Für einen individuellen Ausdruck passen Sie bitte die Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk

B e z u g : Bekanntmachung der Internationalen Länderkommission Kerntechnik - ILK - vom 18. März 2005, Nr. ILK 20D

Zusammenfassung

In Deutschland wird derzeit die Behandlung von Betriebstransienten mit zusätzlich unterstelltem Ausfall der Schnellabschaltung (ATWS - "Anticipated Transients Without Scram") kontrovers diskutiert. Diese Diskussion wurde dadurch ausgelöst, dass die Reaktorsicherheitskommission (RSK) in einer Stellungnahme vom 3. Mai 2001 empfiehlt, beim Nachweis der Beherrschung von ATWS-Ereignissen von den in den RSK-Leitlinien für Druckwasserreaktoren aus dem Jahr 1981 (zuletzt geändert 1996) niedergelegten Anforderungen abzuweichen und die Auswirkungen einzelner aktiv angesteuerter Maßnahmen nicht zu berücksichtigen, namentlich die Abschaltung der Hauptkühlmittelpumpen. Die ILK äußert daher in dieser Stellungnahme ihre Meinung zu den Anforderungen, die an den Nachweis der Beherrschung von ATWS bei Druckwasserreaktoren zu stellen sind. Bei Siedewasserreaktoren ist die Untersuchung von ATWS-Transienten ebenfalls Bestandteil des Genehmigungsverfahrens. Die Annahmen, die dort bei der Nachweisführung für eine wirksame Druckbegrenzung anzusetzen sind, sind jedoch seit langem unverändert und unstrittig.

Die ILK hat insbesondere auch die Praxis in den USA, in Frankreich und in Finnland in ihre Betrachtungen einbezogen. Sie hat dabei festgestellt, dass bei der Behandlung von ATWS der grundsätzliche Ansatz, ohne die Anwendung verschärfender Postulate zu zeigen, dass die Folgen tolerabel bleiben, in Deutschland, den USA und Frankreich gleich ist. Insbesondere wird bislang in keinem der Länder unterstellt, dass vom auslösenden Ereignis nicht betroffene aktive Komponenten nicht für die Beherrschung der Transiente zur Verfügung stehen. Im Einzelnen gibt es jedoch Unterschiede. Finnland verfolgt einen anderen Ansatz, nimmt aber wie die anderen Länder an, dass betriebliche Systeme normal funktionieren.

Die ILK ist der Ansicht, dass das bisherige Vorgehen beim Sicherheitsnachweis von ATWS-Ereignissen zu einer ausgewogenen Risikominderung führt. Das einleitende Ereignis hat bereits eine sehr geringe Eintrittshäufigkeit; zu seiner Beherrschung sind zuverlässige Maßnahmen vorhanden. Diese sind auch geeignet, Unsicherheiten abzudecken. Die ILK sieht daher keinen Anlass, zusätzliche Anforderungen zu stellen. Das Abschalten der Hauptkühlmittelpumpen bei ATWS ist eine wirksame Maßnahme, den Ereignisablauf günstig zu beeinflussen und die Auswirkungen zu mildern. Die Maßnahme ist zuverlässig und hat keine negativen Auswirkungen. Die ILK empfiehlt daher, das Vorgehen entsprechend den RSK-Leitlinien für Druckwasserreaktoren beizubehalten und insbesondere in der Analyse die ggf. vorgesehene Pumpenabschaltung zu berücksichtigen.

Bezüglich der einzuhaltenden Kriterien ist die ILK der Ansicht, dass die Vorgabe einer zulässigen Spannung, wie in den RSK-Leitlinien niedergelegt, sachdienlich ist. Der entsprechende zugeordnete Druck ist auf der Basis der zulässigen Spannung anlagenspezifisch zu ermitteln.

1 Anlass der Stellungnahme

In Deutschland wird derzeit die Behandlung von Betriebstransienten mit zusätzlich unterstelltem Ausfall der Schnellabschaltung (ATWS - "Anticipated Transients Without Scram") kontrovers diskutiert. Diese Diskussion wurde dadurch ausgelöst, dass die Reaktorsicherheitskommission (RSK) in einer Stellungnahme vom 3. Mai 2001 [1] empfiehlt, von den in den RSK-Leitlinien für Druckwasserreaktoren aus dem Jahr 1981 (zuletzt geändert 1996) [2] niedergelegten Anforderungen an den Nachweis der Beherrschung von ATWS-Ereignissen abzuweichen. Nach Ansicht der RSK sollten beim Nachweis die Auswirkungen einzelner aktiv angesteuerter Maßnahmen nicht berücksichtigt werden, namentlich die Abschaltung der Hauptkühlmittelpumpen.

Nach Ansicht der ILK hat diese Diskussion über den betrachteten Einzelfall hinaus grundsätzliche Bedeutung für den Sicherheitsnachweis bei Kernkraftwerken. Sie äußert daher in dieser Stellungnahme ihre Meinung zu den Anforderungen, die an den Nachweis der Beherrschung von ATWS bei Druckwasserreaktoren zu stellen sind. Die ILK hat dabei insbesondere auch die Praxis in den USA, in Frankreich und in Finnland in ihre Betrachtungen einbezogen.

2 Behandlung von ATWS in Deutschland

2.1 Klassifizierung von Ereignissen

Die erste wichtige Ebene zur Gewährleistung der Sicherheit (Sicherheitsebene 1 ¹ bzw. Level 1 nach INSAG-12 [4] [siehe Anhang]) besteht darin, durch eine hohe Qualität des Kraftwerkes und seines Betriebes Störungen nach Möglichkeit zu vermeiden. Da sie jedoch nicht ausgeschlossen werden können, sind Vorkehrungen zu ihrer Beherrschung zu treffen. Die Ereignisse, die zu betrachten sind, können entsprechend der deutschen Praxis einer der vier folgenden Kategorien zugeordnet werden:

• Kategorie 1: Betriebliche Ereignisse
  Das sind Störungen, mit deren Eintreten während der Lebensdauer der Reaktoranlage zu rechnen ist, d. h. ihre Eintrittshäufigkeit liegt im Bereich von etwa einmal pro Jahr bis einmal in mehreren Jahrzehnten. Daraus resultierende Transienten werden durch betriebliche Systeme sowie durch Begrenzungseinrichtungen aufgefangen. In einigen Fällen wird eine Reaktor-Schnellabschaltung ausgelöst. Diese Ereignisse werden der Sicherheitsebene 2 (bzw. Level 2 laut INSAG-12) zugeordnet. Sollten betriebliche Systeme versagen, steht zur Beherrschung das Sicherheitssystem zur Verfügung.
• Kategorie 2: Auslegungsstörfälle
  Diese Ereignisse bestimmen die Auslegung des Sicherheitssystems. Sie decken ein breites Spektrum ab, von Ereignissen, die in der Lebensdauer einer Anlage auftreten können, bis zu solchen, die zwar in der Lebensdauer aller in Deutschland laufenden Anlagen nicht zu erwarten, aber auch nicht auszuschließen sind. Für diese Ereignisse ist nachzuweisen, dass die nach dem Stand von Wissenschaft und Technik erforderliche Vorsorge gegen Schäden getroffen ist. Dazu werden Maßnahmen ergriffen, mit denen die Störfälle sicher beherrscht werden. Die angestrebte Sicherheit erreicht man u. a. dadurch, dass man auch Ereignisse geringer Eintrittshäufigkeit betrachtet und für den Nachweis zusätzlich zu dem zu beherrschenden Ereignis ungünstige Annahmen trifft, wie Unverfügbarkeit aller nicht zum Sicherheitssystem gehörigen Einrichtungen, Ausfall des ersten zu erwartenden Reaktorschutzsignals, einen beliebigen Ausfall bei den für die Beherrschung erforderlichen Systemen sowie Unverfügbarkeit von Redundanzen der Sicherheitseinrichtungen aufgrund von Instandhaltungsmaßnahmen. Darüber hinaus werden für den Nachweis konservative Annahmen bei der Berechnung und konservative Grenzen der Belastbarkeit von Komponenten etc. verwendet. Die zu betrachtenden Störfälle sind in den Störfall-Leitlinien [5] festgelegt. Diese Ereignisse werden der Sicherheitsebene 3 (bzw. Level 3 nach INSAG-12) zugeordnet.
• Kategorie 3: Auslegungsüberschreitende Ereignisse, für die keine Vorsorge gegen Schäden zu treffen ist, bei denen aber die Möglichkeit einer Minderung des Risikos zu prüfen ist
  Dies sind Ereignisse, deren Eintreten wegen ihrer extrem geringen Wahrscheinlichkeit nicht angenommen zu werden braucht. Daher ist eine Vorsorge gegen Schäden Dritter nicht erforderlich. Da die Vermeidung von Schäden auch in diesen Fällen zur weiteren Minderung des verbleibenden, mit dem Anlagenbetrieb verbundenen Risikos führen kann, werden geeignete Maßnahmen ergriffen, soweit dies nach dem Grundsatz der Verhältnismäßigkeit der Mittel sinnvoll ist. Eine Möglichkeit dazu ist, anlageninterne Maßnahmen zum Notfallschutz vorzusehen, mit denen erreicht wird, dass auch bei unterstelltem Eintritt des betrachteten Ereignisses keine nicht tolerablen Folgen eintreten. Der Nachweis dafür wird nicht mit konservativen, sondern mit realistischen Annahmen geführt. Insbesondere wird nicht angenommen, dass vorhandene Einrichtungen, die von dem Ereignis nicht betroffen sind, ausfallen. Der Grund dafür ist, dass die Kombination eines ohnehin sehr unwahrscheinlichen hypothetischen Ereignisses mit unwahrscheinlichen Ausfallannahmen auf ein nicht mehr zu betrachtendes Restrisiko führt. Diese Ereignisse gehören zur Sicherheitsebene 4 (bzw. zu Level 4 nach INSAG-12).
• Kategorie 4: Ereignisse im Bereich des Restrisikos
  Dies sind Ereignisse, deren Risiko so gering ist, dass es im Vergleich mit sonstigen Lebensrisiken unerheblich und daher hinzunehmen ist. Sie liegen mit den Worten des Bundesverfassungsgerichtes jenseits der Erkenntnismöglichkeiten der praktischen Vernunft. Gegen diese Ereignisse werden keine ereignisspezifischen Maßnahmen ergriffen. Durch anlageninterne und -externe Notfallschutzmaßnahmen werden jedoch ihre Folgen begrenzt. Diese Ereignisse werden ebenfalls der Sicherheitsebene 4 zugerechnet. Nach INSAG-12 gehören sie zu Level 5.

2.2 Einordnung von ATWS

Für Betriebstransienten, in deren Verlauf eine Reaktorschnellabschaltung erfolgt, wird mit konservativen Annahmen und Randbedingungen nachgewiesen, dass zulässige Belastungen auf die Einrichtungen einer Anlage nicht überschritten werden.

Dabei wird wegen ihres zuverlässigen Aufbaus das Funktionieren der Schnellabschaltung angenommen.

Der Aufbau der Schnellabschaltung wird im Folgenden für den in diesem Zusammenhang interessierenden Druckwasserreaktor skizziert:

• Die Ansteuerung der Schnellabschaltung erfolgt durch den Reaktorschutz in allen betrachteten Fällen über mehrere Anregesignale und über diversitäre Einrichtungen zur Anregung. Selbst wenn man aufgrund einer postulierten gemeinsamen Ursache den Ausfall einer ganzen Diversitätsgruppe und dazu einen Einzelfehler in der anderen Gruppe unterstellt, wird die Schnellabschaltung ausgelöst. Darüber hinaus bewirken vielfältige Anregungen aus dem Begrenzungssystem den Einwurf mehrerer oder aller Stäbe.
• Die Stäbe selbst fallen durch ihr Eigengewicht ein. Dadurch bestehen erhebliche Kraftreserven, die auch stark erhöhte Reibungskräfte überwinden können. Ein Teil der Stäbe wird im Betrieb zu Regelzwecken bewegt. Hierdurch würde ein mechanisches Blockieren von Stäben frühzeitig erkannt.

Die GRS hat die Nichtverfügbarkeit des Schnellabschaltsystems mit < 9 E - 7 bewertet [6]. Damit erhält sie für alle Betriebstransienten mit Ausfall der Schnellabschaltung eine Eintrittshäufigkeit von < 2 E - 7/a. Für die ungünstigste Transiente, die bei den Nachweisen abdeckend zugrunde gelegt wird, gibt die GRS mit zusätzlichem Ausfall der Schnellabschaltung eine Eintrittshäufigkeit von < 1 E - 7/A an.

Aufgrund dieser Gegebenheiten war das Ergebnis aller Genehmigungsverfahren, dass mit der Auslegung des Schnellabschaltsystems (und ggf. weiteren für die jeweilige Transiente erforderlichen Sicherheitseinrichtungen) die erforderliche Vorsorge gegen Schäden Dritter getroffen ist. Die Störfall-Leitlinien [5] stellen deshalb fest, dass Transienten mit einem Ausfall der Schnellabschaltung (ATWS) keine Auslegungsstörfälle sind. Die RSK hat bereits frühzeitig empfohlen, Maßnahmen zum Schutz gegen ATWS vorzusehen und dies in ihren Leitlinien für Druckwasserreaktoren aus dem Jahr 1981 (zuletzt geändert 1996) [2] festgeschrieben. Dies entspricht einer Einordnung in die dritte Kategorie von Abschnitt 2.1.

2.3 Bisherige Nachweisführung zur ATWS-Beherrschung

Die Untersuchung von ATWS-Transienten ist in Deutschland Bestandteil des Genehmigungsverfahrens von Druckwasserreaktoren. Entsprechend den RSK-Leitlinien für Druckwasserreaktoren [2] ist der Verlauf von Betriebstransienten auch unter der Annahme zu untersuchen, dass das Schnellabschaltsystem vollständig ausfällt.

Eine Präzisierung der Art des vollständigen Ausfalles des Schnellabschaltsystems erfolgt im Regelwerk jedoch nicht. Aus der systematischen Untersuchung des gesamten Spektrums der ATWS-Fälle, die in der Errichtungsphase der DWR-Anlagen durchgeführt wurde, geht hervor, dass der Kühlmitteldruck bei dem abdeckenden Fall (Ausfall der Hauptspeisewasserversorgung) dann am stärksten ansteigt, wenn ein mechanisches Blockieren aller Steuerstäbe angenommen wird. In der deutschen Genehmigungspraxis wird daher als abdeckende Bedingung der "mechanische" Ausfall (Klemmen) aller Steuerstäbe betrachtet. D. h. es wird postuliert, dass weder die Schnellabschaltung nach ihrer Anregung erfolgt noch im weiteren Verlauf der Transiente ein Steuerstab in den Kern eingebracht werden kann.

Die RSK-Leitlinien [2] enthalten eine Aufstellung der Betriebstransienten, für die zu zeigen ist, dass auch bei einem postulierten Ausfall des Schnellabschaltsystems die nachfolgend aufgezählten Bedingungen eingehalten werden:

• In der Druckführenden Umschließung dürfen die nach ASME Code Section III, Division 1, NB-3224 Level C Service Limits, zulässigen Spannungen nicht überschritten werden. (Anmerkung: In der deutschen Praxis galt die Forderung als erfüllt, wenn der maximale Kühlmitteldruck unter dem 1,3fachen des Auslegungsdrucks bleibt.)
• Das Borierungssystem und die Systeme zur Wärmeabfuhr müssen so ausgelegt sein, dass ihre Funktionsfähigkeit unter diesen Ereignisbedingungen bzw. nach diesen Ereignissen gewährleistet ist und der Reaktor abgefahren werden kann.

Für die Anfangs- und Randbedingungen gilt, dass "bei der Analyse dieser Ereignisse grundsätzlich vom normalen Betriebszustand ausgegangen werden kann. Mit Ausnahme der als gestört angenommenen Systeme können alle übrigen Systeme als funktionsfähig vorausgesetzt werden, solange diese nicht durch die Auswirkungen des Ereignisses beeinträchtigt werden, d. h. das gleichzeitige Auftreten eines Einzelfehlers ist nicht zu unterstellen; auch ein gleichzeitiger Instandsetzungsfall wird nicht postuliert" [2].

Bei Siedewasserreaktoren ist die Untersuchung von ATWS-Transienten ebenfalls Bestandteil des Genehmigungsverfahrens. Der sich bei ATWS-Transienten einstellende Kühlmitteldruck ist aufgrund der Reaktivitätskoeffizienten (Brennstofftemperaturkoeffizient, Dampfblasenkoeffizient) sowie der Druckbegrenzung durch die Sicherheits- und Entlastungs-Ventile, die diversitäre Abschaltung des Reaktors durch das elektromotorische Sammeleinfahren aller Steuerelemente und das Abfahren der Zwangsumwälzpumpen auf minimale Drehzahl wirksam begrenzt. Aus diesem Grund wird der Grenzwert für den Auslegungsdruck der Druckführenden Umschließung in der Regel unterschritten.

2.4 Maßnahmen bei ATWS

Zum besseren Verständnis der für ATWS erforderlichen Maßnahmen wird im Folgenden am Beispiel einer Konvoi-Anlage der Ablauf für die Transiente, die in der Regel die höchsten Anforderungen stellt, kurz skizziert. Dies ist der vollständige Ausfall der Hauptspeisewasserversorgung bei voller Leistung und unterstelltem Blockieren aller Steuerstäbe. Es wird angenommen, dass die Hauptkühlmittelpumpen während der gesamten Transiente in Betrieb bleiben.

Der Ausfall der Hauptspeisewasserversorgung führt zu einem Turbinenschnellschluss und Dampfabgabe über die Umleitstation. Druck und Temperatur in den Dampferzeugern steigen.

Die Schnellabschaltung wird angefordert, aber gemäß der Annahme nicht ausgeführt. Das RESA-Kontrollsignal (RESAK) der Begrenzungen leitet verschiedene Maßnahmen ein, insbesondere die Borierung über das Zusatzboriersystem.

• DA die Wärmeproduktion auf der Primärseite die Wärmeabgabe an die Sekundärseite übertrifft, steigen die Primärtemperatur und damit wegen der Volumenausdehnung der Primärdruck sehr schnell an. Ein neues Gleichgewicht wird bei einer Temperatur erreicht, bei der die erzeugte Leistung durch die negativen Kühlmitteltemperatur- und Kühlmitteldichtekoeffizienten der Reaktivität auf den Wert der abgeführten Leistung abgesenkt ist. Der Primärdruck wird durch das Ansprechen der Druckhalter-Ventile begrenzt und abgesenkt.
• Die nicht bespeisten Dampferzeuger dampfen schnell aus. Das An- und Abfahrsystem und die Notspeisesysteme fangen an, einzuspeisen, verhindern mit ihrer begrenzten Kapazität das weitere Ausdampfen aber nicht.
• Wenn die Dampferzeuger nach ca. 3 Minuten weitgehend ausgedampft sind, sinkt der Wärmeübergang von der Primär- auf die Sekundärseite schnell ab. Es entsteht ein neues Ungleichgewicht, das wie oben beschrieben durch einen Temperaturanstieg ausgeglichen wird. Das damit verbundene Druckmaximum ist in der Regel höher als das erste.
• In der Folge nehmen die Reaktorleistung und damit Primärtemperatur und -druck wegen der Borierung des Primärkreises ab. Ca. 10 bis 15 Minuten nach Ereigniseintritt ist die Leistung soweit abgesenkt, dass die Anlage über die sich wieder füllenden Dampferzeuger abgefahren werden kann.

Aus dieser Beschreibung ist erkennbar, dass für die Beherrschung dieser Transiente die folgenden Funktionen wichtig sind:

• die Wärmeabfuhr aus den Dampferzeugern, d. h. die Bespeisung und Dampfabgabe. Die entsprechenden Systeme und ihre automatische Anregung sind unabhängig von ATWS für die Beherrschung anderer Störungen vorhanden;
• die primärseitige Druckbegrenzung. Die Druckhalter-Armaturen sind ebenfalls unabhängig von ATWS vorhanden;
• die Borierung. Dafür existieren betriebliche Systeme, die bei den meisten Anlagen durch zusätzliche Systeme zur Einspeisung hoch konzentrierter Borsäure (7 000 ppm) bei hohem Druck ergänzt wurden. Die volle Einspeisung wird durch ein speziell für ATWS eingeführtes Signal angeregt.

Auf die Höhe der Primärdruckspitzen haben insbesondere das Verhalten der Sekundärseite, das Abblaseverhalten der Druckhalterventile und die Werte der Reaktivitätskoeffizienten der Kühlmitteltemperatur und -dichte einen starken Einfluss.

Die beschriebenen Maßnahmen waren bisher ausreichend, die Nachweise zur Beherrschung von ATWS zu führen. Da Kerne mit erhöhten Anfangsanreicherungen, höheren MOX-Anteilen und ggf. längeren Zykluszeiten ungünstigere Reaktivitätsrückwirkungen aufweisen können, würden ATWS-Transienten bei diesen Kernbeladungen ohne zusätzliche aktive Maßnahmen zu höheren Kühlmitteldrücken führen. In einigen deutschen Kernkraftwerken werden deshalb bei ATWS die Hauptkühlmittelpumpen durch das Begrenzungssystem abgeschaltet. Hierzu werden Kriterien zur Erkennung von ATWS

(RESAK) benützt. Die Abschaltung erfolgt mit einer Zeitverzögerung.

2.5 Aktuelle Diskussion

Die aktuelle Diskussion zur Nachweisführung bei ATWS wurde durch die RSK-Stellungnahme zu ATWS-Ereignissen vom 3. Mai 2001 [1] angestoßen. Darin vertritt die RSK die Auffassung, "dass die Störfallbeherrschung im Kurzzeitbereich durch ein inhärent sicheres Verhalten des Reaktorkerns in Verbindung mit dem selbsttätigen Öffnen der Sicherheitsventile ohne Kreditnahme von aktiv angesteuerten Maßnahmen wie z.B. dem Abschalten der Hauptkühlmittelpumpen künftig gewährleistet sein muss". Sie bezieht sich dabei auf eine frühere Stellungnahme der RSK zum Einsatz von Brennelementen mit hohen Abbränden vom 16. September 1998 [7]. Darin hatte die RSK für ATWS-Ereignisse um Prüfung gebeten, ob zur Schaffung von Sicherheitsreserven ausreichend negative Moderatortemperatur- und Moderatordichtekoeffizienten der Reaktivität durch Optimierung von Abbrand-Zykluszeit und Gadolinium-Konzentration erreicht werden können, so dass von einem frühen Abschalten der Hauptkühlmittelpumpen nicht Kredit genommen werden muss. Dies war eine Aufforderung zur Auslotung möglicher Sicherheitsreserven. Eine Änderung der Randbedingungen für den Nachweis der Beherrschung von ATWS-Ereignissen empfahl die RSK damals nicht. Nach Kenntnis der ILK haben die Betreiber der RSK zu diesen Fragen nicht berichtet.

Der ILK liegen inzwischen vorläufige Kurzstellungnahmen der Betreiber vor. Darin wird festgestellt, dass der Einsatz von Gadolinium im Brennstoff im Hinblick auf ATWS grundsätzlich Reserven bei der Kernauslegung schafft. Selbst wenn entgegen der heutigen Praxis allen Brennelementen Gadolinium zugesetzt würde, ließe sich die maximale Bor-Konzentration am Zyklusbeginn nur um ca. 60 ppm senken. Dies würde nicht ausreichen, um bei allen Kernen auf die Pumpenabschaltung verzichten zu können.

Die Betreiber betonen außerdem, dass den sicherheitstechnischen Vorteilen des Gadolinium-Einsatzes Nachteile in der Betriebsführung gegenüberstehen. Insbesondere würde der erzielbare Abbrand vermindert und hohe lokale Leistungsspitzen zur Zyklusmitte würden eine zeitweise Lastabsenkung erfordern.

In ihrer neuen Stellungnahme vom 3. Mai 2001 geht die RSK auf Ergebnisse der erbetenen Prüfung nicht ein. Sie empfiehlt, die Abschaltung der Hauptkühlmittelpumpen nicht zu berücksichtigen. Sie begründet dies unter Hinweis auf die Praxis in den USA und Frankreich damit, dass dies nach ihrer Meinung der Stand von Wissenschaft und Technik sei. In der aktuellen Diskussion zwischen RSK und Betreibern wurde als "aktiv angesteuerter Maßnahme" dem Abschalten der Hauptkühlmittelpumpen das Hauptaugenmerk gewidmet. Die Betreiber argumentierten, dass die Nichtberücksichtigung einer vorhandenen Maßnahme eine wesentliche Verschärfung der sicherheitstechnischen Anforderungen sei, da die in Deutschland geforderte Annahme des vollständigen Ausfalls des Schnellabschaltsystems in anderen Ländern nicht üblich sei. Weiterhin forderte die RSK im Rahmen ihrer Beratungen zur Leistungserhöhung im Kernkraftwerk Grafenrheinfeld, dass gemäß ASME bzw. KTA das 1,2fache des Auslegungsdrucks als Bewertungsmaßstab heranzuziehen ist und nicht, wie bei Genehmigungsverfahren in der Vergangenheit verwandt, das 1,3fache des Auslegungsdrucks (s. Abschnitt 2.3).

3 Behandlung von ATWS in den USA

ATWS wird in den USA gemäß der sog. ATWS-Rule [8] als Betriebsstörung (anticipated operational occurrence) gefolgt von einem zusätzlichen Versagen des für die Schnellabschaltung verantwortlichen Teiles (reactor trip portion) des Reaktorschutzsystems (protection system) definiert. ATWS-Ereignisse gehören, wie in Deutschland, zu den auslegungsüberschreitenden Ereignissen ("beyond the design basis accident conditions").

Nachweise werden für den Ausfall der Schnellabschalt-Ansteuerung und im Rahmen probabilistischer Betrachtungen z. T. für das mechanische Blockieren der Steuerstäbe geführt.

Maßnahmen sollen einen tatsächlichen Einfluss auf das bereits niedrige Risiko haben, daher werden die vergleichsweise wahrscheinlicheren Fälle betrachtet und keine Nachweise für weniger wahrscheinliche gefordert:

• es werden nur Betriebstransienten (anticipated transients) mit dem Ausfall der Schnellabschaltung kombiniert
• der Nachweis wird nicht für alle Kernzustände gefordert, sondern für Parametersätze, die den überwiegenden Teil der Zykluszeit abdecken
• das vollständige Blockieren aller Stäbe wird nicht angenommen
• ein zusätzlicher Ausfall von Einrichtungen wird nicht postuliert, insbesondere nicht der speziell für die Beherrschung des ATWS-Ereignisses vorgesehenen.

Der Nachweis ist erfolgreich, wenn die Spannungen in der Druckführenden Umschließung des Primärkreises einen Wert entsprechend dem ASME Service Level C nicht überschreiten - ein höherer Grenzwert als für Auslegungsstörfälle ist hierbei zulässig - und wenn definierte Grenzwerte der Brennstoffauslegung eingehalten werden [8].

Die in der ATWS-Regel geforderten anlagentechnischen Maßnahmen betreffen zusätzlich (diversitär) zum Schnellabschaltsystem zu installierende Ausrüstungen und aktive Systeme für automatische Gegenmaßnahmen, durch die die Wahrscheinlichkeit des Versagens der Schnellabschaltungsanregung nach Betriebsstörungen vermindert und die Folgen von ATWS-Ereignissen abgemildert werden sollen.

Bei den notwendigen zusätzlichen Gegenmaßnahmen wird nach Anlagenkonzepten (Westinghouse einerseits, Combustion Engineering [CE] und Babcock & Wilcox [B&W] andererseits) unterschieden. Für alle DWR-Anlagen verbindlich ist ein vom bestehenden Schnellabschaltsystem (vom Messfühler bis zum Stellglied) unabhängiges und diversitäres System, das bei Vorliegen von ATWS-Bedingungen automatisch das Hilfs-(oder Not-)Speisewassersystem zuschaltet und einen Turbinenschnellschluss auslöst. Dieses System trägt i. A. die Bezeichnung AMSAC ("ATWS Mitigating System Actuation Circuitry") bzw. DAS (Diverse Actuation System).

Darüber hinaus müssen Anlagen von CE und B&W wegen ihrer Kernauslegung und den damit verbundenen Reaktivitätskoeffizienten mit einem diversitären System zur Anregung der Schnellabschaltung ausgerüstet sein, das die Kette vom Messfühler bis zur Spannungsunterbrechung für das Einfallen der Steuerstäbe umfassen muss. Dieses System wird als DSS (Diverse Scram System) oder SPS (Supplemental Protection System) bezeichnet.

Die Möglichkeiten der Begrenzung der Spannungen in der Druckführenden Umschließung des Primärkreises durch das AMSAC sind stark von den Reaktivitätsrückwirkungen der Kühlmitteltemperatur und -dichte sowie der Brennstofftemperatur abhängig. Die Zeit, in der während eines Kernzyklus die Reaktivitätsrückwirkungen nicht ausreichen, die Spannungen unter dem zulässigen Grenzwert zu halten, wird als "unfavorable exposure time (UET)" bezeichnet. Sie beträgt für Westinghouse-Anlagen zwischen 1-10% der Zykluszeit, bei CE/B&W-Anlagen sogar bis zu 50%. In CE/B&W-Anlagen wurde wegen dieser langen Zeitspannen, während der bei einem ATWS-Ereignis die maximal zulässigen Spannungen überschritten würden, ein diversitäres Anregesystem (DSS, s. o.) installiert.

4 Behandlung von ATWS in Frankreich

In den französischen Kernkraftwerken wurden, z. T. über Nachrüstungen, anlagentechnische Maßnahmen eingeführt, die der Verringerung der Eintrittswahrscheinlichkeit und der Beeinflussung des Ablaufes von ATWS-Transienten dienen. Diese Maßnahmen unterscheiden sich bei den verschiedenen Anlagengenerationen (900-MW-3-Loop-, 1300-MW-4-Loopund 1450-MW-4-Loop-Anlagen). Alle Anlagen wurden mit einer vom Reaktorschutz unabhängigen automatischen Anregung der Dampferzeuger-Notbespeisung und Auslösung der Turbinenschnellabschaltung ausgestattet (entspricht dem AMSAC in US-Anlagen). Darüber hinaus besitzen die N4-Anlagen (1450-MW-4-Loop) eine diversitäre Anregung der Schnellabschaltung, die unabhängig vom Reaktorschutzsystem den Einfall der Steuerstäbe auslöst. Bei den 900-MW-Anlagen wurde die Zuverlässigkeit der Ansteuerung verbessert.

Bei dem deterministischen Ansatz, der für den im Sicherheitsbericht zu führenden Nachweis der Beherrschung von ATWS angewendet wird, wird das elektrische Versagen des Schnellabschaltsystems und zum Teil das mechanische Versagen einzelner Steuerstäbe postuliert. Bei den Analysen werden diversitäre Schnellabschaltsignale oder Stabeinfahrfunktionen der Regelung ebenso wie andere aktive Maßnahmen berücksichtigt. Hinsichtlich der Kernauslegung besteht die Forderung, dass während 95% der Zykluszeit ATWS-Ereignisse durch genügend negative Kühlmitteltemperatur- und Kühlmitteldichtekoeffizienten beherrscht werden.

Im Rahmen der probabilistischen Sicherheitsanalyse werden bei den ATWS-Analysen Störfallsequenzen sowohl mit elektrischem als auch mechanischem Versagen des Schnellabschaltsystems betrachtet. Mechanisches Versagen bedeutet aber hier nicht mehr das vollständige Klemmen aller Steuerstäbe, sondern nur den Ausfall des Einwurfes eines - vom auslösenden Ereignis abhängigen - Teiles der Steuerstäbe.

Die französischen Aufsichtsbehörden fordern, nachzuweisen, dass infolge von ATWS-Ereignissen der maximal zulässige Kühlmitteldruck (225 bar) nicht überschritten und das minimale DNB-(Departure from Nucleate Boiling-)Verhältnis nicht unterschritten wird.

5 Behandlung von ATWS in Finnland

Finnland betreibt derzeit zwei Druckwasserreaktoren russischer Bauart mit erheblichen Veränderungen aufgrund spezieller finnischer Anforderungen. Darüber hinaus hat das Genehmigungsverfahren für die Errichtung eines EPR begonnen. Daher sind die finnischen Anforderungen von besonderem Interesse.

Finnland [9] verwendet eine Einteilung von Ereignissen in:

1. zu erwartende Betriebstransienten mit einer Häufigkeit von > E - 2/a
2. postulierte Störfälle
   1. Level 1 mit Häufigkeiten von E - 3/A bis E - 2/a
   2. Level 2 mit Häufigkeiten von < E - 3/a

Darüber hinaus werden schwere Störfälle ("severe accidents") betrachtet, insbesondere mit dem Ziel, Ereignisse mit Beeinträchtigung der Containment-Funktion mit hoher Verlässlichkeit ("good certainty") zu vermeiden.

ATWS wird den postulierten Störfällen Level 2 zugeordnet. Für die Analyse sind spezielle Randbedingungen festgelegt, die z. T. von denen für andere postulierte Störfälle abweichen:

• als Ursachen für den Ausfall der Schnellabschaltung werden unterschiedliche Fehler unterstellt, auch ein mechanisches Blockieren aller Stäbe;
• es wird ein Einzelfehler in den Sicherheits- und Entlastungsventilen der Druckhalter unterstellt;
• es werden aber keine weiteren Ausfälle von Sicherheits- oder Betriebssystemen unterstellt, insbesondere wird auch von der Abschaltung der Hauptkühlmittelpumpen Kredit genommen;
• Parameter für die Berechnung werden wie bei anderen postulierten Störfällen angenommen, d. h. konservativ;
• -
• Xenon wird bei Transienten aus Volllast im Gleichgewicht und bei Transienten aus geringer Leistung zu Null angenommen.

Der Nachweis ist erfolgreich, wenn die Anzahl der beschädigten Brennelemente 10% nicht übersteigt, die Auswirkungen eines Störfalls die Kühlbarkeit der Brennelemente nicht gefährden und die höchste Temperatur der Brennelementhülle 1 200 °C nicht übersteigt.

Diese Anforderungen gelten für den EPR. Auf das Kernkraftwerk Loviisa wurden diese Anforderungen angewandt, als Ende der 90er Jahre Änderungs- und Nachrüstungsmaßnahmen für eine Leistungserhöhung betrachtet wurden.

6 Vergleich der Vorgehensweise in Deutschland, den USA, Frankreich und Finnland

Bei der Behandlung von ATWS ist der grundsätzliche Ansatz, ohne die Anwendung verschärfender Postulate zu zeigen, dass die Folgen tolerabel bleiben, in Deutschland, den USA und Frankreich gleich. Im Einzelnen gibt es jedoch Unterschiede. Dieser Gesichtspunkt ist von besonderer Bedeutung, da die Beurteilung der ATWS-Ereignisse und der entsprechenden Gegenmaßnahmen - im Gegensatz zur Beschränkung auf die deterministische Betrachtungsweise in Deutschland - in den USA und jetzt in Frankreich im Wesentlichen auf Grundlage von probabilistischen Sicherheitsanalysen und somit in Abhängigkeit von der Eintrittswahrscheinlichkeit erfolgt.

In den Kernkraftwerken der beiden Länder sind Gegenmaßnahmen vorgesehen, die bei Erreichen bestimmter Kriterien aktiv ausgelöst werden. Diese sind in den USA und Frankreich vergleichbar (AMSAC, diversitäre Systeme zur Anregung der Schnellabschaltung). Da die Auswirkungen der Transienten durch andere Maßnahmen - i. W. späteres Einfahren der Steuerstäbe - reduziert werden, wurde das Abschalten der Hauptkühlmittelpumpen bei Erkennen von ATWS-Ereignissen weder in den USA noch in Frankreich vorgesehen. Allerdings werden die vorhandenen Gegenmaßnahmen - sofern sie nicht durch das auslösende Ereignis unverfügbar werden - in den Sicherheitsanalysen sowohl in den USA als auch in Frankreich berücksichtigt.

Das Nachweisziel der Einhaltung zulässiger Drücke bzw. Drücke der Druckführenden Umschließung gilt in allen verglichenen Ländern. Hinzu kommt in den USA der Nachweis der Brennstabintegrität und in Frankreich der Nachweis der Einhaltung des minimal zulässigen DNB-Verhältnisses.

Das Spektrum der zu untersuchenden Transienten ist in den betrachteten Ländern vergleichbar.

Der vollständige mechanische Ausfall aller Steuerstäbe wird in Frankreich aufgrund probabilistischer Untersuchungen nicht mehr betrachtet. Infolgedessen kann die Transiente durch Einbringen der Steuerstäbe z.B. über eine diversitäre Anregung der Schnellabschaltung beendet werden. In den USA wird diese Annahme bei einigen Anlagen im Rahmen von probabilistischen Untersuchungen betrachtet. In Deutschland wird für ATWS-Analysen abdeckend von der vollständigen Unverfügbarkeit der Steuerstäbe ausgegangen und die Beherrschung dieses Falles mit den angegebenen Randbedingungen gefordert. Es ist zu beachten, dass die Frage der Hauptkühlmittelpumpen-Abschaltung nur bei diesem Szenario relevant ist. Postuliert man nur einen Ausfall der Anregung, sodass eine diversitäre Anregung zum Einfall der Stäbe führt, werden bei den deutschen Anlagen die Grenzdrücke ohnehin nicht erreicht.

In den USA und Frankreich wird aufgrund der geringen Eintrittswahrscheinlichkeit für das Versagen der Schnellabschaltung der Nachweis der Beherrschung von ATWS mit Moderatortemperatur- und Moderatordichtekoeffizienten geführt, die nicht den gesamten Betriebszyklus abdecken, sondern in Frankreich und bei einem Teil der US-Anlagen 95%, bei einem Teil der US-Anlagen weniger. D. h. es wird akzeptiert, dass während eines gewissen Abschnittes des Zyklus bei einem ATWS-Ereignis die dafür geltenden Grenzwerte überschritten werden. In Deutschland wird der Nachweis mit Reaktivitätskoeffizienten abdeckend für den gesamten Zyklus gefordert.

Dagegen unterscheidet sich die Vorgehensweise in Finnland grundlegend. ATWS wird als postulierter Störfall betrachtet und unter Anwendung deterministischer Ausfallannahmen und konservativer Randbedingungen untersucht. Im Unterschied zum deutschen Vorgehen bei Auslegungsstörfällen wird jedoch das Funktionieren von Betriebssystemen berücksichtigt. Beim EPR werden im ATWS-Fall die Hauptkühlmittelpumpen entweder durch niedrigen Dampferzeuger-Füllstand nach ca. 1 Minute abgeschaltet oder sofort bei einem Ausfall der Fremdnetzeinspeisung. Dies führt zu einer Begrenzung des Druckanstiegs im Primärkreis, was beim Nachweis berücksichtigt wird.

Das finnische Vorgehen unterscheidet sich von den Sicherheitsanforderungen, die die französische GPR (Groupe permanent d'experts pour les rdacteurs nucldaires) in Zusammenarbeit mit deutschen Experten für den EPR entwickelt hat [10]. Diese sind mit den RSK-Leitlinien praktisch identisch.

Praktische Auswirkungen auf das Ergebnis des Nachweises hat die Forderung, einen Einzelfehler bei den Druckhalterventilen zu unterstellen. Die damit letztlich geforderte Redundanz verlangt eine insgesamt höhere Abblase-Kapazität der Ventile.

7 Bewertung und Empfehlungen der ILK

Soweit erkennbar, betrachtet die RSK ATWS-Ereignisse weiterhin als auslegungsüberschreitend. Der Vorschlag, bei Sicherheitsnachweisen zu ATWS-Ereignissen aktive Gegenmaßnahmen wie z.B. das Abschalten der Hauptkühlmittel-pumpen nicht zu berücksichtigen, ist deshalb nicht konsistent mit der ansonsten angewandten Behandlung von Maßnahmen zur Risikominimierung. Einer im Grundsatz realistischen Analyse wird deterministisch eine verschärfende Annahme hinzugefügt. Die RSK begründet diesen Vorschlag nach Kenntnis der ILK nicht inhaltlich, sondern nur mit der Praxis in den USA und Frankreich.

Eine deterministische Randbedingung für die Analyse könnte damit begründet werden, dass sie für die Behandlung eines risikorelevanten Sachverhaltes die Eindeutigkeit des Vorgehens sicherstellt. Dies ist hier jedoch nicht der Fall. Die Aufsummierung der in [6] angegebenen oberen Abschätzungen aller betrachteten ATWS-Ereignisse ergibt eine Eintrittshäufigkeit von < 2 E - 7/a, für ATWS nach Ausfall des Hauptspeisewasser-Systems wird < 1 E - 7/A angegeben. Die GRS behandelt in [6] ATWS-Ereignisse nicht detailliert und begründet dies damit, dass nach ihrer Abschätzung die Beiträge zur Häufigkeit für Systemschadensfälle und für Kernschmelzen vernachlässigbar sind. Die Pumpenabschaltung ist, wie auch die RSK feststellt, für die Beherrschung von ATWS-Ereignissen hilfreich. Sicherheitstechnisch negative Auswirkungen der Pumpenabschaltung sind nicht gegeben. Die ILK ist daher der Ansicht, dass die vorgeschlagene deterministische Festlegung eine unverhältnismäßige Erschwerung des Sicherheitsnachweises bei ATWS darstellt, die die Sicherheit der Anlagen faktisch nicht verbessert.

Einen wesentlichen Gesichtspunkt sieht die ILK darin, dass für die Nicht-Berücksichtigung der Pumpenabschaltung keine sicherheitstechnische Begründung erkennbar ist. Die Beherrschung von ATWS-Ereignissen beruht wie dargestellt auf einer Reihe von aktiven Maßnahmen, u. a. der Wärmeabfuhr aus den Dampferzeugern und der beschleunigten Borierung des Primärkreises. Eine einzelne davon herauszugreifen und mit zusätzlichen Konservativitäten zu belegen, birgt die Gefahr in sich, dass die innere Logik der Sicherheitskonzeption verschwimmt.

Die grundlegende Konzeption zur Behandlung von ATWS-Ereignissen ist in den USA und Frankreich vergleichbar mit der, die in den RSK-Leitlinien [2] niedergelegt ist. Es ist nicht erkennbar, dass die Unterschiede in Einzelpunkten zu einer weniger konservativen Behandlung in Deutschland führen. In wichtigen Punkten, wie in der Annahme eines mechanischen Blockierens aller Steuerstäbe und der Abdeckung des gesamten Zyklus gehen die deutschen Anforderungen am weitesten. Eine Anforderung, einzelne Maßnahmen für Teilbereiche der Transiente nicht zu berücksichtigen, existiert - mit Ausnahme der strittigen RSK-Empfehlung - in keinem Land. Dass vergleichbare übergeordnete Zielsetzungen bei verschiedenen Anlagenkonzepten mit unterschiedlichen konkreten Maßnahmen umgesetzt werden, ist häufig der Fall, nicht nur im auslegungsüberschreitenden, sondern auch im Auslegungsbereich. Der Stand der Technik bestimmt sich nach Ansicht der ILK durch die Anforderungen an den Nachweis der Sicherheit, nicht durch die einzelnen Maßnahmen, die zu ihrer Erfüllung ergriffen werden. Wie oben dargestellt, sind sowohl in den USA als auch in Frankreich die Maßnahmen zu ATWS für Anlagen unterschiedlicher Hersteller bzw. unterschiedlicher Baureihen verschieden. Daher ist es nach Ansicht der ILK auch unerheblich, dass im Unterschied zu Deutschland in keinem der beiden Länder eine Pumpenabschaltung erfolgt. Im Übrigen ist auch bei deutschen Anlagen die Pumpenabschaltung nur erforderlich, um das Postulat eines mechanischen Blockierens aller Stäbe abzudecken, ein Postulat, das über die Praxis in den beiden Ländern hinausgeht. Die ILK hält daher die Argumentation für unzutreffend, es sei internationaler Stand der Technik, die Abschaltung der Pumpen nicht zu berücksichtigen. Auch das finnische Vorgehen spricht nicht für die Forderung der RSK. Dort wird ATWS als postuliertes Ereignis klassifiziert und daher werden dem Ereignis deterministische Postulate überlagert. Zwar führt das zu ähnlich unwahrscheinlichen Ereigniskombinationen wie die Forderung der RSK, die pauschale Außerachtlassung vorhandener Einrichtungen wird dort aber nicht gefordert. Insbesondere wird die Abschaltung der Hauptkühlmittelpumpen - von der gemäß RSK kein Kredit genommen werden soll - berücksichtigt.

Zusammenfassend ist die ILK der Ansicht, dass das bisherige Vorgehen beim Sicherheitsnachweis von ATWS-Ereignissen zu einer ausgewogenen Risikominderung führt. Das einleitende Ereignis hat bereits eine sehr geringe Eintrittshäufigkeit; zu seiner Beherrschung sind zuverlässige Maßnahmen vorhanden. Diese sind auch geeignet, Unsicherheiten abzudecken. Die ILK sieht daher keinen Anlass, zusätzliche Anforderungen zu stellen.

Das Abschalten der Hauptkühlmittelpumpen bei ATWS ist eine wirksame Maßnahme, den Ereignisablauf günstig zu beeinflussen und die Auswirkungen zu mildern. Die Maßnahme ist zuverlässig und hat keine negativen Auswirkungen. Die ILK empfiehlt daher, das Vorgehen entsprechend den RSK-Leitlinien für Druckwasserreaktoren beizubehalten und insbesondere in der Analyse die ggf. vorgesehene Pumpenabschaltung zu berücksichtigen.

Bezüglich der einzuhaltenden Kriterien ist die ILK der Ansicht, dass die Vorgabe einer zulässigen Spannung, wie in den RSK-Leitlinien [2, Kap. 20] niedergelegt, sachdienlich ist. Der entsprechende zugeordnete Druck ist auf der Basis der zulässigen Spannung anlagenspezifisch zu ermitteln.

8 Literatur

[1] Reaktorsicherheitskommission (RSK)
Stellungnahme der RSK zu ATWS-Ereignissen, Anlage 2 zum Ergebnisprotokoll der 340. RSK-Sitzung, 3.5.2001

[2] Reaktorsicherheitskommission (RSK)
RSK-Leitlinien für Druckwasserreaktoren 3. Ausgabe vom 14. Oktober 1981, zuletzt geändert am 15.11.1996

[3] Reaktorsicherheitskommission (RSK) Empfehlung der RSK vom 23.11.1988, Bundesanzeiger Nr. 47a vom 08.03.1989

[4] International Nuclear Safety Advisory Group (INSAG) Basic Safety Principles of Nuclear Power Plants, 75-INSAG-3 Rev. 1 INSAG Series No. 12, IAEO, Wien, 1999

[5] Leitlinien zur Beurteilung der Auslegung von Kernkraftwerken mit Druckwasserreaktoren gegen Störfälle im Sinne der § 28 Abs. 3 StrlSchV - Störfall-Leitlinien - vom 18. Oktober 1983; Bundesanzeiger Nr. 245 vom 31.12.1983

[6] Gesellschaft für Anlagen- und Reaktorsicherheit (GRS) mbH:
Bewertung des Unfallrisikos fortschrittlicher Druckwasserreaktoren in Deutschland GRS-175 (Entwurf zur Kommentierung), Oktober 2001

[7] Reaktorsicherheitskommission (RSK)
Stellungnahme der RSK zum Einsatz von Brennelementen mit hohen Abbränden, Anlage 4 zum Ergebnisprotokoll der 320. RSK-Sitzung, 16.9.1998

[8] U. S. Code of Federal Regulations (CFR)
Requirements for reduction of risk from anticipated transients without scram (ATWS) events for light-water-cooled nuclear power plants (ATWS Rule) Code of Federal Regulations TITLE 10, Part 50 (10 CFR § 50.62), June 26, 1984

[9] Finnish Regulatory Guide YVL 2.2: Transient and Accident Analyses for Justification of Technical Solutions at Nuclear Power Plants Radiation and Nuclear Safety Authority (STUK), Helsinki 2005 (http://www.stuk.fi/saannosto/YVL2-2e.html)

[10] IPSN-GRS Proposals for the Development of Technical Guidelines for Future PWRs
Volume 18 Technical Guidelines for Future PWRs Common Report IPSN/GRS No 82 November 2000

9 Abkürzungsverzeichnis

.

____________________
1 Die Ebenen des Sicherheitskonzeptes sind in der Empfehlung der RSK vom 23. November 1988 [3] dargestellt.

ENDE