Technisches Forum Kernkraftwerke

Frage 11: Füllstandsmessung bei Druckwasserreaktoren

Das Problem der schwierigen Füllstandmessung während eines Störfalls besteht nicht nur bei Siedewasser-Reaktoren (BWR). Auch beim Druckwasserreaktor (PWR) auf Three Mile Island (Harrisburg) war das Fehlen einer verlässlichen Füllstandsanzeige mit ein Grund für den Unfall.

Die folgenden Ausführungen von Roland Naegelin, ASK-Mitglied 1970-1980, HSK-Direktor 1980-1995, zeigen auf, dass die Frage auch bei PWRs noch nicht abschliessend gelöst wurde und es stellt sich die Frage, ob der Sachverhalt angesichts der Erfahrungen in Fukushima wieder aufgerollt werden müsste9:

 

Die Forderung nach einer direkten Füllstandsmessung im Reaktordruckbehälter (RDB) nicht nur von Siedewasser-, sondern auch von Druckwasserreaktoren war eine Konsequenz des TMI-Unfalls 1979. Dort hatten die Operateure nicht erkannt, dass der Reaktorkern lange Zeit nicht mehr von Wasser bedeckt war; sie verliessen sich auf die Anzeige des ausreichenden Füllstandes im Druckhalter, merkten aber nicht, dass im oberen und mittleren Bereich des Reaktordruckbehälters das Wasser von Dampf und Gasen verdrängt war.

Im KKW Gösgen wurde die Forderung nach Messung des Füllstandes im RDB in der Folge zunächst durch eine Druckdifferenzmessung über die Hauptkühlmittelleitungen erfüllt. Dieses Messsystem bewährte sich jedoch nicht und wurde 1985 stillgelegt [hskjb 2000]. Der Feststellung der HSK, dass die direkte Füllstandsmessung in Deutschland, dem Herstellerland des KKW Gösgen, Stand der Technik sei[10], standen die Behauptungen des Betreibers gegenüber, dass einerseits diese oder alternative Messsysteme keine zweifelsfreien Ergebnisse unter den extremen Bedingungen eines schweren Unfalls liefern könnten und dass andererseits die Störfallbeherrschung im KKG ohne direkte Füllstandsmessung möglich sei; der Betreiber schlug vor, diese durch andere Anzeigen gegebene indirekte Füllstandsanzeige noch zu verbessern. Er reichte die entsprechenden Unterlagen Ende 2001 ein und die HSK akzeptierte 2003 die darin enthaltenen Nachweise. Zur Verbesserung der indirekten Füllstandsanzeige wurde vorgesehen, im Jahr 2005 vier Kernaustrittstemperatur-Messungen qualifiziert störfallfest auszuführen [ksajb 2003].

Für die Anlagen Beznau wurde die Forderung nach einer direkten RDB-Füllstandsmessung im April 1994 von der HSK in ihrem Gutachten zum Gesuch um Erteilung der unbefristeten Betriebsbewilligung für KKB II wiederholt. Der Betreiber wies ebenfalls auf die mit solchen Messsystemen verbundenen Probleme hin. In den eingereichten Unterlagen legte er dar, dass andere Messgrössen eine vergleichbar zuverlässige Aussage zum Wasserniveau im RDB liefern könnten, nämlich Kernaustrittstemperatur, Siedeabstand, Füllstand Druckhalter, Kühlmitteltemperaturen heiss und kalt. Die HSK schloss sich 2003 dieser Argumentation an und erklärte die Bedingungen für den Verzicht auf die Nachrüstung einer direkten RDB-Füllstandsmessung als erfüllt [ksajb 2003].

Die KSA nahm den Entscheid der HSK zur Kenntnis, angesichts der beschränkten Tauglichkeit der verfügbaren Messtechnik, auf eine direkte RDB-Füllstandsmessung in den schweizerischen Kern-kraftwerken mit Druckwasserreaktor zu verzichten. Sie wertete die Ertüchtigung der Kernaustrittstemperatur-Messungen positiv, machte aber auf die möglicherweise ebenfalls schwierige Interpretation dieser unter den speziellen thermohydraulischen Bedingungen eines schweren Unfalls erhaltenen Messsignale aufmerksam. Die Frage der direkten Füllstandsmessung sollte neu überprüft werden, falls ein zuverlässiges Messsystem verfügbar werden sollte [ksajb 2003].

 

Um an die letzten Worte anzuknüpfen: das Messsystem in Deutschland wird vom ENSI auch heute noch als ungeeignet dargestellt11:

 

Das KKG verfügt über eine Füllstandsmessung, die auf dem Prinzip der Differenzdruckmessung beruht und die auf die Anforderungen des Normalbetriebs und von Auslegungsstörfällen ausgelegt ist. Dieses Messverfahren ist bei auslegungsüberschreitenden Störfällen mit Kernbeschädigungen und sehr hohen Temperaturen – das ist der hier interessierende/interessante Bereich – nicht geeignet. Im Jahre 2005 wurde deshalb eine störfallfeste, für Temperaturen bis 1000 °C qualifizierte Messeinrichtung eingebaut. Dabei werden die Kernaustrittstemperaturen mehrfach redundant gemessen, was einen zuverlässigen Rückschluss auf das Kühlmittelinventar im Kern ermöglicht.

Die Eignung von Reaktordruckbehälter-Füllstandsmesssonden mit direkter Messung mittels Thermowiderstandsmessung, wie sie in deutschen Konvoi-Anlagen verwendet werden, wurde vom ENSI im Jahre 2003 untersucht. Dabei hat sich gezeigt, dass diese Sonden für die Umgebungsbedingungen im Reaktordruckbehälter bei einem schweren Unfall weder ausgelegt noch qualifiziert sind. Sie sind deshalb zur Füllstandsmessung im auslegungsüberschreitenden Bereich nicht geeignet.

 

9 R. Naegelin, Geschichte der Sicherheitsaufsicht über die schweizerischen Kernanlagen 1960 2003, 2007, Seiten 297-298

10 „Das Fehlen einer RDB-Füllstandsmessung im KKG weicht vom Stand der Technik ab“, Periodische Sicherheitsüberprüfung für das Kernkraftwerk Gösgen-Däniken, Zusammenfassung, Ergebnisse und Bewertung 1999, Seite 5-52

11 https://www.ensi.ch/de/2012/09/03/ensi-forum-fragen-und-antworten-zur-sicherheit-von-kernkraftwerken/#Frage32 

Fragen / Antwortencheckliste

H. (KKG/KKB) Bitte erklären Sie ihre Messsysteme. Warum sollte das bei TMI beschriebene Dampf/Verdrängungs-Problem damit nicht auftreten können? Wie kann anhand einer Austrittstemperatur der Füllstand zuverlässig abgelesen werden, wenn beispielsweise nach einem Kühlmittelverlust-Störfall weder Lokalität, noch Dimension, noch Charakter eines Lecks bekannt sind?

I. (ENSI) Kennt die Industrie tatsächlich bis heute keine Thermokoppler, die für schwere Störfallbedingungen im RDB qualifiziert werden können?

J. (Regierungspräsidium Freiburg/Landratsamt Waldshut) Wir bitten darum, von deutscher Aufsichtsseite eine Stellungnahme zur Eignung deutscher Füllstandsmesssysteme in schweren Störfällen einzuholen.

Thema Bereich
Eingegangen am 7. März 2013 Fragende Instanz Vertreter von NGOs
Status beantwortet
Beantwortet am 13. Dezember 2013 Beantwortet von | | | |

Beantwortet von ENSI | Kernkraftwerk Beznau | Kernkraftwerk Gösgen | Landratsamt Waldshut | Regierungspräsidium Freiburg

Frage H (KKG):

Zusatzwünsche des ENSI:

«Bitte erklären Sie ihre Messsysteme. Warum sollte das bei TMI beschriebene Dampf/Verdrängungsproblem damit nicht auftreten können? Wie kann anhand einer Austrittstemperatur der Füllstand zuverlässig abgelesen werden können, wenn beispielsweise nach einem Kühlmittelverlust-Störfall weder Lokalität, noch Dimension, noch Charakter eines Lecks bekannt sind?»

1 Antwort des KKG

Die Antwort des KKG ist unterteilt in

Ablauf des Störfalls in Three Miles Island und die daraus gewonnenen Erkenntnisse

– Aufbau, Verwendungszweck und Einsatzgrenzen von Füllstandsmessungen in einem DWR

– Beurteilung des Kernzustands im KKG bei Unfällen mittels Siedeabstand und Brennelementaustrittstemperatur

– Füllstandsmessungen im KKG

– Zusammenfassende Bewertung

 

1.1 Hintergrund und Einordnung

Die Forderung nach einer Ausstattung von Druckwasserreaktoren mit einer RDB-Füllstandsmessung wurde aus dem Reaktorunfall von TMI abgeleitet. RDB-Füllstandsmessungen waren vorgesehen, um den Operateuren eine verbesserte Hilfestellung zu geben bei Auslegungsstörfällen mit Lecks am Druckhalter, bei einem Dampferzeuger-Heizrohrleck und zur Optimierung des Abfahrens der Anlage bei einem Störfall mit Ausbildung einer Deckelblase aus Dampf und/oder nicht kondensierbaren Gasen. Die bis zum Störfall in TMI im Einsatz befindlichen Messungen und Störfallfahrvorschriften liessen eine mögliche Beeinträchtigung der Kernkühlung bei Lecks am DH nicht zweifelsfrei erkennen.

1.2 Ablauf des Unfalls im amerikanischen Kernkraftwerk TMI am 28.3.1979 – Frühphase

Um den möglichen Nutzen einer Füllstandsmessung an einem DWR bewerten zu können, ist es sinnvoll, den Unfallablauf in TMI zu rekapitulieren und mit dem Anlagenzustand und dem erwarteten Anlagenverhalten im KKG zu vergleichen.

1.2.1. Unfallablauf in TMI

Bei der Anlage TMI II handelt es sich um eine Druckwasserreaktoranlage des Lieferanten Babcock& Wilcox (B&W, siehe Abbildung 1). Im Vergleich zu einem DWR des Lieferanten KWU (heute AREVA) weist dieser Anlagentyp bezüglich Störfallverhalten zwei wesentliche Besonderheiten auf:

a)      Verwendung eines Durchlaufdampferzeugers mit sehr kleinem Wasser-Inventar auf der Sekundärseite, was zu sehr niedrigen Karenzzeiten für Gegenmassnahmen bei Störfällen mit Verlust der Dampferzeugerbespeisung führt.

b)      Verwendung des Druckhaltersicherheits- und -abblaseventils (DH-SiV) als Stellglied der Reaktorregelung, Grenzwerte für druckbegrenzende Massnahmen wie z.B. die Reaktorschnellabschaltung bei „Druck hoch“ lagen oberhalb des Ansprechwerts des Sicherheitsventils. Dies führt dazu, dass das DH-SiV im Unterschied zur Auslegung moderner DWR auch bei relativ häufigen Anlagentransienten anspricht.

ReaktorkühlkreislaufVor dem Eintritt des Unfalls befand sich die Anlage von TMI 2 im Leistungsbetrieb bei 97% Reaktorleistung. Aufgrund einer Leckage am Druckhalter traten erhöhte Temperaturen in der Abblaseleitung auf. Zum Zeitpunkt des Unfalleintritts wurden Arbeiten an einem Hilfssystem des Kondensat-Reinigungssystems durchgeführt. Eine Störung führte zum Ausfall des Kondensat Reinigungssystems und zum Ausfall der Hauptspeiswasserpumpe.

Die nachfolgende Tabelle zeigt den Ereignisablauf und im Vergleich dazu einige wesentliche Unterschiede hierzu im erwarteten Anlageverhalten von KKG.

 

 

 

 

 

 

 

 

 

 

 

 

 

Abbildung 1 Reaktorkühlkreislauf eines DWR von B&W

Tabelle 1

Zeitpunkt nach    Störfalleintritt

Ereignis

Unterschiede im Verhalten    des KKG

0

Ausfall Speisewasser und Turbinenschnellschluss   (TUSA)

3 s

Öffnen des DH-SiV und abblasen von Dampf aus dem   Druckhalter in den Abblasebehälter.

Im KKG liegt der Ansprechwert der DH-SiV höher   und oberhalb des Ansprechwertes der Reaktorschnellabschaltung. Es würde   zuerst zu einem Ansprechen der FD-Sicherheitsventile kommen.

4 s

Automatische Einschaltung der Notspeisepumpen.   Operateure bemerken nicht, dass die Absperrventile der Pumpen geschlossen   sind.

Im KKG würden gestaffelt insgesamt 8 Pumpen (8 x   100%) zugeschaltet werden, wobei die Einspeisearmaturen automatisch geöffnet   werden und der Füllstand in den Dampferzeugern geregelt werden würde. Bis zum   Ansprechen der Notspeisepumpen würden ca. 20 Minuten zur Verfügung stehen.

9 s

Reaktorschnellabschaltung ausgelöst. Die Stellungsanzeige   des DH-SiV erlöscht, obwohl das Ventil offen bleibt

2 min

Die Dampferzeuger sind sekundärseitig völlig   entleert. Das offene DH-SiV führt zu einer Absenkung des Drucks im   Reaktorkühlkreislauf. Die Hochdruck-Sicherheitseinspeisepumpen beginnen   einzuspeisen. Die Operateure erkennen das Vorliegen eines Lecks nicht, weil   die Hochdruck-Sicherheitseinspeisepumpen in der Vergangenheit auch ohne Leck   wiederholt gestartet waren.

Bis zu einem völligen Ausdampfen der DE (ohne   Bespeisung) würden mehr als 45 Minuten vergehen.

3min 12 s

Das Druckbegrenzungsventil des Abblasebehälters   öffnet intermittierend und bläst Kühlmittel in das Containment ab.

KKG hat ein derartiges Ventil nicht. Der   Abblasebehälter ist mit einer Berstscheibe ausgestattet. Bei Beginn des   Abblasens in das Containment würde aus dem Reaktorschutz die   Sicherheitsgefahrmeldung „Leck im Primärkreislauf“ ausgelöst und damit   ein Leck erkannt werden.

4 min 30 s

Die Operateure drosseln die   HD-Sicherheitseinspeisung wegen dem ansteigenden Füllstand im DH.

Ist im KKG bei anstehendem Reaktorschutzsignal   innerhalb der ersten Stunde nach Auslösen der HD-Sicherheitseinspeisung nicht   möglich. Für einen Eingriff muss neben einem hohen Füllstand im DH auch ein   ausreichender Siedeabstand vorhanden sein, was gewährleistet, dass der   Reaktor ausreichend gekühlt wird.

7 min 29 s

Die Sumpfansaugpumpe des Nachwärmeabfuhrsystems   startet. Diese Information wird nicht mit einem Leck im RKL in Verbindung   gebracht.

8 min 18 s

Öffnen der Absperrventile der Notspeisepumpen.   Inbetriebnahme der Notbespeisung. Aufgrund der ungünstigen Geometrie und der   kurzen Karenzzeiten stellt sich wegen mangelndem Umlauf im RKL keine   sekundärseitige Wärmeabfuhr ein.

Im KKG gibt es wesentlich höhere Karenzzeiten.   Die Hauptkühlmittelpumpen werden bei Leck automatisch abgeschaltet, sodass   sich entweder ein ein- oder gegebenenfalls ein zweiphasiger Umlauf im RKL   einstellen würde. Im Extremfall kommt es zum sogenannten   Reflux-Condenser-Mode. In allen Fällen würde die Wärme effektiv über die   Sekundärseite abgeführt werden.

14 min 48 s

Berstscheibe im Abblasebehälter versagt. Erhöhte   Radioaktivität im Containment. Diese wird fehlerhaft als DE-Leckage   interpretiert.

Spätestens zu diesem Zeitpunkt würde die bereits   genannte Sicherheitsgefahrmeldung ansprechen und der Leckpfad erkannt werden.

1h 20 min

Die vier Hauptkühlmittelpumpen (HKMP) fördern   Wasser-Dampfgemisch und kavitieren. 2 von 4 Pumpen werden abgeschaltet.

HKMP wären bereits automatisch abgeschaltet   worden.

1 h 27 min

Der von Ausfall des Speisewassers betroffene DE   wird isoliert. Fehlinterpretation der Operateure. Annahme des Vorliegens   eines DE-Lecks.

Primärseitiges Leck wäre aufgrund der   anstehenden Alarme erkannt worden. Mögliche Probleme bei der Kühlung wären   über die Siedeabstandsmessung erkannt worden.

1h 40 min

Abschaltung der verbliebenen beiden HKMP.   Totalausfall der Kühlung. Erst ab diesem Zeitpunkt bildet sich eine   eindeutige Phasenseparation heraus, die Voraussetzung für die Ausbildung   eines messbaren Füllstandes ist. Es hätte noch für ca. 25 Minuten die   Möglichkeit für Gegenmassnahmen (Einschalten der HD-Sicherheitseinspeisung)   bestanden.

Die unzureichende Kernkühlung wäre im KKG durch   die Siedeabstandsmessung erkannt worden, selbst wenn die automatischen   Reaktorschutzmassnahmen ausgefallen wären.

 2h 14 min

Kern ist ungekühlt.   Zirkonium-Wasserdampf-Oxidation setzt ein. Bildung von Wasserstoff im RDB und   beginnende Akkumulation unterhalb des Reaktordeckels.

 

Zusammenfassend kann zur Frühphase des Störfallablaufs festgestellt werden, dass die Ursache des Unfalls von TMI 2 in einer Kombination von Auslegungsdefiziten mit Operateurfehlern zu sehen ist. Die wesentlichen Schwachstellen in der Auslegung sind:

– Die geringe thermische Trägheit der sekundärseitigen Wärmeabfuhr der B&W-Anlagen wegen der Durchlauf-Dampferzeugern

– Die ungünstige Druckstaffelung zwischen FD-SiV und den DH-SiV

– Die fehlenden druckbegrenzenden Massnahmen (Ansprechwert der „Druck hoch“ Reaktorschnellabschaltung oberhalb des Ansprechwerts der DH-SiV)

– Die fehlende Qualifikation der DH-SiV für Abblasen von zweiphasigem Kühlmittel und von Wasser, was das Offenbleiben des Ventils begünstigte

– Die irritierende Positionsanzeige

Die Operateurfehler waren begünstigt durch ein damals unzureichendes Störfall-Betriebshandbuch (Emergency procedures) und das fehlende Simulatortraining sowie die damals unzureichende Ausbildung zur Beherrschung von auslegungsüberschreitenden Störfällen. Insbesondere die Möglichkeit der Ausbildung einer Deckelblase durch Dampf und/oder nicht kondensierbare Gase war damals nicht ausreichend bekannt.

Ein direkter Nutzen einer Füllstandsmessung hätte sich beim Störfall in TMI 2 erst nach dem Abschalten der letzten beiden Hauptkühlmittelpumpen ergeben, da sich erst nach diesem Zeitpunkt eine erkennbare Phasenseparation im RDB, welche Voraussetzung für eine Füllstandserkennung ist, ausgebildet hätte. Das Zeitfenster für Gegenmassnahmen ab diesem Zeitpunkt wäre sehr gering gewesen.

 

1.3 Aufbau, Messprinzipien und Einsatzbeschränkungen von Füllstandsmessungen in DWR

Aktuell sind in DWR Füllstandsmessungen nach zwei unterschiedlichen Messprinzipien im Einsatz:

Eine kontinuierliche Messung über die Druckdifferenz zwischen zwei Messpositionen, die auf dem Dichteunterschied von Dampf und Wasser beruht (typisch für PWR von Westinghouse).

Eine diskrete Messung mit Füllstandssonden, die physikalisch auf dem Unterschied des Wärmeübergangs an Wasser und Dampf beruht, der in ein elektrisches Differenzsignal umgewandelt werden kann (mit beheizten Widerständen). [1]

Für diskrete Messungen gibt es auch alternative Varianten, wie die KNITU-Sonde für VVER (kombinierte Messung mit beheizten Thermoelementen und Neutronenflussmessungen in einer Messlanze). Abbildung 2 illustriert die beiden Messprinzipien:

Messprinzipien

 

Abbildung 2 Gebräuchliche Messprinzipien für Füllstandsmessungen

Beiden Messsystemen ist gemeinsam, dass Ihr Einsatz nur in einem begrenzten Temperaturbereich sinnvoll ist. Für die Messungen reicht dieser Bereich bis maximal 374°C (kritischer thermodynamischer Punkt von Wasser, hier verschwindet der messbare Dichteunterschied von Wasser und Dampf). Die Füllstandssonden von Siemens/KWU (heute AREVA) sind für eine Kühlmitteltemperatur bis 353°C qualifiziert. Die diskreten Messsonden haben Schwierigkeiten, Unterschiede zwischen Sattdampf und Wasser zu erkennen, da der konvektive Wärmeübergang in beiden Fällen hoch ist. Das diskrete Messsystem überwacht in den heute im Einsatz befindlichen Systemen zudem nur den Füllstand oberhalb des Reaktorkerns und kann Freilegungen des Reaktorkerns nicht erkennen (siehe Abbildung 3).

Füllstandssonden

Weiterhin bedeutsam ist, dass der Füllstand nicht direkt mit dem Beginn einer Verschlechterung des Wärmeübergangs im Reaktorkern korreliert. Die Siedekrise (DNB – „Departure from Nucleate Boiling“, oder „Dryout“) kann in Abhängigkeit vom Strömungsregime bei unterschiedlichen volumetrischen Dampfgehalten und damit bei unterschiedlichen Werten des „swell levels“ oder des „collapsed levels“ auftreten.

Aufgrund dieses Sachverhalts ergeben sich praktische Einsatzbeschränkungen für Füllstandsmesssysteme für den Bereich auslegungsüberschreitender Störfälle, die durch eine Freilegung des Reaktorkerns und das Auftreten von überhitztem Dampf (> 400°C) (thermodynamisches Nichtgleichgewicht) im Reaktorkern gekennzeichnet sind.

1.4 Situation im KKG

Das KKG hatte nach dem Unfall von TMI 2 auf Forderung der damaligen HSK eine kontinuierliche RDB-Füllstandsmessung eines bekannten Reaktorlieferanten installiert, die auf dem Differenzdruckverfahren beruhte. Bereits im ersten Einsatzjahr der Messung erwies sich diese als sehr unzuverlässig. Sie verursachte bei normalen betrieblichen Vorgängen Fehlanzeigen, die zu einer Irritation der Betriebsmannschaft bei einem Störfall hätte führen können. Die Messung musste daher aufgrund dieser Erfahrung in Abstimmung mit der HSK (heute ENSI) ausser Betrieb genommen werden.

Das KKG hat sich daher auf die Optimierung der Störfallfahrweisen mit Hilfe anderer Messmittel (z.B. Siedeabstand) und die Validierung dieser Fahrweisen an anlagenspezifischen Simulatoren konzentriert. Im Jahr 2004 wurde die Einführung eines symptomorientierten Störfallhandbuchs abgeschlossen, welches am anlagenspezifischen Simulator des KKG validiert wurde.

Wie andere DWR-Anlagen hat das KKG nach dem Unfall in TMI 2 eine Notentgasung des RDB-Deckels nachgerüstet, die dazu genutzt werden kann, eine aus nicht kondensierbaren Gasen bestehende Deckelblase zu beseitigen.

Es konnte gezeigt werden, dass die in deutschen DWR eingesetzten diskreten Messsonden für die Beherrschung von Auslegungsstörfällen und die dabei erforderlichen Personalhandlungen nicht benötigt werden, da alternative qualifizierte Messungen vorhanden sind.

Nach dem Unfall von Tschernobyl und im Ergebnis der periodischen Sicherheitsüberprüfung von 1999 wurde das KKG aufgefordert, zu prüfen, inwieweit die Nachrüstung einer RDB-Füllstandsmessung zwecks Beherrschung von auslegungsüberschreitenden Störfällen erforderlich ist. Diese Forderung ist im Kontext zur vom KKG geplanten Nachrüstung einer primärseitigen Druckentlastung (PDE, realisiert 2005) und der Erweiterung der Notfallvorschriften gemäss der damaligen HSK Richtlinie R 103 zu sehen (Einführung von Notfallvorschriften inklusive SAMG,Severe Accident Management Guidance).

In Umsetzung der Anforderungen der Richtlinie R 103 wurde im KKG 1994 ein symptomorientiertes (schutzzielorientiertes) Notfallhandbuch (NHB) für Notfallmassnahmen bei auslegungsüberschreitenden Unfällen (präventive Massnahmen zur Verhinderung eines Kernschadens) eingeführt. Dieses NHB enthielt (und enthält) schutzzielorientierte Notfallmassnahmen bei Eintritt eines zu niedrigen Siedeabstands.

2005 erfolgte die Weiterentwicklung für den Bereich der Linderung von Kernschmelzunfällen (mitigative Notfallmassnahmen). Entsprechend der internationalen Praxis beruht das Entscheidungskriterium für das Erkennen eines schweren Unfalls auf qualifizierten Brennelementaustrittstemperaturmessungen (BAT). Als Kriterium für die Einleitung der PDE und für den Übergang auf mitigative Notfallmassnahmen wird eine BAT von 620°C verwendet. Dieser Wert enthält eine Sicherheitsmarge und berücksichtigt mögliche Messfehler bei transienten Strömungen. Die verwendeten Brennelementaustrittstemperaturmessungen sind für einen Messbereich bis 1000°C qualifiziert und decken damit einen weiten Bereich möglicher Abläufe schwerer Unfälle ab. Die Messwerte (2 Messlanzen mit je 3 Thermoelementen) werden sowohl im Hauptkommandoraum als auch in der Notsteuerstelle angezeigt. Eine zusätzliche Anzeige erfolgt über die Prozessrechenanlage. Bis 2015 werden alle Brennelementaustrittstemperaturmessungen im KKG für einen Einsatz bei schweren Unfällen ertüchtigt (Einsatz bis 1000°C). Abbildung 4 zeigt den typischen Aufbau einer Brennelementaustrittstemperaturmessung.

Das NHB (mitigativer Bereich) des KKG ist modular aufgebaut und beruht auf einer Diagnose des Sicherheitsbehälter(Containment)- und des Kernzustands [2]. Für jeden möglichen Zustand sind Notfallstrategien und zugehörige Notfallprozeduren festgelegt (Matrixstruktur). Die für die Ableitung von Notfallmassnahmen herangezogenen Messungen sind störfallfest und im NHB definiert. Sie sind im Hauptkommandoraum und in der Notsteuerstelle speziell gekennzeichnet. Zusätzlich zur Instrumentierung stehen einfache Rechenhilfsmittel zur Verfügung, welche der Ergänzung der messtechnischen Informationen dienen. Derartige Hilfsmittel stehen zur Unterstützung externer Notfallmassnahmen auch für die Vorhersage des Abgabequellterms für jeden möglichen Anlagenschadenszustand zur Verfügung.

Brennelementaustrittstemperaturmessung

Abbildung 4 Brennelementaustrittstemperaturmessung im KKG

Im Zusammenhang mit der Forderung aus der PSÜ von 1999 hat das KKG unabhängig voneinander zwei namhafte Reaktorlieferanten beauftragt, die Notwendigkeit einer RDB- Füllstandsmessung für die Beherrschung auslegungsüberschreitender Unfallabläufe zu bewerten. Dabei war insbesondere die Verwendung von Füllstandsmessungen in anderen DWR-Anlagen des gleichen Anlagelieferanten zu berücksichtigen. Die Ergebnisse dieser Bewertung sind in der nachfolgenden Tabelle zusammengefasst.

Tabelle 2             Beurteilung der Notwendigkeit einer Füllstandsmessung

Anforderung:   Störfall/Unfall

Aufgabe der Sonde

Bewertung der   Notwendigkeit

DH-Lecks oder RKL-Lecks mit Ausfall der   DH-Füllstandsmessung

Erlaubnis zum Abschalten der Hochdruck-   Sicherheitseinspeisepumpen für erleichterten Übergang zur   Niederdruck-Einspeisung über Nachkühlsysteme

Diese Massnahme ist für DWR des Lieferanten KWU   nicht notwendig; wurde nach dem Unfall von TMI 2 experimentell nachgewiesen.

Station Blackout (Ausfall der   Drehstromversorgung) oder Totalausfall der Speisewasserversorgung

Einleiten der primärseitigen Druckentlastung   (als eines von zwei Kriterien)

Im KKG wird die BAT verwendet; sekundärseitige   Notfallmassnahmen haben Priorität, deshalb wird diesen ein maximal mögliches   Zeitfenster eingeräumt; nicht notwendig.

Notstromfall, Einwirkungen von Aussen,   Heizrohrleck mit Notstrom

Beobachtung der RDB-Deckelblase

Experimentell nach TMI 2 für KWU-Anlagen   nachgewiesen, dass sich die Deckelblase nicht bis zu den Loops ausbreitet,   Wärmeabfuhr zur Sekundärseite nicht beeinträchtigt, nicht notwendig,   RDB-Deckelentgasung nachgerüstet.

Heizrohrleck mit Notkühlkriterien

Erlaubnis zur Reduzierung der Einspeisung der   Hochdruck-Sicherheitseinspeisepumpen

Handlung nicht erforderlich. Im KKG ist diese Massnahme   innerhalb der ersten Stunde nach Störfalleintritt vom Reaktorschutz   blockiert; defekter Dampferzeuger wird teilabgefahren und isoliert; der   nachfolgende Druckausgleich zwischen RKL und DE reduziert die Leckagemenge.

Beide Reaktorlieferanten kamen zu der Schlussfolgerung, dass die Brennelement-austrittstemperaturmessungen (BAT) besser für die Überwachung des Kernzustands bei auslegungsüberschreitenden Unfällen geeignet sind, da sie einen grösseren Bereich von Unfallabläufen abdeckt. Dies entspricht der internationalen Praxis. Kernkraftwerke, die über SAMG verfügen (mitigative Notfallmassnahmen), verwenden die Brennelementaustritts-temperaturmessungen als massgebenden Parameter für die Überwachung des Kernzustands.

 Für die Ableitung präventiver Notfallmassnahmen ist die Bestimmung des Siedeabstands eine geeignete Messgrösse, da damit die Verschlechterung der Wärmeabfuhr aus dem Reaktorkern zeitlich vorgelagert erkannt werden kann.

1.5 Füllstandsmessung im KKG

Das KKG setzt in wichtigen Bereichen des Reaktorkühlkreislaufs Füllstandsmessungen ein, die teilweise auch für die Auslösung automatischer Reaktorschutzmassnahmen herangezogen werden. Derartige Messsysteme sind sinnvoll in Bereichen, in denen eine Phasenseparation von Wasser und Dampf auftritt. Zu diesen Messungen gehören:

– DH-Füllstandsmessung (für Reaktorschutz in Kombination mit anderen Messgrössen, Erkennen von Lecks am RKL ausserhalb des Druckhalterbereichs)

– DE-Füllstandsmessungen (Nah- und Weitbereich (Reaktorschutz, Schutzzielüberwachung im NHB))

– Füllstandsmessungen in den RKL-Loops im Nichtleistungsbetrieb bei abgesenktem Niveau im Reaktorkühlkreislauf

Für die Füllstandsmessungen im Nichtleistungsbetrieb werden Ultraschallmesssonden eingesetzt. Sie dienen der Überwachung des RDB-Füllstands bei Anlagenzuständen, wo infolge von geplanten Instandhaltungsarbeiten bei abgeschalteter Reaktoranlage (Jahresrevision) das Niveau im Reaktordruckbehälter abgesenkt werden muss.

Füllstandsmessungen

Abbildung 5 – Füllstandsmessungen im KKG

2 Zusammenfassung

Das KKG beherrscht Auslegungsstörfälle wie Kühlmittelverluststörfälle oder Dampferzeugerheizrohrlecks, die entsprechend dem geltenden Schweizer Regelwerk zu beherrschen sind ohne RDB-Füllstandsmessung. Dabei sind sowohl das Einzelfehler- als auch das Instandhaltungskriterium (N-2) (ENSI R-100) und das 30-Minuten-Kriterium (KEV, A01, R 100) (keine Personalintervention innerhalb der ersten 30 Minuten nach Störfalleintritt erforderlich) eingehalten.

Das integrierte Notfallmanagement des KKG (präventive und mitigative Notfallmassnahmen) beruht auf robusten, qualifizierten Messungen und kommt ohne Füllstandsmessung aus. Die Siedeabstandsmessungen gestatten es bei einem Unfall, präventiv vor einer signifikanten Verschlechterung der Kernkühlung Notfallmassnahmen einzuleiten. Die Brennelementaustrittstemperatur (BAT) liefert Informationen über einen weiten Unfallbereich schwerer Unfälle bis zum Eintritt einer signifikanten Kernschädigung. Das modular aufgebaute NHB (mitigative Notfallmassnahmen) gestattet es, für jeden Anlagenzustand Unfallbekämpfungsstrategien und zugehörige Notfallprozeduren abzuleiten.

Der Einsatz zusätzlicher RDB-Füllstandsmessungen ist aus Sicht der Störfallbeherrschung und des Notfallmanagements nicht notwendig.

3 Literaturverzeichnis

[1]  H. Schmidt, H. Reimann und H. Kiehne, „Ein neues Verfahren   für die Füllstandsmessung im Reaktordruckbehälter von Druckwasserreaktoren,“ VGB   Kraftwerkstechnik 65, Heft 7, pp. 648-656, 1985.
[2] J.-U. Klügel und H. Plank, „Das integrierte   Notfallmanagement im KKG,“ atw, 2006.

 

 

4. Abkürzungsverzeichnis

BAT                           Brennelementaustrittstemperatur

BWR                         Siedewasserreaktor

DE                             Dampferzeuger

DNB                          Departure from Nucleate Boiling (Siedekrise)

DH                             Druckhalter

DH-SiV                     Druckhaltersicherheits- und -abblaseventil

FD-SiV                     Frischdampf-Sicherheitsventil

HKMP                      Hauptkühlmittelpumpe

KKG                          Kernkraftwerk Gösgen

KNITU-Sonde         Kombinierte Messsonde russischer Bauart

NHB                          Notfallhandbuch

PDE                           primärseitige Druckentlastung

PSÜ                          Periodische Sicherheitsüberprüfung

PWR                         Druckwasserreaktor

RDB                          Reaktordruckbehälter

RKL                           Reaktorkühlkreislauf

SAMG                      Severe Accident Management Guidance (mitigative Notfallmassnahmen)

TMI                           Three Mile Island

TUSA                        Turbinenschnellschluss

VVER                        Wasser-Wasser-Energie-Reaktor (Druckwasserreaktorensowjetischer Bauart)

 

 

 

Frage H (KKB):

Die Frage, ob zur Beherrschung von Störfällen eine Niveauanzeige im Reaktordruckbehälter erforderlich ist, wurde von der US-NRC als Folge des Unfalls in Three-Mile-Island thematisiert und im Kernkraftwerk Beznau in den 1990-iger Jahren detailliert untersucht. Dabei wurden sowohl Auslegungsstörfälle als auch auslegungsüberschreitende Störfälle betrachtet. In diesen Untersuchungen konnten folgende Verbesserungen und Nachrüstungen berücksichtigt werden, welche Erkenntnisse aus dem Unfall in Three Miles Island waren und in den 1980-iger Jahren in Beznau realisiert wurden:

–       Ergänzung der Notfallvorschriften mit kritischen Sicherheitsfunktionen, die mit Hilfe definierter Anlageparameter permanent überwacht werden: Dadurch wird sichergestellt, dass eine Gefährdung kritischer Sicherheitsfunktionen (beispielsweise eine Gefährdung der ausreichenden Kernkühlung) bereits frühzeitig erkannt und geeignet entgegengewirkt werden kann. Bis zum Unfall in Three Miles Island war ein solches symptomorientiertes Handeln in den Notfallvorschriften nicht vorgesehen, was eine wesentliche Ursache für menschliche Fehlhandlungen darstellte.

–       Berücksichtigung der Kernaustrittstemperaturmessung in den Notfallvorschriften: Die Kernaustrittstemperatur ist der wichtigste Parameter, um eine ungenügende Kernkühlung (und ein geringes Wasserinventar im Reaktordruckbehälter) rechtzeitig zu erkennen. In Beznau sind direkt oberhalb des Reaktorkerns 12 Messpositionen zur Messung der Kernaustrittstemperatur vorhanden.

–       Erweiterung der bestehenden Instrumentierung zur Ermittlung des Siedeabstandes: Ein Verlust des Siedeabstandes ist ein frühzeitiges Indiz dafür, dass eine Gefährdung der ausreichenden Kernkühlung vorliegt. Erste Massnahmen zur Sicherstellung der ausreichenden Kernkühlung werden bereits beim Verlust des Siedeabstandes eingeleitet.

–       Nachrüstung eines Reaktordruckgefäss-Gasentlastungssystems: Insbesondere bei schweren Störfällen können sich kondensierbare und nicht-kondensierbare Gase unter dem Deckel des Reaktordruckbehälters sammeln. Mit Hilfe des Gasentlastungssystems können diese Gase abgeführt werden.

Im Ergebnis aller Untersuchungen konnte aufgezeigt werden, dass Messgrössen wie die Kernaustrittstemperatur, der Siedeabstand, der Füllstand im Druckhalter und die Kühlmitteltemperaturen in Heiss- und Kaltsträngen eine zuverlässige Information über das Wasserinventar im Reaktordruckbehälter (und somit über eine ausreichende Kernkühlung) liefern. Jede dieser Messungen ist in Beznau mehrfach redundant vorhanden und entsprechend qualifiziert, um auch unter Unfallbedingungen korrekt zu funktionieren. Eine Niveauanzeige im Reaktordruckbehälter ist für die Beherrschung von Störfällen nicht erforderlich.

Dass eine Füllstandsmessung im KKB zur Beherrschung von Störfällen weder notwendig ist noch einen zusätzlichen sicherheitstechnischen Nutzen bringen würde, zeigt auch die folgende Gegenüberstellung des Umfallablaufs von TMI mit dem KKB:

Zeitpunkt nach Störfalleintritt

Ereignis in TMI

Unterschiede im Verhalten des KKB

0

Ausfall   Speisewasser und Turbinenschnellschluss (TUSA)

Im KKB führt der   Ausfall aller Hauptspeisewasserpumpen zur TUSA beider Turbinen, was direkt   eine RESA auslöst.

3 s

Öffnen des dem   DH-SiV vorgelagerten PORV und abblasen von Dampf aus dem Druckhalter in den   Abblasebehälter.

Weil die RESA   bereits früher erfolgt ist und weil der Ansprechwert der Ventile am   Druckhalter höher liegt, würde kein DH‑Ventil öffnen. Es würde zuerst zu   einem Ansprechen der FD‑Abblaseventile kommen.

4 s

Automatische   Einschaltung der Notspeisepumpen. Operateure bemerken nicht, dass die   Absperrventile der Pumpen geschlossen sind.

Im KKB würden   gestaffelt insgesamt vier Hilfs‑/Notspeisewasserpumpen (4 x 100%) automatisch   zugeschaltet werden, wobei die Einspeisearmaturen im Normalbetrieb offen sind   und zusätzlich dazu einen automatischen Öffnungsbefehl erhalten. Auch der   Füllstand in den Dampferzeugern würde automatisch geregelt werden.

In den   symptomorientierten, nach TMI entwickelten Notfallvorschriften des KKB wird   zudem bereits im neunten Schritt nach Reaktortrip (Schritt 4 der NV-B-ES-0.1)   der Speisewasserdurchfluss kontrolliert, wodurch ein fehlender   Notspeisewasserdurchfluss entdeckt würde.

Bis zum   Austrocknen der DE nach frühestens 45 Minuten könnten durch die Operateure   gemäss der Notfallvorschrift NV‑B‑FR‑H.1 zusätzlich die folgenden Pumpen zur   Bespeisung der DE aufgeschaltet werden:

  •   3 Hauptspeisewasserpumpen   (3 x 100%)
  •   2 Brunnenwasserpumpen   (2 x 100%) oder eine NS-Brunnenwasserpumpe zur   Niederdruckbespeisung der DE.

Wenn alle diese   Pumpen nicht verfügbar sind, kann die Kühlweise „primärseitiges   Bleed-and-Feed“ gestartet werden.

9 s

Reaktorschnellabschaltung   ausgelöst. Die Stellungsanzeige des DH-PORVs erlöscht, obwohl das Ventil   offen bleibt

Die RESA wäre   bereits früher erfolgt und es wäre nicht zu einem Öffnen eines DH-Ventils   gekommen.

Zusätzlich dazu   sind im KKB im Rahmen des NANO-Projekts die DH-Sicherheitsventile und die   vorgelagerten DH-PORVs durch ein neues, kombiniertes Produkt ersetzt worden.

Dieses besteht   einerseits aus drei kombinierten DH-Sicherheits- und Abblaseventilen (DH‑SiV),   welche sowohl für das Abblasen von Dampf wie von Wasser voll ausgelegt sind.   Ein Nichtschliessen dieser Ventile ist deshalb im Gegensatz zu den nicht   qualifizierten PORVs von TMI nicht zu erwarten.

Zudem ist jedem   der drei DH-SiV des KKB ein zweites, baugleiches, normal offen stehendes und   bei tieferem Druck automatisch schliessendes Isolierventil vorgelagert. Somit   würde ein Offenbleiben eines DH-SiV durch das automatische Schliessen des   Isolierventils beherrscht, und der Kühlmittelverlust würde automatisch wieder   gestoppt.

Auch zeigen die   Stellungsanzeigen sowohl der DH-SiV wie der Isolierventile den effektiven   Wert und nicht den Sollzustand an.

2 min

Die   Dampferzeuger sind sekundärseitig völlig entleert. Das offene DH-PORV führt   zu einer Absenkung des Drucks im Reaktorkühlkreislauf. Die   Hochdruck-Sicherheitseinspeise-pumpen beginnen einzuspeisen. Die Operateure   erkennen das Vorliegen eines Lecks nicht, weil die Hochdruck-Si­cherheits-einspeisepumpen   in der Vergangenheit auch ohne Leck wiederholt gestartet waren.

Bis zu einem   völligen Ausdampfen der DE (ohne Bespeisung) würden mehr als 45 Minuten   vergehen.

Weil das   Szenario im KKB nicht zu einem Kühlmittelverluststörfall führen würde, würde   auch die Sicherheitseinspeisung nicht anlaufen.

KKB hat zudem   Mitteldruck- und nicht Hochdruck-SE-Pumpen.

Der Zustand der   DH-SiV und ‑Isolierventile wird in den Notfallvorschriften des KKB, welche   auf den symptomorientierten, nach TMI entwickelten „Emergency Response   Guidelines“ der Westinghouse Owners Group (heute PWROG) basieren, expliziert   überprüft. Bei einem Offenbleiben werden die Operateure in die Vorschrift für   Leckstörfälle geführt.

3 min 12 s

Das   Druckbegrenzungsventil des Abblasebehälters öffnet intermittierend und bläst   Kühlmittel in das Containment ab.

KKB hat ein   derartiges Ventil nicht. Der Abblasebehälter ist mit einer Berstscheibe   ausgestattet.

4 min 30 s

Die Operateure   drosseln die HD-Si­cherheitseinspeisung wegen dem ansteigenden Füllstand im   DH.

In den   symptomorientierten, nach TMI entwickelten Notfallvorschriften des KKB darf   eine Drosselung oder sogar ein Stoppen der Sicherheitseinspeisung nur   durchgeführt werden, wenn alle vier der folgenden Parameter im zulässigen   Bereich sind:

  •   Siedeabstand
  •   Sekundäre Wärmesenke
  •   Primärseitiger Druck
  •   DH-Niveau.

In TMI waren   drei dieser vier Grössen ausserhalb dieses zulässigen Bereichs.

7 min 29 s

Die   Sumpfansaugpumpe des Nachwärmeabfuhrsystems startet. Diese Information wird   nicht mit einem Leck im RKL in Verbindung gebracht.

8 min 18 s

Öffnen der   Absperrventile der Notspeisepumpen. Inbetriebnahme der Notbespeisung.   Aufgrund der ungünstigen Geometrie und der kurzen Karenzzeiten stellt sich   wegen mangelndem Umlauf im RKL keine sekundärseitige Wärmeabfuhr ein.

Im KKB speisen   die Hilfs- und die Notspeisewasserpumpen über einen zum Hauptspeisewasser   separaten Stutzen in die DE ein, so dass die Kühlwirkung sofort ihre Wirkung   entfaltet. Zudem sind die Karenzzeiten im KKB deutlich länger als in TMI.

Nach der   Wiederherstellung der sekundären Wärmeabfuhr nach einem längeren Unterbruch   derselben würde sich im KKB mit U‑Rohr-DE (im Gegensatz zu TMI) im RKL sehr   rasch ein einphasiger oder gegebenenfalls ein zweiphasiger Umlauf einstellen.   Im Extremfall kommt es zum sogenannten Reflux-Condenser-Mode. In allen Fällen   würde die Wärme effektiv über die Sekundärseite abgeführt werden.

14 min 48 s

Berstscheibe im   Abblasebehälter versagt. Erhöhte Radioaktivität im Containment. Diese wird   fehlerhaft als DE-Leckage interpretiert.

In den   symptomorientierten, nach TMI entwickelten Notfallvorschriften des KKB werden   vier verschiedene Parameter zur Identifizierung von primärseitigen Lecks   verwendet, wovon einer allein zur Diagnose genügt. Dabei ist Radioaktivität   im Containment einer dieser Parameter.

1 h 20 min

Die vier   Hauptkühlmittelpumpen (HKMP) fördern Wasser-Dampfge­misch und kavitieren. 2   von 4 Pumpen werden abgeschaltet.

1 h 27 min

Der vom Ausfall   des Speisewassers betroffene DE wird isoliert.

Fehlinterpretation   der Operateure. Annahme des Vorliegens eines DE-Lecks.

In den   symptomorientierten, nach TMI entwickelten Notfallvorschriften des KKB wäre   ein primärseitiges Leck aufgrund verschiedener Parameter identifiziert worden   (Radioaktivität im Containment, Containment-Druck,   Rezirkulationssumpf-Niveau, Radioaktivität Ringraum).

Mögliche   Probleme bei der primärseitigen Kühlung wären über die Siedeabstandsmessung   erkannt worden.

1 h 40 min

Abschaltung der   verbliebenen beiden HKMP. Totalausfall der Kühlung. Erst ab diesem Zeitpunkt   bildet sich eine eindeutige Phasenseparation heraus, die Voraussetzung für   die Ausbildung eines messbaren Füllstandes ist. Es hätte noch für ca. 25   Minuten die Möglichkeit für Gegenmassnahmen (Einschalten der   HD-Sicherheits-einspeisung) bestanden.

Die   unzureichende Kernkühlung wäre im KKB einerseits durch die   Siedeabstandsmessung und später über die Kernaustrittstemperaturen erkannt   worden, selbst wenn die automatischen Reaktorschutzmassnahmen ausgefallen   wären.

Die Operateure   wären dabei bei erhöhten Kernaustrittstemperaturen über die kritischen   Sicherheitsfunktionen zur Notfallvorschrift NV‑B-FR-C.2: „Massnahmen bei   verminderter Kernkühlung“ geleitet worden, welche vor allem das Überprüfen   und Wiedererstellen der Sicherheitseinspeisung beinhaltet.

2 h 14 min

Kern ist   ungekühlt. Zirkonium-Was­serdampf-Oxidation setzt ein. Bildung von   Wasserstoff im RDB und beginnende Akkumulation unterhalb des Reaktordeckels.

Die Operateure   wären bei hohen Kernaustrittstemperaturen über die kritischen   Sicherheitsfunktionen zur Notfallvorschrift NV‑B‑FR-C.1: „Massnahmen bei   ungenügenden Kernkühlung“ geleitet worden, welche unter anderem das   Überprüfen und Wiedererstellen der Sicherheitseinspeisung wie auch weitere   Mittel zur Einspeisung in den Reaktor beinhaltet.

Frage I (ENSI)

Die Störfallinstrumentierung und deren Qualifikation für die jeweiligen Störfallbedingungen müssen? immer im Zusammenhang mit der Strategie zur Störfallbeherrschung für das jeweilige Kernkraftwerk betrachtet werden. So muss eine störfallsichere Messung, die für die Anwendung von Notfallmassnahme relevant ist, nur so lange zuverlässig zur Verfügung stehen, bis die Notfallmassnahmen aufgrund des massgebenden Messwertes eingeleitet werden. Die Überwachung der Notfallmassnahmen kann anschliessend durchaus mit anderen Messgrössen erfolgen.

In den beiden Schweizer Druckwasserreaktoren werden zur Überwachung des Kernzustandes im Reaktordruckbehälter (RDB) bei schweren Störfallbedingungen unter anderem Temperaturmessungen verwendet, die bis zu Temperaturen von 1000°C qualifiziert sind. Anhand gemessener Kernaustrittstemperaturen kann indirekt zuverlässig auf den Füllstand im Reaktordruckbehälter (RDB) geschlossen werden. So geht man davon aus, dass wenn eine Kernaustrittstemperatur deutlich über der Sättigungstemperatur gemessen wird, der Kern im RDB nicht mehr ausreichend mit Kühlmittel überdeckt ist.

Die Einleitung von Notfallmassnahmen (Druckentlastung/Einspeisung) erfolgt in den Schweizer Druckwasserreaktoren (DWR) etwa bei Kernaustrittstemperaturen von 500°C, wodurch grössere Kernschäden vermieden werden. Die für den Normalbetrieb und Auslegungsstörfälle eingesetzten RDB-Füllstandsmessungen sind für schwere Störfallbedingungen nicht qualifiziert und damit zur Kernüberwachung nicht mehr in jedem Fall geeignet.

Bei der neusten Generation von Druckwasserreaktoren (EPR) wird für die Überwachung des Kernzustandes bei schweren Störfallbedingungen neben der Kernaustrittstemperaturmessung auch eine qualifizierte RDB-Füllstandsmessung eingesetzt. Die qualifizierte diskrete RDB-Füllstandsmessung wurde in deutschen DWR nachgerüstet (siehe Beitrag des Ministeriums für Umwelt, Klima und Energiewirtschaft Baden-Württemberg zur Frage 11J).

Das ENSI erachtet die Qualifizierung der Kernaustrittstemperaturmessung für schwere Störfallbedingungen bis 1000°C in Verbindung mit den eingeführten Strategien zur Beherrschung schwerer Störfälle in den Schweizer DWR-Anlagen als ausreichend.

In einem deutschen Siedewasserreaktor wurde als diversitäre Massnahme zur Beherrschung von auslegungsüberschreitenden Störfällen bei Ausfall der vorhandenen RDB-Füllstandsmessung (mittels Differenzdruckmessung) eine Kernaustrittstemperaturmessung (indirekte RDB-Füllstandsmessung) nachgerüstet.

Das ENSI hat bereits einen Überprüfungsbedarf hinsichtlich einer diversitären RDB-Füllstandsmessung bei den Schweizer Siedewasserreaktoren festgestellt.

Es muss aber angefügt werden, dass die Schweizer Siedewasserreaktoren bereits zur Beherrschung von Auslegungsstörfällen eine RDB-Druckentlastung und Überspeisung des Reaktordruckbehälters mit Niederdruckeinspeisesystemen durchführen können. Diese Massnahme kann auch bei schweren Störfällen mit nicht eindeutiger RDB-Füllstandsanzeige durch die Operateure ausgelöst werden. Mit der Überspeisung des RDB ist sichergestellt, dass der Kern ausreichend gekühlt ist, auch wenn keine eindeutige Füllstandsmessung zur Verfügung steht.

Frage J (Ministeriums für Umwelt, Klima und Energiewirtschaft Baden-Württemberg

Das Ministerium für Umwelt, Klima und Energiewirtschaft Baden-Württemberg (UM BW) ist atomrechtliche Aufsichts- und Genehmigungsbehörde für die Kernkraftwerke in Baden-Württemberg. Die nachfolgenden Aussagen beziehen sich auf das Kern­kraftwerk Neckarwestheim Bock II (GKN II). Die technischen Gegebenheiten im zweiten noch im Betrieb befindlichen Kernkraftwerk in Baden-Württemberg, Kern­kraftwerk Philippsburg Block 2 (KKP 2), sind vergleichbar. Zu den übrigen Kern­kraftwerken in Deutschland, die nicht in seinem Zuständigkeitsbereich liegen, macht das UM BW keine Aussage.

Messprinzip der Füllstandsmessung

Die Füllstandsmesssonden nutzen als Messfühler einen beheizten und einen unbeheizten von der Temperatur abhängigen elektrischen Widerstand (Thermowiderstand). Die Füllstandsmessung signalisiert, ob dieses Widerstandspaar mit Wasser bedeckt ist oder nicht, d.h. ob der Wasserstand im Reaktordruckbehälter sich oberhalb oder unterhalb des Messfühlers befindet. Ist das Widerstandspaar des Messfühlers mit Wasser bedeckt, haben die beiden Thermowiderstände nahezu dieselbe Temperatur und denselben elektrischen Widerstand, da die Wärme des elektrisch beheizten Widerstands durch das Wasser rasch abgeführt wird. Befindet sich das Widerstandspaar im Dampfbereich, wird die Wärme des beheizten Widerstandes nicht so gut abgeführt, so dass die beiden Thermowiderstände eine unterschiedliche Temperatur und damit einen unterschiedlichen elektrischen Widerstand haben. Eine kleine Differenz der elektrischen Widerstände des Widerstandspaars signalisiert eine Wasserbedeckung, eine große Differenz das Fehlen der Wasserbedeckung. Zur Differenzmessung sind die Messwiderstände in einer Wheatstone-Brücke verschaltet. In der Auswertelektronik ist ein Grenzwert für die Widerstandsdifferenz festgelegt, ab der davon ausgegangen wird, dass eine Wasserüberdeckung nicht vorliegt. Die Messung meldet also, wenn der Füllstand unterhalb des Messfühlers liegt.

Messgröße

Mit solchen Füllstandsmessungen wird der Füllstand im Reaktordruckbehälter auf drei Niveaus gemessen. Die beiden oberen Füllstandshöhen „MIN 1“ und „MIN 2“, sind vorwiegend betriebliche Messgrößen. Eine gewisse sicherheitstechnische Bedeutung kommt ihnen bei der Erkennung einer Dampfblase im Reaktordruckbehälterdeckel zu. Sicherheitstechnisch wichtig ist die Messung des untersten Niveaus, die sog. „MIN-3-Messung“. Dieses Niveau befindet sich 150 mm unterhalb der Mitte der Hauptkühlmittelleitung (Mitte Loop). Die MIN-3-Messung ist vierfach vorhanden. Sinkt der Wasserstand im Reaktordruckbehälter unterhalb des MIN-3-Niveaus, ist die Kernkühlung gefährdet. Daher wird das Ansprechen des MIN-3-Grenzwertes als Kriterium für das Einleiten der Accident-Management-Prozedur „Primärseitiges Druckentlasten und Bespeisen“ verwendet.

Neben dem Signal „Füllstand kleiner MIN 3″ wird auch das Signal „Brennelement-Austrittstemperatur größer 400 °C“ für das Auslösen der Accident-Management-Prozedur verwendet. Die beiden Kriterien sind diversitär, wobei das Signal „Füllstand kleiner MIN 3″ bei einem Reaktorunfall zeitlich etwas früher ansprechen wird. Wenn eines der beiden Kriterien erfüllt ist, wird die Accident-Management-Maßnahme ausgeführt.

Qualifizierung

Die MIN-3-Messung ist für einen Temperaturbereich von 30 °C bis 354 °C qualifiziert. Der Temperaturwert 354 °C ist die Sättigungstemperatur zum Druck 174 bar, bei dem das erste Druckhaltersicherheitsventil anspricht. Die Messung ist damit im betriebli­chen Bereich (30 °C bis 330 °C) geeignet. Sie ist auch geeignet im Temperaturbe­reich (330 °C bis 354 °C), der für die Accident-Management-Maßnahmen relevant ist. Die Eignungsnachweise des Herstellers wurden von Gutachtern geprüft.

Zusammenfassung

Die MIN-3-Füllstandsmessung wird bei auslegungsüberschreitenden Ereignisabläu­fen (schweren Störfällen) zur Einleitung der Notfallschutzmaßnahme „Primärseitiges Druckentlasten und Bespeisen“ verwendet. Für die hierfür relevanten Umgebungsbe­dingungen einschließlich des Temperaturbereichs ist die Messsonde geeignet, ihre Funktion zu erfüllen.