1 Anlass

In ihrer 424. Sitzung am 11.03.2010 wurde die RSK über die bisherigen Beratungen des Themas "Regelungen zur Nachstörfallphase" in den RSK-Ausschüssen ANLAGEN- UND SYSTEMTECHNIK (AST) und REAKTORBETRIEB (RB) informiert. Die diesbezüglichen Beratungen in den Ausschüssen erfolgten im Zusammenhang mit der Erstellung der "BMU-Sicherheitskriterien" [ 1] (RB) sowie mit der Auslegung und der Einordnung von Rückspülmaßnahmen an DWR-Sumpfsieben in das bestehende deterministische Sicherheitskonzept (AST). Wegen der grundsätzlichen Aspekte für die Behandlung von Ereignissen der Sicherheitsebene 3 (SE 3) ("Auslegungsstörfälle") und der unterschiedlichen Interpretationen des derzeitigen Regelwerks für die Phase nach Erreichen eines sicheren Anlagenzustandes bei Ereignissen der SE 3 wurde beschlossen, die weiteren Beratungen zu dieser Thematik in der RSK fortzuführen.

Die RSK bildete daraufhin in ihrer 425. Sitzung am 15.04.2010 eine Ad-hoc-Arbeitsgruppe aus Mitgliedern der Ausschüsse ANLAGEN- UND SYSTEMTECHNIK und REAKTORBETRIEB, um die weitere Beratung des Themas durch die RSK vorzubereiten. Dazu sollte die Ad-hoc-Arbeitsgruppe den Regelungsbedarf zur "Einordnung der "Nachstörfallphase" vor dem Hintergrund des bestehenden Regelwerks prüfen und gegebenenfalls erforderlichen ergänzenden Regelungsbedarf identifizieren und begründen. Die RSK hat die Ergebnisse der Arbeitsgruppe diskutiert und die vorliegende Empfehlung "Regelungen zu Anlagenzuständen nach Eintritt eines Störfalls" in ihrer 439. Sitzung am 07.07.2011 verabschiedet.

Radiologische Störfallanalysen sind nicht Gegenstand dieser Stellungnahme.

2 Sachverhalt

2.1 Regelwerksstatus in Deutschland

Im deutschen Regelwerk, insbesondere im KTA-Regelwerk, z.B. in der KTA 1201, werden für den Zeitraum nach Störfalleintritt Begriffe wie "kontrollierter" und "sicherer" Zustand verwendet, ohne dass diese Begriffe definiert sind. Bei Diskussionen in der RSK und ihren Ausschüssen zur Dauer eines Störfalls und zu den Anforderungen an die Sicherheitseinrichtungen nach Erreichen eines sicheren Anlagenzustands (Phase der "Störfallfolgenbeseitigung") wurde im Zusammenhang mit dem Rückspülen der Sumpfsiebe nach Kühlmittelverluststörfällen (KMV) mit Freisetzung von Isoliermaterial festgestellt, dass es uneinheitliche Vorstellungen hinsichtlich sicherheitstechnischer Anforderungen für diesen Anlagenzustand bei Ereignissen der Sicherheitsebene (SE) 3 gab. In diesem Kontext wurde für diesen Anlagenzustand der Begriff "Nachstörfallphase" im Jahre 2007 in die Diskussion eingebracht [ 2]. Auch für die Definition dieses im kerntechnischen Regelwerk nicht verankerten Begriffs gibt es uneinheitliche Vorstellungen. Dies gilt auch für die zugehörigen sicherheitstechnischen Anforderungen.

Ferner wurde in diesen Diskussionen ersichtlich, dass es auch hinsichtlich der Zulässigkeit von leittechnischen Eingriffen, wie das Simulieren oder Unscharfmachen von Reaktorschutzsignalen, in den verschiedenen Phasen nach dem Eintritt des Störfalls weder eindeutige Vorgaben im Regelwerk noch einheitliche Vorgehensweisen in den "Betrieblichen Vorschriften" der deutschen Anlagen gibt.

Gemäß Strahlenschutzverordnung § 3 (2) [ 3] ist ein Störfall ein "Ereignisablauf, bei dessen Eintreten der Betrieb der Anlage oder die Tätigkeit aus sicherheitstechnischen Gründen nicht fortgeführt werden kann und für den die Anlage auszulegen ist oder für den bei der Tätigkeit vorsorglich Schutzvorkehrungen vorzusehen sind." Demnach ist der dort verwendete Begriff "Störfall" das Synonym für einen Auslegungsstörfall bzw. im Sicherheitsebenenkonzept gemäß [ 1] das Synonym für Ereignisse der Sicherheitsebene 3 (SE 3 Ereignisse). Im Weiteren wird im Rahmen dieser Stellungnahme, die sich nur auf Auslegungsstörfälle bezieht, der Begriff "Störfall" in diesem Sinne verwendet.

Für die Phase der "Störfallbehandlung", deren Ziel es ist die Anlage in einem sicheren Zustand zu halten bzw. in einen solchen zu bringen gibt es Anforderungen an verschiedenen Stellen im bestehenden Regelwerk. Demnach ist im Rahmen des Genehmigungsverfahrens mittels Störfallanalysen nachzuweisen, dass ein Störfall unter postulierten verschärfenden Anfangs- und Randbedingungen und nur mittels Sicherheitseinrichtungen unter Anwendung der im Betriebshandbuch festgelegten Anweisungen zur Störfallbehandlung (Störfallanweisungen) zu beherrschen ist.

Gemäß RSK-Leitlinien für DWR Kap. 8 [ 4] bestehen für die Behandlung von Störfällen weitere relevante Anforderungen wie

• "die für einen sicheren Betrieb der sicherheitstechnischen Systeme und für die Beherrschung von Störfällen notwendigen Steuerungsmaßnahmen und Schalthandlungen müssen von der Warte aus vorgenommen werden können".
• "die Informationsdarbietung in der Warte muss dem Betriebspersonal jederzeit einen ausreichenden Überblick über den Betriebszustand und das Verhalten der Anlage vermitteln".

Die KTA 1201 [ 6] definiert im Kapitel Begriffe die "Störfallbehandlung" als "das Ergreifen von Maßnahmen beim Auftreten eines Störfalls mit dem Ziel, die Anlage in einen kontrollierten und sicheren Zustand zu überführen und die Auswirkungen zu begrenzen".

Die KTA 1201 [ 6] enthält keine weitergehende Definition dieser Begriffe, diese werden in dieser Regel auch nicht mehr anderweitig verwendet oder mit Anforderungen versehen. Es wird allerdings im Abschnitt 8 eine Beschreibung des Zustands gefordert, in den die Kraftwerksanlage zu bringen und in dem sie zu halten ist. Definitionen für die Begriffe kontrollierter und sicherer Zustand finden sich derzeit nur in den "Sicherheitskriterien für Kernkraftwerke" ("Begriffsbestimmungen") [ 1]. Es gibt also im bestehenden deutschen Regelwerk weder Kriterien noch Unterscheidungsmerkmale für die nach einem Störfalleintritt anzustrebenden Anlagenzustände, und es ist demzufolge auch schwierig, den verschiedenen Phasen nach dem Eintreten des Störfalls spezifische Anforderungen zuzuordnen. Eine derartige Differenzierung von Anforderungen an die unterschiedlichen Phasen des Störfalls ist inzwischen jedoch Stand von Wissenschaft und Technik (siehe Kapitel 2.2).

2.2 Internationale Entwicklungen und Begriffsbestimmungen im Zusammenhang mit Anlagenzuständen nach Eintritt eines Störfalls

Im Zuge der Fortentwicklung kerntechnischer Regelwerke ist es international inzwischen üblich, verschiedene Anlagenzustände nach Eintritt eines Störfalls zu betrachten und sicherheitstechnische Anforderungen an diese Zustände zu definieren. So sind beispielsweise für die Auslegung des EPR die Zustände "controlled state" und "safe state" im Zusammenhang mit der Störfallbeherrschung definiert und zugehörige Anforderungen an die Nachweisführung, die Auslegung von sicherheitstechnisch wichtigen Einrichtungen und an die Erstellung von Störfallanweisungen formuliert worden.

Während für den Begriff "controlled state" im internationalen Regelwerk weitgehend identische Attribute verwendet werden, ist bezüglich der Definition für "safe state" wenig Konsistenz im internationalen Regelwerk ersichtlich. Der Begriff "safe state" wird dort überwiegend im Zusammenhang mit Ereignissen der Sicherheitsebene 4, weniger im Zusammenhang mit Ereignissen der Sicherheitsebene 3 erwähnt bzw. definiert.

3 Ergebnisse der Beratungen

Im gültigen deutschen Regelwerk werden Begriffe wie "kontrollierter Zustand" und "sicherer Zustand" verwendet, es fehlen jedoch zugehörige Definitionen und insbesondere Kriterien, die diese Zustände charakterisieren. Die in verschiedenen Diskussionen verwendeten Begriffe "Nachstörfallphase" oder "Langzeitphase" sind ebenfalls nicht im kerntechnischen Regelwerk definiert. Infolge der fehlenden Definitionen besteht diesbezüglich ein breiter Interpretationsspielraum.

Weiterhin wurde im Zuge der Beratungen ersichtlich, dass in bestehenden Betriebshandbüchern Anweisungen zur Beherrschung von Störfällen enthalten sind, bei denen zum Teil die Nutzung von betrieblichen Systemen und dazu notwendige Simulationen im Reaktorschutz vorgesehen sind. Dies betrifft im Wesentlichen Anweisungen, die im Rahmen der "Schutzzielorientierten Störfallbehandlung" zum Einsatz kommen. Seitens der Gutachter wurde im Zusammenhang mit Änderungsanträgen zudem ein Trend dahin gehend festgestellt, den Umfang solcher Anweisungen in den Betriebshandbüchern zu erweitern. Aus Sicht der RSK besteht deshalb der Bedarf,

• die unterschiedlichen Phasen nach Eintritt eines Störfalls in den Regelwerken und den Störfallanweisungen eindeutig zu definieren und mit Kriterien zu versehen.
• zu definieren, ob und unter welchen Randbedingungen im konkreten Ereignisfall Betriebssysteme in den verschiedenen Phasen nach Eintritt eines Störfalls verwendet werden können.
• zu definieren, ob und unter welchen Bedingungen es in den verschiedenen Phasen nach Eintritt eines Störfalls zulässig ist, Ansteuerungen aus dem Reaktorschutzsystem (z.B. durch Simulationen im Reaktorschutzsystem oder durch Freischaltungen) unwirksam zu machen.

3.1 Definitionen der verschiedenen Phasen und Zustände nach Eintritt eines Störfalls

Störfallbehandlung

Die Störfallbehandlung (erste Phase nach Eintritt des Störfalls) umfasst den Zeitraum ab dem Eintritt des Störfalls bis zum Erreichen eines sicheren Anlagenzustands.

Kontrollierter Anlagenzustand

Nach dem Eintritt eines Störfalls ist ein kontrollierter Anlagenzustand dadurch gekennzeichnet, dass die Nachweisziele und Nachweiskriterien eingehalten sind und die relevanten Sicherheitsvariablen hinreichend stationäre Werte erreicht haben.

Sicherer Anlagenzustand

Nach dem Eintritt eines Störfalls ist ein sicherer Anlagenzustand dadurch gekennzeichnet, dass ein kontrollierter Anlagenzustand vorliegt und mindestens die sicherheitstechnischen Bedingungen einer im Betriebshandbuch beschriebenen, vergleichbaren Nichtleistungs-Betriebsphase eingehalten sind.

Erläuterung zur Störfallbehandlung :

Der - insbesondere bei Störfällen mit Ausgangszustand Leistungsbetrieb - anfänglich stark transiente Anlagenzustand wird in einen kontrollierten Anlagenzustand überführt, in der Regel mittels der automatischen Maßnahmen der Sicherheitseinrichtungen, ggf. auch unter Beachtung des 30-Min- Kriteriums mittels von in den Störfallanweisungen definierten Handmaßnahmen - insbesondere bei Störfällen mit Ausgangszustand "Nichtleistungsbetrieb". Bei ereignisorientierten Störfallprozeduren wird der jeweils anzustrebende kontrollierte Anlagenzustand in den Prozeduren angegeben, im Verlauf der Störfallbehandlung kann es auch mehrere nacheinander anzustrebende kontrollierte Anlagenzustände geben. Bei zustands- (schutzäelorientierten) Störfallanweisungen muss der kontrollierte Zustand aus dem Erfüllungsgrad der Schutzäelparameter abgeleitet werden.

Daran anschließend ist es das Ziel der weiteren Störfallbehandlung die Anlage, meist unter Verwendung von Handmaßnahmen, in einen sicheren Anlagenzustand zu bringen.

Erläuterungen zum kontrollierten Anlagenzustand:

Die Einhaltung der Nachweisziele und Nachweiskriterien wird im Rahmen der Störfallanalysen gezeigt. Nicht alle Nachweiskriterien (z.B. Hüllrohrtemperaturen oder Brennstab-Schadensumfänge) sind im konkreten Ereignisfall vom Betriebspersonal kontrollierbar, deshalb erfolgt die Verifizierung, ob diesbezüglich ein kontrollierter Anlagenzustand vorliegt, durch das Betriebspersonal anhand der Einhaltung der im BHB definierten Schutzzielkriterien und ggf. anhand ergänzender Kriterien in den Störfallanweisungen. Unter "hinreichend stationär" werden Zustände verstanden, in denen die Sicherheitsvariablen sich so langsam verändern oder sich der Sicherheitsabstand zu den Nachweiskriterien stetig so vergrößert, dass ein ausreichend großer Zeitraum für die Analyse und Bewertung des Anlagenzustands zur Verfügung steht, um im Falle einer ungünstigen Änderung von Sicherheitsvariablen weitere Maßnahmen zur Störfallbehandlung durchführen zu können. Außerdem muss der Zeitraum ausreichen, um im Anschluss an die Analyse diese Maßnahmen vorbereiten und durchführen zu können.

Erläuterungen zum sicheren Anlagenzustand:

In den betrieblichen Vorschriften sind gemäß der KTA 1201 [ 6] Kap. 7 die relevanten Bedingungen des sicheren Betriebs, einschließlich denen der verschiedenen Nichtleistungsbetriebsphasen vollständig und eindeutig zu definieren. Diese Festlegungen sollen alle für die Sicherheit der Anlage erforderlichen Auflagen und Bedingungen umfassen, insbesondere Art, Umfang (Verfügbarkeitsanforderung), ggf. Betriebszustand von sicherheitstechnischen Einrichtungen, ferner sicherheitstechnische Anlagenparameter wie Borkonzentrationen, Füllstände, administrative Vorgaben etc..

Langfristiges Ziel der weiteren Störfallbehandlung nach Erreichen eines kontrollierten Anlagenzustands ist es, die Anlage in einen diesen Anforderungen entsprechenden - sicheren - Zustand zu überführen. Damit ist gewährleistet, dass im Sinne des "Defense in Depth-Konzepts " die Anlage auch in einer möglicherweise länger dauernden Phase der Störfallfolgenbehandlung (s. u.) evtl. auftretende Ausfälle bzw. Ereignisse beherrscht.

Zu beachten ist, dass nach Störfällen Anlagenbedingungen bestehen können, die bei den o. g. Festlegungen nicht berücksichtigt wurden, da diese im bestimmungsgemäßen Nichtleistungsbetriebszustand nicht vorliegen, z.B. die fehlende Aktivitätsbarriere "Primärkreislauf" nach KMV-Ereignissen. Sofern daraus zusätzliche Anforderungen an die Verfügbarkeit sicherheitstechnischer Einrichtungen zur Gewährleistung eines sicheren Zustands resultieren, sind diese ereignis- bzw. schutzzielspezifisch festzulegen (siehe auch Kap. 3.2.3).

Der Zeitraum zwischen dem Erreichen eines kontrollierten und dem Erreichen eines sicheren Anlagenzustands hängt von der Art des Ereignisses und insbesondere von dem Umfang an verfügbaren Sicherheitseinrichtungen ab. Es ist in der Regel zu erwarten, dass sich bei Störfällen im Hinblick auf die Verfügbarkeitsanforderungen der "sichere Anlagenzustand" zeitgleich mit dem "kontrollierten Anlagenzustand" einstellt, da die der Auslegung zu Grunde liegenden Ausfälle von Sicherheitseinrichtungen nicht eingetreten sind.

Sofern infolge von Ausfällen oder ereignisbedingten Einwirkungen die für den sicheren Zustand notwendigen sicherheitstechnischen Einrichtungen nicht im erforderlichen Umfang zur Verfügung stehen oder andere sicherheitstechnisch erforderliche Bedingungen nicht erfüllt sind, sollen die betrieblichen Vorschriften gem. der KTA 1201, Kap. 7 [ 6], Anweisungen (z.B. Instandsetzungsmaßnahmen, Überführung in andere NLB - Phasen, Änderung von Bedingungen etc.) für das Herstellen eines sicheren Betriebszustands enthalten. Sofern bereits frühzeitig erkennbar ist, dass zur Herstellung eines "sicheren Zustands" Instandsetzungen oder andere Maßnahmen erforderlich werden, können solche Maßnahmen während der Störfallbehandlung jederzeit eingeleitet werden, wenn dadurch das Erreichen des kontrollierten Zustands nicht beeinträchtigt wird, d.h. die hierfür zusätzlich erforderlichen Ressourcen zur Verfügung stehen.

Störfallfolgenbehandlung

Die Störfallfolgenbehandlung umfasst den Zeitraum ab dem Erreichen eines sicheren Zustands bis zum Erreichen der Bedingungen des "bestimmungsgemäßen Betriebs".

Erläuterungen:

Mit dem Erreichen eines "sicheren Anlagenzustands" ist unter sicherheitstechnischen Aspekten die Störfallbehandlung beendet. Daran schließt sich eine möglicherweise länger andauernde Phase zur Beseitigung von Störfallfolgen an, die in der Regel das Ziel hat, die Bedingungen des "ungestörten Betriebs" zwecks Wiederaufnahme des Leistungsbetriebs der Anlage wieder herzustellen. In Sonderfällen kann auch die Überführung der Anlage in eine "Nachbetriebsphase" angestrebt werden.

Nach dem Erreichen eines sicheren Anlagenzustands sollte das vorrangige Ziel darin bestehen, den Anlagenzustand in Richtung eines "bestimmungsgemäßen (Nichtleistungs)-Betriebs" zu entwickeln. Dazu gehört es, die im erreichten sicheren Anlagenzustand benötigten Funktionen möglichst weitgehend durch betriebliche Einrichtungen zu übernehmen, sodass die entsprechenden Sicherheitseinrichtungen wieder in den Bereitschaftszustand zurückgeführt werden können. Ferner sind die das Ereignis auslösenden bzw. durch das Ereignis eingetretenen Schäden oder störfallbedingte Kontaminationen zu beseitigen sowie ausgefallene Einrichtungen durch Instandsetzung wieder verfügbar zu machen, soweit dies zur weiteren Stabilisierung des Anlagenzustands beiträgt.

Anlage 1 gibt einen Überblick über die im Zuge der Störfall- und Störfallfolgenbehandlung abzuarbeitenden Schritte und die zugehörigen Anweisungen in den schriftlichen betrieblichen Regelungen.

3.2 Anforderungen an die Phasen der Störfallbehandlung und der Störfallfolgenbehandlung

Wie zuvor erläutert, hält es die RSK für notwendig, Anforderungen für die in Kapitel 3.1 definierten Phasen und Zustände nach Eintritt eines Störfalls zu definieren bzw. zu konkretisieren. Dies betrifft die für die jeweiligen Störfallphasen zu kreditierenden Einrichtungen, die Reichweite der Nachweisführung, die im BHB bereitzustellenden schriftlichen Anweisungen und deren Reichweite, die Zulässigkeit von Eingriffen in den Reaktorschutz sowie die Aufstellung von Konzepten zur Normalisierung des Anlagenzustandes bei der Störfallfolgenbehandlung und deren Darstellung in geeigneten Unterlagen des Betriebsreglements. Die Anlage 2 gibt einen Überblick über die Phasen und dazugehörigen Anforderungen und deren Einordnung im BHB.

3.2.1 Anforderungen an die Phase bis zum Erreichen eines kontrollierten Zustands

Für die Nachweisführung im Genehmigungsverfahren (Störfallanalysen) dürfen - dem deterministischen Auslegungskonzept für das Erreichen des kontrollierten Zustands folgend - nur Sicherheitseinrichtungen kreditiert werden. Dabei sind die Redundanzanforderungen des kerntechnischen Regelwerks zu berücksichtigen.

Die Störfallanalysen müssen unter den o. g. Randbedingungen mindestens bis zum Erreichen eines kontrollierten Zustands - im Falle von mehreren in zeitlicher Abfolge anzustrebenden kontrollierten Zuständen bis zum Erreichen des letzten "kontrollierten Zustands" durchgeführt werden. Dies betrifft insbesondere die neutronenphysikalischen und thermohydraulischen Analysen.

Unabhängig von der Nachweisführung im Rahmen der Störfallanalysen können im Ereignisfall auch betriebliche Einrichtungen für eine optimierte Störfallbehandlung benutzt werden, sofern diese zur Verfügung stehen und deren Einsatz ohne Rückwirkungen auf die sicherheitstechnische Funktion und die Zuverlässigkeit der Sicherheitseinrichtungen - insbesondere der Reaktorschutzfunktionen - möglich ist. Sie dürfen jedoch sicherheitstechnisch nicht erforderlich sein. Die Ausführungen in Kapitel 3.2.4 sind hierbei zu beachten.

Erläuterung:

So ist unabhängig von dem Nachweis, dass der kontrollierte Zustand allein mit Sicherheitseinrichtungen erreicht werden kann, für Analysen zum Nachweis einer Minimierung der Auswirkungen des unterstellten Störfalls die Berücksichtigung betrieblicher Einrichtungen zulässig, wenn dadurch nicht die Zuverlässigkeit der Sicherheitseinrichtungen beeinträchtigt ist.

3.2.2 Anforderungen an die Phase bis zum Erreichen eines sicheren Zustands

Nach dem Erreichen eines kontrollierten Zustandes ist die Anlage, in der Regel unter Zuhilfenahme von Handmaßnahmen, in einen sicheren Zustand zu überführen, sofern dieser sich nicht bereits mit dem Erreichen des kontrollierten Zustands ergeben hat.

Störfallanweisungen müssen alle Schritte bis zum Erreichen eines sicheren Anlagenzustands beinhalten.

Sofern für das Herstellen eines sicheren Zustands notwendig, sollte die Wiederherstellung ausgefallener Sicherheitseinrichtungen durch Instandsetzungsmaßnahmen erfolgen. Die Übernahme von Funktionen der Sicherheitssysteme durch betriebliche Systeme in dieser Phase ist zulässig, wenn diese zur Verfügung stehen und deren Einsatz ohne Rückwirkungen auf die sicherheitstechnische Funktion und die Zuverlässigkeit der Sicherheitseinrichtungen möglich ist. Sie sollte mit Priorität erfolgen, wenn die Inbetriebnahme der betrieblichen Einrichtungen kurzfristiger möglich ist als die Instandsetzung ausgefallener Sicherheitseinrichtungen. Die Ausführungen in Kapitel 3.2.4 sind hierbei ebenfalls zu beachten.

Um anschließend den sicheren Zustand zu erreichen, sind ggf. Instandhaltungsmaßnahmen oder anderweitige Maßnahmen zur Wiederherstellung der Mindestanforderungen der "Auflagen und Bedingungen des Nichtleistungsbetriebs" erforderlich. Diese sind kein Bestandteil der Störfallanweisungen, sondern, da nicht nur für Störfälle relevant, Bestandteil anderer betrieblicher Anweisungen wie der "Instandhaltungsordnung" und insbesondere der "Auflagen und Bedingungen des Sicheren Betriebs", etc.

3.2.3 Anforderungen an die Phase der Störfallfolgenbehandlung

Derzeit gibt es im Regelwerk keine Anforderungen für die Phase der "Störfallfolgenbehandlung". Die RSK hält es für zweckmäßig, auch für diese Phase Konzepte vorzuhalten und dafür Anforderungen festzulegen. Dies betrifft insbesondere die Aufstellung von Konzepten zur Normalisierung des Anlagenzustandes nach einem Störfall und deren Darstellung in geeigneten Unterlagen des Betriebsreglements sowie von Grundsätzen hinsichtlich der Eingriffe in den Reaktorschutz. In der Phase der Störfallfolgenbehandlung sollten aus Sicht der RSK folgende Grundsätze erfüllt werden:

• Für einige Betriebsphasen des Nichtleistungsbetriebs ist gemäß B1-1B das Unscharfmachen von in diesen Phasen nicht mehr erforderlichen Reaktorschutzfunktionen zulässig. Solche Funktionen dürfen daher auch in vergleichbaren Anlagenzuständen, die sich im Verlauf der Störfallfolgenbehandlung nach Erreichen des sicheren Anlagenzustands ergeben haben, außer Betrieb genommen ("freigeschaltet") werden. Dabei ist allerdings zu beachten, dass es ereignisbedingt notwendig sein kann, bestimmte Reaktorschutzfunktionen, die z.B. dem Erhalt von Aktivitätsbarrieren nach KMV dienen, abweichend von den Vorgaben des B1-1B für bestimmungsgemäße Zustände des Nichtleistungsbetriebs, weiterhin aufrecht zu erhalten. Für alle Reaktorschutzfunktionen, die auch während der Störfallfolgenbehandlung aus sicherheitstechnischen Gründen verfügbar bleiben müssen, sind die Ausführungen in Kapitel 3.2.4 ebenfalls zu beachten.
• Auf der Basis einer übergeordneten Unterlage ("Strategiepapier zur Störfallfolgenbehandlung") sind Maßnahmen zu entwickeln und festzulegen, die die Einhaltung der Schutzziele langfristig absichern und der weiteren Normalisierung des Anlagenzustands, insbesondere unter Berücksichtigung sicherheits- und strahlenschutztechnischer Gesichtspunkte im Zusammenhang mit solchen Maßnahmen, dienen. Unter Berücksichtigung des Charakters dieser Unterlage (keine Prozeduren) und der wesentlichen Anwender (Anlagenmanagement) wird die Integration dieses Strategiepapiers in geeignete Unterlagen des Betriebsreglements empfohlen.

Erläuterungen:

Zu den "konzeptionellen" Zielsetzungen des Strategiepapiers sollen vor allem zählen:

• Priorisierung und Absicherung der Verfügbarkeit solcher Funktionen, die im Rahmen langfristiger Betrachtungen für den sicheren Langzeitbetrieb erforderlich oder günstig sind.
• Die Wiederherstellung der Begehbarkeit von Anlagenbereichen, soweit diese aufgrund von Auswirkungen des abgelaufenen Störfalls nicht oder nur eingeschränkt begehbar sind.
• Instandsetzung und Wiederinbetriebnahme von gegebenenfalls beschädigten und für eine Normalisierung des Betriebs benötigten Einrichtungen.

Das "Strategiepapier zur Störfallfolgenbehandlung" zur Unterstützung der Betriebsorganisation für die Störfallfolgenbehandlung soll auch

• Zuständigkeiten festlegen und
• Merkpunkte für die Festlegung der Vorgehensweise entsprechend der Zielsetzung der Störfallfolgenbehandlung enthalten.

Mit Hilfe eines solchen "Strategiepapiers zur Störfallfolgenbehandlung" und entsprechend qualifiziertem Personal können in der Störfallfolgenbehandlung Maßnahmen zur Normalisierung des Anlagenzustands festgelegt und umgesetzt werden. In komplexen Situationen sind diesbezügliche Entscheidungen und die Koordination von Maßnahmen durch die für solche Situationen etablierten Organisationseinheiten der Betriebsorganisation sinnvoll.

3.2.4 Nutzung betrieblicher Systeme und Eingriffe in den Reaktorschutz in den Phasen der Störfallbehandlung und der Störfallfolgenbehandlung

Obwohl betriebliche Einrichtungen in den Störfallanalysen nicht zu kreditieren sind, kann die Nutzung von verfügbaren Betriebssystemen im Rahmen der Störfallbehandlung und der Störfallfolgenbehandlung sinnvoll und hilfreich sein (s. Erläuterung unter 3.2.1 und 3.2.2). Eine Nutzung der betrieblichen Systeme bei der Behandlung von Störfällen darf allerdings keine Minderung der sicherheitstechnischen Funktionen und der Zuverlässigkeit der Sicherheitseinrichtungen oder eine sonstige Schwächung des Sicherheitskonzepts der Anlage zur Folge haben.

Unter dieser Prämisse darf eine Nutzung von Betriebssystemen oder anderweitigen Maßnahmen im Zuge der Störfallbehandlung nur erfolgen, wenn dem keine Reaktorschutzsignale entgegenstehen oder diese von der Warte aus (Reaktorschutztafel) zurückgesetzt oder quittiert werden können.

Die Herstellung von Signal- oder Schaltzuständen (Simulationen) im Reaktorschutzsystem, z.B. mittels Adapterkarten, um auch in dieser Phase noch benötigte Reaktorschutzfunktionen unwirksam zu machen, stellt unter den bei Störfällen vorliegenden Randbedingungen eine nicht unerhebliche Beeinträchtigung von Funktion und Zuverlässigkeit des Reaktorschutzes dar und soll deshalb grundsätzlich nicht vorgesehen werden. Dies gilt in gleicher Weise auch für andere Eingriffe in Sicherheitseinrichtungen, die eine Ansteuerung aus dem Reaktorschutzsystem unwirksam machen.

Erläuterungen:

Folgende Möglichkeiten des Eingriffs in den Reaktorschutz stehen zur Verfügung:

Besondere Schalthandlungen

Besondere Schalthandlungen zur Aufhebung anstehender Signalzustände sind:

• Schlüsselschalter:
  Für Sonderaufgaben vorbereitete Schaltung, die nach Freigabe ausgelöst werden kann.
• Speicherrücksetzen:
  Gespeicherte Reaktorschutzsignale können bei Vorliegen von definierten Randbedingungen vom Leitstand aus zurückgesetzt werden.

Unscharfmachen

Unter Unscharfmachen wird das Herstellen der Unverfügbarkeit einer Komponente verstanden, bei dem diese Komponente keinen leittechnischen Ansteuerungen mehr folgt.

Simulierung

Als Simulierung wird die Veränderung der leittechnischen Verknüpfungen durch das temporäre Herstellen oder Unterbrechen von Verbindungen bezeichnet. Dadurch können Signal- und Schaltzustände entstehen, bei denen der aktuelle Anlagenzustand nicht mit dem an den Beobachtungseinrichtungen angezeigten Anlagenzustand übereinstimmt, die Auslösung von Reaktorschutzmaßnahmen trotz anstehender Auslösesignale unterbunden wird oder Signale ausgelöst werden, ohne dass die Kriterien tatsächlich anstehen.

Sofern es in zu begründenden Fällen erforderlich ist, in Störfallanweisungen von dieser Festlegung abzuweichen, sind solche vorgesehenen Maßnahmen so zu planen und technisch so zu realisieren, dass diese den Anforderungen an sicherheitstechnisch relevante Schalthandlungen genügen. Hierzu gehört, dass

• genügend Zeit für die Durchführung der Maßnahme vorhanden ist,
• die Auswirkungen möglicher Fehler (auch Fehlentscheidungen) umfassend untersucht und bewertet werden,
• das Fehlhandlungspotenzial minimiert ist (z.B. durch Einsatz fest verdrahteter Schlüsseltaster in den Schränken des Reaktorschutzsystems an Stelle von Adapterkarten),
• sofern erforderlich, eine rechtzeitige Rücknahme des Eingriffs möglich ist,
• der Schutz des Reaktorschutzsystems vor unzulässigen Umgebungsbedingungen und elektromagnetischer Beeinflussung sowie vor Einwirkungen Dritter erhalten bleibt,
• die hierfür installierten Einrichtungen und Funktionen prüfbar sind,
• der Eingriff in die Reaktorschutzfunktion auf der Warte (Reaktorschutztafel) dem Schichtpersonal signalisiert wird und
• Handlungsanweisungen mit ausreichendem Detaillierungsgrad in den Störfallanweisungen bereitgestellt werden.

Für die Durchführung von notwendigen Instandsetzungsmaßnahmen und ggf. hierfür erforderliche Simulationen im Reaktorschutz sind nicht die o. g. Anforderungen, sondern die betrieblichen Vorschriften für die Planung und Durchführung von Instandhaltungsmaßnahmen (Instandhaltungsordnung) zu beachten.

4 Empfehlungen

Aus Sicht der RSK ist es erforderlich, dass auf allen Ebenen des Regelwerks die im Zusammenhang mit der Behandlung von Störfällen verwendeten Begriffe einheitlich und unmissverständlich definiert und fehlende Anforderungen an die jeweiligen Phasen der Störfallbehandlung wie Reichweite von Störfallanalysen, Reichweite und spezifische Anforderungen an Störfallanweisungen, Nutzung betrieblicher Einrichtungen bei der Störfallbehandlung, Simulierungen etc. festgelegt werden sowie deren Umsetzung in die betrieblichen Unterlagen veranlasst wird.

Die RSK empfiehlt deshalb im Einzelnen

1. die Betriebshandbücher wie folgt weiterzuentwickeln:
   • Einführung der in Kapitel 3.1 dieser Stellungnahme angegebenen Begriffsdefinitionen und Anpassung der relevanten BHB-Kapitel,
   • Überprüfung der Betriebshandbücher im Hinblick auf die Vollständigkeit und Eindeutigkeit von Festlegungen für das Erreichen und zur Beurteilung eines kontrollierten und eines sicheren Anlagenzustands und
   • Überprüfung der bestehenden Störfallanweisungen in den Betriebshandbüchern im Hinblick auf die Verwendung von Maßnahmen, die die Zuverlässigkeit und Funktion von Sicherheitseinrichtungen beeinträchtigen können, insbesondere die Anwendung von Simul ierungen im Reaktorschutz, sowie hinsichtlich eindeutiger Randbedingungen für die Nutzung von Betrieblichen Systemen im Rahmen der Störfallbehandlung.
2. bei der Aktualisierung des kerntechnischen Regelwerks die folgenden Begriffe für die unterschiedlichen Phasen und Zustände gemäß Kapitel 3.1 zu definieren:
   • "Störfallbehandlung",
   • "kontrollierter Anlagenzustand",
   • "sicherer Anlagenzustand" und
   • "Störfallfolgenbehandlung"
3. bei der Aktualisierung des kerntechnischen Regelwerks eine anwendungsorientierte Zuordnung bzw. Konkretisierung von sicherheitstechnischen Anforderungen an die verschiedenen Phasen gemäß den Ausführungen in Kapitel 3.2 vorzunehmen, insbesondere in Bezug auf
   • die Reichweite von Störfallanalysen,
   • die Reichweite von Störfallanweisungen ¹,
   • Nutzung betrieblicher Systeme sowie Zulässigkeit und Anforderungen an die Gestaltung von Simulierungen im Reaktorschutz im Rahmen der Störfallbehandlung und der Störfallfolgenbehandlung und
   • Erarbeitung eines Strategiepapiers zur Störfallfolgenbehandlung und dessen Integration in die "betrieblichen Regelungen" der Betriebsorganisation.

Unterlagen

[ 1] Sicherheitskriterien für Kernkraftwerke, Revision D, April 2009, Begriffsbestimmungen

[ 2] Ulrich Waas
Störfallbeherrschung und Nachstörfallphase- Worum geht es? Einige Anregungen Beratungsunterlage [4.6] der 46. AST-Sitzung am 18.04.2007

[ 3] Verordnung über den Schutz vor Schäden durch ionisierende Strahlen (Strahlenschutzverordnung - StrlSchV)

[ 4] RSK-Leitlinien für Druckwasserreaktoren Stand 12/98

[ 5] Ergebnisprotokoll der 67. Sitzung des RSK-Ausschusses ANLAGEN- UND SYSTEMTECHNIK am 06.10.2010, TOP 3

[ 6] KTA 1201 "Anforderungen an das Betriebshandbuch" Fassung 2009-11

.

.

Anlagenzustände nach Eintritt eines Störfalls

ENDE