KKW Beznau: Montageabweichung an den Notstanddieselgeneratoren

Die seit der Inbetriebnahme der Notstandsysteme in den Jahren 1992 und 1993 bestehenden Montageabweichung in den Motorlagern der Notstanddieselgeneratoren des KKW Beznau führten zu einer reduzierten Erdbebenfestigkeit. Trotzdem waren, dank diversen Nachrüstungen und weiteren Massnahmen, die gesetzlichen Anforderungen an die Erdbebensicherheit mit Ausnahme der Monate April und Mai 2012 erfüllt. Zu diesem Schluss kommt das ENSI nach der Überprüfung des Vorkommnisses vom Dezember 2020. Damals hatte das KKW Beznau nach Entdecken der Montageabweichung umgehend beide Blöcke abgestellt, um die Abweichung zu beheben.

Das Eidgenössische Nuklearsicherheitsinspektorat ENSI forderte 2016 die neuen Erdbebennachweise der Schweizer KKW in drei Etappen. Die KKW haben die erste Etappe dieser Nachweisführung abgeschlossen. Die weiteren Etappen sind beim ENSI im Stadium der Überprüfung. Für diese Erdbebennachweise führte das KKW Beznau diverse Sicherheitsstudien durch und erstellte Nachweise für das Beherrschen des 10’000- und des 1000-jährlichen Erdbebens. Im Rahmen dieser Studien wurden auch die Notstanddiesel überprüft. Dabei wurde eine Montageabweichung an den Schwingungsdämpfern der beiden Notstanddieselgeneratoren festgestellt.

Nachdem diese Abweichung am 7. Dezember 2020 festgestellt worden war, nahm die Betreiberin Axpo die beiden Blöcke am 9. Dezember 2020 vom Netz. Die Montageabweichung wurde ordnungsgemäss behoben. Die zuständigen Fachkräfte des ENSI begleiteten die Arbeiten und hatten keine Einwände gegen das Wiederanfahren am 21. Dezember 2020.

Zudem überprüfte das ENSI, ob auch andere Schweizer KKW ähnliche Montageabweichungen aufweisen. Dies war nicht der Fall.

Die Montageabweichung blieb sehr lange unentdeckt

Bei den ursprünglichen Erdbebenberechnungen war angenommen worden, dass in den Schwingungsdämpfern der Dieselgeneratoren sogenannte Anschlagbegrenzer eingebaut sind. Diese fehlten aber.

Die Montageabweichung bestand seit der Inbetriebnahme der Notstanddieselgeneratoren in den Jahren 1992 beziehungsweise 1993. Dies zeigen Belege aus der Grundüberholung durch den Lieferanten in den Jahren 2009 für das KKW Beznau 2 beziehungsweise 2010 für das KKW Beznau 1. Die Anschlagbegrenzer fehlten auch in der zugehörigen Zusammenbaudokumentation. Diese Diskrepanz zwischen den Auslegungsvorgaben und dem Ist-Zustand wurde im Rahmen der Abnahme (Factory Acceptance Test) nicht erkannt.

Für das Betriebspersonal stellte das Fehlen der Anschlagbegrenzer keine Abweichung dar, weil die Anschlagbegrenzer sowohl in der Dokumentation und als auch in den Instandhaltungsvorschriften der Notstanddieselgeneratoren fehlten. Das ist der Grund, weshalb die Montageabweichung so lange nicht erkannt wurde.

Trotzdem bestanden im Rahmen des Konfigurationsmanagements verschiedene Anlässe, beispielsweise die Grundüberholung der Dieselgeneratoren durch den Lieferanten oder das AUTANOVE-Nachrüstprojekt, bei welchen die Diskrepanz zwischen der Auslegungsvorgabe und dem Ist-Zustand hätte erkannt werden können. Das ENSI hat deshalb eine vertiefte Analyse des Sachverhaltes verlangt.

Die Auswirkung der Montageabweichung

In beiden Notstanddieselgeneratoren steht der Dieselmotor mit dem Generator auf einem gefederten Grundrahmen. Auf diesem Grundrahmen ist der Dieselmotor mit zusätzlichen Schwingungsdämpfern befestigt. Der Generator ist starr mit dem Grundrahmen verbunden. Bei einem Erdbeben darf sich der Dieselmotor nur so weit bewegen, wie es die zwischen Motor und Generator liegende Wellenkupplung zulässt.

Die Anschlagbegrenzer dienen dazu, die Bewegungen des Dieselmotors zu begrenzen. Wenn sie fehlen, reduziert sich die Erdbebenfestigkeit des Gesamtsystems. Trotz der fehlenden Anschlagbegrenzer wäre es beim 10’000-jährlichen Erdbeben gemäss den bis 2012 geltenden massgeblichen seismischen Gefährdungsannahmen auch ohne Anschlagbegrenzer nicht zu unzulässigen Relativverschiebungen gekommen. Dies gilt nicht für die im Nachgang zum Unfall in Fukushima stark erhöhten neuen seismischen Gefährdungsannahmen. Das 10’000-jährliche Erdbeben gemäss den neuen seismischen Gefährdungsannahmen wäre ohne Anschlagbegrenzer nicht beherrscht worden.

Sicherheitstechnische Bedeutung des Vorkommnisses

Im Originaldesign des KKW Beznau war vorgesehen, die Notstromversorgung über das nahegelegene Wasserkraftwerk sicherzustellen. Dieses hatte aber eine sehr geringe Erdbebenfestigkeit, weshalb der Bundesrat die Nachrüstung von erdbebenfesten Notstandsystemen forderte. Diese wurden in den Jahren 1992 beziehungsweise 1993 nachgerüstet.

Wie bereits dargelegt, wurden damals in den Schwingungsdämpfern der Dieselmotoren keine Anschlagbegrenzer eingebaut. Trotz der nicht montierten Anschlagbegrenzer wären die Notstanddiesel beider Blöcke des KKW Beznau im Anforderungsfall beim bis zum Jahr 2012 geltenden 10’000-jährlichen Erdbeben betriebsbereit gewesen.

Im Nachgang zum Unfall in Fukushima verfügte das ENSI am 1. April 2011 die Überprüfung der Erdbebensicherheit auf der Basis von stark erhöhten Erdbebenanforderungen bis zum 31. März 2012. Diese erhöhten Anforderungen hätten die Notstanddieselgeneratoren ohne eingebaute Anschlagbegrenzer nicht erfüllt.

Bereits weniger als zwei Monate später, am 25. Mai 2012, wurden zwei zusätzliche Dieselgeneratoren auf dem Areal des KKW Beznau installiert und erfolgreich getestet. Diese sogenannten Accident-Management-Dieselgeneratoren sind nach einem schweren Erdbeben in der Lage, die für die Kühlung des Reaktorkerns benötigte elektrische Energie für beide Blöcke zur Verfügung zu stellen. Somit stand ab dem 25. Mai 2012 eine erdbebenfeste Alternative zu den Notstanddieseln zur Verfügung. Im Jahr 2015 wurden im Rahmen des Projektes AUTANOVE insgesamt vier weitere erdbebenfeste Notstromdieselgeneratoren nachgerüstet.

Zusammenfassend lässt sich festhalten, dass die Montageabweichung eine sicherheitstechnische Bedeutung hatte und sehr lange nicht entdeckt wurde. Trotz den fehlenden Anschlagbegrenzern erfüllten die Notstanddieselgeneratoren die bis zum per 31. März 2012 geltenden Erdbebenanforderungen. Diese wurden vom ENSI nach dem Unfall in Fukushima stark erhöht. Als Folge konnten Erdbebenanforderungen in den Jahren 2012 bis 2017 nicht allein mit den für die Störfallbeherrschung vorgesehenen Notstanddieselgeneratoren erfüllt werden.

Trotzdem ist festzuhalten, dass, abgesehen von einem knapp zwei Monate dauernden Zeitfenster nach dem Inkrafttreten der verschärften Anforderungen per 31. März 2012 bis zur Betriebsbereitschaft der Accident-Management-Diesel am 25. Mai 2012, die für die Kernkühlung erforderlichen Mittel auch unter den stark erhöhten Erdbebenanforderungen zur Verfügung standen.

Vorkommnisbearbeitung abgeschlossen

Das ENSI hat das Vorkommnis der fehlenden Anschlagbegrenzer in zwei Notstanddieseln analysiert. Das Vorkommnis ist von sicherheitstechnischer Bedeutung und wird daher auf der internationalen Ereignisskala mit INES-1 bewertet. Dies ist die tiefste Einstufung auf der siebenstufigen INES-Ereignisskala und beschreibt Abweichungen vom Normalbetrieb, die kein Eingreifen von Sicherheitssystemen erfordern.

Die Besonderheit am vorliegenden Vorkommnis liegt darin, dass die Montageabweichung während einer sehr langen Zeit nicht erkannt worden war. Das ENSI wird deshalb überprüfen, ob die einschlägigen Richtlinien angepasst werden müssen, die den Prüfumfang des ENSI und den Überwachungsumfang des Schweizerischen Vereins für Technische Inspektionen festlegen.

«Sicherheit ist kein Zustand; Sicherheit ist ein Prozess», betont Marc Kenzelmann, Direktor des ENSI. Verschiedene Faktoren tragen dazu bei, dass Schweizer KKW sicher betrieben werden. «Das Vorkommnis hat uns wieder einmal vor Augen geführt, wie wichtig die gestaffelte Sicherheitsvorsorge, das regelmässige Durchführen von Notfallübungen und eine gute Sicherheitskultur sind», sagt Kenzelmann. «Diese waren ausschlaggebend dafür, dass die Erdbebensicherheit des KKW Beznau trotz der Montageabweichung gewährleistet gewesen wäre.»