Antwort

Antwort A (KKL/KKM):

• Die Füllstandsmessungen (FSM) des Kernkraftwerks Leibstadt KKL und des Kernkraftwerks Mühleberg KKM beruhen auf Differenzdruckmessungen (Δp-Messungen) gemäss den Wasserstandsschwankungen (Δh) des Reaktordruckbehälters. Das passive Δp-Prinzip ist in allen SWR weltweit eingebaut. Die Messeinrichtungen wurden anfangs der 90er Jahre weiter verbessert. Es gibt bisher kein diversitäres Messsystem, welches den ursprünglichen Δp-Messeinrichtungen gleichwertig oder überlegen wäre. Heute ist bei einem deutschen Kernkraftwerk versuchsweise ein diversitäres Zusatz-System auf Basis von ΔT-Messungen im Kern eingebaut. Das System ist jedoch bei Auslegungsstörfällen zu träge (schnelle Niveauänderungen). Das Versuchssystem wird daher nicht als Auslösesignal für SCRAM und Emergency Core Cooling Systems (ECCS)-Initiierung innerhalb des Reaktorschutzsystems (RPS) eingesetzt. Solche Versuchssysteme dienen allenfalls zur temporären Niveau-Messung im auslegungs-überschreitenden Bereich (SE4). Solch ein stabförmiges Messsystem ist im betreffenden deutschen Siedewasserreaktor probehalber auf unbesetzten Positionen im Kern eingebaut. Bei einer Fukushima ähnlichen Situation, das heisst bei hohen Temperaturen (Hohe Temperatur = Beginn Kernschädigung; SE4) würden diese Systeme rasch unwirksam. Unwirksame oder falsch anzeigende (Probe-)Systeme brächten jedoch Gefährdungen und Unsicherheiten beim Severe Accident Management (SAM) Entscheidungsprozess
• Eine offizielle und bislang aktuellste Stellungnahme des D-Bundestages vom Mai 2011 (Drucksache 17/5808) bringt diese Sachlage in D auf den Punkt :
  • Anfrage der Grünen: In welchen Siedewasserreaktoren ist nach Kenntnisstand des Bundesministeriums für Umwelt BMU oder der Gesellschaft für Anlagen- und Reaktorsicherheit GRS eine diversitäre FSM für den Reaktorschutz nicht gegeben (vgl. Nummer 14 und 15 in Tabelle der GRS-Stellungnahme, bitte differenzieren nach FSM „hoch“/„tief“)?
  • Antwort BMU: Nach Kenntnis des Bundesministeriums für Umwelt, Naturschutz und Reaktorsicherheit befinden sich im Reaktordruckbehälter der Anlagen Isar 1 (inzwischen abgeschaltet) und Gundremmigen II diversitäre FSM im Probebetrieb. Auch in den Anlagen Philippsburg 1, Brunsbüttel und Krümmel sind entsprechende FSM vorgesehen. Eine Genehmigung für den Einsatz im Reaktorschutzsystem liegt bisher für keinen Siedewasserreaktor vor.
• Die vorliegenden technisch etablierten und bewährten Messsysteme auf Δp-Basis messen übrigens bis weit in den SE4-Bereich hinein (Grenze: Sättigungstemperatur Druck/Wasser als Kriterium für das Versagen der Messung)
• Hohe Fehlertoleranz: Durch die lange Messstrecke im Weitbereich von ca. 6m ist man – selbst bei unterstellten Messungenauigkeiten – weit von Kernschadenshöhen entfernt und dementsprechend robust. Die Robustheit des FSM hatte sich im KKL auch bereits während einer Drucktransiente im Jahr 2007 bestätigt.

Resumé zu Frage A:

• Die passive Δp-Messmethode hat sich als äusserst robustes einfaches System während fünf Jahrzehnten bewährt.
• Diversitäre FSM ist kein etablierter Stand der Technik.
• Weltweit existiert bislang kein gleichwertiges diversitäres System mit Verknüpfung zum Reaktorschutz. Deshalb wurde bislang auch keine diversitäre Messmethode auf der Auslegungsebene (SE3) eingeführt.

Antwort B (KKL/KKM):

• Die Auswertung der Fukushima Probleme zeigt keine Schwächen der betreffenden FSM. Die Zeitdauer des Total Station Black Out war zu lang, sodass durch die Aufheizung des Containments die Sättigungstemperatur bereits weit überschritten war und die FSM auslegungsmässig in diesem Bereich nicht mehr zur Verfügung stand.
• Doch das eigentliche Problem der japanischen Betriebsmannschaft war, dass sie nach Ausfall des Isolations-Kondensators (B1) und der Reactor Core Isolation Cooling Systems (RCIC, B2&3) über Stunden keine Möglichkeit fanden, die Druckentlastung der Reaktordruckbehälter (RDB) auf Werte < 7 bar für alternative Einspeisung zu erreichen à Es konnte daher nicht rechtzeitig Wasser eingespeist werden à Kernschmelze war unvermeidlich (siehe Zeitschema in Abb.1)
• Die FSM (auf Δp-Basis – aber genauso eine diversitäre FSM) hätte selbst mit einer korrekt weiterfunktionierenden Anzeige absolut keinerlei Verbesserung der Situation erbracht, denn die Mannschaft konnte keine Noteinspeisung vor Kernschaden einleiten.
• Jeder Siedewasserbetreiber weiss – auch ohne Kenntnis des genauen RDB-Füllstandes – , dass er innerhalb sehr kurzer Zeit unter allen Umständen ausreichende Wassermengen in den Kern bekommen muss, um eine Kernschaden zu vermeiden oder zu begrenzen.
• In diesem Zusammenhang ist ein grösseres Containment (Mark III vs. Mark I) zwar vorteilhaft (längere Aufheizzeiten) aber die grundsätzliche Problematik der rechtzeitigen Wasserzuführbarkeit im SAM-Fall bleibt die Gleiche.

Resumé zu Frage B:

Die eigentlichen Versagensgründe in Fukushima lagen nicht bei den RDB-Füllstandsmessungen, wie es in der Fragestellung von Herr Kühni fälschlicherweise angenommen wurde, sondern lagen in den landeseigenen Verhältnissen damals: Keine effektive Accident Management Ausbildung und Übung; unzureichende Hardware Vorkehrungen für RDB-Druck-Absenkung und fehlende alternative Einspeisemöglichkeiten. Es war nicht eine falsche oder defekte Füllstandsanzeige entscheidend, sondern sie konnten nicht einspeisen und kühlen – egal ob mit oder ohne FSM. (vgl. im Detail hierzu auch: http://www.grs.de/publication/GRS-S-53)

Die schweizerischen KKW verfügen im Gegensatz dazu über all diese SAM-Vorkehrungen.

Abb 1. Zeitliche Verhältnisse bei den Unfallabläufen der japanischen Anlagen 1 Fukushima Units 1 bis 4

Antwort C (KKL/KKM):

Antwortkomplex C1:

Falls plötzlich hohe Temperaturen (T) im Containment gemessen werden à einzige mögliche Schlussfolgerung à Kühlmittelverlust (grosse Leckage durch Leitungsbruch oder  Sicherheits-Abblaseventile-Öffnen). Als auslegungsgemässe Gegenmassnahme gibt es verschiedenartige (diversitäre) schnelle SCRAM-Auslösesignale, wie  z.B. «Drywelldruck zu hoch», «RDB Druck zu tief»; «Suppression-Pool T zu hoch»; etc., die die betreffenden notwendigen Sicherheitsfunktionen automatisiert mittels des Reaktorschutzsystems auslösen:

à SCRAM erfolgt schnell und unabhängig vom FSM-Signal

à Schutzfunktionen: automatischer Start der Noteinspeisesysteme (Hochdruck + Niederdruck!) aufgrund verschiedener Auslösesignale: «Drywelldruck zu hoch» oder «Suppression Pool T zu hoch» à schnelles Auffüllen des RDB unabhängig vom FSM-Signal

zu TFK Frage C1 –konkretes Beispiel (für KKM und KKL):

1. Bei Frischdampfleitungs-LOCA à sofortige p-Erhöhung im Drywell à Auslösekriterium «100mbar Drywelldruck» spricht innerhalb Sekunden an à Scram + ECCS-Einspeisung (KKL: Isolation; KKM: Isolation durch Aktivitätskriterium)
2. Trotz heissem Containment misst die robust ausgelegte FSM bis Erreichen der Sättigungstemperatur. (= Sicherheitsmarge). Die Schutzauslösung geschieht jedoch bereits zu einem sehr viel früheren Zeitpunkt, lange bevor das Containment resp. FSM die Sättigungstemperatur erreicht hat.

Anmerkung: Die Sättigungstemperatur des Containments liegt immer unterhalb der Sättigungstemperatur des RDB, sofern RDB noch nicht gekühlt ist. RDB-Kühlung aber nur mit Einspeisung, womit BE wieder gekühlt sind.

Antwortkomplex C2:

Falls die mehrfach redundanten Kanäle der FSM etwaige Differenzen gegenseitig aufweisen erfolgt automatische Alarm im Kommandoraum à entsprechend der Störfall-Anweisungen à manueller Scram à manueller Start Noteinspeisesysteme à manuelle Auslösung automatische Druckabsenkung (Öffnen einiger Sicherheits-Abblaseventile) à Resultat: Reaktor nach kurzer Zeit vollständig gefüllt

Antwortkomplex C3:

Kann trotz redundanter FSM der FS im RDB unbemerkt absinken (CCF)?

• Durch unterschiedliche Messbereich/längen (4x 1,5m Nahbereich, 4x 6m Weitbereich & Hochbereich, BE-Bereich) gibt es prinzipiell immer unterschiedliche Abweichungen durch die unterschiedlichen Messlängen à Differenzen-Alarm à führt wieder zu Antwortkomplex C2
• Weltweiter Konsens nach 40 Jahren à-Bislang kein Hinweis auf Common Cause Failure.
• Falls bei einem Auslegungsstörfall (z.B. Frischdampfleitungs-LOCA) die FSM nicht oder falsch funktioniert spielt dies eine untergeordnete Rolle.
• FSM-Δp-Kriterium ist nur 1 von ca. 15 weiteren Auslösekriterien für SCRAM und ECCS sowie Isolationsfunktionen

Gesamtfazit zu Fragen A-C

• Die FSM sind heute ausgereift und werden daher vorbehaltslos in allen KKW weltweit eingesetzt. Sie haben sich im Normalbetrieb, bei Transienten und Störfällen bis heute bewährt und weisen robuste Sicherheitsmargen auf. Es liegen bis heute keine gegenteiligen Berichte vor.
• Weder bei Auslegungsstörfallen noch bei auslegungsüberschreitenden Störfällen ist die FSM das allein entscheidende Kriterium, zur Beherrschung von Störfällen auf (SE3) oder weitergehend auf (SE4).
  • Auslegungsbereich (SE3): Es stehen diversitäre Anregesignale zur Verfügung um die notwendigen Sicherheitsfunktionen im RPS rechtzeitig zu aktivieren.
  • Auslegungsüberschreitender Bereich (SE4): Durch geeignete Hardwarevorkehrungen und ein Störfallmanagement, (respektive SAM) werden Störfälle auch jenseits des Betriebsbereiches der FSM sicher beherrscht. Dies wird in CH-KKW im Simulatortraining und während Notfallübungen geübt. Prinzipielles und oberstes Ziel ist immer die Einspeisung von Wasser in den Reaktorkern – unabhängig von der Anzeige der FSM.
• Heute stehen weltweit keine diversitären FSM zur Verfügung, um ausreichend schnelle und verlässliche alternative Sicherheitsfunktionsauslösungen des RPS zu realisieren. Aus diesem Grund wird weltweit bisher keine diversitäre FSM gefordert.
• Eine funktional-begrenzte, nicht im Sinne der Auslegung diversitäre Alarmierungs-FSM auf SE4 ist bislang zum Versuchszweck weltweit in 1 KKW eingesetzt.

Antwort D (ENSI):

Das ENSI konkretisierte zum Anfang der Präsentation den hinter der Frage 9D stehenden technischen Sachverhalt (s. Folie 2). Anschliessend wurden die Erkenntnisse aus Fukushima eingeordnet, indem die Ursachen des Ausfalls der Reaktordruckbehälter (RDB)-Füllstandmessung dargelegt wurden. Als Ergebnis wurde festgehalten, dass hieraus keine neuen Erfahrungen bezüglich der RDB-Füllstandmessung in Siedewasserreaktoren (SWR) abgeleitet werden können (s. Folie 3). Des Weiteren sind die Erkenntnisse aus Fukushima aufgrund der dargelegten, in den Schweizer SWR getroffenen Vorsorgemassnahmen auch nicht direkt auf die Schweizer SWR übertragbar (s. Folie 4). Abschliessend wurden die vom ENSI anlässlich der Nachrüstung der RDB-Füllstandmessungen in einigen deutschen SWR zusätzlich geforderten Untersuchungen vorgestellt (s. Folie 5). Das ENSI betonte, dass diese Nachrüstungen in keinem kausalen Zusammenhang mit den Ereignissen in Fukushima stehen.

Präsentation: ENSI Technisches Forum Kernkraftwerke Frage 9D

Antwort auf die Zusatzfragen (KKL/KKM)

KKL und KKM sind der Ansicht, dass die Rückfragen bereits mit der Behandlung des Fragekomplexes Nr. 9 beantwortet wurden: die Antworten wurden aber vom Fragesteller scheinbar nicht verstanden. Die Intention der Rückfragen wurde deshalb wiederum von KKM und KKL in der Beantwortung der Fragen 10 E-G am 19. September 2014 berücksichtigt. Wie sich allerdings bereits an der Sitzung vom 14. März 2014 zeigte – und es die Intention der 9 Fragen nochmals bestätigt – nimmt der Fragesteller folgende Aspekte bis heute unzureichend zur Kenntnis:

• Bei Auslegungsstörfällen spielt die FSM nur in der Auslösungsphase von Sicherheitsfunktionen eine tragende Rolle. Nach der Auslösephase ist die FSM nur noch untergeordnet relevant.
• Bei auslegungsüberschreitenden Störfällen spielt die FSM bei der Prävention und Linderung mittels SAM keine tragende Rolle.
• die grundlegenden Unterschiede bei den wirksamen Massnahmen gegen SE3-Störfälle und SE4-Störfälle
• das international angewandte gestaffelte Sicherheitskonzept (Defense-in-Depth) als grundlegendes Auslegungsprinzip im Bereich der Kerntechnik