Taum-Sauk-Damm (Missouri)
Losgerissene Pegelsensoren meldeten zu wenig Wasser — das Oberbecken eines Pumpspeicherwerks lief über und brach.
Ein Pumpspeicherwerk in Missouri: Nachts wird Wasser ins Oberbecken auf dem Berg gepumpt. Gesteuert wird aus der Ferne — die Pegelsensoren sind die Augen.
In 30 Sekunden
Am frühen Morgen des 14. Dezember 2005 lief das Oberbecken des Pumpspeicherwerks Taum Sauk in Missouri beim nächtlichen Hochpumpen über und brach. Milliarden Liter Wasser stürzten den Berg hinab und verwüsteten den Johnson's-Shut-Ins-Staatspark; die Familie des Parkaufsehers mit drei Kindern wurde mitgerissen, überlebte aber. Es war kein Angriff: Die Pegelsensoren hatten sich von ihrer Verankerung gelöst und meldeten zu niedrige Füllstände, und die Not-Abschaltschwellen waren falsch gesetzt. Der Fall zeigt, was passiert, wenn eine fern-überwachte Anlage blind ihren einzigen Messwerten vertraut.
Was geschah
2005
Betroffen war das Pumpspeicherwerk Taum Sauk des Versorgers AmerenUE in Missouri (USA), genauer dessen Oberbecken auf dem Proffit Mountain — und flussabwärts der Johnson's-Shut-Ins-Staatspark.
Der Angriffsweg
- Das Oberbecken wird jede Nacht vollgepumpt. Gesteuert und überwacht wird die Anlage aus der Ferne — gestützt auf Pegelsensoren (Druckaufnehmer) im Becken, Personal vor Ort gibt es nachts keines.
- Die Rohre mit den Pegelsensoren hatten sich von ihrer Verankerung gelöst und verschoben. Die Sensoren meldeten deshalb zu niedrige Füllstände an die Leittechnik — das Becken schien weniger voll, als es war.
- Die Pumpen liefen weiter, obwohl das Becken bereits randvoll war. Für die Fernüberwachung sah alles normal aus.
- Die Reserve-Sonden, die eine Not-Abschaltung auslösen sollten, waren zu hoch angebracht beziehungsweise fehlerhaft konfiguriert — eine wirksame unabhängige Abschaltung gab es damit nicht.
- Das Wasser lief über die Dammkrone. Die Überströmung spülte den Schüttdamm auf, an der Nordwest-Ecke brach ein grosses Stück heraus.
- Innert rund 25 Minuten ergossen sich Milliarden Liter Wasser den Proffit Mountain hinab ins Tal des Black River — mitten durch den Staatspark.
Auswirkung
Rund vier bis fünf Milliarden Liter Wasser (etwa 4'300 Acre-Feet) verwüsteten den Johnson's-Shut-Ins-Staatspark. Das Haus des Parkaufsehers wurde weggerissen; er, seine Frau und die drei kleinen Kinder wurden von der Flutwelle mitgerissen und überlebten verletzt und unterkühlt — dass niemand starb, war auch der frühen Uhrzeit im Winter zu verdanken. Die US-Energieaufsicht FERC verhängte mit 15 Millionen Dollar die bis dahin höchste Busse ihrer Geschichte; mit dem Bundesstaat Missouri einigte sich Ameren später auf rund 177 Millionen Dollar.
So schützt du dich
Fakten
- 14. Dezember 2005, ca. 05:20 Uhr
- Proffit Mountain, Missouri (USA)
- AmerenUE (heute Ameren Missouri)
- Pumpspeicherwerk Taum Sauk, Oberbecken
- Losgerissene Pegelsensoren + falsch gesetzte Abschaltschwellen
- rund 4–5 Milliarden Liter (ca. 4'300 Acre-Feet)
- Keine Toten; 5-köpfige Familie des Parkaufsehers verletzt
- FERC (US-Energieaufsicht) mit unabhängigem Expertenpanel
Im Detail
Kein Angriff — und trotzdem ein OT-Lehrstück
Taum Sauk war kein Hackerangriff, sondern Technik- und Organisationsversagen. In diesem Hub steht der Fall trotzdem, weil die Lektion dieselbe ist: Eine Leittechnik, die falschen Messwerten vertraut, richtet Schaden an — egal, ob die falschen Werte von einem losgerissenen Sensor stammen oder von einem Angreifer, der sie fälscht. Wer den einen Fall beherrscht, ist auch gegen den anderen besser gewappnet.
Die Anlage
Ein Pumpspeicherwerk nutzt günstigen Nachtstrom, um Wasser in ein hoch gelegenes Becken zu pumpen, und erzeugt tagsüber daraus wieder Strom. Das Oberbecken von Taum Sauk lag auf einem Bergrücken, hatte keinen natürlichen Zufluss und keinen Not-Überlauf — die Sicherheit hing also vollständig daran, dass die Pumpen rechtzeitig stoppen. Gefahren wurde die Anlage aus der Ferne, von einem anderen Kraftwerksstandort aus.
Die Sensoren
Die Füllstände wurden über Druckaufnehmer gemessen, die in Kunststoffrohren an der Beckeninnenseite montiert waren. Diese Rohre lösten sich von ihrer Verankerung und verschoben sich — die Messung zeigte fortan zu wenig Wasser an. Brisant: Schon im September 2005 war das Becken einmal übergelaufen, und Taucher hatten die gelösten Rohre entdeckt. Statt das Grundproblem zu beheben, wurde mit angepassten Grenzwerten weitergefahren.
Die fehlende letzte Verteidigungslinie
Neben den Druckaufnehmern gab es Reserve-Sonden, die als letzte Sicherung eine Not-Abschaltung auslösen sollten. Laut der FERC-Untersuchung waren sie jedoch zu hoch angebracht und fehlerhaft eingebunden — sie konnten nicht rechtzeitig greifen. Damit hingen Messung und Abschaltung faktisch an derselben fehlerhaften Kette: genau das, was eine unabhängige Sicherheitsebene verhindern soll.
Die Nacht des Bruchs
Beim nächtlichen Hochpumpen am 14. Dezember 2005 lief das Becken über. Das über die Krone strömende Wasser erodierte den Schüttdamm, bis die Nordwest-Ecke brach. Die Flutwelle riss Wald, Strassen und das Haus des Parkaufsehers mit; die fünfköpfige Familie wurde vom Wasser fortgetragen und überlebte wie durch ein Wunder. Der beliebte Staatspark Johnson's Shut-Ins wurde auf grosser Fläche verwüstet und blieb lange geschlossen.
Die Lehre
Sicherheitskritische Messungen brauchen Redundanz und Verschiedenartigkeit: mehrere Sensoren, unterschiedliche Messprinzipien, getrennte Signalwege. Und die Not-Abschaltung gehört auf eine eigene, unabhängige Kette, die auch dann funktioniert, wenn das normale Leitsystem falsch liegt. In der Prozessindustrie ist genau das der Kern von Sicherheits-Instrumentierung — Taum Sauk zeigt drastisch, warum.