KKB Stromversorgung im Erdbebenfall

Das Original-PDF bietet eine übersichtliche Darstellung der Hintergrundinformationen und der Fragen.

2.1 Begrifflichkeiten: Definitionen

In der nachfolgenden Darstellung und Fragestellung werden zentral die nachfolgenden Begriffe verwendet, sie seien zum allgemeineren Verständnis gemäss ENSI Glossar und dessen Quellenangaben definiert (ENSI-Glossar, Stand vom 13. Januar 2020, Im Regelwerk zur nuklearen Sicherheit verwendete Begriffe. Bei Mehrfachdefinition wurde die für diese Diskussion geeignetste Definition gewählt. Die Definition von «Einzelfehler» wurde durch das vollständige Zitat gemäss Glossar-Quellenangabe ersetzt):

• Fehler: Als Fehler gelten Abweichungen von einem Soll-Zustand oder von einem Soll-Ablauf. (ENSI-B03)
• Einzelfehler: Sicherheitsfunktionen müssen auch bei Eintreten eines beliebigen vom auslösenden Ereignis unabhängigen Einzelfehlers wirksam bleiben, und zwar auch dann, wenn eine Komponente wegen Instandhaltung nicht verfügbar ist; als Einzelfehler gilt das zufällige Versagen einer Komponente, das zum Verlust ihrer Fähigkeit führt, die vorgesehene Sicherheitsfunktion zu erfüllen; Folgefehler aus diesem zufälligen Versagen werden als Teil des Einzelfehlers betrachtet. (Art. 10 Abs. 1 Bst. a KEV)
• Common Cause Failure (CCF) / systematischer Ausfall: Versagen von zwei oder mehr Strukturen, Systemen oder Komponenten aufgrund eines einzelnen Ereignisses oder einer einzigen Ursache. (IAEA NS-G-1.3)
• Diversität:
  • Anwendung physikalisch oder technisch verschiedenartiger Prinzipien (Art. 10 Abs. 1 Bst. b KEV)
  • Das Vorhandensein von zwei oder mehreren unterschiedlichen Verfahren oder Mitteln, um ein bestimmtes Ziel zu erreichen: Diversität ist besonders geeignet als Schutzmassnahme gegen Common-Cause-Fehler. Sie kann erreicht werden, indem physikalisch unterschiedliche Systeme eingesetzt werden, oder durch funktionale Diversität, bei der gleichartige Systeme ein bestimmtes Ziel über unterschiedliche Verfahren erreichen. (IEC 61226)
• Redundanz: das Vorsehen von alternativen (identischen oder diversitären) Elementen oder Teilsystemen, sodass jedes die geforderte Funktion unabhängig vom Zustand der anderen ausführen kann (IAEA NS-G-1.3, HSK-R-46)
• Auslegungsüberschreitender Störfall: Störfall, welcher in Bezug auf das auslösende Ereignis oder die Art und Anzahl zusätzlicher Fehler den Rahmen der Auslegung durchbricht: Dabei kann nicht ausgeschlossen werden, dass radioaktive Stoffe in gefährdendem Umfang freigesetzt werden. (SR 732.112.2)

2.2 Begrifflichkeiten: Diskussion

Sicherheitsfunktionen sind typischerweise Teil eines sogenannten «Strangs» und darin in gegenseitiger Abhängigkeit verkettet. Eine Kette ist bekannterweise nur so stark wie ihr schwächstes Glied. Es nützt beispielsweise nichts, wenn trotz Störfallbedingungen Gebäude intakt bleiben, Kühlwasser gefasst werden kann, die Pumpe funktionsbereit bleibt, die Leittechnik korrekt reagiert, Ventile geöffnet und geschlossen werden konnten und der korrekte Befehl zum Pumpen ansteht, aber schliesslich der Strom für die Pumpe fehlt. Aus dieser Erkenntnis heraus gibt es Auflagen hinsichtlich der anzunehmenden Zuverlässigkeit der einzelnen Elemente oder Teilsysteme.

Das Einzelfehlerprinzip ist zunächst eine Auflage in diesem Sinne, welche das Sicherheitsniveau verbessern soll. Weil für jedes (aktive) Element oder Teilsystem, welches der Erfüllung von Sicherheitsfunktionen dient, einzeln der Ausfall durch Einzelfehler postuliert werden muss, zwingt das Einzelfehlerprinzip zur Bildung von Redundanz.

Das Einzelfehlerprinzip ist aber auch eine Begrenzung des erforderlichen Sicherheitsniveaus. Wie der Name bereits sagt, muss jeweils nur ein einzelner Fehler angenommen werden. Mehrfache Fehler werden im Rahmen der Auslegung nicht mehr betrachtet, sie sind sicherheitstechnisch nicht abgedeckt.

Einzelfehler werden bei der Analyse von Auslegungsstörfallen d.h. im Rahmen der Auslegung angewendet, wo im Sinne der Vorsorge alle Vorkehren zu treffen sind, die nach der Erfahrung und dem Stand von Wissenschaft und Technik notwendig sind (2 Art. 4 Abs. 3 Bst. a KEG https://www.fedlex.admin.ch/eli/cc/2004/723/de#art_4
Zitat: Botschaft KEG, SR01.022, Seite 2759).

Nach Buchstabe a müssen Vorkehren, die für den Schutz von Mensch und Umwelt notwendig sind, in jedem Fall und unabhängig von finanziellen Überlegungen getroffen werden. Das Ausmass dieser Vorkehren bestimmt sich nach der Erfahrung und dem Stand von Wissenschaft und Technik. Dabei ist eine Massnahme auch dann zu treffen, wenn sie nur nach dem einen der angeführten Kriterien (Erfahrung bzw. Stand von Wissenschaft und Technik) notwendig ist.

Dies in klarer Abgrenzung zu Vorkehren, die nur noch zu treffen sind, soweit sie angemessen sind (Art. 4 Abs. 3 Bst. b KEG).

Ein Störfall, bei welchem die Art und Anzahl zusätzlicher Fehler den Rahmen der Auslegung durchbricht, wird als auslegungsüberschreitender Störfall bezeichnet. Dabei kann nicht ausgeschlossen werden, dass radioaktive Stoffe in gefährdendem Umfang freigesetzt werden.

Systematischen Ausfälle bzw. Common Cause Failure sind nicht durch das Einzelfehlerprinzip abgedeckt. Es handelt sich naturgemäss um eine Art und Anzahl zusätzlicher Fehler, welche den Rahmen der Auslegung durchbrechen. Man muss folglich mit äusserster Gewissheit ausschliessen können, dass latente oder spontane Common Cause Failure bei Sicherheitsfunktionen in einem AKW in Erscheinung treten können. Kann diese äusserste Gewissheit nicht aufrechterhalten werden, sind die Auslegungskriterien als solche bzw. das im Rahmen der Auslegung erreichte Sicherheitsniveau ernsthaft in Frage zu stellen.

Werden solche Common Cause Failure Befunde bei einem AKW bzw. einer essenziellen Sicherheitsfunktion konkret festgestellt, muss dies entsprechend ernsthafte Fragen aufwerfen.

2.3 KKB Stromversorgung im Erdbebenfall – Vorgeschichte

Am 21. August 2007 kam es im AKW Beznau (KKB) zum Vorkommnis «KKB 1: Nichtverfügbarkeit vom 21.08.2007 des Notstand-Dieselgenerators».

Im Rahmen der Jahresrevision im Block 2 des Kernkraftwerks Beznau wurde die externe 50-kV-An-speisung beider Blöcke für Wartungsarbeiten um 04:40 Uhr abgeschaltet. Um die von dieser Anspeisung versorgte Notstromschiene des im Leistungsbetrieb stehenden Blocks 1 weiterhin mit Spannung zu versorgen, wurde vorschriftsgemäss der Notstand-Dieselgenerator des Blocks 1 in Betrieb genommen und mit geringer Last betrieben. Nach dem Wiederzuschalten der 50-kV-Anspeisung wurde der Notstand-Dieselgenerator aus betrieblichen Gründen mit einer grösseren Last betrieben, worauf er um 17:24 Uhr wegen eines defekten Differenzialschutz-Relais ausfiel.

Gemäss Detailbeschrieb wird die Nichtverfügbarkeit zwischen dem 24. Juli 2007 und dem 21. August 2007 vermutet, eine komplette Nichtverfügbar beider Notstromdiesel war zwischen 14. August 2007 und 21. August 2007 gegeben (HSK: KKW Beznau 1: Nichtverfügbarkeit des Notstand-Dieselgenerators, 14.1.2008; ENSI: Sicherheitstechnische Stellungnahme zur Periodischen Sicherheitsüberprüfung 2012 des Kernkraftwerks Beznau, Seite 72; https://ensi.admin.ch/de/dokumente/sicherheitstechnische-stellungnahme-zur-periodischen-sicherheitsueberpruefung-2012-des-kernkraftwerks-beznau/).

INES 1: Am 21. August 2007 kam es zu einem Ausfall des Notstanddiesels im Block 1. […] Die Nichtverfügbarkeit des Diesels hatte (unter Berücksichtigung der latenten Nichtverfügbarkeit) eine inkrementelle bedingte Kernschadenswahrscheinlichkeit (Incremental Conditional Core Damage Probability, ICCDP) von 4,59·10 -06 gemäss dem zum Zeitpunkt des Vorkommnis gültigen PSA-Modell BERA2005 zur Folge. Eine Nachrechnung mit dem aktuellen Modell BERA2009 ergab eine ICCDP von 7,6·10 -6. Die relativ hohe ICCDP, welche gemäss den Kriterien der Richtlinie ENSI-A06 zur Einstufung INES 1 führte, ergibt sich aus der einsträngigen Ausführung der Notstandsausrüstungen, der gemeinsamen Anbindung beide Blöcke an das 50-kV-Netz sowie den hohen Beiträgen von Erdbeben und Brand zur gesamten Kernschadenshäufigkeit (Core Damage Frequency, CDF). Letzteres bedeutet eine stärkere Erhöhung der CDF bei einem Ausfall von (erdbebensicheren) Notstandsausrüstungen als bei einem Ausfall von Sicherheitssystemen ausserhalb des Notstandsbereichs.

Dieses Vorkommnis wurde auf der Stufe 1 («Anomalie») der internationalen Ereignisskala INES eingeordnet (Anhang 6, Abschnitt B, 2. KEV, «Einstufung auf der internationalen Ereignisskala INES der IAEA»
https://www.admin.ch/opc/de/classified-compilation/20042217/index.html#app6ahref5).

Forderungen des ENSI auf Grund des Vorkommnisses führten zur Nachrüstung der «Autarken Notstromversorgung» AUTANOVE:

Das Eidgenössische Nuklearsicherheitsinspektorat ENSI hat nach einem INES-1-Vorkommnis im August 2007 eine Verbesserung der Notstromversorgung im Kernkraftwerk Beznau gefordert. Diese wird derzeit im Rahmen des Projekts „Autarke Notstromversorgung“ (AUTANOVE) realisiert.

Nach dem Vorkommnis vom 21. August 2007 hat das ENSI vom Kernkraftwerk Beznau gefordert, die Auslegung der Notstromversorgung umfassend zu überprüfen und ein Konzept zu deren Verbesserung vorzulegen. Das Vorkommnis trug einen signifikanten Anteil – im Bereich von 20 Prozent – zur totalen Kernschadenswahrscheinlichkeit im Jahr 2007 bei. Es wurde der Stufe 1 der internationalen Ereignisskala INES zugeordnet. Grund für die Einstufung war, dass die Sicherheitsvorsorge für den Fall eines Sicherheitserdbebens deutlich geschwächt war.

Im Dezember 2015 wurde AUTANOVE in Betrieb genommen:

Grossprojekte abgeschlossen
Neben dem jährlichen Brennelementwechsel sowie diversen Instandhaltungsarbeiten hat die Kraftwerksbetreiberin bei der Jahresrevision insbesondere auch den Deckel des Reaktordruckbehälters ausgetauscht und das System AUTANOVE für die Notstromversorgung angeschlossen.

Am 13. September 2017 wurde bei AUTANOVE ein Fehler in der Auslegung entdeckt:

Im Rahmen des Projekts AUTANOVE waren in beiden Blöcken des KKB autarke Notstromversorgungen nachgerüstet worden, die auf das Sicherheitserdbeben SSE ausgelegt sind. Bei einer Analyse des Systemverhaltens erkannte das KKB einen meldepflichtigen Auslegungsfehler. Demnach hätten Signale aus Teilen der Anlage, die nicht für die Beherrschung des SSE notwendig sind, bei einem solchen Erdbeben dazu geführt, dass der dabei benötigte Notstromdiesel abgeschaltet worden wäre.
[…] Die direkte Ursache war eine Software, die für die autarke Notstromversorgung ungeeignet ist. Diese Software verwendete für den Notstromdiesel das Prinzip „ausgeschaltet ist sicher“. Dies stand im Widerspruch zu den Anforderungen an die autarke Notstromversorgung, für die beim SSE „eingeschaltet ist sicher“ gilt.

Das Vorkommnis wurde unterhalb der INES Skala eingestuft. Die Stromversorgung sei mit dem Notstanddiesel gewährleistet gewesen:

[…] Die Situation entsprach im Wesentlichen derjenigen vor AUTANOVE, als das Wasserkraftwerk, das nicht auf das SSE ausgelegt ist, Teil der Notstromversorgung war. Im Falle eines SSE wäre die Wärmeabfuhr aus dem Reaktor durch das gebunkerte Notstandsystem permanent gewährleistet gewesen. Da sich im Block 1 während des betrachteten Zeitraums keine Brennelemente im Reaktorkern befanden, hätte zusätzlich die gesamte elektrische Leistung des Notstanddiesels des KKB 1 für den Block 2 zur Verfügung gestanden.

Am 9. Dezember 2020 wurden beide Blöcke des Kernkraftwerks Beznau aufgrund eines weiteren meldepflichtigen Vorkommnisses abgeschaltet:

Beide Blöcke des Kernkraftwerks Beznau wurden am Mittwochmorgen kontrolliert abgeschaltet. Sie bleiben vom Netz, bis die Arbeiten an zwei Notstandsdieseln fertiggestellt sind.

Grund für das Abfahren des KKW Beznau 1 und 2 am Mittwochvormittag sind Montageabweichungen bei Schwingungsdämpfern von zwei Notstandsdieseln.

Das ENSI wurde über diesen sicherheitsgerichteten Entscheid vorschriftsgemäss informiert und wird das meldepflichtige Vorkommnis analysieren.

Die KKB Betreiberin Axpo verwies darauf, dass die Sicherheit auch im Falle eines schweren Erdbebens gewährleistet gewesen wäre:

Auch bei einem Ausfall der betroffenen beiden Diesel bei einem schwersten Erdbeben wäre die Sicherheit des KKB aufgrund der verbleibenenden [sic] Notstromdiesel gewährleistet geblieben.

2.4 Medienberichte

Erst in den Medien wurden weitere Details bekannt. Die Aargauer Zeitung schrieb (Aargauer Zeitung,10. Dezember 2020, Phillipp Zimmermann: «Wie kam es zur Montage-Panne im AKW Beznau? – Die 8 wichtigsten Antworten zum Thema» (Ausschnitte), https://www.aargauerzeitung.ch/aargau/zurzach/wie-kam-es-zur-montage-panne-im-akw-beznau-die-8-wichtigsten-antworten-zum-thema-140187936):

 

Im Kernkraftwerk Beznau (KKB) sind Montage-Fehler bei zwei der sechs Notstromdiesel festgestellt worden. Konkret fehlen bei Schwingungsdämpfern jeweils vier sogenannte Schockabsorber. Sie wurden gar nicht montiert, wie Axpo-Sprecher Antonio Sommavilla der AZ sagt.

Die Schwingungsdämpfer haben einen Durchmesser von 25 cm und eine Höhe von zirka 20 cm. Die Schockabsorber sind darin eingebaut und haben eine Länge von 24 cm sowie einen Durchmesser von 13 cm. Die beiden Notstromdiesel befinden sich im Maschinenhaus [sic] des KKB und stammen aus den frühen 90er-Jahren. (Die Notstandsdiesel befinden sich nicht im Maschinenhaus, sondern im gebunkerten Notstandsystem (NANO, in Betrieb seit 1992/1993).

Die Schockabsorber würden bei einem Erdbeben dafür sorgen, dass die Notstromdiesel trotz Schwingungen unter Kontrolle bleiben. Bei einem schweren Erdbeben wird das Kernkraftwerk sofort heruntergefahren.

[…]

Seit wann fehlen die Teile?

Das ist zurzeit unklar. Ebenso, wer genau die vermeintliche Montage kontrolliert hat. Die interne Untersuchung des Kernkraftwerks Beznau ist im Gang. Die Notstromdiesel werden gemäss den Vorgaben des Herstellers periodisch gewartet. Die letzte Totalüberholung mit dem Ausbau der Aggregate fand in den Jahren 2009 beziehungsweise 2010 statt. … Das Ensi kann jederzeit Inspektionen durchführen.

Später berichteten TagesAnzeiger/Der Bund (Der Bund, 19. Februar 2021, Seite 31
https://www.derbund.ch/montagefehler-blieb-30-jahre-unentdeckt-355169344994):

Wie sich jetzt herausstellt, handelt es sich um ein lange zurückliegendes Versäumnis: Die zwei Notstrom-Dieselaggregate wurden in den Jahren 1992 und 1993 nachgerüstet. Dabei wurden die sogenannten Schockabsorber nicht eingebaut, wie die Axpo auf Anfrage erklärt. Diese Bauteile federn bei einem Erdbeben die starken Schwingungen ab, sodass die Notstrom-Aggregate unter Kontrolle bleiben. Dieser Montagefehler blieb also fast dreissig Jahre unentdeckt.

2.5 Einordnung aus Sicht der Fragesteller: Technisch

Zur auslegungsgemässen Störfallbewältigung weist das ENSI in allen Stellungnahmen seit 1994 nur noch den Strang des Notstandsystems (von den fehlenden Schockabsorber betroffen) als erdbebenqualifiziert aus (Exemplarisch, HSK 15/130, 1994, Seite 3-23 «Im Falle KKB ist nur der NANO-Strang vollständig auf Erdbeben qualifiziert. Mit diesem Strang allein können aber auslegungsgemäss die Konsequenzen eines Erdbebens beherrscht werden.»). KKB dokumentiert einen Notstands-Strombedarf von 2’243 bzw. 2’195 kW pro Block (Feed-and Bleed bzw. Dampferzeuger-Kühlung). Die Dieselgruppe weist eine Typenleistung von 2’640 kW aus, der Generator 5’000 kVA (HSK 15/130, 1994, Seite 6-195). Bei einem Erdbeben sind beide Blöcke betroffen, folglich sind Zahlen zu verdoppeln. Zum weiteren Vergleich: die neuen AUTANOVE Diesel liefern 4 × 3’750 kW.

Nach Fukushima wurde 2011 für sogenanntes Severe Accident Management (SAM) das Lager Reitnau eingerichtet, von wo per Helikopter (u.a.) Notstromaggregate hergebracht werden können. Im KKB sollen für den einen Block ein 500 kVA Aggregat und für den zweiten Block ein 167 kVA Aggregat zum Einsatz kommen. Drei Helikopterflüge sind allein für die Aggregate notwendig, weitere braucht es für Treibstoff. Der Anschluss soll mit losen Kabeln erfolgen. Noch in der ENSI Stellungnahme 2013 gab es grundlegende offene Fragen (10KEX.APFUKU8 / ENSI-AN-8149, Seite 10. Angesichts der langen Bereitstellungsdauer, der sehr geringen Leistung der Aggregate, den noch 2013 offenen Fragen ist für die Fragesteller nicht nachvollziehbar, wie damit im Erdbebenfall auch nur eine rudimentäre Notstromversorgung der beiden KKB Blöcke hätte hergestellt werden können.

2012/2013 wurden dann vor Ort zwei SAM-Dieselaggregate (je 890 kW) (Sicherheitstechnische Stellungnahme zur Periodischen Sicherheitsüberprüfung 2012 des Kernkraftwerks Beznau, Seite 29) inkl. vorbereitete Anschlüsse aufgebaut (Davide Kurmann et al, 2015, 23rd Conference on Structural Mechanics in Reactor Technology, Paper ID 441
https://repository.lib.ncsu.edu/bitstream/handle/1840.20/34141/SMiRT-23_Paper_441.pdf?sequence=1&isAllowed=y). Auch diese können nur einen Bruchteil der auslegungsmässig benötigten elektrischen Leistung bereitstellen, ein Betrieb der Notstands-Stränge ist damit nicht möglich.

Seit der Inbetriebnahme des KKB 1969 bis zur Behebung des im September 2017 festgestellten Auslegungsfehlers von AUTANOVE musste folglich bei einem starken Erdbeben mit einem TSBO (Total Station Blackout) gerechnet werden. Die Nachrüstung und Inbetriebnahme des NANO (1992) sowie des daran angeschlossen Notspeisewassersystems (1999/2000) hat daran (immer nur auf den Erdbebenfall bezogen) praktisch nichts geändert. Ein schwerer Unfall (Severe Accident) hätte nicht ausgeschlossen werden können. Erst ab 2012/2013 hätte man dessen Verlauf und Auswirkungen allenfalls mittels SAM mildern können.

Vom AKW Beznau ging folglich 40 Jahre lang (~80% der gut 50-jährigen Betriebszeit) ein enorm erhöhtes Risiko aus. Für das Risiko von Kernschmelzen durch Erdbeben wurde mit Einführung von NANO (mit theoretisch vorhandenen Schockabsorbern) eine Reduktion um Faktor 34 dokumentiert (Roland Naegelin, Direktor der HSK (heute ENSI) 1980 bis 1995 in “Geschichte der Sicherheitsaufsicht über die schweizerischen Kernanlagen 1960 – 2003″; Tabelle 6.5-3: Kernschadenshäufigkeiten CDF für das KKW Beznau, S. 321), dies bei einer Erdbebengefährdung, die gemäss heutigen Gefährdungsannahmen ca. vier Mal häufiger überschritten wird (ENSI: Hybrid Model Hazard Figures, May 2016, Fig. 2-2.9, Gefährdungsannahme 0.21g (1977), abgelesen von Mean.
https://ensi.admin.ch/de/dokumente/ensi-hybrid-model-hazard-figures/). Es muss also davon ausgegangen werden, dass die Reduktion um Faktor 34 nun umgekehrt in ähnlicher Grösse als Erhöhungsfaktor für die erdbebenbedingte Kernschadenshäufigkeit wirkt und über all die Jahre kumuliert werden muss. Die erdbebenbedingte Kernschadenshäufigkeit beträgt gemäss aktuellen Angaben 83 % der gesamten Kernschadenshäufigkeit von KKB (Sicherheitstechnische Stellungnahme zur Periodischen Sicherheitsüberprüfung 2012 des Kernkraftwerks Beznau, Seite 303). Insgesamt muss von einer überdeutlichen Korrektur des realen vom AKW Beznau ausgegangen Risikos gerechnet werden.

 

2.6 Einordnung aus Sicht der Fragesteller: Analytisch

Die Befunde aus dem Vorkommnis vom 13. September 2017 (Softwarefehler „ausgeschaltet ist sicher“) müssen als Common Cause Failure eingeordnet werden. Alle vier AUTANOVE Notstromgeneratoren wären im Falle eines entsprechenden Erdbebens nicht zur Verfügung gestanden. Unabhängig vom auslösenden Ereignis wäre ein Vierfachfehler eingetreten.

Die Befunde aus dem Vorkommnis vom 9. Dezember 2020 (fehlende Schockabsorber) müssen ebenfalls als Common Cause Failure eingeordnet werden. Beide Notstromgeneratoren des gebunkerten Notstandsystems (NANO) wären im Falle eines entsprechenden Erdbebens nicht zur Verfügung gestanden. Unabhängig vom auslösenden Ereignis wäre ein Zweifachfehler eingetreten.

Bemerkenswert ist, dass beim Vorkommnis am 13. September 2017 auf die NANO Notstromgeneratoren verwiesen wurde.

Es «wäre die Wärmeabfuhr aus dem Reaktor durch das gebunkerte Notstandsystem permanent gewährleistet gewesen».

Rückblickend muss nun festgestellt werden, dass sich diese Zusicherung als falsch herausgestellt hat, zu diesem Zeitpunkt fehlten dort die Schockabsorber. Alle sechs Notstromgeneratoren wären im Falle eines entsprechenden Erdbebens nicht zur Verfügung gestanden. Unabhängig vom auslösenden Ereignis wäre ein Sechsfachfehler vorgelegen.

Die dreissig Jahre unentdeckte latente Common Cause Failure bei NANO und insbesondere noch deren Kombination und Überscheidung mit der bei Inbetriebnahme und zwei Jahren Betrieb unentdeckten latenten Common Cause Failure bei AUTANOVE werfen sehr ernsthafte und grundsätzliche Fragen zur nuklearen Vorsorge auf.

 

2.7 Wirksamkeit und Verbindlichkeit von Überprüfungen

Die Beznau Notstromdiesel Schockabsorber fehlten seit der Inbetriebnahme 1992 (FN 14). Ihr Fehlen wurde selbst in der Totalüberholung 2009 / 2010 mit Ausbau der Aggregate nicht bemerkt (FN 12). Auch im Rahmen der Untersuchungen und Einreichungen bzw. der ENSI Stellungnahme zum Langzeitbetrieb 2010 (ENSI: Sicherheitstechnische Stellungnahme zum Langzeitbetrieb des Kernkraftwerks Beznau Block 1 und Block 2, November 2010
https://ensi.admin.ch/de/wp-content/uploads/sites/2/2011/08/langzeitbetrieb_kkb.pdf) und im Rahmen des Alterungsüberwachungsprogramms scheinen die Schockabsorber keiner Kontrolle zu unterstehen.

Nach den Erkenntnissen aus der Nuklearkatastrophe von Fukushima 2011 (Siehe auch: ENSI « Zehn Jahre nach Fukushima (1/6): Das führte zur Katastrophe 2011 »,
https://ensi.admin.ch/de/2021/02/04/zehn-jahre-nach-fukushima-1-6-das-fuehrte-zur-katastrophe-2011/) mussten gezielt die Erdbeben- und Überflutungsstörfälle (bzw. die Kombination durch ausgelöste Dammbrüche etc.) überprüft werden. Als Sicherheitsfunktionen stand an erster Stelle die Notstromversorgung im Zentrum der Aufmerksamkeit. Exemplarisch die «technische Aufgabenstellung» gemäss EU Stress Test (ENSI: Verfügung: Neubewertung der Sicherheitsmargen des Kernkraftwerks Beznau Im Rahmen der EU-Stresstest
https://ensi.admin.ch/de/dokumente/verfuegung-4-an-beznau/):

Technical scope of the „stress tests“
…
a) lnitlating events
• Earthquake
• Flooding
b) Consequence of lass of safety functions from any initiating event conceivable at the plant site
• Loss of electrical power, including station black out (SBO)
• Loss of the ultimate heat sink (UHS)
• Combination of both

Die folgenden diesbezüglichen Überprüfungen wurden seither durchgeführt:

• Massnahmen aufgrund der Ereignisse in Fukushima (ENSI Verfügung: Massnahmen aufgrund der Ereignisse in Fukushima, 18.März 2011,
  

  Verfügung 1 an Beznau

  
  Antwort Kernkraftwerk Beznau auf Verfügung 1, 31. März 2011) https://ensi.admin.ch/de/dokumente/antwort-kernkraftwerk-beznau-auf-verfuegung-1/ ENSI Verfügung: Stellungnahme zu Ihrem Bericht vom 31. März 2011
  https://ensi.admin.ch/de/dokumente/verfuegung-3-an-beznau/

• Überprüfung der Auslegung bezüglich Erdbeben und Überflutung (ENSI Verfügung: Vorgehensvorgaben zur Überprüfung der Auslegung bezüglich Erdbeben und Überflutung, 1. April 2011
  

  Verfügung 2 an Beznau

  
  Axpo: Deterministischer Nachweis der Beherrschung des 10 000-jährlichen Erdbebens
  Stellungnahme des ENSI zum deterministischen Nachweis des KKB zur Beherrschung des 10‘000-jährlichen Erdbebens

• Neubewertung der Sicherheitsmargen des Kernkraftwerks Beznau im Rahmen der EU-Stresstest (Verfügung: Neubewertung der Sicherheitsmargen des Kernkraftwerks Beznau Im Rahmen der EU-Stresstests
  

  Verfügung 4 an Beznau

  
  ENSI Verfügung: Stellungnahme zu Ihrem Bericht zum EU-Stresstest, 10.1.2012
  https://ensi.admin.ch/de/dokumente/verfuegung-zum-eu-stresstest-an-das-kkw-beznau-vom-10-januar-2012/

• Projekt ERSIM zur Erhöhung der Sicherheitsmargen (Zusammenfassung des ENSI zur Erhöhung der Sicherheitsmargen, 24. Juni 2016
  https://ensi.admin.ch/de/dokumente/zusammenfassung-des-ensi-zur-erhoehung-der-sicherheitsmargen/)
• Periodische Sicherheitsüberprüfung 2012 des Kernkraftwerks Beznau (ENSI: Sicherheitstechnische Stellungnahme zur Periodischen Sicherheitsüberprüfung 2012 des Kernkraftwerks Beznau, 22. Dezember 2016
  https://ensi.admin.ch/de/dokumente/sicherheitstechnische-stellungnahme-zur-periodischen-sicherheitsueberpruefung-2012-des-kernkraftwerks-beznau/)
• Eingereichte Unterlagen zum aktualisierten Fukushima-Erdbebennachweisen des KKB (Stellungnahme des ENSI zu den aktualisierten Fukushima-Erdbebennachweisen des KKB, 5. Februar 2021, Seite 35 «Walkdown Bericht Rizzo»
  https://ensi.admin.ch/de/dokumente/stellungnahme-des-ensi-zu-den-aktualisierten-fukushima-erdbebennachweisen-des-kkb/)

Jedes Mal wurde die Erdbebensicherheit der Notstromsysteme von KKB untersucht und als gegeben ausgewiesen, ohne die fehlenden Schockabsorber festzustellen. Dies trotz des speziellen Augenmerks (nach Fukushima) auf Erdbeben und Notstromversorgung, trotz neuer Erdbeben-Gefährdungsannahmen und -Festigkeitsanalysen. Die Nachweise wurden vom ENSI nach eigenem Bekunden überprüft und akzeptiert (Bei der letzten Stellungnahme war inzwischen das Vorkommnis bekannt).

2.8 Übereinstimmung des realen Anlagenzustands mit den Auslegungsunterlagen

Bei beiden Fehlerursachen war die Übereinstimmung des realen Anlagenzustands mit den Auslegungsunterlagen nicht gegeben. Das theoretische Risikomodell, mit dem die Sicherheit geplant und analysiert wurde, rechnete mit dem Funktionieren der Dieselgeneratoren, während diese in Wahrheit im Anforderungsfall nicht zur Verfügung gestanden hätten.

Solche Fehler sollen in der Theorie durch umfassende und systematische Begehungen der Anlage (sogenannte «walkdowns») gefunden werden (ENSI Richtlinie ENSI-A05/d, Probabilistische Sicherheitsanalyse (PSA): Qualität und Umfang, Kapitel 4.6.2.1.2, insb. Bst. c.
https://ensi.admin.ch/de/dokumente/richtlinie-ensi-a05-deutsch/).

c. Eine umfassende und systematische Begehung der Anlage und der Umgebung entsprechend einer international akzeptierten Vorgehensweise ist durchzuführen, um
1. den Anlagenzustand zu erfassen und zu verifizieren,
2. die Übereinstimmung des realen Anlagenzustands mit den Auslegungsunterlagen zu überprüfen,
…

Im Rahmen des EU Stresstests wurden solche an verschiedenen Stellen gefordert, das ENSI hat diese jeweils bestätigt (ENSI: “EU Stress Test confirms safety of Swiss nuclear power plants”, EU Stress Test: Swiss National Report, 31.Dezember 2011, Seite 18
https://ensi.admin.ch/en/2012/01/10/eu-stress-test-confirms-safety-of-swiss-nuclear-power-plants/).

Tours of inspection of the plants by experienced seismic engineers (seismic walkdowns) are carried out in order to review seismic safety at all the nuclear power plants. These usually take place in conjunction with the PSR or as the basis for assessing the failure probabilities (fragilities) as part of the PSA. Special seismic walkdowns and additional reviews of the seismic safety of the plants were carried out after the events at Fukushima.

Allerdings wurde dann im KKB Fukushima Erdbebennachweis 2012 lediglich auf Walkdowns aus dem Jahr 2007 verwiesen (ENSI 14/1658, Seite 34). Es ist nicht ersichtlich, dass die Übereinstimmung des realen Anlagenzustands mit den Auslegungsunterlagen beim KKB nach Fukushima überhaupt überprüft wurde.

Im aktuellen KKB Erdbebennachweis wird ein Walkdown-Bericht aus dem Dezember 2018 belegt, welcher die fehlenden Schockabsorber aber ebenfalls nicht gefunden hat (entdeckt wurden sie erst im Dezember 2020) (Stellungnahme des ENSI zu den aktualisierten Fukushima-Erdbebennachweisen des KKB, 5. Februar 2021, Seite 35 «Walkdown Bericht Rizzo»
https://ensi.admin.ch/de/dokumente/stellungnahme-des-ensi-zu-den-aktualisierten-fukushima-erdbebennachweisen-des-kkb/).

Bis dahin haben die Überprüfungen hier komplett versagt. Es stellt sich die Frage, warum dem so ist und in welchem Ausmass andere latente Fehler in dieser und anderen Kernanlagen unentdeckt bleiben.

2.9 Periodische Sicherheitsüberprüfung

Im internationalen, völkerrechtlichen (Art. 14 Abs. ii) Übereinkommen über nukleare Sicherheit (https://www.fedlex.admin.ch/eli/cc/1997/2380_2380_2380/de#art_14) und nationalen (Art. 22 Abs. 2 Bst. f KEG
https://www.fedlex.admin.ch/eli/cc/2004/723/de#art_22) Regelwerk sind neben den anlassbezogenen auch periodische Sicherheitsüberprüfungen (PSÜ) vorgesehen. Während es in den anlassbezogenen Überprüfungen nachvollziehbar ist, nur die durch Befund oder Ereignis (Art. 33 Abs. 1 Bst. a, sowie f in Verbindung mit Art. 44 Abs. 1 KEV
https://www.fedlex.admin.ch/eli/cc/2005/68/de#a33
Siehe auch FN 53.), bzw. durch geänderte Gefährdungsannahmen (Art. 8 Abs. 6 KEV
https://www.fedlex.admin.ch/eli/cc/2005/68/de#a8
Umgesetzt insb. in Art. 13 Verordnung des UVEK über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen
https://www.fedlex.admin.ch/eli/cc/2009/444/de#art_13) in Frage gestellten Analysen zu hinterfragen, sollte die periodische Sicherheitsüberprüfung eine umfassenden Wiedererwägung früherer Analysen bedeuten.

Art. 22 Allgemeine Pflichten des Bewilligungsinhabers
1 Der Bewilligungsinhaber ist für die Sicherheit der Anlage und des Betriebs verantwortlich.
2 Dazu muss er insbesondere:
…
e. für ein Kernkraftwerk periodisch eine umfassende Sicherheitsüberprüfung vornehmen;
…

Die PSÜ findet nur alle 10 Jahre statt, es ist gemäss Kernenergiegesetz eine «umfassende Sicherheitsüberprüfung» gefordert, eine klare Begrifflichkeit, welche die Vollständigkeit und den wiederholenden Charakter festlegt. Oder in den Worten des ENSI:

Ziel ist die ganzheitliche sicherheitstechnische Beurteilung des Kernkraftwerks durch den Betreiber.

Zur PSÜ gehört im Rahmen der dazugehörenden probabilistischen Sicherheits-Analyse PSA insbesondere auch die «umfassende und systematische Begehung der Anlage», um die «Übereinstimmung des realen Anlagenzustands mit den Auslegungsunterlagen zu überprüfen».

Aus der Stellungnahme des ENSI zur PSÜ 2012 kann dies aber nicht abgelesen werden. So basiert die PSA in der PSÜ (BERA2013) zwar auf der aktuellen Erdbebenanalyse von 2012(ENSI: Sicherheitstechnische Stellungnahme zur Periodischen Sicherheitsüberprüfung 2012 des Kernkraftwerks Beznau, Dezember 2016, Seite 302), aber diese dokumentiert nicht etwa eine aktualisierte, umfassende und systematische Anlagenbegehung, sondern (wie bereits erwähnt) eine Begehung aus dem Jahr 2007, nota bene von vor Fukushima. Auch diese Begehung scheint nur Teile der Anlage umfasst zu haben. Gewisse Angaben stammen aus den 1980er und 1990er Jahren.

Für die Ermittlung der Fragilities der Primär- und Sekundärleitungen wurde auf Auslegungsberechnungen im Rahmen des REQUA-Projektes zurückgegriffen. […]

Für die Bestimmung der Fragilities für das Steuerstabsantriebssystem wurde auf Berechnungen im Zusammenhang mit dem Langzeitbetrieb aus dem Jahre 1999 /118/ zurückgegriffen.

2.10 Lernen aus Fehlern – «Lessons learnt»

Das internationale, völkerrechtliche (Art 19 Abs. vi) und vii) Übereinkommen über nukleare Sicherheit
https://www.fedlex.admin.ch/eli/cc/1997/2380_2380_2380/de#art_19) und nationale (Art. 22 Abs. 2 Bst. h KEG
https://www.fedlex.admin.ch/eli/cc/2004/723/de#art_22) Regelwerk verpflichtet Betreiber von Kernanlagen, aus Ereignissen und Befunden in eigenen und anderen Anlagen zu lernen und Erfahrungen auszutauschen. Die Erfahrung ist neben dem Stand der Wissenschaft und Technik das zentrale Element der gesetzlichen Grundsätze für die Nutzung der Kernenergie. Es sei nochmals die Botschaft zum Kernenergiegesetz zitiert:

Nach Buchstabe a müssen Vorkehren, die für den Schutz von Mensch und Umwelt notwendig sind, in jedem Fall und unabhängig von finanziellen Überlegungen getroffen werden. Das Ausmass dieser Vorkehren bestimmt sich nach der Erfahrung und dem Stand von Wissenschaft und Technik. Dabei ist eine Massnahme auch dann zu treffen, wenn sie nur nach dem einen der angeführten Kriterien (Erfahrung bzw. Stand von Wissenschaft und Technik) notwendig ist.

Es gibt brancheneigene Organisationen wie die WANO (World Association of Nuclear Operators), welche gemäss eigenem Bekunden eine gewisse Rolle spielen (WANO: Performance Analysis: Preventing events by learning from others
https://www.wano.info/services/performance-analysis). Darüber hinaus sind aber auch gesetzlich und völkerrechtlich verbindliche Verpflichtungen vorgesehen. Zu diesem Zweck gibt es Dokumentations- und Meldepflichten (Art. 11 KEG, Art. 22 Abs. 2 Bst. f KEG
https://www.fedlex.admin.ch/eli/cc/2004/723/de#art_11, Art. 38 KEV
https://www.fedlex.admin.ch/eli/cc/2005/68/de#art_38). Die Ereignisse oder Befunde werden zudem eingestuft gemäss der internationalen INES-Skala (Art. 5 Abs. 1 KEG
https://www.fedlex.admin.ch/eli/cc/2004/723/de#art_5
KEV Anhang 6, Kapitel 2. Einstufung auf der internationalen Ereignisskala INES der IAEA https://www.fedlex.admin.ch/eli/cc/2005/68/de#annex_6/lvl_d1582e144/lvl_B/lvl_2). Je nach Stufe ergibt sich eine gesetzliche Pflicht zur Überprüfung der Anlage durch die Betreiber (Art. 2 Verordnung des UVEK über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen
https://www.fedlex.admin.ch/eli/cc/2008/269/de#art_2).

Es soll gewährleistet sein, dass beim Auftreten solcher Fehler möglichst weltweit alle Betreiber informiert werden und entsprechende oder analoge Probleme bei ihrem Anlagen überprüfen. Die im KKB festgestellten Fehler («ausgeschaltet ist sicher», nicht montierte Schockabsorber) könnten ja durchaus auch in anderen Anlagen vorhanden sein. Abgesehen vom direkten Nutzen in den anderen Schweizer Anlagen, profitiert bei einem internationalen Austausch die Schweizer Anlagensicherheit reziprok.

2.11 Information der Öffentlichkeit

Neben den «Lessons Learnt» gibt es auch die Verpflichtung zur Information der Öffentlichkeit durch das ENSI (Art. 74 Abs. 2 KEG
https://www.fedlex.admin.ch/eli/cc/2004/723/de#art_74
Art. 76 KEV
https://www.fedlex.admin.ch/eli/cc/2005/68/de#art_76). Die Information der Öffentlichkeit entspricht dem national und völkerrechtlich verbrieften Recht, in Umweltangelegenheiten korrekt über die tatsächlichen Risiken einer Technologie informiert zu werden und somit in Zukunft fundierte politische Entscheidungen über diese Technologie treffen zu können (Präambel, Übereinkommen über den Zugang zu Informationen, die Öffentlichkeitsbeteiligung an Entscheidungsverfahren und den Zugang zu Gerichten in Umweltangelegenheiten (Aarhus-Konvention)
https://www.fedlex.admin.ch/eli/cc/2014/235/de). In diese Kerbe schlägt auch der Leistungsauftrag gemäss ENSI-Rat von 2015, welcher fordert, dass der Bevölkerung eine starke Aufsichtsbehörde zur Seite gestellt wird, welche ihre Anliegen aufnimmt und aktiv über den Zustand der Kernanlagen und über besondere Ereignisse informiert (Leistungsauftrag 2012 – 2015 an das Eidgenössische Nuklearsicherheitsinspektorat
https://ensi.admin.ch/de/wp-content/uploads/sites/2/2012/12/leistungsauftrag-2012-2015_ensi.pdf).

Im vorliegenden Fall können die Fragesteller nicht nachvollziehen, wie das ENSI diesem Auftrag bisher gerecht wurde. Im Vorkommnisbeschrieb wurde von «Montageabweichungen bei Schwingungsdämpfern» gesprochen. Erst Medienberichte legten offen, dass die Schockabsorber ganz und gar fehlten. Zum besseren technischen Verständnis, eine Definition (https://de.wikipedia.org/wiki/Schwingungsd%C3%A4mpfer):

Ein Schwingungsdämpfer ist ein System zur Dämpfung von mechanischen Schwingungen (Vibrationen, Erschütterungen, Stössen). Ziel ist es, Bewegungsenergie in Wärmeenergie umzuwandeln.

Es scheint somit klar, dass ohne Schockabsorber in den Schwingungsdämpfern keine Bewegungsenergie in Wärmeenergie umgewandelt werden kann. Es ist für die Fragesteller daher nicht nachvollziehbar, wie man beim kompletten Fehlen eines sicherheitstechnisch derart wichtigen Teils von einer «Montageabweichung» sprechen kann. Der Begriff lässt sich auch nicht mit der unbedachten Verwendung einer Richtlinien-Floskel erklären. In der entsprechenden Richtlinie (Richtlinie ENSI-B03/d, Meldungen der Kernanlagen, September 2008, Revision 4 vom 28. November 2016, Seite 7
https://ensi.admin.ch/de/dokumente/b03-meldungen-der-kernanlagen-4/) wird (immerhin) der Begriff «Montagefehler» verwendet, «wenn diese Fehler die strukturelle Integrität der Komponente oder ihre Funktion gefährden können».

Auch mit dem Verweis auf eine noch laufende Analyse bleibt (insbesondere nach drei Monaten ohne weitere Meldung) bei den Fragestellern der Eindruck bestehen, man nehme entweder das Vorkommnis nicht gebührend ernst, oder es solle heruntergespielt werden. Dies gerade auch im Kontrast zur sonstigen Kommunikation. Wenn es um positive Meldungen geht, ist das ENSI jeweils nicht darum verlegen, sich auch bei noch laufenden Untersuchungen mit elementaren Vorbehalten vorauseilend festzulegen und dabei absolute, ja propagandistische Aussagen zu machen. Nachfolgend zwei (durch die zwischenzeitliche Erkenntnis über die fehlenden Schockabsorber widerlegte) Mitteilungen:

 

2.12 Axpo Medienmitteilung

Am 19.02.2021 reagierte die Axpo auf eine Medienmitteilung der SES zum Thema (SES: AKW Beznau jahrzehntelang ohne Erdbebenschutz
https://www.axpo.com/ch/de/ueber-uns/medien-und-politik/medienmitteilungen.detail.html/medienmitteilungen/2021/Zum-Erdbebenschutz-des-Kernkraftwerks-Beznau.html)

19.02.2021 – Stellungnahme der Axpo zur heutigen Medienmitteilung der Schweizerischen Energiestiftung SES «AKW Beznau jahrzehntelang ohne Erdbebenschutz»

In ihrer heutigen Mitteilung behaupten die Verfasser der Mitteilung mit Blick auf die kommunizierten Montageabweichungen bei den beiden in den 1990er Jahren in Betrieb genommenen Notstandsdieseln, dass das Kernkraftwerk Beznau «jahrzehntelang ohne Erdbebenschutz» betrieben worden ist. Diese Darstellung entbehrt jeglicher Grundlage. Axpo hat in den letzten Jahrzehnten rund 2.5 Mrd. CHF in die Zuverlässigkeit und Sicherheit der Anlage investiert, unter anderem in den Erdbebenschutz und die Sicherstellung der Notstromversorgung.

Richtig ist folgendes:

• • Die beiden gebunkerten Notstandsdiesel wurden in den Jahren 1992 und 1993 nachgerüstet. Vor der Inbetriebnahme der Notstromdiesel wurde die Notstromversorgung aus dem Hydrokraftwerk Beznau und mit bestehenden Notstromdieseln im Werk sichergestellt.
  • Die Sicherheit des Werks war und ist durch redundante Notspeisesysteme für die Kühlung jederzeit gewährleistet. Um die Anlage zu kühlen, reicht ein Dieselaggregat. Dabei kann ein Diesel infolge seiner grossen Kapazität sogar beide Blöcke gleichzeitig versorgen. Hervorzuheben gilt es, dass die am Standort Beznau vorhandenen Dieselaggregate periodisch und systematisch auf ihre Funktionstüchtigkeit geprüft werden.
  • Zusätzlich zu den sechs sicherheitstechnisch klassierten Notstromdieseln am Standort Beznau sind zwei weitere einsatzbereite Dieselaggregate für auslegungsüberschreitende Störfälle vorhanden. Im Übrigen kann im Notfall auch auf Aggregate im Lager Reitnau zurückgegriffen werden. Bis zum Eintreffen dieser Aggregate im KKB kann die Anlage auch mit am Standort vorhandenen mobilen Aggregaten gekühlt werden.

Auf die einzelnen Punkte wird später im Frageteil eingegangen. Nachfolgend werden vorbereitend Belege dazu angeführt.

Der Behauptung, vor 1992 sei die Notstromversorgung sichergestellt gewesen, werden Darstellungen von Roland Naegelin, Mitglied der KSA 1970-1980, Direktor der HSK (heute ENSI) 1980 bis 1995 aus seinem Buch über die nukleare Sicherheitsaufsicht entgegengestellt (Roland Naegelin, Direktor der HSK (heute ENSI) 1980 bis 1995, Geschichte der Sicherheitsaufsicht über die schweizerischen Kernanlagen 1960-2003, Seiten 319 bzw. 335.). Bereits 1980 wurden Nachrüstungen mit Qualifikation gegen Erdbeben via Betriebsbewilligung erzwungen:

Planung und Bau des KKW Beznau erfolgten in der zweiten Hälfte der Sechzigerjahre, als noch keine allgemeinen Sicherheitsgrundsätze wie die «General Design Criteria» etabliert waren (vgl. 5.3). Auch für nuklear relevante Funktionen wurde weitgehend konventionelle Kraftwerkstechnik angewandt. Dementsprechend sind redundante Stränge nicht separiert oder Teile der sicherheitsrelevanten Stromversorgung durch Räume mit heissen druckführenden Leitungen geführt worden. Für das sichere Funktionieren wichtige periphere Systeme wurden nicht gegen die zu erwartenden äusseren Einwirkungen spezifiziert oder entsprechend qualifiziert. Ende der Siebzigerjahre erkannte die ASK diese Schwachstellen und forderte ein Nachrüsten der beiden Beznau-Blöcke mit Notstandsystemen. Eine entsprechende Auflage wurde 1980 in der Verlängerung der Betriebsbewilligung für das KKB II gemacht.

[…]

Deshalb wurde der Betreiber veranlasst, sowohl für das KKB I als auch für das KKB II ein entsprechend umfangreiches Nachrüstprogramm aufzustellen. Dies betraf in erster Linie den Bau eines Notstandsystems und die Verbesserung der Notstromversorgung. Diese Forderungen wurden in die Verlängerung der Betriebsbewilligung über das Jahr 1980 hinaus als Auflagen aufgenommen. […]

Die durch die Nachrüstung zu behebenden Unzulänglichkeiten betrafen ungenügenden Schutz gegen äussere und innere Ereignisse sowie einige weitere Schwächen der vorliegenden Anlage.

Nötige Massnahmen gegen äussere Ereignisse waren besserer Schutz mit entsprechender Qualifikation gegen Erdbeben, externe Überflutung, Verlust der Stauhaltung, Blitzschlag, Flugzeugabsturz und Einwirkungen Dritter.

 

3 Fragestellungen

Fragen an das ENSI:

A. Aus Sicht der Fragesteller hat der Befund vom 9. Dezember 2020 zweierlei Bedeutung:

Einerseits ist anzunehmen, dass sich zum Zeitpunkt des Befundes (nach aktuellem Wissenstand) dank der Einsatzbereitschaft der AUTANOVE Diesel die Risikoerhöhung in Grenzen hielt.

Andererseits muss die Nichtverfügbarkeit auch für den Zeitraum von 1992 bis 2012 bzw. bis 2017 betrachtet werden, um dem gesetzlichen Auftrag zum Lernen aus Fehlern (Kap. 2.10), bzw. zur sachgerechten Information der Öffentlichkeit nachzukommen (Kap. 2.11).

Teilt das ENSI diese Ansicht?

B. Welche Erhöhungen der Kernschadenshäufigkeit (ICCDP) liegen für diese Jahre 1992 bis 2012 bzw. bis 2017 vor? Welche Einstufung auf der internationalen Ereignisskala INES der IAEA wird vorgenommen?

C. Welche «Lessons Learnt» Meldungen zuhanden der nationalen und internationalen Betreiber, Aufsichtsbehörden, Hersteller, Lieferanten, Planer etc. hat das ENSI bereits erstellt, veranlasst oder seitens Dritter zur Kenntnis genommen? Welche sind geplant? (Kap. 2.10) Gibt es hierbei Schnittstellen, die sicherstellen, dass analoge Fehler in nicht-nuklearen Infrastruktureinrichtungen mit Notstromversorgung für den Erdbebenfall eliminiert werden (Spitäler etc.)?

D. Welche (unverzüglichen) Überprüfungen mussten die anderen Schweizer Werke durchführen (bezüglich beider Vorkommnisse, 2017 und 2020)?

E. Wie bewertet das ENSI das Vorliegen dieser CCF bis hin zum Sechsfachfehler? Welche Meldungen an den OECD ICDE – International Common Cause Failure Data Exchange haben stattgefunden (https://ensi.admin.ch/de/sicherheitsforschung/reaktorsicherheit/datenbankprojekte-der-oecd/)? An andere Datenbanken?

F. Aus welchen Quellen, wie systematisch und wie verbindlich fliessen CCF Daten in die Schweizer PSA zurück? Kann anhand einer konkreten PSA gezeigt werden, welche Auswirkungen die vorliegenden Updates haben?

G. Welche konkreten Regeln gelten heute hinsichtlich des gesetzlichen Auftrags, dass die PSÜ «umfassend» zu sein hat? Inwiefern ist es im Speziellen (Anlagenbegehung) aber auch im Allgemeinen erlaubt, alte Angaben aller Art wiederzuverwenden (Kap. 2.9)?

H. Bezugnehmend zur Stellungnahme zum Langzeitbetrieb 2010 bzw. dem Alterungsüberwachungsprogramm: Gibt es bei diesen Schockabsorbern keine Alterungsmechanismen? Wie sind diese aufgebaut? Kann man unbesehen davon ausgehen, dass deren Dämpfungseigenschaften nach 20 Jahren unverändert vorhanden sind, so dass man sie auch unter diesem Aspekt nicht überprüfen/überwachen musste?

I. Um die Erdbebenfestigkeit (Fragilities) der Dieselaggregate zu analysieren, mussten die Spezifikationen der Schwingungsdämpfer bzw. deren Schockabsorber in irgendeiner Weise modelliert werden. Gibt es irgendeine formelle Verfahrensvorschrift, dass bei einer nachweistechnischen Inanspruchnahme (Kreditierung) eine physische Verifikation eines solchen Bauteils stattfinden muss?

J. Wie werden umfassende und systematische Begehungen zur Verifikation des Anlagezustandes und zur Übereinstimmung des realen Anlagenzustands mit den Auslegungsunterlagen der Anlage konkret reguliert (Kap. 2.8)? Welche Richtlinien gelten? Täuscht der Eindruck, dass diesbezüglich zwischen druckführenden Leitungen und Behältern (SVTI-Festlegung NE-14, ENSI B06 etc.) und anderer sicherheitsklassierter Ausrüstung ein Ungleichgewicht in der Regulierungsdichte besteht? Sieht das ENSI Handlungsbedarf?

K. Welche sonstigen Schlüsse zieht das ENSI hinsichtlich der Wirksamkeit und Verbindlichkeit von Sicherheitsüberprüfungen (Kap. 2.6)?

L. Der ENSI-Rat hat das ENSI 2012 beauftrag, der Bevölkerung eine starke Aufsichtsbehörde zur Seite zu stellen, welche ihre Anliegen aufnimmt und aktiv über den Zustand der Kernanlagen und über besondere Ereignisse informiert (Leistungsauftrag 2012 – 2015 an das Eidgenössische Nuklearsicherheitsinspektorat
https://ensi.admin.ch/de/wp-content/uploads/sites/2/2012/12/leistungsauftrag-2012-2015_ensi.pdf). Das ENSI hat auch bekräftigt, es wolle das Sicherheitsgefühl der Bevölkerung stärken (https://ensi.admin.ch/de/2012/12/07/das-sicherheitsgefuhl-der-bevolkerung-starken/). Hinsichtlich des Vorkommnisses vom 9. Dezember 2020, stellen die Fragesteller jedoch fest, dass bei ihnen keineswegs das Sicherheitsgefühl gestärkt wurde. Die Meldung des ENSI («Montageabweichung») ist nicht dazu geeignet (Kap. 2.11). Sämtliche inhaltlichen Informationen mussten den Medien entnommen werden (Kap. 2.4). Auch nach drei Monaten fehlen konkrete Hinweise, ob das ENSI die dreissig Jahre andauernden gravierenden Fehlleistungen bei der Vorsorge untersuchen, seine Lehren daraus ziehen und Massnahmen zur Korrektur ergreifen wird. Das ENSI wird gebeten, zur erfolgten (Nicht-) Information der Öffentlichkeit Stellung zu nehmen.

Fragen an die KNS:

M. Bedeutet Art 71 Abs. 2 Bst. a KEG, dass die KNS grundsätzliche Fragen der Vorsorge hinterfragen kann, auch wenn sie derzeit gesetzlich festgeschrieben sind?

N. Falls Nein. Welche Institution macht es dann?

O. Falls Ja. Hält die KNS es nach wie vor für genügend, in jedem Fall nur Einzelfehler zu betrachten, unabhängig von der Bedeutung einer Sicherheitsfunktion für die nukleare Sicherheit bzw. unabhängig davon, wie häufig (gemäss PSA) Mehrfachfehlerszenarien inkl. Common Cause Failure in der Summe der verketteten Komponenten zu erwarten sind? Müsste die Einschränkung auf nur einen einzelnen Fehler nicht probabilistischen Akzeptanz-Kriterien unterstellt werden?

P. Gibt es sonstige Fragestellungen, welche die KNS im vorliegenden Vorkommnis-Zusammenhang betrachtet hat oder noch betrachten wird?

Fragen an die Axpo:

Q. Wie ist es möglich, dass ein Notstromaggregat ausgebaut und totalrevidiert wird und dabei die fehlenden Schockabsorber nicht festgestellt werden?

R. Angesichts der Herausforderungen bei einer seismisch qualifizierten (Rück-) Montage (auch ganz allgemein): welche verbindlichen Anforderungen werden an die Qualifikation der beteiligten Firmen und Personen gestellt?

S. Welche Konsequenzen zieht die Axpo aus diesen Vorkommnissen?

T. Nimmt die Axpo am WANO Programm “Performance Analysis: Preventing events by learning from others” oder anderen “Lessons learnt” Programmen teil? Gibt es hierzu eine Verpflichtung? Falls Ja. Welche Meldungen wurden hinsichtlich der hier besprochenen Vorkommnisse (2007, 2017, 2020) gemacht? In ihrer Medienmitteilung vom 19.02.2021 reagiert die Axpo auf die Mitteilung der SES und behauptet, die Darstellung der SES «entbehre jeder Grundlage» (Kap. 2.12). Dazu einige konkrete Fragen.

U. Zu «Axpo hat in den letzten Jahrzehnten rund 2.5 Mrd. CHF in die Zuverlässigkeit und Sicherheit der Anlage investiert, unter anderem in den Erdbebenschutz und die Sicherstellung der Notstromversorgung.»: Aus Sicht der Fragesteller dokumentiert die Geschichte der befristeten Betriebsbewilligungen (Kap. 2.12), sowie die Nachrüstforderung nach dem INES-1 Vorkommnis von 2007 (Kap. 2.3), dass die hohen Nachrüstinvestitionen keineswegs «freiwillig» erfolgten. Diese Geldbeträge sind folglich keine Belege für die Sicherheit der Anlage, sondern vielmehr dafür, in welchem Masse ein Nachholbedarf bei der Sicherheit dieser Anlage vorlag. Die Axpo wird gebeten, mit Bezug zu Ihrem Zitat hierzu Stellung zu nehmen.

V. (Fortsetzung) Die Fragesteller gehen auch davon aus, dass es nicht der Sicherheitskultur der Axpo, entspricht, grosse Investitionsbeträge gleichsam automatisch als Sicherheitsnachweis gelten zu lassen. Die hier betrachteten Vorkommnisse 2017 und 2020 haben ja gerade eindrücklich gezeigt, dass ein automatischer Zusammenhang zwischen Geld und Sicherheit nicht besteht. Zwei «dumme Fehler» haben Millioneninvestitionen risikotechnisch grösstenteils zunichtegemacht. Bei NANO über Jahrzehnte. Die Axpo wird gebeten, mit Bezug zu Ihrem Zitat hierzu Stellung zu nehmen.

W. Zu «Vor der Inbetriebnahme der Notstromdiesel wurde die Notstromversorgung aus dem Hydrokraftwerk Beznau und mit bestehenden Notstromdieseln im Werk sichergestellt.» Die Fragesteller gehen davon aus, dass die nach aktuellem Stand der Wissenschaft und Technik ermittelten Erdbebengefährdungsannahmen den besten Kenntnisstand über die reale Erdbebengefährdung darstellt und dass man davon ausgehen kann, dass diese auch in den 1960er Jahren bereits so vorherrschte. Es ist ja nicht so, dass sich die tektonischen Spannungen erst im Gleichschritt mit den Neubestimmungen 1977, 2004 und 2015 aufbauten. Es ist zudem dokumentiert, wie die Behörden bereits 1980 als Auflage für eine weitere Verlängerung der Betriebsbewilligung die NANO-Nachrüstung forderten, u.a. ausdrücklich, weil die im Zitat genannte Ausrüstung nicht für Erdbeben qualifiziert ist (Kap. 2.12). Die Axpo wird gebeten, mit Bezug zu Ihrem Zitat hierzu Stellung zu nehmen.

X. Zu «Die Sicherheit des Werks war und ist durch redundante Notspeisesysteme für die Kühlung jederzeit gewährleistet. Um die Anlage zu kühlen, reicht ein Dieselaggregat. Dabei kann ein Diesel infolge seiner grossen Kapazität sogar beide Blöcke gleichzeitig versorgen.» Die Fragesteller gehen davon aus, dass ein Erdbeben in beiden Blöcken bzw. bei beiden NANO Dieselaggregaten (mit jeweils fehlenden Schockabsorbern) stattgefunden hätte. Im Erdbebenfall ist bei den anzunehmenden Auswirkungen eine Gefährdung durch übergreifende Einwirkungen zu berücksichtigen (Art. 1 Bst. f und Art. 5 Abs. 2 Gefährdungsannahmenverordnung
https://www.fedlex.admin.ch/eli/cc/2009/444/de#art_5). Die Störfallbetrachtung muss also einen Bezug zur Realität haben, was auch die Erfahrung in Fukushima (3 Kernschmelzen in 3 gleichermassen exponierten Blöcken) lehrt. Die Axpo wird gebeten, mit Bezug zu Ihrem Zitat hierzu Stellung zu nehmen.

Y. Zu «Hervorzuheben gilt es, dass die am Standort Beznau vorhandenen Dieselaggregate periodisch und systematisch auf ihre Funktionstüchtigkeit geprüft werden.» Die Fragesteller verweisen darauf, dass eine reine Betriebsprüfung der Dieselaggregate für die Funktionstüchtigkeit bei hier massgeblichen Störfallbedingungen (Auslegungserdbeben) nicht aussagekräftig ist. Die relevanten Versagensmechanismen durch fehlende Schockabsorber werden naturgemäss nicht provoziert, das haben ja auch 30 Jahre diesbezüglich wirkungsloses Testregime gezeigt. Der Fall hat vielmehr gerade aufgezeigt, wie begrenzt die Aussagekraft von Funktionsprüfungen und Störfallnachweisen sein kann, weil naturgemäss oft nicht mir realen Störfallbedingungen und/oder Volllast geprüft werden kann. Die Axpo wird gebeten, mit Bezug zu Ihrem Zitat hierzu Stellung zu nehmen.

Z. Zu «Zwei weitere einsatzbereite Dieselaggregate für auslegungsüberschreitende Störfälle vorhanden».

Die Fragesteller verweisen darauf, dass die SAM-Diesel erst seit 2012/2013 anschlussbereit sind? Es bleiben immer noch gut 40 Jahre, in denen gemäss heutigem Stand des Wissens ein Erdbebenschutz fehlte, davon 20 Jahre trotz Notstandsystem. Die Darstellung der SES, dass das Kernkraftwerk Beznau «jahrzehntelang ohne Erdbebenschutz» betrieben worden ist, erscheint völlig korrekt.

Die Axpo wird gebeten, mit Bezug zu Ihrem Zitat hierzu Stellung zu nehmen.