Die Waste Isolation Pilot Plant des US Department of Energy (DOE) in Carlsbad (US-Bundesstaat New Mexico) dient der Einlagerung von nicht-wärmeentwickelnden TRU[1]-Abfällen aus militärischer Forschung und Produktion. Beim Wirtgestein handelt es sich um Steinsalz, die Einlagerungssohle befindet sich auf 655 m u. T. Die Anlage wurde am 26. März 1999 in Betrieb genommen. Am 5. Februar 2014 kam es zu einem Fahrzeugbrand, am 14. Februar 2014 zu einer Freisetzung von Am-241 und Pu-239/240 unter und über Tage. Die beiden Vorfälle wurden durch das DOE umfassend aufgearbeitet[2][3] und sind voneinander unabhängig eingetreten. Der Fahrzeugbrand am 5. Februar wurde durch Kontakt von brennbaren Flüssigkeiten mit heissen Oberflächen am Fahrzeug ausgelöst. Weil das automatische Feuerlöschdispositiv an Bord deaktiviert war, konnte der Brand nicht sofort eingedämmt werden. Zum Brandzeitpunkt befanden sich 86 Personen in der Anlage, alle konnten diese sicher verlassen. Sechs Personen wurden wegen Rauchvergiftung ins Spital gebracht, sieben weitere wurden vor Ort behandelt. Die Freisetzung von Radionukliden vom 14 Februar ist vermutlich auf eine chemische Reaktion in einem Abfallgebinde zurückzuführen. Bei 21 Arbeitern bestand Verdacht auf Inkorporation, der sich bei 13 Personen bestätigte. Durch einen Bypass im Abluftfiltersystem wurden auch über Tage Radionuklide freigesetzt. Der Grenzwert von 0,01 mSv für die Bevölkerung wurde nicht überschritten.
a)
Das Lüftungssystem im geologischen Tiefenlager erfüllt wichtige Aufgaben zur Gewährleistung der nuklearen als auch konventionellen Sicherheit . Die Lüftung hat die Funktion der Versorgung der Anlage (speziell der Zugangsbauwerke nach Untertag sowie Bauwerke auf Lagerebene) mit Frischluft bei Einhaltung geeigneter klimatischer Bedingungen (Sauerstoffkonzentration, Entstaubung, Klimatisierung (Temperatur und Luftfeuchtigkeit)) sowie die Vermeidung der Ansammlung explosionsgefährdender bzw. toxischer Konzentrationen von Gasen. Zudem soll die Lüftung so gestaltet werden, dass ein Eingreifen bei Abweichungen und Störfallen (bspw. Isolation von Bränden durch Brandabschnitte, kontrollierte Entrauchung, Unterdruckluftstaffelung für kontrollierte Zonen) möglich ist, so dass die Flucht-, Rettungs- und Evakuierungswege möglichst immer rauchfrei sind und mit Frischluft versorgt werden können.
Die Konfiguration der Zugangsbauwerke (Schacht/Rampe) hat auf die grundsätzlichen Lüftungswege keinen Einfluss. Die Hauptlüfter zur Unterdruckhaltung sind an der Oberfläche beim Portal des Hauptzugangs in der Oberflächenanlage angeordnet. Damit wird keine Luft unkontrolliert an die Umgebung abgegeben und die dazu erforderlichen Lüftungsanlagen sind jederzeit gut zugänglich. Die Frischluft wird auf möglichst direktem Weg über den Lüftungsschacht auf das Lagerniveau geführt und von dort in die verschiedenen untertägigen Anlagenbereiche verteilt (Fig. 129-1).
[caption id="attachment_21588" align="alignnone" width="458"]

Figur-129-1: Lüftungswege während des Einlagerungsbetriebs in ein geologisches Tiefenlager mit verschiedenen Zugangskombinationen über Schächte und/oder Rampen. Blau: Frischluftzufuhr; rot: Abluft aus der kontrollierten Zone; grün: Abluft aus den konventionellen Bereichen.[/caption]
Die Abluft aus der kontrollierten Zone und aus den konventionellen Bereichen wird als weiteres Sicherheitsmerkmal getrennt abgeführt. So wird die Abluft aus der kontrollierten Zone über die Oberflächenanlage abgeführt, wo die Abluft kontinuierlich auf Kontamination geprüft und bei Bedarf für den gesamten Abluftstrom redundante Filteranlagen zugeschaltet werden können. Die Abluft aus den konventionellen Bereichen wird abgetrennt über Nebenzugangsanlagen abgeführt. So wird bei einem Ereignis in der kontrollierten Zone eine mögliche Kontamination der konventionellen Bereiche verhindert. Für das Lüftungssystem ergeben sich keine grundsätzlichen Unterschiede zwischen Zugängen nur über Schächte oder über Kombinationen von Schächten und Rampen, welche zu einer Bevorzugung einer Zugangsvariante führen.
Die übersichtliche und einfache Ausgestaltung des Lüftungssystems (nur eine Strömungsrichtung, räumliche Trennung von Zuluft und Abluft aus kontrollierten Zonen und konventionellen Bereichen) sowohl in den Zugängen als auch auf Lagerebene tragen somit zur Sicherheit eines geologischen Tiefenlagers bei.
Grundsätzlich gehören Brände in untertägigen Anlagen zu den gefährlichsten zu betrachtenden Störfällen. Entsprechend ist es das Ziel die Entstehung von Bränden zu verhindern, das Brandrisiko durch Minimierung der Brandlasten und Zündquellen in Verbindung mit einer frühzeitigen Erkennung und Alarmierung gering zu halten sowie durch gezielte Brandfallsteuerungen und Einsatz von Löscheinrichtungen eine Brandausbreitung zu begrenzen und zu bewältigen. Weiter sind die Endlagerbehälter und internen Transportbehälter auf die potenziellen Brandlasten ausgelegt.
Die Entstehung von Kohlenwasserstoffgasen, resp. von Staub mit erhöhtem Kohlenstoffanteil aus dem Opalinuston während der Bauphase und eine damit verbundene Gefährdung des Personals liegt aufgrund der Erfahrungen im Felslabor Mont Terri unter der Nachweisgrenze der Gasüberwachungsmessgeräte. Denn für die Entstehung von Kohlenwasserstoffgasen (insbesondere Methan) sind der Anteil und die Maturität des organischen Materials im Opalinuston zu gering. Zudem wird die Luftqualität beim Bau untertage mit der Einhaltung von gesetzlichen Vorgaben laufend kontrolliert werden. Die übersichtliche und einfache Ausgestaltung des Lüftungssystems (nur eine Strömungsrichtung, räumliche Trennung von Zuluft und Abluft aus kontrollierten Zonen und konventionellen Bereichen) sowohl in den Zugängen als auch auf Lagerebene tragen einen weiteren Teil zur Sicherheit bei.
Weiterführende Informationen: NAB 14-51 „Ergänzende Sicherheitsbetrachtungen“; Antwort auf
TFS-Frage 115 „Brand im geologischen Tiefenlager“.
b)
Das US Department of Energy (DOE) identifizierte als direkte Ursache für den Fahrzeugbrand vom 5. Februar 2014 in der WIPP den Kontakt von brennbaren Flüssigkeiten mit heissen Oberflächen des Fahrzeugs. Dass es aber überhaupt so weit kommen konnte, schreibt das DOE in seinem Untersuchungsbericht[2] tiefer liegenden Ursachen zu (sogenannte „root causes“). Unter anderem bemängelte das DOE das Nicht-Erkennen und Nicht-Entfernen einer Anhäufung brennbarer Materialien und die Entscheidung, das automatische Feuerlöschdispositiv des Fahrzeugs manuell zu deaktivieren. Zudem war das in Brand geratene Dieselfahrzeug 29 Jahre alt, mangelhaft gewartet und das Personal mangelhaft geschult. Der Verzicht auf den Einsatz von Dieselfahrzeugen, resp. auf Fahrzeuge mit relevanten Mengen an Hydrauliköl an Bord verringert mögliche Brandlasten; genauso wichtig ist aber auch – wie der WIPP-Vorfall zeigt – eine gelebte Sicherheitskultur bei den Mitarbeitenden zu fördern.
In einem geologischen Tiefenlager können Fahrzeuge mit Dieselmotoren und/oder Hydrauliköl grundsätzlich überall zum Einsatz kommen, oberirdisch in der Oberflächenanlage und in einer Nebenzugangsanlage, unterirdisch in einem Zugangsbauwerk und in den Bauten und Anlagen auf Lagerebene. In Zusammenhang mit dieser Frage werden die Fahrzeuge betrachtet, die unter Tage eingesetzt werden können.
Fahrzeuge in den Zugangsbauwerken:
Als Grundlagen für Etappe 2 im Sachplanverfahren wurden folgende Fahrzeuge, resp. Fördersysteme für den Einsatz in Zugangsbauwerken in Betracht gezogen und sicherheitstechnisch untersucht:
- Schachtförderanlagen: Keine resp. nur sehr geringe Brandlasten.
- Zahnradbahnen: Geringe Brandlasten, beschränkte Hydraulik, Elektrischer Antrieb (kein Diesel).
- Standseilbahnen: Geringe Brandlasten, beschränkte Hydraulik, kein Antrieb auf Fahrzeug (kein Diesel).
- Gleislosfahrzeuge: deutlich höhere Brandlasten, Hydraulik-Systeme und Dieselmotor (Brandschutzsysteme auf Fahrzeug)
Bei den untersuchten Fahrzeugen kommt die Nagra zum Schluss, dass alle erwähnten Systeme im geologischen Tiefenlager technisch realisierbar und ausreichend sicher sind. Zur Sicherheit tragen aber nicht nur die Fahrzeuge allein bei, sondern auch die Organisation. So ist vorgesehen, die Transporte von radioaktiven Materialien von den übrigen Transporten zeitlich und räumlich zu trennen. So werden auch während des Einlagerungsbetriebs die Transportfrequenzen von verpackten radioaktiven Abfällen gering sein.
Fahrzeuge auf Lagerebene:
Für den Transport der Endlagerbehälter vom zentralen Bereich in die Lagerkammern sind im Nagra-Referenzkonzept schienengebundene, batteriebetriebene Transportsysteme vorgesehen (d.h. kein Diesel, aber evtl. Hydrauliksysteme). Des Weiteren sind elektrisch betriebene Hebeanlagen (Krananlagen) bei den Lagerkammern vorgesehen. Für Personentransporte in den untertägigen Anlagen sind Diesel-Fahrzeugen nicht ausgeschlossen (Diesel-Fahrzeuge sind heute gängige Praxis im untertägigen Einsatz). Ein Entscheid, welche Transportsysteme eingesetzt werden sollen, wurde noch nicht getroffen.
Spezialfahrzeuge für Transport der Endlagerbehälter:
Die Anforderungen an Transportfahrzeuge für Endlagerbehälter in einem geologischen Tiefenlager sind sehr spezifisch, denn die Behälter verfügen über besondere Abmessungen und Gewichte, die unter engen Platzverhältnissen manövriert werden müssen. Gerade für diese Spezialfahrzeuge gelten sehr hohe Sicherheitsanforderungen, z. B. betreffend Begrenzung der Brandlasten, Fallhöhen, Fahrweg und Geschwindigkeit. In ihrem Referenzkonzept strebt die Nagra einen hohen Automatisierungsgrad der Fahrzeuge und des Einlagerungsprozesses an. Damit folgt die Nagra dem ALARA-Prinzip im Strahlenschutz und minimiert gleichzeitig die Wahrscheinlichkeit von menschlichen Fehlhandlungen.
Grundsätzlich gilt es festzuhalten, dass für den Transport der Endlagerbehälter spezifisch ausgelegte Fahrzeuge notwendig sind, welche die hohen an sie gestellten Anforderungen erfüllen und deren Einhaltung mit einem Prüfprogramm nachweisen müssen.
Weiterführende Informationen: NAB 14-51 „Ergänzende Sicherheitsbetrachtungen“.
c)
Teilfrage c ist an die Behörde gerichtet; von der Nagra ist keine Antwort zu geben.
d)
Bei der Untersuchung der beiden Vorfälle in der WIPP vom 5. Februar 2014 (Fahrzeugbrand) und 14. Februar 2014 (Radionuklidfreisetzung) identifizierte das DOE systemische und organisatorische Mängel als Grundursache. Unmissverständlich hält das DOE fest, dass beide Vorfälle mit einer besseren Organisation und einem besseren Management hätten vermieden werden können.
Für beide Vorfälle erstellte das DOE ein Liste mit Schlussfolgerungen («Conclusions») und jeweils daraus abgeleitetem Handlungsbedarf («Judgements of Need»). Die Schlussfolgerungen sind jeweils sehr spezifisch. Die Betreiberin des WIPP muss vor allem Organisation und Sicherheitskultur verbessern. An der Lagerauslegung müssen keine Änderungen vorgenommen werden, da sie keinen Einfluss bzw. nur geringen Einfluss auf die Vorfälle hatte.
Unabhängig von den beiden Vorkommnissen in der WIPP verfolgt die Nagra generell die Erfahrungen im Ausland sowie die Entwicklung von Technik und Wissenschaft genau, um daraus Rückschlüsse auf das Schweizer Tiefenlagerprojekt zu ziehen (Sachplanverfahren und stufenweise Konkretisierung des Projekts im Rahmen des mehrstufigen Bewilligungsverfahrens gemäss Kernenergiegesetzgebung). Der Erfahrungsaustausch erfolgt z. B. durch die Teilnahme an Fachgremien und Fachtagungen sowie durch die Mitgliedschaft in Fachverbänden (z.B. International Association for Environmentally Safe Disposal of Radioactive Materials EDRAM, Schweizerischer Ingenieur- und Architektenverein SIA, Verein für Risiko und Sicherheit VRS, Schweizerische Gesellschaft der Kernfachleute SGK, Deutsch-Schweizerischer Fachverband für Strahlenschutz e.V., American Nuclear Society ANS, etc.). Bei der schrittweisen Realisierung der geologischen Tiefenlager in der Schweiz können neue Erkenntnisse aufgenommen werden und die Auslegung, Abläufe und Organisation zum Schutz von Mensch und Umwelt entsprechend angepasst werden.
In der Schweiz bestehen sowohl für die konventionelle Sicherheit unter Tage als auch für die nukleare Sicherheit umfangreiche Regelwerke, die sich an Stand von Wissenschaft und Technik orientieren und ständig aktualisiert werden. Diese Regelwerke müssen bei der stufenweisen Konkretisierung des Projekts berücksichtigt werden. Diese in der Schweiz geltenden hohen Sicherheitsstandards lassen sich mit der Situation in der WIPP zum Zeitpunkt der Vorfälle nicht vergleichen.
Das Auslegungskonzept der Nagra für geologische Tiefenlager orientiert sich am Konzept der gestaffelten Sicherheitsvorsorge und ist entsprechend technisch und organisatorisch auf die Bewältigung von Ereignissen ausgelegt. Die derzeitige Planung der Nagra sieht bereits vor, dass die verschiedenen Anlagenbereiche lüftungstechnisch voneinander getrennt werden können. Mit der schrittweisen Konkretisierung des Projekts im Rahmen des mehrstufigen Bewilligungsverfahrens gemäss Kernenergiegesetzgebung wird auch das Auslegungskonzept jeweils überprüft und ggf. angepasst. Deshalb muss das derzeitige Auslegungskonzept nicht angepasst werden.
e)
Die Untersuchungen des DOE der beiden WIPP-Vorfälle zeigen, dass diese massgeblich durch menschliche und organisatorische (Human and Organisational Factors, HOF) Mängel begünstigt wurden. Allgemein stellte das DOE Mängel bei der Sicherheitskultur fest.
Das ENSI definiert den Begriff «Sicherheitskultur» im Bericht «Aufsicht über die Sicherheitskultur von Kernanlagen» (ENSI-AN-8708) folgendermassen:
«Sicherheitskultur umfasst von den Mitgliedern der Organisation geteilte Werte, Weltbilder, verbales und nonverbales Verhalten sowie Merkmale der vom Menschen geschaffenen physischen Umwelt. Zur Sicherheitskultur gehören jene Werte, jene Weltbilder, jenes Verhalten und jene Umgebungsmerkmale, die bestimmen oder zeigen, wie die Mitglieder der Organisation mit (nuklearer) Sicherheit umgehen.»
Zur Sicherheitskultur gehört auch ein offener Umgang mit Fehlern und die Bereitschaft, aus Fehlern zu lernen (und nicht zu bestrafen).
Die Anforderungen an die Sicherheit eines geologischen Tiefenlagers sind sehr hoch und werden durch umfangreiche gesetzliche und behördliche Vorgaben geregelt, insbesondere:
- Nukleare Betriebssicherheit und Strahlenschutz (KEG, KEV, StSG, StSV, NFSV, ENSI-Richtlinien)
- Personensicherheit, Arbeitssicherheit und Gesundheitsschutz während der Betriebsphase (Bundesverfassung, OR, VKF, UVG, PrSG, VUV, EleG, SIA-und ISO-Normen, EKAS- und SUVA-Richtlinien)
- Auswirkungen der Betriebsphase auf die Langzeitsicherheit (KEG, KEV, ENSI-G03)
- Auswirkungen der Betriebsphase auf die Umwelt (StFV, GSchG, GSchV, VWF, BAFU-Vorgaben)
Diese umfangreichen sicherheitstechnischen Vorgaben lassen sich nur mit einer gelebten Sicherheitskultur wirkungsvoll umsetzen. Bei den Betreibern der Kernanlagen in der Schweiz wird der Sicherheitskultur bereits heute ein hohes Gewicht beigemessen – auch bei der Nagra (
Fig. 129-2). Leitbild und Verhaltenskodex z. B. sind die äusseren Zeichen einer gelebten Sicherheitskultur.
[caption id="attachment_21589" align="alignnone" width="458"]

Figur 129-2: Ausgewählte Aspekte der Sicherheitskultur bei der Nagra[/caption]
Im Rahmen des Bewilligungsverfahrens sind für die unterschiedlichen Bewilligungsstufen jeweils auch Nachweise über die Sicherheitskultur den Behörden gegenüber zu erbringen. So ist mit den Unterlagen zum Rahmenbewilligungsgesuch für ein geologisches Tiefenlager ist ein Sicherheitsbericht vorzulegen, der unter anderem die Grundzüge der nuklearen Sicherheit (Art. 5 KEG, Art. 7
KEV), wichtige personelle und organisatorische Angaben (Art. 23
KEV) und ein Qualitätsmanagementprogramm (Art. 25
KEV) beinhaltet. Die Gesuchsunterlagen für die Baubewilligung müssen ein Qualitätsmanagementprogramm für die Projektierungs- und Bauphase beinhalten (Art. 25, Anhang 4
KEV). Und mit dem Betriebsbewilligungsgesuch müssen schliesslich umfangreiche organisatorische und technische Dokumente eingereicht werden (Art. 20, 22 KEG; Art. 30, Anhänge 3 und 4
KEV).
Diese laufende Berücksichtigung von HOF-Aspekten bereits während der Planung erlaubt es, technische Einrichtungen und Organisation auf die menschlichen Bedürfnisse abzustimmen und zu optimieren (
Fig. 129-2).
[1] TRU: Transuranabfälle, in den USA eine gesonderte Abfallkategorie (α-Strahler mit > 37‘000 Bq/g und Halbwertszeit > 20 Jahre).
[2] Accident Investigation Report: Unerground Salt Haul Truck Fire at the Waste Isolation Pilot Plant, February 5, 2014. U.S Department of Energy, Office of Environmental Management, 2014.
[3] Accident Investigation Report: Radiological Release Event at the Waste Isolation Pilot Plant, February 14, 2014. U.S Department of Energy, Office of Environmental Management, 2015.