... Es gilt das gesprochene Wort.

Transkript

1 Bericht des Bundesministers für Umwelt, Naturschutz und Reaktorsicherheit, Sigmar Gabriel, zu Ereignissen und Überprüfungen in deutschen Kernkraftwerken Unterrichtung des Ausschusses für Umwelt, Naturschutz und Reaktorsicherheit des Deutschen Bundestages Sondersitzung, 01. August 2007 Es gilt das gesprochene Wort. Einleitung Die von mir heute vorgetragenen Sachverhaltsdarstellungen der Ereignisse in den Atomkraftwerken Krümmel, Brunsbüttel und Unterweser beruhen auf Auswertungen der Berichte des Betreibers und der Landesatomaufsichtsbehörden Schleswig- Holstein (Krümmel und Brunsbüttel) und Niedersachsen (Unterweser) sowie der Teilnahme von BMU Mitarbeitern an aufsichtlichen Gesprächen in Kiel und Hamburg am 9.7. und sowie verschiedenen Gesprächen zwischen der Kollegin Trauernicht und mir. Atomkraftwerk Krümmel Es handelt sich um eine vorläufige und nicht auf alle Details eingehende Sachverhaltsdarstellung, weil verschiedene Einzelereignisse noch nicht abschließend geklärt bzw. die Protokolle, die während des Störfallablaufes vom Rechner- und Überwachungssystem der Anlage erzeugt wurden, noch nicht bis in alle Einzelheiten ausgewertet werden konnten. Zur besseren Verständlichkeit der technisch relativ komplizierten Vorgänge habe ich mir erlaubt, Ihnen ein wirklich sehr vereinfachtes Übersichtsschema des Kernkraftwerkes Krümmel verteilen zu lassen. Durch einen Kurzschluss, dessen Ursache wir noch nicht kennen, kam es am gegen 15:00 Uhr zu einem Brand in einem der beiden Maschinentransfor-...

2 - 2 - matoren des Atomkraftwerkes Krümmel. Die beiden Maschinentransformatoren haben die Aufgabe, den vom Generator des Kraftwerkes erzeugten Strom mit einer Spannung von 27 Kilovolt auf die Netzspannung von 380 Kilovolt zu erhöhen. Die Maschinentransformatoren befinden sich außerhalb des Reaktorgebäudes und des Maschinengebäudes, also außerhalb des Kontrollbereiches (Definition entsprechend der Strahlenschutzverordnung). Vereinfacht gesagt befinden sich im Kontrollbereich neben Hilfsanlagen die im Schema dargestellten Funktionseinheiten. Zum Zeitpunkt des Kurzschlusses befand sich die Anlage im vollen Leistungsbetrieb. Durch einen so genannten Differentialschutz - das ist eine Einrichtung, die den Strom am Eingang und Ausgang des Transformators misst und aus der Differenz bestimmte Funktionen ableitet - wurde der betroffene Transformator vom Generator einerseits und vom 380 Kilovolt Netz andererseits getrennt. Auslegungsgemäß erfolgte eine Turbinenschnellabschaltung, d.h. der vom Atomreaktor erzeugte Frischdampf wurde nicht mehr der Turbine zugeleitet, sondern über eine Umleitstation direkt dem Kondensator zugeführt, um die Wärme an die Umgebung abzugeben. Ab diesem Zeitpunkt reagierte die Anlage nicht mehr so, wie das für den Ausfall eines Transformators vorgesehen ist. Hätte die Anlage wie vorgesehen reagiert, so hätte die Schichtmannschaft die Möglichkeit gehabt, den Kernreaktor schonend mit den dafür vorgesehenen Prozeduren kontrolliert abzufahren und in einen sicheren Zustand zu bringen. Es kam aber - bis jetzt nicht erklärbar - zum Trennen auch des zweiten Transformators vom Netz, so dass sich die Anlage auf Versorgung vom Notstromnetz umschaltete. Da es während dieser Umschaltung kurzzeitig (zwischen 1 und 2 Sekunden) zu einem völligen Spannungsabfall auch im Notstrombereich kam, reagierte die Anlage mit einer Reaktorschnellabschaltung (RESA) als sicherheitsgerichtete Maßnahme. Bei einer RESA werden die Steuerstäbe im Sekundenbereich in den Reaktor von unten eingeschossen, um die Kernspaltung durch Neutronen zu unterbinden und damit die Wärmeproduktion im Reaktordruckgefäß auf etwa 5 bis 10 % der Vollleistung zu reduzieren. 5 bis 10 % der Vollleistung mit zeitlich abnehmender Tendenz, je nach Abbrandzustand der Brennelemente, werden auch nach Abschaltung des Reaktors

3 - 3 - aufgrund der radioaktiven Nachzerfallswärme erzeugt. Diese nach wie vor enorme Wärmemenge (5 bis 10 % von 3700 MW thermischer Leistung sind immer noch ca. 175 MW bis 370 MW) muss auch nach Abschaltung des Reaktors sicher abgeführt werden, um eine Überhitzung des Reaktorinventars zu vermeiden. Die Anlage ist so ausgelegt, dass nach einer RESA mit Notstromversorgung, wie in diesem Fall, eine von drei Reaktorspeisewasserpumpen dafür sorgt, dass der Reaktor mit genügend Wasser für die Kühlung der Brennelemente versorgt wird. Aus bisher nicht geklärten Gründen haben sich die hier vorgesehenen Reaktorspeisewasserpumpen komplett entgegen der vorgesehenen Auslegung selbsttätig abgeschaltet, so dass eine Normalbespeisung des Reaktors nicht mehr erfolgte. Der Füllstand des Reaktors sank auf einen Grenzwert, der zur automatischen Auslösung des Durchdringungsabschlusses führte. Durchdringungsabschluss bedeutet, dass Frischdampf- und Speisewasserleitungen und damit die Zu- und Abgangsleitungen des Reaktors durch Armaturen am Durchgang durch das Containment verschlossen werden. Der Reaktor konnte also nicht mehr durch das betriebliche Speisewassersystem mit Wasser versorgt werden und auch die entstehende Wärmemenge konnte nicht mehr über das betrieblich vorgesehene Frischdampfsystem abgeführt werden. Aufgrund dieser Situation kam es zu einem Druckanstieg im Reaktor auf mehr als 74 bar. Der Normaldruck im Reaktor beträgt ca. 69,7 bar. Die Anlage reagierte auf diesen Druckanstieg mit der kurzzeitigen automatischen Öffnung eines Sicherheits- und Entlastungsventils. Dies bedeutete Wasseraustrag vom Reaktordruckgefäß in die Kondensationskammer. Der Wasserstand im Reaktordruckgefäß fiel auf einen Grenzwert, der zur Aktivierung eines Hochdruckeinspeisesystems führte. Kurz nachdem im Reaktordruckgefäß durch dieses Hochdruckeinspeisesystem wieder der normale Füllstand erreicht wurde, öffnete der Reaktorfahrer von Hand für vier Minuten zwei der insgesamt sieben Sicherheits- und Entlastungsventile, was zum Druckabfall im Reaktordruckgefäß, aber auch zum Füllstandsabfall in kurzer Zeit führte. Ein weiteres Einspeisesystem wurde durch das Reaktorschutzsystem aktiviert, so dass der Füllstand wieder angehoben wurde. Nachdem sich der Reaktorfüllstand wieder auf den zulässigen Wert erhöht hat, konnte der Reaktor in der Folge mit betrieblichen Systemen in einem sicheren Zustand gehalten werden.

4 - 4 - Eine besondere Rolle spielt bei dem Störfallablauf das Verhalten des Reaktorfahrers und des Schichtleiters. Zur Erläuterung: Der Schichtleiter hat auf der Warte die Gesamtverantwortung für das Fahren der Anlage. Die übrigen Schichtmitglieder (Stellvertreter des Schichtleiters, Reaktorfahrer und Leitstandsfahrer) haben die Weisungen des Schichtleiters durch unmittelbares Betätigen von Steuerungseinrichtungen umzusetzen. Der Reaktorfahrer öffnete nach ca. 14 Minuten nach Beginn des Brandes wie oben geschildert zwei Sicherheits- und Entlastungsventile, die neben der Druckabsenkung, was generell in einem solchen Fall anzustreben ist, auch zu einer Füllstandsabsenkung im Reaktor führte. Intensive Befragungen nach der Begründung für diese Maßnahme ergaben noch kein eindeutiges Bild. Derzeit gehe ich davon aus, dass die Kommunikation zwischen Reaktorfahrer und Schichtleiter nicht eindeutig war. Während der Schichtleiter erklärte, er habe den Reaktorfahrer angewiesen, den Druck im Reaktorbehälter durch mehrfaches Öffnen und Schließen der Sicherheits- und Entlastungsventile langsam zu reduzieren, hat der Reaktorfahrer den Schichtleiter so verstanden, dass er so schnell wie möglich den Druck reduzieren solle und dies bedeute nach seiner Auffassung, die o.g. Ventile so lange geöffnet zu halten, bis die Druckreduzierung erreicht ist. Vor dem Hintergrund, dass Kernkraftwerke in Deutschland so ausgelegt sind, dass während der ersten halben Stunde nach Störfalleintritt grundsätzlich keine Handmaßnahmen zur Beherrschung von Störfällen erforderlich sind, jedoch durchgeführt werden können, wenn sie auf der Basis einer klaren Situationsanalyse erfolgen, haben wir den Schichtleiter befragt, warum er überhaupt Handmaßnahmen vor Ablauf der halben Stunde durchführen ließ. Er hat erklärt, dass er zu keinem Zeitpunkt von einem unsicheren Anlagenzustand ausgegangen sei und dass sein Handeln deshalb von dem Bestreben geprägt war, die Anlage möglichst zu schonen, um ein kurzfristiges Wiederanfahren nicht zu gefährden. Es hätte ja sein können, dass die automati-

5 - 5 - schen Sicherheitseinrichtungen zu einer Belastung der Anlage geführt hätten, die einen längeren Stillstand bedeutet hätten. Ich habe bis jetzt den Teil des Ablaufes geschildert, der den Reaktor und sein Verhalten unmittelbar betraf. Zu ergänzen wäre, dass auf der Warte auch eine gewisse Beeinträchtigung durch das Eindringen von Brandgasen zu verzeichnen war. Im Normalbetrieb ist die Lüftungsanlage der Warte auf Umluftbetrieb eingestellt. Nachdem die Brandmeldeanlage aktiviert war, hat sich die Lüftungsanlage automatisch auf Zuluftbetrieb umgeschaltet, was dazu führte, dass Brandgase von außen in die Warte geleitet wurden. Nach Schilderung des Reaktorfahrers hat er den Brandgeruch in der Warte wahrgenommen und vorsorglich eine Atemschutzeinrichtung benutzt. Die übrigen Anwesenden auf der Warte hätten auf eine solche Maßnahme verzichtet, obwohl er teilweise gerötete Augen bei seinen Kollegen wahrgenommen hätte. Im weiteren Verlauf des Ereignisses wurden die Zuluftanlagen der Lüftung außer Betrieb genommen. Eine abschließende Bewertung der sicherheitstechnischen Bedeutung des Ereignisses in Krümmel ist derzeit noch nicht möglich. Dafür sind vertiefte Analysen des Ereignisablaufes und insbesondere der Ursachen der technischen und menschlichen Fehler durchzuführen. Es lässt sich aber jetzt schon sagen, dass hier eine Ereigniskette stattgefunden hat, die zwar letztendlich von den eingebauten Sicherheitssystemen beherrscht wurde, die aber sehr ernst zu nehmen ist. Insbesondere die Druck- und Füllstandänderungen im Reaktordruckgefäß können Vorläufer von schwerwiegenden Störfällen sein. Ich bin der Auffassung, dass die Anlage erst wieder an das Netz gehen kann, wenn die Ursachen der Fehler lückenlos aufgeklärt sind und entsprechende Sicherheitsverbesserungen nachweislich durchgeführt sind. Das Vorkommnis hat auch Bedeutung über die Anlage in Krümmel hinaus. Ich werde mit den für die Steuerung der Kernkraftwerke in Deutschland verantwortlichen Pro-

6 - 6 - duktionsleitern einen intensiven Dialog- und Prüfprozess einleiten, um mögliche Defizite bei der Kommunikation auf der Warte zu analysieren und ggf. abzustellen. Des Weiteren werde ich dafür sorgen, dass die elektrischen Einrichtungen wie Generator, Transformator und Netzeinbindung verstärkt in die sicherheitstechnischen Ü- berprüfungen der Landesaufsichtsbehörden einbezogen werden. Diese Bereiche waren Auslöser dieses Störfalles. Der manchmal geäußerten Auffassung, diese Einrichtungen seien für die atomrechtlichen Aufsichtsbehörden nicht relevant da konventionell, werde ich entschieden entgegentreten. Besonders wichtig ist die kurzfristige Einführung eines modernen Sicherheitsmanagements in den deutschen Anlagen. Hier werde ich weitere Verzögerungen nicht mehr dulden. Dübel in Krümmel Nach der Entdeckung fehlerhaft montierter Dübel im Kernkraftwerk Biblis war im Auftrag des BMU im Oktober 2006 eine Weiterleitungsnachricht an die Landesaufsichtsbehörden und die Betreiber versandt worden, in der die Überprüfung der Montage dieser Dübel gefordert wurde. Die Untersuchungen wurden in Krümmel dann nur für diesen einen Dübeltyp (des Herstellers Hilti) durchgeführt, der im Kernkraftwerk Biblis fehlerhaft montiert worden war. Einer Überprüfung der anderen Dübeltypen stimmte der Betreiber erst jetzt nach massivem Druck der Aufsichtsbehörde zu. Am 10. Juli 2007 hat der Betreiber dann mit der Meldekategorie N gemeldet, dass bei der Befestigung einer Montagebühne in einem Notstromdieselgebäude ein nicht der Spezifikation entsprechender Dübel vom Typ Fischer Zykon eingesetzt worden ist. Da bei nicht spezifizierter Befestigung der Montagebühne bei sogenannten EVA- Ereignissen (Einwirkungen von außen, z.b. Erdbeben, Explosionsdruckwelle) die Gefahr besteht, dass wichtige sicherheitstechnische Einrichtungen beschädigt werden, ist der Nachweis der Störfallsicherheit, eine wesentliche Voraussetzung für den Betrieb, zur Zeit nicht gegeben.

7 - 7 - Am wurde das Ereignis in die Meldekategorie E hochgestuft, da nicht spezifikationsgerechte Dübel an einer zweiten Montagebühne gefunden wurden und damit zwei Redundanzen der Notstromdiesel betroffen sind. Mittlerweile wurden weitere nicht der Spezifikation entsprechende Dübel vom Typ Fischer Zykon in anderen Anlagenteilen festgestellt und auch bei Dübeln eines dritten Typs (Liebig Sicherheitsdübel) wurden Unregelmäßigkeiten gefunden. Die Aufsichtsbehörde hat die Betreiberin aufgefordert, ein entsprechendes detailliertes Prüfungsprogramm vorzulegen. Brunsbüttel Ereignis am Am kam es um Uhr im Zuge von Instandhaltungsmaßnahmen in der E.ON-Schaltanlage nahe des Kernkraftwerks Brunsbüttel zu einem Kurzschluss. Durch die dadurch ausgelöste Abschaltung der Netzanbindung kam es auslegungsgemäß zur Umschaltung des Kraftwerksblocks auf Eigenbedarf. Der Eigenbedarfsbetrieb verlief zunächst auslegungsgemäß. Nach ca. 12 Minuten führte eine unzulässige Erhöhung der Relativdehnung im Bereich der Turbinenwelle zur Turbinenschnellabschaltung mit anschließender Reaktorschnellabschaltung. Mit der Reaktorschnellabschaltung waren folgende Auffälligkeiten verbunden: erhöhte Einschusszeit eines Steuerstabs, eine Fehlermeldung an der Steuerung eines Sicherheit- und Entlastungsventils, Schwelbrand im Bereich der Turbine. Bewertung Mit Ausnahme der verlängerten Einschusszeit des Steuerstabs sind nach Auffassung der Landesaufsichtsbehörde sowohl Turbinenschnellabschaltung als auch Reaktorschnellabschaltung spezifikationsgemäß abgelaufen.

8 - 8 - Die Aufsichtsbehörde stellte fest, dass durch die von der Betreiberin in der Folge getroffenen Maßnahmen (Einfahren und Verriegeln des betroffenen Steuerstabs) ausreichend Vorsorge getroffen sei. Damit konnte dem Wiederanfahren der Anlage am zugestimmt werden. BMU hat sich dem nach Prüfung angeschlossen. Wasserstoffgasansammlungen Am hat die Betreiberin der Landesaufsichtsbehörde mitgeteilt, dass aufgrund von Messungen davon auszugehen ist, dass sich in einer Messleitung für den Reaktorfüllstand Wasserstoffgas angesammelt hat, die Menge des Wasserstoffes a- ber im Hinblick auf eine Entzündung unproblematisch sei. Nach eingehender Prüfung und Bewertung durch einen Sachverständigen konnte sich die Landesaufsichtsbehörde der Betreiberbewertung anschließen. Es wurde jedoch festgelegt, dass die Messleitung innerhalb von zwei Wochen zu spülen ist. Die Betreiberin hat in der Nacht vom 12. auf den die Anlagenleistung auf 15% reduziert und die Messleitung gespült. Abweichungen an Dübelplatten Bei einer von der atomrechtlichen Aufsichtsbehörde veranlassten Überprüfung von Dübeln im Sicherheitssystem des Kernkraftwerks Brunsbüttel sind Abweichungen an Dübelplatten festgestellt worden. Die Überprüfungen der Dübelverbindungen sind Teil des schon bei Krümmel angesprochenen Prüf-Programms im Zusammenhang mit den Ereignissen im Kernkraftwerk Biblis. Für die Prüfung der Dübelverbindungen und platten im Sicherheitsbehälter musste das Kraftwerk, nachdem es schon zuvor wegen eines nötigen Ölwechsels im Eigenbedarfstransformator vom Netz genommen worden war, vollständig abgefahren werden. Bei den Prüfungen wurden zu große Bohrungen in den Dübelplatten entdeckt. Mit diesen Dübelplatten werden Rohrleitungen am Bauwerk befestigt.

9 - 9 - Nach Aufforderung der atomrechtlichen Aufsichtsbehörde werden die Überprüfungen an weiteren Dübelplatten fortgesetzt. Außerdem hat die Betreiberin mit Instandsetzungsmaßnahmen an den mangelhaften Dübelplatten begonnen. Der Anlagestillstand wird weiterhin dafür genutzt, ein schadhaft gewordenes Brennelement auszutauschen. Periodische Sicherheitsüberprüfung (PSÜ) Brunsbüttel (Liste der offenen Punkte) Ich möchte vorab die klare Position des BMU in diesem Zusammenhang formulieren: Ein Kernkraftwerk kann in Deutschland nur betrieben werden, wenn es keine Hinweise auf relevante sicherheitstechnische Defizite gibt und auch keine relevanten Nachweisdefizite für Systeme und Komponenten der druckführenden Umschließung und der Systeme und Komponenten, die für die Störfallbeherrschung erforderlich sind, vorliegen. Der Betreiber hat jederzeit und insbesondere auch im Rahmen einer periodischen Sicherheitsüberprüfung die erforderlichen Nachweise zu erbringen. Grundsätzlich ist es Aufgabe der Landesaufsichtsbehörden, diese Nachweise zu überprüfen und ggf. notwendige Schlussfolgerungen zu ziehen. Im vorliegenden Fall habe ich keinen Anlass daran zu zweifeln, dass die Landesaufsichtsbehörde in Schleswig- Holstein zu Recht davon überzeugt ist, dass die o.g. Voraussetzungen im Hinblick auf die PSÜ Brunsbüttel vorliegen. Ich habe unabhängig davon aufgrund des besonderen Falles Brunsbüttel mir alle relevanten Unterlagen im Zusammenhang mit der PSÜ von der Landesaufsichtsbehörde übergeben lassen bzw. angefordert und werde in diesem Fall eine Überprüfung der von der Landesaufsichtsbehörde noch nicht abschließend bewerteten ca. 50 Punkte durchführen. Sie können davon ausgehen, dass die Anlage Brunsbüttel erst wieder ans Netz geht, wenn keine Defizite der o.g. Art vorliegen.

10 Ereignisablauf Unterweser Das Kernkraftwerk Unterweser war am zum planmäßigen Brennelementwechsel und zur jährlichen Revision abgefahren worden. Während des Abfahrvorganges wurde die Wiederkehrende Prüfung Wirksamkeit der Nachkühlkette durchgeführt. Dabei wurde festgestellt, dass einer der vier Nachkühlstränge des Kernnotund Nachkühlsystems nicht die erforderliche Kühlleistung erbrachte. Untersuchungen zeigten, dass das Nachkühlregelventil in diesem Strang zu weit geschlossen war und so der Mengendurchfluss an Kühlmittel zu gering war. Das Not- und Nachkühlsystem wird bei Kühlmittelverluststörfällen zum Fluten des Reaktorkerns und zur anschließenden Nachwärmeabfuhr benötigt. Bei der Grundstellung steht das Regelventil auf 46 % offen. Diese Grundstellung ist mechanisch begrenzt und stellt sicher, dass eine zu schnelle Abkühlung des Kerns nicht eintreten kann. Bei der Armatureninstandhaltungsmaßnahme in der Revision 2006 ( bis ) kam es zu einem Fehler bei der Einstellung der elektronischen Stellungsanzeige des Ventils. Tatsächlich betrug die Öffnung der Armatur dadurch nur noch 23%. Bewertung Der betroffene Strang muss seit der Revision 2006 als ausgefallen angesehen werden. Der Ausfall eines Stranges hat allein noch keine sicherheitsrelevanten Auswirkungen, jedoch hat der Betreiber im laufenden Betrieb zusätzlich vorbeugende Instandhaltung an weiteren Redundanzen des Systems durchgeführt. Dadurch war in diesen Zeiten jeweils ein weiterer Strang nicht verfügbar. Damit waren 2 von 4 Strängen im Anforderungsfall nicht einsatzbereit. Dieses hätte zur Störfallbeherrschung ausgereicht, entspricht aber nicht den genehmigten Betriebsvorschriften. Bei einem zusätzlich auftretenden Einzelfehler wäre der Anforderungsfall nicht mehr beherrscht worden.

11 Es handelt sich um ein Ereignis aus dem Bereich Mensch Technik Organisation (MTO) mit einer hohen sicherheitstechnischen Bedeutung, das kein gutes Licht auf die Sicherheitskultur der Anlage und die Fachkunde der Mitarbeiter wirft. Bemerkenswert ist, dass der Fehler bei drei Funktionsprüfungen, die im August 2006, im Oktober 2006 und im April 2007 stattgefunden haben, nicht entdeckt wurde, obwohl man aus den Prüfergebnissen bei genauer Betrachtung hätte herleiten können, dass der Mengendurchfluss nicht der Spezifikation entsprach. Vorläufige Schlussfolgerungen aus allen drei Ereignissen Ein modernes Sicherheitsmanagementsystem muss spätestens in einem Jahr in allen Anlagen realisiert sein. Für die Steuerung der Anlagen, insbesondere auf der Warte, müssen klare und verbindliche Kommunikationsregeln festgelegt werden. Ein modernes sicherheitstechnisches Regelwerk, das den aktuellen Stand von Wissenschaft und Technik beschreibt und zukünftig als Maßstab für die Überprüfung der Atomkraftwerke herangezogen wird, muss spätestens in einem Jahr zur Verfügung stehen.