Bellingham-Pipeline (Washington)
Vorgeschädigtes Rohr, Druckstoss, träges Leitsystem: Beim Pipeline-Riss von Bellingham starben drei junge Menschen.
Eine Benzin-Pipeline führt durch Bellingham, gesteuert per Leitsystem (SCADA). Das Rohr trägt einen unentdeckten Schaden aus früheren Bauarbeiten.
In 30 Sekunden
Am 10. Juni 1999 riss in Bellingham (Washington, USA) eine Benzin-Pipeline der Olympic Pipe Line Company. Rund 900'000 Liter Benzin flossen in den Whatcom Creek und entzündeten sich; drei junge Menschen starben, der Bachlauf wurde auf Kilometern verwüstet. Die NTSB-Untersuchung fand mehrere Ursachen: ein Jahre zuvor bei Bauarbeiten beschädigtes Rohr, eine nicht richtig geprüfte Druckentlastung — und ein Leitsystem (SCADA), das zur Unglückszeit kaum noch reagierte, nachdem kurz zuvor direkt auf dem Live-System an der Datenbank gearbeitet worden war. Der Fall ist das Lehrstück dafür, warum man auf produktiven Leitsystemen niemals entwickelt oder testet.
Was geschah
1999
Betroffen war die Benzin-Pipeline der Olympic Pipe Line Company bei Bellingham (Washington, USA) — und mit ihr der Whatcom Creek, ein Bach mitten durch die Stadt und den Whatcom Falls Park.
Der Angriffsweg
- Jahre zuvor wird das Rohr bei Bauarbeiten in der Nähe beschädigt. Der Schaden bleibt bestehen — auch, weil die Befunde späterer Rohr-Inspektionen nicht konsequent ausgewertet und ausgegraben werden.
- Am Morgen des 10. Juni 1999 wird direkt auf dem produktiven Leitsystem (SCADA) an der Datenbank gearbeitet — auf demselben Rechnersystem, das die laufende Pipeline steuert.
- Das SCADA-System wird daraufhin träge und zeitweise unbrauchbar: Daten aus der Pipeline kommen mit grosser Verzögerung in der Leitwarte an.
- An einer Auslieferanlage schliesst ein Ventil, in der Leitung baut sich ein Druckstoss auf; die dortige Druckentlastung war vor der Inbetriebnahme nicht unter realen Bedingungen getestet worden und fängt ihn nicht wie vorgesehen ab.
- Die Operatoren können die Lage mit dem trägen Leitsystem weder rechtzeitig erkennen noch wirksam gegensteuern. Am vorgeschädigten Rohrabschnitt im Whatcom Falls Park reisst die Pipeline.
- Rund 900'000 Liter Benzin fliessen in den Whatcom Creek. Etwa eineinhalb Stunden später entzündet sich das Benzin — ein Feuerball läuft rund zweieinhalb Kilometer den Bach entlang.
Auswirkung
Drei junge Menschen starben: die beiden zehnjährigen Buben Wade King und Stephen Tsiorvas, die am Bach spielten, und der 18-jährige Liam Wood, der dort fischte. Der Brand verwüstete den Bachlauf und den Park auf grosser Länge und verursachte schwere Umweltschäden. Der Fall führte zu Strafurteilen und hohen Zahlungen, trieb die Verschärfung der US-Pipeline-Gesetzgebung voran — und aus Mitteln des Vergleichs entstand in Bellingham der Pipeline Safety Trust, eine bis heute aktive Sicherheitsorganisation.
So schützt du dich
Fakten
- 10. Juni 1999
- Bellingham, Washington (Whatcom Falls Park)
- Olympic Pipe Line Company
- rund 900'000 Liter Benzin (ca. 237'000 Gallonen)
- 3 (zwei 10-Jährige, ein 18-Jähriger)
- NTSB (US-Unfalluntersuchungsbehörde), Bericht 2002
- Datenbank-Arbeiten auf dem produktiven SCADA-System
- Verschärfte US-Pipeline-Gesetze, Pipeline Safety Trust
Im Detail
Kein Angriff — und trotzdem ein OT-Lehrstück
Bellingham war kein Hackerangriff, sondern ein Unfall mit mehreren Ursachen. In der OT-Sicherheitswelt wird der Fall trotzdem seit Jahrzehnten gelehrt, denn er zeigt wie kaum ein anderer: Die Verfügbarkeit des Leitsystems ist Teil der Anlagensicherheit. Ob ein SCADA-System durch unbedachte Eigenarbeiten lahmgelegt wird oder durch einen Angreifer — für die Operatoren und die Anlage ist das Ergebnis dasselbe: Blindflug im schlechtesten Moment.
Die Kette der Ursachen
Die NTSB fand kein einzelnes Versagen, sondern eine Kette: ein bei Bauarbeiten Jahre zuvor beschädigtes Rohr, Inspektionsbefunde, die nicht gründlich genug untersucht wurden, eine Druckentlastungs-Anlage, die vor der Inbetriebnahme nicht unter realen Bedingungen getestet worden war — und ein Leitsystem, das genau dann unbrauchbar wurde, als es gebraucht worden wäre. Erst das Zusammentreffen machte aus einem Druckstoss eine Katastrophe.
Arbeiten am Live-System
Am Unglücksmorgen wurden auf dem produktiven SCADA-Rechner Datensätze in die historische Datenbank eingepflegt. Kurz darauf reagierte das System nur noch mit massiver Verzögerung — Befehle gingen zwar hinaus, aber Rückmeldungen aus der Pipeline trafen bis zu 20 Minuten verspätet ein. Die NTSB hielt unmissverständlich fest: Entwicklungs- und Datenbankarbeiten gehören auf ein separates Testsystem und erst nach erfolgreicher Prüfung auf den Echtzeit-Rechner.
Die letzte Stunde
Als der Druckstoss kam, fehlte den Operatoren das Lagebild, um ihn zu beherrschen. Am vorgeschädigten Abschnitt riss das Rohr, und Benzin strömte in den Whatcom Creek, der mitten durch die Stadt fliesst. Rund eineinhalb Stunden später entzündeten sich die Dämpfe. Die Rauchsäule stand kilometerhoch über Bellingham; der Bachlauf brannte auf einer Länge von etwa zweieinhalb Kilometern aus.
Die Opfer
Die zehnjährigen Freunde Wade King und Stephen Tsiorvas spielten am Bach und erlagen ihren schweren Verbrennungen. Der 18-jährige Liam Wood war beim Fliegenfischen, wurde von den Benzindämpfen überwältigt und ertrank. Ihre Namen stehen heute für den Anstoss, den der Fall der Pipeline-Sicherheit in den USA gab — Angehörige setzten sich in der Folge jahrelang für schärfere Regeln ein.
Die Lehre
Bellingham ist der Standard-Fall für zwei eiserne OT-Regeln: Erstens wird auf produktiven Leitsystemen niemals entwickelt, getestet oder an Datenbanken gebastelt — dafür gibt es Testumgebungen und ein geordnetes Änderungsverfahren. Zweitens braucht es eine klare, vorab definierte Stopp-Regel für den Fall, dass das Leitsystem nicht mehr richtig reagiert. Beides kostet wenig — und hätte hier den Unterschied machen können.