zurück

5 Ereignislisten

Hinweis:

Erläuterungen zu den Ereignislisten

Die Ereignislisten umfassen für den Leistungs- und Nichtleistungsbetrieb von DWR und SWR die Sicherheitsebenen 2 bis 4a sowie für das Brennelement-Lagerbecken (bei DWR und SWR) die Sicherheitsebenen 2 bis 3 gemäß den "Sicherheitsanforderungen an Kernkraftwerke". Für die Sicherheitsebenen 2 bis 4a liegen umfassende Ereignisspektren vor. Bei der anlagenspezifischen Überprüfung kann diese Auflistung mit dokumentierter Begründung gemäß Nummer 2 (4) auf repräsentative Ereignisse kondensiert oder entsprechend der Genehmigungssituation erweitert oder modifiziert werden. Die Vorgehensweise auf den Sicherheitsebenen 4b und 4c ist in gesonderten Regelungen dargestellt.

Ereignisse, die auf Grund von Einwirkungen von innen und außen sowie bei Notstandsfällen zu berücksichtigen sind, sind im Anhang 3 der "Sicherheitsanforderungen an Kernkraftwerke" aufgelistet.

Ereignisse infolge Störmaßnahmen oder sonstiger Einwirkungen Dritter sind nicht Gegenstand der Ereignislisten.

Die Ereignislisten sind innerhalb der einzelnen Sicherheitsebenen in Ereigniskategorien unterteilt.

Folgende Ereigniskategorien sind zwecks Strukturierung der Listen anlagentypspezifisch gewählt worden, wobei zu beachten ist, dass nicht alle Kategorien in jeder Sicherheitsebene, jedem Betriebszustand oder für jede Betriebsphase von Relevanz sind.

Für den DWR gelten:

• Veränderung der sekundärseitigen Wärmeabfuhr,
• sekundärseitige Wärmeabfuhr-Leckstörfälle,
• Durchsatzänderung im Primärkreislauf,
• Druckänderung im Primärkreislauf,
• Zunahme Reaktorkühlmittelinventar,
• Abnahme Reaktorkühlmittelinventar,
• Ausfall der Nachwärmeabfuhr,
• Änderung der Reaktivität und der Leistungsverteilung,
• Kühlmittelverlust innerhalb des Sicherheitsbehälters,
• Kühlmittelverlust außerhalb des Sicherheitsbehälters,
• Freisetzung radioaktiver Stoffe aus nuklearen Hilfssystemen,
• Ausfall in der Energieversorgung,
• Ereignisse infolge einer Einwirkung von innen und
• Betriebstransiente mit unterstelltem Ausfall des Schnellabschaltsystems (ATWS).

Für den SWR gelten:

• Frischdampf- oder speisewasserseitige Veränderung der Wärmeabfuhr,
• Durchsatzänderung im Reaktorkühlsystem,
• Zunahme Reaktorkühlmittelinventar,
• Abnahme Reaktorkühlmittelinventar,
• Ausfall der Nachwärmeabfuhr,
• Änderung der Reaktivität und der Leistungsverteilung,
• Kühlmittelverlust innerhalb des Sicherheitsbehälters, nicht absperrbar,
• Kühlmittelverlust außerhalb des Sicherheitsbehälters,
• Freisetzung radioaktiver Stoffe aus nuklearen Hilfssystemen,
• Ausfall in der Energieversorgung,
• Ereignisse infolge einer Einwirkung von innen und
• Betriebstransiente mit unterstelltem Ausfall des Schnellabschaltsystems (ATWS).

Für das Brennelement-Lagerbecken gelten sowohl für den DWR als auch den SWR die folgenden Ereigniskategorien:

• Verringerte Wärmeabfuhr aus dem Brennelement-Lagerbecken,
• Kühlmittelverlust aus dem Brennelement-Lagerbecken,
• Ausfall in der Energieversorgung,
• Reaktivitätsänderungen im Brennelement-Lagerbecken und
• Ereignisse bei Handhabung und Lagerung von Brennelementen.

Der Spaltenaufbau der Ereignislisten beginnt mit der Nummerierung (Xy-x; für X wird D (für DWR), S (für SWR) bzw. B (für Becken) verwendet, y steht für die Sicherheitsebene und x stellt die fortlaufende Nummer der Ereignisse in der jeweiligen Ebene oder Tabelle dar) und der Beschreibung der Ereignisse. Es folgen Spalten für die betroffenen Schutzziele, die relevanten Betriebsphasen, zusätzliche Erläuterungen zu den Nachweiskriterien sowie gegebenenfalls Detailangaben zu ergänzenden Randbedingungen oder ereignisspezifische Hinweise.

Die Kennzeichnungen in der Spalte "betroffene Schutzziele" geben für jedes Ereignis diejenigen Schutzziele an, für die die Wirksamkeit der Maßnahmen und Einrichtungen nachzuweisen ist. Die generell für die einzelnen Schutzziele geltenden Nachweiskriterien sind - sowohl für den Leistungsbetrieb (Betriebsphase A) und Nichtleistungsbetrieb (Betriebsphasen B-F) von DWR und SWR als auch für das Brennelement-Lagerbecken - in Nummer 3 enthalten. Darin sind die Nachweiskriterien für die Sicherheitsebenen und Betriebsphasen spezifiziert.

Ereignisse, für die anstelle des Nachweises der Wirksamkeit von Maßnahmen und Einrichtungen zur Beherrschung des Ereignisses die Möglichkeit besteht, die Wirksamkeit und Zuverlässigkeit von Vorsorgemaßnahmen nachzuweisen, sodass der Eintritt dieser Ereignisse verhindert ist und somit nicht mehr unterstellt zu werden braucht, sind mit VM gekennzeichnet.

In der rechten Spalte werden bei Bedarf ereignisspezifische Randbedingungen präzisiert und ereignisspezifische Erläuterungen gegeben.

Die Spalte "Betriebsphase" nennt diejenigen Phasen des Kraftwerksbetriebs, in denen das jeweilige Ereignis auftreten kann und von Bedeutung ist.

Der Zeilenaufbau der Listen beginnt mit der Bezeichnung der Sicherheitsebene. Die darauf folgende Zeile bezeichnet die Ereigniskategorie, aus der die nachfolgend aufgeführten Ereignisse abgeleitet sind.

Bei Ereignissen mit Kühlmittelverlust wird zwischen Leckage sowie Leck oder Bruch unterschieden. Eine Leckage ist grundsätzlich ein Ereignis der Sicherheitsebene 2. Die Leckagerate ist so gering, dass das Sicherheitssystem nicht angefordert wird. Dagegen sind Lecks und Brüche Ereignisse der Sicherheitsebene 3. Die Ausströmrate ist hier so groß, dass das Sicherheitssystem automatisch angeregt wird.

Für Lecks und Brüche ist der untersuchte maximale Ausströmquerschnitt davon abhängig, ob für den zu betrachtenden Leitungsabschnitt der Bruchausschluss nachgewiesen ist oder nicht. Die Vorgaben für die grundsätzlich unterstellten Leckquerschnitte und Brüche sind in Anlage 2 beschrieben.

Tabelle 5.1: Ereignisliste Leistungs- und Nichtleistungsbetrieb DWR ¹⁵

Tabelle 5.2: Ereignisliste Leistungs- und Nichtleistungsbetrieb SWR ¹⁵

Tabelle 5.3: Ereignisliste Brennelement-Lagerbecken DWR und SWR ¹⁵

.

Hinweis:

Den in den "Sicherheitsanforderungen an Kernkraftwerke" definierten Sicherheitsebenen sind in den vorliegenden Listen Ereignisse zugeordnet. In den KTA-Regeln werden für die Druckführende Umschließung (DfU) und die Äußeren Systeme Lastfälle oder Lastfallklassen (diese sind Dimensionierungs- oder Auslegungsfälle, Montagefälle, normale und anomale Betriebsfälle, Prüffälle und Störfälle) in Beanspruchungsstufen (0, A, B, C, D, P ) eingruppiert, für die jeweils die zulässigen Spannungen zugeordnet sind, ohne dass bis dato ein Bezug zu Ereignissen oder Sicherheitsebenen hergestellt wurde. Nur in der KTA-Regel zur Auslegung des Sicherheitsbehälters aus Stahl werden auch Ereignisse genannt, die den Beanspruchungsstufen 0, 1, 2, 3 zuzuordnen sind. Diese werden aber auch dort nicht Sicherheitsebenen zugeordnet. Für diejenigen Ereignisse der Ereignislisten mit Schutzziel "Einschluss der radioaktiven Stoffe" sind die jeweils zutreffenden Beanspruchungsstufen der nachfolgenden Matrix zu entnehmen. Dort sind den Sicherheitsebenen die für die Komponenten in den jeweiligen KTA-Regeln definierten Beanspruchungsstufen zugeordnet. Diese Beanspruchungsstufen sind hinsichtlich der Begrenzung von Folgewirkungen an den durch die postulierten Ereignisse betroffenen Komponenten anzuwenden.

Für die Spalten "DfU" sowie "Äußere Systeme" der Matrix stellt bei einer Mehrfachnennung von Beanspruchungsstufen innerhalb einer Zelle die erstgenannte Stufe immer den Regelfall dar. Die anderen genannten Stufen können oder müssen verwendet werden, wenn bestimmte Sonderfälle gegeben sind, die durch die nebenstehenden Fußnoten konkretisiert werden. Die Bedeutung der Beanspruchungsstufen sowie die dazugehörenden Anforderungssätze sind für die DfU derzeit der KTA-Regel 3201.2 zu entnehmen. Entsprechend ist für die Äußeren Systeme die KTA-Regel 3211.2 heranzuziehen. Für den Sicherheitsbehälter werden in Abhängigkeit der zu berücksichtigenden Lastfälle die zu verwendenden Beanspruchungsstufen in Abhängigkeit der zu betrachtenden Beanspruchungskombinationen bestimmt, sodass in der Matrix keine Fußnoten für den Sicherheitsbehälter Verwendung finden. Die den verschiedenen Beanspruchungskombinationen zuzuordnenden Beanspruchungsstufen sowie die unterlagerten Anforderungssätze sind für den Sicherheitsbehälter aus Stahl in der KTA-Regel 3401.2 genannt. Für Sicherheitsbehälter aus Spannbeton mit Stahlliner existiert keine KTA-Regel, sodass hier keine Beanspruchungsstufen genannt werden.

A1 (1) Die Zuordnung von Beanspruchungsstufen zu Sicherheitsebenen oder zu übergreifenden Einwirkungen ist anlagenspezifisch jeweils so zu erstellen, dass alle Systeme einschließlich der Systemübergänge und Komponenten erfasst werden. Ausgangspunkt ist die nach Sicherheitsebenen gegliederte Zusammenstellung der Belastungszustände pro System. Daraus sind pro Systemabschnitt die Einwirkungen und die zugehörige ereignisbezogene sicherheitstechnische Aufgabenstellung anzugeben sowie die komponentenbezogenen Nachweisanforderungen in Bezug auf Funktion, Standsicherheit und Barrierenwirksamkeit festzulegen.

.

Unterstellte Leckquerschnitte und Brüche in der Druckführenden Umschließung (DfU) sowie in den Äußeren Systemen

1 Grundsätze und Voraussetzungen

1 (1) Die Leckquerschnitte sind postulierte Größen und sind auf die offene Querschnittsfläche F der jeweiligen Leitung zu beziehen.

Hinweis:

Die Anforderungen in den Nummern 2.1 und 3 sind hinsichtlich folgender Nachweisziele gegliedert:

• Aufrechterhaltung der Kühlung der Brennelemente durch Ausgleich des Kühlmittelverlustes (Auslegung der Notkühlsysteme),
• Sicherstellung einer abschalt- und kühlbaren Geometrie des Reaktorkerns,
• Verhinderung der Schadensausweitung auf die druckführende Umschließung, auf Gebäudeteile und auf benachbarte Systeme, die für die Beherrschung des Ereignisses erforderlich sind, und
• Erhaltung der Barrierenintegrität des Sicherheitsbehälters, bei SWR auch Erhaltung der Funktion des Druckabbaussystems.

1 (2) Die Anwendung dieser Anlage setzt die Erfüllung der Anforderungen der "Sicherheitsanforderungen an Kernkraftwerke", Nummer 3.4voraus.

1 (3) Für die im Folgenden nicht behandelten Rohrleitungen ist der 2F-Bruch zu postulieren (F = offene Querschnittsfläche).

2 Druckführende Umschließung von DWR

2.1 Hauptkühlmittelleitung einschließlich Anschlussleitungen DN > 200

Aufrechterhaltung der Kühlung der Brennelemente durch Ausgleich des Kühlmittelverlustes (Auslegung der Notkühlsysteme)

2.1 (1) Bei der Analyse der Kernnotkühlwirksamkeit sind Leckquerschnitte in den Hauptkühlmittelleitungen bis einschließlich 2F zu Grunde zu legen. Die Notkühlsysteme sind entsprechend auszulegen.

Sicherstellung einer abschalt- und kühlbaren Geometrie des Reaktorkerns

2.1 (2) Als Belastungsannahme für die Einbauten des Reaktordruckbehälters und den Reaktorkern ist ein schnell öffnendes Leck (lineares Öffnungsverhalten, Öffnungszeit 15 ms) mit einem Querschnitt von 0,1F in den Hauptkühlmittelleitungen für verschiedene Lecklagen zu unterstellen.

Verhinderung der Schadensausweitung

2.1 (3) Für die Ermittlung der Einwirkungen aus Strahl- und Reaktionskräften auf Rohrleitungen, Komponenten, Komponenteneinbauten und Gebäudeteile ist ein Leck mit einem Querschnitt von 0,1F der jeweiligen Leitung und mit stationärer Ausströmung für verschiedene anzunehmende Lecklagen zu unterstellen. Dies gilt auch für die Ermittlung der durch Strahlkräfte bewirkten Freisetzung oder Ablösung von Materialien im Hinblick auf mögliche Beeinträchtigungen der Notkühlung durch diese Materialien, wobei hier die ungünstigsten Lecklagen und Leckgrößen (d 0,1F) zu unterstellen sind.

2.1 (4) Zur Beherrschung der Auswirkungen (Druckaufbau in der Reaktorgrube) eines unterstellten Lecks mit dem Querschnitt 0,1F zwischen Reaktordruckbehälter und biologischem Schild sind - soweit notwendig - Vorkehrungen zu treffen, z.B. Doppelrohre im Bereich der Durchführung der Hauptkühlmittelleitungen durch den biologischen Schild.

2.1 (5) Für den Nachweis der Standsicherheit der Komponenten Reaktordruckbehälter, Dampferzeuger, Hauptkühlmittelpumpen und Druckhalter sind folgende Annahmen zu treffen:

Die Standsicherheit dieser Komponenten ist für die statische Ersatzkraft P_ax, welche mit dem Eigengewicht der Komponente zu überlagern ist, zu gewährleisten:

P_ax = 2 · p · F

mit
p = Betriebsdruck bei Volllastbetrieb
F = offene Querschnittfläche

Angriffspunkt:
Mittelpunkt des Rohrquerschnitts im Bereich der Stutzenrundnaht.

Wirkung:
Stutzenmittelachse in der für die Standsicherheit der Komponente ungünstigsten Richtung.

Die Kraft wirkt jeweils nur an einem Stutzen. Die Standsicherheit ist für jeden Stutzen getrennt nachzuweisen.

Hinweis:

Beim Dampferzeuger ist die Standsicherheit in gleicher Weise für den Anschluss des Sekundärkreislaufs zu gewährleisten. Dies wird unter den Leckpostulaten der Frischdampf- und der Speisewasserleitung behandelt.

2.1 (6) Auslegungsdruck und Auslegungstemperatur für störfallfeste elektrische Einrichtungen sind für einen Leckquerschnitt von 2F in den Hauptkühlmittelleitungen festzulegen.

Erhaltung der Barrierenintegrität des Sicherheitsbehälters

2.1 (7) Der Ermittlung des Auslegungsdrucks des Sicherheitsbehälters sowie der Ermittlung der Druckdifferenzen innerhalb des Sicherheitsbehälters sind Leckquerschnitte bis einschließlich 2F in den Hauptkühlmittelleitungen zu Grunde zu legen.

2.2 Reaktordruckbehälter

2.2 (1) Im Hinblick auf die Verankerung des Reaktordruckbehälters (Begrenzung der Druckbelastung auf Tragstrukturen), die Belastung der Einbauten im Reaktordruckbehälter und die Auslegung des Kernnotkühlsystems ist auch ein Leck am Reaktordruckbehälter von etwa 20 cm² (geometrischer Querschnitt: kreisförmig) unterhalb der Reaktorkernoberkante zu unterstellen.

2.2 (2) Der Auslegung der Reaktordruckbehälter-Einbauten und der Schutzmaßnahmen für den Sicherheitsbehälter müssen auch die Auswirkungen des plötzlichen Bruchs eines Steuerelementantrieb-, Gehäuserohres oder -stutzens mit dem maximal möglichen Leckquerschnitt am Reaktordruckbehälter zu Grunde gelegt werden.

2.3 Dampferzeuger-Heizrohre

2.3 (1) Die Belastungen, die bei einem zu unterstellenden Frischdampf- oder Speisewasserleitungsbruch oder bei Offenbleiben eines sekundärseitigen Sicherheitsventils auf die Dampferzeugerheizrohre durch die statische und transiente Beanspruchung (Druckwelle, Strömungskräfte, statische Druckdifferenzen über die Dampferzeugerheizrohre) auftreten, sind zu bestimmen. Es ist nachzuweisen, dass die Dampferzeugerheizrohre diesen Belastungen standhalten.

2.3 (2) Jedoch ist bei den Störfallanalysen für den Frischdampfleitungsbruch und das Fehlöffnen eines Frischdampf-Sicherheitsventils das Versagen einiger weniger Dampferzeugerheizrohre als zufälliger, nicht als Folge der Ereignisse auftretender zusätzlicher Fehler zu unterstellen, der einhüllend durch die Annahme des vollständigen Bruchs (2F) eines Dampferzeugerheizrohres im betroffenen Dampferzeuger zu berücksichtigen ist. Ein Einzelfehler an anderer Stelle muss bei den beiden Störfallanalysen dann nicht mehr unterstellt werden.

2.3 (3) Beim Frischdampfleitungsbruch außerhalb der äußeren Absperrarmatur mit zusätzlich unterstelltem "Nichtschließen der Absperrarmatur" braucht ein Dampferzeugerheizrohrversagen nicht mehr angenommen zu werden, wenn der oben genannte Belastungsnachweis nach Nummer 2.3 (1) positiv geführt worden ist.

2.3 (4) Beim Speisewasserleitungsbruch braucht ein Dampferzeugerheizrohrversagen nicht unterstellt zu werden.

2.3 (5) Bei Unterstellung von unterkritischen Rissen oder Abriss einer Kleinleitung braucht kein zusätzliches Dampferzeugerheizrohrversagen überlagert zu werden.

3 Druckführende Umschließung von SWR

Aufrechterhaltung der Kühlung der Brennelemente durch Ausgleich des Kühlmittelverlustes (Auslegung der Notkühlsysteme)

3 (1) Bei der Analyse der Kernnotkühlwirksamkeit und der Auslegung der Notkühlsysteme sind folgende Leckquerschnitte zugrunde zu legen:

1. an den Frischdampf- und Speisewasserleitungen bis zu 2F sowie
2. am Reaktordruckbehälter einerseits 80 cm² (geometrischer Querschnitt: kreisförmig) unterhalb der Reaktorkernoberkante, andererseits die maximal möglichen Leckquerschnitte durch den Bruch eines Kerninstrumentierungsstutzens, des Gehäuserohres eines Steuerelementantriebs oder der Schweißnaht zwischen Gehäuserohr und Reaktordruckbehälter.

Sicherstellung einer abschalt- und kühlbaren Geometrie des Reaktorkerns

3 (2) Belastungsannahme für die Einbauten des Reaktordruckbehälters und den Reaktorkern ist ein schnell öffnendes Leck (lineares Öffnungsverhalten, Öffnungszeit 15 ms) mit einem Querschnitt von 2F in den Frischdampf- und Speisewasserleitungen für verschiedene Lecklagen sowie Lecks entsprechend Nummer 3 (1) Buchstabe b.

Verhinderung der Schadensausweitung

3 (3) Für die Ermittlung der Einwirkungen aus Strahl- und Reaktionskräften auf Rohrleitungen, Komponenten, Komponenteneinbauten und Gebäudeteile ist ein Leck mit einem Querschnitt von 0,1F der jeweiligen Leitung und mit stationärer Ausströmung für verschiedene anzunehmende Lecklagen zu unterstellen. Dies gilt auch für die Ermittlung der durch Strahlkräfte bewirkten Freisetzung oder Ablösung von Materialien im Hinblick auf mögliche Beeinträchtigungen der Notkühlung durch diese Materialien, wobei hier die ungünstigsten Lecklagen und Leckgrößen (d 0,1F) zu unterstellen sind.

3 (4) Zur Verhinderung eines Druckaufbaus im Luftraum der Kondensationskammer durch ein zu unterstellendes Leck im Abblaserohr mit dem Querschnitt 0,1F zwischen Kondensationskammerdecke und dem Ausströmbereich des Abblaserohres im Wasserbereich sind - soweit notwendig - Vorkehrungen zu treffen, z.B. Schutzrohr um das Abblaserohr.

3 (5) Hinsichtlich dynamischer Belastungen sind einlaufende Entlastungsdruckwellen, die sich aus Brüchen in Leitungsbereichen hinter der äußeren Absperrarmatur (außerhalb des Sicherheitsbehälters) ergeben oder die als Folge äußerer Einwirkungen unterstellt werden, der Bemessung zu Grunde zu legen. Hierzu ist als Eingangsgröße für die Rechnung ein Rundabriss (2F-Bruch) mit einem linearen Öffnungsverhalten und einer Öffnungszeit von 15 ms zu postulieren. Mit dieser Annahme brauchen Analysen von dynamischen Belastungen aus unterkritischen Rissen nicht durchgeführt zu werden.

3 (6) Für den Nachweis der Standsicherheit des Reaktordruckbehälters sind folgende Annahmen zu treffen:

Die Standsicherheit der Komponenten ist für die statische Ersatzkraft P_ax, welche mit dem Eigengewicht der Komponente zu überlagern ist, zu gewährleisten:

P_ax = 2 · p · F

mit
p = Betriebsdruck bei Volllastbetrieb
F = offene Querschnittfläche

Angriffspunkt:
Mittelpunkt des Rohrquerschnitts im Bereich der Stutzenrundnaht.

Wirkung:
Stutzenmittelachse in der für die Standsicherheit der Komponente ungünstigsten Richtung.

Diese Kraft wirkt jeweils nur an einem Stutzen. Die Standsicherheit ist für jeden Stutzen getrennt nachzuweisen.

3 (7) Die Verankerung des Reaktordruckbehälters ist so zu bemessen, dass auch die entsprechend der Nummer 3 (1) Buchstabe b unterstellten Lecks mit abgedeckt sind.

3 (8) Bei der Ermittlung des Auslegungsdrucks und der Auslegungstemperatur für störfallfeste elektrische Einrichtungen muss von einem Leckquerschnitt von 2F in den Frischdampf- und Speisewasserleitungen ausgegangen werden.

Erhaltung der Barrierenfunktion des Sicherheitsbehälters

3 (9) Der Ermittlung des Auslegungsdrucks des Sicherheitsbehälters sowie der Ermittlung der Druckdifferenzen innerhalb des Sicherheitsbehälters und der Bemessung des Druckabbausystems sind Leckquerschnitte bis einschließlich 2F in den Frischdampf- und Speisewasserleitungen zu Grunde zu legen.

4 Äußere Systeme

4.1 Frischdampf- und Speisewasserleitung von DWR

4.1 (1) Für die Frischdampf- und Speisewasserleitungen zwischen Dampferzeuger und Armaturenstation außerhalb des Sicherheitsbehälters sind Lecks aus unterkritischen Rissen zu unterstellen. Diese sind auf der Basis der Bruchmechanik zu ermitteln oder auf 0,1F zu begrenzen.

4.1 (2) Für die Ermittlung der Einwirkungen aus Strahl- und Reaktionskräften auf die Frischdampf- und Speisewasserleitungen zwischen Dampferzeuger und Armaturenstation außerhalb des Sicherheitsbehälters ist abdeckend eine Lecköffnung von 0,1F und stationäre Ausströmung zu unterstellen.

4.1 (3) Hinsichtlich dynamischer Belastungen der Frischdampf- und Speisewasserleitungen sind einlaufende Entlastungsdruckwellen, die sich aus Brüchen in Leitungsbereichen hinter der ersten Absperrarmatur außerhalb des Sicherheitsbehälters ergeben, oder als Folge äußerer Einwirkungen unterstellt werden, anzusetzen und der Bemessung zu Grunde zu legen. Hierzu ist als Eingangsgröße für die Rechnung ein Rundabriss (2F-Bruch) mit einem linearen Öffnungsverhalten und einer Öffnungszeit von 15 ms zu postulieren. Mit dieser Annahme sind dann Analysen von dynamischen Belastungen aus unterkritischen Rissen nicht mehr erforderlich.

4.1 (4) Für den Nachweis der Standsicherheit des Dampferzeugers sind im Hinblick auf den Anschluss des Sekundärkreises folgende Annahmen zu treffen:

Die Standsicherheit des Dampferzeugers ist für die statische Ersatzkraft P_ax, welche mit dem Eigengewicht der Komponente zu überlagern ist, zu gewährleisten:

Pax = 2 · p · F

mit
p = Betriebsdruck bei Volllastbetrieb
F = offene Querschnittfläche

Angriffspunkt:
Mittelpunkt des Rohrquerschnitts im Bereich der ersten Anschlussschweißnaht.

Wirkrichtung:
Stutzenmittelachse in der für die Standsicherheit der Komponente ungünstigsten Richtung.

Diese Kraft wirkt jeweils nur an einem Stutzen. Die Standsicherheit ist für jeden Stutzen getrennt nachzuweisen.

4.2 Sonstige Rohrleitungen der Äußeren Systeme von DWR und SWR

4.2 (1) Für andere als in der Nummer 4.1 genannte Rohrleitungen der Äußeren Systeme sind, sofern sie sich im Reaktorgebäude befinden, folgende Leck- und Bruchannahmen zu treffen:

• Unterkritische Risse in den Schweißnähten. Die dabei entstehenden Leckquerschnitte sind auf der Basis der Bruchmechanik zu ermitteln oder auf 0,1F zu begrenzen.
• Bei Rohrleitungen mit größer/gleich DN 50 sind zusätzlich überkritische (instabile) Rundrisse an hoch belasteten Rundnähten zu berücksichtigen, wenn eines der Kriterien des Buchstabens a Nummer 1 oder a Nummer 2 zutrifft:
  1. 1. Betriebsdruck ³⁰ >20 bar oder
     2. Betriebstemperatur ³⁰ > 100 °C
     und zusätzlich die beiden folgenden Kriterien erfüllt sind:
  2. Benutzungszeit größer 2 % und
  3. Betriebsnennspannung größer 50 N/mm².

4.2 (2) Wenn ein Rundriss gemäß den genannten Kriterien zu unterstellen ist, so ist hinsichtlich der Folgewirkungen wie folgt zu verfahren:

• Für die Ermittlung von Differenzdrücken und Strahlkräften auf Gebäudeteile ist eine ungehinderte Ausströmung anzunehmen.
• Bei der Berechnung einer internen Druckwelle zur Ermittlung der Belastung von Einbauten muss eine ungehinderte Ausströmung angenommen werden.
• Bei der Ermittlung von Reaktionskräften können Begrenzungen des Ausströmquerschnitts auf Grund konstruktiver Maßnahmen berücksichtigt werden.

4.2 (3) Für Lecks an der Kondensationskammer des Siedewasserreaktors ist der Rundabriss der größten Anschlussleitung anzunehmen.

4.2 (4) Bei Rohrleitungen mit kleiner DN 50 und allen Rohrleitungen außerhalb des Reaktorgebäudes sind grundsätzlich doppelendige Brüche zu unterstellen.

5 Behälter, Armaturen- und Pumpengehäuse

Für diejenigen Behälter (nicht Reaktordruckbehälter), Wärmetauscher sowie Armaturen- und Pumpengehäuse, einschließlich der zugehörigen Gehäuse der Antriebsturbinen, die Teil der DfU oder der Äußeren Systeme sind und für die entsprechende Bruchausschluss- oder Bruchsicherheitsnachweise (siehe "Sicherheitsanforderungen an Kernkraftwerke", Nummer 3.4 ) vorliegen, sind jeweils die Leck- und Bruchpostulate der anschließenden Rohrleitungen an deren Anschlussstelle anzunehmen. Dabei ist für Behälter, Wärmetauscher und andere Komponenten mit mehreren Anschlüssen in Abhängigkeit des Nachweiszieles das ungünstigste Leck unter Beachtung der Leck- und Bruchpostulate der ausgewählten Anschlussleitung zu berücksichtigen.

Für andere Behälter (nicht Reaktordruckbehälter), Wärmetauscher sowie Armaturen- und Pumpengehäuse ist grundsätzlich das Bersten zu unterstellen.

.

1 Grundlegende Anforderungen an Schutzkonzepte gegen Ereignisse aus Einwirkungen von innen und außen sowie aus Notstandsfällen

1 (1) Alle Einrichtungen, die erforderlich sind, den Kernreaktor sicher abzuschalten und in abgeschaltetem Zustand zu halten, die Nachwärme abzuführen oder eine Freisetzung radioaktiver Stoffe zu verhindern, sind so auszulegen und müssen sich dauerhaft in einem solchen Zustand befinden, dass sie ihre sicherheitstechnischen Aufgaben auch bei Einwirkungen von innen und außen sowie bei Notstandsfällen erfüllen.

Hinweis:

Anforderungen an diese Einrichtungen, die im Hinblick auf Störmaßnahmen oder sonstige Einwirkungen Dritter zu beachten sind, sind nicht Gegenstand der "Sicherheitsanforderungen an Kernkraftwerke".

1 (2) Das Sicherheitssystem sowie die Notstandseinrichtungen sind so auszulegen, dass sie bei Einwirkungen von innen und von außen wirksam bleiben. Die grundlegenden Auslegungsanforderungen an Sicherheitseinrichtungen im Falle dieser Einwirkungen sind in den diesbezüglichen Regelungen in Nummer 2.4 der "Sicherheitsanforderungen an Kernkraftwerke" enthalten.

Vorsorgemaßnahmen

1 (3) Durch Vorsorgemaßnahmen (VM) ist zu gewährleisten, dass Ereignisse aus Einwirkungen von innen oder außen sowie aus Notstandsfällen, die die bestimmungsgemäße Funktion von Sicherheitseinrichtungen unzulässig beeinträchtigen könnten,

• entweder verhindert werden
• oder in ihren Auswirkungen ausreichend begrenzt werden (siehe auch "Sicherheitsanforderungen an Kernkraftwerke" Nummer 2.1 (5)).

1 (4) Die Anforderungen an die Wirksamkeit und Zuverlässigkeit der Vorsorgemaßnahmen sind abhängig von der geschätzten Eintrittshäufigkeit der Einwirkung, gegen welche das Schutzkonzept wirksam sein soll, und von den potentiellen Auswirkungen dieser Einwirkung.

1 (5) Die Analyse eines durch eine Einwirkung von innen oder außen bedingten Ereignisses der Sicherheitsebene 3 ist nicht erforderlich, wenn die in den Nummern 3, 4.2.1 und 4.2.3 genannten Vorsorgemaßnahmen als getroffen nachgewiesen sind. Die Nachweisführung konzentriert sich dabei auf die Einhaltung der Anforderungen an die Wirksamkeit und Zuverlässigkeit der Vorsorgemaßnahmen.

Für dennoch durch solche Einwirkungen als ausgelöst zu unterstellende Ereignisse der Sicherheitsebene 3 gelten die Anforderungen dieser Sicherheitsebene.

1 (6) Radiologische Auswirkungen sind für die Ereignisse zu ermitteln, die infolge der Einwirkung gemäß Nummer 1 (5) zu einem radiologisch repräsentativen Ereignis der Sicherheitsebene 3 führen.

Hinweis:

Radiologisch repräsentative Ereignisse der Sicherheitsebene 3 sind im Anhang 2 der "Sicherheitsanforderungen an Kernkraftwerke" aufgelistet. Auf spezielle Festlegungen hinsichtlich der Ermittlung von radiologischen Auswirkungen ist bei den ereignisspezifischen Anforderungen in den folgenden Nummern 3 und 4 hingewiesen.

Notstandsfälle

1 (7) Sehr seltene zivilisatorisch bedingte Einwirkungen (Notstandsfälle) gemäß Nummer 4.2.2 dürfen entweder nicht zu Ausfällen von Sicherheitseinrichtungen derart führen, dass die erforderlichen Sicherheitsfunktionen nicht mehr ausreichend wirksam sind, oder es sind dafür gesondert ausgelegte Einrichtungen vorzusehen, sodass Ereignisabläufe der Sicherheitsebene 4b verhindert werden.

Bei der Analyse von Notstandsfällen und den dabei zu unterstellenden Folgeereignissen dürfen realistische Anfangs- und Randbedingungen sowie realistische Modelle gewählt werden (siehe auch "Sicherheitsanforderungen an Kernkraftwerke", Anhang 5 Nummer 3.2.1).

1 (8) Redundanzanforderungen für Einrichtungen zur Beherrschung von Notstandsfällen und den dabei zu unterstellenden Folgeereignissen sind in den "Sicherheitsanforderungen an Kernkraftwerke", Anhang 4, Nummer 2.4 angegeben.

1 (9) Bei Funktionsuntüchtigkeit der Warte infolge von Notstandsfällen ist sicherzustellen, dass die Anlage mit Hilfe von Notstandseinrichtungen ohne Handeingriff in einen kontrollierten Anlagenzustand übergeht und mindestens 10 Stunden darin verbleiben kann. Darüber hinaus muss die Anlage mit Hilfe der Notstandseinrichtungen in einen Zustand gebracht werden können, der die anschließende Nachwärmeabfuhr über ein Nachkühlsystem langfristig sicherstellt. Notstandsmaßnahmen, für die eine hinreichende Karenzzeit besteht oder für deren Auslösung durch administrative Maßnahmen Vorsorge getroffen werden kann, müssen nicht automatisiert werden. Zur Langzeitbeherrschung des Notstandsfalls kann auf vor Ort vorhandene Hilfsmaßnahmen zurückgegriffen werden.

1 (10) Für Notstandseinrichtungen gelten folgende Anforderungen:

1. Komponenten und Teilsysteme der Notstandseinrichtungen sind gegen die zu betrachtenden Notstandsfälle zu schützen.
2. Es ist sicherzustellen, dass die Funktion der Notstandseinrichtungen nicht durch Schäden in ungeschützten Anlagenbereichen unzulässig beeinträchtigt werden kann. Dies gilt sowohl für verfahrenstechnische Systeme als auch für die Energieversorgung und die leittechnischen Einrichtungen.
3. Es ist sicherzustellen, dass Fremdeingriffe und Fehlbedienungen auf der Warte oder in anderen nicht besonders geschützten Anlagenbereichen nicht zu einer unzulässigen Beeinträchtigung der Funktion der Notstandseinrichtungen führen können.
4. An den Notstandseinrichtungen dürfen weder aus betrieblichen Gründen noch zu Prüfzwecken Eingriffe vorgenommen werden, die, wenn sie im Notstandsfall nicht mehr zurückgenommen bzw. zu Ende geführt werden können, zu einer unzulässigen Beeinträchtigung der Funktion der Einrichtungen führen können. Dies gilt nicht, wenn gleichwertige Funktionen bereitgestellt sind.

1 (11)

Die Kühlung der Brennelemente ist bei den Notstandsfällen "Flugzeugabsturz" sowie "Explosionsdruckwelle" langfristig sicherzustellen. An den langfristig benötigten Einrichtungen müssen erforderlichenfalls rechtzeitig Instandsetzungsmaßnahmen durchgeführt werden können.

Die Zugänglichkeit zu Bereichen, in denen örtliche Betätigungen notwendig werden können, sowie die Kommunikation mit dem dort tätig werdenden Personal sind zu gewährleisten.

2 Anforderungen an Vorsorgemaßnahmen

2 (1) Vorsorgemaßnahmen sind hinsichtlich Zuverlässigkeit und Wirksamkeit so zu bemessen, dass die Anforderungen nach den Nummern 1 (2), 1 (3) und 1 (4) erfüllt werden.

2 (2) Vorsorgemaßnahmen sollen vorrangig auf passiven Einrichtungen basieren. Ist eine hinreichend zuverlässige Vermeidung unzulässiger Folgewirkungen durch passive Einrichtungen nicht gegeben, so sind zuverlässige aktive Einrichtungen vorzusehen. Im Falle der Einbeziehung administrativer Maßnahmen ist ein Zuverlässigkeitsnachweis gemäß Nummer 2 (6) erforderlich. Sofern im Ausnahmefall Vorsorgemaßnahmen ausschließlich auf administrativen Maßnahmen beruhen, ist deren Zuverlässigkeit gesondert zu begründen.

2 (3) Die Wirksamkeit von Vorsorgemaßnahmen muss auch bei Anwendung des Einzelfehlerkonzepts (siehe Anhang 4 der "Sicherheitsanforderungen an Kernkraftwerke") sichergestellt sein.

2 (4) Während der Durchführung von Instandhaltungsmaßnahmen einschließlich Wiederkehrender Prüfungen darf die Zuverlässigkeit und Wirksamkeit der Vorsorgemaßnahmen nicht unzulässig beeinträchtigt sein.

2 (5) Vorsorgemaßnahmen, die zur Verhinderung von Ereignissen gemäß Anhang 2  sowie gemäß den folgenden Nummern 3 und 4 vorgesehen sind, müssen so beschaffen sein, dass sie bei zu unterstellenden Störungen oder Schäden an ihnen oder bei Fehlbedienung/Fehlhandlung die bestimmungsgemäße Funktion des Sicherheitssystems, der Notstandseinrichtungen und weiterer für die Sicherheit erforderlicher Einrichtungen nicht beeinträchtigen.

2 (6) Sofern administrative Maßnahmen und daraus abgeleitete Personalhandlungen in Vorsorgemaßnahmen einbezogen werden, ist deren Wirksamkeit und Zuverlässigkeit durch Methoden wie Fehlereffekt- oder Gefahrenanalyse nachzuweisen. Insbesondere sind dabei systematische Fehler zu berücksichtigen.

Folgende Bedingungen sind zu gewährleisten:

• Es sind eindeutige organisatorische Vorgaben hinsichtlich Zuständigkeit und Verantwortung für die Durchführung und Kontrolle der Vorsorgemaßnahmen zu treffen. Das mit der Durchführung und der Kontrolle von Vorsorgemaßnahmen betraute Personal ist entsprechend der sicherheitstechnischen Bedeutung der Vorsorgemaßnahmen besonders zu qualifizieren.
• Es müssen eindeutige Ablaufprozeduren sowie Arbeitsanweisungen für die Durchführung und die Kontrolle der Vorsorgemaßnahmen vorhanden sein. Art und Anzahl der Kontrollen sind entsprechend den Vorgaben an die Zuverlässigkeit der jeweiligen Vorsorgemaßnahme festzulegen. Für die Kontrollen sind eindeutige, mess- und quantifizierbare Kriterien festzulegen. Identifizierte Abweichungen von Anforderungen bedürfen der sicherheitstechnischen Bewertung.
• Die Durchführung der Kontrollen und die erzielten Ergebnisse sind lückenlos zu dokumentieren. Die jeweils beteiligten Personen sind anzugeben.
• Es muss ausreichend Zeit für die Durchführung der Kontrollen der Vorsorgemaßnahmen zur Verfügung stehen.
• Die Durchführung und Kontrolle der Vorsorgemaßnahmen dürfen durch die Umgebungsbedingungen nicht beeinträchtigt sein.
• Die Randbedingungen, unter denen die mit der Durchführung der Vorsorgemaßnahmen betrauten Personen handeln, sind so zu gestalten, dass die Voraussetzungen für ein möglichst fehlerfreies Verhalten vorliegen. Die ergonomischen Anforderungen gemäß Nummer 3.1 (13) der "Sicherheitsanforderungen an Kernkraftwerke" sind zu beachten.
• Mögliche Fehler und deren Auswirkungen sind bei der Schulung des Personals zu berücksichtigen.

2 (7) Die Gültigkeit der Randbedingungen für die Wirksamkeit und Zuverlässigkeit der Vorsorgemaßnahmen ist während der gesamten Betriebszeit der Anlage sicherzustellen.

3 Anforderungen zur Beherrschung von Einwirkungen von innen

3.1 Allgemeine Anforderungen

3.1 (1) Die auf Grund der anlagenspezifischen Gegebenheiten möglichen Einwirkungen von innen sowie deren möglichen Kombinationen untereinander oder mit Einwirkungen von außen sowie aus Notstandsfällen sind vollständig zu erfassen.

Hinweis:

Beachte hierzu auch in den "Sicherheitsanforderungen an Kernkraftwerke" die Nummern 2.4 und 4.2 sowie in Anhang 5 zu den "Sicherheitsanforderungen an Kernkraftwerke" die Nummern 3.2.1 (3) und 3.2.1 (4).

3.1 (2) Für jede Einwirkung oder Einwirkungskombination nach Nummer 3.1 (1) sind die sicherheitstechnischen Auswirkungen auf die Anlage unter Berücksichtigung aller zu erwartenden Folgewirkungen zu ermitteln. Insbesondere sind die nachstehend aufgeführten Folgewirkungen zu betrachten:

• anlageninterne Überflutung,
• anlageninterne Brände und Explosionen,
• erhöhte Strahlenpegel,
• chemische Reaktionen,
• elektrische, leittechnische oder verfahrenstechnische Fehlfunktionen,
• Druckaufbau, Druckdifferenzen,
• Temperatur- und Feuchteanstieg,
• umherfliegende und fallende Bruchstücke (Trümmer) sowie
• Strahl- und Reaktionskräfte.

3.1 (3) Einrichtungen zum Schutz gegen Einwirkungen von innen sind nahe der potentiellen Quelle einer Einwirkung von innen zu errichten, es sei denn, eine andere Positionierung ist sicherheitstechnisch vorteilhafter.

3.2 Ereignisspezifische Anforderungen

3.2.1 Anlageninterner Brand

3.2.1 (1) Es sind Maßnahmen und Einrichtungen zum Schutz vor anlageninternen Bränden und deren Folgewirkungen sowohl innerhalb als auch außerhalb von Gebäuden vorzusehen. Unzulässige Auswirkungen von Bränden und deren Folgewirkungen sind durch Vorkehrungen des aktiven und passiven Brandschutzes zu verhindern.

3.2.1 (2) Die Brandschutzmaßnahmen sind so zu planen und auszuführen, dass eine gestaffelte Abwehr realisiert wird:

• Es müssen geeignete Maßnahmen und Einrichtungen vorhanden sein, die die Entstehung von Bränden vermeiden.
• Dennoch entstandene Brände müssen frühzeitig erkannt und bekämpft werden.
• Die Ausbreitung eines nicht gelöschten oder nicht selbst verlöschenden Brandes ist zu begrenzen.

3.2.1 (3) Es ist ein Brandschutzkonzept zu erstellen und zu dokumentieren. Die Dokumentation ist aktuell zu halten. Bei Änderungen in der Anlage sind deren Rückwirkungen auf das bestehende Brandschutzkonzept zu bewerten und das Brandschutzkonzept ist erforderlichenfalls fortzuschreiben.

3.2.1 (4) Es ist eine Brandgefahrenanalyse zu erstellen und zu dokumentieren. Die Dokumentation ist aktuell zu halten.

3.2.1 (5) Die Gesamtheit aller Brandschutzmaßnahmen muss sicherstellen, dass auch bei einem Zufallsausfall einer einzelnen Brandschutzmaßnahme oder -einrichtung die Sicherheitsfunktionen nicht unzulässig beeinträchtigt werden.

3.2.1 (6) Eine Entzündung vorhandener brennbarer Stoffe ist grundsätzlich zu unterstellen. Von dieser Anforderung darf abgewichen werden, wenn der brennbare Stoff gekapselt ist und die Kapselung im bestimmungsgemäßen Betrieb sowie bei allen anzunehmenden Störfällen funktionsfähig bleibt.

3.2.1 (7) Brandlasten und mögliche Zündquellen sind auf das für den sicheren Betrieb erforderliche Maß zu begrenzen.

3.2.1 (8) ¹⁵ Unvermeidbare Brandlasten sind dort, wo dies konstruktiv und aufgrund der Anforderungen an den Betrieb der Einrichtungen möglich ist, räumlich ausreichend getrennt von den in Nummer 3.2.1 (7) bezeichneten Zündquellen anzuordnen, so dass eine Entzündung durch diese Zündquellen vermieden werden kann.

Raumbereiche mit erheblichen Brandlasten sind grundsätzlich durch ausreichend feuerwiderstandsfähige Bauteile abzutrennen.

3.2.1 (9) Redundante Einrichtungen des Sicherheitssystems sind grundsätzlich durch ausreichend feuerwiderstandsfähige Bauteile so zu trennen, dass ein durch Brand bedingter Ausfall von mehreren Redundanten verhindert werden kann.

Sofern der für einen Brand erforderliche Schutz aus systemtechnischen oder nutzungstechnischen Erfordernissen nicht durch bauliche Brandschutzmaßnahmen realisiert werden kann, muss durch andere Brandschutzmaßnahmen oder durch eine Kombination dieser Maßnahmen ein gleichwertiger Schutzzustand sichergestellt werden.

3.2.1 (10) Beim Einbringen brennbarer Stoffe im Zusammenhang mit Instandhaltungsarbeiten ist durch gesonderte Maßnahmen oder Einrichtungen sicherzustellen, dass die Sicherheit der Anlage nicht unzulässig beeinträchtigt wird.

3.2.1 (11) Die sicherheitsrelevanten Funktionen baulicher Anlagenteile im Brandfall sind durch bauliche Brandschutzmaßnahmen sicherzustellen.

3.2.1 (12) Es sollen grundsätzlich nur nichtbrennbare Bau- und Werkstoffe verwendet werden. Ein Einsatz brennbarer Werkstoffe ist dann zulässig, wenn sie konstruktiv unvermeidbar sind, z.B. Dämmstoffe an kaltgehenden Rohrleitungen, Dekontaminationsbeschichtungen. Es sollen grundsätzlich nur nichtbrennbare Betriebsstoffe verwendet werden. Ausgenommen sind Steuer- und Schmierflüssigkeiten sowie andere aus betrieblichen Gründen unvermeidbare brennbare Stoffe.

3.2.1 (13) Leitungen und Kabel sind grundsätzlich getrennt von warmgehenden Rohrleitungen oder solchen, die brennbare Medien führen, zu verlegen. Leistungskabel sind grundsätzlich hinreichend getrennt von Signal- und Steuerkabeln zu verlegen.

Bei unvermeidbaren Kreuzungen mit warmgehenden Rohrleitungen oder solchen, die brennbare Medien führen, oder mit Leistungskabeln sind besondere Maßnahmen und Einrichtungen vorzusehen.

Durch geeignete Maßnahmen oder Einrichtungen ist sicherzustellen, dass auch im Brandfall Energieversorgungs-, Signal- und Steuerkabel nicht unzulässig beeinträchtigt werden.

3.2.1 (14) Bei der Auswahl und Installation der aktiven und passiven Brandschutzmaßnahmen sind die im Kontrollbereich vorhandenen Beschränkungen zu beachten.

3.2.1 (15) Für den Brandfall ist, insbesondere in Anlagenbereichen mit Sicherheitseinrichtungen und in Kontrollbereichen, durch geeignete Einrichtungen oder Maßnahmen eine zuverlässige, schnelle Branderkennung und Alarmierung sicherzustellen.

3.2.1 (16) Es ist sicherzustellen, dass durch geeignete Einrichtungen und/oder Maßnahmen zur Branderkennung, -alarmierung und -bekämpfung Brände im Sicherheitsbehälter auch ohne Entrauchung sicher und schnell lokalisiert und wirksam bekämpft werden können.

3.2.1 (17) Durch geeignete Maßnahmen und Einrichtungen für eine frühzeitige Gefahrenerkennung, Gefahrenmeldung und Aufforderung zur Flucht sowie geeignete Vorkehrungen für einen schnellen Flucht- und Rettungsvorgang über Rettungswege ist sicherzustellen, dass Personen im Gefahrenfall schnell und sicher ins Freie gelangen und von außen gerettet werden können.

3.2.1 (18) Innerhalb der Gebäude sind Rettungswege anzuordnen. Diese müssen so vor Brandeinwirkungen geschützt werden, dass sie ausreichend lange zur Verfügung stehen, um die Selbstrettung, die Fremdrettung von Personen, die Brandbekämpfung sowie sicherheitstechnisch erforderliche Personalhandlungen zu ermöglichen.

3.2.1 (19) Ortsfeste Löschanlagen sind grundsätzlich automatisch auszulösen. Fernbediente oder örtlich manuell auszulösende Löschanlagen sind zulässig, wenn die möglichen Brandwirkungen bis zum Zeitpunkt des Wirksamwerdens dieser Löschanlagen beherrscht werden.

3.2.1 (20) Automatisch auszulösende Löschanlagen müssen so beschaffen und gesichert sein, dass sie ihrerseits nicht bei Störungen oder Schäden an ihnen oder bei Fehlbedienung/Fehlhandlung die bestimmungsgemäße Funktion von Einrichtungen des Sicherheitssystems sowie die baulichen Anlagenteile mit raumabschließender Funktion unzulässig beeinträchtigen.

3.2.1 (21) Die Brandschutzeinrichtungen müssen regelmäßig Wiederkehrenden Prüfungen im Hinblick auf ihre Funktionsfähigkeit unterzogen werden. Die Prüffristen sind entsprechend der sicherheitstechnischen Bedeutung der zu schützenden Einrichtung festzulegen.

3.2.1 (22) Zur Bekämpfung von Bränden ist eine ausreichend leistungsfähige Werkfeuerwehr nach Landesrecht aufzustellen, auszurüsten und zu unterhalten. Neben dieser ist auch die zuständige anlagenexterne Feuerwehr mit den Räumlichkeiten der Anlagen sowie den besonderen Gegebenheiten eines Kernkraftwerks vertraut zu machen. Diese Einweisung ist regelmäßig zu wiederholen. Einsatzübungen sind in ausreichenden Abständen durchzuführen.

3.2.1 (23) Es ist sicherzustellen, dass auch im Brandbekämpfungsfall alle erforderlichen Maßnahmen zur Gewährleistung des sicheren Betriebs und zur Beherrschung der Ereignisse der Sicherheitsebenen 3 und 4a durchgeführt werden können.

3.2.2 Anlageninterne Überflutung

3.2.2 (1) Durch geeignete Maßnahmen oder Einrichtungen sind unzulässige Auswirkungen anlageninterner Überflutungen zu verhindern. Zu diesen Maßnahmen und Einrichtungen gehören:

• hochwertige Ausführung der Medium führenden Systeme und Komponenten,
• präzise Vorgaben für Instandhaltungsmaßnahmen an Medium führenden Systemen und Komponenten, insbesondere bei solchen mit hohem Überflutungspotential,
• hohe Zuverlässigkeit gegen Fehlauslösungen automatisch auszulösender ortsfester Löschanlagen.

3.2.2 (2) Mögliche auslösende Ereignisse für eine Überflutung innerhalb der Anlage sind im Rahmen einer Überflutungsanalyse zu identifizieren (z.B. Lecks, Aktivierung eines Löschsystems, menschliche Fehlhandlung, Absturz oder Anstoßen von Lasten, Inbetriebnahme eines Systems nach Instandhaltungsmaßnahmen oder nach Anlagenänderungen mit fälschlicherweise nicht eingebauten Absperreinrichtungen). Als Grundlage für die Auslegung von Vorsorgemaßnahmen dürfen abdeckende Ereignisse definiert werden.

3.2.2 (3) Ansammlungen von Wasser auf hoch gelegenen Strukturen (z.B. Kabelpritschen mit ungenügender Entwässerung) sind in die Überflutungsanalysen einzubeziehen.

3.2.2 (4) Den Möglichkeiten einer Verstopfung von Entwässerungsstrukturen oder einer Verlagerung von Gegenständen sowie des Anschwemmens von Partikeln ist Rechnung zu tragen.

3.2.2 (5) Bei der Ermittlung der Überflutungshöhe und der mechanischen Einwirkung auf Komponenten oder Barrieren ist eine mögliche Wellenbildung zu berücksichtigen.

3.2.2 (6) Für alle unterstellten Überflutungsereignisse ist der zu erwartende Zeitverlauf des Wasserstands im unmittelbar betroffenen Raum und in den möglicherweise betroffenen angrenzenden Räumen zu berücksichtigen.

3.2.2 (7) Neben den direkten Auswirkungen einer Überflutung sind auch indirekte Effekte wie der Anstieg der Luftfeuchtigkeit zu berücksichtigen.

3.2.2 (8) Ein möglicher Druckanstieg durch den Kontakt von Wasser mit heißen Komponenten ist zu berücksichtigen.

3.2.2 (9) Für die zu unterstellenden Überflutungsereignisse müssen Maßnahmen und Einrichtungen zur Verhinderung einer unzulässigen Beeinträchtigung der Einrichtungen des Sicherheitssystems vorhanden sein. Hierbei sind insbesondere die folgenden Maßnahmen und Einrichtungen entsprechend einem gestaffelten Vorgehen zu berücksichtigen:

• Lecküberwachungseinrichtungen,
• Maßnahmen zur Feststellung und Isolierung von Leckstellen,
• erhöhte Aufstellung von sicherheitstechnisch wichtigen Komponenten,
• bauliche Einrichtungen (z.B. Auffangwannen, Abschottungen) um sicherheitstechnisch wichtige Komponenten,
• Doppelrohrausführungen,
• Schwellen oder gleichwertige Einrichtungen zur Verhinderung der Ausbreitung von Wasser, insbesondere in Räume benachbarter Redundanten,
• aktive oder passive Einrichtungen zur Entwässerung,
• organisatorische Maßnahmen für den Fall einer Überflutung.

3.2.2 (10) Werden Instandhaltungsmaßnahmen an Einrichtungen zur Vermeidung von Überflutungsereignissen durchgeführt, so ist sicherzustellen, dass deren Funktion, sofern erforderlich, auch während der Instandhaltungsmaßnahme gewährleistet bleibt oder vorsorglich durch anderweitige Maßnahmen vollwertig kompensiert wird. Insbesondere sind im Zusammenhang mit Instandhaltungsmaßnahmen zu berücksichtigen:

• die Sumpfansaugleitungen und deren Absperrarmaturen,
• Systeme mit einem hohen Nachspeisepotential und deren Absperreinrichtungen,
• Einrichtungen zur Verhinderung von redundanzübergreifenden Überflutungen im Ringraum von DWR-Anlagen sowie
• Instandhaltungsarbeiten im Bodenbereich des Reaktordruckbehälters von SWR-Anlagen.

3.2.3 Komponentenversagen mit potentiellen Auswirkungen auf sicherheitstechnisch wichtige Einrichtungen

3.2.3 (1) Sofern ein Komponentenversagen und eine daraus resultierende Gefährdung von Einrichtungen des Sicherheitssystems nicht verhindert werden kann, sind Vorkehrungen zum Schutz dieser Einrichtungen vorzusehen.

3.2.3 (2) Alle potentiellen sicherheitstechnisch relevanten Quellen für umherfliegende (hochenergetische) und fallende Bruchstücke (Trümmer) sind zu identifizieren und die Parameter (insbesondere Geometrie, Masse und Trajektorie) der bei einem Versagen zu erwartenden Bruchstücke sind zu analysieren oder konservativ abzuschätzen.

Als potentielle Quellen für solche Bruchstücke sind insbesondere zu berücksichtigen:

• das Versagen von Behältern, Rohrleitungen und sonstigen Komponenten mit hohem Energieinhalt,

Hinweis:

Zu den Leck- und Bruchannahmen siehe in den "Sicherheitsanforderungen an Kernkraftwerke", Anhang 2, dort Anlage 2.

• das Versagen beweglicher Armaturenteile,
• der Auswurf eines Steuerelements oder Steuerstabs und
• das Versagen rotierender Komponententeile (z.B. Schwungradversagen der Hauptkühlmittelpumpen, Turbinenschaufeln, Turbinenwelle).

3.2.3 (3) Die bestimmungsgemäße Funktion der Einrichtungen des Sicherheitssystems ist gemäß Nummer 1 (2) bei Einwirkungen aufgrund eines unterstellten Komponentenversagens sicherzustellen. Mögliche Einwirkungen aufgrund eines Komponentenversagens sind:

• direkte mechanische Einwirkungen (Reaktionskräfte, schlagende Rohrleitungen),
• hochenergetische Bruchstücke,
• Strahlkräfte,
• anlageninterne Überflutung,
• erhöhte Luftfeuchtigkeit,
• physikalische oder chemische Einwirkungen,
• Druckdifferenzen (statisch und dynamisch),
• erhöhte Raumtemperatur und
• erhöhter Strahlenpegel.

3.2.3 (4) Soweit erforderlich, ist bei diesen Einwirkungen auch die Standsicherheit von Anlagenteilen sicherzustellen.

3.2.3 (5) Die folgenden Maßnahmen und Einrichtungen zum Schutz gegen Einwirkungen aus einem Komponentenversagen sind dabei in Betracht zu ziehen:

• geeignete Orientierung der als potentielle Quelle von Bruchstücken identifizierten Komponenten im Raum,
• geeignete räumliche Anordnung der als potentielle Ziele von Bruchstücken identifizierten Einrichtungen des Sicherheitssystems,
• Wahl der Gebäudeanordnung derart, dass die Einrichtungen des Sicherheitssystems nicht innerhalb der wahrscheinlichen Flugrichtung möglicher Bruchstücke des Turbosatzes liegen; dies gilt auch für Mehrblockanlagen (siehe auch Nummer 3.2.8),
• bauliche Einrichtungen zum Ablenken oder Zurückhalten von Trümmern,
• Ausschlagsicherungen,
• Doppelrohrkonstruktionen bei hochenergetischen Rohrleitungen.

3.2.3 (6) Schäden am Sicherheitssystem, an Notstandseinrichtungen und weiteren für die Sicherheit der Anlage erforderlichen Einrichtungen durch Rohrausschläge sind vorzugsweise durch bauliche Einrichtungen an den Rohrleitungen zu verhindern.

3.2.3 (7) Sofern das Versagen rotierender Komponenten mit sicherheitstechnisch relevanten Auswirkungen zu unterstellen ist, sind

• zuverlässige Einrichtungen zur Drehzahlbegrenzung sowie
• Schwingungsüberwachungen zur Erkennung sich anbahnender Schäden (z.B. durch Unwuchten)

vorzusehen.

3.2.3 (8) Durch geeignete Maßnahmen oder Einrichtungen ist sicherzustellen, dass die Schwungräder der Hauptkühlmittelpumpen (DWR) beim Kühlmittelverluststörfall nicht infolge zu hoher Drehzahl zerstört werden.

3.2.3 (9) Bei der Auslegung baulicher Einrichtungen zum Schutz vor hochenergetischen Bruchstücken sind sowohl das lokale (z.B. Penetration, Abplatzungen) als auch das globale Trag- und Verformungsverhalten der baulichen Einrichtung beim Aufprall hochenergetischer Bruchstücke zu berücksichtigen.

3.2.3 (10) Sofern hinsichtlich der Beherrschung von Strahl- und Reaktionskräften gemäß den "Sicherheitsanforderungen an Kernkraftwerke", Anhang 2, dort Anlage 2 ein doppelendiger Bruch zu unterstellen ist, sind Maßnahmen zum Schutz gegen Einwirkungen durch Strahl- und Reaktionskräfte auf sicherheitstechnisch wichtige Einrichtungen gemäß Nummer 3.2.3 (6) unter Berücksichtigung folgender Aspekte zu treffen:

• Richtung des Rohrausschlags,
• betroffene sicherheitstechnisch wichtige Einrichtungen,
• kinetische Energie,
• Anteil der Energie, der von einer betroffenen Komponente aufgenommen wird,
• Wirksamkeit von Ausschlagsicherungen und
• mögliche Folgewirkungen bei der Einwirkung auf andere Komponenten.

3.2.4 Leck/Bruch im Frischdampf- oder Speisewassersystem sowie in anderen hochenergetischen Rohrleitungen im Ringraum und in der Armaturenkammer (DWR) bzw. zwischen Sicherheitsbehälter und erster Absperrmöglichkeit außerhalb des Sicherheitsbehälters (SWR)

3.2.4 (1) Die Auswirkungen von Lecks

• im Ringraum und in der Armaturenkammer (DWR) an Frischdampf oder Speisewasser führenden Rohrleitungen,
• im Bereich zwischen Sicherheitsbehälter und erster äußerer Absperrmöglichkeit (SWR) an Frischdampf oder Speisewasser führenden Rohrleitungen,
• an einer Dampferzeugerabschlämmleitung (DWR) oder
• an einer anderen hochenergetischen Leitung

dürfen nicht zu unzulässigen Beeinträchtigungen des Sicherheitsbehälters, einschließlich der Durchführungen, sowie von den im Bereich zwischen Sicherheitsbehälter und Reaktorgebäude (Ringraum) und in der Armaturenkammer (DWR) installierten Einrichtungen des Sicherheitssystems, Notstandseinrichtungen und weiteren für die Sicherheit erforderlichen Einrichtungen oder zu einer unzulässigen Freisetzung radioaktiver Stoffe führen.

3.2.4 (2) Unzulässige Auswirkungen sind z.B. durch Doppelrohrkonstruktionen zu beherrschen oder durch entsprechende Auslegung der Rohrleitungen in diesem Bereich zu verhindern.

Hinweis:

Siehe auch in den "Sicherheitsanforderungen an Kernkraftwerke", Anhang 2, Ereignisse D3-06 sowie S3-26.

3.2.5 Absturz und Anprall von Lasten mit potentieller Gefährdung sicherheitstechnisch wichtiger Einrichtungen

3.2.5 (1) Lasten, die mit Hebe- oder Transportmitteln gehandhabt werden und deren Absturz zum Ausfall von sicherheitstechnisch wichtigen Einrichtungen oder zur Freisetzung radioaktiver Stoffe führen kann, sind zu identifizieren. Zu identifizieren sind auch Lasten, die durch das Umkippen schwerer und das Anschlagen pendelnder Gegenstände, insbesondere auch von Transport- und Lagerbehältern, entstehen.

3.2.5 (2) Als Ursache für Abstürze von Lasten sind auch Bedienungs- sowie Instandhaltungsfehler am Hebezeug sowie an dessen Trag-, Lastaufnahme- und Lastanschlagmitteln zu betrachten.

3.2.5 (3) Ein Lastabsturz mit unzulässigen Folgen ist zu verhindern.

3.2.6 Elektromagnetische Einwirkungen

3.2.6.1 Schutz vor elektromagnetischer Störeinwirkung

3.2.6.1. (1) Das Sicherheitssystem, die Notstandseinrichtungen und weitere für die Sicherheit erforderliche Einrichtungen müssen in ihrem elektromagnetischen Umfeld zuverlässig wirksam sein.

3.2.6.1. (2) Die elektromagnetische Verträglichkeit (EMV) der in Nummer 3.2.6.1 (1) genannten Einrichtungen ist mittels einer Analyse (EMV-Analyse) nachzuweisen. Diese umfasst unter anderem die elektromagnetische Störaussendung, die Störfestigkeit der Komponenten, die Eigenstörfestigkeit und die notwendigen Prüfungen.

3.2.6.1 (3) Während der Betriebsdauer der Anlage sind sowohl das Auftreten neuer als auch die Veränderung vorhandener Störquellen zu verfolgen und zu analysieren. Der Schutz der in Nummer 3.2.6.1 (1) genannten Einrichtungen vor elektromagnetischen Störeinflüssen ist bei sich gegebenenfalls verändernden Umgebungsbedingungen anzupassen.

3.2.6.2. Begrenzung elektromagnetischer Störaussendung

3.2.6.2 (1) Mögliche elektromagnetische Störquellen innerhalb der Anlage, deren Einfluss auf die in Nummer 3.2.6.1 (1) genannten Einrichtungen nicht vermieden werden kann, sind zu identifizieren und die möglichen Einflüsse aus diesen Quellen sind zu bewerten. Soweit möglich, erfolgt die Analyse auf Grundlage abdeckender Störquellen. Die aus dem Betrieb der Störquellen resultierenden Umgebungsbedingungen am Einsatzort dieser Einrichtungen sind zu ermitteln.

3.2.6.2. (2) Elektromagnetische Störungen sind so zu begrenzen, dass eine ordnungsgemäße Funktion der in Nummer 3.2.6.1 (1) genannten Einrichtungen gewährleistet ist.

3.2.6.2 (3) Zur Begrenzung elektromagnetischer Einflüsse aus anlageninternen Störquellen sind Maßnahmen und Einrichtungen zum Schutz der Leittechnik gemäß ihrer sicherheitstechnischen Bedeutung vorzusehen (z.B. Abschirmung, Entkopplung, Erdung, räumliche Trennung).

3.2.6.2. (4) Temporär vorhandene potentielle elektromagnetische Störquellen wie zum Beispiel Mess- und Prüfgeräte, Schweißgeräte oder Mobiltelefone, sind zu berücksichtigen.

3.2.6.2 (5) Störungsbedingte elektromagnetische Wechselwirkungen (Kurzschluss, Lichtbogen) sind zu berücksichtigen.

3.2.6.3. Qualifizierung der Einrichtungen hinsichtlich des Schutzes vor unzulässigen elektromagnetischen Einwirkungen

3.2.6.3 (1) Für die in Nummer 3.2.6.1 (1) genannten Einrichtungen, die durch elektromagnetische Einwirkungen beeinträchtigt werden können, ist durch Prüfungen nachzuweisen, dass deren elektromagnetische Verträglichkeit in ihrem Einsatzumfeld gegeben ist (EMV-Nachweis).

3.2.7 Kollision von Fahrzeugen auf dem Anlagengelände mit sicherheitstechnisch wichtigen baulichen Anlagenteilen, Systemen oder Komponenten

3.2.7 (1) Sicherheitstechnisch wichtige bauliche Anlagenteile, Systeme oder Komponenten auf dem Anlagengelände sind so auszulegen oder durch bauliche Einrichtungen so zu schützen, dass sie durch Kollisionen mit Fahrzeugen auf dem Anlagengelände in ihrer sicherheitstechnischen Funktion nicht beeinträchtigt werden.

3.2.8 Gegenseitige Beeinflussung von Mehrblockanlagen

3.2.8 (1) Einwirkungen von innen dürfen nicht zu unzulässigen Beeinträchtigungen der Sicherheit eines Nachbarblocks führen.

3.2.9 Anlageninterne Explosionen

3.2.9.1 Allgemeine Anforderungen

3.2.9.1. (1) Die bestimmungsgemäße Funktion der Einrichtungen des Sicherheitssystems ist durch geeignete Maßnahmen oder Einrichtungen des Explosionsschutzes sicherzustellen.

3.2.9.1. (2) Durch geeignete Maßnahmen oder Einrichtungen innerhalb und außerhalb von Gebäuden ist eine Verhinderung anlageninterner chemischer und physikalischer Explosionen sicherzustellen, sofern die verursachenden Stoffe in relevanten Mengen im Bereich der Anlage gelagert oder gehandhabt werden oder entstehen können.

3.2.9.1 (3) Die Explosionsschutzmaßnahmen sind so zu planen und auszuführen, dass eine gestaffelte Abwehr realisiert wird. Die Maßnahmen und Einrichtungen sollen

• die Entstehung eines explosionsfähigen Gemisches verhindern,
• die Zündung eines dennoch entstandenen explosiven Gemisches verhindern und
• die Auswirkungen einer Explosion soweit begrenzen, dass keine unzulässigen sicherheitstechnischen Auswirkungen auftreten.

3.2.9.1. (4) Ist die Bildung explosionsfähiger Gemische nicht zu verhindern, so ist durch geeignete Maßnahmen oder Einrichtungen sicherzustellen, dass Einrichtungen des Sicherheitssystems infolge einer Explosion des Gemisches nicht unzulässig beeinträchtigt werden. Zu diesen Maßnahmen und Einrichtungen gehören:

• Minimierung der Menge explosionsfähiger Gemische,
• Entfernung aller möglichen Zündquellen, gegebenenfalls Kapselung unvermeidbarer Zündquellen (Ausnahme: Einrichtungen zum Abbau explosionsfähiger Gemische),
• geeignete Belüftung und
• Verwendung von Einrichtungen und Werkzeugen, insbesondere von elektrischen Geräten, die für den Einsatz in explosionsfähigen Gemischen qualifiziert sind.

3.2.9.1 (5) Die Auswirkungen einer unterstellten Explosion sind zu minimieren, durch Maßnahmen und Einrichtungen wie:

• Druckentlastungseinrichtungen,
• Einhalten von Sicherheitsabständen zu Einrichtungen des Sicherheitssystems und
• Schutzeinrichtungen, wie z.B. Trennwände.

3.2.9.1 (6) Alle unterstellten Explosionen sind hinsichtlich ihrer Auswirkungen auf Einrichtungen des Sicherheitssystems zu bewerten.

3.2.9.1. (7) Ist die Vorhaltung explosionsfähiger Stoffe auf dem Anlagengelände erforderlich, so sind folgende Grundsätze zu beachten:

• Die Menge explosionsfähiger Stoffe ist zu minimieren.
• Es ist für eine sachgerechte Lagerung zu sorgen.
• Es ist ein ausreichender Abstand zu möglichen Zündquellen einzuhalten.
• Brand- und Gasmeldeeinrichtungen sowie gegebenenfalls automatisch auszulösende Löschanlagen am Lagerungsort sind vorzusehen.

3.2.9.1 (8) Es sind Druckwellen zu berücksichtigen, deren Ursache nicht in einer chemischen Explosion liegt.

Hinweis:

Dazu gehören beispielsweise Druckwellen resultierend aus Lichtbögen in elektrischen Mittel- und Hochspannungsschaltanlagen.

3.2.9.2 Verhinderung unzulässiger Auswirkungen von Radiolysegasreaktionen in Systemen und Komponenten

Hinweis:

Die nachfolgenden Anforderungen gelten vorrangig für Anlagen mit Siedewasserreaktoren.

3.2.9.2 (1) Es sind geeignete Maßnahmen und Einrichtungen zur Verhinderung von Radiolysegasansammlungen und gegebenenfalls zur Minimierung der Auswirkungen von Radiolysegasreaktionen vorzusehen.

3.2.9.2. (2) Bei den nach Nummer 3.2.9.2 (1) vorzusehenden Maßnahmen und Einrichtungen sind alle Systembereiche zu berücksichtigen, die mit Reaktorkühlmitteldampf beaufschlagt werden können.

3.2.9.2 (3) Bei der Bestimmung betroffener Systembereiche sind alle Betriebszustände, Betriebsvorgänge und gestörten Zustände zu berücksichtigen. Insbesondere ist die Ansammlung von Radiolysegas durch Kondensation von Radiolysegas führendem Dampf an kalten Medien zu berücksichtigen.

3.2.9.2. (4) Sind Radiolysegasansammlungen aus verfahrenstechnischen Gründen nicht zu verhindern, so sind zur Ermittlung der zu treffenden Vorsorgemaßnahmen Radiolysegasansammlungen sowie Radiolysegasreaktionen zu postulieren.

Der Reaktionsdruck sowie die Auswirkungen auf Einrichtungen des Sicherheitssystems durch Bruchstücke und Druckwellen sowie durch Kühlmittelverlust, Strahlkräfte, erhöhte Strahlenpegel, Reaktionskräfte, Temperatur und Feuchte sind zu ermitteln.

3.2.9.2 (5) Die Wirksamkeit der getroffenen Maßnahmen und Einrichtungen ist kontinuierlich zu überwachen oder durch wiederkehrende Prüfungen nachzuweisen.

3.2.9.2. (6) Passiv wirkende Vorkehrungen zur Gewährleistung einer gerichteten Durchströmung sind gegenüber Zwangsdurchströmungen zu bevorzugen.

3.2.9.3 Verhinderung zündfähiger Wasserstoffgemische im Sicherheitsbehälter

3.2.9.3.1 Allgemeine Anforderungen

Im bestimmungsgemäßen Betrieb (Sicherheitsebenen 1 und 2) sowie bei Ereignissen der Sicherheitsebene 3 ist zur Verhinderung einer Wasserstoffexplosion oder eines Wasserstoffbrandes im Sicherheitsbehälter sowohl integral als auch lokal ein Abstand zur Zündgrenze des Wasserstoffs (4 % Wasserstoff in Luft) durchgehend einzuhalten. Alle Quellen der Wasserstofferzeugung sind zu berücksichtigen.

Hinweis:

Die bei der Bestimmung der Wasserstoffbildung und Freisetzung zu berücksichtigenden Vorgaben bei Kühlmittelverluststörfällen sind in den "Sicherheitsanforderungen an Kernkraftwerke", Anhang 5, dort Anlage 1 enthalten.

3.2.9.3.2 Überwachung der Wasserstoffkonzentration in Räumen des Sicherheitsbehälters nach Kühlmittelverluststörfällen

3.2.9.3.2 (1) Es muss ein Messsystem vorhanden sein, welches auch unter den nach einem Kühlmittelverluststörfall zu erwartenden Bedingungen eine zuverlässige zeitliche Bestimmung der Wasserstoffverteilung innerhalb der vorrangig beaufschlagten Bereiche des Sicherheitsbehälters sicherstellt.

3.2.9.3.2 (2) Auf Basis geeigneter Rechenverfahren sind Messstellen festzulegen, die eine zuverlässige Überwachung der Wasserstoffkonzentration ermöglichen.

3.2.9.3.2 (3) An den Messstellen zur Bestimmung der Wasserstoffkonzentration ist auch die Temperatur im Sicherheitsbehälter zu messen.

3.2.9.3.3 Verhinderung von zündfähigen Wasserstoffkonzentrationen nach Kühlmittelverluststörfällen

3.2.9.3.3. (1) Für Maßnahmen und Einrichtungen zur Verhinderung zündfähiger Wasserstoffkonzentrationen in der Sicherheitsbehälteratmosphäre nach einem Kühlmittelverluststörfall gelten folgende Grundsätze:

• Ergeben die Berechnungen, dass lokal die Wasserstoffkonzentration im Sicherheitsbehälter auf Werte oberhalb der Zündgrenze ansteigen kann, so sind Einrichtungen vorzusehen, die eine ausreichende Zwangsdurchmischung der Sicherheitsbehälteratmosphäre sicherstellen.
• Ergibt die Berechnung der integralen Wasserstoffkonzentration, dass ohne das Vorhandensein von Wasserstoffabbaumaßnahmen ein Erreichen der Zündgrenze langfristig nicht verhindert werden kann, gilt Folgendes:

1. Die Abbaurate der Einrichtungen zur Rekombination ist so zu bemessen, dass die integrale Wasserstoffkonzentration bei maximaler Vorbelastung durch Wasserstoff insbesondere aus der Zr-H2O-Wasser-Reaktion stets unter der Zündgrenze bleibt.
2. Durch die Auslegung der Einrichtungen zur Rekombination ist eine zuverlässige Verfügbarkeit und Funktion, auch unter den Bedingungen, die zum Zeitpunkt der notwendigen Aktivierung innerhalb des Sicherheitsbehälters herrschen, zu gewährleisten. Es ist nachzuweisen, dass die unter konservativen Randbedingungen ermittelte Spaltproduktbeladung der Einrichtungen zur Rekombination durch luftgetragene Halogene und flüchtige Feststoffe und die daraus resultierende Temperaturänderung in den Einrichtungen zur Rekombination deren Funktion unter radiologischen und sicherheitstechnischen Gesichtspunkten nicht unzulässig beeinträchtigen.
3. Der Aufstellungsort der Einrichtungen zur Rekombination außerhalb des Sicherheitsbehälters soll im Hinblick auf die Möglichkeit, dass nach Störfällen u. U. erhebliche Aktivitätsmengen aus dem Sicherheitsbehälter in den Rekombinatorstrang verlagert werden, so nah wie von der Zugänglichkeit her möglich, am Sicherheitsbehälter liegen. Der Aufstellungsort und die Räume, durch die die Zu- und Ableitungen des Rekombinatorsystems geführt werden, müssen über Aerosol- und Jodfilter entlüftet werden, um unzulässige radioaktive Freisetzungen über eventuelle Leckagen zu verhindern. Die Rohrleitungen sind entsprechend abzuschirmen.

3.2.9.3.3 (2) Aktive Maßnahmen müssen vor Erreichen einer Wasserstoffkonzentration von 4 % Volumengehalt in Betrieb genommen werden können. Die Ansteuerung darf von Hand erfolgen.

3.2.9.3.3 (3) Im Rahmen der Nachweisführung zur Störfallbeherrschung darf ein Spülen des Sicherheitsbehälters (Einspeisen und Abgabe aus dem Sicherheitsbehälter) als Maßnahme zur Verringerung der integralen Wasserstoffkonzentration nicht kreditiert werden.

4 Anforderungen zur Beherrschung von Einwirkungen von außen sowie von Notstandsfällen

4.1 Allgemeine Anforderungen

4.1 (1) Die naturbedingten und zivilisatorischen Einwirkungen von außen sind standortspezifisch zu erfassen und hinsichtlich sich gegebenenfalls verändernder Bedingungen regelmäßig zu überprüfen.

Hinweis:

Beachte hierzu auch in den "Sicherheitsanforderungen an Kernkraftwerke" die Nummern 2.4 und 4.2 sowie in Anhang 5 zu den "Sicherheitsanforderungen an Kernkraftwerke" die Nummern 3.2.1 (3) und (4).

4.1 (2) Bei den gemäß Nummer 4.1 (1) erfassten Einwirkungen ist sicherzustellen, dass alle Einwirkungen in die Analyse einbezogen werden. Falls eine Einwirkung abdeckend für andere Einwirkungen ist, ist dies auszuweisen. Nach Änderungen von Maßnahmen oder Einrichtungen, die gegen eine abdeckende Einwirkung vorgesehen sind, ist die fortbestehende Eignung der Maßnahmen oder Einrichtungen erneut nachzuweisen.

4.1 (3) Bei der Auslegung der Maßnahmen oder Einrichtungen sind für jede zu betrachtende Einwirkung die Auswirkungen auf die Anlage unter Berücksichtigung des zeitlichen Verlaufs der Einwirkung und aller zu erwartenden Folgewirkungen (wie z.B. Überlagerung mit Berstdruckwelle infolge von Behältern mit großem Energieinhalt im Maschinenhaus bei Erdbeben) im Rahmen eines Schutzkonzeptes zu ermitteln und zu berücksichtigen.

4.1 (4) Das gegen Einwirkungen von außen und aus Notstandsfällen vorgesehene Schutzkonzept ist in überprüfbarer Form zu dokumentieren. Die Dokumentation ist aktuell zu halten. Die Dokumentation hat mindestens eine Auflistung der berücksichtigten Einwirkungen sowie den Nachweis der Eignung und ausreichenden Zuverlässigkeit der getroffenen Maßnahmen oder Einrichtungen zu enthalten.

4.1 (5) Grundsätzlich ist durch die Maßnahmen und Einrichtungen ein permanent wirkender Schutz zu verwirklichen. Für Einwirkungen von außen mit ausreichend langsamer zeitlicher Entwicklung kann von zusätzlichen temporären Einrichtungen Kredit genommen werden.

4.1 (6) Einwirkungen von außen sowie aus Notstandsfällen und sich daraus ergebende Beanspruchungen sind grundsätzlich mit den spezifizierten statischen und dynamischen betrieblichen Beanspruchungen für die jeweiligen Anlagenteile zu kombinieren. Bei kurzzeitigen und sich nicht häufig wiederholenden betrieblichen Beanspruchungen oder Anlagenzuständen kann davon abgewichen werden, sofern nicht ein gleichzeitiges Eintreten auf Grund der Wahrscheinlichkeit und des Schadensausmaßes in Betracht zu ziehen ist.

4.1 (7) Die Standsicherheit der Transport- und Lagerbehälter ist für alle Abstellpositionen grundsätzlich auch bei Einwirkungen von außen sowie aus Notstandsfällen zu gewährleisten. Ausnahmen beschränken sich auf kurzzeitige, unvermeidbare Abstellungen des Behälters während des Transport- und Handhabungsvorgangs. Die Abstelldauer auf diesen Positionen ist auf die erforderliche Zeit zu begrenzen.

4.1 (8) Es ist sicherzustellen, dass Einwirkungen von außen sowie aus Notstandsfällen die Zugänglichkeit der Anlage und die Durchführbarkeit sicherheitstechnisch relevanter Maßnahmen, z.B. Maßnahmen des anlageninternen Notfallschutzes oder Feuerwehreinsätze, nicht derart beeinträchtigen, dass diese im benötigten Umfang nicht mehr wirksam durchgeführt werden können.

4.1 (9) Kontinuierlich oder kurzfristig sich verändernde Parameter von Einwirkungen von außen sowie abgeleitete Prognosen zur weiteren Entwicklung der für die Sicherheit relevanten Parameter sind zu verfolgen und vorausschauend zu berücksichtigen (z.B. Wasserstand und -temperatur im Vorfluter).

4.1 (10) Es sind, sofern zutreffend, Grenzwerte und vorgelagerte spezifizierte Werte (Interventionswerte) zu definieren, bei deren Überschreitung rechtzeitig Maßnahmen einzuleiten sind.

4.1 (11) Nach einer Einwirkung, die einen Interventionswert überschritten hat, ist zu überprüfen, ob sich unzulässige Auswirkungen auf sicherheitstechnisch wichtige Anlagenteile ergeben haben.

4.1 (12) Während lang anhaltender Einwirkungen sind sicherheitstechnische Überprüfungen in angemessenen Abständen durchzuführen.

4.2 Ereignisspezifische Anforderungen

4.2.1 Naturbedingte Einwirkungen

4.2.1.1 Erdbeben

4.2.1.1. (1) Für den Standort sind ein Bemessungserdbeben und die zugehörigen Einwirkungen auf der Grundlage der Ergebnisse deterministischer und probabilistischer seismologischer Standortgefährdungsanalysen zu ermitteln. Für das Bemessungserdbeben sind die Intensität und entsprechend den zugehörigen seismotektonischen Bedingungen auch maßgebende Magnituden-, Entfernungs- und Herdtiefenbereiche zur Ermittlung der ingenieurseismologischen Kenngrößen anzugeben. Unabhängig von standortspezifischen Festlegungen ist bei der Auslegung mindestens die Intensität VI EMS/MSK zu Grunde zu legen.

4.2.1.1. (2) In Bezug auf die Auslegungsanforderungen an Sicherheitseinrichtungen für den Fall eines Bemessungserdbebens gelten die diesbezüglichen Regelungen in Nummer 2.4 der "Sicherheitsanforderungen an Kernkraftwerke".

4.2.1.1 (3) Neben der Schwingungsanregung von baulichen Anlagenteilen, Systemen und Komponenten sind hierbei auch Untergrundveränderungen (z.B. Bodenverflüssigung oder Setzung) zu berücksichtigen.

4.2.1.1. (4) Die Anlagenauslegung muss sicherstellen, dass das Versagen von nicht gegen Erdbeben ausgelegten Einrichtungen keine unzulässigen Auswirkungen auf die zur Beherrschung des Bemessungserdbebens benötigten Sicherheitseinrichtungen hat, d. h. dass die erforderliche Wirksamkeit und Zuverlässigkeit dieser Sicherheitseinrichtungen gewährleistet bleibt.

Hinweis:

Hinsichtlich der beim Bemessungserdbeben zu berücksichtigenden Folgeereignisse siehe in den "Sicherheitsanforderungen an Kernkraftwerke", Anhang 2 insbesondere die Ereignisse D3-39, S3-36, B3-07.

4.2.1.1 (5) Für die Druckführende Umschließung des Reaktorkühlmittels und für die Äußeren Systeme, die für die Erfüllung der Schutzziele benötigt werden, ist das Verhalten beim Bemessungserdbeben anhand einer strukturdynamischen Analyse zu bewerten und die Erfüllung der Schutzziele sicherzustellen. Eine gleichzeitige Überlagerung der Einwirkungen aus einem Bemessungserdbeben und einem Leck an der Druckführenden Umschließung ist aufgrund ihrer Auslegung und Ausführung nicht zu unterstellen. Eine gleichzeitige Überlagerung eines Lecks an Äußeren Systemen ist nicht zu unterstellen, wenn diese gegen Erdbeben ausgelegt sind.

4.2.1.1. (6) Bei der Nachweisführung der Sicherstellung der dauerhaften Unterkritikalität nach einem Bemessungserdbeben darf beim DWR neben den gegen das Bemessungserdbeben ausgelegten Borierungseinrichtungen auch von der Wirksamkeit der Reaktorschnellabschaltung Kredit genommen werden. Bei der Nachweisführung ist das Einzelfehlerkonzept anzuwenden.

4.2.1.1 (7) Bei einem Bemessungserdbeben ist die Einhaltung der der Sicherheitsebene 3 zugeordneten radiologischen Sicherheitsziele nachzuweisen.

4.2.1.1. (8) Es ist eine seismische Instrumentierung zu installieren, anhand derer die ingenieurseismologischen Parameter relevanter Erdbeben festgestellt werden können. Die seismische Instrumentierung muss in der Lage sein, mehrere aufeinanderfolgende Beben aufzuzeichnen (Vor-, Haupt- und Nachbeben) und eine Überschreitung von Grenzwerten für das Inspektionsniveau der Anlage zuverlässig anzuzeigen. Anhand der Aufzeichnungen der seismischen Instrumentierung muss eine Aussage hinsichtlich aller Sicherheitseinrichtungen möglich sein. Die seismische Instrumentierung muss einen Vergleich zwischen dem Auslegungsspektrum und den Antwortspektren registrierter Erdbeben ermöglichen.

4.2.1.1 (9) In den Betriebsvorschriften sind Grenzwerte der seismischen Belastung festzulegen, bei deren Überschreitung Anlagenkontrollen und gegebenenfalls Maßnahmen (z.B. Abfahren der Anlage, Prüfung des Anlagenzustands) einzuleiten sind. Es ist sicherzustellen, dass dem Betriebspersonal die relevanten Werte aus der seismischen Instrumentierung zur Verfügung stehen und eine Alarmierung bei der Überschreitung festgelegter Grenzwerte erfolgt.

4.2.1.2. Überflutung

4.2.1.2 (1) Die möglichen Ursachen für eine Überflutung sind standortspezifisch zu ermitteln und zu berücksichtigen. Für Hochwasserereignisse aufgrund hoher Wasserstände im Vorfluter sind ein Bemessungswasserstand und eine dazugehörige Überflutungsdauer festzulegen. Des Weiteren sind Starkregenereignisse auf dem Anlagengelände zu berücksichtigen.

4.2.1.2. (2) Anlagenexterne Überflutungen dürfen die Sicherheit der Anlage nicht unzulässig beeinträchtigen. In Bezug auf die Auslegungsanforderungen an Sicherheitseinrichtungen für den Fall eines Bemessungswasserstands gelten die diesbezüglichen Regelungen in Nummer 2.4 der "Sicherheitsanforderungen an Kernkraftwerke".

4.2.1.2 (3) Zum Schutz gegen anlagenexterne Überflutung können Maßnahmen und Einrichtungen des permanenten und des temporären Hochwasserschutzes angewendet werden, unter Beachtung der Regelungen in Nummer 4.1 (5).

4.2.1.2. (4) Neben der statischen Einwirkung durch den Wasserdruck sind auch mögliche dynamische Effekte (z.B. Wellenschlag oder Anprall von Treibgut) zu berücksichtigen.

4.2.1.3 Extreme meteorologische Bedingungen

4.2.1.3. (1) Insbesondere folgende extreme meteorologische Bedingungen sind standortabhängig zu berücksichtigen:

• hohe oder niedrige Temperaturen von Außenluft oder Kühlwasser,
• lang anhaltende Trockenheit und deren Auswirkung auf die Kühlwasserversorgung,
• Sturm einschließlich Tornado,
• hohe oder niedrige Luftfeuchtigkeit,
• Schneefall,
• Vereisung,
• Starkregen, Hagel,
• Blitzschlag,

einschließlich Begleiterscheinungen, wie Salzablagerung auf elektrischen Isolatoren, Eintrag von Sand oder Aufwirbelung von Gegenständen.

4.2.1.3. (2) Die Möglichkeit eines Ausfalls von Versorgungseinrichtungen (z.B. Einfrieren von Versorgungsleitungen oder Betriebsstoffen) ist zu berücksichtigen.

4.2.1.3 (3) Durch geeignete Maßnahmen oder Einrichtungen ist sicherzustellen, dass extreme meteorologische Bedingungen die Sicherheit der Anlage nicht unzulässig beeinträchtigen. In den Betriebsvorschriften ist festzulegen innerhalb welcher Grenzen ein Anlagenbetrieb zulässig ist und wie bei Überschreiten dort festgelegter Werte zu verfahren ist.

4.2.1.3. (4) Es sind insbesondere geeignete Maßnahmen oder Einrichtungen gegen Vereisung im Bereich der sicherheitstechnisch wichtigen Einrichtungen wie Kühlwasserentnahme, Zuluftversorgungen oder Frischdampfabblaseeinrichtungen zu treffen.

4.2.1.3 (5) Beim Schutz gegen Sturmeinwirkungen sind insbesondere folgende Aspekte zu berücksichtigen:

• Windstärke,
• Böigkeit,
• Sogwirkung,
• Gesamtdauer der Einwirkung,
• Wechselwirkung benachbarter Strukturen,
• windbedingter Wasserstand im Vorfluter.

4.2.1.3. (6) Beim Schutz gegen Starkregenereignisse sind insbesondere folgende Aspekte zu berücksichtigen:

• Wasserstand auf dem Anlagengelände,
• Eindringen von Wasser in Gebäude,
• fehlende Möglichkeit für temporäre Maßnahmen,
• Wassereintrag über Entwässerungssysteme und
• Beeinträchtigung der Entwässerungssysteme.

4.2.1.3. (7) Es ist ein Blitzschutz vorzusehen, der sicherstellt, dass sicherheitstechnisch wichtige Einrichtungen durch Blitzeinwirkung nicht unzulässig beeinträchtigt werden.

4.2.1.3. (8) Der Blitzschutz muss entsprechend den anlagentechnischen Erfordernissen aus Maßnahmen zum Einfangen und Ableiten des Blitzes und aus anlageninternen Maßnahmen zur Reduzierung und Begrenzung von Überspannungen bestehen.

4.2.1.3 (9) Die Blitzschutzeinrichtungen sind soweit wie möglich regelmäßig zu überprüfen.

4.2.1.4. Biologische Einwirkungen

4.2.1.4 (1) Insbesondere folgende biologische Einwirkungen sind standortspezifisch zu berücksichtigen:

• Muschelbewuchs,
• Anfall größerer Mengen von Algen, Quallen oder Fischen,
• Anfall größerer Mengen von Laub oder Gras als Treibgut,
• Anfall größerer Mengen biologischen Treibguts infolge von Hochwasser,
• mikrobiologische Korrosion.

4.2.1.4. (2) Durch geeignete Maßnahmen oder Einrichtungen ist sicherzustellen, dass biologische Einwirkungen die Sicherheit der Anlage nicht unzulässig beeinträchtigen. Insbesondere ist die Verstopfung von Kühlwasser- und Lüftungssystemen zu verhindern.

4.2.1.4. (3) Sicherheitstechnisch wichtige Kühlwasser- und Lüftungssysteme müssen einfach zu reinigen und zu warten sein.

4.2.1.4 (4) Die notwendigen Reinigungseinrichtungen sind in der Anlage vorzuhalten.

4.2.1.4. (5) Der Vorfluter ist im Hinblick auf eine Veränderung der biologischen Verhältnisse regelmäßig zu überprüfen.

4.2.2 Zivilisatorisch bedingte Einwirkungen (Notstandsfälle)

4.2.2.1 Flugzeugabsturz

4.2.2.1. (1) Durch geeignete Maßnahmen und Einrichtungen ist sicherzustellen, dass durch einen Flugzeugabsturz die Sicherheit der Anlage nicht unzulässig beeinträchtigt wird.

4.2.2.1. (2) Die durch den Flugzeugaufprall induzierten Erschütterungen sind zu berücksichtigen.

4.2.2.1 (3) Die Auswirkungen von Trümmern, Treibstoffbränden, Treibstoffexplosionen und weiteren Folgewirkungen sind zu berücksichtigen, insbesondere:

• Treibstoffbrand auf dem Anlagengelände,
• Explosion von Treibstoff außerhalb von Gebäuden,
• Brand oder Explosion von Treibstoff (flüssig oder als Dampf), der durch permanent vorhandene oder durch den Absturz verursachte Öffnungen in Gebäude eingedrungen ist,
• Eindringen von Verbrennungsprodukten sowie Ansaugluft mit reduziertem Sauerstoffgehalt infolge von Verbrennungsvorgängen in Lüftungssysteme unter Berücksichtigung der Auswirkungen auf Personalhandlungen, elektrische Einrichtungen und die Dieselgenerator-Zuluft.

Hinweis:

Die Schutzwirkungen vorgelagerter Bauwerke dürfen dabei berücksichtigt werden.

Der Schutz gegen Flugzeugtrümmer kann bei redundanten Systemen auch durch räumliche Trennung erreicht werden.

4.2.2.1 (4) Es sind auch Einwirkungen (z.B. Trümmer und Brände) aufgrund anlagennaher Flugzeugabstürze zu berücksichtigen.

4.2.2.1. (5) Der Auslegung sind folgende Lastannahmen zugrunde zu legen:

• Stoßlast-Zeit-Diagramm:

• Auftrefffläche: 7 m² kreisförmig.
• Auftreffwinkel: normal auf die Tangentialebene im Auftreffpunkt.

4.2.2.1 (6) Die Auslegung eines Bauwerks auf Vollschutz hat immer dann zu erfolgen, wenn sich hinter dem Bauwerk oder innerhalb des Bauwerkes Einrichtungen des Sicherheitssystems oder Notstandseinrichtungen für die Beherrschung des Ereignisses Flugzeugabsturz befinden, diese durch Bruchstücke oder Trümmerlasten beschädigt werden könnten und bei Ausfall dieser Anlagenteile das Überführen der Anlage in einen sicheren Zustand nicht mehr sichergestellt sind.

Die permanent vorhandenen Öffnungen von Gebäuden, in denen Einrichtungen des Sicherheitssystems angeordnet sind, sind so anzuordnen und zu schützen, dass bei einem Flugzeugabsturz kein Treibstoff in diese Gebäude eindringen kann.

Sofern durch die Anordnung und den Schutz der permanent vorhandenen Öffnungen das Eindringen von Treibstoff nicht verhindert werden kann, sind diese Öffnungen zumindest so anzuordnen und zu schützen, dass die bestimmungsgemäß erforderlichen Einrichtungen des Sicherheitssystems nicht unzulässig beeinträchtigt werden.

4.2.2.1 (7) Die Ionenaustauscher der Kühlmittelreinigungsanlage, zugehörige Harzabfallbehälter und andere Komponenten und Systeme, die ähnlich hohe Aktivitäten in grundsätzlich brennbarer Form enthalten, sind durch besondere bauliche Einrichtungen oder brandschutztechnische Maßnahmen gegen Beschädigungen zu schützen, um eine nennenswerte, durch einen Treibstoffbrand verursachte Freisetzung von Radioaktivität zu verhindern.

4.2.2.2. Anlagenexterne Explosion

4.2.2.2 (1) Durch geeignete Maßnahmen oder Einrichtungen ist sicherzustellen, dass zu unterstellende anlagenexterne Explosionen die Sicherheit der Anlage nicht unzulässig beeinträchtigen. Dabei sind neben chemischen Explosionen auch Explosionen von Dampf-, Gas- oder Flüssigkeitswolken, Deflagrationen mit partieller Detonation (DDT) und physikalische Explosionen zu berücksichtigen.

4.2.2.2. (2) Es sind lokale und großräumige Explosionswirkungen zu berücksichtigen.

4.2.2.2 (3) Geeignete Vorkehrungen zum Schutz gegen die Auswirkungen anlagenexterner Explosionen sind insbesondere die Auslegung baulicher Anlagenteile und die Einhaltung von Sicherheitsabständen.

4.2.2.2. (4) Bei der baulichen Auslegung sind insbesondere die folgenden Einwirkungen zu berücksichtigen:

• direkte, reflektierte und fokussierte Druckwellen,
• Zeitverlauf von Über- und Unterdruck,
• Trümmer,
• Boden- und Gebäudeschwingungen,
• thermische Einwirkungen.

4.2.2.2 (5) Für die bauliche Auslegung ist der in der Richtlinie für den Schutz von Kernkraftwerken gegen Druckwellen aus chemischen Reaktionen (Bekanntmachung des Bundesministerium des Innern vom 1. August 1976 - RS I 4 - 513.145/1) angegebene Druckverlauf anzunehmen, sofern keine Hinweise auf höher zu erwartende Druckverläufe vorliegen.

4.2.2.2. (6) Zur Beherrschung der Einwirkungen der Explosion erforderliche sicherheitstechnisch wichtige Lüftungsanlagen dürfen durch Explosionseinwirkungen nicht unzulässig beeinträchtigt werden.

4.2.2.3 Gefährliche Stoffe

4.2.2.3. (1) Unter Gefährlichen Stoffen sind die folgenden Stoffe zu verstehen:

1. Stoffe, die kurzfristig oder langfristig zum Ausfall der Funktion sicherheitstechnisch wichtiger Anlagenteile führen können. Das sind:
   • explosionsfähige,
   • entzündliche,
   • den in der Dieselzuluft enthaltenen Sauerstoff verdrängende oder verzehrende,
   • verstopfende oder
   • korrosive Stoffe.
2. Stoffe, die die erforderliche Handlungsfähigkeit des Personals gefährden. Das sind:
   • giftige,
   • narkotische,
   • ätzende,
   • Sauerstoff verdrängende,
   • Sauerstoff verzehrende oder
   • explosionsfähige Stoffe und
   • radioaktive Stoffe.

4.2.2.3. (2) Durch geeignete Maßnahmen oder Einrichtungen ist sicherzustellen, dass gefährliche Stoffe die Sicherheit der Anlage und die Handlungsfähigkeit des Personals nicht unzulässig beeinträchtigen.

Dabei sind folgende Gesichtspunkte maßgebend:

• standortspezifisches Vorkommen gefährlicher Stoffe (ortsfest oder auf Verkehrswegen),
• deren Eindringmöglichkeiten in Gebäude oder Systeme,
• deren Einwirkungsmechanismen, einschließlich des zeitlichen Verlaufs (z.B. der Konzentration) sowie
• Möglichkeiten zu deren Erkennung und Überwachung.

4.2.2.3 (3) Zur Erkennung des Auftretens von gefährlichen Stoffen und zur Einleitung notwendiger Personalhandlungen sind entsprechende organisatorische Maßnahmen zu treffen und, soweit notwendig und möglich, Einrichtungen zu schaffen.

4.2.2.3. (4) Entsprechend der Einwirkung der gefährlichen Stoffe sind neben der erforderlichen Systemauslegung (z.B. räumliche Trennung der Versorgungsöffnungen für redundante Teilsysteme) insbesondere folgende Maßnahmen und Einrichtungen in Betracht zu ziehen:

Anlagenbezogen:

1. bei kurzfristig wirkenden gefährlichen Stoffen
   • Unterbrechung der Medienzufuhr (z.B. Lüftungsabschluss),
   • Umstellung der Betriebsweise (z.B. Zuluft-/Abluftbetrieb auf Umluftbetrieb),
2. bei langfristig wirkenden gefährlichen Stoffen
   • Inspektion potenziell beeinträchtigter bzw. zur Vorsorge erforderlichers Einrichtungen, einschließlich Wiederkehrender Prüfungen sowie
   • Reinigung dieser Einrichtungen.
3. Organisatorisch:
   • Ausbildung des Personals,
   • Schutz des Personals durch z.B. Bereitstellung von Atemschutzgeräten, Einrichtung von Bereichen mit autarker Medienaufbereitung (z.B. Klimatisierung/Regenerierung).
4. Zusätzlich:
   • Nachweisgeräte für die jeweiligen gefährlichen Stoffe in den Versorgungsöffnungen, in der Warte, auf dem Kraftwerksgelände und eventuell in der Nähe gefährdeter Anlagenteile, vorrangig aber in der Nähe der potentiellen Gefahrstoffquelle,
   • Nachrichtenverbindungen zu den Orten des Umgangs mit gefährlichen Stoffen,
   • Vermeidung des langfristigen Kontakts mit korrosiven Stoffen,
   • schützende Beschichtungen und
   • Sicherheitsabstände.

4.2.2.3 (5) Die Zugänglichkeit der Warte oder Notsteuerstelle und der dauerhafte Aufenthalt dort sind auch während der Einwirkung gefährlicher Stoffe im erforderlichen Umfang durch die Bereitstellung von Schutzausrüstung sicherzustellen.

4.2.3 Sonstige zivilisatorisch bedingte Einwirkungen

4.2.3.1 Treibgut, Staustufenversagen und Schiffsunfälle

4.2.3.1. (1) Die sicherheitstechnisch erforderliche Kühlwasserversorgung ist auch bei

• Einwirkung von Treibgut,
• Verlust von Kühlwasser durch Staustufenversagen flussabwärts,
• Folgen aus Schiffsunfällen und
• Kollisionen von Schiffen mit Kühlwasserbauwerken

entsprechend den standortspezifischen Erfordernissen sicherzustellen.

4.2.3.1. (2) Die Auswirkungen von Schiffsunfällen auf die sicherheitstechnisch wichtige Versorgung mit Kühlwasser, z.B. durch Beeinflussung der Qualität infolge der Beimischung von Öl oder von anderen gefährlichen Stoffen, ist zu berücksichtigen.

4.2.3.2 Anlagenexterner Brand

4.2.3.2. (1) Durch geeignete Maßnahmen oder Einrichtungen ist sicherzustellen, dass anlagenexterne Brände die Sicherheit der Anlage nicht unzulässig beeinträchtigen.

4.2.3.2. (2) Neben der thermischen Einwirkung sind auch Verbrennungsprodukte wie Aerosole und toxische und/oder korrosive Stoffe zu berücksichtigen.

4.2.3.2 (3) Die Auswirkungen anlagenexterner Brände auf Lüftungsanlagen und die Ansaugluft der Notstromdiesel sowie der mögliche Eintrag von Verbrennungsprodukten in Gebäude sind zu berücksichtigen.

4.2.3.2. (4) Ebenerdige Schächte und Öffnungen von unterirdischen Versorgungseinrichtungen oder Gebäuden sind entsprechend ihren sicherheitstechnischen Anforderungen gegen Eindringen brennbarer Flüssigkeiten zu schützen.

4.2.3.3 Elektromagnetische Einwirkungen (außer Blitzschlag)

4.2.3.3 (1) Elektromagnetische Störquellen außerhalb der Anlage, deren Einfluss auf das Sicherheitssystem, die Notstandseinrichtungen oder weitere für die Sicherheit erforderliche Einrichtungen nicht vermieden werden kann, sind umfassend zu identifizieren und die möglichen Einwirkungen daraus zu bewerten. Die Betrachtung abdeckender Einwirkungen ist zulässig. Eine Analyse der elektromagnetischen Verträglichkeit (EMV-Analyse) ist im erforderlichen Umfang durchzuführen und zur Prüfung vorzulegen.

4.2.3.3. (2) Sofern elektromagnetische Einflüsse von außerhalb der Anlage die Funktion von in Nummer 4.2.3.3 (1) genannten Einrichtungen beeinträchtigen können, sind Maßnahmen und Einrichtungen zum Schutz ihrer Leittechnik gemäß ihrer sicherheitstechnischen Bedeutung vorzusehen.

4.2.3.3 (3) Während der Betriebsdauer der Anlage muss der Schutz der in Nummer 4.2.3.3 (1) genannten Einrichtungen vor elektromagnetischer Beeinflussung gegebenenfalls den Veränderungen elektromagnetischer Quellen außerhalb der Anlage angepasst werden.

4.2.3.3. (4) Für in Nummer 4.2.3.3 (1) genannte Einrichtungen, die durch elektromagnetische Einwirkungen von außerhalb der Anlage beeinträchtigt werden können, ist durch Prüfungen nachzuweisen, dass deren elektromagnetische Verträglichkeit in ihrem Einsatzumfeld gegeben ist (EMV-Nachweis).

.

1 Das Einzelfehlerkonzept - Grundsätze für die Anwendung des Einzelfehlerkriteriums

Zweck des Einzelfehlerkriteriums

1 (1) Das Einzelfehlerkonzept ist ein deterministisches Konzept für die Auslegung der in den folgenden Nummern 2.2 bis 2.5 genannten sicherheitstechnisch wichtigen Einrichtungen. Die Unterstellung des Einzelfehlers sowie ggf. eines Instandhaltungsfalls bei Anforderung einer Einrichtung dient der Sicherstellung einer ausreichenden Redundanz.

1 (2) Der erforderliche Redundanzgrad von Einrichtungen zur Sicherstellung der Zuverlässigkeit einer Sicherheitsfunktion ist abhängig von deren sicherheitstechnischer Bedeutung im gestaffelten Sicherheitskonzept und bei der Beherrschung von Ereignissen infolge Einwirkungen von innen und außen. Diesbezügliche Regelungen enthält Nummer 2.

1 (3) Wird eine Einrichtung entsprechend dem Einzelfehlerkonzept ausgelegt, so kann mit hinreichender Sicherheit davon ausgegangen werden, dass ihre Funktionsfähigkeit bei Anforderung nicht vom zufälligen Versagen eines beliebigen einzelnen Teils der Einrichtung oder vom Vorliegen eines Instandhaltungsfalles abhängt. Die entsprechende Auslegung muss alle Teile der sicherheitstechnisch wichtigen Einrichtung selbst und aller für ihre Funktion erforderlichen Versorgungs-, Steuerungs-, Stell- und Hilfseinrichtungen umfassen.

1 (4) Die Unterstellung eines Einzelfehlers in passiven Anlagenteilen hat die sinnvolle Entmaschung von zueinander redundanten Anlagenteilen zum Ziel. Diese Entmaschung ist so vorzunehmen, dass es als Folge eines zu unterstellenden passiven Einzelfehlers zu keinem redundanzübergreifenden Versagen von in Nummer 1 (1) in Bezug genommenen sicherheitstechnisch wichtigen Einrichtungen kommt.

1 (5) Im Zusammenhang mit dem Einzelfehlerkonzept ist auch die Dauer der Unverfügbarkeit von in Nummer 1 (1) in Bezug genommenen sicherheitstechnisch wichtigen Einrichtungen infolge von Instandhaltungsmaßnahmen von Relevanz, da diese Auswirkungen auf die Gesamtzuverlässigkeit der betroffenen Sicherheitsfunktion hat. Zur Gewährleistung der erforderlichen Zuverlässigkeit wird demzufolge im Rahmen des Einzelfehlerkonzepts die zulässige Dauer der Unverfügbarkeit infolge von Instandhaltungsmaßnahmen in Abhängigkeit von der Art der Instandhaltung und deren Auswirkung auf die Sicherheit der Anlage festgelegt. Diesbezügliche Anforderungen enthält Nummer 3.

2 Regelungen zur Anwendung des Einzelfehlerkonzepts

2.1 Allgemeine Anforderungen

2.1 (1) Ist ein Einzelfehler zu unterstellen, muss dieser grundsätzlich sowohl bei aktiven Einrichtungen als auch bei passiven Einrichtungen unterstellt werden. Ausnahmen oder system- und komponentenspezifische Sonderregelungen enthält Nummer 2.5, darüber hinausgehende Ausnahmen sind zu begründen.

2.1 (2) Ein Einzelfehler in redundant aufgebauten Einrichtungen des Sicherheitssystems, Notstandseinrichtungen oder weiteren für die Sicherheit erforderlichen Einrichtungen darf nicht zu sicherheitstechnisch relevanten Ausfällen in anderen Redundanten dieser Einrichtungen führen.

2.1 (3) Im Rahmen der Nachweisführung ist der im Hinblick auf die Einhaltung des jeweiligen Nachweiskriteriums ungünstigste Einzelfehler zu wählen, sowie, soweit zu unterstellen, die insgesamt ungünstigste Kombination mit dem Instandhaltungsfall. Die Auswahl ist zu begründen.

2.1 (4) Müssen zur Beherrschung eines zu unterstellenden Anforderungsfalls gemäß Nummern 2.2.2, 2.2.3, 2.3 und 2.4. mehrere sicherheitstechnisch wichtige Einrichtungen gleichzeitig oder zeitlich nacheinander ihre Funktion erfüllen, so ist das Auftreten eines Einzelfehlers für die Summe der Einrichtungen zu unterstellen, nicht aber in mehreren der benötigten Einrichtungen gleichzeitig.

2.2 Redundanzanforderungen für sicherheitstechnisch wichtige Einrichtungen in den Betriebsphasen A und B

2.2.1 Redundanzanforderungen für Einrichtungen der Sicherheitsebene 1

Für Einrichtungen der Sicherheitsebene 1 besteht keine Anforderung an redundante Auslegung (Redundanzgrad n+0).

2.2.2 Redundanzanforderungen für Einrichtungen der Sicherheitsebene 2

Für Einrichtungen zur Beherrschung von Ereignissen der Sicherheitsebene 2 ist für den Anforderungsfall weder ein Einzelfehler noch die Unverfügbarkeit einer Redundante infolge von Instandhaltungsmaßnahmen zu unterstellen (Redundanzgrad n+0), mit Ausnahme von Leittechnik-Funktionen der Kategorie B, für die ein Einzelfehler zu unterstellen ist (Redundanzgrad n+1).

Hinweis:

Sofern bei Ereignissen der Sicherheitsebene 2 Sicherheitseinrichtungen angefordert werden, wie z.B. bei den Ereignissen "Ausfall der Hauptwärmesenke" und "Notstromfall d 10 Stunden", sind der Einzelfehler und der Instandhaltungsfall durch die Ausfallannahmen der Sicherheitsebene 3 abgedeckt.

2.2.3 Redundanzanforderungen für Einrichtungen der Sicherheitsebene 3 ¹⁵

In den zur Beherrschung der Ereignisse der Sicherheitsebene 3 notwendigen Sicherheitseinrichtungen muss im Anforderungsfall ein Einzelfehler und grundsätzlich gleichzeitig der Instandhaltungsfall unterstellt werden (Redundanzgrad n+2). Ausnahmen sind im Folgenden angegeben.

Wenn bei einer Sicherheitseinrichtung lediglich ein Redundanzgrad von n+1 realisiert ist, (z.B. bei Primärkreis- oder Gebäudeabschlussarmaturen), dürfen Instandsetzungsmaßnahmen nur durchgeführt werden, wenn während der Dauer der instandsetzungsbedingten Unverfügbarkeit einer solchen Einrichtung deren sicherheitstechnische Funktion durch Ersatzmaßnahmen anderweitig zuverlässig gewährleistet ist (z.B. vorsorgliches Schließen der 2. Abschlussarmatur) oder die Instandsetzungsmaßnahme ausreichend zeitlich begrenzt ist und die zulässige Unverfügbarkeit in den betrieblichen Unterlagen festgelegt ist.

Bei den Instandhaltungsfällen sind alle in den jeweils relevanten Betriebsphasen zulässigen und durchführbaren Instandhaltungsmaßnahmen zu berücksichtigen. Einzelheiten bzgl. der Zulässigkeit von Instandhaltungsmaßnahmen in den verschiedenen Betriebsphasen enthält Nummer 3.

Hinweise:

Eine unterstellte Unwirksamkeit des reaktivitätswirksamsten Steuerelements bei der Nachweisführung der Einhaltung der geforderten Unterkritikalität kann gemäß den "Sicherheitsanforderungen an Kernkraftwerke" der Nummern 3.2 (6) und 3.2 (7) als Einzelfehler behandelt werden.

Bei unterstellter Nichtberücksichtigung der ersten Anregung des Reaktorschutzsystems ist gemäß dem Anhang 5 der "Sicherheitsanforderungen an Kernkraftwerke" Nummer 3.2.4 (2) das gleichzeitige Auftreten eines Einzelfehlers an aktiven Einrichtungen zu unterstellen, jedoch nicht eine gleichzeitige Instandhaltung.

Bei unterstellter Nichtberücksichtigung der ersten Anregung des Reaktorschutzsystems ist bei der Nachweisführung gemäß dem Anhang 5 der "Sicherheitsanforderungen an Kernkraftwerke" Nummer 3.2.4(2) das gleichzeitige Auftreten eines Einzelfehlers an aktiven Einrichtungen zu unterstellen, bei gleichzeitiger Instandhaltung jedoch erst nach einem Zeitraum von 100 Stunden

2.2.4 Redundanzanforderungen für Einrichtungen der Sicherheitsebene 4a

Bei Ereignissen der Sicherheitsebene 4a ist das gleichzeitige Auftreten eines Einzelfehlers nicht zu unterstellen; auch ein gleichzeitiger Instandhaltungsfall wird nicht postuliert (Redundanzgrad n+0). Einzelheiten bzgl. der Zulässigkeit von Instandhaltungsmaßnahmen in den verschiedenen Betriebsphasen enthält Nummer 3.

2.2.5 Redundanzanforderungen für Einrichtungen der Sicherheitsebene 4b und 4c

Für Einrichtungen der Sicherheitsebenen 4b und 4c ist weder ein Einzelfehler noch ein Instandhaltungsfall gefordert (Redundanzgrad n+0).

2.3 Redundanzanforderungen für sicherheitstechnisch wichtige Einrichtungen in den Betriebsphasen C bis F

2.3 (1) Für die Zeiträume planmäßig durchgeführter Instandhaltungsmaßnahmen in den Betriebsphasen C bis F (Revision, Stillstand der Anlage) an für diese Betriebsphasen notwendigen Einrichtungen der Sicherheitsebene 3 ist ein Einzelfehler, jedoch kein weiterer Instandhaltungsfall zu unterstellen (Redundanzgrad n+1).

2.3 (2) Ein Redundanzgrad n+0 ist in den Betriebsphasen E und F dann zulässig, wenn bei Ausfall der sicherheitstechnisch wichtigen Einrichtung die Zeit bis zur Nichteinhaltung von Nachweiskriterien mehr als 10 Stunden beträgt und die ausgefallenen oder in Instandhaltung befindlichen aktiven sicherheitstechnisch wichtigen Einrichtungen zuverlässig innerhalb dieses Zeitraums verfügbar gemacht werden können.

2.4 Redundanzanforderungen für Einrichtungen zur Beherrschung von Notstandsfällen

2.4 (1) Bei Notstandsfällen muss im Anforderungsfall in allen Betriebsphasen für die erforderlichen sicherheitstechnisch wichtigen Einrichtungen grundsätzlich weder ein Einzelfehler noch ein Instandhaltungsfall unterstellt werden (Redundanzgrad n+0).

2.4 (2) Zur Beherrschung der Einwirkungen aus Notstandsfällen ist für die Funktion von Einrichtungen, die innerhalb der ersten 30 Minuten erforderlich sind, ein Einzelfehler in aktiven Systemteilen dieser Einrichtungen zu unterstellen (Redundanzgrad n+1). Für Einrichtungen die innerhalb der ersten 30 Minuten nicht benötigt werden, muss weder ein Einzelfehler noch ein Instandhaltungsfall unterstellt werden (Redundanzgrad n+0).

2.5 System- und komponentenspezifische Regelungen für die Anwendung des Einzelfehlerkriteriums

Passive Anlagenteile

2.5 (1) Für passive Anlagenteile ist das Versagen im Rahmen des Einzelfehlerkonzepts dann nicht zu unterstellen, wenn nachgewiesen wird, dass sie gegen die bei allen für sie zu unterstellenden Anforderungsfällen maximal zu erwartenden Beanspruchungen unter Berücksichtigung der im Betriebszeitraum vorhersehbaren Veränderungen der Werkstoffeigenschaften mit ausreichenden Sicherheitszuschlägen ausgelegt sind, aus einem für den Verwendungszweck geeigneten Werkstoff gefertigt werden und unter einer umfassenden Qualitätssicherung hergestellt, montiert, errichtet, geprüft und betrieben werden, sodass eine ausreichende Zuverlässigkeit gesichert ist. Die hierbei anzuwendenden Maßnahmen und die Sicherheitszuschläge sind auch entsprechend der sicherheitstechnischen Bedeutung der Sicherheitseinrichtungen festzulegen.

2.5 (2) Der in Nummer 2.5 (1) geforderte Nachweis kann als erbracht angesehen werden, wenn die Anforderungen an Auslegung, Konstruktion, Werkstoffwahl, Herstellung und Prüfbarkeit der Anlagenteile gemäß Vorschriften erfüllt werden, die der sicherheitstechnischen Bedeutung der Anlagenteile Rechnung tragen.

Armaturen

2.5 (3) Bei Rückflussverhinderern muss ein Einzelfehler dann unterstellt werden, wenn dieser im Anforderungsfall für die Wahrnehmung der sicherheitstechnisch wichtigen Funktion seine Ausgangsstellung ändern muss.

2.5 (4) Bei Eigenmedium betätigten Sicherheitsventilen, Abblaseventilen und Absperrventilen des Reaktorkühlkreises und des Frischdampfsystems, muss im Anforderungsfall der Einzelfehler in der Vorsteuerung und nicht im Hauptventil selbst unterstellt werden.

3 Instandhaltungen

3.1 Allgemeine Anforderungen an die Instandhaltung

3.1 (1) Instandhaltungsmaßnahmen, die zur Unverfügbarkeit einer in den Nummern 2.2 bis 2.5 genannten sicherheitstechnisch wichtigen Einrichtung führen, sind ohne besondere, deren Funktion ersetzende oder ihre Funktionsbereitschaft überflüssig machende Maßnahmen (z.B. Abschaltung, Leistungsminderung, Rückgriff auf andere Systeme) nur zulässig, wenn für die Dauer des Instandhaltungsvorgangs die Anforderungen des Einzelfehlerkonzepts gemäß Nummer 2 erfüllt sind. Dieser Grundsatz ist auch auf andere Maßnahmen, die zur Unverfügbarkeit einer sicherheitstechnisch wichtigen Einrichtung führen, z.B. im Zuge von Änderungen an der Anlage oder deren Betriebsweise, anzuwenden.

3.1 (2) Für die Wiederherstellung (Instandsetzung, Reparatur) der Funktion einer ausgefallenen sicherheitstechnisch wichtigen Einrichtung gemäß Nummer 3.1 (1) sind für jede Betriebsphase die zulässigen Ausfallzeiten dieser Einrichtung in den Betriebsvorschriften der Anlage zu definieren. Einzelheiten hierzu enthält Nummer 3.2.2.

3.1 (3) Darüber hinaus sind in den Betriebsvorschriften auch Voraussetzungen und Bedingungen für die Durchführung von Maßnahmen der Vorbeugenden Instandhaltung insbesondere für den Leistungsbetrieb der Anlage zu definieren. Einzelheiten hierzu enthält Nummer 3.3.

3.2 Instandhaltungsmaßnahmen zur Herstellung des bestimmungsgemäßen Zustands einer sicherheitstechnisch wichtigen Einrichtung (Instandsetzung)

3.2.1 Maßnahmen bei Feststellung von Mängeln an sicherheitstechnisch wichtigen Einrichtungen

3.2.1 (1) Bei Feststellung von Mängeln an sicherheitstechnisch wichtigen Einrichtungen, die eine Unverfügbarkeit der Einrichtung im Anforderungsfall zur Folge haben können, sind unverzüglich Maßnahmen zur Identifizierung der Fehlerursache und zur Behebung des Mangels einzuleiten. Insbesondere ist dabei zu klären, ob der festgestellte Schadensmechanismus systematischer Natur ist.

3.2.1 (2) Anlagentechnische Maßnahmen (z.B. Reduzierung der Anlagenleistung, Abfahren der Anlage) sind bei Notwendigkeit gemäß den Betriebsvorschriften zu veranlassen. Diese Betriebsvorschriften sind gemäß Nummer 3.1 zu ermitteln und festzulegen.

3.2.1 (3) ¹⁵ Kombinationen mehrerer zu unterstellender Einwirkungen von außen oder Kombinationen dieser Einwirkungen mit internen Ereignissen sind gemäß den "Sicherheitsanforderungen an Kernkraftwerke" Nummer 4.2 (1) zu unterstellen

3.2.1 (4) Ist bei der Feststellung eines Mangels an einer sicherheitstechnisch wichtigen Einrichtung, für die zulässige Instandsetzungszeiten festgelegt sind, abzusehen, dass eine Instandsetzung innerhalb der zulässigen Zeit nicht möglich ist, sind die gemäß Nummer 3.1 festgelegten Maßnahmen unverzüglich einzuleiten.

3.2.1 (5) In Fällen, in denen in den Betriebsvorschriften keine expliziten Vorgaben für zulässige Instandsetzungszeiten für sicherheitstechnisch wichtige Einrichtungen enthalten sind, ist die Anlage unverzüglich in einen Betriebszustand zu überführen, in dem die Verfügbarkeit dieser Einrichtungen nicht oder nur in eingeschränktem Umfang erforderlich ist.

3.2.2 Festlegung zulässiger Instandsetzungszeiten

3.2.2 (1) Die zulässigen Unverfügbarkeitszeiten von Einrichtungen zur Beherrschung von Ereignissen der Sicherheitsebenen 2 bis 4a sind unter Berücksichtigung von Zuverlässigkeitsanalysen, soweit erforderlich, und unter Berücksichtigung von Betriebserfahrungen zu ermitteln und in den Betriebsvorschriften festzulegen.

3.2.2 (2) Diese Festlegungen müssen mindestens folgende Angaben enthalten:

• Zulässige Dauer der Unverfügbarkeit einer oder mehrerer dieser Einrichtungen sowie deren erforderliche Mindestverfügbarkeit für jede Betriebsphase.
• Eindeutige Beschreibung der Maßnahmen, die bei Erreichung der zulässigen Unverfügbarkeitszeiten einzuleiten sind (z.B. Leistungseinschränkung, neu einzustellender Anlagenzustand, weitere Maßnahmen zur Reduzierung der Eintrittswahrscheinlichkeit von Ereignissen).

3.2.2 (3) Für in den Betriebsvorschriften nicht im Detail spezifizierte Fälle müssen die Betriebsvorschriften auch Anweisungen enthalten, wie ein geeigneter Betriebszustand - ein Zustand, in dem die Verfügbarkeit der Einrichtungen nicht oder nur eingeschränkt erforderlich ist - zu ermitteln ist.

3.3 Vorbeugende Instandhaltungsmaßnahmen an sicherheitstechnisch wichtigen Einrichtungen

3.3.1 Allgemeine Anforderungen an die Vorbeugende Instandhaltung

3.3.1 (1) ¹⁵ Maßnahmen der Vorbeugenden Instandhaltung, die eine Unverfügbarkeit einer sicherheitstechnisch wichtigen Einrichtung gemäß Nummer 3.1 (1) zur Folge haben und deren Inhalt und Umfang über Wartungsmaßnahmen gemäß Nummer 3.3.2 hinausgehen, sind grundsätzlich in Betriebsphasen durchzuführen in denen eine Anforderung dieser Einrichtung nicht ansteht oder wenig wahrscheinlich ist, in der Regel in den Betriebsphasen C - F.

3.3.1 (2) Maßnahmen der Vorbeugenden Instandhaltung in den Betriebsphasen A und B sind in begrenztem Umfang und nur unter Einhaltung der Anforderungen gemäß Nummer 3.3.3 zulässig.

3.3.1 (3) Die Anforderungen an die Vorbeugende Instandhaltung von Sicherheitseinrichtungen sind sinngemäß auch für andere planbaren Maßnahmen, die eine Unverfügbarkeit sicherheitstechnisch wichtiger Einrichtungen zur Folge haben (z.B. bedingt durch die Durchführung von Änderungen an der Anlage), anzuwenden. Abweichungen sind zu begründen.

3.3.2 Wartungsmaßnahmen

Sind zur Gewährleistung der Funktionsfähigkeit von sicherheitstechnisch wichtigen Einrichtungen Wartungen erforderlich, können diese bei Einhaltung der nachstehenden Bedingungen in allen Betriebsphasen durchgeführt werden:

• die Wartungsmaßnahme erfordert nur Unverfügbarkeitszeiten der sicherheitstechnisch wichtigen Einrichtung < 8 Stunden und
• die sicherheitstechnisch wichtige Einrichtung kann im Anforderungsfall rasch in den Betriebszustand zurückversetzt werden, wobei dies auch unter den Bedingungen eines eingetretenen Störfalls möglich sein muss, und
• die Arbeiten bleiben auf jeweils eine Redundante beschränkt und die anderen Redundanten stehen in diesem Zeitraum uneingeschränkt zur Verfügung, und
• beim An- und Abfahren der Anlage werden Wartungen auf die unvermeidlichen Umfänge beschränkt.

3.3.3 Anforderungen hinsichtlich Zulässigkeit einer Vorbeugenden Instandhaltung (VIB) in den Betriebsphasen A und B

3.3.3 (1) Die Dauer und die Randbedingungen unter denen VIB an Einrichtungen zur Beherrschung von Ereignissen der Sicherheitsebenen 2 bis 4a, von Einwirkungen von innen und außen sowie aus Notstandsfällen in den Betriebsphasen A und B zugelassen ist, sind unter Berücksichtigung der sicherheitstechnischen Anforderungen in den Betriebsvorschriften festzulegen.

3.3.3 (2) Folgende Anforderungen sind bei den Festlegungen gemäß Nummer 3.3.3 (1) einzuhalten:

• Bei n+3 und höher redundant vorhandenen sicherheitstechnisch wichtigen Einrichtungen bestehen hinsichtlich VIB in einer Redundanten keine Einschränkungen. Die Kriterien gemäß Nummer 3.3.3 (3) sind jedoch unabhängig vom Redundanzgrad der sicherheitstechnisch wichtigen Einrichtung einzuhalten.
• Die Unverfügbarkeit infolge VIB ist bei Einrichtungen der Sicherheitsebene 3 mit einem Redundanzgrad von n+2 unter Berücksichtigung der Zuverlässigkeitsvorgaben an die jeweilige Sicherheitseinrichtung zeitlich zu begrenzen. Ohne detaillierte Nachweisführung darf bei n+2-Einrichtungen die Unverfügbarkeitsdauer pro Redundante und Jahr maximal 7 Tage betragen. Für längere Zeiträume sind anlagenspezifische Einzelnachweise vorzulegen, die ausweisen, dass die längere Unverfügbarkeit der Sicherheitseinrichtung unbedenklich ist. VIB an Einrichtungen der Sicherheitsebene 3 mit einem Redundanzgrad kleiner als n+2 ist nicht zulässig.
• Einrichtungen der Sicherheitsebene 2 mit einem erforderlichen Redundanzgrad von n+1 dürfen nur dann einer VIB unterzogen werden, wenn durch eine Bewertung der Einrichtungen unter Berücksichtigung der relevanten Anforderungsfälle deren ausreichende Zuverlässigkeit nachgewiesen wurde.
• Einrichtungen der Sicherheitsebene 4a und Notstandseinrichtungen dürfen nur dann einer VIB unterzogen werden, wenn durch eine Bewertung der Einrichtungen unter Berücksichtigung der relevanten Anforderungsfälle deren ausreichende Zuverlässigkeit nachgewiesen wurde.

3.3.3 (3) VIB-Maßnahmen sind darüber hinaus nur zulässig, wenn folgende Randbedingungen eingehalten werden:

• Die VIB-Maßnahme darf nicht zu einer nennenswerten Erhöhung der Eintrittswahrscheinlichkeit für Ereignisse der Sicherheitsebenen 2 und 3 führen.
• VIB-Maßnahmen dürfen nicht gleichzeitig in mehreren Redundanten durchgeführt werden sondern sind auf jeweils eine Redundante zu beschränken. Ferner ist sicherzustellen, dass die verbleibenden Redundanzen nicht durch andere Tätigkeiten, z.B. Änderungsmaßnahmen, in ihrer Verfügbarkeit eingeschränkt sind. Davon ausgenommen sind notwendige Instandsetzungsmaßnahmen an zufällig zeitgleich ausgefallenen sicherheitstechnisch wichtigen Einrichtungen.
• Die VIB-Maßnahme darf zu keinen Ausfällen, insbesondere nicht zu Ausfällen infolge von Fehlern mit gemeinsamer Ursache an anderen, nicht betroffenen sicherheitstechnisch wichtigen Einrichtungen führen.
• Die Einhaltung der Anforderungen an Instandhaltungsmaßnahmen ist auch unter den Bedingungen der Betriebsphasen A und B bei VIB sicherzustellen (z.B. uneingeschränkte Durchführbarkeit von Funktionsprüfungen nach erfolgter Instandhaltung).
• Bei An- und Abfahrvorgängen und bei Versuchsdurchführungen darf keine VIB durchgeführt werden.
• Die Integrität der Barrieren Druckführende Umschließung und Sicherheitsbehälter sowie die Zuverlässigkeit ihrer aktiven sicherheitstechnischen Funktionen dürfen durch VIB-Maßnahmen nicht unzulässig beeinträchtigt werden. Sofern nur zwei Absperrungen (n+1) als Barrieren vorhanden sind, ist eine VIB-Maßnahme an diesen Absperreinrichtungen bei drucklosem Kühlkreislauf zulässig.

4 Sicherstellung der Funktionsbereitschaft sicherheitstechnisch wichtiger Einrichtungen

4 (1) Die Funktion von sicherheitstechnisch wichtigen Einrichtungen ist unter Bedingungen, die möglichst dem Anforderungsfall entsprechen, im erforderlichen Umfang wiederkehrend zu prüfen.

4 (2) Bei den Funktionsprüfungen ist möglichst der gesamte Funktionsablauf bei Anforderung der Einrichtung zu prüfen. Dazu zählt auch die Aufschaltung der Notstromversorgung auf die Verbraucher. Sind aus verfahrenstechnischen Gründen nur Teilprüfungen möglich, ist eine aussagekräftige Überlappung der einzelnen Teilprüfungen sicherzustellen.

4 (3) Durch die Durchführung von Funktionsprüfungen darf keine nennenswerte Erhöhung der Eintrittswahrscheinlichkeit von Ereignissen der Sicherheitsebene 2 und 3 verursacht werden.

4 (4) Die Funktionsbereitschaft der Einrichtungen ist auch während der Funktionsprüfung so weit wie möglich zu erhalten. Gegebenenfalls sind Ausfallzeiten infolge Prüfung bei der Zuverlässigkeitsanalyse zu berücksichtigen.

4 (5) Bei prüfungsbedingten Änderungen in der Bereitschaftsstellung einer sicherheitstechnisch wichtigen Einrichtung ist sicherzustellen, dass diese bei Eintreten eines Anforderungsfalls rechtzeitig rückgängig gemacht werden können.

4 (6) Zur Gewährleistung der Funktionsbereitschaft einer sicherheitstechnisch wichtigen Einrichtung müssen geplante oder störungsbedingte Unverfügbarkeiten einzelner Komponenten, die eine Unverfügbarkeit zur Folge haben, für das Betriebspersonal leicht erkennbar sein (z.B. Abweichung von einer eindeutigen Bereitschaftsstellung, Unverfügbarkeit infolge Instandhaltung, Ausfälle in leittechnischen Einrichtungen, störungsbedingte Füllstandsänderungen usw.).

4 (7) Die Fehlpositionierung von Armaturen ist durch zuverlässige technische Einrichtungen (z.B. Störungsmeldung bei Verlassen der Bereitschaftsstellung, Armaturenschlösser) ggf. in Verbindung mit zuverlässigen administrativen Maßnahmen zu vermeiden.

4 (8) Abweichungen von Parameterwerten, die zur Gewährleistung des sicheren Betriebs in den Betriebsvorschriften der Anlage definiert sind, sind dem Betriebspersonal optisch und akustisch in der Warte zu melden.

4 (9) Es ist sicherzustellen, dass bei einem Anforderungsfall dem Betriebspersonal alle für die Beurteilung der Funktionsbereitschaft und der Wirksamkeit der benötigten Einrichtungen erforderlichen Informationen auf der Warte oder Notsteuerstelle zur Verfügung stehen oder mit den in der Warte oder Notsteuerstelle verfügbaren Informationen einfach und schnell ermittelt werden können.

4 (10) Die Funktionsbereitschaft und die anforderungsgerechte Funktion sicherheitstechnisch wichtiger Einrichtungen sind nach abgeschlossener Instandhaltungsmaßnahme durch qualifizierte Funktionsprüfungen sicherzustellen.

.

1 Zielsetzung

1 (1) Dieser Regeltext enthält Anforderungen an sicherheitstechnische Nachweisführungen und Dokumentationen.

Zum Nachweis der Erfüllung von in den "Sicherheitsanforderungen an Kernkraftwerke" aufgestellten Anforderungen sind geeignete Nachweismethoden heranzuziehen.

Hinweis:

Im Folgenden werden übergeordnete Anforderungen an die Nachweisführung und Dokumentation formuliert. Detailanforderungen an die Nachweisführung bei Kühlmittelverluststörfällen finden sich in Anlage 1. Detailanforderungen an die Ermittlung von Differenzdrücken innerhalb des Sicherheitsbehälters finden sich in Anlage 2. Detailanforderungen an die Ermittlung von Strahl- und Reaktionskräften bei Lecks an druckführenden Systemen innerhalb des Sicherheitsbehälters finden sich in Anlage 3. Weitere fachspezifische Anforderungen finden sich gegebenenfalls in den fachspezifischen Regelwerkstexten.

1 (2) Zur Nachweisführung sind gemäß den "Sicherheitsanforderungen an Kernkraftwerke" Nummer 5 (2) deterministische sowie probabilistische Methoden heranzuziehen:

Die deterministischen Methoden umfassen

1. die rechnerische Analyse von Ereignissen oder Zuständen,
2. die Messung oder das Experiment,
3. die ingenieurmäßige Bewertung.

Die deterministischen Methoden bilden die Basis für die Durchführung von Systembewertungen. Ergänzend zu den Ergebnissen aus der Anwendung deterministischer Methoden fließen im jeweils erforderlichen Umfang Ergebnisse aus probabilistischen Analysen in die Systembewertung ein. Die Systembewertung dient dem Nachweis der Erfüllung der Anforderungen an die Wirksamkeit und Zuverlässigkeit der Maßnahmen und Einrichtungen auf den verschiedenen Sicherheitsebenen.

1 (3) Die Nachweisführungen sind in geschlossener und nachvollziehbarer Form in Nachweisunterlagen zu dokumentieren.

2 Grundlegende Anforderungen an die Systembewertung

2 (1) Durch die Systembewertung ist zu zeigen, dass die geforderte Wirksamkeit und Zuverlässigkeit von Maßnahmen und Einrichtungen sowie deren wesentlichen Qualitätsmerkmale erfüllt werden. Die Bedingungen, die sich aus der rechnerischen Analyse von Ereignissen oder Zuständen ergeben, sind dabei zu berücksichtigen.

2 (2) Die Durchführung einer Systembewertung erfordert eine aktuelle Zusammenstellung der sicherheitstechnisch wichtigen Informationen über die bestehenden Bedingungen für eine ausreichende Wirksamkeit sowie den Zustand der betroffenen sicherheitstechnisch wichtigen Maßnahmen und Einrichtungen, gegebenenfalls unter Einbeziehung geplanter Änderungsvorhaben, mit Angabe der auf den jeweiligen Sicherheitsebenen durchzuführenden Aufgaben oder zu erfüllenden sicherheitstechnischen Funktionen sowie zu deren Aufbau, Anordnung und Auslegung.

2 (3) Ergebnisse der Auswertung der Betriebserfahrung sind, sofern für den zu analysierenden Sachverhalt von sicherheitstechnischer Bedeutung, in die Systembewertung einzubeziehen.

3 Grundlegende Anforderungen an die deterministische Analyse von Ereignissen oder Zuständen

3 (1) Durch die Analyse von Ereignissen oder Zuständen ist zu zeigen, dass in den "Sicherheitsanforderungen an Kernkraftwerke" aufgestellte quantitative Nachweiskriterien erfüllt werden.

3 (2) Bei Nachweisführungen durch die Analyse von Ereignissen oder Zuständen sind

1. aktuelle Zusammenstellungen der sicherheitstechnisch wichtigen Informationen über den bestehenden Zustand der betroffenen sicherheitstechnisch wichtigen Maßnahmen und Einrichtungen heranzuziehen, gegebenenfalls unter Einbeziehung geplanter Änderungsvorhaben;
2. für den jeweiligen Anwendungsbereich validierte Analyseverfahren gemäß den in Nummer 3.1 dargestellten Anforderungen zu verwenden;
3. den Analysen hinsichtlich ausgewählter Anfangs- und Randbedingungen die in Nummer 3.2 aufgelisteten Vorgaben zu Grunde zu legen;
4. für die Sicherheitsebenen 1 bis 3 die Unsicherheiten, die mit dem jeweiligen Analyseergebnis für das jeweilige Nachweiskriterium verbunden sind, in ihrer Gesamtheit gemäß Nummer 3.3 zu quantifizieren und zu berücksichtigen oder gemäß Nummer 3.4 zu berücksichtigen;
5. für die Sicherheitsebene 4 die Unsicherheiten des Analyseergebnisses im Hinblick auf das Nachweisziel zu bewerten.

3 (3) Bei Nachweisführungen durch die Analyse von Ereignissen oder Zuständen sind insbesondere zu dokumentieren:

1. die relevanten verwendeten Daten; sofern nicht anlagenspezifische Daten verwendet werden ist deren Übertragbarkeit zu begründen;
2. die Begründung der Auswahl der zu Grunde gelegten Einwirkungen, Ereignisse, Betriebsphasen und Betriebszustände im Hinblick auf die Einhaltung des jeweiligen Nachweiskriteriums;
3. bei Verwendung statistischer Verfahren die Ermittlung der Unsicherheit des Analyseergebnisses, die bei der Analyse verwendeten Verteilungen für die relevanten Eingangsparameter, ihre Herleitung sowie, sofern relevant, ihre Abhängigkeiten gemäß Nummer 3.3 (1).

3.1 Validierung von Analyseverfahren

3.1.1 Zielsetzung

3.1.1 (1) Analyseverfahren, die für die sicherheitstechnische Nachweisführung zur Einhaltung der Nachweiskriterien eingesetzt werden, müssen für den jeweiligen Anwendungsbereich validiert sein.

3.1.1 (2) Werden bei Analysen zur Wirksamkeit von präventiven oder mitigativen Notfallmaßnahmen Berechnungsverfahren angewendet, sollen diese für den jeweiligen Anwendungsbereich validiert sein.

3.1.1 (3) Die Validierung eines Analyseverfahrens muss die Überprüfung des Anwendungsbereichs des Verfahrens umfassen sowie die Überprüfung der Übereinstimmung der mit dem Verfahren erzielbaren Ergebnisse mit Vergleichswerten aus

1. Experimenten, Prüfergebnissen, dem Anlagenbetrieb, Anlagentransienten oder anderen Ereignissen,
2. analytischen Lösungen oder
3. anderen validierten Analyseverfahren.

3.1.1 (4) Ein Analyseverfahren kann dann als validiert gelten, wenn die Anwendbarkeit und hinreichende Genauigkeit des verwendeten Verfahrens für die jeweilige Anwendung im Rahmen des durchgeführten und dokumentierten Validierungsumfangs gezeigt ist. Dies ist insbesondere dann der Fall, wenn die Ergebnisse des Verfahrens innerhalb der Bandbreiten experimenteller Ergebnisse (siehe Nummer 3.1.2 (2)) liegen.

3.1.2 Durchführung

3.1.2 (1) Der Validierung ist eine ausreichende Zahl von Vergleichswerten zu Grunde zu legen. Der notwendige Umfang sowie die erforderliche Qualität (siehe Nummer 3.1.2 (2)) der Vergleichswerte hängen vom Anwendungsbereich des Analyseverfahrens ab.

3.1.2 (2) Für die Validierung herangezogene Experimente sollen hinsichtlich der wesentlichen Parameter grundsätzlich den Bereich von Bedingungen abdecken, in dem das Analyseverfahren angewendet werden soll. Andernfalls ist die Übertragbarkeit der experimentellen Ergebnisse auf den Anwendungsbereich zu zeigen.

3.1.3 Dokumentation

3.1.3 (1) Die Dokumentation der Validierung muss enthalten:

1. Daten zu den herangezogenen Vergleichswerten (gemäß Nummer 3.1.1 (3)), bei Experimenten, Prüfergebnissen, dem Anlagenbetrieb, Anlagentransienten oder anderen Ereignissen mit Angaben zur Genauigkeit der herangezogenen Vergleichswerte,
2. Angaben zu dem durch die Validierung abgesicherten Anwendungsbereich des Analyseverfahrens,
3. Beschreibungen der verwendeten Rechenverfahren und -modelle sowie der Eingabedaten.

3.2 Festlegungen zu Anfangs- und Randbedingungen sowie zum Umfang der Nachweisführung

3.2.1 Sicherheitsebenen übergreifende Anforderungen

3.2.1 (1) Für Nachweise zur Standsicherheit von baulichen Anlagenteilen, deren Einsturz zu sicherheitstechnisch relevanten Auswirkungen führen könnte, sind die relevanten mechanischen, chemischen und thermischen Einwirkungen zu berücksichtigen.

1. Die Einwirkungen, die sich auf Grund der auf den Sicherheitsebenen 1 bis 3 zu unterstellenden Bedingungen, Ereignisse und festgelegten Betriebszustände sowie resultierend aus Einwirkungen von innen und außen ergeben können, müssen jeweils so angesetzt oder überlagert werden, dass alle Auswirkungen konservativ erfasst werden.
2. Bei Einwirkungen aus Notstandsfällen ist eine im Vergleich zur Sicherheitsebene 3 stärkere Ausnutzung der Tragfähigkeit der baulichen Anlagenteile grundsätzlich zulässig, wobei alle wesentlichen Einwirkungs- und Widerstandsgrößen realistisch erfasst sein müssen.
3. Die Einwirkungen, die sich durch die auf den Sicherheitsebenen 4b und 4c unterstellten Ereignisabläufe und Bedingungen auf die Anlagenteile ergeben können, können jeweils realistisch angesetzt werden.

3.2.1 (2) Für Nachweise zur Integrität und Standsicherheit von Komponenten sind die relevanten mechanischen, chemischen, thermischen und durch Strahlung hervorgerufenen Einwirkungen zu berücksichtigen.

1. Die Einwirkungen, die sich auf Grund der auf den Sicherheitsebenen 1 bis 4a zu unterstellenden Bedingungen, Ereignisse und festgelegten Betriebszustände sowie resultierend aus Einwirkungen von innen und außen ergeben können, müssen jeweils so angesetzt oder überlagert werden, dass alle Auswirkungen auf die tragenden Querschnitte im Hinblick auf den abzudeckenden Versagensmechanismus konservativ erfasst werden.
2. Bei Einwirkungen aus Notstandsfällen ist eine im Vergleich zur Sicherheitsebene 3 stärkere Ausnutzung der Tragfähigkeit der Komponenten grundsätzlich zulässig, wobei alle wesentlichen Einwirkungs- und Widerstandsgrößen realistisch erfasst sein müssen. An den maßgebenden Stellen muss die Integrität des tragenden Querschnitts unter Beibehaltung der grundlegenden Geometrie erhalten bleiben.
3. Die Einwirkungen, die sich durch die auf den Sicherheitsebenen 4b und 4c unterstellten Ereignisabläufe und Bedingungen auf die Komponenten ergeben können, können jeweils realistisch angesetzt und die Auswirkungen auf den Zustand der Komponenten entsprechend analysiert werden.

3.2.1 (3) Kombinationen mehrerer zu unterstellender Einwirkungen von außen, oder Kombinationen dieser Einwirkungen mit internen Ereignissen sind gemäß den "Sicherheitsanforderungen an Kernkraftwerke" von Nummer 4.2 (1) zu unterstellen.

Die Störfall- und Störfallfolgeeinwirkungen sind mit den "äußeren Lasten des Gebrauchszustandes" (einschließlich Schnee- und Windlast) und den "Reaktionen aus Zwang im Gebrauchszustand" zu kombinieren. Es ist zulässig, bei der Überlagerung der Einwirkungen den zeitlichen Verlauf zu berücksichtigen.

3.2.1 (4) Als ereignisbedingte Folgeereignisse bei Einwirkungen von außen sowie aus Notstandsfällen sind, soweit die jeweiligen Anlagenteile nicht gegen die Einwirkungen ausgelegt sind, die Möglichkeiten für

1. Einwirkungen aus Berstdruckwellen beim Versagen von Behältern, Rohrleitungen und sonstigen Behältern mit hohem Energieinhalt;
2. mechanische Folgeschäden beim Versagen von Anlagenteilen (einschließlich von umherfliegenden und fallenden Bruchstücken sowie von Strahl- und Reaktionskräften);
3. anlageninterne Überflutungen infolge eines Versagens von Anlagenteilen;
4. anlageninterne Brände und Explosionen;
5. erhöhte Strahlenpegel;
6. chemische Reaktionen sowie
7. Fehlfunktionen von elektrischen, leittechnischen oder verfahrenstechnischen Einrichtungen zu berücksichtigen und
8. das Eintreten eines Notstromfalls

zu unterstellen.

3.2.1 (5) Der Schutz von Bauwerken und Komponenten bei Einwirkungen von innen und außen sowie Notstandsfällen ist auf Basis spezifizierter Lastannahmen nachzuweisen. Dabei sind auch induzierte Erschütterungen von Bauwerken und Komponenten zu berücksichtigen.

3.2.1 (6) Die Nachweisführung auf den Sicherheitsebenen 2 bis 4a muss sich vom Eintritt eines Ereignisses mindestens bis zum Erreichen des kontrollierten Anlagenzustands erstrecken, in dem die Anlage dauerhaft verbleiben kann.

Die Analysen zur Wirksamkeit von vorgesehenen Maßnahmen auf den Sicherheitsebenen 4b und 4c sollen bis zum Erreichen des für die Analyse relevanten Zustands erfolgen.

3.2.1 (7) Bei Quantifizierung der Ergebnisunsicherheiten nach Nummer 3.3 können Mess- und Kalibrierfehler statistisch berücksichtigt werden. Bei abdeckenden Nachweisführungen nach Nummer 3.4 sind die Mess- und Kalibrierfehler durch die Anfangs- und Randbedingungen abzudecken.

3.2.2 Sicherheitsebene 1 (Normalbetrieb)

3.2.2 (1) In Bezug auf die jeweiligen Auslegungsgrenzen ist die gesamte, während der Betriebs- oder Zyklusdauer in Betracht kommende Bandbreite der Betriebsparameter zu berücksichtigen, unter Einbeziehung der im Normalbetrieb möglichen Änderungen und Schwankungen.

3.2.3 Sicherheitsebene 2 (Anomaler Betrieb)

3.2.3 (1) In Bezug auf das jeweilige Nachweiskriterium sind für die jeweiligen Betriebsphasen ungünstige, innerhalb realistischer Betriebszustände liegende Anfangszustände anzusetzen.

3.2.3 (2) Alle der Sicherheitsebene 2 zugeordneten und bei dem betrachteten Ereignisablauf ordnungsgemäß angeforderten Maßnahmen und Einrichtungen können für die Nachweisführung als verfügbar angenommen werden, wenn sie nicht durch das unterstellte Ereignis als ausgefallen anzusetzen sind.

3.2.3 (3) Eine vom Ereignis unabhängige Überlagerung des Notstromfalls muss nicht unterstellt werden.

3.2.4 Sicherheitsebene 3 (Störfall)

3.2.4 (1) Die anzusetzenden Anfangszustände sind

1. bei einer Nachweisführung nach Nummer 3.4 die in Bezug auf das jeweilige Nachweiskriterium für die jeweiligen Betriebsphasen ungünstigsten anfänglichen Betriebszustände des Normalbetriebs abzudecken oder
2. bei einer Nachweisführung nach Nummer 3.3 mittels realistischer Parameterwerte unter Einbeziehung ihrer Unsicherheitsbandbreite zu erfassen.

3.2.4 (2) ¹⁵ Beim Nachweis der Wirksamkeit der Maßnahmen und Einrichtungen der Sicherheitsebene 3 ist das Einzelfehlerkonzept gemäß den "Sicherheitsanforderungen an Kernkraftwerke" von Nummer 3.1 (7) sowie gemäß Anhang 4 der "Sicherheitsanforderungen an Kernkraftwerke" anzuwenden.

Bei der Analyse von Ereignissen der Sicherheitsebene 3 ist die Nichtberücksichtigung der ersten Anregung des Reaktorschutzsystems oder der ersten Anregung der Reaktorschnellabschaltung zu unterstellen, sofern aus physikalisch-technischen Gründen nicht nur ein Anregekriterium verfügbar ist.

Bei unterstellter Nichtberücksichtigung der ersten Anregung ist das gleichzeitige Auftreten eines Einzelfehlers an aktiven Einrichtungen zu unterstellen, bei gleichzeitiger Instandhaltung jedoch erst nach einem Zeitraum von 100 Stunden.

Die Ausfallannahmen gemäß den "Sicherheitsanforderungen an Kernkraftwerke" der Nummern 3.2 (6) und 3.2 (7) sind zu berücksichtigen.

3.2.4 (3) Bei allen zur Störfallbeherrschung erforderlichen Maßnahmen und Einrichtungen ist auch, sofern es den Ereignisablauf nachteilig beeinflusst, ereignisabhängig ein gleichzeitiger oder zeitlich versetzter Ausfall der elektrischen Eigenbedarfsversorgung zu unterstellen. Die Berücksichtigung der Notstromversorgung in der Analyse soll entsprechend dem Zuschaltprogramm der mit Notstrom versorgten Aggregate erfolgen.

3.2.4 (4) Bei Kühlmittelverluststörfällen ist bei den Ermittlungen der Auswirkungen

1. des Druck- und Temperaturaufbaus im Sicherheitsbehälter,
2. der Druckdifferenzen innerhalb des Sicherheitsbehälters,
3. von Bruchstücken, Strahl- und Reaktionskräften und
4. von Druckwellen innerhalb der druckführenden Umschließung sowie
5. bei den Nachweisführungen zur Wirksamkeit der Notkühleinrichtungen und der Standsicherheit von Einbauten (insbesondere Großkomponenten) und Räumen

für das Spektrum der zu betrachtenden Leck- oder Bruchgrößen die für die verschiedenen Einzelnachweise jeweils ungünstigste Leck- oder Bruchlage zu ermitteln und zu unterstellen.

Hinweis:

Siehe hierzu neben den beiliegenden Anlagen 2 und 3 auch in Anhang 2 der "Sicherheitsanforderungen an Kernkraftwerke", dort Anlage 2.

3.2.4 (5) Bei den Nachweisführungen sind zusätzlich zu den Ausfallannahmen des Einzelfehlerkonzepts störfallbedingte Folgeausfälle von Maßnahmen und Einrichtungen, die im Sinne des Nachweisziels ungünstige Auswirkungen auf den Störfallablauf haben, zu berücksichtigen.

Das ordnungsgemäße Wirksamwerden von Maßnahmen und Einrichtungen der Sicherheitsebenen 1 und 2 ist zu unterstellen, sofern sich hieraus relevante ungünstige Einflüsse auf den Ereignisablauf ergeben.

3.2.4 (6) Der Quellterm für radiologische Nachweise auf der Sicherheitsebene 3 ist bis zur Beendigung der Freisetzung zu ermitteln. Zur Definition der Beendigung der Freisetzung sind erforderlichenfalls geeignete Abbruchkriterien zu spezifizieren.

Hinweis:

Detailanforderungen an die Nachweisführung bei Kühlmittelverluststörfällen sind in Anlage 1 zusammengestellt.

3.2.5 Sicherheitsebene 4a (Transienten mit unterstelltem Ausfall der Reaktorschnellabschaltung)

3.2.5 (1) Bei der Analyse von Transienten mit unterstelltem Ausfall der Reaktorschnellabschaltung

1. können realistische Anfangs- und Randbedingungen gewählt werden; als Anfangszustand des Reaktorkerns ist jedoch beladungs- und ereignisspezifisch vom Betriebszustand zum ungünstigsten Zykluszeitpunkt (im Xenon Gleichgewicht) auszugehen; zudem sind hinsichtlich der Reaktivitätsrückwirkung Werte zu verwenden, die bestehende Unsicherheiten abdeckend berücksichtigen;
2. können alle Maßnahmen und Einrichtungen als verfügbar angenommen werden, die nicht durch das unterstellte Ereignis ausgefallen sind; sofern im Kurzzeitbereich (Zeit bis zum Erreichen des Druckmaximums) vom Abschalten der Hauptkühlmittelpumpen (DWR) Kredit genommen wird, muss das Abschalten mit Leittechnik-Funktionen der Kategorie A oder B angesteuert sein;
3. sind die durch Steuerungs- und Regelungsvorgänge verursachten Änderungen von Betriebsparametern und Betriebszuständen mit zu berücksichtigen.

3.2.6 Sicherheitsebene 4b (Ereignisse mit Mehrfachversagen von Sicherheitseinrichtungen) sowie Sicherheitsebene 4c (Unfälle mit schweren Brennelementschäden)

3.2.6 (1) Bei der Analyse der Wirksamkeit von präventiven oder mitigativen Notfallmaßnahmen können für die zu Grunde gelegten Ereignisabläufe realistische Modelle und realistische Anfangs- und Randbedingungen verwendet werden.

Hinweis:

Die Nummern 3.3 und 3.4 müssen für Nachweisführungen zu den Sicherheitsebenen 4b und 4c nicht angewandt werden.

3.3 Quantifizierung der Ergebnisunsicherheiten

3.3 (1) Bei der Verwendung statistischer Verfahren ist die Gesamtunsicherheit des jeweiligen Analyseergebnisses gemäß Nummer 3 (2) Buchstabe d zu quantifizieren. Hierfür sind

1. die Parameter (Anfangs- und Randbedingungen sowie Modellparameter) und Modelle zu identifizieren, die die Ergebnisunsicherheiten wesentlich beeinflussen;
2. die gemäß dem aktuellen Kenntnisstand vorhandenen Unsicherheitsbandbreiten der identifizierten Parameter zu quantifizieren, bei Einsatz von statistischen Verfahren mitsamt den Verteilungen der Parameter;
3. falls erforderlich, Abhängigkeiten oder Wechselwirkungen zwischen einzelnen Eingangsparametern festzustellen und zu berücksichtigen.

3.3 (2) Unsicherheiten einzelner Modelle im Rechenprogramm, die nicht über eine Variation von Parametern erfasst werden, sind durch Zuschläge auf das Ergebnis abzudecken, die aus der Validierung des Analyseverfahrens abgeleitet sein sollten.

3.3 (3) Werden bei der Ermittlung der Gesamtunsicherheit statistische Verfahren angewandt, ist die in Richtung des Nachweiskriteriums gehende einseitige Toleranzgrenze zu ermitteln, wobei für die Einhaltung des Nachweiskriteriums eine Wahrscheinlichkeit von mindestens 95 % mit einer statistischen Sicherheit von mindestens 95 % nachzuweisen ist.

3.3 (4) Die Einhaltung statistischer Nachweiskriterien ist mit einer statistischen Sicherheit von mindestens 95 % nachzuweisen.

3.4 Abdeckende Nachweisführung

3.4 (1) Auf die Ermittlung der Gesamtunsicherheit gemäß Nummer 3.3 kann verzichtet werden,

1. falls durch Standardisierung abgesicherte Verfahren oder Daten vorliegen, aus denen die Unsicherheit oder ein gesicherter Abstand zur Auslegungsgrenze oder zum Nachweiskriterium abgeleitet werden kann oder
2. falls die Unsicherheit durch Zuschläge auf das Analyseergebnis abgedeckt werden kann oder
3. falls bezüglich des jeweiligen Nachweiskriteriums
   • ungünstigste innerhalb realistischer Zustände liegende Parameterkombinationen verwendet werden, oder
   • ungünstige Werte des Unsicherheitsbereichs einzelner Parameter so kombiniert werden, dass das Analyseergebnis mit mindestens 95 % Wahrscheinlichkeit nicht überschritten wird, oder
4. falls Berechnungsverfahren oder hinreichend konservativ gewählte Einzelparameter verwendet werden, für welche in einem vergleichbaren Fall nachgewiesen ist, dass die gemäß Nummer 3.3 quantifizierten Unsicherheiten bezüglich des jeweiligen Nachweiskriteriums abgedeckt werden.

4 Grundlegende Anforderungen an die messtechnische Nachweisführung

4 (1) Vor der Durchführung von Messungen oder Experimenten ist der nachzuweisende Sachverhalt festzulegen und das messtechnische oder experimentelle Verfahren detailliert zu planen. Sollen Messungen oder Tests im Kernkraftwerk durchgeführt werden, sind die Auswirkungen der Messung oder des Tests auf die Sicherheit der Anlage zu prüfen und schriftlich darzulegen. Relevante sicherheitstechnisch nachteilige Auswirkungen sind zu vermeiden.

4 (2) Werden Messungen oder Experimente nicht in der zu beurteilenden Anlage oder Einrichtung, sondern z.B. an Prototypen von Komponenten oder an Versuchsständen durchgeführt, so ist die Übertragbarkeit auf die zu beurteilenden Komponenten, Systeme oder Systemfunktionen darzulegen. Unsicherheiten bei der Übertragung der Ergebnisse sind zu ermitteln.

4 (3) Bei der messtechnischen und der experimentellen Nachweisführung sind Unsicherheiten in der Messung zu berücksichtigen.

4 (4) Der nachzuweisende Sachverhalt, das messtechnische oder experimentelle Verfahren und die Ergebnisse sind nachvollziehbar zu dokumentieren.

5 Grundlegende Anforderungen an ingenieurmäßige Bewertungen

5 (1) Ergebnisse aus ingenieurmäßigen Bewertungen können bei der Nachweisführung herangezogen werden,

1. wenn für den zu bewertenden Sachverhalt ein Bewertungsmaßstab vorliegt und der Bewertung zu Grunde gelegt wird; dieser Bewertungsmaßstab muss auf technischwissenschaftlich nachvollziehbaren Grundlagen beruhen; bei der Ermittlung des Bewertungsmaßstabes können auch geltende Regeln oder Normen, Ergebnisse aus Bewertungen zu gleichen oder ähnlich gelagerten Sachverhalten, Erkenntnisse aus Experimenten und vorliegende Erfahrungswerte einbezogen werden; und
2. wenn der nach Nummer 5 (1) Buchstabe a entwickelte Bewertungsmaßstab nachvollziehbar dokumentiert ist.

5 (2) An die Durchführung der ingenieurmäßigen Bewertungen werden folgende Anforderungen gestellt:

1. zur Bewertung herangezogene Randbedingungen, wie Ergebnisse und Daten aus durchgeführten Berechnungen und Prüfungen, sind zu begründen und dokumentieren,
2. die Ergebnisse der Bewertung sind vollständig und nachvollziehbar zu dokumentieren,
3. bei Anwendung auf interdisziplinäre und komplexe Fragestellungen ist die ingenieurmäßige Bewertung durch ein geeignet zusammengesetztes Team durchzuführen.

5 (3) Bei ergonomischen Analysen von Personalhandlungen müssen die dem Personal zugewiesenen Aufgaben im Rahmen einer Aufgabenanalyse so in Teilaufgaben zerlegt sein, dass eine Bewertung im Hinblick auf die geforderte Zuverlässigkeit der Personalhandlung und die sicherheitstechnischen Anforderungen durchgeführt werden kann.

Die Aufgabenanalyse muss die folgenden Aspekte berücksichtigen:

1. erforderliche und bereitgestellte Informationen für den Handelnden,
2. erforderliche Informationsverarbeitungsprozesse,
3. erforderliche Entscheidungen und Einzelhandlungen,
4. zeitliche und räumliche Randbedingungen der Aufgaben.

6 Grundlegende Anforderungen an probabilistische Sicherheitsanalysen

6 (1) Die grundlegenden Methoden und Randbedingungen zur Erstellung von probabilistischen Sicherheitsanalysen (PSA) sowie die Anforderungen an deren Dokumentation sind im "Leitfaden Probabilistische Sicherheitsanalysen" beschrieben.

6 (2) Bei PSA für Bewertungen gemäß den "Sicherheitsanforderungen an Kernkraftwerke" der Nummern 5 (5a) und 5 (5b) sind aktuelle Methoden, Modelle und Daten zu verwenden. Die Aktualität der PSA muss insbesondere folgende Aspekte berücksichtigen:

1. sicherheitstechnisch wichtige Änderungen an Maßnahmen, Einrichtungen oder der Betriebsweise, die in der Anlage durchgeführt wurden,
2. sicherheitsrelevante Ereignisse oder Phänomene, die bekannt geworden sind und deren Übertragbarkeit auf die im Anwendungsbereich der "Sicherheitsanforderungen an KKW" benannten Kernkraftwerke in Deutschland gegeben ist, und
3. die anlagenspezifische Auswertung der Betriebserfahrung im Hinblick auf Zuverlässigkeitskenngrößen von Komponenten oder Eintrittshäufigkeiten von auslösenden Ereignissen.

6 (3) Für PSA sind anlagenspezifische Daten zu verwenden. Sofern keine hinreichende anlagenspezifische Datenbasis aus der Betriebserfahrung zur Verfügung steht, können generische Daten verwendet werden. Die Übertragbarkeit der generischen Daten ist zu begründen.

6 (4) PSA sind von sachkundigem Personal des Genehmigungsinhabers zu erstellen. Eine Unterstützung durch externes Personal ist zulässig.

6 (5) Der jeweils erforderliche Umfang und Detaillierungsgrad der PSA ist anlassbezogen festzulegen.

7 Grundlegende Anforderungen an die Dokumentation

7 (1) Alle Unterlagen, die bei der Planung, der Errichtung und dem Betrieb einer Anlage für das Genehmigungs- und Aufsichtsverfahren verwendet wurden oder werden, sind systematisch zu dokumentieren. Der Detaillierungsgrad der Dokumentation muss an die sicherheitstechnische Bedeutung des Inhalts der Dokumente angepasst sein.

7 (2) Die Dokumentation hat folgende Anforderungen zu erfüllen:

1. Anwendung eines Freigabe-/Genehmigungsverfahrens, das der Bedeutung des jeweiligen Dokuments angemessenen ist,
2. eindeutige Kennzeichnung von Dokumenten,
3. zeitnahe Aktualisierung von Dokumenten, insbesondere bei Änderungen an der Anlage,
4. Kennzeichnung von Änderungen und des Überarbeitungsstatus von Dokumenten,
5. Sicherstellung der Verfügbarkeit gültiger Dokumente an den jeweiligen Einsatzorten,
6. zeitnahe Anpassung der zur Betriebsführung benötigten Dokumentation an den aktuellen Anlagenzustand und Bereitstellung im Bereich der Warte,
7. Sicherstellung der Lesbarkeit und Erkennbarkeit,
8. eindeutige und widerspruchsfreie Gestaltung sicherheitsrelevanter operativer Anweisungen,
9. Kennzeichnung und Verteilung externer Dokumente an die jeweiligen Einsatzorte,
10. Verhinderung der Verwendung veralteter oder nicht gültiger Dokumente.

7 (3) Die Dokumentation ist nach festgelegten Regeln zu pflegen und archivieren. Es sind auch Regelungen für Pflege und Archivierung der sonstigen Dokumentation zu treffen.

7 (4) In einem Dokumentationssystem sind Festlegungen zu Dokumentenart, Dokumentation, Unterlagenpflege, Archivierung, Verantwortlichkeiten und Prüfung zu treffen.

.

A1 (1) Zum Nachweis der Wirksamkeit der Kernnotkühleinrichtungen sind experimentell abgesicherte rechnerischanalytische Nachweise vorzulegen. Es ist entweder die Quantifizierung der Unsicherheiten der Analyseergebnisse nach Nummer 3.3 oder die abdeckende Nachweisführung nach Nummer 3.4 mit folgenden Annahmen vorzunehmen:

1. Bei beiden Verfahren ist die ungünstigste Kombination unterstellt aus
   1. Ausfall infolge Einzelfehler,
   2. Unverfügbarkeit infolge Instandhaltung,
   3. Notstromfall,
   4. Ausgangsleistung im Kern (bei Störfalleintritt ist von den ungünstigsten Werten auszugehen, die im bestimmungsgemäßen Betrieb unter Berücksichtigung der Zustandsbegrenzungen hinsichtlich der integralen Leistung, der Stableistung und der Leistungsdichteverteilung auftreten können),
   5. Zykluszeitpunkt,
   6. Bruchlage und
   7. Bruchgröße und Bruchtyp

   Hinweis:

   Zu unterstellende Leckquerschnitte und Brüche sowie weitere Anforderungen an die Randbedingungen der Nachweisführungen sind in Anhang 2, dort Anlage 2 sowie in Anhang 5 der "Sicherheitsanforderungen an Kernkraftwerke" aufgeführt.

   anzusetzen.

2. Bei Quantifizierung der Ergebnisunsicherheiten nach Nummer 3.3 können bezüglich der anfänglichen Kernleistung Mess- und Kalibrierfehler statistisch berücksichtigt werden.
3. Bei Einsatz der abdeckenden Nachweisführung nach Nummer 3.4 ist zusätzlich zu den Vorgaben gemäß Nummer A1 (1) 1 bezüglich der Ausgangsleistung im Kern der maximale Mess- und Kalibrierfehler anzusetzen.
4. Bei der Analyse des Pumpenverhaltens während der Druckentlastungsphase und der Wiederauffüllphase sind - soweit nicht entsprechende Vorkehrungen getroffen sind - mögliche Versperrungen freier Strömungsquerschnitte in der Druckführenden Umschließung durch beschädigte Anlagenteile zu berücksichtigen.
5. Der aus der eindimensionalen Druckentlastungsrechnung resultierende Massenstrom ist für die Heißstab-Temperaturberechnung unter Berücksichtigung thermohydraulisch bedingter Strömungsverteilungen und eventueller Kühlkanalverengungen um 20 % zu reduzieren, solange keine dynamischen Berechnungen der Hüllrohrdehnungen vorgenommen werden.
6. Für die Ermittlung der Zulaufhöhe der Nachkühlpumpen ist nach Umschaltung auf Sumpfbetrieb mit Atmosphärendruck im Sicherheitsbehälter zu rechnen.
7. Bei der Berechnung der zeitabhängigen Wasserhöhe im Reaktorgebäudesumpf sind insbesondere zu berücksichtigen:
   1. die Volumenänderung des Primärkühlmittels bei Temperaturänderungen,
   2. der Befüllungsgrad des Reaktorkühlsystems,
   3. der Dampfgehalt in der Sicherheitsbehälteratmosphäre,
   4. die Benetzung der Oberflächen im Sicherheitsbehälter,
   5. Spritzwasser und Ansammlungen von Wasser, welches nicht oder nur verzögert in den Reaktorgebäudesumpf gelangt.
8. Beim Nachweis, dass die Kernkühlung sowohl kurz- als auch langfristig sichergestellt ist, ist zu berücksichtigen:
   1. freigesetztes Isoliermaterial und weitere Materialien, die die mechanische Stabilität der im Reaktorgebäudesumpf angebrachten Sumpfsiebe und den kavitationsfreien Betrieb der Nachkühlpumpen für den Sumpfbetrieb sowie die Funktion weiterer für die Ereignisbeherrschung erforderlicher Einrichtungen beeinflussen können, wobei im Hinblick auf die Ermittlung der Menge der freigesetzten Materialien als maximale Leckgröße 0,1F bezogen auf die Hauptkühlmittelleitung angesetzt werden kann, sofern die Anforderungen an den Bruchausschluss für die Hauptkühlmittelleitung erfüllt sind, sowie
   2. der Einfluss von freigesetztem Isoliermaterial und weiteren Materialien, die in den Kern eingetragen werden.

   Den Nachweisen sind thermohydraulische Randbedingungen zu Grunde zu legen, die Leckgrößen einschließlich des doppelendigen Bruchs der Hauptkühlmittelleitung abdecken.

9. Bei der Ermittlung der ausreichenden Herbeiführung und dauerhaften Aufrechterhaltung der Unterkritikalität ist beim DWR zu unterstellen, dass sich der sekundärseitige Inhalt eines Dampferzeugers mit dem Primärkühlmittel und dem durch die Notkühlung eingespeisten Kühlmittel vermischt.

A1 (2) Beim Nachweis, dass die Wasserstoffkonzentration im Sicherheitsbehälter zu keinem Zeitpunkt während des Betriebes und nach Kühlmittelverluststörfällen lokal oder integral die Zündgrenze (4 % Wasserstoff in Luft) überschreitet, sind folgende Vorgaben zu berücksichtigen:

1. Wasserstoffquellen:
   • Radiolyse im Kern,
   • Radiolyse im Sumpf,
   • Radiolyse im Brennelementlagerbecken,
   • Metall-Wasser-Reaktion im Kern,
   • sonstige Metall-Wasser-Reaktionen.
2. Die Wasserstoffbildung ist für mindestens 100 Tage nach Störfalleintritt zu berechnen. Hierbei ist anzunehmen, dass der aus Metall-Wasser-Reaktionen stammende Wasserstoff sofort freigesetzt und näherungsweise homogen verteilt wird. Für den langfristig durch Radiolyse entstehenden Wasserstoff ist anzunehmen, dass dieser kontinuierlich mit oder aus dem Kühlmittel freigesetzt wird. Bei der Berechnung ist der Freisetzungsort zu berücksichtigen.
3. Als Nettoentstehungsrate für die Radiolyse im Reaktorkern und im Sumpf ist ein G(H2)-Wert von 0,44 Moleküle/100 eV anzusetzen (dieser Wert stellt die experimentell abgesicherte obere Grenze der Bildungsrate für die zu erwartende wirksame Strahlung dar).
4. Wirksame Nachzerfallsleistung des Kerns:
   1. Als Quelle der radiolytisch wirkenden Strahlung ist mindestens der der vorgesehenen Abbrandstrategie entsprechende Gleichgewichtskern am Zyklusende anzunehmen, wobei die Spaltstoff- und Spaltproduktzusammensetzung der im Kern befindlichen Brennelemente und die Aktivierungsprodukte zu berücksichtigen sind.
   2. Der im Kühlmittel absorbierte Anteil der ³-Nachzerfallsleistung ist als Zeitfunktion zu ermitteln. Sind fÌr die Berechnung vereinfachende Annahmen erforderlich (z.B. Einteilung in Energiegruppen, Vereinfachung der Reaktorkern-Geometrie), so ist nachzuweisen, dass diese Annahmen zu konservativen Ergebnissen führen. Andernfalls ist ein zeitlich konstanter Wert von 10 % zu verwenden.
   3. Eine Absorption von ²-Strahlung im KÌhlmittel muss wegen des Selbstabschirmungseffekts nicht berücksichtigt werden.
5. Bezüglich der wirksamen Nachzerfallsleistung im Sumpf sind für die in das Kühlmittel freigesetzten Spaltprodukte Werte entsprechend dem maximal zulässigen Brennstabschadensumfang anzusetzen, sofern nicht durch eine Schadensumfangsanalyse ein niedrigerer Wert nachgewiesen ist.

   Für die Radiolyseberechnung ist in Anlehnung an die Störfallberechnungsgrundlagen anzunehmen, dass sich von den freigesetzten Spaltprodukten folgende Anteile (bezogen auf das Inventar der defekten Brennstäbe) im Sumpfwasser befinden:

   1. 6 % der Halogene, Alkalimetalle (90 % spontane Ablagerung im Sumpf der 1 % freigesetzten Halogene, Alkalimetalle und 5 % durch Auslaugung während des Sumpfbetriebs),
   2. 0,5 % der spontanen Feststoffe (99 % Ablagerung im Sumpf der 0,01 % freigesetzten sonstigen Feststoffe und 0,5 % sonstige Feststoffe durch Auslaugung).

   Es ist anzunehmen, dass ihre ³- und ²-Strahlungsenergie zu 100 % vom Sumpfwasser absorbiert wird.

6. Bei der Berechnung der reagierenden Zirkonmenge im Reaktorkern ist der zeitliche und räumliche Temperaturverlauf den Ergebnissen der Kernnotkühlrechnungen zu entnehmen.
7. Sonstige Metall-Wasser-Reaktionen können dann nicht berücksichtigt werden, wenn nachgewiesen ist, dass sie keine nennenswerten Wasserstoffmengen freisetzen.

.

A2 (1) Bei der Ermittlung der Differenzdrücke innerhalb des Sicherheitsbehälters ist von folgenden Vorgaben auszugehen:

1. Ausgangspunkt ist der Betriebszustand bei 100 % der spezifizierten Leistung.
2. Es sind gemäß den "Sicherheitsanforderungen an Kernkraftwerke" Anhang 2, dort Anlage 2 ("Unterstellte Leckquerschnitte und Brüche in der Druckführenden Umschließung (DfU) sowie in den Äußeren Systemen und an Komponenten"), der Nummern 2.1 (7) und 3 (9), Leckquerschnitte bis zu 2F in den Hauptkühlmittelleitungen zu Grunde zu legen.
3. Beim Einsatz von Mehrfachpunktmodellen ist eine ausreichend feine Nodalisierung zu wählen (mindestens eine Zone für jeden betrachteten Raum).
4. Für die Freisetzung Energie- und Masseinhalte aus der Druckführenden Umschließung des Reaktorkühlmittels und definierter angrenzender Systeme sind die maximal möglichen Freisetzungsraten zu Beginn des Ausströmvorganges anzusetzen.
5. Für jeden Raum ist die ungünstigste Bruchsituation zu erfassen.
6. Die Wärmeabgabe an die Strukturen ist konservativ zu ermitteln. Bei Verwendung experimentell abgesicherter Wärmeübergangsbeziehungen sind die unteren Werte des vorhandenen Unsicherheitsbandes zu berücksichtigen.
7. Die beim Überströmvorgang zwischen den Räumen auftretenden Strömungswiderstände sind in realistischer Weise zu erfassen, jedoch für den Bruchraum konservativ anzusetzen. Die getroffenen Annahmen sind experimentell abzusichern.
8. Werden bei der Berechnung der Wassertransport- und Wasserabscheidevorgänge Rechenmodelle verwendet, die eine Erfassung durch empirische Konstanten vornehmen, so sind diese Konstanten konservativ für das Differenzdruckverhalten festzulegen.
9. Annahmen, die nicht durch Experimente abgesichert sind, sind konservativ festzulegen.
10. Der Sicherheitszuschlag auf die so berechneten maximal auftretenden Differenzdrücke muss mindestens 15 % betragen. Für den Differenzdruck ist ein Wert von mindestens 10.000 Pa anzunehmen.

.

A3 (1) Bei der Ermittlung von Einwirkungen durch Strahl- und Reaktionskräfte sowie Bruchstücke an druckführenden Systemen innerhalb des Sicherheitsbehälters ist bei der Berechnung von folgenden Vorgaben auszugehen:

1. Ausgangspunkt ist der Betriebszustand bei 100 % der spezifizierten Leistung.
2. Für die Auswahl und Größe von Lecks gelten die Annahmen gemäß den "Sicherheitsanforderungen an Kernkraftwerke" von Anhang 2, dort Anlage 2 ("Unterstellte Leckquerschnitte und Brüche in der Druckführenden Umschließung (DfU) sowie in den Äußeren Systemen und an Komponenten"). Für diese Lecks ist stationäre Ausströmung für verschiedene Bruchlagen zu unterstellen.
3. Freistrahlausbreitung und Rückwirkung auf im Wege liegende Strukturen sind zu erfassen.
4. Es ist die jeweils ungünstigste Bruchlage zu wählen.
5. Zur Berechnung der Reaktionskräfte der Rohrleitungen sind entsprechende Rechenmodelle oder experimentell abgesicherte Beziehungen anzuwenden.
6. Für die Belastung der sicherheitstechnisch wesentlichen Anlagenteile durch Strahlkräfte und durch die von den Strahlkräften gelösten und beschleunigten Strukturteile ist ein Sicherheitszuschlag von 15 % zu Grunde zu legen.

1) Das Eintreten eines Ereignisses oder Ereignisablaufs oder Zustands kann als ausgeschlossen angesehen werden, wenn das Eintreten physikalisch unmöglich ist oder wenn mit einem hohen Maß an Aussagesicherheit das Eintreten als extrem unwahrscheinlich angesehen werden kann.

2) Nur Betriebsphase A sowie im Hinblick auf die Reaktorabschaltung beim SWR auch zeitweise in der Betriebsphase E während des Brennelementwechsels.

3) Nachweiskriterien für die Wirksamkeit der Reaktorschnellabschaltung (nur Betriebsphase A sowie beim SWR auch zeitweise in der Betriebsphase E während des Brennelementwechsels) und der dauerhaften Abschaltung (alle Betriebsphasen). Die in den "Sicherheitsanforderungen an Kernkraftwerke", Nummern 3.2 (6) und 3.2 (7) genannten Randbedingungen sind einzuhalten. Beim Brennelementwechsel (Betriebsphase E, SWR) muss das Nichteinschießen des wirksamsten Steuerelements nicht unterstellt werden.

4) Die zur Gewährleistung der uneingeschränkten Weiterverwendbarkeit im Rahmen der Auslegung von Brennelementen sowie von weiteren Kernbauteilen des Weiteren heranzuziehenden Nachweiskriterien sind zu spezifizieren.

5) Kein Erreichen der Brennstoffschmelztemperatur im Heißstab unter Beachtung der radialen Leistungsverteilung im Pellet.

6) Kein kritischer Siedezustand an den Brennstabhüllrohren oder Einhaltung eines geeigneten Temperatur-Zeit-Kriteriums, das die Integrität des Hüllrohres sicherstellt.

7) Ein vorgelagertes Nachweiskriterium hierzu ist die Integrität des Hüllrohres. Die Integrität des Hüllrohres ist sichergestellt, wenn die maximale Enthalpiefreisetzung im Brennstoff (radial über den Pelletquerschnitt gemittelt) unterhalb einer werkstoffzustands- oder abbrandabhängigen Hüllrohr-Defektgrenze bleibt.

8) ¹⁵ Durch Einhaltung der Nachweiskriterien ist zu gewährleisten:

• Erhaltung der Restduktilität...
• Verhinderung des Erreichens von Temperaturbedingungen, unter denen die Zirkon-Wasser-Reaktion autokatalytisch verläuft.

Die Gültigkeit dieser Kriterienkombination zur Erreichung dieser Nachweisziele für die jeweils verwendeten Hüllrohrwerkstoffe ist nachzuweisen.

9) Erhaltung einer freien Strömungsfläche, durch die eine ausreichende Kühlung der Brennstäbe sichergestellt wird.

10) Sofern für die Aufrechterhaltung der Kühlung der Brennelemente die Begehbarkeit des Sicherheitsbehälters (SHB) oder des Reaktorgebäudes erforderlich ist, ist nachzuweisen, dass die Bedingungen für die Begehbarkeit eingehalten werden.

11) Vermeidung mechanischer Wechselwirkungen zwischen Brennstoff und Hüllrohr (Pellet Clad Interaction: PCI), die die uneingeschränkte Weiterverwendbarkeit der Brennstäbe beinträchtigen.

12) Die Äußeren Systeme stellen keine der im Barrierenkonzept genannten drei Barrieren dar. Die sicherheitstechnische Bedeutung des Erhalts der Integrität der Äußeren Systeme liegt vorrangig in der Aufrechterhaltung der Wärmeabfuhr aus dem Reaktorkern. Da hier jedoch, wie bei der Druckführenden Umschließung, auf die Beanspruchungsstufen der Anlage 1 Bezug genommen wird, sind die Äußeren Systeme mit in Tabelle 3.1c aufgeführt.

13) ¹⁵ Zur Bestimmung der Differenzdrücke im Sicherheitsbehälter siehe Anhang 5 der "Sicherheitsanforderungen an Kernkraftwerke" ("Anforderungen an die Nachweisführung und Dokumentation"), Anlage 2

14) Für spezielle Ereignisse (siehe Ereignisliste Tabelle 5.3): > 0,98.

15) Sofern zur Aufrechterhaltung der Kühlung der Brennelemente die Begehbarkeit des Sicherheitsbehälters oder des Beckenbereichs erforderlich ist, ist nachzuweisen, dass die Bedingungen für die Begehbarkeit eingehalten werden.

16) Nachweisziele sind nur für nasse Lagerungs- und Handhabungsvorgänge gültig.

17) Aus der Nachweisführung zur Beherrschung von Ereignissen der Sicherheitsebenen 2 und 3 können sich weitere Anforderungen an die gemäß den betrieblichen Anweisungen erforderlichen keff-Werte ergeben (Vorhalt für zu beherrschende Ereignisabläufe).

18) Bei Steuerelement freiem Reaktorkern.

19) Beim Anfahren des SWR aus kaltem Zustand erfolgt ein direkter Übergang von Phase C nach Phase A, wegen nuklearem Aufheizen durch Ausfahren der Steuerelemente.

20) Bei Nullleistungsprüfungen wird die bis zum Erreichen der Kritikalität erforderliche Anzahl an Steuerelementen ausgefahren.

21) Nicht während der Funktions- und Unterkritikalitätsprüfungen oder des Abschaltsicherheitstests; dabei aber höchstens 2 Steuerelemente nicht eingefahren.

22) Die Betriebsphase F ist bei einer SWR-Anlage in der Regel nur in besonderen Fällen (z.B. zur Druckprüfung des Reaktordruckbehälters) gegeben.

23) Ausgenommen ist das große Leck an der Druckführenden Umschließung innerhalb des Sicherheitsbehälters.

24) Großes Leck innerhalb des Sicherheitsbehälters: Stufe D ist nicht zulässig, wenn nachfolgend der Einsatz der Komponente zur Störfallbeherrschung erforderlich ist.

25) Für den Fall, dass eine Beeinträchtigung der Funktionsfähigkeit nicht auszuschließen ist, muss ein Funktionsnachweis erbracht werden, der auch nach Eintritt der Einwirkung längerfristig einen sicheren Anlagenzustand einschließt. Alternativ können für die Druckführende Umschließung und die Äußeren Systeme die Beanspruchungen auf Stufe B eingeschränkt werden.

26) Für Beanspruchungen des Sicherheitssystems aus dessen Betrieb.

27) Für Komponenten, die für die Beherrschung des Ereignisses erforderlich sind, ist ein Funktionsnachweis zu erbringen.

28) Die Einhaltung der Stufe C kann erforderlich sein, falls die Integrität der Komponenten, insbesondere der Rohranschlüsse, bei Einhaltung der Stufe D nicht gewährleistet werden kann.

29) Für die Lastfälle "Flugzeugabsturz" und "Explosionsdruckwelle" ist der Integritätsnachweis für die ungestörten Bereiche des Sicherheitsbehälters zu führen.

30) Bei Einwirkungen durch Erdbeben sind standortspezifisch ggf. auch Nachbeben zu berücksichtigen

31) In Beanspruchungsstufe A, siehe Anlage 1.

*) Das Bundesministerium für Umwelt, Naturschutz und Reaktorsicherheit sowie die für die atomrechtliche Genehmigung und Aufsicht der in Betrieb befindlichen Kernkraftwerke zuständigen Landesbehörden sind übereingekommen, die "Sicherheitskriterien für Kernkraftwerke" vom 21. Oktober 1977 (BAnz. Nr. 206 vom 3. November 1977) sowie die Leitlinien zur Beurteilung der Auslegung von Kernkraftwerken mit Druckwasserreaktoren gegen Störfälle im Sinne des § 28 Absatz 3 der Strahlenschutzverordnung (StrlSchV) - Störfall-Leitlinien - vom 18. Oktober 1983 (BAnz. Nr. 245a vom 31. Dezember 1983) zu überarbeiten, zu aktualisieren und damit fortzuschreiben.

Gleichzeitig werden die "Grundlagen für Sicherheitsmanagementsysteme in Kernkraftwerken vom 29. Juni 2004" (BAnz. S. 16.275) außer Kraft gesetzt.

Die hiermit veröffentlichten "Sicherheitsanforderungen an Kernkraftwerke" gelten für Anlagen zur Spaltung von Kernbrennstoffen zur gewerblichen Erzeugung von Elektrizität (Kernkraftwerke). Sie enthalten grundsätzliche und übergeordnete sicherheitstechnische Anforderungen im Rahmen des untergesetzlichen Regelwerks, welche der Konkretisierung der nach dem Stand von Wissenschaft und Technik erforderlichen Vorsorge gegen Schäden durch die Errichtung und den Betrieb der Anlage nach § 7 Absatz 2 Nummer 3 des Atomgesetzes (AtG) sowie von Anforderungen nach § 7d AtG dienen. Im Hinblick auf die in Deutschland betriebenen Kernkraftwerke betrifft dies Änderungsgenehmigungen. Dabei ist die höchstrichterliche Rechtsprechung zur Reichweite der behördlichen Prüfung in Änderungsgenehmigungsverfahren zu beachten.

Die "Sicherheitsanforderungen an Kernkraftwerke" sind ferner bei sicherheitstechnischen Bewertungen im Rahmen der §§ 17, 19 AtG heranzuziehen; die Veröffentlichung ist jedoch kein Anlass für eine gesonderte Sicherheitsüberprüfung. Die in der jeweiligen Genehmigung getroffenen Festlegungen haben Bestand, soweit diese Festlegungen nicht durch neuere Erkenntnisse in Frage gestellt und somit neu bewertet werden müssen. Ein Eingriff in den Genehmigungsbestand ist nur unter den Voraussetzungen von § 17 AtG möglich.

Die "Sicherheitsanforderungen an Kernkraftwerke" beinhalten die Sicherheitskriterien und Leitlinien für Kernkraftwerke im Sinne von § 49 Absatz 1 Satz 3 StrlSchV und schreiben diese fort.

Anforderungen an die Anlagensicherung sind nicht enthalten.

Soweit es sicherheitstechnisch erforderlich ist, sind die "Sicherheitsanforderungen an Kernkraftwerke" auch für Kernkraftwerke, die aufgrund § 7 Absatz 1a AtG die Berechtigung zum Leistungsbetrieb verloren haben oder aufgrund einer Entscheidung des Betreibers im Nachbetrieb sind, heranzuziehen.

Die verwendeten Begriffe sind - soweit erforderlich - in Anhang 1 definiert. Die Anhänge 2, 3, 4 und 5 untersetzen bzw. ergänzen die Sicherheitsanforderungen. Anhang 2 konkretisiert Anforderungen hinsichtlich zu berücksichtigender Ereignisse, Anhang 3 hinsichtlich des Schutzes gegen Einwirkungen von innen und außen sowie aus Notstandsfällen. Anhang 4 konkretisiert die Grundsätze für die Anwendung des Einzelfehlerkriteriums und für die Instandhaltung, Anhang 5 benennt Anforderungen an die Nachweisführung und Dokumentation.

Die "Sicherheitsanforderungen an Kernkraftwerke" sollen in regelmäßigen Abständen einem Aktualisierungsprozess im Rahmen des Länderausschusses für Atomkernenergie unterzogen werden. Dabei sollen in einem ersten Schritt die den übergeordneten

"Sicherheitsanforderungen an Kernkraftwerke" zuzuordnenden Interpretationen, die im Wesentlichen weitere, jedoch untergeordnete sicherheitstechnische Anforderungen enthalten und die noch nicht in Form von Regeln des Kerntechnischen Ausschusses bestehen, ausgearbeitet werden. Diese sollen so bald wie möglich in Abstimmung mit den zuständigen atomrechtlichen Landesbehörden veröffentlicht werden.

Nachfolgend gebe ich die "Sicherheitsanforderungen an Kernkraftwerke" mit fünf Anhängen bekannt.

ENDE