Copy, paste…?

Eine Reihe dieser Konzepte sehen eine sogenannte integrierte Bauweise vor, bei der sich alle primären Systemkomponenten, unter anderem Reaktordruckbehälter und Dampferzeuger, in einem einzigen Sicherheitsbehälter (Containment) befinden. Viele dieser Konzepte nutzen zudem passive Sicherheitssysteme, für deren Aktivierung und Betrieb weder elektrische Energie noch aktive Handlungen des Betriebspersonals erforderlich sind.

Auch wenn ein Großteil der aktuell diskutierten SMR-Konzepte derzeit noch reine Konzeptionsstudien sind (einen Überblick über den Umsetzungsstand bietet etwa das „NEA Dashboard“), sind vereinzelt auch schon SMR in Betrieb (z. B. in Russland und China). Darüber hinaus haben konkrete Planungsphasen einiger Hersteller begonnen. So durchlaufen gegenwärtig die Reaktorkonzepte von Rolls-Royce, Holtec und GE Hitachi in Großbritannien ein sogenanntes Generic Design Assessment, weitere sollen folgen. In Kanada wird bereits ein SMR vom Typ BWRX-300 der Firma GE-Hitachi gebaut.

Doch wie lassen sich solch neuartige SMR-Konzepte sicherheitstechnisch bewerten? Können Methoden zur Bewertung sicherheitsrelevanter Aspekte, die bislang für herkömmliche Leistungsreaktoren genutzt werden, zumindest in Teilen auch bei SMR Anwendung finden? Inwieweit müssen die Bewertungsmethoden an die veränderten Gegebenheiten angepasst oder weiterentwickelt werden? Fachleute der GRS haben sich in einem Forschungsvorhaben mit diesen Fragen auseinandergesetzt.

Ausgangslage: Sicherheitsanalysen bei „großen“ Kernkraftwerken 

Für herkömmliche Kernkraftwerke, wie sie heute im Einsatz sind, gibt es neben kontinuierlichen Überprüfungen während des Betriebs zahlreiche übergeordnete Verfahren, die zur Bewertung der Sicherheit herangezogen werden – auch und insbesondere im Zuge der erstmaligen Genehmigung von Anlagenkonzepten. Neben den jeweiligen Regelwerken auf nationaler Ebene gibt es im internationalen Kontext u. a. die Leitlinien der Internationalen Atomenergie-Organisation oder Regularien, die die Staaten im Rahmen ihrer Zusammenarbeit bei der Kernenergieagentur der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung erarbeiten. Für die zuletzt in Deutschland betriebenen Anlagen ist die wohl bekannteste Anforderung eine sogenannte Periodische Sicherheitsüberprüfung, deren Durchführung von der jeweiligen Aufsichtsbehörde alle zehn Jahre verpflichtend war. 

Welche Arten von Sicherheitsanalysen werden in der Kerntechnik eingesetzt?

Mit Blick auf die Genehmigung und den Betrieb kerntechnischer Anlagen sind zwei Arten von Sicherheitsanalysen für die Bewertung der Anlagensicherheit von Bedeutung: deterministische und probabilistische Sicherheitsanalysen. Während eine deterministische Analyse den Nachweis der Einhaltung der nuklearen Schutzziele erbringen soll, wie z. B. die Verhinderung einer unzulässigen Freisetzung radioaktiver Stoffe, liefert die probabilistische Sicherheitsanalyse (PSA) eine Art Risikobilanz über viele Szenarien hinweg – von häufiger auftretenden Szenarien mit geringem Schadenspotenzial bis hin zu sehr seltenen Szenarien mit einem entsprechend hohen Schadenspotenzial. Die PSA dient damit u. a. als Grundlage, um die Ausgewogenheit des Anlagenkonzepts bewerten zu können und Prioritäten für mögliche Nachrüstungen zu setzen. Beide Ansätze zusammen erhöhen die Aussagesicherheit und Nachvollziehbarkeit von Sicherheitsentscheidungen bei der Nutzung von Kernkraftwerken. 

In den meisten Ländern, die kerntechnische Anlagen betreiben, werden mittlerweile zusätzlich zu rein deterministischen Bewertungen auch PSA seitens der jeweiligen Aufsichtsbehörden für die Bewertung der Sicherheit solcher Anlagen gefordert – dies gilt auch für Anlagen im in der Auslegungsphase. 

Herausforderungen bei der Sicherheitsbetrachtung von SMR

SMR-Konzepte unterscheiden sich in mehreren sicherheitsrelevanten Aspekten von heute betriebenen Großreaktoren. Entsprechend lässt sich die Methodik einer PSA nicht 1:1 vom „großen“ Kernkraftwerk auf SMR übertragen. 

So können passiv ausgelegte Sicherheitssysteme den Naturumlauf zur Wärmeabfuhr nutzen. Der Naturumlauf beschreibt einen selbsttätigen Umlauf von Wasser und Dampf beziehungsweise Kühlmittel, der allein aufgrund von Dichteunterschieden entsteht. Dadurch kann auf Pumpen oder andere aktive Antriebe verzichtet werden. Solche passiven Systeme beruhen auf physikalischen Prinzipien wie Wärmeübertragung, Auftrieb, Schwerkraft und natürlichen Druckdifferenzen. Für die Sicherheitsbewertung eines solchen SMR mittels einer PSA bedeutet das: Man muss das funktionale Versagen des Naturumlaufs als eigene Ausfallart modellieren und quantifizieren. 

Mehrere identische SMR-Module an einem Standort nutzen unter Umständen gemeinsame bauliche Anlagenteile (Unterbringung in einem gemeinsamen Gebäude), Systeme und Komponenten, ebenso wie gemeinsames Personal (Wartenpersonal, betriebliche Feuerwehr). PSA-Modelle müssen deshalb Abhängigkeiten zwischen gemeinsam von mehreren Reaktormodulen genutzten baulichen Anlagen, Systemen und Komponenten, ebenso wie mögliche Funktionsausfälle aufgrund einer gemeinsamen Ursache (als gemeinsam verursachte Ausfälle (GVA) bezeichnet) berücksichtigen – etwa bei einem Ausfall der externen Stromversorgung, bei Brandereignissen in der Anlage oder im Fall gemeinsam genutzter Lüftungseinrichtungen. 

Methodisch neu gedacht – GRS-Fachleute entwickeln einen Ansatz für PSA der Stufe 1 für Standorte mit SMR

In einem Forschungsvorhaben haben Fachleute der GRS untersucht, wie bestehende Methoden der PSA weiterentwickelt werden können, um sie auf zukünftige SMR-Konzepte anwenden zu können. Zentrales Ziel des Vorhabens war es, die methodischen Grundlagen für eine PSA der Stufe 1 für SMR zu erarbeiten. 

Ausgangspunkt für die Überlegungen bildeten neben den international für PSA geltenden Anforderungen insbesondere auch zahlreiche Dokumente zu den geplanten technischen Umsetzungen von Konzepten für unterschiedliche Arten von SMRs. 

Die Fachleute gingen dabei entlang folgender Fragen vor: 

1. Welche auslösenden Ereignisse können möglicherweise auftreten? 
   Für ein ausgewähltes SMR-Konzept wurden mögliche auslösende Ereignisse identifiziert und deren Eintrittshäufigkeiten quantifiziert, u. a. anhand international veröffentlichter Ereignislisten, mittels derer mögliche anlageninterne Störungen des Reaktorbetriebs sowie Ereignisse ermittelt und deren Eintrittshäufigkeiten bestimmt wurden. Als “auslösend” werden solche Ereignisse definiert, die als Startpunkt einer Störung identifiziert werden. Hierzu zählen neben anlageninternen Ereignissen, wie beispielsweise einem technischen Defekt, auch Einwirkungen von innen, wie Brände, Explosionen oder der Absturz eines Brennelementes, und solche von außen; zu letzteren zählen beispielsweise Erdbeben, Starkwindereignisse, Überflutungen des Anlagengeländes etc.
    
2. Welche Unfallabläufe sind möglich? 
   Für jedes auslösende Ereignis wurden potenzielle Unfallabläufe identifiziert und mittels sogenannter Ereignisablaufanalysen bewertet.
    
3. Wie zuverlässig reagiert das System bei einem unterstellten Unfall? 
   Dabei wird quantifiziert, inwieweit betriebliche und sicherheitstechnisch relevante Systeme – darunter beispielsweise Nachwärmeabfuhr- und Notkühlsysteme – bei den unterstellten Unfallabläufen verfügbar waren. 

Basierend auf diesen Werten wurden Wahrscheinlichkeiten für Kernschadenshäufigkeiten für ein einzelnes Reaktormodul ermittelt. Unter der Kernschadenshäufigkeit wird dabei die statistisch ermittelte Häufigkeit verstanden, mit der ein Kernreaktor im Mittel pro Jahr einen Zustand erreicht, bei dem der Reaktorkern so stark beschädigt wird, dass seine sicherheitstechnisch erforderlichen Funktionen versagen (z. B. durch Überhitzen der Brennstäbe). Ein Ergebnis von 1 × 10⁻⁶ pro Jahr bedeutet in diesem Zusammenhang, dass ein Kernschaden statistisch einmal in einer Million Betriebsjahre auftritt. 

Darüber hinaus haben die Fachleute mittels der Methodik der PSA der Stufe 1 unterschiedliche unzulässige Endzustände (z. B. ein Versagen der Hüllrohre) als Grundlage für eine darauf aufbauende PSA der Stufe 2 ermittelt. 

Mehrere SMR-Module am gleichen Standort – zusätzliche Fragen

Die Fachleute haben sich darüber hinaus auch mit Fragestellungen befasst, die sich aus dem Betrieb mehrerer Module desselben SMR-Typs an einem Standort ergeben. Ausgehend von bis zu zwölf gemeinsam betriebenen und teils auch miteinander verbundenen Modulen wurden mit Blick auf die Methodik folgende Anforderungen zusätzlich berücksichtigt:

1. Bewertung möglicher Ausfälle aus einer gemeinsamen Ursache in mehreren Reaktormodulen.
2. Berücksichtigung gemeinsamer auslösender Ereignisse. 
3. Analyse von Systemen und Komponenten, die von mehreren Modulen gemeinsam genutzt werden.
4. Entwicklung eines Fehlermodells für eine Betriebsmannschaft, die für alle Reaktormodule gleichzeitig verantwortlich ist.

Praxistauglichkeit der SMR-PSA

Ob die auf diese Weise für SMR angepasste und weiterentwickelte PSA-Methodik in der Praxis auch anwendbar ist, wurde anhand eines repräsentativen Anlagenkonzeptes überprüft – zunächst für ein einzelnes Reaktormodul, danach für alle zwölf Module.

Für den Leistungsbetrieb eines einzelnen Moduls zeigten sich vor allem das funktionale Versagen des Naturumlaufes im Primärkühlkreis und der Ausfall der Stromversorgung nach einem anlageninternen Brand als statistisch häufigste Ursachen für einen möglichen Kernschaden – sofern sicherheitstechnische Systeme nicht wie vorgesehen funktionieren.

Ist von mehreren, gleichzeitig betroffenen Modulen am selben Standort auszugehen, so zeigen die Ereignisablaufanalysen und Fehlerbäume, dass komplexe Szenarien entstehen können. Bei Fehlerbäumen handelt es sich vereinfacht gesagt um Diagramme, mit denen Fachleute sichtbar machen, wie es zu einem bestimmten Ereignis kommen kann. Dabei wird in der entsprechenden Baumstruktur von oben nach unten dargestellt, welche Kombinationen (UND / ODER) von technischen Fehlern oder äußeren Einflüssen dieses Ereignis verursachen können. Ein besonders herausfordernder Fall tritt demnach auf, wenn beispielsweise nach einem Brand innerhalb der Anlage die automatische Auslösung der Sicherheitssysteme in sechs Modulen gleichzeitig ausfällt und alle Systeme zur Unfallbeherrschung manuell aktiviert werden müssen.

Fazit:

Damit ist die Methodik in der Lage, einen wesentlichen Teil der Risikobewertungen künftiger SMR-Standorte abzudecken und kann damit sowohl Genehmigungsbehörden und Gutachtern als auch Betreibern als wertvolles Werkzeug dienen, wenn es um den sicheren Betrieb solcher Anlagen geht.