Frage 129: Folgerung des WIPP Störfalls für Lagerauslegung und Lagerkonzept SMA
Am Technischen Forum Sicherheit vom 5. Dezember wurden von Seiten von ENSI und Felslabor Mont Terri (FMT) drei Fachvorträge zu den Störfällen in der Waste Isolation Pilot Plant (WIPP) Carlsbad, New Mexico gehalten. Vorläufige Lehren aus den Vorfällen sind kurz gefasst:
Organisation und das Risikomanagement wiesen Defizite aus (Sicherheits- und Fehlerkultur);
Defizite bei einer klaren Auslegung von geeigneten Massnahmen zur Minderung von Folgen;
Lüftung/Abluftfilterung muss als Sicherheitssystem kreditiert werden;
Chemische Stabilität von Abfällen (vor allem SMA) muss gewährleistet sein (wurde Katalyse von chemischen Prozessen zu wenig beachtet?).
dem Faktor Mensch kommt als Fehlerquelle eine zentrale Rolle zu.
Ergeben sich aus dieser vorläufigen Unfallanalyse Folgerungen für ein Lagerkonzept insbesondere für SMA, für die Konditionierung von Abfällen und für die Lagerauslegung bezüglich folgender Themen?
Zugangsbauwerke: Hat die Erschliessung nur mit Schächten mögliche Vorteile für die Kreditierung des Lüftungssystems (höhere Übersichtlichkeit/Einfachheit der Teilsysteme) gegenüber Kombinationen von Schacht und Rampe?
Weisen Lagerauslegungen, welche auf Einsatz von Fahrzeugen mit Dieselmotoren/viel Hydrauliköl eher verzichten mögliche Vorteile? Dies insbesondere bei Verzicht von Diesel/Hydraulik betriebene Spezialfahrzeugen, die nicht aus breit typengeprüften Bauserien stammen?
Welche Auswirkungen hat der Unfall im WIPP auf die Strategien der Konditionierung von Schweizer SMA Abfällen? Gibt es Handlungsbedarf bei Qualität von bereits konditionierten SMA Abfällen?
Welche allfälligen Auswirkungen hat der Unfall im WIPP auf die Strategien der Lagerauslegung in der Schweiz?
Welche Auswirkungen hat der Unfall im WIPP auf die Sicherheits- und Fehlerkultur bei der Projektierung der Tiefenlager Schweiz?
Die Störfälle im amerikanischen Endlager WIPP haben gegenwärtig keinen Einfluss auf das bestehende schweizerische Regelwerk zur Konditionierung radioaktiver Abfälle. Das Regelwerk beinhaltet bereits konkrete Bestimmungen und die konsequente Aufsicht durch das ENSI sorgt dafür, die Ursachen des Störfalls im WIPP und dessen Vorgeschichte zu vermeiden. Das ENSI wird die Abfallverursacher auffordern, für bestehende Abfallgebindetypen der Schweiz mit ähnlichen Inhaltsstoffen deren frühere Sicherheitsbewertungen zu bestätigen. Als mögliche Konsequenzen für ein zukünftiges geologisches Tiefenlager in der Schweiz hat das ENSI drei Anforderungen identifiziert, die insbesondere die Auslegung der Lüftungssysteme betreffen.
Zur Beantwortung der TFS-Fragen 129c-e hat das ENSI vor allem zwei Quellen verwendet: Erstens standen dem ENSI die beiden „Accident Investigation Reports“ zu den Phasen 1 und 2 zur Verfügung, die durch das U.S. Department of Energy (DOE) veröffentlicht worden sind. Zweitens wurden im Rahmen des Workshops „WIPP: Lessons Learnt“ der Nuclear Energy Agency am 31. März 2016 in Paris durch Mitarbeiter des DOE den europäischen Kollegen die Ergebnisse der Untersuchungen zu den Störfällen präsentiert (www.oecd-nea.org/rwm/workshops/wipp-seminar2016/).
a und b)
Die Teilfragen a und b werden von der Nagra beantwortet.
c)
Die TFS-Fragen 129c kann in zwei Fragen c1 und c2 unterteilt werden, die einerseits die Strategien der Konditionierung von Schweizer SMA-Abfällen hinterfragt (c1), andererseits die Frage nach dem Handlungsbedarf bei der Qualität von bereits konditionierten SMA-Abfällen stellt (c2).
Zu c1 hält das ENSI fest, dass es zurzeit keine Auswirkungen auf die allgemeine Strategie der Konditionierung von Schweizer SMA-Abfällen feststellt und damit auf Stufe Regelwerk auch kein Handlungsbedarf vorhanden ist. Die Erkenntnisse der vom DOE eingesetzten Untersuchungskommission haben gezeigt, dass seitens Hersteller keine angemessene Verfahrensqualifikation und keine unabhängige Produktkontrolle bei der Abfallbehandlung stattgefunden haben und seitens Endlagerbetreiber keine unabhängige Prüfung der Produkte bei deren Annahme erfolgt ist.
Im schweizerischen Regelwerk stellt die Genehmigung von Konditionierungsverfahren durch das ENSI sicher, dass Rohabfälle und Verfahren nur kombiniert werden, wenn transport-, zwischen- und endlagerfähige Produkte erzeugt werden. Produktion, Transport und Zwischenlagerung der erzeugten Gebinde stehen unter Aufsicht des ENSI und werden regelmässig inspiziert. Die detaillierten Anforderungen an die Abfall-Konditionierungsverfahren sind in der Richtlinie ENSI-B05 geregelt. Dort ist auch die so genannte Typenprüfung festgelegt, ein Verfahren zur probenweisen Konditionierung einiger Testgebinde, an denen dann umfassende Qualitätsprüfungen vorgenommen werden. Das ENSI fordert derartige Tests immer dann, wenn wesentliche Neuerungen eingeführt werden sollen, oder Zweifel an der Verträglichkeit von Behandlungsverfahren und Abfallkomponenten bestehen. Geeignete Annahmebedingungen für die Abfälle in einem geologischen Tiefenlager werden in der Richtlinie ENSI-G03 gefordert.
Die Auswirkungen auf die spezifische Konditionierung bei den Schweizer SMA-Abfällen (Frage c2) werden gegenwärtig abgeklärt. Nach Auswertung der schweizerischen Abfalldatenbanken wurde eine Anzahl von Gebinden identifiziert, welche zum Teil vergleichbare Rohabfälle enthalten, wie das auslösende Abfallgebinde beim zweiten WIPP-Störfall. Allerdings wurden zur Konditionierung andere Verfahren angewendet. Diese Gebinde befinden sich seit vielen Jahren in der Zwischenlagerung, sind Bestandteil des routinemässigen Inspektionskonzeptes und haben sich bisher völlig unauffällig verhalten. Gleichwohl hat das ENSI im Rahmen seiner Aufsicht den Abfallerzeuger aufgefordert, eine vertiefte Auswertung der seinerzeit angewendeten Verfahren im Licht der Erkenntnisse aus dem WIPP-Störfall durchzuführen.
d)
Das ENSI sieht aufgrund der US-Berichte zum jetzigen Zeitpunkt drei direkte Auswirkungen, die in die zukünftigen Anforderungen an eine Lagerauslegung einfliessen dürften:
Auslegung und Klassierung der Lüftung: Wesentliche Erkenntnis aus dem Störfall war, dass die Lüftung im WIPP nicht darauf ausgelegt war, bei kontaminierter Luft die ganze Anlage zu belüften und die ausströmende Luft vollständig über HEPA-Filter laufen zu lassen. Der obere Teil des Lüftungssystems war nicht klassiert. Konsequenterweise sind die Lüftungsanlagen eines Tiefenlagers in der Schweiz so auszulegen, dass auch ein kontaminierter Luftstrom in vollem Umfang über entsprechende Filtersysteme geleitet werden kann. Für die Entrauchung der untertägigen Anlage sind maximale Zeiten festzulegen, die im Brandfall eine rasche Intervention erlauben. Die Lüftungsanlage ist als ganzes System zu klassieren.
Auslegung des Monitoring-Systems: Im Endlager WIPP wurde die Abluft zur Zeit des Störfalls von einem einzigen Luftüberwachungssystem analysiert. Das Luftüberwachungssystem war nicht klassiert. Der zuständige Operateur ging von einer Fehlfunktion des Monitors aus und schaltete ihn aus. Als Konsequenz sind die Luftüberwachungssysteme zu klassieren und müssen mehrfach vorhanden sein.
Trennung von Ausbruchs- und Einlagerungsbetrieb: Vor dem Störfall im Endlager WIPP war die gesamte Anlage kontaminationsfrei. Nach dem Störfall sind alle unterirdischen Anlagen kontaminiert. Dies wäre nicht der Fall gewesen, wenn Bereiche mit Einlagerungsbetrieb (bzw. mit erfolgter Einlagerung) und Auffahrbetrieb (oder ohne Einlagerung) konsequent lüftungstechnisch getrennt gewesen wären. Es ist daher aus Sicht des ENSI zu prüfen, wie die Bereiche, die sich im Ausbruch befinden, konsequent von den Bereichen abgetrennt werden können, in denen eine Einlagerung von Abfällen stattfindet. Eine solche Trennung kann durch bauliche, administrative und lüftungstechnische Massnahmen erfolgen und soll im Störfall den Bereich möglicher Kontamination möglichst gering halten.
e)
Das ENSI (Sektion Mensch und Organisation, MEOS) beantwortete diese Teilfrage nach den Auswirkungen des Unfalls im WIPP auf die Sicherheits- und Fehlerkultur bei der Projektierung der Tiefenlager Schweiz. Dabei ging es nicht inhaltlich auf den Unfall im WIPP ein, sondern beschrieb sein Verständnis und seinen Ansatz in der Aufsicht über die Sicherheitskultur.
Eine „Kultur“ – und damit auch Sicherheitskultur – kann nicht verordnet werden, geht es dabei doch im Kern um Haltungen, Wertvorstellungen und Weltbilder in den Köpfen von Menschen. Kultur kann nicht im Detail in Gesetzen, Verordnungen und Richtlinien geregelt und von der Aufsichtsbehörde umfassend erfasst und bewertet werden. Die Sicherheitskultur einer Organisation darf auch nicht isoliert betrachtet werden. Sie wird vom übergeordneten System von Organisationen und unterschiedlichen Akteuren (Betreiber, Behörden, Lieferanten, Projektanten, politische Institutionen, Forschungseinrichtungen, internationale Organisationen etc.) (mit-)beeinflusst und sie basiert auf tief verankerten gesellschaftlichen Werten und Normen.
Eine Kultur entwickelt sich in einer Organisation von Beginn ihrer Existenz an. Etablierte Kulturen, sind häufig sehr stabil und schwer gezielt veränderbar. Die Kultur aus der Gründungszeit ist häufig sehr lange prägend für die Kultur in späteren Lebensphasen der Organisation. Demnach muss man davon ausgehen, dass die (Sicherheits-) Kultur der Organisation(-en), welche dereinst das Tiefenlager projektieren, bauen und betreiben wird/werden heute schon (mit-) geprägt wird, insbesondere von der Nagra, aber auch von den übrigen Akteuren, welche sich heute mit dem Tiefenlager befassen und sich in die Diskussion und die Entscheidungen einbringen, beispielsweise das ENSI, die Regionalkonferenzen, die Standortkantone und -gemeinden, der Bund, die politischen Instanzen, die betroffenen Nachbarstaaten, die Forschungseinrichtungen etc..
Die eigentliche Aufsichtstätigkeit des ENSI mit Enforcementmöglichkeit wird im Bereich „Mensch und Organisation“ erst im Zusammenhang mit der Rahmenbewilligung für ein geologisches Tiefenlager beginnen. Trotzdem thematisiert das ENSI die Sicherheitskultur bereits heute. Ein Fachgespräch zum Dialog über Sicherheitskultur mit der Nagra, in Anlehnung an die gleichnamigen Gespräche, welche seit Längerem in den Kernkraftwerken und den anderen Kernanlagen regelmässig geführt werden, ist bereits in Planung. Die Nagra lässt sich also – auf freiwilliger Basis – bereits heute mit dem ENSI auf einen Dialog über die Sicherheitskultur und deren Implikationen für die Sicherheit des späteren Tiefenlagers ein.
Beantwortet von Nagra
Die Waste Isolation Pilot Plant des US Department of Energy (DOE) in Carlsbad (US-Bundesstaat New Mexico) dient der Einlagerung von nicht-wärmeentwickelnden TRU[1]-Abfällen aus militärischer Forschung und Produktion. Beim Wirtgestein handelt es sich um Steinsalz, die Einlagerungssohle befindet sich auf 655 m u. T. Die Anlage wurde am 26. März 1999 in Betrieb genommen. Am 5. Februar 2014 kam es zu einem Fahrzeugbrand, am 14. Februar 2014 zu einer Freisetzung von Am-241 und Pu-239/240 unter und über Tage. Die beiden Vorfälle wurden durch das DOE umfassend aufgearbeitet[2][3] und sind voneinander unabhängig eingetreten. Der Fahrzeugbrand am 5. Februar wurde durch Kontakt von brennbaren Flüssigkeiten mit heissen Oberflächen am Fahrzeug ausgelöst. Weil das automatische Feuerlöschdispositiv an Bord deaktiviert war, konnte der Brand nicht sofort eingedämmt werden. Zum Brandzeitpunkt befanden sich 86 Personen in der Anlage, alle konnten diese sicher verlassen. Sechs Personen wurden wegen Rauchvergiftung ins Spital gebracht, sieben weitere wurden vor Ort behandelt. Die Freisetzung von Radionukliden vom 14 Februar ist vermutlich auf eine chemische Reaktion in einem Abfallgebinde zurückzuführen. Bei 21 Arbeitern bestand Verdacht auf Inkorporation, der sich bei 13 Personen bestätigte. Durch einen Bypass im Abluftfiltersystem wurden auch über Tage Radionuklide freigesetzt. Der Grenzwert von 0,01 mSv für die Bevölkerung wurde nicht überschritten.
a)
Das Lüftungssystem im geologischen Tiefenlager erfüllt wichtige Aufgaben zur Gewährleistung der nuklearen als auch konventionellen Sicherheit . Die Lüftung hat die Funktion der Versorgung der Anlage (speziell der Zugangsbauwerke nach Untertag sowie Bauwerke auf Lagerebene) mit Frischluft bei Einhaltung geeigneter klimatischer Bedingungen (Sauerstoffkonzentration, Entstaubung, Klimatisierung (Temperatur und Luftfeuchtigkeit)) sowie die Vermeidung der Ansammlung explosionsgefährdender bzw. toxischer Konzentrationen von Gasen. Zudem soll die Lüftung so gestaltet werden, dass ein Eingreifen bei Abweichungen und Störfallen (bspw. Isolation von Bränden durch Brandabschnitte, kontrollierte Entrauchung, Unterdruckluftstaffelung für kontrollierte Zonen) möglich ist, so dass die Flucht-, Rettungs- und Evakuierungswege möglichst immer rauchfrei sind und mit Frischluft versorgt werden können.
Die Konfiguration der Zugangsbauwerke (Schacht/Rampe) hat auf die grundsätzlichen Lüftungswege keinen Einfluss. Die Hauptlüfter zur Unterdruckhaltung sind an der Oberfläche beim Portal des Hauptzugangs in der Oberflächenanlage angeordnet. Damit wird keine Luft unkontrolliert an die Umgebung abgegeben und die dazu erforderlichen Lüftungsanlagen sind jederzeit gut zugänglich. Die Frischluft wird auf möglichst direktem Weg über den Lüftungsschacht auf das Lagerniveau geführt und von dort in die verschiedenen untertägigen Anlagenbereiche verteilt (Fig. 129-1).
Figur-129-1: Lüftungswege während des Einlagerungsbetriebs in ein geologisches Tiefenlager mit verschiedenen Zugangskombinationen über Schächte und/oder Rampen. Blau: Frischluftzufuhr; rot: Abluft aus der kontrollierten Zone; grün: Abluft aus den konventionellen Bereichen.
Die Abluft aus der kontrollierten Zone und aus den konventionellen Bereichen wird als weiteres Sicherheitsmerkmal getrennt abgeführt. So wird die Abluft aus der kontrollierten Zone über die Oberflächenanlage abgeführt, wo die Abluft kontinuierlich auf Kontamination geprüft und bei Bedarf für den gesamten Abluftstrom redundante Filteranlagen zugeschaltet werden können. Die Abluft aus den konventionellen Bereichen wird abgetrennt über Nebenzugangsanlagen abgeführt. So wird bei einem Ereignis in der kontrollierten Zone eine mögliche Kontamination der konventionellen Bereiche verhindert. Für das Lüftungssystem ergeben sich keine grundsätzlichen Unterschiede zwischen Zugängen nur über Schächte oder über Kombinationen von Schächten und Rampen, welche zu einer Bevorzugung einer Zugangsvariante führen.
Die übersichtliche und einfache Ausgestaltung des Lüftungssystems (nur eine Strömungsrichtung, räumliche Trennung von Zuluft und Abluft aus kontrollierten Zonen und konventionellen Bereichen) sowohl in den Zugängen als auch auf Lagerebene tragen somit zur Sicherheit eines geologischen Tiefenlagers bei.
Grundsätzlich gehören Brände in untertägigen Anlagen zu den gefährlichsten zu betrachtenden Störfällen. Entsprechend ist es das Ziel die Entstehung von Bränden zu verhindern, das Brandrisiko durch Minimierung der Brandlasten und Zündquellen in Verbindung mit einer frühzeitigen Erkennung und Alarmierung gering zu halten sowie durch gezielte Brandfallsteuerungen und Einsatz von Löscheinrichtungen eine Brandausbreitung zu begrenzen und zu bewältigen. Weiter sind die Endlagerbehälter und internen Transportbehälter auf die potenziellen Brandlasten ausgelegt.
Die Entstehung von Kohlenwasserstoffgasen, resp. von Staub mit erhöhtem Kohlenstoffanteil aus dem Opalinuston während der Bauphase und eine damit verbundene Gefährdung des Personals liegt aufgrund der Erfahrungen im Felslabor Mont Terri unter der Nachweisgrenze der Gasüberwachungsmessgeräte. Denn für die Entstehung von Kohlenwasserstoffgasen (insbesondere Methan) sind der Anteil und die Maturität des organischen Materials im Opalinuston zu gering. Zudem wird die Luftqualität beim Bau untertage mit der Einhaltung von gesetzlichen Vorgaben laufend kontrolliert werden. Die übersichtliche und einfache Ausgestaltung des Lüftungssystems (nur eine Strömungsrichtung, räumliche Trennung von Zuluft und Abluft aus kontrollierten Zonen und konventionellen Bereichen) sowohl in den Zugängen als auch auf Lagerebene tragen einen weiteren Teil zur Sicherheit bei.
Das US Department of Energy (DOE) identifizierte als direkte Ursache für den Fahrzeugbrand vom 5. Februar 2014 in der WIPP den Kontakt von brennbaren Flüssigkeiten mit heissen Oberflächen des Fahrzeugs. Dass es aber überhaupt so weit kommen konnte, schreibt das DOE in seinem Untersuchungsbericht[2] tiefer liegenden Ursachen zu (sogenannte „root causes“). Unter anderem bemängelte das DOE das Nicht-Erkennen und Nicht-Entfernen einer Anhäufung brennbarer Materialien und die Entscheidung, das automatische Feuerlöschdispositiv des Fahrzeugs manuell zu deaktivieren. Zudem war das in Brand geratene Dieselfahrzeug 29 Jahre alt, mangelhaft gewartet und das Personal mangelhaft geschult. Der Verzicht auf den Einsatz von Dieselfahrzeugen, resp. auf Fahrzeuge mit relevanten Mengen an Hydrauliköl an Bord verringert mögliche Brandlasten; genauso wichtig ist aber auch – wie der WIPP-Vorfall zeigt – eine gelebte Sicherheitskultur bei den Mitarbeitenden zu fördern.
In einem geologischen Tiefenlager können Fahrzeuge mit Dieselmotoren und/oder Hydrauliköl grundsätzlich überall zum Einsatz kommen, oberirdisch in der Oberflächenanlage und in einer Nebenzugangsanlage, unterirdisch in einem Zugangsbauwerk und in den Bauten und Anlagen auf Lagerebene. In Zusammenhang mit dieser Frage werden die Fahrzeuge betrachtet, die unter Tage eingesetzt werden können.
Fahrzeuge in den Zugangsbauwerken:
Als Grundlagen für Etappe 2 im Sachplanverfahren wurden folgende Fahrzeuge, resp. Fördersysteme für den Einsatz in Zugangsbauwerken in Betracht gezogen und sicherheitstechnisch untersucht:
Schachtförderanlagen: Keine resp. nur sehr geringe Brandlasten.
Standseilbahnen: Geringe Brandlasten, beschränkte Hydraulik, kein Antrieb auf Fahrzeug (kein Diesel).
Gleislosfahrzeuge: deutlich höhere Brandlasten, Hydraulik-Systeme und Dieselmotor (Brandschutzsysteme auf Fahrzeug)
Bei den untersuchten Fahrzeugen kommt die Nagra zum Schluss, dass alle erwähnten Systeme im geologischen Tiefenlager technisch realisierbar und ausreichend sicher sind. Zur Sicherheit tragen aber nicht nur die Fahrzeuge allein bei, sondern auch die Organisation. So ist vorgesehen, die Transporte von radioaktiven Materialien von den übrigen Transporten zeitlich und räumlich zu trennen. So werden auch während des Einlagerungsbetriebs die Transportfrequenzen von verpackten radioaktiven Abfällen gering sein.
Fahrzeuge auf Lagerebene:
Für den Transport der Endlagerbehälter vom zentralen Bereich in die Lagerkammern sind im Nagra-Referenzkonzept schienengebundene, batteriebetriebene Transportsysteme vorgesehen (d.h. kein Diesel, aber evtl. Hydrauliksysteme). Des Weiteren sind elektrisch betriebene Hebeanlagen (Krananlagen) bei den Lagerkammern vorgesehen. Für Personentransporte in den untertägigen Anlagen sind Diesel-Fahrzeugen nicht ausgeschlossen (Diesel-Fahrzeuge sind heute gängige Praxis im untertägigen Einsatz). Ein Entscheid, welche Transportsysteme eingesetzt werden sollen, wurde noch nicht getroffen.
Spezialfahrzeuge für Transport der Endlagerbehälter:
Die Anforderungen an Transportfahrzeuge für Endlagerbehälter in einem geologischen Tiefenlager sind sehr spezifisch, denn die Behälter verfügen über besondere Abmessungen und Gewichte, die unter engen Platzverhältnissen manövriert werden müssen. Gerade für diese Spezialfahrzeuge gelten sehr hohe Sicherheitsanforderungen, z. B. betreffend Begrenzung der Brandlasten, Fallhöhen, Fahrweg und Geschwindigkeit. In ihrem Referenzkonzept strebt die Nagra einen hohen Automatisierungsgrad der Fahrzeuge und des Einlagerungsprozesses an. Damit folgt die Nagra dem ALARA-Prinzip im Strahlenschutz und minimiert gleichzeitig die Wahrscheinlichkeit von menschlichen Fehlhandlungen.
Grundsätzlich gilt es festzuhalten, dass für den Transport der Endlagerbehälter spezifisch ausgelegte Fahrzeuge notwendig sind, welche die hohen an sie gestellten Anforderungen erfüllen und deren Einhaltung mit einem Prüfprogramm nachweisen müssen.
Teilfrage c ist an die Behörde gerichtet; von der Nagra ist keine Antwort zu geben.
d)
Bei der Untersuchung der beiden Vorfälle in der WIPP vom 5. Februar 2014 (Fahrzeugbrand) und 14. Februar 2014 (Radionuklidfreisetzung) identifizierte das DOE systemische und organisatorische Mängel als Grundursache. Unmissverständlich hält das DOE fest, dass beide Vorfälle mit einer besseren Organisation und einem besseren Management hätten vermieden werden können.
Für beide Vorfälle erstellte das DOE ein Liste mit Schlussfolgerungen («Conclusions») und jeweils daraus abgeleitetem Handlungsbedarf («Judgements of Need»). Die Schlussfolgerungen sind jeweils sehr spezifisch. Die Betreiberin des WIPP muss vor allem Organisation und Sicherheitskultur verbessern. An der Lagerauslegung müssen keine Änderungen vorgenommen werden, da sie keinen Einfluss bzw. nur geringen Einfluss auf die Vorfälle hatte.
Unabhängig von den beiden Vorkommnissen in der WIPP verfolgt die Nagra generell die Erfahrungen im Ausland sowie die Entwicklung von Technik und Wissenschaft genau, um daraus Rückschlüsse auf das Schweizer Tiefenlagerprojekt zu ziehen (Sachplanverfahren und stufenweise Konkretisierung des Projekts im Rahmen des mehrstufigen Bewilligungsverfahrens gemäss Kernenergiegesetzgebung). Der Erfahrungsaustausch erfolgt z. B. durch die Teilnahme an Fachgremien und Fachtagungen sowie durch die Mitgliedschaft in Fachverbänden (z.B. International Association for Environmentally Safe Disposal of Radioactive Materials EDRAM, Schweizerischer Ingenieur- und Architektenverein SIA, Verein für Risiko und Sicherheit VRS, Schweizerische Gesellschaft der Kernfachleute SGK, Deutsch-Schweizerischer Fachverband für Strahlenschutz e.V., American Nuclear Society ANS, etc.). Bei der schrittweisen Realisierung der geologischen Tiefenlager in der Schweiz können neue Erkenntnisse aufgenommen werden und die Auslegung, Abläufe und Organisation zum Schutz von Mensch und Umwelt entsprechend angepasst werden.
In der Schweiz bestehen sowohl für die konventionelle Sicherheit unter Tage als auch für die nukleare Sicherheit umfangreiche Regelwerke, die sich an Stand von Wissenschaft und Technik orientieren und ständig aktualisiert werden. Diese Regelwerke müssen bei der stufenweisen Konkretisierung des Projekts berücksichtigt werden. Diese in der Schweiz geltenden hohen Sicherheitsstandards lassen sich mit der Situation in der WIPP zum Zeitpunkt der Vorfälle nicht vergleichen.
Das Auslegungskonzept der Nagra für geologische Tiefenlager orientiert sich am Konzept der gestaffelten Sicherheitsvorsorge und ist entsprechend technisch und organisatorisch auf die Bewältigung von Ereignissen ausgelegt. Die derzeitige Planung der Nagra sieht bereits vor, dass die verschiedenen Anlagenbereiche lüftungstechnisch voneinander getrennt werden können. Mit der schrittweisen Konkretisierung des Projekts im Rahmen des mehrstufigen Bewilligungsverfahrens gemäss Kernenergiegesetzgebung wird auch das Auslegungskonzept jeweils überprüft und ggf. angepasst. Deshalb muss das derzeitige Auslegungskonzept nicht angepasst werden.
e)
Die Untersuchungen des DOE der beiden WIPP-Vorfälle zeigen, dass diese massgeblich durch menschliche und organisatorische (Human and Organisational Factors, HOF) Mängel begünstigt wurden. Allgemein stellte das DOE Mängel bei der Sicherheitskultur fest.
Das ENSI definiert den Begriff «Sicherheitskultur» im Bericht «Aufsicht über die Sicherheitskultur von Kernanlagen» (ENSI-AN-8708) folgendermassen:
«Sicherheitskultur umfasst von den Mitgliedern der Organisation geteilte Werte, Weltbilder, verbales und nonverbales Verhalten sowie Merkmale der vom Menschen geschaffenen physischen Umwelt. Zur Sicherheitskultur gehören jene Werte, jene Weltbilder, jenes Verhalten und jene Umgebungsmerkmale, die bestimmen oder zeigen, wie die Mitglieder der Organisation mit (nuklearer) Sicherheit umgehen.»
Zur Sicherheitskultur gehört auch ein offener Umgang mit Fehlern und die Bereitschaft, aus Fehlern zu lernen (und nicht zu bestrafen).
Die Anforderungen an die Sicherheit eines geologischen Tiefenlagers sind sehr hoch und werden durch umfangreiche gesetzliche und behördliche Vorgaben geregelt, insbesondere:
Nukleare Betriebssicherheit und Strahlenschutz (KEG, KEV, StSG, StSV, NFSV, ENSI-Richtlinien)
Personensicherheit, Arbeitssicherheit und Gesundheitsschutz während der Betriebsphase (Bundesverfassung, OR, VKF, UVG, PrSG, VUV, EleG, SIA-und ISO-Normen, EKAS- und SUVA-Richtlinien)
Auswirkungen der Betriebsphase auf die Langzeitsicherheit (KEG, KEV, ENSI-G03)
Auswirkungen der Betriebsphase auf die Umwelt (StFV, GSchG, GSchV, VWF, BAFU-Vorgaben)
Diese umfangreichen sicherheitstechnischen Vorgaben lassen sich nur mit einer gelebten Sicherheitskultur wirkungsvoll umsetzen. Bei den Betreibern der Kernanlagen in der Schweiz wird der Sicherheitskultur bereits heute ein hohes Gewicht beigemessen – auch bei der Nagra (Fig. 129-2). Leitbild und Verhaltenskodex z. B. sind die äusseren Zeichen einer gelebten Sicherheitskultur.
Figur 129-2: Ausgewählte Aspekte der Sicherheitskultur bei der Nagra
Im Rahmen des Bewilligungsverfahrens sind für die unterschiedlichen Bewilligungsstufen jeweils auch Nachweise über die Sicherheitskultur den Behörden gegenüber zu erbringen. So ist mit den Unterlagen zum Rahmenbewilligungsgesuch für ein geologisches Tiefenlager ist ein Sicherheitsbericht vorzulegen, der unter anderem die Grundzüge der nuklearen Sicherheit (Art. 5 KEG, Art. 7 KEV), wichtige personelle und organisatorische Angaben (Art. 23 KEV) und ein Qualitätsmanagementprogramm (Art. 25 KEV) beinhaltet. Die Gesuchsunterlagen für die Baubewilligung müssen ein Qualitätsmanagementprogramm für die Projektierungs- und Bauphase beinhalten (Art. 25, Anhang 4 KEV). Und mit dem Betriebsbewilligungsgesuch müssen schliesslich umfangreiche organisatorische und technische Dokumente eingereicht werden (Art. 20, 22 KEG; Art. 30, Anhänge 3 und 4 KEV).
Diese laufende Berücksichtigung von HOF-Aspekten bereits während der Planung erlaubt es, technische Einrichtungen und Organisation auf die menschlichen Bedürfnisse abzustimmen und zu optimieren (Fig. 129-2).
[1] TRU: Transuranabfälle, in den USA eine gesonderte Abfallkategorie (α-Strahler mit > 37‘000 Bq/g und Halbwertszeit > 20 Jahre).
[2] Accident Investigation Report: Unerground Salt Haul Truck Fire at the Waste Isolation Pilot Plant, February 5, 2014. U.S Department of Energy, Office of Environmental Management, 2014.
[3] Accident Investigation Report: Radiological Release Event at the Waste Isolation Pilot Plant, February 14, 2014. U.S Department of Energy, Office of Environmental Management, 2015.
