Deel I: The Blackout Amsterdam: 150 KV-STATION Hemweg De explosie was onvermijdelijk. Diep in het hart van de AEG-transformator vonkte het al maanden, vermoedelijk zelfs jaren. Stukje bij beetje hadden die microscopische vonkjes een geleidend metaal weggevreten. En nu, in de vroege ochtend van dinsdag 17 januari, kan de gietharsen kern van de 48 jaar oude transformator het krachtige elektrische veld dat zo is ontstaan niet meer aan. Met geweld zoekt de lading zijn weg naar buiten. Binnen vierhonderdste seconde stijgt de inwendige temperatuur naar 20.000 graden. Brokken giethars schieten los. Het gevolg: kortsluiting. Kan gebeuren. Maar daarna gaat het pas écht mis op het hoogspanningsstation aan de Hemweg, een stukje niemandsland in een uithoek van de Amsterdamse haven. Eigenlijk moet de automatische beveiliging de bron van een kortsluiting isoleren, om te voorkomen dat de stroom erdoor uitvalt. Dit is de – wettelijk verplichte – storingsreserve. Maar de beveiliging van het station is verkeerd ontworpen en doet precies het omgekeerde. In rap tempo wordt het hele station op de Hemweg uitgeschakeld. „Complete darkness” in grote delen van Amsterdam, constateert het Nationaal Crisiscentrum even later. Een Amsterdams ziekenhuis moet alle operaties annuleren en zijn poliklinieken sluiten, 365.000 huishoudens zitten zonder stroom, in het hele land is het treinverkeer ernstig verstoord, passagiers missen hun vlucht, winkels in de wijde omgeving blijven verstoken van nieuwe voorraad en scholen blijven uit voorzorg dicht. De gemeente Amsterdam onderzoekt twee sterfgevallen die mogelijk het gevolg zijn van de storing. De schade loopt volgens schattingen in de tientallen miljoenen. Allemaal vanwege een regionale stroomstoring die nog geen twee uur zou duren. Veroorzaakt door twee draadjes: één draadje – 1 millimeter dik – had er moeten zijn, maar was er niet meer. Het andere draadje had er niet moeten zijn, maar was er wel. Maar dat blijkt pas maanden later. Nederland is een land dat blind vertrouwt op de miljoenen haarvaten van een fijn vertakt netwerk dat elke seconde van de dag elektriciteit aflevert bij huizen en bedrijven, zo blijkt uit een reconstructie van die dag. Dit is het verhaal van de ‘grootste machine van Nederland’, de onzichtbare wereld achter het stopcontact en wat er gebeurt als daar iets misgaat.

Tijdstip herstel stroom door Liander

Ede: Control Center Tennet Het Control Center van Tennet, in een gebouw aan het einde van een doodlopende weg op een industrieterrein bij het Gelderse Ede, is alleen toegankelijk na een irisscan. Het is één van de twee machinekamers van het staatsbedrijf dat verantwoordelijk is voor het landelijke hoogspanningsnetwerk. Alles ademt kalmte, precisie en waakzaamheid. Het licht in de zaal is gedimd, vijf mannen – bedrijfsvoerders heten ze – werken in serene stilte. Hoewel ze elkaar kennen, spreken ze elkaar niet aan op naam maar op functie. Professionaliteit boven alles. Ze zijn, en voelen zich, de crème de la crème van hun vakgebied. Uit veiligheidsoverwegingen geeft Tennet hun achternamen niet prijs. Dat zou hen kwetsbaar kunnen maken voor ongewenste beïnvloeding zoals chantage. Ze zijn ook allemaal door de nationale veiligheidsdienst AIVD gescreend. De bedrijfsvoerders kunnen het Nederlandse hoogspanningsnet dromen. Ze kennen alle 325 onderstations, hun codenamen, ontwerpen en verbindingen. Toch volgen ze zelfs bij de eenvoudigste handelingen een strak protocol. Met één verkeerde handeling kunnen zij zelf de machine laten haperen. En dat mag nooit gebeuren. Opeens regent het op hun schermen alarmmeldingen uit Amsterdam. De bedrijfsvoerder opereert zoals hij is getraind: hij schuift zijn bureaustoel naar achteren en denkt na: wat zie ik hier? Paniek is ondenkbaar, impulsiviteit verboden. Dat er in een deel van het station – transformatorveld T403 – een kortsluiting was, kunnen ze zien. De oorzaak begrijpen ze nog niet. Dat daarna het hele station Hemweg is uitgeschakeld, baart de technici van Tennet zorgen. Dat had nooit mogen gebeuren. De storing valt in de categorie „hinderlijke spanningsdip” schrijft netbeheerder Tennet De leider van dienst in Ede pakt een beveiligd telefoontoestel. Met geheime viercijferige nummers belt hij de leden van het crisisteam wakker. De verbinding gaat via een beveiligd netwerk dat immuun is voor storingen van normale mobiele telefonie. Twee monteurs worden wakker gebeld. Ze moeten naar de Hemweg rijden om te controleren of de informatie op de schermen in Ede klopt met de werkelijkheid, en zo mogelijk te repareren wat defect is. Eenmaal ter plaatste is het lastig opereren. Het vriest niet alleen, het is ook aardedonker in de schakeltuin. De monteurs kunnen geen harde conclusies trekken. Eigenlijk valt de stroom in Nederland nooit grootschalig uit. Het hoogspanningsnet had in 2016 een betrouwbaarheid van 99,9999 procent. Dit cijfer levert een typisch Nederlands verhaal op. Wereldwijd hebben boeren een dieseltje in de stal staan. Om geen ontstekingen aan de uiers te krijgen, moeten koeien immers twee keer per dag worden gemolken. Ook als er geen stroom is. Nederlandse boeren zouden die investering nooit doen. Langer dan de periode tussen twee melkbeurten valt de stroom toch niet uit. Nederlanders maken zich dan ook nauwelijks druk om de enkele kleine storing die er wel is. Althans de meeste. Toen Maria van der Hoeven minister van Economische Zaken was, belde ze direct de hoogste baas van Tennet toen Den Haag op een vrijdagochtend een kleine stroomstoring had. Of hij dat direct kon oplossen, de ministerraad moest beginnen. De zekerheid van de stroomvoorziening is tegelijk een kwetsbaarheid: omdat iedereen ervan uit gaat dat er altijd stroom is, is de Nederlandse maatschappij er totaal van afhankelijk. Niet voor niets is een stroomstoring met alle gevolgen – na een grote overstroming en een grieppandemie en ver voor een cyberaanval – de meest ingrijpende ramp die dit land kan treffen, zo schat de de rijksoverheid. Hoe kwetsbaar is het hoogspanningsnetwerk voor een cyberaanval? Hackers wisten de afgelopen twee jaar twee keer delen van het Oekraïense elektriciteitsnetwerk plat te leggen. Bij deze cyberaanvallen – volgens Oekraïne veroorzaakt door de Russen – werd na een langdurige verkenning en infiltratie van de ICT-systemen van netbeheerders, een deel van de besturing van het elektriciteitsnetwerk overgenomen. Toen op 17 januari in Amsterdam de stroom uitviel, vroegen sommige cyber-experts zich daarom direct af of er kwade cyberopzet in het spel was. Nee, zegt Tennet, de landelijke netbeheerder van het hoogspanningsnetwerk. De transformator die kapot ging kwam uit 1969, er was voor hackers dus niets digitaals om aan te kunnen vallen. Tennet heeft overigens naar eigen zeggen, en volgens deskundigen, een veel beter beveiligd systeem dan de collega’s in Oost-Europa. Zo is het digitale systeem waarmee Tennet het hoogspanningsnetwerk op afstand bestuurt, niet verbonden met het ‘normale’ internet. Cyberaanvallers kunnen er dus niet eens bijkomen. Nou is zo´n barrière - air gap in jargon - geen garantie voor veiligheid: in 2010 wist het Stuxnet-virus in Iran ultracentrifuges voor de verrijking van uranium uit te schakelen. Die ultracentrifuges (die door apparatuur van fabrikant Siemens werden aangestuurd) waren ook niet verbonden met het internet, maar het virus werd verspreid via usb-sticks. Een of meerdere van die sticks kwamen terecht in Iran, waar ze aan een computer gekoppeld werden die direct of indirect weer met de aansturing van de ultracentrifuges was verbonden. Het virus wist zich ook uitstekend te verbergen. Het kwam bijvoorbeeld alleen in actie als het specifieke software van Siemens detecteerde. Dat is het probleem van afgeschermde netwerken die industriële processen controleren en aansturen. Ze helemaal en altijd afschermen, is onmogelijk. Er moet altijd wel software op worden gezet (niet alleen voor updates, soms is er bijvoorbeeld nieuwe software nodig om nieuwe machines aan te sturen). De enige manier om dat te doen is via een usb-stick of andere datadrager die ooit met het gewone internet verbonden is geweest. Ook is de informatie die op die industriële netwerken wordt verzameld, interessant voor administratieve processen – denk aan schaderapporten, of data over de prestaties van machines, bijvoorbeeld om onderhoudsplanningen te maken. De computersystemen die deze administratieve processen ondersteunen, zijn vaak wel verbonden met het internet. Onkwetsbare systemen bestaan dus niet, hoe afgeschermd ze ook zijn. Hackers zoeken dan ook continu kwetsbaarheden in de digitale beveiligingen van de vitale infrastructuur van Nederland, volgens het Nationaal Cyber Security Centrum. Tot nu toe, zo zegt het NCSC, zijn Nederlandse elektriciteitsnetwerken nooit succesvol geïnfiltreerd. Deskundigen zeggen wel dat de kwetsbaarheid van de vitale infrastructuur voor digitale aanvallen toeneemt. Tennet is daarop geen uitzondering. Dat komt niet zozeer omdat de centrale commandostructuren van Tennet zelf kwetsbaarder worden. Het veiligheidsbesef daar is “extreem hoog”, zeggen deze deskundigen. Het probleem is dat Tennet niet in afzondering van de rest van de wereld opereert. Zij hebben bijvoorbeeld ook te maken met leveranciers van hoogspanningscomponenten die wereldwijd steeds vaker hun producten aan het internet willen koppelen om de werking daarvan op afstand digitaal te monitoren. Kwaadwillenden kunnen in theorie via die leveranciers bij de componenten komen en die eventueel uitschakelen. Als ze dat slim doen, kunnen ze delen van de stroomvoorziening in Nederland platleggen zonder dat ze ooit bij de computersystemen van Tennet hoeven binnen te dringen. Ook een andere trend maakt het hoogspanningsnet kwetsbaarder voor indirecte digitale aanvallen: de toename van intelligente digitale apparatuur die veel stroom afneemt of aanlevert. Neem elektrische auto’s, of thuisbatterijen van consumenten die via opgeslagen zonne-energie ook stroom léveren aan het net. Zowel auto’s als thuisbatterijen worden aangestuurd door uitgekiende software. Wie de software weet te kraken kan – bijvoorbeeld door duizenden auto’s of batterijen tegelijk in of uit te schakelen - de balans op het elektriciteitsnetwerk verstoren, en er zo grote schade aan veroorzaken.



Amsterdam: ziekenhuizen De calamiteitencoördinator van het OLVG-ziekenhuis rijdt vanuit Krommenie over de uitgestorven A8 richting Amsterdam. Ze is net uit bed gebeld door een collega. Terwijl ze de twintig meter van haar huis naar haar auto liep, ging haar mobiel alweer. Het was een lid van haar Raad van Bestuur. Of ze wist dat het ziekenhuis zonder stroom zat. Als ze Zaandam passeert, ziet ze hier en daar al donkere plekken in de stad. Wanneer ze uit de helverlichte tunnel onder het IJ komt, staat het kippenvel op haar armen. Normaal is de hoofdstad in de vroege ochtend een zee van licht. Nu is zij gehuld in een diepe duisternis. Niets doet het meer: stoplichten, straatlampen, de verlichting van bushokjes. Tot verwondering van een paar vroeg ontwaakte Amsterdammers geven alleen de parkeermeters nog licht. „Zo zie je wat de gemeente écht belangrijk vindt”, zegt één van hen. Politie-auto’s rijden met zwaailichten rond om inbrekers te verjagen. Nog in haar auto ziet de calamiteitencoördinator de helverlichte gevel van OLVG West als een baken uit de duisternis oprijzen. Er is noodstroom. De twee enorme dieselgeneratoren van Caterpillar zijn goed opgestart. Ze is opgelucht. In het Slotervaartziekenhuis, nog geen vier kilometer verderop, werkt de generator niet – ondanks een succesvolle test een paar dagen eerder. De meest kritieke apparaten – beademingsapparatuur in de intensive care, hartbewakingsapparatuur, couveuses voor babies – mogen nooit uitvallen en hebben eigen batterijen. Maar na een uur zijn die leeg. Het Slotervaart moet de meest kwetsbare patiënten evacueren, en snel. Hoewel het vijf graden vriest, slaat die ochtend in het grootste deel van de 365.000 getroffen huishoudens de verwarming niet aan.

Amsterdam: verkeersleiding spoor Bij de regionale verkeersleidingpost aan de westzijde van Amsterdam Centraal Station is het vroeg in de ochtend altijd druk. Ruim voordat Nederland ontwaakt rijden er al treinen over het spoor. De goede trein moet met de juiste mensen op het juiste station op het beoogde perron staan als rond vijf uur de dienstregeling op gang komt. Nederland heeft het drukst bereden spoornet van Europa, en de dienstregeling is een uiterst complexe logistieke puzzel. De puzzelstukken liggen nu hopeloos door elkaar. De chaos wordt zichtbaar op het scherm van de operator van de Landelijke Meldkamer Spoor van ProRail in Utrecht. Binnen drie minuten na de kortsluiting aan de Hemweg staat daar een „kerstboom” van 326 storingsmeldingen. Normaal is dat een enkele melding. Drie uur later zijn dat er 4.338. De voeding van seinen, wissels en bovenleidingen in de hele regio Amsterdam is weggevallen. De dienstregeling van NS is een uiterst complexe puzzel. De puzzelstukken liggen nu hopeloos door elkaar. Aan de storing zelf kunnen de medewerkers van ProRail en NS niets doen. Dus werken ze uit alle macht aan een opstartplan, dat zo snel mogelijk na het terugkeren van de stroom voor een werkende dienstregeling zorgt. Daarvoor hebben ze meer dan tien verschillende computersystemen. Sommige laten de toestand van het spoor zien, andere de locatie van alle treinen en weer een ander de actuele posities van het rijdend personeel. De communicatie met het personeel via een speciaal mobiel gsm-netwerk en de Railpocket, een kleine tablet die elke machinist of conducteur bij zich heeft, verloopt via weer een ander netwerk. Al deze cruciale netwerken zijn aangesloten op vier afzonderlijke interne batterijen én een splinternieuwe noodgenerator. Ondanks de stroomuitval kunnen ze hier dus doorwerken. Maar om 04.42 uur gaan, tot verbijstering van de aanwezigen, alle schermen op zwart. De noodbatterijen zijn op. Een simpele temperatuursensor, die al tien dagen defect blijkt te zijn, blokkeert het aanslaan van de noodgenerator. Een verkeersleider: „We waren op slag blind.” De nieuwe generator moest juist betrouwbaarder zijn dan zijn voorganger. Het apparaat houdt via allerlei sensoren zijn eigen gezondheid in de gaten, en stuurt die gegevens door naar de landelijke meldkamer in Utrecht. Zo kan er nooit ongezien iets misgaan, is het idee. Er is vandaag alleen één probleem: de digitale verbinding met Utrecht is nog niet voltooid – de melding dat de temperatuursensor kapot is, én de melding dat de generator niet aanslaat, komen daar nooit aan. Familiefoto’s op de kast bij Frans Penning Ilvy Njiokiktjien Een foto van Yvonne Penning, de vrouw van Frans Penning. Ilvy Njiokiktjien Ilvy Njiokiktjien



Amsterdam Osdorp: Huize Penning Frans Penning schrikt wakker. Zijn vrouw Yvonne roept vanuit de keuken. „De stroom is uitgevallen, Frans. En ik voel me niet zo lekker.” Penning stapt uit bed en loopt naar haar toe. Het is pikkedonker in huis. Net als buiten. Op deze winterdag zal het nog drie uur duren voor de zon opkomt. Penning vraagt of hij 112 moet bellen. Dat hoeft niet, zegt zijn 75-jarige vrouw. „Leg me maar even op bed. Dan komt het wel weer goed.” Maar als Yvonne Penning gaat liggen moet ze kokhalzen. Frans Penning, in zijn werkende leven actief op de grote vaart, zet haar in één beweging rechtop in bed. Ze zakt weg, verslapt en glijdt van het bed af op de grond. Tastend in het donker begint Penning zijn vrouw te reanimeren. Tussendoor roept hij in paniek hun zoon, die sinds een scheiding weer thuis woont. De zoon neemt de reanimatie over, Penning probeert 112 te bellen. De vaste lijn is uitgevallen door de stroomstoring. Met zijn mobiel krijgt hij maar geen contact. Met zijn Huawei P9 Lite aan zijn oor schijnt Penning zijn zoon bij met een minuscule zaklantaarn, die bij toeval sinds twee maanden op zijn nachtkastje ligt – een cadeau van een ambtenaar die op een dag langskwam in het kader een veiligheidscampagne. 112 reageert nog altijd niet. „Hoe kán dat nou?”, zegt Penning. Juist nu iedere seconde telt. Bij de vorige grote stroomstoring, in maart 2015 in Diemen, vielen na een half uur al de eerste mobiele telefoonnetwerken uit. Twee uur na het begin van de storing kon er in de getroffen regio niet meer mobiel worden gebeld: de noodbatterijen van alle zendmasten waren uitgeput. Een niet te onderschatten probleem: in crisistijd is iedereen – van burgemeester en brandweerman tot journalist en bezorgde ouder – op zoek naar informatie. De beschikbaarheid van het mobieltje is zo vanzelfsprekend dat maar weinig mensen weten wat ze moeten doen als die wegvalt. Zo bleek tijdens ‘Diemen’ dat zelfs professionals bij de getroffen gemeenten niet wisten dat de rijksoverheid in de decennia daarvoor voor tientallen miljoenen een „noodcommunicatievoorziening” had aangelegd door het hele land. Volgens het ministerie van Veiligheid en Justitie een „last resort”, speciaal voor situaties als deze „wanneer andere telecommunicatienetwerken zijn uitgevallen”. Eén betrokkene belde tijdens de storing in 2015 via dit netwerk alle gemeenten. Niemand nam op. Frans Penning belt 10 minuten en 20 seconden naar 112 voor hij eindelijk iemand aan de lijn krijgt 112 bleek ook in 2015 al snel niet meer bereikbaar – ondanks de wettelijke verplichting voor telecomaanbieders om dat te garanderen. Het Agentschap Telecom – toezichthouder op de mobiele telefonie – vroeg de telecombedrijven toen de situatie te evalueren om „een ononderbroken toegang tot het alarmnummer 112 bij een langdurige stroomstoring te borgen”. Mochten de telefoonbedrijven desondanks besluiten geen extra maatregelen te nemen, dan moest daar volgens het Agentschap een maatschappelijke discussie over komen. Het Agentschap ging de evaluatie „nauwgezet volgen”. Er is, zo blijkt uit mailwisselingen in bezit van NRC, een „benen op tafel sessie” geweest. In de praktijk is er twee jaar na Diemen niets veranderd. Op 17 januari krijgen telecomproviders dan ook opnieuw een snel oplopend aantal meldingen van uitvallende zendmasten. Steeds meer mensen beginnen 112 te bellen. De politie twittert: „Stroomstoring in Amsterdam is bekend. Bel alleen met de hulpdiensten in geval van nood.” De boodschap is niet aan iedereen besteed. Een Amsterdammer belt de noodlijn met de klacht dat hij zijn iPad niet kan opladen. De meldkamers hebben het druk. De ambulance meldkamer zal die ochtend negen 112-oproepen niet opnemen. De langste volhouder hangt na 17 minuten en 21 seconden op. Frans Penning is de wanhoop nabij, maar houdt vol. De 10 minuten en 20 seconden voor hij eindelijk iemand aan de lijn krijgt, voelen als een eeuwigheid. Drie minuten later scheurt een Volvo van de snelwegpolitie met zwaailicht zijn straat in. Nog altijd in pyjama loopt de bejaarde Penning met zijn zaklampje in de hand de zeventien traptreden af om de voordeur te openen; door de storing doet de elektronische deuropener van het appartementencomplex het niet meer. Al snel staat de hele straat vol: een auto met twee trauma-artsen, nog twee politieauto’s, twee brandweerwagens waarvan één met ladder, twee ambulances. Hun zwaailichten verlichten de hele straat. Telkens moet Penning naar beneden lopen. Uitgevallen zendmasten T-Mobile Amsterdam

Deel II: Het herstel

Ede: Control Center Tennet Bijna twee uur zijn verstreken sinds de kortsluiting op de Hemweg. Bij Tennet is de belangrijkste informatie geanalyseerd, alle mogelijke scenario’s zijn uitgewerkt – alles om te voorkomen dat een ingreep de situatie verergert. Nu is het spannendste moment daar: de bedrijfsvoerders in Ede schakelen met hun computer het station Hemweg weer in, waarbij ze de getroffen transformator omzeilen. Stap voor stap. Houdt het systeem stand? Wanneer om kwart over zes blijkt dat dat zo is, zit hun werk er op. De opluchting is groot. De militaire discipline van Tennet In de twee Control Centers van Tennet (in Ede en Arnhem) zijn zelfs de eenvoudigste handelingen in een keurslijf van regels gevat. Alles om het haperen van de hoogspanning te voorkomen. Neem het ‘schakelen’, het veranderen van een stroomverbinding ergens in Nederland. Dat gebeurt acht tot tien keer per dag, soms om onderhoud te plegen, soms om de spanningen op het net te herverdelen. Meer dan één klik van de muis is het niet.

Maar voor iemand mag klikken gaan er rode lampen branden in de zaal en boven de toegangsdeur. Behalve de vijf bedrijfsvoerders die op dat moment dienst hebben, moet dan iedereen de zaal uit. Hoe eenvoudig de handeling ook is, elk risico dat het mis gaat, moet worden uitgesloten. De bedrijfsvoerders houden ook in de gaten of de stroomverbindingen met andere landen stabiel zijn. En ze plannen vooruit: hoeveel stroom wordt er morgen, overmorgen, deze en volgende week door centrales en windparken geproduceerd, hoeveel stroom komt er dan Nederland binnen en hoeveel gaat er uit. En hoe verdelen ze dit allemaal zodat iedereen stroom krijgt zonder dat het hoogspanningsnet bezwijkt. De kunst is om vraag en aanbod van stroom precies op elkaar af te stemmen. Zonder die balans kunnen er enorme verstoringen ontstaan. Om dat te voorkomen kan Tennet bijvoorbeeld in uiterste gevallen ‘noodvermogen’ opvragen via vooraf afgesloten contracten als de vraag groter is dan het aanbod. Dit gebeurt voornamelijk bij grotere elektriciteit producerende installaties, maar ook bijvoorbeeld bij ziekenhuizen of andere instellingen die dan hun noodgeneratoren aanzetten, niet voor zichzelf, maar om elektriciteit aan het net te leveren. Het fundament van de betrouwbaarheid van de Nederlandse stroom is het zogenoemde n-1 principe van Tennet, vastgelegd in de Elektriciteitswet. Het net is zo gebouwd dat de uitval van één component zonder problemen kan worden opgevangen. Er moeten tegelijkertijd twee dingen stuk gaan om voor stroomproblemen te zorgen. Op sommige van de meest cruciale delen van het hoogspanningsnet leidt zelfs het uitvallen van twee componenten niet tot problemen, die zijn driedubbel uitgevoerd. Als de stroom desondanks toch uitvalt, treedt bij Tennet het crisisscenario in werking. Ook de elementen van de crisisbeheersing zijn via allerlei protocollen geregisseerd. Het crisiscentrum bevindt zich op de vierde verdieping van het chique nieuwe hoofdkantoor, verscholen in de bossen op de heuvelrug ten westen van Arnhem. De gesprekken, over de telefoon en in crisisruimte zijn beknopt, er is geen tijd voor onbenulligheden, betrokkenen spreken elkaar aan met hun functie. Emoties en persoonlijkheden mogen niet in de weg staan. Het whiteboard in de ene vergaderruimte van het crisiscentrum heeft een aantal vaste kolommen. Feiten; Veronderstellingen; Doelstellingen. Voor misverstanden mag geen ruimte ontstaan. In de vergaderruimte ernaast werkt een andere groep aan een herstelplan voor de langere termijn. Wie in de ene ruimte zit, mag alleen op vooraf beschreven momenten de andere kamer binnenlopen. Zo wordt alle ruis uit het proces gemanaged. Elke vergadering wordt opgenomen, elke handeling, elk besluit wordt in logboeken bijgehouden. Alles en iedereen wordt achteraf geëvalueerd.

Amsterdammers merken dan nog lang niet dat de stroom terug is. Liander, de regionale netbeheerder die de stroom bij mensen en bedrijven aan de deur brengt, moet eerst honderden onderstations weer inschakelen. Omdat bij veel mensen nog apparatuur aanstaat, kan dat niet in één keer; dan zouden de ‘stoppen’ op de onderstations doorslaan. Monteurs rijden naar de getroffen transformatorhuisjes en schakelen ze één voor één weer in. Monnikenwerk. Het opstartende verkeer in Amsterdam loopt volledig vast. Metro’s en trams werken niet. Er staat een file van 15 kilometer op de A7 omdat de spitstrook niet open kan. De Oranjesluizen in het IJ werken ook niet meer, binnenvaartschepen liggen te wachten. In een poging de rap aanzwellende onvrede weg te nemen, heeft Liander vlak na de stroomstoring via Twitter laten weten dat de problemen rond 06:30 uur zijn verholpen. Maar om 06:55 uur heeft nog niet de helft van de getroffen huishoudens weer stroom. Omdat Nederland ontwaakt, neemt de druk verder toe. Tijd voor de volgende tweet: „Liander werkt met man en macht verder aan het oplossen van de stroomstoring.” Amsterdammers die de kans hebben, genieten van de stilte en het donker, pakken waxinelichtjes uit de kast en maken zich op voor een thuiswerkdag. Verschillende basisscholen besluiten niet open te gaan. In kou en donker lesgeven is niet verantwoord.

Amsterdam Osdorp: Huize Penning Het team agenten en brandweermannen heeft in de bescheiden woning van Frans Penning een pad aangelegd door de woonkamer naar het balkon. Zo kunnen ambulancemedewerkers Yvonne Penning op een brancard naar buiten tillen. Door de storing is de centrale lift in het appartementencomplex uitgevallen. Buiten bewustzijn verlaat de bewoonster haar huis, via het balkon en de ladderwagen van de brandweer. Op de grond van de slaapkamer vindt de zoon van Frans Penning het in allerijl gemaakte hartfilmpje. „Uitgebreid infarct – mogelijk acuut”, staat erop. Yvonne Penning overlijdt in de ambulance op weg naar het ziekenhuis. Frans Penning verzorgt dagelijks haar graf. Was het anders gelopen zonder stroomstoring? „Die vraag zal me altijd bezighouden.”

Frans Penning bladert door fotoboeken van vroeger. Ilvy Njiokiktjien Het graf van zijn vrouw Yvonne Penning. Zij overleed tijdens de stroomstoring op 17 januari. Ilvy Njiokiktjien Frans Penning, bij het graf van zijn vrouw Yvonne. Zij overleed tijdens de stroomstoring op 17 januari. Ilvy Njiokiktjien De vaste telefoon, die zonder stroom niet kan bellen. Frans Penning belde daarom 112 met zijn mobiele telefoon, maar het duurde 8 minuten voordat er gehoor werd gegeven aan zijn oproep. Ilvy Njiokiktjien Frans Penning, bij het graf van zijn vrouw Yvonne. Zij overleed tijdens de stroomstoring op 17 januari. Ilvy Njiokiktjien

Amsterdam: ziekenhuizen Na uitgebreide controles van alle kritieke systemen kunnen de operatiekamers van het OLVG weer open. Met iets meer dan een uur vertraging is het weer business as usual. In het Slotervaart niet: daar zijn niet alleen alle operaties afgelast, alle poliklinieken, de spoedeisende hulp en de hartafdeling blijven die dag gesloten. Wat er mis ging wil het ziekenhuis tot op de dag van vandaag niet zeggen. Maar een mailwisseling tussen energieleverancier Liander en het Agentschap Telecom onthult wat het ziekenhuis wil verbergen. Door de stroomstoring gaan alle CV-ketels in Amsterdam uit. Het gasverbruik stort in, wat weer leidt tot automatische veiligheidsingrepen in het gasnetwerk. Bij het Slotervaart – waar de noodgenerator blijkbaar afhankelijk is van gas – is er daardoor „inwendig een as afgebroken” en stopt de gastoevoer. En dus de generator. Vermoedelijk heeft het ziekenhuis het die dag niet meer aangedurfd om zonder noodstroomvoorziening de deuren te openen, ook niet na het terugkomen van de elektriciteit. Hoe bescherm je een ziekenhuis tegen stroomuitval? OLVG locatie West heeft zulke grote generatoren dat het ook zonder netspanning voluit kan draaien. Daarvoor zorgen twee generatoren van Caterpillar die elk 1,6 megaWatt aan stroom leveren. Deze staan ieder in hun eigen, voorverwarmde ruimte.

Het ziekenhuis kent drie “ringen” van stroomvoorziening, ‘preferenties’ 1, 2 en 3. Binnen de eerste ring zitten de kritieke systemen, zoals brand- en operatiekamerliften, maar ook de intensive care, spoedeisende hulp, operatiekamers, afdelingen cardiologie en neonatologie - vooral voor de couveuses. De eerste ring wordt door de eerste generator gevoed. Als er genoeg stroom is, schakelen medewerkers van de technische dienst de tweede en derde ring erbij. In de ruimte naast de generatoren staat een dieseltank van duizend liter. Daarop kan het hele ziekenhuis zo’n drie uur draaien. In de kelder staat nog een tank, van 40.000 liter. Dat levert genoeg tijd op om een dieseltankwagen op te roepen. Ook als beide generatoren goed werken, en het hele ziekenhuis stroom heeft, worden operaties uitgesteld tot er weer netspanning is. Er is, mochten de generatoren uitvallen, immers geen noodsysteem meer om op terug te vallen. Behalve de generatoren hebben de meest kritische systemen ook batterijvoeding. Ook hebben alle afdelingen een noodlaptop met alle relevante elektronische patiëntendossiers. Die zijn altijd op het stopcontact aangesloten. Die dossiers worden elk half uur bijgewerkt. Zelfs als alle stroom uitvalt, hebben verzorgers zo de beschikking over patiëntgegevens die niet meer dan een half uur oud zijn. Alle relevante telefoonschema’s zijn om die reden ook op papier beschikbaar, niet alleen op de computer. Toch kan het ziekenhuis niet direct nadat de netstroom terug is al weer op volle sterkte opereren. De diesels slaan pas na vier a vijf seconden aan. Alle apparatuur die géén noodbatterij heeft, valt in die paar seconden even uit. Het is dan alsof je computer crasht. Alles moet opnieuw worden opgestart, en soms duurt dat uren. De complexe software van een MRI-scanner, waarmee artsen bijvoorbeeld inwendig letsel kunnen vinden is pas anderhalf uur na stroomverlies weer klaar voor gebruik. Systemen in het ziekenhuis die over leven of dood gaan, moeten daarnaast opnieuw getest en geijkt worden. Neem de lucht in operatiekamers. Een opengesneden lichaam is uiterst vatbaar voor infecties. Niet alleen moet de lucht steriel zijn, hij moet ook steriel blijven. Om te zorgen dat bij het openen van deuren geen ongefilterde ‘vieze’ lucht de operatiekamer instroomt, zorgt het luchtbeheersingssysteem voor overdruk in het operatiecomplex. Maar dat is niet alles: elke kamer in het complex heeft weer net andere luchtdruk. Zo creëert het systeem een luchtstroom waardoor de lucht altijd van schoon naar vies stroomt, nooit andersom. Na de stroomuitval moet dit allemaal weer worden getest – ook luchtvochtigheid en temperatuur moeten kloppen. In het ziekenhuis staan speciale koelkasten met uiterst kostbare medicijnen waarvan er altijd wel een paar een storing krijgen bij een hapering van de stroom. Als zo´n koelkast een paar keer open is geweest zonder dat hij koelt, kan je direct tienduizenden euro’s aan medicijnen weggooien. Dus moet iemand de temperatuurgeschiedenis van de koelkast controleren. Na een uitgebreide controle van alle systemen kunnen de operatiekamers weer open, met iets meer dan een uur vertraging.

Alle veiligheidsmaatregelen leveren ook weer hun eigen risico op. Een paar jaar geleden kwam het OLVG er bij toeval achter dat een cruciaal onderdeel van de noodvoorzieningen wankel was. Een medewerker die met systeemcontroles van storingen, alarmen en beveiliging bezig was kwam een melding tegen die hij niet begreep. Toen bleek dat het betreffende onderdeel steeds kleine storingen had, maar zich wel wist te resetten. De Raad van Bestuur kwam direct in crisisoverleg bijeen en besloot zo snel mogelijk een nieuw onderdeel aan te schaffen. Dat werd aan het einde van de dag geleverd. Voordat de component kon worden geïnstalleerd, moest netbeheerder Liander worden gebeld of er geen geplande werkzaamheden konden zijn waardoor het ziekenhuis plotseling zonder stroom zou komen te zitten. Vijf minuten nadat het onderdeel was geïnstalleerd, deed OLVG West een noodstroomtest, en werd dus het hele ziekenhuis van de stroom afgesloten.





Amsterdam Liander meldt dat er weer overal stroom is. Mobiel bellen is weer mogelijk, tram- en metroverkeer komen weer op gang. Wie thuis is gebleven, voelt hoe de verwarming weer aanslaat. Behalve in 20.000 huizen met stadsverwarming van Nuon. De systemen zijn ontregeld, het water in de leidingen is afgekoeld. Het zal nog tot het einde van de middag duren voor er weer genoeg warm water is om naar de aangesloten huizen te pompen. Netbeheerder Tennet laat in een summier bericht op de site weten dat de storing „gezien de duur en diepte” in de categorie „hinderlijke spanningsdip” valt. Op Twitter verontschuldigt het bedrijf zich voor „eventueel ongemak”. Het onderkoelde statement ontgaat Nederland. Drukte in de hal op station Amsterdam CS, door de stroomuitval rijden er geen treinen van en naar het station. ANP/Evert Elzinga Drukte op de Luchthaven Schiphol, na een grote stroomstoring in Amsterdam en omgeving. Als gevolg van de storing rijden er geen treinen van en naar het vliegveld. ANP/Robin Utrecht Drukte bij de taxistandplaats op de Luchthaven Schiphol, na een grote stroomstoring in Amsterdam en omgeving. Als gevolg van de storing rijden er geen treinen van en naar het vliegveld. ANP/Robin Utrecht

Amsterdam: verkeersleiding spoor Op sociale media krijgt NS intussen de volle laag – de duizenden gestrande treinreizigers en stilstaande treinen worden hét beeld van de stroomuitval. Om kwart voor tien, vijfenhalf uur na het begin van de storing, rijden er nog altijd nauwelijks treinen in de Randstad – hoewel er al weer uren stroom op de bovenleidingen staat. De omstandigheden werken niet mee. Bij Heiloo springt iemand voor een Sprinter; de eerste trein die weer rijdt. Op Utrecht Centraal dwingt een verdacht pakketje NS om zeven van de zestien perrons te ontruimen. „Verlaat direct het station,” verschijnt er op de borden. Maar ook blijken de crisisplannen niet goed te werken – en dat komt niet alleen door de defecte generator. Een interne evaluatie van ProRail en NS beschrijft hoe medewerkers bij de verkeersleiding in Amsterdam niet weten hoe ze de systemen moeten opstarten, bij de NS kennen ze bijvoorbeeld hun inloggegevens niet. De computers staan immers altijd aan. De afdeling reisinformatie van de NS schat in eerste instantie de ernst van de situatie niet goed in, en komt te laat met waarschuwing aan treinforenzen om niet op pad te gaan. Ondanks de afspraken vooraf – ‘stick to the plan’ heet dat in crisisjargon – besluit de verkeersleiding toch om pendeltreinen tussen stations te laten reizen. Goed bedoelde improvisaties die de logistieke nachtmerrie alleen maar vergroten: het duurt zo nóg langer te achterhalen waar het materieel en het personeel zich bevinden. Toch overheerst later een goed gevoel: „De overall beleving van de direct betrokkenen is dat er beter is samengewerkt dan in het verleden.” Pas rond negen uur ’s avonds rijdt alles weer. 395 treinen rijden die dag niet op tijd. 1.180 treinen rijden helemaal niet.

Epiloog Zes maanden later heeft een adviesbureau in opdracht van Tennet de stroomstoring minutieus gereconstrueerd. Het technisch rapport beschrijft een draadje van 1 millimeter in de AEG-transformator dat was bedoeld om te zorgen voor een evenwichtige verdeling van het inwendige elektrische veld. Dit draadje was na 48 jaar weggeroest, door binnendringend water. De elektrische krachten die daardoor ontstonden, leidden uiteindelijk tot de explosie – exact één jaar voordat Tennet deze meettransformator volgens plan zou vervangen. Het rapport beschrijft ook een tweede draadje. Veel hoogspanningsstations hebben een dubbel uitgevoerde route waarlangs de elektriciteit loopt. Als door kortsluiting één van die routes uitvalt, zorgt de andere route voor de stroomvoorziening. Maar door een verkeerd aangelegd draadje zorgde het beveiligingssysteem er juist voor dat beide routes uitvielen toen de transformator ontplofte. Het ene draadje had er moeten zijn, maar was er niet. Het andere was er, maar had er niet moeten zijn. Samen stortten ze de hoofdstad in duisternis. De ontwerpfout van het meer dan veertig jaar oude station Hemweg was, zo benadrukte Tennet, gemaakt in de tijd voordat het staatsbedrijf er eigenaar van was. Tennet nam het beheer van dit hoogspanningsstation begin deze eeuw over van de regionale netbeheerder Liander. Na de storing heeft Tennet „alle overgedragen hoogspanningsstations bekeken”. Daar zijn geen ontwerpfouten gevonden. NS en ProRail hebben intussen een ‘Officier van Dienst’ aangesteld die vanuit Utrecht „als enige de bijsturingsbesluiten op basis van vooraf opgestelde scenario’s” mag nemen bij een grootschalige verstoring van de dienstregeling. Dit moet communicatieproblemen en improvisaties zonder overleg van regionale verkeersleiders voorkomen. Bij de volgende grote, langdurige stroomuitval zal het mobiele netwerk weer binnen één à twee uur uitvallen – en kan weer niemand meer met zijn mobieltje bellen, ook niet naar 112. Sinds de stroomstoring in Diemen in 2015 hebben telecombedrijven geen maatregelen genomen om het mobiele of vaste netwerk langer in de lucht te houden – ondanks hun wettelijke plicht 112 bereikbaar te houden. Het is te duur, zeker voor een stroomstoring die bijna toch nooit voorkomt. Deze reconstructie is gebaseerd op (interne) rapportages van betrokken instanties, documenten verkregen via de Wet Openbaarheid van Bestuur en tientallen gesprekken met direct betrokkenen en experts. Dit artikel won een VOJN-award in de categorie ‘storytelling’. Vorm: Miriam Vieveen. Techniek: Kirsten Ruys. Graphics: Roos Liefting. Energiecentrale Hemweg in Amsterdam. Rien Zilvold Correctie (05-05-2018): In een eerdere versie werd ‘Huawei P9 Lite’ verkeerd gespeld als ‘Huawei P9 Light’

NRC 5 om 5 Om vijf uur de vijf meestbesproken stukken van de dag Inschrijven

Een versie van dit artikel verscheen ook in NRC Handelsblad van 8 juli 2017