Sicherheitskonzepte von Kernkraftwerken

aus Wikipedia, der freien Enzyklopädie

Inhaltsverzeichnis 1 Problem und Lösungsansatz 2 Mehrstufiges, fehlerverzeihendes Sicherheitskonzept 3 Das Barrierenkonzept 4 Das Konzept der Sicherheitsebenen 5 Nachwärmeabfuhr 6 Kühlmittelverlust 7 Auslegungsstörfälle und Auslegungsprinzipien für Sicherheitseinrichtungen 8 Einwirkungen von außen 9 Schutzzielkonzept 10 Das Restrisiko 11 Betriebliche Störungen 12 Harrisburg und Tschernobyl 13 Sicherheitstechnische Weiterentwicklung 13.1 Nachrüstungsmaßnahmen deutscher KKW gegen auslegungsüberschreitende Ereignisse 13.1.1 Inertisierung des Sicherheitsbehälters bei SWR 13.1.2 Gefilterte Druckentlastung des Containments bei DWR 13.1.3 Töpfer-Kerzen 14 Statistische Daten 15 Probabilistische Sicherheitsanalysen 16 Statistischer Vergleich zu anderen Energiequellen 17 Die Wahrscheinlichkeit eines Atomunfalls

[Bearbeiten] Problem und Lösungsansatz

Das Risiko von Kernkraftwerken besteht im Wesentlichen im möglichen Austritt radioaktiver Stoffe in die Umgebung. Ein solcher Austritt kommt zum Einen durch die radioaktiven Emissionen im normalen Betrieb zustande. Zum Anderen kann er sich als Folge von kleineren oder größeren Störfällen bzw. Unfällen ergeben. Die Radioaktivitätsfreisetzung im Normalbetrieb ist allerdings so klein, dass darauf zurückzuführende gesundheitliche Schäden noch nie beobachtet wurden und nach heutigem Wissensstand solche Beobachtungen auch zukünftig nicht zu erwarten sind. Im Folgenden wird daher nur auf die Störfallsicherheit von Kernkraftwerken eingegangen.

Einen Austritt radioaktiver Stoffe möglichst zu verhindern, war von Anfang an das Ziel der sicherheitstechnischen Entwicklung von Kernkraftwerken. Dabei geht man von der Erkenntnis aus, dass ein gravierendes Versagen von technischen Einrichtungen nicht rein zufällig eintritt, sondern aufgrund einer Kette von Ursachen und Wirkungen. Sind diese Wirkungsketten bekannt, können sie gezielt unterbrochen werden. Wird ein solches Unterbrechen mehrfach und mit voneinander unabhängigen Maßnahmen vorgesehen, kann man insgesamt eine sehr hohe Sicherheit erreichen, da Fehler in einzelnen Schritten durch Funktionieren der anderen Schritte aufgefangen werden können. Dabei ist es gleichgültig, ob diese Fehler auf ein Versagen von Komponenten oder Systemen („technische Fehler“) oder auf Fehlhandlungen von Menschen („Bedienungsfehler“, „menschliche Fehler“, auch „organisatorische Fehler“) zurückzuführen sind. Man spricht von einem „mehrstufigen, fehlerverzeihenden Sicherheitskonzept“.

Dieser Ansatz wird bei Kernkraftwerken grundsätzlich weltweit verfolgt. Wie erfolgreich er ist, hängt allerdings ganz wesentlich davon ab, wie er umgesetzt wird. Im Folgenden wird das systematische Vorgehen bei modernen, westlichen Leichtwasserreaktoren beschrieben. Vor allem bei Reaktoren aus dem früheren "Ostblock" liegen zum Teil deutlich andere Verhältnisse vor.

[Bearbeiten] Mehrstufiges, fehlerverzeihendes Sicherheitskonzept

Ausgangspunkt des Sicherheitskonzeptes der westlichen Leichtwasserreaktoren ist der Einschluss der radioaktiven Materialien in mehrfachen, einander umschließenden Barrieren (Mehrbarrierenkonzept) und die Gewährleistung der ausreichenden Integrität und Funktion der Barrieren durch ein System gestaffelter Maßnahmen (Konzept der Sicherheitsebenen). Dabei kommt immer wieder der gleiche Grundgedanke zum Tragen: Versagen die Schutzmaßnahmen in einer Ebene, soll dieses Versagen durch Schutzmaßnahmen auf der nächsten Ebene aufgefangen werden. Nur wenn die Maßnahmen auf allen Ebenen versagen, wird die (planmäßige) Rückhaltefunktion einer Barriere beeinträchtigt oder aufgehoben. Und wenn eine Barriere versagt, aus welchem Grund auch immer, soll die Störung durch die anderen Barrieren aufgefangen werden. Nur wenn alle Barrieren versagen, kann es zum Austritt größerer Mengen radioaktiver Stoffe kommen.

Abgerundet wird dieses Konzept durch vier ergänzende Maßnahmen:

• Den Grundsatz „Qualität trotz Mehrstufigkeit“: Für jede einzelne Barriere und Sicherheitsebene gibt es detaillierte Festlegungen der Funktionen und Aufgaben sowie der erforderlichen Qualität (einschließlich z. B. geforderter Sicherheitszuschläge bei der Auslegung von Systemen und Anlageteilen). Kompromisse gegenüber diesen Anforderungen infolge des Vorhandenseins anderen Barrieren oder Ebenen sind – unabhängig von der Qualität dort - unzulässig.

• Den Grundsatz „Fehler unterstellen trotz Qualität“: Trotz generell hoher Qualität wird grundsätzlich ein (technisches oder menschliches) Versagen unterstellt und entsprechende Auffangmaßnahmen werden vorgesehen.

• Die Konstruktion des Reaktorkernes so, dass sich ein selbststabilisierendes Verhalten der Kettenreaktion und damit der Leistungserzeugung ergibt (negative Rückkopplung, „inhärente Stabilität“; diese dient insbesondere auch zur Entkopplung der einzelnen Sicherheitsebenen).

• Schließlich wird das gesamte Sicherheitskonzept noch durch probabilistische Sicherheitsanalysen auf Wirksamkeit und Ausgewogenheit überprüft.

In westlichen Kernkraftwerken wurden in bisher rund 10 000 Reaktorbetriebsjahren insgesamt über 40 000 Milliarden kWh Strom erzeugt. Dabei ist es zu keinem Unfall mit gravierenden radiologischen Auswirkungen auf die Bevölkerung in der (nähern und weiteren) Umgebung gekommen. Das zugrunde gelegte Sicherheitskonzept hat sich als äußerst robust erwiesen.

[Bearbeiten] Das Barrierenkonzept

In westlichen Leichtwasserreaktoren gibt es sechs Barrieren zum Zurückhalten der radioaktiven Stoffe:

• Das Kristallgitter des Brennstoffes [Innerhalb 6]

Bei den Kernspaltungen in einem Reaktor entstehen die Spaltprodukte gewissermaßen als Fremdatome im Kristallgitter des Urandioxids. Solange dieses intakt bleibt, werden sie (außer den gasförmigen Spaltprodukten, das sind aber nur ca. 5 %) sehr zuverlässig im Kristallgitter zurückgehalten.

• Die gasdicht verschweißten Hüllrohre der Brennstäbe [6]

Das Urandioxid wird zu Tabletten gepresst, in etwa fingerdicke Rohre aus Zircaloy (Festigkeitseigenschaften ähnlich wie Stahl) eingefüllt und diese Rohre werden dann oben und unten gasdicht verschweißt. Solange alle Schweißnähte dicht sind und auch sonst kein Loch in einem Hüllrohr auftritt, halten die Hüllrohre alle Spaltprodukte in ihrem Inneren sicher zurück. Allerdings entstehen auch im Regelbetrieb trotz hoher Neutronenpermeabilität strukturelle Veränderungen durch Strahleneinwirkung und Korrossion. Somit erhalten ein kleiner Teil der Hüllrohre Risse die zum Austritt der gasförmigen Spaltprodukte führen können. Dies sind i.d.R. Isotope (Jod, Xenon, Krypton) mit mittleren Halbwertzeiten.

• Den Reaktordruckbehälter mit anschließenden Rohrleitungen [5] und [8]

Der Reaktordruckbehälter besteht aus einem ca.20 bis 25 cm dicken Stahl. Zusammen mit den anschließenden Rohrleitungen bildet er ein geschlossenes Kühlsystem, in dem auch eventuell aus den Hüllrohren austretende Spaltprodukte eingeschlossen sind.

• Den thermischen Schild [4]

Dieser dient vor allem der Abschirmung von Direktstrahlung aus dem Reaktorkern. Da er keine vollkommen geschlossene Konstruktion aufweist, kann er Spaltprodukte nur teilweise zurückhalten.

• Den Sicherheitsbehälter [2]

Dieses gasdichte und druckfeste „Containment“ aus ca. 4 cm dickem Stahl (manchmal auch aus Spannbeton) ist so ausgelegt, dass es im Falle eines Lecks im Reaktorkühlkreis das gesamte austretende Wasser/Dampf-Gemisch mit allen darin eventuell enthaltenen Spaltprodukten sicher aufnehmen kann.

• Die umschließende Stahlbetonhülle [1]

Der gesamte Sicherheitsbehälter wird von einer etwa 1,5 bis 2 m dicken Stahlbetonhülle umgeben, die vor allem Einwirkungen von außen – wie z. B. Zerstörungen durch einen Flugzeugabsturz – verhindern soll, aber natürlich auch radioaktive Materialien in seinem Inneren zurückhalten kann.

In anderen Reaktoren, insbesondere in solchen des ehemaligen Ostblockes, sind z. T. weniger und qualitativ schlechtere Barrieren vorhanden.

Daneben gibt es noch die folgenden grundsätzlichen Sicherheitsmaßnahmen:

• Wasserbecken [3]

Wasser dient der Abschirmung von Radioaktivität, innerhalb der Reaktordruckgefäßes als Moderator. Die unteren Wasserbecken (Pumpensümpfe) sind im Normalfall leer, sie sammeln im Falle eines Lecks das austretende Wasser und erlauben eine Wiedereinspeisung in den Kreislauf, um eine Austrocknung des Reaktors zu vermeiden. (Keine Barriere, sondern eine Sicherheitsmaßnahme)

• Gefilterte Druckentlastung [9]

Bei einem gravierenden Unfall kann durch verdampfendes Wasser ein unzulässiger Druck im Sicherheitsbehälter entstehen. Dieser Druck kann kontrolliert und gefiltert durch das Druckentlastungssystem [9] (Wallmann-Ventil) abgelassen werden.

• Wasserstoffabbau

Durch verschiedene Oxidationsreaktionen kann bei hohen Temperaturen, die infolge eines Störfalls mit Kernschmelzen entstehen, gasförmiger Wasserstoff freigesetzt werden. Beispielsweise reagiert die Zirkonium-Legierung der Brennstabrohre ab einer Temperatur von 900°C nach folgender chemischen Reaktionsgleichung mit Wasser:

Hierbei entsteht neben Zirkoniumoxid und gasförmigem Wasserstoff infolge der stark exothermen Reaktion Wärmeenergie von 576 kJ/mol_H2. Die Gesellschaft für Reaktorsicherheit GmbH ermittelte in einer Studien, dass im Fall einer Kernschmelze bei einem Zirkoniuminventar eines Druckwasserreaktors (Containmentvolumen ca. 70.000 m³) von 20 Tonnen Zirkonium innerhalb von 6 Stunden ca. 15.000 m_n Wasserstoff entstehen. Zusammen mit Sauerstoff würde der Wasserstoff als Knallgas ab einer Konzentration von etwa 4 Vol.-% explosionsfähig werden. Bei Druckwasser-Reaktoren besteht wegen ihres kleinen Volumens zusätzlich die Gefahr, dass der zusätzliche Druck durch den Wasserstoff den Reaktorbehälter überlastet. Bis 1979 zum Unfall mit Kernschmelze in Three Mile Island wurde die Zirkonium-Reaktion nicht in den Szenarien möglicher Unfälle berücksichtigt. Nachdem der Graphitbrand beim Unfall von Tschernobyl 1986 eindrücklich auf die mögliche Bedeutung von chemischen Reaktionen als Folge der Kernschmelze hinwies, wurden in Deutschland Maßnahmen gegen den Wasserstoff verpflichtend. Im Containment von Druckwasserreaktoren wurden daraufhin an exponierten Stellen katalytische Rekombinatoren installiert, an deren Oberfläche das Knallgas (auch weit unterhalb der Explosionsgrenze) zu Wasser reagiert. Der Sicherheitsbehälter von Siedewasserreaktoren wird im Normalbetrieb mit Stickstoff geflutet, so daß bei einem Unfall zwar freier Wasserstoff entsteht, für die Entstehung von Knallgas aber der Sauerstoff fehlt.

Ein weiterer Weg, wie bei Kernreaktoren Wasserstoff entsteht, ist die Spaltung von Wasser durch ionisierende Strahlung. Dieser Radiolyse genannte Prozess, produziert direkt Knallgas. Die Geschwindigkeit mit der das Knallgas erzeugt wird, ist gering im Vergleich zu den Gasmengen bei der Zirkoniumreaktion. Selbst im Falle einer Kernschmelze besteht nicht die Gefahr, dass der Reaktordruckbehälter in kurzer Zeit mit einem zündfähigem Radiolyse-Gas gefüllt wird. Da die Reaktion auch während des normalen Betriebs abläuft, kann sich das Knallgas allerdings über längere Zeit ansammeln und dann durch ionisierende Strahlung gezündet werden. Daher sind an exponierten Stellen im in den Systemen des Primärkreislaufs katalytische Rekombinatoren installiert, an deren Oberfläche das Knallgas zu Wasser reagiert. Trotz dieser Vorkehrungen ist im Kernkraftwerk Brunsbüttel im November 2001 ein an den Reaktordeckel angeschlossenes Rohr durch eine Knallgas-Explosion zerstört worden.

[Bearbeiten] Das Konzept der Sicherheitsebenen

In modernen deutschen Kernkraftwerken gibt es vier Sicherheitsebenen: Die erste Ebene entspricht dem Normalbetrieb des Kraftwerkes. Hier sollen Störungen möglichst vermieden werden. Trotzdem wird unterstellt, dass Störungen auftreten. In der zweiten Ebene, dem so genannten „anomalen Betrieb“, wird dann das Ziel verfolgt, diese Störungen einzudämmen und zu verhindern, dass sie sich zu Störfällen ausweiten. Auch hier wird wieder systematisch unterstellt, dass dieses Ziel nicht erreicht wird und in der dritten Ebene, der Ebene der Störfallbeherrschung, werden Störfälle durch sehr zuverlässige eigene Sicherheitssysteme möglichst aufgefangen. Doch auch hier wird systematisch ein Versagen unterstellt und in der vierten Ebene wird mit so genannten „anlageninternen Notfallschutzmaßnahmen“ versucht, die Auswirkungen des Störfalles möglichst auf die Anlage selbst zu beschränken und einschneidende Maßnahmen in der Umgebung (insbesondere Evakuierung) nicht notwendig werden zu lassen.

[Bearbeiten] Nachwärmeabfuhr

Ein möglicher Mechanismus, der zum Versagen mehrerer Barrieren führen kann, ist eine Überhitzung des Reaktorkerns bis zum Schmelzen der Brennelemente (Kernschmelzunfall). Dadurch würden die vier erstgenannten Barrieren zerstört und längerfristig möglicherweise auch die beiden restlichen Barrieren. Gegen eine solche Überhitzung sind entsprechende Kühleinrichtungen erforderlich. Da ein Kernkraftwerk auch nach dem Abschalten durch den Zerfall der angesammelten radioaktiven Spaltprodukte noch Wärme produziert (sgn. Nachzerfallswärme, unmittelbar nach dem Abschalten sind das noch etwa 5 % der Nennleistung, nach 10 Stunden sind es noch ca. 0,5 % der Nennleistung, auch nach Monaten sind es noch nennenswerte Wärmemengen), müssen diese Kühleinrichtungen langfristig sicher funktionieren (Nachwärmeabfuhr). Auch diese Kühleinrichtungen sind mehrfach vorhanden und nur wenn hinreichend viele von ihnen versagen (und auch nicht durch Notfallmaßnahmen ersetzt werden können), kann es zu einer Kernschmelze kommen. Ein größerer radiologischer Unfall ist nur im Falle einer Kernschmelze möglich. Anderenfalls können höchstens relativ kleine Mengen radioaktiver Substanzen in die Umgebung entweichen.

[Bearbeiten] Kühlmittelverlust

Ein Fehler, der jedenfalls prinzipiell zur Beeinträchtigung der Nachwärmeabfuhr und damit zu einer Kernschmelze führen kann, ist ein Wasserverlust durch Austreten von Wasser aus einem Leck, z. B. durch Bruch einer Rohrleitung. Durch ausreichende Nachspeisung muss ein solches Leck sicher beherrscht werden. In der Frühzeit der Kernenergienutzung ging man davon aus, dass das schlimmste zu berücksichtigende Ereignis zur Gefährdung der Nachwärmeabfuhr der doppelendige Bruch der größten Rohrleitung sei. Ein solches Leck musste unterstellt werden (größter anzunehmender Unfall, GAU) und dagegen musste das Kernkraftwerk ausgelegt werden (Auslegungsstörfall). Ein GAU war also definitionsgemäß ein Ereignis, daß noch beherrscht werden sollte, d.h. bei dessen Eintreten schwerwiegende Auswirkungen auf die Umgebung durch die Auslegung der Anlage vermieden werden.

[Bearbeiten] Auslegungsstörfälle und Auslegungsprinzipien für Sicherheitseinrichtungen

Wenn dieser GAU beherrscht wird, so meinte man damals, würden auch alle anderen Störfälle sicher beherrscht werden. Heute weiß man, dass das nicht immer so sein muss und an Stelle des einen Auslegungsstörfalles ist ein ganzes Spektrum von Auslegungsstörfällen getreten, deren Beherrschung einzeln nachgewiesen werden muss. In Deutschland sind die Anforderungen in den sgn. Sicherheitskriterien und Störfall-Leitlinien detailliert geregelt. Dabei ist auch festgelegt, dass die Beherrschung stets auch dann gewährleistet sein muss, wenn eine Störfallbeherrschungsteileinrichtung durch einen zusätzlichen, vom auslösenden Störereignis unabhängigen (technischen oder menschlichen) Fehler funktionsunfähig sein sollte (Einzelfehlerkriterium) und wenn eine zweite Störfallbeherrschungsteileinrichtung gerade in Reparatur sein sollte (Reparaturkriterium). Diese beiden Kriterien stellen eine Präzisierung des Redundanzprinzips dar, demzufolge stets mehr Einrichtungen zur Störfallbeherrschung vorhanden sein müssen, als eigentlich benötigt werden. Damit sollen Funktionsausfälle abgedeckt werden. Außerdem müssen die Störfallbeherrschungseinrichtungen von den Betriebseinrichtungen getrennt und untereinander entmascht sein, d. h. sie müssen voneinander unabhängig (ohne gemeinsame Komponenten) und räumlich oder baulich getrennt angeordnet sein. Und, um mögliche Ausfälle aus gleicher Ursache zu vermeiden, müssen sie möglichst diversitär ausgeführt sein (Diversitätsprinzip). Zusammen mit anderen Anforderungen, wie Fail Safe Prinzip (ein Fehler wirkt sich möglichst in die sichere Richtung aus) und Automatisierung (Vermeiden von Personalhandlungen unter Zeitdruck), wird insgesamt ein sehr hohes Maß an Zuverlässigkeit der Störfallbeherrschung erreicht.

[Bearbeiten] Einwirkungen von außen

Natürlich bezieht sich Sicherheit nicht nur auf Ereignisse, die innerhalb der Anlage verursacht werden, sondern auch auf mögliche Einwirkungen von außen. Moderne deutsche Kernkraftwerke sind z. B. unter anderem gegen Erdbeben, Explosionsdruckwellen, Hochwasser, Flugzeugabsturz und terroristische Angriffe geschützt. Die Auslegungsanforderungen werden grundsätzlich standortspezifisch festgelegt und ihre Einhaltung wird in den Genehmigungsverfahren nachgewiesen. Speziell zum Flugzeugabsturz haben sich die Auslegungsanforderungen entsprechend der Weiterentwicklung der Flugzeuge im Laufe der Jahrzehnte verschärft. Bei älteren Kernkraftwerken wurden flugzeugabsturzgesicherte Notsteuerstellen (auch Notstandssysteme genannt) nachgerüstet, von denen die Anlage im Falle einer Zerstörung der Warte sicher abgefahren werden können. Nach dem Terroranschlag auf das World Trade Center wurde die Frage gestellt, ob die vorhandene Auslegung auch ausreichend gegen absichtlich zum Absturz gebrachte Großraumflugzeuge ist. Bei den neuen Anlagen, die gegen den Absturz schnell fliegender Militärmaschinen ausgelegt sind, wurde dies bestätigt. Auch bei älteren Anlagen (einschließlich der nachgerüsteten Notsteuerstellen) sind schwerwiegende Beschädigungen sehr unwahrscheinlich. Zur Zeit wird überlegt, ob die Sicherheit durch Vernebelungsanlagen, die bei Gefahr eines gezielten Flugzeugabsturzes aktiviert werden, weiter verbessert werden kann.

[Bearbeiten] Schutzzielkonzept

Für ein Kernkraftwerk lassen sich folgende drei Schutzziele definieren:

• Das oberste Schutzziel ist der Einschluss der Radioaktivität. Große radiologische Unfälle sind nur bei hinreichender Verletzung dieses Schutzzieles möglich. Solange die erste Barriere (Kristallgitter des Brennstoffes) erhalten bleibt, wird der weit überwiegende Teil der Radioaktivität sicher zurückgehalten und das Schutzziel ist ausreichend erfüllt. Durch das Vorhandensein der anderen Barrieren bedeutet eine Zerstörung des Kristallgitters aber noch nicht zwangsweise die Freisetzung großer Radioaktivitätsmengen.

• Eine Zerstörung des Kristallgitters in größerem Umfang ist technisch nur durch Schmelzen des Reaktorkerns (oder eines erheblichen Teils davon) möglich. Solange die Brennelemente ausreichend gekühlt werden, ist ein Schmelzen nicht möglich. Daraus ergibt sich das zweite Schutzziel: Kühlung der Brennelemente.

• Da die sicherheitstechnischen Kühlsysteme nur für die Abfuhr der Nachwärme (und nicht für den Leistungsbetrieb) ausgelegt sind, muss der Reaktor immer sicher abschaltbar sein. Daraus lässt sich als drittes Schutzziel ableiten: Kontrolle der Reaktivität (gemeint ist die Unterbrechung der Kettenreaktion von Kernspaltungen).

Werden diese drei Schutzziele hinreichend eingehalten, sind große radiologische Unfälle nicht möglich. Umgekehrt bedeutet ihre Verletzung noch nicht zwangsweise einen Unfall, doch ist ein solcher dann nicht mehr zuverlässig ausschließbar. Die Bedeutung dieser Schutzziele wurde insbesondere nach dem Störfall im Kernkraftwerk Harrisburg erkannt. Seitdem werden in westlichen Kernkraftwerken diese Schutzziele unabhängig vom vorliegenden Anlagenzustand und vom auslösenden Ereignis einer Störung gezielt überwacht. Bei Gefährdung der Schutzziele werden Gegenmaßnahmen eingeleitet. Dadurch werden auch solche Fälle abgedeckt, bei denen die Betriebsmannschaft die vorliegende Störung nicht erkennt oder falsch einschätzt.

[Bearbeiten] Das Restrisiko

Das beschriebene Sicherheitskonzept ermöglicht ein sehr hohes Ausmaß an Sicherheit sowohl gegen technisches Versagen als auch gegen menschliche Fehler. Aber Null im mathematischen Sinne kann das Risiko nie werden, da ein gleichzeitiges Versagen noch so vieler Sicherheitsvorkehrungen niemals ganz ausgeschlossen werden kann. Das bei einer gewählten Auslegung verbleibende Risiko bezeichnet man als „Restrisiko“. Bei modernen westlichen Kernkraftwerken ist es sehr viel kleiner, als zahlreiche andere Risiken des täglichen Lebens. Diese Risikobewertung wird in der Öffentlichkeit häufig anders vorgenommen, wird aber von den meisten Fachleuten getragen. Hier weicht die überwiegende wissenschaftliche Ansicht deutlich von der veröffentlichten Meinung ab.

[Bearbeiten] Betriebliche Störungen

Kernkraftwerke sind komplexe und große Anlagen. Ein modernes Kernkraftwerk z. B. versorgt etwa eine Million Menschen mit dem benötigten Strom. Wie in jeder Technik, ist es auch hier unvermeidbar, dass beim Betrieb immer wieder Störungen auftreten. Anfänglich waren es noch sehr viele Störungen, durch den Lerneffekt wurden es dann immer weniger, aber auch heute noch treten sie auf und auch in der Zukunft werden sie unvermeidbar sein. Aus ihrem Auftreten alleine kann man noch nichts über die Sicherheit einer Anlage aussagen. Das kann man erst aus einer sorgfältigen Analyse der Störungen und ihrer Begleitumstände. Diese sorgfältige Analyse zu betreiben, ist ein wesentlicher Teil der laufenden Überwachung und Verbesserung der Sicherheit. Die Kernenergie unterscheidet sich diesbezüglich grundsätzlich nicht von anderen risikobehafteten Techniken.

[Bearbeiten] Harrisburg und Tschernobyl

In der Geschichte der Kernenergienutzung ragen die beiden Ereignisse von Three Mile Island (Harrisburg) und Tschernobyl heraus.

Dabei hat Three Mile Island die Effektivität des Konzeptes mit gestaffelten und voneinander unabhängigen Barrieren und mehrfachen Einrichtungen zum Schutz dieser Barrieren bestätigt: Das Ereignis war so nicht vorgedacht gewesen. Durch eine Verkettung mehrerer unglücklicher Umstände wurden die ersten vier Barrieren zerstört. Die restliche beiden (Sicherheitsbehälter und Stahlbetonhülle) aber hielten Stand und verhinderten schwerwiegende Auswirkungen nach außen. Radioaktivität ist trotzdem in die Umgebung gelangt: Eine Rohrleitung des Wasserreinigungssystems aus dem Sicherheitsbehälter heraus ist – vom Betriebspersonal zunächst unbemerkt - von einer Automatik geöffnet worden. Außerdem hat die Abgasbehandlung des Hilfsanlagengebäudes versagt und in ihr sind (störfallbedingt) Leckagen aufgetreten. Seitdem werden solche Rohrleitungen nicht mehr automatisch aufgesteuert und die Abgasbehandlungsanlagen wurden verbessert.

Tschernobyl verlief nicht nur ganz anders, sondern in Tschernobyl waren auch die Voraussetzungen ganz andere:

• Die Konstruktion des Reaktors (Typ RBMK) wies gravierende Mängel auf.

• Die Barrieren gegen den Austritt radioaktiver Substanzen waren viel weniger und qualitativ schlechter, insbesondere aber fehlten die beiden letztgenannten Barrieren Sicherheitsbehälter und Stahlbetonhülle praktisch vollkommen

• Es gab viel weniger Sicherheitseinrichtungen. Die Meisten waren zudem abgeschaltet/überbrückt um ein gefährliches Experiment zu ermöglichen, das schlussendlich zur Katastrophe geführt hat.

• Die Betriebsvorschriften wurden vom Betriebspersonal weder verstanden noch eingehalten.

• Der Reaktor wurde zur Zeit des Störfalles für einen Versuch außerhalb seiner Spezifikationen betrieben.

Ein Unfall wie in Tschernobyl kann in einem westlichen Kernkraftwerk sicher ausgeschlossen werden. Was in einem westlichen Kernkraftwerk passieren kann, wird durch dessen Konstruktion und die übrigen Randbedingungen bestimmt, nicht durch das Ereignis von Tschernobyl.

[Bearbeiten] Sicherheitstechnische Weiterentwicklung

Die Sicherheit von Kernkraftwerken ist keine Naturkonstante. Sie ist abhängig davon, wie ein Kernkraftwerk konstruiert, gebaut und betrieben wird. Weltweit ist die Sicherheit von Kernkraftwerken seit ihrer Einführung 1956 durch Erfahrungszuwachs und Nachrüstungen deutlich gestiegen und diese Entwicklung hält noch weiter an. Seit 1994 wird in Deutschland darüber hinaus durch das geänderte Atomgesetz auch gefordert, dass bei neu zu errichtenden Kernkraftwerken auch über die Auslegung hinausgehende Störfälle (Kernschmelzunfälle) soweit eingedämmt werden müssen, dass sich ihre Auswirkungen im Wesentlichen auf das Kraftwerksgelände beschränken und in der Umgebung keine gravierenden Maßnahmen zur Risikobegrenzung (Evakuierungen) notwendig sind. Die neue deutsch/französische Gemeinschaftsentwicklung „European Pressurized Water Reactor“ (EPR) erfüllt diese Bedingungen. Ein solches Kraftwerk wird zur Zeit in Finnland gebaut und in Frankreich ist ein Bau beschlossen worden.

Absolute Sicherheit im mathematischen Sinn kann aber grundsätzlich nirgends, also auch nicht bei Kernkraftwerken erreicht werden. Es kann nur das Risiko als Produkt aus Wahrscheinlichkeit eines Unfalls und Folgen im Eintrittsfalle immer weiter gesenkt werden. Das ist bisher geschehen und wird auch weiter geschehen. Dabei wird sowohl die Sicherheit vorhandener Kernkraftwerke laufend verbessert, als auch werden verbesserte Konstruktionen für neue Kernkraftwerke entwickelt.

Ein Ende im laufenden Verbesserungsprozess ist nicht abzusehen. Seit Mai 2001 arbeiten mittlerweile 11 Länder in einem breit angelegten Gemeinschaftsprojekt unter Führung der USA im Rahmen des "Generation IV International Forum for Advanced Nuclear Technology (GIF)“ an weiterentwickelten Reaktorkonzepten. Mit erheblichem Aufwand werden insgesamt 6 verschiedene Reaktorkonzepte mit dem Ziel einer deutlich weiter erhöhten Sicherheit und verbesserten Wirtschaftlichkeit bei gleichzeitig verbesserter Brennstoffausnutzung und erhöhter Proliferationssicherheit verfolgt, außerdem werden die Möglichkeiten der nuklearen Wasserstofferzeugung untersucht. Zwei dieser Konzepte sollen 2015 und die restlichen 4 sollen 2020 die Baureife für Demonstrationsanlagen erreichen. Ein kommerzieller Einsatz könnte dann vielleicht 10 Jahre später erfolgen. Aber auch bei einem Erfolg dieses Programms wird das Risiko sich nicht auf Null drücken lassen. Die Risiken werden zwar (voraussichtlich) nochmals kleiner sein, aber die Notwendigkeit der Risikoabwägung wird auch dann noch bestehen.

[Bearbeiten] Nachrüstungsmaßnahmen deutscher KKW gegen auslegungsüberschreitende Ereignisse

Neben den oben genannten Weiterentwicklungen für KKW-Neubauten wurden auch die bestehenden Anlagen sicherheitstechnisch nachgerüstet, um auch auslegungsüberschreitende Ereignisse beherrschen zu können. Zu den prominentesten Maßnahmen zählen – neben diversen anderen, kleineren Maßnahmen - insbesondere

[Bearbeiten] Inertisierung des Sicherheitsbehälters bei SWR

hier wird während des Reaktorbetriebs der Sicherheitsbehälter mit reinem Stickstoff geflutet, um bei einem Unfall mit Wasserstoff-Freisetzung eine Knallgasexplosion zu verhindern (Sauerstoffmangel).

[Bearbeiten] Gefilterte Druckentlastung des Containments bei DWR

dabei kann im Fall eines Druckanstiegs im Containment (in diesem Fall das Reaktorgebäude) der Druck über einen Filter abgelassen werden, um ein Übersteigen des Auslegungsdrucks (und damit ein Bersten) zu vermeiden. Durch die Filter wird die Freisetzung von Radioaktivität in einem solchen Fall minimiert. Umgangssprachlich wird die hierfür verwendete Vorrichtung nach dem seinerzeit amtierenden Bundesumweltminister Walter Wallmann als Wallmann-Ventil bezeichnet.

[Bearbeiten] Töpfer-Kerzen

darunter versteht man den Einbau von katalytischen Rekombinatoren zum Wasserstoffabbau. Diese sollen das Wasserstoffgas noch vor dem Erreichen der Explosionsgrenze durch Rekombination (katalytisches „Verbrennen“ von Wasserstoff und Sauerstoff zu Wasser ohne Funken oder Flamme) abbauen. Alternativ wurden auch Systeme zum Zünden des Wasserstoffs unterhalb der Explosionsgrenze entwickelt, was ebenfalls zu einem „sanften“ Abbau des Wasserstoff (Deflagration) führt.Das System wird umgangssprachlich nach dem früheren Umweltminister Klaus Töpfer als Töpfer-Kerze bezeichnet.

[Bearbeiten] Statistische Daten

Gemessene Statistiken zur Sicherheit von KKWs sind nur teilweise vorhanden, nämlich für kleinere Unfälle, die in der Vergangenheit tatsächlich eingetreten sind. Unfälle mit Radioaktivitätsaustritt und großen Todeszahlen kamen dagegen in der westlichen Hemisphäre in der Vergangenheit nicht vor. So erscheint die Anzahl der Todesopfer pro GWJahr in einer Statistik des PSI [1] durch KKWs in OECD-Staaten als 0. Um repräsentative statistische Aussagen über einen gewissen Unfalltyp (etwa GAU) zu machen, müsste jedoch dieser Unfalltyp mindestens einmal eingetreten sein.

Die Eintrittswahrscheinlichkeit eines Unfalls einer bestimmten Größe lässt sich daher nicht aus der Vergangenheit ablesen. Stattdessen wird diese in probabilistischen Sicherheitsanalysen (zumindest als Obergrenze) berechnet:

[Bearbeiten] Probabilistische Sicherheitsanalysen

In so genannten Probabilistischen Sicherheitsanalysen (PSA) wird versucht, das Risiko von Kernkraftwerken zu quantifizieren. Dabei wird mit sehr großem Aufwand ermittelt, mit welcher Zuverlässigkeit sich angenommene Störungen („auslösende Ereignisse“) mit den vorhandenen Sicherheitseinrichtungen „planmäßig beherrschen“ lassen. Für Absolutaussagen zur Sicherheit insgesamt sind die Ergebnisse wenig geeignet, da ein Überschreiten des „planmäßigen Beherrschens“ noch nichts über die dann eintretenden Folgen aussagt. Durch vorhandene Auslegungsreserven (unter anderem entsprechend den Sicherheitszuschlägen in der konventionellen Technik) werden bei geringfügigen Überschreitungen meist gar keine Folgen auftreten, doch wird dieser Bereich in den üblichen PSA nicht untersucht, er kann daher auch nicht quantifiziert werden. Eine PSA liefert insofern stets nur eine obere Grenze für das verbleibende Risiko, beziffert aber nicht das Risiko selbst. Das muss bei einer Bewertung der Ergebnisse stets mit bedacht werden. Wofür sich PSA aber sehr gut bewährt haben, sind vergleichende Sicherheitsbetrachtungen im Sinne vom Erkennen von möglichen Schwachstellen und Bewerten von geplanten Änderungen. Dadurch haben PSA zu vielen kleinen Verbesserungsschritten beigetragen und sind heute ein unverzichtbares Instrument der Weiterentwicklung der Sicherheit.

[Bearbeiten] Statistischer Vergleich zu anderen Energiequellen

Die Zahl von unfallbedingten Todesfällen pro erzeugter Energiemenge ist für Kernkraft deutlich geringer als für andere Arten der Elektrizitätserzeugung. Eine Beispielrechnung für das schweizerische Kernkraftwerk Mühleberg ergibt 0,02 Todesfälle pro GWJahr. Diese Zahl schließt sowohl unmittelbare als auch latente Todesfälle ein. Zum Vergleich: die unmittelbaren Todesfälle durch andere Energiequellen waren 1969-1996: 0,1 Todesfälle pro GWJahr für Gasturbinenkraftwerke, 0,3 für Kohlekraftwerke und 0,9 für Wasserkraft. (Quelle der Zahlen: Hirschberg et al, "Severe Accidents in the Energy Sector", Paul Scherrer Institut, 1998. S. 241f)

Würde der Bedarf an elektrischer Energie in Deutschland (derzeit etwa 66 GWJahre pro Jahr) also allein durch Kernkraftwerke gedeckt, wären im Langzeitdurchschnitt 1,3 Todesfälle pro Jahr zu beklagen. Würde er andererseits allein durch Gasturbinenkraftwerke gedeckt, wären es 6,6 Todesfälle pro Jahr. Für erneuerbare Energiequellen wäre diese Zahl aufgrund ihrer arbeitsintensiven und dezentralen Struktur noch höher.

Allerdings werden unterschiedliche Unfälle von der Öffentlichkeit unterschiedlich wahrgenommen: singuläre Ereignissen ziehen mediales Interesse auf sich. Ein Flugzeugabsturz mit 200 Todesfällen, was in Deutschland seltener als einmal pro Jahr vorkommt, erzeugt weit mehr Schlagzeilen als die jährlich etwa 8000 Toten im Straßenverkehr, da letztere in vielen kleinen Unfällen umkommen.

In diese Richtung gehen die Argumente der KKW-Kritiker. Es komme daher nicht allein auf die Anzahl der Todesfälle pro GWh an. Die Todesfälle seien unterschiedlich zu bewerten, je nach Kontext, in dem sie entstehen. 1000 Einzelfälle mit je einem Todesfall seien weniger schlimm als ein einziger Unfall mit 1000 Todesfällen. In diesem Sinne seien 1000 Dachdecker, die bei der Installation von Photovoltaikanlagen einzeln umkommen, anders zu bewerten als 100 Todesfälle, die aufgrund eines einzelnen radioaktiven Störfalls eines Kernkraftwerkes umkommen.

Kernkraftbefürworter halten dem entgegen, dass die maßgebende Zahl allein der jährliche Bedarf an elektrischer Energie in Deutschland sei. Diese Energie solle auf eine Weise hergestellt werden, die insgesamt möglichst wenige Todesfälle verursacht, egal ob in wenigen großen oder vielen kleinen Unfällen.

[Bearbeiten] Die Wahrscheinlichkeit eines Atomunfalls

Nach der Deutschen Risikostudie der Gesellschaft für Reaktorsicherheit (GRS) von 1989 ist für eines der deutschen Kernkraftwerke alle 33.000 Betriebsjahre mit einem schweren Unfall zu rechnen. Werden 17 laufende Kernkraftwerke in Deutschland (Stand 2005) und 30 Betriebsjahre berücksichtigt, liegt die Wahrscheinlichkeit aus dieser Studie bei knapp 2 Prozent.

Allerdings bleiben in dieser Studie mehrere Aspekte unberücksichtigt. Sabotagemaßnahmen oder panikbedingte Fehlentscheidungen des Personals wie in Harrisburg fließen nicht in die Berechnungen ein. Auch können unerwartete, da bislang unbekannte physikalische Phänomene nicht berücksichtigt werden. Hierzu zählt etwa die im Sicherheitskonzept seinerzeit nicht vorhergesehene Wasserstoffbildung in Siedewasserreaktoren durch sog. Radiolyse, die bei der Reaktorkatastrophe von Harrisburg eine Rolle spielte.

Die GRS-Studie von 1989 wurde von Atomexperten des Darmstädter Öko-Instituts dahingehend kritisiert, dass die Wahrscheinlichkeit eines schweren Unfalls hier als zu niedrig eingestuft wird.

Andere Studien, insbesondere neuere der IAEA, kommen wiederum zu niedrigeren Unfallswahrscheinlichkeiten, da nachgerüstete Kernkraftwerke und erst recht neue Modelle über weiter gehende Sicherheitssysteme verfügen. So wird das Risiko eines Unfalls mit Reaktorschadens für den EPR mit 1 pro 1.000.000 Betriebsjahre angegeben (Quelle: Bundesamt für Energie, Bern).