos.

47. Die Dauer war entscheidend, da jede Ressource bis zu einem bestimmten nächsten Schritt reichen musste, insbesondere bis zum Neustart des Kommandomoduls.

48. Apollo 13 zeigt auch, dass Redundanz durch eine Komponente entstehen kann, die für einen anderen Zweck gebaut wurde, solange sich ihre Funktionen überschneiden und ihre Grenzen beherrscht werden können.

49. Ein Ersatzteil muss nicht identisch mit dem ausgefallenen Teil sein.

50. Tatsächlich überstand die „Aquarius“ den Ausfall des Sauerstofftanks teilweise deshalb, weil sie über separate Vorräte verfügte, anstatt vollständig vom beschädigten System des Servicemoduls abhängig zu sein.

51. Diese Trennung war von entscheidender Bedeutung, auch wenn sie nicht jede gemeinsame Schwachstelle beseitigte.

52. Beide Kabinen gehörten immer noch zu einem Raumfahrzeug, folgten einer gemeinsamen Rückflugbahn und waren auf eine Besatzung und eine Bodenorganisation angewiesen, die in der Lage waren, die Verbindung funktionsfähig zu halten.

53. Der Fall stützt daher eine engere Aussage als „mehr Ausrüstung rettet Leben“.

54. Eine Alternative muss erreichbar, kompatibel, ausreichend versorgt und in ihrer Exposition gegenüber der Bedrohung, die den ersten Ausfall verursacht hat, ausreichend unterschiedlich sein.

55. Dieselben Fragen stellen sich anders, wenn eine Gefahr mehrere Ausweichsysteme gleichzeitig betrifft.

56. Am 11. März 2011 unterbrach ein Erdbeben in Fukushima Daiichi die externe Stromversorgung des Kernkraftwerks, und der darauf folgende Tsunami überschwemmte wichtige Anlagen.

57. Die Notstromdieselgeneratoren des Standorts sollten die Versorgung kritischer Anlagen nach einem Ausfall der externen Stromversorgung aufrechterhalten.

58. Doch das Wasser beschädigte mehrere Generatoren, Stromverteilertafeln und Kühlkomponenten, sodass ein und dasselbe Ereignis sowohl die reguläre Versorgung als auch die als Ersatz gedachten Anlagen außer Gefecht setzen konnte.

59. Die Internationale Atomenergie-Organisation beschreibt einen vollständigen Stromausfall in den Blöcken 1 bis 5.

60. Die Anzahl der Notstromaggregate in einem Schaltplan gab den Betreibern keinen Aufschluss darüber, wie viel elektrische Leistung nach der Überflutung tatsächlich die benötigten Systeme erreichen konnte.

61. Das Wasser musste nicht jeden Generator zerstören, um dessen Betrieb zu unterbrechen.

62. Ein intakter Motor konnte dennoch durch eine überflutete Schalttafel vom Netz getrennt werden, genauso wie ein Vorrat an Kohlendioxidpatronen durch eine falsch angepasste Verschraubung unzugänglich werden konnte.

63. Die Folgen im Kraftwerk waren weitaus größer und von anderer Art.

64. In den in Betrieb befindlichen Reaktoren trug der Verlust von Strom und Kühlung zu einem schweren Unfall bei, zu dessen Ursachen auch Entscheidungen hinsichtlich der Gefahren, der Anordnung der Anlagen und der Notfallmaßnahmen gehörten.

65. Die bloße Anzahl der Generatoren allein erklärt diesen Hergang nicht.

66. Der engere Vergleich betrifft den Moment, in dem ein Ausfallsicherungssystem unter denselben Bedingungen zum Einsatz kommen muss, die das von ihm unterstützte System außer Betrieb gesetzt haben – wenn eine gemeinsame Schwachstelle beide Systeme gleichzeitig außer Gefecht setzen kann.

67. Ein Tsunami überschritt mehrere vermeintliche Grenzen auf einmal.

68. Dort, wo Generatoren, Schalttafeln und Meerwasser-Kühlanlagen gleichermaßen der Überflutung ausgesetzt waren, boten doppelte Einheiten keine vollständig unabhängigen Stromversorgungswege, obwohl die Anlagen im Normalbetrieb unterschiedliche Aufgaben erfüllten.

69. Ihre Ausfälle waren durch eine gemeinsame Ursache verbunden, ein einziges Ereignis, das mehrere nominell getrennte Sicherheitsvorkehrungen außer Betrieb setzen konnte.

70. Dies ist von Bedeutung, da zwei demselben Risiko ausgesetzte Reservesysteme gemeinsam ausfallen können, auch wenn jedes einzelne in einem isolierten Gerätetest, bei dem die gemeinsamen Verbindungen unberührt bleiben, einwandfrei funktioniert.

71. Das Kraftwerk verfügte weiterhin über eine funktionierende Reserve, sodass seine Geschichte aufschlussreicher ist als die eines vollständigen, einheitlichen Ausfalls.

72. In Block 6 blieben ein luftgekühlter Notstromdieselgenerator und die dazugehörigen elektrischen Anlagen einsatzfähig, da sie durch ihren Standort vor der Überflutung geschützt waren, die andere Anlagen außer Betrieb gesetzt hatte.

73. Der Strom aus diesem Generator half später auch Block 5.

74. Der Bericht der IAEO beschreibt, wie Mitarbeiter provisorische Kabel anschlossen und die Stromversorgung zwischen den beiden Blöcken teilweise wiederherstellten – eine Erinnerung daran, dass eine verfügbare Quelle und eine erbrachte Leistung zwei getrennte Leistungen sind.

75. Die Situation in Block 6 wies weitere günstige Umstände auf.

76. Der Block war zu diesem Zeitpunkt abgeschaltet, und die IAEO stellt fest, dass seine relativ geringe Nachwärme den Betreibern Zeit verschaffte, eine alternative Kühlung zu organisieren, während sie sich um beschädigte Anlagen an anderen Stellen kümmerten.

77. Der intakte Generator spielte in diesem Zusammenhang eine wichtige Rolle.

78. Es wäre unzutreffend zu folgern, dass die Aufstellung einer ähnlichen Maschine an anderer Stelle allein die schweren Unfälle in den Blöcken 1 bis 3 verhindert hätte, wo die Bedingungen und die beschädigten Verbindungen anders waren.

79. Auch beseitigt ein intakter Generator nicht die am Standort aufgedeckte Anfälligkeit.

80. Vielmehr hilft der Vergleich zwischen den Blöcken dabei, zu erkennen, was eine Reserve zu mehr als nur einem „Duplikat“ machte: Strahlenexposition, Kühlmethode, geschützte Verteilung und ein Weg zur Stromübertragung.

81. Unterschiedliche Konstruktionen können auf unterschiedliche Weise versagen.

82. Die Luftkühlung beseitigte beim intakten Generator von Block 6 eine Abhängigkeit von mit Meerwasser gefüllten Pumpen, während auch seine Schaltanlagen unbeschädigt blieben, sodass die Leistung des Generators weiterhin zur Verfügung stand.

83. Dieser Unterschied war nur deshalb von Bedeutung, weil der Strom genutzt werden konnte.

84. Die vorübergehende Anbindung an Block 5 verdeutlicht die organisatorische Seite desselben Prinzips: Jemand musste die Anlagen begutachten, Kabel verlegen, Verbindungen herstellen und entscheiden, wohin der begrenzte Strom fließen sollte.

85. Eine Notstromversorgung bietet den Menschen nur dann eine Handlungsmöglichkeit, wenn ihre Leistung die Geräte erreichen kann, die sie benötigen.

86. Konstrukteure streben manchmal nach Unabhängigkeit, indem sie redundante Systeme voneinander trennen, deren Verteilung separat absichern oder unterschiedliche Technologien für dieselbe kritische Funktion einsetzen; jede Entscheidung muss jedoch auf eine bestimmte Gefahr zugeschnitten sein.

87. Jede Maßnahme befasst sich mit einem bestimmten Ausfallpfad.

88. Eine größere Entfernung mag vor einer lokalen Überschwemmung schützen, erfordert jedoch längere Kabel; eine andere Technologie mag zwar einen gemeinsamen Kühlbedarf vermeiden, bringt aber einen zusätzlichen Wartungsaufwand mit sich, den die Betreiber verstehen und bewältigen müssen.

89. Dies sind Kompromisse bei der Konstruktion, keine Checkliste, die Sicherheit garantiert.

90. Der relevante Test beginnt mit einer plausiblen Störung und verfolgt diese durch die gesamte Kette, von der Versorgungsquelle bis zu den Geräten, die sie nutzen.

91. Ein Generator benötigt Kraftstoff, Steuerungen, Kühlung, einen einwandfreien Stromkreis und einen Bediener, der ihn in Betrieb nehmen kann; daher bleibt der Großteil der Kette ungetestet, wenn nur geprüft wird, ob der Motor anspringt.

92. Eine Mondlandefähre benötigt Verbrauchsmaterialien und einen begehbaren Durchgang, den die Besatzung nutzen kann, während ihre erste Kabine stromlos wird.

93. Weder ein separater Schaltkasten noch ein separater Raum schaffen Unabhängigkeit, wenn die kritische Verbindung über einen Punkt verläuft, den dieselbe Störung außer Betrieb setzen kann – sei es nun eine Schalttafel oder ein Zugangsweg.

94. Zeit ist eine weitere Verbindung.

95. Eine Reserve kann eine Entscheidung für Minuten, Tage oder länger aufschieben, doch ihr Wert hängt davon ab, ob dieses Intervall lang genug ist, um das ursprüngliche System zu reparieren oder einen sichereren Zustand zu erreichen.

96. Apollo 13 erforderte eine Rückkehr, die sich in Tagen bemessen ließ.

97. Die Energie- und Wasserberechnungen der Fluglotsen verwandelten die gelagerten Vorräte in einen Zeitplan möglicher Maßnahmen, einschließlich des letztendlichen Neustarts des Kommandomoduls, für den sie Batterieleistung schonen mussten.

98. In einem Kernkraftwerk besteht auch nach dem Abschalten eines Reaktors weiterhin Kühlbedarf.

99. Kurzzeitig betriebene Geräte können Zeit gewinnen, aber sie können keine Aufgabe erfüllen, deren Dauer ihre Brennstoff-, Kühl- oder Versorgungskapazitäten übersteigt, es sei denn, eine andere funktionsfähige Versorgung kann rechtzeitig einspringen.

100. Regelmäßige Tests sollten daher Verbindungen und Abläufe überprüfen und nicht nur bestätigen, dass eine stillstehende Maschine anspringt, denn die eigentliche Funktion besteht in der Bereitstellung von Energie oder einer anderen Dienstleistung unter Belastungsbedingungen.

101. Ein Test kann nicht jeden Notfall nachstellen.

102. Er kann jedoch einen defekten Umschalter, einen inkompatiblen Stecker, eine veraltete Anleitung oder eine Versorgung aufdecken, die nicht mehr so lange hält, wie ihre Bediener annehmen.

103. Schulungen sind Teil dieser Wartung.

104. Bei Apollo 13 konnte das Bodenteam Verfahren verfassen, testen und an eine geschulte Besatzung senden; diese menschliche Reserve trug dazu bei, die sich überschneidenden Funktionen der Hardware nutzbar zu machen.

105. In Fukushima Daiichi erforderte die Wiederherstellung der Stromversorgung Arbeiten unter den Bedingungen eines beschädigten Standorts.

106. Keines der beiden Beispiele stützt die beruhigende Vorstellung, dass Improvisation immer eine Konstruktionslücke schließen kann, denn Improvisation selbst erfordert Zeit, Material, Zugang und Befugnisse.

107. Das Vorhalten von Reservekapazitäten hat ebenfalls seinen Preis.

108. Hardware nimmt Platz ein, kostet Geld, muss überprüft werden und kann Ressourcen binden, die eine andere Gefahr effektiver bekämpfen könnten; daher betrifft der richtige Vergleich die Risiken, die durch jede verfügbare Investition verringert werden.

109. Die Mondlandefähre wurde für die geplante Landung mitgeführt; ihre Notfallfunktion ergab sich aus sich überschneidenden Fähigkeiten und nicht aus einer kostenfreien, speziell angefertigten Kopie des Kommandomoduls.

110. Ebenso kann ein Werk seine Widerstandsfähigkeit nicht dadurch bewerten, dass es die größtmögliche Anzahl identischer Generatoren kauft, während es dabei übersieht, wo sich deren Schaltanlage befindet und ob nach einer Überschwemmung noch Strom durch sie fließen kann.

111. Das Ziel besteht darin, unter bestimmten Schadensszenarien eine nutzbare Auswahl zu bewahren, wobei deren Kosten und Grenzen sichtbar gemacht werden.

112. Modularität ermöglicht es, einzelne Teile zu entwickeln oder zu ersetzen; Redundanz sorgt dafür, dass eine notwendige Funktion verfügbar bleibt, wenn ihr üblicher Weg ausfällt.

113. Diese Entscheidung hat eine Verteilungsdimension: Besatzungen, Betreiber und umliegende Gemeinden tragen unterschiedliche Konsequenzen, wenn eine Reserve zu spät anspringt, nur teilweise funktioniert oder gänzlich ausfällt.

114. Wer einen Entwurf genehmigt, muss daher nicht nur fragen, wie viele Alternativen in einem Plan vorgesehen sind, sondern auch, welche Personen diese tatsächlich erreichen und bedienen können, wenn die üblichen Annahmen nicht mehr zutreffen.

115. Die Antwort kann zusätzliche Kapazitäten, einen anderen Standort, eine geschützte Verbindung oder ein Verfahren rechtfertigen, das knappe Vorräte länger haltbar macht.

116. Sie kann auch zeigen, dass ein vorgeschlagenes Backup zu viele Abhängigkeiten mit dem Hauptweg teilt, um seinen Namen zu verdienen.

117. Der schmale Durchgang zwischen „Odyssey“ und „Aquarius“ bei Apollo 13 war für den Übergang zwischen zwei Fahrzeugen mit unterschiedlichen Aufgaben gebaut worden.

118. Nach dem Sauerstoffverlust wurde dieser Durchgang zum Weg, um eine andere Quelle für Luft, Energie und Antrieb zu erreichen.

119. Er vergrößerte die Mondlandefähre nicht, fügte kein Wasser hinzu und verwandelte ihre Kabine nicht in eine Wiedereintrittskapsel.

120. Er verschaffte der Besatzung Zugang zu der unvollkommenen Alternative, die sie dennoch zum Funktionieren bringen konnten.