Technisches Forum Kernkraftwerke

Frage 11: Füllstandsmessung bei Druckwasserreaktoren

Das Problem der schwierigen Füllstandmessung während eines Störfalls besteht nicht nur bei Siedewasser-Reaktoren (BWR). Auch beim Druckwasserreaktor (PWR) auf Three Mile Island (Harrisburg) war das Fehlen einer verlässlichen Füllstandsanzeige mit ein Grund für den Unfall.

Die folgenden Ausführungen von Roland Naegelin, ASK-Mitglied 1970-1980, HSK-Direktor 1980-1995, zeigen auf, dass die Frage auch bei PWRs noch nicht abschliessend gelöst wurde und es stellt sich die Frage, ob der Sachverhalt angesichts der Erfahrungen in Fukushima wieder aufgerollt werden müsste⁹:

Die Forderung nach einer direkten Füllstandsmessung im Reaktordruckbehälter (RDB) nicht nur von Siedewasser-, sondern auch von Druckwasserreaktoren war eine Konsequenz des TMI-Unfalls 1979. Dort hatten die Operateure nicht erkannt, dass der Reaktorkern lange Zeit nicht mehr von Wasser bedeckt war; sie verliessen sich auf die Anzeige des ausreichenden Füllstandes im Druckhalter, merkten aber nicht, dass im oberen und mittleren Bereich des Reaktordruckbehälters das Wasser von Dampf und Gasen verdrängt war.

Im KKW Gösgen wurde die Forderung nach Messung des Füllstandes im RDB in der Folge zunächst durch eine Druckdifferenzmessung über die Hauptkühlmittelleitungen erfüllt. Dieses Messsystem bewährte sich jedoch nicht und wurde 1985 stillgelegt [hskjb 2000]. Der Feststellung der HSK, dass die direkte Füllstandsmessung in Deutschland, dem Herstellerland des KKW Gösgen, Stand der Technik sei[¹⁰], standen die Behauptungen des Betreibers gegenüber, dass einerseits diese oder alternative Messsysteme keine zweifelsfreien Ergebnisse unter den extremen Bedingungen eines schweren Unfalls liefern könnten und dass andererseits die Störfallbeherrschung im KKG ohne direkte Füllstandsmessung möglich sei; der Betreiber schlug vor, diese durch andere Anzeigen gegebene indirekte Füllstandsanzeige noch zu verbessern. Er reichte die entsprechenden Unterlagen Ende 2001 ein und die HSK akzeptierte 2003 die darin enthaltenen Nachweise. Zur Verbesserung der indirekten Füllstandsanzeige wurde vorgesehen, im Jahr 2005 vier Kernaustrittstemperatur-Messungen qualifiziert störfallfest auszuführen [ksajb 2003].

Für die Anlagen Beznau wurde die Forderung nach einer direkten RDB-Füllstandsmessung im April 1994 von der HSK in ihrem Gutachten zum Gesuch um Erteilung der unbefristeten Betriebsbewilligung für KKB II wiederholt. Der Betreiber wies ebenfalls auf die mit solchen Messsystemen verbundenen Probleme hin. In den eingereichten Unterlagen legte er dar, dass andere Messgrössen eine vergleichbar zuverlässige Aussage zum Wasserniveau im RDB liefern könnten, nämlich Kernaustrittstemperatur, Siedeabstand, Füllstand Druckhalter, Kühlmitteltemperaturen heiss und kalt. Die HSK schloss sich 2003 dieser Argumentation an und erklärte die Bedingungen für den Verzicht auf die Nachrüstung einer direkten RDB-Füllstandsmessung als erfüllt [ksajb 2003].

Die KSA nahm den Entscheid der HSK zur Kenntnis, angesichts der beschränkten Tauglichkeit der verfügbaren Messtechnik, auf eine direkte RDB-Füllstandsmessung in den schweizerischen Kern-kraftwerken mit Druckwasserreaktor zu verzichten. Sie wertete die Ertüchtigung der Kernaustrittstemperatur-Messungen positiv, machte aber auf die möglicherweise ebenfalls schwierige Interpretation dieser unter den speziellen thermohydraulischen Bedingungen eines schweren Unfalls erhaltenen Messsignale aufmerksam. Die Frage der direkten Füllstandsmessung sollte neu überprüft werden, falls ein zuverlässiges Messsystem verfügbar werden sollte [ksajb 2003].

Um an die letzten Worte anzuknüpfen: das Messsystem in Deutschland wird vom ENSI auch heute noch als ungeeignet dargestellt¹¹:

Das KKG verfügt über eine Füllstandsmessung, die auf dem Prinzip der Differenzdruckmessung beruht und die auf die Anforderungen des Normalbetriebs und von Auslegungsstörfällen ausgelegt ist. Dieses Messverfahren ist bei auslegungsüberschreitenden Störfällen mit Kernbeschädigungen und sehr hohen Temperaturen – das ist der hier interessierende/interessante Bereich – nicht geeignet. Im Jahre 2005 wurde deshalb eine störfallfeste, für Temperaturen bis 1000 °C qualifizierte Messeinrichtung eingebaut. Dabei werden die Kernaustrittstemperaturen mehrfach redundant gemessen, was einen zuverlässigen Rückschluss auf das Kühlmittelinventar im Kern ermöglicht.

Die Eignung von Reaktordruckbehälter-Füllstandsmesssonden mit direkter Messung mittels Thermowiderstandsmessung, wie sie in deutschen Konvoi-Anlagen verwendet werden, wurde vom ENSI im Jahre 2003 untersucht. Dabei hat sich gezeigt, dass diese Sonden für die Umgebungsbedingungen im Reaktordruckbehälter bei einem schweren Unfall weder ausgelegt noch qualifiziert sind. Sie sind deshalb zur Füllstandsmessung im auslegungsüberschreitenden Bereich nicht geeignet.

⁹ R. Naegelin, Geschichte der Sicherheitsaufsicht über die schweizerischen Kernanlagen 1960 2003, 2007, Seiten 297-298

¹⁰ „Das Fehlen einer RDB-Füllstandsmessung im KKG weicht vom Stand der Technik ab“, Periodische Sicherheitsüberprüfung für das Kernkraftwerk Gösgen-Däniken, Zusammenfassung, Ergebnisse und Bewertung 1999, Seite 5-52

¹¹https://www.ensi.ch/de/2012/09/03/ensi-forum-fragen-und-antworten-zur-sicherheit-von-kernkraftwerken/#Frage32

Fragen / Antwortencheckliste

H. (KKG/KKB) Bitte erklären Sie ihre Messsysteme. Warum sollte das bei TMI beschriebene Dampf/Verdrängungs-Problem damit nicht auftreten können? Wie kann anhand einer Austrittstemperatur der Füllstand zuverlässig abgelesen werden, wenn beispielsweise nach einem Kühlmittelverlust-Störfall weder Lokalität, noch Dimension, noch Charakter eines Lecks bekannt sind?

I. (ENSI) Kennt die Industrie tatsächlich bis heute keine Thermokoppler, die für schwere Störfallbedingungen im RDB qualifiziert werden können?

J. (Regierungspräsidium Freiburg/Landratsamt Waldshut) Wir bitten darum, von deutscher Aufsichtsseite eine Stellungnahme zur Eignung deutscher Füllstandsmesssysteme in schweren Störfällen einzuholen.

Thema	Reaktordruckbehälter	Bereich	Kernkraftwerke
Eingegangen am	7. März 2013	Fragende Instanz	Vertreter von NGOs
Status	beantwortet
Beantwortet am	13. Dezember 2013	Beantwortet von	ENSI \| Kernkraftwerk Beznau \| Kernkraftwerk Gösgen \| Landratsamt Waldshut \| Regierungspräsidium Freiburg

Beantwortet von ENSI | Kernkraftwerk Beznau | Kernkraftwerk Gösgen | Landratsamt Waldshut | Regierungspräsidium Freiburg

Frage H (KKG):

Zusatzwünsche des ENSI:

«Bitte erklären Sie ihre Messsysteme. Warum sollte das bei TMI beschriebene Dampf/Verdrängungsproblem damit nicht auftreten können? Wie kann anhand einer Austrittstemperatur der Füllstand zuverlässig abgelesen werden können, wenn beispielsweise nach einem Kühlmittelverlust-Störfall weder Lokalität, noch Dimension, noch Charakter eines Lecks bekannt sind?»

1 Antwort des KKG

Die Antwort des KKG ist unterteilt in

Ablauf des Störfalls in Three Miles Island und die daraus gewonnenen Erkenntnisse

– Aufbau, Verwendungszweck und Einsatzgrenzen von Füllstandsmessungen in einem DWR

– Beurteilung des Kernzustands im KKG bei Unfällen mittels Siedeabstand und Brennelementaustrittstemperatur

– Füllstandsmessungen im KKG

– Zusammenfassende Bewertung

1.1 Hintergrund und Einordnung

Die Forderung nach einer Ausstattung von Druckwasserreaktoren mit einer RDB-Füllstandsmessung wurde aus dem Reaktorunfall von TMI abgeleitet. RDB-Füllstandsmessungen waren vorgesehen, um den Operateuren eine verbesserte Hilfestellung zu geben bei Auslegungsstörfällen mit Lecks am Druckhalter, bei einem Dampferzeuger-Heizrohrleck und zur Optimierung des Abfahrens der Anlage bei einem Störfall mit Ausbildung einer Deckelblase aus Dampf und/oder nicht kondensierbaren Gasen. Die bis zum Störfall in TMI im Einsatz befindlichen Messungen und Störfallfahrvorschriften liessen eine mögliche Beeinträchtigung der Kernkühlung bei Lecks am DH nicht zweifelsfrei erkennen.

1.2 Ablauf des Unfalls im amerikanischen Kernkraftwerk TMI am 28.3.1979 – Frühphase

Um den möglichen Nutzen einer Füllstandsmessung an einem DWR bewerten zu können, ist es sinnvoll, den Unfallablauf in TMI zu rekapitulieren und mit dem Anlagenzustand und dem erwarteten Anlagenverhalten im KKG zu vergleichen.

1.2.1. Unfallablauf in TMI

Bei der Anlage TMI II handelt es sich um eine Druckwasserreaktoranlage des Lieferanten Babcock& Wilcox (B&W, siehe Abbildung 1). Im Vergleich zu einem DWR des Lieferanten KWU (heute AREVA) weist dieser Anlagentyp bezüglich Störfallverhalten zwei wesentliche Besonderheiten auf:

a) Verwendung eines Durchlaufdampferzeugers mit sehr kleinem Wasser-Inventar auf der Sekundärseite, was zu sehr niedrigen Karenzzeiten für Gegenmassnahmen bei Störfällen mit Verlust der Dampferzeugerbespeisung führt.

b) Verwendung des Druckhaltersicherheits- und -abblaseventils (DH-SiV) als Stellglied der Reaktorregelung, Grenzwerte für druckbegrenzende Massnahmen wie z.B. die Reaktorschnellabschaltung bei „Druck hoch“ lagen oberhalb des Ansprechwerts des Sicherheitsventils. Dies führt dazu, dass das DH-SiV im Unterschied zur Auslegung moderner DWR auch bei relativ häufigen Anlagentransienten anspricht.

Vor dem Eintritt des Unfalls befand sich die Anlage von TMI 2 im Leistungsbetrieb bei 97% Reaktorleistung. Aufgrund einer Leckage am Druckhalter traten erhöhte Temperaturen in der Abblaseleitung auf. Zum Zeitpunkt des Unfalleintritts wurden Arbeiten an einem Hilfssystem des Kondensat-Reinigungssystems durchgeführt. Eine Störung führte zum Ausfall des Kondensat Reinigungssystems und zum Ausfall der Hauptspeiswasserpumpe.

Die nachfolgende Tabelle zeigt den Ereignisablauf und im Vergleich dazu einige wesentliche Unterschiede hierzu im erwarteten Anlageverhalten von KKG.

Abbildung 1 Reaktorkühlkreislauf eines DWR von B&W

Tabelle 1

Zeitpunkt nach Störfalleintritt	Ereignis	Unterschiede im Verhalten des KKG
0	Ausfall Speisewasser und Turbinenschnellschluss (TUSA)
3 s	Öffnen des DH-SiV und abblasen von Dampf aus dem Druckhalter in den Abblasebehälter.	Im KKG liegt der Ansprechwert der DH-SiV höher und oberhalb des Ansprechwertes der Reaktorschnellabschaltung. Es würde zuerst zu einem Ansprechen der FD-Sicherheitsventile kommen.
4 s	Automatische Einschaltung der Notspeisepumpen. Operateure bemerken nicht, dass die Absperrventile der Pumpen geschlossen sind.	Im KKG würden gestaffelt insgesamt 8 Pumpen (8 x 100%) zugeschaltet werden, wobei die Einspeisearmaturen automatisch geöffnet werden und der Füllstand in den Dampferzeugern geregelt werden würde. Bis zum Ansprechen der Notspeisepumpen würden ca. 20 Minuten zur Verfügung stehen.
9 s	Reaktorschnellabschaltung ausgelöst. Die Stellungsanzeige des DH-SiV erlöscht, obwohl das Ventil offen bleibt
2 min	Die Dampferzeuger sind sekundärseitig völlig entleert. Das offene DH-SiV führt zu einer Absenkung des Drucks im Reaktorkühlkreislauf. Die Hochdruck-Sicherheitseinspeisepumpen beginnen einzuspeisen. Die Operateure erkennen das Vorliegen eines Lecks nicht, weil die Hochdruck-Sicherheitseinspeisepumpen in der Vergangenheit auch ohne Leck wiederholt gestartet waren.	Bis zu einem völligen Ausdampfen der DE (ohne Bespeisung) würden mehr als 45 Minuten vergehen.
3min 12 s	Das Druckbegrenzungsventil des Abblasebehälters öffnet intermittierend und bläst Kühlmittel in das Containment ab.	KKG hat ein derartiges Ventil nicht. Der Abblasebehälter ist mit einer Berstscheibe ausgestattet. Bei Beginn des Abblasens in das Containment würde aus dem Reaktorschutz die Sicherheitsgefahrmeldung „Leck im Primärkreislauf“ ausgelöst und damit ein Leck erkannt werden.
4 min 30 s	Die Operateure drosseln die HD-Sicherheitseinspeisung wegen dem ansteigenden Füllstand im DH.	Ist im KKG bei anstehendem Reaktorschutzsignal innerhalb der ersten Stunde nach Auslösen der HD-Sicherheitseinspeisung nicht möglich. Für einen Eingriff muss neben einem hohen Füllstand im DH auch ein ausreichender Siedeabstand vorhanden sein, was gewährleistet, dass der Reaktor ausreichend gekühlt wird.
7 min 29 s	Die Sumpfansaugpumpe des Nachwärmeabfuhrsystems startet. Diese Information wird nicht mit einem Leck im RKL in Verbindung gebracht.
8 min 18 s	Öffnen der Absperrventile der Notspeisepumpen. Inbetriebnahme der Notbespeisung. Aufgrund der ungünstigen Geometrie und der kurzen Karenzzeiten stellt sich wegen mangelndem Umlauf im RKL keine sekundärseitige Wärmeabfuhr ein.	Im KKG gibt es wesentlich höhere Karenzzeiten. Die Hauptkühlmittelpumpen werden bei Leck automatisch abgeschaltet, sodass sich entweder ein ein- oder gegebenenfalls ein zweiphasiger Umlauf im RKL einstellen würde. Im Extremfall kommt es zum sogenannten Reflux-Condenser-Mode. In allen Fällen würde die Wärme effektiv über die Sekundärseite abgeführt werden.
14 min 48 s	Berstscheibe im Abblasebehälter versagt. Erhöhte Radioaktivität im Containment. Diese wird fehlerhaft als DE-Leckage interpretiert.	Spätestens zu diesem Zeitpunkt würde die bereits genannte Sicherheitsgefahrmeldung ansprechen und der Leckpfad erkannt werden.
1h 20 min	Die vier Hauptkühlmittelpumpen (HKMP) fördern Wasser-Dampfgemisch und kavitieren. 2 von 4 Pumpen werden abgeschaltet.	HKMP wären bereits automatisch abgeschaltet worden.
1 h 27 min	Der von Ausfall des Speisewassers betroffene DE wird isoliert. Fehlinterpretation der Operateure. Annahme des Vorliegens eines DE-Lecks.	Primärseitiges Leck wäre aufgrund der anstehenden Alarme erkannt worden. Mögliche Probleme bei der Kühlung wären über die Siedeabstandsmessung erkannt worden.
1h 40 min	Abschaltung der verbliebenen beiden HKMP. Totalausfall der Kühlung. Erst ab diesem Zeitpunkt bildet sich eine eindeutige Phasenseparation heraus, die Voraussetzung für die Ausbildung eines messbaren Füllstandes ist. Es hätte noch für ca. 25 Minuten die Möglichkeit für Gegenmassnahmen (Einschalten der HD-Sicherheitseinspeisung) bestanden.	Die unzureichende Kernkühlung wäre im KKG durch die Siedeabstandsmessung erkannt worden, selbst wenn die automatischen Reaktorschutzmassnahmen ausgefallen wären.
2h 14 min	Kern ist ungekühlt. Zirkonium-Wasserdampf-Oxidation setzt ein. Bildung von Wasserstoff im RDB und beginnende Akkumulation unterhalb des Reaktordeckels.

Zusammenfassend kann zur Frühphase des Störfallablaufs festgestellt werden, dass die Ursache des Unfalls von TMI 2 in einer Kombination von Auslegungsdefiziten mit Operateurfehlern zu sehen ist. Die wesentlichen Schwachstellen in der Auslegung sind:

– Die geringe thermische Trägheit der sekundärseitigen Wärmeabfuhr der B&W-Anlagen wegen der Durchlauf-Dampferzeugern

– Die ungünstige Druckstaffelung zwischen FD-SiV und den DH-SiV

– Die fehlenden druckbegrenzenden Massnahmen (Ansprechwert der „Druck hoch“ Reaktorschnellabschaltung oberhalb des Ansprechwerts der DH-SiV)

– Die fehlende Qualifikation der DH-SiV für Abblasen von zweiphasigem Kühlmittel und von Wasser, was das Offenbleiben des Ventils begünstigte

– Die irritierende Positionsanzeige

Die Operateurfehler waren begünstigt durch ein damals unzureichendes Störfall-Betriebshandbuch (Emergency procedures) und das fehlende Simulatortraining sowie die damals unzureichende Ausbildung zur Beherrschung von auslegungsüberschreitenden Störfällen. Insbesondere die Möglichkeit der Ausbildung einer Deckelblase durch Dampf und/oder nicht kondensierbare Gase war damals nicht ausreichend bekannt.

Ein direkter Nutzen einer Füllstandsmessung hätte sich beim Störfall in TMI 2 erst nach dem Abschalten der letzten beiden Hauptkühlmittelpumpen ergeben, da sich erst nach diesem Zeitpunkt eine erkennbare Phasenseparation im RDB, welche Voraussetzung für eine Füllstandserkennung ist, ausgebildet hätte. Das Zeitfenster für Gegenmassnahmen ab diesem Zeitpunkt wäre sehr gering gewesen.

1.3 Aufbau, Messprinzipien und Einsatzbeschränkungen von Füllstandsmessungen in DWR

Aktuell sind in DWR Füllstandsmessungen nach zwei unterschiedlichen Messprinzipien im Einsatz:

Eine kontinuierliche Messung über die Druckdifferenz zwischen zwei Messpositionen, die auf dem Dichteunterschied von Dampf und Wasser beruht (typisch für PWR von Westinghouse).

Eine diskrete Messung mit Füllstandssonden, die physikalisch auf dem Unterschied des Wärmeübergangs an Wasser und Dampf beruht, der in ein elektrisches Differenzsignal umgewandelt werden kann (mit beheizten Widerständen). [1]

Für diskrete Messungen gibt es auch alternative Varianten, wie die KNITU-Sonde für VVER (kombinierte Messung mit beheizten Thermoelementen und Neutronenflussmessungen in einer Messlanze). Abbildung 2 illustriert die beiden Messprinzipien:

Abbildung 2 Gebräuchliche Messprinzipien für Füllstandsmessungen

Beiden Messsystemen ist gemeinsam, dass Ihr Einsatz nur in einem begrenzten Temperaturbereich sinnvoll ist. Für die Messungen reicht dieser Bereich bis maximal 374°C (kritischer thermodynamischer Punkt von Wasser, hier verschwindet der messbare Dichteunterschied von Wasser und Dampf). Die Füllstandssonden von Siemens/KWU (heute AREVA) sind für eine Kühlmitteltemperatur bis 353°C qualifiziert. Die diskreten Messsonden haben Schwierigkeiten, Unterschiede zwischen Sattdampf und Wasser zu erkennen, da der konvektive Wärmeübergang in beiden Fällen hoch ist. Das diskrete Messsystem überwacht in den heute im Einsatz befindlichen Systemen zudem nur den Füllstand oberhalb des Reaktorkerns und kann Freilegungen des Reaktorkerns nicht erkennen (siehe Abbildung 3).

Weiterhin bedeutsam ist, dass der Füllstand nicht direkt mit dem Beginn einer Verschlechterung des Wärmeübergangs im Reaktorkern korreliert. Die Siedekrise (DNB – „Departure from Nucleate Boiling“, oder „Dryout“) kann in Abhängigkeit vom Strömungsregime bei unterschiedlichen volumetrischen Dampfgehalten und damit bei unterschiedlichen Werten des „swell levels“ oder des „collapsed levels“ auftreten.

Aufgrund dieses Sachverhalts ergeben sich praktische Einsatzbeschränkungen für Füllstandsmesssysteme für den Bereich auslegungsüberschreitender Störfälle, die durch eine Freilegung des Reaktorkerns und das Auftreten von überhitztem Dampf (> 400°C) (thermodynamisches Nichtgleichgewicht) im Reaktorkern gekennzeichnet sind.

1.4 Situation im KKG

Das KKG hatte nach dem Unfall von TMI 2 auf Forderung der damaligen HSK eine kontinuierliche RDB-Füllstandsmessung eines bekannten Reaktorlieferanten installiert, die auf dem Differenzdruckverfahren beruhte. Bereits im ersten Einsatzjahr der Messung erwies sich diese als sehr unzuverlässig. Sie verursachte bei normalen betrieblichen Vorgängen Fehlanzeigen, die zu einer Irritation der Betriebsmannschaft bei einem Störfall hätte führen können. Die Messung musste daher aufgrund dieser Erfahrung in Abstimmung mit der HSK (heute ENSI) ausser Betrieb genommen werden.

Das KKG hat sich daher auf die Optimierung der Störfallfahrweisen mit Hilfe anderer Messmittel (z.B. Siedeabstand) und die Validierung dieser Fahrweisen an anlagenspezifischen Simulatoren konzentriert. Im Jahr 2004 wurde die Einführung eines symptomorientierten Störfallhandbuchs abgeschlossen, welches am anlagenspezifischen Simulator des KKG validiert wurde.

Wie andere DWR-Anlagen hat das KKG nach dem Unfall in TMI 2 eine Notentgasung des RDB-Deckels nachgerüstet, die dazu genutzt werden kann, eine aus nicht kondensierbaren Gasen bestehende Deckelblase zu beseitigen.

Es konnte gezeigt werden, dass die in deutschen DWR eingesetzten diskreten Messsonden für die Beherrschung von Auslegungsstörfällen und die dabei erforderlichen Personalhandlungen nicht benötigt werden, da alternative qualifizierte Messungen vorhanden sind.

Nach dem Unfall von Tschernobyl und im Ergebnis der periodischen Sicherheitsüberprüfung von 1999 wurde das KKG aufgefordert, zu prüfen, inwieweit die Nachrüstung einer RDB-Füllstandsmessung zwecks Beherrschung von auslegungsüberschreitenden Störfällen erforderlich ist. Diese Forderung ist im Kontext zur vom KKG geplanten Nachrüstung einer primärseitigen Druckentlastung (PDE, realisiert 2005) und der Erweiterung der Notfallvorschriften gemäss der damaligen HSK Richtlinie R 103 zu sehen (Einführung von Notfallvorschriften inklusive SAMG,Severe Accident Management Guidance).

In Umsetzung der Anforderungen der Richtlinie R 103 wurde im KKG 1994 ein symptomorientiertes (schutzzielorientiertes) Notfallhandbuch (NHB) für Notfallmassnahmen bei auslegungsüberschreitenden Unfällen (präventive Massnahmen zur Verhinderung eines Kernschadens) eingeführt. Dieses NHB enthielt (und enthält) schutzzielorientierte Notfallmassnahmen bei Eintritt eines zu niedrigen Siedeabstands.

2005 erfolgte die Weiterentwicklung für den Bereich der Linderung von Kernschmelzunfällen (mitigative Notfallmassnahmen). Entsprechend der internationalen Praxis beruht das Entscheidungskriterium für das Erkennen eines schweren Unfalls auf qualifizierten Brennelementaustrittstemperaturmessungen (BAT). Als Kriterium für die Einleitung der PDE und für den Übergang auf mitigative Notfallmassnahmen wird eine BAT von 620°C verwendet. Dieser Wert enthält eine Sicherheitsmarge und berücksichtigt mögliche Messfehler bei transienten Strömungen. Die verwendeten Brennelementaustrittstemperaturmessungen sind für einen Messbereich bis 1000°C qualifiziert und decken damit einen weiten Bereich möglicher Abläufe schwerer Unfälle ab. Die Messwerte (2 Messlanzen mit je 3 Thermoelementen) werden sowohl im Hauptkommandoraum als auch in der Notsteuerstelle angezeigt. Eine zusätzliche Anzeige erfolgt über die Prozessrechenanlage. Bis 2015 werden alle Brennelementaustrittstemperaturmessungen im KKG für einen Einsatz bei schweren Unfällen ertüchtigt (Einsatz bis 1000°C). Abbildung 4 zeigt den typischen Aufbau einer Brennelementaustrittstemperaturmessung.

Das NHB (mitigativer Bereich) des KKG ist modular aufgebaut und beruht auf einer Diagnose des Sicherheitsbehälter(Containment)- und des Kernzustands [2]. Für jeden möglichen Zustand sind Notfallstrategien und zugehörige Notfallprozeduren festgelegt (Matrixstruktur). Die für die Ableitung von Notfallmassnahmen herangezogenen Messungen sind störfallfest und im NHB definiert. Sie sind im Hauptkommandoraum und in der Notsteuerstelle speziell gekennzeichnet. Zusätzlich zur Instrumentierung stehen einfache Rechenhilfsmittel zur Verfügung, welche der Ergänzung der messtechnischen Informationen dienen. Derartige Hilfsmittel stehen zur Unterstützung externer Notfallmassnahmen auch für die Vorhersage des Abgabequellterms für jeden möglichen Anlagenschadenszustand zur Verfügung.

Abbildung 4 Brennelementaustrittstemperaturmessung im KKG

Im Zusammenhang mit der Forderung aus der PSÜ von 1999 hat das KKG unabhängig voneinander zwei namhafte Reaktorlieferanten beauftragt, die Notwendigkeit einer RDB- Füllstandsmessung für die Beherrschung auslegungsüberschreitender Unfallabläufe zu bewerten. Dabei war insbesondere die Verwendung von Füllstandsmessungen in anderen DWR-Anlagen des gleichen Anlagelieferanten zu berücksichtigen. Die Ergebnisse dieser Bewertung sind in der nachfolgenden Tabelle zusammengefasst.

Tabelle 2 Beurteilung der Notwendigkeit einer Füllstandsmessung

Anforderung: Störfall/Unfall	Aufgabe der Sonde	Bewertung der Notwendigkeit
DH-Lecks oder RKL-Lecks mit Ausfall der DH-Füllstandsmessung	Erlaubnis zum Abschalten der Hochdruck- Sicherheitseinspeisepumpen für erleichterten Übergang zur Niederdruck-Einspeisung über Nachkühlsysteme	Diese Massnahme ist für DWR des Lieferanten KWU nicht notwendig; wurde nach dem Unfall von TMI 2 experimentell nachgewiesen.
Station Blackout (Ausfall der Drehstromversorgung) oder Totalausfall der Speisewasserversorgung	Einleiten der primärseitigen Druckentlastung (als eines von zwei Kriterien)	Im KKG wird die BAT verwendet; sekundärseitige Notfallmassnahmen haben Priorität, deshalb wird diesen ein maximal mögliches Zeitfenster eingeräumt; nicht notwendig.
Notstromfall, Einwirkungen von Aussen, Heizrohrleck mit Notstrom	Beobachtung der RDB-Deckelblase	Experimentell nach TMI 2 für KWU-Anlagen nachgewiesen, dass sich die Deckelblase nicht bis zu den Loops ausbreitet, Wärmeabfuhr zur Sekundärseite nicht beeinträchtigt, nicht notwendig, RDB-Deckelentgasung nachgerüstet.
Heizrohrleck mit Notkühlkriterien	Erlaubnis zur Reduzierung der Einspeisung der Hochdruck-Sicherheitseinspeisepumpen	Handlung nicht erforderlich. Im KKG ist diese Massnahme innerhalb der ersten Stunde nach Störfalleintritt vom Reaktorschutz blockiert; defekter Dampferzeuger wird teilabgefahren und isoliert; der nachfolgende Druckausgleich zwischen RKL und DE reduziert die Leckagemenge.

Beide Reaktorlieferanten kamen zu der Schlussfolgerung, dass die Brennelement-austrittstemperaturmessungen (BAT) besser für die Überwachung des Kernzustands bei auslegungsüberschreitenden Unfällen geeignet sind, da sie einen grösseren Bereich von Unfallabläufen abdeckt. Dies entspricht der internationalen Praxis. Kernkraftwerke, die über SAMG verfügen (mitigative Notfallmassnahmen), verwenden die Brennelementaustritts-temperaturmessungen als massgebenden Parameter für die Überwachung des Kernzustands.

Für die Ableitung präventiver Notfallmassnahmen ist die Bestimmung des Siedeabstands eine geeignete Messgrösse, da damit die Verschlechterung der Wärmeabfuhr aus dem Reaktorkern zeitlich vorgelagert erkannt werden kann.

1.5 Füllstandsmessung im KKG

Das KKG setzt in wichtigen Bereichen des Reaktorkühlkreislaufs Füllstandsmessungen ein, die teilweise auch für die Auslösung automatischer Reaktorschutzmassnahmen herangezogen werden. Derartige Messsysteme sind sinnvoll in Bereichen, in denen eine Phasenseparation von Wasser und Dampf auftritt. Zu diesen Messungen gehören:

– DH-Füllstandsmessung (für Reaktorschutz in Kombination mit anderen Messgrössen, Erkennen von Lecks am RKL ausserhalb des Druckhalterbereichs)

– DE-Füllstandsmessungen (Nah- und Weitbereich (Reaktorschutz, Schutzzielüberwachung im NHB))

– Füllstandsmessungen in den RKL-Loops im Nichtleistungsbetrieb bei abgesenktem Niveau im Reaktorkühlkreislauf

Für die Füllstandsmessungen im Nichtleistungsbetrieb werden Ultraschallmesssonden eingesetzt. Sie dienen der Überwachung des RDB-Füllstands bei Anlagenzuständen, wo infolge von geplanten Instandhaltungsarbeiten bei abgeschalteter Reaktoranlage (Jahresrevision) das Niveau im Reaktordruckbehälter abgesenkt werden muss.

Abbildung 5 – Füllstandsmessungen im KKG

2 Zusammenfassung

Das KKG beherrscht Auslegungsstörfälle wie Kühlmittelverluststörfälle oder Dampferzeugerheizrohrlecks, die entsprechend dem geltenden Schweizer Regelwerk zu beherrschen sind ohne RDB-Füllstandsmessung. Dabei sind sowohl das Einzelfehler- als auch das Instandhaltungskriterium (N-2) (ENSI R-100) und das 30-Minuten-Kriterium (KEV, A01, R 100) (keine Personalintervention innerhalb der ersten 30 Minuten nach Störfalleintritt erforderlich) eingehalten.

Das integrierte Notfallmanagement des KKG (präventive und mitigative Notfallmassnahmen) beruht auf robusten, qualifizierten Messungen und kommt ohne Füllstandsmessung aus. Die Siedeabstandsmessungen gestatten es bei einem Unfall, präventiv vor einer signifikanten Verschlechterung der Kernkühlung Notfallmassnahmen einzuleiten. Die Brennelementaustrittstemperatur (BAT) liefert Informationen über einen weiten Unfallbereich schwerer Unfälle bis zum Eintritt einer signifikanten Kernschädigung. Das modular aufgebaute NHB (mitigative Notfallmassnahmen) gestattet es, für jeden Anlagenzustand Unfallbekämpfungsstrategien und zugehörige Notfallprozeduren abzuleiten.

Der Einsatz zusätzlicher RDB-Füllstandsmessungen ist aus Sicht der Störfallbeherrschung und des Notfallmanagements nicht notwendig.

3 Literaturverzeichnis

[1]	H. Schmidt, H. Reimann und H. Kiehne, „Ein neues Verfahren für die Füllstandsmessung im Reaktordruckbehälter von Druckwasserreaktoren,“ VGB Kraftwerkstechnik 65, Heft 7, pp. 648-656, 1985.
[2]	J.-U. Klügel und H. Plank, „Das integrierte Notfallmanagement im KKG,“ atw, 2006.

4. Abkürzungsverzeichnis

BAT Brennelementaustrittstemperatur

BWR Siedewasserreaktor

DE Dampferzeuger

DNB Departure from Nucleate Boiling (Siedekrise)

DH Druckhalter

DH-SiV Druckhaltersicherheits- und -abblaseventil

FD-SiV Frischdampf-Sicherheitsventil

HKMP Hauptkühlmittelpumpe

KKG Kernkraftwerk Gösgen

KNITU-Sonde Kombinierte Messsonde russischer Bauart

NHB Notfallhandbuch

PDE primärseitige Druckentlastung

PSÜ Periodische Sicherheitsüberprüfung

PWR Druckwasserreaktor

RDB Reaktordruckbehälter

RKL Reaktorkühlkreislauf

SAMG Severe Accident Management Guidance (mitigative Notfallmassnahmen)

TMI Three Mile Island

TUSA Turbinenschnellschluss

VVER Wasser-Wasser-Energie-Reaktor (Druckwasserreaktorensowjetischer Bauart)

Frage H (KKB):

Die Frage, ob zur Beherrschung von Störfällen eine Niveauanzeige im Reaktordruckbehälter erforderlich ist, wurde von der US-NRC als Folge des Unfalls in Three-Mile-Island thematisiert und im Kernkraftwerk Beznau in den 1990-iger Jahren detailliert untersucht. Dabei wurden sowohl Auslegungsstörfälle als auch auslegungsüberschreitende Störfälle betrachtet. In diesen Untersuchungen konnten folgende Verbesserungen und Nachrüstungen berücksichtigt werden, welche Erkenntnisse aus dem Unfall in Three Miles Island waren und in den 1980-iger Jahren in Beznau realisiert wurden:

– Ergänzung der Notfallvorschriften mit kritischen Sicherheitsfunktionen, die mit Hilfe definierter Anlageparameter permanent überwacht werden: Dadurch wird sichergestellt, dass eine Gefährdung kritischer Sicherheitsfunktionen (beispielsweise eine Gefährdung der ausreichenden Kernkühlung) bereits frühzeitig erkannt und geeignet entgegengewirkt werden kann. Bis zum Unfall in Three Miles Island war ein solches symptomorientiertes Handeln in den Notfallvorschriften nicht vorgesehen, was eine wesentliche Ursache für menschliche Fehlhandlungen darstellte.

– Berücksichtigung der Kernaustrittstemperaturmessung in den Notfallvorschriften: Die Kernaustrittstemperatur ist der wichtigste Parameter, um eine ungenügende Kernkühlung (und ein geringes Wasserinventar im Reaktordruckbehälter) rechtzeitig zu erkennen. In Beznau sind direkt oberhalb des Reaktorkerns 12 Messpositionen zur Messung der Kernaustrittstemperatur vorhanden.

– Erweiterung der bestehenden Instrumentierung zur Ermittlung des Siedeabstandes: Ein Verlust des Siedeabstandes ist ein frühzeitiges Indiz dafür, dass eine Gefährdung der ausreichenden Kernkühlung vorliegt. Erste Massnahmen zur Sicherstellung der ausreichenden Kernkühlung werden bereits beim Verlust des Siedeabstandes eingeleitet.

– Nachrüstung eines Reaktordruckgefäss-Gasentlastungssystems: Insbesondere bei schweren Störfällen können sich kondensierbare und nicht-kondensierbare Gase unter dem Deckel des Reaktordruckbehälters sammeln. Mit Hilfe des Gasentlastungssystems können diese Gase abgeführt werden.

Im Ergebnis aller Untersuchungen konnte aufgezeigt werden, dass Messgrössen wie die Kernaustrittstemperatur, der Siedeabstand, der Füllstand im Druckhalter und die Kühlmitteltemperaturen in Heiss- und Kaltsträngen eine zuverlässige Information über das Wasserinventar im Reaktordruckbehälter (und somit über eine ausreichende Kernkühlung) liefern. Jede dieser Messungen ist in Beznau mehrfach redundant vorhanden und entsprechend qualifiziert, um auch unter Unfallbedingungen korrekt zu funktionieren. Eine Niveauanzeige im Reaktordruckbehälter ist für die Beherrschung von Störfällen nicht erforderlich.

Dass eine Füllstandsmessung im KKB zur Beherrschung von Störfällen weder notwendig ist noch einen zusätzlichen sicherheitstechnischen Nutzen bringen würde, zeigt auch die folgende Gegenüberstellung des Umfallablaufs von TMI mit dem KKB:

Zeitpunkt nach Störfalleintritt	Ereignis in TMI	Unterschiede im Verhalten des KKB
0	Ausfall Speisewasser und Turbinenschnellschluss (TUSA)	Im KKB führt der Ausfall aller Hauptspeisewasserpumpen zur TUSA beider Turbinen, was direkt eine RESA auslöst.
3 s	Öffnen des dem DH-SiV vorgelagerten PORV und abblasen von Dampf aus dem Druckhalter in den Abblasebehälter.	Weil die RESA bereits früher erfolgt ist und weil der Ansprechwert der Ventile am Druckhalter höher liegt, würde kein DH‑Ventil öffnen. Es würde zuerst zu einem Ansprechen der FD‑Abblaseventile kommen.
4 s	Automatische Einschaltung der Notspeisepumpen. Operateure bemerken nicht, dass die Absperrventile der Pumpen geschlossen sind.	Im KKB würden gestaffelt insgesamt vier Hilfs‑/Notspeisewasserpumpen (4 x 100%) automatisch zugeschaltet werden, wobei die Einspeisearmaturen im Normalbetrieb offen sind und zusätzlich dazu einen automatischen Öffnungsbefehl erhalten. Auch der Füllstand in den Dampferzeugern würde automatisch geregelt werden. In den symptomorientierten, nach TMI entwickelten Notfallvorschriften des KKB wird zudem bereits im neunten Schritt nach Reaktortrip (Schritt 4 der NV-B-ES-0.1) der Speisewasserdurchfluss kontrolliert, wodurch ein fehlender Notspeisewasserdurchfluss entdeckt würde. Bis zum Austrocknen der DE nach frühestens 45 Minuten könnten durch die Operateure gemäss der Notfallvorschrift NV‑B‑FR‑H.1 zusätzlich die folgenden Pumpen zur Bespeisung der DE aufgeschaltet werden: 3 Hauptspeisewasserpumpen (3 x 100%) 2 Brunnenwasserpumpen (2 x 100%) oder eine NS-Brunnenwasserpumpe zur Niederdruckbespeisung der DE. Wenn alle diese Pumpen nicht verfügbar sind, kann die Kühlweise „primärseitiges Bleed-and-Feed“ gestartet werden.
9 s	Reaktorschnellabschaltung ausgelöst. Die Stellungsanzeige des DH-PORVs erlöscht, obwohl das Ventil offen bleibt	Die RESA wäre bereits früher erfolgt und es wäre nicht zu einem Öffnen eines DH-Ventils gekommen. Zusätzlich dazu sind im KKB im Rahmen des NANO-Projekts die DH-Sicherheitsventile und die vorgelagerten DH-PORVs durch ein neues, kombiniertes Produkt ersetzt worden. Dieses besteht einerseits aus drei kombinierten DH-Sicherheits- und Abblaseventilen (DH‑SiV), welche sowohl für das Abblasen von Dampf wie von Wasser voll ausgelegt sind. Ein Nichtschliessen dieser Ventile ist deshalb im Gegensatz zu den nicht qualifizierten PORVs von TMI nicht zu erwarten. Zudem ist jedem der drei DH-SiV des KKB ein zweites, baugleiches, normal offen stehendes und bei tieferem Druck automatisch schliessendes Isolierventil vorgelagert. Somit würde ein Offenbleiben eines DH-SiV durch das automatische Schliessen des Isolierventils beherrscht, und der Kühlmittelverlust würde automatisch wieder gestoppt. Auch zeigen die Stellungsanzeigen sowohl der DH-SiV wie der Isolierventile den effektiven Wert und nicht den Sollzustand an.
2 min	Die Dampferzeuger sind sekundärseitig völlig entleert. Das offene DH-PORV führt zu einer Absenkung des Drucks im Reaktorkühlkreislauf. Die Hochdruck-Sicherheitseinspeise-pumpen beginnen einzuspeisen. Die Operateure erkennen das Vorliegen eines Lecks nicht, weil die Hochdruck-Sicherheits-einspeisepumpen in der Vergangenheit auch ohne Leck wiederholt gestartet waren.	Bis zu einem völligen Ausdampfen der DE (ohne Bespeisung) würden mehr als 45 Minuten vergehen. Weil das Szenario im KKB nicht zu einem Kühlmittelverluststörfall führen würde, würde auch die Sicherheitseinspeisung nicht anlaufen. KKB hat zudem Mitteldruck- und nicht Hochdruck-SE-Pumpen. Der Zustand der DH-SiV und ‑Isolierventile wird in den Notfallvorschriften des KKB, welche auf den symptomorientierten, nach TMI entwickelten „Emergency Response Guidelines“ der Westinghouse Owners Group (heute PWROG) basieren, expliziert überprüft. Bei einem Offenbleiben werden die Operateure in die Vorschrift für Leckstörfälle geführt.
3 min 12 s	Das Druckbegrenzungsventil des Abblasebehälters öffnet intermittierend und bläst Kühlmittel in das Containment ab.	KKB hat ein derartiges Ventil nicht. Der Abblasebehälter ist mit einer Berstscheibe ausgestattet.
4 min 30 s	Die Operateure drosseln die HD-Sicherheitseinspeisung wegen dem ansteigenden Füllstand im DH.	In den symptomorientierten, nach TMI entwickelten Notfallvorschriften des KKB darf eine Drosselung oder sogar ein Stoppen der Sicherheitseinspeisung nur durchgeführt werden, wenn alle vier der folgenden Parameter im zulässigen Bereich sind: Siedeabstand Sekundäre Wärmesenke Primärseitiger Druck DH-Niveau. In TMI waren drei dieser vier Grössen ausserhalb dieses zulässigen Bereichs.
7 min 29 s	Die Sumpfansaugpumpe des Nachwärmeabfuhrsystems startet. Diese Information wird nicht mit einem Leck im RKL in Verbindung gebracht.
8 min 18 s	Öffnen der Absperrventile der Notspeisepumpen. Inbetriebnahme der Notbespeisung. Aufgrund der ungünstigen Geometrie und der kurzen Karenzzeiten stellt sich wegen mangelndem Umlauf im RKL keine sekundärseitige Wärmeabfuhr ein.	Im KKB speisen die Hilfs- und die Notspeisewasserpumpen über einen zum Hauptspeisewasser separaten Stutzen in die DE ein, so dass die Kühlwirkung sofort ihre Wirkung entfaltet. Zudem sind die Karenzzeiten im KKB deutlich länger als in TMI. Nach der Wiederherstellung der sekundären Wärmeabfuhr nach einem längeren Unterbruch derselben würde sich im KKB mit U‑Rohr-DE (im Gegensatz zu TMI) im RKL sehr rasch ein einphasiger oder gegebenenfalls ein zweiphasiger Umlauf einstellen. Im Extremfall kommt es zum sogenannten Reflux-Condenser-Mode. In allen Fällen würde die Wärme effektiv über die Sekundärseite abgeführt werden.
14 min 48 s	Berstscheibe im Abblasebehälter versagt. Erhöhte Radioaktivität im Containment. Diese wird fehlerhaft als DE-Leckage interpretiert.	In den symptomorientierten, nach TMI entwickelten Notfallvorschriften des KKB werden vier verschiedene Parameter zur Identifizierung von primärseitigen Lecks verwendet, wovon einer allein zur Diagnose genügt. Dabei ist Radioaktivität im Containment einer dieser Parameter.
1 h 20 min	Die vier Hauptkühlmittelpumpen (HKMP) fördern Wasser-Dampfgemisch und kavitieren. 2 von 4 Pumpen werden abgeschaltet.
1 h 27 min	Der vom Ausfall des Speisewassers betroffene DE wird isoliert. Fehlinterpretation der Operateure. Annahme des Vorliegens eines DE-Lecks.	In den symptomorientierten, nach TMI entwickelten Notfallvorschriften des KKB wäre ein primärseitiges Leck aufgrund verschiedener Parameter identifiziert worden (Radioaktivität im Containment, Containment-Druck, Rezirkulationssumpf-Niveau, Radioaktivität Ringraum). Mögliche Probleme bei der primärseitigen Kühlung wären über die Siedeabstandsmessung erkannt worden.
1 h 40 min	Abschaltung der verbliebenen beiden HKMP. Totalausfall der Kühlung. Erst ab diesem Zeitpunkt bildet sich eine eindeutige Phasenseparation heraus, die Voraussetzung für die Ausbildung eines messbaren Füllstandes ist. Es hätte noch für ca. 25 Minuten die Möglichkeit für Gegenmassnahmen (Einschalten der HD-Sicherheits-einspeisung) bestanden.	Die unzureichende Kernkühlung wäre im KKB einerseits durch die Siedeabstandsmessung und später über die Kernaustrittstemperaturen erkannt worden, selbst wenn die automatischen Reaktorschutzmassnahmen ausgefallen wären. Die Operateure wären dabei bei erhöhten Kernaustrittstemperaturen über die kritischen Sicherheitsfunktionen zur Notfallvorschrift NV‑B-FR-C.2: „Massnahmen bei verminderter Kernkühlung“ geleitet worden, welche vor allem das Überprüfen und Wiedererstellen der Sicherheitseinspeisung beinhaltet.
2 h 14 min	Kern ist ungekühlt. Zirkonium-Wasserdampf-Oxidation setzt ein. Bildung von Wasserstoff im RDB und beginnende Akkumulation unterhalb des Reaktordeckels.	Die Operateure wären bei hohen Kernaustrittstemperaturen über die kritischen Sicherheitsfunktionen zur Notfallvorschrift NV‑B‑FR-C.1: „Massnahmen bei ungenügenden Kernkühlung“ geleitet worden, welche unter anderem das Überprüfen und Wiedererstellen der Sicherheitseinspeisung wie auch weitere Mittel zur Einspeisung in den Reaktor beinhaltet.

Frage I (ENSI)

Die Störfallinstrumentierung und deren Qualifikation für die jeweiligen Störfallbedingungen müssen? immer im Zusammenhang mit der Strategie zur Störfallbeherrschung für das jeweilige Kernkraftwerk betrachtet werden. So muss eine störfallsichere Messung, die für die Anwendung von Notfallmassnahme relevant ist, nur so lange zuverlässig zur Verfügung stehen, bis die Notfallmassnahmen aufgrund des massgebenden Messwertes eingeleitet werden. Die Überwachung der Notfallmassnahmen kann anschliessend durchaus mit anderen Messgrössen erfolgen.

In den beiden Schweizer Druckwasserreaktoren werden zur Überwachung des Kernzustandes im Reaktordruckbehälter (RDB) bei schweren Störfallbedingungen unter anderem Temperaturmessungen verwendet, die bis zu Temperaturen von 1000°C qualifiziert sind. Anhand gemessener Kernaustrittstemperaturen kann indirekt zuverlässig auf den Füllstand im Reaktordruckbehälter (RDB) geschlossen werden. So geht man davon aus, dass wenn eine Kernaustrittstemperatur deutlich über der Sättigungstemperatur gemessen wird, der Kern im RDB nicht mehr ausreichend mit Kühlmittel überdeckt ist.

Die Einleitung von Notfallmassnahmen (Druckentlastung/Einspeisung) erfolgt in den Schweizer Druckwasserreaktoren (DWR) etwa bei Kernaustrittstemperaturen von 500°C, wodurch grössere Kernschäden vermieden werden. Die für den Normalbetrieb und Auslegungsstörfälle eingesetzten RDB-Füllstandsmessungen sind für schwere Störfallbedingungen nicht qualifiziert und damit zur Kernüberwachung nicht mehr in jedem Fall geeignet.

Bei der neusten Generation von Druckwasserreaktoren (EPR) wird für die Überwachung des Kernzustandes bei schweren Störfallbedingungen neben der Kernaustrittstemperaturmessung auch eine qualifizierte RDB-Füllstandsmessung eingesetzt. Die qualifizierte diskrete RDB-Füllstandsmessung wurde in deutschen DWR nachgerüstet (siehe Beitrag des Ministeriums für Umwelt, Klima und Energiewirtschaft Baden-Württemberg zur Frage 11J).

Das ENSI erachtet die Qualifizierung der Kernaustrittstemperaturmessung für schwere Störfallbedingungen bis 1000°C in Verbindung mit den eingeführten Strategien zur Beherrschung schwerer Störfälle in den Schweizer DWR-Anlagen als ausreichend.

In einem deutschen Siedewasserreaktor wurde als diversitäre Massnahme zur Beherrschung von auslegungsüberschreitenden Störfällen bei Ausfall der vorhandenen RDB-Füllstandsmessung (mittels Differenzdruckmessung) eine Kernaustrittstemperaturmessung (indirekte RDB-Füllstandsmessung) nachgerüstet.

Das ENSI hat bereits einen Überprüfungsbedarf hinsichtlich einer diversitären RDB-Füllstandsmessung bei den Schweizer Siedewasserreaktoren festgestellt.

Es muss aber angefügt werden, dass die Schweizer Siedewasserreaktoren bereits zur Beherrschung von Auslegungsstörfällen eine RDB-Druckentlastung und Überspeisung des Reaktordruckbehälters mit Niederdruckeinspeisesystemen durchführen können. Diese Massnahme kann auch bei schweren Störfällen mit nicht eindeutiger RDB-Füllstandsanzeige durch die Operateure ausgelöst werden. Mit der Überspeisung des RDB ist sichergestellt, dass der Kern ausreichend gekühlt ist, auch wenn keine eindeutige Füllstandsmessung zur Verfügung steht.

Frage J (Ministeriums für Umwelt, Klima und Energiewirtschaft Baden-Württemberg

Das Ministerium für Umwelt, Klima und Energiewirtschaft Baden-Württemberg (UM BW) ist atomrechtliche Aufsichts- und Genehmigungsbehörde für die Kernkraftwerke in Baden-Württemberg. Die nachfolgenden Aussagen beziehen sich auf das Kernkraftwerk Neckarwestheim Bock II (GKN II). Die technischen Gegebenheiten im zweiten noch im Betrieb befindlichen Kernkraftwerk in Baden-Württemberg, Kernkraftwerk Philippsburg Block 2 (KKP 2), sind vergleichbar. Zu den übrigen Kernkraftwerken in Deutschland, die nicht in seinem Zuständigkeitsbereich liegen, macht das UM BW keine Aussage.

Messprinzip der Füllstandsmessung

Die Füllstandsmesssonden nutzen als Messfühler einen beheizten und einen unbeheizten von der Temperatur abhängigen elektrischen Widerstand (Thermowiderstand). Die Füllstandsmessung signalisiert, ob dieses Widerstandspaar mit Wasser bedeckt ist oder nicht, d.h. ob der Wasserstand im Reaktordruckbehälter sich oberhalb oder unterhalb des Messfühlers befindet. Ist das Widerstandspaar des Messfühlers mit Wasser bedeckt, haben die beiden Thermowiderstände nahezu dieselbe Temperatur und denselben elektrischen Widerstand, da die Wärme des elektrisch beheizten Widerstands durch das Wasser rasch abgeführt wird. Befindet sich das Widerstandspaar im Dampfbereich, wird die Wärme des beheizten Widerstandes nicht so gut abgeführt, so dass die beiden Thermowiderstände eine unterschiedliche Temperatur und damit einen unterschiedlichen elektrischen Widerstand haben. Eine kleine Differenz der elektrischen Widerstände des Widerstandspaars signalisiert eine Wasserbedeckung, eine große Differenz das Fehlen der Wasserbedeckung. Zur Differenzmessung sind die Messwiderstände in einer Wheatstone-Brücke verschaltet. In der Auswertelektronik ist ein Grenzwert für die Widerstandsdifferenz festgelegt, ab der davon ausgegangen wird, dass eine Wasserüberdeckung nicht vorliegt. Die Messung meldet also, wenn der Füllstand unterhalb des Messfühlers liegt.

Messgröße

Mit solchen Füllstandsmessungen wird der Füllstand im Reaktordruckbehälter auf drei Niveaus gemessen. Die beiden oberen Füllstandshöhen „MIN 1“ und „MIN 2“, sind vorwiegend betriebliche Messgrößen. Eine gewisse sicherheitstechnische Bedeutung kommt ihnen bei der Erkennung einer Dampfblase im Reaktordruckbehälterdeckel zu. Sicherheitstechnisch wichtig ist die Messung des untersten Niveaus, die sog. „MIN-3-Messung“. Dieses Niveau befindet sich 150 mm unterhalb der Mitte der Hauptkühlmittelleitung (Mitte Loop). Die MIN-3-Messung ist vierfach vorhanden. Sinkt der Wasserstand im Reaktordruckbehälter unterhalb des MIN-3-Niveaus, ist die Kernkühlung gefährdet. Daher wird das Ansprechen des MIN-3-Grenzwertes als Kriterium für das Einleiten der Accident-Management-Prozedur „Primärseitiges Druckentlasten und Bespeisen“ verwendet.

Neben dem Signal „Füllstand kleiner MIN 3″ wird auch das Signal „Brennelement-Austrittstemperatur größer 400 °C“ für das Auslösen der Accident-Management-Prozedur verwendet. Die beiden Kriterien sind diversitär, wobei das Signal „Füllstand kleiner MIN 3″ bei einem Reaktorunfall zeitlich etwas früher ansprechen wird. Wenn eines der beiden Kriterien erfüllt ist, wird die Accident-Management-Maßnahme ausgeführt.

Qualifizierung

Die MIN-3-Messung ist für einen Temperaturbereich von 30 °C bis 354 °C qualifiziert. Der Temperaturwert 354 °C ist die Sättigungstemperatur zum Druck 174 bar, bei dem das erste Druckhaltersicherheitsventil anspricht. Die Messung ist damit im betrieblichen Bereich (30 °C bis 330 °C) geeignet. Sie ist auch geeignet im Temperaturbereich (330 °C bis 354 °C), der für die Accident-Management-Maßnahmen relevant ist. Die Eignungsnachweise des Herstellers wurden von Gutachtern geprüft.

Zusammenfassung

Die MIN-3-Füllstandsmessung wird bei auslegungsüberschreitenden Ereignisabläufen (schweren Störfällen) zur Einleitung der Notfallschutzmaßnahme „Primärseitiges Druckentlasten und Bespeisen“ verwendet. Für die hierfür relevanten Umgebungsbedingungen einschließlich des Temperaturbereichs ist die Messsonde geeignet, ihre Funktion zu erfüllen.